Système instrumenté de sécurité (SIS) :

systèmes PSS, ESD, HIPPS, EDP

Contrôle de procédé et SNCC

M1_FR 112_Safety Instrumented System (SIS)_REV.A

Div - Réf
 Présentation des systèmes SIS

© 2013 - IFP Training

Div - Réf 2
 Présentation des systèmes instrumentés de sécurité
Réservoirs de stockage du pétrole brut
Imaginez… une installation sans SIS...
Salle de contrôle
LAH : alarme de
niveau élevé
Transmetteur de niveau Le niveau du
LT réservoir continue de
monter malgré
l'intervention de
l'opérateur du
tableau.
Le système de
contrôle de procédé
Alarme de niveau du OK, la soupape de (PCS) a échoué pour
réservoir très élevé sécurité est fermée une raison encore
inconnue
L'opérateur décide de
fermer la soupape de
sécurité et va sur le site
pour vérifier

©
2013 - IFP Training
 L'opérateur a remarqué une défaillance du système PCS (système
de contrôle de procédé)
• Les actions de sécurité manuelles dépendent de la décision de l'opérateur
Div - Réf 3
 Présentation des systèmes instrumentés de sécurité
Réservoirs de stockage du pétrole brut
...et une installation avec systèmes SIS
Salle de contrôle LAH : alarme de
niveau élevé
Le niveau du réservoir
Transmetteur de niveau continue de monter
LT malgré l'intervention
1 de l'opérateur du
LT
2
tableau.
Le système de contrôle
de procédé (PCS) a
échoué pour une
raison encore
Un autre transmetteur de niveau (LT) inconnue
dédié à la « fonction sécurité » est
Alarme de
connecté au système PSS
Système niveau du
Le système PSS lance des actions d'arrêt réservoir très
automatiques de sécurité : fermeture élevé
du système
de la soupape de sécurité (SDV)
PSS
Le système PSS renvoie également

©
des données à la salle de contrôle.

2013 - IFP Training

 Les composants de sécurité (LT, PSS, SDV) connectés ensembles
constituent une boucle de sécurité
Div - Réf 4
 Présentation des systèmes instrumentés de sécurité

 Objectif des systèmes SIS

• Réduire les risques d'exploitation dus aux événements inattendus :
− limiter les fuites en fermant automatiquement les vannes de sécurité
− supprimer les sources d'inflammation en éteignant les sources électriques
− réduire les substances inflammables stockées par dépressurisation
d'urgence
 Protéger le personnel et les installations

 Fonctionnement du système SIS :

• rapide, après avoir fourni aux opérateurs les alarmes correspondantes
• séquence automatique : aucune action de l'opérateur nécessaire pendant
l'exécution de la séquence de logique de sécurité
 ... mais souvenez-vous des points suivants :
• les systèmes de sécurité ne suppriment pas tous les risques (par exemple
les points chauds)
• Les modes de fonctionnement dégradés ou les opérations simultanées ne

©
peuvent pas toujours être couverts par des systèmes instrumentés de

2013 - IFP Training

sécurité
 Boucle de sécurité

© 2013 - IFP Training

Div - Réf 6
 Boucle de sécurité
Terrain Salle technique Salle de
Carte d'entrée contrôle
PCS
LI, LAH

Carte d'entrée
LT
2 PSS
LSHH
LT Air
1 d'instrumentation Signal de
Carte de sortie fermeture
Panneau
à la
de
soupape
contrôle
SDV
local

SOLVEUR LOGIQUE
Une boucle de sécurité est composée d'un

©
capteur/transmetteur connecté à un solveur logique

2013 - IFP Training

dédié qui lance l'action de sécurité sur un organe de
SDV commande finale, la plupart du temps une soupape
de sécurité.
Div - Réf
Alimentation en pétrole brut 7
 Boucle de sécurité

SOLVEURS ORGANES
CAPTEURS
LOGIQUES DE COMMANDE FINALE
Boucle de sécurité
 CAPTEURS :
• Instruments spécifiques dédiés à la mesure de pression, niveau, débit, température,
position, vitesse, vibrations, concentration de gaz, détection d'incendie, chaleur, etc.
 SOLVEUR LOGIQUE :
• Composant dédié capable de convertir les signaux provenant des capteurs de sécurité et
de comparer leur valeur avec des seuils préconfigurés (très élevés, très bas).
• Également capable d'exécuter des séquences préconfigurées et d'activer les organes de
commande finale via un logiciel complet.
 ORGANES DE COMMANDE FINALE :
• vannes de sécurité, équipements électriques, disjoncteurs, pompes anti-incendie,
systèmes d'extinction, sirènes, feux clignotants, etc.

©
 Les composants de la BOUCLE DE SÉCURITÉ sont certifiés comme étant compatibles

2013 - IFP Training

avec le NIVEAU D'INTÉGRITÉ DE SÉCURITÉ (SIL - SAFETY INTEGRITY LEVEL) de la
boucle
 Intégrité de sécurité

© 2013 - IFP Training

Div - Réf 9
 Intégrité de sécurité

 Définition de l'intégrité de sécurité :

• Probabilité d'une fonction instrumentée de sécurité de fonctionner
correctement sur demande
• Par exemple, la probabilité pour une boucle de sécurité de niveau
de fermer les vannes SDV correspondantes lorsque le seuil LSHH est
atteint

 Niveau d'intégrité de sécurité (SIL)

• C'est un nombre allant de ① à ④
• Il représente l'ordre de grandeur de réduction de risque obtenu par
la fonction instrumentée de sécurité pour rendre le risque
acceptable
• Plus le niveau SIL d'une boucle de sécurité est élevé :

©
plus l'impact d'une défaillance d'une boucle de sécurité est important

2013 - IFP Training

plus le taux de défaillance acceptable est faible
• SIL ④ est le plus haut niveau de sécurité et SIL ① le plus bas
Div - Réf 10
 Intégrité de sécurité
Principes de base du risque

RISQUE = Probabilité x Conséquences

• Probabilité réduite ou conséquences réduites  risque réduit

Probabilité de
FRÉQUENCE Fréquence de
D'ACCIDENT = défaillance à la x la demande
demande (PFD)
• Probabilité de défaillance à la demande (PFD) réduite ou demande
réduite  moins d'accidents

©
2013 - IFP Training
 Les chiffres de niveau SIL correspondent à la probabilité visée de
défaillance à la demande d'une boucle de sécurité pour réduire le
Div - Réf
risque à un niveau acceptable 11
 Intégrité de sécurité

 Un système instrumenté de sécurité n'est pas un simple

composant. C'est un assemblage complexe de plusieurs
composants et d'attributs opérationnels, principalement :
• matériel, logiciel, cartes d'entrée/sortie, redondance,
alimentations, etc.
• instruments et actionneurs sur site associés
• attributs opérationnels tels que la construction, tests d’acceptation
en usine (FAT), règles d'inspection et de maintenance, fréquence et
qualité des procédures de test, rapports de test, etc.

 Le niveau global d'intégrité de sécurité (SIL) du système SIS est

égal au niveau SIL de la liaison la plus faible

©
 Les composants de la boucle de sécurité (transmetteurs, solveurs

2013 - IFP Training

logiques, actionneurs) doivent être compatibles avec la valeur SIL
de la boucle de sécurité
 Intégrité de sécurité
Fiabilité, disponibilité
 Les systèmes de sécurité fonctionnent à la demande (PSHH, LSLL,
etc.)

 Comment augmenter la fiabilité ou réduire la probabilité de

défaillance à la demande (PFD) ?
• En sélectionnant un composant avec un taux de défaillance faible (par an)
− Les instruments d'une boucle de sécurité doivent être compatibles au
niveau SIL
• En réduisant l'intervalle de test (par an)

 Disponibilité
• Définition : proportion, par rapport à une durée totale, de la durée durant
laquelle un composant, un équipement ou un système fonctionne de la
manière souhaitée
• Une disponibilité élevée est exigée  Redondance

©
2013 - IFP Training
équipement/instruments
• Une mesure de compensation équivalente doit être définie en cas
d'indisponibilité.
Div. - Document de référence 13
 Intégrité de sécurité
Fréquence de test

 Effet de l'intervalle de test (T1, T2) sur la fiabilité du système

©
2013 - IFP Training
 Des tests fréquents augmentent la fiabilité du système

Div. - Document de référence 14

 Intégrité de sécurité
Test et maintenance
 Le test est obligatoire pour maintenir le niveau SIL d'origine de chaque
fonction de sécurité
 Chaque boucle du système SIS doit être fournie avec des instructions de
test :
• Des procédures claires dans le manuel d'utilisation
• Désactivation, contournement, matériel ou logiciel pour éviter des pertes
de production
• Simulation de conditions de fonctionnement anormales
• Soupape de sécurité avec fonctions de course partielle (attention)
 La fréquence des tests peut être imposée par les autorités locales :
Taux de défaillance à la demande pour les
• une fois par mois, par trimestre, par an, etc. composants standard de la boucle de sécurité

 Les rapports de test et leur archivage sont obligatoires

 La maintenance doit être incluse dans le manuel

©
2013 - IFP Training
d'utilisation et gérée par une équipe expérimentée.
Une faible activité de maintenance peut affecter les
conditions du niveau SIL des composants de sécurité.
 Intégrité de sécurité  Disponibilité
Systèmes de redondance et logique majoritaire
 Les boucles de sécurité doivent être fiables
 Redondance des éléments de boucles de sécurité

Alimentation sans
PLC
PLCououcontrôleur simple
contrôleurtriple
double coupure 24 Vcc logiquelogique
de votede vote(2 sur
2oo2
Watch Dog 1oo2 (2
2oo3 (1 sur 3)
2)
(surveillance)
Capteur analogique
Mod. Mod. de
d'entrée sortie
CPU &
numériq numériq
ue ue

Watch Dog
(surveillance)
Capteur analogique Air
Mod. Mod. de
d'entrée sortie d'instrumentatio
CPU &
numériq numériq n
ue ue
Watch Dog
(surveillance)
Capteur analogique

©
Mod. Mod. de

2013 - IFP Training

d'entrée sortie
CPU &
numériq numériq
ue ue SOV

Fonctionnement normal : Les interrupteurs d'arrêt d'urgence sont fermés Vanne de sécurité (FC)
Normalement active
Fonctionnement à l'arrêt : Les interrupteurs d'arrêt d'urgence sont ouverts
Ébauche FC
Intégrité de sécurité  Disponibilité
Redondance

©
2013 - IFP Training
 Système SIS : une protection multi-
couches

© 2013 - IFP Training

Div - Réf 18
 Protection multi-couches

 Système de contrôle de procédé (PCS)

• Contrôles et alarmes de procédé
associées

 Système d'arrêt de procédé (PSS)

• Déclenchements (trips) et action
d'arrêt associée

 Système de protection à haute intégrité

(HIPS - High Integrity Protection System)
• Grande fiabilité - pas de protection
mécanique (PSV)

 Système d'arrêt d'urgence (ESD)

• Actions d'arrêt d'urgence

 Système Feu & Gaz (FGS)

©
• Détection/action FGS + lien avec le

2013 - IFP Training

système ESD

EP - 24389_a_A_ppt_01 - Architecture d'équipement ICCS 19

 Protection multi-couches
Architecture typique de systèmes de sécurité

©
2013 - IFP Training
Div - Réf 20
 Systèmes PSS et ESD

 4 niveaux d'arrêt sont généralement mis en œuvre :

• ESD 0 : arrêt complet de l'ensemble de l'installation avant
abandon
• ESD 1 : arrêt d'urgence de l'ensemble de l'installation
• SD 2 : arrêt de l'unité (dans une zone de production)
• SD 3 : arrêt d'un équipement ou d'un package individuel (dans 1
unité)

©
2013 - IFP Training
REMARQUE :
- Plusieurs niveaux d'arrêt de procédé (SD) peuvent être configurés en fonction de la
taille de l'installation
Div - Réf 21
 Systèmes PSS et ESD
Diagramme de logique de sécurité
OU
 Exemple de diagramme de logique de sécurité (SLD -ASafety Logic
Diagram) : B C
C = A ou B
ESD 0
ET
Bouton- ESD 1 A
poussoir C
SD 2 B
C = A et B
Tension de batterie UPS
faible
PSHH SD 3
LSHH
FGS
Détection de Fermer ESDV
gaz
Arrêter
confirmée
générateurs
Fermer SDV Fermer SDV
Détection de
électriques Arrêter Arrêter
gaz EDP compresseurs pompes
confirmée
FSLL

©
2011 - IFP Training
Bouton- Ouvrir BDV
poussoir
Démarrer
pompes à eau
anti-incendie
 Systèmes PSS et ESD
Zones de feu

 Les installations de production sont agencées en zones de feu

 Définition d'une zone de feu :

• Zone où les équipements sont regroupés :
− par nature
− par niveau homogène de risque associé
• Les conséquences d'une fuite de gaz inflammable, d'une explosion
ou d'un incendie dans une zone de feu n'entraînent pas de risque
pour une autre zone de feu

 Comment cela s'applique-t-il ?

• Généralement une installation comprend 1 seule zone de feu
• Lorsque plusieurs plate-formes sont reliées : 1 plate-forme = 1 zone

©
de feu

2013 - IFP Training

• Sur FPSO : les équipements sont agencés de manière à avoir
plusieurs zones de feu
 Systèmes PSS et ESD
SD-3 : Arrêt de l'équipement
 Causes
• ESD-1 de la zone de feu
• SD-2 de l'unité
• Activation manuelle (bouton poussoir / tableau local)
• Détecteur incendie ou gaz dans les packages fermés
− par ex : turbine à gaz, moteur à gaz
• Déclenchement (trip) d'un équipement (quand il n'est pas pris en charge par
un package)

 Action :
• Arrêt de la production / des équipements et des packages de
l'installation
− par ex. : séparateur, compresseur, etc.
• Arrêt des circuits électriques associés

©
2013 - IFP Training
• Fermeture des vannes SDV et de certaines vannes ESDV spécifiques
• Fermeture des SSV des puits
 Systèmes PSS et ESD
SD-2 : Arrêt de l'unité
 Causes :
• Activation d'ESD-1
• Activation manuelle (boutons poussoirs)
• Défaillances majeures du procédé
• LSHH ballon de torche KO
• PSLL d'air d'instrumentation
• PSLL de gaz combustible si utilisé pour éviter la pénétration d'air dans la
torche
• Perte de l'alimentation électrique normale

 Actions :
• Arrêt de l'ensemble des équipements dans l'unité
− arrêt de tous les équipements de traitement d'HC et de production
− fermeture des vannes SDV associées
− arrêt des moteurs associés

©
2013 - IFP Training
• Arrêt de certains équipements non associés aux HC (traitement chimique
par ex.)
• Possibilité de réaliser une dépressurisation d'urgence
 Systèmes PSS et ESD
ESD-1 : Arrêt d'une zone de feu individuelle
 Causes :
• Activation d'ESD-0
• Activation manuelle (boutons poussoirs)
• Détection de gaz
• Détection d'incendie (dans le procédé ou les zones de manipulation
d'hydrocarbures)
• Tension des batteries UPS faible
 Actions :
• Arrêt complet de la zone de feu
− SD-2 de tous les systèmes des unités, du procédé et de l'installation
− Arrêt de l'alimentation principale et donc de tous les moteurs
• Fermeture de toutes les vannes ESDV
• Fermeture des SCSSV de puits situées dans la zone de feu
• Dépressurisation d'urgence de la zone de feu (obligatoire offshore, facultatif
onshore) : Ouverture de toutes les vannes BDV dans la zone de feu
• ESD-1-F active les moyens de lutte anti-incendie dans la zone de feu

©
2013 - IFP Training
• ESD-1-G arrête les sources d'inflammation dans la zone de feu à l'exception des
commandes et équipements d'urgence nécessaires à la section à risque de la zone 1
• Alarme sonore et signaux visuels pour pouvoir quitter la zone de feu et
rallier la zone de rassemblement
 Systèmes PSS et ESD
ESD-0 : Arrêt complet de l'installation
 Ce niveau d'ESD est obligatoire offshore (et recommandé
onshore)
 Causes :
• Activation manuelle (boutons poussoirs)

 Actions :
• ESD-1 de toutes les zones de feu
• Arrêt complet de toutes les zones de feu (tous les systèmes de
procédé et d'installation)
− N'arrête pas les pompes diesel d'incendie si déjà démarrées
• Dépressurisation d'urgence de toutes les zones de feu (obligatoire
offshore, facultatif onshore) par l'ouverture des vannes BDV.
• Mise hors tension complète des alimentations de l'installation
− y compris des systèmes sur batterie

©
2013 - IFP Training
− à l'exception de l'éclairage d'urgence NAVAIDS, de la
télécommunication de secours et des PAGA
• Alarme sonore et signaux visuels pour le rassemblement du
personnel et la préparation à l'évacuation
 Systèmes PSS et ESD
CAUSES NIVEAU D'ARRÊT Résumé
Bouton-poussoir ESD-0 ESD-1 SD-2 SD-3
ESD-0 (action directe) ESD-1
PSLL dans pipelines vers l'installation ESD-1
Détection de gaz confirmée ESD-1
Détection d'incendie dans la zone de ESD-1
procédé
Tension de batterie UPS faible ESD-1
ESD-1 (action directe) ESD-2
Défaillance importante du procédé ESD-2
Fuite ESD-2
LSHH ballon de torche KO, PSLL air ESD-2
Pression de gaz combustible faible ESD-2
SD-2 (action directe) SD-3

©
2013 - IFP Training
Défaillance de l'équipement SD-3
Détection d'incendie dans le package SD-3
Détection de gaz dans le package SD-3
 Systèmes PSS et ESD
Vannes de sécurité
 Les vannes sont classées selon dans quelle mesure elles mettent les
installations de production dans un état sécurisé après le
déclenchement d'une commande d'arrêt :

• ESDV (Vanne d'arrêt d'urgence) Couche de protection ESD

− Vanne normalement fermée (FC) et verrouillée en position fermée :
Niveau ESD
− Déverrouillage et réinitialisation peuvent uniquement être réalisés
manuellement et localement

• SDV (Vanne d’arrêt) Couche de protection PSS

− Vanne normalement fermée (FC) et verrouillée ou non en position après
fermeture :
− Fermeture généralement déclenchée par une défaillance du procédé
(LSHH, LSLL, PSHH, etc.) : Niveau SD

• BDV (Vanne de purge) Couche de protection ESD

− Vanne normalement ouverte (FO : ouverte en défaillance)

©
2013 - IFP Training
− Peut nécessiter une action manuelle de la salle de contrôle pour son
ouverture : Niveau ESD
− Accompagné en aval par un orifice (RO) pour éviter la surcharge du réseau
de torcharge
 Systèmes PSS et ESD
Vannes de sécurité

Gaz vers torchage

BDV 1 SDV 5
SDV 1 Gaz vers
compresseur HP
Séparateur
HP
BDV 2
SDV 6
SDV 2 Gaz vers
compresseur BP
SDV 7 Séparateur
LP
ESDV 1

SDV 8 SDV 3
Pipeline sous-
marin
SDV 4
depuis WHP Injection d'eau

©
2013 - IFP Training
ESDV 2
Chargement du
manifold
Ébauche
 Système de protection à haute intégrité
(HIPS - High Integrity Protection System)

© 2013 - IFP Training

Div - Réf 31
 Système HIPS
Principe de fonctionnement
 Exemple de conception typique d'installation avec fonction PSS et
soupape de sécurité (pas de système HIPS)
1ère barrière
(instrum) 2ème barrière
mécanique

©
2013 - IFP Training
Les systèmes de surpression conventionnels présentent des inconvénients tels
que le rejet incontrôlé de gaz (inflammable et toxique) dans l'environnement.
 Système HIPS
principe de fonctionnement
 Exemple de conception avec système HIPS pour la protection de
pression au-dessus du système PSS :
1ère barrière
(instrum)

2ème barrière
(instrum)

• Fonctions du système HIPS :

©
− stoppe l'arrivée des fluides en excès et les contient dans le système (pas

2013 - IFP Training

de torchage)
− Le système HIPS permet une dépressurisation sécurisée et contrôlée par
les opérateurs
 Système HIPS
Description

 Le système HIPS est un système instrumenté de sécurité (SIS) de

pointe conçu pour protéger une section spécifique de
l'installation contre des conditions de fonctionnement dégradées
• par ex., surpression, surchauffe, surdébit, niveaux

 Le système HIPS ne fait pas doublon avec les systèmes PSS ou ESD
mais il fournit :
• une couche supplémentaire indépendante de protection
• une meilleure fiabilité et un temps de réponse plus rapide

 Le système HIPS comprend tous les capteurs, solveurs logiques et

actionneurs qui sont indépendants des systèmes PSS et ESD
• Sauf pour certaines vannes de sécurité (SDV, ESDV) qui peuvent

©
être utilisées à la fois pour les fonctions de sécurité PSS/ESD et HIPS

2013 - IFP Training

34
 Système HIPS
Description
Exemple de système HIPPS dédié à
la protection contre la surpression :

 Il comprend :
• Des capteurs :
− des transmetteurs de pression pour
détecter la pression trop élevée
• Un solveur logique
− il traite les infos recueillies par les
capteurs pour envoyer un signal de
commande aux organes de
commande finale
• Fonctions du système HIPS
• Un organe de commande finale − Conception à sécurité intégrée
− soupape, actionneur, électrovannes
pour arrêter la source de − Équipement approuvé et

©
surpression et ramener le procédé expérimenté

2013 - IFP Training

dans un état sécurisé − Simple et robuste
− Nécessite des procédures de test
pour la boucle complète
Ébauche 35
 Composants du système HIPS
Capteurs physiques sur site

 Capteurs dédiés, redondants  Système fiable de couplage :

et diversifiés sur site :

©
2013 - IFP Training
Couplage typique à clé

Dispositif typique de manifold de blocage et de purge

Div - Réf
avec couplage de bloc de capteurs intégré : 36
 Composants du système HIPS
Solveur logique
 Solveur logique dédié
complètement indépendant des
autres systèmes de
sécurité/contrôle

 Logique à semi-conducteur
• système programmable non Solveur logique de HIPS
autorisé
Compartiment
 Quantité limitée d'armoire dédié pour
d'entrées/sorties (E/S) du solveur un seul riser de FPSO
logique

 Solveur logique dédié pour

chaque sous-unité HIPS

©
fonctionnelle

2013 - IFP Training

• Par exemple : 1 solveur logique Armoire de système HIPS
par riser de FPSO
typique (en salle
Div - Réf
technique) 37
 Composants du système HIPS
Solveur logique

 Robinet à bille d'arrêt  Vannes d'arrêt de débit axial

©
2013 - IFP Training
Div - Réf 38
 Architecture générale du système HIPS
Exemple : DALIA FPSO

©
2013 - IFP Training
Exemple de système HIPS dédié pour protéger contre les
surpressions
 Dépressurisation d'urgence
(EDP - Emergency de-pressurization)

© 2013 - IFP Training

Div - Réf 40
 Dépressurisation d'urgence (EDP)
Fonction
 Objectif :
• Réduire le risque de rupture de réservoir/tuyau du fait de la contrainte
thermique durant un incendie
• Réduire le stock d'hydrocarbures qui pourrait alimenter un incendie
• Réduire le rejet de produit inflammable ou toxique en cas de fuite sans
flamme.
 Action :
• Dépressurisation de l'équipement vers le torchage via les vannes de purge
(BDV)
 Équipement concerné :
• Équipement/tuyau qui peut être à la fois isolé(e) (suite à un arrêt d'urgence)
et exposé(e) au feu simultanément, notamment :
− Séparateurs HP/MP, épurateurs de compresseurs
• État cible :
− Pression : 7 barg (ou 50 % de la pression de fonctionnement)
− Temps de dépressurisation : 15 mn ou moins

©
2013 - IFP Training
 Déclenchement de l'EDP : (exemple)
• Offshore : manuel ou automatique à l'activation de ESD 1
• Onshore : manuel ou automatique, toujours en cas de ESD 1