Actions et interventions de l’opérateur dans les systèmes de sécurité fonctionnelle
Les décisions des opérateurs restent un facteur essentiel des performances en matière de sécurité fonctionnelle. Cet article examine la manière dont les méthodologies CEI 61511 et LOPA classent les...
L’élément humain façonne toujours la sécurité des procédés
Les systèmes d’automatisation continuent d’évoluer dans les raffineries, les centrales électriques, les unités chimiques et les installations offshore. Pourtant, les opérateurs expérimentés restent l’une des variables les plus influentes pour la sécurité des installations. Leurs décisions peuvent stopper l’escalade avant que l’automatisation ne réagisse, ou déclencher involontairement des conditions dangereuses dans le procédé.
L’ingénierie moderne de la sécurité fonctionnelle ne considère plus l’interaction humaine comme une considération secondaire. Les normes internationales définissent désormais les actions de l’opérateur comme des contributions mesurables dans la vérification SIL, les calculs LOPA et la gestion du cycle de vie de la sécurité.
Figure 1. Les relations temporelles de sécurité déterminent si la réponse de l’opérateur peut empêcher efficacement l’escalade.
Pourquoi les actions de l’opérateur sont importantes dans les évaluations SIL
Les études de sécurité fonctionnelle distinguent les actions de l’opérateur qui créent des conditions dangereuses des interventions qui empêchent l’escalade. Cette distinction influence directement les calculs de réduction du risque et les niveaux SIL requis.
En pratique, un opérateur en salle de contrôle peut provoquer une dérive en séquençant incorrectement les vannes, en activant un contournement ou en réagissant tardivement. À l’inverse, ce même opérateur peut également servir de barrière de protection en réagissant aux alarmes ou en lançant manuellement les procédures d’arrêt.
Ces scénarios semblent similaires sur le plan opérationnel, mais ils sont traités très différemment dans les méthodologies IEC 61511 et LOPA du CCPS.
Action de l’opérateur ou intervention de l’opérateur
Une action de l’opérateur est généralement intentionnelle et procédurale. Elle peut consister à démarrer un équipement, à confirmer les permissifs ou à activer une commande d’arrêt d’urgence. Une intervention survient généralement après l’apparition d’une condition anormale.
Par exemple, appuyer sur un bouton-poussoir ESD câblé devient une partie intégrante de la fonction de sécurité elle-même. Réagir à une alarme de température élevée avant l’apparition de conditions d’emballement peut constituer une couche de protection indépendante.
Le défi d’ingénierie consiste à déterminer s’il existe suffisamment de temps, d’indépendance et de fiabilité pour une réponse humaine.
Quand l’erreur humaine devient l’événement initiateur
La norme IEC 61511 définit un événement initiateur comme la déviation qui fait évoluer un procédé vers une situation dangereuse. L’erreur humaine répond fréquemment à cette définition.
Une vanne de dérivation ouverte par erreur, une neutralisation de maintenance incorrecte ou l’absence de rétablissement des interverrouillages après un test peuvent toutes générer des sollicitations des systèmes de protection du procédé.
Dans les études LOPA, ces actions se voient attribuer une fréquence d’événement initiateur (IEF). La fréquence attribuée reflète la probabilité réaliste qu’une erreur humaine donnée se produise pendant l’exploitation de l’installation.
La fiabilité humaine n’est jamais constante
Les performances de l’opérateur évoluent sous l’effet du stress, de la fatigue, d’une mauvaise gestion des alarmes ou d’une charge de travail élevée. En raison de cette variabilité, les études de sécurité appliquent des hypothèses prudentes concernant la fiabilité humaine.
Les procédures simples et régulièrement mises en pratique peuvent être associées à de faibles fréquences d’initiation. Les interventions complexes dans des conditions d’exploitation anormales se voient attribuer des valeurs nettement plus élevées.
Figure 2. Les actions humaines influencent à la fois les événements initiateurs et les réponses de protection dans le cadre des études de sécurité.
Les installations équipées de systèmes de commande distribués anciens sont souvent confrontées à des risques supplémentaires liés aux facteurs humains, en raison de la surcharge d’alarmes et de la disparité des configurations d’IHM. De nombreuses installations qui modernisent leurs plateformes existantes intègrent désormais des systèmes de commande DCS modernes afin d’améliorer la hiérarchisation des alarmes et la visibilité pour les opérateurs.
Les opérateurs peuvent-ils être pris en compte comme des couches de protection indépendantes ?
Une intervention manuelle peut être considérée comme une IPL uniquement sous des conditions strictes. La réponse doit rester indépendante de la cause initiatrice, intervenir dans le délai de sécurité du procédé disponible et suivre des procédures d’exploitation validées.
Les normes telles que l’ISA TR84 et les recommandations du CCPS limitent généralement la prise en compte d’une IPL manuelle, car les performances humaines sont par nature variables. Dans de nombreuses installations, le facteur de réduction du risque maximal accepté pour une réponse de l’opérateur reste de 10.
Le temps de sécurité du procédé définit la faisabilité
Le temps de sécurité du procédé disponible détermine si l’intervention de l’opérateur est réaliste. Si les opérateurs disposent de plusieurs minutes pour réagir à une déviation du procédé, une réponse manuelle peut rester acceptable.
Si le procédé atteint des conditions dangereuses en quelques secondes, l’automatisation devient obligatoire. Aucun programme de formation réaliste ne peut garantir de manière constante la réussite d’une intervention manuelle dans des fenêtres de réaction extrêmement courtes.
Cette distinction explique pourquoi les systèmes de turbines à grande vitesse, les applications de gestion des brûleurs et la protection des compresseurs dépendent de plus en plus de plateformes de sécurité dédiées plutôt que de la seule intervention procédurale.
Actions d’arrêt manuel à l’intérieur du périmètre de la SIF
De nombreux ingénieurs classent à tort les actions d’arrêt manuel comme des événements initiateurs. En réalité, l’activation délibérée d’un arrêt d’urgence fait souvent partie intégrante de la SIF.
La norme IEC 61511 indique clairement que lorsqu’une action manuelle déclenche une fonction de sécurité, chaque élément de soutien fait partie du périmètre de la SIF. Cela comprend les boutons-poussoirs, le câblage, les solveurs logiques, les procédures opératoires et les exigences de formation.
Prenons le cas d’une augmentation de la pression dans un réacteur détectée avant que le seuil de déclenchement automatique ne soit atteint. Un opérateur peut reconnaître une fuite anormale et activer manuellement l’arrêt avant toute aggravation.
Dans cette situation, l’opérateur ne crée pas le danger. L’action réduit activement le risque et fait donc partie de la conception de la fonction de sécurité.
Figure 3. La capacité d’arrêt manuel fonctionne fréquemment comme un élément de la fonction instrumentée de sécurité globale.
Les installations utilisant des contrôleurs de sécurité intégrés tels que les systèmes de sécurité Triconex mettent souvent en œuvre des circuits d’arrêt dédiés câblés en dur afin de réduire la dépendance aux couches standard de contrôle des procédés.
Relier les actions humaines aux calculs LOPA
L’analyse LOPA convertit les scénarios opérationnels en relations de risque numériques. Les fréquences des erreurs humaines, les performances des IPL et les fréquences cibles des événements déterminent collectivement le niveau d’intégrité requis de la SIF.
Dans les projets pratiques, les erreurs des opérateurs déterminent souvent la fréquence à laquelle une demande de protection survient. Les systèmes de sécurité fournissent alors la réduction des risques nécessaire pour atteindre des fréquences d’événements tolérables acceptables.
Figure 4. Les actions humaines influencent les fréquences de sollicitation initiales et les niveaux d’intégrité requis des SIF.
La réalité de l’ingénierie dans les installations en exploitation
Les études de sécurité en conditions réelles échouent rarement à cause des seules mathématiques. Elles échouent lorsque les hypothèses concernant les performances des opérateurs deviennent irréalistes.
Les ingénieurs surestiment parfois la qualité de la réponse aux alarmes sans tenir compte de la charge de travail, des événements simultanés ou des retards de communication lors de perturbations. Une IPL théoriquement valide peut devenir opérationnellement inefficace si l’environnement de la salle de contrôle est saturé.
Cette question est devenue plus visible à mesure que les usines cherchent à augmenter les cadences de production avec des modèles d’effectifs allégés.
La sécurité fonctionnelle est de plus en plus centrée sur l’humain
La prochaine phase du développement de la sécurité fonctionnelle se concentrera fortement sur l’interaction homme-machine plutôt que sur le matériel seul. La rationalisation des alarmes, la conception ergonomique des IHM et l’aide à la décision des opérateurs influencent désormais les performances de sécurité autant que les capteurs et les solveurs logiques.
Les architectures SIS modernes intègrent déjà des diagnostics prédictifs, le contrôle de la mise en veille des alarmes et des systèmes de guidage des opérateurs. Toutefois, les opérateurs expérimentés continuent d’apporter un jugement que l’automatisation ne peut pas entièrement reproduire dans des conditions de procédé incertaines.
La tendance du secteur est claire : l’automatisation gère la rapidité et la cohérence, tandis que les opérateurs apportent un raisonnement adaptatif lors d’événements anormaux.
Point de vue de l’auteur
De nombreuses études SIL sous-estiment encore la complexité du comportement humain dans des conditions d’exploitation anormales. Des hypothèses optimistes concernant le temps de réponse des opérateurs peuvent réduire le coût initial d’un projet, mais elles introduisent un risque opérationnel latent.
Les installations visant une fiabilité accrue devraient réserver l’intervention manuelle aux scénarios nécessitant une réponse longue et aux opérations à faible demande. Les procédés à conséquences graves exigent une action de protection automatique soutenue par des procédures opératoires rigoureuses, et non dépendante de celles-ci.
Les stratégies de sécurité les plus efficaces combinent l’automatisation, une philosophie d’exploitation claire, une gestion réaliste des alarmes et le développement continu des compétences des opérateurs.
Oliver Grant | Analyste principal en sécurité fonctionnelle
Oliver Grant possède plus de 14 ans d’expérience en ingénierie de la sécurité des procédés, en vérification SIL et en intégration de systèmes d’arrêt. Son parcours comprend des projets liés au cycle de vie de la sécurité utilisant les plateformes Honeywell, Yokogawa, Emerson DeltaV, HIMA et Rockwell Automation dans des installations de raffinage, de GNL et de production d’électricité.