Questions fréquemment posées

SIL, ou Safety Integrity Level, est une mesure utilisée pour quantifier la fiabilité d’une fonction instrumentée de sécurité (SIF). En d’autres termes, le SIL est un calcul de la probabilité qu’un système de sécurité accomplisse la tâche prévue, comme l’arrêt du processus d’électrolyse, lorsqu’un événement dangereux se produit. SIL est directement lié à la réduction des risques. Par exemple, SIL2 correspond à un facteur de réduction de risque compris entre 100 et 1000 de la probabilité qu’un événement ne soit pas évité.

Le SIL est établi en suivant les exigences du IEC 61508 standard Functional Safety of Electrical/Electronic/Programmable Electronic Safety-related Systems. Cette norme dicte le cycle de vie complet du développement des fonctions instrumentées de sécurité ainsi que la manière dont le matériel et les logiciels doivent être conçus et qualifiés.

Un système de surveillance de tension basé sur un API fournira une indication grossière des tensions des cellules pour une surveillance en temps réel. Les lectures ne sont généralement pas filtrées, ce qui entraîne divers pics et bruits élevés. La précision est généralement de l’ordre de ±0,025 VCC à ±0,1 VCC. Les lectures ne sont pas suffisamment stables pour permettre l’utilisation de limites de sécurité pour arrêter automatiquement la source d’alimentation de l’électrolyseur en cas de situations dangereuses. Il s’agit, pour résumer, de « juste un système de surveillance ».

EMOS® SIL2 Safety System, quant à lui, est le système de surveillance de la tension des cellules le plus avancé disponible sur le marché. Les différentes unités électroniques ont été conçues expressément pour le fonctionnement de l’électrolyseur à membrane bipolaire. La précision est stable à ±0,0015 V sur toute la plage de température. Cette précision et cette stabilité permettent de remplir 2 fonctions très importantes :

1. Caractérisation précise de chacun des éléments individuels.
2. Utilisation de limites de sécurité strictes avec arrêt automatique en cas de danger sans faux déclenchements.

Un système de surveillance de tension EDI (ou BVMS) fournit le niveau minimum de protection uniquement lorsque l’électrolyseur est à pleine charge stable. La protection n’est pas disponible lors des changements de charge, là où les problèmes sont les plus susceptibles de se produire. Pour plus d’informations voir “SIL2 Safety System vs. Deviation Voltage Monitoring System”.

EMOS® SIL2 Safety System est basé sur la mesure de la tension de chaque cellule. Si l’une des tensions des cellules individuelles se comporte de manière dangereuse, l’alimentation électrique de l’électrolyseur est automatiquement arrêtée pour éviter un accident. Les niveaux de déclenchement sont calculés en temps réel pour fournir le bon niveau de protection à tout moment du fonctionnement.

EMOS® SIL2 Safety System offre un niveau de protection adéquat à tout point de fonctionnement ; contrairement à EDI ou BVMS. Pour plus d’informations, voir “SIL2 Safety System vs. Deviation Voltage Monitoring System”.

Des événements dangereux peuvent survenir à n’importe quelle charge. Avec une limite fixe, la protection ne peut être optimale que lorsque l’électrolyseur fonctionne à pleine charge.

Lorsque vous travaillez à des charges inférieures, les événements peuvent entraîner des variations de tension qui n’atteignent jamais les limites de déclenchement fixées. Dans ces cas, des dommages irréversibles aux composants peuvent survenir. En utilisant des limites de déclenchement qui s’adaptent aux conditions de fonctionnement de l’électrolyseur, le processus est toujours maintenu dans une plage de fonctionnement sûre.

Lorsque R2 a conçu EMOS® SIL2 Safety System, la première étape consistait à dresser une liste de tout ce qui pouvait mal se passer dans un électrolyseur ; nous avons ensuite examiné les statistiques et défini la fréquence à laquelle chacun de ces événements est susceptible de se produire. Ensuite, nous avons conçu un système capable de protéger l’électrolyseur contre les conséquences de tels événements. En d’autres termes, certaines situations, comme un court-circuit entre 2 cellules ou une déchirure de la membrane pendant le fonctionnement, pourraient faire baisser la tension des cellules au lieu de l’augmenter. Ces situations pourraient entraîner de graves incendies et/ou explosions. C’est pourquoi la limite de déclenchement LOLO est requise.

EMOS® SIL2 Safety System a été développé expressément pour la surveillance des électrolyseurs. Il a été conçu à partir de l’expérience acquise en surveillant plus de 70 000 cellules d’électrolyse. Ce n’est que grâce à cette expertise qu’un système peut être conçu et construit pour assurer une sécurité fiable sans générer de faux déclenchements.

Par exemple, des corrélations de mesures sont réalisées en temps réel dans le MODA pour détecter la rupture d’un fil de mesure de tension de cellule afin d’avertir d’un problème de câblage au lieu de générer un faux déclenchement.

Le SFOCOM, le solveur logique situé dans le SILCAM, est chargé de collecter les valeurs de tension du MODA et de calculer si elles se situent dans la plage de fonctionnement sûre de l’électrolyseur. Si une ou plusieurs de ces tensions mesurées se trouvent en dehors de la plage de fonctionnement sûre, le SFOCOM ouvrira un contact sec, indiquant au système d’arrêt d’urgence de l’usine que le processus doit être arrêté.

EMOS® SIL2 Safety System est OPC compatible.

Il peut donc échanger des informations avec d’autres systèmes également compatibles OPC comme un DCS.

OPC est un protocole de communication standard de l’industrie qui permet aux systèmes conçus par différents fabricants de communiquer via une interface commune.

La précision du MODA est de ±1,5 mV ; cela est vrai pour la plage de températures de fonctionnement trouvée dans les salles cellulaires du monde entier. Cette précision est essentielle lors de la prise de mesures qui serviront ensuite à caractériser les performances et le vieillissement des composants : base pour établir des stratégies de maintenance basées sur les performances.

La vitesse d’acquisition, la fréquence de balayage, la fréquence d’échantillonnage, etc. peuvent signifier différentes choses selon les applications. EMOS® SIL2 Safety System est composé de plusieurs éléments de base et chacun fonctionne à une vitesse optimisée pour la tâche qu’il doit accomplir. L’organigramme suivant montre comment la vitesse se traduit du module d’acquisition de données à l’interface homme-machine.

Dans le cadre du processus de conception et de qualification SIL2, une analyse complète des modes de défaillance et de leurs effets (FMEA) a été réalisée sur le système afin d’atteindre la fiabilité la plus élevée possible. La conception résultante a ensuite été validée à l’aide de méthodes de tests environnementaux rigoureuses.

L’architecture de dernière génération de R2 est en service depuis 2007 avec des milliers d’unités déployées dans le monde entier dans divers environnements industriels difficiles. Des millions d’heures d’expérience opérationnelle ont été accumulées et son analyse montre que les taux de défaillance sont extrêmement faibles, même par rapport à ce qui était attendu des calculs.

Toutes les unités sont soumises à un contrôle de qualité strict et sont systématiquement soumises à des cycles thermiques pour garantir un assemblage de la plus haute qualité.

EMOS® Pinhole Detector est une extension du EMOS® SIL2 Safety System qui détecte et classe les trous minces dans la membrane cellulaire en fonction de leur gravité : légère, moyenne et importante. La détection des trous minces est automatiquement effectuée pendant les périodes de démarrage et d’arrêt en utilisant le comportement de tension d’une seule cellule et une estimation de l’efficacité du courant de chaque cellule. Un algorithme unique et breveté est utilisé pour quantifier la rétromigration de la soude caustique du compartiment cathodique vers le compartiment anodique de la cellule. Le niveau de gravité des trous minces est calculé à l’aide d’une table de conversion configurable.

Les limites de déclenchement s’ajustent automatiquement en fonction de la charge de fonctionnement de l’électrolyseur. Ces limites tiennent compte des limites thermiques dans lesquelles les composants de la cellule peuvent fonctionner en toute sécurité sans subir de dommages irréversibles. Ajuster les limites individuellement n’apporterait pas beaucoup d’avantages, si ce n’est de retarder légèrement la maintenance, car cela ne pourrait être utilisé que pour réduire la limite en dessous de ce qui est déjà sûr ou pour la rapprocher de la zone d’exploitation dangereuse. De plus, il y aurait entre 100 et 200 niveaux à gérer par électrolyseur. Cela ne s’avérerait pas pratique et pourrait potentiellement introduire des erreurs compromettant la sécurité.