Les bases de la sécurité des vannes : votre vanne doit-elle rester ouverte ou fermée en cas de défaillance ?

Introduction

L'entropie est la seule certitude dans la complexité de la conception des processus industriels. Les systèmes subissent inévitablement des interruptions, que ce soit dans le cas d'une coupure de courant les coupures de courant, les pannes d'air comprimé ou les pertes de signal. Lorsque l'énergie qui contrôle un système s'épuise, les machines ne cessent pas simplement de fonctionner ; elles basculent dans un état par défaut. La question la plus importante pour l'ingénieur de procédés n'est pas de savoir si une défaillance va se produire, mais ce qui se passera lorsqu'elle se produira.

C'est là que réside la logique du « Fail-Safe ». Il s'agit d'un processus décisionnel rationnel qui vise à choisir la solution la moins mauvaise en cas de catastrophe. La vanne automatisée, qui constitue le principal composant de contrôle en dynamique des fluides, fait office de frein de secours du système. Lorsque ce frein est enclenché, arrête-t-il le débit pour éviter un déversement, ou évacue-t-il le débit pour éviter une explosion ?

Il n'existe pas de réponse universelle. Le choix entre « Fail Open » (FO) et « Fail Closed » (FC) relève d'un exercice de gestion des risques de grande envergure qui vise à trouver un équilibre entre la sécurité des personnes, la protection des biens et l'efficacité économique. Le présent document analyse en détail les mécanismes, la justification et les critères de sélection essentiels relatifs aux modes de défaillance des vannes.

Quelles sont les causes de défaillance d'une valve ?

Pour mieux comprendre les modes de défaillance, il faut classer les défaillances. Dans le cas des vannes automatisées, c'est-à-dire équipées d'actionneurs pneumatiques ou électriques, une défaillance ne se traduit pas toujours par la rupture d'une pièce, comme une tige cassée ou un corps de vanne brisé. Elle correspond plutôt à la perte de la force nécessaire pour maintenir la vanne dans sa position de fonctionnement.

Les principales causes de cette perte de contrôle sont les suivantes :

• Coupure d'électricité : L'alimentation des électrovannes ou des actionneurs électriques est coupée, et le moteur ou la bobine magnétique est à l'arrêt.
• Perte de pression d'air : Dans le cas des systèmes pneumatiques, un dysfonctionnement du compresseur, une conduite d'alimentation pliée ou une conduite d'air rompue supprime la force qui maintient la vanne dans sa position non native.
• Signal Interruption: Une coupure de câble au niveau de l'automate programmable ou un dysfonctionnement de la boucle de régulation prive l'actionneur de commandes, même si l'alimentation électrique est toujours présente.

Une fois ces sources d'énergie épuisées, la vanne cesse d'être commandée activement. C'est précisément à ce moment de perte d'énergie que la vanne doit prendre une décision de manière autonome : doit-elle revenir en position ouverte ou se fermer brusquement ? Cette réaction autonome est prédéterminée par le choix de la configuration “ Fail-Safe ” (sécurité intégrée) lors de la phase de conception.

Qu'est-ce qu'une vanne à ouverture par défaut (fermeture par air) ?

Une vanne « Fail Open » (FO), également appelée techniquement « Air-to-Close » (ATC), se caractérise par son état mécanique par défaut : elle est entièrement ouverte lorsqu’aucune alimentation externe n’est appliquée. La caractéristique structurelle à l’origine de ce fonctionnement est un ressort interne très résistant, placé de manière à pousser physiquement la tige de la vanne vers l’extérieur. Le système doit pouvoir fournir de l'air comprimé (ou de l'électricité) à la chambre de l'actionneur pour fermer la vanne. Cette énergie s'oppose à la tension du ressort et le comprime afin de maintenir la vanne en position fermée. Ainsi, lorsque l'alimentation en énergie est interrompue, que ce soit en raison d'une panne de courant ou d'une avarie de l'avion, la force antagoniste disparaît, le ressort se détend immédiatement et la vanne revient à son état initial, c'est-à-dire ouvert.

Le rôle principal d'une vanne à ouverture par défaillance est de servir de système de décharge de pression ou de garantie de refroidissement. Elle est largement utilisée dans les systèmes thermodynamiques où l'accumulation de chaleur ou de pression représente un danger plus grave que le débit lui-même. À titre d'exemple, dans la chemise de refroidissement d'un réacteur chimique, la vanne garantit la circulation continue de l'eau même en cas de coupure totale d'électricité de l'usine, afin d'éviter la surchauffe du réacteur. De même, dans les conduites de vapeur, ces vannes sont utilisées pour évacuer l'excès de pression vers un endroit sûr, afin d'empêcher la rupture des tuyaux en cas de défaillance des systèmes de contrôle.

L'avantage unique de cette conception réside dans la sécurité passive qu'elle offre contre les défaillances physiques catastrophiques, telles que les explosions ou les emballements thermiques. Elle met l'accent sur l'intégrité de l'équipement et de l'installation. Néanmoins, cette sécurité présente un inconvénient majeur, à savoir l'absence de confinement. Si le fluide circulant dans la vanne est coûteux, toxique ou inflammable, une vanne à ouverture par défaut le déversera dans le processus en aval ou dans l’environnement jusqu’à ce qu’un opérateur ferme physiquement une vanne d’isolement manuelle. Cela peut entraîner un gaspillage de matière ou des frais de dépollution.

Qu'est-ce qu'une vanne à fermeture par défaut (ouverture pneumatique) ?

En revanche, une vanne de type « Fail Closed » (FC), également appelée « Air-to-Open » (ATO), fonctionne selon le principe inverse, son état par défaut étant celui d’une fermeture totale. Dans ce type de structure, le ressort interne est conçu de manière à exercer une force constante sur le siège de la vanne et à la maintenir fermée. La désignation « Air-to-Open » s'applique littéralement à la conception : l'air comprimé n'est nécessaire que pour forcer la vanne à s'ouvrir contre la force du ressort. Lorsque l'alimentation en air est coupée, l'énergie qui maintient la vanne ouverte est perdue et l'énergie mécanique stockée dans le ressort provoque le retour de la vanne en position fermée, assurant ainsi une étanchéité instantanée.

Le confinement est l’objectif fondamental d’une vanne à fermeture forcée. Elle est conçue pour isoler les sources de danger en cas de perte de contrôle. Il s’agit donc d’une spécification standard pour la gestion des matières dangereuses, des alimentations en combustible et des flux de produits chimiques toxiques. Une vanne FC intégrée à un système de gestion de brûleur, par exemple, garantit que l'alimentation en combustible est immédiatement coupée en cas de défaillance du régulateur de flamme, afin que le gaz brut ne vienne pas remplir le four. Dans les circuits de dosage chimique, elle empêche le débordement d'un réservoir par des réactifs dangereux lorsque la pompe est arrêtée.

Le principal avantage de la conception « à fermeture en cas de défaillance » réside dans l’isolation immédiate du circuit, ce qui réduit les risques de déversements, de fuites toxiques et d’incendie. Il s’agit d’un bon moyen de sécuriser la ligne de production. L’inconvénient, cependant, est qu’elle peut entraîner des risques thermiques ou liés à la pression. Une vanne de type « Fail Closed » peut être installée au mauvais endroit, par exemple sur une conduite d'eau de refroidissement, et risquer de couper la seule source de refroidissement en cas d'urgence, ce qui peut entraîner une surchauffe des équipements ou une accumulation de pression dangereuse dans un récipient.

Les principes mécaniques : comment les actionneurs déclenchent les mesures de sécurité intégrée

Pour comprendre comment une vanne assure automatiquement la sécurité, il suffit de connaître le principe de l'énergie potentielle stockée. L'actionneur à rappel par ressort (à simple effet) est la référence dans ce type de systèmes.

Un actionneur à sécurité intégrée est équipé d'une série de ressorts industriels très résistants, contrairement aux actionneurs standard qui nécessitent de l'air pour fonctionner dans les deux sens. Il s'agit d'une lutte physique incessante entre deux forces : l'air comprimé et le ressort.

• Fonctionnement normal (armement du dispositif de sécurité) : De l'air comprimé est injecté dans l'actionneur lorsque le système est en fonctionnement. Il s'agit d'une pression d'air élevée, suffisante pour actionner les pistons internes et comprimer physiquement les ressorts contre la paroi. Les ressorts resteront comprimés tant que la pression d'air sera maintenue et que la vanne restera dans sa position de fonctionnement (par exemple, entièrement ouverte).
• Mesure de sécurité (déblocage du dispositif de sécurité) : Lorsque l'alimentation en air est coupée (en raison d'une coupure de courant ou d'une rupture de conduite), la force qui retient les ressorts est supprimée. Les ressorts se déploient alors immédiatement pour retrouver leur taille normale. Cette extension libère une énergie mécanique considérable, qui repousse les pistons vers leur position initiale et ferme la vanne en position de sécurité (fermée ou ouverte).

Pourquoi ce système est-il fiable ? Parce qu'il ne repose ni sur des capteurs, ni sur l'électricité, ni sur une intervention humaine. Il repose sur les lois fondamentales de la physique. Le ressort cherchera toujours à se déployer tant qu'il sera en place, ce qui signifie que la vanne se mettra toujours en position de sécurité par défaut.

Quand « Fail Last » (FL) est en réalité le meilleur choix

Outre le choix binaire “ ouvert ” ou « fermé », il existe une troisième option stratégique : le mode « Fail Last » (FL), communément appelé « Fail in Place ». Ce dispositif ordonne à la vanne de rester exactement dans la position qu’elle occupait au moment de la coupure d’alimentation électrique ou d’air, au lieu d’utiliser l’énergie stockée pour la faire basculer vers une nouvelle position. Cela s’effectue mécaniquement en associant un actionneur à double effet à une vanne à verrouillage pneumatique spéciale. Dès que ce dispositif détecte une baisse de la pression d’alimentation, il ferme immédiatement les orifices d’échappement, emprisonnant ainsi l’air comprimé restant dans le cylindre de l’actionneur afin de bloquer hydrauliquement le piston en position. Ce mode vise à résoudre le problème des chocs dans le système. Dans les conduites de liquide de grand diamètre (généralement supérieures à 20 pouces), le claquement brusque d’une vanne à rappel par ressort provoquerait un violent « coup de bélier » susceptible de littéralement déchirer les tuyaux. De même, dans le cadre de mélanges chimiques sensibles, une ouverture ou une fermeture totale pourrait perturber l’équilibre thermique ou altérer le rapport stœchiométrique d’un lot.

Le rôle principal du mode « Fail Last » est donc de privilégier la stabilité plutôt que l’isolation. Il maintient le débit constant, évitant ainsi des dommages physiques immédiats aux infrastructures et un choc thermique au niveau du procédé. Cette stabilité laisse aux opérateurs le temps d’intervenir et de procéder à un arrêt manuel contrôlé afin d’assouplir la transition en cas d’urgence. Néanmoins, les ingénieurs doivent être pleinement conscients de l’inconvénient de ce mode : il ne s’agit pas d’une solution à long terme, mais d’une solution temporaire. Le joint à air emprisonné n’est pas parfait par rapport à un ressort mécanique : après quelques heures, l’air s’échappera et la vanne ne restera pas dans la position définie. Il s’agit donc d’un outil nécessitant une intervention humaine, et non d’une mesure de sécurité autonome à long terme.

Dépannage et risques potentiels

Même le système de sécurité le plus performant n'est pas aussi fiable que son entretien. Comme ces vannes restent généralement inactives pendant des mois, dans l'attente d'une urgence qui, espérons-le, ne se produira jamais, elles sont sujettes à certaines défaillances silencieuses. Il est important de connaître ces points faibles afin que le système puisse réagir au moment où on en a le plus besoin.

• Frottement statique (“ stiction ”) : L'adhérence est le pire ennemi des soupapes de sécurité. Les joints en caoutchouc peuvent se coller physiquement au corps métallique lorsqu'une soupape reste en position statique pendant de longues périodes. Lorsque ce frottement s'accumule au point de dépasser la force du ressort, la soupape restera bloquée en cas d'urgence et ne permettra pas d'isoler le danger. La meilleure protection consiste à effectuer régulièrement un test de course partielle, qui fait bouger légèrement la soupape afin de relâcher cette adhérence par frottement sans interférer avec le processus en cours.
• Fatigue printanière : Les composants mécaniques s'usent avec le temps, ce qui entraîne une fatigue du ressort. Après plusieurs années de cycles de compression, un ressort peut perdre la tension nécessaire pour fermer complètement la vanne face à une pression de conduite élevée. Cela présente un risque de fuite à la position fermée : la vanne semble fermée, mais laisse en réalité s'échapper un fluide dangereux. Pour éviter cela, les opérateurs doivent vérifier le couple de sortie de l'actionneur lors des révisions annuelles et remplacer toute cartouche de ressort présentant des signes de faiblesse.
• Obstruction du conduit d'évacuation : Enfin, un orifice d'évacuation obstrué peut empêcher le déclenchement d'une action de sécurité. Pour permettre au ressort de s'étirer et de fermer la vanne, l'air contenu dans la chambre doit être expulsé le plus rapidement possible. Lorsque l’évent est obstrué par de la glace (air humide), des saletés ou même des nids d’insectes, l’air est piégé et forme un blocage hydraulique qui empêche la vanne de bouger. Ce mode de défaillance est généralement négligé, mais en s’assurant que l’alimentation en air de l’instrument est propre et sèche et en installant de simples évents de purge sur les orifices d’échappement, ce mode de défaillance peut être efficacement éliminé.

Pourquoi la qualité de fabrication est-elle essentielle pour la logique à sécurité intégrée ?

Le choix technique consistant à spécifier un fonctionnement « à fermeture en cas de défaillance » n’est qu’un choix théorique tant qu’il n’a pas été testé concrètement dans la réalité. Un actionneur à bas prix peut afficher sur sa fiche technique les mêmes valeurs de couple et les mêmes indices de sécurité qu’un modèle haut de gamme, mais il s’agit là d’une illusion qui disparaît dès qu’il est soumis à des contraintes. Dans le contexte de la logique de sécurité intégrée, la qualité de fabrication n’est pas un luxe ; c’est le fondement structurel qui détermine si une mesure de sécurité est réellement efficace ou si elle n’est qu’un simple bout de papier.

Le véritable danger d’une fabrication de mauvaise qualité réside dans le fait qu’elle donne une fausse impression de sécurité. Il faut tenir compte de la métallurgie du ressort, qui est le moteur du mécanisme de sécurité. Les ressorts de mauvaise qualité souffrent d’un problème de relaxation des contraintes, phénomène physique par lequel l’acier « oublie » sa mémoire lorsqu’il reste en position comprimée pendant des années. Un ressort fatigué, lorsque la situation d’urgence survient, peut être suffisamment solide pour actionner la vanne, mais pas assez pour la fermer face à la pression élevée de la conduite. De plus, la seule protection contre les défaillances fantômes réside dans la précision de l’usinage interne. Lorsque les parois du cylindre sont rugueuses ou que les joints sont de qualité standard, l’air comprimé peut s’échapper autour du piston, exerçant une pression contre le ressort et affaiblissant la puissance de l’actionneur au moment où on en a le plus besoin.

Enfin, une vanne de sécurité est peu coûteuse par rapport à la catastrophe qu’elle permet d’éviter. Une fabrication de bonne qualité garantit également que le couple délivré par l’actionneur reste constant, que le ressort conserve sa mémoire et que le corps de vanne puisse résister aux contraintes environnementales sans se gripper. Pour transformer ces spécifications techniques en une réalité fiable, il est nécessaire de trouver un partenaire de fabrication qui accorde la priorité absolue à la sécurité, ce qui est au cœur de la philosophie d’ingénierie de VINCER.

Comment prendre une décision : le test de sécurité en trois étapes

Le choix du mode de défaillance approprié n’est pas une question de devinette, mais une évaluation des risques. Il est conseillé aux ingénieurs d’utiliser un test de sécurité hiérarchique en trois étapes pour aboutir à la spécification adéquate. Ce modèle rationnel classe les conséquences de la plus dévastatrice, à savoir la perte de vies humaines, à la moins importante, à savoir les désagréments économiques.

Lors de la définition d'une vanne, vous devez prendre en compte les trois niveaux de risque suivants, dans cet ordre. Ne passez pas à l'étape suivante tant que le niveau de risque correspondant n'est pas entièrement pris en compte.

Considération clé n° 1 : la sécurité (du personnel et de l'environnement)

La vie humaine et l'environnement constituent la priorité absolue dans tout système industriel. La logique qui sous-tend ce principe est simple : le matériel est remplaçable, mais pas les vies humaines. Ainsi, si un dysfonctionnement d'une vanne risque d'entraîner des blessures, un décès ou un rejet de substances toxiques, cet aspect lié à la sécurité prime dans la prise de décision, quel qu'en soit le coût.

Prenons l’exemple d’une vanne régulant le débit d’hydrogène, gaz hautement inflammable, ou de chlore, substance toxique. La logique technique impose que cette vanne soit de type « à fermeture par défaut ». Cette exigence s’explique par des raisons de confinement : en cas de coupure d’alimentation, les systèmes de surveillance seront très probablement hors service eux aussi, de sorte qu’une éventuelle fuite passerait inaperçue. On peut éliminer la source de danger en optant par défaut pour une position fermée. En revanche, dans le cas des systèmes d'extinction d'incendie, la vanne doit être de type « à ouverture en cas de défaillance ». La raison tient à l'accessibilité : si un incendie venait à endommager les câbles électriques, le système devrait basculer dans un état où l'eau s'écoule de manière mécanique, afin que le feu ne se propage pas simplement parce qu'un fil a fondu.

Point clé n° 2 : Protection des actifs (matériel)

Une fois la sécurité du personnel assurée, l'étape suivante concerne la sécurité des infrastructures coûteuses. Il s'agit de choisir l'emplacement qui permettra de limiter les dommages matériels subis par les machines en cas de coupure de courant.

L’exemple le plus courant est celui d’une conduite d’eau de refroidissement alimentant la chemise d’un réacteur chimique à haute température. Dans ce cas, la vanne doit être de type « à ouverture par défaut ». Ce choix s’explique par l’inertie thermique : malgré la coupure de l’alimentation électrique, le cœur du réacteur reste extrêmement chaud. Si la vanne venait à se fermer, la perte de fluide de refroidissement entraînerait une accumulation rapide de la chaleur résiduelle, ce qui ferait fondre le réacteur ou déformerait définitivement la cuve. Le système sacrifie l’eau en ne s’ouvrant pas afin de protéger cet équipement valant plusieurs millions de dollars contre une destruction thermique.

Élément clé n° 3 : Processus (continuité des matériaux)

Enfin, une fois que la sécurité du personnel et des équipements est assurée, l'accent est mis sur la rentabilité et la continuité des processus. L'objectif de cette étape est d'éviter le gaspillage de matières premières ou la détérioration d'un lot de produits.

Prenons l’exemple d’une vanne qui dose un catalyseur coûteux dans une cuve de mélange. La décision rationnelle dans ce cas est d’opter pour un fonctionnement « à fermeture en cas de défaillance ». Cette choix s’explique par des raisons économiques : si cette vanne ne venait pas à se fermer lors d’une coupure de courant, elle déverserait de manière incontrôlable la totalité du contenu de ces produits chimiques coûteux dans la cuve. Cela entraînerait non seulement un gaspillage de matière première onéreuse, mais détruirait également la composition chimique du lot, rendant le produit final invendable. Le système n’interrompra pas le processus, mais se mettra simplement en pause jusqu’à ce que les opérateurs relancent le lot sans perte financière, en rétablissant simplement l’alimentation électrique.

Résumé de la matrice de décision

FO vs FC : choix du mode « fail-safe » en fonction du support et de l'application

La logique de sécurité intégrée est souvent déterminée par les caractéristiques physiques du fluide. Une vanne régulant de l'eau inoffensive n'est pas soumise aux mêmes règles de sécurité qu'une vanne régulant de l'hydrogène explosif.

Vous trouverez ci-dessous un guide détaillé pour vous aider à choisir le mode le plus adapté. Nous avons classé les applications en fonction du type de support, puis les avons subdivisées en situations d'exploitation précises afin d'apporter une justification technique claire à chaque choix.

En fonction de la victime de la défaillance, la matrice de décision évolue comme l'indique le tableau :

• Dans le cas où l'équipement serait la victime (surchauffe/implosion) : Nous privilégions le mode « Fail Open » pour réduire la pression.
• Si la victime est l'environnement ou le personnel (déversement/fuite toxique) : Nous préférerions que le système soit conçu pour « se fermer en cas de défaillance » afin de limiter le risque.
• Remarque : Il s'agit là des normes généralement en vigueur dans le secteur. Une analyse HAZOP (analyse des risques et de l'exploitabilité) spécifique doit toujours être réalisée en cas de conditions de procédé particulières.

Garantir une fiabilité à sécurité intégrée grâce aux actionneurs et vannes VINCER

La philosophie d'ingénierie de VINCER repose sur la transformation de ces exigences techniques en une réalité fiable. Nous savons qu’une vanne est avant tout un dispositif de sécurité et, dans les situations de sécurité intégrée, un dispositif de régulation du débit. C’est pourquoi nos actionneurs sont équipés de joints importés de haute qualité, spécialement conçus pour offrir une grande résistance à l’usure et aux températures élevées. En privilégiant des matériaux d’étanchéité de haute qualité, nous éliminons les risques de frottement statique et de fuites internes qui affectent fréquemment les alternatives de moindre qualité.

VINCER utilise un protocole rigoureux appelé « Double Check » pour garantir cette durabilité. Nous allons au-delà des contrôles d’échantillonnage habituels en usine et effectuons des essais destructifs sur les actionneurs afin de tester leur durée de vie mécanique, ainsi que des contrôles d’étanchéité à 100 % sur tous les corps de vanne. Cela garantit qu’une commande « Fail Closed » (fermeture en cas de défaillance) produira une étanchéité éprouvée, sans la moindre fuite, plutôt qu’un actionneur bloqué. Cette rigueur technique s’appuie sur des certifications essentielles telles que les normes ISO 9001, CE et SIL (Safety Integrity Level). De plus, notre service d’ingénierie, fort de plus de 10 ans d’expérience, utilise une méthode exclusive d’analyse en 8 dimensions. Nous examinons des variables telles que la viscosité du fluide, les pertes de charge, etc., afin de nous assurer que votre choix entre un mode « Fail Open » (ouverture en cas de défaillance) ou « Fail Closed » (fermeture en cas de défaillance) ne repose pas sur une simple supposition, mais sur une certitude technique.

Impact de la consommation d'énergie et des coûts sur le choix d'un système à sécurité intégrée

Les aspects économiques et l'efficacité opérationnelle constituent un facteur clé dans le choix des caractéristiques techniques d'une vanne. Bien que la sécurité soit la principale raison de choisir entre un mode « ouverture en cas de défaillance » ou « fermeture en cas de défaillance », les ingénieurs doivent également tenir compte de l'impact considérable que ce choix aura sur la consommation d'énergie, l'espace d'installation et le budget du projet.

• Impact opérationnel (énergie et taille) : Lorsque vous optez pour un actionneur à sécurité intégrée (retour par ressort), vous imposez une contrainte physique à votre système pneumatique. Contrairement à un actionneur standard, un actionneur à retour par ressort doit générer une force suffisante pour vaincre la résistance du ressort de sécurité lors de l’actionnement de la vanne. Pour ce faire, le cylindre de l’actionneur doit être physiquement plus grand, généralement de 30% à 50% plus grand qu’un actionneur sans sécurité intégrée. Cela entraîne une consommation d'air nettement plus importante par cycle, une consommation électrique plus élevée pour les compresseurs de l'installation, et oblige les ingénieurs à prévoir un encombrement physique plus important dans les réseaux de tuyauterie denses.
• Réalité financière (assurance vs prix) : La sécurité est directement récompensée. En raison de leurs dimensions plus importantes et de la complexité de leurs cartouches à ressort, les actionneurs à retour par ressort coûtent généralement entre 20 et 40% de plus que les modèles standard. Néanmoins, ce coût doit être considéré comme une prime d’assurance, et non comme une dépense. Le coût de l’actionneur doit être comparé au coût d’une défaillance. Économiser quelques centaines de dollars en optant pour un actionneur moins cher n’est pas un bon investissement lorsqu’une seule panne d’alimentation peut entraîner la perte d’un lot de produits chimiques d’une valeur de $50 000 ou provoquer un déversement dangereux. Ainsi, la précision dans le dimensionnement est essentielle à la fiabilité, sans pour autant surdimensionner excessivement l’unité et gaspiller le budget.

Comment vérifier l'emplacement de la défaillance

La vérification de la position réelle de défaillance est un contrôle de sécurité essentiel. Vous ne pouvez pas vous permettre de faire des suppositions et vous devez vous assurer que le matériel est bien compatible avec la logique de sécurité requise par le processus. Voici la procédure à suivre pour tester le système à l'aide de trois contrôles progressifs.

Explication des symboles utilisés dans les schémas P&ID

Au cours de la phase de conception, la logique de sécurité est définie sur le schéma de tuyauterie et d'instrumentation (P&ID). Les indicateurs courants figurant sur la ligne de la tige de vanne sont les suivants : bien que les légendes varient en fonction du projet, les plus courantes sont :

• FC (Fail Closed) : Une flèche indiquant le corps de la vanne, ou portant simplement la mention « FC ».
• FO (ouverture en cas de défaillance) : Une flèche orientée vers l'extérieur du corps de la vanne, ou portant la mention « FO ».
• FL (Fail Last) : Deux lignes parallèles coupant la tige (symbolisant un cadenas), ou portant la mention « FL ».

Comment distinguer visuellement un FO d'un FC ?

Lorsque vous êtes sur le terrain et que vous ne disposez pas des plans, vous pouvez déterminer le fonctionnement en examinant les accessoires et l'étiquette de l'actionneur.

• Plaque signalétique : C'est le signe le plus sûr. Recherchez le code “ Action ”. SR-CW (retour par ressort dans le sens horaire) signifie généralement que le ressort ferme la vanne (fermeture de sécurité). SR-CCW (sens antihoraire), en revanche, indique généralement que le ressort ouvre la vanne (ouverture de sécurité).
• Vérification du solénoïde : Vérifiez la vanne pilote de l'actionneur. S'il s'agit d'un solénoïde à 3/2 voies (il n'y a qu'une seule conduite d'air vers l'actionneur), il s'agit d'un dispositif à sécurité intégrée. S'il s'agit d'un solénoïde à 5/2 voies, il est probablement à double effet (sans sécurité intégrée).
• Vérifiez le reniflard : Si la plaque signalétique est illisible, examinez les orifices d'air. Un actionneur à sécurité intégrée (Fail-Safe) est généralement équipé d'une conduite d'air raccordée à un seul orifice, l'autre orifice étant muni d'un évent ou d'un silencieux (un petit filtre en plastique ou en bronze) permettant à la chambre à ressort de respirer. Si vous constatez que des conduites d'air sont raccordées aux deux orifices, il s'agit probablement d'un actionneur standard à double effet.

Le test “ Air Cut ” : quand l'inspection visuelle ne suffit pas

La physique ne ment pas, mais les étiquettes peuvent comporter des erreurs d'impression. La simulation fonctionnelle est la seule méthode permettant de déterminer avec certitude la position de défaillance.

• La procédure : Placez la vanne dans sa position normale de fonctionnement (par exemple, « Ouverte »). Ensuite, débranchez physiquement le tuyau d'alimentation en air ou fermez la vanne d'isolement. Ne vous contentez pas de couper le signal électrique, car cela ne sert qu'à tester l'électroaimant.
• Le résultat : Lorsque la vanne se ferme instantanément, on parle de « Fail Closed ». Lorsqu’elle s’ouvre accidentellement, on parle de « Fail Open ». Lorsqu’elle reste immobile et que l’on n’entend pas d’air s’échapper, il s’agit soit d’un modèle « Fail Last », soit d’un modèle standard non sécurisé.
• Consignes de sécurité : Ne laissez pas vos mains ni vos outils dans le mécanisme de la vanne pendant cet essai. Les actionneurs à retour par ressort développent instantanément un couple très élevé en cas de perte de pression.

Conclusion

Le choix entre une vanne à ouverture par défaut ou à fermeture par défaut est une sentinelle silencieuse au cœur des processus industriels. C’est un choix qui se fait dans un bureau tranquille, mais qui peut un jour décider du sort d’une situation d’urgence chaotique dans une usine. Aucune option n’est meilleure que l’autre ; il s’agit simplement de choisir celle qui correspond le mieux aux caractéristiques physiques et aux risques spécifiques du système considéré. Qu'il s'agisse d'un réacteur surchauffé équipé d'une vanne de refroidissement à ouverture en cas de défaillance ou d'une conduite de gaz toxique dotée d'une vanne d'isolement à fermeture en cas de défaillance, le raisonnement doit être solide et l'équipement fiable. L'objectif final est de garantir que, en cas de coupure de courant et d'extinction des lumières, le système se défaillise de la seule manière qui compte : en toute sécurité.

Foire aux questions

Q : Quelle est la différence entre « fail open » et « fail shut » ?

R : Les vannes à ouverture par défaut s'ouvrent automatiquement pour permettre le débit en cas de coupure d'alimentation, tandis que les vannes à fermeture par défaut se ferment automatiquement pour empêcher le débit.

Q : Le « fail open » concerne-t-il le trafic ?

R : Oui. En cas de défaillance, une vanne à ouverture par défaut se place en position d'ouverture totale, ce qui permet au flux (débit) de gaz ou de fluide de circuler sans restriction.

Q : Comment transformer une vanne à ouverture par défaut en vanne à fermeture par défaut ?

R : Il est généralement nécessaire de démonter l'actionneur et d'inverser l'orientation du ressort et du piston internes. Il est important de noter que tous les modèles d'actionneurs ne sont pas réversibles.

Q : Les clapets anti-retour sont-ils ouverts ou fermés ?

R : Les clapets anti-retour ne disposent pas de mode de sécurité intégré. S'agissant de dispositifs passifs, ils peuvent présenter des défaillances mécaniques : ils peuvent rester bloqués en position ouverte (à cause de débris) ou en position fermée (à cause de la corrosion).