L’indépendance réelle des voies
Deux transmetteurs sur le même piquage, la même alimentation, la même carte d’entrée : la redondance est sur le plan, pas dans l’installation. C’est ce que mesure β, et c’est lui qui décide du résultat.
Architectures · IEC 61508-6
1oo2 ou 2oo3 : le choix ne se joue presque jamais sur la sécurité
C’est la question qui revient à chaque revue de conception, et elle est presque toujours mal posée. Sur la probabilité de défaillance, les deux architectures se valent. Ce qui les sépare se compte en arrêts de production.
01 — Le calcul
Deux architectures, un écart de 1 %
Prenons deux transmetteurs de pression identiques, données génériques courantes, essai périodique annuel, facteur de cause commune de 5 %. Le calcul complet est détaillé sur la page Calcul du SIL ; voici le résultat.
La différence entre 1oo2 et 2oo3 tient dans un coefficient : 2 dans un cas, 6 dans l’autre, appliqué au terme de défaillance indépendante. Mais ce terme ne pèse presque rien. Le terme de cause commune, lui, est rigoureusement identique dans les deux équations — il ne dépend d’aucune redondance.
Résultat : 8,9 × 10⁻⁶ contre 9,0 × 10⁻⁶. Moins de 1 % d’écart. Les deux architectures atteignent le même SIL, et le troisième canal n’achète aucune sécurité mesurable.
Même boucle, trois architectures
λSU = 120 · λDD = 340 · λDU = 40 FIT
T1 = 8 760 h · β = 5 % · βD = 2,5 %
1oo1 : PFD = 1,8 × 10⁻⁴
1oo2 : PFD = 8,9 × 10⁻⁶
2oo3 : PFD = 9,0 × 10⁻⁶
Passer de 1oo1 à 1oo2 divise la PFD par vingt. Passer de 1oo2 à 2oo3 ne la change pas. Le gain est dans le premier canal ajouté, pas dans le second.
02 — Le vrai critère
Ce qui sépare réellement les deux
Une architecture de sécurité arbitre entre deux risques opposés. Le premier : ne pas déclencher quand il le faudrait. Le second : déclencher quand il ne le faudrait pas.
En 1oo2, un seul canal suffit à provoquer la mise en sécurité. C’est excellent contre le premier risque, et exactement ce qui aggrave le second : une défaillance en sécurité de n’importe lequel des deux canaux arrête le procédé. Le taux de déclenchement intempestif double par rapport à un canal unique.
En 2oo3, il faut que deux canaux concordent. Un capteur peut partir en défaut sans arrêter quoi que ce soit — il est simplement écarté du vote. Le taux de déclenchement intempestif redescend au niveau d’un canal unique, voire en dessous.
C’est là, et seulement là, que se prend la décision. Pas sur le SIL.
| 1oo1 | 1oo2 | 2oo3 | |
|---|---|---|---|
| PFD relative | ×20 | référence | ≈ référence |
| Déclenchements intempestifs | référence | ×2 | nettement réduits |
| Canaux à acheter | 1 | 2 | 3 |
| Canaux à tester et maintenir | 1 | 2 | 3 |
| Tolérance aux anomalies | 0 | 1 | 1 |
| Maintenance en marche | impossible | possible | possible |
La tolérance aux anomalies est identique : 1oo2 et 2oo3 donnent tous deux HFT 1. Pour les contraintes architecturales de l’IEC 61508-2, les deux se valent donc également.
03 — La décision
Une seule question à se poser
Combien coûte un arrêt intempestif ?
Si un déclenchement injustifié coûte peu — procédé discontinu, redémarrage rapide, pas de produit perdu — le 1oo2 suffit. Le troisième canal serait payé pour rien.
Si un déclenchement injustifié coûte cher — colonne à remettre en régime, four à relancer, lot perdu, redémarrage de plusieurs heures — le 2oo3 se justifie. Il s’achète sur la disponibilité, pas sur la sécurité.
Le chiffre à mettre en face est le coût réel d’un arrêt, pas une intuition. Un redémarrage de vapocraqueur ne se compare pas à un arrêt de ligne de conditionnement, et la même architecture n’a pas le même sens dans les deux cas.
Les trois cas où la question ne se pose pas
- La cause commune domine déjà. Si elle représente plus de 90 % de la PFD — c’est fréquent — aucune architecture ne changera le résultat. Il faut agir sur β, pas sur le nombre de canaux.
- Le maillon faible est ailleurs. Dans la plupart des boucles, les éléments terminaux pèsent dix à cent fois plus que les capteurs. Tripler les capteurs d’une fonction dont la vanne porte 95 % de la PFD ne sert à rien.
- Le SIL cible est atteint en 1oo1. Cela arrive, notamment en SIL 1. Ajouter de la redondance sans nécessité crée de la maintenance, des essais, et des occasions d’erreur humaine.
L’erreur la plus coûteuse
Choisir 2oo3 « par sécurité » sans avoir calculé. C’est un canal supplémentaire à l’achat, au câblage, à la qualification, puis à tester et à maintenir pendant vingt ans — pour un gain de risque souvent inférieur à 1 %. Le calcul qui l’aurait évité prend une demi-journée.
04 — Au-delà du vote
Ce qui compte plus que l’architecture
La diversité technologique
Deux capteurs de technologies différentes ne partagent pas les mêmes modes de défaillance. C’est le seul moyen réellement efficace de faire descendre β, et il se justifie dans le dossier.
L’intervalle d’essai périodique
Sur une boucle dominée par les défaillances non détectées, diviser l’intervalle par deux divise la PFD par deux — sans acheter le moindre matériel. Souvent plus rentable qu’un canal supplémentaire.
La couverture de l’essai
Un essai qui ne teste pas la chaîne complète laisse une fraction de défaillances invisibles jusqu’en fin de vie. Une couverture de 90 % au lieu de 100 % change le résultat plus qu’un changement d’architecture.
Comparez les deux sur votre propre boucle.
SIL-01 calcule les cinq architectures sur les mêmes données. Changer le vote prend un clic.
Poursuivre
Les autres ressources techniques
RessourceCalcul du SILPFDavg, architectures, contraintes de l’IEC 61508-2 et un exemple mené jusqu’au bout.RessourceCe que vérifie l’inspectionLa chaîne remontée par l’inspecteur, et les six écarts les plus fréquemment relevés.RessourceLire un certificat FMEDALes huit données à exiger d’un fournisseur, et pourquoi « SIL 2 capable » ne suffit pas.