Trois domaines, une même exigence : la démonstration écrite
Nous n’intervenons que là où le résultat doit être justifié devant un tiers : une autorité, un assureur, un donneur d’ordre. Cette contrainte détermine notre méthode bien plus que le secteur d’activité.
Démontrer qu’une fonction de sécurité fait ce qu’on attend d’elle
Une fonction instrumentée de sécurité ne vaut que par la probabilité qu’elle fonctionne le jour où elle est sollicitée. Cette probabilité se calcule, et le résultat du calcul est rarement celui qu’annonce le dossier existant.
Notre travail consiste à établir ce calcul, à en documenter chaque entrée, et à rendre le résultat vérifiable par quelqu’un qui n’a pas participé à l’étude.
- Détermination du SIL par LOPA ou graphe de risque
- Vérification PFDavg et PFH par architecture
- FMEDA et exploitation des données constructeur
- Contraintes architecturales (SFF, HFT, type A/B)
- Intervalles de test périodique et couverture d’essai
- Rédaction et audit de dossiers SIF
| SIL | PFD moyenne | Facteur de réduction du risque | Ce que cela implique concrètement |
|---|---|---|---|
| SIL 1 | ≥ 10⁻² à < 10⁻¹ | 10 à 100 | Canal unique acceptable, discipline de test périodique nécessaire. |
| SIL 2 | ≥ 10⁻³ à < 10⁻² | 100 à 1 000 | Diagnostic sérieux ou redondance sur les composants faibles de la boucle. |
| SIL 3 | ≥ 10⁻⁴ à < 10⁻³ | 1 000 à 10 000 | Redondance quasi systématique, défaillance de cause commune maîtrisée et justifiée. |
| SIL 4 | ≥ 10⁻⁵ à < 10⁻⁴ | 10 000 à 100 000 | Exceptionnel en industrie de process : on réduit d’abord le risque autrement. |
La défaillance de cause commune, que l’on quantifie par le facteur β, plafonne le gain de toute redondance. Doubler un canal ne divise pas la PFD par mille si 5 % des défaillances affectent les deux canaux simultanément. C’est l’erreur la plus fréquente dans les dossiers que nous auditons, et celle qui fait requalifier un SIL 3 déclaré en SIL 2 réel.
Électricité, instrumentation, automatisme : la chaîne complète
Une fonction de sécurité traverse une armoire, un réseau, un automate, des alimentations et des câbles. Les défaillances les plus coûteuses ne sont presque jamais dans le capteur : elles sont dans ce qui le relie au reste.
Dix ans de terrain en automatisme et en électricité industrielle nous permettent de lire une installation avant de lire son dossier.
- Architecture de contrôle-commande et séparation des voies
- Conformité IEC 61513 des systèmes importants pour la sûreté
- Cybersécurité industrielle selon IEC 62443 (zones et conduits)
- Bilans de puissance, courts-circuits, sélectivité
- Alimentations secourues et régimes de neutre
- Spécification et réception d’installations neuves
L’énergie traitée comme un dossier d’investissement
Un plan de décarbonation qui ne chiffre pas le coût de la tonne évitée n’est pas arbitrable. Nous produisons des dossiers qui passent en comité d’investissement, avec les mêmes exigences de traçabilité que nos études de sécurité.
Nous ne vendons aucun équipement et ne percevons aucune commission d’installateur.
- Audits énergétiques conformes EN 16247-1 et -3
- Accompagnement ISO 50001
- Répartition des consommations par usage et campagne de mesure
- Trajectoires de réduction et coût de la tonne évitée
- Récupération de chaleur, électrification des procédés
- Dossiers de financement et certificats d’économies d’énergie
Le vocabulaire, sans détour
- SIF
- Fonction instrumentée de sécurité. L’ensemble capteur + unité logique + élément terminal qui ramène le procédé à un état sûr lorsqu’un écart est détecté.
- SIL
- Niveau d’intégrité de sécurité. Une classe de performance, de 1 à 4, qui exprime la probabilité que la fonction remplisse son rôle quand elle est sollicitée.
- PFDavg
- Probabilité moyenne de défaillance à la sollicitation. Le nombre calculé qui, comparé au tableau des SIL, décide si la fonction tient sa cible.
- FMEDA
- Analyse des modes de défaillance, de leurs effets et de leur diagnostic. Elle produit la répartition des taux de défaillance sûrs et dangereux, détectés et non détectés.
- LOPA
- Analyse des couches de protection. La méthode semi-quantitative qui détermine le facteur de réduction de risque à confier à la fonction instrumentée, donc son SIL cible.
- 1oo2, 2oo3
- Architectures de vote. « 1 sur 2 » : un canal suffit à déclencher. « 2 sur 3 » : deux canaux doivent concorder. Le choix arbitre entre sécurité et disponibilité.
Quatre pages de méthode, en accès libre
La documentation francophone sur ces sujets se partage entre articles académiques et fiches produit. Nous publions ce que nous aurions voulu trouver en commençant : les équations, la méthode, et surtout les pièges qu’on ne découvre qu’en audit.
Calcul du SIL
PFDavg, les cinq architectures, les contraintes de l’IEC 61508-2 et un exemple chiffré complet.
Conception1oo2 ou 2oo3
Écart de PFD inférieur à 1 % entre les deux. Le choix se joue sur les déclenchements intempestifs.
ConformitéCe que vérifie l’inspection
Les sept maillons remontés par l’inspecteur, et les six écarts les plus fréquemment relevés.
DonnéesLire un certificat FMEDA
Les huit données à exiger, et pourquoi « SIL 2 capable » ne rend pas votre boucle SIL 2.