Cause commune non justifiée
Un β appliqué par convention — souvent 10 % — sans analyse de la séparation réelle des voies. Selon le sens de l’erreur, il conduit à financer des redondances inutiles ou à déclarer conforme une fonction qui ne l’est pas.
Inspection · IEC 61511 · étude de dangers
Ce que l’inspection vérifie dans un dossier SIL
Un dossier complet et un dossier défendable ne sont pas la même chose. Le premier contient tous les documents attendus. Le second permet de refaire le raisonnement sans son auteur — et c’est celui-là qui passe.
01 — Le premier geste
Le registre des hypothèses, avant tout le reste
Les SIL affichés dans le tableau de synthèse n’apprennent rien à personne. Ce qui est examiné, c’est la chaîne qui mène de l’événement initiateur au chiffre final : d’où vient chaque valeur, qui l’a retenue, et ce qui se passe si elle est fausse.
Un dossier sans registre d’hypothèses oblige l’inspecteur à reconstituer ce raisonnement lui-même, à partir de documents épars. Il ne le fera pas : il demandera une reprise. C’est le scénario le plus coûteux, et le plus évitable.
Le registre n’est pas une annexe administrative. C’est la pièce qui transforme une déclaration en démonstration.
Ce que doit porter chaque hypothèse
- La valeur retenue, et son unité.
- Sa source : certificat, retour d’exploitation, base générique, dire d’expert.
- Sa date, et le domaine de validité associé.
- Son auteur, nommé, pas un service.
- Son impact : ce que devient le résultat si elle varie d’un facteur deux.
Cette dernière colonne est celle qu’on oublie, et celle qui convainc. Elle montre que l’auteur sait lesquelles de ses hypothèses comptent.
02 — La chaîne remontée
Sept maillons, dans cet ordre
| Maillon | La question | Ce qui la fait échouer |
|---|---|---|
| 01 · Événement initiateur | D’où vient cette fréquence ? | Valeur sans source, ou base générique hors contexte. |
| 02 · Couches de protection | Sont-elles indépendantes ? | Piquage, automate ou énergie partagés avec la fonction. |
| 03 · Fréquence tolérable | Qui l’a fixée, sur quel critère ? | Critère d’acceptabilité du risque non formalisé. |
| 04 · SIL cible | Le facteur de réduction est-il cohérent ? | Arrondi au SIL supérieur « par prudence », sans calcul. |
| 05 · Données de fiabilité | S’appliquent-elles à cette installation ? | Certificat valable pour un autre fluide, une autre température. |
| 06 · Calcul de la PFD | Est-il reproductible ? | Classeur verrouillé, formules invisibles, cellules figées. |
| 07 · Essais périodiques | Sont-ils réellement faits, et complets ? | Intervalle du calcul plus court que celui du plan de maintenance. |
Le maillon 07 est celui qui surprend le plus. Un calcul mené sur un essai semestriel alors que le plan de maintenance en prévoit un annuel invalide le résultat — et l’écart se lit en croisant deux documents que personne n’avait rapprochés.
03 — Les récurrences
Les six écarts les plus fréquemment relevés
Couches de protection non indépendantes
Une soupape créditée en plus de la fonction instrumentée, alors qu’elle partage le piquage du transmetteur. La même protection est comptée deux fois, et le facteur de réduction requis est sous-estimé d’un ordre de grandeur.
Couverture d’essai implicite
Le calcul suppose que l’essai périodique révèle tout. Aucun essai ne le fait. La fraction non révélée doit être reportée sur la durée de vie, et cela change nettement le résultat sur les éléments terminaux.
Données hors domaine de validité
Un taux de défaillance repris d’un certificat établi pour d’autres conditions d’exploitation — fluide, température, cadence de manœuvre. La valeur est réelle, mais elle ne s’applique pas à cette installation.
Marges non documentées
Des coefficients de sécurité appliqués sans être nommés. Le résultat devient impossible à reproduire, et toute mise à jour future oblige à tout reprendre.
Absence de registre d’hypothèses
Les hypothèses dispersées dans les commentaires de cellules, ou dans la tête de celui qui a fait l’étude. C’est l’écart qui entraîne le plus souvent une demande de reprise complète.
04 — La posture
Déclarer ses écarts avant qu’on les trouve
Un dossier qui présente lui-même deux ou trois écarts, avec leur plan de correction et leur échéance, inspire davantage confiance qu’un dossier parfait. Parce qu’un dossier parfait n’existe pas, et que l’examinateur le sait.
Déclarer un écart montre que l’analyse a été menée jusqu’au bout. Le taire, et le voir relevé, jette le doute sur tout le reste — y compris sur ce qui était juste.
La même logique vaut pour les incertitudes. Une hypothèse bornée entre une valeur basse et une valeur haute, avec le verdict donné dans les deux cas, vaut mieux qu’une valeur unique que rien ne soutient.
Avant la séance — cinq vérifications
- Le registre des hypothèses est-il en tête du dossier, et non en annexe ?
- L’intervalle d’essai du calcul correspond-il à celui du plan de maintenance ?
- Chaque couche de protection créditée porte-t-elle sa preuve d’indépendance ?
- Les feuilles de calcul sont-elles ouvertes et rejouables par un tiers ?
- Les écarts connus figurent-ils, avec responsable et échéance ?
Si l’une de ces cinq réponses est non, l’écart sera relevé. Autant le traiter avant.
Une échéance d’inspection ? Faites auditer le dossier avant.
Nous avons reconstruit un dossier SEVESO en six semaines, sans reprise demandée à l’issue.
Poursuivre
Les autres ressources techniques
RessourceCalcul du SILPFDavg, architectures, contraintes de l’IEC 61508-2 et un exemple mené jusqu’au bout.Ressource1oo2 ou 2oo3Pourquoi le choix ne se joue presque jamais sur la sécurité, et sur quoi il se joue.RessourceLire un certificat FMEDALes huit données à exiger d’un fournisseur, et pourquoi « SIL 2 capable » ne suffit pas.