FMEDA : lire un certificat constructeur sans se faire piéger
Ce qui fait échouer une analyse n’est presque jamais le calcul. C’est la donnée d’entrée : reprise d’une fiche commerciale, hors domaine de validité, sans mode de défaillance associé.
« SIL 2 capable » ne rend pas votre boucle SIL 2
Un certificat atteste qu’un composant peut être utilisé dans une fonction visant un niveau donné. Il ne dit rien du niveau qu’atteindra votre fonction : celui-ci dépend de l’architecture, de l’intervalle d’essai, de la cause commune et des deux autres sous-systèmes de la boucle.
La confusion est entretenue par les plaquettes commerciales, qui affichent « SIL 2 » ou « SIL 3 » en gros. Un capteur SIL 3 monté seul sur une boucle dont la vanne plafonne à SIL 1 donne une fonction SIL 1. Le maillon faible décide.
Un certificat n’est donc pas un argument de conformité. C’est une source de données d’entrée — et cette source a un domaine de validité.
« Certifié selon IEC 61508 » — un organisme a évalué le composant et son processus de développement. Vérifiable auprès de l’organisme.
« SIL 2 capable » — les contraintes architecturales autorisent son emploi en SIL 2, à une tolérance aux anomalies donnée. C’est une aptitude, pas un résultat.
« Conforme SIL 2 » — formulation sans signification normative. Elle devrait faire demander le rapport FMEDA complet.
Les huit données à exiger
| Donnée | Pourquoi elle compte | Si elle manque |
|---|---|---|
| λSD, λSU | Défaillances en sécurité : elles fixent le taux de déclenchement intempestif. | Impossible d’arbitrer entre 1oo2 et 2oo3. |
| λDD | Défaillances dangereuses détectées par le diagnostic interne. | Couverture de diagnostic invérifiable. |
| λDU | La seule qui pèse vraiment dans la PFD. | Aucun calcul possible. Rédhibitoire. |
| SFF | Proportion de défaillances en sécurité, pour les contraintes architecturales. | Plafond de SIL indéterminable. |
| Type A ou B | Détermine quelle colonne du tableau de contraintes s’applique. | À supposer B par défaut, plus contraignant. |
| Capacité systématique | Niveau maximal admissible au titre des défaillances systématiques. | Souvent limitant sur les composants programmés. |
| Couverture d’essai | Part des défaillances dangereuses qu’un essai périodique révèle. | Supposer 100 % surestime la performance. |
| Domaine de validité | Conditions sous lesquelles ces chiffres tiennent. | Les valeurs ne sont pas transposables. |
Les deux dernières lignes sont celles qu’on obtient le moins facilement, et celles qui changent le plus le résultat sur les éléments terminaux.
Le domaine de validité
Un taux de défaillance n’existe pas dans l’absolu. Il est établi pour un profil d’emploi : une plage de température, un fluide, une cadence de manœuvre, un mode de montage, un environnement vibratoire.
Une vanne caractérisée sur un fluide propre, manœuvrée une fois par mois, ne se comporte pas comme la même vanne sur un fluide chargé, immobile pendant deux ans. Les chiffres du certificat restent exacts ; ils ne décrivent simplement pas votre installation.
C’est l’écart le plus difficile à voir, parce que rien n’est faux : la valeur est réelle, la source est sérieuse, et pourtant le résultat ne vaut rien.
- Sur quel profil d’emploi ces taux ont-ils été établis ?
- Quelle part de λDU l’essai périodique révèle-t-il réellement, et par quel mode opératoire ?
- Ces valeurs viennent-elles d’un retour d’exploitation, ou d’une analyse prévisionnelle par base de données ?
- Le rapport FMEDA complet est-il communicable, ou seulement l’attestation de synthèse ?
Un fournisseur qui répond aux quatre fournit une donnée utilisable. Un fournisseur qui n’en traite aucune vend une plaquette.
Vérifier un jeu de valeurs en deux minutes
λSD = 0 · λSU = 120 FIT
λDD = 340 FIT · λDU = 40 FIT
λS = 120 · λD = 380 FIT
DC = 340 / 380 = 89 %
SFF = (120 + 340) / 500 = 92 %
Type B, SFF entre 90 et 99 %, sans redondance : le tableau des contraintes plafonne à SIL 2. Avec un second canal, SIL 3 devient accessible.
Les trois contrôles de cohérence
- Refaites le SFF vous-même. S’il ne retombe pas sur la valeur annoncée, c’est qu’une hypothèse n’est pas dite — souvent des défaillances classées « sans effet » qui gonflent le dénominateur.
- Regardez le rapport λDU / λD. Une couverture de diagnostic supérieure à 99 % sur un composant simple doit faire demander comment elle est obtenue.
- Comparez à une base générique. Un écart d’un ordre de grandeur en faveur du constructeur n’est pas impossible, mais il se justifie.
Ces trois contrôles prennent quelques minutes et écartent l’essentiel des données inexploitables — avant qu’elles ne se retrouvent dans un dossier remis à l’inspection.
Le guide complet, en seize pages.
Les données à exiger, le calcul PFDavg commenté, et les six écarts relevés en inspection.