Calcul du SIL : PFDavg, architectures et contraintes
La documentation francophone sur ce sujet se partage entre articles académiques et fiches produit. Cette page est ce que nous aurions voulu trouver : la méthode complète, les équations telles qu’elles s’appliquent, et un exemple mené jusqu’au bout.
Tous les calculs présentés ici sont ceux qu’exécute notre plateforme SIL-01, que vous pouvez ouvrir pour les rejouer sur vos propres données.
Ce que mesure réellement la PFD moyenne
Une fonction instrumentée de sécurité passe l’essentiel de sa vie à ne rien faire. La question n’est donc pas de savoir si elle fonctionne aujourd’hui, mais quelle est la probabilité qu’elle refuse d’agir le jour où le procédé la sollicite.
C’est ce que quantifie la probabilité moyenne de défaillance à la sollicitation, la PFD moyenne. Elle se calcule ; elle ne se déclare pas. Comparée aux bandes du tableau 2 de l’IEC 61508-1, elle décide du niveau d’intégrité réellement atteint.
Tout ce qui suit concerne le mode de sollicitation faible — moins d’une sollicitation par an, le cas de la quasi-totalité des fonctions de sécurité en industrie de process. Le mode continu se traite avec la fréquence de défaillance dangereuse par heure, qui obéit à d’autres équations.
λSD — sûre, détectée
λSU — sûre, non détectée
λDD — dangereuse, détectée
λDU — dangereuse, non détectée
Une seule de ces quatre valeurs pèse vraiment : λDU. Une défaillance dangereuse détectée déclenche une alarme et une intervention, elle reste indisponible quelques heures. Une défaillance dangereuse non détectée reste invisible jusqu’au prochain essai périodique — soit des mois. C’est ce rapport de durées qui structure tout le calcul.
Agréger les composants d’une voie
Les composants d’un même canal sont en série du point de vue de la sécurité : la défaillance de l’un fait perdre le canal entier. Les taux s’additionnent donc, sans pondération.
Deux indicateurs en découlent. La couverture de diagnostic dit quelle part des défaillances dangereuses le système détecte tout seul. La proportion de défaillances en sécurité — le SFF — sert, elle, aux contraintes architecturales traitées plus bas ; elle ne joue aucun rôle dans le calcul de la PFD.
Confondre les deux est l’erreur la plus fréquente dans les dossiers que nous auditons : un SFF flatteur ne compense jamais un λDU élevé.
λS = λSD + λSU
λD = λDD + λDU
DC = λDD / λD
SFF = (λS + λDD) / (λS + λD)
Les taux s’expriment en FIT : 1 FIT = 10⁻⁹ défaillance par heure. Un transmetteur courant se situe entre 300 et 600 FIT tous modes confondus.
Temps d’indisponibilité équivalents
Le cœur de la méthode tient dans une idée simple : convertir chaque type de défaillance en une durée moyenne d’indisponibilité, puis multiplier par le taux correspondant.
Une défaillance non détectée survient à un instant quelconque entre deux essais. En moyenne, elle laisse donc la fonction indisponible pendant la moitié de l’intervalle d’essai, plus le temps de réparation. Une défaillance détectée, elle, n’immobilise que le temps de remise en service.
Le diviseur change selon l’architecture — 2 pour un canal, 3 pour un groupe de deux, 4 pour un groupe de trois. C’est ce que traduisent tCE, tGE et tG3E.
tCE = (λDU/λD)·(T1/2 + MRT) + (λDD/λD)·MTTR
tGE = (λDU/λD)·(T1/3 + MRT) + (λDD/λD)·MTTR
tG3E = (λDU/λD)·(T1/4 + MRT) + (λDD/λD)·MTTR
T1 : intervalle d’essai périodique. MRT : temps de réparation après découverte à l’essai. MTTR : temps de remise en service après défaillance détectée.
Lorsque l’essai périodique ne révèle pas tout — couverture d’essai inférieure à 100 % — la fraction non révélée doit être reportée sur la durée de vie de l’installation et non sur T1. C’est un point régulièrement omis, et il change le résultat d’un facteur important sur les vannes.
Cinq configurations, cinq équations
λindép = (1 − βD)·λDD + (1 − β)·λDU
CCF = βD·λDD·MTTR + β·λDU·(T1/2 + MRT)
1oo1 : PFD = λD · tCE
2oo2 : PFD = 2 · λD · tCE
1oo2 : PFD = 2 · λindép² · tCE · tGE + CCF
2oo3 : PFD = 6 · λindép² · tCE · tGE + CCF
1oo3 : PFD = 6 · λindép³ · tCE · tGE · tG3E + CCF
| Architecture | HFT | Sécurité | Disponibilité | Ce qu’elle vaut en pratique |
|---|---|---|---|---|
| 1oo1 | 0 | faible | moyenne | Toute défaillance dangereuse non détectée fait perdre la fonction. |
| 1oo2 | 1 | élevée | faible | Sûr, mais le taux de déclenchement intempestif double. |
| 2oo2 | 0 | faible | élevée | Privilégie la production : PFD deux fois celle du 1oo1. |
| 2oo3 | 1 | élevée | élevée | Le compromis usuel, au prix d’un troisième canal. |
| 1oo3 | 2 | très élevée | faible | Justifié seulement si la cause commune est réellement maîtrisée. |
Pourquoi la cause commune plafonne tout
Le terme CCF ne comporte aucun exposant, aucune multiplication par une seconde durée. Il ne dépend d’aucune redondance. Quel que soit le nombre de canaux ajoutés, il reste identique.
Conséquence directe : dans un sous-système redondant correctement conçu, la cause commune représente couramment 90 à 99 % de la PFD totale. Ajouter un canal ne change alors quasiment rien au résultat. Ce qui change le résultat, c’est de réduire β — voies séparées physiquement, alimentations distinctes, technologies différentes — ou de le justifier honnêtement.
L’erreur symétrique existe aussi : appliquer un β de 10 % par prudence uniforme, là où le relevé terrain en justifierait 2 %. Elle conduit à financer des redondances inutiles, ou à déclarer non conforme une installation qui ne l’est pas.
λSU = 120 · λDD = 340 · λDU = 40 FIT
T1 = 8 760 h · MRT = MTTR = 8 h · β = 5 % · βD = 2,5 %
tCE = 469,1 h · tGE = 315,4 h
terme indépendant = 4,0 × 10⁻⁸
terme cause commune = 8,8 × 10⁻⁶
PFD = 8,9 × 10⁻⁶
La cause commune représente 98,6 % du résultat. Passer ces deux transmetteurs en 2oo3 ferait varier la PFD de moins de 1 % : le troisième canal serait payé pour rien.
Des bandes, puis un plafond
La PFD de la fonction
PFDavg = PFDcapteurs + PFDlogique + PFDél. terminaux
RRF = 1 / PFDavg
| SIL | PFD moyenne | Réduction de risque |
|---|---|---|
| SIL 1 | ≥ 10⁻² à < 10⁻¹ | 10 à 100 |
| SIL 2 | ≥ 10⁻³ à < 10⁻² | 100 à 1 000 |
| SIL 3 | ≥ 10⁻⁴ à < 10⁻³ | 1 000 à 10 000 |
| SIL 4 | ≥ 10⁻⁵ à < 10⁻⁴ | 10 000 à 100 000 |
Les contraintes architecturales
Le calcul ne suffit pas. L’IEC 61508-2 impose, par sa voie 1H, un plafond fonction du SFF, du type de composant et de la tolérance aux anomalies. Ce plafond ne se rachète pas par la fiabilité.
| SFF | A·0 | A·1 | A·2 | B·0 | B·1 | B·2 |
|---|---|---|---|---|---|---|
| < 60 % | 1 | 2 | 3 | — | 1 | 2 |
| 60 – 90 % | 2 | 3 | 4 | 1 | 2 | 3 |
| 90 – 99 % | 3 | 4 | 4 | 2 | 3 | 4 |
| ≥ 99 % | 3 | 4 | 4 | 3 | 4 | 4 |
Type A : composant simple, tous modes de défaillance connus. Type B : composant complexe, typiquement programmé. Le chiffre après le point est la HFT. SIL atteint = min(SIL calculé, plafond de chaque sous-système).
Une vanne de type A à 33 % de SFF sans redondance plafonne à SIL 1, quelle que soit sa PFD. C’est le cas le plus fréquemment découvert en audit — et celui qui déclenche les décisions d’investissement les plus coûteuses.
D’où vient le SIL cible
Tout ce qui précède vérifie qu’une architecture atteint une cible. Encore faut-il que cette cible soit elle-même justifiée — c’est l’objet de l’analyse des couches de protection, la LOPA.
Le principe : partir de la fréquence de l’événement initiateur, la multiplier par la probabilité de défaillance de chaque couche de protection réellement indépendante, et comparer le résultat à la fréquence jugée tolérable.
Le mot qui compte est « indépendante ». Créditer une soupape qui partage son piquage avec le transmetteur de la fonction instrumentée, c’est compter deux fois la même protection. Retirer un crédit non justifié augmente d’un ordre de grandeur la réduction demandée à la fonction — c’est l’écart le plus fréquemment relevé en inspection.
fatténuée = finitiateur × ∏ PFDcouches créditées
RRFrequis = fatténuée / ftolérable
10 ≤ RRF < 100 → SIL 1
100 ≤ RRF < 1 000 → SIL 2
1 000 ≤ RRF < 10 000 → SIL 3
RRF ≥ 10 000 → SIL 4
Un RRF supérieur à 10 000 doit alerter : en industrie de process, on réduit d’abord le risque autrement — par la conception du procédé — avant de confier une telle réduction à une seule fonction instrumentée.
Ce que cette méthode ne dit pas
- Les équations de l’annexe B sont des approximations, valables tant que le produit λ·T1 reste petit. Au-delà de 0,1 environ, elles majorent le résultat.
- Elles supposent des canaux identiques au sein d’un sous-système. Une voie hétérogène demande une modélisation par arbre de défaillance ou chaîne de Markov.
- Elles ne traitent que la défaillance aléatoire du matériel. La défaillance systématique — erreur de spécification, de programmation, de montage — relève de la capacité systématique, qui ne se calcule pas.
- Un résultat n’est jamais meilleur que ses données d’entrée. Un λDU repris d’une fiche commerciale sans domaine de validité invalide tout le reste du calcul.
Dans les dossiers que nous auditons, l’erreur dominante n’est presque jamais dans l’équation. Elle est dans une hypothèse non tracée : un β appliqué par convention, une couche de protection créditée sans preuve d’indépendance, une couverture d’essai supposée parfaite. Ces trois-là suffisent à faire passer un SIL 3 déclaré en SIL 2 réel.
Rejouez ces calculs sur vos propres boucles.
SIL-01 applique exactement les équations de cette page. Aucun compte, aucune donnée transmise.