Exploitation : tests périodiques, pontages et gestion des modifications
Le SIL se perd en exploitation, pas en conception. Test périodique et couverture réelle, dent de scie de la PFD, test partiel de course, discipline des pontages, gestion des modifications et données de retour d'expérience.
Le SIL n’est pas acquis une fois pour toutes
Une installation reçoit son dossier de sécurité à la mise en service : SIF listées, PFD calculées, SIL démontrés. Ce dossier décrit un état conditionnel. Il énonce, souvent sans le dire clairement : à condition que ces fonctions soient testées à cet intervalle, avec cette couverture, et que rien ne change.
Vingt ans plus tard, l’intervalle de test a glissé, la couverture n’a jamais été vérifiée, trois modifications de procédé sont intervenues et deux pontages sont en place depuis des mois. Le dossier, lui, affiche toujours SIL 2.
C’est la raison pour laquelle les accidents impliquant des systèmes de sécurité révèlent rarement une erreur de calcul, et presque toujours une défaillance d’exploitation.
Le test périodique : à quoi il sert exactement
Le test périodique (proof test) a une fonction précise : révéler les défaillances dangereuses non détectées — les λ_DU du chapitre sur les architectures. Les défaillances détectées par diagnostic sont déjà connues et traitées ; les défaillances sûres se manifestent d’elles-mêmes. Reste la panne silencieuse, que seul le test met au jour.
D’où la formule fondamentale, qui gouverne toute l’exploitation :
La PFD est proportionnelle à l’intervalle de test. Ce n’est pas un paramètre parmi d’autres : c’est le seul levier que l’exploitant contrôle après la mise en service.
Conséquence quantifiée. Une SIF calculée SIL 2 avec un test annuel :
| Intervalle réel | PFD | SIL effectif |
|---|---|---|
| 1 an (hypothèse) | 1,3 × 10⁻³ | SIL 2 |
| 2 ans | 2,6 × 10⁻³ | SIL 2 (limite basse) |
| 3 ans | 3,9 × 10⁻³ | SIL 2 (marge nulle) |
| 5 ans | 6,6 × 10⁻³ | SIL 2 tout juste, SIL 1 avec toute dégradation |
Le glissement se produit rarement par décision. Il vient d’un enchaînement banal : la SIF n’est testable qu’à l’arrêt, l’arrêt annuel devient bisannuel, puis s’aligne sur l’arrêt quinquennal réglementaire. Personne n’a décidé de dégrader la sécurité ; la PFD a doublé puis quintuplé.
La dent de scie
La performance d’une SIF n’est pas constante. Juste après un test réussi, la probabilité de défaillance est proche de zéro. Elle croît ensuite linéairement jusqu’au test suivant, qui la ramène au point bas. D’où une dent de scie dont la PFD calculée n’est que la moyenne.
Deux conséquences pratiques :
- Juste avant un test, la fonction est à son point le plus faible — jusqu’au double de la valeur moyenne.
- Décaler les tests de canaux redondants (plutôt que tester les deux le même jour) évite que les deux voies soient simultanément à leur point faible, et réduit aussi l’exposition à la cause commune.
La couverture de test : le paramètre oublié
Un test ne révèle pas nécessairement toutes les défaillances dangereuses. Sa couverture — la proportion de λ_DU qu’il met effectivement au jour — est rarement de 100 %.
Exemple typique : tester une vanne d’arrêt d’urgence en vérifiant qu’elle se ferme sur commande. Cela ne teste ni l’étanchéité en position fermée, ni le temps de fermeture sous débit réel, ni le comportement après plusieurs mois d’immobilisation en position ouverte.
Le calcul rigoureux découpe alors λ_DU en une part couverte et une part non couverte :
Le second terme dépend de la durée de vie de l’équipement, pas de l’intervalle de test : cette fraction non couverte n’est révélée qu’à la révision complète. Avec une couverture de 90 % — valeur courante pour une vanne testée sans mesure d’étanchéité — le terme résiduel finit par dominer, et aucune augmentation de fréquence de test ne le réduit.
D’où la règle : une procédure de test doit préciser ce qu’elle couvre, et le calcul de PFD doit utiliser cette couverture, pas 100 % par défaut.
Le test partiel de course
Sur les vannes — presque toujours le maillon dominant —, le test partiel de course (partial stroke testing, PST) manœuvre la vanne de 10 à 20 % pendant le fonctionnement normal, sans arrêter la production.
Ce qu’il apporte : la détection des blocages, principal mode de défaillance des vannes immobilisées. Sa couverture typique se situe entre 60 et 70 % des λ_DU.
Ce qu’il n’apporte pas : la fermeture complète, l’étanchéité, le temps de fermeture total. Il ne remplace pas le test complet ; il permet d’espacer celui-ci en maintenant une PFD acceptable entre deux arrêts. C’est le compromis qui permet de concilier un intervalle de test complet aligné sur l’arrêt d’unité et une PFD conforme.
Les pontages : la discipline la plus fragile
Le pontage (bypass, inhibition, override) neutralise volontairement une fonction de sécurité — pour un essai, un démarrage, une maintenance, ou parce qu’un capteur défaillant provoque des arrêts intempestifs.
Pendant un pontage, la PFD de la fonction vaut 1 : la protection n’existe plus. C’est légitime et parfois inévitable, à condition d’être encadré :
- Autorisation formelle, avec un niveau de responsabilité défini
- Durée limitée et échéance explicite
- Signalisation permanente en salle de contrôle — un pontage invisible est un pontage oublié
- Mesures compensatoires pendant la période : surveillance renforcée, ronde, limitation de production
- Enregistrement et revue périodique des pontages en cours
Le mode de défaillance organisationnel est toujours le même : un pontage posé pour deux heures, laissé en place « le temps de commander la pièce », puis intégré au paysage. Une revue mensuelle de la liste des pontages actifs est la parade la plus efficace, et la moins coûteuse.
La gestion des modifications
Toute modification — du procédé, du SIS, des paramètres, des consignes — doit repasser par le processus de gestion des modifications (management of change, MOC). La question à poser n’est pas « le changement est-il sur le SIS ? » mais « le changement invalide-t-il une hypothèse de l’analyse de risque ? ».
Modifications à fort impact, souvent traitées comme anodines :
- Changement de produit ou de recette — modifie les conséquences, donc le SIL requis
- Augmentation de capacité ou de débit — réduit le temps de sécurité disponible
- Remplacement d’un capteur par un modèle différent — change λ_DU et parfois la couverture de diagnostic
- Modification d’un seuil ou d’une temporisation — change directement la fonction
- Changement de période d’arrêt — change l’intervalle de test, donc la PFD
Ce dernier point mérite d’être souligné : une décision purement industrielle, prise en réunion de production, dégrade mécaniquement le SIL de plusieurs fonctions. Sans MOC, personne ne fait le lien.
Les données de retour d’expérience
L’exploitation produit une matière précieuse à condition de l’enregistrer : les demandes réelles (combien de fois la SIF a-t-elle été sollicitée ?), les défaillances constatées au test, les temps de réparation, les déclenchements intempestifs.
Deux usages :
- Valider les hypothèses. Une SIF calculée en faible sollicitation mais sollicitée quinze fois par an n’est pas en faible sollicitation : le mode de calcul est faux, et le procédé a un problème en amont.
- Alimenter le prior use. L’IEC 61511 autorise à justifier un composant par un historique documenté. Cet historique n’existe que si quelqu’un l’a consigné, avec les conditions d’emploi.
Ce qui dégrade réellement le niveau
En résumé, trois mécanismes suffisent à faire perdre un niveau de SIL sans qu’aucun document ne change :
- L’intervalle de test s’allonge au rythme des arrêts d’unité.
- La couverture de test est supposée totale alors qu’elle est partielle.
- Les pontages s’installent dans la durée.
Aucun n’est un problème d’ingénierie. Tous relèvent de l’organisation — compétence, traçabilité, revue périodique. C’est ce que vise la gestion de la sécurité fonctionnelle exigée par la norme, et ce que confirment les évaluations FSA en exploitation.
Le calcul initial démontre qu’un niveau est atteignable. Seule l’exploitation démontre qu’il est atteint.