La famille des normes : SIL, PL, ASIL selon les secteurs

Une norme mère, des déclinaisons

L’IEC 61508 — « sécurité fonctionnelle des systèmes électriques, électroniques et électroniques programmables relatifs à la sécurité » — est le socle générique. Elle n’est pas conçue pour être appliquée telle quelle sur un site : elle sert de référence à partir de laquelle chaque secteur écrit sa propre norme, adaptée à ses équipements, son vocabulaire et ses modes de défaillance.

Ses sept parties :

Partie	Contenu
1	Exigences générales et cycle de vie de sécurité
2	Systèmes E/E/PE — exigences matérielles
3	Exigences logicielles
4	Définitions et abréviations
5	Méthodes de détermination du SIL
6	Guides d’application des parties 2 et 3
7	Techniques et mesures

Les parties 1 à 4 sont normatives, les parties 5 à 7 informatives. Le fabricant d’un composant certifié travaille surtout avec les parties 2 et 3 ; l’exploitant d’une installation, avec la norme sectorielle qui le concerne.

Procédés : IEC 61511

L’IEC 61511 est la déclinaison pour l’industrie de procédé — raffinage, chimie, pharmacie, gaz, énergie. Elle s’adresse à ceux qui intègrent et exploitent des systèmes, non à ceux qui les fabriquent : c’est la différence clé avec la 61508.

Ses spécificités :

• Elle organise un cycle de vie adapté au procédé, de l’analyse de risque au déclassement.
• Elle admet la voie du retour d’expérience (prior use) : justifier un composant par un historique d’exploitation documenté dans des conditions comparables, plutôt que par un certificat. Voie souvent plus réaliste que la certification pour les vannes et capteurs de procédé.
• Elle plafonne le crédit accordé au système de conduite à un facteur 10 de réduction de risque.
• En pratique, elle couvre SIL 1 à 3 : au-delà, elle renvoie à la 61508 — et surtout invite à revoir la conception du procédé.

Le mode de sollicitation dominant y est la faible sollicitation : la fonction est demandée moins d’une fois par an. D’où le raisonnement en PFD.

Machines : deux voies équivalentes

Le secteur des machines a la particularité d’offrir deux normes concurrentes et reconnues équivalentes, sous la directive Machines européenne.

L’IEC 62061 reprend l’échelle SIL (1 à 3) et la logique 61508, en langage machine. Elle convient bien aux architectures complexes, programmables, avec des sous-systèmes hétérogènes.

L’ISO 13849 propose l’échelle des niveaux de performance — PL a à PL e — issue de la tradition des catégories de sécurité machine. Le PL se détermine en combinant quatre paramètres : la catégorie d’architecture (B, 1, 2, 3, 4), le MTTF_D (temps moyen avant défaillance dangereuse) de chaque canal, la couverture de diagnostic moyenne (DC_avg), et la maîtrise des causes communes (CCF).

Elle est plus accessible pour les architectures classiques — arrêt d’urgence, protecteurs mobiles, barrières immatérielles — et dispose d’outils de calcul largement diffusés.

Les deux échelles se correspondent approximativement :

PL (ISO 13849)	SIL (IEC 62061)	PFH indicative (h⁻¹)
PL a	—	10⁻⁵ … 10⁻⁴
PL b	SIL 1	3×10⁻⁶ … 10⁻⁵
PL c	SIL 1	10⁻⁶ … 3×10⁻⁶
PL d	SIL 2	10⁻⁷ … 10⁻⁶
PL e	SIL 3	10⁻⁸ … 10⁻⁷

Les machines raisonnent en PFH et non en PFD : un protecteur mobile est sollicité plusieurs fois par jour, on est en forte sollicitation.

Automobile : ISO 26262 et l’échelle ASIL

L’ISO 26262 régit les systèmes électriques et électroniques des véhicules routiers. Son échelle propre, l’ASIL (automotive safety integrity level), va de A (le moins exigeant) à D (le plus exigeant), plus la mention QM (quality management) qui signifie « aucune exigence de sécurité fonctionnelle, la qualité ordinaire suffit ».

La détermination de l’ASIL est distinctive : elle croise trois paramètres, évalués pour chaque situation de conduite.

• S — sévérité des blessures (S0 à S3)
• E — probabilité d’exposition à la situation (E0 à E4)
• C — contrôlabilité par le conducteur (C0 à C3)

L’idée sous-jacente : un défaut grave mais qui survient dans une situation rare et que le conducteur peut rattraper ne justifie pas le même effort qu’un défaut permanent et incontrôlable.

Autre particularité, la décomposition ASIL : une exigence ASIL D peut être répartie entre deux éléments suffisamment indépendants, chacun traité à un niveau inférieur — mécanisme sans équivalent direct dans le monde du procédé.

Ferroviaire, nucléaire, et le cas allemand

Le ferroviaire applique la série EN 50126 (RAMS — fiabilité, disponibilité, maintenabilité, sécurité), EN 50128 (logiciel) et EN 50129 (systèmes électroniques de sécurité pour la signalisation), avec l’échelle SIL 1 à 4. Le SIL 4 y est effectivement utilisé, contrairement au procédé.

Le nucléaire relève de l’IEC 61513 pour le contrôle-commande, articulée avec les classements de sûreté propres au secteur.

Dans l’espace germanophone, la série VDI/VDE 2180 accompagne l’application de la 61511 pour les installations de génie des procédés pilotées par technique de conduite (PLT). Ce n’est pas une norme concurrente mais un guide pratique, feuille par feuille (Blatt), sur la spécification, la conception, la vérification et l’exploitation des fonctions de protection. Largement utilisée par les exploitants et les organismes de contrôle allemands.

Le tableau de synthèse

Norme	Secteur	Échelle	Mode dominant
IEC 61508	Toutes industries — norme mère	SIL 1–4	les deux
IEC 61511	Procédés	SIL 1–3	faible sollicitation (PFD)
IEC 62061	Machines	SIL 1–3	forte sollicitation (PFH)
ISO 13849	Machines	PL a–e	forte sollicitation (PFH)
ISO 26262	Automobile	ASIL A–D, QM	continu (PFH)
EN 50126/8/9	Ferroviaire	SIL 1–4	les deux
IEC 61513	Nucléaire — contrôle-commande	SIL / catégories	les deux
VDI/VDE 2180	Procédés (guide allemand)	SIL / PLT	faible sollicitation

Comment s’y retrouver

Trois questions suffisent à identifier son cadre :

1. Quel secteur ? Il désigne la norme applicable — et souvent une obligation réglementaire, pas un choix.
2. Quel mode de sollicitation ? Rare (moins d’une fois par an) → PFD et raisonnement 61511. Fréquent ou continu → PFH, machines ou automobile.
3. Fabricant ou exploitant ? Le fabricant certifie un produit selon la 61508 ; l’exploitant intègre et exploite selon sa norme sectorielle.

Un piège classique consiste à appliquer les seuils PFD du procédé à une fonction machine sollicitée dix fois par jour : la fonction n’est pas en faible sollicitation, et les plages du tableau SIL ne s’appliquent pas.

Le dernier chapitre du parcours porte sur ce qui décide en réalité du maintien du niveau de sécurité dans le temps : l’exploitation.