Le principe : ce qu'est vraiment la sécurité fonctionnelle
La sécurité fonctionnelle, c'est la part de la sécurité qui dépend du bon fonctionnement d'un système actif : un capteur détecte, une logique décide, un actionneur agit. Vocabulaire, périmètre, et la règle d'indépendance qui fonde tout le reste.
Une définition qui tient en une phrase
La sécurité fonctionnelle est la part de la sécurité d’une installation qui dépend du bon fonctionnement d’un système actif. Un capteur détecte une condition dangereuse, une logique décide, un actionneur agit — et l’installation revient dans un état sûr.
Ce qui la distingue du reste : elle fonctionne ou elle ne fonctionne pas. Un mur coupe-feu protège tant qu’il est debout. Une soupape de sûreté s’ouvre par la physique. Mais une chaîne capteur–logique–vanne peut être en panne sans que personne ne le sache, pendant des mois, jusqu’au jour où on en a besoin. Toute la discipline découle de ce problème : comment avoir confiance dans quelque chose qui ne sert presque jamais ?
Les trois maillons
Une fonction instrumentée de sécurité — en abrégé SIF, safety instrumented function — se compose toujours de trois maillons en série :
| Maillon | Rôle | Exemples |
|---|---|---|
| Capteur | Détecter la dérive | transmetteur de pression, de niveau, de température, détecteur de gaz |
| Solveur logique | Décider et commander | automate de sécurité, relais de sécurité, système câblé |
| Élément final | Agir sur le procédé | vanne d’arrêt d’urgence, contacteur, moteur mis hors tension |
Le système instrumenté de sécurité — le SIS — est l’ensemble matériel et logiciel qui réalise une ou plusieurs SIF. Distinction utile : la SIF est la fonction (« fermer la vanne d’alimentation si le niveau du ballon dépasse tel seuil, en moins de 5 secondes »), le SIS est le système qui l’exécute.
Une SIF se formule toujours de la même façon : une condition déclenchante, une action, un délai. Si l’un des trois manque, la spécification n’est pas exploitable.
L’état sûr
L’état sûr est la situation dans laquelle la SIF amène le procédé. Ce n’est pas forcément l’arrêt : sur un four, l’état sûr peut être la coupure du combustible ; sur un réacteur exothermique, l’injection d’un inhibiteur et la mise en refroidissement ; sur un compresseur, la mise à l’atmosphère.
Corollaire pratique, le principe de sécurité positive (de-energize to trip) : on conçoit le plus souvent la fonction pour que la perte d’énergie provoque l’action de sécurité. Une vanne maintenue ouverte par de l’air d’instrumentation se ferme quand l’air disparaît. Ainsi, une coupure d’alimentation — panne courante — bascule du côté sûr et non du côté dangereux.
Les couches de protection
Une installation ne repose jamais sur une seule barrière. On empile des couches de protection indépendantes, de la plus quotidienne à la plus ultime :
- Conception du procédé — ce qui rend le danger physiquement impossible ou moins probable
- Système de conduite (BPCS) — la régulation normale, qui maintient les paramètres dans leur plage
- Alarmes et intervention de l’opérateur — avec le temps nécessaire pour agir
- Le SIS — la fonction instrumentée de sécurité, objet de ce parcours
- Protections physiques — soupapes, disques de rupture, évents
- Confinement et atténuation — cuvettes de rétention, rideaux d’eau, détection incendie
- Plans d’urgence — évacuation, secours
La sécurité fonctionnelle n’occupe qu’une de ces couches. Une erreur classique consiste à tout charger sur le SIS parce que c’est la couche qu’on sait chiffrer, alors qu’une modification de procédé — réduire un volume, baisser une température de service — supprime le danger au lieu de le surveiller.
La règle d’indépendance
C’est le principe fondateur, et la faute la plus fréquente en conception : le système qui protège doit être indépendant du système qui conduit.
Si la même boucle régule le niveau et le protège, une seule panne emporte les deux : le capteur qui dérive fausse la régulation et aveugle la protection. La défaillance qui crée la demande est aussi celle qui empêche d’y répondre.
Les normes traduisent cela en règles concrètes. L’IEC 61511 limite le crédit qu’on peut accorder au système de conduite : on ne lui attribue pas plus d’un facteur 10 de réduction de risque, et on ne peut pas le compter deux fois — une fois comme cause de la demande, une fois comme protection. Quand la fonction de sécurité partage un capteur ou un actionneur avec la conduite, l’indépendance doit être justifiée par écrit.
Trois grandeurs à ne pas confondre
- PFD (probability of failure on demand) — probabilité que la fonction soit défaillante au moment où on la sollicite. S’utilise en faible sollicitation : moins d’une demande par an, le cas habituel du procédé. Sans dimension.
- PFH (probability of dangerous failure per hour) — probabilité de défaillance dangereuse par heure. S’utilise en forte sollicitation ou en mode continu : machines, automobile, entraînements. En h⁻¹.
- RRF (risk reduction factor) — facteur de réduction de risque, simplement l’inverse de la PFD moyenne.
Le SIL — niveau d’intégrité de sécurité, de 1 à 4 — est la traduction de ces plages en une échelle discrète :
| SIL | PFD moyenne (faible sollicitation) | Réduction de risque |
|---|---|---|
| SIL 1 | 10⁻² … 10⁻¹ | 10 – 100 |
| SIL 2 | 10⁻³ … 10⁻² | 100 – 1 000 |
| SIL 3 | 10⁻⁴ … 10⁻³ | 1 000 – 10 000 |
| SIL 4 | 10⁻⁵ … 10⁻⁴ | 10 000 – 100 000 |
Le SIL 4 est rarissime dans les procédés : son coût et sa complexité poussent à revoir la conception plutôt qu’à surenchérir sur l’instrumentation. Les convertisseurs PFD → SIL et réduction de risque → SIL font ces passages directement.
Ce que le SIL n’est pas
Trois malentendus tenaces :
Le SIL n’est pas une propriété d’un appareil. Un capteur n’« est » pas SIL 2. Il est utilisable dans une boucle SIL 2, selon son taux de défaillance, son architecture et la façon dont il est intégré. Le SIL qualifie une fonction complète, capteur à actionneur, pas un composant isolé.
Le SIL ne se choisit pas, il se calcule. Il découle du risque à couvrir. Viser haut « pour être tranquille » coûte cher sans rendre plus sûr — le chapitre suivant détaille cette chaîne de calcul.
Un chiffre de PFD ne suffit pas. Atteindre un SIL impose aussi des contraintes d’architecture (tolérance aux pannes matérielles) et une maîtrise des défaillances systématiques — erreurs de spécification, de conception, de paramétrage. En pratique, ce sont ces dernières qui causent le plus d’accidents, et aucune formule ne les capture.
Le fil rouge du reste du parcours
La sécurité fonctionnelle n’est pas un calcul ponctuel mais un cycle de vie : analyser le risque, en déduire le niveau requis, concevoir, prouver, installer, tester périodiquement, gérer les modifications, et documenter le tout pour que ce soit auditable des années plus tard.
C’est cet enchaînement que couvrent les chapitres suivants, en partant du plus concret : comment on passe d’un danger réel à un chiffre de SIL.