Le contexte — quand la barrière instrumentée n’agit pas
Le 23 mars 2005, la raffinerie BP de Texas City explose. Au démarrage de l’unité d’isomérisation, une colonne de séparation est remplie bien au-delà de son niveau normal. L’instrumentation de niveau donne une indication fausse, une alarme haute ne fonctionne pas, et aucune protection automatique n’arrête le remplissage. Le liquide déborde vers un ballon de purge à évent ouvert, un nuage de vapeurs inflammables se forme et s’enflamme. Quinze morts, près de cent quatre-vingts blessés.
L’enquête pointe une chaîne de défaillances : instruments non fiables, alarmes hors service, procédures contournées, et l’absence d’une fonction de sécurité capable d’arrêter le débordement. C’est exactement le domaine de l’IEC 61511 : garantir que les fonctions instrumentées qui protègent un procédé existent, atteignent le niveau de réduction de risque requis, et le conservent toute la vie de l’installation.
IEC 61511 vs IEC 61508 : la norme du procédé, côté exploitant
L’IEC 61508 est la norme mère, générique. Nous l’avons détaillée dans l’article Sécurité fonctionnelle et IEC 61508. L’IEC 61511 en est la déclinaison pour l’industrie de procédé : chimie, pétrochimie, raffinage, pharma, gaz.
La différence de point de vue est essentielle. L’IEC 61508 s’adresse surtout aux fabricants de composants (capteurs, automates de sécurité, vannes) qui certifient leurs produits. L’IEC 61511 s’adresse aux exploitants et intégrateurs qui conçoivent, installent et exploitent un système de sécurité à partir de ces composants. En clair : on certifie un transmetteur selon 61508 ; on conçoit la boucle de sécurité qui l’utilise selon 61511.
Elle comporte trois parties : la partie 1 fixe les exigences, la partie 2 donne des recommandations d’application, la partie 3 guide la détermination du SIL. Première édition en 2003, deuxième édition en 2016.
SIS, SIF, SIL : le vocabulaire de base
Un système instrumenté de sécurité (SIS) est l’ensemble matériel et logiciel qui réalise une ou plusieurs fonctions de sécurité. Une fonction instrumentée de sécurité (SIF) est une protection précise : « si le niveau dépasse le seuil très haut, fermer la vanne d’alimentation ». Chaque SIF reçoit un niveau d’intégrité de sécurité (SIL, de 1 à 4) qui exprime la réduction de risque attendue, mesurée par la probabilité moyenne de défaillance à la sollicitation (PFD moyenne) en mode faible sollicitation.
Pour convertir une réduction de risque en SIL, les calculateurs PFD vers SIL et facteur de réduction de risque vers SIL donnent le résultat directement.
La règle d’or : séparer la conduite et la sécurité
C’est le principe le plus structurant de l’IEC 61511, et celui que Texas City illustre par l’absence. Le système qui conduit le procédé — le BPCS, Basic Process Control System — ne doit pas être celui qui le protège. La fonction de sécurité doit être indépendante du système de contrôle : capteurs dédiés, logique séparée, actionneurs propres.
Pourquoi ? Parce qu’une défaillance du système de conduite est souvent la cause même du danger. Si la protection partage le capteur ou l’automate défaillant, elle tombe en même temps que la cause. L’indépendance garantit que la barrière reste debout quand le procédé dérape. L’IEC 61511 encadre strictement tout partage d’équipement entre BPCS et SIS.
Déterminer le SIL : graphe de risque et LOPA
Avant de concevoir, il faut décider quel SIL pour quelle fonction. L’IEC 61511 ne l’impose pas : elle propose des méthodes, à partir de l’analyse de risque (typiquement un HAZOP).
Deux approches dominent. Le graphe de risque est qualitatif : on combine la gravité, la fréquence d’exposition, la possibilité d’éviter le danger et la probabilité d’occurrence pour lire un SIL dans un arbre de décision. Rapide, mais sensible aux jugements d’équipe.
La LOPA — analyse des couches de protection — est semi-quantitative et plus rigoureuse. On part de la fréquence de l’événement initiateur, on multiplie par la probabilité de défaillance de chaque couche de protection indépendante (IPL) déjà en place — alarme avec action opérateur, soupape, cuvette — et on regarde l’écart avec le risque tolérable. Cet écart fixe la réduction de risque que la SIF doit apporter, donc son SIL. Une couche ne compte comme IPL que si elle est indépendante, efficace et auditable.
Le cycle de vie de sécurité, version procédé
Comme l’IEC 61508, l’IEC 61511 organise tout autour d’un cycle de vie de sécurité. Il part de l’analyse des dangers et du risque, mène à la spécification des exigences de sécurité (la SRS : chaque SIF, son SIL, son temps de réponse, son état sûr), puis à la conception du SIS, l’installation, la mise en service, l’exploitation et la maintenance, la gestion des modifications, et la mise hors service.
Deux exigences propres à l’esprit 61511 s’y greffent. Le management de la sécurité fonctionnelle : des rôles définis, des compétences démontrées, une planification. Et l’évaluation de la sécurité fonctionnelle (FSA) : des jalons d’audit indépendants tout au long du cycle, dont au moins un avant l’introduction des dangers, c’est-à-dire avant le démarrage. Le FSA est le garde-fou qui vérifie que la chaîne entière tient avant qu’elle ne serve.
Prior use : la voie pragmatique pour les composants
L’IEC 61508 demande une évaluation matérielle lourde des composants. L’IEC 61511 ouvre une voie plus réaliste pour l’exploitant : le prior use, ou retour d’expérience documenté. Si un transmetteur de pression est utilisé depuis des années dans des conditions comparables, avec un historique de fiabilité tracé, on peut justifier son emploi dans une SIF sans repartir d’une certification complète.
C’est puissant mais exigeant : le prior use n’est valable que si les conditions d’usage sont vraiment comparables et si les données de défaillance sont réelles, pas optimistes. Un prior use mal étayé est une fausse garantie.
Les tests périodiques : là où la PFD se gagne ou se perd
Une SIF en mode faible sollicitation passe l’essentiel de sa vie au repos. Une défaillance dangereuse non détectée y reste invisible jusqu’au test périodique (proof test). C’est lui qui révèle les défauts cachés et « remet à zéro » la probabilité de défaillance.
D’où une règle simple : pour une voie sans redondance, la PFD moyenne vaut approximativement la moitié du produit du taux de défaillance dangereuse non détectée par l’intervalle de test. Tester deux fois plus souvent divise par deux ce terme. Mais la couverture du test compte autant que sa fréquence : un test partiel qui ne sollicite pas la vanne en pleine course donne une confiance trompeuse. Le calculateur taux de défaillance vers temps moyen entre pannes aide à manipuler ces ordres de grandeur.
Les enjeux
Le premier enjeu est l’accident majeur : incendie, explosion, rejet toxique. Les sites concernés relèvent en Europe de la directive Seveso ; démontrer l’intégrité de ses SIF n’est pas optionnel.
Le deuxième est la disponibilité : une SIF trop sensible déclenche des arrêts intempestifs qui coûtent cher et poussent — dangereusement — à l’inhibition. Le bon SIL est un équilibre, pas un maximum.
Le troisième est cyber. Les SIS modernes sont communicants. L’attaque Triton, en 2017, visait précisément le système instrumenté de sécurité d’un site pétrochimique pour en désactiver les protections. Sécurité fonctionnelle et cybersécurité ne se traitent plus séparément — voir IEC 62443 et l’article Échanger des données entre 2 automates OT.
Les erreurs à ne pas faire
| Erreur | Pourquoi on la commet | Pourquoi c’est dangereux |
|---|---|---|
| Protéger le procédé avec le système qui le conduit | Économiser des capteurs et un automate | Une défaillance du BPCS est souvent la cause du danger ; la barrière tombe avec lui (cf. Texas City) |
| « Le capteur est SIL 2, donc ma SIF est SIL 2 » | Confusion composant et boucle | La SIF dépend de toute la boucle, de son architecture et de son intervalle de test |
| Prior use revendiqué sans données réelles | Gagner du temps sur la qualification | Fiabilité supposée ≠ fiabilité prouvée ; le SIL réel s’effondre |
| Test périodique partiel jugé suffisant | La vanne « a bougé » | Une course incomplète masque le grippage ; la PFD réelle dérive |
| Inhiber une SIF pour produire, « on remettra après » | Pression de production | Scénario d’accident classique : la barrière existe mais n’agit plus |
Les bonnes pratiques
Partir d’un HAZOP solide, puis déterminer le SIL par LOPA quand l’enjeu le justifie, par graphe de risque pour les cas simples.
Écrire une spécification des exigences de sécurité claire et testable, fonction par fonction, avec SIL, temps de réponse et état sûr.
Garantir l’indépendance BPCS/SIS, et tracer tout partage résiduel d’équipement.
Choisir les composants par certification 61508 ou par prior use documenté — jamais par optimisme.
Définir un plan de tests périodiques avec une couverture réaliste, cohérent avec la disponibilité visée.
Gérer les inhibitions : toute dérogation tracée, bornée dans le temps, signalée, levée par procédure.
Mettre en place un management de la sécurité fonctionnelle et faire réaliser les évaluations (FSA) par des personnes indépendantes des concepteurs, dont une avant démarrage.
Checklist de revue
- HAZOP documenté et à jour
- SIL déterminé par méthode justifiée (LOPA ou graphe de risque), par SIF
- Spécification des exigences de sécurité testable, par fonction
- Indépendance BPCS / SIS établie et partages résiduels justifiés
- Composants qualifiés (certification 61508 ou prior use étayé)
- PFD vérifiée pour chaque SIF (architecture, taux de défaillance, intervalle de test)
- Plan de tests périodiques avec couverture définie
- Gestion des inhibitions tracée et bornée
- Management de la sécurité fonctionnelle en place
- FSA réalisées, dont une avant l’introduction des dangers
- Gestion des modifications appliquée à toute évolution
Pour aller plus loin
- La fiche IEC 61511 détaille la norme partie par partie, et l’IEC 61508 la norme mère.
- Côté machines, l’approche diffère : IEC 62061 et ISO 13849 — un article dédié suit.
- Le hub Safety PLC couvre les automates de sécurité qui réalisent les SIF.
- Les calculateurs PFD vers SIL, réduction de risque vers SIL et taux de défaillance vers MTBF.
- Pour gérer concrètement le cycle de vie 61511 — graphe de risque, moteur PFD, gating FSA, piste d’audit — l’application Functional Safety d’IndustryHub : fs.industryhub.cloud.
Une dernière chose. Texas City n’a pas manqué de procédures ; il a manqué d’une barrière indépendante, fiable et testée, capable d’agir quand la conduite a échoué. C’est tout le propos de l’IEC 61511 : non pas « avez-vous un système de sécurité ? », mais « est-il indépendant du procédé, dimensionné au bon SIL, et prouvez-vous qu’il agira le jour où il le faudra ? ».