Le contexte — la notice ATEX qui exige une mesure instrumentée
De plus en plus de notices ATEX d’équipements (pompes à vide, compresseurs, moteurs en zone) imposent une mesure instrumentée de protection. Cas typique et documenté : la notice exige une surveillance de température du corps de l’appareil, reliée à un verrouillage qui arrête la machine dès qu’un seuil est atteint — par exemple un déclenchement à 100 °C, un pré-seuil à 90 °C, parce qu’au-delà la surface chaude pourrait devenir une source d’inflammation.
À cet instant précis, quelque chose bascule. Tant que la protection contre l’explosion est constructive (zonage, mode de protection Ex d/e/i…), elle relève de l’ATEX pure. Mais dès qu’une fonction instrumentée — capteur → logique → actionneur — devient la barrière qui empêche l’inflammation, elle entre dans le champ de la sécurité fonctionnelle. Et une fonction de sécurité, ça se classe, ça se dimensionne, ça se prouve : ça reçoit un SIL.
Le principe : la MSR-Schutzeinrichtung
Le terme allemand est précis : MSR-Schutzeinrichtung — dispositif de mesure, commande et régulation (Mess-, Steuer- und Regeltechnik) utilisé comme mesure de protection. Quand l’analyse des sources d’inflammation (Zündquellenanalyse) conclut qu’une mesure instrumentée est nécessaire pour atteindre la sécurité — soit en empêchant l’atmosphère explosive de se former, soit en neutralisant la source d’inflammation — cette mesure n’est plus un simple asservissement de conduite : c’est une fonction de sécurité à part entière.
Le but de protection s’énonce alors typiquement ainsi : « éviter la formation d’une atmosphère explosive dangereuse et/ou le fait qu’une source d’inflammation devienne active ».
Les deux ponts normatifs : TRGS 725 et EN 50495
C’est là que la réglementation relie explicitement les deux mondes.
- TRGS 725 (règle technique allemande) — « Atmosphère explosive dangereuse — dispositifs de mesure, commande et régulation dans le cadre de mesures de protection contre l’explosion ». Elle décrit comment une MSR-Schutzeinrichtung est classée (par graphe de risque) et lui attribue un SIL ainsi qu’une classe. C’est le texte de référence dans l’espace germanophone.
- EN 50495 — « Dispositifs de sécurité requis pour le fonctionnement sûr des appareils au regard des risques d’explosion ». Au niveau européen, elle relie la fiabilité requise du dispositif de sécurité au niveau de protection de l’appareil (EPL) : un dispositif de sécurité SIL-é peut « remonter » l’EPL d’un matériel.
En amont, l’analyse des sources d’inflammation (IEC 60079-0 pour l’EPL, IEC 80079-36/-37 pour les appareils non électriques) identifie si une mesure instrumentée est nécessaire. En aval, la fonction se conçoit selon IEC 61511 (procédé) ou IEC 61508.
La classification : du graphe de risque au SIL
La détermination ne se choisit pas, elle se calcule. Le graphe de risque de TRGS 725 part de valeurs initiales (gravité S, fréquence/probabilité W) et conduit à un SIL (le plus souvent SIL 1 ou 2 pour ce type de mesure) et à une classe de MSR-Schutzeinrichtung. Dans la pratique, une fonction « surtempérature → arrêt » de ce type ressort fréquemment en SIL-1 : le risque résiduel à couvrir est réel mais modéré, et une seule fonction instrumentée suffit à l’amener au niveau tolérable.
La fonction type : surtempérature → Safe Torque Off
Le schéma concret le plus répandu illustre parfaitement le pont. Une mesure de température dépasse son seuil très haut ; via le système instrumenté de sécurité (SIS), elle commande l’arrêt sûr du moteur par la fonction Safe Torque Off (STO) du variateur de fréquence — le couple est coupé de façon sûre, l’appareil ne peut plus chauffer ni devenir une source d’inflammation.
Deux points structurants, directement hérités d’IEC 61511 :
- Séparation conduite / sécurité. Le BPCS (système de conduite) peut couper le contacteur et l’ordre de marche — mais ce chemin n’est pas SIL. La fonction de sécurité, elle, agit indépendamment par le STO du variateur via le solveur logique de sécurité. Conduite et sécurité ne partagent pas la barrière.
- Architecture sobre et tracée. Capteur 1oo1, actionneur 1oo1, facteur de cause commune pris en compte, et un temps de réponse inférieur au temps de sécurité du procédé — l’actionneur (le STO) en est souvent le contributeur dominant. Des variateurs avec module de protection thermique certifié et STO intégré couvrent ce besoin.
Le piège à éviter : Ex « i » n’est pas un SIL
C’est la confusion classique, et elle reste vraie ici. Un capteur Ex ia garantit qu’il ne sera pas une source d’inflammation ; un SIL garantit que la fonction atteint sa réduction de risque. Deux axes orthogonaux : on peut — et on doit souvent — avoir un transmetteur Ex ia dans une boucle SIL-1. De même, l’EPL (Ga/Gb/Gc) mesure la probabilité que l’appareil devienne une source d’inflammation, le SIL la probabilité de défaillance de la fonction : même grammaire de tolérance aux fautes, événements différents.
Le cycle de vie : classer, prouver, tester, tracer
Traiter une protection Explosionsschutz en SIL, c’est l’inscrire dans le cycle de vie IEC 61511 complet :
- Analyse de risque et des sources d’inflammation (le « pourquoi »).
- Classification (graphe de risque → SIL + classe).
- Spécification des exigences de sécurité (SRS) : seuils, temps de réponse, état sûr, architecture.
- Vérification SIL (calcul de PFD/PFH) : démontrer que la chaîne atteint le SIL visé.
- Mise en service (plans de test capteur / actionneur / boucle).
- Exploitation & maintenance : tests périodiques documentés dans le temps — c’est eux qui maintiennent la PFD ; sans eux, l’intégrité s’érode.
- Dossier de vie (SIF-Lebenslauf) : la traçabilité de la fonction sur toute sa durée.
Les erreurs à ne pas faire
| Erreur | Pourquoi on la commet | Pourquoi c’est dangereux |
|---|---|---|
| Traiter ATEX et sécurité fonctionnelle en silos | Deux équipes, deux normes | La mesure instrumentée d’Explosionsschutz EST une SIF — elle doit être classée et prouvée |
| « C’est Ex ia, donc c’est SIL » | Confusion des deux axes | Ex i ≠ SIL ; il faut les deux, ils ne se remplacent pas |
| Ignorer la notice ATEX du fabricant | « On connaît nos pompes » | Le fabricant peut imposer une mesure MSR obligatoire ; l’omettre annule la conformité |
| Câbler l’arrêt de sécurité via le BPCS | Économiser une voie | Pas d’indépendance : la conduite et la sécurité tombent ensemble |
| Classer une fois, ne plus tester | « Ça marchait à la mise en service » | La PFD dérive ; sans test périodique réaliste, la barrière s’efface |
Les bonnes pratiques
Lire la notice ATEX du fabricant : si une mesure MSR de protection est imposée, elle déclenche tout le processus.
Classer la mesure par graphe de risque (TRGS 725) et la concevoir selon IEC 61511 / EN 50495.
Réaliser l’arrêt de sécurité indépendamment du BPCS — typiquement par STO du variateur via le solveur logique de sécurité.
Vérifier le SIL par le calcul (PFD/PFH), architecture, β et intervalle de test inclus. Les calculateurs PFD vers SIL et réduction de risque vers SIL aident à se repérer.
Planifier les tests périodiques et tenir un dossier de vie de la fonction.
Pour aller plus loin
- Le hub ATEX et la série IEC 60079 pour la protection contre l’explosion.
- L’article Sécurité fonctionnelle des procédés — IEC 61511 et le socle IEC 61508.
- La directive ATEX 2014/34/UE.
- Pour gérer concrètement le cycle de vie d’une telle fonction — classification, calcul PFD, gating, dossier de vie — l’application Functional Safety d’IndustryHub : fs.industryhub.cloud.
Une dernière chose. L’Explosionsschutz n’est pas qu’une affaire de construction et de zonage. Le jour où une mesure de mesure-commande-régulation devient la barrière qui empêche l’inflammation, elle change de monde : elle devient une fonction de sécurité, avec son SIL, son calcul de preuve et son cycle de vie. TRGS 725 et EN 50495 ne font que nommer ce pont — encore faut-il le traverser jusqu’au bout.