# Architectures et calcul de PFD : atteindre le SIL visé > Comment on construit une boucle qui tient sa PFD : notation MooN, redondance 1oo2 et 2oo3, tolérance aux pannes et SFF, facteur de cause commune β, et l'effet décisif de l'intervalle entre tests périodiques. - Source : https://industryhub.site/fr/learn/safety/architectures-pfd-securite - Parcours : Sécurité fonctionnelle - Niveau : Expert - Lecture : 12 min - Langue : français ## En bref La PFD d'une fonction est la somme de celle de ses sous-systèmes. On la réduit par la redondance (1oo2, 2oo3), par le diagnostic, et surtout en resserrant l'intervalle de test. Deux contraintes s'ajoutent au chiffre : la tolérance aux pannes matérielles exigée par la norme, et la cause commune, qui plafonne le gain de toute redondance. ## Décomposer les défaillances Tout part d'une classification. Le taux de défaillance total λ d'un composant se répartit en quatre catégories, selon deux axes : la défaillance est-elle **dangereuse** (elle empêche la fonction de sécurité d'agir) ou **sûre** (elle provoque au pire un déclenchement intempestif) ? Est-elle **détectée** par les diagnostics internes, ou **non détectée** ? | | Détectée | Non détectée | |---|---|---| | **Dangereuse** | λ_DD | **λ_DU** | | **Sûre** | λ_SD | λ_SU | Une seule de ces quatre catégories compte vraiment : **λ_DU**, la défaillance dangereuse non détectée. C'est la panne silencieuse — la vanne grippée, le capteur figé sur une valeur plausible — qui ne se révélera qu'au test périodique, ou le jour de la demande réelle. Les λ_DD, eux, sont détectés par le diagnostic et traités en quelques heures : leur contribution à la PFD est marginale. C'est tout l'intérêt d'un solveur logique de sécurité, dont la couverture de diagnostic dépasse couramment 99 %. Les taux s'expriment souvent en **FIT** (*failures in time*) : une défaillance par milliard d'heures. Le [convertisseur taux de défaillance → MTBF](/fr/tools/safety/fit-to-mtbf) fait la conversion. ## La formule de base Pour un composant unique, non redondant, testé périodiquement tous les **TI** (intervalle de test) : $$\mathrm{PFD}_{avg} \approx \frac{\lambda_{DU} \times TI}{2}$$ Le facteur ½ vient d'une moyenne : entre deux tests, la probabilité d'être en panne croît linéairement de 0 à λ_DU × TI ; sa **moyenne** sur l'intervalle vaut la moitié du maximum. Cette formule tient tout le sujet. Elle dit trois choses : 1. La PFD est **proportionnelle à l'intervalle de test**. Tester deux fois plus souvent divise la PFD par deux. 2. Elle est **proportionnelle à λ_DU**. Un composant deux fois plus fiable vaut un test deux fois plus fréquent. 3. Elle **croît avec le temps** entre deux tests — la fonction n'a pas une performance constante, mais une dent de scie. Exemple : une vanne d'arrêt d'urgence à λ_DU = 3 × 10⁻⁷ h⁻¹, testée tous les ans (8 760 h) : PFD ≈ (3 × 10⁻⁷ × 8 760) / 2 ≈ **1,3 × 10⁻³** — soit du SIL 2 pour ce seul élément. ## La notation MooN **MooN** signifie « M parmi N » : la fonction s'exécute si **M** canaux sur **N** le demandent. | Architecture | Signification | Effet | |---|---|---| | **1oo1** | un seul canal | pas de redondance, référence | | **1oo2** | un canal sur deux suffit à déclencher | ↑ sécurité, ↑ déclenchements intempestifs | | **2oo2** | les deux doivent déclencher | ↓ intempestifs, ↓ sécurité | | **2oo3** | deux sur trois (vote majoritaire) | ↑ sécurité **et** ↓ intempestifs | | **1oo2D** | 1oo2 avec diagnostic et dégradation | compromis des systèmes modernes | Le **2oo3** est le classique du procédé : trois transmetteurs, la décision à la majorité. Un capteur qui dérive est mis en minorité — pas d'arrêt intempestif — tandis que deux capteurs sur trois suffisent à déclencher. Le choix n'est jamais purement sécuritaire. Un arrêt intempestif sur une unité de production coûte parfois plus qu'une année de maintenance, et un site qui subit des arrêts injustifiés finit par… ponter la sécurité. La disponibilité est donc un **argument de sécurité**, pas seulement un argument économique. ## Le gain de la redondance, et son plafond Pour une architecture 1oo2, les deux canaux doivent être en panne simultanément. Si les défaillances étaient parfaitement indépendantes : $$\mathrm{PFD}_{1oo2} \approx \frac{(\lambda_{DU} \times TI)^2}{3}$$ Le terme est **quadratique** : deux capteurs à 10⁻² chacun donneraient 10⁻⁴. Gain spectaculaire — et trompeur. Car les défaillances ne sont pas indépendantes. Deux transmetteurs identiques, du même fournisseur, du même lot, montés sur le même piquage, avec le même fluide colmatant, subissant la même vibration et le même défaut de calibration par le même technicien : ils tombent en panne **ensemble**. C'est la **défaillance de cause commune**, quantifiée par le facteur **β** — la fraction des défaillances qui frappent tous les canaux à la fois. $$\mathrm{PFD}_{1oo2} \approx \underbrace{\frac{((1-\beta)\lambda_{DU} TI)^2}{3}}_{\text{indépendant}} + \underbrace{\frac{\beta \times \lambda_{DU} \times TI}{2}}_{\text{cause commune}}$$ Le second terme est **linéaire**, comme un canal unique affecté d'un coefficient β. Il **domine** dès que la redondance est bonne, et fixe un plancher. Ordres de grandeur usuels de β : **1 à 2 %** pour des canaux vraiment diversifiés (technologies, fournisseurs, piquages différents), **5 %** en configuration soignée mais identique, **10 %** ou plus si tout est commun. Conséquence chiffrée : avec λ_DU × TI = 10⁻², la PFD indépendante vaudrait 3 × 10⁻⁵, mais un β de 5 % impose déjà 2,5 × 10⁻⁴ — **presque dix fois plus**. La cause commune, et non le calcul de fiabilité, décide du résultat. D'où les parades concrètes : diversifier les technologies de mesure (pression *et* niveau radar), séparer les piquages, éviter que le même intervenant calibre les deux canaux le même jour, et décaler les tests dans le temps. ## Les contraintes d'architecture Le chiffre de PFD ne suffit pas. L'[IEC 61508](/fr/standards/iec-61508) impose en plus une **tolérance minimale aux anomalies matérielles**, la **HFT** (*hardware fault tolerance*) : HFT = 1 signifie que le sous-système continue d'assurer sa fonction malgré une panne — donc au moins deux canaux. La HFT exigée dépend de la **SFF** (*safe failure fraction*), la proportion des défaillances qui ne sont pas dangereuses-non-détectées : $$\mathrm{SFF} = \frac{\lambda_S + \lambda_{DD}}{\lambda_S + \lambda_{DD} + \lambda_{DU}}$$ Pour les dispositifs simples (capteurs, vannes — dits de type A), le tableau se résume ainsi : | SFF | SIL max avec HFT = 0 | avec HFT = 1 | |---|---|---| | < 60 % | SIL 1 | SIL 2 | | 60 – 90 % | SIL 2 | SIL 3 | | 90 – 99 % | SIL 3 | SIL 4 | | ≥ 99 % | SIL 3 | SIL 4 | Les dispositifs complexes et programmables (type B) sont plus sévèrement traités d'un cran. Conséquence pratique : une boucle peut **calculer** une PFD digne du SIL 3 et rester **plafonnée SIL 2** faute de redondance. Les deux critères — chiffre et architecture — doivent être satisfaits ensemble. L'[IEC 61511](/fr/standards/iec-61511) propose au secteur des procédés une voie complémentaire, celle du **retour d'expérience** (*prior use*) : justifier l'emploi d'un composant par un historique d'exploitation documenté dans des conditions comparables, plutôt que par un dossier de certification. C'est souvent la voie réaliste pour les vannes de procédé. ## L'exemple complet Reprenons une SIF classique — pression haute sur un réacteur, avec trois sous-systèmes, testés annuellement : | Sous-système | Architecture | PFD | |---|---|---| | Transmetteurs de pression | 2oo3 | 2 × 10⁻⁴ | | Solveur logique de sécurité | 1oo2D certifié | 5 × 10⁻⁵ | | Vanne d'arrêt d'urgence | 1oo1 | 1,3 × 10⁻³ | | **Total** | | **≈ 1,55 × 10⁻³** | La fonction atteint **SIL 2** (entre 10⁻³ et 10⁻²), et la **vanne pèse plus de 80 %** du total. Ce déséquilibre est la règle, pas l'exception : l'élément final mécanique domine presque toujours. Ajouter un quatrième transmetteur ne changerait rien. Trois leviers, en revanche, agissent : 1. **Réduire l'intervalle de test de la vanne** — passer à six mois divise sa PFD par deux, et fait basculer l'ensemble sous 10⁻³. 2. **Le test partiel de course** (*partial stroke testing*) — manœuvrer la vanne de 10 à 20 % en marche révèle une part des blocages sans arrêter la production. Il ne remplace pas le test complet mais allonge l'intervalle acceptable entre deux tests complets. 3. **Doubler la vanne**, coûteux en tuyauterie et rarement justifié avant SIL 3. ## Ce que les formules ne disent pas Tous ces calculs ne portent que sur les **défaillances aléatoires** du matériel. Ils ignorent les **défaillances systématiques** : erreur de spécification, seuil mal réglé, logique inversée, capteur monté au mauvais endroit, modification non tracée. Or les retours d'expérience du secteur convergent : ces causes systématiques dominent largement les accidents réels. Aucune redondance ne corrige une spécification fausse — une SIF parfaitement calculée sur le mauvais paramètre reste inutile. C'est précisément pourquoi la norme impose un **cycle de vie** complet et pas seulement un calcul, objet du chapitre suivant. ## À retenir Doubler un capteur divise sa contribution par un grand facteur, mais le facteur de cause commune β fixe un plancher qu'aucune redondance ne franchit.