# Exploitation : tests périodiques, pontages et gestion des modifications > Le SIL se perd en exploitation, pas en conception. Test périodique et couverture réelle, dent de scie de la PFD, test partiel de course, discipline des pontages, gestion des modifications et données de retour d'expérience. - Source : https://industryhub.site/fr/learn/safety/exploitation-tests-periodiques - Parcours : Sécurité fonctionnelle - Niveau : Praticien - Lecture : 11 min - Langue : français ## En bref La PFD calculée n'est valable que si l'intervalle de test réel correspond à l'hypothèse de calcul et si le test révèle effectivement les défaillances dangereuses non détectées. En exploitation, trois mécanismes dégradent le niveau atteint : l'allongement des intervalles, la couverture de test partielle, et les pontages non maîtrisés. ## Le SIL n'est pas acquis une fois pour toutes Une installation reçoit son dossier de sécurité à la mise en service : SIF listées, PFD calculées, SIL démontrés. Ce dossier décrit un état **conditionnel**. Il énonce, souvent sans le dire clairement : *à condition que ces fonctions soient testées à cet intervalle, avec cette couverture, et que rien ne change*. Vingt ans plus tard, l'intervalle de test a glissé, la couverture n'a jamais été vérifiée, trois modifications de procédé sont intervenues et deux pontages sont en place depuis des mois. Le dossier, lui, affiche toujours SIL 2. C'est la raison pour laquelle les accidents impliquant des systèmes de sécurité révèlent rarement une erreur de calcul, et presque toujours une **défaillance d'exploitation**. ## Le test périodique : à quoi il sert exactement Le **test périodique** (*proof test*) a une fonction précise : révéler les **défaillances dangereuses non détectées** — les λ_DU du chapitre sur les architectures. Les défaillances détectées par diagnostic sont déjà connues et traitées ; les défaillances sûres se manifestent d'elles-mêmes. Reste la panne silencieuse, que seul le test met au jour. D'où la formule fondamentale, qui gouverne toute l'exploitation : $$\mathrm{PFD}_{avg} \approx \frac{\lambda_{DU} \times TI}{2}$$ La PFD est **proportionnelle à l'intervalle de test**. Ce n'est pas un paramètre parmi d'autres : c'est le seul levier que l'exploitant contrôle après la mise en service. Conséquence quantifiée. Une SIF calculée SIL 2 avec un test **annuel** : | Intervalle réel | PFD | SIL effectif | |---|---|---| | 1 an (hypothèse) | 1,3 × 10⁻³ | SIL 2 | | 2 ans | 2,6 × 10⁻³ | SIL 2 (limite basse) | | 3 ans | 3,9 × 10⁻³ | SIL 2 (marge nulle) | | 5 ans | 6,6 × 10⁻³ | **SIL 2 tout juste, SIL 1 avec toute dégradation** | Le glissement se produit rarement par décision. Il vient d'un enchaînement banal : la SIF n'est testable qu'à l'arrêt, l'arrêt annuel devient bisannuel, puis s'aligne sur l'arrêt quinquennal réglementaire. Personne n'a décidé de dégrader la sécurité ; la PFD a doublé puis quintuplé. ## La dent de scie La performance d'une SIF n'est pas constante. Juste après un test réussi, la probabilité de défaillance est proche de zéro. Elle croît ensuite linéairement jusqu'au test suivant, qui la ramène au point bas. D'où une **dent de scie** dont la PFD calculée n'est que la **moyenne**. Deux conséquences pratiques : - Juste **avant** un test, la fonction est à son point le plus faible — jusqu'au double de la valeur moyenne. - **Décaler les tests** de canaux redondants (plutôt que tester les deux le même jour) évite que les deux voies soient simultanément à leur point faible, et réduit aussi l'exposition à la cause commune. ## La couverture de test : le paramètre oublié Un test ne révèle pas nécessairement **toutes** les défaillances dangereuses. Sa **couverture** — la proportion de λ_DU qu'il met effectivement au jour — est rarement de 100 %. Exemple typique : tester une vanne d'arrêt d'urgence en vérifiant qu'elle se ferme sur commande. Cela ne teste ni l'étanchéité en position fermée, ni le temps de fermeture sous débit réel, ni le comportement après plusieurs mois d'immobilisation en position ouverte. Le calcul rigoureux découpe alors λ_DU en une part couverte et une part non couverte : $$\mathrm{PFD}_{avg} \approx \frac{C \times \lambda_{DU} \times TI}{2} + \frac{(1-C) \times \lambda_{DU} \times T_{vie}}{2}$$ Le second terme dépend de la **durée de vie** de l'équipement, pas de l'intervalle de test : cette fraction non couverte n'est révélée qu'à la révision complète. Avec une couverture de 90 % — valeur courante pour une vanne testée sans mesure d'étanchéité — le terme résiduel finit par dominer, et aucune augmentation de fréquence de test ne le réduit. D'où la règle : une **procédure de test** doit préciser ce qu'elle couvre, et le calcul de PFD doit utiliser cette couverture, pas 100 % par défaut. ## Le test partiel de course Sur les vannes — presque toujours le maillon dominant —, le **test partiel de course** (*partial stroke testing*, PST) manœuvre la vanne de 10 à 20 % pendant le fonctionnement normal, sans arrêter la production. Ce qu'il apporte : la détection des **blocages**, principal mode de défaillance des vannes immobilisées. Sa couverture typique se situe entre 60 et 70 % des λ_DU. Ce qu'il n'apporte pas : la fermeture complète, l'étanchéité, le temps de fermeture total. Il **ne remplace pas** le test complet ; il permet d'espacer celui-ci en maintenant une PFD acceptable entre deux arrêts. C'est le compromis qui permet de concilier un intervalle de test complet aligné sur l'arrêt d'unité et une PFD conforme. ## Les pontages : la discipline la plus fragile Le **pontage** (*bypass*, inhibition, *override*) neutralise volontairement une fonction de sécurité — pour un essai, un démarrage, une maintenance, ou parce qu'un capteur défaillant provoque des arrêts intempestifs. Pendant un pontage, la PFD de la fonction vaut **1** : la protection n'existe plus. C'est légitime et parfois inévitable, à condition d'être encadré : - **Autorisation** formelle, avec un niveau de responsabilité défini - **Durée limitée** et échéance explicite - **Signalisation permanente** en salle de contrôle — un pontage invisible est un pontage oublié - **Mesures compensatoires** pendant la période : surveillance renforcée, ronde, limitation de production - **Enregistrement** et revue périodique des pontages en cours Le mode de défaillance organisationnel est toujours le même : un pontage posé pour deux heures, laissé en place « le temps de commander la pièce », puis intégré au paysage. Une revue mensuelle de la liste des pontages actifs est la parade la plus efficace, et la moins coûteuse. ## La gestion des modifications Toute modification — du procédé, du SIS, des paramètres, des consignes — doit repasser par le processus de **gestion des modifications** (*management of change*, MOC). La question à poser n'est pas « le changement est-il sur le SIS ? » mais « **le changement invalide-t-il une hypothèse de l'analyse de risque ?** ». Modifications à fort impact, souvent traitées comme anodines : - Changement de **produit** ou de recette — modifie les conséquences, donc le SIL requis - Augmentation de **capacité** ou de débit — réduit le temps de sécurité disponible - Remplacement d'un capteur par un **modèle différent** — change λ_DU et parfois la couverture de diagnostic - Modification d'un **seuil** ou d'une temporisation — change directement la fonction - Changement de **période d'arrêt** — change l'intervalle de test, donc la PFD Ce dernier point mérite d'être souligné : une décision purement industrielle, prise en réunion de production, dégrade mécaniquement le SIL de plusieurs fonctions. Sans MOC, personne ne fait le lien. ## Les données de retour d'expérience L'exploitation produit une matière précieuse à condition de l'enregistrer : les **demandes réelles** (combien de fois la SIF a-t-elle été sollicitée ?), les **défaillances constatées** au test, les **temps de réparation**, les déclenchements intempestifs. Deux usages : 1. **Valider les hypothèses.** Une SIF calculée en faible sollicitation mais sollicitée quinze fois par an n'est pas en faible sollicitation : le mode de calcul est faux, et le procédé a un problème en amont. 2. **Alimenter le *prior use*.** L'[IEC 61511](/fr/standards/iec-61511) autorise à justifier un composant par un historique documenté. Cet historique n'existe que si quelqu'un l'a consigné, avec les conditions d'emploi. ## Ce qui dégrade réellement le niveau En résumé, trois mécanismes suffisent à faire perdre un niveau de SIL sans qu'aucun document ne change : 1. L'**intervalle de test** s'allonge au rythme des arrêts d'unité. 2. La **couverture de test** est supposée totale alors qu'elle est partielle. 3. Les **pontages** s'installent dans la durée. Aucun n'est un problème d'ingénierie. Tous relèvent de l'organisation — compétence, traçabilité, revue périodique. C'est ce que vise la **gestion de la sécurité fonctionnelle** exigée par la norme, et ce que confirment les évaluations FSA en exploitation. Le calcul initial démontre qu'un niveau est **atteignable**. Seule l'exploitation démontre qu'il est **atteint**. ## À retenir Une SIF testée tous les cinq ans alors que le calcul supposait un test annuel a perdu un niveau de SIL — sans qu'aucun document ne l'indique.