# La famille des normes : SIL, PL, ASIL selon les secteurs

> IEC 61508 est la norme mère ; chaque secteur en dérive la sienne. Procédés (61511), machines (62061 et ISO 13849), automobile (ISO 26262), ferroviaire (EN 5012x), nucléaire (61513) — et les trois échelles d'intégrité SIL, PL et ASIL, avec leurs correspondances.

- Source : https://industryhub.site/fr/learn/safety/famille-normes-securite-fonctionnelle
- Parcours : Sécurité fonctionnelle
- Niveau : Découverte
- Lecture : 10 min
- Langue : français

## En bref

L'IEC 61508 fournit le socle générique en sept parties. Les procédés l'appliquent via l'IEC 61511, qui privilégie le retour d'expérience. Les machines disposent de deux voies équivalentes, IEC 62061 (SIL) et ISO 13849 (PL). L'automobile a sa propre échelle ASIL avec l'ISO 26262. Le ferroviaire suit les EN 50126, 50128 et 50129.

## Une norme mère, des déclinaisons

L'[**IEC 61508**](/fr/standards/iec-61508) — « sécurité fonctionnelle des systèmes électriques, électroniques et électroniques programmables relatifs à la sécurité » — est le socle générique. Elle n'est pas conçue pour être appliquée telle quelle sur un site : elle sert de référence à partir de laquelle chaque secteur écrit sa propre norme, adaptée à ses équipements, son vocabulaire et ses modes de défaillance.

Ses **sept parties** :

| Partie | Contenu |
|---|---|
| 1 | Exigences générales et cycle de vie de sécurité |
| 2 | Systèmes E/E/PE — exigences matérielles |
| 3 | Exigences logicielles |
| 4 | Définitions et abréviations |
| 5 | Méthodes de détermination du SIL |
| 6 | Guides d'application des parties 2 et 3 |
| 7 | Techniques et mesures |

Les parties 1 à 4 sont normatives, les parties 5 à 7 informatives. Le fabricant d'un composant certifié travaille surtout avec les parties 2 et 3 ; l'exploitant d'une installation, avec la norme sectorielle qui le concerne.

## Procédés : IEC 61511

L'[**IEC 61511**](/fr/standards/iec-61511) est la déclinaison pour l'industrie de procédé — raffinage, chimie, pharmacie, gaz, énergie. Elle s'adresse à ceux qui **intègrent et exploitent** des systèmes, non à ceux qui les fabriquent : c'est la différence clé avec la 61508.

Ses spécificités :

- Elle organise un **cycle de vie** adapté au procédé, de l'analyse de risque au déclassement.
- Elle admet la voie du **retour d'expérience** (*prior use*) : justifier un composant par un historique d'exploitation documenté dans des conditions comparables, plutôt que par un certificat. Voie souvent plus réaliste que la certification pour les vannes et capteurs de procédé.
- Elle plafonne le crédit accordé au système de conduite à un **facteur 10** de réduction de risque.
- En pratique, elle couvre **SIL 1 à 3** : au-delà, elle renvoie à la 61508 — et surtout invite à revoir la conception du procédé.

Le mode de sollicitation dominant y est la **faible sollicitation** : la fonction est demandée moins d'une fois par an. D'où le raisonnement en **PFD**.

## Machines : deux voies équivalentes

Le secteur des machines a la particularité d'offrir **deux normes concurrentes et reconnues équivalentes**, sous la directive Machines européenne.

L'[**IEC 62061**](/fr/standards/iec-62061) reprend l'échelle **SIL** (1 à 3) et la logique 61508, en langage machine. Elle convient bien aux architectures complexes, programmables, avec des sous-systèmes hétérogènes.

L'[**ISO 13849**](/fr/standards/iso-13849) propose l'échelle des **niveaux de performance** — **PL a** à **PL e** — issue de la tradition des catégories de sécurité machine. Le PL se détermine en combinant quatre paramètres : la **catégorie d'architecture** (B, 1, 2, 3, 4), le **MTTF_D** (temps moyen avant défaillance dangereuse) de chaque canal, la **couverture de diagnostic moyenne** (DC_avg), et la maîtrise des **causes communes** (CCF).

Elle est plus accessible pour les architectures classiques — arrêt d'urgence, protecteurs mobiles, barrières immatérielles — et dispose d'outils de calcul largement diffusés.

Les deux échelles se correspondent approximativement :

| PL (ISO 13849) | SIL (IEC 62061) | PFH indicative (h⁻¹) |
|---|---|---|
| PL a | — | 10⁻⁵ … 10⁻⁴ |
| PL b | SIL 1 | 3×10⁻⁶ … 10⁻⁵ |
| PL c | SIL 1 | 10⁻⁶ … 3×10⁻⁶ |
| PL d | SIL 2 | 10⁻⁷ … 10⁻⁶ |
| PL e | SIL 3 | 10⁻⁸ … 10⁻⁷ |

Les machines raisonnent en **PFH** et non en PFD : un protecteur mobile est sollicité plusieurs fois par jour, on est en **forte sollicitation**.

## Automobile : ISO 26262 et l'échelle ASIL

L'[**ISO 26262**](/fr/standards/iso-26262) régit les systèmes électriques et électroniques des véhicules routiers. Son échelle propre, l'**ASIL** (*automotive safety integrity level*), va de **A** (le moins exigeant) à **D** (le plus exigeant), plus la mention **QM** (*quality management*) qui signifie « aucune exigence de sécurité fonctionnelle, la qualité ordinaire suffit ».

La détermination de l'ASIL est distinctive : elle croise **trois** paramètres, évalués pour chaque situation de conduite.

- **S** — sévérité des blessures (S0 à S3)
- **E** — probabilité d'exposition à la situation (E0 à E4)
- **C** — contrôlabilité par le conducteur (C0 à C3)

L'idée sous-jacente : un défaut grave mais qui survient dans une situation rare et que le conducteur peut rattraper ne justifie pas le même effort qu'un défaut permanent et incontrôlable.

Autre particularité, la **décomposition ASIL** : une exigence ASIL D peut être répartie entre deux éléments suffisamment indépendants, chacun traité à un niveau inférieur — mécanisme sans équivalent direct dans le monde du procédé.

## Ferroviaire, nucléaire, et le cas allemand

Le **ferroviaire** applique la série **EN 50126** (RAMS — fiabilité, disponibilité, maintenabilité, sécurité), **EN 50128** (logiciel) et **EN 50129** (systèmes électroniques de sécurité pour la signalisation), avec l'échelle SIL 1 à 4. Le SIL 4 y est effectivement utilisé, contrairement au procédé.

Le **nucléaire** relève de l'**IEC 61513** pour le contrôle-commande, articulée avec les classements de sûreté propres au secteur.

Dans l'espace germanophone, la série **VDI/VDE 2180** accompagne l'application de la 61511 pour les installations de génie des procédés pilotées par technique de conduite (PLT). Ce n'est pas une norme concurrente mais un **guide pratique**, feuille par feuille (*Blatt*), sur la spécification, la conception, la vérification et l'exploitation des fonctions de protection. Largement utilisée par les exploitants et les organismes de contrôle allemands.

## Le tableau de synthèse

| Norme | Secteur | Échelle | Mode dominant |
|---|---|---|---|
| IEC 61508 | Toutes industries — norme mère | SIL 1–4 | les deux |
| IEC 61511 | Procédés | SIL 1–3 | faible sollicitation (PFD) |
| IEC 62061 | Machines | SIL 1–3 | forte sollicitation (PFH) |
| ISO 13849 | Machines | PL a–e | forte sollicitation (PFH) |
| ISO 26262 | Automobile | ASIL A–D, QM | continu (PFH) |
| EN 50126/8/9 | Ferroviaire | SIL 1–4 | les deux |
| IEC 61513 | Nucléaire — contrôle-commande | SIL / catégories | les deux |
| VDI/VDE 2180 | Procédés (guide allemand) | SIL / PLT | faible sollicitation |

## Comment s'y retrouver

Trois questions suffisent à identifier son cadre :

1. **Quel secteur ?** Il désigne la norme applicable — et souvent une obligation réglementaire, pas un choix.
2. **Quel mode de sollicitation ?** Rare (moins d'une fois par an) → PFD et raisonnement 61511. Fréquent ou continu → PFH, machines ou automobile.
3. **Fabricant ou exploitant ?** Le fabricant certifie un produit selon la 61508 ; l'exploitant intègre et exploite selon sa norme sectorielle.

Un piège classique consiste à appliquer les seuils PFD du procédé à une fonction machine sollicitée dix fois par jour : la fonction n'est pas en faible sollicitation, et les plages du tableau SIL ne s'appliquent pas.

Le dernier chapitre du parcours porte sur ce qui décide en réalité du maintien du niveau de sécurité dans le temps : l'exploitation.

## À retenir

Le mode de sollicitation gouverne tout : les procédés raisonnent en PFD parce que la demande est rare, les machines et l'automobile en PFH parce qu'elle est permanente.