La norme qui dit à quel point votre dispositif de sécurité doit être fiable

L’ATEX dit quel niveau de protection un équipement exige dans une zone donnée. L’IEC 60079 dit quel mode de protection (Ex d, Ex ia, etc.) le fournit. Aucune des deux ne dit à quel point un dispositif doit être fiable lorsque ce dispositif est lui-même la protection — quand un contact de température, un détecteur de débit ou un contrôleur de vitesse est la chose qui se tient entre le fonctionnement normal et une source d’inflammation.

C’est précisément ce trou que comble EN 50495. Son titre est littéral : Dispositifs de sécurité nécessaires au fonctionnement sûr des appareils du point de vue des risques d’inflammation. C’est le pont entre protection contre l’explosion et sécurité fonctionnelle — le document qui convertit une exigence ATEX/EPL en un objectif de fiabilité mesurable (un niveau de classification), puis permet de démontrer cet objectif sous forme de SIL.

Si vous avez déjà vu une plaque de pompe indiquant « admise en Zone 1 à condition que la surveillance de température de surface soit active », EN 50495 est la norme derrière cette phrase.

Le problème qu’elle résout

Deux situations font d’un dispositif de sécurité la protection elle-même :

1. Réduction de zone. Vous installez une mesure surveillée (ex. ventilation forcée avec détecteur de débit, ou inertage avec analyseur d’O₂) pour rendre l’atmosphère dangereuse moins probable. Si la mesure est assez fiable, la zone résultante est inférieure à la zone de base — et vous pouvez y utiliser du matériel moins coûteux.
2. Maîtrise d’une source d’inflammation. L’équipement lui-même peut devenir une source d’inflammation (palier qui surchauffe, accouplement tournant à sec, ventilateur en survitesse). Une surveillance détecte le précurseur et force un état sûr avant que l’inflammation ne soit possible. Pour le matériel mécanique, c’est le mode de protection « b » d’EN ISO 80079-37, niveaux b1/b2 — et la partie instrumentée de « b » est graduée par EN 50495.

Dans les deux cas la question est la même : à quel point la surveillance doit-elle être fiable ? Trop faible et vous avez une protection sur le papier ; sur-dimensionnée et vous payez une redondance inutile.

Les niveaux de classification K1 / K2 / K3

EN 50495 répond par trois degrés de fiabilité, chacun lié à une tolérance aux pannes matérielles :

Niveau	Tolérance aux pannes (HFT)	Architecture typique	Signification
K1	HFT 0	1oo1 (mono-voie)	Une seule panne dangereuse peut la mettre en défaut. Acceptable si la source d’inflammation n’apparaît qu’après une panne rare, ou via technologie éprouvée + essais réguliers.
K2	HFT 1	1oo2 / 2oo3	Sûr à une panne : une panne dangereuse ne doit pas mettre en défaut la fonction de sécurité.
K3	HFT 2	1oo3	Sûr à deux pannes : deux pannes combinées ne doivent pas la mettre en défaut. Le degré le plus élevé.

Le niveau requis croît avec deux entrées : l’EPL/catégorie ATEX de l’appareil (à quelle rareté il peut s’enflammer) et la fréquence à laquelle la source d’inflammation deviendrait sinon effective (jamais / en panne rare / en panne attendue / en permanence). La règle allemande TRGS 725 en fait des tableaux de décision explicites — voir cette fiche pour les grilles détaillées.

De la classification au SIL

Un niveau de classification est une exigence de fiabilité ; le SIL est la façon de prouver que vous l’avez atteinte. EN 50495 (et la TRGS 725, Tableau 10) donnent une correspondance directe :

Classification	À démontrer comme	Mise en œuvre
K1	SIL 1 (ou SIL_CL 1)	Dispositif MSR de sécurité — une fonction instrumentée de sécurité (SIF) selon IEC 61511.
K2	SIL 2 (ou SIL_CL 2)	Boucle SIF unique, sûre à une panne, selon IEC 61511.
K3	SIL 3 (ou SIL_CL 3)	Dispositif MSR de sécurité redondant, boucle SIF selon IEC 61511.

Deux voies sont légitimes :

• Technologie éprouvée (bewährte Technik) + essais réguliers documentés. Pour K1 / les dispositifs simples non programmables, cela peut suffire — vous n’avez pas besoin d’un dossier SIL complet. C’est la voie pragmatique que la TRGS 725 autorise explicitement dans de nombreux cas.
• Sécurité fonctionnelle quantifiée : une démonstration SIL selon IEC 61508 (générique), IEC 61511 (procédé) ou IEC 62061 (machines). Obligatoire dès que l’unité est complexe/programmable ou que le niveau requis est élevé.

Utilisez le convertisseur PFD ↔ SIL et l’outil RRF ↔ SIL pour situer une architecture candidate dans la bonne plage SIL avant le calcul complet.

Exemple concret — une pompe à vide en Zone 1

Une pompe à vide à anneau liquide est admise en Zone 1 gaz, groupe IIB, classe de température T3 (≤ 200 °C) uniquement tant qu’une surveillance de température de surface est active (entrée courante dans les vraies notices ATEX).

1. EPL / catégorie : Zone 1 → catégorie 2G → EPL Gb. La surface chaude peut devenir source d’inflammation lors d’une panne attendue (perte du liquide d’étanchéité → marche à sec → échauffement rapide).
2. Classification requise : la grille « source d’inflammation » mène ici à K1 → HFT 0 (un niveau de crédit nécessaire). Des profils de demande plus sévères poussent vers K2.
3. Fonction : « détecter température du corps ≥ 90 °C pré-alarme, ≥ 100 °C déclenchement → couper le moteur (safe torque off) dans le temps de sécurité du procédé. »
4. Démontrer : une boucle SIF unique (Pt100 Ex → automate de sécurité → contacteur moteur/STO), prouvée SIL 1 selon IEC 61511 — ou technologie éprouvée + essais périodiques si le dispositif s’y prête.
5. Temps : la réponse de la boucle doit être plus rapide que la vitesse d’échauffement — un chiffre de SIL seul ne le garantit pas ; le temps de sécurité du procédé est une vérification distincte et obligatoire.

Là où les ingénieurs se trompent

• « Certifié Ex » ≠ « certifié SIL ». Ex d / Ex ia (IEC 60079) décrit la protection contre l’inflammation du dispositif lui-même — cela ne dit rien sur la fiabilité de sa fonction de sécurité. Un transmetteur SIL 2 peut être du mauvais type Ex ; un capteur certifié Ex peut être incapable d’atteindre un SIL. Ce sont deux axes orthogonaux et il vous faut les deux.
• La surveillance est aussi dans la zone. Le dispositif de sécurité est en général installé en zone dangereuse : il doit aussi porter un marquage Ex adapté à cette zone — sinon la protection est elle-même une source d’inflammation potentielle.
• Le temps de réaction n’est pas dans le SIL. « Die Reaktionszeit der Überwachungseinrichtung muss diese Geschwindigkeit berücksichtigen » — la boucle doit agir avant que la source d’inflammation ne devienne effective. Vérifiez le temps de sécurité du procédé complet, pas seulement le PFD.
• Classez toute la chaîne. Capteur + logique + élément terminal comptent tous ; l’élément le plus faible gouverne le K/SIL atteignable. Un capteur SIL 2 derrière un relais 1oo1 donne une fonction K1.
• On ne « déclare » pas K2/K3. Les unités complexes (programmables) en K2/K3 exigent une évaluation de fiabilité étayée par le fabricant ou l’exploitant — pas une étiquette auto-attribuée.
• Ne comptez pas deux fois la réduction de zone. Une mesure n’obtient la zone résultante plus basse que si la surveillance atteint réellement la classification requise et qu’elle est testée à l’échéance. Sautez le régime d’essais et le crédit s’évapore.

La place d’EN 50495 parmi les autres normes

Norme	Répond à…
IEC 60079 / ATEX 2014/34/UE	Quelle protection contre l’inflammation / catégorie l’appareil exige dans une zone.
EN ISO 80079-37 (mode « b », b1/b2)	Comment un appareil mécanique maîtrise ses sources d’inflammation.
EN 50495	À quel point le dispositif de sécurité (instrumenté) maîtrisant cette source doit être fiable — et comment le graduer (K1/K2/K3).
IEC 61508 / IEC 61511 / IEC 62061	Comment concevoir, vérifier et exploiter ce dispositif comme une fonction de sécurité de niveau SIL.
TRGS 725	La mise en œuvre allemande : tableaux de décision explicites zone → K → SIL.

L’app Sécurité fonctionnelle sur industryhub.cloud exécute le cycle de vie IEC 61511 qu’exige la voie K2/K3 → SIL : assistant Risk Graph, moteur PFD selon IEC 61508-6, planification des tests de fonctionnement et piste d’audit — la base de preuves qu’EN 50495 attend pour un dispositif de protection de Classe I.