Les systèmes industriels sont à la base de la fabrication moderne, de la production d'énergie, des transports et des infrastructures essentielles.À mesure que ces systèmes deviennent plus complexes et plus dépendants de l'électronique programmable, les conséquences d'une défaillance unique peuvent être catastrophiques, allant de la perte de vies humaines à des dommages environnementaux massifs et à des pertes financières.La communauté internationale a réagi en adoptant un cadre rigoureux pour gérer ces risques : la norme internationale CEI 61508, pour la sécurité fonctionnelle des systèmes électroniques (E/E/PE) et électroniques programmables.

Que vous conçoyiez un système d'arrêt de sécurité pour une raffinerie de pétrole, un circuit de commande robotisé sur une ligne de montage ou un système de freinage d'urgence pour un réseau ferroviaire, IEC 61508 fournit l'approche systématique nécessaire pour s'assurer que ces systèmes remplissent correctement leurs fonctions de sécurité en présence de défauts.

Qu'est-ce que la CEI 61508 exactement?

La norme CEI 61508 est une norme internationale publiée par la Commission électrotechnique internationale (CEI). D'abord publiée à la fin des années 1990, puis mise à jour, elle sert de norme-cadre pour la sécurité fonctionnelle dans tous les secteurs. La norme s'applique à tout système qui utilise des composants électroniques électriques, électroniques ou programmables pour exercer des fonctions de sécurité.

La norme est organisée en sept parties, chacune traitant d'un aspect différent de la sécurité fonctionnelle:

  • Partie 1: Exigences générales – le cadre de base et le modèle du cycle de vie.
  • Partie 2: Exigences relatives aux systèmes de sécurité E/E/PE – conception du matériel et des logiciels.
  • Partie 3:[ Exigences en matière de logiciels – des directives spécifiques pour les logiciels critiques en matière de sécurité.
  • Partie 4: Définitions et abréviations – un vocabulaire normalisé.
  • Partie 5: Exemples de méthodes pour déterminer les niveaux d'intégrité de sécurité (SIL).
  • Partie 6: Lignes directrices sur l'application des parties 2 et 3.
  • Partie 7: Aperçu des techniques et mesures – un recueil de méthodes éprouvées.

La norme IEC 61508 n'est pas un manuel de cuisine normatif; elle est une norme fondée sur les performances. Elle ne dicte pas exactement comment construire un système de sécurité. Elle définit plutôt des objectifs, des méthodes pour les atteindre et des preuves qui doivent être fournies pour démontrer la conformité.Cette flexibilité permet d'appliquer cette norme à une vaste gamme d'industries et de technologies, de la logique de relais simple à des systèmes de contrôle distribués complexes.

Pour une introduction approfondie à la structure et à l'historique de la norme, le site Web IEC Functional Safety offre des ressources et des mises à jour officielles.

Concepts fondamentaux de la CEI 61508

Pour appliquer efficacement la norme CEI 61508, les ingénieurs doivent saisir plusieurs concepts fondamentaux qui perméent chaque phase du cycle de vie de sécurité. Les plus importants sont les niveaux d'intégrité de sécurité (SIL), la réduction des risques et des risques, et la distinction entre les échecs systématiques et aléatoires.

Niveaux d'intégrité de la sécurité (NSI)

Le niveau d'intégrité de la sécurité (SIL) est le concept le plus largement reconnu de la CEI 61508. Les SIL offrent un niveau discret de réduction des risques, allant de la SIL 1 (le plus bas) à la SIL 4 (le plus élevé). Chaque SIL correspond à une gamme spécifique de probabilités de défaillance sur demande (DDP) pour les systèmes à faible demande ou de probabilité de défaillance dangereuse par heure (DDP) pour les systèmes à forte demande et en fonctionnement continu.

-2] à 10-1] (1 % à 10 % de probabilité de défaillance sur demande). SIL 2 couvre 10-3 à 10]-2 (0,1 % à 1 %). SIL 3] exige 10[]-4 à 10-3 [0,01 à 0,1%]. SIL 4] exige le niveau le plus élevé, avec une FDP de 10]]] [0,01 à 0,1%]. ] plus élevé, avec une plus grande diversité et une plus grande diversité (FLT

La norme CEI 61508 prévoit plusieurs méthodes d'analyse des graphiques de risque, telles que l'approche par diagramme de risque ou l'analyse de la couche de protection (LOPA), qui évaluent des facteurs tels que la fréquence et la durée de l'exposition au danger, la possibilité d'éviter les dommages et la gravité de l'événement. La norme cible est le niveau de réduction des risques nécessaire pour ramener le risque résiduel à un niveau tolérable. Une erreur courante est de supposer que la norme SIL plus élevée est toujours meilleure; en réalité, l'objectif est d'atteindre le seuil approprié pour le risque identifié, et non de surestimer inutilement le risque résiduel (ce qui ajoute coûts et complexité).

Le cycle de vie de la sécurité

La norme CEI 61508 prévoit un cycle de vie structuré couvrant toutes les phases, de la conception à la désaffectation. Ce cycle de vie n'est pas un modèle de cascade, mais un processus itératif qui permet des boucles de rétroaction.

  • Définition du concept et de la portée :[ Définir le système à l'étude, ses limites et les objectifs de sécurité.
  • Analyse des risques et des risques :[ Identifier les dangers, estimer les risques et décider de la réduction des risques.
  • Exemple des exigences de sécurité Répartition : Allouer les fonctions de sécurité à différentes couches (p. ex., contrôle de base des processus, alarmes, systèmes de sécurité conçus, protection mécanique).
  • Spécifications sur les exigences de sécurité (SRS):[ Documenter les exigences de chaque fonction de sécurité, y compris les contraintes requises en matière de SIL, de comportement fonctionnel et de performance.
  • Conception et développement:[ Mettre en œuvre le matériel et les logiciels du système de sécurité conformément aux exigences du SRS et du SIL.
  • Installation et mise en service:[ Valider que le système est installé correctement et qu'il fonctionne comme prévu.
  • Opération et entretien:[ Assurer des tests périodiques, des rapports de défaillance et des mesures correctives pour maintenir l'intégrité de la sécurité au fil du temps.
  • Modification et réaménagement:[ Réévaluer la sécurité lorsque des changements sont apportés au système ou à son environnement.
  • Déclassement: Retrait en toute sécurité du système et gestion des risques résiduels.

Cette approche du cycle de vie garantit que la sécurité n'est pas une post-considération, mais une partie intégrante de la vie du système, du berceau au tombeau. Chaque phase produit des documents qui servent de preuve de conformité, ce qui est essentiel pour les audits par des organismes de réglementation ou des organismes de certification tiers comme TÜV SÜD ou TÜV Rheinland. Pour des conseils plus approfondis sur l'application du cycle de vie, le TÜV SÜD functional security resource center fournit des informations pratiques et des matériels de formation.

Défauts systématiques ou aléatoires

La CEI 61508 distingue deux grandes catégories de défaillances : systématique et aléatoire. Les défaillances de rando surviennent de façon imprévisible pendant toute la durée de vie du matériel en raison de l'usure ou de la contrainte environnementale (p. ex., une ouverture de résistance, un raccourcissement de condensateur). Elles sont habituellement modélisées par des méthodes probabilistes utilisant des données de taux de défaillance (p. ex., des valeurs FIT). Les défaillances systématiques sont déterministes et résultent d'erreurs dans les spécifications, la conception, la fabrication ou le logiciel.

Pour atteindre un SIL élevé, il faut gérer les deux types de défaillances. Les défaillances aléatoires sont traitées en sélectionnant des composants ayant une fiabilité éprouvée, en ajoutant une redondance et en effectuant une analyse quantitative des arbres de défaillance ou une modélisation Markov. Les défaillances systématiques sont traitées par une gestion rigoureuse de la qualité, un contrôle de la configuration, une vérification et une validation indépendantes (V&V) et l'utilisation de composants éprouvés en utilisation.

Liens avec les normes sectorielles

Une des forces clés de la CEI 61508 est son rôle de méta-étalon qui produit des adaptations spécifiques à un domaine.Ces normes dérivées adaptent les exigences génériques aux particularités de leurs industries tout en maintenant la philosophie fondamentale de SIL et de cycle de vie.

  • IEC 61511 – Industrie des procédés: Pour les installations pétrolières et les installations de traitement du gaz, des produits chimiques et pharmaceutiques, la CEI 61511 (récemment mise à jour à la 3e édition) adapte la CEI 61508 aux systèmes instrumentés de sécurité (SIS). Elle met davantage l'accent sur le rôle de l'opérateur dans l'évaluation des risques et permet certaines méthodes exclusives pour la détermination de la LIS.
  • IEC 62061 – Machines: Cette norme adapte IEC 61508 pour la sécurité des machines, couvrant les commandes électriques, électroniques et programmables. Elle est souvent utilisée aux côtés de la norme ISO 13849, qui adopte une approche différente pour les systèmes mécaniques et électromécaniques plus simples.
  • ISO 26262 – Automotive: Pour les véhicules de tourisme, ISO 26262 adopte le concept SIL sous le nom de Automotive Safety Integrity Level (ASIL). Il resserre les exigences pour le développement matériel et logiciel, en introduisant des cibles spécifiques et des exigences de culture de sécurité.
  • FR 50126/8/9 – Chemins de fer: La série CENELEC 5012x applique les principes IEC 61508 aux systèmes de signalisation, de contrôle de traction et de freinage ferroviaires. Les SIL sont remplacés par des niveaux d'intégrité de sécurité (SIL) mais avec des directives spécifiques aux RAMS ferroviaires (Fiabilité, Disponibilité, Maintenabilité, Sécurité).

Malgré leurs différences, toutes ces normes tracent leur lignée à la CEI 61508. Cette lignée commune signifie que les professionnels formés dans un secteur peuvent relativement facilement passer à un autre, et que les meilleures pratiques – comme la gestion de la sécurité fonctionnelle (GST), la gestion des compétences et l'évaluation indépendante – sont universellement applicables.Pour une comparaison complète de ces normes, la bibliothèque de ressources Compliance Online offre des analyses côte à côte utiles.

Mise en œuvre de la CEI 61508: Défis et pratiques exemplaires

La mise en oeuvre de la norme CEI 61508 dans une organisation n'est pas une tâche atroce, mais nécessite un changement d'attitude, qui passe de la conception pour une opération normale à la conception pour des scénarios d'échec.

  • Intensité des ressources:[ La documentation complète du cycle de vie, les essais approfondis et les évaluations indépendantes exigent un temps, un budget et une expertise considérables.
  • Gérer la complexité:[ La norme elle-même s'étend – plus de 600 pages sur ses sept parties. L'identification des parties applicables à un système donné et l'interprétation des exigences souvent ouvertes (p. ex., «mesures appropriées» ou «dans la mesure du raisonnable») peuvent être redoutables.
  • Compétence et formation: La CEI 61508 met fortement l'accent sur la compétence du personnel. Sans un effectif bien orienté dans l'analyse des risques, la détermination de l'EIS et la vérification, la conformité est impossible.
  • Intégration des systèmes legacy:[ La remise en état des installations existantes pour répondre à la norme CEI 61508 est plus difficile que la conception de nouvelles installations.

Pour surmonter ces difficultés, les pratiques exemplaires ont évolué :

  • Adopter un système de gestion fonctionnelle de la sécurité (SST) :[ Documenter les politiques, les procédures, les rôles et les responsabilités en matière de sécurité.
  • Utiliser des outils et méthodes éprouvés :[ Tirer parti de logiciels conformes aux normes pour les calculs de fiabilité (p. ex., outils d'analyse des arbres de faille), la gestion des exigences et l'automatisation des essais.
  • Engager des évaluateurs tiers tôt : Mettre en place un consultant en sécurité fonctionnelle certifié ou un organisme de certification pendant la phase de définition du projet peut empêcher des travaux coûteux plus tard.
  • Investir dans la formation:[ Les programmes de certification comme le TÜV Rheinland Engineer Functional Safety ou CFSE (Certified Functional Safety Expert) sont des indicateurs de compétence bien considérés.
  • Plan de gestion du changement: Lorsque des modifications se produisent (nouvelle version logicielle, mise à jour du capteur, changement de processus), exécuter une analyse d'impact du changement qui revisite l'analyse des risques et le SRS.

Un point de départ pratique pour de nombreuses entreprises est d'adopter la conformité IEC 61508 progressivement. Par exemple, d'abord, mettre en œuvre la norme pour une seule boucle de sécurité (p. ex. arrêt d'urgence), apprendre de l'expérience, puis s'étendre à d'autres systèmes. Le site Control Global publie fréquemment des études de cas et des guides de mise en œuvre qui illustrent les applications réelles de ces meilleures pratiques.

Avantages au-delà de la conformité

Bien que la conformité réglementaire soit souvent le moteur de l'adoption de la norme CEI 61508, la norme offre des avantages commerciaux plus larges qui justifient son coût.

Réduction des accidents et des quasi-incidents: L'objectif principal de la CEI 61508 est de réduire les risques.Les organisations qui la mettent en œuvre voient systématiquement une baisse mesurable des incidents de sécurité.

Coûts du cycle de vie inférieur :[ Un système de sécurité bien conçu, avec un diagnostic adéquat et une redondance, peut réduire les arrêts imprévus. La détection des défaillances et la dégradation gracieuse signifient que, lorsque des défaillances surviennent, elles sont moins susceptibles de provoquer des pannes catastrophiques.

Reputation améliorée et accès au marché:[ Dans de nombreuses industries, comme le pétrole et le gaz, les produits pharmaceutiques ou le rail, la certification à la CEI 61508 est une condition préalable pour soumissionner sur les marchés. Même si elle n'est pas obligatoire, un engagement démontré en matière de fiabilité des signaux de sécurité fonctionnels pour les clients, les assureurs et les organismes de réglementation.

Amélioration de la rigueur technique: L'approche du cycle de vie oblige les équipes à considérer tous les aspects du système – de la spécification à la maintenance – de manière approfondie.Cela permet souvent de découvrir des défauts de conception cachés et de conduire à une meilleure performance globale du système, et non seulement la sécurité.

Alignement sur les normes mondiales:[ À mesure que les chaînes d'approvisionnement deviennent plus mondiales, un cadre de sécurité unifié évite la confusion.Les produits conçus et testés selon la norme CEI 61508 peuvent être vendus dans de nombreux pays sans essais redondants, réduisant ainsi le temps de mise sur le marché.

Conclusion : L'avenir de la sécurité fonctionnelle et de la CEI 61508

La conception du cycle de vie, le cadre SIL et l'accent mis sur les défaillances systématiques et aléatoires constituent une méthodologie solide pour gérer les risques dans un monde de plus en plus automatisé. La récente publication de la publication IEC 61508 Edition 2.0 a apporté plusieurs clarifications, des exigences plus explicites en matière de sécurité des logiciels et des conseils à jour pour les technologies émergentes comme l'intelligence artificielle et les dispositifs IoT dans les boucles de sécurité.

La complexité croissante des systèmes (par exemple, robots autonomes, capteurs de sécurité connectés, analyse en nuage pour la maintenance prédictive) teste les limites du modèle SIL traditionnel. La communauté de la sécurité fonctionnelle discute activement de la façon d'intégrer l'évaluation probabiliste de la sécurité des composants d'apprentissage automatique et de la façon de gérer les menaces de cybersécurité qui peuvent induire des défaillances systématiques.

Pour toute organisation qui s'occupe de concevoir, d'exploiter ou de maintenir des systèmes industriels liés à la sécurité, la maîtrise de la norme CEI 61508 n'est pas facultative, c'est un impératif éthique et professionnel. La norme fournit un langage commun et un processus éprouvé pour répondre à la question la plus difficile : « La sécurité est-elle suffisante? » En investissant dans la compétence, en s'engageant dans le cycle de vie et en s'engageant avec la communauté de la sécurité fonctionnelle, les ingénieurs peuvent transformer le risque en incertitude contrôlée et s'assurer que les systèmes industriels alimentent le monde sans le mettre en danger.