Dans les fiches techniques, PL et SIL cohabitent sans difficulté. Un automate de sécurité peut afficher SIL 3 et PL e. Même chose pour un relais, un scrutateur ou un variateur équipé de la fonction STO. Pourtant, lorsqu’il faut spécifier, calculer et valider une fonction de sécurité complète, le choix ISO 13849 ou IEC 62061 se termine encore très souvent en faveur de l’EN ISO 13849-1.
L’explication habituelle consiste à dire que l’ISO 13849 est plus simple. C’est pratique, mais très incomplet. Une machine n’est pas une armoire électrique. Une fonction de sécurité non plus. L’ouverture d’un protecteur agit sur une came, qui manœuvre un interrupteur. Le signal passe par une logique de sécurité, puis un contacteur, un variateur, une électrovanne ou un frein doit réellement maîtriser l’énergie dangereuse.
Le certificat d’un automate ne met pas la machine en sécurité. Seule la fonction complète, depuis l’événement physique jusqu’à l’état sûr, peut le faire.
Si la came est mal réglée, si le distributeur reste bloqué, si le ressort casse ou si le frein ne retient pas l’axe, la fonction échoue. Le fait que l’automate soit certifié SIL 3 ne change rien à cette réalité physique.
ISO 13849 ou IEC 62061 : commencer par la fonction, pas par le niveau
Dans trop de projets, l’ordre est inversé. On choisit d’abord l’automate, le relais, la barrière immatérielle ou le variateur. Ensuite, on rédige une fonction de sécurité autour des composants déjà commandés. Le schéma paraît sérieux : deux canaux, PL e, SIL 3, diagnostic et réarmement surveillé. Mais personne n’a encore défini précisément ce que la machine doit faire lorsque le danger apparaît.
La phrase « l’ouverture du protecteur arrête la machine » n’est pas une spécification. C’est un titre. Faut-il supprimer immédiatement le couple avec STO, au risque de laisser l’axe finir sa course sur son inertie ? Faut-il réaliser un arrêt sûr 1, ou SS1, avec décélération contrôlée avant activation de STO ? Faut-il un arrêt sûr 2, ou SS2, suivi d’un arrêt surveillé ? Ou faut-il maintenir activement une position sûre avec SOS ?
Le PLr ou le SIL requis indique avec quelle fiabilité la fonction doit agir. Il ne dit pas ce que la fonction doit faire.
La différence est décisive. STO supprime la capacité du moteur à produire du couple, mais ne constitue ni un frein mécanique ni une garantie d’arrêt immédiat. Sur un axe vertical, la gravité ne demande pas l’autorisation de l’automate avant d’agir. Il faut déterminer si l’axe peut descendre, s’il doit être freiné, retenu ou soutenu par un dispositif distinct.
STO n’est pas un frein. Une sortie logique à zéro n’est pas un état sûr tant que l’énergie et le mouvement réels ne sont pas maîtrisés.
La spécification des exigences de sécurité, généralement désignée par SRS, sert précisément à transformer les résultats de l’appréciation du risque selon l’ISO 12100 en exigences techniques exploitables. Pour chaque fonction, elle doit notamment préciser :
- l’événement déclencheur ;
- les mouvements et énergies concernés ;
- la réaction attendue : STO, SS1, SS2, SOS ou séquence combinée ;
- l’état sûr à atteindre et la manière de le maintenir ;
- le temps de réponse maximal ;
- les modes de marche dans lesquels la fonction est active ;
- le comportement en cas de défaut ou de perte d’énergie ;
- les conditions de réarmement et de redémarrage ;
- le niveau de performance requis PLr ou le niveau SIL requis.
Ce n’est qu’après cette étape que le choix de l’architecture, des composants et de la méthode de démonstration devient pertinent. L’automate ne définit pas la fonction de sécurité. La fonction impose ses exigences à l’automate, aux capteurs, aux actionneurs et au logiciel.
La frontière de la fonction ne suit pas celle de l’armoire
Sur un schéma fonctionnel, le découpage paraît propre : entrée, logique, sortie. Dans la machine, les frontières sont beaucoup moins confortables. Un protecteur ne « transmet » pas spontanément un signal. Il doit d’abord déplacer une came, un galet ou un poussoir. Un jeu dans la charnière, une usure du galet, un mauvais point d’actionnement ou un déplacement insuffisant peuvent empêcher la détection, même si les deux canaux électriques restent parfaitement cohérents.
L’automate ne voit pas le protecteur. Il voit l’état des contacts. La redondance et le diagnostic ne corrigent pas une mauvaise conception mécanique de l’actionnement.
La même vigilance s’impose en sortie. La désactivation d’une sortie de sécurité ne garantit pas que le contacteur a ouvert ses pôles, que la pression a disparu, que le tiroir du distributeur a changé de position ou que le frein a développé le couple nécessaire.
L’état sûr n’existe pas dans le programme. Il existe dans la machine, avec ses masses, ses pressions, son inertie et sa gravité.
L’EN ISO 13849-1 permet de commencer l’analyse là où l’événement physique devient une information de sécurité. Une came ou le galet d’un interrupteur peut donc appartenir à la chaîne analysée. À l’autre extrémité, un distributeur, un contacteur ou un frein peut former tout ou partie d’un sous-système de sortie.
Cela ne signifie pas qu’il faut intégrer toute la mécanique de la machine dans un calcul de PL. Un vérin ordinaire reste généralement un organe d’entraînement extérieur à la partie du système de commande relative à la sécurité. En revanche, si son ensemble comprend un verrou, un bloqueur de tige ou un dispositif assurant une sous-fonction de sécurité, cette contribution ne peut pas être écartée par principe.
Le test le plus utile est simple : la défaillance de cet élément peut-elle empêcher la détection, la réaction ou le maintien de l’état sûr ?
La technologie ne fixe pas la frontière. C’est le rôle de l’élément dans le scénario de défaillance qui la fixe.
Un automate SIL 3 ne crée pas une fonction SIL 3
Un automate de sécurité est souvent le composant le mieux documenté du système : deux processeurs, autodiagnostic, sorties surveillées, certificat détaillé et valeurs de PFHD. Il devient alors tentant de transférer son niveau à toute la fonction.
Ce raccourci est faux. La certification indique les capacités du sous-système lorsqu’il est utilisé, configuré et intégré conformément aux prescriptions du fabricant. Elle ne se propage pas aux capteurs, au câblage, au programme applicatif, aux contacteurs ou aux organes pneumatiques.
Le SIL 3 ne circule pas dans l’installation comme une alimentation 24 V.
Dans une fonction classique, le capteur détecte l’événement, la logique décide et le sous-système de sortie place la machine dans l’état prévu. La chaîne échoue au niveau de son maillon le plus faible, pas au niveau du composant dont le certificat est le plus épais.
Il faut également additionner les contributions probabilistes des sous-systèmes. Prenons une fonction composée d’une entrée, d’une logique et d’une sortie, chacune présentant une PFHD de 8 × 10−8 par heure. Chaque bloc pris séparément se situe dans la plage du PL e. Pour la fonction complète :
8 × 10−8 + 8 × 10−8 + 8 × 10−8 = 2,4 × 10−7 par heure.
Le résultat se situe alors dans la plage du PL d. Ajouter plusieurs composants de haut niveau peut donc dégrader le niveau global, tout simplement parce que la fonction comporte davantage de possibilités de défaillance dangereuse.
PL e + PL e + PL e ne donne pas automatiquement PL e. Le niveau final dépend de l’architecture, des limites de chaque sous-système et de la somme des PFHD.
Atteindre PL e ne consiste pas à collectionner les étiquettes PL e. Il faut réduire les dépendances inutiles, mettre en place une architecture adaptée, diagnostiquer les défauts pertinents, maîtriser les défaillances de cause commune et vérifier le comportement réel après défaut.
Une fonction de sécurité traverse souvent plusieurs technologies
Une ouverture de protecteur peut déplacer une came mécanique. Celle-ci actionne un interrupteur électromécanique. Le signal est traité par un relais ou un automate de sécurité. La sortie coupe la bobine d’un distributeur pneumatique. Un ressort ramène le tiroir, la pression est évacuée et le mouvement du vérin doit cesser. Un frein mécanique peut ensuite être nécessaire pour maintenir une charge.
C’est une seule fonction, mais elle traverse la mécanique, l’électrotechnique, l’électronique et la pneumatique. L’organigramme de l’entreprise peut répartir ces domaines entre plusieurs services ; la machine, elle, ne connaît pas cette organisation.
Une machine ne sépare pas la sécurité en automatismes, pneumatique et mécanique. Cette séparation n’existe que dans nos bureaux d’études.
L’un des grands avantages pratiques de l’EN ISO 13849-1 est d’avoir été conçue pour les parties des systèmes de commande relatives à la sécurité, indépendamment de la technologie ou de la forme d’énergie. Une fonction peut être divisée en sous-systèmes d’entrée, de logique et de sortie, même si chacun repose sur une technologie différente.
Cela ne veut pas dire que chaque ressort ou chaque vis reçoit son propre PL. Le niveau de performance caractérise un sous-système ou la fonction complète, pas chaque pièce isolée. Mais si le retour en position sûre d’un distributeur dépend d’un ressort, il faut examiner les conséquences d’une rupture, d’une perte de force, d’un mauvais montage, d’un grippage ou d’une pollution.
Un ressort n’a pas besoin d’un certificat PL e pour être critique. Il suffit que sa défaillance empêche le sous-système d’atteindre l’état sûr.
Le raisonnement est identique pour une came, un verrou ou un frein. L’absence d’électronique ne signifie pas l’absence d’influence sur la sécurité. La bonne question n’est pas « ce composant est-il électrique ? », mais « que devient la fonction s’il ne remplit plus son rôle ? ».
L’ISO 13849 utilise les données réellement disponibles sur les machines
Dans un monde idéal, chaque composant arriverait avec une PFHD, un niveau déclaré, des limites d’emploi et un rapport de validation. Dans une machine réelle, on rencontre aussi des contacteurs, des interrupteurs, des électrovannes, des freins et des mécanismes soumis à l’usure.
Pour ces composants, le fabricant fournit souvent une valeur B10D plutôt qu’un niveau PL ou SIL. Cette valeur correspond au nombre de cycles au terme duquel 10 % d’une population de composants a subi une défaillance dangereuse. Elle doit être rapprochée du nombre réel de manœuvres annuelles afin d’estimer la MTTFD.
Deux distributeurs identiques dans le catalogue n’auront donc pas la même contribution dans l’application si le premier commute cinq fois par poste et le second toutes les deux secondes. La référence commerciale est la même ; l’exposition à l’usure ne l’est pas.
L’ISO 13849 est pratique non parce qu’elle exige moins de preuves, mais parce qu’elle permet de construire la preuve avec les données réellement disponibles en construction de machines.
La méthode combine notamment :
- les valeurs PL, SIL et PFHD de sous-systèmes déjà validés ;
- B10D et le nombre de manœuvres pour les éléments soumis à l’usure ;
- la MTTFD ;
- la couverture de diagnostic moyenne DCavg ;
- les catégories d’architecture ;
- les mesures contre les défaillances de cause commune ;
- les principes de sécurité fondamentaux et éprouvés ;
- les composants éprouvés ;
- le traitement des défaillances systématiques et du logiciel ;
- les exclusions de défaut dûment justifiées.
Les valeurs types et les chemins simplifiés restent soumis aux conditions d’application. Une valeur générique trouvée dans une annexe ne transforme pas automatiquement n’importe quel distributeur en composant adapté à la sécurité. Il faut vérifier la norme produit, la charge, le milieu, la qualité du fluide, les limites de fréquence, la maintenance et les modes de défaillance considérés.
L’exclusion de défaut mérite une vigilance particulière. Elle ne consiste pas à écrire qu’une pièce « ne cassera pas parce qu’elle est robuste ». Il faut identifier le défaut exclu et démontrer, à partir de la conception, des contraintes, des matériaux, du montage et des conditions d’utilisation, que sa probabilité est suffisamment faible.
Une exclusion de défaut n’est pas une absence d’analyse. C’est l’une des conclusions les plus exigeantes de l’analyse.
ISO 13849 ou IEC 62061 face à la pneumatique et à la mécanique
Pendant longtemps, la règle simplifiée était claire : l’IEC 62061 concernait surtout les systèmes électriques, électroniques et électroniques programmables, tandis que l’ISO 13849 couvrait naturellement les technologies pneumatiques, hydrauliques et mécaniques. Cette présentation n’est plus à jour.
L’édition 2021 de l’IEC 62061 a étendu son domaine d’application aux technologies non électriques. La présence d’un distributeur pneumatique, d’un frein ou d’un mécanisme ne rend donc plus l’approche SIL inapplicable.
La pneumatique n’exclut plus une démonstration SIL. Elle exclut seulement l’idée qu’il suffirait de calculer l’électronique.
La difficulté a changé de place. Pour intégrer un sous-système pneumatique ou mécanique dans une démonstration selon l’IEC 62061, il faut disposer d’un modèle de fiabilité crédible. Si le fabricant fournit une PFHD validée, une limite SILCL et des conditions d’emploi, ces données peuvent être utilisées. À défaut, il faut construire le modèle à partir des modes de défaillance, des essais, de l’architecture, du diagnostic, de la maintenance et des hypothèses de durée de vie.
Prenons une chaîne comprenant un arrêt d’urgence, un automate de sécurité, un distributeur 5/2 et un vérin. Le sous-système de sortie ne se résume pas à la bobine électrique. Il peut inclure le tiroir, le pilotage, le ressort de rappel, la redondance éventuelle et la surveillance de position ou de pression.
Les défauts dangereux peuvent inclure un blocage en position d’alimentation, une fuite interne excessive, une commutation trop lente ou une perte de force du ressort. Il faut estimer leur contribution à la PFHD et vérifier si les essais ou le diagnostic les détectent suffisamment tôt.
L’IEC 62061 peut intégrer un sous-système pneumatique. Encore faut-il transformer son comportement physique, son usure et ses défauts en un modèle de fiabilité défendable.
Les composants mécaniques et pneumatiques vieillissent souvent en fonction du nombre de cycles, de la pollution, du graissage, de la température et du montage. Leur comportement ne suit pas toujours les modèles simples utilisés pour l’électronique. Les documents techniques complémentaires, notamment l’IEC TS 63394:2023, apportent des indications utiles pour traiter ces technologies de manière plus réaliste.
L’ISO 13849 reste néanmoins très présente parce que ses données, ses architectures types, ses bibliothèques de composants et ses pratiques de validation sont implantées depuis longtemps dans l’industrie des machines. La différence n’est donc plus une interdiction normative. Elle tient surtout à la facilité avec laquelle les données disponibles peuvent être converties en preuve cohérente.
Un composant SIL 3 n’impose pas l’IEC 62061 à toute la fonction
Une barrière immatérielle, un automate et un variateur peuvent tous être certifiés SIL 3. Cela n’oblige pas à évaluer la fonction complète selon l’IEC 62061. L’EN ISO 13849-1 permet d’utiliser des sous-systèmes déjà validés selon l’ISO 13849, l’IEC 62061, la série IEC 61508 ou une norme produit pertinente.
Une fonction évaluée en PL peut donc associer un automate SIL 3, un STO SIL 3, un interrupteur PL d et une électrovanne décrite par B10D. Le point essentiel est de disposer des valeurs de fiabilité, des limites d’emploi et des exigences d’intégration de chaque sous-système.
Le certificat d’un sous-système décrit ses capacités. Il ne choisit pas à la place du concepteur la méthode d’évaluation de toute la fonction.
Il n’est pas nécessaire d’inventer une catégorie pour un automate validé selon l’IEC 62061 ou l’IEC 61508. Une catégorie décrit une architecture et un comportement face aux défauts ; ce n’est pas un autre nom pour le SIL. L’intégrateur doit traiter l’équipement comme un bloc validé, avec ses entrées, ses sorties, sa PFHD, ses temps de réaction, ses restrictions et ses conditions d’utilisation.
Il doit néanmoins vérifier la configuration réelle. Un STO SIL 3 ne convient pas automatiquement si la réduction du risque exige SS1. Un scrutateur de haut niveau installé trop près du danger détectera correctement la personne, mais trop tard. Un programme applicatif qui neutralise une fonction en mode réglage peut ruiner une architecture irréprochable.
PL et SIL se rencontrent sur la PFHD, sans devenir identiques
L’EN ISO 13849-1 fournit une corrélation entre certaines plages de PL et de SIL pour les fonctions en mode de sollicitation fréquente ou continue. PL d correspond à la plage probabiliste du SIL 2 ; PL e à celle du SIL 3. Cette corrélation ne signifie pas que les deux méthodes sont interchangeables.
L’ISO 13849 évalue notamment la catégorie, la MTTFD, la couverture de diagnostic, les défaillances de cause commune, les principes éprouvés, le logiciel et le comportement après défaut. L’IEC 62061 utilise ses propres contraintes architecturales, exigences d’intégrité systématique, processus de conception et règles logicielles.
PL d et SIL 2 peuvent partager une plage de PFHD. Ils ne constituent pas pour autant la même démarche de conception.
Lorsqu’on combine plusieurs sous-systèmes, il faut respecter la limite de chacun et additionner leurs PFHD. On ne retient ni le meilleur certificat ni une moyenne. Une fonction comprenant une entrée limitée à PL d, une logique SIL 3 et une sortie SIL 3 pourra parfaitement être démontrée au niveau PL d. Ce résultat n’est pas une anomalie : il reflète la capacité réelle de la chaîne complète.
De l’ISO 12100 à la spécification de la fonction de sécurité
Une appréciation du risque se termine parfois par la mesure suivante : « installer un protecteur avec dispositif de verrouillage ». Cette phrase indique une orientation, mais ne conçoit encore rien. Elle ne précise ni le mouvement à arrêter, ni le temps d’arrêt, ni l’énergie résiduelle, ni les conditions de remise en marche.
L’ISO 12100 identifie le besoin de réduction du risque. Lorsque cette réduction dépend d’un système de commande, la SRS doit transformer le besoin en fonction technique. L’EN ISO 13849-1:2023 renforce nettement ce lien en plaçant la conception des parties de commande relatives à la sécurité dans le processus itératif de réduction du risque.
Les travaux de révision de l’ISO 12100 vont également dans le sens d’une articulation plus directe entre appréciation du risque, définition des fonctions de sécurité, conception, vérification et validation. Le statut et le contenu définitif des projets de norme doivent naturellement être contrôlés au moment du projet ; une version provisoire ne remplace pas une édition publiée et applicable contractuellement.
La chaîne logique doit rester continue :
danger → situation dangereuse → mesure de réduction du risque → fonction de sécurité → réaction physique → état sûr → PLr ou SIL requis → architecture → vérification → validation.
Si cette chaîne est rompue, on obtient souvent des calculs très précis appliqués à une fonction mal définie. Une catégorie, une MTTFD et une PFHD calculées à trois décimales ne compensent pas l’absence de réponse à la question : « que doit réellement faire la machine ? »
Pourquoi le PL reste plus fréquent sur les machines
La réponse à la question du choix entre les deux normes n’est donc ni « l’ISO 13849 est toujours plus simple » ni « l’IEC 62061 est réservée aux systèmes complexes ». Les deux démarches peuvent convenir. L’IEC 62061 peut désormais couvrir des fonctions associant plusieurs technologies, et elle constitue une excellente solution lorsque les sous-systèmes, les données de fiabilité et les processus de développement sont bien structurés pour une démonstration SIL.
En pratique, l’ISO 13849 reste souvent privilégiée parce qu’elle fournit depuis longtemps un cadre familier pour réunir :
- des composants électroniques certifiés avec PFHD ;
- des éléments électromécaniques décrits par B10D ;
- des sous-systèmes pneumatiques ou hydrauliques ;
- des mécanismes dont il faut analyser les défauts ;
- des architectures éprouvées et leur diagnostic ;
- la spécification, la vérification et la validation de la fonction complète.
Avant de choisir une norme, il faut donc répondre à quatre questions : que doit faire la fonction ? Quelles technologies traverse-t-elle ? Quelles données sont réellement disponibles ? Quelle méthode permet de démontrer et de valider toute la chaîne sans coupure artificielle ?
Le bon choix n’est pas celui qui valorise le mieux le certificat de l’automate. C’est celui qui permet de prouver que la fonction complète détecte le danger, maîtrise l’énergie et maintient réellement l’état sûr.
Voilà pourquoi le PL demeure si courant dans la sécurité des machines. Non parce qu’il décrit mieux l’automate, mais parce qu’il permet souvent de décrire plus naturellement l’ensemble du trajet : la came avant le capteur, la logique dans l’armoire, puis le distributeur, le ressort, le contacteur ou le frein après la sortie.
Une machine ne s’arrête pas sur un certificat. Elle ne s’arrête pas davantage à la sortie de l’automate. Elle est en sécurité uniquement lorsque la fonction complète a produit l’effet physique attendu, dans le temps requis, et qu’elle est capable de maintenir cet état malgré les défauts prévisibles. C’est cette fonction qu’il faut spécifier, concevoir, calculer et valider.