F orum

TAB L E R O N D E D E L E X E R A S U R L A S C U R I T D E S P R O C ESS

Il nous faut des donnes

fiables pour calculer nos
systmes de scurit

Nous poursuivons ici le compte-rendu de la table ronde organise sur les systmes
instruments de scurit par lExera, association dutilisateurs spcialiss dans
linstrumentation et les automatismes industriels. Aprs avoir voqu les conditions dapplications de la norme EN 61511, nous abordons ici lpineuse question
des donnes sur lesquelles il faut sappuyer pour calculer le niveau de scurit dun
systme de scurit instrument (SIS)
Mesures. La notion de niveau dintgrit de
scurit (SIL) est toujours un sujet de controverse, voire dinterprtations et dutilisations abusives. Pouvez-vous nous rappeler en quelques mots de quoi il sagit ?
Claude Pelletier (Exera). La dfinition ne
pose pas de difficult. Dans les applications de scurit, les risques couvrir
varient selon le type dindustrie, le type
de process et mme le type de site. Ceci
conduit dfinir un certain niveau de fiabilit, plus ou moins important, pour le
systme de scurit utilis pour se prmunir contre les risques. Pour quantifier cette
fiabilit, il faut connatre le taux de dfaillances () des diffrents lments qui

Claude Pelletier (Exera)

44

composent le systme de scurit.

Connaissant les valeurs des diffrents , on
peut accder des notions plus larges dcrivant le comportement dun quipement
(simple ou complexe) en termes de scurit.
Parmi ces notions, je citerai notamment la
probabilit moyenne de dfaillance sur sollicitation (PFDavg) et la probabilit de
dfaillance dangereuse par heure (PFH). Les
valeurs SIL (Security Integrity Level) dfinies
dans les normes 61508 (et toutes celles qui
en dcoulent) sont directement associes
aux valeurs du PFDavg et du PFH. Par exemple, pour se rclamer dun niveau SIL3, un
quipement doit avoir un PFDavg compris
entre 10-4 et 10-3 ou un PFH compris entre
10-8 et 10-7. Il y a 4 niveaux de SIL, nots SIL1
SIL4, le niveau 4 assurant la protection la
plus leve.
Dans tout cela, la notion dquipement doit
tre prise au sens large. Elle va du simple
capteur de process au systme instrument
de scurit complet, avec ses capteurs, son
contrleur, ses actionneurs, ses soupapes,
etc.
Charles Milardo (Shell). Il y a une confusion
dans le dialogue entre le vendeur de matriel
et lindustriel utilisateur. Le SIL peut en effet
tre vu sous deux angles diffrents, langle

de la norme EN 61508 (ct constructeur),

et langle de la norme EN61511 (ct utilisateur). Les constructeurs qui vendent des
capteurs, actionneurs et quipements pour
applications de scurit, attribuent des SIL
conformment la norme EN61508. Mais
pour nous utilisateurs, ce qui est important,
cest le SIL de la fonction complte, conformment la norme EN61511, pas le SIL des
diffrents lments qui la composent.
Par exemple, pour une fonction mesure,
on va prendre en considration le capteur,
bien sr, mais aussi son interface avec le process (les risques de colmatage, par exemple,
ont videmment une incidence sur la performance), son interface avec les quipements de test/maintenance (le manifold par
exemple), son interface avec llectronique
du systme de contrle/commande, etc.
Dominique Charpentier (Ineris). Il faut insister l-dessus : limportant, cest vraiment
la fonction. Pour mettre en uvre une fonction de scurit dun niveau donn, on va
jouer sur les architectures et le choix des
lments (capteurs, actionneurs, etc.). Et
pour calculer le niveau de scurit global
obtenu, il faut connatre les donnes de fiabilit des lments qui composent la fonction, notamment le taux de dfaillance dangereuse (d) des diffrents lments. Pour
certains composants, et en fonction de son
utilisation, il peut dailleurs y avoir plusieurs
d. Pour une vanne tout-ou-rien par exemple, on pourra avoir un d pour quantifier
sa non ouverture si la demande si la vanne
doit souvrir par scurit, et un autre d
pour quantifier sa non fermeture la de-

MESURES 798 - OCTOBRE 2007 - www.mesures.com

mande si la vanne doit se fermer par scurit.

Je souligne au passage quune des grosses
difficults sur les valeurs de d dont on dispose est quelles ne sont pas toujours trs
prcises, ce qui complique les calculs.
Il faut surtout voir que les SIL ne sadditionnent pas. Une fonction de scurit constitue
dun sous ensemble SIL 1 et dun sous ensemble SIL 2 ne sera pas automatiquement
de SIL3. Cest le calcul faisant intervenir les
d et le respect des exigences spcifiques aux
diffrents SIL qui dterminent le niveau
final, pas laddition des SIL...

encore approfondi. Nous allons leur formuler nos attentes, leur dire les informations que nous voulons trouver dans les
fiches techniques, leur demander dexpliquer clairement les tests ils ont pratiqus
pour attribuer un SIL leurs capteurs et
actionneurs, leur demander de prciser
sils sont passs par un organisme de certification spcialis ou sil sagit dautocertification, etc. Toutes ces informations
nous faciliterons la tche pour dvelopper
nos applications base de systmes de scurit instruments.
En attendant, nous attachons beaucoup
dimportance aux donnes de fiabilit recueillies sur le terrain. Les performances
des capteurs de process (mais aussi des actionneurs, des soupapes, etc.) dpendent
en effet des conditions dans lesquelles ils
sont utiliss. Quand un capteur a fait ses
preuves, mme dans un environnement
trs difficile (encrassant, cristallisant, corrosif, etc.), on va videmment le qualifier
pour ce type dutilisation.
Mesures. Pour exploiter les donnes de
fiabilit recueillies sur le terrain, y-a-t-il

Dominique Charpentier (Ineris)

Mesures. Peut-on faire confiance aux informations fournies par les constructeurs ?
Gilles Lefevre (Arkema). Les constructeurs
de capteurs ont des services de maintenance
et ils peuvent donc tablir des statistiques sur
les capteurs quils reoivent en retour de
clientle. Mais les indications obtenues trouvent vite leurs limites : si un capteur a eu un
dysfonctionnement sur site cause dun
problme de montage ou dune utilisation
hors norme, il y a assez peu de chances
que le constructeur en soit inform.
De ce point de vue, les donnes que les utilisateurs obtiennent dans le cadre de lexploitation des leurs matriels sont en gnral
plus fiables, parce quils savent dans quelles
conditions elles sont obtenues.
Didier Maistre (Ineos). De faon gnrale,
nous manquons dinformations sur les
conditions dobtention des donnes de
fiabilit des quipements de scurit. A
lExera, nous avons de tout temps eu des
dialogues constructifs avec les constructeurs dinstrumentation et dautomatismes.
Pour les fournisseurs de produits pour applications de scurit, ce dialogue va tre

Charles Milardo (Shell)

des prcautions particulires prendre ?

Charles Milardo (Shell). Bien entendu. Les
capteurs et actionneurs que nous utilisons
dans nos applications de scurit doivent
avoir fait leurs preuves dans le mme type
dapplication. Car ce qui importe, encore
une fois, cest la fonction mesure, pas seulement le capteur. a na pas de sens dutiliser
un capteur de niveau lames vibrantes prsentant un SIL lev, si le capteur en question
nest pas adapt au process. La technologie
du capteur doit tre choisie en fonction

Pour que les systmes instruments de scurit maintiennent leurs performances dans le temps, ils doivent tre soumis des tests
priodiques. Dans ce schma, la fonction dacquisition de la mesure est la partie en vert. Le capteur seul ne reprsente que 20 % des
dfaillances dangereuses. La profondeur de test dpend de lendroit o lon commence la ralisation des tests. Par exemple, dans ce
montage, si lon ne teste que le signal 4-20 mA avec un gnrateur de mA, la profondeur du test ne reprsente que 10. Si lon vrifie le
capteur avec un gnrateur de pression, on obtient seulement 30 %. Avec de bonnes procdures (plusieurs mesures, purges, temps de
rponse, etc.), on peut atteindre 95 %, maison ne peut aller au-del sans dmontage.

MESURES 798 - OCTOBRE 2007 - www.mesures.com

45

Forum
de la nature du fluide analyser et du niveau de performances recherch.
Sur nos installations de scurit, nous montons systmatiquement des matriels qui ont
en fait leurs preuves sur le terrain proven in
use (prouvs lusage), dans le mme
type dapplications et pas forcment certifis.
Cela dit, si nous ne disposons pas de matriels proven in use, nous utilisons de prfrence des matriels standards certifis SIL
sils existent, sinon du matriel standard,
mais bien sr en redoublant de prcautions,
en termes de redondances, de frquence et
de profondeur des tests, etc. Cela nous est
arriv rcemment avec un dtecteur de
flamme que nous navions pas utilis jusque
l. Ce dtecteur de flamme est certifi SIL par
le fournisseur, et nous connaissons la frquence de test recommande pour maintenir le niveau SIL dans le temps. Mais comme
nous navons pas de retour dexprience,
nous avons dcid de le tester des intervalles beaucoup plus rapprochs. Ce dtecteur
de flamme est test toutes les semaines et
nous avons prvu de continuer ainsi pendant
deux ans. Aprs, on verra ce quil convient
de faire. Vous lavez compris, nous voulons
absolument mettre en vidence les ventuelles pannes caches...
Frdric Payen (Tate & Lyle). Les gros industriels ont des parcs importants de matriels
installs, ils peuvent donc avoir des retours
dinformations et privilgier le proven in
use. Pour un petit industriel, cest plus difficile. Dans ces conditions, il est important de
pouvoir accder aux retours dexprience de
la profession..
Charles Milardo (Shell). Oui mais une condition : le proven in use na de sens que si
le capteur ou lquipement de scurit est
prvu pour tre install dans un contexte identique. Si ce nest pas le cas, on ne peut pas se
fier aux donnes recueillies par dautres...

Mesures. LExera a-t-il un rle jouer ce

niveau l ?
Didier Maistre (Ineos). Oui, et la commission technique sur les systmes instruments
de scurit de lExera est particulirement
active. Nous nous runissons six fois par an,
nous avons de vritables runions de travail
trs constructives, avec un partage de nos
expriences respectives, des informations
glanes par lun et qui peuvent tre utiles aux
autres...
Gilles Lefevre (Arkema). Ce partage est vraiment trs important. On vient dvoquer la
notion de proven in use. Les industriels,
mme les plus importants, nont pas la prtention davoir des retours dexprience sur
tous les capteurs et actionneurs, dans toutes
les applications. A la commission technique
de lExera sur les SIS, nous avons tous la scurit comme proccupation commune
mais nous venons de diffrentes industries,
dentreprises de taille diffrentes, avec des
approches de la scurit qui ne sont pas forcment identiques. Mais en matire de scurit, nous avons tous des informations de
terrain qui peuvent tre utiles aux autres...
Didier Maistre (Ineos). Dans le domaine de
la scurit, il existe de gros ouvrages de rfrence sur les donnes de fiabilit des quipements utiliss dans lindustrie. Ces ouvra-

Didier Maistre (Ineos)

ges sont souvent coteux, on ne peut pas

tous les acheter, il faut faire des choix.
Lorsque quelquun est la recherche dinformations sur tel ou tel quipement de
process, il y aura toujours un membre de la
commission technique pour lencourager
prendre tel ouvrage, un autre pour lui dire
que tel autre nest pas adapt son besoin.
Quand lun dentre nous a connaissance
dune avance sur un sujet donn, il en fait
bnficier les autres. Je citerai le cas des soupapes, que tous les industriels utilisent. Il
existe sur le sujet une brillante thse sur la
fiabilit des soupapes, mene lIneris.

Quelques rappels sur le SIL

SIL signifie Security Integrity Level,
cest--dire le niveau dintgrit de la
scurit. La notion de SIL a t
introduite dans la norme IEC61508 et
elle est reprise dans les normes
drives de lIEC61508, telles que la
norme IEC61511 relative aux systmes
instruments de scurit (SIS) pour les
process et lIEC62061 pour les systmes
de scurit lectronique programmable pour les machines.
Lorsque lon veut raliser une installation de scurit, il faut commencer par
valuer le risque (sa dangerosit, sa
frquence doccurrence), ce qui conduit
dfinir les exigences de scurit que
lon attends du SIS, cest--dire son SIL.
En dfinitive, le SIL dfinit le niveau de
fiabilit du SIS.
Il existe deux manires de dfinir le SIL,
selon que le systme de scurit
fonctionne en mode de faible sollicitation ou si au contraire sil fonctionne en
continu ou forte sollicitation. Il existe
4 niveaux de SIL (nots SIL1 SIL4) :
plus le SIL est lev, plus la disponibilit

du systme de scurit est leve.

Pour les systmes de scurit
fonctionnant en mode de faible
sollicitation, on parle de probabilit
moyenne de dfaillance sur sollicitation
PFDavg (Probability of Failure on
Demand) sur une priode de 10 ans. La
relation entre les niveaux SIL et le
PFDavg est la suivante :
SIL 4 : PFDavg compris entre 10-5 et 10-4
SIL 3 : PFDavg compris entre 10-4 et 10-3
SIL 2 : PFDavg compris entre 10-3 et 10-2
SIL 1 : PFDavg compris entre 10-2 et 10-1
Pour les systmes de scurit
fonctionnant en mode de sollicitation leve, on parle de PFH, probabilit de dfaillance dangereuse par
heure. La relation entre les niveaux SIL
et le PFH est la suivante :
SIL 4 : PFH compris entre 10-9 et 10-8
SIL 3 : PFH compris entre 10-8 et 10-7
SIL 2 : PFH compris entre 10-7 et 10-6
SIL 1 : PFH compris entre 10-6 et 10-5
(Dfinition extraite de
www. mesures. com, rubrique
Glossaire)

Frdric Payen (Tate & Lyle)

46

MESURES 798 - OCTOBRE 2007 - www.mesures.com

Forum
Lensemble des membres de la
Commission Technique a pu ainsi accder
ce gros travail universitaire...
Mesures. Les systme de scurit conus
selon la norme 61511 imposent-ils des
contraintes de maintenance particulires ?
Charles Milardo (Shell). Pour maintenir
dans le temps le niveau SIL dun systme
de scurit, il faut pratiquer des tests priodiques, intervalles prdfinis. Ces
tests, cest lutilisateur de les faire. Et il
faut faire trs attention aux tests pratiqus,
car la profondeur du test est essentielle. En
toute rigueur, il faut parler de test de la
fonction mesure, et pas seulement le
test du capteur. Il est vident que lon ne
peut pas se contenter de tester le signal
analogique qui donne la valeur de la mesure, sinon la profondeur de test ne reprsentera que 10 % des dfaillances dangereuses. Il faut aussi sintresser tout ce
quil y a autour du capteur proprement
dit, par exemple linterface analogique/
numrique avec le contrleur, le manifold
(dans le cas dun capteur de pression), etc.
Ces tests approfondis ne peuvent tre pra-

48

tiqus que par des spcialistes...

Mesures. Terminons sur lExera. Nous
avons voqu lapport le partage des informations sur la fiabilit des quipements, le rle que vous voulez jouer
auprs des fournisseurs. Quels sont les
autres axes de recherche ?
Didier Maistre (Ineos). Nous lavons un
peu voqu il y a un instant, nous avons
commenc valuer en commun les qualits de telle ou telle base de donnes publique, ou les moyens de dvelopper en
interne nos propres bases de donnes. Le
travail se poursuit actuellement.
Mais notre mtier dindustriel est de faire
fonctionner nos installations de manire
fiable et en scurit, nous sommes dans le
concret et chacun a assez peu de temps disponible. Nous ne disposons pratiquement
jamais en interne duniversitaires ou de
personnes matrisant les calculs de probabilit ou la modlisation des rseaux de
Markov. Les formules nonces par la
norme EN/NF61508, bien quelles soient
qualifies de simplifies et quelles ne
couvrent que quelques cas simples et banals

(chanes de scurit en 1-sur-2, 2-sur-3),

sont dj assez droutantes, voire rebutantes pour les profanes. Alors imaginez la situation si lun de nous doit tablir seul les
formules employer pour les architectures
non typiques, telles que celles utiliser
pour calculer la fiabilit dun rseau de capteurs de gaz en vote 7-sur-11 ? Et comment
prendre en compte le calcul de commandes
mission (commande darrt des moteurs
haute tension) ? En ce domaine, la norme
nous laisse un peu seuls. Ce manque nous
a conduits rflchir ; et cest ainsi que
nous avons dcid de dvelopper un guide
pratique dapplication sur les formules de
calcul de fiabilit, dans le but de vulgariser
les formules dans les cas simples .... et
moins simples, lusage des adhrents de
lAssociation. Et nous avons dans les cartons
encore bien dautres projets.
Propos recueillis par Jean-Franois Peyrucat
La parution de la premire partie de cet article comportait
quelques imprcisions, voire des inexactitudes. A la
demande des intervenants, nous vous proposons la version
revue et corrige sur notre site internet www.mesures.
com, dans la rubrique Archives.

MESURES 798 - OCTOBRE 2007 - www.mesures.com