« Notre fonction est en SIL 2. » Cette phrase, on l'entend souvent — et elle ne veut pas dire grand-chose tant qu'on ne peut pas le démontrer. La sûreté fonctionnelle n'est pas une étiquette : c'est une chaîne de preuves qui va de l'analyse de risque au test périodique, sur tout le cycle de vie.
Sommaire
SIL : de quoi parle-t-on exactement ?
Le SIL (Safety Integrity Level) mesure la confiance qu'on peut accorder à une fonction instrumentée de sécurité (SIF) pour remplir son rôle quand on le lui demande. Plus le niveau est élevé (SIL 1 à SIL 3 dans l'industrie de procédé), plus la probabilité de défaillance à la sollicitation doit être faible.
Concrètement, une SIF est une chaîne : un capteur détecte une dérive, un automate de sécurité décide, un actionneur met l'installation en position sûre. Le SIL qualifie la fiabilité de toute cette chaîne, pas d'un composant isolé. C'est le cœur de notre expertise en sûreté fonctionnelle et de nos interventions sur les systèmes instrumentés de sécurité (SIS).
Le SIL ne se choisit pas, il s'alloue
Une erreur fréquente est de « décréter » un SIL. En réalité, le niveau cible découle de l'analyse de risque : un HAZOP identifie les scénarios dangereux, puis une LOPA (analyse des couches de protection) évalue s'il manque de la réduction de risque. C'est cet écart qui fixe le SIL. Décider d'un niveau sans cette démarche, c'est bâtir sur du sable.
Une surpression pouvant conduire à une rupture est jugée trop fréquente au regard de sa gravité. Les couches existantes (soupape, régulation) ne suffisent pas : il manque un facteur 100 de réduction de risque. On alloue alors une SIF de niveau SIL 2 pour combler l'écart — ni plus, ni moins.
Atteindre le SIL : architecture, composants et tests
Une fois le niveau cible connu, il faut le vérifier par le calcul. La probabilité moyenne de défaillance à la sollicitation (PFDavg) dépend de trois leviers :
- L'architecture retenue (1oo1, 1oo2, 2oo3…) et la redondance
- La fiabilité des composants et leur taux de défaillance dangereuse non détectée
- L'intervalle des tests de preuve : plus on teste, plus on « redécouvre » tôt les défaillances cachées
C'est ce dernier point qu'on oublie le plus souvent : un SIL n'est valable que si les tests de preuve sont réellement réalisés à la fréquence prévue. Un SIL 2 calculé sur un test annuel qui n'est jamais fait n'est plus un SIL 2 — c'est une hypothèse périmée.
Sur-dimensionner coûte cher, sous-dimensionner met en danger. Les deux erreurs viennent d'une allocation SIL bâclée ou d'un calcul PFD approximatif. La rigueur ici n'est pas bureaucratique : c'est ce qui rend la fonction réellement protectrice.
Séparer le contrôle et la sécurité
Un principe structurant de l'IEC 61511 est l'indépendance entre le système de conduite (BPCS) et le système de sécurité (SIS). Mélanger les deux crée des modes communs de défaillance : une même panne peut à la fois dérégler le procédé et empêcher la mise en sécurité. Cette séparation se pense dès l'architecture d'automatisme.
Le cycle de vie, du berceau à la tombe
La norme impose une logique de cycle de vie : analyse, allocation, spécification (SRS), conception, vérification, validation, puis exploitation et tests périodiques — le tout tracé dans un dossier de sûreté. Ce n'est pas de la paperasse : c'est ce qui permet, des années plus tard, de relier chaque fonction à son analyse de risque et de prouver qu'elle tient toujours son niveau. La validation s'appuie largement sur le FAT/SAT et le loop check.
- Un niveau SIL issu d'une analyse de risque (HAZOP/LOPA), pas décrété
- Une spécification des exigences de sécurité (SRS) écrite
- Un calcul de PFDavg cohérent avec l'architecture
- Un plan de tests de preuve défini — et suivi dans le temps
- Une indépendance claire entre conduite (BPCS) et sécurité (SIS)
- Un dossier de sûreté traçable sur tout le cycle de vie
Pourquoi la compétence de l'intervenant compte
La sûreté fonctionnelle est un domaine où l'expérience et la certification font une vraie différence : c'est un enjeu de sécurité des personnes et de conformité, pas un simple livrable. Nos interventions s'appuient sur une certification TÜV en sécurité instrumentée (IEC 61508 / 61511) et une pratique de terrain sur sites classés Seveso. Si vos installations relèvent de ce cadre, parlons-en lors d'un diagnostic gratuit.
La sûreté fonctionnelle bien menée ne ralentit pas un projet : elle évite de payer, plus tard, le prix d'une fonction qui n'était sûre que sur le papier.
