Sécurité fonctionnelle et automatisation : IEC 61508 en bref
Quand un automate doit arrêter une machine ou fermer une vanne pour éviter un accident, sa fiabilité ne se présume pas : elle se démontre. C'est l'objet de la sécurité fonctionnelle et de la norme IEC 61508, socle des normes sectorielles.
Un capteur de pression détecte une surpression dans un réacteur ; l’automate de sécurité ferme une vanne d’alimentation en moins d’une seconde. Une barrière immatérielle détecte une main dans une presse ; la machine s’arrête. Ces fonctions automatiques protègent des vies. La sécurité fonctionnelle est la discipline qui garantit qu’elles fonctionneront quand il le faut, avec un niveau de confiance défini et démontré.
Sa norme de référence, l’IEC 61508, publiée par la Commission électrotechnique internationale, s’applique aux systèmes électriques, électroniques et électroniques programmables relatifs à la sécurité. Sa deuxième édition date de 2010. Elle est longue et technique ; ce qui suit en donne les idées principales pour un décideur industriel.
L’idée centrale : réduire un risque à un niveau tolérable
La démarche part du risque, pas de la technique. Pour chaque installation, on identifie les événements dangereux, leur gravité et leur fréquence probable sans protection. On compare ce risque au niveau jugé tolérable. L’écart doit être comblé par des mesures de réduction : conception intrinsèquement sûre, protections mécaniques, procédures, et fonctions de sécurité instrumentées. La sécurité fonctionnelle porte sur ces dernières.
Chaque fonction de sécurité reçoit un niveau d’intégrité de sécurité, le SIL (safety integrity level), de 1 à 4. Plus le SIL est élevé, plus la probabilité de défaillance de la fonction doit être faible. Pour les fonctions sollicitées rarement (le cas le plus courant dans l’industrie de procédé), la norme exprime cette exigence en probabilité moyenne de défaillance à la sollicitation.
| Niveau | Probabilité moyenne de défaillance à la sollicitation (faible sollicitation) | Facteur de réduction du risque |
|---|---|---|
| SIL 1 | de 10-2 à moins de 10-1 | de 10 à 100 |
| SIL 2 | de 10-3 à moins de 10-2 | de 100 à 1 000 |
| SIL 3 | de 10-4 à moins de 10-3 | de 1 000 à 10 000 |
| SIL 4 | de 10-5 à moins de 10-4 | de 10 000 à 100 000 |
Dans la plupart des usines, les fonctions de sécurité se situent en SIL 1 ou 2, parfois 3. Le SIL 4 est rare et signale souvent qu’il faudrait revoir la conception du procédé plutôt que d’ajouter de l’instrumentation.
Le cycle de vie de sécurité
L’apport majeur de la norme est de traiter la sécurité comme un cycle de vie, de l’analyse de risque au démantèlement, et pas comme une caractéristique de matériel.
- Analysedangers, risques, objectifs de réduction
- Spécificationfonctions de sécurité et SIL requis
- Réalisationmatériel, logiciel, architecture redondante
- Validationessais, vérification du SIL atteint
- Exploitationtests périodiques, maintenance, modifications
Chaque étape produit des documents, est vérifiée et peut être évaluée par une personne indépendante, d’autant plus indépendante que le SIL est élevé. La norme insiste aussi sur la gestion de la sécurité fonctionnelle : qui est responsable, avec quelles compétences, selon quelles procédures.
Une norme mère et ses déclinaisons
L’IEC 61508 est une norme générique. Les secteurs l’ont déclinée en normes plus directement applicables :
L’IEC 61511 pour les industries de procédé (chimie, pétrole, gaz, pharmacie), utilisée par les exploitants qui intègrent des systèmes instrumentés de sécurité.
L’ISO 13849 et l’IEC 62061 pour la sécurité des machines. L’ISO 13849 utilise ses propres niveaux de performance (PL a à e), que l’on peut rapprocher des SIL.
D’autres secteurs ont leurs normes : l’ISO 26262 pour l’automobile, les normes ferroviaires de la famille EN 50126, EN 50128 et EN 50129. Les fabricants de composants (capteurs, automates, vannes) s’appuient sur l’IEC 61508 pour faire certifier leurs produits ; les intégrateurs et exploitants appliquent la norme sectorielle.
Ce que cela change pour un projet d’automatisation
Un projet de modernisation d’automates, de connexion des machines au système d’information ou de supervision touche souvent, sans le dire, à des fonctions de sécurité. Trois points méritent d’être vérifiés dès le cadrage.
Identifier les fonctions de sécurité concernées. Avant de remplacer un automate, de modifier un réseau ou de changer un logiciel, savoir s’il porte ou influence une fonction de sécurité. L’analyse de risque d’origine et le dossier de sécurité doivent être retrouvés.
Traiter toute modification comme un retour dans le cycle. Une modification d’une fonction de sécurité, même mineure, impose une analyse d’impact, une mise à jour de la documentation et une nouvelle validation. C’est souvent ce qui fait dériver les calendriers des projets de modernisation.
Séparer la sécurité du reste. La bonne pratique consiste à garder les fonctions de sécurité dans un système distinct du contrôle-commande ordinaire, ou au minimum dans une partie clairement isolée. Connecter un automate au système d’information pour en extraire des données ne doit jamais ouvrir un chemin d’écriture vers la logique de sécurité.
Une fonction de sécurité peut être neutralisée par une attaque informatique aussi sûrement que par une panne. La deuxième édition de l’IEC 61508 demande de prendre en compte les menaces de sécurité informatique lors de l’analyse de risque, et l’IEC 62443 fournit le cadre de la cybersécurité des systèmes d’automatisation. Les deux analyses doivent être menées ensemble.
Ce que la norme ne fait pas
L’IEC 61508 ne dit pas quel risque est tolérable : c’est l’affaire de la réglementation, de l’exploitant et parfois de l’assureur. Elle ne remplace pas l’analyse de risque, qui reste un travail d’équipe entre exploitation, procédé, maintenance et sécurité. Et elle n’est pas une certification d’usine : on certifie des produits ou des compétences, on évalue des systèmes, on démontre la conformité d’une fonction.
Notre dossier sur les automates programmables et le système d’information traite la connexion des équipements et ses précautions. L’expertise industrie et automates de DOSOBE intègre l’analyse des fonctions de sécurité dans le cadrage de tout projet de modernisation.
Pour approfondir : IA d’entreprise
Questions fréquentes
Un automate de sécurité suffit-il à atteindre un SIL ?
Non. Le SIL est atteint par la fonction de sécurité complète : capteurs, logique, actionneurs, architecture, tests périodiques et procédures. Un automate certifié pour un SIL donné n'est qu'un composant de la chaîne.
Quelle différence entre sécurité fonctionnelle et cybersécurité industrielle ?
La sécurité fonctionnelle protège contre les défaillances accidentelles ; la cybersécurité contre les actions malveillantes. Les deux se rejoignent : une attaque peut neutraliser une fonction de sécurité. Les normes renvoient l'une à l'autre, l'IEC 62443 traitant la cybersécurité des systèmes d'automatisation.
Peut-on utiliser de l'IA dans une fonction de sécurité ?
Les méthodes de démonstration de l'IEC 61508 conviennent mal aux systèmes d'apprentissage automatique, dont le comportement est difficile à spécifier et à tester exhaustivement. En pratique, l'IA reste en dehors de la boucle de sécurité, par exemple pour la surveillance ou l'aide au diagnostic, et la fonction de sécurité demeure déterministe.