Sûreté de fonctionnement, sécurité fonctionnelle IEC 61508 et systèmes critiques : audit, conseil, formation et assistance technique pour le génie électrique

Cadre normatif et réglementaire de la sécurité fonctionnelle

L'IEC 61508 et ses déclinaisons sectorielles

La sécurité fonctionnelle désigne la part de la sécurité d'une installation ou d'une machine qui dépend du bon fonctionnement de systèmes de commande ou de protection, qu'ils soient électriques, électroniques ou programmables. Sa norme de base est l'IEC 61508, dont l'édition 2.0 date du 30 avril 2010. Elle a le statut de publication fondamentale de sécurité au sens du guide IEC 104. Ses sept parties couvrent notamment les exigences générales, le matériel et le logiciel. Elle définit quatre niveaux d'intégrité de sécurité, de SIL 1 à SIL 4, et le cycle de vie complet d'une fonction de sécurité, de la spécification à la mise hors service.

Les secteurs ont décliné cette base. L'IEC 61511, dont l'édition 2 date de 2016 (avec un amendement de 2017), s'applique aux systèmes instrumentés de sécurité des industries de procédé. Pour les machines, deux normes coexistent : l'ISO 13849-1, qui raisonne en niveaux de performance (PL, de a à e), et l'IEC 62061, édition 2021 complétée par un amendement de 2024, qui raisonne en niveaux d'intégrité de sécurité. L'ISO 13849-1 a été révisée en 2023 et remplace l'édition de 2015 ; sa version européenne, l'EN ISO 13849-1:2023, a été présentée par le CEN en mai 2023. Elle ne traite que les modes de sollicitation élevée ou continue. La validation des parties de commande relève de l'ISO 13849-2.

Machines : de la directive 2006/42/CE au règlement 2023/1230

Pour les machines, la directive 2006/42/CE reste applicable aux machines mises sur le marché avant le 20 janvier 2027. À compter de cette date, le règlement (UE) 2023/1230 s'applique de manière obligatoire, comme l'indique la Commission européenne. Directement applicable, il n'a pas besoin d'être transposé en droit français, selon l'INRS. Il met à jour les exigences relatives aux systèmes de commande, intègre les risques liés aux logiciels et à l'intelligence artificielle, renforce la protection contre les intrusions et précise la notion de modification substantielle : l'auteur d'une modification non prévue par le fabricant, qui crée un danger ou aggrave un risque, devient lui-même fabricant.

La norme EN ISO 12100 fournit la méthode d'appréciation et de réduction du risque sur laquelle s'appuient les fonctions de sécurité. L'IEC 60204-1 traite de l'équipement électrique des machines. Les normes harmonisées donnent une présomption de conformité aux exigences essentielles, mais leur statut au Journal officiel de l'Union européenne doit être contrôlé pour la date et le texte visés. En France, les règles de mise sur le marché des machines figurent dans la quatrième partie du code du travail, aux articles R. 4311-1 et suivants, et la déclaration CE (conformité européenne) de conformité est encadrée par un arrêté du 22 octobre 2009.

Procédés, installations classées et cybersécurité

Dans les installations classées, la prévention des risques accidentels conduit les exploitants à mettre en place des mesures de maîtrise des risques, dont des mesures instrumentées. L'INERIS indique que des guides reconnus par l'administration renvoient à l'IEC 61511 pour ces systèmes. Les exigences applicables à un site donné dépendent de son arrêté d'autorisation et de ses études de dangers, que nous ne remplaçons pas.

La cybersécurité est traitée à part. L'IEC 62061 exclut expressément les mesures de sécurité informatique de son périmètre, et l'ISO 13849-1 ne les traite pas non plus : un système de sécurité sans protection contre les intrusions peut perdre sa fonction. L'IEC (Commission électrotechnique internationale) TS 63074:2023, qui remplace le rapport technique de 2019, identifie les aspects de la série IEC 62443 utiles à la conception des systèmes de commande de sécurité. Ce sujet relève aussi du domaine de cybersécurité industrielle de ce site.

Qui fait quoi : fabricant, intégrateur, exploitant et tiers

Le fabricant et l'intégrateur

Le niveau d'intégrité de sécurité est attribué à une fonction de sécurité, jamais à une entreprise ni à une prestation de service. Le fabricant d'une machine détermine les fonctions de sécurité nécessaires à partir de son appréciation des risques, les spécifie, les conçoit, les valide, puis établit le dossier technique, la déclaration de conformité et le marquage. L'intégrateur qui assemble des composants dans une installation engage sa part de responsabilité sur l'architecture réalisée. Un automate de sécurité muni d'un certificat de produit ne suffit pas à établir la conformité de la machine : le certificat porte sur le composant, dans ses conditions d'emploi, et l'intégration reste à démontrer.

Lorsqu'une machine existante est modifiée de façon substantielle, le responsable de la modification peut devenir fabricant. Ce point se règle par contrat avant les travaux.

L'exploitant et l'employeur

L'exploitant choisit des équipements adaptés à son activité, les utilise selon la notice, les maintient en état et en suit la vérification périodique. Pour les équipements de travail, le code du travail met ces obligations à la charge de l'employeur, notamment aux articles R. 4321-1 et suivants. Une fonction de sécurité n'est sûre que tant que son test périodique, sa maintenance et la gestion de ses modifications sont assurés : la preuve de la fiabilité calculée à la conception suppose des tests aux intervalles prévus et des composants remplacés par des pièces équivalentes.

Les exigences de l'exploitant, écrites dans un cahier des charges ou un plan de prévention, se transmettent de rang en rang de sous-traitance. Un bureau d'études ou un intégrateur doit savoir les traduire en spécifications de fonctions de sécurité et conserver les preuves qui les justifient.

Les tiers : organismes notifiés, certification et accréditation

Plusieurs tiers interviennent selon les cas. Un organisme notifié est désigné par un État membre ; pour certaines machines à risque élevé, il intervient obligatoirement, même si les normes harmonisées sont appliquées, ce que décrit l'INRS (Institut national de recherche et de sécurité) pour les machines de la partie A de l'annexe I du règlement. Un certificat de produit pour l'IEC 61508 est émis par un organisme de certification accrédité selon l'ISO/IEC 17065. En France, le Cofrac accrédite les organismes de certification, d'inspection et les laboratoires, et ne délivre pas de certificat lui-même. L'INERIS (Institut national de l'environnement industriel et des risques) propose par ailleurs un schéma de certification de personnes en sécurité fonctionnelle.

Optédif n'est ni organisme notifié, ni organisme de certification, ni organisme d'inspection. Notre travail se place en amont : produire des dossiers lisibles, vérifiables et présentables, qui facilitent l'instruction par un tiers.

Méthodes du métier et pièges fréquents

De l'appréciation du risque à la fonction de sécurité

Une démarche de sécurité fonctionnelle commence par l'identification des dangers. Selon le contexte, on utilise l'appréciation du risque de l'EN ISO 12100 pour une machine, l'analyse préliminaire des risques, l'analyse par nœud papillon ou l'analyse de couches de protection pour un procédé. Cette étape décide des fonctions de sécurité à mettre en place et du niveau de réduction du risque attendu : niveau de performance requis pour une machine, niveau d'intégrité de sécurité requis pour une fonction instrumentée. Une fonction de sécurité s'écrit ensuite dans une spécification : événement détecté, action de mise en sécurité, temps de réponse, état sûr, mode de réarmement, conditions de test.

Une fonction mal spécifiée peut être parfaitement calculée et pourtant ne pas répondre au danger réel. La traçabilité entre danger, exigence, conception et essai de validation est donc l'une des premières choses qu'un évaluateur examine.

Quantifier : architecture, défaillances et fiabilité

La vérification d'une fonction repose sur son architecture (redondance, diagnostic, défaillances de cause commune), sur les taux de défaillance de ses composants et sur le mode de sollicitation. Les méthodes de sûreté de fonctionnement fournissent les outils : AMDEC pour les modes de défaillance et leurs effets, arbre de défaillances pour combiner les causes d'un événement redouté, analyse de fiabilité (MTBF, loi de Weibull) pour les données de vie. L'outil SISTEMA, gratuit, est publié par l'IFA (Institut allemand de la sécurité au travail), institut de l'assurance accident allemande DGUV, pour évaluer les parties de commande selon l'ISO 13849-1 ; ses versions 3.x correspondent à l'édition 2023, les versions 2.x à celle de 2015.

Un modèle ne vaut que par ses données : un taux de défaillance a une source citée, des conditions d'emploi compatibles et une date.

Les pièges à connaître

Quelques confusions reviennent. Le niveau de performance de l'ISO 13849-1 et le niveau d'intégrité de l'IEC 62061 ne sont pas interchangeables sans les règles de correspondance de la norme, et les tableaux d'équivalence publiés ici ou là ne les remplacent pas. Un produit muni d'un certificat ne dispense pas de l'étude d'intégration. Les logiciels de sécurité demandent une démarche propre, décrite dans la partie 3 de l'IEC 61508. Une fonction de sécurité modifiée en cours de vie, par exemple après le remplacement d'un composant, doit être recalculée : le niveau atteint ne se transmet pas d'une version à l'autre. Enfin, un audit de sécurité fonctionnelle n'est jamais une évaluation indépendante : il en prépare la lecture.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Optédif audite, conseille, réalise des études, intervient en assistance technique au forfait et forme les équipes. Dans ce domaine, nous déterminons des niveaux requis (SIL, PL) avec vous, nous modélisons des architectures, nous menons des AMDEC, des arbres de défaillances, des analyses préliminaires des risques et des analyses par nœud papillon, nous vérifions un dossier de preuve et nous préparons une évaluation externe par une revue préalable. Nous rédigeons des spécifications de fonctions de sécurité, des plans de validation et des argumentaires de sécurité.

Pour les machines, nous travaillons avec les fabricants, les intégrateurs et les bureaux d'études : appréciation des risques, spécification des fonctions de sécurité, calcul des niveaux de performance, trame du dossier technique. Le fabricant établit la déclaration de conformité et appose le marquage.

L'assistance technique prend la forme d'une mission au forfait, définie par un lot (un dossier d'analyse, une AMDEC, un modèle de fiabilité, un cas de sécurité), des livrables, une échéance et une recette. Elle est réalisée sous la responsabilité et l'encadrement d'Optédif, avec nos méthodes, et sa charge se compte en jours par lot. Nous ne fournissons pas de personnel : vous recevez des livrables traçables, argumentés et présentables à l'autorité, au donneur d'ordre ou à l'organisme qui instruira le dossier.

Ce que nous ne faisons pas

Nous ne délivrons aucune certification, aucun agrément, aucune licence, aucune habilitation et aucun certificat SIL. Nous n'employons pas de personnel dont la compétence aurait été reconnue par un schéma de certification de personnes, et nous ne le laissons pas entendre. Nous ne nous substituons pas à l'évaluation indépendante que le niveau visé peut exiger, ni à un organisme notifié, ni à un organisme accrédité. Nous ne signons pas le dossier du fabricant. Un accompagnement au marquage CE n'est pas le marquage : la déclaration, le dossier technique et la responsabilité restent ceux du fabricant.

Nous n'annonçons jamais qu'un niveau est atteint avant qu'un tiers compétent ne l'ait établi, ni qu'un système est sûr ou conforme sur la foi d'un de nos audits. Une revue préalable est une préparation : nous ne détenons pas la grille d'un évaluateur. Elle ne délivre ni évaluation de conformité, ni avis, ni attestation.

La formation, en complément

Nous formons aussi les équipes aux méthodes et aux normes du domaine, en intra-entreprise. Cette formation apporte du vocabulaire et des méthodes de travail, sans tenir lieu de certification de personne ni de qualification reconnue par un tiers.

Sources officielles et lectures utiles

Normes et textes européens

• IEC 61508-1:2010, boutique de l'IEC : fiche de la publication de base.
• IEC 61511-1:2016, boutique de l'IEC : systèmes instrumentés de sécurité pour les procédés.
• IEC 62061:2021, boutique de l'IEC : sécurité fonctionnelle des systèmes de commande des machines.
• IEC TS 63074:2023, boutique de l'IEC : aspects de cybersécurité liés à la sécurité fonctionnelle.
• Machines, Commission européenne : directive 2006/42/CE et règlement (UE) 2023/1230.

Autorités et organismes français

• Nouveau règlement machines, INRS : synthèse juridique des évolutions.
• Application de la norme ISO 13849-1, INRS (brochure ED 6310) : détermination et calcul du niveau de performance.
• Cofrac : accréditation des organismes d'évaluation de la conformité.
• INERIS : prévention des risques accidentels et sécurité fonctionnelle.