SAFEBOOK 3
Sécurité fonctionnelle des systèmes de commande
Introduction à la sécurité fonctionnelle des systèmes de commande
Important : Les normes et les exigences abordées dans cette section sont relativement nouvelles. Le travail est toujours en cours sur certains aspects, particulièrement sur la clarification et la combinaison de certaines normes. Il est donc probable que certains informations données ici subissent des modifications. Pour obtenir les dernières informations, consultez : http://www.ab.com/safety.
Au moment de la publication de ce document, il y a une prise de conscience grandissante des implications d’une nouvelle génération de normes couvrant la sécurité fonctionnelle des systèmes et des dispositifs de commande de sécurité.
En quoi consiste la sécurité fonctionnelle ?
La sécurité fonctionnelle, dans le cadre d’un système de sécurité général, dépend de la réaction appropriée des processus ou équipements aux entrées. Le site de la CEI fournit l’exemple suivant pour aider à clarifier ce que signifie la sécurité fonctionnelle. « Un thermostat installé dans les bobines d’un moteur électrique permettant de le mettre hors tension en cas de risque de surchauffe est un exemple de sécurité fonctionnelle. Mais fournir une isolation spécialisée pour résister à des températures élevées n’est pas un exemple de sécurité fonctionnelle (bien que ce soit tout de même un exemple de sécurité et que cela peut protéger contre le même danger). » Comme autre exemple, comparons un dispositif de protection matérielle à un dispositif de protection à verrouillage. La protection matérielle n’est pas considérée comme
« sécurité fonctionnelle » alors qu’elle peut protéger contre l’accès à la même source de danger que la protection à verrouillage. A l’inverse, la barrière de protection à verrouillage est considérée comme un dispositif de sécurité fonctionnelle. En effet, lorsque la barrière est ouverte, le mécanisme de verrouillage communique avec le système afin de prévenir toute situation à risque. L’équipement de protection individuelle est également utilisé comme mesure de protection pour améliorer la sécurité des personnes. Cet équipement n’est cependant pas considéré comme dispositif de sécurité fonctionnelle.
Le terme sécurité fonctionnelle a été introduit par la norme CEI 61508:1998. Depuis, il a quelques fois été uniquement associé aux systèmes de sécurité programmable. C’est pourtant un concept erroné. La sécurité fonctionnelle recouvre de nombreux dispositifs utilisés pour créer des systèmes de sécurité. Les dispositifs comme les dispositifs de verrouillage, les barrières immatérielles, les relais de sécurité, les PLC de sécurité, les contacteurs de sécurité et les variateurs de sécurité sont interconnectés pour former un système de sécurité qui exécute une fonction de sécurité spécifique. C’est cela la sécurité fonctionnelle. Par conséquent, la sécurité fonctionnelle d’un système de commande électrique est très pertinent pour le contrôle des dangers créés par les pièces mobiles des machines.
La sécurité fonctionnelle ne peut être obtenue qu’en mettant en œuvre deux types d’exigences :
• la fonction de sécurité ;
• l’intégrité de la sécurité.
93
Tel : 03.26.04.20.21 - Fax : 03.26.04.28.20 - Web : http: www.audin.fr - Email : [email protected]
SAFEBOOK 3
Systèmes de commande de sécurité pour machines
Le processus d’évaluation du risque joue un rôle clé dans l’élaboration des exigences liées
à la sécurité fonctionnelle. Les impératifs de la fonction de sécurité (ce qui fait la fonction) découlent de l’analyse du danger. Les impératifs de l’intégrité de la sécurité (la probabilité que la fonction de sécurité réussisse) découlent de l’évaluation du risque.
Les trois principales normes en vigueur pour la sécurité fonctionnelle des machines sont les suivantes :
1.
CEI/EN 61508 « Sécurité fonctionnelle des systèmes électriques/électroniques/
électroniques programmables relatifs à la sécurité ».
Cette norme présente les impératifs et les prescriptions applicables lors de la conception de systèmes et de sous-systèmes électroniques et programmables complexes. Cette norme est générique, elle n’est donc pas limitée au secteur des machines.
2.
CEI/EN 62061 « Sécurité des machines – Sécurité fonctionnelle des systèmes de commande électriques, électroniques et électroniques programmables relatifs à la sécurité ».
Cette norme est la version spécifique aux machines de la norme CEI/EN 61508. Elle définit les exigences applicables lors de la conception des systèmes de commande
électriques relatifs à la sécurité des machines, et également lors de la conception de sous-systèmes et de dispositifs peu complexes. Elle prescrit que les sous-systèmes complexes ou programmables doivent être conformes à la norme CEI/EN 61508
3.
EN ISO 13849-1:2008 « Sécurité des machines – Parties des systèmes de commande relatives à la sécurité ».
L’objectif de cette norme est de permettre une méthode de transition des catégories vers la sécurité fonctionnelle.
Les normes sur la sécurité fonctionnelle représentent une évolution significative par rapport aux exigences existantes comme la Fiabilité de commande et le système des catégories de la norme ISO 13849-1:1999 (EN 954-1:1996). Les catégories n’ont pas encore disparu, la norme d’origine reste en vigueur jusqu’en 2010 afin de fournir une période de transition avec sa nouvelle version révisée. Cette nouvelle version de la norme ISO/EN 13849-1 s’appuie sur le concept de sécurité fonctionnelle et introduit une nouvelle terminologie et de nouvelles exigences. Dans la présente section, cette nouvelle version de la norme est appelée
EN ISO-13849-1:2008.
L’intérêt pour les normes sur la sécurité fonctionnelle va aller en grandissant parce qu’elles représentent le futur et elles permettent plus de flexibilité, ainsi que l’utilisation d’une nouvelle technologie pour la sécurité des machines.
94
Tel : 03.26.04.20.21 - Fax : 03.26.04.28.20 - Web : http: www.audin.fr - Email : [email protected]
SAFEBOOK 3
Sécurité fonctionnelle des systèmes de commande
CEI/EN 62061 et EN ISO 13849-1:2008
Les normes CEI/EN 62061 et ISO/EN 13849-1:2008 concernent toutes deux les systèmes de commande électriques relatifs à la sécurité. En définitive, elles seront regroupées comme les deux parties d’une même norme et utiliseront une terminologie commune. Toutes deux permettent d’obtenir les mêmes résultats, mais font appel à des méthodes différentes. Leur objectif est de fournir aux utilisateurs la possibilité de choisir celle qui est la mieux adaptée à leurs situations. Un utilisateur peut décider d’utiliser l’une ou l’autre de ces normes.
Ces deux normes produisent des niveaux de sécurité comparables. Ces méthodes sont en effet adaptées en fonction des utilisateurs auxquels elles sont destinées. Une restriction de la norme EN ISO 13849-1:2008 est indiquée dans le tableau 1 de son introduction. Lorsqu’une technologie programmable et complexe est utilisée, le niveau de performance (PL) maximum pris en considération est PLd.
La méthodologie utilisée dans la norme CEI/EN 62061 a pour objectif de permettre la mise en œuvre de fonctionnalités de sécurité complexes qui peuvent être implémentées par des architectures système non conventionnelles antérieures. L’objectif de la norme ISO 13849-
1:2008 est d’offrir une solution plus directe et moins complexe pour les fonctionnalités de sécurité plus conventionnelles implémentées par les architectures système classiques.
L’élément qui différencie le plus ces deux normes se rapporte à leur domaine d’application respectif. La norme CEI/EN 62061 est limitée aux systèmes électriques. La norme
EN ISO 13849-1:2008 est applicable aux systèmes pneumatiques, hydrauliques, mécaniques et électriques.
Les présentations suivantes révèlent des similarités sous-jacentes de valeurs et de fondements entre les différentes normes. Il ne s’agit cependant que de brèves présentations.
Les deux normes couvrent bien plus de sujets que ce qui est indiqué ici et il est important de prendre en considération l’ensemble des textes des deux normes.
Le tableau suivant fournit un organigramme simplifié pour aider le concepteur de systèmes de sécurité à choisir laquelle de ces deux normes utiliser. Les deux solutions ont des procédures en commun : fonctions de sécurité et évaluation du risque. En ce qui concerne les informations sur la conception du système (p. ex., PFH, MTTF, DC, SFF), les deux normes prennent des approches différentes.
SIL et CEI/EN 62061
La norme CEI/EN 62061 décrit à la fois le niveau de risque à réduire et la capacité d’un système de commande à réduire ce risque en termes de classification SIL (Safety Integrity
Level). Il existe 3 niveaux de classification SIL utilisés dans le secteur des machines, le niveau le plus faible est SIL1 et le plus élevé est SIL3.
Des risques plus importants peuvent exister dans d’autres secteurs, comme dans l’industrie des procédés, et c’est pour cette raison que la norme CEI 61508 et la norme CEI 61511
95
Tel : 03.26.04.20.21 - Fax : 03.26.04.28.20 - Web : http: www.audin.fr - Email : [email protected]
SAFEBOOK 3
Systèmes de commande de sécurité pour machines spécifique au secteur des procédés incluent un niveau SIL4. La classification SIL concerne la fonction de sécurité. Le sous-système qui compose le système chargé de la mise en œuvre de la fonction de sécurité doit avoir une capacité SIL appropriée. C’est ce que l’on appelle parfois en anglais SIL Claim Limit (SIL CL). Une étude complète de la norme CEI/EN 62061 est nécessaire avant de pouvoir l’appliquer correctement. Certaines des exigences les plus couramment appliquées de la norme peuvent être résumées ainsi :
PL et EN ISO 13849-1:2008
La norme EN ISO 13849-1:2008 n’utilise pas l’abréviation SIL, mais PL (pour Performance
Level, niveau de performance). Les classifications PL et SIL sont comparables à de nombreux
égards. Il existe cinq niveaux de performance, PLa est le plus faible et PLe est le plus élevé.
Comparaison de PL et SIL
Ce tableau compare de façon approximative les classifications PL et SIL lorsqu’elle sont appliquées aux structures de circuits typiques de la technologie électromécanique peu complexe.
PL
(niveau de performance)
PFH
D
(probabilité de panne dangereuse par heure)
A
B
C
≥ 10
–5 to < 10
–4
≥ 3 x 10
–6 to < 10
–5
≥ 10
–6 to < 3 x 10
–6
D ≥ 10
–7 to < 10
–6
E ≥ 10
Correspondance approximative entre PL et SIL
–8 to < 10
–7
SIL
(niveau d’intégrité de la sécurité)
Aucun
1
1
2
3
IMPORTANT : Le tableau précédent est donné uniquement à titre informatif et NE DOIT PAS
être utilisé à des fins de conversion. La totalité des exigences des normes doivent être prises en considération.
96
Tel : 03.26.04.20.21 - Fax : 03.26.04.28.20 - Web : http: www.audin.fr - Email : [email protected]
