Dans la sécurité fonctionnelle, la fonction de sécurité d’une machine ne doit pas se contenter de réagir une seule fois. Elle doit être fiable aussi bien dans les conditions de fonctionnement prévisibles qu'en cas de défaillances.
C’est là que les niveaux de performance, ou PL, ont toute leur importance. Un niveau de performance traduit la capacité des parties d’un système de commande relatives à la sécurité à assumer une fonction de sécurité définie. Dans la pratique, les ingénieurs peuvent ainsi mieux évaluer si un circuit ou un sous-circuit de sécurité atteint le niveau de réduction du risque recherché.
Cet article propose une vue d’ensemble concise des principaux paramètres visant à déterminer le niveau de performance. Il sert de guide technique et ne se substitue pas à une évaluation des risques, une validation ou un examen des normes propres au projet.
Un niveau de performance décrit la capacité d’un circuit de sécurité à assurer une fonction de sécurité dans des conditions prévisibles. Les niveaux de performance sont répartis en cinq niveaux distincts :
Dans cette classification, PL a représente le niveau le plus bas et PL e le niveau le plus élevé.
Les niveaux de performance concernent uniquement des circuits ou des sous-circuits de sécurité complets. Ils ne désignent pas des composants standard isolés sans prendre en compte l’ensemble de la fonction de sécurité ni l’architecture du circuit.
Avant d'évaluer un niveau de performance, il faut connaître le risque associé à la machine. L’évaluation des risques définit le niveau de réduction du risque nécessaire pour chaque fonction de sécurité.
À partir de cette évaluation des risques, un certain niveau de performance est attribué à chaque circuit de sécurité qui exécute une fonction ou une sous-fonction de sécurité. Le niveau de performance atteint par le circuit mis en œuvre doit ensuite être évalué au regard de cette exigence.
Il est important de respecter cet ordre :
1. Identifier le danger
2. Déterminer le niveau de performance requis
3. Définir la fonction de sécurité requise
4. Réaliser la conception du circuit ou du sous-circuit de sécurité
5. Évaluer si le niveau de performance atteint répond aux exigences
6. Valider la fonction de sécurité pour la machine donnée
Plusieurs paramètres quantitatifs et qualitatifs influencent le niveau de performance atteint. La vue d’ensemble suivante dévoile les plus importants d'entre eux.
La structure d’un circuit de sécurité dépend de la disposition des composants, du diagnostic et des mesures de fiabilité. Ces structures se répartissent entre les catégories B à 4.
La catégorie décrit la résistance du circuit de sécurité aux défauts et le comportement du circuit face à un défaut. Par exemple, l’architecture peut notamment déterminer si un seul défaut peut entraîner la perte de la fonction de sécurité ou si ce défaut est détecté et traité.
Le temps moyen avant une défaillance dangereuse, ou MTTFD repose sur la fiabilité des composants utilisés dans le circuit de sécurité.
Le MTTFD se concentre sur les défaillances dangereuses. Il s’agit de défaillances susceptibles d’empêcher la bonne exécution de la fonction de sécurité. Les données de fiabilité de tous les composants pertinents liés à la sécurité doivent s'inscrire dans le circuit complet.
La couverture du diagnostic, ou DC, mesure la pertinence du diagnostic dans le circuit de sécurité.
Elle indique la part des défaillances dangereuses détectables par rapport aux défaillances dangereuses qui demeurent non détectées. De manière générale, un risque plus élevé nécessite un diagnostic plus efficace. Les mesures de diagnostic peuvent donc avoir une incidence majeure sur le niveau de performance atteint.
Les défaillances de cause commune, ou CCF, surviennent lorsque deux défauts distincts au moins découlent d'un même problème.
C'est d'autant plus important pour les circuits de sécurité à plusieurs canaux. Malgré la conception distincte de deux canaux, une cause commune, comme des contraintes environnementales, une installation incorrecte, des hypothèses de conception inadaptées ou un problème d’alimentation commune, peut affecter les deux canaux. Les mesures de prévention des défaillances de cause commune contribuent à réduire la survenance d'une défaillance sur plusieurs canaux et pour la même raison.
Il convient d'évaluer le comportement d’un circuit de sécurité en cas de défauts. Les défauts et défaillances importants doivent être analysés par méthodes adéquates, telles que :
Selon l’application, la catégorie du circuit et les composants sélectionnés, des mesures supplémentaires de conception ou de diagnostic peuvent être nécessaires pour satisfaire aux exigences de la norme ISO 13849.
Si un logiciel utilisateur relatif à la sécurité est intégré au système de commande, le processus de développement doit prévoir des mesures visant à prévenir les défauts.
Un modèle de développement structuré, tel que le modèle en V, peut faciliter la spécification, la mise en œuvre, la vérification et la validation. L’objectif est d’obtenir un logiciel lisible, compréhensible, testable, facile à entretenir et aussi exempt de défauts que possible.
Les défaillances systématiques ne sont pas des défaillances aléatoires de l'équipement. Le plus souvent, elles résultent de causes humaines ou sont liées aux processus ou à la conception.
Exemples :
Un plan de sécurité fonctionnelle est l’un des outils les plus importants pour traiter les défaillances systématiques. Il définit des mesures visant à prévenir les erreurs de spécification, de mise en œuvre, de vérification, de validation ou toute modification ultérieure des fonctions de sécurité.
L’évaluation finale du niveau de performance regroupe tous les paramètres pertinents. L'objectif de la vue d’ensemble est de décrire comment la catégorie du circuit, le MTTFD, la couverture du diagnostic, les mesures contre les défaillances de cause commune, le comportement en cas de défaut, la qualité du logiciel et les mesures contre les défaillances systématiques permettent d'atteindre le PL de la fonction de sécurité.
L’évaluation du niveau de performance est bien plus qu'un simple calcul. Elle s'inscrit dans la technique de sécurité qui dépend du contexte global de la machine.
Un même composant peut se comporter différemment selon la fonction de sécurité, la structure du circuit, le diagnostic, le logiciel, l’environnement et le concept de validation. C’est pourquoi les circuits liés à la sécurité doivent être évalués en tenant compte des fonctions ou sous-fonctions globales, et non des composants pris isolément.
Festo fournit aux constructeurs de machines à la fois des composants d’automatisation, la documentation et les connaissances d'application nécessaires à leurs travaux de conception liés à la sécurité. La responsabilité finale concernant l’évaluation des risques, la mise en œuvre et la validation incombe au constructeur de machines ou à l’équipe d’ingénierie.