P8: La sécurité fonctionnelle en mode de forte sollicitation : Catégories B, 1 et 2 de la norme EN ISO 13849-1

La norme ISO 13849-1 est l’une des deux normes utilisées dans le domaine des machines et, du moins en Europe, c’est la plus utilisée des deux, l’autre étant la IEC 62061. La norme ISO a été divisée en deux parties:

• ISO 13849-1: Sécurité des machines – Parties des systèmes de commande relatives à la sécurité – Partie 1: Principes généraux de conception
• ISO 13849-2: Sécurité des machines – Parties des systèmes de commande relatives à la sécurité – Partie 1: Validation

La première édition de la norme ISO 13849-1 a été publiée en 1999 et était identique à la norme EN 954-1:1996. L’ISO 13849-1 n’était que le numéro ISO correspondant à l’EN 954-1 ; par conséquent, la véritable première édition (officiellement la deuxième) a été publiée en 2006.

Les parties prenantes qui ont édité l’EN 954-1 ont vu la nécessité d’inclure l’électronique programmable dans les systèmes de sécurité des machines. En fait, l’électronique était déjà incluse dans l’EN 954-1, mais sans exigences logicielles détaillées. La norme devait être soumise à une approche dite probabiliste, la même que celle utilisée par la série IEC 61508. Par conséquent, la révision qui a abouti à la deuxième édition de la norme ISO 13849-1 a combiné les aspects déterministes de l’EN 954-1 avec l’approche probabiliste de l’IEC 61508 et a inclus pour la première fois des exigences en matière de logiciels.

Quelques mathématiciens de l’IFA ont conçu les modèles de Markov pour l’édition 2006 de la norme.

La troisième édition a été publiée en 2015, tandis que la dernière, la quatrième, a été publiée en 2022. Cette nouvelle édition est basée sur les mêmes principes que la précédente. Nous évoquons ci-après deux changements clés :

1. Le processus de validation, détaillé dans la norme ISO 13849-2, est désormais inclus dans la première partie. La raison principale est que les gens ne se sont pas suffisamment concentrés sur le processus de validation. Les fabricants font généralement des calculs et ne vérifient pas si, une fois la machine installée et mise en service, le système de sécurité fonctionne comme prévu : la validation est essentielle pour confirmer et garantir le niveau de sécurité requis.
2. Il est maintenant clair que la Catégorie est une caractéristique du Sous-Système de Sécurité et non de l’ensemble de la fonction de sécurité. Le sous-système d’entrée peut être de Catégorie 1 (canal unique), tandis que le sous-système de sortie, de la même fonction de sécurité, peut être de Catégorie 3 (architectures redondantes). La confusion était due à l’héritage de l’EN 954-1. Le fait qu’une fonction de sécurité puisse être composée de différentes catégories de sous-systèmes signifie que son niveau de fiabilité est représenté par son niveau de Performance uniquement. Dans l’EN 954-1, la fiabilité était représentée par un niveau de catégorie uniquement. Lorsque nous sommes passés à la norme ISO 13849-1, les normes de type C ont continué à donner à la fois les exigences PL et les exigences de catégorie pour les fonctions de sécurité. Depuis cette quatrième édition, il est clair que seul le niveau PL représente le niveau de fiabilité d’une Fonction de Sécurité: la catégorie n’est qu’un moyen de l’atteindre. Il en va de même pour la norme IEC 62061, selon laquelle une fonction de sécurité n’est caractérisée que par un niveau SIL et non par les architectures utilisées pour les différents sous-systèmes.

Les Sous-Systèmes conçus selon la norme ISO 13849-1 doivent être conformes aux exigences de l’une des cinq catégories qui sont fondamentales pour atteindre un Niveau de Performance spécifique. Les catégories décrivent le comportement requis des sous-systèmes en ce qui concerne leur résistance aux défauts, sur la base de considérations de conception telles que MTTF_D, DC_avg etc.

La Catégorie B est la catégorie de base, dans laquelle l’apparition d’un défaut peut entraîner la perte de la fonction de sécurité. Dans la Catégorie 1, l’utilisation de composants de haute qualité permet d’améliorer la résistance aux défauts.

Dans les Catégories 2, 3 et 4, une plus grande Fiabilité du sous-système est obtenue par l’amélioration de la tolérance aux défauts (Catégories 3 et 4 uniquement) et des mesures de diagnostic. Dans la Catégorie 2, puisqu’il n’y a pas de redondance, cette fiabilité est obtenue en vérifiant périodiquement que la fonction de sécurité est exécutée sans défaut (Couverture de Diagnostic). Dans les Catégories 3 et 4, la Couverture de Diagnostic fonctionne conjointement avec les Architectures Redondantes, de sorte qu’un seul défaut n’entraînera pas la perte de la fonction de sécurité.

Dans la Catégorie 4 et chaque fois que cela est raisonnablement possible dans la Catégorie 3, ces défauts doivent être détectés.

Les cinq Catégories sont représentées dans la norme ISO 13849-1 par des schémas fonctionnels de sécurité spécifiques, chacun répondant aux exigences de la Catégorie. La modélisation de Markov utilisée par les ingénieurs de l’IFA ne prend en compte que ces cinq Architectures ; il est possible de s’en écarter, mais cela implique de procéder à une nouvelle modélisation.

Pour chaque sous-système, la valeur maximale du MTTF_D pour chaque canal est limitée à 100 ans. Pour les sous-systèmes de Catégorie 4, la valeur maximale de MTTF_D pour chaque canal est limitée à 2 500 ans.