Dernière modification: 10/07/2023
Un autre aspect important à prendre en considération est le fait que, dans un composant, nous ne pouvons définir une défaillance dangereuse détectable que si, dans le cas d’une telle défaillance, il est possible d’amener le sous-système à un état sûr.
Par exemple, si nous considérons un sous-système de sortie composé d’un contacteur de puissance contrôlé (figure de gauche), le DC doit être supposé ≈ 0. En effet, si nous détectons que les contacts de puissance ne se sont pas ouverts, nous ne pouvons pas mettre le système de sécurité dans un état sûr. En revanche, dans le cas d’un sous-système de sécurité à double canal (figure de droite), le DC peut être supposé ≈ 99%. En effet, si nous détectons que les contacts d’alimentation de K1, par exemple, ne se sont pas ouverts, nous pouvons mettre K2 hors tension et donc placer le système de sécurité dans un état sûr.
Ce concept est désormais valable en mode de fonctionnement à forte demande, conformément au libellé suivant de la norme IEC 61508-2 : 2010
[IEC 61508-2 : CD 2023] 7.4.4 Contraintes architecturales relatives à l’intégrité de la sécurité du matériel
[…][7.4.4.1.4 Lors de l’estimation de la fraction de défaillance sûre d’un élément, destiné à être utilisé dans un sous-système ayant une tolérance de défaillance matérielle de 0, et qui met en œuvre une fonction de sécurité, ou une partie d’une fonction de sécurité, fonctionnant en mode de forte demande ou en mode de fonctionnement continu, le crédit ne doit être pris en compte pour les diagnostics que si :
-
La somme de la moitié de l’intervalle de test de diagnostic et du temps nécessaire pour effectuer l’action spécifiée afin d’atteindre ou de maintenir un état sûr est inférieure au temps de sécurité du processus ; ou,
-
En cas de fonctionnement en mode de demande élevée, le rapport entre le taux de test de diagnostic et le taux de demande est égal ou supérieur à 100.
La nouvelle édition de la IEC 61508-2, prévue d’ici quelques années, étendra probablement cette norme aux composants utilisés en mode de fonctionnement à faible demande.