Qui décide qu’un scénario doit être SIL 2 ou SIL 3 ?
Introduction
Lorsqu’il est question de sécurité fonctionnelle, les acronymes ne manquent pas : HAZOP, LOPA, SIF, SIL, IEC 61511…
Pour de nombreux responsables HSE, ces notions semblent réservées aux automaticiens ou aux ingénieurs procédés. Pourtant, elles interviennent régulièrement lors des études de dangers, des analyses de risques ou des projets de modification d’installations industrielles.
C’est souvent à ce moment qu’une question revient :
Pourquoi un scénario est-il classé SIL 2 plutôt que SIL 3 ?
La réponse est loin d’être aussi simple qu’il n’y paraît.
Contrairement à une idée reçue, le niveau SIL n’est pas déterminé par la seule gravité d’un accident potentiel. Il résulte d’une démarche structurée qui commence bien en amont, par l’identification des dangers, l’analyse des barrières de sécurité et l’évaluation du risque résiduel.
Comprendre cette logique est essentiel pour dialoguer efficacement avec les ingénieurs procédés, les automaticiens et les spécialistes de la sécurité fonctionnelle. Plus encore, elle permet de mieux comprendre comment les industries de procédés démontrent que leurs risques sont maîtrisés.
Dans cet article, nous allons suivre le cheminement complet qui conduit d’un scénario identifié lors d’une HAZOP jusqu’à la définition d’un niveau SIL, en passant par la LOPA, les fonctions instrumentées de sécurité (SIF) et les principes de la sécurité fonctionnelle.
1. Pourquoi le SIL reste flou pour beaucoup de responsables HSE
Pour de nombreux responsables HSE, les notions de SIL (Safety Integrity Level), SIF (Safety Instrumented Function) ou SIS (Safety Instrumented System) restent associées à un domaine très technique, souvent réservé aux automaticiens, aux ingénieurs procédés ou aux spécialistes de la sécurité fonctionnelle.
Pourtant, ces acronymes reviennent régulièrement dans les industries de procédés :
- lors d’une étude HAZOP ;
- pendant une analyse LOPA ;
- à l’occasion d’une revue de sécurité procédé ;
- dans le cadre d’une modification d’installation (MOC) ;
- lors d’une étude de dangers ;
- ou lorsqu’il est question des barrières de sécurité.
C’est généralement à ce moment que les premières confusions apparaissent.
On entend souvent des affirmations telles que :
« Ce scénario est très grave, il faudra sûrement un SIL 3. »
ou encore :
« La HAZOP a conclu que ce scénario était SIL 2. »
En réalité, ce n’est pas ainsi que fonctionne la sécurité fonctionnelle.
Une HAZOP identifie les scénarios dangereux.
Une LOPA évalue ensuite si les barrières existantes permettent réellement de maîtriser ces scénarios.
Ce n’est qu’après cette étape qu’une fonction instrumentée de sécurité (SIF) peut être envisagée si une réduction supplémentaire du risque est nécessaire. Le niveau SIL traduit alors le niveau de performance attendu de cette fonction de sécurité.
Autrement dit, un niveau SIL ne dépend pas directement de la gravité d’un accident potentiel.
Il traduit le niveau de réduction du risque encore nécessaire après prise en compte des barrières existantes.
Cette distinction est fondamentale.
Dans la pratique, les discussions HAZOP et LOPA s’enchaînent souvent au cours des mêmes ateliers. Lorsqu’un scénario critique est identifié, les échanges portent immédiatement sur les soupapes, les alarmes, les actions opérateur, les protections instrumentées ou les futures exigences SIL.
Cette proximité entretient naturellement l’idée que la HAZOP « donne » un SIL.
En réalité, ces méthodes poursuivent des objectifs différents :
- la HAZOP identifie et structure les scénarios dangereux ;
- la LOPA évalue si les barrières existantes permettent d’atteindre un niveau de risque acceptable ;
- la sécurité fonctionnelle traduit ensuite le besoin de réduction du risque en exigences de performance pour une éventuelle SIF.
Comprendre cette articulation est essentiel pour dialoguer efficacement avec les automaticiens, les ingénieurs procédés et les spécialistes de la sécurité fonctionnelle.
Car derrière les acronymes HAZOP, LOPA, SIF ou SIL se cache une logique unique : mettre en place des barrières adaptées, indépendantes et suffisamment performantes pour maîtriser durablement le risque industriel.
À retenir !
Une HAZOP ne définit pas un niveau SIL. Elle identifie les scénarios dangereux qui pourront ensuite être analysés par une LOPA afin de déterminer si une réduction supplémentaire du risque est nécessaire.
2. Le point de départ : identifier un scénario dangereux
Avant de parler de SIL, de SIF ou même de LOPA, il faut répondre à une question beaucoup plus fondamentale :
Qu’est-ce qui pourrait réellement mal se passer sur le procédé ?
C’est précisément l’objectif des méthodes d’identification des dangers utilisées en sécurité des procédés, telles que :
- l’APR (Analyse Préliminaire des Risques) ;
- l’HAZID (Hazard Identification) ;
- l’HAZOP (Hazard and Operability Study) ;
- les études de dangers ;
- ou encore le retour d’expérience (REX).
Ces méthodes constituent la première étape d’une démarche structurée de maîtrise des risques industriels.
Leur objectif n’est pas encore de définir un niveau SIL ni de concevoir un système instrumenté de sécurité. Elles cherchent avant tout à identifier les scénarios susceptibles d’avoir des conséquences sur :
- les personnes ;
- l’environnement ;
- les installations ;
- la continuité d’exploitation ;
- ou l’intégrité du procédé.
Autrement dit, avant de chercher comment réduire un risque, il faut d’abord comprendre précisément le scénario qui pourrait conduire à un accident.
Prenons une HAZOP réalisée sur un réacteur chimique.
L’équipe analyse le paramètre :
Pression
Le mot-guide retenu est :
Plus
La déviation étudiée devient alors :
Pression plus élevée que prévu
Les causes possibles peuvent être nombreuses :
- une vanne bloquée ;
- un défaut de régulation ;
- une erreur opérateur ;
- une perte de refroidissement ;
- un emballement réactionnel.
Les conséquences potentielles sont ensuite analysées :
- rupture d’équipement ;
- fuite de produit dangereux ;
- incendie ;
- explosion ;
- effets domino sur les installations voisines.
Enfin, l’équipe recense les premières barrières déjà présentes :
- une alarme ;
- une soupape de sécurité ;
- une procédure opérateur ;
- un arrêt automatique ;
- une limitation physique du procédé.
La HAZOP permet ainsi de relier les causes, les conséquences et les premières mesures de maîtrise du scénario.
Ce que la HAZOP ne dit pas encore
À ce stade, une erreur est fréquente :
Penser qu’un scénario très grave conduira automatiquement à un SIL élevé.
En réalité, la HAZOP ne répond pas encore à cette question.
Elle ne permet pas de savoir :
- si les barrières existantes sont suffisantes ;
- si elles sont réellement indépendantes ;
- quel niveau de réduction du risque reste nécessaire ;
- ni si une fonction instrumentée de sécurité (SIF) devra être mise en œuvre.
Un scénario potentiellement catastrophique peut déjà être correctement maîtrisé grâce à :
- une conception intrinsèquement plus sûre ;
- des protections passives robustes ;
- des barrières mécaniques indépendantes ;
- ou des dispositifs physiques particulièrement fiables.
À l’inverse, un scénario aux conséquences plus limitées peut nécessiter une réduction supplémentaire du risque si les barrières existantes sont insuffisantes ou trop dépendantes les unes des autres.
Autrement dit, la HAZOP met en évidence le danger, mais elle ne mesure pas encore le niveau réel de maîtrise du risque.
C’est précisément cette étape qui conduira ensuite vers la LOPA.
Retour d’expérience
Lors des HAZOP, il n’est pas rare que les discussions dérivent très rapidement vers les alarmes, les soupapes ou les futurs automatismes de sécurité. C’est normal : dès qu’un scénario critique apparaît, chacun cherche spontanément à imaginer comment l’empêcher. Pourtant, à ce stade, l’objectif n’est pas encore de définir une solution, mais de comprendre le scénario dans toute sa logique. Une HAZOP bien menée cherche d’abord à poser les bonnes questions avant d’apporter les réponses.
À retenir
Une HAZOP permet d’identifier et de comprendre un scénario dangereux. Elle ne détermine pas encore si les barrières existantes suffisent ni si une SIF ou un niveau SIL seront nécessaires.
3. Ce qu'une HAZOP ne fait pas
L’HAZOP est l’une des méthodes les plus reconnues pour identifier les scénarios dangereux dans les industries de procédés. Elle constitue souvent la pierre angulaire des études de sécurité et permet de comprendre en détail comment une installation peut dériver de son fonctionnement normal.
Mais malgré toute sa richesse, une HAZOP possède une limite essentielle :
Elle ne permet pas, à elle seule, de déterminer un niveau SIL.
Cette confusion est pourtant fréquente.
Parce que les discussions autour des scénarios critiques conduisent naturellement les équipes à parler de protections, d’automatismes ou de fonctions de sécurité, beaucoup pensent que la HAZOP « attribue » directement un niveau SIL.
En réalité, ce n’est pas son rôle.
Une méthode d’identification des dangers
La HAZOP cherche avant tout à répondre à une question :
« Que peut-il se produire si le procédé s’écarte de son fonctionnement normal ? »
Pour cela, l’équipe analyse méthodiquement :
- les déviations possibles ;
- leurs causes ;
- leurs conséquences ;
- les barrières déjà présentes ;
- les recommandations éventuelles.
Elle permet ainsi de construire une vision complète des scénarios dangereux.
En revanche, elle ne cherche pas à calculer le niveau précis de réduction du risque encore nécessaire.
La gravité ne suffit pas
C’est probablement l’idée la plus importante à retenir.
Un scénario peut être catastrophique sans nécessiter un SIL élevé.
Pourquoi ?
Parce que la décision ne dépend pas uniquement des conséquences potentielles.
Elle dépend également :
- de la fréquence de l’événement initiateur ;
- de la qualité des barrières existantes ;
- de leur indépendance ;
- de leur fiabilité ;
- et du niveau de risque résiduel.
Prenons deux scénarios présentant des conséquences similaires.
Le premier dispose déjà :
- d’une conception intrinsèquement sûre ;
- de protections passives robustes ;
- de plusieurs barrières indépendantes.
Le second repose essentiellement sur une intervention opérateur et quelques alarmes.
Les deux scénarios présentent une gravité comparable.
Pourtant, le second pourra nécessiter une réduction supplémentaire du risque, alors que le premier est déjà suffisamment maîtrisé.
C’est toute la différence entre identifier un danger et évaluer son niveau réel de maîtrise.
Une HAZOP déclenche souvent la réflexion…
En pratique, la HAZOP agit fréquemment comme un déclencheur.
Elle met en évidence :
- des scénarios critiques ;
- des vulnérabilités du procédé ;
- des protections potentiellement insuffisantes ;
- des situations qui méritent une analyse plus approfondie.
C’est généralement à ce moment que commencent les discussions autour :
- des barrières de sécurité ;
- des automatismes ;
- des fonctions instrumentées ;
- ou d’un éventuel besoin SIL.
Mais il est important de comprendre que ces échanges ne signifient pas que la HAZOP est en train de définir un SIL.
Elle identifie simplement les scénarios qui devront être étudiés plus en détail.
La question devient alors :
Les barrières existantes permettent-elles réellement de maintenir le risque à un niveau acceptable ?
C’est précisément à cette question que répondra la LOPA.
Retour d’expérience
Dans les ateliers HAZOP, il est fréquent de voir apparaître des propositions du type : « On pourrait ajouter un arrêt automatique » ou « Il faudra probablement un SIL 2 ». Ces idées sont utiles, mais elles arrivent souvent trop tôt. Avant de définir une solution, il faut d’abord démontrer qu’un besoin de réduction supplémentaire du risque existe réellement. C’est précisément le rôle de la LOPA.
À retenir !
Une HAZOP identifie les scénarios dangereux et met en évidence les situations critiques. Elle ne détermine ni le niveau SIL, ni les performances attendues d’une future fonction instrumentée de sécurité.
4. Pourquoi HAZOP et LOPA sont souvent confondues
Sur le papier, la distinction entre une HAZOP et une LOPA paraît simple :
- la HAZOP identifie les scénarios dangereux ;
- la LOPA évalue si les barrières existantes permettent réellement de maîtriser ces scénarios.
Pourtant, dans la pratique industrielle, cette frontière est souvent beaucoup moins évidente.
Et c’est précisément cette proximité qui explique pourquoi de nombreux professionnels pensent que la HAZOP « définit » directement un niveau SIL.
Ce qui se passe réellement pendant une HAZOP
Lorsqu’un scénario critique est identifié, les échanges ne s’arrêtent pas aux causes ou aux conséquences.
Très rapidement, l’équipe commence également à s’interroger sur les protections existantes :
- la soupape est-elle correctement dimensionnée ?
- l’opérateur aura-t-il le temps de réagir ?
- l’alarme est-elle suffisamment fiable ?
- un arrêt automatique serait-il préférable ?
- les différentes barrières sont-elles réellement indépendantes ?
Autrement dit, la réflexion bascule naturellement vers la maîtrise du risque.
Prenons un exemple.
Une HAZOP met en évidence un risque de surpression sur un réacteur.
Très vite, les discussions portent sur :
- la soupape de sécurité ;
- les alarmes haute pression ;
- les actions opérateur ;
- les automatismes existants ;
- voire la possibilité d’ajouter une fonction instrumentée de sécurité.
À ce stade, il est facile d’avoir l’impression que l’on est déjà en train de définir un SIL.
En réalité, ce n’est pas encore le cas.
Deux méthodes complémentaires
Cette impression est renforcée par le fait que, dans de nombreuses entreprises, les études HAZOP et LOPA sont réalisées :
- par les mêmes équipes ;
- sur les mêmes scénarios ;
- parfois au cours des mêmes ateliers.
Cette continuité est logique.
La LOPA ne peut exister que si un scénario dangereux a déjà été identifié.
La HAZOP fournit donc :
- les déviations ;
- les causes initiatrices ;
- les conséquences ;
- les premières barrières de sécurité.
La LOPA reprend ensuite ces informations pour répondre à une autre question :
Les barrières existantes permettent-elles réellement d’atteindre un niveau de risque acceptable ?
Pour cela, elle analyse notamment :
- l’indépendance des barrières ;
- leur fiabilité ;
- les éventuelles défaillances communes ;
- le risque résiduel ;
- le besoin éventuel de réduction supplémentaire du risque.
C’est ici que commence réellement la réflexion SIL
Si la LOPA montre que les protections existantes sont suffisantes, aucune réduction supplémentaire du risque n’est nécessaire.
En revanche, si le risque résiduel reste supérieur au niveau jugé acceptable, plusieurs solutions peuvent être envisagées :
- modifier le procédé ;
- renforcer une protection existante ;
- ajouter une nouvelle barrière ;
- ou mettre en œuvre une fonction instrumentée de sécurité (SIF).
Ce n’est qu’à partir de cette étape qu’une réflexion sur le niveau de performance attendu — et donc sur un éventuel SIL — devient pertinente.
Autrement dit :
- la HAZOP révèle le problème ;
- la LOPA évalue le niveau réel de maîtrise ;
- la sécurité fonctionnelle définit ensuite les performances nécessaires pour réduire le risque.
Retour d’expérience :
Dans les projets industriels, il est fréquent que les ateliers HAZOP et LOPA soient organisés à quelques jours d’intervalle, voire dans la continuité l’un de l’autre. Cette organisation est efficace, mais elle entretient parfois l’idée que les deux méthodes poursuivent le même objectif. En réalité, elles sont complémentaires : l’une identifie les scénarios dangereux, l’autre vérifie si les barrières de sécurité sont réellement suffisantes.
À retenir !
La HAZOP et la LOPA s’appuient sur les mêmes scénarios, mais elles ne répondent pas à la même question. La première identifie les dangers ; la seconde évalue si les barrières existantes permettent de ramener le risque à un niveau acceptable.
5. Le vrai pivot : la logique LOPA
C’est à ce stade que la sécurité fonctionnelle entre réellement en jeu.
Une fois le scénario dangereux identifié par une HAZOP, une APR ou une HAZID, la question n’est plus :
« Que peut-il se passer ? »
mais :
« Les barrières existantes permettent-elles réellement de maintenir le risque à un niveau acceptable ? »
C’est précisément le rôle de la LOPA (Layer of Protection Analysis).
La LOPA constitue le lien entre l’identification des dangers et les futures exigences de sécurité fonctionnelle.
Une méthode centrée sur le risque résiduel
Contrairement à la HAZOP, la LOPA ne cherche pas à identifier de nouveaux scénarios.
Elle reprend un scénario déjà connu et cherche à déterminer :
- si les barrières existantes sont suffisantes ;
- si elles sont réellement indépendantes ;
- si leur fiabilité est compatible avec le scénario étudié ;
- et quelle réduction supplémentaire du risque reste éventuellement nécessaire.
Autrement dit :
La HAZOP cherche le danger.
La LOPA mesure le niveau réel de maîtrise du risque.
C’est cette différence qui fait toute la complémentarité des deux méthodes.
Les trois questions auxquelles répond une LOPA
Pour chaque scénario étudié, la LOPA répond généralement à trois questions essentielles.
- Quelle est la fréquence de l’événement initiateur ?
La première étape consiste à estimer la probabilité de l’événement susceptible de déclencher le scénario.
Il peut s’agir par exemple :
- d’une erreur opérateur ;
- d’une perte de refroidissement ;
- d’une défaillance de régulation ;
- d’une rupture mécanique ;
- d’une perte d’alimentation électrique.
Cette estimation repose sur le retour d’expérience, les données de fiabilité et l’expertise des équipes.
- Les barrières existantes sont-elles réellement efficaces ?
La LOPA examine ensuite les protections déjà présentes :
- soupapes ;
- alarmes ;
- protections mécaniques ;
- systèmes instrumentés ;
- actions opérateur ;
- procédures.
Mais toutes ces protections ne sont pas automatiquement considérées comme des IPL (Independent Protection Layers).
Pour être reconnue comme une véritable IPL, une barrière doit notamment être :
- indépendante de la cause initiatrice ;
- indépendante des autres barrières ;
- suffisamment fiable ;
- vérifiable ;
- maintenable ;
- capable d’agir efficacement sur le scénario étudié.
Cette notion d’indépendance est fondamentale.
Deux protections alimentées par la même source électrique ou dépendant du même système de contrôle peuvent, par exemple, perdre simultanément leur efficacité.
- Le risque résiduel est-il acceptable ?
Une fois les barrières prises en compte, la LOPA compare le risque résiduel :
- aux critères internes de l’entreprise ;
- aux exigences réglementaires ;
- aux référentiels du groupe ;
- ou aux standards applicables.
La question n’est donc pas :
« Le scénario est-il grave ? »
mais :
« Le niveau de maîtrise obtenu est-il suffisant ? »
C’est une différence fondamentale.
Deux conclusions possibles
Après cette analyse, deux situations peuvent se présenter.
Le risque est acceptable
Les barrières existantes permettent déjà de maîtriser le scénario.
Dans ce cas :
- aucune réduction supplémentaire n’est nécessaire ;
- aucune nouvelle SIF n’est requise ;
- aucun besoin SIL n’est identifié.
Le risque reste trop élevé
Les protections existantes sont insuffisantes.
Une réduction supplémentaire du risque devient alors nécessaire.
Plusieurs solutions peuvent être envisagées :
- modifier le procédé ;
- supprimer le danger à la source ;
- ajouter une protection passive ;
- renforcer une barrière existante ;
- ou mettre en œuvre une fonction instrumentée de sécurité (SIF).
Ce n’est qu’à partir de ce moment qu’un objectif SIL peut apparaître.
Le SIL est la conséquence de la LOPA
C’est probablement l’idée la plus importante de ce chapitre.
Le SIL ne représente ni la gravité du scénario ni son caractère spectaculaire.
Il traduit le niveau de performance attendu d’une fonction instrumentée de sécurité afin de ramener le risque à un niveau acceptable.
Plus la réduction du risque nécessaire est importante :
- plus les exigences de fiabilité augmentent ;
- plus la future SIF devra être performante ;
- et plus le niveau SIL demandé pourra être élevé.
Il est toutefois important de rappeler qu’une LOPA ne calcule pas directement le SIL définitif.
Elle met en évidence :
- un besoin de réduction du risque ;
- un objectif de performance ;
- un SIL cible.
Ce SIL devra ensuite être confirmé par les phases de conception, de calcul, de validation et d’exploitation définies par l’IEC 61511.
💡 Retour d’expérience
Lors des analyses LOPA, les débats portent rarement sur la gravité des conséquences. Les discussions les plus longues concernent souvent la crédibilité des barrières : une action opérateur est-elle réellement réalisable dans le temps disponible ? Deux protections sont-elles vraiment indépendantes ? Une soupape peut-elle être considérée comme une IPL ? C’est souvent sur ces points que se joue le résultat de l’analyse.
À retenir
La LOPA ne cherche pas de nouveaux scénarios. Elle évalue si les barrières existantes permettent réellement de maintenir le risque à un niveau acceptable. Si ce n’est pas le cas, elle met en évidence un besoin de réduction supplémentaire du risque, qui pourra conduire à définir un objectif SIL.
6. Qui définit réellement le risque acceptable ?
Une fois la LOPA réalisée, une question essentielle demeure :
À partir de quel moment considère-t-on qu’un risque est suffisamment maîtrisé ?
Cette question est au cœur de toutes les démarches de sécurité des procédés.
Car il n’existe pas de procédé totalement exempt de risque.
L’objectif n’est donc pas de supprimer tous les dangers, mais de ramener le risque à un niveau jugé acceptable au regard des conséquences potentielles, de la probabilité d’occurrence et des exigences de l’entreprise.
Toute la difficulté réside dans la définition de ce niveau d’acceptabilité.
Le risque acceptable n’est pas universel
Contrairement à une idée répandue, il n’existe pas une valeur unique applicable à toutes les industries.
Le niveau de risque acceptable dépend notamment :
- de la nature du procédé ;
- des substances mises en œuvre ;
- des conséquences potentielles ;
- des exigences réglementaires ;
- des référentiels internes de l’entreprise ;
- des standards du groupe ou du secteur d’activité.
Une installation pétrochimique, une usine pharmaceutique ou une unité agroalimentaire n’auront pas nécessairement les mêmes critères de décision.
L’important est que ces critères soient clairement définis, cohérents et appliqués de manière homogène.
Les matrices de risques ne suffisent pas
Dans de nombreuses entreprises, les premières décisions sont prises à l’aide de matrices de criticité.
Ces outils sont particulièrement utiles pour hiérarchiser les scénarios et identifier les situations qui nécessitent une analyse approfondie.
En revanche, une matrice ne permet pas de démontrer qu’un risque est réellement maîtrisé.
Deux scénarios classés dans la même catégorie peuvent présenter :
- des fréquences très différentes ;
- des barrières de sécurité de qualité inégale ;
- des niveaux de risque résiduel très éloignés.
C’est précisément pour cette raison que la LOPA vient compléter les approches qualitatives.
Elle apporte une évaluation plus structurée du niveau de maîtrise obtenu grâce aux différentes couches de protection.
Le principe ALARP
La plupart des industries de procédés s’appuient sur le principe ALARP (As Low As Reasonably Practicable).
Ce principe repose sur une idée simple :
Le risque doit être réduit autant qu’il est raisonnablement possible de le faire, compte tenu des bénéfices attendus et des moyens nécessaires.
Autrement dit, lorsqu’une réduction supplémentaire du risque est techniquement réalisable et proportionnée, elle doit être mise en œuvre.
À l’inverse, il n’est pas toujours justifié d’investir des moyens considérables pour obtenir une réduction du risque devenue marginale.
Le principe ALARP cherche ainsi à trouver un équilibre entre sécurité, faisabilité technique et proportionnalité des mesures de prévention.
Le SIL n’est qu’un moyen d’atteindre cet objectif
Lorsque la LOPA conclut que le risque résiduel reste supérieur au niveau acceptable, plusieurs options sont envisageables :
- modifier le procédé ;
- renforcer une barrière existante ;
- mettre en place une protection passive ;
- améliorer les mesures organisationnelles ;
- ou installer une nouvelle fonction instrumentée de sécurité.
Le recours à une SIF n’est donc jamais une fin en soi.
Il constitue simplement l’une des solutions possibles pour atteindre le niveau de réduction du risque attendu.
Le niveau SIL traduit alors les performances minimales que cette fonction instrumentée devra garantir pendant toute sa durée de vie.
💡 Retour d’expérience
Dans les projets industriels, les discussions ne portent pas uniquement sur le choix d’un niveau SIL. Elles commencent souvent bien avant, par une question beaucoup plus stratégique : quel niveau de risque l’entreprise est-elle prête à accepter ? Une fois ce cadre défini, les études HAZOP, les LOPA et, si nécessaire, les exigences SIL permettent de démontrer que cet objectif est effectivement atteint.
À retenir !
Le niveau de risque acceptable est défini par les critères retenus par l’entreprise, dans le respect des exigences réglementaires et des bonnes pratiques. Le SIL n’a pas pour vocation d’éliminer tout risque : il constitue l’un des moyens permettant de ramener le risque résiduel à un niveau jugé acceptable.
7. Quand décide-t-on qu'une SIF devient nécessaire ?
À ce stade, la HAZOP a permis d’identifier le scénario dangereux et la LOPA a évalué les barrières de sécurité existantes.
Une question demeure :
Comment décide-t-on qu’une fonction instrumentée de sécurité (SIF) devient nécessaire ?
La réponse est simple.
Une SIF n’est jamais installée par principe.
Elle n’est mise en œuvre que lorsque les protections existantes ne permettent pas d’atteindre le niveau de risque acceptable défini pour le scénario étudié.
Autrement dit, la SIF répond à un besoin de réduction supplémentaire du risque.
Toutes les situations ne nécessitent pas une SIF
À l’issue d’une LOPA, plusieurs conclusions sont possibles.
Le risque peut déjà être suffisamment maîtrisé grâce :
- à une conception intrinsèquement plus sûre ;
- à des protections passives ;
- à des équipements mécaniques ;
- à des dispositifs de limitation ;
- ou à plusieurs barrières indépendantes.
Dans ce cas, aucune fonction instrumentée supplémentaire n’est nécessaire.
À l’inverse, si le risque résiduel reste supérieur aux critères d’acceptation définis, une action complémentaire devient indispensable.
Plusieurs solutions peuvent alors être étudiées :
- modifier le procédé ;
- supprimer la cause du scénario ;
- renforcer une barrière existante ;
- ajouter une nouvelle protection ;
- ou mettre en œuvre une fonction instrumentée de sécurité (SIF).
La SIF n’est donc qu’une solution parmi d’autres.
Pourquoi choisir une SIF ?
Une SIF est retenue lorsqu’une action automatique permet de réduire efficacement le risque.
Elle repose généralement sur trois éléments :
- un ou plusieurs capteurs ;
- un automate de sécurité (logic solver) ;
- un élément final, comme une vanne de sécurité ou un dispositif d’arrêt.
Son rôle est de détecter une situation dangereuse et d’amener automatiquement le procédé dans un état sûr avant que le scénario ne produise ses conséquences.
La performance attendue de cette fonction sera ensuite exprimée par un niveau SIL.
Le SIL exprime une exigence de performance
C’est un point souvent mal compris.
Le niveau SIL ne décrit pas la gravité d’un accident.
Il ne mesure pas non plus le niveau de danger d’une installation.
Il exprime uniquement la fiabilité attendue de la fonction instrumentée de sécurité.
Plus la réduction du risque nécessaire est importante, plus la fonction devra présenter une probabilité de défaillance faible.
C’est cette exigence qui conduira au choix d’un SIL 1, 2, 3 ou, plus rarement, 4.
Une décision qui s’inscrit dans un ensemble
Le choix d’une SIF ne résulte jamais d’une décision isolée.
Il s’appuie sur :
- les scénarios identifiés lors de la HAZOP ;
- les conclusions de la LOPA ;
- les critères d’acceptation du risque ;
- les exigences de l’IEC 61511 ;
- les contraintes techniques et d’exploitation de l’installation.
La SIF s’intègre ainsi dans une stratégie globale de maîtrise des risques, aux côtés des autres barrières techniques, organisationnelles et humaines.
💡 Retour d’expérience
Sur le terrain, il arrive que la première réaction face à un scénario critique soit de proposer un nouvel automatisme de sécurité. Pourtant, une SIF n’est pas toujours la meilleure réponse. Dans certains cas, une modification du procédé, une amélioration de la conception ou le renforcement d’une barrière existante permettent d’obtenir le même niveau de sécurité avec une solution plus simple, plus robuste et plus facile à maintenir.
À retenir !
Une SIF n’est mise en œuvre que lorsqu’une réduction supplémentaire du risque est nécessaire et qu’une fonction automatique constitue la solution la plus pertinente. Le niveau SIL traduit alors les performances minimales attendues de cette fonction de sécurité.
8. Comment détermine-t-on un niveau SIL ?
Une fois qu’il est établi qu’une fonction instrumentée de sécurité (SIF) est nécessaire, une nouvelle question se pose :
Quel niveau de performance cette fonction devra-t-elle atteindre ?
C’est précisément ce que traduit le Safety Integrity Level (SIL).
Contrairement à une idée reçue, un niveau SIL n’est jamais choisi de manière arbitraire.
Il résulte d’une démarche d’analyse structurée visant à démontrer le niveau de réduction du risque nécessaire pour ramener le scénario à un niveau acceptable.
Le SIL est la conséquence d’une analyse
Le point de départ reste toujours le même :
- un scénario dangereux a été identifié ;
- les barrières existantes ont été analysées ;
- le risque résiduel a été comparé aux critères d’acceptation.
Si cette analyse montre qu’une réduction supplémentaire du risque est nécessaire, une SIF peut être retenue.
Le niveau SIL traduit alors la performance minimale que cette fonction devra garantir.
Autrement dit :
Ce n’est pas le SIL qui détermine le besoin de sécurité. C’est le besoin de sécurité qui conduit à définir un niveau SIL.
Plus la réduction du risque attendue est importante…
Les niveaux SIL correspondent à des exigences croissantes de fiabilité.
En simplifiant :
- un SIL 1 apporte une réduction du risque significative ;
- un SIL 2 impose des exigences de fiabilité plus élevées ;
- un SIL 3 est réservé aux scénarios nécessitant une réduction du risque très importante ;
- le SIL 4 reste exceptionnel dans les industries de procédés couvertes par l’IEC 61511.
Il est important de rappeler qu’un niveau SIL élevé n’est jamais un objectif en soi.
Un SIL 3 n’est pas « meilleur » qu’un SIL 2.
Il traduit simplement un besoin plus important de réduction du risque.
Le rôle des calculs de fiabilité
Une fois le SIL cible défini, les études de conception permettent de vérifier que la future SIF sera capable d’atteindre les performances attendues.
Cette démonstration repose notamment sur :
- l’architecture de la fonction de sécurité ;
- la fiabilité des capteurs, de l’automate et des éléments finaux ;
- les taux de défaillance des équipements ;
- les intervalles d’essais périodiques (proof tests) ;
- les exigences de l’IEC 61511.
C’est à cette étape qu’interviennent les calculs de PFDavg (Probability of Failure on Demand average), qui permettent de démontrer que la fonction respecte bien le niveau SIL visé.
Ces calculs relèvent généralement du travail des spécialistes en sécurité fonctionnelle et des automaticiens.
Le responsable HSE n’a pas nécessairement besoin de les réaliser, mais il doit comprendre leur finalité : démontrer que la réduction du risque attendue sera effectivement obtenue.
Le SIL concerne une fonction, pas une installation
Une confusion fréquente consiste à attribuer un niveau SIL à une machine, à une unité de production ou à un site industriel.
En réalité, le SIL s’applique toujours à une fonction instrumentée de sécurité précise.
Une même installation peut donc comporter :
- plusieurs SIF ;
- des niveaux SIL différents ;
- ou aucune SIF si les autres barrières suffisent à maîtriser les risques.
Le SIL caractérise donc la performance attendue d’une fonction de sécurité, et non le niveau global de sécurité d’une installation.
Retour d’expérience
Il n’est pas rare d’entendre : « Cette unité est en SIL 2 » ou « Cette machine est SIL 3 ». Cette formulation est inexacte. En pratique, plusieurs fonctions de sécurité peuvent coexister sur une même installation, chacune avec un objectif SIL différent selon le scénario qu’elle traite.
À retenir !
Un niveau SIL n’est jamais attribué à une installation. Il s’applique à une fonction instrumentée de sécurité (SIF) et traduit les performances minimales attendues pour obtenir la réduction du risque démontrée par l’analyse.
Correspondance entre SIL et PFDavg
Niveau SIL | PFDavg (mode faible sollicitation) |
SIL 1 | ≥ 10⁻² à < 10⁻¹ |
SIL 2 | ≥ 10⁻³ à < 10⁻² |
SIL 3 | ≥ 10⁻⁴ à < 10⁻³ |
SIL 4 | ≥ 10⁻⁵ à < 10⁻⁴ |
Ces valeurs sont définies par l’IEC 61511 pour les fonctions instrumentées de sécurité fonctionnant en mode de faible sollicitation.
9. Comment se déroule un projet SIL ?
À ce stade de l’article, nous avons vu que :
- la HAZOP identifie les scénarios dangereux ;
- la LOPA évalue si les barrières existantes sont suffisantes ;
- une SIF est envisagée lorsqu’une réduction supplémentaire du risque est nécessaire ;
- le SIL traduit alors les performances attendues de cette fonction instrumentée de sécurité.
Mais comment toutes ces étapes s’articulent-elles dans un véritable projet industriel ?
Contrairement à une idée répandue, la détermination d’un niveau SIL n’est pas une étude isolée. Elle s’inscrit dans le cycle de vie de la sécurité fonctionnelle, défini notamment par la norme IEC 61511.
L’objectif est de garantir que les fonctions instrumentées de sécurité resteront efficaces tout au long de la vie de l’installation.
- Identifier les dangers
Tout projet débute par l’identification des dangers.
Selon le contexte, différentes méthodes peuvent être utilisées :
- HAZID ;
- APR (Analyse Préliminaire des Risques) ;
- étude de dangers ;
- retour d’expérience (REX).
Cette première étape permet de recenser les événements susceptibles de conduire à un accident majeur.
- Analyser les scénarios dangereux
Les scénarios les plus significatifs sont ensuite étudiés de manière détaillée, généralement au moyen d’une HAZOP.
L’objectif est de comprendre :
- les causes possibles ;
- les déviations du procédé ;
- les conséquences potentielles ;
- les barrières déjà présentes.
À ce stade, aucun niveau SIL n’est encore défini.
- Évaluer les couches de protection
Les scénarios jugés critiques sont ensuite analysés par une LOPA.
Cette étape consiste à vérifier si les différentes barrières permettent réellement de maintenir le risque à un niveau acceptable.
Si le risque résiduel reste trop élevé, une réduction supplémentaire du risque devient nécessaire.
- Définir le SIL cible
Lorsque la mise en place d’une fonction instrumentée de sécurité (SIF) est retenue, la LOPA permet de définir le SIL cible.
Il s’agit de l’objectif de performance que devra atteindre cette fonction afin d’obtenir la réduction du risque attendue.
- Concevoir la fonction de sécurité
Les automaticiens et spécialistes de la sécurité fonctionnelle conçoivent ensuite la SIF.
Cette phase comprend notamment :
- la rédaction de la Safety Requirements Specification (SRS) ;
- le choix des capteurs ;
- la sélection de l’automate de sécurité ;
- le dimensionnement des éléments finaux ;
- les calculs de fiabilité ;
- la démonstration du respect du SIL cible.
- Vérifier et valider
Avant la mise en service, la fonction instrumentée est vérifiée et validée.
L’objectif est de démontrer que :
- la conception respecte les exigences de la SRS ;
- les essais sont concluants ;
- la fonction répond bien au SIL attendu.
- Exploiter et maintenir
Une fois l’installation en fonctionnement, le travail ne s’arrête pas.
La performance d’une SIF dépend également :
- des essais périodiques (proof tests) ;
- de la maintenance ;
- du traitement des défaillances ;
- des modifications réalisées sur le procédé (MOC) ;
- du retour d’expérience.
Une fonction correctement conçue peut perdre progressivement son efficacité si elle n’est pas entretenue conformément aux exigences définies lors de sa conception.
Le cycle de vie est aussi important que le niveau SIL
Une erreur fréquente consiste à considérer que tout s’arrête une fois le niveau SIL déterminé.
En réalité, le SIL n’est qu’un objectif de performance.
La sécurité fonctionnelle repose avant tout sur le respect de l’ensemble du cycle de vie défini par l’IEC 61511.
Une fonction instrumentée performante sur le papier ne garantira pas un niveau de sécurité satisfaisant si elle est mal exploitée, insuffisamment testée ou modifiée sans maîtrise.
Retour d’expérience
Les difficultés rencontrées sur le terrain ne proviennent pas toujours du choix du niveau SIL. Elles apparaissent souvent plusieurs années après la mise en service : essais périodiques incomplets, modifications du procédé non évaluées, capteurs remplacés sans analyse d’impact ou documentation non mise à jour. C’est précisément pour éviter ces dérives que l’IEC 61511 adopte une approche basée sur le cycle de vie.
À retenir !
Un projet SIL ne se résume pas à la détermination d’un niveau de performance. Il s’inscrit dans un cycle de vie complet, allant de l’identification des dangers jusqu’à l’exploitation, la maintenance et la gestion des modifications de l’installation.
10. Exemple concret : d'une HAZOP au SIL cible
Les notions de HAZOP, LOPA, SIF et SIL peuvent paraître abstraites lorsqu’elles sont présentées séparément.
Prenons un exemple simplifié afin d’illustrer comment ces différentes étapes s’enchaînent dans un projet industriel.
Il ne s’agit pas d’une étude complète, mais d’un exemple pédagogique inspiré de situations couramment rencontrées dans les industries de procédés.
Étape 1 : la HAZOP identifie le scénario
Une équipe réalise une HAZOP sur un réacteur chimique.
Le paramètre étudié est :
Pression
Le mot-guide est :
Plus
La déviation devient :
Pression supérieure à la valeur prévue.
Les principales causes identifiées sont :
- perte du refroidissement ;
- vanne de sortie bloquée ;
- défaillance de la régulation ;
- emballement réactionnel.
Les conséquences potentielles sont importantes :
- rupture du réacteur ;
- rejet de produit dangereux ;
- incendie ;
- explosion.
À ce stade, la HAZOP conclut qu’il existe un scénario critique nécessitant une analyse plus approfondie.
Elle ne définit cependant aucune exigence SIL.
Étape 2 : la LOPA analyse les barrières
Le scénario est repris dans une LOPA.
Les protections existantes sont analysées :
- soupape de sécurité ;
- alarme haute pression ;
- intervention de l’opérateur ;
- limitation de pression du procédé.
Chaque protection est examinée afin de vérifier :
- son indépendance ;
- sa fiabilité ;
- sa capacité réelle à interrompre le scénario.
L’analyse montre que, malgré ces protections, le risque résiduel reste supérieur aux critères d’acceptation définis par l’entreprise.
Une réduction supplémentaire du risque est donc nécessaire.
Étape 3 : une SIF est retenue
Plusieurs solutions sont étudiées.
Après analyse, le choix se porte sur une fonction instrumentée de sécurité capable de :
- détecter une surpression ;
- arrêter automatiquement l’alimentation du réacteur ;
- placer le procédé dans un état sûr.
Cette fonction devient une SIF.
Son objectif est de réduire suffisamment le risque pour atteindre le niveau jugé acceptable.
Étape 4 : définition du SIL cible
La LOPA permet d’estimer le niveau de réduction du risque attendu.
Les calculs montrent que la future SIF devra atteindre un niveau de performance correspondant à un SIL 2.
Ce résultat ne signifie pas que :
- le réacteur est « SIL 2 » ;
- le procédé est « SIL 2 » ;
- ou que le scénario est « SIL 2 ».
Il signifie uniquement que cette fonction instrumentée de sécurité devra démontrer des performances compatibles avec un objectif SIL 2.
Étape 5 : conception et validation
Les spécialistes de la sécurité fonctionnelle conçoivent ensuite la SIF.
Ils définissent notamment :
- les capteurs ;
- l’automate de sécurité ;
- la vanne d’arrêt ;
- l’architecture du système ;
- les intervalles des essais périodiques (proof tests) ;
- les calculs de fiabilité (PFDavg).
Ces éléments permettront de démontrer que la fonction respecte bien les exigences du SIL cible.
Ce qu’il faut retenir de cet exemple
Cet exemple illustre une idée essentielle.
Le SIL n’apparaît jamais au début de l’analyse.
Il est la conséquence d’un raisonnement progressif :
- identifier un scénario dangereux ;
- analyser les barrières existantes ;
- démontrer qu’une réduction supplémentaire du risque est nécessaire ;
- définir les performances attendues de la future fonction de sécurité.
Autrement dit, le SIL n’est pas un point de départ.
Il est l’aboutissement de toute la démarche d’analyse des risques.
💡 Retour d’expérience
Dans les projets industriels, il est tentant de vouloir discuter très tôt du niveau SIL à mettre en œuvre. Pourtant, les meilleures études sont celles où cette question n’est abordée qu’après avoir parfaitement compris le scénario, évalué les barrières existantes et défini le niveau de risque acceptable. Vouloir parler du SIL trop tôt revient souvent à chercher une solution avant d’avoir correctement posé le problème.
À retenir !
Une HAZOP identifie le scénario dangereux. La LOPA vérifie si les barrières existantes suffisent. Si une réduction supplémentaire du risque est nécessaire, une SIF est mise en place et un objectif SIL est défini pour garantir les performances attendues.
En résumé :
Étape | Question | Outil | Résultat |
1 | Que peut-il se passer ? | HAZOP | Scénario dangereux |
2 | Les barrières suffisent-elles ? | LOPA | Risque résiduel |
3 | Une SIF est-elle nécessaire ? | Analyse | Décision |
4 | Quelle performance faut-il atteindre ? | Détermination SIL | SIL cible |
5 | La SIF respecte-t-elle cet objectif ? | Conception et validation | Fonction conforme |
11. Les erreurs fréquentes autour du SIL
Malgré une littérature abondante sur la sécurité fonctionnelle, certaines idées reçues continuent de circuler.
Ces confusions peuvent conduire à de mauvaises décisions techniques, mais aussi à des incompréhensions entre responsables HSE, ingénieurs procédés, automaticiens et exploitants.
Voici les erreurs les plus fréquentes.
Erreur n°1 : croire qu’une HAZOP définit un niveau SIL
C’est probablement la confusion la plus répandue.
Une HAZOP identifie les scénarios dangereux, leurs causes, leurs conséquences et les premières barrières de sécurité.
Elle ne détermine pas le niveau SIL.
Cette étape relève de la LOPA, qui évalue si les barrières existantes permettent réellement de maintenir le risque à un niveau acceptable.
Erreur n°2 : penser qu’un accident grave impose automatiquement un SIL élevé
La gravité d’un scénario ne suffit pas à définir un niveau SIL.
Un scénario aux conséquences importantes peut déjà être correctement maîtrisé grâce à :
- une conception intrinsèquement sûre ;
- plusieurs barrières indépendantes ;
- des protections mécaniques performantes.
À l’inverse, un scénario moins grave peut nécessiter une réduction supplémentaire du risque si les protections existantes sont insuffisantes.
Le SIL dépend donc du besoin de réduction du risque, et non de la seule gravité des conséquences.
Erreur n°3 : croire qu’un SIL est attribué à une installation
On entend parfois :
« Cette unité est SIL 2. »
ou
« Cette machine est SIL 3. »
Ces formulations sont inexactes.
Le SIL s’applique toujours à une fonction instrumentée de sécurité (SIF).
Une même installation peut comporter plusieurs SIF avec des objectifs SIL différents.
Erreur n°4 : considérer qu’une SIF est toujours la meilleure solution
Une SIF est un moyen de réduire le risque.
Ce n’est pas systématiquement la meilleure réponse.
Avant d’envisager une fonction instrumentée de sécurité, il convient d’étudier d’autres possibilités :
- supprimer le danger à la source ;
- modifier le procédé ;
- renforcer une protection existante ;
- améliorer la conception ;
- mettre en place une protection passive.
La sécurité fonctionnelle intervient lorsque ces solutions ne permettent pas, à elles seules, d’atteindre le niveau de risque acceptable.
Erreur n°5 : penser que tout est terminé une fois le SIL déterminé
Définir un SIL cible ne représente qu’une étape du projet.
La fonction devra ensuite être :
- correctement conçue ;
- vérifiée ;
- validée ;
- testée périodiquement ;
- maintenue ;
- réévaluée lors des modifications du procédé.
C’est précisément tout l’enjeu du cycle de vie décrit par l’IEC 61511.
Erreur n°6 : croire qu’un SIL élevé rend une installation « plus sûre »
Un SIL 3 n’est pas “meilleur” qu’un SIL 2.
Cela signifie simplement que la fonction instrumentée doit atteindre un niveau de performance plus exigeant pour répondre à un besoin de réduction du risque plus important.
L’objectif n’est jamais d’obtenir le SIL le plus élevé, mais de mettre en œuvre le niveau adapté au risque étudié.
💡 Conseil d’expert
Après plusieurs années passées à participer à des HAZOP et à échanger avec des équipes pluridisciplinaires, j’ai constaté que les difficultés proviennent rarement des calculs de fiabilité. Elles naissent plus souvent d’une mauvaise compréhension du rôle de chaque méthode. Lorsqu’on distingue clairement ce que fait une HAZOP, ce qu’apporte une LOPA et ce que représente réellement un SIL, la logique de la sécurité fonctionnelle devient beaucoup plus simple.
À retenir
Le SIL ne constitue ni un indicateur de gravité, ni un niveau de sécurité global. Il traduit les performances attendues d’une fonction instrumentée de sécurité, définies à partir d’une analyse des risques structurée.
❌ Idée reçue | ✅ Réalité |
La HAZOP donne un SIL | La HAZOP identifie les scénarios |
Plus c’est grave, plus le SIL est élevé | Le SIL dépend du besoin de réduction du risque |
Une installation est SIL 2 | Une SIF est SIL 2 |
Une SIF est toujours la solution | Ce n’est qu’une solution parmi d’autres |
Le projet s’arrête après le choix du SIL | Le cycle de vie continue jusqu’à l’exploitation |
12. Ce qu'un responsable HSE doit réellement retenir
Si vous ne deviez retenir que quelques idées de cet article, ce seraient probablement celles-ci.
La sécurité fonctionnelle peut sembler complexe lorsqu’on découvre les notions de HAZOP, LOPA, SIF ou SIL. Pourtant, toutes ces méthodes poursuivent un objectif commun : maîtriser durablement les risques industriels.
Pour un responsable HSE, il n’est pas nécessaire de maîtriser tous les calculs de fiabilité ou les exigences détaillées de l’IEC 61511.
En revanche, il est essentiel de comprendre la logique qui relie chacune de ces étapes.
La HAZOP identifie les scénarios dangereux
La première étape consiste à comprendre comment le procédé peut dériver de son fonctionnement normal.
La HAZOP répond notamment aux questions suivantes :
- Quelles déviations peuvent survenir ?
- Quelles en sont les causes ?
- Quelles seraient les conséquences ?
- Quelles protections existent déjà ?
Son rôle est d’identifier et de structurer les scénarios dangereux.
La LOPA évalue les barrières
Une fois le scénario identifié, la LOPA permet de vérifier si les couches de protection existantes sont suffisantes.
Elle ne cherche pas à découvrir de nouveaux scénarios.
Elle évalue si les barrières permettent réellement de maintenir le risque à un niveau acceptable.
Une SIF n’est mise en place que si elle est nécessaire
Toutes les situations ne nécessitent pas une fonction instrumentée de sécurité.
Une SIF est envisagée uniquement lorsqu’une réduction supplémentaire du risque est indispensable et qu’elle constitue la solution la plus pertinente.
Elle vient compléter les autres mesures de prévention déjà en place.
Le SIL traduit une exigence de performance
Le SIL ne mesure ni la gravité d’un accident, ni le niveau global de sécurité d’une installation.
Il exprime uniquement les performances attendues d’une fonction instrumentée de sécurité afin d’obtenir la réduction du risque démontrée par l’analyse.
La sécurité fonctionnelle est une démarche de cycle de vie
Déterminer un SIL cible ne constitue qu’une étape.
La performance réelle d’une SIF dépend également :
- de sa conception ;
- de sa validation ;
- de sa maintenance ;
- des essais périodiques (proof tests) ;
- de la gestion des modifications ;
- et du retour d’expérience.
La sécurité fonctionnelle ne s’arrête donc jamais à la mise en service.
Une démarche collective
Enfin, il est important de rappeler qu’un projet SIL ne repose jamais sur une seule personne.
La réussite d’une démarche de sécurité fonctionnelle repose sur la collaboration entre :
- les exploitants ;
- les responsables HSE ;
- les ingénieurs procédés ;
- les automaticiens ;
- les équipes de maintenance ;
- et les spécialistes de la sécurité fonctionnelle.
Chacun apporte une expertise complémentaire pour garantir que les risques sont identifiés, évalués et maîtrisés de manière cohérente tout au long du cycle de vie de l’installation.
À retenir
La sécurité fonctionnelle ne consiste pas à choisir un niveau SIL. Elle consiste à démontrer que les risques sont maîtrisés grâce à une démarche structurée, allant de l’identification des dangers jusqu’à l’exploitation et à la maintenance des fonctions instrumentées de sécurité.
FAQ – Tout comprendre sur le SIL (Safety Integrity Level)
Qu’est-ce que le SIL ?
Le Safety Integrity Level (SIL) est un niveau de performance défini par les normes IEC 61508 et IEC 61511. Il exprime la fiabilité attendue d’une fonction instrumentée de sécurité (SIF) afin de réduire un risque à un niveau acceptable.
Contrairement à une idée reçue, le SIL ne mesure ni la gravité d’un accident ni le niveau de sécurité d’une installation. Il traduit uniquement les performances attendues d’une fonction de sécurité automatique.
À quoi sert un niveau SIL ?
Le SIL permet de définir les exigences de fiabilité d’une fonction instrumentée de sécurité.
Lorsque l’analyse des risques montre que les barrières existantes ne suffisent pas à maîtriser un scénario dangereux, une SIF peut être mise en œuvre. Le SIL fixe alors le niveau de performance que cette fonction devra atteindre pour obtenir la réduction du risque attendue.
Quelle est la différence entre un SIL et une SIF ?
Ces deux notions sont complémentaires mais ne désignent pas la même chose.
Une SIF (Safety Instrumented Function) est une fonction de sécurité qui détecte une situation dangereuse et place automatiquement le procédé dans un état sûr.
Le SIL représente le niveau de performance attendu de cette fonction.
Une SIF possède donc un objectif SIL, mais un SIL n’existe jamais sans une fonction de sécurité à laquelle il est associé.
Quelle est la différence entre une HAZOP et une LOPA ?
La HAZOP identifie les scénarios dangereux susceptibles de survenir sur une installation.
La LOPA (Layer of Protection Analysis) reprend ensuite ces scénarios afin d’évaluer si les barrières existantes permettent réellement de maintenir le risque à un niveau acceptable.
La HAZOP identifie les dangers ; la LOPA évalue le niveau de maîtrise du risque.
Est-ce que la HAZOP permet de déterminer un niveau SIL ?
Non.
Une HAZOP ne détermine jamais directement un niveau SIL.
Son rôle est d’identifier les déviations, les causes, les conséquences et les premières barrières de sécurité.
La détermination d’un SIL intervient uniquement après une analyse du risque résiduel, généralement réalisée à l’aide d’une LOPA.
Comment détermine-t-on un niveau SIL ?
Le niveau SIL est déterminé à partir d’une démarche structurée :
- identification du scénario dangereux ;
- analyse des barrières existantes ;
- évaluation du risque résiduel ;
- définition du besoin de réduction du risque ;
- choix éventuel d’une fonction instrumentée de sécurité.
Le SIL correspond alors au niveau de performance nécessaire pour atteindre le niveau de risque acceptable.
Un SIL élevé signifie-t-il que l’installation est plus sûre ?
Pas nécessairement.
Un SIL élevé indique simplement que la fonction instrumentée de sécurité doit atteindre un niveau de performance plus exigeant.
Il ne signifie pas que l’installation présente un niveau de sécurité supérieur.
Une installation bien conçue peut parfaitement ne nécessiter que des fonctions SIL 1, voire aucune SIF, si les autres barrières de sécurité suffisent.
Peut-on attribuer un niveau SIL à une machine ou à une installation ?
Non.
Le SIL est toujours associé à une fonction instrumentée de sécurité (SIF).
Une même installation peut comporter plusieurs fonctions de sécurité, chacune avec un objectif SIL différent selon le scénario étudié.
Parler d’une « installation SIL 2 » ou d’une « machine SIL 3 » est donc incorrect.
Qui détermine le niveau SIL ?
La détermination du SIL résulte d’un travail collectif impliquant généralement :
- les ingénieurs procédés ;
- les spécialistes HAZOP et LOPA ;
- les automaticiens ;
- les responsables HSE ;
- les exploitants ;
- et, selon les projets, des experts en sécurité fonctionnelle.
Le SIL est défini à partir des conclusions de l’analyse des risques et des critères d’acceptation retenus par l’entreprise.
Quelle est la différence entre les niveaux SIL 1, SIL 2, SIL 3 et SIL 4 ?
Les niveaux SIL correspondent à des exigences croissantes de performance.
- SIL 1 : réduction du risque significative.
- SIL 2 : réduction du risque plus importante.
- SIL 3 : exigences élevées de fiabilité pour les scénarios critiques.
- SIL 4 : niveau exceptionnel, rarement utilisé dans les industries de procédés relevant de l’IEC 61511.
Le choix dépend toujours du niveau de réduction du risque démontré par l’analyse, et non d’une préférence de conception.
Quels sont les principaux référentiels applicables au SIL ?
Deux normes internationales font référence :
- IEC 61508, qui définit les principes généraux de la sécurité fonctionnelle des systèmes électriques, électroniques et électroniques programmables.
- IEC 61511, qui applique ces principes aux industries de procédés (chimie, pétrochimie, pharmacie, énergie, etc.).
Ces normes décrivent le cycle de vie de la sécurité fonctionnelle, depuis l’analyse des risques jusqu’à l’exploitation et à la maintenance des fonctions instrumentées de sécurité.
Conclusion
Le Safety Integrity Level (SIL) est souvent perçu comme une notion complexe, réservée aux spécialistes de la sécurité fonctionnelle ou aux automaticiens.
Pourtant, derrière cet acronyme se cache une logique relativement simple.
Le SIL ne représente ni la gravité d’un accident, ni le niveau de sécurité d’une installation. Il traduit les performances attendues d’une fonction instrumentée de sécurité (SIF) lorsqu’une analyse des risques démontre qu’une réduction supplémentaire du risque est nécessaire.
Cette démarche repose sur une succession d’étapes complémentaires :
- identifier les scénarios dangereux grâce à une HAZOP ;
- évaluer les barrières existantes avec une LOPA ;
- déterminer si une SIF est nécessaire ;
- définir le niveau SIL adapté ;
- puis garantir, tout au long du cycle de vie, que cette fonction conservera les performances attendues.
Pour un responsable HSE, comprendre cette logique est souvent plus important que maîtriser les calculs de fiabilité ou les exigences détaillées des normes. Elle permet de dialoguer efficacement avec les équipes procédés, les automaticiens et les spécialistes de la sécurité fonctionnelle, tout en participant aux décisions qui contribuent à la maîtrise durable des risques industriels.
La sécurité fonctionnelle ne consiste pas à rechercher le niveau SIL le plus élevé. Elle consiste à mettre en œuvre le niveau de protection adapté au risque, en s’appuyant sur une démarche rigoureuse, proportionnée et conforme aux exigences de l’IEC 61511.
