IEC 61508 : sécurité fonctionnelle générique et niveaux SIL
IEC 61508 est la norme générique de sécurité fonctionnelle des systèmes électriques, électroniques et électroniques programmables (E/E/PE) relatifs à la sécurité. Ses sept parties ont été publiées pour la première fois entre décembre 1998 et mai 2000, et l'édition 2.0 en vigueur date du 30 avril 2010. En octobre 2026, l'édition 3.0 arrive au bout de sa rédaction : la boutique en ligne de l'IEC affiche les sept parties au stade qui suit le vote sur le projet de comité, avec des publications prévues en octobre et novembre 2026. La norme définit les niveaux d'intégrité de sécurité (SIL 1 à 4) et leurs objectifs chiffrés, le cycle de vie de sécurité, les contraintes architecturales contre les défaillances matérielles aléatoires (Routes 1H et 2H), et la capabilité systématique exigée contre les erreurs de conception et de logiciel. Cette page confronte les parties aux fiches de l'IEC, expose ce que contient réellement chaque partie, et corrige les affirmations qui circulent sur la norme et ses déclinaisons sectorielles.
État en octobre 2026 : édition 2 en vigueur, édition 3 au stade du vote
Section intitulée « État en octobre 2026 : édition 2 en vigueur, édition 3 au stade du vote »Chaque partie a sa propre fiche dans le catalogue de l'IEC. Les sept parties de l'édition 2 portent une date de stabilité fixée à 2027, et chaque fiche affiche un projet d'édition 3.0 « en cours d'élaboration ». Le tableau ci-dessous reprend ce que montraient les fiches le 7 octobre 2026.
| Partie | Titre | Première édition | Édition 2.0 | Édition 3.0 (boutique IEC, 7 octobre 2026) |
|---|---|---|---|---|
| IEC 61508-1 | Exigences générales | 15 décembre 1998 | 30 avril 2010 | Stade PRVC, prévue le 22 octobre 2026 |
| IEC 61508-2 | Exigences pour les systèmes E/E/PE relatifs à la sécurité | 18 mai 2000 | 30 avril 2010 | Stade PRVC, prévue le 22 octobre 2026 |
| IEC 61508-3 | Exigences concernant les logiciels | 15 décembre 1998 | 30 avril 2010 | Stade PRVC, prévue le 22 octobre 2026 |
| IEC 61508-4 | Définitions et abréviations | 3 décembre 1998 | 30 avril 2010 | Stade PRVC, prévue le 22 octobre 2026 |
| IEC 61508-5 | Exemples de méthodes de détermination des niveaux d'intégrité de sécurité | 3 décembre 1998 | 30 avril 2010 | Stade PRVC, prévue le 22 octobre 2026 |
| IEC 61508-6 | Lignes directrices pour l'application de l'IEC 61508-2 et de l'IEC 61508-3 | 18 avril 2000 | 30 avril 2010 | Stade PRVC, prévue le 21 novembre 2026 |
| IEC 61508-7 | Présentation de techniques et mesures | 16 mars 2000 | 30 avril 2010 | Stade PRVC, prévue le 22 octobre 2026 |
PRVC est le stade IEC où le vote sur le projet de comité pour vote (CDV) est clos et où le rapport sur ce vote est en préparation. Une date prévisionnelle est un objectif que le comité peut déplacer. Tant que l'édition 3 n'est pas publiée, les contrats, certificats et normes sectorielles qui citent « IEC 61508:2010 » visent l'édition 2, et une équipe de conception ne devrait pas anticiper des changements de l'édition 3 qu'elle n'a pas lus dans un texte publié. Cette page décrit l'édition 2.
Le comité est le TC 65/SC 65A « Aspects systèmes » pour les sept parties. L'avant-propos de la partie 1 indique que cette deuxième édition « annule et remplace la première édition parue en 1998 », et que les parties 1 à 4 ont le statut de publications fondamentales de sécurité selon le Guide IEC 104.
Ce que contient chaque partie : carte des articles et annexes
Section intitulée « Ce que contient chaque partie : carte des articles et annexes »La table des matières de chaque partie de l'édition 2, telle que la montrent les aperçus de l'IEC, donne une carte plus rapide que n'importe quel résumé. Les entrées ci-dessous sont celles dont on a le plus souvent besoin en revue.
| Où | Contenu | Normatif ou informatif |
|---|---|---|
| Partie 1, tableaux 2 et 3 | Objectifs chiffrés de défaillance par SIL, faible sollicitation (PFD_avg) et forte sollicitation ou continu (PFH) | Normatif |
| Partie 1, tableaux 4 et 5 | Indépendance minimale des responsables de l'évaluation de la sécurité fonctionnelle, par conséquence (tableau 4) et par SIL (tableau 5) | Normatif |
| Partie 2, 7.4.3 | Synthèse d'éléments pour atteindre la capabilité systématique requise | Normatif |
| Partie 2, 7.4.4, tableaux 2 et 3 | Contraintes architecturales matérielles : SIL maximal pour les éléments de type A et de type B (Route 1H) | Normatif |
| Partie 2, 7.4.10 | Exigences relatives aux éléments éprouvés par une utilisation | Normatif |
| Partie 2, annexe C | Couverture de diagnostic et proportion de défaillances en sécurité | Normatif |
| Partie 2, annexe D | Manuel de sécurité d'article conforme | Normatif |
| Partie 2, annexe E | Exigences d'architecture particulières pour les circuits intégrés à redondance sur puce | Normatif |
| Partie 3, 7.4.4 | Outils de support, y compris les langages de programmation | Normatif |
| Partie 3, annexe A | Guide de sélection des techniques et mesures, par SIL (tableaux A.1 à A.10) | Normatif |
| Partie 3, annexe B | Tableaux détaillés (normes de conception et de codage, analyse dynamique et essais, analyse statique, etc.) | Informatif |
| Partie 3, annexe D | Manuel de sécurité d'article conforme, exigences complémentaires pour les éléments logiciels | Normatif |
| Partie 5, annexes D à G | Méthode quantitative, graphes de risque, LOPA, matrice de gravité des événements dangereux | Informatif |
| Partie 6, annexe B | Calculs de probabilité pour les architectures 1oo1, 1oo2, 2oo2, 1oo2D, 1oo3 et 2oo3 | Informatif |
| Partie 6, annexe D | Quantification de l'effet des défaillances de cause commune liées au matériel | Informatif |
| Partie 7, annexe D | Approche probabiliste de détermination de l'intégrité de sécurité du logiciel prédéveloppé | Informatif |
L'article 1.3 de la partie 1 décrit le découpage : les parties 2 et 3 ajoutent les exigences matérielles et logicielles, la partie 4 contient les définitions, la partie 5 donne des exemples de méthodes de détermination des SIL, la partie 6 des lignes directrices sur les parties 2 et 3, la partie 7 une présentation des techniques et mesures.
Domaine d'application : ce que couvre l'IEC 61508 et ce qu'elle exclut
Section intitulée « Domaine d'application : ce que couvre l'IEC 61508 et ce qu'elle exclut »L'article 1.2 de la partie 1 trace des limites plus précises que la plupart des résumés :
- elle s'applique dès qu'un ou plusieurs systèmes relatifs à la sécurité comportent des éléments E/E/PE, quelle que soit l'application ;
- elle ne couvre pas les dangers dus à l'équipement E/E/PE lui-même, comme le choc électrique ;
- elle ne couvre pas un système E/E/PE unique qui atteint seul le risque tolérable avec une intégrité de sécurité requise inférieure au SIL 1 ;
- elle exige que les actions malveillantes et non autorisées soient prises en compte dans l'analyse des dangers et des risques, tout en renvoyant à la série IEC 62443 pour la sûreté elle-même ;
- elle ne s'applique pas aux appareils médicaux conformes à la série IEC 60601.
La norme ne fixe le SIL d'aucune fonction de sécurité. La partie 1 indique qu'elle fournit un cadre conceptuel fondé sur le risque et des exemples de techniques, et que les comités techniques de chaque secteur d'application fixent les SIL dans leurs propres normes.
SIL 1 à 4 : objectifs chiffrés de défaillance
Section intitulée « SIL 1 à 4 : objectifs chiffrés de défaillance »Un SIL est une propriété d'une fonction de sécurité, avec un objectif chiffré qui dépend du mode de fonctionnement. La partie 4 définit le mode faible sollicitation par une fréquence de sollicitations au plus égale à une par an ; au-delà, ou lorsque la fonction agit en continu, c'est le mode forte sollicitation ou continu qui s'applique.
| SIL | Faible sollicitation : PFD_avg (partie 1, tableau 2) | Forte sollicitation ou continu : PFH, par heure (partie 1, tableau 3) |
|---|---|---|
| SIL 4 | ≥ 10^-5 à < 10^-4 | ≥ 10^-9 à < 10^-8 |
| SIL 3 | ≥ 10^-4 à < 10^-3 | ≥ 10^-8 à < 10^-7 |
| SIL 2 | ≥ 10^-3 à < 10^-2 | ≥ 10^-7 à < 10^-6 |
| SIL 1 | ≥ 10^-2 à < 10^-1 | ≥ 10^-6 à < 10^-5 |
L'introduction de la partie 1 explique la borne basse du SIL 4 : c'est un plancher pour un système E/E/PE relatif à la sécurité unique, 10^-5 à la sollicitation et 10^-9 par heure, considéré comme ce que des systèmes relativement complexes peuvent atteindre. Un système unique ne veut pas dire un seul canal.
Atteindre le chiffre est nécessaire mais pas suffisant. Une revendication de SIL exige aussi les contraintes architecturales matérielles (Route 1H ou 2H) et la capabilité systématique. Une fonction dont la PFD_avg calculée tombe dans la plage SIL 3, mais dont le logiciel a été développé sans les techniques de la partie 3 pour le SIL 3, ne soutient pas une revendication SIL 3.
Défaillances aléatoires et systématiques, capabilité systématique
Section intitulée « Défaillances aléatoires et systématiques, capabilité systématique »L'IEC 61508 traite deux types de défaillances différemment.
- Les défaillances matérielles aléatoires surviennent à des instants aléatoires, du fait des mécanismes de dégradation du matériel. Elles sont quantifiées par des taux de défaillance répartis entre sûres et dangereuses, détectées et non détectées, et elles alimentent le calcul de PFD_avg ou de PFH.
- Les défaillances systématiques proviennent d'erreurs de spécification, de conception, de réalisation, d'installation ou d'exploitation. La partie 1 note que leur probabilité « ne peut pas, en général, être quantifiée » ; la norme admet à la place que l'objectif soit considéré comme atteint pour une fonction de sécurité lorsque toutes ses exigences d'évitement et de maîtrise des anomalies systématiques sont satisfaites.
L'édition 2 a introduit la capabilité systématique, une échelle de SC 1 à SC 4 qui exprime la confiance dans le fait qu'un élément atteint l'intégrité de sécurité systématique d'un SIL donné. Un élément utilisé dans une fonction SIL 3 doit avoir SC 3, sauf si la conception combine des éléments indépendants comme le permet l'article 7.4.3 de la partie 2. La capabilité systématique s'obtient par le respect des exigences d'évitement et de maîtrise des anomalies systématiques, par une preuve d'utilisation éprouvée, ou, pour le logiciel préexistant, par la voie de la partie 3 prévue pour les éléments non développés selon la norme.
Route 1H : tableaux HFT et SFF
Section intitulée « Route 1H : tableaux HFT et SFF »En Route 1H, le SIL maximal que peut supporter un élément ou un sous-système dépend de sa tolérance aux anomalies matérielles (HFT) et de sa proportion de défaillances en sécurité (SFF), et de son type, A ou B. Un élément de type A a des modes de défaillance bien définis, un comportement en défaut entièrement déterminable et des données de terrain fiables ; tout le reste, en général un élément qui contient un microcontrôleur ou une autre logique complexe, est de type B.
Partie 2, tableau 2 (type A) :
| SFF | HFT 0 | HFT 1 | HFT 2 |
|---|---|---|---|
| < 60 % | SIL 1 | SIL 2 | SIL 3 |
| 60 % à < 90 % | SIL 2 | SIL 3 | SIL 4 |
| 90 % à < 99 % | SIL 3 | SIL 4 | SIL 4 |
| ≥ 99 % | SIL 3 | SIL 4 | SIL 4 |
Partie 2, tableau 3 (type B) :
| SFF | HFT 0 | HFT 1 | HFT 2 |
|---|---|---|---|
| < 60 % | Non admis | SIL 1 | SIL 2 |
| 60 % à < 90 % | SIL 1 | SIL 2 | SIL 3 |
| 90 % à < 99 % | SIL 2 | SIL 3 | SIL 4 |
| ≥ 99 % | SIL 3 | SIL 4 | SIL 4 |
Sur un seul canal sans redondance (HFT 0), un élément de type B atteint le SIL 1 dès 60 % de SFF, le SIL 2 dès 90 %, et le SIL 3 seulement à 99 % ou plus. Deux canaux de type B (HFT 1) atteignent le SIL 3 dès 90 % de SFF. Les circuits intégrés qui revendiquent une redondance à l'intérieur d'une seule puce, comme les cœurs en lockstep, doivent satisfaire les exigences particulières de l'annexe E de la partie 2 avant que cette redondance interne puisse être comptée.
Route 2H : HFT minimale avec de meilleures données
Section intitulée « Route 2H : HFT minimale avec de meilleures données »La Route 2H est apparue avec l'édition 2. Elle abandonne les tableaux de SFF et les remplace par des HFT minimales par SIL, à condition que les données de défaillance proviennent du retour d'expérience terrain et soient utilisées à un niveau de confiance de 90 %, contre 70 % pour la Route 1H. Les éléments de type B utilisés en Route 2H doivent avoir une couverture de diagnostic d'au moins 60 %. La communication de la 61508 Association citée en sources résume les HFT minimales ainsi (source secondaire, à vérifier dans l'article 7.4.4.3 de la partie 2) :
| SIL | HFT minimale en Route 2H |
|---|---|
| SIL 1 | 0 |
| SIL 2, faible sollicitation | 0 |
| SIL 2, forte sollicitation ou continu | 1 |
| SIL 3 | 1 |
| SIL 4 | 2 |
La même communication, rédigée en 2015, notait que le projet de la nouvelle édition de l'IEC 61511-1 (publiée en 2016) fondait ses exigences de tolérance aux anomalies matérielles sur ce schéma de Route 2H plutôt que sur les tableaux de SFF.
Architectures et notation MooN
Section intitulée « Architectures et notation MooN »L'IEC 61508 désigne les architectures de vote en M parmi N (MooN), avec un suffixe D lorsque des diagnostics agissent sur le résultat. L'annexe B de la partie 6 donne les formules de probabilité pour 1oo1, 1oo2, 2oo2, 1oo2D, 1oo3 et 2oo3.
- 1oo1 : un canal, HFT 0.
- 1oo2 : deux canaux, chacun peut exécuter la fonction de sécurité, HFT 1 ; bon pour la sécurité, davantage de déclenchements intempestifs.
- 2oo2 : deux canaux, les deux doivent agir, HFT 0 vis-à-vis de la sécurité ; moins de déclenchements intempestifs, mais une défaillance dangereuse empêche la fonction.
- 1oo2D : deux canaux avec des diagnostics qui décident quelle sortie est utilisée.
- 2oo3 : trois canaux, vote majoritaire, HFT 1 ; compromis entre sécurité et disponibilité.
La redondance n'est utile que si les canaux ne défaillent pas ensemble. L'annexe D de la partie 6 donne une méthode pour estimer le facteur de cause commune (bêta) à partir des mesures de conception prises : séparation, diversité, analyse, compétence et maîtrise de l'environnement. L'intervalle entre essais périodiques, la couverture de ces essais et le temps moyen de réparation sont des données d'entrée des formules de l'annexe B ; ils relèvent du manuel de sécurité et des procédures d'exploitation, pas seulement de la feuille de calcul.
Logiciel : la partie 3 par SIL
Section intitulée « Logiciel : la partie 3 par SIL »La partie 3 suit un cycle de vie de sécurité du logiciel (exigences, architecture, conception, codage, essais de modules, intégration, validation, modification, vérification). L'annexe A, normative, liste pour chaque phase les techniques et mesures avec une recommandation par SIL : HR (fortement recommandé), R (recommandé), NR (non recommandé) ou aucune recommandation. L'annexe B, informative, les détaille (normes de codage, analyse dynamique et essais, analyse statique, modélisation, méthodes semi-formelles). L'équipe choisit une combinaison et la justifie ; une technique notée HR qui n'est pas utilisée doit faire l'objet d'une justification documentée.
L'article 7.4.4 traite des outils de support : compilateurs, générateurs de code, outils d'essai et de configuration sont classés selon leur effet possible sur le code exécutable, et les preuves demandées croissent avec cet effet. Le logiciel préexistant, y compris les systèmes d'exploitation et bibliothèques commerciaux, peut être utilisé s'il satisfait la voie de la partie 3 prévue pour les éléments non développés selon la norme, ou si un article conforme avec son manuel de sécurité est disponible.
Management de la sécurité fonctionnelle et évaluation
Section intitulée « Management de la sécurité fonctionnelle et évaluation »La partie 1 impose un management de la sécurité fonctionnelle : rôles et responsabilités, compétence des personnes impliquées, planification, gestion de configuration et des modifications, et mesures de confirmation (vérification, audits de sécurité fonctionnelle, évaluation de la sécurité fonctionnelle). L'exigence de compétence porte sur le rôle et l'application ; la norme n'exige aucune certification personnelle nommée.
L'évaluation de la sécurité fonctionnelle est menée par des personnes indépendantes de la conception. Le tableau 5 de la partie 1 fixe le degré minimal d'indépendance pour les phases du cycle de vie E/E/PE et logiciel, d'une personne indépendante au SIL 1 à un organisme indépendant au SIL 4 ; pour le SIL 2 et le SIL 3, le choix entre personne, service ou organisme indépendant dépend de facteurs que listent les notes du tableau, comme le manque d'expérience antérieure, la complexité et la nouveauté de la conception. Le tableau 4 fait de même pour les phases du cycle de vie global, graduées selon la conséquence.
L'avant-propos de chaque partie précise que l'IEC ne délivre elle-même aucune attestation de conformité. Un « certificat SIL » est une déclaration d'un organisme de certification selon son propre programme ; sa portée, sa validité et sa surveillance sont fixées par ce programme, pas par l'IEC 61508.
Articles conformes, manuels de sécurité et utilisation éprouvée
Section intitulée « Articles conformes, manuels de sécurité et utilisation éprouvée »Un élément vendu pour un usage de sécurité s'intègre au travers de son manuel de sécurité. L'annexe D de la partie 2 (matériel) et l'annexe D de la partie 3 (logiciel) listent ce que doit contenir ce manuel de sécurité d'article conforme : les fonctions, les modes et taux de défaillance, les diagnostics, les contraintes d'utilisation, les besoins d'essais périodiques, la capabilité systématique et les preuves de conformité. L'intégrateur reprend ces chiffres et contraintes ; tout écart par rapport aux conditions d'utilisation annoncées fait sortir l'élément de sa revendication.
L'utilisation éprouvée est une voie distincte, fixée par l'article 7.4.10 de la partie 2, pour revendiquer la capabilité systématique d'un élément à partir de son historique d'exploitation documenté dans un environnement comparable. L'annexe D de la partie 7 donne une approche probabiliste pour le logiciel prédéveloppé. Les deux exigent un historique traçable d'utilisation et de défaillances, que la plupart des composants commerciaux ne fournissent pas.
Normes sectorielles construites sur l'IEC 61508
Section intitulée « Normes sectorielles construites sur l'IEC 61508 »La partie 1 indique que l'objectif principal de la norme est d'aider les comités sectoriels à rédiger leurs propres normes. La famille ci-dessous est celle que rencontrent le plus les équipes électroniques.
| Secteur | Norme et édition en vigueur | Relation avec l'IEC 61508 | Échelle d'intégrité |
|---|---|---|---|
| Industries de procédés | IEC 61511-1:2016 + AMD1:2017 | « Mise en œuvre de l'IEC 61508:2010 pour le secteur des procédés » (fiche IEC) ; s'applique au système instrumenté de sécurité tel que spécifié, installé et exploité | SIL 1 à 4 |
| Machines | IEC 62061:2021 + AMD1:2024 | « Norme spécifique au secteur des machines dans le cadre de l'IEC 61508 » ; exclut la conception des sous-systèmes électroniques programmables complexes | SIL 1 à 3 ; « SIL maximal » d'un sous-système depuis 2021 (auparavant SILCL) |
| Machines | ISO 13849-1:2023 (quatrième édition) | Voie parallèle issue de la tradition EN 954-1, non dérivée de l'IEC 61508 | PL a à e |
| Logiciel ferroviaire | EN 50716:2023 | Remplace EN 50128:2011 et EN 50657:2017 ; date de retrait des normes nationales en contradiction le 30 octobre 2026 | Niveaux d'intégrité du logiciel |
| Automobile | ISO 26262:2018 | Adaptation de l'IEC 61508 aux véhicules routiers | ASIL A à D |
| Médical | Série IEC 60601, ISO 14971, IEC 62304 | Hors IEC 61508 : l'article 1.2 n de la partie 1 exclut les appareils médicaux conformes à l'IEC 60601 | Classes de sécurité logicielle A, B, C de l'IEC 62304 |
Les normes sectorielles adaptent, elles ne copient pas. Un élément évalué SIL 3 selon l'IEC 61508 n'est pas automatiquement apte pour un item ASIL D selon l'ISO 26262, et une unité logique certifiée IEC 61508 ne dispense pas l'exploitant du site de l'analyse IEC 61511 de chaque fonction instrumentée de sécurité.
IEC 61508 et marquage CE
Section intitulée « IEC 61508 et marquage CE »L'IEC 61508 n'est pas une norme harmonisée, et l'IEC 61511 non plus. Au titre de la directive Machines 2006/42/CE, la liste des normes harmonisées est la décision d'exécution (UE) 2023/1586, modifiée par la décision d'exécution (UE) 2026/2015 du 4 septembre 2026. Pour les systèmes de commande relatifs à la sécurité, elle contient :
| Norme harmonisée | Statut dans la liste au 7 octobre 2026 |
|---|---|
| EN IEC 62061:2021 | Citée (ligne 104 de l'annexe I) |
| EN IEC 62061:2021/A1:2024 | Ajoutée par la décision (UE) 2026/2015, publiée le 7 septembre 2026 |
| EN ISO 13849-1:2015 | Citée (ligne 66 de l'annexe I) ; retirée à partir du 15 mai 2027 par la décision (UE) 2024/1329 |
| EN ISO 13849-1:2023 | Citée (ligne 66a, insérée par la décision (UE) 2024/1329 du 13 mai 2024) |
| Séries EN 61508 et EN 61511 | Non citées |
Le règlement (UE) 2023/1230 sur les machines remplace la directive à partir du 20 janvier 2027. Aucune norme harmonisée n'a encore été citée au titre du règlement ; d'ici là, la présomption de conformité pour les systèmes de commande relatifs à la sécurité vient de la liste de la directive ci-dessus. Au titre de la directive, l'EN ISO 13849-1:2023 est citée depuis mai 2024 (décision (UE) 2024/1329), et l'édition 2015 perd sa présomption le 15 mai 2027.
Pour un produit doté d'une fonction de sécurité, le dossier CE cite donc la norme harmonisée sectorielle pour la présomption, et s'appuie sur le travail IEC 61508 (évaluations d'éléments, manuels de sécurité, calculs) comme preuve technique sous-jacente. Voir la page CE, les normes harmonisées et la page sur la législation machines. Ces textes concernent le marché de l'UE.
Affirmations que les textes contredisent
Section intitulée « Affirmations que les textes contredisent »| Affirmation | Ce que disent les textes |
|---|---|
| « L'IEC 61508 est maintenue par le groupe de travail WG 14 du SC 65A » | L'avant-propos de la partie 1 et toutes les fiches du catalogue IEC désignent le TC 65/SC 65A « Aspects systèmes » ; les fiches ne nomment aucun groupe de travail. |
| « Aucun calendrier n'est public pour l'édition 3 » | Le 7 octobre 2026, la boutique IEC affiche l'édition 3.0 des sept parties au stade PRVC, prévue le 22 octobre 2026 (partie 6 : 21 novembre 2026). |
| « L'IEC 62061 qualifie les sous-systèmes par un SIL CL (limite de revendication SIL) » | La fiche de l'IEC 62061:2021 liste parmi les changements le « passage du SILCL au SIL maximal d'un sous-système ». |
| « L'IEC 62061 et l'ISO 13849 donnent présomption de conformité au titre du règlement (UE) 2023/1230 » | Aucune norme n'est encore citée au titre du règlement. Au titre de la directive 2006/42/CE, sont citées l'EN IEC 62061:2021 (avec A1:2024) et l'EN ISO 13849-1:2023, l'édition 2015 jusqu'au 15 mai 2027. |
| « L'EN 61511 donne présomption de conformité pour les équipements de procédé » | L'EN 61511 ne figure pas dans la liste machines, et l'IEC 61511 s'applique au système instrumenté de sécurité d'une installation, pas à un produit mis sur le marché. |
| « L'IEC 60601-1 est une déclinaison médicale de l'IEC 61508 » | Article 1.2 n de la partie 1 : l'IEC 61508 ne s'applique pas aux appareils médicaux conformes à la série IEC 60601. |
| « EN 50128 et EN 50657 sont les normes du logiciel ferroviaire » | L'EN 50716:2023 remplace les deux ; les normes nationales en contradiction doivent être retirées au plus tard le 30 octobre 2026. |
| « Le SIL 3 exige un organisme indépendant comme évaluateur » | Le tableau 5 de la partie 1 exige un organisme indépendant au SIL 4 ; au SIL 3, un service ou un organisme indépendant, selon des facteurs comme la nouveauté et la complexité. |
| « Un canal unique de type B est limité au SIL 1 ou au SIL 2 » | Le tableau 3 de la partie 2 admet le SIL 3 à HFT 0 lorsque la SFF atteint 99 % ou plus. |
| « La Route 2H supprime toute exigence de diagnostic » | Les éléments de type B en Route 2H doivent avoir une couverture de diagnostic d'au moins 60 %, et les données doivent atteindre un niveau de confiance de 90 %. |
| « Un certificat IEC 61508 est valable 3 à 5 ans » | L'IEC ne délivre aucun certificat et la norme ne fixe aucune durée de validité ; les conditions des certificats relèvent du programme de chaque organisme de certification. |
| « La LOPA est codifiée par la seule IEC 61511 » | L'annexe F de l'IEC 61508-5 décrit aussi une méthode semi-quantitative utilisant la LOPA (informative). |
Pièges observés en projet
Section intitulée « Pièges observés en projet »- SIL du composant confondu avec SIL de la fonction : un élément « SIL 3 capable » ne fait pas une fonction SIL 3 ; toute la chaîne doit atteindre l'objectif, les contraintes d'architecture et la capabilité systématique.
- Manuel de sécurité non appliqué : intervalles de diagnostic, essais périodiques, limites d'environnement et règles de configuration du manuel de sécurité sont des conditions de la revendication, pas des conseils.
- Hypothèses d'essais périodiques que l'exploitant ne peut pas tenir : l'intervalle et la couverture retenus dans le calcul de PFD_avg doivent correspondre au plan de maintenance réel.
- SIL alloué sans analyse de risque traçable : le SIL découle de la réduction de risque nécessaire, documentée avec une méthode comme celles de la partie 5 ou de l'IEC 61511-3.
- Norme sectorielle oubliée : une évaluation IEC 61508 d'un fournisseur ne remplace pas le travail ISO 26262 ou IEC 61511 de l'intégrateur.
- Dérive d'édition : l'édition 3 est proche ; vérifier quelle édition citent un contrat client, un certificat ou une norme sectorielle avant de planifier une analyse d'écarts.
Pour aller plus loin
Section intitulée « Pour aller plus loin »L'IEC 61508 est la norme mère générique ; ses déclinaisons sectorielles ont leur propre page ici :
- ISO 26262 pour l'automobile, avec les ASIL, la HARA et le SEooC
- EN 50128 et EN 50657 pour le logiciel ferroviaire de signalisation et embarqué, désormais EN 50716
- IEC 62061 et ISO 13849 pour la sécurité des machines, SIL et Performance Levels
- Directive Machines 2006/42/CE et règlement (UE) 2023/1230 pour le volet juridique des machines
- IEC 62443 pour la cybersécurité industrielle, à laquelle l'IEC 61508 renvoie pour la sûreté
- Gestion des risques : ISO 14971, IEC 31010, AMDE, FTA pour les méthodes d'analyse
- IEC 60601-1 pour les appareils électromédicaux, hors du domaine de l'IEC 61508
Non couverts sur ce site, et à chercher dans les normes elles-mêmes : l'IEC 61511 pour les systèmes instrumentés de sécurité en industrie de procédés, et l'IEC 62304 pour le logiciel de dispositif médical avec ses classes A, B et C.
Sources & références
- IEC 61508-1:2010, Partie 1 : Exigences générales (fiche catalogue, statut et prévision de l'édition 3.0), IEC webstore.iec.ch/en/publication/5515
- IEC 61508-2:2010, Partie 2 : Exigences pour les systèmes E/E/PE relatifs à la sécurité (fiche catalogue), IEC webstore.iec.ch/en/publication/5516
- IEC 61508-3:2010, Partie 3 : Exigences concernant les logiciels (fiche catalogue), IEC webstore.iec.ch/en/publication/5517
- IEC 61508-4:2010, Partie 4 : Définitions et abréviations (fiche catalogue), IEC webstore.iec.ch/en/publication/5518
- IEC 61508-5:2010, Partie 5 : Exemples de méthodes de détermination des niveaux d'intégrité de sécurité (fiche catalogue), IEC webstore.iec.ch/en/publication/5519
- IEC 61508-6:2010, Partie 6 : Lignes directrices pour l'application de l'IEC 61508-2 et de l'IEC 61508-3 (fiche catalogue), IEC webstore.iec.ch/en/publication/5520
- IEC 61508-7:2010, Partie 7 : Présentation de techniques et mesures (fiche catalogue), IEC webstore.iec.ch/en/publication/5521
- IEC 61511-1:2016, Sécurité fonctionnelle, Systèmes instrumentés de sécurité pour le secteur des industries de transformation, Partie 1 (fiche catalogue), IEC webstore.iec.ch/en/publication/24241
- IEC 62061:2021, Sécurité des machines, Sécurité fonctionnelle des systèmes de commande relatifs à la sécurité (fiche catalogue, AMD1:2024), IEC webstore.iec.ch/en/publication/59927
- ISO 13849-1:2023, Sécurité des machines, Parties des systèmes de commande relatives à la sécurité, Partie 1 (quatrième édition), ISO www.iso.org/standard/73481.html
- ISO 26262-1:2018, Véhicules routiers, Sécurité fonctionnelle, Partie 1 : Vocabulaire, ISO www.iso.org/standard/68383.html
- Décision d'exécution (UE) 2023/1586 de la Commission sur les normes harmonisées pour les machines (directive 2006/42/CE), EUR-Lex eur-lex.europa.eu/eli/dec_impl/2023/1586/oj
- Décision d'exécution (UE) 2026/2015 de la Commission modifiant la décision d'exécution (UE) 2023/1586 (ajout d'EN IEC 62061:2021/A1:2024), EUR-Lex eur-lex.europa.eu/eli/dec_impl/2026/2015/oj
- Décision d'exécution (UE) 2024/1329 de la Commission modifiant la décision d'exécution (UE) 2023/1586 (cite l'EN ISO 13849-1:2023, retire l'édition 2015 à partir du 15 mai 2027), EUR-Lex eur-lex.europa.eu/eli/dec_impl/2024/1329/oj
- Directive 2006/42/CE relative aux machines, EUR-Lex eur-lex.europa.eu/eli/dir/2006/42/oj
- Règlement (UE) 2023/1230 sur les machines, EUR-Lex eur-lex.europa.eu/eli/reg/2023/1230/oj
- Aperçu de la BS EN 50716:2023, avant-propos européen (dop, dow, remplacement d'EN 50128 et EN 50657), copie d'un distributeur, BSI (via en-standard.eu) www.en-standard.eu/publicdoc/bs-en-50716-2023-preview-1.pdf
- M. Generowicz, Achieving compliance in hardware fault tolerance, Route 2H (source secondaire, communication de conférence), 61508 Association 61508.org/wp-content/uploads/2023/10/Mirek_Generowicz_-_Achieving_Hardware_Fault_Tolerance_-_Safety_Control_Systems_Conference_2015.pdf
Questions fréquentes
- Quel est le rôle de la norme IEC 61508 ?
- IEC 61508 est la norme internationale générique de sécurité fonctionnelle des systèmes électriques, électroniques et électroniques programmables (E/E/PE) relatifs à la sécurité. Elle est préparée par le sous-comité SC 65A (Aspects systèmes) du comité d'études TC 65 de l'IEC. La partie 1 lui fixe deux objectifs : faciliter la rédaction des normes de produit et de secteur, et permettre de développer des systèmes E/E/PE relatifs à la sécurité là où aucune norme sectorielle n'existe. Elle définit les niveaux d'intégrité de sécurité (SIL 1 à 4) et leurs objectifs chiffrés, le cycle de vie de sécurité global, et les exigences contre les défaillances matérielles aléatoires comme contre les défaillances systématiques, logiciel compris. IEC 61511 (procédés) et IEC 62061 (machines) se présentent comme des mises en œuvre sectorielles dans son cadre.
- Quelle est l'édition applicable de l'IEC 61508 ?
- L'édition 2.0, publiée le 30 avril 2010 pour les sept parties, est l'édition en vigueur. Elle a remplacé la première édition, publiée entre décembre 1998 et mai 2000. Le 7 octobre 2026, la boutique en ligne de l'IEC affiche l'édition 3.0 de chaque partie au stade PRVC (le vote sur le projet de comité pour vote est clos et son rapport est en préparation), avec une publication prévue le 22 octobre 2026 pour les parties 1 à 5 et 7, et le 21 novembre 2026 pour la partie 6. Ces dates prévisionnelles sont des objectifs, pas des engagements ; tant que l'édition 3 n'est pas publiée, c'est l'édition 2 qu'il faut citer.
- Comment détermine-t-on le SIL d'une fonction de sécurité ?
- Le SIL se fixe par fonction de sécurité, à partir d'une analyse des dangers et des risques, comme la réduction de risque que doit apporter le système E/E/PE. L'IEC 61508 n'impose pas de méthode : la partie 1 indique qu'elle fournit un cadre fondé sur le risque et des exemples de techniques, et laisse aux normes sectorielles le soin de fixer les SIL des applications. La partie 5 donne des exemples informatifs : une méthode quantitative (annexe D), les graphes de risque (annexe E), l'analyse des couches de protection, LOPA (annexe F), et une matrice qualitative de gravité des événements dangereux (annexe G).
- Quelle différence entre PFD_avg et PFH ?
- En mode faible sollicitation (demandes sur la fonction de sécurité au plus une fois par an), l'objectif est la probabilité moyenne de défaillance dangereuse à la sollicitation, PFD_avg (partie 1, tableau 2). En mode forte sollicitation ou continu, l'objectif est la fréquence moyenne de défaillance dangereuse par heure, PFH (partie 1, tableau 3). Chaque SIL couvre une décade. La partie 1 fixe aussi un plancher pour un système E/E/PE relatif à la sécurité unique : une PFD_avg de 10^-5 en faible sollicitation et une PFH de 10^-9 par heure en forte sollicitation ou en mode continu.
- Que signifient HFT, SFF, Route 1H et Route 2H ?
- La HFT (tolérance aux anomalies matérielles) vaut N quand N+1 défauts peuvent entraîner la perte de la fonction de sécurité. La SFF (proportion de défaillances en sécurité) est la part des défaillances qui sont sûres ou dangereuses détectées. En Route 1H, les tableaux 2 et 3 de la partie 2 donnent le SIL maximal admis pour un élément de type A ou de type B selon sa HFT et sa SFF. La Route 2H remplace les tableaux de SFF par des HFT minimales par SIL, mais seulement avec des données de fiabilité issues du terrain à un niveau de confiance plus élevé (90 %) et, pour les éléments de type B, une couverture de diagnostic d'au moins 60 %.
- IEC 61511 et IEC 62061 remplacent-elles l'IEC 61508 dans leur secteur ?
- Pour le système qu'elles couvrent, oui. L'IEC 61511-1:2016 se décrit comme une mise en œuvre de l'IEC 61508:2010 pour le secteur des procédés et traite de la spécification, de la conception, de l'installation, de l'exploitation et de la maintenance d'un système instrumenté de sécurité. L'IEC 62061:2021 est une norme sectorielle machines dans le cadre de l'IEC 61508, mais elle exclut la conception des sous-systèmes électroniques programmables complexes, qui reste donc sous IEC 61508. En pratique, l'unité logique, le transmetteur ou la puce de sécurité est développé selon l'IEC 61508, puis utilisé par l'intégrateur selon la norme sectorielle.
- Que signifie « SIL 3 capable » sur une fiche technique ?
- C'est une revendication portant sur un élément, pas sur une fonction de sécurité. Elle signifie en général que l'élément respecte les contraintes de la Route 1H ou 2H et la capabilité systématique nécessaires pour un usage dans une fonction SIL 3, dans les conditions écrites dans son manuel de sécurité. L'annexe D de la partie 2 (et l'annexe D de la partie 3 pour le logiciel) liste ce que doit contenir ce manuel de sécurité d'article conforme. L'intégrateur doit encore démontrer que la fonction complète (capteurs, logique, éléments finaux) atteint l'objectif de PFD_avg ou de PFH et les contraintes architecturales, et que les conditions du manuel sont respectées.
- Qui évalue un projet IEC 61508, et existe-t-il un certificat officiel ?
- La partie 1 impose une évaluation de la sécurité fonctionnelle par des personnes indépendantes de la conception. Son tableau 5 fixe l'indépendance minimale pour les phases E/E/PE et logicielles : d'une personne indépendante au SIL 1 à un organisme indépendant au SIL 4, le SIL 2 et le SIL 3 dépendant de facteurs comme la nouveauté, la complexité et l'expérience antérieure. Il n'existe pas de certificat IEC : l'avant-propos de chaque partie précise que l'IEC ne délivre elle-même aucune attestation de conformité, laissée aux organismes de certification indépendants.