Choisir une architecture de sécurité

Comment les trois architectures de référence de la CEI 61508-6 diffèrent en tolérance aux pannes, SIL atteignable, dépendance aux diagnostics et déclenchements intempestifs — et ce que chacune exige de votre matériel et de votre logiciel.

Structure des voies des architectures de sécurité 1oo1, 1oo2 et 1oo2D selon la CEI 61508-6 : chemin du signal du capteur vers l'élément final, avec diagnostics et état de repli sûr.

Vue d’ensemble

Les architectures de redondance sont désignées « MooN » : M canaux sur N doivent demander la fonction de sécurité pour qu’elle s’exécute. L’annexe B de la CEI 61508-6 décrit les architectures de référence utilisées pour modéliser l’intégrité de sécurité du matériel. Cette page compare les trois plus courantes pour les contrôleurs de sécurité embarqués.

1oo1 est un canal unique. 1oo2 comporte deux canaux, chacun pouvant déclencher. 1oo2D comporte deux canaux à vote par diagnostic : ils agissent ensemble en fonctionnement normal et se replient sur le canal sain lorsqu’une anomalie est détectée.

Le bon choix dépend du SIL visé, du taux de défaillances en sécurité (SFF) que votre matériel peut atteindre, du coût d’un déclenchement intempestif et de votre stratégie contre les défaillances de cause commune.

Chaque sous-système tient seul. Le capteur, la logique et l’élément terminal doivent satisfaire indépendamment les contraintes architecturales et leur part du budget PFD/PFH. Le SIL de la fonction est plafonné par le maillon le plus faible : un solveur logique 1oo2 derrière un capteur unique n’est pas une fonction SIL 3.

Matrice de comparaison

Aspect1oo11oo21oo2D
Tolérance aux anomalies matérielles (HFT)011, selon la revendication courante *
SIL max, élément de type B, Route 1HSFF < 60 % : non autorisé
60 à < 90 % : SIL 1
90 à < 99 % : SIL 2
≥ 99 % : SIL 3		SFF < 60 % : SIL 1
60 à < 90 % : SIL 2
90 à < 99 % : SIL 3
≥ 99 % : SIL 4		Comme 1oo2, si le HFT 1 est accepté
Dépendance aux diagnosticsÉlevée. Les diagnostics augmentent le SFF et transforment les anomalies détectées en état sûr, mais n’apportent aucune tolérance aux pannes.Modérée pour la tolérance aux pannes — elle ne repose pas sur les diagnostics. Mais le plafond de SIL passe toujours par le SFF : un SIL 3 à HFT 1 exige un SFF ≥ 90 %, ce qui, sur un microcontrôleur de type B, demande une couverture de diagnostic sérieuse. Les diagnostics ne modifient pas le vote ; ils conditionnent néanmoins le SIL atteignable.Essentielle. Les diagnostics décident du mode de vote ; leur couverture et leur rapidité gouvernent donc à la fois la sécurité et la disponibilité.
Déclenchements intempestifsUne défaillance en sécurité du canal déclenche le procédé.Plus élevés que 1oo1, environ le double pour des canaux identiques : une défaillance en sécurité de l’un ou l’autre canal déclenche.Plus faibles que 1oo2. Les deux canaux doivent demander le déclenchement, et une anomalie détectée conduit à un fonctionnement dégradé plutôt qu’à un déclenchement.
Défaillance de cause communeSans objet (pas de redondance).Quantifiée par un facteur β (CEI 61508-6 annexe D) ; réduite par la séparation, la diversité et d’autres mesures. À noter : deux canaux exécutant un logiciel identique n’offrent aucune protection contre un défaut logiciel ; la redondance homogène traite les défaillances matérielles aléatoires, pas les défaillances systématiques. Seule la diversité (chaîne d’outils, algorithme ou implémentation indépendante) réduit la cause commune logicielle.Comme 1oo2. La surveillance inter-canaux doit elle aussi être indépendante du canal qu’elle surveille.
Complexité logicielleLa plus faibleModérée : synchronisation, surveillance croisée, gestion des écartsLa plus élevée : allocation des anomalies, reconfiguration du vote, logique de mode dégradé et de réintégration

Les contraintes architecturales sont l’un des trois critères d’une revendication de SIL, avec l’objectif PFD/PFH et l’aptitude systématique. Les microcontrôleurs sont des éléments de type B. La Route 2H, fondée sur des données de fiabilité en exploitation, n’est pas présentée.

* Une lecture stricte de la CEI 61508-2 §7.4.4.1.1 conduit certains experts à classer 1oo2D en HFT 0. Convenez de la revendication avec votre évaluateur dès le début.

Les trois architectures en détail

1oo1 — canal unique (HFT 0)

Un seul canal (entrée, logique, sortie) réalise la fonction de sécurité ; une seule défaillance dangereuse entraîne donc sa perte. Des diagnostics en ligne — chien de garde, tests mémoire ou relecture des sorties — peuvent détecter les anomalies et amener la sortie à l’état sûr. Lorsqu’ils agissent via un chemin de coupure indépendant, la conception est souvent appelée 1oo1D.

Avantages

  • matériel et logiciel les plus simples, les plus faciles à analyser et à certifier
  • nombre de composants le plus faible
  • bien adaptée lorsque le SIL visé est atteignable avec HFT 0

Inconvénients

  • aucune tolérance aux pannes
  • pour un matériel à base de microcontrôleur, le SIL 2 exige un SFF d’au moins 90 % et le SIL 3 d’au moins 99 % (Route 1H)
  • toute défaillance en sécurité déclenche le procédé

Cas d’usage typiques : fonctions machines et procédés de SIL 1 et SIL 2 à exigence de réduction de risque modérée ; fonctions de protection d’équipements industriels ; capteurs intelligents ensuite combinés en dispositions redondantes au niveau système.

1oo2 — un parmi deux (HFT 1)

Deux canaux fonctionnent en parallèle et chacun peut réaliser la fonction de sécurité. Avec des sorties à désexcitation pour déclencher, chaque canal commande son propre élément de coupure et les deux sont câblés en série : l’ouverture de l’un suffit à couper l’alimentation. La fonction n’est perdue que si les deux canaux défaillent dangereusement. La comparaison inter-canaux est un diagnostic : elle signale les anomalies mais ne fait pas partie du chemin de coupure.

Avantages

  • tolère une anomalie matérielle dangereuse
  • sous la Route 1H, permet un SIL de plus que 1oo1 pour le même SFF
  • PFD/PFH bien inférieures à un canal unique, à condition de maîtriser les défaillances de cause commune

Inconvénients

  • une défaillance en sécurité de l’un ou l’autre canal déclenche le procédé, d’où des déclenchements intempestifs environ doublés par rapport à 1oo1
  • les défaillances de cause commune limitent le bénéfice et doivent être quantifiées
  • davantage de matériel et de logiciel (synchronisation, surveillance croisée, gestion des écarts)

Cas d’usage typiques : fonctions de sécurité de procédé SIL 3 (arrêt d’urgence, gestion de brûleur, protection haute intégrité contre les surpressions) ; fonctions machines à deux canaux (arrêt d’urgence, coupure sûre du couple) ; contrôleurs où la sécurité prime sur la disponibilité.

1oo2D — un parmi deux avec diagnostics (HFT 1 *)

Telle que définie dans la CEI 61508-6, deux canaux sont connectés en parallèle. En fonctionnement normal, les deux doivent demander la fonction de sécurité pour qu’elle s’exécute. Si les diagnostics de l’un des canaux détectent une anomalie, le vote de sortie s’adapte pour que la sortie suive le canal sain, et le système fonctionne en 1oo1 jusqu’à réparation. Si les deux canaux présentent des anomalies, ou si un écart ne peut être attribué à un canal, la sortie passe à l’état sûr. Chaque canal peut lire l’état de l’autre par un moyen indépendant de ce canal.

Le « D » signifie diagnostics, pas diversité. Certains fabricants emploient « 1oo2D » pour d’autres schémas : vérifiez toujours la définition du fournisseur.

Avantages

  • combine tolérance aux pannes et haute disponibilité
  • une défaillance en sécurité unique ne déclenche pas le procédé
  • une anomalie détectée conduit à un fonctionnement dégradé plutôt qu’à un arrêt

Inconvénients

  • la sécurité dépend fortement de la couverture de diagnostic, de l’intervalle de test de diagnostic et de la fiabilité de la bascule
  • les exemples chiffrés de la CEI 61508-6 donnent une PFH meilleure que 1oo1 mais pas aussi basse que 1oo2
  • la revendication HFT 1 peut être contestée par un évaluateur
  • la plus complexe des trois à concevoir, vérifier et évaluer

Cas d’usage typiques : procédés et machines continus où un déclenchement intempestif est coûteux ou dangereux en soi ; automates de sécurité et solveurs logiques conçus pour la haute disponibilité ; applications devant continuer en mode dégradé pendant une durée de réparation définie.

Synthèse

1oo1

Idéal pour : les fonctions à SIL plus faible, ou les conceptions à canal unique à SFF élevé où la simplicité prime.

Compromis clé : aucune tolérance aux pannes ; toute défaillance en sécurité est un déclenchement.

1oo2

Idéal pour : la plus haute intégrité de sécurité à partir de deux canaux, par exemple SIL 3.

Compromis clé : environ le double des déclenchements intempestifs de 1oo1 ; la cause commune doit être maîtrisée.

1oo2D

Idéal pour : une sécurité élevée conjuguée à une haute disponibilité.

Compromis clé : la sécurité dépend de la qualité des diagnostics et de la bascule ; complexité la plus élevée ; revendication HFT à convenir.

Choisissez l’architecture la plus simple qui satisfait votre exigence de SIL et votre attente de disponibilité. Architectures voisines à connaître : 1oo1D, un canal unique doté d’une coupure de diagnostic indépendante ; et 2oo3, trois canaux où deux doivent s’accorder, tolérant une défaillance dangereuse et une défaillance en sécurité.

Formations recommandées

Approfondissez la norme correspondant à l’architecture retenue avec nos formations en sécurité fonctionnelle :

Cadre réglementaire et de certification

NormeLien avec les architectures de redondance
CEI 61508 (2010)Norme générique de sécurité fonctionnelle. La partie 2 fixe les contraintes architecturales (HFT, SFF, Routes 1H et 2H) ; la partie 6 donne les architectures de référence MooN, les formules PFD/PFH et la méthode du facteur β. Elle n’impose pas d’architecture particulière.
EN CEI 62061:2021Norme machines dérivée de la CEI 61508, couvrant les SIL 1 à 3. Applique les notions de HFT, de diagnostic et de cause commune aux systèmes de commande de machines.
EN ISO 13849-1:2023Norme machines fondée sur les niveaux de performance (PL a à e) et des architectures désignées (catégories B, 1, 2, 3 et 4). Les catégories 3 et 4 sont à deux canaux, avec un score de cause commune minimal de 65 points.
Règlement (UE) 2023/1230Applicable à partir du 20 janvier 2027. Fixe des exigences de résultat (annexe III §1.2.1) sans prescrire d’architecture. La présomption de conformité découle des normes harmonisées ; EN ISO 13849-1 et EN CEI 62061 sont les références attendues.
ISO 26262 (2018)Automobile ; utilise l’ASIL, et non le SIL. Les métriques matérielles (SPFM, LFM, PMHF) figurent en partie 5 ; la décomposition ASIL entre éléments redondants suffisamment indépendants en partie 9, article 5.
EN 50129:2018Signalisation ferroviaire. Décrit la sécurité intrinsèque composite, réactive et inhérente, et permet de les combiner. Aucune architecture n’est imposée, bien que les conceptions composites de type 2oo2 soient courantes au SIL 4.

Questions fréquentes

Puis-je passer de 1oo1 à 1oo2 par la suite ?

Oui, si vous le prévoyez dès le départ. La mise à niveau ajoute un second canal avec ses propres entrées, son traitement et son chemin de coupure indépendant, ainsi que des diagnostics inter-canaux et une gestion des écarts dans le logiciel. Le partitionnement matériel, les connecteurs, les alimentations et l'architecture logicielle doivent anticiper ce second canal.

Le dossier de sécurité doit alors être refait : FMEDA et SFF, PFD/PFH incluant le facteur beta de cause commune, aptitude systématique, vérification et validation. Le taux de déclenchements intempestifs augmente également, ce qui doit être acceptable pour l'application.

Puis-je passer de 1oo2 à 1oo2D par la suite ?

Seulement au prix d'une refonte importante, car 1oo2D est un concept de vote différent, et non « 1oo2 avec davantage de diagnostics ». Il faut des diagnostics par canal suffisamment performants pour attribuer une anomalie à un canal, un moyen indépendant pour chaque canal de lire l'état de l'autre, une électronique de sortie capable de basculer du vote 2oo2 au fonctionnement mono-canal, et un logiciel pour gérer le mode dégradé.

Comme le fonctionnement normal devient 2oo2, vous devez démontrer à nouveau que les objectifs de sécurité sont atteints, y compris l'efficacité de la bascule et les temps de test de diagnostic, et convenir de la revendication HFT avec votre évaluateur. Si la haute disponibilité est probable, concevez en 1oo2D dès le départ.

Quel est l’apport réel de la diversité ?

La diversité réduit les défaillances de cause commune, qui dominent souvent le risque résiduel de toute architecture redondante, qu'il s'agisse de 1oo2, 1oo2D ou 2oo3. C'est l'une des mesures notées à l'annexe D de la CEI 61508-6, aux côtés de la séparation physique, de la maturité de conception, de l'analyse et du retour d'expérience, des procédures, de la compétence et de la maîtrise de l'environnement. La notation donne un facteur beta compris entre 0,5 % et 5 % pour les sous-systèmes logiques, et entre 1 % et 10 % pour les capteurs et éléments terminaux.

La diversité rapporte des points significatifs mais n'est pas obligatoire, et elle peut ajouter de la complexité et de nouveaux modes de défaillance. Elle n'élimine pas les causes partagées comme l'alimentation, l'environnement ou les erreurs de maintenance communes. Les données de terrain (rapport SINTEF A26922) situent les facteurs beta typiques des capteurs et vannes redondants entre 12 et 15 % : justifiez votre valeur de façon prudente.

Que se passe-t-il si les canaux d’un 1oo2 divergent ?

Dans une véritable architecture 1oo2, la sortie passe à l'état sûr dès que l'un des canaux le demande : un désaccord ne peut donc empêcher un déclenchement. La comparaison inter-canaux est un diagnostic : lorsqu'elle constate un écart hors d'une tolérance et d'une fenêtre temporelle définies, le système signale l'anomalie et va normalement, ou reste, à l'état sûr dans l'intervalle de test de diagnostic supposé dans l'analyse de sécurité.

En 1oo2D, un écart que les diagnostics peuvent attribuer à un canal conduit au fonctionnement dégradé sur l'autre canal ; un écart non attribuable conduit à l'état sûr.

1oo2D est-il excessif pour mon application ?

Souvent, oui. 1oo2D se justifie lorsque les déclenchements intempestifs sont coûteux ou dangereux et que le procédé doit continuer à travers une anomalie unique. Si votre SIL visé peut être atteint avec 1oo1 (ou 1oo1D) et un SFF adéquat, ou avec 1oo2, et que des déclenchements intempestifs occasionnels sont acceptables, l'effort supplémentaire de diagnostic, de vote et de vérification se justifie rarement. Envisagez aussi 2oo3 : il offre un équilibre similaire entre sécurité et disponibilité par vote majoritaire plutôt que par reconfiguration basée sur les diagnostics.

Puis-je utiliser des contrôleurs de sécurité sur étagère (COTS) pour 1oo2 ou 1oo2D ?

Oui. Des automates et solveurs logiques de sécurité certifiés existent en configurations 1oo2, 2oo2, 1oo2D et 2oo3. Le manuel de sécurité du fabricant définit l'architecture, le HFT, les taux de défaillance, les intervalles de diagnostic et les conditions d'emploi. Vérifiez la définition de « 1oo2D » du fournisseur, qui peut différer de la CEI 61508-6. Le contrôleur n'est que le sous-système logique : les capteurs et les éléments terminaux doivent aussi satisfaire les exigences architecturales et probabilistes de la fonction de sécurité.

Faut-il vraiment 99 % de SFF pour un SIL 3 sur un canal unique ?

Sous la Route 1H, oui. Mais atteindre 99 % de SFF sur un microcontrôleur complexe en 1oo1 est souvent irréaliste. La Route 2H (CEI 61508-2 §7.4.4.3) offre une alternative fondée sur des données de fiabilité en exploitation / d’usage éprouvé, avec ses propres exigences minimales de HFT par SIL. Elle peut être la voie réaliste lorsque la Route 1H est hors de portée — au prix des preuves de fiabilité qu’elle exige.

Discutez de votre application

Décrivez-nous votre cas d'usage et nos ingénieurs vous aideront à le cadrer.

Nous contacter