EN IEC 62061 : les niveaux SIL appliqués aux machines

Ce que traite EN IEC 62061

EN IEC 62061:2021 — Sécurité des machines - Sécurité fonctionnelle des systèmes de commande relatifs à la sécurité — est une norme de type B de la liste des normes harmonisées machines. Elle traite de la sécurité fonctionnelle : la capacité d’un système de commande à exécuter correctement une fonction de sécurité lorsqu’elle est sollicitée.

C’est le même objet qu’EN ISO 13849-1, traité par une autre approche et avec un autre vocabulaire. Là où la 13849-1 raisonne en Performance Level, la 62061 raisonne en SIL.

Cette norme descend de la CEI 61508, texte fondateur de la sécurité fonctionnelle des systèmes électriques, électroniques et électroniques programmables, utilisé bien au-delà des machines — procédés continus, énergie, transport. EN IEC 62061 en est la déclinaison pour le secteur des machines. Cette filiation explique son vocabulaire, sa logique de cycle de vie et sa culture documentaire, plus formalisées que celles de la 13849-1.

Le SIL : de 1 à 3, et pas au-delà

Le SIL — Safety Integrity Level, niveau d’intégrité de sécurité — exprime le degré de confiance que l’on peut accorder à une fonction de sécurité.

Sur les machines, il se décline en trois niveaux : SIL 1, SIL 2 et SIL 3, du moins au plus exigeant.

Le SIL 4 existe bien dans la CEI 61508, mais il n’est pas utilisé pour les machines. Ce n’est pas un oubli ni une simplification : les niveaux de risque qui justifieraient un SIL 4 relèvent d’installations d’une autre nature.

Si vous rencontrez une spécification exigeant « SIL 4 » sur un équipement de production, c’est presque toujours le signe d’une confusion entre référentiels, et cela mérite d’être clarifié avant d’engager la conception.

Comme pour le Performance Level, un point de méthode s’impose : le SIL est un attribut d’une fonction de sécurité, pas d’une machine ni d’un composant.

Un raisonnement en deux temps

La démarche suit la même logique en deux mouvements que celle du Performance Level.

Premier temps : déterminer le niveau exigé. Il découle de l’appréciation du risque menée selon EN ISO 12100. Plus le dommage possible est grave et l’exposition fréquente, plus l’intégrité exigée de la fonction est élevée. Ce niveau est un besoin, établi avant tout choix technique.

Second temps : démontrer le niveau atteint. Il dépend de l’architecture retenue, de la fiabilité des composants, de la capacité du système à détecter ses propres défaillances, et de la maîtrise des défaillances de cause commune. La conformité suppose que le niveau atteint soit au moins égal au niveau exigé, fonction par fonction.

Ce qui distingue nettement EN IEC 62061 dans la pratique, c’est le poids qu’elle accorde à la spécification et au cycle de vie. La norme demande que chaque fonction de sécurité soit spécifiée explicitement — ce qu’elle fait, dans quel état elle place la machine, dans quel délai, dans quelles conditions de réarmement — avant d’être conçue.

C’est une discipline exigeante, et c’est précisément ce qui manque dans la majorité des dossiers que nous examinons : des fonctions de sécurité réalisées correctement mais jamais spécifiées par écrit, ce qui rend impossible toute démonstration ultérieure qu’elles font bien ce qu’elles devaient faire.

Ce qu’a changé l’édition 2021

L’édition 2021 marque une évolution importante du périmètre de la norme.

Historiquement, EN 62061:2005 était limitée aux systèmes électriques, électroniques et électroniques programmables. C’était sa différence structurante avec EN ISO 13849-1, qui couvrait toutes les technologies, y compris hydrauliques, pneumatiques et mécaniques. Cette limitation orientait le choix presque automatiquement : dès qu’une fonction de sécurité passait par un vérin pneumatique ou un composant hydraulique, la 62061 était hors-jeu.

L’édition 2021 a élargi le champ de la norme aux technologies non électriques. Les deux référentiels s’en trouvent fortement rapprochés : la 62061 est désormais une alternative complète à la 13849-1, et non plus une option réservée aux architectures tout-électriques.

Cette évolution change la manière de poser le choix entre les deux normes, sujet que nous traitons séparément dans EN ISO 13849 ou EN IEC 62061 : laquelle choisir ?.

Attention à la version que vous citez

Il y a ici une vérification à faire dans vos documents existants.

EN 62061:2005 a été retirée de la liste des normes harmonisées, avec une date de retrait fixée au 11 octobre 2023. Depuis cette date, elle ne procure plus la présomption de conformité.

Notez aussi le changement de désignation : l’édition en vigueur s’écrit EN IEC 62061, avec « IEC », alors que l’ancienne édition s’écrivait « EN 62061 ». Ce n’est pas un détail cosmétique — c’est un indice immédiat de la version citée.

Une déclaration de conformité mentionnant « EN 62061 » sans millésime, ou avec le millésime 2005, signale à un inspecteur que le référentiel n’a pas été revu depuis plusieurs années.

Ce type de vérification vaut la peine d’être fait sur l’ensemble d’une gamme, en une fois : les déclarations de conformité sont souvent produites par recopie d’un modèle, et une référence périmée se propage silencieusement sur des dizaines de machines.

Ce que la norme n’apporte pas

Une précision pour finir, parce qu’elle évite des malentendus coûteux.

EN IEC 62061 traite de la fiabilité des fonctions de sécurité. Elle ne dit pas quelles fonctions de sécurité votre machine doit comporter. Cette question relève de l’appréciation du risque et, le cas échéant, de la norme de type C applicable à votre machine.

Autrement dit : atteindre le SIL 2 sur une fonction d’arrêt d’urgence parfaitement conçue ne vous protège en rien si l’appréciation du risque a manqué un phénomène dangereux qui aurait exigé une autre fonction de sécurité. La sécurité fonctionnelle est un maillon de la démonstration de conformité, jamais la démonstration elle-même.