EN ISO 13849-1 : sécurité fonctionnelle et Performance Level

Ce que traite EN ISO 13849-1

EN ISO 13849-1 — Sécurité des machines - Parties des systèmes de commande relatives à la sécurité - Partie 1: Principes généraux de conception — est une norme de type B. Elle ne traite ni des protecteurs, ni des distances de sécurité, ni de l’ergonomie : elle traite de la fiabilité des fonctions de sécurité commandées.

La distinction est fondamentale et pourtant régulièrement manquée. Un protecteur mobile verrouillé n’est pas simplement « présent ou absent ». Il met en œuvre une fonction de sécurité : détecter l’ouverture, couper la puissance, empêcher le redémarrage. Cette fonction repose sur une chaîne — capteur, logique de traitement, actionneur — et cette chaîne peut défaillir.

EN ISO 13849-1 répond à la question : avec quelle probabilité cette fonction va-t-elle défaillir dangereusement, et est-ce acceptable au vu du risque qu’elle couvre ?

La norme s’applique à toutes les technologies : électrique, électronique, programmable, mais aussi hydraulique, pneumatique et mécanique. C’est historiquement ce qui l’a distinguée de son alternative, EN IEC 62061.

Deux éditions coexistent aujourd’hui

Un point de vigilance avant toute chose. Les éditions 2015 et 2023 d’EN ISO 13849-1 sont toutes deux citées dans la liste des normes harmonisées machines — la décision d’exécution (UE) 2023/1586, publiée au JO L 194 du 2.8.2023. L’édition 2023 y a été ajoutée par la décision (UE) 2024/1329.

Concrètement, les deux éditions procurent aujourd’hui la présomption de conformité. Vous ne commettez pas de faute en appliquant l’une ou l’autre, à condition d’indiquer précisément laquelle dans votre déclaration de conformité et dans votre dossier — « EN ISO 13849-1 » sans millésime n’est pas une référence exploitable.

Si vous engagez une conception à long cycle, la conduite prudente est de vérifier vous-même la version consolidée sur EUR-Lex avant de figer votre référentiel, et d’envisager l’édition 2023 pour les nouveaux développements.

PLr et PL : le point que tout le monde inverse

Le Performance Level se décline en cinq niveaux : PL a, b, c, d, e, du moins au plus exigeant. Chacun correspond à une plage de PFH_D — la probabilité de défaillance dangereuse par heure. Plus la plage est basse, plus le PL est élevé.

La démarche comporte deux mouvements qu’il ne faut jamais confondre.

Le PL requis (PLr) est un besoin. Il découle de l’appréciation du risque menée selon EN ISO 12100 : plus le dommage possible est grave et l’exposition fréquente, plus la fonction de sécurité doit être fiable, donc plus le PLr est élevé. Le PLr se détermine avant de choisir le moindre composant.

Le PL atteint est un résultat. Il se calcule à partir de l’architecture réellement conçue et de la fiabilité réelle des composants retenus.

La condition de conformité s’écrit alors simplement : PL atteint ≥ PLr, et cela fonction de sécurité par fonction de sécurité.

C’est là que se situe l’erreur la plus répandue.

Une même machine peut comporter dix fonctions de sécurité à dix PLr différents, et chacune doit être traitée séparément : arrêt d’urgence, verrouillage de porte, barrière immatérielle, surveillance de vitesse réduite, chacune a son propre PLr.

Les catégories d’architecture

Le PL atteint dépend d’abord de la structure du circuit. La norme définit cinq architectures types, appelées catégories.

Le passage de la catégorie 1 à la catégorie 2 change de logique : on cesse de compter uniquement sur la qualité des composants pour introduire de la détection. Le passage à la catégorie 3 change de logique une seconde fois : on introduit de la redondance.

L’architecture est nécessaire mais pas suffisante. Une catégorie 3 câblée avec des composants médiocres n’atteint pas nécessairement le PL espéré.

Les paramètres du calcul

Quatre grandeurs entrent dans la détermination du PL atteint, en plus de la catégorie.

• MTTF_D — le temps moyen avant défaillance dangereuse de chaque canal. C’est la fiabilité intrinsèque des composants. Les fabricants de composants de sécurité publient cette donnée ; elle doit être documentée dans votre dossier, pas estimée au jugé.
• DC_avg — la couverture de diagnostic moyenne. Quelle proportion des défaillances dangereuses le système est-il capable de détecter ? Un système qui défaille sans le savoir n’est pas un système sûr.
• CCF — les défaillances de cause commune (common cause failure). Deux canaux redondants qui partagent la même alimentation, le même câble, le même environnement de température peuvent défaillir ensemble, ce qui annule le bénéfice de la redondance. La norme impose une évaluation dédiée de ce point.
• PFH_D — la probabilité de défaillance dangereuse par heure, résultat du calcul, que l’on compare à la plage correspondant au PL visé.

Le CCF est le paramètre le plus souvent traité à la légère. Une redondance formelle qui ne résiste pas à une cause commune évidente — une seule source d’air comprimé, un seul disjoncteur, deux capteurs identiques exposés au même encrassement — est une redondance sur le papier seulement.

Le logiciel et la validation

Deux points souvent traités trop tard.

Lorsque la fonction de sécurité passe par un automate ou un contrôleur programmable, le logiciel entre dans le périmètre. Sa conception, sa vérification et sa maîtrise des modifications font partie de la démonstration. On ne peut pas calculer un PL sur le matériel et considérer que le programme échappe à l’analyse.

Enfin, le calcul n’est pas la fin du travail. La démonstration doit être validée : vérifier que la fonction réalisée est bien celle qui était spécifiée, et qu’elle se comporte comme prévu, y compris en défaut. C’est l’objet de la validation de la sécurité fonctionnelle, qui se conduit sur la machine réelle et dont les résultats rejoignent le dossier technique.

Un dossier complet sur ce sujet contient donc, pour chaque fonction de sécurité : sa spécification, son PLr justifié par l’appréciation du risque, l’architecture retenue, les données de fiabilité des composants, le calcul du PL atteint et le rapport de validation. C’est un ensemble, et il perd toute valeur probante dès qu’il lui manque un maillon.