{"id":50209,"date":"2025-11-14T15:24:08","date_gmt":"2025-11-14T14:24:08","guid":{"rendered":"https:\/\/www.gt-engineering.it\/?post_type=pubblicazione&p=50209"},"modified":"2026-03-30T08:30:51","modified_gmt":"2026-03-30T07:30:51","slug":"pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1","status":"publish","type":"pubblicazione","link":"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/","title":{"rendered":"P11: S\u00e9curit\u00e9 fonctionnelle en mode de forte demande : les Cat\u00e9gories 3 et 4 selon l\u2019ISO 13849-1"},"content":{"rendered":"\n\n \n \n \n\n\n\n\n \n \n \n
\n\n \n
\n \n
\n \n \n

\n Qu\u2019est-ce que c’est la S\u00e9curit\u00e9 Fonctionnelle ?\u00a0 <\/h2>\n <\/div>\n <\/div>\n \n \n
\n \n
\n

Vous avez besoin du domaine de la S\u00e9curit\u00e9 Fonctionnelle<\/strong> chaque fois que vous utilisez un syst\u00e8me d\u2019automatisation<\/strong> pour r\u00e9duire le risque associ\u00e9 \u00e0 une machine ou \u00e0 un proc\u00e9d\u00e9<\/strong>. Le risque est g\u00e9n\u00e9ralement r\u00e9duit en supprimant toutes les sources d\u2019\u00e9nergie : celles-ci peuvent \u00eatre \u00e9lectriques<\/strong> (par exemple, un moteur entra\u00eenant un mouvement dangereux), pneumatiques<\/strong>, hydrauliques<\/strong>, ou encore li\u00e9es aux fluides de proc\u00e9d\u00e9<\/strong>, comme le gaz m\u00e9thane pour un br\u00fbleur<\/strong> ou une pompe qui augmente la pression dans un r\u00e9servoir<\/strong>.<\/p>\n

Chaque fois que vous d\u00e9cidez que, pour \u00e9liminer le risque, vous avez besoin d\u2019un capteur de pression<\/strong> qui, en cas de valeur dangereuse \u00e9lev\u00e9e, doit fermer une vanne<\/strong>, c\u2019est l\u00e0 que la S\u00e9curit\u00e9 Fonctionnelle<\/strong> joue un r\u00f4le cl\u00e9.<\/p>\n

Un exemple, plus sp\u00e9cifique au domaine des machines, est celui d\u2019une cellule robotis\u00e9e<\/strong> : chaque fois qu\u2019un op\u00e9rateur entre dans la cellule, un interverrouillage<\/strong> plac\u00e9 sur la porte d\u2019entr\u00e9e doit d\u00e9clencher une fonction de s\u00e9curit\u00e9<\/strong> qui arr\u00eate tous les mouvements dangereux du robot<\/strong> \u00e0 l\u2019int\u00e9rieur de la cellule.<\/p>\n

Le probl\u00e8me est que l\u2019un des \u00e9l\u00e9ments de cette fonction de s\u00e9curit\u00e9 peut tomber en panne<\/strong>. La fiabilit\u00e9 de la fonction de s\u00e9curit\u00e9 doit donc \u00eatre d\u2019autant plus \u00e9lev\u00e9e que le risque qu\u2019elle r\u00e9duit est \u00e9lev\u00e9<\/strong>.<\/p>\n

L\u2019estimation de la fiabilit\u00e9 des fonctions de s\u00e9curit\u00e9<\/strong>, mises en \u0153uvre \u00e0 l\u2019aide d\u2019un syst\u00e8me de commande, est le domaine de la S\u00e9curit\u00e9 Fonctionnelle<\/strong>.<\/p>\n

Les parties du syst\u00e8me de commande de la machine<\/strong> qui assurent des fonctions de s\u00e9curit\u00e9 sont d\u00e9finies par l\u2019ISO 13849-1<\/strong> comme des parties li\u00e9es \u00e0 la s\u00e9curit\u00e9 du syst\u00e8me de commande (SRP\/CS)<\/strong>, tandis que la norme IEC 62061<\/strong> les appelle syst\u00e8mes de commande li\u00e9s \u00e0 la s\u00e9curit\u00e9 (SCS)<\/strong>. Ils peuvent \u00eatre mat\u00e9riels et\/ou logiciels<\/strong>, et \u00eatre s\u00e9par\u00e9s du syst\u00e8me de commande de la machine<\/strong> ou en faire partie int\u00e9grante<\/strong>.<\/p>\n

On rappelle que les normes ISO 13849-1<\/strong> et IEC 62061<\/strong> d\u00e9composent une partie li\u00e9e \u00e0 la s\u00e9curit\u00e9 d\u2019un syst\u00e8me de commande (SRP\/CS) en sous-syst\u00e8mes<\/strong>, g\u00e9n\u00e9ralement compos\u00e9s de :<\/p>\n

    \n
  • \n

    Entr\u00e9e (capteur)<\/strong><\/p>\n<\/li>\n

  • \n

    Unit\u00e9 logique (automate, relais de s\u00e9curit\u00e9, etc.)<\/strong><\/p>\n<\/li>\n

  • \n

    Sortie (\u00e9l\u00e9ment final)<\/strong><\/p>\n<\/li>\n<\/ul>\n<\/div> <\/div>\n \n \n

    <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
    \n\n \n
    \n \n
    \n \n \n

    \n Introduction to Category 3 of ISO 13849-1 <\/h2>\n <\/div>\n <\/div>\n \n \n
    \n \n
    \n
    \n
    \n
    \n
    \n
    \n
    \n
    \n

    En Cat\u00e9gorie 3<\/strong>, il est obligatoire d’utiliser \u00e0 la fois les principes de s\u00e9curit\u00e9 de base <\/strong>et les principes de s\u00e9curit\u00e9 \u00e9prouv\u00e9s<\/strong><\/p>\n

    Chaque sous-syst\u00e8me de Cat\u00e9gorie 3<\/strong> doit \u00eatre con\u00e7u de mani\u00e8re \u00e0 ce qu\u2019une d\u00e9faillance unique ne conduise pas \u00e0 la perte de la fonction de s\u00e9curit\u00e9<\/strong>.<\/p>\n

    De plus, dans la mesure du raisonnablement possible<\/strong>, une d\u00e9faillance unique doit \u00eatre d\u00e9tect\u00e9e au moment ou avant la prochaine demande de la fonction de s\u00e9curit\u00e9<\/strong>.<\/p>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n

    \n
    \n
    <\/div>\n
    <\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n<\/article>\n
    <\/div>\n<\/div> <\/div>\n \n \n
    <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
    \n\n \n \n \n \r\n\r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n <\/picture>\r\n\r\n \r\n\r\n \r\n \r\n <\/div>\n \n
    \n \n
    \n

     <\/p>\n

     <\/p>\n

     <\/p>\n

     <\/p>\n

    Figure 1: Category 3 Architecture<\/p>\n<\/div> <\/div>\n \n \n

    <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
    \n\n \n \n \n
    \n \n
    \n
    \n
    \n
    \n
    \n
    \n
    \n
    \n

    L\u00e9gende :<\/p>\n

      \n
    • \n

      Im<\/strong> repr\u00e9sente les moyens d\u2019interconnexion, g\u00e9n\u00e9ralement des fils \u00e9lectriques<\/strong><\/p>\n<\/li>\n

    • \n

      I1<\/strong> et I2<\/strong> repr\u00e9sentent les entr\u00e9es<\/strong> (par exemple, deux dispositifs d’interverrouillage)<\/p>\n<\/li>\n

    • \n

      L<\/strong> repr\u00e9sente la logique de s\u00e9curit\u00e9<\/strong>, g\u00e9n\u00e9ralement un module de s\u00e9curit\u00e9<\/strong> (non programmable) ou une logique programmable<\/strong><\/p>\n<\/li>\n

    • \n

      O<\/strong> repr\u00e9sente la sortie<\/strong> ; cela peut \u00eatre un contacteur<\/strong> ou une \u00e9lectrovanne<\/strong>, par exemple<\/p>\n<\/li>\n

    • \n

      c<\/strong> est la surveillance crois\u00e9e<\/strong> (cross monitoring<\/em>)<\/p>\n<\/li>\n

    • \n

      m<\/strong> (lignes en pointill\u00e9s) repr\u00e9sente une d\u00e9tection de d\u00e9faut raisonnablement praticable<\/strong><\/p>\n<\/li>\n<\/ul>\n<\/div>\n<\/div>\n<\/div>\n<\/div>\n

      <\/div>\n<\/div>\n<\/div>\n<\/article>\n
      <\/div>\n<\/div> <\/div>\n \n \n
      <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
      \n\n \n \n \n
      \n \n
      \n

      La couverture diagnostique moyenne (DCavg)<\/strong> de chaque sous-syst\u00e8me doit \u00eatre au moins faible<\/strong>. Le MTTFD<\/strong> (temps moyen jusqu\u2019\u00e0 une d\u00e9faillance dangereuse) de chaque canal redondant doit \u00eatre faible \u00e0 \u00e9lev\u00e9<\/strong>, selon le niveau de performance requis (PLr)<\/strong>.
      Des mesures contre les d\u00e9faillances de cause commune (CCF)<\/strong> doivent \u00eatre appliqu\u00e9es.<\/p>\n

      Dans la cat\u00e9gorie 3<\/strong>, l\u2019exigence de d\u00e9tection des d\u00e9faillances uniques<\/strong> ne signifie pas que toutes les d\u00e9faillances seront d\u00e9tect\u00e9es<\/strong>. Par cons\u00e9quent, l\u2019accumulation de d\u00e9faillances non d\u00e9tect\u00e9es<\/strong> peut entra\u00eener une situation dangereuse<\/strong> sur la machine.<\/p>\n

      Le comportement des sous-syst\u00e8mes de cette cat\u00e9gorie est donc caract\u00e9ris\u00e9 par\u202f:<\/p>\n

        \n
      • \n

        La continuit\u00e9 de la fonction de s\u00e9curit\u00e9<\/strong> en pr\u00e9sence d’une seule d\u00e9faillance<\/strong><\/p>\n<\/li>\n

      • \n

        La d\u00e9tection de certaines<\/strong>, mais pas toutes<\/strong>, les d\u00e9faillances<\/p>\n<\/li>\n

      • \n

        La perte possible<\/strong> de la fonction de s\u00e9curit\u00e9 en raison de l\u2019accumulation de d\u00e9faillances non d\u00e9tect\u00e9es<\/strong><\/p>\n<\/li>\n<\/ul>\n<\/div> <\/div>\n \n \n

        <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
        \n\n \n
        \n \n
        \n \n \n

        \n Couverture diagnostique dans la cat\u00e9gorie 3 <\/h2>\n <\/div>\n <\/div>\n \n \n
        \n \n
        \n

        Nous observons des applications o\u00f9 la couverture diagnostique est effectu\u00e9e en dehors de la logique de s\u00e9curit\u00e9, ou plus pr\u00e9cis\u00e9ment, en dehors du canal fonctionnel. Dans ce cas, il faut justifier que l’approche simplifi\u00e9e (Annexe K de la norme ISO 13849-1) reste applicable. La d\u00e9termination de la PFHD bas\u00e9e sur d’autres techniques de mod\u00e9lisation est \u00e9galement possible. La figure 2 montre \u00e0 quoi ressemblerait le diagramme en blocs li\u00e9 \u00e0 la s\u00e9curit\u00e9.<\/p>\n<\/div> <\/div>\n \n \n

        <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
        \n\n \n \n \n \r\n\r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n <\/picture>\r\n\r\n \r\n\r\n \r\n \r\n <\/div>\n \n
        \n \n
        \n

         <\/p>\n

         <\/p>\n

         <\/p>\n

         <\/p>\n

        Figure 2 : Architecture de cat\u00e9gorie 3 avec \u00e9quipement de test externe<\/p>\n<\/div> <\/div>\n \n \n

        <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
        \n\n \n \n \n
        \n \n
        \n

        Le probl\u00e8me est que les valeurs de PFHD du tableau K.1 ne repr\u00e9sentent pas correctement le niveau de fiabilit\u00e9 de ce SRP\/CS. Un mod\u00e8le de Markov actualis\u00e9 devrait \u00eatre r\u00e9alis\u00e9. Cependant, nous estimons que la diff\u00e9rence de PFHD ne serait pas significative, \u00e0 condition qu\u2019au moins un MTTF faible puisse \u00eatre revendiqu\u00e9 pour l\u2019\u00e9quipement de test. L\u2019exigence pour le MTTF de l\u2019\u00e9quipement de test est donc inf\u00e9rieure \u00e0 celle requise en cat\u00e9gorie 2, puisque dans les cat\u00e9gories 3 et 4 nous avons un sous-syst\u00e8me redondant.<\/p>\n

        Une des conditions serait \u00e9galement que, en cas de d\u00e9tection d\u2019une d\u00e9faillance dans l\u2019un des deux canaux (par exemple, la soudure des contacts dans un contacteur), l\u2019\u00e9tat s\u00fbr (l\u2019autre contacteur est suppos\u00e9 s\u2019ouvrir) soit maintenu jusqu\u2019\u00e0 la suppression de la d\u00e9faillance. Pour cette raison, m\u00eame s\u2019il est possible de surveiller l\u2019\u00e9tat du contacteur dans un automate programmable industriel (API), un signal doit \u00eatre envoy\u00e9 \u00e0 la logique de s\u00e9curit\u00e9 qui bloque toute remise \u00e0 z\u00e9ro jusqu\u2019\u00e0 ce que la d\u00e9faillance soit corrig\u00e9e (contacteur KR dans la figure 3).<\/p>\n

        Pour le dire autrement : le diagnostic peut passer par un automate g\u00e9n\u00e9raliste, mais la r\u00e9action doit \u00eatre s\u00fbre. Ce qui signifie aussi qu\u2019une seule d\u00e9faillance ne doit pas pouvoir entra\u00eener la perte de la fonction de s\u00e9curit\u00e9.<\/p>\n

        Dans le rapport IFA [6], quelques exemples montrent qu\u2019un automate g\u00e9n\u00e9raliste est utilis\u00e9 pour le diagnostic dans un sous-syst\u00e8me de cat\u00e9gorie 3 ou 4, tout en conservant l\u2019approche simplifi\u00e9e.<\/p>\n<\/div> <\/div>\n \n \n

        <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
        \n\n \n \n \n \r\n\r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n <\/picture>\r\n\r\n \r\n\r\n \r\n \r\n <\/div>\n \n
        \n \n
        \n

         <\/p>\n

         <\/p>\n

         <\/p>\n

         <\/p>\n

        Figura 3 : Architecture de cat\u00e9gorie 3 avec \u00e9quipement de test externe<\/p>\n<\/div> <\/div>\n \n \n

        <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
        \n\n \n
        \n \n
        \n \n \n

        \n Exemple de cat\u00e9gorie 3 pour le sous-syst\u00e8me d\u2019entr\u00e9e : Dispositif d\u2019interverrouillage <\/h2>\n <\/div>\n <\/div>\n \n \n
        \n \n
        \n

        Dans cet exemple, un dispositif d\u2019interverrouillage de Type 2 (voir ISO 14199 pour plus de d\u00e9tails), mont\u00e9 sur une porte mobile donnant acc\u00e8s \u00e0 une zone s\u00e9curis\u00e9e, est contr\u00f4l\u00e9 par un automate de s\u00e9curit\u00e9 (Safety PLC). En cas d\u2019ouverture de la protection, la logique de s\u00e9curit\u00e9 doit le d\u00e9tecter et prendre les mesures appropri\u00e9es. Nous nous concentrons sur le sous-syst\u00e8me d\u2019entr\u00e9e.
        Pour le circuit \u00e9lectrique montr\u00e9 \u00e0 la figure 4, le diagramme en blocs li\u00e9 \u00e0 la s\u00e9curit\u00e9 du sous-syst\u00e8me d\u2019entr\u00e9e est pr\u00e9sent\u00e9 \u00e0 la figure 5.<\/p>\n<\/div> <\/div>\n \n \n

        <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
        \n\n \n \n \n
        \n \n
        \n
          \n
        • \n

          Donn\u00e9es de s\u00e9curit\u00e9 :
          Le dispositif d\u2019interverrouillage B1 a un B10D = 1\u00b710^6 et un temps de mission de 20 ans.<\/p>\n<\/li>\n

        • \n

          Fr\u00e9quence d\u2019utilisation :
          Le dispositif d\u2019interverrouillage est suppos\u00e9 s\u2019ouvrir dix fois par heure.<\/p>\n<\/li>\n

        • \n

          \u00c9vitement des d\u00e9faillances syst\u00e9miques :
          Puisque nous pouvons revendiquer la cat\u00e9gorie 3 (double canal avec surveillance), des principes de s\u00e9curit\u00e9 de base et \u00e9prouv\u00e9s sont appliqu\u00e9s. Nous avons \u00e9galement v\u00e9rifi\u00e9 que des mesures suffisantes ont \u00e9t\u00e9 prises pour pr\u00e9venir les d\u00e9faillances dues \u00e0 des causes communes (Score CCF > 65).<\/p>\n<\/li>\n

        • \n

          Exclusion des d\u00e9fauts :
          Compte tenu de la mani\u00e8re dont le dispositif d\u2019interverrouillage a \u00e9t\u00e9 install\u00e9, nous consid\u00e9rons comme n\u00e9gligeable la probabilit\u00e9 de rupture de l\u2019actionneur. Par cons\u00e9quent, nous appliquons l\u2019exclusion des d\u00e9fauts \u00e0 la partie m\u00e9canique du dispositif d\u2019interverrouillage : c\u2019est la signification de l\u2019\u00e9l\u00e9ment FE dans la Figure 5. La Figure 6 montre une autre repr\u00e9sentation possible et \u00e9quivalente.<\/p>\n<\/li>\n<\/ul>\n<\/div> <\/div>\n \n \n

          <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
          \n\n \n \n \n \r\n\r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n <\/picture>\r\n\r\n \r\n\r\n \r\n \r\n <\/div>\n \n
          \n \n
          \n

           <\/p>\n

           <\/p>\n

           <\/p>\n

           <\/p>\n

          Figure 4 : Sous-syst\u00e8me d’entr\u00e9e du dispositif d\u2019interverrouillage<\/p>\n<\/div> <\/div>\n \n \n

          <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
          \n\n \n \n \n \r\n\r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n <\/picture>\r\n\r\n \r\n\r\n \r\n \r\n <\/div>\n \n
          \n \n
          \n

           <\/p>\n

           <\/p>\n

           <\/p>\n

           <\/p>\n

          Figure 5 : Sous-syst\u00e8me d\u2019entr\u00e9e repr\u00e9sent\u00e9 comme un diagramme de blocs de fiabilit\u00e9 (RBD)<\/p>\n<\/div> <\/div>\n \n \n

          <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
          \n\n \n \n \n \r\n\r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n <\/picture>\r\n\r\n \r\n\r\n \r\n \r\n <\/div>\n \n
          \n \n
          \n

           <\/p>\n

           <\/p>\n

           <\/p>\n

           <\/p>\n

          Figure 6 : Une autre fa\u00e7on de repr\u00e9senter le sous-syst\u00e8me d’entr\u00e9e sous forme de diagramme de blocs de fiabilit\u00e9 (RBD)<\/p>\n<\/div> <\/div>\n \n \n

          <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
          \n\n \n \n \n
          \n \n
          \n

          Concentrons-nous maintenant sur le calcul de la probabilit\u00e9 des d\u00e9faillances al\u00e9atoires :
          1- La premi\u00e8re \u00e9tape consiste \u00e0 calculer le MTTFD de l\u2019appareil de verrouillage. Nous supposons que la machine fonctionne 365 jours par an et 16 heures par jour.<\/p>\n<\/div> <\/div>\n \n \n

          <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
          \n\n \n \n \n \r\n\r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n <\/picture>\r\n\r\n \r\n\r\n \r\n \r\n <\/div>\n \n \n \n
          <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
          \n\n \n \n \n
          \n \n
          \n

          \u00c9tant donn\u00e9 que le sous-syst\u00e8me est en Cat\u00e9gorie 3, le MTTFD doit \u00eatre limit\u00e9 \u00e0 100 ans ;
          \n2- En second lieu, nous estimons la Couverture Diagnostique (DC). Le contr\u00f4le crois\u00e9 des entr\u00e9es ne peut \u00eatre effectu\u00e9 que lorsque la protection est ouverte ; par cons\u00e9quent, cela ne peut pas \u00eatre d\u00e9fini comme un \u00ab contr\u00f4le crois\u00e9 des signaux d’entr\u00e9e avec test dynamique \u00bb puisqu’il ne s’agit pas d’un test dynamique automatique, m\u00eame si le d\u00e9clencheur est pr\u00e9sent. Cela peut simplement \u00eatre d\u00e9fini comme un \u00ab contr\u00f4le crois\u00e9 des entr\u00e9es sans test dynamique \u00bb. La DC correspondante peut varier, par exemple, en fonction de la fr\u00e9quence de changement de signal dans l’application. Puisque la porte s’ouvre au moins une fois par jour, la valeur maximale de DC atteignable est de 99 %. \u00c9tant donn\u00e9 que nous avons le d\u00e9clencheur, nous supposons la DC la plus \u00e9lev\u00e9e possible dans la cat\u00e9gorie : DC = 98 % (moyenne).<\/p>\n

          3- La derni\u00e8re \u00e9tape consiste \u00e0 se r\u00e9f\u00e9rer au tableau K.1 de la norme ISO 13849-1 o\u00f9, pour la Cat\u00e9gorie 3 avec une DC moyenne et un MTTFD de 100 ans, le PFHD = 4,29\u00b710\u207b\u2078, ce qui correspond \u00e0 un niveau de performance (PL) e. Cependant, comme nous avons appliqu\u00e9 une exclusion de d\u00e9faut sur la partie m\u00e9canique du dispositif d’interverrouillage (\u00a7 4.11.2.3), le r\u00e9sultat final est :
          \nPFHD = 4,29\u00b710\u207b\u2078 ; PL d
          \n\uf0a7 V\u00e9rification de la dur\u00e9e de vie utile
          \nLe concept est pr\u00e9sent \u00e0 la fois dans IEC 62061 et ISO 13849-1. Il faut v\u00e9rifier si le dispositif d’interverrouillage doit \u00eatre remplac\u00e9 avant la fin de sa dur\u00e9e de mission. Comme indiqu\u00e9 dans la formule ci-dessous, il doit \u00eatre remplac\u00e9 apr\u00e8s 17 ans : il ne peut pas \u00eatre utilis\u00e9 pendant toute la dur\u00e9e de la mission.<\/p>\n<\/div> <\/div>\n \n \n

          <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
          \n\n \n \n \n \r\n\r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n <\/picture>\r\n\r\n \r\n\r\n \r\n \r\n <\/div>\n \n \n \n
          <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
          \n\n \n
          \n \n
          \n \n \n

          \n Cat\u00e9gorie 4 <\/h2>\n <\/div>\n <\/div>\n \n \n
          \n \n
          \n

          Dans la cat\u00e9gorie 4, les principes de s\u00e9curit\u00e9 de base et bien \u00e9prouv\u00e9s doivent \u00eatre utilis\u00e9s. Chaque sous-syst\u00e8me de cat\u00e9gorie 4 doit \u00eatre con\u00e7u de mani\u00e8re \u00e0 ce qu’une seule d\u00e9faillance ne conduise pas \u00e0 la perte de la fonction de s\u00e9curit\u00e9.
          \nDe plus, la d\u00e9faillance unique doit \u00eatre d\u00e9tect\u00e9e au plus tard avant la prochaine sollicitation de la fonction de s\u00e9curit\u00e9. Lorsque cette d\u00e9tection n’est pas possible, une accumulation de d\u00e9faillances non d\u00e9tect\u00e9es ne doit pas entra\u00eener la perte de la fonction de s\u00e9curit\u00e9.<\/p>\n<\/div> <\/div>\n \n \n

          <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
          \n\n \n \n \n \r\n\r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n \r\n <\/picture>\r\n\r\n \r\n\r\n \r\n \r\n <\/div>\n \n
          \n \n
          \n

          \n

          \n

          \n

          \n

          Figure 7 : Architecture de Cat\u00e9gorie 4<\/strong><\/p>\n<\/div> <\/div>\n \n \n

          <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
          \n\n \n \n \n
          \n \n
          \n
          Lignes pleines pour la surveillance<\/strong> repr\u00e9sentent une <\/span>couverture diagnostique (DC) plus \u00e9lev\u00e9e que celle de la Cat\u00e9gorie 3<\/strong><\/h6>\n<\/div> <\/div>\n \n \n
          <\/div>\n \n\n <\/div>\n <\/section>\n\n \n\n\n\n\n \n \n \n
          \n\n \n \n \n
          \n \n
          \n

          La couverture diagnostique moyenne (DCavg)<\/strong> de chaque sous-syst\u00e8me doit \u00eatre \u00e9lev\u00e9e<\/strong>. La MTTFD<\/strong> (Dur\u00e9e moyenne avant d\u00e9faillance dangereuse) de chaque canal redondant doit \u00eatre \u00e9lev\u00e9e<\/strong>, et des mesures contre les d\u00e9faillances de cause commune (CCF)<\/strong> doivent \u00eatre appliqu\u00e9es.
          Le comportement du sous-syst\u00e8me de cette cat\u00e9gorie est donc caract\u00e9ris\u00e9 par :<\/p>\n

            \n
          • \n

            Le maintien de la fonction de s\u00e9curit\u00e9<\/strong> en pr\u00e9sence d\u2019une d\u00e9faillance unique<\/strong>.<\/p>\n<\/li>\n

          • \n

            La d\u00e9tection des d\u00e9faillances \u00e0 temps<\/strong> pour emp\u00eacher la perte de la fonction de s\u00e9curit\u00e9.<\/p>\n<\/li>\n

          • \n

            La prise en compte de l\u2019accumulation des d\u00e9faillances non d\u00e9tect\u00e9es<\/strong>.<\/p>\n<\/li>\n<\/ul>\n

            Comme vous pouvez le lire, la Cat\u00e9gorie 4<\/strong> est tr\u00e8s similaire \u00e0 la Cat\u00e9gorie 3<\/strong> ; c\u2019est pourquoi la norme IEC 62061<\/strong> propose une seule architecture<\/strong> couvrant \u00e0 la fois les Cat\u00e9gories 3 et 4 : l\u2019Architecture D (1oo2D)<\/strong>.<\/p>\n

            Lorsque l\u2019on utilise le Tableau K.1<\/strong> pour \u00e9valuer le niveau de fiabilit\u00e9 d\u2019un syst\u00e8me de s\u00e9curit\u00e9, pour concevoir un sous-syst\u00e8me de Cat\u00e9gorie 4<\/strong>, le niveau de diagnostic des deux canaux<\/strong> doit \u00eatre d\u2019au moins 99\u202f%<\/strong>.<\/p>\n

            Un sous-syst\u00e8me de Cat\u00e9gorie 4<\/strong> permet d\u2019atteindre un Performance Level PL e<\/strong>, \u00e9quivalent au SIL 3<\/strong>, soit le niveau le plus \u00e9lev\u00e9 atteignable<\/strong> avec les normes ISO 13849-1<\/strong> ou IEC 62061<\/strong>.<\/p>\n<\/div> <\/div>\n \n \n

            <\/div>\n \n\n <\/div>\n <\/section>\n\n \n","protected":false},"excerpt":{"rendered":"

            Cet article fait partie d’une s\u00e9rie consacr\u00e9e \u00e0 la s\u00e9curit\u00e9 fonctionnelle des machines. Nous avons r\u00e9cemment pr\u00e9sent\u00e9 l’une des deux normes utilis\u00e9es pour concevoir les syst\u00e8mes de commande li\u00e9s \u00e0 la s\u00e9curit\u00e9 en mode de forte demande : l\u2019ISO 13849-1. Pour rappel, cette norme repose sur un mod\u00e8le de Markov complexe \u00e0 partir duquel cinq cat\u00e9gories ont \u00e9t\u00e9 d\u00e9finies. Chaque cat\u00e9gorie d\u00e9crit le comportement attendu des sous-syst\u00e8mes en mati\u00e8re de r\u00e9sistance aux d\u00e9faillances, en fonction des param\u00e8tres de conception pr\u00e9c\u00e9demment mentionn\u00e9s (MTTFD, DCavg, etc.)<\/p>\n","protected":false},"author":1,"featured_media":49010,"parent":49611,"menu_order":10,"template":"","meta":{"_acf_changed":false,"footnotes":""},"class_list":["post-50209","pubblicazione","type-pubblicazione","status-publish","has-post-thumbnail","hentry"],"acf":[],"yoast_head":"\nP11: S\u00e9curit\u00e9 fonctionnelle en mode de forte demande : les Cat\u00e9gories 3 et 4 selon l\u2019ISO 13849-1 - Gt-Engineering<\/title>\n<meta name=\"robots\" content=\"index, follow, max-snippet:-1, max-image-preview:large, max-video-preview:-1\" \/>\n<link rel=\"canonical\" href=\"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/\" \/>\n<meta property=\"og:locale\" content=\"fr_FR\" \/>\n<meta property=\"og:type\" content=\"article\" \/>\n<meta property=\"og:title\" content=\"P11: S\u00e9curit\u00e9 fonctionnelle en mode de forte demande : les Cat\u00e9gories 3 et 4 selon l\u2019ISO 13849-1 - Gt-Engineering\" \/>\n<meta property=\"og:description\" content=\"Cet article fait partie d'une s\u00e9rie consacr\u00e9e \u00e0 la s\u00e9curit\u00e9 fonctionnelle des machines. Nous avons r\u00e9cemment pr\u00e9sent\u00e9 l'une des deux normes utilis\u00e9es pour concevoir les syst\u00e8mes de commande li\u00e9s \u00e0 la s\u00e9curit\u00e9 en mode de forte demande : l\u2019ISO 13849-1. Pour rappel, cette norme repose sur un mod\u00e8le de Markov complexe \u00e0 partir duquel cinq cat\u00e9gories ont \u00e9t\u00e9 d\u00e9finies. Chaque cat\u00e9gorie d\u00e9crit le comportement attendu des sous-syst\u00e8mes en mati\u00e8re de r\u00e9sistance aux d\u00e9faillances, en fonction des param\u00e8tres de conception pr\u00e9c\u00e9demment mentionn\u00e9s (MTTFD, DCavg, etc.)\" \/>\n<meta property=\"og:url\" content=\"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/\" \/>\n<meta property=\"og:site_name\" content=\"Gt-Engineering\" \/>\n<meta property=\"article:modified_time\" content=\"2026-03-30T07:30:51+00:00\" \/>\n<meta property=\"og:image\" content=\"https:\/\/www.gt-engineering.it\/wp-content\/uploads\/2025\/08\/Senza-titolo-51.png\" \/>\n\t<meta property=\"og:image:width\" content=\"1284\" \/>\n\t<meta property=\"og:image:height\" content=\"734\" \/>\n\t<meta property=\"og:image:type\" content=\"image\/png\" \/>\n<meta name=\"twitter:card\" content=\"summary_large_image\" \/>\n<meta name=\"twitter:label1\" content=\"Dur\u00e9e de lecture estim\u00e9e\" \/>\n\t<meta name=\"twitter:data1\" content=\"1 minute\" \/>\n<script type=\"application\/ld+json\" class=\"yoast-schema-graph\">{\"@context\":\"https:\/\/schema.org\",\"@graph\":[{\"@type\":\"WebPage\",\"@id\":\"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/\",\"url\":\"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/\",\"name\":\"P11: S\u00e9curit\u00e9 fonctionnelle en mode de forte demande : les Cat\u00e9gories 3 et 4 selon l\u2019ISO 13849-1 - Gt-Engineering\",\"isPartOf\":{\"@id\":\"https:\/\/www.gt-engineering.it\/fr\/#website\"},\"primaryImageOfPage\":{\"@id\":\"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/#primaryimage\"},\"image\":{\"@id\":\"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/#primaryimage\"},\"thumbnailUrl\":\"https:\/\/www.gt-engineering.it\/wp-content\/uploads\/2025\/08\/Senza-titolo-51.png\",\"datePublished\":\"2025-11-14T14:24:08+00:00\",\"dateModified\":\"2026-03-30T07:30:51+00:00\",\"breadcrumb\":{\"@id\":\"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/#breadcrumb\"},\"inLanguage\":\"fr-FR\",\"potentialAction\":[{\"@type\":\"ReadAction\",\"target\":[\"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/\"]}]},{\"@type\":\"ImageObject\",\"inLanguage\":\"fr-FR\",\"@id\":\"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/#primaryimage\",\"url\":\"https:\/\/www.gt-engineering.it\/wp-content\/uploads\/2025\/08\/Senza-titolo-51.png\",\"contentUrl\":\"https:\/\/www.gt-engineering.it\/wp-content\/uploads\/2025\/08\/Senza-titolo-51.png\",\"width\":1284,\"height\":734},{\"@type\":\"BreadcrumbList\",\"@id\":\"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/#breadcrumb\",\"itemListElement\":[{\"@type\":\"ListItem\",\"position\":1,\"name\":\"Accueil\",\"item\":\"https:\/\/www.gt-engineering.it\/fr\/\"},{\"@type\":\"ListItem\",\"position\":2,\"name\":\"Publications\",\"item\":\"https:\/\/www.gt-engineering.it\/fr\/publications\/\"},{\"@type\":\"ListItem\",\"position\":3,\"name\":\"Approfondissements articles tuttomisure\",\"item\":\"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/\"},{\"@type\":\"ListItem\",\"position\":4,\"name\":\"P11: S\u00e9curit\u00e9 fonctionnelle en mode de forte demande : les Cat\u00e9gories 3 et 4 selon l\u2019ISO 13849-1\"}]},{\"@type\":\"WebSite\",\"@id\":\"https:\/\/www.gt-engineering.it\/fr\/#website\",\"url\":\"https:\/\/www.gt-engineering.it\/fr\/\",\"name\":\"Gt-Engineering\",\"description\":\"bizonweb\",\"potentialAction\":[{\"@type\":\"SearchAction\",\"target\":{\"@type\":\"EntryPoint\",\"urlTemplate\":\"https:\/\/www.gt-engineering.it\/fr\/?s={search_term_string}\"},\"query-input\":{\"@type\":\"PropertyValueSpecification\",\"valueRequired\":true,\"valueName\":\"search_term_string\"}}],\"inLanguage\":\"fr-FR\"}]}<\/script>\n<!-- \/ Yoast SEO plugin. -->","yoast_head_json":{"title":"P11: S\u00e9curit\u00e9 fonctionnelle en mode de forte demande : les Cat\u00e9gories 3 et 4 selon l\u2019ISO 13849-1 - Gt-Engineering","robots":{"index":"index","follow":"follow","max-snippet":"max-snippet:-1","max-image-preview":"max-image-preview:large","max-video-preview":"max-video-preview:-1"},"canonical":"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/","og_locale":"fr_FR","og_type":"article","og_title":"P11: S\u00e9curit\u00e9 fonctionnelle en mode de forte demande : les Cat\u00e9gories 3 et 4 selon l\u2019ISO 13849-1 - Gt-Engineering","og_description":"Cet article fait partie d'une s\u00e9rie consacr\u00e9e \u00e0 la s\u00e9curit\u00e9 fonctionnelle des machines. Nous avons r\u00e9cemment pr\u00e9sent\u00e9 l'une des deux normes utilis\u00e9es pour concevoir les syst\u00e8mes de commande li\u00e9s \u00e0 la s\u00e9curit\u00e9 en mode de forte demande : l\u2019ISO 13849-1. Pour rappel, cette norme repose sur un mod\u00e8le de Markov complexe \u00e0 partir duquel cinq cat\u00e9gories ont \u00e9t\u00e9 d\u00e9finies. Chaque cat\u00e9gorie d\u00e9crit le comportement attendu des sous-syst\u00e8mes en mati\u00e8re de r\u00e9sistance aux d\u00e9faillances, en fonction des param\u00e8tres de conception pr\u00e9c\u00e9demment mentionn\u00e9s (MTTFD, DCavg, etc.)","og_url":"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/","og_site_name":"Gt-Engineering","article_modified_time":"2026-03-30T07:30:51+00:00","og_image":[{"width":1284,"height":734,"url":"https:\/\/www.gt-engineering.it\/wp-content\/uploads\/2025\/08\/Senza-titolo-51.png","type":"image\/png"}],"twitter_card":"summary_large_image","twitter_misc":{"Dur\u00e9e de lecture estim\u00e9e":"1 minute"},"schema":{"@context":"https:\/\/schema.org","@graph":[{"@type":"WebPage","@id":"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/","url":"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/","name":"P11: S\u00e9curit\u00e9 fonctionnelle en mode de forte demande : les Cat\u00e9gories 3 et 4 selon l\u2019ISO 13849-1 - Gt-Engineering","isPartOf":{"@id":"https:\/\/www.gt-engineering.it\/fr\/#website"},"primaryImageOfPage":{"@id":"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/#primaryimage"},"image":{"@id":"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/#primaryimage"},"thumbnailUrl":"https:\/\/www.gt-engineering.it\/wp-content\/uploads\/2025\/08\/Senza-titolo-51.png","datePublished":"2025-11-14T14:24:08+00:00","dateModified":"2026-03-30T07:30:51+00:00","breadcrumb":{"@id":"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/#breadcrumb"},"inLanguage":"fr-FR","potentialAction":[{"@type":"ReadAction","target":["https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/"]}]},{"@type":"ImageObject","inLanguage":"fr-FR","@id":"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/#primaryimage","url":"https:\/\/www.gt-engineering.it\/wp-content\/uploads\/2025\/08\/Senza-titolo-51.png","contentUrl":"https:\/\/www.gt-engineering.it\/wp-content\/uploads\/2025\/08\/Senza-titolo-51.png","width":1284,"height":734},{"@type":"BreadcrumbList","@id":"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/pt-11-securite-fonctionnelle-en-mode-de-forte-demande-les-categories-3-et-4-selon-liso-13849-1\/#breadcrumb","itemListElement":[{"@type":"ListItem","position":1,"name":"Accueil","item":"https:\/\/www.gt-engineering.it\/fr\/"},{"@type":"ListItem","position":2,"name":"Publications","item":"https:\/\/www.gt-engineering.it\/fr\/publications\/"},{"@type":"ListItem","position":3,"name":"Approfondissements articles tuttomisure","item":"https:\/\/www.gt-engineering.it\/fr\/publications\/approfondissements-articles-tuttomisure\/"},{"@type":"ListItem","position":4,"name":"P11: S\u00e9curit\u00e9 fonctionnelle en mode de forte demande : les Cat\u00e9gories 3 et 4 selon l\u2019ISO 13849-1"}]},{"@type":"WebSite","@id":"https:\/\/www.gt-engineering.it\/fr\/#website","url":"https:\/\/www.gt-engineering.it\/fr\/","name":"Gt-Engineering","description":"bizonweb","potentialAction":[{"@type":"SearchAction","target":{"@type":"EntryPoint","urlTemplate":"https:\/\/www.gt-engineering.it\/fr\/?s={search_term_string}"},"query-input":{"@type":"PropertyValueSpecification","valueRequired":true,"valueName":"search_term_string"}}],"inLanguage":"fr-FR"}]}},"_links":{"self":[{"href":"https:\/\/www.gt-engineering.it\/fr\/wp-json\/wp\/v2\/pubblicazione\/50209","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.gt-engineering.it\/fr\/wp-json\/wp\/v2\/pubblicazione"}],"about":[{"href":"https:\/\/www.gt-engineering.it\/fr\/wp-json\/wp\/v2\/types\/pubblicazione"}],"author":[{"embeddable":true,"href":"https:\/\/www.gt-engineering.it\/fr\/wp-json\/wp\/v2\/users\/1"}],"version-history":[{"count":2,"href":"https:\/\/www.gt-engineering.it\/fr\/wp-json\/wp\/v2\/pubblicazione\/50209\/revisions"}],"predecessor-version":[{"id":51808,"href":"https:\/\/www.gt-engineering.it\/fr\/wp-json\/wp\/v2\/pubblicazione\/50209\/revisions\/51808"}],"up":[{"embeddable":true,"href":"https:\/\/www.gt-engineering.it\/fr\/wp-json\/wp\/v2\/pubblicazione\/49611"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.gt-engineering.it\/fr\/wp-json\/wp\/v2\/media\/49010"}],"wp:attachment":[{"href":"https:\/\/www.gt-engineering.it\/fr\/wp-json\/wp\/v2\/media?parent=50209"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}