Sécurité fonctionnelle — Famille IEC 61508 / EN 50129 / ISO 26262

Qu'est-ce que Functional Safety ?

Les tests de sécurité fonctionnelle garantissent qu'une fonction de sécurité présente le comportement sûr attendu dans des situations de défaillance dangereuses ; Il s'agit d'une évaluation vérifiée par des critères tels que la tolérance aux pannes matérielles, la couverture des diagnostics et le temps de réaction aux erreurs. Selon le secteur, la norme IEC 61508, EN 50129 ou ISO 26262 s'applique.

Objectif de Functional Safety

L'objectif est de prouver à la fois par analyse et par expérimentation que la fonction de sécurité répond au niveau d'intégrité attribué (SIL ou ASIL).

À quels produits Functional Safety s'applique-t-il ?

Signalisation ferroviaire et contrôle des freins
Systèmes de contrôle de sécurité industrielle
Unités de commande électroniques automobiles
Instrumentation de sécurité des procédés

Dans quels secteurs Functional Safety est-il utilisé ?

DemiryoluÉlectriqueÉlectroniqueCybersécurité

Normes relatives à Functional Safety

IEC 61508 serisi
EN 50129
EN 50128 / EN 50657
ISO 26262 serisi
IEC 61511
EN 50155équipements électroniques dans les véhicules ferroviaires test
EN 50121compatibilité électromagnétique dans les applications ferroviaires test
EN 45545sécurité incendie dans les véhicules ferroviaires test
IEC 61373vibrations et chocs dans les équipements des véhicules ferroviaires test

Conditions de Functional Safety

niveau d'intégrité: SIL 1–4 (IEC 61508 / EN 50129) veya ASIL A–D (ISO 26262)
Métriques matérielles: Taux de pannes dangereuses, couverture des diagnostics, tolérance aux pannes matérielles
Injection de défauts: Vérification sécurisée des réponses en injectant des modes de défaillance définis dans le système
Logiciel: Les exigences en matière de processus de développement et de validation augmentent avec le niveau

Équipement pour Functional Safety

Schéma de test d'injection de défauts
Plateforme de test matériel/logiciel in-the-loop (HIL)
Logiciels d'analyse (FMEDA, FTA)
Système d'enregistrement de mesures et de chronométrage

Exigences d'échantillon pour Functional Safety

La fonction de sécurité et l'état sûr doivent être définis
Le niveau d’intégrité doit être attribué
La liste des modes de défaillance et les mécanismes de diagnostic doivent être documentés
La nécessité d'une évaluation indépendante est déterminée par le niveau

Durée de Functional Safety

Généralement 2 à 6 mois selon la couverture et le niveau.

Procédure de Functional Safety

1La fonction de sécurité, l'état sûr et le niveau d'intégrité sont définis.
2Une analyse des modes de défaillance et de leurs effets (FMEDA) est effectuée.
3La couverture des diagnostics et les mesures matérielles sont calculées.
4Des expériences d'injection de fautes sont appliquées.
5Le temps de réaction aux erreurs est mesuré.
6Les preuves sont recueillies dans le rapport sur la situation en matière de sécurité.

Critères d'acceptation de Functional Safety

Les critères d'acceptation sont les exigences quantitatives et qualitatives données pour le niveau d'intégrité attribué dans la norme appliquée.

Évaluation des résultats

Le niveau d'intégrité n'appartient pas à une étiquette de produit, mais à une fonction de sécurité spécifique et à un contexte défini. Le même matériel peut fournir différents niveaux dans une application différente. Il est essentiel de lire le manuel de sécurité pour quelles fonctions et hypothèses le certificat est délivré.

Rapport de Functional Safety

Fonction de sécurité et définition de l'état sûr
Niveau d'intégrité attribué
Résultats FMEDA et couverture du diagnostic
Expériences d'injection d'erreurs et temps de réponse
Hypothèses et restrictions d’utilisation

Accréditation

EUROLAB détient une accréditation internationalement reconnue obtenue auprès des organismes d'accréditation parties aux accords de reconnaissance multilatérale de l'IAF et de l'ILAC, selon ISO/IEC 17025 pour les tests en laboratoire, ISO/IEC 17020 pour l'inspection et la surveillance, et ISO/IEC 17021-1 et ISO/IEC 17065 pour la certification des systèmes et des produits. Cette chaîne garantit que les rapports et certificats délivrés sont acceptés dans le monde entier.

La possibilité de proposer ce test dans le cadre d'une accréditation dépend de votre produit et de la norme appliquée ; l'accréditation étant méthodologique, le périmètre est confirmé par écrit au stade du devis.

Portée et autorisations

Règlements connexes

Sécurité des machines, sécurité ferroviaire et législation industrielle

Demiryolu Testleri — Que couvre ce domaine d'essai ?

La section ci-dessous décrit le domaine auquel appartient l'essai Functional Safety ; les conditions et critères d'acceptation de cet essai figurent dans les sections ci-dessus. Le périmètre propre à votre produit est confirmé par écrit au stade du devis.

Les essais ferroviaires montrent que les véhicules et composants fonctionnent de manière sûre et fiable dans l'environnement ferroviaire. Le caractère de cette famille découle de l'HYPOTHÈSE D'UNE LONGUE DURÉE DE VIE : un véhicule ferroviaire est conçu pour une durée de service dépassant trente ans, et ses composants restent soumis aux vibrations, aux cycles de température et à un usage intensif pendant toute cette période.

La longue durée de vie façonne également la chaîne d'approvisionnement des composants. Les pièces de rechange doivent rester disponibles pendant trente ans, les composants électroniques mis hors production doivent être remplacés, et chaque substitution doit être revérifiée. Cela sort le ferroviaire d'une logique de « certifier une fois et continuer ».

La sécurité incendie est la partie la plus strictement réglementée du domaine et relève de la série EN 45545. La logique de la série repose sur le LIEU D'UTILISATION et la CATÉGORIE D'EXPLOITATION : un métro circulant en tunnel et un train interurbain ne présentent pas le même risque, et le tissu de siège et le câble ne sont pas évalués dans la même catégorie. Le temps d'évacuation est le facteur principal déterminant ces catégories ; l'évacuation étant plus longue dans un tunnel fermé, les exigences de matériaux deviennent plus strictes.

Pour les équipements électroniques, l'EN 50155 est la norme cadre et regroupe les exigences environnementales, électriques et fonctionnelles : variations de tension d'alimentation, classes de température, humidité, vibration et choc. Côté vibration et choc, les catégories de l'EN 61373 sont utilisées et diffèrent selon le lieu de montage — un boîtier monté sur la caisse et un capteur monté sur le bogie ne subissent pas le même profil.

Pour la compatibilité électromagnétique, la série EN 50121 s'applique et traite un problème propre au ferroviaire : le système de traction commute à très haute puissance et peut affecter à la fois les systèmes embarqués et la signalisation le long de la voie. La série comporte donc des parties distinctes pour le véhicule, les installations en bord de voie et la signalisation.

Pour les systèmes liés à la sécurité, un domaine distinct s'applique, et ici la preuve n'est pas l'essai mais le PROCESSUS : l'EN 50126 (RAMS), l'EN 50128 (logiciel) et l'EN 50129 (systèmes électroniques liés à la sécurité) définissent le cycle de vie de sécurité et les niveaux d'intégrité de sécurité (SIL). Les systèmes de signalisation et de commande de freinage sont évalués dans ce cadre.

Du côté qualité, le référentiel propre au secteur IRIS (ISO/TS 22163) entre en jeu ; les grands constructeurs de matériel roulant exigent ce certificat de leurs fournisseurs.

Du côté de la structure mécanique, la caisse et le châssis du bogie ont leurs propres normes : vérification structurelle sous charges statiques et de fatigue, qualité des soudures et résistance au crash. Ces essais sont réalisés sur des bancs à échelle réelle et peuvent durer des mois.

Groupes de méthodes dans ce domaine

Sécurité incendie
Classification des matériaux et composants selon l'EN 45545 ; ensemble d'exigences selon la catégorie d'exploitation et de conception.
Équipement électronique
Exigences environnementales et électriques EN 50155 ; coupures d'alimentation, classes de température, humidité et degré de protection.
Vibration et choc
Catégories EN 61373 ; profils caisse, bogie et essieu selon le lieu de montage.
Compatibilité électromagnétique
La série EN 50121 : parties distinctes pour le véhicule, les installations en bord de voie et la signalisation.
Cycle de vie de sécurité
EN 50126 RAMS, EN 50128 logiciel et EN 50129 systèmes liés à la sécurité ; détermination du SIL et dossier de sécurité.
Vérification structurelle
Charges statiques et de fatigue sur la caisse et le châssis du bogie, qualité des soudures, résistance au crash.

Confusions fréquentes dans ce domaine

Les exigences de l'EN 45545 varient selon le lieu d'utilisation et la catégorie d'exploitation ; il n'existe pas de « classe feu ferroviaire » unique.
La conformité à l'EN 50155 ne couvre pas les exigences de vibration ; l'EN 61373 est appliquée en complément.
Un rapport CEM civil n'est pas suffisant pour le ferroviaire ; la série EN 50121 définit un environnement et des limites différents.
Pour les systèmes liés à la sécurité, l'essai seul ne constitue pas une preuve ; des enregistrements du cycle de vie de sécurité sont requis.
Un changement de composant (même dû à l'obsolescence) nécessite une nouvelle vérification ; dans les projets à longue durée de vie, c'est un travail routinier.
Un certificat IRIS n'est pas une approbation de produit ; c'est un certificat de système de management de la qualité.

Quelles décisions ces résultats étayent

Approbation du véhicule et des composants, processus d'acceptation de l'exploitant
Sélection des matériaux selon la catégorie de sécurité incendie
Le dossier de sécurité et les preuves SIL pour les systèmes liés à la sécurité
Certification qualité de la chaîne d'approvisionnement
Continuité de l'approvisionnement en composants et gestion du changement

Tests associés

Questions fréquentes sur Functional Safety

Un composant certifié SIL va-t-il automatiquement SIL mon système ?

Non. Le niveau d’intégrité appartient à la fonction de sécurité. Le niveau du système n'est prouvé que si les hypothèses et les restrictions d'utilisation du manuel de sécurité du composant sont respectées.