Sûreté de fonctionnement, RAMS et sécurité fonctionnelle (EN 50126, EN 50129, IEC 61508) : audit, conseil, formation et assistance technique pour le naval et le ferroviaire

Cadre réglementaire et normatif de la sûreté de fonctionnement

RAMS, sécurité fonctionnelle et niveaux d'intégrité

La sûreté de fonctionnement regroupe quatre attributs : la fiabilité, la disponibilité, la maintenabilité et la sécurité, désignés ensemble par l'acronyme RAMS. La sécurité fonctionnelle en est une part : elle traite des fonctions de sécurité réalisées par des systèmes électriques, électroniques ou programmables, et des défaillances qui les empêcheraient de jouer leur rôle. La norme IEC 61508, intitulée « Sécurité fonctionnelle des systèmes électriques/électroniques/électroniques programmables relatifs à la sécurité », en est le socle générique. Elle introduit les niveaux d'intégrité de sécurité (SIL), de 1 à 4, et décline ses exigences en matériel et en logiciel sur tout le cycle de vie.

Un SIL n'est pas une propriété qu'un produit possède en soi. C'est l'issue d'une analyse : des dangers sont identifiés, des objectifs de sécurité sont fixés, puis alloués aux fonctions et aux sous-systèmes. La démonstration que l'objectif est atteint appartient au demandeur, et elle est examinée par des tiers. C'est pourquoi nous n'écrivons jamais qu'un système est « SIL 4 » ou « conforme » avant que l'organisme compétent se soit prononcé.

Le référentiel ferroviaire

Dans le ferroviaire, la série EN 50126 organise le processus RAMS sur le cycle de vie : la partie 1 décrit le processus générique, la partie 2 l'approche systématique de la sécurité, dont l'allocation des exigences. La EN 50129 s'applique aux systèmes électroniques relatifs à la sécurité pour la signalisation, et la EN 50716 au développement des logiciels ferroviaires ; elle remplace la EN 50128 et la EN 50657. La EN 50129 a fait l'objet d'une nouvelle édition publiée en 2026 : nous vérifions pour chaque projet l'édition visée par le contrat. Ces normes sont privées. Elles s'imposent par renvoi d'un texte, par exemple une STI (spécifications techniques d'interopérabilité), ou par le contrat.

Sur le plan juridique, la sécurité ferroviaire repose sur les directives (UE) 2016/797 (interopérabilité) et 2016/798 (sécurité), et en France sur le décret n° 2019-525 du 27 mai 2019. La méthode de sécurité commune pour l'évaluation et l'appréciation des risques (CSM-RA), fixée par le règlement d'exécution (UE) n° 402/2013 modifié par le règlement d'exécution (UE) 2015/1136, impose au proposant d'un changement significatif de gérer les risques selon un processus défini, de tenir un registre des dangers et de faire évaluer sa démonstration par un organisme indépendant. Ce règlement reste cité comme référence par les textes français et par l'ERA.

Le référentiel naval et offshore

Le naval ne dispose pas d'une norme unique de sûreté de fonctionnement comparable. Les exigences viennent de plusieurs sources : la convention SOLAS (Safety Of Life At Sea, convention internationale pour la sauvegarde de la vie humaine en mer) et les autres textes de l'Organisation maritime internationale ; les règles des sociétés de classification, qui précisent, selon la société et la notation visée, les exigences d'analyse de défaillance, de redondance et d'essais pour les systèmes essentiels ; les normes électrotechniques comme la série IEC 60092 pour les installations électriques des navires et IEC 61892 pour les unités offshore ; enfin le contrat du donneur d'ordre. La IEC 61508 est utilisée comme référence pour les systèmes programmables de sécurité lorsque le contrat ou les règles de la société de classification s'y réfèrent.

En France, l'administration chargée de la sécurité des navires fixe le cadre des titres de sécurité, et les sociétés de classification habilitées par l'État délivrent, en son nom, les certificats pour les navires concernés. Les règles de classification sont propres à chaque société et protégées : nous ne les reproduisons pas et nous les lisons dans l'édition retenue par le client.

Démonstration de sécurité et évaluation indépendante

Ce que contient un dossier de sécurité

Un dossier de sécurité relie une chaîne de preuves : la définition du système et de ses limites d'emploi, l'identification des dangers, les exigences de sécurité, les choix de conception, la vérification et la validation, la gestion de la qualité et de la configuration, puis les conditions d'exploitation et de maintenance qui préservent le niveau atteint. Les méthodes courantes sont l'analyse préliminaire des risques, l'AMDEC (analyse des modes de défaillance, de leurs effets et de leur criticité), l'arbre de défaillances, l'estimation de fiabilité à partir de lois statistiques et l'analyse de couverture des essais. Aucune ne suffit seule, et leur valeur tient à la traçabilité entre elles.

Le logiciel exige une attention particulière. La EN 50716 et la IEC 61508 demandent, selon le niveau visé, des méthodes de développement, de vérification et de test proportionnées, une traçabilité des exigences jusqu'aux tests et des règles de codage. Les règles de programmation comme MISRA C, par exemple, restreignent l'usage du langage pour réduire les constructions à risque, sans constituer une démonstration en elles-mêmes.

Qui évalue, et qui ne peut pas conseiller

Dans le ferroviaire, la mise en service d'une installation fixe suppose un dossier de sécurité accompagné d'un rapport d'un organisme d'évaluation de l'analyse des risques et de rapports d'organismes d'évaluation de la conformité. Ces organismes sont des tiers indépendants. Le décret n° 2019-525 interdit aux organismes d'évaluation de la conformité de s'impliquer dans la conception, la fabrication, la construction ou la commercialisation de ce qu'ils évaluent. Le rôle d'évaluateur de sécurité indépendant des normes CENELEC est distinct de l'organisme d'évaluation de la CSM-RA : il n'a pas de statut légal propre. Dans les transports guidés urbains, l'évaluation relève d'organismes qualifiés, agréés ou accrédités, auprès du STRMTG (Service technique des remontées mécaniques et des transports guidés).

Dans le naval, les plans sont approuvés et les certificats délivrés par la société de classification ou l'administration du pavillon. Que le projet soit civil ou militaire, la même règle s'applique : celui qui conseille ou conçoit ne peut pas évaluer le même projet. Pour les programmes de défense, les exigences d'habilitation et de contrôle des exportations sont fixées par le donneur d'ordre.

Enjeux pour un constructeur, un exploitant ou un sous-traitant

Un constructeur doit prouver que son produit répond à un besoin de sécurité, avec des preuves qu'un tiers pourra relire. Un exploitant doit intégrer ce produit à son système de gestion de la sécurité et le maintenir dans son domaine d'emploi. Un sous-traitant, bureau d'études ou fournisseur de composants, répond à des exigences descendantes : données de fiabilité, analyses de sous-système, traçabilité logicielle. Les coûts d'un dossier fragile se mesurent en délais d'autorisation, en reprises et en immobilisations, bien plus qu'en budget d'étude.

Les systèmes de bord posent des questions voisines. Une perte de propulsion, d'énergie, de gouverne ou de détection incendie engage la sécurité du navire et la continuité de son service. Les analyses de défaillance, les architectures redondantes et les essais de basculement doivent être cohérents avec les règles de classification retenues et avec les attentes de l'armateur ou de l'exploitant.

Cycle de vie, maintenance et retour d'expérience

La démonstration ne s'arrête pas à la mise en service. Les hypothèses de fiabilité et de maintenabilité d'un dossier deviennent des engagements d'exploitation : périodicité des contrôles, pièces de rechange, procédures de dépannage, compétences des équipes. Si l'exploitation réelle s'en écarte, le niveau de sécurité démontré n'est plus celui que l'on croit. Le retour d'expérience, les statistiques de pannes et l'analyse des événements alimentent donc la mise à jour des analyses, et les modifications de conception passent par une analyse d'impact sur la sécurité avant tout déploiement.

Sûreté de fonctionnement et cybersécurité

Un système programmable connecté peut perdre sa fonction de sécurité par une atteinte à la cybersécurité autant que par une panne. Les deux démarches doivent être articulées : la série IEC 62443 pour les systèmes industriels et, dans le naval, les exigences de cyber-résilience des sociétés de classification apportent leurs propres analyses de risques. Nous les traitons comme des entrées du dossier de sécurité, sans confondre leur périmètre avec celui de la sécurité fonctionnelle.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

• Nous réalisons des analyses RAMS : analyse préliminaire des risques, AMDEC, arbres de défaillances, fiabilité et disponibilité, allocation d'exigences.
• Nous rédigeons ou structurons des pièces de dossier de sécurité, avec une traçabilité des dangers jusqu'aux essais, que votre équipe relit et dont vous restez responsable.
• Nous conseillons sur la stratégie de démonstration et sur le choix des référentiels.
• Nous revoyons des dossiers et nous préparons des audits blancs avant leur examen par l'organisme indépendant.
• Nous apportons une assistance technique au forfait ou en récurrent, sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis. Une formation peut compléter l'ensemble.

Ce que nous ne faisons pas

Optédif n'est ni évaluateur de sécurité indépendant, ni organisme d'évaluation de l'analyse des risques, ni organisme notifié ou désigné, ni société de classification, ni entité en charge de la maintenance, ni entreprise ferroviaire ou gestionnaire d'infrastructure. Nous ne délivrons aucune autorisation, certification, approbation ou habilitation, et nous n'attribuons pas de niveau d'intégrité de sécurité à la place du demandeur.

Les rapports d'évaluation indépendants exigés pour une autorisation sont établis par des organismes accrédités ou reconnus. Nous conseillons et accompagnons le demandeur, nous préparons des dossiers présentables à ces organismes et nous ne réalisons aucune évaluation indépendante. Un audit, une revue ou un audit blanc d'Optédif ne vaut pas évaluation indépendante. De même, les plans sont approuvés et les certificats délivrés par la société de classification ou l'administration du pavillon, et nous ne nous substituons jamais à elles.

Lorsque nous avons conseillé ou conçu sur un projet, nous ne travaillons pas pour l'organisme évaluateur de ce projet. Nous ne mettons pas de personnel à disposition de nos clients, nous n'affectons aucun intervenant à une tâche critique pour la sécurité ferroviaire, et nous n'engageons ni la sécurité d'une circulation, ni la classe d'un navire, ni la conformité d'un produit ou d'un dossier de sécurité.

Références officielles

• EUR-Lex : règlement d'exécution (UE) n° 402/2013 (CSM-RA)
• ERA : note explicative sur l'organisme d'évaluation de la méthode de sécurité commune
• EUR-Lex : directive (UE) 2016/798 relative à la sécurité ferroviaire
• EPSF : décret n° 2019-525, version consolidée au 1er avril 2026
• IEC : sécurité fonctionnelle et IEC 61508
• Organisation maritime internationale : sécurité maritime
• Ministère chargé de la mer : sécurité et transition écologique des navires