Une électrovanne avec niveau SIL est une appellation d’achat courante pour une vanne accompagnée de preuves de sécurité fonctionnelle destinées à son utilisation dans une fonction instrumentée de sécurité, ou SIF. À proprement parler, la vanne ne confère pas son SIL à la boucle complète. La CEI définit le SIL comme une propriété d’une fonction de sécurité ; le niveau atteint dépend donc de l’ensemble de la fonction installée et de ses contrôles sur tout le cycle de vie (CEI, 2022).
Cette distinction modifie la question à poser lors de l’achat. Ne demandez pas seulement : « Cette vanne est-elle SIL 2 ou SIL 3 ? » Demandez quelle configuration exacte de la vanne a été évaluée, quelle action de sécurité elle réalise, quelles données de défaillance et restrictions s’appliquent et comment elle contribue au calcul allant du capteur à l’élément final.
Points clés
- La CEI définit quatre SIL, mais le SIL appartient à la fonction de sécurité et non à une vanne isolée.
- Vérifiez ensemble le PFDavg ou le PFH, les contraintes architecturales, la capacité systématique et le périmètre exact du certificat.
- Les tests périodiques révèlent les défaillances latentes couvertes ; ils ne corrigent ni un état de repli incorrect ni une architecture de système inadaptée.
L’interprétation utile repose sur les preuves : une électrovanne « capable SIL » peut convenir à une fonction jusqu’à un niveau donné dans des conditions documentées. Ce n’est pas la promesse universelle que tout circuit utilisant cette vanne atteindra la même réduction du risque.
Que signifie réellement « électrovanne avec niveau SIL » ?
La CEI 61508 définit quatre niveaux d’intégrité de sécurité, de SIL 1 à SIL 4, et précise que le SIL est une propriété d’une fonction de sécurité (CEI, 2022). Un certificat de vanne étaye donc un calcul de système ; il ne remplace ni le calcul, ni les règles d’intégration, ni la validation, ni la maintenance, ni la gestion des modifications.
Les fabricants utilisent plusieurs formulations qui se ressemblent mais ont des implications différentes :
| Formulation du fournisseur | Interprétation pratique | Ce que l’acheteur doit vérifier |
|---|---|---|
| Capable SIL | Le produit évalué peut être utilisé jusqu’à un SIL indiqué, sous des restrictions définies | modèle exact, fonction du circuit, capacité systématique, architecture et manuel de sécurité |
| Convient aux SIF SIL 2 ou SIL 3 | Le produit fournit des données et des restrictions pour une SIF visant ce niveau | la SIF complète respecte toujours le PFDavg/PFH, l’architecture et les exigences systématiques |
| Certifié CEI 61508 | Un certificat couvre un périmètre défini du produit et une capacité évaluée | organisme émetteur, révision du certificat, options couvertes et validité du manuel de sécurité associé |
| Éprouvé ou justifié par l’expérience antérieure | Des preuves d’application remplacent la certification du produit | service comparable, environnement de fonctionnement, historique des défaillances, contrôle des modifications et justification documentée |
La formulation exacte du certificat est importante. Emerson, par exemple, décrit sa série ASCO 327 comme « capable SIL », tandis que Bürkert indique que certaines fonctions monostables du type 6519 peuvent atteindre SIL 2 selon l’architecture du système de sécurité (Emerson ASCO Series 327, 2026 ; Bürkert Type 6519, 2026). Aucune de ces déclarations ne dit que toute installation atteindra automatiquement ce niveau.
Où l’électrovanne se situe-t-elle dans une SIF ?
Une SIF de l’industrie des procédés couvre normalement trois blocs fonctionnels : les capteurs, un solveur logique et les éléments finaux. La CEI 61511 précise que le SIS comprend tous les dispositifs nécessaires pour réaliser chaque SIF, des capteurs aux éléments finaux (CEI 61511-1, 2016). L’électrovanne n’est généralement qu’une partie de cette chaîne d’éléments finaux.
Prenons le cas d’un arrêt d’urgence qui doit fermer une vanne de procédé lorsque la pression dépasse un seuil de déclenchement :
- Un transmetteur détecte la condition du procédé.
- Le solveur logique de sécurité évalue le déclenchement.
- Un circuit de sortie modifie l’alimentation de l’électrovanne.
- L’électrovanne redirige ou met à l’échappement l’air de l’instrument.
- L’actionneur pneumatique se déplace.
- La vanne de procédé atteint la position sûre définie.
- Un retour de position, lorsqu’il est requis, confirme le résultat.
La limite des éléments finaux peut aussi inclure le câblage, les borniers, les alimentations, les filtres d’air de pilotage, les tubes, les boosters, les dispositifs d’échappement rapide, les silencieux et les tringleries mécaniques. Un échappement obstrué, une pression de pilotage faible, une mauvaise fonction du tiroir ou un actionneur grippé peuvent empêcher l’arrêt même lorsque la bobine du solénoïde fonctionne correctement.
Pour le fonctionnement courant des orifices et de la bobine, utilisez le guide distinct sur la commande de l’air comprimé par les électrovannes pneumatiques. L’examen de sécurité fonctionnelle commence une fois ce fonctionnement de base compris.
Mesures cibles de défaillance pour les niveaux SIL 1, SIL 2, SIL 3 et SIL 4
Les quatre bandes SIL couvrent chacune une décade de mesure de défaillance cible. Pour les fonctions de sécurité à faible demande, la CEI 61508 utilise le PFDavg ; pour les fonctions à forte demande ou continues, elle utilise le PFH par heure. Les plages ci-dessous s’appliquent à la fonction de sécurité complète et non à une vanne générique isolée (CEI, 2022 ; manuel de sécurité SIL ABB, 2025).
| SIL | PFDavg à faible demande | Bande approximative du facteur de réduction du risque | PFH à forte demande ou en continu |
|---|---|---|---|
| SIL 1 | au moins 10⁻² et inférieur à 10⁻¹ | supérieur à 10 jusqu’à 100 | au moins 10⁻⁶ et inférieur à 10⁻⁵ par heure |
| SIL 2 | au moins 10⁻³ et inférieur à 10⁻² | supérieur à 100 jusqu’à 1 000 | au moins 10⁻⁷ et inférieur à 10⁻⁶ par heure |
| SIL 3 | au moins 10⁻⁴ et inférieur à 10⁻³ | supérieur à 1 000 jusqu’à 10 000 | au moins 10⁻⁸ et inférieur à 10⁻⁷ par heure |
| SIL 4 | au moins 10⁻⁵ et inférieur à 10⁻⁴ | supérieur à 10 000 jusqu’à 100 000 | au moins 10⁻⁹ et inférieur à 10⁻⁸ par heure |
Ce sont des bandes cibles et non des étiquettes industrielles. Une usine chimique n’est pas automatiquement SIL 2, et une application énergétique n’est pas automatiquement SIL 3. L’analyse des dangers et l’évaluation des risques définissent l’action de sécurité et la réduction du risque requises. La conception doit ensuite démontrer que la fonction complète respecte cette exigence.
N’affectez pas la totalité du budget PFDavg à l’électrovanne. Les capteurs, le solveur logique et chaque élément du chemin d’arrêt contribuent au total. Le calcul du projet doit préciser la méthode d’allocation, les taux de défaillance, les intervalles d’essai, les hypothèses de réparation, la couverture diagnostique, les hypothèses de cause commune et la durée de mission.
Quatre vérifications des preuves d’aptitude de la vanne
Une SIF doit satisfaire plusieurs contrôles numériques. Les recommandations actuelles d’exida identifient trois exigences de conception de la CEI 61511 : PFDavg ou PFH, contraintes architecturales et capacité systématique ; l’aptitude à l’application est une vérification d’ingénierie supplémentaire (exida, 2025). Le seul calcul PFDavg ne suffit pas.
1. Quelles données de défaillance matérielle aléatoire s’appliquent ?
Demandez les taux de défaillance dangereuse détectée et non détectée, les données de défaillance sûre lorsque c’est pertinent, les hypothèses de diagnostic, la durée de vie utile et la source des données. Confirmez si les valeurs proviennent d’une FMEDA, d’une analyse des retours terrain, de preuves d’utilisation antérieure ou d’une autre méthode documentée.
Le PFDavg dépend de bien plus que du taux de défaillance annoncé. L’intervalle du test périodique, sa couverture, les diagnostics, le temps de réparation, l’architecture de vote et les hypothèses de cause commune peuvent modifier le résultat. Utilisez les conditions du manuel de sécurité au lieu de recopier un chiffre d’une page commerciale.
2. Quelle contrainte architecturale s’applique ?
La tolérance aux défauts matériels, ou HFT, décrit le nombre de défauts matériels qui peuvent être tolérés avant la perte de la fonction de sécurité. La fraction de défaillances sûres, ou SFF, est utilisée dans une voie d’évaluation architecturale. Aucun de ces indicateurs n’est un score autonome de fiabilité, et une valeur SFF ne peut pas dépasser 100 %.
Ajouter une deuxième électrovanne ne produit pas automatiquement un SIL 3. Une architecture 1oo2 peut réduire la probabilité d’une défaillance dangereuse pour une action d’arrêt, mais elle peut augmenter les déclenchements intempestifs et introduire l’air de pilotage, l’alimentation, l’échappement ou la contamination partagés comme chemins de cause commune. Une architecture 2oo2 se comporte encore différemment. Les exigences de sécurité doivent définir le vote et la réponse aux défauts prévus.
3. Quelle capacité systématique est prise en charge ?
La capacité systématique couvre la conception, la spécification, la fabrication, les logiciels lorsqu’ils sont présents, la documentation et les contrôles du cycle de vie que les calculs de défaillances aléatoires ne peuvent pas saisir. Vérifiez la capacité systématique du certificat, la révision du produit, les restrictions et le processus de modification approuvé.
4. La vanne convient-elle au service réel ?
Les données de sécurité fonctionnelle ne remplacent pas les limites de pression, de température, de fluide, de débit, de service électrique, de protection contre la pénétration, de zone dangereuse ou de matériau. Une vanne qualifiée utilisée en dehors de ses conditions de fonctionnement évaluées ne conserve pas les hypothèses associées à ses données de défaillance.
La revue la plus rapide d’un certificat est une correspondance en quatre points : code de commande exact, action de sécurité exacte, enveloppe de fonctionnement exacte et hypothèses de maintenance exactes. Une brochure de famille qui ne correspond qu’à la marque et au nom de série laisse trop d’incertitude dans le dossier de conception de la SIF.
Comment la fonction de la vanne et son état hors tension influencent-ils la sécurité ?
Le type 6519 de Bürkert couvre trois fonctions directionnelles, 3/2, 5/2 et 5/3, mais sa déclaration SIL 2 est limitée aux fonctions de circuit monostables C, D et H spécifiées et reste dépendante de l’architecture (Bürkert Type 6519, 2026). Le nombre d’orifices ou une interface de montage NAMUR ne peuvent donc pas, à eux seuls, définir l’état sûr du procédé.
Commencez par le résultat requis pour le procédé :
- La vanne de procédé doit-elle fermer, ouvrir, rester en position ou être mise à l’échappement ?
- Que doit-il se passer après une perte de l’alimentation électrique ?
- Que doit-il se passer après une perte de l’air de l’instrument ?
- Une pression piégée, un silencieux obstrué ou un booster peuvent-ils empêcher le mouvement ?
- Le rappel par ressort est-il disponible et déplace-t-il la vanne de procédé dans la direction requise ?
- Le système doit-il détecter l’échec du mouvement ou seulement commander l’action ?
Le déclenchement par mise hors tension est courant, car la perte d’alimentation lance l’action de sécurité, mais il n’est pas universellement plus sûr. Un déclenchement par mise sous tension peut être justifié pour un autre danger. La décision doit figurer dans la spécification des exigences de sécurité, avec le temps de réponse, la limite de fuite, la position finale, le comportement de réarmement et les exigences de diagnostic.
Une vanne 3/2 normalement fermée peut mettre à l’échappement un actionneur à rappel par ressort lorsqu’elle est hors tension. Une vanne 5/2 monostable peut amener un actionneur double effet dans une position définie. Une position centrale 5/3 peut bloquer, mettre à l’échappement ou mettre sous pression les orifices, et ces options créent des comportements en cas de défaut très différents. Le guide des électrovannes NAMUR explique l’interface mécanique et la limite de la fonction de circuit.
Une électrovanne standard peut-elle être utilisée dans une fonction instrumentée de sécurité ?
La qualification des équipements selon la CEI 61511 possède deux voies reconnues dans les recommandations actuelles d’exida : utiliser un dispositif certifié CEI 61508 pour la capacité requise ou documenter une justification par expérience antérieure (exida, 2025). Une vanne non certifiée n’est pas automatiquement interdite, mais une simple familiarité ou des essais fréquents ne constituent pas une preuve d’utilisation antérieure.
La justification par expérience antérieure doit être spécifique à l’application. Elle doit démontrer des conditions de service, des profils de fonctionnement, des environnements, des modes de défaillance et des contrôles organisationnels suffisamment comparables. Elle doit aussi s’appuyer sur un historique d’exploitation crédible, le signalement des défaillances, le contrôle de configuration et des preuves que les défauts systématiques pertinents sont maîtrisés de manière acceptable.
Cette voie peut être difficile lorsque les codes de commande ont changé, que les défaillances terrain n’ont pas été enregistrées de façon homogène, que les conditions de service ont varié ou que les produits retournés n’ont été analysés qu’à des fins de garantie. La certification simplifie souvent le dossier de preuves, mais un dispositif certifié doit tout de même faire l’objet d’une vérification d’application et d’un calcul complet de la SIF.
La décision d’achat doit donc distinguer trois questions :
- Le dispositif exact est-il qualifié par rapport aux exigences de défaillance systématique ?
- Ses données de défaillance matérielle aléatoire alimentent-elles correctement le calcul de la SIF ?
- L’architecture installée respecte-t-elle les contraintes requises et réalise-t-elle l’action sûre ?
Si une réponse manque, la mention « avec niveau SIL » sur un devis ne suffit pas.
Que maintiennent réellement les tests périodiques ?
Un complément de test périodique d’une électrovanne ASCO indique que l’intervalle d’essai ne doit pas dépasser celui utilisé dans le calcul de fiabilité de la SIF. Ses recommandations propres au produit préconisent une inspection physique annuelle et donnent cinq ans comme intervalle maximal d’inspection pour cette configuration documentée (Emerson, 2020). Ces valeurs ne sont pas des intervalles universels pour chaque vanne.
Les tests périodiques recherchent les défaillances dangereuses non détectées par les diagnostics automatiques. Une procédure utile définit :
- la configuration de vanne et l’action de sécurité couvertes ;
- la manière dont la SIF est contournée ou dont le procédé est protégé pendant l’essai ;
- la mise hors tension électrique et les contrôles de réponse pneumatique ;
- les critères d’acceptation du mouvement de l’actionneur et de la vanne de procédé ;
- la recherche de contamination, corrosion, humidité et orifices obstrués ;
- la couverture du test périodique utilisée dans le calcul PFDavg ;
- la remise en état, la suppression du contournement et la vérification indépendante ;
- l’enregistrement des défaillances et le retour dans les données de fiabilité.
Des essais plus fréquents peuvent réduire le temps pendant lequel une défaillance latente couverte reste cachée. Ils ne modifient pas la capacité systématique d’un produit, ne corrigent pas une architecture erronée et ne démontrent pas un mode de défaillance que la procédure n’exerce jamais. Un test de course partielle peut améliorer la couverture diagnostique de certains défauts de mouvement, mais il ne remplace pas un essai complet de l’action de sécurité requise.
Les modifications de maintenance comptent aussi. Le remplacement d’une bobine, d’un kit de joints, d’un connecteur, d’un lubrifiant ou d’une commande manuelle peut faire sortir l’ensemble de la configuration évaluée. Traitez les remplacements liés à la sécurité selon le processus de gestion des modifications du site et conservez le certificat, le manuel de sécurité et la procédure d’essai avec le dossier de l’équipement installé.
Limite entre les normes : CEI 61511, CEI 62061 et ISO 13849
La CEI 61511 traite des applications SIS de l’industrie des procédés, tandis que l’ISO 13849-1:2023 s’applique aux systèmes de commande liés à la sécurité des machines en modes de forte demande et continu, y compris à la technologie pneumatique. L’ISO exclut le fonctionnement à faible demande du périmètre de cette édition (CEI 61511-1, 2016 ; ISO 13849-1, 2023).
Définissez le contexte d’application avant de choisir la terminologie :
| Contexte d’application | Référentiel principal habituel | Expression habituelle de l’intégrité |
|---|---|---|
| Arrêt de procédé, déclenchement de brûleur, HIPPS ou isolement d’urgence | CEI 61511 dans le cadre de la CEI 61508 | SIL et PFDavg ou PFH |
| Protecteur de machine, prévention d’un mouvement dangereux ou décharge d’énergie pneumatique | ISO 13849-1 ou CEI 62061, selon les normes machines applicables | PL ou SIL, généralement avec des mesures de forte demande/continues |
| Atmosphère explosive | ATEX, IECEx ou règles nationales HazLoc | marquage de protection de l’équipement, et non intégrité de sécurité fonctionnelle |
La CEI 62061 précise les exigences de conception, d’intégration et de validation des systèmes de commande liés à la sécurité des machines et couvre désormais les technologies non électriques dans son périmètre (CEI 62061, 2026). Le guide d’intégration des vannes d’échappement de sécurité traite plus en détail du côté protection des machines.
Une homologation ATEX ou IECEx répond à une autre question : l’équipement convient-il à une atmosphère explosive définie ? Elle ne prouve pas que la vanne réalisera une fonction d’arrêt spécifiée avec l’intégrité requise. Le guide de spécification des vannes ATEX et HazLoc explique comment vérifier séparément ces marquages.
Que faut-il inclure dans une demande de prix pour une électrovanne SIL ?
Une demande de prix exploitable doit demander plus qu’un seul numéro SIL. Puisqu’une SIF doit respecter les exigences PFDavg/PFH, architecturales et systématiques, l’acheteur doit demander au moins dix champs de preuve avant d’approuver une substitution (exida, 2025). Cela évite de prendre une famille de produits largement certifiée pour une configuration installée approuvée.
| Champ de la demande de prix | Informations requises |
|---|---|
| Fonction de sécurité | ouvrir, fermer, mettre à l’échappement, maintenir ou isoler ; déclencheur et état sûr |
| Norme d’application | CEI 61511, CEI 62061, ISO 13849 ou autre norme applicable |
| Intégrité requise | SIL ou PL cible et mode de demande |
| Matériel exact | fabricant, série, code de commande complet, révision et accessoires |
| Périmètre du certificat | émetteur, numéro du certificat, modèles/options couverts et capacité systématique |
| Données de fiabilité | taux de défaillance, durée de vie utile, référence FMEDA ou du rapport d’évaluation |
| Architecture | 1oo1, 1oo2, 2oo2 ou autre ; diagnostics et maîtrise des causes communes |
| Conditions pneumatiques | pression d’alimentation, pression de pilotage minimale, débit, chemin d’échappement et qualité de l’air |
| Conditions électriques et environnementales | tension, facteur de marche, température, indice de protection et exigences de zone dangereuse |
| Test périodique | procédure, intervalle, couverture, limites d’acceptation et contrôles de remise en état |
Demandez aussi le manuel de sécurité à jour, et pas uniquement le certificat. Le manuel doit identifier les restrictions, le comportement en cas de défaillance, les exigences d’installation, les procédures de test périodique, les hypothèses de diagnostic et toute configuration qui invalide la déclaration évaluée.
Pour un remplacement, comparez les hypothèses avant les dimensions. Une vanne peut correspondre au montage NAMUR, à la taille des orifices et à la tension de bobine tout en échouant à la revue de sécurité parce que son chemin d’écoulement hors tension, sa pression de pilotage minimale, le périmètre de son certificat ou sa couverture de test périodique diffère de la conception approuvée.
Règle finale de sélection
Trois tests doivent concorder avant d’accepter une électrovanne dans une SIF : le dispositif exact doit être qualifié, ses données de défaillance doivent s’intégrer au calcul PFDavg ou PFH et l’architecture installée doit réaliser l’action sûre spécifiée. Un certificat peut étayer ces trois revues, mais il ne peut pas les effectuer à la place du concepteur ou de l’exploitant.
Consignez les preuves dans la spécification des exigences de sécurité, le calcul de vérification, la liste des dispositifs, les plans d’installation et la procédure de test périodique. Validez ensuite l’action complète installée dans des conditions réalistes d’alimentation électrique, d’air, de charge et d’environnement. C’est ce qui transforme un composant capable en élément d’une fonction de sécurité défendable.
FAQ sur les électrovannes avec niveau SIL : que doivent vérifier les acheteurs ?
La CEI définit quatre SIL, mais les acheteurs doivent encore vérifier trois exigences de conception pour la SIF complète : PFDavg ou PFH, contraintes architecturales et capacité systématique. Ces cinq questions ferment les écarts les plus courants entre la déclaration d’un fournisseur « capable SIL » et une fonction de sécurité installée et validée (CEI, 2022 ; exida, 2025).
La CEI 61508 attribue-t-elle directement un SIL à une électrovanne ?
Pas au même sens qu’à une fonction de sécurité complète. La CEI indique que le SIL est une propriété de la fonction de sécurité. Une électrovanne peut avoir une capacité systématique évaluée, des données de défaillance et des restrictions architecturales qui la rendent utilisable jusqu’à un SIL donné, mais la SIF complète doit tout de même être calculée et validée.
Que signifie « capable SIL 3 » sur la fiche technique d’une vanne ?
Cela signifie que la vanne évaluée peut contribuer à une fonction de sécurité SIL 3 lorsque la configuration certifiée exacte, les limites de fonctionnement, la capacité systématique et les restrictions architecturales sont respectées. Cela ne signifie pas qu’une boucle 1oo1 atteint automatiquement SIL 3, ni que la totalité du budget PFDavg ou PFH est attribuée à cette vanne.
Une électrovanne non certifiée peut-elle être utilisée dans une SIF ?
Potentiellement, mais la CEI 61511 exige une voie de qualification défendable. Les recommandations actuelles d’exida identifient deux voies : certification CEI 61508 ou justification documentée par expérience antérieure. L’expérience antérieure exige un service comparable, un historique d’exploitation, des enregistrements de défaillance et un contrôle de configuration. La familiarité avec une vanne ou des essais fréquents ne suffisent pas à établir ces preuves.
Les tests périodiques augmentent-ils le niveau SIL d’une vanne ?
Non. Les tests périodiques peuvent révéler des défaillances dangereuses non détectées couvertes et réduire leur contribution au PFDavg lorsque l’intervalle et la couverture documentés sont utilisés dans le calcul. Ils n’augmentent pas la capacité systématique, ne suppriment pas les contraintes architecturales et ne testent pas les modes de défaillance absents de la procédure. L’intervalle appartient au plan de fiabilité de la SIF complète.
Une certification ATEX ou IECEx équivaut-elle à une capacité SIL ?
Non. ATEX et IECEx traitent de l’utilisation des équipements dans des atmosphères explosives spécifiées, tandis que les CEI 61508 et 61511 traitent de la sécurité fonctionnelle. Une vanne peut nécessiter les deux ensembles de preuves, mais l’un ne remplace pas l’autre. Vérifiez séparément le marquage de zone dangereuse, le certificat de sécurité fonctionnelle et la conception de la SIF installée.
Sources et références techniques
- CEI. Vue d’ensemble de la CEI 61508 et de la sécurité fonctionnelle. Définition du SIL, bandes de réduction du risque, limite de la fonction de sécurité et concepts de cycle de vie. Consulté le 27 juillet 2026.
- CEI. CEI 61511-1:2016. Exigences de spécification, conception, installation, exploitation et maintenance des SIS de l’industrie des procédés. Consulté le 27 juillet 2026.
- CEI. CEI 62061:2021 avec amendements de 2024 et 2026. Cadre des systèmes de commande liés à la sécurité des machines. Consulté le 27 juillet 2026.
- ISO. ISO 13849-1:2023. Systèmes de commande liés à la sécurité des machines, y compris la technologie pneumatique. Consulté le 27 juillet 2026.
- Bürkert. Électrovanne type 6519. Déclaration conditionnelle SIL 2 pour des fonctions de circuit monostables spécifiées. Consulté le 27 juillet 2026.
- Emerson. ASCO Series 327. Classification propre au produit selon la CEI 61508 et capacité SIL. Consulté le 27 juillet 2026.
- Emerson. Instructions de test périodique des électrovannes ASCO. Objet, intervalle et procédure de test périodique propres au produit. Consulté le 27 juillet 2026.
- exida. Comment une SIF atteint sa cible SIL. PFDavg/PFH, contraintes architecturales et capacité systématique. Consulté le 27 juillet 2026.
- exida. Justification par expérience antérieure. Qualification des équipements par certification ou preuves d’utilisation antérieure. Consulté le 27 juillet 2026.
- ABB. Manuel de sécurité SIL EL3000/EL3060. Bandes de référence PFDavg et PFH et terminologie de l’intégrité de sécurité. Consulté le 27 juillet 2026.