Contrôle-commande, supervision, MES et pilotage des unités de production : audit, conseil, formation et assistance technique pour la chimie

Le cadre normatif et réglementaire du contrôle-commande

Sécurité fonctionnelle et systèmes instrumentés de sécurité

Le contrôle-commande d'une unité chimique ne relève pas d'un texte unique. Ce sont d'abord les textes sur les installations classées qui s'appliquent : sur un site à risque d'accident majeur, l'exploitant identifie les éléments et les mesures importants pour la sécurité, parmi lesquels figurent des fonctions réalisées par des automates, et il en maintient la performance dans le temps. Les arrêtés ministériels du 4 octobre 2010 et du 26 mai 2014 constituent le socle de cette démarche, et la base AIDA de l'INERIS en donne les versions suivies.

Pour les fonctions instrumentées de sécurité, la référence technique est l'IEC (International Electrotechnical Commission, Commission électrotechnique internationale) 61511, déclinaison pour l'industrie de procédé de la norme générique IEC 61508. Elle distingue le système de conduite du système instrumenté de sécurité, impose une analyse des risques, la spécification des fonctions, leur vérification, leur test périodique et la gestion de leurs modifications. Selon la fiche de l'IEC, l'ensemble « IEC 61511:2026 SER » regroupe les parties existantes de la norme (la partie 1 dans sa version consolidée avec l'amendement de 2017) et ne constitue pas une nouvelle édition technique. Le niveau d'intégrité de sécurité retenu reste démontré par l'exploitant et par le concepteur du système.

Machines, atmosphères explosives et équipements

Le contrôle-commande s'insère dans des équipements soumis à d'autres textes. En zone à atmosphère explosive, les appareils relèvent de la directive 2014/34/UE et le classement des zones, de la directive 1999/92/CE, déclinée dans le code du travail ; les normes de la série NF (norme française) EN (norme européenne) 60079 guident le choix des protections, par exemple la sécurité intrinsèque pour les boucles d'instrumentation. Les machines et ensembles automatisés relèvent aujourd'hui de la directive 2006/42/CE, que le règlement (UE) 2023/1230 remplace à compter du 20 janvier 2027, avec des exigences renforcées sur les systèmes de commande. Pour un équipement existant, l'exploitant décide avec ses prestataires des vérifications à mener.

Cybersécurité industrielle et NIS 2

Un système de conduite connecté à un système d'information est exposé aux mêmes menaces que lui, avec des conséquences physiques en plus. La série de normes IEC 62443 définit des exigences de cybersécurité pour les systèmes d'automatisation et de contrôle industriels, en répartissant les responsabilités entre exploitant, intégrateur et fournisseur de produits. L'ANSSI indique que la fabrication, la production et la distribution de produits chimiques figurent parmi les secteurs concernés par la directive NIS 2 (Network and Information Security 2, directive européenne sur la sécurité des réseaux et des systèmes d'information), dont la transposition en France est en cours. Nous n'indiquons aucune date d'application, et nous renvoyons aux pages de l'ANSSI (Agence nationale de la sécurité des systèmes d'information). Ses guides sur la classification des systèmes industriels ne sont pas normatifs, sauf disposition réglementaire contraire. Le sujet est traité dans notre domaine consacré à la cybersécurité des systèmes industriels.

Les systèmes de conduite entrent enfin dans des démarches d'entreprise : audits clients, exigences des donneurs d'ordre, certifications de management. Un auditeur qui visite une salle de contrôle regarde la documentation à jour, les droits d'accès, les sauvegardes testées et la maîtrise des modifications. Ces éléments se préparent bien avant la visite, au fil du travail quotidien des équipes d'automatismes.

De l'instrument à l'entreprise : architectures et standards

Niveaux d'automatisation, MES et intégration

La norme ISA-95 (norme d'intégration des systèmes d'entreprise et de contrôle de production), publiée aussi sous la référence IEC 62264, organise l'intégration entre les systèmes de gestion de l'entreprise et le contrôle de fabrication. Selon la page de l'ISA, elle décrit des niveaux allant du procédé physique (niveau 0) et de la mesure (niveau 1) à la supervision (niveau 2), à la gestion des opérations de fabrication (niveau 3, où se place le MES) et à la planification de l'entreprise (niveau 4). L'interface entre les niveaux 3 et 4 en est le centre. Cette grille sert à discuter des responsabilités de chaque système, des flux d'ordres, de consommations et de résultats, et à éviter qu'un MES ne duplique des fonctions déjà tenues par l'ERP (Enterprise Resource Planning, progiciel de gestion intégré) ou par la supervision.

Pour la fabrication par lots, la norme ISA-88, reprise sous la référence IEC 61512, fournit un vocabulaire commun : recettes, modèle physique de l'installation, commande de procédure. Elle sépare la recette de l'équipement, ce qui facilite la modification d'une formule sans réécrire la logique des équipements. Les plateformes de gestion de lots et de MES du marché s'en réclament, avec des degrés d'adhésion variables qu'il convient d'évaluer.

Alarmes, interfaces et programmation

La gestion des alarmes est un sujet de sécurité autant que d'ergonomie. La norme ISA-18.2 décrit un cycle de vie : philosophie documentée, identification et rationalisation des alarmes, mise en œuvre, maintenance et gestion des modifications, suivi des performances. Elle a été reprise au niveau international par l'IEC 62682, et le guide britannique EEMUA 191 reste une référence de pratique. Une base d'alarmes surchargée masque les événements utiles et accroît la charge des opérateurs en situation dégradée. Les interfaces opérateur obéissent à des principes voisins, que la série ISA-101 formalise : hiérarchie des écrans, usage mesuré de la couleur, représentation des valeurs en contexte.

La programmation des automates est encadrée par l'IEC 61131-3, qui définit les langages (schéma à contacts, blocs fonctionnels, texte structuré, diagramme fonctionnel en séquence). Au-delà du langage, ce sont les standards du site qui comptent : nommage, structure, bibliothèques, commentaires, gestion des versions et des sauvegardes.

Une architecture de conduite réussie répond à des critères simples : disponibilité adaptée à l'enjeu du procédé, redondance là où l'arrêt coûte cher, séparation entre fonctions de conduite et de sécurité, évolutivité et support suffisant sur la durée. À l'inverse, les systèmes qui ont grandi par ajouts successifs cumulent des versions hétérogènes, des passerelles non documentées et des dépendances à des personnes plutôt qu'à des procédures. L'audit d'architecture sert à mettre ces sujets à plat avant qu'un incident ne le fasse.

Réseaux de terrain, interopérabilité et données

Sur le terrain coexistent des protocoles d'âges variés : signal analogique avec communication HART (Highway Addressable Remote Transducer, protocole de communication pour instruments de terrain), bus de terrain comme PROFIBUS, PROFINET ou FOUNDATION Fieldbus, Modbus, Ethernet industriel. L'OPC UA, architecture indépendante des plateformes, orientée services, avec chiffrement, signature des messages et authentification par certificats d'après l'OPC Foundation, est devenu un moyen courant d'échanger les données entre automates, supervisions, historiens et MES. Les historiens conservent les mesures sur de longues durées : leur configuration, leur compression et leur horodatage conditionnent la valeur des analyses faites ensuite sur les lots et les dérives.

Enjeux d'un exploitant et rôles des acteurs

Gestion des modifications et obsolescence

Les modifications d'un système de conduite sont l'un des points les plus sensibles d'un site chimique : une consigne changée, un verrouillage contourné, un seuil d'alarme déplacé peuvent modifier le comportement d'une unité. L'exploitant décrit donc une procédure : demande, analyse de risque, validation par le procédé et la sécurité, essais, mise en service, mise à jour de la documentation. L'obsolescence aggrave le problème : un matériel sans support, un système d'exploitation ancien ou un logiciel dont l'éditeur a disparu rendent chaque évolution plus risquée et la remise en route après une panne plus incertaine.

Les grandes plateformes de DCS, de supervision, de gestion de lots et de MES proposent des fonctions très proches sur le papier, avec des différences réelles de philosophie : plateforme intégrée d'un seul constructeur ou assemblage de briques ouvertes, ingénierie centralisée ou par ensemble, licences par points d'entrée-sortie ou par fonctions. Le bon choix dépend des compétences disponibles, de l'existant, de la durée de support attendue et du coût total sur dix à quinze ans, plus que de la liste des fonctions. Nous évaluons ces critères avec vous, sans préférence de marque.

Qualité des données et traçabilité des lots

Un MES est utile lorsque les données de fabrication sont fiables : recettes, paramètres, consommations, résultats de contrôle, événements. En fabrication par lots, la traçabilité des matières et des paramètres répond aux exigences des clients et sert à rechercher les causes d'une dérive. Pour la chimie fine qui fabrique des substances actives, elle rejoint l'intégrité des données attendue par les bonnes pratiques de fabrication de la partie II du guide BPF, dont l'inspection relève de l'ANSM (Agence nationale de sécurité du médicament et des produits de santé). Les données doivent être attribuables, lisibles, simultanées, originales et exactes, ce qui se prépare dès la conception des systèmes.

La qualité des données se joue aussi à la périphérie : horloges synchronisées entre automates, supervision et historien, unités de mesure cohérentes, gestion des valeurs de substitution lors d'un défaut de capteur, rétention des événements. Un lot dont la courbe de température est horodatée avec un décalage ne peut pas être relu sérieusement après un incident.

Qui fait quoi

L'exploitant reste responsable de son système de conduite, de ses modifications et de sa mise en service. Le constructeur ou l'éditeur fournit des produits et en assure le support. L'intégrateur réalise l'ingénierie et la recette, le service instrumentation et automatismes maintient, et l'exploitation conduit. Un prestataire de conseil comme Optédif éclaire les choix, rédige, développe et forme, dans le cadre défini avec l'exploitant, sans prendre la place d'aucun de ces acteurs ni modifier un système en production de sa propre initiative.

Ce que nous faisons, et ce que nous ne faisons pas

Ce que nous faisons

Nous auditons des architectures de contrôle-commande, de supervision et de MES : réseaux, versions, sauvegardes, documentation, alarmes, obsolescence. Nous conseillons sur la cible d'automatisation et sur la stratégie MES, avec des critères de choix explicites. Nous rédigeons des analyses fonctionnelles, nous développons des programmes d'automates et des synoptiques selon les standards du site, nous préparons et conduisons les migrations par étapes, et nous formons vos équipes sur des plateformes d'essai.

Nous réalisons aussi des missions d'assistance technique, sous la responsabilité et l'encadrement d'Optédif, avec des livrables définis, au forfait ou en récurrent. Nos intervenants restent des salariés d'Optédif, qui organise leur travail ; sur site, ils respectent le plan de prévention et les consignes de l'exploitant, sans présence permanente dans ses équipes.

Ce que nous ne faisons pas

Nous ne signons aucun rapport de dimensionnement de niveau d'intégrité de sécurité et nous ne déclarons aucun système conforme à l'IEC 61511, à l'IEC 61508 ou à l'IEC 62443. Nous ne sommes pas un prestataire qualifié d'audit de sécurité, et nous ne promettons aucune conformité à NIS 2. Nous ne délivrons ni certification, ni habilitation, ni qualification, ni attestation, et nous ne modifions aucun système en production sans l'accord de l'exploitant et sans sa procédure de gestion des modifications. Les décisions d'architecture, de mise en service et d'exploitation restent celles de l'exploitant.