Distance de sécurité d’une barrière immatérielle selon ISO 13855 : le demi-mètre qui manquait après F_WD_TIME

La barrière n’a pas bougé. C’est la limite du sûr qui a bougé.

Sur un SIMATIC S7-1500F configuré dans TIA Portal V18, le paramètre F_WD_TIME a été augmenté d’environ 150 ms à environ 500 ms. Ce n’est pas forcément une erreur. Le temps de surveillance PROFIsafe n’est pas une valeur magique valable partout. Il doit coller à la vraie configuration : cycles de la F-CPU, communication, appareils F, architecture PROFIsafe.

Le problème commence quand on traite cette modification comme une simple correction réseau, sans regarder son impact sur la fonction de sécurité complète. Dans ce cas, la distance de sécurité d’une barrière immatérielle a dû être recalculée selon ISO 13855. Et le verdict a été brutal : il manquait plus d’un demi-mètre.

Ne cherchez pas dans les valeurs 150 ms et 500 ms une recette prête à l’emploi. Elles sont arrondies pour décrire le cas. Ce ne sont pas des réglages universels recommandés par Siemens.

La revalidation a mis le sujet sur la table. Une mesure du temps d’arrêt a établi le temps réel de disparition du mouvement dangereux. Le calcul du temps de réaction maximal a intégré la configuration actuelle du système safety. En combinant correctement les deux valeurs, puis en recalculant la distance minimale selon ISO 13855, la conclusion est tombée : la barrière immatérielle de sécurité était trop proche de la zone dangereuse.

La formule donne l’échelle du problème : S = (K × T) + C. Si le temps total T augmente de 350 ms, alors avec K = 1600 mm/s, la distance exigée augmente de 560 mm. Attention : l’écart de réglage de F_WD_TIME ne se reporte pas forcément un pour un dans le temps total. C’est précisément pour cela qu’il faut calculer et mesurer toute la fonction, pas seulement commenter une valeur dans TIA Portal.

Sur la machine, il n’y avait pas ces 560 mm. Impossible de reculer la barrière. Il a donc fallu changer de moyen de protection : remplacement par un protecteur mobile interverrouillé avec verrouillage, reconstruction des parties du système de commande relatives à la sécurité, et définition d’un PLr = d pour les nouvelles fonctions de sécurité.

F_WD_TIME à 500 ms : mauvaise valeur ou conséquence mal évaluée ?

La réaction terrain est prévisible :

→ « Qui augmente un watchdog de 150 à 500 ms ? »
→ « C’est un paramètre lié à une fonction de sécurité. »
→ « Est-ce qu’on n’essaie pas de masquer un problème de communication ? »

Ce sont de bonnes questions. Elles sont même nécessaires. Mais aucune ne répond au vrai sujet : la barrière est-elle encore placée à la bonne distance ?

La bonne question n’est pas : « 500 ms, est-ce trop ? » La bonne question est : qu’est-ce que cette modification de F_WD_TIME a fait au temps de réaction maximal et à la distance de sécurité d’une barrière immatérielle ?

Pourquoi F_WD_TIME n’a pas une seule valeur correcte

F_WD_TIME n’a pas une valeur correcte unique pour toutes les installations. Trop court, il peut provoquer la passivation d’appareils F alors que la communication fonctionne sans défaut réel. Sur une architecture plus chargée, les cycles F-CPU, les temps réseau, les appareils F et le profil PROFIsafe pèsent lourd.

On peut donc avoir un 150 ms mal choisi et un 500 ms justifié. On peut aussi avoir un 150 ms parfaitement cohérent et un 500 ms totalement injustifié. La valeur seule ne prouve rien.

Le principe décrit par Siemens est double : le temps de surveillance doit être assez long pour ne pas être dépassé en fonctionnement sans erreur, mais assez court pour ne pas dépasser le temps de sécurité du procédé. Autrement dit : améliorer la disponibilité machine ne suffit pas. Il faut démontrer que la machine réagit encore assez vite.

Le vrai danger n’est pas le watchdog en lui-même. Le vrai danger, c’est de changer le watchdog et de continuer à s’appuyer sur les anciens calculs, l’ancien procès-verbal et l’ancienne distance.

Distance de sécurité d’une barrière immatérielle : pourquoi ne pas revenir simplement à 150 ms ?

C’est la première idée. Elle est saine :

« Si la barrière devient trop proche avec 500 ms, remettons 150 ms. »

Si la valeur courte reste compatible avec la configuration PROFIsafe réelle, c’est peut-être la meilleure solution. Inutile de reconstruire une machine pour conserver un watchdog inutilement allongé.

Mais si 150 ms ne laisse plus assez de marge pour les cycles F-CPU, les appareils F et la communication actuelle, le retour arrière ne règle rien. Il améliore le résultat du calcul, oui. Mais il enterre la cause du changement.

La règle est simple : la distance dépend du temps de réaction. On ne choisit pas le temps de réaction en fonction de la place disponible dans l’atelier.

Avant de changer de moyen de protection, il faut donc vérifier plusieurs pistes : F_WD_TIME peut-il être réduit ? Les autres composantes du temps de réaction peuvent-elles être raccourcies ? Le temps d’arrêt mécanique peut-il être amélioré ? Si la réponse est non, il reste deux options : reculer la barrière ou changer de concept de protection.

Mesure du temps d’arrêt et calcul du temps de réaction : quand 350 ms deviennent 560 mm

À ce stade, on peut encore discuter configuration. Le 150 ms était-il acceptable ? Le 500 ms était-il nécessaire ? Peut-on optimiser le cycle ou améliorer la communication ?

La réponse solide vient d’une validation cohérente. Le calcul du temps de réaction maximal montre le comportement de la partie commande, y compris dans les scénarios de défaut retenus. La mesure du temps d’arrêt montre la disparition réelle du mouvement dangereux. Les frontières entre ces deux valeurs doivent être claires. Sinon on oublie un morceau, ou on le compte deux fois.

Un essai typique lancé par l’interruption de la barrière, communication saine, valide le chemin de réaction normal. Il n’intègre pas forcément l’attente liée à F_WD_TIME. Si le watchdog intervient dans le pire cas de réaction, son impact doit être démontré par le calcul des temps du système safety, puis raccordé à la mesure d’arrêt mécanique.

Dire « la machine s’est arrêtée » ne suffit pas. La vraie question est : s’est-elle arrêtée avant que l’opérateur puisse atteindre le danger ?

Comment calculer la distance de sécurité d’une barrière immatérielle selon ISO 13855 ?

ISO 13855 transforme le temps en distance :

S = (K × T) + C

Si les autres composantes ne changent pas, l’effet d’un écart de temps total peut être illustré ainsi :

ΔS = K × ΔT

Ici, ΔT désigne l’écart entre deux calculs du temps de réaction maximal. Ce n’est pas automatiquement l’écart entre deux réglages F_WD_TIME. La valeur K = 2000 mm/s montre seulement l’effet mathématique. Le bon cas de calcul, la valeur C et les conditions associées se choisissent selon ISO 13855, en fonction de l’approche, de la capacité de détection et de l’application. Pas selon le résultat qui arrange.

On ne choisit pas un K plus favorable parce que la machine est trop proche du mur. On ne rogne pas non plus cette marge à coups d’arrondis optimistes. La distance calculée doit exister physiquement entre le champ de détection et la zone dangereuse.

Quel résultat de mesure faut-il retenir ?

Un seul essai ne suffit pas. Dans l’annexe informative de l’édition d’ISO 13855 utilisée dans ce cas, la méthode indique au moins 10 mesures. Elles doivent être réalisées dans des conditions identifiées comme conduisant au temps réaliste le plus long de disparition du danger : vitesse, charge, phase de cycle, température, état des composants d’arrêt, selon la machine.

Quel résultat retenir ? Pas le plus joli. Pas la moyenne confortable. Pas celui qui sauve la barrière existante.

Selon cette méthode, on retient pour le calcul la plus grande de deux valeurs : le temps mesuré le plus long, ou la moyenne augmentée de trois écarts-types.

Il faut aussi surveiller les limites de mesure. Si l’appareil mesure tout le temps depuis l’actionnement du dispositif de protection jusqu’à l’arrêt du mouvement, il ne faut pas rajouter les mêmes composantes depuis un calculateur. Si la mesure ne couvre que la partie mécanique de l’arrêt, le temps calculé de la partie amont doit être ajouté.

Le calcul et la mesure ont conduit à la même conclusion pratique : il fallait plus d’un demi-mètre de distance supplémentaire. Et dans l’atelier, ce demi-mètre n’existait pas.

La barrière immatérielle de sécurité fonctionnait. Il a quand même fallu la supprimer

Dit comme ça, cela semble contradictoire. La barrière détectait l’opérateur. Elle déclenchait l’arrêt. Elle n’était pas « en panne ».

Mais une barrière immatérielle ne retient personne physiquement. Elle détecte une entrée et demande à la machine de s’arrêter. Toute la logique tient dans une condition : le mouvement dangereux doit avoir disparu avant que la personne atteigne la zone dangereuse.

Quand cette condition n’est plus démontrée, le fait que la barrière fonctionne électriquement ne suffit plus.

Pourquoi le manque de place impose parfois un autre concept de protection

Que faire quand le calcul demande 560 mm de plus, mais que l’implantation ne les donne pas ?

ISO 12100 impose de revenir au processus itératif de réduction du risque. D’abord, réexaminer les mesures intrinsèquement sûres : réduire le temps de réaction, réduire le temps d’arrêt, supprimer ou diminuer le danger. Si cela ne suffit pas, il faut choisir une mesure technique de protection adaptée aux conditions réelles.

Le manque de place ne change pas le résultat ISO 13855.

Dans le cas analysé, le principe de protection a changé. La barrière, qui détectait l’entrée dans la zone, a été remplacée par un protecteur transparent destiné à empêcher cette entrée.

Les panneaux transparents permettaient de conserver la visibilité du procédé. Mais un panneau transparent n’est pas un accessoire esthétique. Sa construction, sa résistance et sa fixation doivent être évaluées selon ISO 14120. Il ne doit pas créer de nouveaux points d’écrasement, ni d’arêtes dangereuses. Les possibilités d’atteindre la zone par-dessus, par-dessous ou à travers doivent être analysées avec ISO 13857.

Pourquoi utiliser un protecteur mobile interverrouillé avec verrouillage ?

Il restait un besoin d’accès pour l’exploitation et la maintenance. Pourquoi ne pas utiliser un simple protecteur interverrouillé ?

Parce que l’ouverture d’un protecteur interverrouillé déclenche l’arrêt, mais n’empêche pas nécessairement l’ouverture immédiate. Si le mouvement dangereux met du temps à disparaître, l’opérateur peut atteindre la zone avant l’arrêt effectif.

Le verrouillage ne se décide pas seulement parce qu’il existe un temps d’arrêt. Il se décide en comparant le temps de disparition du danger avec le temps nécessaire pour accéder à la zone, puis avec le résultat de l’appréciation du risque.

Dans ce cas, le protecteur devait rester fermé depuis la demande d’accès jusqu’à la disparition du risque. Ensuite seulement, le système pouvait libérer le verrouillage et autoriser l’ouverture. Le choix du dispositif de verrouillage, le maintien verrouillé et les mesures contre le contournement relèvent notamment d’ISO 14119.

Remplacer une barrière par un protecteur mobile interverrouillé avec verrouillage n’est pas un échange de composants. C’est une nouvelle logique de sécurité :

→ arrêt du mouvement après demande d’accès ;
→ prévention du démarrage avec protecteur ouvert ;
→ maintien verrouillé jusqu’à disparition du risque ;
→ déverrouillage uniquement après confirmation des conditions requises ;
→ prévention du redémarrage inattendu.

PLr = d : cela concerne la fonction de sécurité, pas le panneau

Pour chaque fonction identifiée, le PLr a été déterminé à partir de l’appréciation du risque. Dans ce cas, les fonctions destinées à assurer la réduction du risque ont été spécifiées avec PLr = d. Les SRP/CS ont ensuite été conçues pour atteindre un PL au moins égal au PLr, puis vérifiées et validées selon ISO 13849-1.

Ce point est souvent mal compris : le protecteur ne « vaut » pas PL d à lui seul. Le niveau concerne la fonction complète : capteur de position, état du verrouillage, logique de commande, sortie de sécurité, élément d’arrêt, comportement au défaut. Le marquage d’un interrupteur ne prouve jamais le PL de l’ensemble.

Au final, une seule modification de paramètre a entraîné un nouveau moyen de protection, de nouvelles fonctions de sécurité, une modification du programme F et une validation complète.

Et cela amène la question qui fâche : l’entité qui a réalisé la transformation reste-t-elle simple utilisateur, ou prend-elle les obligations du fabricant ?

De la modification numérique à la modification substantielle

À première vue, la réponse paraît évidente. Barrière remplacée. Protecteur mobile interverrouillé avec verrouillage ajouté. Programme safety modifié. Nouvelles fonctions de sécurité. Le chantier est lourd, donc ce serait automatiquement une modification substantielle.

Pas si vite.

Le règlement Machines (UE) 2023/1230 ne compte pas les mètres de protecteurs ni les blocs modifiés dans le programme. Il regarde l’effet de la modification sur la sécurité.

Comment lire les critères du règlement (UE) 2023/1230 ?

Pour ce type de cas, il faut examiner ensemble les points suivants :

→ une modification physique ou numérique a-t-elle été réalisée après la mise sur le marché ou la mise en service ?
→ cette modification était-elle prévue ou planifiée par le fabricant ?
→ a-t-elle créé un nouveau danger ou augmenté un risque existant ?
→ a-t-elle nécessité l’ajout d’un protecteur ou d’un dispositif de protection ?
→ le fonctionnement de cette mesure a-t-il nécessité la modification d’un système de commande relatif à la sécurité existant ?

La seule modification de F_WD_TIME ne suffit pas à conclure. Mais elle peut déclencher toute la chaîne si l’appréciation du risque le confirme.

Dans le cas décrit, le point de départ était une modification numérique sur une machine déjà en service. La revalidation a montré que la distance existante ne garantissait plus la réduction du risque attendue. Il était impossible de restaurer la sécurité en reculant la barrière. Le nouveau protecteur mobile interverrouillé avec verrouillage exigeait une reconstruction des fonctions réalisées par le système safety.

La chaîne ressemble donc à ceci :

modification numérique → augmentation du risque → nouveau moyen de protection → modification du système safety existant

Il reste toutefois un point à ne jamais inventer : le fabricant avait-il prévu ou planifié cette variante ? Si oui, elle peut relever d’une configuration prévue dans l’appréciation du risque, la documentation et les instructions d’origine. Si non, et si les autres critères sont remplis, le cas peut être qualifié de modification substantielle.

Quand l’auteur de la modification prend-il les obligations du fabricant ?

Si tous les critères sont remplis, l’article 18 du règlement (UE) 2023/1230 considère la personne physique ou morale qui réalise la modification substantielle comme fabricant aux fins du règlement. Les obligations portent sur la machine ou le produit connexe touché par la modification. Pour un ensemble de machines, elles portent sur le produit affecté dans la mesure démontrée par l’appréciation du risque.

Ce n’est pas seulement « refaire une analyse ». Les obligations peuvent inclure la documentation technique, la procédure d’évaluation de la conformité, la déclaration UE de conformité, le marquage CE, les instructions, l’identification, et la conservation de la documentation technique et de la déclaration UE de conformité pendant au moins 10 ans.

Le règlement est entré en vigueur le 19 juillet 2023, mais ses dispositions principales relatives à la modification substantielle s’appliquent à partir du 20 janvier 2027. Une transformation réalisée avant cette date ne se qualifie pas rétroactivement avec ces articles. Il faut appliquer les règles en vigueur au moment de la modification.

La directive 2006/42/CE ne contenait pas de définition juridique de la modification substantielle. La pratique parlait parfois de modernisation importante. Le guide de la Commission demandait surtout d’évaluer si la transformation revenait, en substance, à construire une nouvelle machine.

Pour approfondir le test juridique, voir notre article Modification substantielle : quand se produit-elle réellement ?. Vous pouvez aussi passer par une vérification des critères de modification substantielle.

Jusqu’où va le périmètre de la modification substantielle ?

Après les mots « obligations du fabricant », deux réflexes opposés apparaissent souvent.

Premier réflexe : « Il faut refaire l’évaluation de conformité de toute la ligne. »

Deuxième réflexe : « On a seulement remplacé la barrière par une porte, donc on documente uniquement la porte et son verrouillage. »

Les deux peuvent être faux.

Le considérant 26 du règlement explique que la personne réalisant une modification substantielle ne devrait pas être obligée de répéter des essais ni de produire une nouvelle documentation pour les machines ou produits connexes faisant partie d’un ensemble de machines qui ne sont pas affectés par la modification.

Mais cela ne réduit pas les obligations pour la machine ou le produit réellement touché.

Le périmètre ne se déduit ni du nom du projet, ni de la limite de l’armoire électrique, ni de l’emplacement du nouveau protecteur. Il se démontre par l’appréciation du risque.

Il faut donc vérifier bien plus que la porte :

→ quelle partie de la ligne s’arrête à l’ouverture du protecteur ;
→ si les limites des zones d’arrêt ont changé ;
→ si d’autres machines peuvent continuer un mouvement dangereux ;
→ où se trouve le réarmement et ce que l’opérateur voit depuis ce point ;
→ si un redémarrage inattendu est possible après fermeture ;
→ si une personne peut rester coincée entre le protecteur et la zone dangereuse ;
→ si la modification affecte les interfaces entre machines.

Si l’appréciation du risque démontre que la modification substantielle affecte seulement une machine ou un produit connexe dans un ensemble, l’article 18 permet de limiter les obligations du fabricant à ce produit. En revanche, si l’accès commun, l’arrêt, le réarmement, le redémarrage ou la communication entre zones ont changé, il est intenable de dire que la modification concerne seulement « une porte ».

Machine isolée ou système de production intégré ?

Si l’installation est un système de production intégré composé d’au moins deux machines interconnectées pour une application déterminée, l’analyse doit aussi intégrer la logique d’ISO 11161. Des machines individuelles peuvent être conformes et correctement protégées, puis générer un nouveau risque dès qu’on modifie un moyen de protection commun ou une interface safety.

La vraie question est donc : jusqu’où la modification agit-elle sur les fonctions, les zones et les interfaces de sécurité ?

Quels documents et preuves mettre à jour ?

Pour les machines ou produits connexes non affectés dans un ensemble, il n’est pas nécessaire de répéter les essais ni de créer une nouvelle documentation. Pour le produit affecté, les anciennes preuves peuvent être réutilisées si elles restent pertinentes et à jour. Mais l’ensemble documentaire doit démontrer de manière cohérente la conformité du produit soumis aux obligations du fabricant.

Il ne s’agit pas toujours de repartir d’une page blanche. Il faut en revanche produire un dossier technique complet et cohérent pour le produit concerné : preuves conservées, preuves mises à jour, justification du périmètre, effets sur les interfaces, validation des fonctions.

La limite des obligations du fabricant ne se situe pas au bord du nouveau protecteur. Elle se situe là où l’impact de la modification s’arrête — et cet arrêt doit être démontré.

Vous changez un paramètre safety ? Revérifiez toute la chaîne

Changer F_WD_TIME ne signifie pas automatiquement refaire toute la documentation depuis zéro. Mais si cette modification conduit à une modification substantielle, le dossier technique doit couvrir la machine ou le produit dont la sécurité est affectée.

Un ancien procès-verbal de mesure du temps d’arrêt peut rester un bon enregistrement historique. Il ne valide pas automatiquement la distance après modification du programme safety.

Chaque preuve répond à une question différente. Le RT Calculator aide à calculer les temps de réaction. La mesure du temps d’arrêt montre la disparition réelle du mouvement. ISO 13855 transforme le temps en distance. L’appréciation du risque décide si les mesures assurent encore la réduction du risque attendue.

Aucune de ces preuves ne remplace les autres.

Chaque modification d’un paramètre lié au temps de réaction devrait donc laisser une trace claire : raison de la modification, configuration avant/après, calculs, mesures, appréciation du risque, décision de conception, rapport de validation.

Laisser une trace : du paramètre modifié à la validation

Le RT Calculator de Siemens aide à calculer le temps de réaction. Il ne dit pas pourquoi la modification a été acceptée, ni quelles conséquences elle a déclenchées sur la machine entière.

Cette chaîne de décision doit être structurée. Un logiciel d’appréciation du risque machines peut aider à conserver l’historique des changements, les justifications, les actions correctives et les preuves de validation. C’est moins spectaculaire qu’un nouveau protecteur. Mais quand il faut expliquer une décision trois ans plus tard, c’est ce qui sauve le dossier.

Conclusion : la barrière n’a pas bougé, mais la preuve de sécurité a changé

Ce cas ne prouve pas que F_WD_TIME = 500 ms est une mauvaise valeur. Il prouve quelque chose de plus important : une modification de paramètre qui influence le temps de réaction peut rendre obsolètes les hypothèses de sécurité précédentes.

La chaîne était simple :

modification de F_WD_TIME → nouveau temps de réaction maximal → distance ISO 13855 plus grande → manque de place → nouveau protecteur mobile interverrouillé avec verrouillage → modification du système safety

Avec K = 1600 mm/s, 350 ms de temps total supplémentaire représentent 560 mm de distance exigée. Ce résultat ne se réduit pas parce que l’atelier est trop court. Si l’on ne peut ni raccourcir le temps ni reculer la barrière, il faut changer de concept de protection.

La modification du watchdog ne suffit pas, à elle seule, à qualifier une modification substantielle. Mais elle peut déclencher une chaîne qui en remplit les critères : modification numérique après mise sur le marché ou mise en service, non prévue par le fabricant, augmentation du risque, ajout d’un nouveau moyen de protection, modification d’un système de commande relatif à la sécurité existant.

La question la plus importante n’est donc pas : « Avait-on le droit d’augmenter F_WD_TIME ? »

Elle est beaucoup plus directe :

Après cette modification, la machine a-t-elle été recalculée, mesurée et validée ? Si la réponse repose encore sur l’ancien procès-verbal et sur l’idée que « la barrière n’a pas bougé », le problème a déjà commencé.

Sources et références utilisées

Siemens

SIMATIC Safety — configuration des temps de surveillance ; SIMATIC STEP 7 Safety Advanced — RT Calculator ; SIMATIC Safety — temps de réaction des fonctions de sécurité ; exemple de fonction safety via IWLAN pour TIA Portal V18 ; acceptation système SIMATIC Safety et vérification des temps.

Droit de l’Union européenne

Règlement (UE) 2023/1230 ; considérant 26 du règlement (UE) 2023/1230 ; guide de la directive 2006/42/CE.

Normes utilisées dans l’analyse

ISO 12100 — appréciation et réduction du risque ; ISO 13855 — positionnement des moyens de protection ; ISO 14119 — dispositifs d’interverrouillage associés aux protecteurs ; ISO 14120 — conception et construction des protecteurs ; ISO 13857 — distances empêchant l’accès aux zones dangereuses ; ISO 13849-1 — conception des parties des systèmes de commande relatives à la sécurité ; ISO 11161 — systèmes de production intégrés.

Avant d’utiliser une norme, il faut vérifier l’édition applicable au projet, sa publication nationale et la base actuelle de présomption de conformité.