EN 60204-1 : les erreurs électriques banalisées

« Sur la deuxième, il faut régler autrement. » Deux lignes identiques fabriquent le même produit, mais exigent des consignes de température différentes. L’opérateur expérimenté sait quoi corriger. Il montre l’astuce au nouveau. Et lorsque celui-ci demande pourquoi deux machines identiques réagissent différemment, on lui explique qu’il faut « apprendre à connaître chacune ».

Voilà comment une mesure perturbée cesse d’être une panne à éliminer. Elle devient un savoir pratique transmis d’une équipe à l’autre. Le technologue corrige les paramètres, l’opérateur surveille le résultat et la production conclut que, finalement, cela fonctionne. Au lieu de réparer l’installation, on augmente les exigences imposées au personnel.

C’est l’un des effets les moins spectaculaires des erreurs touchant l’équipement électrique des machines. Rien ne doit forcément brûler. Aucun dispositif de protection ne doit nécessairement déclencher. Il suffit qu’un mauvais cheminement des câbles oblige chaque jour l’entreprise à consacrer davantage de temps au réglage, au contrôle et à la reprise du procédé. Le coût se dissout dans les heures de travail et finit par passer pour un coût normal de production.

Cela concerne directement l’EN 60204-1, bien davantage que l’aspect esthétique des goulottes dans l’armoire. Une erreur électrique peut modifier l’utilisation de toute la machine. Si elle impose des accès plus fréquents à une zone dangereuse, elle remet aussi en cause les hypothèses de l’évaluation des risques. Un réglage prévu une fois par mois et effectué toutes les heures n’est pas la même situation, même si la documentation emploie dans les deux cas le mot « réglage ».

D’autres convictions d’atelier suivent la même carrière. Le rouge de la colonne lumineuse doit signaler chaque arrêt parce que le responsable veut voir où la production ne tourne pas. On ne met pas de RCD avec les variateurs de fréquence parce qu’autrefois cela déclenchait. Personne ne demande quel est le schéma de liaison à la terre puisque la tension est correcte et que le conducteur de protection est raccordé.

Chaque réponse permet de clore rapidement une discussion gênante. Avec le temps, demander la justification technique finit même par être considéré comme un manque d’expérience. Or l’expérience sert précisément à distinguer une solution éprouvée d’une erreur que tout le monde a appris à contourner. Le numéro de norme inscrit dans la documentation ne tranche rien. Il faut examiner l’installation, suivre le fonctionnement des protections et regarder ce que les personnes font réellement autour de la machine. Surtout ce qu’elle n’était pas censée leur demander.

Le défaut le plus difficile à supprimer est celui qui a eu le temps de devenir une règle interne.

1. Le technologue règle le procédé que l’installation dérègle

Le technologue doit stabiliser la deuxième ligne. Il reçoit les températures affichées, les résultats de production et la possibilité de modifier les paramètres. Il choisit donc les consignes qui permettent d’obtenir le bon produit. Puisqu’il faut les corriger, il les corrige.

La cause réelle se trouve pourtant ailleurs : les câbles de mesure cheminent à côté des câbles moteurs des servomoteurs. Les perturbations pénètrent dans la chaîne de mesure du thermocouple, puis apparaissent sur l’écran sous la forme d’une température. Le même produit réclame des réglages différents, non parce qu’une nouvelle propriété du matériau aurait été découverte, mais parce que l’installation d’une ligne a été moins bien réalisée.

Le service méthodes a reçu un problème que l’électricien n’a pas laissé sur le schéma. Il l’a laissé dans la goulotte.

Le régulateur reçoit une mesure fausse et y réagit consciencieusement

Un thermocouple délivre une faible tension, convertie en température en tenant compte de la caractéristique du capteur et de la compensation de soudure froide. Si une perturbation fausse cette tension, le régulateur travaille avec une information erronée. Il augmente ou diminue le chauffage conformément à son algorithme, alors que la température réelle ne justifie pas cette réaction.

Le défaut de mesure commence ainsi à modifier le procédé lui-même. Une personne observe le résultat et corrige les consignes. Une régulation manuelle supplémentaire apparaît, alors qu’elle n’était pas prévue lors de l’achat de la ligne automatique. L’automatisme régule à partir d’une mauvaise mesure. Le technologue corrige ensuite l’automatisme. Dans la nomenclature, les deux systèmes de régulation figurent séparément : le premier comme automate, le second comme poste de travail.

La présence d’un nombre crédible à l’écran ne prouve presque rien. Une valeur perturbée peut rester dans la plage de mesure. Il n’y aura pas nécessairement d’alarme de rupture du thermocouple ni de message orientant clairement la maintenance vers l’installation. Deux schémas identiques n’excluent pas non plus une différence entre les lignes. Le schéma montre les connexions. La proximité physique des câbles, l’exécution des écrans et les liaisons équipotentielles doivent être vérifiées sur la machine.

« Pourtant, la norme autorise le cheminement commun »

Oui. Sous conditions. L’EN 60204-1, au paragraphe 13.1.3, autorise le cheminement côte à côte de conducteurs appartenant à des circuits différents, dans une même goulotte et même, dans certains cas, au sein d’un même ensemble. Mais cette disposition ne doit perturber le fonctionnement correct d’aucun circuit. Les exigences relatives à la séparation ou à l’isolation entre tensions différentes viennent ensuite.

Répondre que « l’isolation tient la tension » ne traite donc qu’une partie du problème. Les conducteurs n’ont pas besoin de provoquer un court-circuit pour que l’installation soit mauvaise. Il suffit qu’un circuit dégrade l’information nécessaire à un autre.

La compatibilité électromagnétique couvre à la fois l’émission des perturbations et l’immunité de l’équipement dans l’environnement de fonctionnement prévu. L’annexe informative H développe les moyens de réduction des perturbations : séparer les câbles de puissance et de signal, réaliser correctement les écrans, établir les liaisons équipotentielles et utiliser les câbles conformément aux prescriptions des fabricants.

Acheter un câble blindé ne règle donc pas automatiquement la compatibilité électromagnétique. Encore faut-il bien le cheminer et terminer correctement son écran.

Commençons par vérifier si la température a réellement changé

Avant de corriger une nouvelle fois la recette, il faut remettre en cause ce qui passait jusque-là pour une certitude : la fiabilité de l’indication. La première étape consiste à comparer l’affichage à une mesure de référence indépendante, en tenant compte du point de mesure et du temps de réponse des capteurs.

En parallèle, on enregistre le fonctionnement des entraînements. On recherche une corrélation entre leur activité et l’écart d’indication, pas simplement entre leur activité et l’évolution physique de la température : le mouvement de la machine peut réellement influencer le procédé. Il faut aussi contrôler la configuration de l’entrée et toute la chaîne de mesure.

Une fois ces éléments établis, un essai maîtrisé permet d’évaluer l’effet d’une modification du cheminement, du blindage ou des liaisons. On ne change pas simultanément la recette, sinon il devient impossible de séparer les effets.

Si la cause est une perturbation, la consigne particulière de la deuxième ligne ne prouve pas que le procédé a été correctement mis au point. Elle montre seulement qu’une manière de produire malgré l’erreur de mesure a été trouvée. Le prochain changement de conditions pourra imposer une nouvelle intervention.

La perturbation a obtenu sa propre consigne technologique. Désormais, on peut la reproduire avec la recette.

2. Une fois par mois dans l’évaluation, une fois par heure en production

« Le réglage a été pris en compte dans l’évaluation des risques. » C’est vrai. Une fois par mois. En réalité, l’opérateur l’effectue toutes les heures parce que le procédé ne tient pas ses paramètres sans corrections successives.

La tâche porte le même nom, donc la documentation semble cohérente. Mais supposons que l’intervention impose de passer derrière un protecteur, à proximité d’éléments chauds. Chaque correction supplémentaire signifie alors une exposition supplémentaire. La machine n’a même pas besoin d’autoriser un mouvement avec le protecteur ouvert pour que le problème devienne un sujet de sécurité. Elle devait demander un réglage occasionnel. Elle exige maintenant un sauvetage régulier de la production.

« Ce n’est qu’un capteur de procédé »

Voilà une manière commode de séparer la mesure de la sécurité. Le capteur ne réalise aucune fonction de sécurité, le relais fonctionne et l’ouverture du protecteur arrête les entraînements. Le défaut ne concernerait donc que la qualité.

Sauf que c’est précisément la mesure erronée qui fait revenir une personne plus souvent que prévu près de la machine. Un capteur ordinaire n’a pas besoin de commander un dispositif de protection pour invalider les conditions qui ont servi à choisir ce dispositif.

L’ISO 12100 relie la fiabilité des équipements à la réduction du nombre d’interventions et de l’exposition aux phénomènes dangereux. Ce lien couvre explicitement des fonctions autres que les fonctions de sécurité. Classer les composants en deux colonnes, « sécurité » et « procédé », ne dispense donc pas d’étudier les conséquences de leur fonctionnement.

Dans notre exemple, l’électricien a laissé une chaîne de mesure perturbée. Le technologue a trouvé des paramètres permettant de produire. L’opérateur accomplit les tâches supplémentaires. Chaque service a traité sa partie. Seule la fréquence d’exposition n’a pas de service attitré. Elle reste donc facilement sans propriétaire.

Si la justification d’une réduction suffisante du risque reposait sur un accès occasionnel, elle n’est plus valable lorsque l’intervention devient horaire. Ce n’est pas une question de date de révision. L’information sur laquelle reposait la conclusion a changé.

On ne convertit pas cela avec un multiplicateur magique. Un réglage dix fois plus fréquent ne produit pas automatiquement une valeur de risque dix fois supérieure. Il faut examiner ce que la personne fait, les phénomènes auxquels elle est exposée, la durée de l’exposition et la protection disponible. En revanche, conserver l’ancienne fréquence revient à évaluer consciemment d’autres conditions que celles du poste réel.

Le protecteur choisi pour la maintenance assure maintenant la production

Supposons qu’un protecteur fixe ait été retenu parce que l’accès devait rester rare. Pour une opération mensuelle, son démontage, l’intervention puis sa remise en place pouvaient s’intégrer à l’organisation prévue. Désormais, il faut répéter l’opération pendant tout le poste. Tôt ou tard, quelqu’un laisse le protecteur non fixé.

L’entreprise identifie alors un nouveau problème : le mauvais comportement des opérateurs. La goulotte reste inchangée. En revanche, l’opérateur reçoit une nouvelle formation.

Cela ne justifie pas le travail sans protection. Cela montre simplement où l’analyse des causes a été interrompue. L’ISO 12100 attire l’attention sur le lien entre un besoin d’accès croissant et la non-remise en place des protecteurs fixes. Dans cette situation, il faut choisir une autre solution de protection adaptée, et non réduire le problème à une question de discipline.

Il serait tout aussi absurde de conserver la mesure défectueuse et de s’occuper uniquement de faciliter l’ouverture de la machine. Il faut d’abord supprimer la cause des interventions inutiles, puis choisir les mesures de protection adaptées aux tâches qui resteront réellement nécessaires.

Tant que le défaut subsiste, l’évaluation et les moyens de protection doivent correspondre aux conditions de travail présentes, pas à la promesse d’une future réparation. Après correction de l’installation, on vérifie donc la stabilité de l’indication, mais aussi la disparition effective des corrections permanentes.

Une évaluation des risques prévue pour un réglage occasionnel ne fournit aucun alibi à une machine qui l’impose pendant tout le poste.

3. Rouge, parce que le responsable déteste les arrêts

« Si la machine s’arrête, elle doit passer au rouge. Je veux voir immédiatement où la production ne tourne plus. » L’automaticien reçoit une consigne claire. Il lui suffit de relier le voyant rouge à l’absence de mode automatique.

Fin de lot : rouge. Attente de matière : rouge. État dangereux : rouge aussi. La colonne lumineuse signale parfaitement le mécontentement du responsable. Pour informer l’opérateur, le résultat est moins brillant.

Une seule couleur, des actions contradictoires

En cas de manque de matière, la personne doit s’approcher et effectuer une opération prévue. En présence de certains états dangereux, elle doit agir immédiatement pour se protéger ou, au contraire, rester à distance. Si les deux situations sont signalées de la même façon, la couleur n’aide plus à reconnaître la réaction attendue.

C’est là le problème. Il ne s’agit pas d’avoir offensé une table de couleurs.

L’EN 60204-1 recommande un codage des voyants selon l’état de la machine. Dans le tableau 4, le rouge correspond à une situation d’urgence liée à un danger, le jaune à un état anormal et le bleu à une action obligatoire de l’opérateur. Le vert indique un état normal et le blanc fournit une information neutre.

« Ne produit pas » n’est pas une catégorie de danger. De même, « produit » ne confirme pas la sécurité. La fin d’un lot, la demande de chargement et l’avertissement relatif à un danger doivent être distingués. Les réduire à une condition commune — « l’automatisme ne fonctionne pas » — détruit précisément l’information utile.

On entend souvent que les opérateurs savent ce que signifie le rouge. Dans cet exemple, ils savent surtout que la couleur, à elle seule, ne signifie rien. Ils doivent déterminer s’il faut ajouter de la matière, retirer le produit ou ne pas approcher. Un signal très visible a été conçu, puis privé de toute signification distinctive.

Le responsable a parfaitement le droit de vouloir visualiser les arrêts. Il n’a pas besoin pour cela de réquisitionner toute la signalisation d’avertissement. L’information de production peut être séparée, décrite et hiérarchisée. Cela demande seulement davantage que d’affecter un voyant à un bit du programme.

Un STOP rouge à côté d’un E-STOP rouge

Sur un pupitre, le même problème apparaît en sens inverse : la personne ne reçoit plus un signal, elle doit choisir l’organe de commande approprié. Un STOP rouge ordinaire se trouve juste à côté d’un E-STOP rouge. Le concepteur connaît leur fonction. Pendant la réception, il appuie sur le bon bouton et confirme le fonctionnement. Autrement dit, il vérifie qu’il ne confond pas lui-même les commandes qu’il a lui-même placées. Difficile d’imaginer un essai plus favorable.

La norme autorise le rouge pour un STOP ordinaire, mais recommande de ne pas l’utiliser à proximité d’un organe destiné aux actions d’urgence. Pour l’arrêt ordinaire, le noir est préféré ; le gris et le blanc sont également admis dans cette recommandation. En revanche, l’association d’un élément rouge sur fond jaune est réservée aux actions d’urgence.

Il ne s’agit donc pas de déclarer tout STOP rouge non conforme. Il faut déterminer si, sur ce pupitre précis, l’identification du bon organe a été facilitée ou si une difficulté a été justifiée par l’habitude du personnel. La couleur, la forme, le fond, le marquage et l’emplacement doivent être considérés ensemble. Une différence visible sur le schéma ne suffit pas.

Si le STOP ordinaire permet de terminer une phase du procédé, l’actionner à la place de l’E-STOP déclenchera exactement cette séquence. Le PLC ne devinera pas que la personne voulait appuyer sur le bouton voisin.

Vérifions le sens, pas seulement l’allumage

Lors de la réception, il faut parcourir des états concrets : fin de lot, attente d’une intervention, anomalie du procédé et état dangereux. Pour chacun, on détermine ce que la personne voit, comment elle reconnaît la priorité et quelle action lui est demandée. Si plusieurs états surviennent simultanément, on vérifie que l’information de production ne masque pas l’avertissement.

Pour les boutons, la logique est identique : évaluer leur identification et leur accessibilité depuis le poste de travail, puis vérifier la réaction réelle de la machine. L’instruction doit expliquer une interface cohérente, pas réconcilier après coup les contradictions que la conception y a laissées.

Un essai des sorties du PLC confirme que la bonne lampe s’allume. Il ne confirme pas que cette lampe transmet la bonne information.

Le responsable peut fixer les priorités de production. La signification d’un signal de danger ne se négocie pas avec le programme du poste.

4. TT : la prise de terre existe. Mais qu’est-ce qui coupera l’alimentation ?

« Le conducteur de protection est raccordé. La continuité a été vérifiée. Le dispositif de protection est dimensionné pour la charge. » Cela semble complet, jusqu’à ce que l’on demande dans quel schéma de liaison à la terre la machine fonctionne et ce qui arrivera après un défaut d’isolement.

Prenons une machine raccordée à un réseau TT, dont la protection en cas de défaut repose uniquement sur un dispositif de protection contre les surintensités. Le choix a été repris d’anciens projets. Les conditions de coupure sur le nouveau site n’ont pas été vérifiées : la tension est bonne et la prise de terre existe.

Le fournisseur a copié le dispositif. Il n’a pas réussi à copier les conditions dans lesquelles celui-ci devait fonctionner.

Le courant ne disparaît pas dans la terre

Dans un réseau TN, le courant de défaut dispose d’un trajet métallique de retour, par les conducteurs de protection, jusqu’au point mis à la terre de la source. Dans un réseau TT, les masses sont mises à la terre indépendamment de la prise de terre de la source. La boucle de défaut comprend donc le sol ainsi que les prises de terre de l’installation et de la source.

Après un défaut d’isolement, le courant circule du conducteur de phase vers l’enveloppe, puis par la liaison de protection et les prises de terre avant de revenir à la source. Sa valeur dépend de l’impédance de toute cette boucle, pas seulement de la résistance entre l’enveloppe et la borne PE.

Une prise de terre n’est pas un siphon dans lequel le courant disparaît. Une excellente continuité des liaisons de protection peut donc coexister avec un courant insuffisant pour faire déclencher la protection contre les surintensités. Il n’y a aucune contradiction : la liaison a été vérifiée, mais l’efficacité de la protection n’a pas encore été démontrée.

Dix ampères ne convaincront pas un dispositif de 16 A

Considérons un exemple simple : tension par rapport à la terre de 230 V, impédance totale de la boucle de défaut à la terre de 23 Ω et dispositif contre les surintensités de 16 A. Le défaut entre la phase et l’enveloppe est supposé d’impédance négligeable ; le courant normal de la charge est ignoré.

Le courant de défaut est approximativement :

I = U₀ / Zₛ = 230 V / 23 Ω = 10 A.

Cette valeur est inférieure au courant assigné du dispositif. Rien ne permet d’attendre une coupure par surintensité. Une tension dangereuse peut pourtant rester présente sur l’enveloppe par rapport à la terre.

Le dispositif n’est pas défectueux. Dix ampères face à un courant assigné de seize ampères ne lui donnent aucune raison d’intervenir. Le concepteur devait repérer le problème avant.

La condition donnée dans l’annexe A.2 est Zₛ × Iₐ ≤ U₀. Le point décisif est Iₐ : le courant provoquant le fonctionnement du dispositif dans le temps exigé. Ce n’est pas son courant assigné lu sur le boîtier. Confondre les deux produit des calculs très confortables. Le dispositif, lui, déclenchera selon sa caractéristique réelle, pas selon notre erreur.

Le RCD est la solution de principe. L’exception doit être démontrée

L’EN 60204-1 indique le RCD comme moyen principal de protection en cas de défaut dans un réseau TT, avec une protection appropriée contre les surintensités. Elle permet aussi l’utilisation du seul dispositif contre les surintensités, à condition qu’une impédance de boucle suffisamment faible soit assurée de manière permanente et fiable.

« La norme autorise donc le TT sans RCD. » Oui. Et notre calcul vient précisément de montrer pourquoi cette possibilité n’est pas applicable ici. Trouver une exception dans une norme ne modifie pas les paramètres de l’installation.

Avec un RCD, on vérifie notamment la condition Rₐ × IΔn ≤ 50 V, où Rₐ comprend la résistance de la prise de terre et du conducteur de protection, et IΔn le courant différentiel résiduel assigné de fonctionnement. Le temps de coupure doit être vérifié séparément. Pour le circuit terminal d’exemple de 16 A, sous 230 V AC par rapport à la terre, le tableau A.2 indique 0,2 s. Le respect de l’inégalité ne démontre pas à lui seul ce temps de fonctionnement.

La simple présence d’un RCD ne prouve pas non plus que son type, son seuil et ses raccordements sont corrects. Il ne faut pas le rechercher exclusivement dans l’armoire de la machine. La protection peut être assurée par un appareil correctement choisi dans l’installation d’alimentation. Il faut identifier l’appareil qui protège le circuit et les conditions de cette protection, au lieu de traiter la limite de fourniture comme une limite d’analyse.

Le fabricant doit préciser les conditions de raccordement. L’annexe A.2 prévoit d’utiliser les données de la future installation ou, pour une machine de série, de définir les paramètres admissibles. La résistance maximale de prise de terre ou l’impédance de boucle retenue doit figurer dans les instructions d’installation. « Raccorder selon les règles de l’art » ne transmet aucune valeur. Cela demande seulement au prochain électricien de deviner ce que le précédent considérait comme suffisant.

L’enveloppe peut être parfaitement reliée au PE et la protection rester inefficace. Ce qui protège une personne, c’est un circuit correctement conçu, pas la seule présence d’un conducteur vert et jaune.

5. Réseau IT sans surveillance : la production ne doit pas s’arrêter

« C’est un réseau IT. Au premier défaut à la terre, il ne coupe pas. » L’avantage du système est bien mémorisé. La réponse devient moins nette lorsqu’on demande comment le personnel apprendra que ce premier défaut s’est déjà produit.

Imaginons une installation qui exploite la continuité de service, mais ne dispose d’aucune surveillance capable de détecter et de signaler la dégradation de l’isolement. La machine produit, les protections ne coupent pas et la maintenance ne reçoit aucun appel. On a choisi un système dans lequel le défaut ne se révèle pas forcément par un arrêt, puis on a supprimé sa détection. Une excellente méthode pour améliorer les statistiques de pannes déclarées.

Qu’est-ce qui est réellement isolé ?

Dans un réseau IT, les parties actives sont isolées de la terre ou le point de la source est relié à la terre par une impédance suffisamment élevée. Cela ne signifie pas que les enveloppes métalliques doivent rester sans liaison de protection ni mise à la terre.

Lors du premier défaut d’isolement, le courant à la terre est limité par les propriétés du réseau, notamment son impédance d’isolement, ses capacités par rapport à la terre et l’éventuelle impédance raccordée à la source. Si les conditions de protection sont respectées, la coupure immédiate de l’alimentation n’est pas nécessaire. Il devient possible d’organiser la localisation et la réparation sans interrompre brutalement le procédé.

Mais cela ne transforme pas un isolement dégradé en nouvel état normal. C’est précisément pourquoi une surveillance est nécessaire.

L’IMD contrôle la résistance d’isolement du réseau surveillé par rapport à la terre et signale sa baisse sous une valeur définie. Une mesure effectuée à la réception ne remplace pas cette fonction pendant l’exploitation. Le procès-verbal décrit ce qui a été mesuré le jour de l’essai. Il ne travaille pas pendant l’équipe de nuit.

Acquitter l’alarme ne répare pas l’isolement

L’EN 60204-1, au paragraphe 6.3.3, renvoie pour les réseaux IT aux exigences correspondantes de l’IEC 60364-4-41. Elle exige également le maintien d’un signal sonore et visuel pendant le défaut d’isolement. Le signal sonore peut être acquitté manuellement après avoir retenti.

La distinction est essentielle. On peut confirmer que l’information a été reçue et couper le son. On ne peut pas en conclure que la cause de l’alarme a disparu.

Supposons que l’IMD soit installé, mais que le personnel ait appris à effacer le message puisque « la machine fonctionne normalement ». L’alarme revient et finit par être considérée comme une nuisance du dispositif de surveillance. L’isolement s’est dégradé. C’est l’appareil qui l’a détecté qui reçoit la plainte.

Si l’écran revient à un affichage normal après acquittement alors que le défaut subsiste, sans autre signal visuel maintenu, l’information a été supprimée de l’interface, pas de l’installation. L’équipe suivante peut ignorer qu’elle travaille avec un défaut non traité.

Le deuxième défaut ne doit pas apparaître sur la même machine

Le premier défaut peut relier la phase L1 à l’enveloppe d’un équipement. Le suivant peut relier L2 à l’enveloppe d’un autre équipement alimenté par le même réseau IT. Par les liaisons de protection communes, un trajet de court-circuit entre phases peut alors se former. La coupure automatique de l’alimentation doit être assurée.

L’explication « le premier défaut ne coupe pas » ne décrit plus la situation présente. La surveillance de l’isolement et la protection chargée de couper lors du défaut suivant remplissent des fonctions différentes. L’IMD ne remplace pas les dispositifs de coupure. Attendre le deuxième défaut ne remplace pas non plus la détection et le traitement du premier.

Laisser un défaut connu subsister retire au réseau l’avantage pour lequel il avait été choisi. Au lieu d’utiliser l’information pour planifier la réparation, l’entreprise attend que la prochaine défaillance choisisse elle-même la date de l’arrêt.

« La surveillance est dans le tableau. » Très bien. Où arrive l’alarme ?

L’absence d’IMD dans l’armoire de la machine ne prouve pas l’absence de surveillance. Un appareil placé en amont peut couvrir le réseau concerné. Mais il faut déterminer son périmètre réel, pas seulement trouver un appareil portant le bon nom.

Quels circuits surveille-t-il ? La machine est-elle incluse dans toutes les configurations d’alimentation prévues ? Où l’alarme apparaît-elle ? Qui doit la traiter ? Lors de la réception, les réglages et toute la chaîne de signalisation sont vérifiés conformément aux instructions des appareils.

Il faut confirmer que l’information atteint un endroit où elle sera remarquée, reste disponible pendant le défaut et déclenche une action définie. Une diode allumée à l’intérieur d’un tableau fermé peut prouver que l’appareil fonctionne. Elle n’aide guère les personnes qui ignorent son existence.

Le fournisseur pensait que le site traiterait l’alarme. Le site pensait que le fournisseur avait tout prévu. L’isolement n’a participé à aucune de ces discussions.

6. « Avec les variateurs, on ne met pas de RCD »

Le RCD déclenche à la mise sous tension des entraînements. Après plusieurs arrêts, quelqu’un le retire. La machine repart, la demande d’intervention est clôturée et un principe naît pour les projets suivants : avec les variateurs de fréquence, pas de RCD.

Une conclusion générale a été tirée sur tous les variateurs. Personne n’a même déterminé pourquoi ce circuit précis déclenchait. Dire que « ce RCD n’est pas adapté à ce circuit » peut être parfaitement exact. En déduire que le circuit n’a plus besoin de la protection qu’il devait assurer relève de l’improvisation.

Le courant de fuite n’attend pas une défaillance de l’isolement

Un entraînement en état normal peut produire des courants à la terre. Leur valeur dépend notamment de la conception du variateur, des filtres antiparasites, de la capacité des câbles moteurs et de la fréquence de commutation. Des régimes transitoires apparaissent aussi à la mise sous tension.

Le RCD réagit au courant différentiel résiduel selon ses caractéristiques. Il ne reçoit aucun message du PLC indiquant qu’il s’agit « seulement de la charge des capacités » et qu’il serait préférable de ne pas arrêter la production.

Le déclenchement peut donc révéler une mauvaise adaptation de la protection à un équipement pourtant sain. Il peut aussi signaler un véritable défaut. La présence d’un variateur sur le schéma ne permet pas de choisir entre les deux. Il faut mesurer ou établir les courants au démarrage et en fonctionnement, examiner leur forme et analyser la configuration du circuit.

Un entraînement avec un câble moteur court et le même entraînement avec un câble long ne posent pas nécessairement les mêmes contraintes. Plusieurs entraînements derrière un RCD commun imposent également d’évaluer le courant différentiel total. Les courants à la terre ne disparaissent pas parce que chaque variateur, pris séparément, respectait l’hypothèse initiale.

Le dispositif commun travaille avec tout le groupe raccordé. C’est un problème de conception. Retirer l’appareil supprime sa réaction, pas le courant qui la provoquait.

L’absence de déclenchement peut être une information encore plus mauvaise

Avec les convertisseurs de puissance, il faut examiner la forme du courant différentiel en cas de défaut. Il peut comporter une composante continue à laquelle le RCD installé n’est pas adapté. Une composante continue suffisamment importante peut détériorer la capacité d’un appareil de type AC ou A à détecter certains défauts.

Dans certaines conditions, le RCD devient aveugle : il reste fermé alors qu’il n’assure plus la réaction attendue au courant de défaut. Cette configuration donne d’excellents résultats de production. La protection ne gêne plus, parce qu’elle ne protège plus correctement.

L’appareil n’a pas besoin d’être défectueux. Il suffit de l’utiliser dans des conditions pour lesquelles ses caractéristiques ne conviennent pas. L’EN 60204-1, au paragraphe 7.7, indique qu’un RCD de type B peut être nécessaire lorsque les courants de défaut sont susceptibles de comporter des composantes continues. Le choix détaillé doit ensuite être confronté à la conception du circuit et aux instructions du fabricant du variateur.

Commander « un RCD pour variateur » ne suffit pas. Le type décrit l’aptitude à réagir à certaines formes de courant. Il reste à définir le seuil, la réponse en fréquence, le temps de fonctionnement et les conditions d’utilisation.

Il faut aussi regarder en amont de l’armoire. Une composante continue traversant un RCD de type B sans atteindre son seuil peut affecter un dispositif commun installé plus haut. La présence du bon appareil près du variateur ne confirme pas automatiquement la cohérence de toute la protection. Un choix arrêté aux bornes de sa propre fourniture peut simplement déplacer le problème dans le tableau du client.

« Je vais augmenter le seuil » exige aussi des calculs

Augmenter le courant différentiel assigné ou introduire une temporisation peut réduire les déclenchements intempestifs. Mais la nouvelle valeur doit toujours satisfaire les conditions de la protection pour laquelle le RCD est utilisé.

Dans le réseau TT décrit plus haut, modifier le seuil change la condition liée à la résistance de la prise de terre. Modifier la temporisation change le temps de coupure. Ces paramètres ne peuvent pas être augmentés jusqu’à ce que la machine cesse enfin de s’arrêter.

Un seuil choisi selon la méthode « cela déclenche encore, augmente un peu » a démontré sa conformité à la patience du responsable. Sa conformité à la protection contre les chocs électriques reste à établir.

La bonne solution peut nécessiter un autre RCD, une séparation des circuits, une réduction des courants de fuite par des moyens autorisés par le fabricant ou une autre architecture de protection. Débrancher le conducteur de protection n’est pas une architecture. Retirer arbitrairement le filtre de compatibilité électromagnétique peut seulement déplacer le problème vers les mesures et les commandes perturbées.

Toute machine équipée d’un variateur n’a pas nécessairement besoin d’un RCD. Son absence peut être justifiée si la protection requise est efficacement assurée par un autre moyen. La justification repose alors sur l’efficacité démontrée de cette protection, pas sur la présence du variateur.

Un RCD retiré ne provoque effectivement plus d’arrêt. Il est difficile d’en faire un résultat positif de vérification de la protection contre les chocs électriques.

7. L’essai a-t-il validé la machine ou l’équipe qui sauvait son fonctionnement ?

Pendant la réception de notre ligne, le technologue corrige une consigne, l’automaticien modifie la configuration et l’opérateur relance le cycle. Après plusieurs tentatives, le produit est conforme. Le procès-verbal indique un résultat positif.

Toutes les interventions ont été traitées comme une aide normale à la mise en service. Personne n’a distingué celles qui ont supprimé une cause de celles qui devront être répétées en production. La machine a reçu le crédit d’un résultat obtenu par plusieurs spécialistes. L’instruction d’utilisation, elle, ne prévoit qu’un opérateur.

Les corrections effectuées pendant l’essai font partie du résultat

Une mise en service implique des réglages. Le problème n’est pas de modifier des paramètres avant la réception, mais d’accepter la machine sans démontrer qu’elle se comporte ensuite comme prévu.

Si des corrections non prévues restent nécessaires pendant l’essai proprement dit, il faut les consigner. Qu’a-t-on changé ? Pourquoi ? Après la modification, a-t-on rejoué toute la séquence concernée ou simplement attendu la première pièce correcte ? Une première bonne pièce clôt souvent la discussion plus vite que la suppression de la cause des précédentes non-conformités, surtout lorsque le transport est déjà réservé.

Pour une mesure perturbée, la qualité du produit final ne suffit pas. Il faut confirmer la fiabilité de l’indication dans les conditions prévues et vérifier que les interventions supplémentaires ont cessé. Sinon, le client reçoit une bonne pièce d’essai et un procédé défaillant pour la production quotidienne.

Les tâches prévues de l’opérateur ne constituent pas un défaut d’automatisation. En revanche, les sauvetages improvisés ne doivent pas disparaître de l’évaluation parce qu’un salarié les exécute efficacement, surtout lorsqu’ils imposent un accès plus fréquent au danger que celui retenu pour la conception des protections.

Observer l’opérateur pendant la réception ne sert pas à vérifier s’il mérite la machine. Cela sert à découvrir ce que la machine exige réellement de lui.

L’appareil de mesure ne réalisera pas toute la réception à notre place

« Les mesures électriques sont bonnes. » Très bien. Quelles exigences ont-elles vérifiées ?

Le chapitre 18 de l’EN 60204-1 renvoie à l’étendue de vérification définie par la norme particulière de produit. En son absence, il impose notamment de contrôler la conformité de l’exécution à la documentation, la continuité du circuit de protection, les conditions de coupure automatique de l’alimentation lorsque cette mesure assure la protection en cas de défaut, ainsi que les essais fonctionnels.

La mesure de résistance d’isolement et l’essai de tension sont énumérés séparément. Ils ne remplacent pas les autres vérifications. Toutes les opérations du chapitre ne s’appliquent pas non plus selon des conditions identiques. L’étendue dépend de l’équipement et des exigences. Le sélecteur rotatif de l’appareil disponible n’est pas le sommaire de la norme.

Une bonne continuité n’explique pas si le dispositif coupera le bon circuit dans le délai exigé. Elle ne confirme pas que l’alarme d’isolement atteindra le personnel ni que la température affichée restera fiable pendant le fonctionnement des entraînements. Ce sont des questions différentes, qui exigent des vérifications adaptées.

La conformité au schéma a également ses limites. Si l’exécution reproduit fidèlement une erreur de conception, la comparaison entre la documentation et la machine peut être parfaite. On aura confirmé la qualité d’exécution de l’erreur, pas son acceptabilité.

Après une modification, vérifions ce que couvrent encore les anciens résultats

Pendant la mise en service, un seuil est modifié, un appareil est remplacé ou des câbles sont déplacés. La documentation et les résultats des vérifications doivent décrire la configuration effectivement livrée à l’utilisateur.

La norme impose d’examiner la nécessité de répéter les vérifications et les essais après une modification. L’étendue dépend de l’effet de cette modification. Il n’est pas nécessaire de tout recommencer aveuglément, mais un ancien résultat ne couvre pas automatiquement une correction parce qu’elle a été réalisée le même jour.

La date du procès-verbal peut être correcte alors que le dispositif concerné par la mesure a déjà quitté l’armoire.

Le compte rendu doit identifier la configuration testée, les réglages significatifs, les conditions d’essai et les critères d’acceptation. Les écarts et leur traitement doivent être consignés. On peut alors savoir ce qui a réellement été confirmé sans reconstruire la mise en service à partir des souvenirs de ses participants.

Une correction qui supprime la cause est un résultat d’ingénierie. Une correction qu’il faudra répéter chaque heure est une nouvelle exigence imposée à l’exploitation. La réception doit distinguer les deux avant de les regrouper sous la formule « machine réglée ».

Si des personnes ont continuellement corrigé la machine pendant l’essai, leur intervention fait partie du résultat. Elle ne peut pas être soustraite au moment de signer le procès-verbal.

8. Une habitude d’usine ne répare pas une conception

Une installation mal conçue se paie lors de l’achat, puis encore chaque jour : en temps opérateur, en travail de mise au point et en arrêts supplémentaires. Avec le temps, cette facture se fond si bien dans les coûts de production que la recherche de la cause paraît devenir une complication inutile.

On refuse un arrêt pour corriger la conception. Mais on trouve quotidiennement du temps pour corriger ses conséquences.

L’expérience du personnel devrait remonter jusqu’au concepteur. Les opérateurs savent quand la mesure cesse d’être fiable, ce que le démarrage exige réellement et quelles tâches doivent être répétées alors qu’elles étaient annoncées comme occasionnelles. Leur débrouillardise constitue une source précieuse d’informations sur la machine. Dans les situations décrites ici, elle sert surtout à repousser la réparation.

Appliquer l’EN 60204-1 exige de confronter la conception à l’équipement réel et à ses conditions de fonctionnement. Il faut démontrer l’efficacité des protections, la pertinence des solutions retenues et la cohérence des hypothèses avec l’utilisation de la machine. Une longue habitude d’atelier ne fournit ni les calculs manquants ni les résultats d’essais absents.

À la prochaine phrase « cette machine a toujours fonctionné comme ça », demandons la cause. Si la réponse est le nom du seul opérateur capable de maintenir la production, nous aurons appris quelque chose sur ses compétences. La conception, elle, attend toujours sa démonstration.

Les travailleurs peuvent apprendre à contourner un défaut de la machine. Ce défaut ne devient pas pour autant une exigence du procédé.

Sources et notes

Les numéros de paragraphes cités se rapportent à l’édition polonaise source PN-EN 60204-1:2018-12, qui introduit l’EN 60204-1:2018. La version européenne introduit l’IEC 60204-1:2016 avec des modifications ; ces références ne signifient pas que toutes les dispositions possèdent un libellé identique.

Les liens externes renvoient aux catalogues de l’ISO, de l’IEC et de la Commission européenne. Ils identifient les publications et leur domaine, mais ne remplacent pas le texte intégral des normes.

[1] Équipement électrique et sécurité de la machine. PN-EN 60204-1:2018-12, paragraphes 4.1, 4.2.1 et 4.4.1 : relation avec l’évaluation des risques, conséquences d’un mauvais fonctionnement et choix de l’équipement. Publication internationale de base : IEC 60204-1:2016 — catalogue de l’IEC.

[2] Cheminement des câbles, compatibilité électromagnétique et thermocouples. PN-EN 60204-1:2018-12, paragraphes 4.4.2 et 13.1.3, ainsi que l’annexe informative H, paragraphes H.2 à H.4. Référence relative aux caractéristiques des thermocouples : IEC 60584-1:2013 — Thermocouples, partie 1 : spécifications de force électromotrice et tolérances. La méthode de diagnostic proposée est un développement d’ingénierie, non le compte rendu d’essais réalisés sur deux lignes particulières.

[3] Interventions fréquentes, fiabilité et choix des protections. ISO 12100:2010, paragraphes 5.5.2.3.1, 5.5.3.2, 6.2.13 et 6.3.2.1. La modification de la fréquence d’accès remet en cause l’hypothèse concernée ; elle n’annule pas automatiquement tout le document et n’impose pas mécaniquement une augmentation du niveau de performance.

[4] Couleurs et signification de l’interface. PN-EN 60204-1:2018-12, paragraphes 10.2.1, 10.3.1 à 10.3.3 et tableau 4. Dans cette édition, le codage des voyants et l’évitement d’un STOP rouge ordinaire près d’un organe d’urgence sont formulés comme des recommandations. Le STOP rouge ordinaire reste admis ; l’association rouge sur fond jaune est réservée aux actions d’urgence.

[5] Protection en TT et exemple de calcul. PN-EN 60204-1:2018-12, paragraphe 6.3.3, annexe A, paragraphes A.2.1 à A.2.3, tableau A.2 et paragraphe 17.2. Les valeurs 230 V, 23 Ω et 16 A sont des données d’exemple. Le temps de 0,2 s concerne le circuit terminal de 16 A sous 230 V AC étudié ici ; il ne constitue pas une valeur universelle pour tous les circuits TT.

[6] Surveillance de l’isolement en IT. PN-EN 60204-1:2018-12, paragraphe 6.3.3. Références complémentaires : IEC 60364-4-41:2005+AMD1:2017 — protection contre les chocs électriques et IEC 61557-8:2014 — dispositifs de surveillance de l’isolement pour réseaux IT. Les scénarios décrits expliquent le fonctionnement de la protection sans remplacer les exigences complètes de conception et de choix des appareils.

[7] RCD et variateurs de fréquence. PN-EN 60204-1:2018-12, paragraphes 4.2.1, 6.3.3, 7.7 et 18.2.1. Références complémentaires : IEC 62423:2009 — exigences et essais applicables aux RCD de types F et B et IEC 60364-5-53:2019+AMD1:2020+AMD2:2024 — choix et mise en œuvre des matériels de protection, de coupure, de commande et de surveillance. Les explications relatives aux courants de fuite et aux composantes continues ne constituent pas une procédure universelle de sélection.

[8] Vérification et modifications pendant la mise en service. PN-EN 60204-1:2018-12, paragraphes 17.2, 18.1, 18.2.1 à 18.2.3, 18.6 et 18.7. Ces dispositions couvrent l’étendue des vérifications, l’enregistrement des résultats, les essais fonctionnels et l’examen de la nécessité de nouveaux essais après modification.

[9] Édition de base, modifications ultérieures et harmonisation. L’IEC a publié IEC 60204-1:2016/AMD1:2021. Les références détaillées de cet article ont été vérifiées dans l’édition polonaise de base indiquée plus haut. Pour un projet concret, il faut déterminer séparément l’édition applicable, ses amendements, la norme de type C éventuelle et les exigences d’installation. Les publications officielles relatives à l’harmonisation sont disponibles auprès de la Commission européenne — machines et normes harmonisées. Cet article ne statue pas sur le statut actuel d’harmonisation de chaque édition.

[10] Nature des exemples. Les situations de travail, variantes d’accès, données de calcul et tableaux servent à expliquer les relations techniques. Ils ne constituent ni des rapports de mesure d’installations particulières ni des procédures complètes de réception. Le diagnostic proposé vise à établir ce qui modifie l’indication avant de modifier une nouvelle fois la production. Le tableau de la partie 7 n’est pas un programme complet de vérification : il aide à repérer les raisonnements dans lesquels une affirmation vraie sur la machine sert à justifier une conclusion beaucoup trop large.