Le pire endroit pour chercher les normes applicables à une machine est la déclaration UE de conformité d’une machine qui lui ressemble. Pourtant, c’est encore trop souvent ainsi que commence la conception des mesures techniques de protection des machines.
L’appréciation des risques n’est pas terminée. Personne ne sait encore comment l’opérateur supprimera un bourrage, s’il pourra atteindre la zone dangereuse par-dessus le protecteur ni si le mouvement s’arrêtera avant qu’il n’y accède. Mais la question tombe déjà : « Quelles normes inscrit-on dans la déclaration ? »
La réponse semble prête : ISO 12100, une norme de type C, quelques normes de type B bien connues. Copier, coller, signer. Le document paraît sérieux.
Mais qu’a-t-on réellement signé ? Lorsqu’un fabricant cite une norme sans limiter la portée de son application, il ne déclare pas seulement en connaître le numéro. Il affirme avoir appliqué ses dispositions pertinentes, traité les phénomènes dangereux couverts et vérifié l’efficacité de la solution obtenue.
Où se trouve la trace de ces décisions ? Quel risque a conduit au choix du protecteur ? Pourquoi faut-il un dispositif de verrouillage ? D’où vient la distance de sécurité ? Quel niveau de performance requis, ou PLr, la fonction de sécurité doit-elle atteindre ? Quel essai prouve que l’ensemble réagit assez vite ?
Sans réponses solides, la liste de normes n’est pas une preuve de conformité. C’est une série d’affirmations techniques que le fabricant n’est pas encore capable de défendre.
Concevoir les mesures techniques de protection des machines après la prévention intrinsèque
Une machine doit toujours remplir sa fonction. Une presse doit produire un effort, un robot doit se déplacer, des rouleaux doivent entraîner une matière et une pièce peut rester brûlante longtemps après la fin du procédé. Supprimer totalement ces propriétés supprimerait parfois la fonction même de la machine.
La première étape de réduction du risque selon ISO 12100 consiste donc à rechercher des mesures de prévention intrinsèque : modifier la géométrie, réduire une énergie, déplacer un point de réglage, automatiser une tâche dangereuse ou supprimer une zone d’écrasement.
La deuxième étape ne commence pas parce que le modèle tridimensionnel a été gelé, que la production a démarré ou qu’il est plus facile de visser un carter que de rouvrir la conception. Un modèle figé n’est pas la preuve que la prévention intrinsèque a été épuisée.
Elle commence lorsque le risque résiduel ne peut plus être suffisamment réduit par la conception sans rendre la machine impropre à son usage. Il faut alors empêcher l’exposition de la personne ou interrompre cette exposition avant qu’un dommage ne survienne.
Les questions deviennent très concrètes : un accès est-il nécessaire pendant la production ? À quelle fréquence ? Le phénomène dangereux disparaît-il immédiatement après l’ordre d’arrêt ? Existe-t-il un risque de projection, de chute de charge, de fluide sous pression ou d’émission ? Une personne peut-elle rester à l’intérieur d’une enceinte ? Que fera-t-elle pendant le nettoyage, le changement d’outil ou le débourrage ?
Un protecteur fixe convient lorsque l’accès est exceptionnel. S’il faut le déposer plusieurs fois par poste, il deviendra vite un obstacle et une incitation au contournement. Un protecteur mobile associé à un dispositif de verrouillage peut alors être nécessaire. Si le phénomène dangereux persiste après l’ordre d’arrêt, l’interverrouillage seul ne suffit pas toujours : le protecteur peut devoir rester bloqué jusqu’à la disparition du danger.
Un barrage immatériel peut détecter une intrusion et commander un arrêt. Il ne retient toutefois ni une pièce projetée, ni un jet de liquide, ni des poussières. À l’inverse, un protecteur matériel peut contenir une projection, mais devenir dangereux s’il crée un point de pincement ou rend une opération régulière impraticable.
Il n’existe donc pas de « bon dispositif de sécurité » indépendamment de la tâche, de la machine et du comportement humain prévisible.
Un protecteur ne signifie jamais une seule norme
Le plan montre une porte transparente. La déclaration mentionne EN ISO 14120. Le sujet paraît clos. En réalité, seule l’intention de fermer l’accès a été matérialisée ; son efficacité reste à démontrer.
EN ISO 14120 traite notamment de la conception générale des protecteurs : matériaux, résistance, fixation, visibilité, entretien et absence de nouveaux phénomènes dangereux. Mais une porte robuste ne protège personne s’il est possible de passer la main dans une ouverture, d’atteindre la zone par-dessus ou de ramper sous le protecteur. Les dimensions et l’implantation doivent alors être confrontées aux distances de sécurité de l’EN ISO 13857.
Il faut ensuite définir ce qui se produit à l’ouverture. Si l’arrêt est suffisamment rapide, un protecteur mobile avec interverrouillage peut convenir. Si l’opérateur atteint le danger avant sa disparition, un dispositif de blocage du protecteur peut être nécessaire. L’EN ISO 14119 encadre notamment les principes d’interverrouillage, de blocage et de réduction des possibilités de neutralisation.
Le capteur de porte ne met cependant pas, à lui seul, la machine en sécurité. Son signal doit être traité par les parties du système de commande relatives à la sécurité, puis agir sur les éléments de puissance. Il faut déterminer ce qui se passe en cas de contact soudé, de rupture de conducteur, de défaut commun aux deux canaux ou de défaillance non détectée.
Le PLr concerne la fonction complète, de l’entrée jusqu’à l’état sûr. Il ne correspond ni au niveau annoncé pour un capteur isolé ni à une note globale attribuée à la machine.
| Question à résoudre | Base technique habituelle | Éléments à démontrer |
|---|---|---|
| Conception et résistance du protecteur | EN ISO 14120 | Matériau, fixation, résistance aux charges et projections, durabilité et absence de nouveaux risques |
| Possibilité d’atteindre la zone dangereuse | EN ISO 13857 | Hauteur, distance, ouvertures et accès par-dessus, par-dessous ou latéralement |
| Interverrouillage ou blocage du protecteur | EN ISO 14119 | Temps de disparition du danger, temps d’accès, principe de blocage et résistance à la neutralisation |
| Réalisation de la fonction de sécurité | EN ISO 13849-1 ou EN IEC 62061 | PLr ou SIL requis, architecture, diagnostic, fiabilité et comportement en cas de défaut |
| Validation de la fonction | EN ISO 13849-2 ou dispositions applicables de l’EN IEC 62061 | Conformité du comportement réel à la spécification, y compris dans les situations de défaut |
| Prévention d’une remise en marche intempestive | EN ISO 14118 et, selon la réalisation, EN 60204-1 | Absence de redémarrage automatique, maîtrise et consignation des énergies |
Ce tableau n’est pas une liste à recopier dans une déclaration. Deux portes visuellement identiques peuvent demander des solutions différentes. Sur une machine, le danger disparaît presque instantanément. Sur une autre, un volant, une charge suspendue ou une pression résiduelle maintient le risque pendant plusieurs secondes.
Normes de type C : priorité ne veut pas dire dispense d’analyse
Une norme dont le titre reprend le nom de la machine inspire naturellement confiance : presse, tour, machine d’emballage ou plate-forme élévatrice. Mais le titre ne définit pas à lui seul son domaine d’application.
Une norme de type C vise une catégorie déterminée de machines et les phénomènes dangereux significatifs qu’elle identifie. Elle peut prescrire un moyen de protection, une fonction de sécurité, un PLr, un SIL ou une méthode d’essai. Lorsque ses prescriptions diffèrent de celles d’une norme de type A ou B, elles prévalent pour les machines effectivement couvertes et uniquement pour les différences concernées.
Il faut donc vérifier la catégorie exacte, les variantes incluses, les exclusions, les équipements additionnels, les usages prévus et les références normatives. Une machine intégrée à une ligne, modifiée pour un procédé particulier ou équipée d’un accessoire inhabituel peut présenter des risques non couverts.
La norme de type C ne supprime pas les normes de type B. Elle s’appuie souvent sur elles. Elle peut imposer un protecteur tout en renvoyant à l’EN ISO 14120 pour sa construction, à l’EN ISO 14119 pour l’interverrouillage et à l’EN ISO 13849-1 pour la réalisation du système de commande.
L’EN ISO 13849-1 n’indique d’ailleurs pas quelles fonctions sont nécessaires sur une machine donnée. Elle fournit une méthode de conception et d’intégration des parties de commande relatives à la sécurité. Le choix de la fonction et de son PLr doit venir de la norme de type C applicable ou de l’appréciation des risques.
L’exemple des plates-formes élévatrices mobiles
L’EN 280-1 illustre bien cette logique. Elle n’attribue pas un unique niveau de performance à toute la plate-forme. Elle fixe des exigences par fonction : surveillance de la charge, limitation du moment, nivellement de la plate-forme, interverrouillage des accès ou arrêt d’urgence.
Ces fonctions n’ont ni les mêmes causes de défaillance ni les mêmes conséquences. Une perte de nivellement ne produit pas le même scénario qu’une défaillance de barrière. La norme de type C définit donc ce qu’il faut obtenir ; les normes de type B permettent de concevoir, calculer et valider les circuits correspondants.
L’ajout d’un dispositif de levage de charges, traité par l’EN 280-2, crée de nouvelles situations dangereuses et de nouvelles fonctions d’interverrouillage. Une seule modification d’équipement peut ainsi imposer une nouvelle analyse, une fonction supplémentaire et d’autres vérifications.
Présomption de conformité : la déclaration ne crée rien
Une déclaration comportant ISO 12100, une norme de type C, plusieurs normes de type B, une signature et un marquage CE peut paraître irréprochable. Elle ne vaut pourtant que par le travail réalisé en amont.
La présomption de conformité découle de l’application effective d’une norme harmonisée dont la référence a été publiée au Journal officiel de l’Union européenne. Elle ne couvre que les exigences essentielles effectivement traitées par cette norme et, le cas échéant, par les parties appliquées.
Ce principe figure à l’article 7, paragraphe 2, de la directive 2006/42/CE. L’article 20 du règlement (UE) 2023/1230 reprend le mécanisme en mentionnant explicitement les normes ou parties de normes concernées. Le règlement devient applicable dans son ensemble le 20 janvier 2027 ; jusqu’à cette échéance, il faut gérer la transition juridique sans supposer que les références publiées pour la directive produisent automatiquement les mêmes effets sous le règlement.
Une norme récente n’est pas nécessairement harmonisée pour le texte juridique concerné. Avant de la citer, il faut vérifier l’édition exacte, la publication européenne, les éventuelles restrictions, le domaine couvert et l’annexe ZA. Un document peut être techniquement excellent sans encore procurer de présomption de conformité.
Une application partielle est possible, mais elle doit être présentée comme telle. Déclarer une application complète alors que plusieurs dispositions pertinentes ont été ignorées revient à formuler une affirmation fausse ou trompeuse.
| Point de comparaison | Directive 2006/42/CE | Règlement (UE) 2023/1230 |
|---|---|---|
| Source de la présomption | Conformité effective à une norme harmonisée publiée pour la directive | Conformité effective à une norme harmonisée ou à une partie de norme publiée pour le règlement |
| Étendue | Exigences essentielles couvertes par la norme | Exigences essentielles couvertes par la norme ou la partie appliquée |
| Références dans la déclaration | Références des normes harmonisées appliquées, lorsqu’il y a lieu | Références des normes ou autres spécifications appliquées, avec les informations requises |
| Application partielle | La portée doit être précisée pour ne pas suggérer une application intégrale | Les parties appliquées doivent être clairement identifiées |
| Responsabilité | La signature confirme l’exécution de la procédure d’évaluation applicable | Le fabricant assume la responsabilité de la conformité du produit |
La déclaration copiée d’une machine « presque identique » est particulièrement dangereuse. Une apparence similaire ne garantit ni les mêmes tâches, ni les mêmes accès, ni les mêmes temps d’arrêt, ni le même PLr. Même la bonne norme de type C peut avoir un domaine plus étroit que celui supposé à partir de son titre.
Trois questions pour tester une liste de normes
- Quel phénomène dangereux ou quelle exigence essentielle justifie l’application de cette norme ?
- Dans quel protecteur, dispositif, sous-système ou choix de conception ses prescriptions ont-elles été mises en œuvre ?
- Quel calcul, plan, rapport, procès-verbal ou résultat d’essai le démontre ?
Si ces réponses n’existent pas, le numéro n’est pas une preuve. C’est une décoration réglementaire à haut risque.
Normes de type B et exigences essentielles : une relation en réseau
Un protecteur mobile avec interverrouillage et blocage semble correspondre à une seule exigence relative aux protecteurs. En pratique, il mobilise plusieurs objectifs : résistance mécanique, distances de sécurité, fiabilité de la commande, prévention du redémarrage, maîtrise des énergies et limitation du contournement.
Les textes réglementaires définissent les objectifs à atteindre. Les normes décrivent des solutions, méthodes ou critères techniques. Il n’existe donc pas de correspondance simple dans laquelle une norme traiterait une seule exigence et chaque exigence renverrait à une seule norme.
| Problème technique ou mesure de protection | Normes de type B fréquemment mobilisées | Règlement – annexe III | Directive – annexe I | Traces attendues dans le dossier technique |
|---|---|---|---|---|
| Protecteur fixe ou mobile et possibilité d’atteindre la zone dangereuse | EN ISO 14120, EN ISO 13857 | 1.3.7, 1.3.8, 1.4.1 et 1.4.2 | 1.3.7, 1.3.8, 1.4.1 et 1.4.2 | Plans, fixation, résistance, ouvertures, distances de sécurité et contrôle des accès par-dessus, par-dessous et latéralement |
| Protecteur avec interverrouillage et, si nécessaire, dispositif de blocage | EN ISO 14119, EN ISO 14120, EN ISO 13849-1 et EN ISO 13849-2 ou EN IEC 62061 | 1.2.1, 1.2.3, 1.4.1 et 1.4.2.2 | 1.2.1, 1.2.3, 1.4.1 et 1.4.2.2 | Spécification de la fonction, temps de disparition du danger et temps d’accès, mode de blocage, résistance à la neutralisation, PLr ou SIL et validation |
| Barrage immatériel, scrutateur ou autre équipement de protection électrosensible | EN ISO 13855, série EN IEC 61496, EN ISO 13849-1 et EN ISO 13849-2 ou EN IEC 62061 | 1.2.1, 1.2.3, 1.3.7, 1.3.8, 1.4.1 et 1.4.3 | 1.2.1, 1.2.3, 1.3.7, 1.3.8, 1.4.1 et 1.4.3 | Résolution et champ protégé, possibilités de contournement, calcul de la distance de sécurité, temps d’arrêt mesuré, prévention du redémarrage et validation de la fonction |
| Prévention d’une mise en marche intempestive et isolation des énergies | EN ISO 14118, EN 60204-1 et, selon les énergies, EN ISO 4413 ou EN ISO 4414 | 1.2.3, 1.2.6, 1.6.3 et 1.6.4 | 1.2.3, 1.2.6, 1.6.3 et 1.6.4 | Inventaire des énergies, moyens de séparation et de consignation, dissipation des énergies accumulées et essais de non-redémarrage |
| Fonction d’arrêt d’urgence | EN ISO 13850, EN 60204-1, EN ISO 13849-1 ou EN IEC 62061 | 1.2.1 et 1.2.4.3 | 1.2.1 et 1.2.4.3 | Périmètre d’action, catégorie d’arrêt, priorité de la commande, mode de réarmement, prévention du redémarrage automatique et résultats des essais fonctionnels |
| Fonction de sécurité réalisée par le système de commande | EN ISO 13849-1 et EN ISO 13849-2 ou EN IEC 62061 | 1.2.1 et exigence propre à la fonction réalisée ; dans certains cas également 1.1.9 | 1.2.1 et exigence propre à la fonction réalisée | Spécification de la fonction, PLr ou SIL requis, architecture, données de fiabilité, défaillances de cause commune, logiciel, calculs et validation |
| Moyens d’accès permanents aux postes d’exploitation et de maintenance | Série EN ISO 14122 | 1.5.15 et 1.6.2 | 1.5.15 et 1.6.2 | Justification du choix du moyen d’accès, dimensions, charges, surfaces antidérapantes, protection contre les chutes et possibilité d’effectuer la tâche en toute sécurité |
Cette carte ne remplace pas l’analyse au cas par cas. Il faut contrôler l’annexe ZA de l’édition retenue et la publication correspondante au Journal officiel. La décision d’exécution (UE) 2023/1586 et ses modifications concernent les références élaborées pour la directive 2006/42/CE ; elles ne doivent pas être transposées mécaniquement au règlement 2023/1230.
Le règlement ajoute ou précise par ailleurs certains enjeux, notamment la protection contre l’altération, les influences externes et les interventions sur les logiciels ou paramètres liés à la sécurité. Inscrire EN ISO 13849-1 dans la déclaration ne règle pas automatiquement les questions de cybersécurité, d’intégrité des configurations et de protection contre les modifications non autorisées.
Un composant conforme ne valide pas la fonction de sécurité
Le barrage immatériel possède une déclaration. Le contrôleur de sécurité annonce un niveau élevé. Le capteur de protecteur appartient à une gamme prévue pour la sécurité. Les contacteurs disposent de données de fiabilité. La fonction est-elle prouvée ? Pas encore.
Le dispositif de détection ne supprime pas le danger. Il détecte une présence et change l’état de ses sorties. La logique doit traiter ce signal, les éléments de puissance doivent agir, la mécanique doit s’arrêter et la machine doit rester dans un état sûr jusqu’à un redémarrage maîtrisé.
La chaîne complète est la suivante : détection de la personne, traitement du signal, action des sorties, disparition du phénomène dangereux, maintien de l’état sûr, réarmement puis remise en marche contrôlée.
Une seule faiblesse suffit à ruiner les certificats des composants : défaut d’entrée non détecté, cause commune affectant deux canaux, contacteur non surveillé, mode de fonctionnement contournant la protection, programme incomplet, réarmement accessible depuis la zone ou redémarrage après retour de l’alimentation.
Le PLr appartient à une fonction, pas à la machine entière
Le niveau de performance requis est attribué à une fonction de sécurité déterminée. Il vient d’une norme de type C ou de l’appréciation des risques. Un contrôleur capable d’atteindre PL e ne transforme pas automatiquement toute la chaîne en fonction PL e.
Le résultat dépend des capteurs, de la logique, des actionneurs, de l’architecture, de la couverture du diagnostic, des défaillances de cause commune, du logiciel et de l’intégration. La déclaration d’un composant ne couvre ni le programme de l’intégrateur, ni le câblage, ni la position du réarmement, ni le comportement réel de la machine.
Même un PL correctement calculé ne répond pas à tout. Il ne démontre ni la bonne distance d’un barrage immatériel, ni la résistance d’un protecteur, ni la prévention d’une chute de charge, ni l’impossibilité de rester caché dans une enceinte.
Le calcul n’est pas la validation
Un logiciel peut confirmer l’architecture et les données de fiabilité. Il n’ouvre pas la porte, ne coupe pas le faisceau, ne teste pas tous les modes et ne mesure pas le temps d’arrêt réel. La validation selon EN ISO 13849-2 associe analyse et essais. Tant que cette validation n’est pas menée, on dispose au mieux d’un projet plausible et de composants adaptés, pas de la preuve que le risque a été suffisamment réduit.
Comment valider les mesures techniques de protection des machines
La vérification ne sert pas à confirmer que le concepteur avait raison. Elle sert à découvrir s’il avait raison. Si la mesure contredit l’hypothèse, il faut corriger la conception, pas sélectionner un résultat plus favorable.
ISO 12100 impose d’évaluer l’efficacité des mesures appliquées et de vérifier qu’elles n’ont pas créé de nouveau phénomène dangereux ou aggravé un autre risque. Les moyens de protection doivent aussi rester compatibles entre eux et avec le travail réel. Une solution tellement contraignante qu’elle pousse les opérateurs à la neutraliser n’est pas une bonne solution.
| Mesure ou fonction | Contrôles essentiels | Preuves habituelles | Motifs de nouvelle vérification |
|---|---|---|---|
| Protecteur fixe ou mobile | Fixation, résistance, ouvertures, atteinte par-dessus ou par-dessous, points de pincement | Inspection, mesures dimensionnelles, calculs ou essais mécaniques | Modification de forme, matériau, position, fixation ou environnement |
| Protecteur interverrouillé avec blocage | Arrêt des bons mouvements, fonctionnement dans tous les modes, libération du blocage, réarmement | Procès-verbal d’essais et validation de la fonction | Changement de capteur, verrou, programme, frein, entraînement ou mode |
| Barrage immatériel ou scrutateur | Tous les accès, contournement, présence derrière le champ, temps d’arrêt global et distance réelle | Calcul de distance, mesure d’arrêt et essais d’intrusion | Modification du programme, de la charge, du freinage, des paramètres ou de l’implantation |
| Arrêt d’urgence | Périmètre, priorité de l’ordre, méthode d’arrêt et comportement après déverrouillage | Essais de chaque dispositif dans les modes pertinents | Modification de la commande, du zonage ou de l’intégration à une ligne |
| Isolation des énergies | Toutes les énergies, condamnation, dissipation et impossibilité de remise en mouvement | Essai de consignation, schéma des énergies et vérification de l’état sûr | Modification électrique, pneumatique, hydraulique, thermique ou mécanique |
| Fonction de sécurité commandée | Réaction, diagnostics, défauts prévisibles, programme, actionneurs et état sûr | Analyse, calcul PL ou SIL et essais sur la machine terminée | Toute modification susceptible d’influencer la fonction, même sans remplacement du protecteur |
Mesurer le temps d’arrêt de l’ensemble
Pour positionner un barrage immatériel, le temps de réaction indiqué dans sa notice ne suffit pas. Le temps total comprend celui du dispositif de protection, du traitement logique, des communications, des actionneurs, de l’entraînement et de la mécanique.
La température, la charge, les tolérances, le temps de commutation des distributeurs, l’usure du frein et le vieillissement peuvent allonger l’arrêt. Il ne faut donc pas retenir la moyenne des essais les plus favorables, mais une valeur représentative du temps maximal prévisible, en intégrant l’incertitude de mesure.
L’EN ISO 13855 exprime classiquement la distance minimale par la relation S = (K × T) + C, où T représente le temps total d’arrêt. Si T augmente, la distance nécessaire augmente également. Une simple modification d’un paramètre de commande peut donc rendre incorrecte une implantation qui n’a pourtant pas bougé.
Revenir à l’appréciation des risques après les essais
Un essai positif ne clôt pas automatiquement la deuxième étape. Le protecteur peut avoir créé un point d’écrasement. Une porte bloquée peut emprisonner une personne dans l’enceinte. Un barrage peut arrêter correctement la machine tout en permettant de rester derrière son champ sans être détecté.
Après les essais, il faut donc vérifier le fonctionnement dans toutes les tâches prévisibles, les possibilités de contournement, les nouveaux risques, les effets de l’usure et les conditions imposant une nouvelle validation.
Sept erreurs qui reviennent sur les machines réelles
1. Choisir le dispositif avant de comprendre le risque
Dire « nous mettrons un barrage immatériel ici » avant d’avoir étudié la tâche revient à concevoir avec un catalogue à la place de l’appréciation des risques. Il faut d’abord savoir qui approche, pourquoi, à quelle fréquence et si le danger peut s’arrêter à temps.
2. Ignorer la norme de type C ou lui faire une confiance aveugle
Certains concepteurs oublient la norme propre à leur catégorie de machines. D’autres la citent sans lire son domaine, ses exclusions et ses références normatives. Les deux approches sont mauvaises.
3. Associer un protecteur à une seule norme
EN ISO 14120 ne traite pas à elle seule des distances d’atteinte, de l’interverrouillage, du niveau de performance, du temps d’arrêt et de la prévention du redémarrage. Un moyen de protection réel réunit plusieurs problèmes techniques.
4. Confondre norme récente et norme harmonisée
Une édition récente portant un préfixe européen n’offre pas automatiquement une présomption de conformité. La publication, le texte juridique concerné, les restrictions et l’annexe ZA doivent être vérifiés.
5. Remplacer la validation par les documents des composants
Le fabricant d’un capteur ne valide ni le programme de la machine, ni les actionneurs, ni le réarmement, ni le temps d’arrêt. La conformité des composants est nécessaire, mais insuffisante.
6. Prendre un calcul pour une mesure
Les fiches techniques ne représentent pas toujours la machine chargée, usée et configurée. Un calcul décrit le comportement attendu ; l’essai révèle le comportement réel.
7. Ne pas réévaluer les risques après installation
Une protection peut déplacer le risque, créer un piège ou encourager la neutralisation. La réduction du risque est itérative : chaque modification doit être réexaminée dans le contexte complet.
Méthode pratique pour la deuxième étape de l’ISO 12100
- Reprendre les risques résiduels. Décrire la source du dommage, la personne exposée, la tâche, la zone et les conséquences possibles.
- Vérifier la norme de type C. Contrôler son domaine, ses exclusions, les phénomènes dangereux couverts, les fonctions imposées, les niveaux requis, les essais et les références aux normes de type B.
- Définir l’effet protecteur recherché. Empêcher l’accès, détecter une présence, arrêter un mouvement, bloquer un protecteur, limiter une énergie ou permettre une évacuation sûre.
- Spécifier chaque fonction de sécurité. Préciser l’événement déclencheur, les mouvements concernés, l’état sûr, le temps maximal, les modes, les défauts, le réarmement et le PLr ou SIL.
- Décomposer la solution. Traiter séparément la résistance, les distances, l’interverrouillage, la commande, la consignation, l’accès de maintenance et la validation.
- Étudier la tâche réelle. Vérifier la visibilité, l’ergonomie, le débourrage, les accès du corps entier, le risque d’enfermement et les possibilités de neutralisation.
- Fixer les critères d’acceptation avant les essais. Définir les distances, temps, niveaux, dimensions et comportements acceptables sans attendre les mesures.
- Vérifier et valider. Réaliser les calculs, inspections, mesures, simulations de défauts et essais dans chaque mode pertinent.
- Réévaluer le risque. Confirmer la réduction obtenue, identifier les risques nouveaux ou résiduels et mettre à jour les informations destinées à l’utilisateur.
La matrice minimale de décision et de preuve
Pour chaque situation dangereuse significative, le dossier technique doit relier le risque à une décision puis à une preuve. Cette traçabilité bidirectionnelle est beaucoup plus utile qu’une colonne intitulée « normes appliquées ».
| Champ | Contenu attendu |
|---|---|
| Phénomène et situation dangereuse | Source, tâche, personne exposée, mode d’exposition, zone et dommage possible |
| Résultat de la prévention intrinsèque | Mesures étudiées et raison pour laquelle le risque n’a pas pu être éliminé davantage |
| Norme de type C | Domaine applicable, prescriptions retenues et risques non couverts |
| Moyen de protection | Protecteur, dispositif de protection ou mesure complémentaire choisie |
| Fonction de sécurité | Comportement requis, état sûr, temps de réaction, PLr ou SIL |
| Normes de type B | Documents techniques applicables aux différentes parties de la solution |
| Exigences essentielles | Points du texte juridique couverts par la décision |
| Critère d’acceptation | Valeur ou comportement défini avant le début des essais |
| Vérification et validation | Méthode, configuration, résultat, rapport, calcul ou procès-verbal |
| Risques nouveaux et résiduels | Résultat de la réévaluation et informations nécessaires à l’utilisateur |
Le test de qualité est simple : partez d’un phénomène dangereux et suivez la chaîne jusqu’au résultat d’un essai précis. Faites ensuite le chemin inverse. Si la trace s’arrête sur un numéro de norme, le dossier conserve une liste, pas une justification.
Avec Safety Software, cette chaîne de preuve peut être documentée de manière continue, du phénomène dangereux et de la tâche jusqu’à l’exigence, à la mesure de protection, à l’essai et à la réévaluation du risque.
Références techniques et réglementaires à contrôler
La démarche repose notamment sur ISO 12100 pour l’appréciation et la réduction des risques, EN ISO 14120 pour les protecteurs, EN ISO 13857 pour les distances de sécurité, EN ISO 14119 pour les dispositifs associés aux protecteurs, EN ISO 13849-1 et EN ISO 13849-2 ou EN IEC 62061 pour les fonctions commandées, EN ISO 13855 et la série EN IEC 61496 pour les dispositifs électrosensibles, EN ISO 14118 pour la prévention d’une mise en marche intempestive, EN ISO 13850 pour l’arrêt d’urgence, EN 60204-1 pour l’équipement électrique et la série EN ISO 14122 pour les accès permanents.
Les exemples de normes de type C comprennent notamment EN 280-1 et EN 280-2. Leur pertinence doit toujours être confirmée au regard de la machine exacte et de l’édition applicable.
Sur le plan juridique, il convient de consulter la directive 2006/42/CE, le règlement (UE) 2023/1230, les publications pertinentes au Journal officiel de l’Union européenne et les décisions d’exécution en vigueur. Les guides de la Commission européenne, dont le guide d’application de la directive Machines et le Guide bleu, sont utiles pour l’interprétation mais ne remplacent pas les textes juridiquement contraignants.
La conclusion est directe : la déclaration UE de conformité est le résultat final de la démarche, jamais son point de départ. Pour chaque norme citée, le fabricant doit pouvoir montrer le risque concerné, la solution réalisée, la fonction définie et la preuve obtenue sur la machine terminée.
Le papier accepte toutes les normes. La machine, elle, répond pendant l’essai. C’est cette réponse — mesurée, documentée et reliée au risque — qui doit figurer dans le dossier technique.