« Ici, il faut mettre un protecteur. »
La phrase tombe très vite en revue de conception. Un élément mobile, une zone d’écrasement, un risque de happement : dans la réduction des risques liés aux machines, le réflexe paraît évident. On pense protecteur, interverrouillage, rideau immatériel.
Peut-être qu’ils seront nécessaires. Mais à ce stade, on ne le sait pas encore.
Avant de choisir des moyens de protection techniques, l’ISO 12100 demande de regarder la machine elle-même. Peut-on modifier la position relative des pièces pour supprimer la zone d’écrasement ? Arrondir ou rabattre une arête vive ? Réduire la masse ou la vitesse d’un élément mobile ? Limiter la force, l’énergie, la pression ou la température ? Changer de matériau ou de procédé pour réduire le bruit, les vibrations, les poussières ou le risque d’inflammation ?
Et si le problème ne venait pas d’un composant isolé, mais du concept complet de la machine ?
Il faudra peut-être revoir la répartition des masses et la stabilité. Choisir une autre technologie d’entraînement. Repenser les organes de commande. Déporter les points de graissage et de réglage hors de la zone dangereuse. Évacuer l’énergie résiduelle après coupure de l’alimentation.
Ce sont des mesures de prévention intrinsèque : le premier niveau, et le plus important, de la réduction du risque selon l’ISO 12100.
Leur point commun est simple : elles ne se contentent pas de séparer l’humain d’un phénomène dangereux déjà présent. Elles modifient la machine, ses paramètres ou son interaction avec l’opérateur pour que le phénomène dangereux disparaisse, ou que le risque associé baisse vraiment.
On peut même aller plus loin. Le point 5.4 de l’ISO 12100 exige d’identifier les opérations réalisées par la machine et les tâches de la personne qui interagit avec elle : réglage, alimentation en matière, évacuation du produit, nettoyage, suppression des bourrages, détection des défauts, maintenance.
Il est facile de traiter cette liste comme figée : puisque l’opérateur fait la tâche, concevons une méthode sûre pour qu’il la fasse.
Mais peut-être que l’on pose la question trop tard.
La vraie question est : l’opérateur doit-il encore faire cette tâche ?
Une alimentation manuelle peut être mécanisée. La sortie d’une pièce peut être automatisée. Un point de graissage peut être placé à l’extérieur. Une meilleure fiabilité peut réduire le nombre de bourrages et d’incidents nécessitant une intervention.
Cela ne supprime pas toujours le phénomène dangereux. Mais cela peut supprimer la situation dangereuse, ou réduire fortement l’exposition de l’humain. Bien sûr, une modification peut créer de nouveaux dangers : il faut donc réanalyser les opérations de la machine, les tâches humaines et toutes les interventions raisonnablement prévisibles.
Avant de concevoir une façon sûre d’exécuter une tâche dangereuse, répondons donc à la question la plus importante : peut-on retirer complètement cette tâche du travail de l’opérateur ?
Réduction des risques liés aux machines : l’étape 1 n’est pas un meilleur protecteur
La première erreur apparaît souvent dans notre façon de parler de sécurité machine.
« Nous avons conçu le protecteur. »
« Nous avons ajouté l’interverrouillage. »
« Nous avons prévu un rideau immatériel. »
« Nous avons mis un automate de sécurité. »
Toutes ces solutions peuvent être présentes dès le premier modèle 3D. Elles peuvent même être indispensables pour atteindre le niveau de sécurité requis. Mais cela ne veut pas dire qu’elles appartiennent à la première étape de réduction du risque.
Un protecteur ne devient pas une mesure de prévention intrinsèque simplement parce qu’il a été dessiné en même temps que la machine.
L’ISO 12100 sépare clairement les choses. Une mesure de prévention intrinsèque élimine le phénomène dangereux ou réduit le risque par modification des caractéristiques de conception ou d’exploitation de la machine. Un protecteur ou un dispositif de protection réduit le risque lié à un phénomène dangereux que l’on n’a pas pu supprimer, ou pas assez réduire, par la conception.
La différence ne tient donc ni au moment où la solution apparaît dans le projet, ni à son coût.
Ce qui compte, c’est ce qui a réellement changé dans la machine.
La zone d’écrasement a-t-elle disparu ? L’énergie de l’élément mobile a-t-elle diminué ? L’arête vive a-t-elle été supprimée ? L’émission a-t-elle été réduite à la source ? Le système reste-t-il sûr après perte d’énergie ? L’opérateur doit-il encore effectuer l’action dangereuse ?
Si le phénomène dangereux est resté identique et que la solution ajoutée ne fait qu’empêcher ou contrôler l’accès, on est très probablement déjà à l’étape 2.
Regardons un mécanisme simple où deux pièces créent une zone d’écrasement. On peut entourer le mécanisme d’un protecteur et surveiller sa position. Mais avant cela, on peut vérifier si la position relative des pièces peut être modifiée pour que l’écartement soit sûr pour la partie du corps considérée, ou pour que cette partie du corps ne puisse pas s’y engager. Dans le premier cas, on protège l’humain contre une zone d’écrasement existante. Dans le second, on la supprime par la géométrie.
Même logique pour le mouvement. On peut détecter la présence d’une personne et arrêter l’élément dangereux. Mais on doit d’abord demander si cet élément doit vraiment se déplacer aussi vite, avoir cette masse, accumuler cette énergie.
Cela ne signifie pas qu’un protecteur ou une fonction de sécurité ne sera pas nécessaire ensuite. L’étape 1 ne permet pas toujours de réduire le risque de façon suffisante. L’ISO 12100 ne demande pas d’abandonner les moyens de protection techniques à tout prix.
Elle demande de respecter l’ordre.
La bonne question n’est donc pas : quel moyen de protection avons-nous ajouté ?
La première question doit être : quelle propriété dangereuse de la machine avons-nous réellement modifiée ?
Si la réponse est : aucune, alors l’étape 1 n’a probablement pas encore été faite.
« La géométrie est validée. Maintenant, on ajoute la sécurité »
C’est l’un des moments où un projet commence souvent à prendre la mauvaise direction.
Le modèle mécanique est approuvé. Les courses sont fixées. Les vérins sont choisis. Le bâti est parti au chiffrage. Et seulement là, quelqu’un analyse l’accès humain et repère des zones d’écrasement, de coupure, de choc ou de happement.
On ne veut plus toucher à la géométrie. Alors on commence à « ajouter la sécurité ».
Un protecteur. Une clôture. Un interverrouillage. Un rideau immatériel.
L’ISO 12100 propose l’ordre inverse. Selon le point 6.2.2.1 de l’ISO 12100, la forme de la machine et la position relative de ses parties font partie des premiers leviers à utiliser pour éliminer les phénomènes dangereux.
Si deux éléments mobiles créent une zone d’écrasement, le concepteur doit d’abord vérifier si leur position relative peut être modifiée. L’écartement minimal peut être augmenté pour qu’une partie du corps puisse se trouver entre les éléments sans risque d’écrasement. Il peut aussi être réduit pour que cette partie du corps ne puisse pas s’y introduire.
Il ne s’agit pas d’éloigner l’opérateur d’un danger existant par une clôture ou une distance de sécurité.
Il s’agit de concevoir la géométrie des pièces de la machine de façon que la zone d’écrasement n’existe plus.
La différence est fondamentale.
Dans un cas, le phénomène dangereux reste là et l’accès est limité. Dans l’autre, on modifie le mécanisme pour que le mouvement considéré ne puisse plus provoquer la lésion visée.
Il faut regarder de la même façon les arêtes vives, les coins, les éléments saillants, les surfaces rugueuses et les ouvertures où une partie du corps ou un vêtement peut rester pris. Si une arête peut être émoussée, rabattue ou alignée, il est difficile de justifier son maintien dans le projet puis de transférer le problème dans la notice.
« Attention à l’arête vive » n’est pas une réponse si l’arête n’a aucune raison d’être vive.
La géométrie décide aussi de la visibilité. Si une utilisation sûre exige que l’opérateur surveille la zone de travail ou la zone dangereuse, il doit réellement pouvoir l’observer depuis le poste de commande. Un angle mort ne se corrige pas avec une consigne du type : faire preuve d’une vigilance particulière avant le démarrage.
D’abord, on vérifie si la forme de la machine, la position du poste ou l’implantation des éléments peuvent être modifiées. Seulement si la visibilité directe n’est pas possible, la norme ouvre la porte à des moyens de vision indirecte, par exemple des miroirs correctement placés.
La forme de la machine conditionne aussi la posture de la personne. L’opérateur peut-il atteindre les organes de commande sans se pencher au-dessus de la zone dangereuse ? L’accès au point de réglage impose-t-il de glisser la main entre deux mécanismes ? La construction force-t-elle le technicien à adopter une position depuis laquelle il bouge moins bien ou recule moins vite ?
Ce n’est pas une question de confort. C’est de la réduction du risque par conception.
Bien sûr, modifier la géométrie peut impacter la fonction, l’encombrement, le temps de cycle et le coût. Toutes les modifications ne seront pas possibles. Toutes ne suffiront pas.
Mais ces limites ne doivent pas être supposées à l’avance juste parce que le modèle est déjà validé.
Avant de demander où installer le protecteur, il faut revenir à la question précédente : pourquoi les pièces de la machine ont-elles été disposées d’une manière qui crée ce danger ?
La réponse dira si le moyen de protection technique est réellement nécessaire, ou s’il sert surtout à éviter de modifier une géométrie déjà figée.
Toutes les tâches opérateur ne doivent pas être sécurisées. Certaines doivent disparaître
Le point 5.4 de l’ISO 12100 demande d’identifier les opérations réalisées par la machine et les tâches humaines sur tout son cycle de vie. En pratique, on obtient une liste : alimentation en matière, évacuation du produit, réglage, nettoyage, suppression des bourrages, détection des défauts, maintenance.
C’est là que l’erreur arrive facilement.
Une tâche est dans la liste. On cherche donc comment l’opérateur peut la faire en sécurité. On choisit un mode de marche, un protecteur, un interverrouillage, un dispositif de validation ou une procédure.
Mais la liste des tâches ne décrit pas forcément la version finale de la machine. Elle montre seulement comment l’humain interagit avec la conception actuellement analysée.
Chaque tâche doit donc recevoir une question supplémentaire : doit-elle encore exister dans la machine finale ?
Cas 1 : l’opérateur « corrige seulement » la matière
À la transition entre un convoyeur et la partie suivante de la machine, la matière se positionne mal de temps en temps. L’opérateur voit le problème, s’approche et corrige manuellement la position.
L’action dure quelques secondes. Elle n’est pas traitée comme une panne ni comme un changement de série formel. Après tout, l’opérateur « corrige seulement la pièce ».
Sauf que pendant cette action courte, la personne met la main dans une zone où un convoyeur, un pousseur ou un autre mécanisme peut bouger. Dans l’appréciation du risque, une tâche apparaît donc : suppression d’un bourrage ou correction de position de la matière.
La réponse la plus évidente ? Fermer l’accès. Ajouter un interverrouillage. Prévoir un mode manuel. Décrire une méthode sûre de suppression du bourrage.
Peut-être qu’une partie de ces mesures restera nécessaire. Mais la première question, moins confortable, est : pourquoi la matière se positionne-t-elle mal ?
Y a-t-il un jour ou un décalage de hauteur entre les convoyeurs ? Les guidages maintiennent-ils la matière sur toute la plage dimensionnelle prévue ? Les vitesses des mécanismes sont-elles synchronisées ? Une variation brutale de vitesse fait-elle tourner ou basculer le produit ? La matière peut-elle être détectée et rejetée automatiquement avant de bloquer l’opération suivante ?
Si la cause de l’intervention est une fiabilité insuffisante de l’alimentation, le concepteur doit d’abord travailler cette fiabilité. Le point 6.2.13 de l’ISO 12100 indique qu’une meilleure fiabilité des équipements réduit le nombre d’événements nécessitant une intervention, donc l’exposition des personnes aux phénomènes dangereux.
Modifier la géométrie du transfert, le guidage de la matière ou les paramètres de mouvement peut faire disparaître une tâche qui était jusque-là réalisée plusieurs fois par poste.
On n’a pas conçu une méthode plus sûre pour corriger la matière. On a supprimé la cause qui obligeait l’opérateur à la corriger.
Cela ne veut pas dire que tous les dangers ont disparu. Il faut encore tenir compte des défaillances, des matières atypiques, de l’encrassement et des vrais bourrages. Mais le nombre d’interventions prévisibles liées au fonctionnement normal du procédé baisse.
Ce n’est pas un détail. C’est le passage de la protection contre les effets à la modification de la cause.
Cas 2 : le capteur se règle dans la zone dangereuse
La machine travaille avec plusieurs types de matières. Le capteur choisi ne couvre pas toute la zone de détection requise ou exige un repositionnement selon la matière traitée.
Résultat : lors du changement de série, l’opérateur entre dans la zone dangereuse et règle manuellement le capteur.
On obtient une tâche très concrète à évaluer : réglage de position du capteur lors du changement de type de matière.
On peut évidemment concevoir une entrée sûre. Arrêter la machine. Empêcher le redémarrage. Prévoir un mode de marche adapté et une procédure de changement de série.
Mais est-ce vraiment la première réponse ?
Si la machine est destinée à fonctionner avec une plage définie de matières, les propriétés de ces matières font partie des limites de la machine. Le système de détection doit être choisi pour toute la plage de fonctionnement prévisible, pas seulement pour un cas favorable.
La première option est donc d’utiliser un capteur, ou une autre technique de détection, capable de couvrir le domaine nécessaire pour toutes les matières prévues. Cela rejoint directement la recommandation de choisir une technique appropriée au point 6.2.4 de l’ISO 12100.
Il ne s’agit pas de prendre systématiquement le capteur avec la plus grande portée. Une zone de détection plus large peut générer des détections parasites ou réduire la capacité de discrimination. La solution doit être choisie et validée pour les conditions réelles du procédé.
Mais si un capteur correctement choisi élimine le repositionnement à chaque changement de série, la tâche qui imposait l’entrée dans la zone disparaît aussi.
Et si une plage de détection fixe n’est pas techniquement possible ?
Alors on vérifie si le réglage doit vraiment se faire au niveau du capteur. Le mécanisme de réglage peut être déporté hors de la zone dangereuse, ou conçu pour que l’opérateur fasse l’ajustement depuis un emplacement sûr. C’est précisément l’esprit du point 6.2.15, qui recommande de placer les points de réglage et de maintenance hors des zones dangereuses.
Au lieu de concevoir une entrée sûre jusqu’au capteur, on change l’endroit où le réglage est réalisé.
Le changement de série existe toujours. Il faut encore prévoir le mauvais réglage, la modification accidentelle de la consigne et la mauvaise détection de matière. Mais l’opérateur n’a plus besoin d’entrer entre les éléments de la machine juste pour adapter un capteur à la variante suivante.
Dans les deux cas, le raisonnement est le même.
D’abord, on identifie la tâche humaine. Ensuite, on ne demande pas seulement comment la sécuriser. On vérifie aussi :
- pourquoi cette tâche existe ;
- si elle vient de la fonction normale de la machine ou d’une limite de la solution choisie ;
- si la cause de la tâche peut être supprimée ;
- si la machine peut reprendre cette tâche ;
- si le lieu d’intervention peut être déplacé hors de la zone dangereuse.
Après cette analyse seulement, on sait quelles tâches resteront réellement à l’opérateur.
Parce que, parfois, la meilleure méthode pour réduire le risque pendant un changement de série n’est pas une entrée plus sûre dans la zone. C’est l’absence de besoin d’y entrer.
Réduction des risques liés aux machines : que changer avant d’ajouter un dispositif ?
L’ISO 12100 ne donne pas une solution universelle pour chaque phénomène dangereux. Mais au point 6.2, elle indique des domaines très concrets où le concepteur doit chercher des possibilités d’élimination des dangers ou de réduction du risque par conception.
Le tableau ci-dessous ne dit pas que les moyens de la première colonne sont mauvais. Un protecteur, une fonction de sécurité ou une procédure pourront être nécessaires ensuite. Le point est plus simple : ne les choisissez pas avant d’avoir vraiment vérifié les possibilités de l’étape 1.
| Avant de... | Vérifiez à l’étape 1... | Exemple concret |
|---|---|---|
| demander à l’opérateur de surveiller attentivement la zone | si la conception lui donne une visibilité réelle | modifier la forme de la machine ou la position du poste de commande, réduire les angles morts, placer correctement un miroir |
| isoler une zone d’écrasement | si elle peut être supprimée par la géométrie | augmenter l’écartement pour éviter l’écrasement de la partie du corps considérée, ou le réduire pour empêcher son introduction |
| signaler une arête vive | si l’arête doit vraiment être vive | émousser, rabattre ou aligner une arête de tôle, fermer l’extrémité ouverte d’un tube |
| rédiger une consigne de geste sûr | si la forme de la machine assure une posture et un accès corrects | repositionner les organes de commande, éviter de se pencher au-dessus du mécanisme ou de passer la main entre des pièces mobiles |
| définir une zone de protection autour d’un élément mobile | si la force, la masse, la vitesse ou l’énergie peuvent être réduites | choisir un vérin plus petit, réduire la pression, alléger l’élément mobile, limiter la vitesse à ce qui est nécessaire au procédé |
| carteriser une source de bruit ou fournir des protecteurs auditifs | si le bruit peut être réduit à la source | modifier l’entraînement, la vitesse, la rigidité, l’assemblage des pièces ou les paramètres du procédé |
| isoler l’opérateur des vibrations | si la source des vibrations peut être modifiée | équilibrer les pièces, changer la répartition des masses, la fréquence ou l’amplitude du mouvement |
| concevoir une ventilation pour les poussières | si leur production peut être limitée | utiliser des granulés plutôt qu’une poudre, ou un fraisage plutôt qu’un ponçage |
| écranner une source de rayonnement | si la source est nécessaire et si sa puissance doit être aussi élevée | supprimer la source, limiter sa puissance au strict nécessaire, concentrer le faisceau sur la cible |
| ajouter des contrôles et inspections de structure | si la structure est correctement calculée et réalisée | dimensionnement adapté, choix des assemblages, prévention de la surcharge et de la fatigue, équilibrage des pièces tournantes |
| protéger l’humain contre la rupture d’une pièce | si le matériau et le coefficient de sécurité sont correctement choisis | tenir compte de la corrosion, du vieillissement, de l’usure, de la fragilité, de l’inflammabilité et des charges cycliques réelles |
| sécuriser une technologie dangereuse | si une autre technique peut être choisie | entraînement électrique plutôt que pneumatique, découpe à l’eau plutôt que mécanique, procédé maintenant la température sous le point d’inflammation |
| compter sur un ressort ou le poids propre pour ramener un élément | si une action mécanique positive peut être utilisée | action directe ou rigide imposant le mouvement d’un second élément, par exemple ouverture positive de contacts |
| écrire dans la notice que la machine doit être posée sur un sol plan | si la machine est stable dans les conditions prévisibles | modifier l’embase, la répartition des masses, la position du centre de gravité, tenir compte des efforts dynamiques et du vent |
| créer une procédure spéciale de maintenance | si la machine est réellement maintenable | prévoir un accès tenant compte des dimensions humaines, des vêtements et des outils, et limiter le nombre d’outils spéciaux |
| former l’opérateur pour éviter les erreurs | si l’interaction homme-machine ne favorise pas ces erreurs | HMI lisible, organes de commande non ambigus, bonne position de travail, absence de rythme imposé par un cycle automatique |
| considérer qu’un marquage de danger électrique suffit | si l’équipement électrique est conçu selon les principes de sécurité | coupure et commutation correctes des circuits, protection contre les chocs électriques |
| ajouter une alarme de dépassement de pression | si le système empêche une montée dangereuse en pression | limitation de pression correctement dimensionnée et construction résistante aux fluctuations prévisibles |
| avertir contre l’énergie résiduelle après coupure | si elle peut être évacuée automatiquement | décharge automatique d’un réservoir ou d’un accumulateur après coupure d’alimentation, évacuation contrôlée de la pression résiduelle |
| ajouter un arrêt d’urgence comme réponse au comportement imprévisible | si le système de commande se comporte de façon sûre | absence de mouvement à la mise sous tension, absence de redémarrage automatique, maintien de l’arrêt et de la charge après perte d’énergie |
| vous concentrer uniquement sur l’automate de sécurité | si toutes les parties réalisant la fonction de sécurité ont la fiabilité adaptée | mode de défaillance prévisible, redondance, détection des défauts, diversité des solutions utilisées |
| préparer une procédure de dépannage fréquent | si le nombre d’événements nécessitant une intervention peut être réduit | améliorer le guidage matière, éliminer les bourrages, choisir des composants plus durables et un diagnostic ne nécessitant pas le contournement des protections |
| sécuriser l’alimentation ou l’évacuation manuelle de matière | si cette action peut être mécanisée ou automatisée | convoyeur, manipulateur, pousseur, glissière ou rejet automatique d’une matière mal positionnée |
| concevoir une entrée sûre vers un élément réglable | si le réglage peut être supprimé ou réalisé depuis l’extérieur de la zone | capteur couvrant toutes les matières prévues ou mécanisme de réglage déporté hors de la zone dangereuse |
| sécuriser l’accès à un point de graissage | si ce point doit vraiment se trouver dans la zone dangereuse | ligne de graissage, graissage centralisé ou point de maintenance accessible depuis l’extérieur |
Ce tableau n’est pas une liste à cocher mécaniquement pour chaque danger. Toutes les méthodes ne seront pas possibles. Certaines modifications peuvent créer de nouveaux phénomènes dangereux ou dégrader la fonction principale de la machine.
C’est en revanche une série de questions qui doivent être posées avant de passer à l’étape 2.
Après chaque mesure retenue, une question de contrôle vaut de l’or : qu’avons-nous réellement modifié — le phénomène dangereux, le niveau de risque, ou seulement l’accès de l’humain à la zone dangereuse ?
Si la seule réponse est : nous avons ajouté un protecteur et une fonction de sécurité, alors nous avons décrit un moyen de protection.
Nous n’avons pas encore démontré que l’étape 1 a été réalisée.
Quand peut-on passer à l’étape 2 ?
Après avoir exploré les possibilités du point 6.2, on peut tomber dans l’excès inverse : puisque la prévention intrinsèque est le premier et le plus important levier, tout protecteur serait la preuve d’une mauvaise conception.
Non.
Certains phénomènes dangereux ne peuvent pas être supprimés sans supprimer la fonction même de la machine. Un outil de coupe doit rester coupant. Une presse doit produire l’effort nécessaire au procédé. Un organe de travail doit bouger. Une matière peut exiger un traitement qui génère du bruit, des poussières ou une température élevée.
L’étape 1 ne supprimera donc pas toujours le danger. Elle doit en revanche réduire le risque associé autant que raisonnablement possible.
On peut diminuer l’énergie d’un mouvement, mais pas jusqu’au point où la machine ne remplit plus sa fonction. On peut modifier la géométrie, sans supprimer toutes les zones dangereuses. On peut réduire les interventions opérateur, tout en conservant le nettoyage, la maintenance et les perturbations imprévues du procédé.
C’est précisément pour ces situations que l’ISO 12100 prévoit l’étape 2.
Mais elle ne démarre pas parce que le protecteur est la solution la plus facile. Le point 6.1 parle de protecteurs, de dispositifs de protection et de mesures complémentaires lorsque l’élimination du phénomène dangereux ou la réduction suffisante du risque par conception n’est pas praticable.
Entre « ce n’est pas faisable » et « nous ne voulons plus modifier le projet », il y a une différence majeure.
Avant de passer à l’étape 2, il faut donc vérifier :
- si tous les modes de fonctionnement de la machine ont été pris en compte ;
- si tous les types d’intervention humaine ont été analysés ;
- si la géométrie, l’énergie, les matériaux et la technologie ont réellement été questionnés ;
- si le nombre de bourrages, de défauts et d’actions nécessitant un accès a été réduit ;
- si les points de réglage et de maintenance pouvaient être déportés hors de la zone dangereuse ;
- si les mesures retenues n’ont pas créé de nouveaux dangers ;
- si la modification n’a pas dégradé les conditions de travail ou l’utilisabilité de la machine.
Ce dernier point est crucial. Une mesure qui complique le travail normal, rallonge un changement de série ou empêche de traiter un incident courant peut pousser au contournement des protections. La norme ne demande donc pas seulement l’efficacité isolée d’une mesure. Elle exige aussi la cohérence de l’ensemble et la prise en compte de l’opérateur réel, avec ses tâches, ses contraintes et son environnement.
L’évaluation ne s’arrête pas après le choix d’une solution. Selon le point 5.6 de l’ISO 12100, après chaque étape, il faut vérifier de nouveau si le risque a été suffisamment réduit et si de nouveaux phénomènes dangereux sont apparus.
Modifier la géométrie peut améliorer la sécurité mais compliquer la maintenance. Automatiser l’alimentation peut supprimer une tâche manuelle mais créer une nouvelle zone d’écrasement. Déporter un réglage hors de la zone peut réduire l’exposition, mais permettre une modification accidentelle de la consigne.
Chaque réponse crée donc une nouvelle question.
Ce n’est pas une faiblesse de la méthode. C’est son cœur.
Un protecteur n’est pas la preuve d’un mauvais projet. Il peut être le bon moyen, nécessaire et robuste. Le problème apparaît seulement lorsqu’il remplace l’analyse de ce qui pouvait être changé dans la machine elle-même.
L’étape 2 ne commence pas quand le concepteur n’a plus d’idées. Elle commence quand les possibilités de l’étape 1 ont vraiment été analysées, et que le risque reste insuffisamment réduit.