L’opérateur ouvre le protecteur d’un centre d’usinage. Il engage la pièce dans le dispositif de serrage et la maintient à la main pour la positionner. Il tente d’actionner le serrage. La machine refuse : l’ouverture du protecteur interdit le mouvement.
C’est exactement ce qui a été conçu. Sauf qu’il faut bien lancer la production.
Imaginons la scène pendant la réception. L’armoire contient des composants éprouvés. Le rapport de calcul du niveau de performance est posé sur la table. Le concepteur dispose du schéma, des données du capteur et de la bibliothèque du fabricant. L’opérateur, lui, tient toujours sa pièce. Son travail n’a pas été défini avec la même précision.
La commande exécute correctement la fonction qui lui a été attribuée. Mais avant de choisir cette fonction, personne n’a demandé comment l’opérateur allait serrer la pièce. C’est précisément le vide que doit combler la spécification des exigences de sécurité (SRS), avant qu’une hypothèse non écrite soit commandée, montée puis programmée.
ISO 13849-1:2023 demande les résultats de l’appréciation du risque menée selon ISO 12100. À partir de ces résultats, nous déterminons les fonctions de sécurité, le comportement attendu et le niveau de performance requis, ou PLr. Nous les consignons dans la SRS, qui fait partie de la documentation technique et sert de base au reste de la conception.
Viendront ensuite le choix des composants, les calculs, la vérification et la validation. Mais avant tout cela, mieux vaut savoir où se trouvera la main de l’opérateur pendant le serrage. Le catalogue de l’automate ne le dira jamais.
Comment serrer la pièce en sécurité si la commande est déjà terminée ?
Revenons quelques semaines en arrière. Le projet avance vite parce que quelqu’un propose de reprendre un ensemble déjà utilisé sur une autre machine : capteur de protecteur, automate et entraînement adapté. Les données sont disponibles, la bibliothèque est prête et le fournisseur connaît le délai.
La question du positionnement manuel de la pièce est repoussée à la mise en service. À ce moment-là, dit-on, tout sera visible.
Et en effet, maintenant tout le monde voit le problème. L’opérateur a besoin d’un mouvement lorsque le protecteur est ouvert, alors que la commande est conçue pour arrêter ce mouvement. Quelqu’un propose d’ajouter une exception dans le programme. Les équipements déjà achetés commencent ainsi à dicter les exigences de protection, alors qu’ils devraient seulement les réaliser.
Arrêtons-nous devant le dispositif de serrage. Pourquoi l’opérateur doit-il soutenir la pièce ? L’outillage pourrait-il définir sa position avant le serrage ? Quel mouvement est réellement nécessaire ? Lequel disparaîtrait si l’on modifiait la méthode de maintien ?
Les réponses déterminent le concept de protection. Il faudra peut-être modifier le dispositif de serrage. Il faudra peut-être conserver un mouvement pendant l’accès ; dans ce cas, ses conditions d’autorisation, ses limites et son arrêt devront être définis. Une simple exception logique ne tranche pas la sécurité de l’opération.
Même automate, autre tâche
Sur la machine précédente, le chargement pouvait être très différent. Supposons que l’outillage y maintenait la pièce dès qu’elle était déposée et que l’opérateur fermait les portes avant le serrage. Ici, sa main reste plus longtemps dans la zone.
La référence de l’automate est identique. Les conditions d’application ne le sont pas forcément. Avant de réutiliser un ancien projet, il faut vérifier l’accès, l’ordre des opérations, les mouvements nécessaires et le comportement de la charge. La réponse « cela fonctionnait sur l’ancienne machine » décrit toujours l’ancienne machine.
Ces constats peuvent modifier les plans, le choix des équipements et le programme. Ils sont nettement plus difficiles à accepter quand l’armoire est terminée et que le planning ne comporte plus qu’une case « réception ». À ce stade, la main de l’opérateur gêne aussi la clôture du projet.
Recalculer le circuit ne réglera pas le désaccord devant le serrage. Le PL atteint concerne la fonction réalisée et les conditions dans lesquelles elle a été évaluée. Si seule la réaction à l’ouverture du protecteur a été étudiée, le résultat n’ajoutera pas magiquement les exigences nécessaires au serrage manuel.
On peut avoir deux canaux et aucune exigence pour l’opération que l’opérateur est précisément en train d’exécuter.
Les dispositifs certifiés et les sous-systèmes déjà validés sont utiles. ISO 13849-1 permet de les employer lorsque les conditions d’intégration sont respectées. Il faut néanmoins démontrer les caractéristiques de la fonction complète dans l’application réelle, avec son dispositif de serrage, sa charge et ses accès.
Le fabricant de l’automate ne connaît pas notre méthode de positionnement. Son certificat n’a jamais eu l’occasion de l’évaluer.
Pour l’automaticien, la frontière de responsabilité est essentielle. Il peut câbler correctement les dispositifs, écrire une logique cohérente et justifier le PL tout en ayant reçu une tâche incomplète. Il lui faut les résultats de l’appréciation du risque avant de figer les hypothèses dans le programme.
S’ils manquent, on retourne vers l’équipe de conception. Qui décide de la géométrie du serrage ? Qui définit les mouvements nécessaires ? Qui décrit les conditions d’accès ? Ce qui arrive à l’automaticien doit être une exigence convenue, pas une devinette.
Rangeons donc le catalogue et parcourons toute l’opération avec l’utilisateur. Surtout son début, avant la fermeture du protecteur. Alors seulement, nous saurons ce que nous attendons des parties des systèmes de commande relatives à la sécurité, les SRP/CS. Deux canaux ne réparent pas une tâche que personne n’a analysée. Les données des composants et l’évaluation du PL justifient les propriétés d’une fonction conçue. Il faut d’abord déterminer la protection nécessaire pendant le travail réel.
L’opérateur entre dans le projet avant la fermeture du protecteur
L’opérateur apporte la pièce, la dépose, corrige sa position et la serre. Ensuite seulement, il ferme le protecteur et lance l’usinage. À la fin, il rouvre les portes et retire la pièce.
Si la description du travail commençait au bouton de mise en marche, elle vient de perdre l’opération sans laquelle personne n’aurait de raison d’appuyer sur ce bouton.
Ajoutons une pièce mal présentée, un changement d’outil, le nettoyage ou la reprise après une interruption. À chaque intervention, la personne peut se trouver ailleurs, plus près d’autres mouvements ou d’autres énergies.
La formule « utilisation conformément à la notice » ne montre pas ce travail au concepteur. Elle ne précise pas non plus ce qui peut fonctionner pendant l’intervention ni ce qui doit rester immobile.
ISO 12100 impose de commencer par la détermination des limites de la machine et de son utilisation. Il faut identifier les utilisateurs, les modes, les matériaux et les interventions, en couvrant les phases de vie de la machine ainsi que les mauvais usages raisonnablement prévisibles.
Sur cette base, nous identifions les phénomènes dangereux et estimons les risques. Nous procédons ensuite à leur évaluation pour décider si une réduction du risque est nécessaire. L’instruction « supprimer un bourrage » cesse alors d’être une ligne confortable dans un tableau. Elle devient une approche depuis l’autre côté et un déplacement contrôlé du mécanisme.
Une discussion au poste révèle rapidement ces écarts. Si la protection empêche une tâche nécessaire, elle peut aussi encourager le contournement. Il faut corriger la solution avant que le contournement ne devienne la méthode habituelle dans l’atelier.
La meilleure réponse consiste peut-être à modifier le dispositif de serrage
La première décision n’a pas forcément à concerner l’automate. Un outillage qui positionne la pièce sans laisser une main entre les mors modifie directement l’exposition de la personne.
C’est par ces mesures de prévention intrinsèque qu’ISO 12100 commence la réduction du risque. Viennent ensuite les mesures de protection techniques, telles que les protecteurs et dispositifs de protection, puis les mesures de protection complémentaires. Les informations pour l’utilisation arrivent après.
Une fois le concept retenu, nous définissons les tâches de la commande. Elle doit empêcher certains mouvements pendant l’accès, autoriser le positionnement nécessaire et garantir le maintien requis après une perte de pression. De ces décisions découlent les fonctions de sécurité et leur périmètre.
Les tâches de l’opérateur révèlent une part importante du problème, mais l’appréciation du risque porte sur toute la machine. L’éjection de matière, le bruit ou une défaillance structurelle restent à traiter, même sans intervention manuelle en cours.
Le déroulement complet est illustré dans cet exemple d’appréciation du risque selon ISO 12100. Pour le choix des protections, l’analyse des mesures de protection techniques complète utilement le travail.
ISO 13849-1 attend les résultats de ce travail
Le paragraphe 4.5 d’ISO 13849-1:2023 demande les résultats de l’appréciation du risque, les informations relatives aux fonctions nécessaires, leur contribution à la réduction du risque et leur PLr. Le paragraphe 5.1 renvoie directement aux informations détaillées issues de l’appréciation selon ISO 12100.
Ce sont des données d’entrée de conception. Commencer par le schéma électrique ne les produit pas, même si cela remplit plus vite la première page du dossier.
Dans la SRS, nous décrivons les fonctions et les exigences fonctionnelles, attribuons le PLr, puis examinons l’ensemble avant la conception. C’est le chemin défini aux paragraphes 5.1 à 5.4. Le PLr appartient donc à une SRS achevée.
Un document dépourvu de PLr reste un document de travail. La mention « à définir lors de la mise en service » fixe une échéance ; elle ne clôt pas une exigence de sécurité.
Le concepteur mécanique connaît le serrage, le technicien méthodes connaît le positionnement, l’utilisateur connaît les interventions et l’automaticien connaît les possibilités de la commande. La SRS enregistre le résultat de leur décision commune. C’est le bon moment pour découvrir qu’une fonction prévue arrêtera la machine tout en la rendant inutilisable.
Notre opérateur attend toujours avec sa pièce. La différence est qu’il reste possible de corriger le poste avant d’enfermer le problème dans une machine terminée. Dans le scénario retenu, un logement mécanique permet de retirer les mains avant de fermer le protecteur puis de commander séparément le serrage. La SRS décrit l’accès, l’autorisation du mouvement et le maintien de la pièce. Le logement reste une mesure de conception mécanique.
Écarter ISO 12100, c’est commencer le travail selon ISO 13849-1 sans disposer des réponses nécessaires. L’appréciation du risque définit la protection ; la SRS en fixe les exigences de commande, PLr compris.
Un mouvement nécessaire à l’opérateur ne disparaît pas parce qu’on le qualifie de dangereux
Revenons au serrage. Quelqu’un rappelle que l’arrêt à l’ouverture du protecteur est une fonction bien connue et déjà éprouvée. C’est vrai. Il reste pourtant à positionner la pièce qui permettra de commencer la production.
Les normes relatives à des catégories précises de machines aident à décomposer le mot « protection » en opérations, mouvements et conditions. On voit alors pourquoi une réaction correcte de la commande ne couvre pas à elle seule tout le travail.
Le serrage doit aussi maintenir la pièce avant l’usinage
Dans un centre d’usinage, il faut distinguer la production automatique du positionnement manuel. Pour chaque situation, on examine les mouvements requis, l’accès à leurs effets et la protection nécessaire. Si l’outillage exige un mouvement avec le protecteur ouvert, la conception doit permettre d’exécuter cette opération en sécurité.
Supprimer l’inhibition du mouvement modifierait le programme. La main et les mors resteraient exactement au même endroit.
Pour les machines-outils couvertes par son domaine d’application, ISO 16090-1 traite du serrage de la pièce, de la surveillance de son maintien et des conditions de démarrage. Les questions vont donc plus loin que la seule position de la porte.
La pièce est-elle maintenue ? Quels mouvements peuvent être autorisés ? Que se passe-t-il en cas de perte d’énergie ? Les réponses peuvent imposer un autre dispositif de serrage, une autre commande ou une séquence entièrement différente.
Lorsqu’une norme de type C fournit une exigence ou un PLr, il faut conserver son contexte d’application et ses conditions. Une lettre se recopie facilement dans un tableau. Il est plus difficile de remarquer qu’elle provenait d’une ligne concernant un autre accès ou un autre état de la machine.
La SRS doit permettre à la personne suivante de reconstituer la décision : pour quelle opération la fonction a-t-elle été retenue, et pourquoi cette protection précise est-elle attendue ? Avant de sélectionner la fonction, on tranche la méthode de positionnement et de serrage. Les mouvements pendant l’accès et le maintien après une perte d’énergie demandent leurs propres décisions.
La presse à balles a fini de compacter. Il reste à retirer la balle
Passons à une presse à balles verticale pour déchets. Le concepteur a étudié le mouvement du plateau pendant le compactage. Les portes étaient fermées, l’accès surveillé et le cycle est terminé.
L’opérateur doit encore lier puis retirer la balle. Il ouvre les portes, change de position et utilise les mouvements nécessaires à l’évacuation. Dans la description du cycle, la machine a terminé. Devant elle, la personne achève seulement son travail.
EN 16500:2014 consacre des exigences distinctes à cette phase. Elle vise certaines presses à balles verticales fermées avec ligature manuelle, pas n’importe quelle machine de compactage de déchets.
Le paragraphe 5.1.4 traite de l’éjection de la balle, de la commande placée hors de la zone de renversement et de la visibilité. En cas d’accès, par une porte ouverte, au mouvement dangereux de montée du plateau, il prévoit une commande bimanuelle. Le paragraphe 5.2.2 attribue à cette fonction un PLr d.
Dans la SRS, nous associons l’opération, le mouvement et la condition de protection. Nous vérifions également le mouvement de retour du système d’éjection. Le seul mot « compactage » ne couvre pas toutes les situations rencontrées lors du retrait de la balle.
L’édition citée d’EN 16500 renvoie à EN ISO 13849-1:2008. Ce lien entre éditions doit être pris en compte dans le choix des normes. Le PLr d de ce cas précis ne devient pas pour autant l’évaluation générale de toute la presse à balles.
Dans la zone arrêtée, la matière continue d’avancer
Un opérateur élimine maintenant un bourrage entre deux machines. Les entraînements de sa zone sont arrêtés. L’équipement voisin continue d’acheminer de la matière par une ouverture de procédé. La commande locale a fait son travail.
Le matériau ne connaît pas le partage des fournitures.
ISO 11161:2007 avec A1:2010 attire l’attention sur les zones liées aux tâches et sur les interfaces d’un système de fabrication intégré. Le paragraphe 8.1.4 traite de la protection lors du transfert de matière entre zones.
Au paragraphe 8.8.1, la spécification couvre notamment les modes, les interactions humaines, le comportement du système, les interfaces et les réactions aux défaillances. Deux rapports de calcul séparés laissent précisément cette partie commune à l’intégrateur.
Il faut convenir de l’étendue de l’arrêt, ou d’une autre protection appropriée de l’interface, ainsi que du comportement des équipements voisins pendant l’accès. Cela vaut aussi lorsqu’un signal nécessaire disparaît. La personne qui élimine le bourrage doit être protégée pendant toute l’intervention.
La phrase « interface à la charge de l’intégrateur » désigne correctement le responsable. Elle n’effectue toutefois aucun travail dans les machines raccordées. Le périmètre de protection dépend aussi des phénomènes dangereux transportés par le flux de matière. L’état d’une machine doit être relié au comportement exigé de ses voisines.
Nous revenons au dispositif de serrage avec une question plus précise : dans quelle situation la machine doit-elle protéger la personne, et quel comportement faut-il obtenir ? Les normes de type C donnent des exigences liées à l’application. Les normes de type B aident à résoudre des problèmes techniques communs.
Ces exigences sont confrontées au poste réel dans l’appréciation du risque. La SRS conserve le résultat, avec les conditions nécessaires au concepteur, à l’automaticien et à la personne chargée des vérifications.
Hors cycle automatique, l’opérateur a encore du travail. Serrage, retrait d’une balle ou élimination d’un bourrage exigent l’analyse de leurs mouvements, accès et énergies. La SRS doit prolonger la protection pendant toute l’opération nécessaire.
Le serrage s’est arrêté. Que doit devenir la pièce ?
« À l’ouverture du protecteur, la machine doit s’arrêter. » L’automaticien montre les mors immobiles. Le concepteur mécanique regarde la pièce que l’opérateur n’a toujours pas lâchée.
Ils observent la même machine. Le mot « arrêter » leur a simplement permis, pendant un instant, de ne pas décider ce qui devait réellement se produire.
La spécification indique donc le nom de la fonction, son lien avec le phénomène dangereux, son événement déclencheur et la réaction initiée par les sorties. Elle énumère les mouvements concernés et la zone protégée. On peut alors définir leur arrêt et l’état requis après cet arrêt.
Le positionnement manuel pendant l’accès reçoit ses propres exigences, cohérentes avec le concept de protection retenu. Séparément, la SRS précise qu’en mode automatique, l’ouverture du protecteur doit empêcher le démarrage des mouvements dangereux identifiés.
L’arrêt et la prévention d’un démarrage intempestif peuvent partager des sous-systèmes. Chaque fonction doit néanmoins être décrite et vérifiée clairement. La protection ne cesse pas d’être nécessaire lorsque la commande reçoit l’ordre suivant.
La proposition revient : coupons tout
Sur le schéma, l’idée semble convaincante. On désactive les sorties, l’énergie disparaît et le sujet paraît clos. Le mécanicien ajoute alors une condition : supposons que la perte de pression puisse libérer la pièce.
Nous ne parlons plus seulement d’arrêter un mouvement. Il faut aussi déterminer comment maintenir la charge et pendant combien de temps conserver l’état requis. Un ordre de coupure n’explique pas ce qui soutiendra la pièce après son exécution.
La SRS décrit l’état physique issu de l’appréciation du risque : mouvements arrêtés et maintien nécessaire de la pièce. Si un axe vertical est soumis à la gravité, il faut également empêcher sa chute. La conception devra ensuite démontrer comment ces exigences sont réalisées.
L’équipe examine la perte d’alimentation, les variations inadmissibles et le retour de l’énergie. Pour chaque situation, elle définit le comportement du système. Le rétablissement de la pression ou de la tension ne reste donc pas un morceau oublié de la séquence.
La détection d’une défaillance est traitée séparément : réaction vers un état assurant la sécurité, puis maintien de cet état jusqu’à la réparation. Si plusieurs fonctions sont actives simultanément, leurs priorités et leurs conflits doivent être réglés. Un arrêt ne doit pas supprimer, sans analyse, la protection requise pour la charge.
Le capteur a déjà répondu. La mécanique a besoin de temps
Une personne n’attendra pas devant le protecteur aussi longtemps que cela arrange le mécanisme. Elle atteint un point déterminé. L’équipe revient donc à sa position, aux possibilités d’accès et au temps nécessaire pour atteindre l’état requis.
L’automaticien présente le temps de réaction du capteur. Mais la logique, la communication, les actionneurs et la mécanique continuent encore d’agir. La SRS doit fixer une exigence portant sur le temps total de réponse de la machine, arrêt du mouvement compris.
Pour positionner des dispositifs de protection selon ISO 13855, il faut disposer des données d’arrêt appropriées et des conditions de leur évaluation. La charge, l’outil, la température ou l’usure peuvent modifier le résultat. Une valeur de catalogue ne mesure pas le comportement complet de la machine.
Si les données manquent, la décision reste ouverte : qui les fournira, et quelles décisions attendent ce résultat ? Une valeur provisoire devra être confirmée ou entraîner une modification de la conception.
Sinon, le fabricant construira un protecteur autour d’un nombre que l’automaticien considérait comme une hypothèse. Lors de la réception, ils confirmeront tous les deux que le délai avait pourtant été évoqué.
L’opérateur change de mode, puis ferme les portes
La pièce attend encore son serrage. Si le concept autorise un mouvement pendant l’accès, la SRS définit le mode et les conditions de ce mouvement. Le mode sélectionné doit être sans ambiguïté, et le passage d’un mode à l’autre doit conserver la protection nécessaire.
La seule sélection du mode ne déclenche pas le mouvement. L’étiquette « maintenance » sur l’écran ne protège rien devant les mors. Seul un comportement défini fournit à l’automaticien une exigence réalisable.
Il faut également traiter le nettoyage et la réparation du dispositif de serrage. Certains travaux exigent d’isoler la machine de toutes les sources d’alimentation et de maintenir les dispositifs de séparation en position de coupure. D’autres nécessitent un mouvement convenablement protégé. L’appréciation du risque de ces opérations doit se traduire dans les exigences.
Une solution retenue pour le positionnement d’une pièce ne s’applique pas automatiquement à chaque réparation. La personne peut se trouver ailleurs et atteindre d’autres phénomènes dangereux. Renommer l’opération dans la notice ne modifie pas son accès au mécanisme.
Après le serrage, l’opérateur ferme le protecteur. Le capteur confirme la position des portes. Il ne peut toutefois pas déterminer, à lui seul, si quelqu’un est resté dans la zone ni si les autres mesures de protection fonctionnent. Ces questions deviennent particulièrement importantes lorsqu’une seconde personne intervient.
La SRS encadre le retour au fonctionnement au moyen de conditions précises de réarmement et de redémarrage. Si l’appréciation du risque impose un réarmement manuel, son organe est placé hors de la zone dangereuse, avec la visibilité nécessaire et sans possibilité d’actionnement depuis cette zone.
Le réarmement est une action volontaire distincte de la mise en marche. L’acceptation du signal exige la surveillance de son changement d’état. Le réarmement ne doit pas créer de danger ; les fonctions de sécurité nécessaires doivent déjà être actives et les mesures de protection techniques opérationnelles.
Si une partie de la zone n’est pas visible, une solution adaptée est nécessaire, par exemple une séquence de réarmement ou une surveillance. La norme permet aussi un réarmement automatique justifié, notamment lorsqu’une détection continue de la personne empêche toute situation dangereuse.
Le document conserve le choix effectué pour l’application. Si le réarmement constitue une fonction de sécurité, son PLr doit également être défini. Deux boutons portant le même libellé ne remplissent pas nécessairement la même fonction.
Si un dispositif d’alimentation fonctionne à proximité, son fournisseur doit connaître l’état attendu pendant l’accès au serrage ainsi que la réaction à la perte des signaux. L’intégrateur coordonne les interfaces avec les autres fonctions. « Signal d’arrêt envoyé » décrit l’émetteur ; la spécification doit encore expliquer comment et quand le récepteur réagira.
Une seule pièce ne représente pas toutes les conditions d’exploitation
L’opérateur a montré le serrage une fois, mais il le répétera pendant tout le poste. Il faut enregistrer la fréquence de sollicitation de la fonction et le nombre de manœuvres de ses éléments. Un accès à chaque pièce crée d’autres contraintes d’exploitation qu’une intervention occasionnelle.
L’environnement, le nettoyage et la maintenance s’ajoutent aux conditions dans lesquelles la solution doit conserver ses propriétés. Les données des dispositifs sont confrontées à l’intensité réelle du travail et aux conditions d’utilisation, même lorsque le même composant équipe déjà une autre machine.
Avant de clôturer la SRS, chaque fonction reçoit un PLr et sa justification : appréciation du risque ou exigence appropriée d’une norme de type C, avec ses conditions. Pour le serrage, seule compte l’exigence applicable à cette utilisation.
Le PL atteint sera évalué plus tard, sur la réalisation. À ce stade, l’équipe définit ce qu’elle exige. Deux valeurs proches dans un tableau ne doivent pas effacer cette différence.
Écrivons les exigences pour que l’automaticien suivant n’ait rien à deviner
Supposons qu’après analyse, l’équipe retienne un logement mécanique soutenant la pièce. L’opérateur peut la déposer puis retirer ses mains avant de fermer le protecteur et d’actionner le serrage. Ce n’est qu’un scénario possible. Si la tâche réelle exige toujours un mouvement pendant l’accès, elle demande une protection adaptée et ses propres exigences.
Consignons maintenant la décision dans la fiche d’une fonction. Le PLr d, les 200 ms et toutes les autres valeurs ci-dessous sont fictifs. Ils ne doivent pas être copiés dans une machine. Chaque projet doit les justifier et appliquer les exigences pertinentes de type C. La fiche reste un exemple de travail tant que ces données ne sont pas établies.
| Champ SRS | Exemple d’exigence | ISO 13849-1:2023 |
|---|---|---|
| Fonction et justification / SF-01, APP-01 | SF-01 : arrêter et empêcher le mouvement motorisé du serrage pendant l’accès au logement. Tâche TASK-L01 : mise en place d’une pièce de 12 kg ; HS-01 : doigts dans la zone des mors. Lien avec l’appréciation du risque : RA-L01. | 5.1 ; 5.2.1.2 ; 5.2.1.3 a) |
| Événement déclencheur / REQ-01 | Demande d’accès ou perte de l’état requis de fermeture ou de blocage du protecteur en position fermée pendant l’autorisation du mouvement de serrage. L’accès ouvert maintient l’interdiction du mouvement. | 5.2.1.3 b) |
| Effet requis / REQ-02 | Arrêter les mors et empêcher tout nouveau mouvement motorisé pendant l’accès. Ne pas autoriser le déblocage du protecteur avant que toutes les conditions nécessaires soient atteintes. La pièce reste soutenue par un logement mécanique indépendant. | 5.2.1.3 c) |
| PLr et justification / REQ-09 | PLr d, hypothèse pédagogique attribuée dans le cas fictif RA-L01. Dans un projet, la valeur doit provenir de sa propre appréciation du risque ou d’une exigence applicable de type C. Il ne s’agit pas du PL atteint. | 5.2.1.3 d) ; 5.3 |
| Temps et accès / REQ-03 | Jusqu’à 200 ms, limite fictive entre l’événement au protecteur et la fin du mouvement indiqué, mécanique comprise. Le protecteur reste bloqué en position fermée jusqu’à satisfaction de toutes les conditions de sécurité. La valeur de 200 ms ne justifie pas, à elle seule, un accès sûr. | 5.2.1.3 e) |
| Modes de fonctionnement / REQ-04 | Production automatique et chargement manuel. Dans cette version, aucun serrage motorisé n’est autorisé avec le protecteur ouvert. Si la tâche réelle l’exige, il faut reprendre l’appréciation et spécifier la protection correspondante. | 5.2.1.3 f) |
| Interfaces / REQ-05 | La confirmation de l’état requis du dispositif de serrage n’est qu’une des conditions d’accès. Les états appropriés de la broche, des axes et du dispositif d’alimentation sont également requis et décrits dans les autres fonctions. L’accusé de réception d’un signal ne remplace pas la réaction exigée. | 5.2.1.3 g) |
| Défaillance / REQ-06 | Une défaillance détectée affectant la fonction interdit tout nouveau mouvement et toute autorisation d’accès jusqu’à l’obtention de l’état requis. Cet état est maintenu jusqu’à la suppression de la défaillance concernée. | 5.2.1.3 h) |
| Énergie / REQ-07 | La perte et le retour de l’énergie ne provoquent ni mouvement dangereux ni libération de la pièce soutenue. Le logement exige une justification mécanique distincte ; sa présence dans cette fiche ne lui attribue pas un PLr. | 5.2.1.3 i) |
| Fréquence et environnement / APP-02, 04 | Exemple : 40 accès/h, 16 h/jour, 250 jours/an, soit 160 000 sollicitations/an. Les manœuvres des composants sont consignées séparément. Environnement supposé : intérieur, 5–40 °C, fluide de coupe et copeaux. Toute autre condition doit être étudiée. | 5.2.1.2 ; 5.2.1.3 j) |
| Priorité / REQ-10 | La demande de la fonction est prioritaire sur une commande normale de mise en marche du serrage. L’interaction avec les autres fonctions ne doit ni supprimer le maintien de la pièce ni autoriser un accès prématuré. | 5.2.1.3 k) |
| Norme de type C / APP-03 | Vérifier le domaine d’application et les exigences relatives notamment au serrage et à l’accès. Pour cette machine-outil hypothétique, ISO 16090-1 est examinée. Les paragraphes précis et le résultat de leur application doivent être enregistrés avant de clôturer la SRS. | 5.2.1.3 l) |
| Retour au fonctionnement / REQ-08 | Après rétablissement des états requis : réarmement volontaire séparé, puis commande distincte de mise en marche, conformément à la solution retenue. La fermeture du protecteur, le réarmement ou le retour de l’énergie ne déclenchent pas le serrage. | 5.2.1.3 m) |
| Vérification et version | REQ-01…10 sont reliées aux analyses, aux essais VT-01…06, à la conception et à la configuration évaluée. L’évaluation du PL et des priorités exige ses propres preuves. Les résultats restent non acquis jusqu’à la vérification effective. Toute modification de pièce, de mode ou de paramètre nécessite une analyse d’impact. | 5.4 ; 10 ; 12 a) |
La fiche d’une fonction n’est qu’un fragment de la SRS. Il faut encore les limites de la machine, les tâches humaines, les données de l’appréciation du risque, les autres fonctions, les interfaces et la maîtrise documentaire. Toute mention « sans objet » doit être justifiée. Une signature sur un formulaire terminé ne peut pas masquer un PLr manquant ou une condition d’accès non résolue.
Un document PDF en anglais de SafetySoftware présente le cas, la fiche SF-01 détaillée, les critères d’essai et des formulaires à remplir pour le projet, les fonctions et leurs liens avec les preuves. L’exemple montre la méthode ; les champs doivent recevoir les décisions réelles de l’équipe.
Télécharger l’exemple SRS et les formulaires à remplir (PDF, en anglais)
Le concepteur mécanique et l’automaticien ont besoin des mêmes décisions. Les exigences portent donc des noms, des identifiants et une version, avec leurs liens vers l’appréciation du risque. Les références à la conception et aux résultats des vérifications viendront ensuite.
Ces informations peuvent être gérées dans un document, des fiches ou un registre maîtrisé. La norme exige un contenu, pas un modèle unique de tableau. Même la mention « sans objet » doit être justifiée pour l’application.
Une telle spécification constitue la base de la conception selon 5.2.1.1, couvre les exigences de 5.2.1.3 et rejoint la documentation technique citée au chapitre 12 a). Elle permet de transmettre le travail entre l’organisation chargée de l’appréciation du risque et le concepteur de la commande.
L’utilisateur et l’intégrateur reçoivent les informations nécessaires à leurs tâches. Cela ne crée pas automatiquement une obligation de transmettre toute la documentation interne de conception. Le périmètre des informations doit être adapté aux responsabilités et à l’application.
Lorsque l’automaticien reviendra au programme, il retrouvera les exigences relatives à la même main, au même serrage et aux mêmes états successifs. Si le dispositif change, il sera aussi possible de comprendre pourquoi ces exigences avaient été retenues. Les décisions ne dépendront plus de la mémoire des participants à une réunion.
La SRS doit porter la protection pendant toute l’opération, y compris lors d’une perte d’énergie. Déclenchement, mouvement, maintien de la pièce, temps de réponse et retour au fonctionnement exigent des critères convenus. Le concepteur dispose alors d’une base de réalisation, et la validation de critères contrôlables.
Il faut maintenant réaliser ce qui a été spécifié
Nous savons comment l’opérateur positionne la pièce, quels mouvements sont nécessaires et ce qui est attendu après une perte d’énergie. Les fonctions ont reçu leur PLr. Quelqu’un peut déjà annoncer en réunion que la sécurité est réglée.
Pour l’instant, nous avons seulement convenu de ce qu’il faut faire. La machine ne le fait pas encore.
Il faut choisir l’architecture et les sous-systèmes, développer la logique et définir les paramètres. Les sollicitations, le diagnostic, l’environnement et l’interaction avec la mécanique doivent être contrôlés. La vanne doit conduire le système vers l’état exigé ; la fonction de l’entraînement doit correspondre au mouvement réel.
Le dispositif de serrage doit lui aussi être réalisé et vérifié. Sa géométrie doit rendre possible la méthode de chargement choisie. Une condition correctement programmée ne remplace pas la pièce mécanique qui devait soutenir le produit sans la main de l’opérateur.
Les sous-systèmes préalablement validés peuvent faire gagner du temps. ISO 13849-1 permet leur utilisation sous réserve du respect des conditions d’intégration. Il faut conserver leurs données et leurs limites d’application, puis justifier leur assemblage dans la fonction complète.
C’est maintenant que les briques éprouvées deviennent utiles : l’exigence est connue et les propriétés attendues sont définies. Il reste aussi possible de déterminer ce qui devra être démontré après leur installation sur la machine.
Lors de l’évaluation du PL selon ISO 13849-1, on compare le PL atteint au PLr et l’on examine la fiabilité, l’architecture, le diagnostic et les défaillances de cause commune. Il faut encore traiter les défaillances systématiques, le logiciel, l’environnement et l’ergonomie.
Malgré un calcul correct, le programme peut autoriser un mouvement dans le mauvais mode. Le modèle de fiabilité restera impeccable, mais l’erreur se trouvera dans la condition d’autorisation. C’est cette condition qu’il faudra rechercher et essayer.
De même, une exclusion de défaut exige une justification valable pour le montage et l’utilisation réels. Un outil de calcul n’ira pas examiner le serrage après une modification improvisée dans l’atelier. Quelqu’un doit alimenter son modèle avec des hypothèses vraies.
Avant la déclaration, tout le travail doit avoir été réalisé
La SRS seule ne permet pas de déclarer une conformité complète à ISO 13849-1. Il faut exécuter les activités de conception, de vérification, de validation et de documentation correspondant à toutes les exigences applicables.
Un numéro de norme s’inscrit vite. Le travail que cette référence est censée représenter prend un peu plus de place qu’une ligne dans une déclaration.
L’absence d’ISO 12100 dans une liste de normes ne prouve pas, à elle seule, que l’appréciation du risque a été omise. Son contenu, ses décisions et leur utilisation dans la conception en apportent la preuve. À l’inverse, une commande formulée comme « réaliser un PL d », sans tâche ni protection attendue, laisse toujours les données d’entrée incomplètes.
Une fois la solution réalisée, il faut revenir à l’appréciation du risque de la machine complète. On vérifie que la réduction du risque attendue a bien été obtenue et qu’elle l’a été sans introduire de nouveaux phénomènes dangereux.
Le nouveau dispositif peut mieux maintenir la pièce tout en imposant une autre manière de la retirer. Cette opération suivante doit aussi être analysée. Le processus itératif d’ISO 12100 revient à la machine réelle ; il ne s’arrête pas au plan corrigé.
La SRS ouvre un travail qui devra ensuite être démontré. Choix, intégration, évaluation du PL, vérification et validation doivent prouver que la fonction réalisée satisfait les exigences dans les conditions prévues. Le document ne fait rien fonctionner à lui seul.
La machine s’est arrêtée. L’essai n’est pas terminé
Nous ouvrons à nouveau le protecteur. Cette fois, nous savons quels mouvements doivent cesser, dans quel délai et comment la pièce doit rester maintenue. L’automate signale l’état prévu. La personne chargée de la vérification regarde aussi le mécanisme.
Il faut confirmer le mouvement, la charge, le maintien et le retour au fonctionnement. Chacun de ces effets est comparé à une exigence précise. Une indication sur l’écran ne suffit pas à décrire le résultat de l’essai complet.
Ce travail a commencé avant la construction de la machine. Le paragraphe 5.4 impose un examen de la SRS avant la conception : les fonctions correspondent-elles à l’appréciation du risque et la spécification contient-elle les exigences nécessaires ?
La validation de la SRS selon 10.2 permet de détecter les omissions, erreurs et écarts par rapport à l’application, aux conditions d’utilisation et aux mauvais usages raisonnablement prévisibles. Il est beaucoup plus confortable de découvrir une opération oubliée lorsque le dispositif de serrage n’existe encore que sur un plan.
La validation de la réalisation vérifie le respect de la SRS et des autres exigences applicables. Elle s’appuie sur des analyses et essais exécutés selon un plan. Les analyses peuvent avancer en parallèle de la conception ; les essais finaux de la machine physique clôturent la partie correspondante.
Essayons aussi le mouvement dont l’opérateur a besoin
Au niveau du protecteur, on vérifie le déclenchement, la réaction, le temps et le maintien de l’état requis. Puis on passe au positionnement de la pièce. Si la SRS autorise un mouvement pendant l’accès, il doit être essayé dans ces conditions précises.
Viennent ensuite le changement de mode, la fin de l’opération, le réarmement et le redémarrage. L’opérateur doit parcourir tout le déroulement convenu. Une seule ouverture de porte réussie ne reproduit pas ce qu’il fera avec les pièces suivantes.
Sur une ligne, il faut aussi observer la seconde machine. L’accusé de réception du signal par son automate fait partie du contrôle. Il reste à démontrer l’état exigé du système raccordé, avec ses délais et les interactions entre équipements.
Des procès-verbaux séparés établis par les fournisseurs n’arrêteront pas la matière à l’interface. Le comportement doit être vérifié dans le périmètre d’intégration convenu.
Le plan couvre également les analyses et essais appropriés en cas de défaillance, de perte de signal ou de variation de l’alimentation. Leur étendue dépend de la norme et de la conception. Les essais exigent des conditions préparées et maîtrisées ainsi que la protection des personnes compétentes qui les conduisent.
Pour le serrage, la question du maintien après l’interruption du fonctionnement normal revient alors au premier plan. L’arrêt du mouvement et la conservation de la charge doivent se rejoindre dans le même résultat, pas dans deux descriptions indépendantes.
Le procès-verbal conserve les conditions d’essai, le critère, le résultat et la configuration de la machine. Pour une mesure de temps, il précise aussi la méthode et les conditions. La personne suivante doit savoir quelle charge a été essayée et quel comportement a été jugé acceptable.
Signer la phrase « la fonction marche » prend moins de place. Malheureusement, cela laisse beaucoup plus de travail au concepteur suivant.
Le programme est corrigé. Le procès-verbal se souvient encore de l’ancienne version
L’automaticien a changé la condition d’autorisation du mouvement, mais le plan d’essai vérifie toujours l’ancienne. Les deux équipes peuvent clôturer leurs documents tout en décrivant des configurations différentes. Exigence, conception et preuves doivent donc concerner la même version évaluée.
Chaque modification est suivie depuis la SRS jusqu’aux résultats correspondants, avec une analyse de son influence sur les autres fonctions. Une correction du serrage ne sort pas de l’évaluation simplement parce qu’elle a déjà été intégrée au programme.
La norme recommande que les personnes chargées de la validation soient indépendantes de la conception des SRP/CS. Une personne extérieure au projet détecte plus facilement une hypothèse devenue invisible à son auteur. Il faut des compétences, un processus adapté et des résultats documentés correspondant au périmètre évalué.
Cela ne crée pas une obligation générale de certification externe pour chaque fonction. Seuls le travail réalisé et son périmètre permettent de savoir ce qui a été démontré. L’exigence doit mener à une réalisation puis à une preuve. Le résultat, la méthode et la configuration doivent permettre d’identifier le comportement réellement évalué.
Quelques mois plus tard, une pièce plus grande arrive
La nouvelle pièce tient sur la table. Le dispositif de serrage peut aussi se fermer. Dans l’atelier, la phrase familière tombe : « la machine peut bien le faire ». Avant tout mouvement, il faut revenir aux limites de la machine.
Le paragraphe 5.3 d’ISO 12100 couvre les limites d’utilisation, d’espace et de temps ainsi que les autres limites. Pour notre poste, il faut vérifier les pièces et outils prévus, les charges, la méthode de serrage et la place nécessaire à l’opérateur. La dimension de la table ne décrit pas à elle seule l’utilisation autorisée.
Si la nouvelle tâche reste dans le domaine évalué, elle peut constituer un changement de série prévu. Il faut alors confirmer que les conditions de protection restent satisfaites dans cette configuration. Une pièce plus grande n’implique pas nécessairement une transformation de la machine.
Supposons toutefois que l’opérateur doive désormais intervenir depuis un côté invisible du poste de réarmement. Ou que le nouvel outil allonge le temps d’arrêt au-delà de la valeur retenue pour concevoir la protection. Une hypothèse déterminante pour son efficacité vient de changer.
Aucun module n’a été remplacé dans l’armoire. La liste des composants paraît rassurante. Mais elle n’indique pas de quel côté l’opérateur introduit sa main.
Il faut reprendre les limites, l’appréciation du risque et les exigences consignées dans la SRS. L’influence du changement sur la conception et sur les résultats existants doit être évaluée. La nouvelle tâche ne peut être autorisée qu’après la mise en œuvre des protections nécessaires et l’exécution des vérifications et validations requises.
Ajouter la pièce plus grande à la documentation ne justifie pas, à lui seul, l’extension d’utilisation.
Il en va de même des conditions nécessaires au maintien de la protection. Si son efficacité dépend d’un contrôle, d’un réglage, du remplacement d’un élément ou d’une durée d’utilisation définie, l’information doit parvenir aux personnes chargées de ces opérations. Les limites temporelles ne disparaissent pas après la mise en service.
Pour la maintenance, une SRS reliée à l’appréciation du risque et au dossier de conception permet de reconstituer les décisions. Sans cette trace, il reste un appel à la personne qui a écrit le programme plusieurs années auparavant, avec l’espoir qu’elle se souvienne du travail pour lequel la condition avait été retenue.
La transformation nécessaire à la nouvelle utilisation peut aussi constituer une modification substantielle. Une pièce plus grande ou le dépassement des anciennes limites ne suffit pas, à lui seul, à le décider. Ce sont les critères juridiques applicables à la modification effectivement réalisée qui tranchent.
Le Règlement (UE) 2023/1230 relatif aux machines les définit à l’article 3, point 16, et fixe à l’article 18 les obligations de la personne qui effectue une modification substantielle. Ces dispositions s’appliquent à partir du 20 janvier 2027. La mise à jour de la SRS n’est qu’une partie du travail qu’une telle modification peut déclencher.
Lors de la réception, on vérifie ce qui a été promis dans la SRS : mouvements, énergies, accès et interfaces utilisés par les personnes. Toute évolution de la tâche ou des conditions impose de confirmer que la protection et sa justification restent valables.
Avant de commander le prochain ensemble de composants
Revenons à l’opérateur et à sa pièce. Le parcours d’une seule opération a révélé un manque absent du catalogue des dispositifs comme du rapport de PL. Il a fallu convenir de l’outillage, de l’accès, des mouvements et du comportement après une perte d’énergie.
Ces décisions ont produit une véritable tâche de conception. La commande peut maintenant être choisie, puis vérifiée par rapport à la protection attendue. Les certificats et les calculs ont enfin quelque chose de concret à justifier.
Pour la prochaine machine, faites ce parcours avec une personne qui connaît réellement le poste. Retrouvez la tâche et ses phénomènes dangereux dans l’appréciation du risque, les exigences dans la SRS, puis les réponses dans la conception et les résultats de vérification. La rupture du raisonnement devient immédiatement visible.
Et lorsque quelqu’un demande, devant une armoire terminée, si la sécurité est déjà faite, montrez comment l’opérateur doit serrer la pièce et ce qui le protège pendant cette opération. C’est généralement très efficace pour écourter une discussion limitée aux composants.
Sources et périmètre des exemples cités
Les exemples reposent sur les éditions et paragraphes indiqués. Ils illustrent une méthode de formulation des exigences ; chaque machine doit faire l’objet d’une vérification de son propre domaine d’application.
- ISO 13849-1:2023 , sécurité des machines, parties des systèmes de commande relatives à la sécurité, partie 1, principes généraux de conception : 4.1–4.6, 5.1–5.4, notamment 5.2.1.3 et 5.2.2–5.2.3, chapitres 6–10 et 12–13.
- ISO 12100:2010, sécurité des machines, principes généraux de conception, appréciation du risque et réduction du risque : chapitres 4–6, en particulier 5.3–5.4.
- ISO 16090-1:2022 , sécurité des machines-outils, centres d’usinage, fraiseuses et machines transfert, partie 1, exigences de sécurité : 5.2.5.5, serrage de la pièce.
- EN 16500:2014 , machines de compactage de déchets ou de fractions recyclables, presses à balles verticales, exigences de sécurité : 5.1.4 et 5.2.2. Domaine cité : certaines presses à balles verticales fermées avec ligature manuelle. Les exigences de cette édition renvoient à EN ISO 13849-1:2008.
- ISO 11161:2007 avec Amd 1:2010, sécurité des machines, systèmes de fabrication intégrés, prescriptions fondamentales : 7.1–7.2, 8.1.4 et 8.8–8.10. L’exemple porte sur les tâches, les interfaces et le périmètre de protection d’un système intégré.
- ISO 13855:2024, sécurité des machines, positionnement des moyens de protection par rapport à l’approche du corps humain : annexes B et D, données et conditions d’évaluation de l’arrêt.
- Règlement du Parlement européen et du Conseil (UE) 2023/1230 relatif aux machines : article 3, point 16, définition de la modification substantielle ; article 18, obligations de la personne effectuant cette modification ; article 54, dates d’application des dispositions.