ISO 13849 protège une machine pneumatique lorsque son système de commande relatif à la sécurité détecte une situation dangereuse, ordonne une réaction sûre définie, tolère les défauts exigés par son architecture, puis fait l'objet d'une vérification et d'une validation par rapport à un objectif issu de l'évaluation des risques. La norme ne prescrit pas un « circuit ISO 13849 » universel, et un distributeur de sécurité ne suffit pas, à lui seul, à rendre une machine conforme.
Pour un axe pneumatique, la réaction requise peut consister à évacuer la pression, maintenir une charge, empêcher une sortie intempestive, revenir dans une position sûre ou combiner plusieurs mesures. Le choix approprié découle de l'analyse des phénomènes dangereux. La mise à l'échappement d'un vérin vertical peut, par exemple, créer un risque de chute de charge au lieu de le supprimer.
Points essentiels
- Définissez chaque fonction de sécurité et son état sûr avant de choisir les distributeurs ou les capteurs.
- Déterminez le niveau de performance requis, PLr, à partir de l'évaluation des risques de la machine et de toute norme de type C applicable.
- La catégorie, le MTTFd, le DCavg, les CCF, les mesures systématiques, le logiciel et les interfaces entre sous-systèmes influent tous sur le PL atteint.
- Utilisez les données de fiabilité du fabricant correspondant exactement au composant et à ses conditions de fonctionnement; ne les remplacez pas par des valeurs B10D génériques.
- SISTEMA facilite le calcul et la documentation, mais ne réalise ni l'évaluation des risques ni la validation de la machine.
- La purge de sécurité, le maintien de charge et la consignation des énergies répondent à des risques différents.
Note de terrain de David Li
Lorsque nous examinons des concepts de sécurité pneumatique avec des intégrateurs, l'erreur initiale la plus fréquente consiste à choisir le distributeur avant de définir l'état sûr. Je commence par trois questions: quel mouvement ou quelle énergie emmagasinée peut blesser une personne ? Quel état physique supprime ce risque ? Quel essai démontrera que la machine atteint cet état après un défaut pertinent ?
Mon expérience montre que ces questions révèlent les exigences oubliées de maintien de charge, de pression emprisonnée et de prévention du redémarrage avant qu'elles ne se transforment en modifications sur site. Si l'équipe ne peut pas répondre aux trois questions, il est prématuré de commander un « distributeur PL e ». Le marquage du composant ne peut pas corriger une fonction de sécurité mal définie.
Ce qu'ISO 13849 couvre dans une machine pneumatique
ISO 13849-1:2023 fournit une méthode de conception et d'intégration des parties des systèmes de commande relatives à la sécurité, ou SRP/CS, en modes à sollicitation élevée et continu. Elle est indépendante de la technologie: des éléments électriques, hydrauliques, pneumatiques, mécaniques et logiciels peuvent tous participer à une même fonction de sécurité.
La norme n'attribue pas une fonction de sécurité ou un PLr à une machine donnée. Elle n'affirme pas non plus que toute application pneumatique exige la catégorie 3, la catégorie 4, deux distributeurs, des capteurs de technologies différentes ou le PL d. Ces décisions dépendent de l'évaluation des risques, de la réduction du risque requise, de l'architecture retenue et de toute norme propre au type de machine.
La terminologie est importante, car plusieurs notions différentes sont souvent regroupées sous le mot « niveau ». Une fonction de sécurité est une réponse définie de la machine qui réduit un risque identifié. Le PLr est le niveau de performance requis pour cette fonction. Le PL atteint est le résultat démontré par l'ensemble de la conception de commande relative à la sécurité; il ne se recopie pas depuis le certificat d'un composant.
| Terme | Ce qu'il signifie | Ce qu'il ne signifie pas |
|---|---|---|
| Fonction de sécurité | Action définie du système de commande qui réduit un risque précis | Promesse générale que la machine est sûre |
| PLr | Niveau de performance requis pour une fonction de sécurité | PL déjà atteint par la conception |
| PL | Performance atteinte par la fonction de commande relative à la sécurité complète | Niveau hérité automatiquement d'un seul composant |
| Catégorie | Comportement d'une architecture désignée en matière de tolérance aux défauts et de diagnostic | Calcul complet de fiabilité |
| MTTFd | Durée moyenne avant défaillance dangereuse, utilisée pour les canaux ou les sous-systèmes | Durée de vie prévue ou intervalle d'essai périodique |
| DCavg | Couverture moyenne du diagnostic des défaillances dangereuses | Pourcentage de tous les défauts possibles qui seront détectés |
| CCF | Mesures contre les défaillances de cause commune dans les systèmes multicanaux | Preuve que deux canaux sont indépendants dans toutes les conditions |
| SIL | Mesure d'intégrité de la sécurité fonctionnelle utilisée par des normes telles qu'IEC 62061 | Autre nom de la catégorie 3 ou de la catégorie 4 d'ISO 13849 |
ISO 13849 utilise des niveaux de performance allant de a à e. IEC 62061 utilise des valeurs SIL. Certains produits déclarent une aptitude selon les deux normes, mais leurs méthodes et leur terminologie ne doivent pas être mélangées dans le dossier de la machine.
Étape 1: définir la fonction de sécurité et l'état sûr
ISO 12100:2010 fournit le cadre d'appréciation et de réduction des risques liés aux machines qui précède la conception du système de commande. Identifiez la tâche, la personne exposée, le phénomène dangereux, l'événement dangereux, le mode de fonctionnement, la gravité, l'exposition et la possibilité d'éviter le dommage. Appliquez d'abord les mesures de prévention intrinsèque et les protecteurs avant de vous appuyer sur des mesures de commande.
Une spécification utile de fonction de sécurité est mesurable. « Arrêter le vérin en toute sécurité » est trop vague. Une meilleure spécification précise:
- Déclencheur: ouverture d'un protecteur, interruption d'un rideau lumineux, actionnement d'un arrêt d'urgence, perte du retour d'état ou autre événement défini.
- Phénomène dangereux: écrasement, cisaillement, choc, éjection, chute de charge, pression emprisonnée ou redémarrage intempestif.
- Réaction requise: supprimer la pression motrice, empêcher la sortie, arrêter et maintenir, rejoindre une position sûre ou exécuter une autre action définie.
- Critères d'état sûr: déplacement maximal admissible, seuil de pression, force, vitesse, temps d'arrêt ou position.
- Comportement au réarmement: personne autorisée à réarmer, emplacement de l'organe de réarmement et aptitude du réarmement à déclencher ou non un mouvement.
- Modes de fonctionnement: les modes automatique, réglage, nettoyage, reprise après défaut et maintenance peuvent nécessiter des mesures de protection différentes.
- PLr: objectif issu de l'évaluation des risques pour cette fonction de sécurité particulière.
Prenons un transfert horizontal à vérin sans tige placé derrière un protecteur. Une fonction de sécurité pourrait être formulée ainsi: « Lorsque le protecteur d'accès s'ouvre en fonctionnement automatique, empêcher tout nouveau mouvement dangereux du chariot et empêcher le redémarrage automatique tant que le protecteur n'est pas fermé et qu'un réarmement volontaire n'a pas été effectué. » La spécification doit encore définir le déplacement acceptable après la sollicitation de la fonction et la manière dont l'étage de sortie l'obtient.
La même machine peut nécessiter une fonction d'arrêt d'urgence distincte, une fonction de décompression sûre et une fonction de prévention de la mise en marche intempestive. Leurs périmètres et leurs PLr peuvent être différents.
Étape 2: déterminer le PLr sans confondre le graphe de risque avec un calcul du PL
Le graphe de risque d'ISO 13849 prend en compte la gravité du dommage, la fréquence ou la durée d'exposition et la possibilité d'éviter ou de limiter le dommage. Son résultat est le niveau de performance requis, PLr, pour la fonction de sécurité. Il ne calcule pas le PL atteint par le matériel et le logiciel.
N'utilisez le graphe qu'après avoir défini le phénomène dangereux et la fonction de sécurité. Consignez la justification de chaque paramètre S, F et P. Vérifiez si une norme de type C applicable à la machine précise plus directement la fonction ou l'exigence de performance. N'attribuez pas le PL d simplement parce qu'un vérin pneumatique est de grande taille, et ne supposez pas que « la plupart des machines pneumatiques » exigent le PL c ou le PL d.
L'évaluation des risques doit également indiquer les hypothèses qui influent sur l'évitement et l'exposition: vitesse de l'actionneur, fréquence d'accès, visibilité, espace de dégagement, formation de l'opérateur, charge et possibilité que le danger survienne sans avertissement. Si une hypothèse change, réévaluez le PLr.
Étape 3: concevoir l'architecture complète entrée–logique–sortie
Le calcul couvre la chaîne de commande relative à la sécurité, tandis que la validation confirme la réaction de la machine installée et son comportement en présence de défauts.
- Entrée: interrupteur de protecteur, rideau lumineux, commande bimanuelle, dispositif d'arrêt d'urgence, pressostat ou capteur de position.
- Logique: relais de sécurité, contrôleur de sécurité configurable ou automate programmable de sécurité, y compris le logiciel d'application relatif à la sécurité.
- Sortie: contacteurs, distributeurs pneumatiques surveillés, dispositifs de freinage ou de maintien et tout retour nécessaire pour confirmer leur état.
- Réponse de la machine: pression, force, vitesse, position et mouvement résiduel au niveau du phénomène dangereux réel.
Les catégories désignées décrivent l'effet des défauts sur la fonction de sécurité:
| Catégorie | Comportement architectural simplifié |
|---|---|
| B | Les principes élémentaires de sécurité sont appliqués; un défaut peut entraîner la perte de la fonction de sécurité. |
| 1 | Des composants et des principes de sécurité éprouvés améliorent la fiabilité, mais un défaut peut encore provoquer la perte de la fonction. |
| 2 | La fonction est contrôlée à des intervalles appropriés; un défaut peut rester dangereux entre deux contrôles. |
| 3 | Un défaut unique n'entraîne pas la perte de la fonction de sécurité; certains défauts sont détectés, mais une accumulation de défauts non détectés peut provoquer sa perte. |
| 4 | Un défaut unique n'entraîne pas de perte, et la détection des défauts ou la résistance à leur accumulation maintient la fonction de sécurité conformément aux exigences de l'architecture. |
Ce tableau sert à orienter la conception, et non à choisir directement une catégorie. L'obtention du PL exige le respect des conditions quantitatives et qualitatives associées à la catégorie retenue. Un schéma de catégorie 3 comportant deux canaux similaires n'atteint pas automatiquement le PL d.
Choisir l'état sûr pneumatique à partir du phénomène dangereux
Les éléments pneumatiques finaux doivent produire l'état défini dans la spécification de la fonction de sécurité. Les stratégies courantes comprennent:
- Couper l'alimentation et mettre une zone dangereuse à l'échappement
- Empêcher la pression d'atteindre l'orifice de sortie du vérin
- Maintenir un axe à l'aide d'un frein ou d'un bloqueur de tige validé
- Ramener un actionneur dans des conditions maîtrisées
- Isoler une branche tout en maintenant la pression dans un autre circuit important pour la sécurité
- Combiner une action pneumatique avec une retenue mécanique
Il n'existe aucune exigence universelle imposant un distributeur de sécurité 5/2 ou 5/3. Un distributeur d'échappement 3/2 redondant et surveillé peut convenir à une fonction de purge sûre, tandis qu'une charge verticale peut nécessiter une mesure indépendante de maintien de charge. Consultez notre article sur l'intégration des distributeurs d'échappement de sécurité dans les protecteurs d'une machine pour le positionnement des distributeurs, les essais de décroissance de pression et la prise en compte du volume aval.
Si la perte d'air peut libérer une charge, examinez le maintien de charge des vérins verticaux et les limites des clapets antiretour pneumatiques. Un clapet antiretour piloté peut empêcher le mouvement tout en emprisonnant une pression qui reste dangereuse pendant une intervention.
Étape 4: quantifier la fiabilité à partir de données propres aux composants
Pour les composants pneumatiques et électromécaniques soumis à l'usure, les fabricants fournissent couramment une valeur B10D: le nombre de cycles auquel 10 % d'une population devrait avoir subi une défaillance dangereuse dans les conditions indiquées. Le nombre annuel de manœuvres, n_op, permet de convertir les données cycliques en MTTFd:
Nombre annuel de manœuvres: n_op = (d_op × h_op × 3 600) / t_cycle
Durée moyenne avant défaillance dangereuse: MTTF_d = B10D / (0,1 × n_op)
Ici, d_op représente le nombre de jours de fonctionnement par an, h_op le nombre d'heures de fonctionnement par jour et t_cycle le temps moyen, en secondes, entre deux manœuvres successives du composant. Utilisez la sollicitation réelle de la fonction de sécurité ou le profil réel de commutation du composant, et non le cycle théorique le plus rapide de la machine, sauf si celui-ci correspond effectivement au fonctionnement prévu.
Ne reportez pas une valeur générique de 10 ou 20 millions de cycles dans le calcul. Obtenez les données correspondant à la référence exacte, à la plage de pression, à la qualité de l'air, à la température, à la fréquence de commutation, à la charge, au silencieux autorisé et aux conditions de maintenance. Si le fournisseur fournit plutôt le PFHd, le PL d'un sous-système ou une bibliothèque SISTEMA, vérifiez les hypothèses et les contraintes d'intégration avant de les utiliser.
Rassemblez au minimum les éléments de preuve suivants:
| Donnée | Pourquoi elle est importante | Preuve habituelle |
|---|---|---|
| B10D ou PFHd | Quantifie le comportement en matière de défaillance dangereuse | Manuel de sécurité ou déclaration du fabricant |
| Cycles de fonctionnement | Convertit les données cycliques en fiabilité exprimée dans le temps | Compteur d'automate, étude de production et sollicitations d'essai raisonnablement prévisibles |
| Durée de mission | Limite la période de validité du calcul | Plan de sécurité et dossiers de maintenance |
| Catégorie | Définit le comportement architectural en présence de défauts | Conception du circuit et documentation du sous-système |
| DCavg | Valorise les diagnostics réellement efficaces | Méthode de diagnostic, modes de défaillance détectables et intervalles d'essai |
| Mesures contre les CCF | Traite le risque qu'une même cause neutralise plusieurs canaux | Revue de conception selon les critères CCF applicables |
| Limites environnementales | Maintient la validité des hypothèses de fiabilité | Dossiers relatifs à la qualité de l'air, à la température, aux vibrations, à la CEM et à l'installation |
| Mesures systématiques | Maîtrise les erreurs de conception, de logiciel, d'intégration et de maintenance | Dossiers de développement et de vérification |
La couverture du diagnostic doit correspondre aux modes de défaillance réels
La détection de pression et de position peut améliorer les diagnostics, mais l'ajout d'un capteur ne crée pas automatiquement un DC de 90 %. Définissez les défaillances dangereuses du distributeur, du capteur, du câblage, de la logique et du circuit pneumatique que le diagnostic détecte, le moment auquel il les détecte et la réaction qui suit.
Les exemples comprennent la surveillance de la position du tiroir ou du clapet d'un distributeur, le contrôle de plausibilité de la pression aval, la temporisation des divergences entre canaux, les impulsions de test et la vérification de l'état attendu de l'actionneur. Un pressostat monté en amont du distributeur d'isolement ne peut pas prouver qu'une cavité aval emprisonnée a été purgée.
Les CCF ne se résument pas à la séparation physique
Les systèmes multicanaux nécessitent des mesures contre les défaillances susceptibles de neutraliser les deux canaux. La séparation des canaux peut aider, mais une alimentation en air commune, un air contaminé, une température excessive, les vibrations, une maintenance incorrecte, des connecteurs partagés, des erreurs logicielles et un même dommage d'installation peuvent encore toucher les deux canaux.
Utilisez la méthode d'évaluation des CCF de la norme et documentez les mesures réellement mises en œuvre. Des technologies de capteurs différentes peuvent être utiles dans certaines conceptions, mais la diversité n'est pas une exigence universelle et ne supprime pas la nécessité de maîtriser systématiquement la conception.
Étape 5: vérifier le PL atteint dans SISTEMA
Le logiciel SISTEMA de l'IFA modélise les fonctions de sécurité au moyen d'architectures désignées et évalue le PL à partir de paramètres comprenant la catégorie, le MTTFd, le DCavg et les CCF. Utilisez SISTEMA 3.x pour les travaux fondés sur ISO 13849-1:2023; l'IFA précise que chaque version majeure de SISTEMA est liée à une révision donnée de la norme.
Une structure de projet rigoureuse suit les exigences de sécurité:
- Créez dans SISTEMA une fonction de sécurité distincte pour chaque fonction de sécurité définie de la machine.
- Saisissez son PLr et consignez la référence de l'évaluation des risques.
- Décomposez la fonction en sous-systèmes d'entrée, de logique et de sortie.
- N'importez les bibliothèques actuelles des fabricants qu'après avoir contrôlé leur version et leurs conditions d'utilisation.
- Saisissez la fréquence de commutation, les diagnostics et la durée de mission propres à la machine.
- Résolvez les avertissements et vérifiez que le PL atteint est supérieur ou égal au PLr.
- Exportez le rapport et placez-le sous gestion de configuration avec les schémas et la révision du logiciel.
SISTEMA est un outil d'évaluation, pas un générateur de certificats. Un résultat vert ne peut pas détecter un raccordement pneumatique incorrect, un échappement obstrué, des données de cycle erronées, un risque gravitaire non modélisé ou un logiciel qui ne correspond pas au calcul.
Étape 6: valider la fonction de sécurité installée
La norme de validation actuellement publiée est ISO 13849-2:2012. Une norme de remplacement est en cours d'élaboration sous la forme d'ISO/DIS 13849-2, mais un projet de norme ne doit pas être cité comme s'il s'agissait de l'édition publiée en vigueur. La validation s'appuie sur l'analyse et les essais pour démontrer que les fonctions de sécurité, l'architecture, le comportement en cas de défaut et le PL atteint satisfont à la spécification.
Planifiez la validation avant la mise en service. Une personne compétente indépendante, ou disposant d'une indépendance suffisante, doit pouvoir relier chaque essai à une exigence. Consignez le mode de la machine, le produit et la charge, la pression d'alimentation, la température, la somme de contrôle du logiciel, les révisions des distributeurs et des capteurs, les moyens de mesure, les critères d'acceptation, le résultat obtenu et tout écart.
| Essai de validation | Éléments à observer |
|---|---|
| Solliciter chaque canal d'entrée | Les sorties de sécurité commutent et la machine atteint l'état sûr spécifié |
| Ouvrir ou court-circuiter un canal, selon le cas | Le défaut est détecté et la réaction requise au défaut se produit |
| Empêcher un élément du distributeur de sortie de changer d'état | La redondance et le retour d'état se comportent comme prévu |
| Limiter la voie d'échappement autorisée jusqu'à la restriction crédible maximale | La pression et le mouvement restent dans les critères d'acceptation validés |
| Tester les pressions d'alimentation minimale et maximale | Le temps de réponse et l'état final restent acceptables |
| Utiliser la position et la charge du vérin les plus défavorables | Le déplacement, le temps d'arrêt et le comportement de la charge restent dans les limites |
| Interrompre puis rétablir l'alimentation électrique ou pneumatique | Aucun redémarrage automatique dangereux ne se produit |
| Créer des divergences de retour d'état | Le contrôleur interdit le prochain cycle dangereux comme spécifié |
| Actionner les commandes de réarmement | Le réarmement acquitte l'état de sécurité sans déclencher lui-même un mouvement dangereux |
Corrélez dans le temps la sollicitation de la fonction de sécurité, la sortie logique, le retour d'état du distributeur, la pression aval et le mouvement dangereux. Le temps de commutation indiqué au catalogue d'un distributeur n'est pas le temps d'arrêt de la machine. Le volume des tuyaux, le débit du distributeur, les silencieux, les régulateurs de débit, la charge du vérin et l'inertie mécanique influencent tous la réponse de l'installation.
Les intervalles d'inspection et d'essai fonctionnel doivent être établis à partir des instructions du composant, de l'évaluation des risques, de l'environnement de fonctionnement, de la fréquence d'utilisation, de la conception des diagnostics et de la norme de machine applicable. ISO 13849 n'impose pas de calendrier générique du type « mensuel pour le PL e, annuel pour le PL c ».
La purge de sécurité et la consignation des énergies sont deux mesures différentes
Une vanne manuelle verrouillable d'alimentation en air peut participer à une procédure de consignation des énergies. Sa présence n'établit pas le PL d'une fonction de sécurité automatique.
OSHA 29 CFR 1910.147 traite de la maîtrise des énergies dangereuses lors des opérations d'entretien et de maintenance visées. Le texte définit l'énergie pneumatique comme une source d'énergie et exige l'isolement, le verrouillage ou l'étiquetage, la maîtrise de l'énergie emmagasinée ou résiduelle et la vérification de l'isolement.
La mise hors tension d'un distributeur à solénoïde par un relais de sécurité constitue normalement une action du système de commande. Elle n'en fait pas automatiquement un dispositif de séparation des énergies. Pour les interventions concernées, la procédure peut exiger une vanne d'alimentation à commande manuelle et verrouillable, des cadenas individuels, la purge ou la retenue de l'énergie emmagasinée, une vérification au poste de travail et la maîtrise continue de toute pression susceptible de se reconstituer.
Maintenez des périmètres documentaires clairs:
| Situation | Protection principale |
|---|---|
| Ouverture d'un protecteur pendant la production | Fonction de commande relative à la sécurité validée |
| Sollicitation de l'arrêt d'urgence | Réponse d'arrêt d'urgence définie et mesures associées de réduction du risque |
| Reprise après défaut sans pénétrer dans une zone dangereuse | Fonction de sécurité propre au mode et prévention du redémarrage |
| Maintenance avec exposition à une remise sous énergie intempestive | Procédure de maîtrise des énergies dangereuses et isolement vérifié |
| Travail sous une charge pneumatique suspendue | Isolement complété par une retenue mécanique indépendante |
Données à demander à un fournisseur de composants de sécurité pneumatiques
N'émettez pas une demande de prix qui réclame uniquement un « distributeur ISO 13849 ». Indiquez la fonction de sécurité et demandez les données dont l'intégrateur a besoin:
- Produit exact et révision couverts par la documentation
- Fonction de sécurité déclarée et normes applicables
- Catégorie, PL ou SIL maximal possible et architecture requise
- B10D, PFHd, durée de mission et fréquence de commutation autorisée
- Mécanisme de diagnostic, temporisation du retour d'état et réaction au défaut
- Sorties requises du contrôleur de sécurité, limites des impulsions de test et comportement au réarmement
- Limites de pression, de température, de qualité d'air, de vibrations et de CEM
- Données de débit d'échappement et silencieux ou accessoires homologués
- Restrictions relatives au montage en série ou en parallèle des distributeurs
- Manuel de sécurité, bibliothèque SISTEMA, déclarations et certificats délivrés par des tiers, le cas échéant
- Instructions de maintenance, de remplacement et d'essai périodique
Un produit décrit comme « apte au PL e » ne peut apporter cette aptitude que s'il est installé dans les limites indiquées et intégré à une fonction de sécurité complète qui atteint le même objectif.
Erreurs courantes de conception pneumatique selon ISO 13849
- Choisir un distributeur double avant de définir l'état sûr
- Traiter le PLr issu du graphe de risque comme le PL atteint
- Utiliser la catégorie à la place de l'évaluation complète du PL
- Recopier des valeurs B10D génériques provenant de distributeurs ou d'actionneurs sans rapport avec l'application
- Valoriser un capteur sans établir la liste des défaillances dangereuses qu'il détecte
- Ignorer la contamination de l'alimentation en air commune comme mécanisme de cause commune
- Mesurer la pression au niveau du distributeur alors qu'une pression dangereuse reste emprisonnée dans l'actionneur
- Supposer que la mise à l'échappement rend toujours sûrs les mécanismes verticaux ou rappelés par ressort
- Utiliser le temps de commutation du catalogue comme temps d'arrêt de la machine
- Permettre au réarmement ou au rétablissement de l'air de déclencher un mouvement dangereux
- Remplacer une pièce par une pièce de rechange standard sans réévaluer la fonction de sécurité
- Considérer un distributeur d'échappement de sécurité comme un substitut à une consignation vérifiée
- Qualifier un rapport SISTEMA de « certification de la machine » sans validation de l'installation
FAQ sur les circuits de sécurité pneumatiques selon ISO 13849
ISO 13849 impose-t-elle deux canaux pour chaque circuit de sécurité pneumatique ?
Non. L'évaluation des risques détermine le PLr, puis la conception doit employer une architecture capable d'atteindre cet objectif. Certaines fonctions de sécurité peuvent relever de catégories inférieures; des exigences plus élevées de tolérance aux défauts peuvent nécessiter une architecture multicanal.
La catégorie 3 équivaut-elle au PL d ?
Non. La catégorie 3 caractérise une architecture. Le PL atteint dépend aussi du MTTFd, du DCavg, des mesures contre les CCF, des exigences systématiques et de la bonne intégration des sous-systèmes. Une architecture de catégorie 3 ne permet d'atteindre certains niveaux de performance que si toutes les conditions applicables sont satisfaites.
Un distributeur certifié PL e peut-il rendre toute la machine conforme au PL e ?
Non. Le distributeur n'est qu'un sous-système. Les entrées, la logique, l'intégration des sorties, les diagnostics, le logiciel, les interfaces et la réponse physique de la machine doivent tous satisfaire les exigences de la fonction de sécurité et faire l'objet d'une validation.
Un arrêt d'urgence pneumatique doit-il toujours purger tout l'air de la machine ?
Non. L'évaluation des risques définit l'état sûr requis. Une purge totale peut convenir à une zone, mais devenir dangereuse pour une charge suspendue, un dispositif de serrage, un préhenseur à vide ou un mécanisme à ressort. L'arrêt d'urgence ne remplace pas non plus l'isolement des énergies requis pour les opérations de maintenance concernées.
SISTEMA prouve-t-il qu'une machine pneumatique est sûre ?
Non. SISTEMA évalue l'architecture modélisée des parties de commande relatives à la sécurité. Il ne peut pas confirmer que l'installation physique correspond au modèle ni que la pression, le mouvement, le redémarrage et les réactions aux défauts respectent la spécification. Ces points doivent être validés sur la machine installée.
À quelle fréquence faut-il tester le circuit de sécurité ?
Il n'existe pas d'intervalle universel fondé uniquement sur le PL. Définissez les intervalles d'inspection et d'essai fonctionnel à partir des manuels de sécurité des composants, de l'évaluation des risques, de l'environnement d'exploitation, de la conception des diagnostics, de l'utilisation, de l'historique de maintenance et des normes de type C applicables à la machine.
Conclusion
ISO 13849 protège les machines pneumatiques par une chaîne documentée de décisions d'ingénierie: définir le phénomène dangereux et la fonction de sécurité, déterminer le PLr, choisir une architecture appropriée, quantifier la fiabilité à l'aide de données valides sur les composants, vérifier le PL atteint et valider la réponse de l'installation dans les conditions normales et en présence de défauts.
La question la plus importante n'est pas « Quel distributeur est conforme à ISO 13849 ? », mais « Que doit faire cette machine lorsque la fonction de sécurité est sollicitée, et quelles preuves démontrent qu'elle continuera à le faire en présence d'un défaut crédible ? » Répondez d'abord à cette question: le choix du distributeur devient alors une partie maîtrisée d'une conception de sécurité justifiable.
Sources
- Organisation internationale de normalisation. ISO 13849-1:2023 — Parties des systèmes de commande relatives à la sécurité, partie 1. Publiée en avril 2023. Consultée le 17 juillet 2026.
- Organisation internationale de normalisation. ISO 12100:2010 — Appréciation et réduction du risque. Consultée le 17 juillet 2026.
- Organisation internationale de normalisation. ISO 13849-2:2012 — Validation. Consultée le 17 juillet 2026.
- Organisation internationale de normalisation. ISO/DIS 13849-2 — Projet de révision en cours d'élaboration. Consultée le 17 juillet 2026.
- Organisation internationale de normalisation. ISO 4414:2010 — Règles générales et exigences de sécurité pour les systèmes pneumatiques. Consultée le 17 juillet 2026.
- Institut pour la sécurité et la santé au travail de l'Assurance sociale allemande des accidents. Logiciel SISTEMA pour ISO 13849-1. Consultée le 17 juillet 2026.
- Occupational Safety and Health Administration. 29 CFR 1910.147 — Maîtrise des énergies dangereuses. Consultée le 17 juillet 2026.