Une vanne pneumatique de sécurité surveillée est un sous-système redondant de commande de puissance qui n'alimente en air que lorsque les deux canaux fonctionnent correctement, puis bloque l'alimentation et met la pression en aval à l'échappement lorsque la fonction de sécurité est demandée. Le retour d'information indique au contrôleur de sécurité si les éléments ont atteint l'état attendu. Toute discordance supprime la commande et peut interdire le redémarrage jusqu'à la suppression du défaut.
Les catégories 3 et 4 ne caractérisent pas la vanne à elles seules. La catégorie décrit plutôt l'architecture et le comportement en cas de défaillance de l'ensemble du système de commande lié à la sécurité. La vanne, les capteurs, la logique de sécurité, le câblage, le circuit pneumatique, les diagnostics, le comportement de réinitialisation et la réaction physique de la machine doivent, ensemble, atteindre le niveau de performance requis.
À retenir
- ISO 13849-1:2023 s'applique aux systèmes de commande liés à la sécurité électriques, hydrauliques, pneumatiques, mécaniques et logiciels.
- Deux éléments de vanne redondants peuvent maintenir un échappement sûr après la défaillance d'un élément.
- Les retours doivent correspondre à la commande dans la fenêtre temporelle documentée du produit.
- Une vanne surveillée ne prouve pas que la machine a atteint un état sûr.
Que signifient les catégories 3/4 pour une vanne pneumatique de sécurité ?
ISO 13849-1:2023 est une méthodologie de 152 pages pour les systèmes de commande liés à la sécurité, et non un tableau de sélection attribuant un PLr à chaque application de vanne. Elle couvre les technologies pneumatiques et autres, mais ne définit explicitement ni la fonction de sécurité ni le niveau de performance requis pour une machine donnée (ISO, 2023).
Les fabricants peuvent déclarer qu'un produit convient jusqu'à la catégorie 4, PL e, dans des conditions définies. Cette déclaration fournit des éléments de preuve sur le composant ou le sous-système ; elle ne certifie pas la machine complète. L'intégrateur doit encore définir la fonction de sécurité, déterminer le PLr, modéliser l'architecture réelle, suivre le manuel de sécurité et valider la réaction de l'installation. La catégorie décrit les exigences structurelles et le comportement en cas de défaillance. Le niveau de performance (PL) décrit la capacité du système de commande lié à la sécurité à assurer sa fonction dans des conditions prévisibles. La catégorie contribue au PL, mais la fiabilité des composants, la couverture diagnostique, les mesures contre les défaillances de cause commune, les mesures systématiques, le logiciel et les interfaces entre sous-systèmes influencent également le résultat.
Cette distinction évite une erreur de spécification courante : demander une « vanne de catégorie 4 » sans définir ce qui doit devenir sûr. Selon le danger, la machine peut nécessiter une mise à l'échappement sûre, la prévention d'une mise sous pression intempestive, un retour contrôlé, le maintien sûr d'une charge, ou une combinaison de ces fonctions. La mise à l'échappement peut créer un nouveau danger si une charge verticale tombe ou si une pince se desserre.
Pour la conception au niveau du système, consultez les guides sur les circuits pneumatiques de sécurité selon ISO 13849 et l'intégration des vannes d'échappement de sécurité dans le protecteur de machine. Cet article reste centré sur le fonctionnement de la vanne et sur la limite du périmètre de surveillance.
Les deux états de fonctionnement d'une vanne d'échappement de sécurité surveillée
Le modèle P33 de Parker à surveillance externe utilise deux solénoïdes de commande qui doivent s'actionner ensemble, avec une limite de synchronisme documentée de 150 ms pour ce produit. Sa fonction 3/2 relie l'orifice d'alimentation 1 à l'orifice de sortie 2 lorsqu'elle est actionnée, puis bloque l'orifice 1 et relie l'orifice de sortie 2 à l'échappement 3 lorsqu'elle est désactivée (Parker, consulté en 2026).
Cette séquence illustre la logique de fonctionnement habituelle d'une vanne d'échappement de sécurité redondante :
| État de la vanne | Commande électrique | Chemin d'alimentation | Chemin d'échappement | Retour attendu |
|---|---|---|---|---|
| Sûr, hors tension | Les deux sorties de sécurité sont désactivées | Alimentation bloquée | Aval relié à l'échappement | Les deux éléments indiquent l'état sûr |
| Transition vers l'alimentation | Les deux sorties s'activent | Ouverture seulement après le déplacement des deux éléments | Fermeture pendant le déplacement des éléments | Les deux signaux changent dans la fenêtre autorisée |
| Alimentation normale | Les deux sorties sont activées | Alimentation reliée à l'aval | Échappement fermé | Les deux éléments indiquent l'état alimenté |
| Demande de sécurité | Les deux sorties se désactivent | Alimentation fermée | L'aval s'ouvre vers l'échappement | Les deux signaux reviennent à l'état sûr |
| Discordance | Commande et retour ne correspondent pas | Réaction sûre selon le produit | Réaction d'échappement selon le produit | Défaut déclaré et redémarrage interdit selon les spécifications |
« Normalement fermée » désigne le chemin d'alimentation. Lorsque l'alimentation électrique est coupée, les ressorts déplacent les éléments de la vanne vers l'état qui bloque l'air d'entrée et ouvre le circuit aval vers l'échappement. Certains produits ajoutent une fonction de démarrage progressif lors de la remise sous pression, mais cette fonction doit être utilisée exactement comme le décrit la documentation de sécurité du produit.
La mise hors tension de la vanne ne place pas automatiquement la machine dans son état sûr. Les clapets anti-retour, distributeurs à centre fermé, accumulateurs, chambres de vérin, multiplicateurs et longues embases peuvent retenir la pression au-delà de la vanne d'échappement. La gravité, les ressorts, l'inertie ou le vide peuvent encore déplacer le mécanisme après la baisse de la pression aval. Lorsque la perte de pression peut libérer une charge verticale, évaluez le fonctionnement du verrou de tige et ses limites d'application.
Comment la surveillance externe détecte-t-elle un défaut de vanne ?
Le ROSS RSe utilise deux capteurs de proximité PNP et annonce une couverture diagnostique de 99 % lorsque les deux capteurs sont surveillés à chaque actionnement et désactionnement dans l'architecture de commande externe documentée. Chaque capteur observe un élément de vanne, tandis que le contrôleur de sécurité externe compare les deux états de retour à l'état commandé (ROSS Controls, consulté en 2026).
La surveillance externe sépare les éléments pneumatiques de puissance de la logique de diagnostic. Des signaux de retour distincts décrivent les deux éléments de vanne. Un relais de sécurité externe ou un automate de sécurité fournit les deux commandes, vérifie les transitions de retour, applique le temps de discordance autorisé, détecte si nécessaire les courts-circuits ou les connexions croisées, et détermine si le redémarrage est permis.
La technologie de retour varie selon le produit. Dans l'exemple cité, ROSS détecte la position du tiroir, tandis que le guide de surveillance externe du P33 de Parker décrit des capteurs de pression à semi-conducteurs associés à ses éléments redondants. Aucune des deux méthodes n'est universelle : un programme de contrôleur écrit pour une table de vérité de signaux ne peut pas être transféré à une autre vanne sans examiner son nouveau manuel de sécurité. Les vannes à surveillance interne réalisent une partie ou la totalité de la comparaison et du verrouillage sur défaut dans l'ensemble. Certaines fournissent une sortie d'état combinée et exigent une entrée de réinitialisation dédiée. La surveillance interne réduit la logique de comparaison programmée par l'utilisateur, mais le contrôleur de machine doit toujours évaluer l'état, empêcher un redémarrage intempestif et valider l'état physique sûr.
Comparez les deux configurations de la manière suivante :
| Configuration de surveillance | Ce que fournit la vanne | Ce que doit fournir le système de sécurité externe |
|---|---|---|
| Surveillance externe | Retour séparé des éléments et règles de temporisation du produit | Sorties sûres, comparaison des canaux, temporisation de discordance, mémorisation du défaut, logique de réinitialisation |
| Surveillance interne | Comparaison interne, réaction au défaut et signaux d'état définis | Interface de commande correcte, évaluation de l'état, commande de réinitialisation, validation au niveau machine |
Un diagnostic efficace observe la défaillance dangereuse revendiquée. La mesure de pression peut confirmer un état de pression interne sans prouver le déplacement complet de l'élément de vanne. La mesure de position peut confirmer le déplacement du tiroir sans prouver que la pression aval a traversé une vanne à centre fermé. Le crédit diagnostique doit correspondre au mode de défaillance qu'il peut réellement détecter.
Qu'est-ce qui change entre les catégories 3 et 4 ?
La comparaison des catégories de l'IFA attribue aux catégories 3 et 4 une tolérance à une défaillance unique, tandis que la catégorie 4 exige en plus une couverture diagnostique moyenne élevée et la prise en compte de l'accumulation des défauts. La catégorie 3 autorise une couverture diagnostique faible à moyenne ; certains défauts peuvent donc rester indétectés et les défauts accumulés peuvent neutraliser la fonction de sécurité (IFA, 2017).
C'est l'architecture, et non le nombre inscrit sur le corps de la vanne, qui détermine le comportement en cas de défaut :
| Exigence | Catégorie 3 | Catégorie 4 |
|---|---|---|
| Architecture redondante | Requise | Requise |
| Une défaillance entraîne la perte immédiate de la fonction de sécurité | Non | Non |
| Détection des défauts | Dans la mesure du raisonnablement réalisable | Au plus tard à la demande suivante, dans la mesure du raisonnablement réalisable |
| Couverture diagnostique | Faible à moyenne | Élevée |
| Défauts accumulés non détectés | Peuvent entraîner la perte de la fonction de sécurité | Ne doivent pas entraîner la perte de la fonction de sécurité |
| PL atteint | Dépend de l'évaluation complète | Dépend de l'évaluation complète |
Deux bobines ne prouvent pas l'existence de deux canaux indépendants. Examinez l'air de pilotage partagé, les passages d'échappement communs, les connecteurs communs, les sorties logicielles, les alimentations, le montage, l'exposition à la contamination et les erreurs de maintenance. La redondance peut être neutralisée lorsque les deux éléments partagent une cause que la conception ne maîtrise pas. La catégorie seule n'établit pas non plus PL d ou PL e. Utilisez les données de fiabilité et les restrictions déclarées pour la vanne, le capteur, le contrôleur et les interfaces exacts. Documentez ensuite la couverture diagnostique, les mesures contre les causes communes, les contrôles systématiques, la durée de mission, la fréquence de commutation et la fréquence moyenne de défaillance dangereuse de la fonction de sécurité complète.
Des vérifications fréquentes des signaux ne renforcent pas à elles seules une revendication de catégorie 4. Les diagnostics doivent détecter les défauts dangereux pertinents assez tôt, et les défauts accumulés non détectés ne doivent pas neutraliser l'échappement sûr ni la prévention d'une mise sous pression intempestive.
Que peut prouver le retour de vanne, et que peut-il manquer ?
ROSS indique que sa vanne RSe ne peut pas évacuer l'énergie pneumatique piégée en aval d'obstacles tels que des clapets anti-retour et des vannes à centre fermé. Cette limite du produit montre pourquoi le retour de l'élément de vanne ne peut pas prouver l'état de pression, de mouvement ou de charge dans toute la machine (ROSS Controls, consulté en 2026).
Le retour peut étayer des affirmations précises :
- Un ou deux éléments de vanne ont atteint la position observée par le capteur installé, dans la fenêtre de transition documentée, et le contrôleur a reçu ce signal sans défaut d'entrée.
- La pression interne à un point de mesure défini a dépassé le seuil du produit.
- Les deux canaux ont changé d'état dans la fenêtre temporelle autorisée.
- Le retour est bloqué, absent, contradictoire ou incohérent avec la commande.
- La vanne est entrée dans un état de défaut ou de verrouillage défini par le produit.
Le retour ne peut pas prouver automatiquement :
- Que chaque branche aval est dépressurisée, y compris les cavités isolées au-delà des clapets anti-retour, des vannes à centre fermé et des régulateurs, au seuil de pression et dans le délai définis par l'exigence de sécurité de la machine.
- Qu'un silencieux ou un tube d'échappement laisse passer le débit requis.
- Que la distance d'arrêt du vérin respecte la limite d'acceptation au niveau de la machine.
- Qu'une charge verticale reste soutenue après la suppression de l'air.
- Qu'un clapet anti-retour, un régulateur, un multiplicateur ou une cavité d'embase a libéré la pression piégée.
- Que la fermeture d'un protecteur et le rétablissement de l'air ne peuvent pas redémarrer un mouvement dangereux.
Ajoutez une mesure de pression au volume pertinent pour le danger lorsque la baisse de pression fait partie du critère d'acceptation. Ajoutez une mesure de mouvement ou de position au mécanisme dangereux lorsque la machine doit s'arrêter ou rester dans une position définie. L'état de la vanne est une donnée de cette validation, pas un substitut. Les systèmes rotatifs ont la même limite, comme l'explique le guide sur l'intégration des actionneurs rotatifs dans les circuits de sécurité ISO 13849. L'échappement sûr est également différent d'une fonction standard d'échappement rapide. Les vannes d'échappement rapide standard raccourcissent le chemin d'échappement d'un actionneur, mais n'offrent normalement ni architecture redondante, ni données de sécurité, ni retour diagnostique, ni réaction contrôlée au défaut. Consultez le guide des vannes d'échappement rapide pour cette fonction de débit sans la traiter comme un composant de sécurité.
Réaction aux défauts et logique de réinitialisation
Dans son exemple de surveillance externe, Parker exige que les deux sorties de capteur du P33 changent dans un intervalle de 150 ms l'une par rapport à l'autre et déconseille la réinitialisation automatique. Lorsque les signaux divergent au-delà du délai autorisé, la logique de surveillance doit couper l'alimentation des solénoïdes et empêcher toute nouvelle tentative d'actionnement jusqu'à la réinitialisation du système de sécurité (Parker, consulté en 2026).
Utilisez les valeurs de temporisation et la table de vérité exactes du produit sélectionné. La temporisation spécifique au produit est importante : la valeur de 150 ms de Parker n'est pas une limite universelle des catégories 3 ou 4. D'autres vannes peuvent utiliser des capteurs, des séquences de commutation, des restrictions de tests par impulsion, des configurations de réinitialisation et des conditions de récupération différentes.
La logique du contrôleur suit généralement les décisions suivantes :
- Supprimer les deux commandes de vanne lorsque la fonction de sécurité est demandée.
- Confirmer que les deux canaux de retour atteignent leurs états sûrs documentés dans le délai imparti.
- Déclarer un défaut si l'un des signaux est absent, tardif, contradictoire ou bloqué.
- Maintenir les commandes de vanne désactivées après une discordance détectée.
- Exiger la suppression du défaut et les conditions de réinitialisation volontaire spécifiées.
- Vérifier que la réinitialisation ne démarre pas un mouvement dangereux et ne remet pas automatiquement sous pression une zone dangereuse.
| Exemple de défaut | Ce que voit la surveillance | Réponse d'ingénierie requise |
|---|---|---|
| Une bobine perd son alimentation | Un canal ne change pas d'état | Supprimer les deux commandes et interdire le redémarrage |
| Un élément se déplace lentement | La discordance du retour dépasse la limite du produit | Entrer dans l'état de défaut documenté et rechercher une contamination, un problème de pression ou de matériel |
| Un signal de retour est bloqué | Le signal contredit la commande pendant une transition | Traiter le canal comme défaillant et empêcher le cycle dangereux suivant |
| Le chemin d'échappement est obstrué | Le retour de vanne peut sembler normal alors que la pression baisse trop lentement | Détecter par validation de la pression ou du mouvement de la machine, et non par le seul retour de vanne |
| L'air revient après une coupure | Le retour peut revenir à son état initial | Empêcher tout mouvement dangereux automatique par la logique de réinitialisation et de démarrage |
La réinitialisation autorise la reprise de l'évaluation ; elle ne prouve pas que le défaut a disparu. Le programme doit vérifier les entrées sûres, un retour valide, l'état de pression autorisé et toute action manuelle requise avant d'autoriser le cycle suivant. Un bouton de réinitialisation ne doit pas aussi servir de commande de démarrage lorsque cela crée un mouvement dangereux.
Comment valider la fonction de sécurité installée ?
ISO 13849-2:2012 est la norme de validation publiée actuelle de 79 pages en juillet 2026, bien que l'ISO répertorie un projet de remplacement en cours d'élaboration. Elle exige la validation par analyse et par essais des fonctions de sécurité spécifiées, de la catégorie atteinte et du niveau de performance atteint ; une fiche technique de vanne ne peut donc pas terminer la validation (ISO, consulté en 2026).
Rédigez les critères d'acceptation mesurables avant la mise en service. Enregistrez sur la même base de temps la demande de sécurité, les sorties du contrôleur, les deux canaux de retour de vanne, la pression aval et le mouvement dangereux. Testez la pression d'alimentation la plus défavorable et crédible, le volume aval, la température, les accessoires d'échappement autorisés, la charge de la machine et le mode de fonctionnement.
La validation doit couvrir au minimum :
- L'activation normale, l'échappement sûr, la réinitialisation volontaire et la confirmation que la réinitialisation seule ne déclenche pas de mouvement dangereux dans tous les modes où une personne peut s'approcher du danger.
- Un canal de sortie de vanne empêché de changer d'état.
- Chaque canal de retour bloqué à l'état actif, bloqué à l'état inactif, ouvert, en court-circuit ou croisé, selon ce qui s'applique à l'interface du produit.
- Des transitions de retour en dehors de la fenêtre de discordance autorisée.
- La perte et le rétablissement de l'alimentation électrique et pneumatique.
- Un échappement restreint lorsqu'il est prévisible et possible de le tester en sécurité.
- La pression piégée au-delà des clapets anti-retour ou des distributeurs à centre fermé.
- La position et la charge les plus défavorables du vérin ou du mécanisme.
- La prévention du redémarrage intempestif après une demande, un défaut et le rétablissement de l'alimentation.
N'inventez pas un intervalle universel d'inspection ou d'essai périodique. Festo spécifie par exemple une procédure minimale de commutation forcée mensuelle pour certaines variantes MS6-SV lorsque le procédé ne les commute pas déjà assez souvent (Festo, 2023). Cette exigence concerne ces variantes précises, et non toutes les vannes surveillées. Conservez sous contrôle de configuration le modèle et la révision de la vanne, le manuel de sécurité, les données de sécurité déclarées, la somme de contrôle du programme du contrôleur de sécurité, le schéma pneumatique, le plan de câblage, les paramètres, les seuils des capteurs, les silencieux, l'équipement d'essai, les traces brutes et le procès-verbal d'approbation. Le remplacement de la vanne ou la modification du chemin d'échappement peut exiger un nouveau calcul et une nouvelle validation.
ISO 4414:2010 reste la norme générale actuelle de sécurité des systèmes pneumatiques après sa confirmation de 2021 et couvre la conception, la construction, la modification, l'installation, l'exploitation et la maintenance (ISO, consulté en 2026). Ce périmètre renforce la limite du système : une installation de vanne sûre doit traiter les dangers dans tout le circuit pneumatique.
FAQ sur les vannes pneumatiques de sécurité surveillées
Parker documente des variantes surveillées en interne et en externe d'une même famille de vannes P33, ce qui montre pourquoi « vanne surveillée » ne désigne pas un circuit universel. Les réponses suivantes définissent la limite du composant, la revendication de catégorie, le rôle du retour, le comportement au défaut et les limites d'entretien que les acheteurs doivent clarifier avant de sélectionner ou de remplacer une vanne (Parker, 2024).
La catégorie 3 ou 4 est-elle une classification de la vanne ?
Pas à elle seule. Un fabricant peut déclarer qu'une vanne ou un sous-système convient à une architecture de catégorie 3 ou 4 dans des conditions spécifiées. La catégorie et le PL atteints appartiennent à la fonction de sécurité complète, après évaluation et validation de la vanne, des diagnostics, du contrôleur, des interfaces, des hypothèses de défaut et de la réaction de la machine.
Que se passe-t-il si un élément de vanne ne se déplace pas ?
Une conception redondante adaptée doit préserver la fonction de sécurité après une défaillance unique. Le retour doit révéler la discordance, le système de surveillance doit supprimer les deux commandes et le redémarrage doit être interdit selon le manuel de sécurité. La réaction pneumatique exacte, la fenêtre temporelle, les états des signaux et la séquence de réinitialisation restent propres au produit.
Le retour de vanne prouve-t-il que la pression aval est sûre ?
Non. Il prouve uniquement l'état mesuré par cette méthode de retour à son point de détection. La pression peut rester piégée au-delà d'un clapet anti-retour, d'une vanne à centre fermé, d'un régulateur ou d'une cavité isolée. Validez la pression dans le volume aval pertinent et mesurez le mouvement dangereux lorsque l'exigence de sécurité comprend l'arrêt ou le maintien de la charge.
Une vanne d'échappement de sécurité surveillée remplace-t-elle le verrouillage et l'étiquetage ?
Non. OSHA 1910.147 couvre les opérations d'entretien lorsque la mise sous tension, le démarrage ou la libération d'énergie accumulée et inattendue peut provoquer une blessure. Elle exige des procédures de maîtrise des énergies dangereuses et des dispositifs d'isolement énergétique ; les boutons-poussoirs et les dispositifs du circuit de commande ne sont pas des dispositifs d'isolement énergétique (OSHA, consulté en 2026).
Que doivent retenir les ingénieurs ?
ISO 13849-1:2023 couvre les cinq domaines technologiques cités dans son périmètre : systèmes de commande liés à la sécurité électriques, hydrauliques, pneumatiques, mécaniques et logiciels. Cette portée montre finalement que la performance des catégories 3/4 ne peut pas être réduite à une seule vanne pneumatique surveillée ou à un seul contact de retour (ISO, 2023).
Traitez la vanne comme un sous-système défini. Confirmez ses deux états de fonctionnement, sa fonction de sécurité, sa méthode de surveillance, ses limites de temps, sa réaction au défaut, ses exigences de réinitialisation, ses données de fiabilité, ses accessoires autorisés et ses hypothèses diagnostiques. Vérifiez ensuite que la machine complète atteint son état de pression et de mouvement spécifié lors des demandes normales et des défauts crédibles. La question d'achat la plus sûre n'est pas « Cette vanne est-elle de catégorie 4 ? », mais plutôt : « Quelle fonction de sécurité et quels modes de défaillance cette vanne précise prend-elle en charge, dans quelles conditions d'intégration, et quelles preuves devons-nous valider sur la machine installée ? »