Un circuit de commande de sécurité bimanuelle n’est prêt à fonctionner qu’après que la machine installée a réussi les essais spécifiés d’état, de temporisation, de redémarrage et de réaction aux défauts. Appuyer sur deux boutons pendant un cycle normal prouve très peu de choses. La mise en service doit montrer ce qui se passe lorsqu’une entrée est anticipée, tardive, maintenue, perdue ou en défaut, et lorsque la sortie pneumatique ne répond pas à la commande.
Cet article est un guide de mise en service et d’injection de défauts. Pour les types de dispositifs, les limites de protection, la différence entre commande bimanuelle et déclenchement bimanuelle et les principes de distance de sécurité, commencez par la vue d’ensemble de la commande bimanuelle pneumatique. Pour la conception du niveau de performance, utilisez séparément le guide des circuits de sécurité pneumatiques selon ISO 13849.
Points clés
- ISO 13851 définit trois types de THCD, mais protège uniquement la personne qui utilise le dispositif.
- Testez chaque état autorisé et chaque chemin de redémarrage interdit.
- Mesurez la sortie, la pression et le mouvement dangereux de l’installation réelle, et pas seulement l’état du relais.
- Injectez les défauts dans le cadre d’un plan de validation contrôlé, jamais avec une personne exposée au danger.
Que faut-il figer avant de commencer la mise en service ?
ISO 13851:2019 définit trois types fonctionnels de THCD, mais n’en sélectionne aucun pour une machine particulière. La mise en service doit donc commencer par une spécification approuvée de la fonction de sécurité qui identifie le type choisi, la personne exposée, le danger, l’état sûr, le niveau de performance requis, le comportement temporel et les limites d’acceptation propres à la machine (ISO 13851, confirmé en 2024).
Ne commencez pas par régler la temporisation des boutons ou le débit de la vanne. Figez d’abord les documents qui définissent le comportement attendu du système. Une équipe de mise en service ne peut pas produire un résultat de réussite défendable si le comportement requis change pendant l’essai.
Le dossier minimal d’entrée doit contenir :
- l’analyse des risques à jour et la norme machine de type C applicable ;
- la spécification de la fonction de sécurité et le niveau de performance requis, ou PLr ;
- le type de THCD sélectionné et le manuel exact du dispositif ;
- les schémas électriques et pneumatiques avec leurs numéros de révision ;
- le programme du contrôleur de sécurité et sa somme de contrôle ;
- le manuel de sécurité de la vanne de sortie, la méthode de retour et les accessoires autorisés ;
- la réponse attendue au relâchement de l’une ou l’autre main, au réarmement, à la perte d’alimentation et à la perte d’air ;
- les limites d’arrêt et de fermeture mesurées ou spécifiées au niveau du danger ;
- une liste de défauts, une méthode d’essai, les critères d’acceptation et une méthode de remise en état ;
- les noms et rôles du validateur, du témoin d’essai et de la personne autorisant la mise en service.
Un critère d’acceptation de mise en service est une condition mesurable qui sépare la réussite de l’échec avant le début de l’essai. « La machine s’arrête en sécurité » ne suffit pas. Indiquez le mouvement résiduel maximal, le seuil de pression, l’état de sortie, le temps de réponse autorisé, la combinaison de capteurs et le comportement de redémarrage qui seront acceptés.
ISO 12100 fournit le cadre d’analyse des risques qui précède ce travail, tandis qu’ISO 13849-1 fournit la méthode de conception du système de commande. Aucune de ces normes n’attribue un PLr ou un état sûr universel à toutes les applications bimanuelles (ISO 12100, confirmed 2022; ISO 13849-1, 2023).
Si la spécification ne peut pas répondre à la question de savoir quel mouvement, quelle pression ou quelle énergie stockée est autorisé après le relâchement de l’une ou l’autre main, arrêtez-vous. Il s’agit d’une lacune de conception, et non d’un réglage de mise en service.
Quelle table d’états le circuit doit-il réussir ?
Un dispositif bimanuelle possède deux entrées manuelles intentionnelles, mais la validation exige plus que les quatre combinaisons booléennes d’entrées. ISO 13851 traite aussi de la prévention du contournement, de l’évitement des défauts et de la vérification. La table d’états doit inclure l’ordre temporel, le comportement d’une entrée maintenue, le comportement au relâchement, le réarmement et le rétablissement de l’alimentation électrique ou de l’air (ISO 13851, confirmé en 2024).
Construisez la table d’états à partir de la spécification approuvée de la fonction de sécurité. L’exemple ci-dessous est un cadre d’essai, et non un substitut au manuel du THCD sélectionné ou à la norme machine.
| État d’essai | Entrée A | Entrée B | Condition supplémentaire | Résultat attendu |
|---|---|---|---|---|
| S0 prêt | relâchée | relâchée | conditions de sécurité satisfaites | la sortie reste inactive et une nouvelle demande est autorisée |
| S1 A seule | actionnée | relâchée | toute durée | la sortie de sécurité reste inactive |
| S2 B seule | relâchée | actionnée | toute durée | la sortie de sécurité reste inactive |
| S3 demande valide | actionnée | actionnée | exigence de synchronisation satisfaite | la sortie ne peut s’activer que si toutes les autres conditions de sécurité sont vraies |
| S4 seconde entrée tardive | actionnée | actionnée | exigence de synchronisation non satisfaite | la sortie reste inactive ; les deux entrées doivent revenir à l’état de redémarrage requis |
| S5 une main relâchée | relâchée | actionnée, ou inverse | pendant la période de commande requise | la sortie passe à l’état sûr spécifié et la réponse de la machine reste dans les limites |
| S6 nouvelle tentative avec entrée maintenue | actionnée | relâchée puis réactionnée, ou inverse | une entrée n’est jamais revenue à l’état prêt | aucun nouveau cycle dangereux n’est autorisé |
| S7 rétablissement | actionnée ou toutes deux actionnées | actionnée ou relâchée | l’alimentation électrique ou l’air revient | aucun redémarrage dangereux inattendu |
Enregistrez à la fois la commande et le résultat observé. Un bit du contrôleur de sécurité peut se désactiver alors qu’une vanne reste déplacée, que la pression demeure piégée ou que le mécanisme continue à bouger. Le dossier d’acceptation doit contenir les preuves de toute la chaîne d’entrée, de logique, de sortie et de réponse de la machine.
Les noms d’états doivent apparaître dans la procédure d’essai, les diagnostics du contrôleur et le rapport final. Cette nomenclature commune rend un essai échoué traçable. Elle empêche aussi qu’une note vague telle que « essai des boutons réussi » masque le chemin de temporisation ou de redémarrage réellement vérifié.
Les états interdits révèlent souvent davantage que l’état valide. Un démarrage correct à deux boutons peut réussir alors que l’anti-maintien ou la prévention du redémarrage est défaillante. La mise en service doit consacrer au moins autant d’attention aux commandes qui ne doivent pas produire de sortie qu’à l’unique commande qui peut en produire une.
Comment tester la simultanéité, l’anti-maintien et l’anti-répétition ?
OSHA exige le fonctionnement simultané et un comportement anti-répétition pour certaines applications de presses mécaniques, tandis qu’ISO 13851 définit le comportement du dispositif selon le type de THCD. Aucune de ces sources ne justifie de recopier une valeur de temporisation arbitraire dans toutes les machines. Testez la fenêtre de synchronisation exacte et la séquence de redémarrage indiquées par le dispositif sélectionné et la spécification de la fonction de sécurité (OSHA 1910.217; ISO 13851).
Utilisez un générateur d’entrées contrôlé, une trace du contrôleur de sécurité ou des actionneurs instrumentés lorsque le chronométrage manuel ne permet pas de produire des essais aux limites répétables. Testez des valeurs en dessous, à la limite de synchronisation autorisée et au-dessus. Enregistrez les horodatages des transitions d’entrée et la sortie de sécurité. Ne déduisez pas la fenêtre temporelle réelle du fait qu’un vérin ait bougé ou non.
Exécutez ces séquences dans l’ordre A puis B et dans l’ordre B puis A :
- Actionnez la seconde entrée bien à l’intérieur de l’intervalle autorisé et confirmez qu’une sortie valide est possible.
- Répétez à la limite documentée avec un équipement offrant une résolution temporelle suffisante.
- Actionnez la seconde entrée hors de l’intervalle autorisé et confirmez que la sortie reste inactive.
- Relâchez une seule entrée, appuyez à nouveau dessus alors que l’autre reste maintenue et confirmez qu’aucun nouveau cycle ne commence.
- Maintenez une entrée avant le réarmement ou l’entrée dans un mode, puis actionnez la seconde entrée.
- Maintenez les deux entrées pendant le réarmement, le rétablissement de l’alimentation et le rétablissement de l’air.
- Relâchez les deux entrées, rétablissez l’état prêt requis et confirmez que la demande valide suivante suit la séquence documentée.
L’anti-maintien et l’anti-répétition sont liés, mais ne sont pas interchangeables. Anti-maintien est le comportement qui empêche une entrée maintenue ou contournée de se combiner avec l’action répétée de l’autre entrée. Anti-répétition est le comportement qui empêche un autre cycle dangereux sans la séquence requise de relâchement et de nouvelle action. Le rapport d’essai doit identifier l’exigence vérifiée par chaque séquence.
Si un contrôleur de sécurité configurable réalise la temporisation, vérifiez les limites de paramètres, le contrôle d’accès, l’enregistrement du téléchargement et la somme de contrôle. Si un module THCD dédié la réalise, consignez la référence exacte, la révision, les conditions d’alimentation et l’indication de diagnostic. Dans les deux cas, testez les signaux installés. Une affirmation de catalogue ne prouve pas que le câblage ou les tubes de terrain correspondent à la configuration évaluée.
Planification de l’injection de défauts et contrôle des essais
ISO 13849-2:2012 exige la validation par analyse et essais des fonctions de sécurité spécifiées, de la catégorie et du niveau de performance atteint. L’injection de défauts doit s’inscrire dans ce processus de validation planifié. Elle doit reposer sur des défauts identifiés, des critères d’acceptation définis, du personnel autorisé, une énergie maîtrisée et une méthode documentée de remise en état de la machine (ISO 13849-2).
N’improvisez jamais des défauts sur une machine de production lorsqu’une personne se trouve dans la zone dangereuse. Mettez en place les barrières, retenues mécaniques, le mode d’essai, les limites d’énergie et la récupération d’urgence avant de modifier une entrée ou une sortie de sécurité. Le responsable des essais doit pouvoir arrêter l’activité dès que l’état observé de la machine diffère de la procédure.
Pour chaque défaut, documentez :
- l’identifiant de l’essai et l’exigence de sécurité mise à l’épreuve ;
- le conducteur, tube, vanne, capteur ou signal logiciel exact concerné ;
- le mode de la machine, la charge, la position, la pression, la température et la vitesse ;
- la méthode sûre utilisée pour simuler le défaut ;
- l’indication de diagnostic et la réaction au défaut attendues ;
- si le cycle en cours, le cycle suivant ou les deux doivent être inhibés ;
- la réponse attendue de la vanne de sortie, de la pression aval et de la mécanique ;
- les étapes de remise en état et les vérifications avant l’essai suivant ;
- le résultat réel, le fichier de preuve, le témoin, la date et la décision.
Injectez un seul défaut planifié à la fois, sauf si l’analyse des risques et le plan de validation exigent explicitement un essai de défauts cumulés. Les combinaisons non maîtrisées compliquent le diagnostic et peuvent créer un état dangereux que la procédure n’avait jamais prévu. Après chaque essai, confirmez que les ponts, bouchons, forçages logiciels, tubes restreints et signaux de retour simulés temporaires ont été retirés.
D’après notre expérience de l’examen des dossiers de validation, l’artefact d’essai le plus dangereux est un contournement temporaire non documenté. Un cordon d’essai bien visible et numéroté ainsi qu’une liste de contrôle de remise en état signée sont des mesures simples, mais elles empêchent qu’un essai de défaut réussi laisse la machine dans un état contourné.
Matrice d’injection de défauts des entrées et de la logique
ISO 13849-1 s’applique aux éléments électriques, pneumatiques, hydrauliques, mécaniques et logiciels des fonctions de sécurité en mode de forte sollicitation ou continu. Un circuit bimanuelle peut donc défaillir par le câblage, les tubes, la mécanique des actionneurs, les paramètres logiques ou les alimentations communes. La liste des défauts doit suivre la technologie mise en œuvre, au lieu de supposer que tout système est purement électrique (ISO 13849-1, 2023).
Sélectionnez les défauts à partir de l’analyse des défaillances de la conception et des manuels de sécurité des composants. La matrice suivante fournit des consignes d’essai ; elle ne déclare pas que chaque défaut listé est applicable ou injectable en toute sécurité.
| Consigne de défaut | Ce que l’essai met à l’épreuve | Éléments de preuve à recueillir |
|---|---|---|
| Circuit ouvert de l’entrée A ou perte du signal pneumatique | perte d’un seul canal | état de sortie, diagnostic, inhibition du redémarrage |
| Circuit ouvert de l’entrée B ou perte du signal pneumatique | indépendance du canal opposé | mêmes preuves avec les canaux inversés |
| Court-circuit de l’entrée vers l’alimentation ou pression maintenue | entrée bloquée à l’état actif | comportement anti-maintien et détection du défaut |
| Court-circuit de l’entrée vers le commun ou l’échappement | entrée bloquée à l’état inactif | absence de fausse sortie et diagnostic correct |
| Court-circuit croisé ou tubes croisés, lorsque le scénario est crédible | indépendance des canaux et surveillance des discordances | possibilité qu’une seule action satisfasse les deux canaux |
| Actionneur retenu mécaniquement | résistance au contournement | aucun cycle répété de l’actionneur libre |
| Temporisation de l’entrée hors de la fenêtre autorisée | surveillance de la synchronisation | horodatages et sortie refusée |
| Paramètre de temporisation modifié | maîtrise de la configuration | protection d’accès, somme de contrôle, diagnostic, résultat d’essai |
| Perte de l’alimentation du module d’entrée | comportement à la mise hors énergie | état de sortie et de redémarrage |
| Entrée de réarmement maintenue ou en défaut | surveillance du réarmement | le réarmement ne déclenche pas de mouvement et ne masque pas un défaut d’entrée |
Ne créez pas de court-circuit sauf si les instructions du composant et le montage d’essai rendent cette méthode sûre. L’impulsion d’essai intégrée au contrôleur ou une unité certifiée d’insertion de défaut peut être préférable. Les entrées pneumatiques peuvent exiger une méthode de blocage, de mise à l’échappement ou de maintien du signal approuvée par le fabricant, plutôt que de pincer les tubes ou d’installer des restrictions non répertoriées.
Testez la symétrie des canaux. Si le défaut du canal A est détecté mais que le défaut correspondant du canal B ne l’est pas, examinez le câblage, la configuration du diagnostic et les hypothèses de cause commune. Une paire d’entrées n’est pas redondante simplement parce que deux boutons sont visibles sur la console.
Matrice d’injection de défauts de la sortie et du circuit pneumatique
Festo décrit la commande bimanuelle pneumatique comme un actionnement simultané qui produit un signal de sortie. Ce signal n’est pas en lui-même l’état sûr. La mise en service doit tester la vanne aval, le circuit de pression, l’actionneur, la charge et le retour, car un élément de sortie défaillant ou un échappement restreint peut modifier la réponse de la machine (Sécurité pneumatique Festo).
Commencez par les modes de défaillance de sortie identifiés par le manuel de sécurité de la vanne et l’analyse du circuit. Certains défauts doivent être simulés par le retour ou un montage d’essai plutôt que par le blocage physique d’une vanne. La méthode ne doit pas endommager un composant certifié ni créer un mouvement non maîtrisé.
| Consigne de défaut | Question d’ingénierie requise | Preuve issue de l’installation |
|---|---|---|
| Un canal de sortie ne commute pas | L’architecture restante maintient-elle la fonction de sécurité spécifiée ? | sortie du contrôleur, retour de vanne, pression, mouvement |
| Le retour de vanne reste dans l’état précédent | La discordance est-elle détectée dans le délai requis ? | trace du retour, code de diagnostic, inhibition du cycle suivant |
| Circuit d’échappement restreint jusqu’à la limite crédible | La décroissance de pression et le mouvement restent-ils dans les limites d’acceptation ? | courbe de pression aval et mouvement dangereux |
| Silencieux obstrué ou accessoire incorrect monté | La configuration documentée détecte-t-elle ou tolère-t-elle la restriction ? | référence, trace de pression, résultat d’essai |
| Pression d’alimentation minimale et maximale autorisée | La réponse sûre reste-t-elle valide sur toute la plage autorisée ? | pression aux orifices, état de la vanne, résultat d’arrêt |
| Alimentation en air perdue puis rétablie | Le rétablissement de la pression peut-il déclencher un mouvement ? | états de commande, montée en pression, position de l’actionneur |
| Le tube aval se rompt ou fuit | La charge se déplace-t-elle, se libère-t-elle ou tombe-t-elle ? | état de la charge et réponse de la retenue indépendante |
| Le retour de position ou de pression est forcé dans un état erroné | La logique de plausibilité détecte-t-elle la discordance ? | valeurs des capteurs, diagnostic, comportement de la sortie |
| Une charge gravitaire ou un ressort agit après la mise à l’échappement | L’échappement est-il réellement l’état sûr ? | mouvement mesuré et état du dispositif de retenue |
La réponse pneumatique sûre peut être le blocage, la mise à l’échappement, l’arrêt et le maintien, le retour contrôlé ou une combinaison. La mise à l’échappement immédiate n’est pas universellement sûre. Un vérin vertical peut descendre et un bridage peut libérer une pièce. Utilisez le guide d’intégration des vannes d’échappement de sécurité et guide des verrous de tige de vérin lorsque ces fonctions font partie de la réduction du risque.
Le retour de vanne prouve qu’un élément de vanne a atteint un état surveillé. Il ne prouve pas que la pression au niveau du danger a diminué assez rapidement ni que le mouvement dangereux s’est arrêté. La trace de validation doit dépasser la vanne surveillée et atteindre la variable physique susceptible de blesser quelqu’un.
Mesurer la réponse de la machine installée
La règle OSHA applicable aux presses mécaniques utilise une constante de vitesse de la main de 63 pouces par seconde avec un temps d’arrêt ou de fermeture mesuré pour certaines protections bimanuelles. La leçon générale est que la distance de sécurité dépend de la réponse de la machine installée, et non du temps indiqué dans le catalogue d’un relais ou d’une vanne (OSHA 1910.217).
Corrélez dans le temps les événements qui définissent la fonction de sécurité :
- la transition de l’entrée manuelle A et de l’entrée manuelle B ;
- la décision de la logique de sécurité et la commande de sortie ;
- le retour de la vanne de sortie ou la position de l’élément surveillé ;
- la pression aval dans la zone concernée ;
- le mouvement de l’actionneur, du coulisseau, du bridage ou de l’outillage ;
- l’atteinte du seuil d’état sûr spécifié.
Utilisez un équipement de mesure offrant une résolution et une précision suffisantes pour la limite d’acceptation. Consignez l’état d’étalonnage, la fréquence d’échantillonnage, la plage du capteur, la méthode de déclenchement et la mise à l’échelle du signal. Une vidéo prise au téléphone peut aider à expliquer un événement, mais elle ne remplace pas des données traçables de temporisation et de mouvement lorsque la limite est proche.
Mesurez la condition la plus défavorable qui reste crédible, et pas seulement un cycle à vide commode. Les variables pertinentes peuvent inclure la charge maximale, la vitesse la plus élevée, les pressions d’alimentation minimale et maximale, le fonctionnement à chaud et à froid, l’état d’usure du frein, le tube autorisé le plus long, le silencieux autorisé, l’échappement restreint, la position défavorable du vérin et la direction de la gravité.
ISO 13855:2024 traite du positionnement des dispositifs de commande bimanuelle et des autres protections par rapport à l’approche humaine. Utilisez la norme applicable et les exigences de type C pour la machine réelle. Ne réutilisez pas la formule OSHA des presses mécaniques ni une valeur générique de 500 ms pour un montage pneumatique sans rapport (ISO 13855, 2024).
Conservez les traces brutes ainsi que le résultat de réussite synthétisé. Un rapport doit permettre à un examinateur d’identifier sur la même base de temps la demande de sécurité, le changement de sortie, la réponse de pression, la réponse mécanique et le seuil d’acceptation.
Comment tester le réarmement, le rétablissement de l’alimentation et les changements de mode ?
OSHA 1910.217 exige que toutes les commandes manuelles des opérateurs soient relâchées avant la reprise d’une course interrompue dans certaines commandes de presse. ISO 13849-1 considère le redémarrage et le comportement de la fonction de sécurité comme faisant partie de la conception complète de la commande. La mise en service doit tester le réarmement, les cycles de mise hors puis sous tension, le rétablissement de l’air et les changements de mode comme des événements distincts (OSHA 1910.217; ISO 13849-1).
Un réarmement doit confirmer un état sûr et autoriser une commande ultérieure. Il ne doit pas, à lui seul, déclencher un mouvement dangereux. Vérifiez ce principe avec les entrées manuelles relâchées, l’une maintenue, les deux maintenues, et chaque signal de retour pertinent correct ou incorrect.
Testez au moins les transitions suivantes :
- mise hors puis sous tension du contrôleur sans actionner aucun des deux actionneurs manuels ;
- rétablissement de l’alimentation avec un actionneur maintenu ;
- rétablissement de l’alimentation avec les deux actionneurs maintenus ;
- rétablissement de l’air avant l’alimentation électrique, puis dans l’ordre inverse ;
- actionnement du réarmement alors qu’une entrée reste active ;
- actionnement du réarmement alors que le retour de vanne est discordant ;
- changements de mode automatique vers manuel et de manuel vers automatique ;
- retour après un arrêt d’urgence ;
- retour après une demande de sécurité d’un protecteur ou externe ;
- perte et rétablissement de la communication lorsqu’une sécurité en réseau est utilisée.
Consignez si la machine reste arrêtée, si la pression augmente, si un actionneur bouge et quelle action délibérée est requise avant un nouveau cycle. « Aucun bit de sortie » ne suffit pas si le rétablissement de l’air peut déplacer une vanne à rappel par ressort ou un mécanisme chargé par la gravité.
L’arrêt d’urgence et la commande bimanuelle sont des fonctions de sécurité distinctes. ISO 13850 définit la fonction d’arrêt d’urgence indépendamment de la technologie énergétique. N’utilisez pas un essai d’arrêt d’urgence réussi pour clôturer une exigence de commande bimanuelle échouée, ni l’inverse (ISO 13850, confirmed 2020).
Pourquoi le verrouillage et l’étiquetage constituent-ils une limite d’essai distincte ?
OSHA 1910.147 inclut explicitement l’énergie pneumatique et exige que les travaux de maintenance concernés traitent la mise sous énergie, le démarrage inattendus et la libération de l’énergie stockée. Un dispositif bimanuelle ou un relais de sécurité est une protection opérationnelle, et non automatiquement un dispositif d’isolation des énergies. La mise en service doit maintenir les essais de fonction de sécurité séparés de la vérification de l’isolation pour la maintenance (OSHA 1910.147).
Une vanne manuelle verrouillable d’alimentation et de mise à l’échappement peut contribuer à une procédure de maîtrise des énergies lorsque le dispositif, l’installation, les contrôles de l’énergie stockée et les étapes de vérification satisfont aux exigences applicables. Sa présence n’établit pas le niveau de performance d’une fonction de sécurité automatique. De même, appuyer sur un arrêt d’urgence ou supprimer une sortie de sécurité n’isole pas automatiquement toutes les sources d’énergie.
Lorsque l’injection d’un défaut exige d’entrer dans une zone dangereuse, de modifier des tubes, de retenir une vanne ou de toucher une charge, appliquez la procédure d’isolation autorisée du site. Identifiez les énergies pneumatique, électrique, mécanique, gravitaire, de ressort, du vide, hydraulique et thermique. Éliminez, déconnectez, bloquez ou retenez l’énergie stockée, puis vérifiez l’isolation avant le début du travail.
Une fois la modification terminée, retirez les outils et dispositifs d’essai temporaires, remettez les protecteurs en place, vérifiez que personne ne se trouve dans la zone et suivez la procédure autorisée de remise en service. L’essai fonctionnel suivant ne commence qu’après le retour de la machine à sa configuration d’essai définie.
Le guide de sélection des vannes manuelles et mécaniques explique les fonctions ordinaires des vannes. Ne considérez pas une vanne manuelle ordinaire comme un dispositif d’isolation homologué pour la sécurité ni comme une entrée THCD, sauf si sa documentation justifie exactement cet usage.
Quelles preuves rendent le dossier de validation vérifiable ?
ISO 13849-2 exige la validation par analyse et essais des fonctions de sécurité spécifiées, de la catégorie et du niveau de performance. Une simple liste de contrôle réussite/échec ne peut pas montrer quelle configuration a été testée. Le dossier final doit relier chaque exigence à une méthode, un résultat mesuré, une réaction au défaut, un fichier de preuve et une décision approuvée (ISO 13849-2, 2012).
Utilisez une ligne par essai plutôt qu’une ligne par composant :
| Champ du dossier | Contenu requis |
|---|---|
| Fonction de sécurité | identifiant, description, danger, état sûr, PLr |
| Exigence | critère exact d’état, de temporisation, de mouvement, de pression ou de redémarrage |
| Configuration | numéro de série de la machine, révisions des plans, somme de contrôle du programme, révisions des dispositifs |
| Conditions d’essai | mode, pression, charge, vitesse, position, température, accessoires |
| Action d’essai | commande normale ou défaut injecté exact et méthode |
| Résultat attendu | diagnostic, sortie, pression, mouvement, comportement du redémarrage |
| Résultat réel | valeurs mesurées et observations, et pas seulement « réussite » |
| Preuve | trace, photographie, vidéo, journal du contrôleur, fichier de l’instrument, référence d’étalonnage |
| Remise en état | modifications temporaires retirées et configuration normale vérifiée |
| Décision | réussite, échec, écart, action corrective, référence du nouvel essai |
| Approbation | essayeur, examinateur indépendant lorsque requis, date, signatures |
Gardez les dossiers de calcul et de validation cohérents. Si le type de vanne, le programme du contrôleur, la taille des tubes, le silencieux, la pression d’alimentation, la charge mobile, le frein, l’outillage ou la définition de l’état sûr change, vérifiez quelles analyses et quels essais ne sont plus valides. La maîtrise de la configuration fait partie des preuves.
Avant de libérer la machine, traitez chaque essai échoué ou interrompu. Une « réussite après réglage » inexpliquée ne clôt pas l’action. Consignez ce qui a changé, pourquoi le changement est acceptable, quels documents ont été révisés et quels essais de régression ont été répétés.
ANSI B11.19-2019 (R2024) couvre les exigences de performance pour la conception, l’installation, l’exploitation et la maintenance des protections et autres mesures de réduction du risque. Pour les machines nord-américaines, utilisez-la avec la norme B11 propre à la machine et les exigences légales applicables, au lieu de considérer une liste générique comme une certification (ANSI B11.19).
Quand faut-il arrêter les essais et revenir à l’ingénierie ?
ISO 12100 exige que la réduction du risque soit évaluée et vérifiée sur tout le cycle de vie de la machine. La mise en service ne peut pas approuver une fonction de sécurité en réglant autour d’un danger mal défini, d’un résultat d’arrêt instable ou d’une réaction au défaut échouée. Lorsque les critères d’acceptation ne peuvent pas être respectés de manière constante, les essais s’arrêtent et la conception retourne à l’ingénierie (ISO 12100).
Arrêtez les essais lorsque :
- l’état sûr est absent, contradictoire ou change d’un document à l’autre ;
- un défaut produit un mouvement dangereux ou une libération de charge inattendus ;
- un contournement temporaire ne peut pas être identifié et maîtrisé sans ambiguïté ;
- les résultats mesurés d’arrêt ou de décroissance de pression dépassent la limite ;
- les résultats varient au-delà de la tolérance autorisée selon la charge ou la pression ;
- la documentation de la vanne, du contrôleur ou du THCD ne couvre pas la configuration installée ;
- le calcul du PL atteint dépend de données de composants non vérifiées ;
- un diagnostic n’inhibe pas le cycle comme l’exige la spécification ;
- le rétablissement de l’alimentation ou de l’air crée un mouvement inattendu ;
- les essais exigeraient d’exposer une personne à un danger non maîtrisé ;
- la configuration d’essai ne correspond plus aux plans et logiciels diffusés.
Ne masquez pas une défaillance de conception en augmentant le retard d’un contrôleur, en réduisant la vitesse de la machine, en déplaçant les boutons ou en ajoutant une consigne opérateur sans mettre à jour l’analyse des risques et la base de validation. Une modification peut être une solution valable, mais elle crée une nouvelle configuration qui doit être revue et retestée.
Pour un devis ou une revue technique, transmettez la spécification de la fonction de sécurité, le type de THCD sélectionné, les schémas du circuit, le PLr, les données de vanne, les conditions de charge et de pression, les limites de temporisation, la liste des défauts et les preuves requises via la page de contact technique.
FAQ sur la mise en service des circuits de sécurité bimanuels
ISO 13851 définit trois types de THCD, tandis qu’ISO 13849-1 ne prescrit pas un PLr universel. Ces réponses portent donc sur la validation et la documentation de l’installation. Le manuel du dispositif sélectionné, l’analyse des risques de la machine, la norme de type C applicable et les exigences légales locales restent les sources de référence.
Un cycle normal à deux boutons peut-il prouver que le circuit est sûr ?
Non. Il prouve seulement qu’une commande intentionnelle a produit une sortie dans les conditions testées. La validation doit aussi mettre à l’épreuve les entrées anticipées, tardives, maintenues, relâchées et en défaut, les discordances entre sortie et retour, le rétablissement de l’alimentation électrique et de l’air, ainsi que la réponse physique de la machine. Les critères d’acceptation doivent provenir de la spécification approuvée de la fonction de sécurité.
Les deux boutons doivent-ils toujours être pressés dans les 500 ms ?
N’appliquez pas 500 ms comme valeur universelle à toutes les machines. Le comportement de synchronisation autorisé dépend du type de THCD sélectionné, des instructions du produit, de la norme applicable et de la spécification de la fonction de sécurité. Testez en dessous, à la limite documentée et au-dessus, dans l’ordre A puis B et dans l’ordre B puis A, puis enregistrez les horodatages des entrées et de la sortie de sécurité.
L’injection de défauts peut-elle être réalisée sur une machine de production en marche ?
Uniquement dans le cadre d’une procédure de validation contrôlée et autorisée qui empêche l’exposition au danger. Les barrières, retenues, le mode d’essai, les limites d’énergie, les étapes de récupération et le personnel qualifié doivent être définis avant l’injection d’un défaut. Si l’intervention exige d’entrer dans la zone dangereuse ou de modifier les chemins d’énergie, appliquez la procédure d’isolation du site.
Le retour de vanne prouve-t-il que la machine a atteint un état sûr ?
Non. Le retour peut montrer qu’un élément de vanne surveillé a atteint une position, mais la pression peut rester piégée et le mécanisme peut continuer à se déplacer. Mesurez la variable physique d’acceptation nommée par la fonction de sécurité, par exemple la course dangereuse, le temps d’arrêt, la pression aval, l’état du bridage ou la retenue de la charge.
À quelle fréquence le circuit bimanuelle doit-il être retesté ?
Il n’existe pas d’intervalle quotidien, mensuel ou annuel universel pour tous les circuits. Définissez les intervalles d’inspection et d’essai fonctionnel à partir de l’analyse des risques, des instructions des composants, de la fréquence d’utilisation, de l’architecture de diagnostic, de l’environnement, de la norme propre à la machine, des obligations légales et de l’historique des défaillances. Revalidez les exigences concernées après toute modification du matériel, du logiciel, de l’outillage, de la pression, de la vitesse ou de la charge.
D’où viennent les exigences de validation ?
Les sources ci-dessous définissent des limites complémentaires : ISO 13851 traite de la conception et de la sélection des THCD ; ISO 13849 couvre la conception et la validation des commandes liées à la sécurité ; ISO 13855 couvre le positionnement des protections ; les règles OSHA s’appliquent à certaines situations américaines concernant les presses et la maîtrise des énergies. Aucune ne remplace l’analyse des risques de la machine ni la norme de type C applicable.
- ISO 13851:2019. Principes des dispositifs de commande bimanuelle, trois types fonctionnels, prévention du contournement, sélection et vérification. Confirmé en 2024 ; consulté le 22 juillet 2026.
- ISO 13849-1:2023. Méthode de conception et d’intégration des parties de systèmes de commande liées à la sécurité dans les technologies électrique, pneumatique, hydraulique, mécanique et logicielle. Consulté le 22 juillet 2026.
- ISO 13849-2:2012. Validation des fonctions de sécurité, des catégories et des niveaux de performance par analyse et essais. Édition actuellement publiée en attente de révision ; consultée le 22 juillet 2026.
- ISO 12100:2010. Principes d’analyse des risques et de réduction des risques des machines. Confirmé en 2022 ; consulté le 22 juillet 2026.
- ISO 13855:2024. Positionnement des protections, notamment des dispositifs de commande bimanuelle, par rapport à l’approche humaine. Consulté le 22 juillet 2026.
- ISO 13850:2015. Principes de la fonction d’arrêt d’urgence indépendants de la technologie énergétique. Confirmé en 2020 ; consulté le 22 juillet 2026.
- OSHA 29 CFR 1910.217. Exigences américaines applicables aux presses mécaniques pour certaines commandes et certains déclenchements bimanuels, notamment le fonctionnement simultané, l’anti-répétition et la distance de sécurité. Consulté le 22 juillet 2026.
- OSHA 29 CFR 1910.147. Maîtrise des énergies dangereuses, y compris l’énergie pneumatique, pendant les opérations de maintenance et d’entretien concernées. Consulté le 22 juillet 2026.
- ANSI B11.19-2019 (R2024). Exigences de performance pour les protections et autres mesures de réduction du risque. Consulté le 22 juillet 2026.