Ce que la norme ISO 13849 exige réellement pour les fonctions de démarrage, d'arrêt et de réinitialisation

La plupart des équipes ne comprennent pas la norme ISO 13849 avant que le premier fil ne soit posé.

Voici le piège.

Ils traitent les mots “démarrage”, “arrêt” et “réinitialisation” comme trois verbes ordinaires du panneau de commande, alors que la norme ISO 13849-1:2023 pose en fait une question plus froide : laquelle de ces actions fait partie d'une fonction de sécurité, quel niveau de performance requis (PLr) a été attribué par l'évaluation des risques, et les parties du système de commande relatives à la sécurité, le SRP/CS, peuvent-elles prouver ce comportement dans des conditions de défaillance ?

Cela change tout, n'est-ce pas ?

La page de l'ISO pour ISO 13849-1:2023 indique que la norme couvre la conception et l'intégration des parties liées à la sécurité des systèmes de contrôle qui exécutent des fonctions de sécurité, y compris les logiciels, dans les technologies électriques, hydrauliques, pneumatiques et mécaniques. Elle mentionne également une chose que les acheteurs ignorent régulièrement : La norme ISO 13849-1 ne pas spécifier les fonctions de sécurité ou PLr requises pour une machine donnée. Cela découle de l'évaluation des risques, des normes de type C, de la conception de la machine et du danger réel.

Ainsi, lorsque quelqu'un me demande si la norme ISO 13849 nécessite un bouton de réinitialisation, je réponds généralement : ce n'est pas la bonne question.

La meilleure question est la suivante : après un arrêt de protection, un déclenchement de verrouillage, une interruption de la barrière immatérielle, un arrêt d'urgence, une perte de puissance ou une panne, la machine peut-elle redémarrer d'une manière qui expose une personne à des mouvements dangereux ?

Si oui, la réinitialisation n'est pas un petit bouton poli. Il fait partie de l'argument de sécurité.

La norme ne bénit pas vos boutons-poussoirs

J'ai une opinion bien arrêtée à ce sujet : trop de panneaux de contrôle sont construits comme si le concepteur avait copié un ancien schéma et l'avait ensuite saupoudré d'étiquettes de sécurité. Démarrage vert. Arrêt rouge. Réarmement bleu. Peut-être un sélecteur à clé si le budget le permet.

Beau théâtre.

Mais les exigences de la norme ISO 13849 ne concernent pas la couleur, les plaques d'étiquettes ou l'aspect “industriel” du capuchon du bouton. La norme s'intéresse à la fonction de sécurité : l'entrée du capteur, le traitement logique, la commutation de la sortie, la détection des défaillances, la couverture du diagnostic, la résistance aux défaillances d'origine commune, le temps de réponse et les preuves de validation.

Cela signifie qu'un bouton de démarrage est généralement pas une fonction de sécurité en soi. Une fonction d'arrêt peut l'être. Une fonction de réinitialisation devient souvent liée à la sécurité lorsqu'elle rétablit l'autorisation de fonctionner après une demande de sécurité.

Le résumé de la quatrième édition de la norme EN ISO 13849-1 établi par la DGUV indique que la spécification des exigences de sécurité doit inclure des éléments tels que l'état de sécurité, le PLr, le temps de réponse autorisé, les modes de fonctionnement actifs, les interfaces de commande de la machine, le comportement après une perte d'énergie et les conditions permettant le redémarrage après qu'une fonction de sécurité a été demandée. Elle précise également que la réinitialisation manuelle nécessite désormais un changement de signal surveillé - en pratique, un front montant ou descendant - afin de réduire les abus prévisibles dans le domaine de la sécurité. Résumé de la quatrième édition de la DGUV.

La dernière phrase est importante.

Un contact de réarmement soudé maintenu en permanence à un niveau élevé ne doit pas autoriser silencieusement le redémarrage. Une entrée de réinitialisation bloquée ne doit pas devenir un pont magique pour contourner un danger. Et une station de réinitialisation à l'intérieur de la zone dangereuse ? Je me moque de l'apparence soignée du schéma de câblage ; c'est ainsi que de mauvaises machines sont défendues par de jolis dessins.

Démarrage, arrêt et réinitialisation : Le tableau dont personne ne veut dans la revue de conception

Avant de débattre de la catégorie 3 par rapport à la catégorie 4, ou de la PL d par rapport à la PL e, obligez l'équipe à définir ce que fait réellement chaque fonction. J'utiliserais ce tableau lors de la première revue de conception, et non lors de la dernière.

Fonction	Ce que les gens pensent que cela signifie	Ce que la norme ISO 13849 vous oblige à demander	Risque typique lié à la conception	Éléments de preuve que j'attendrais
Démarrage / Redémarrage	“Faire fonctionner la machine”	Une commande de démarrage peut-elle créer un mouvement dangereux après qu'une fonction de sécurité a été demandée ?	La commande de démarrage se double d'une autorisation de redémarrage involontaire	Évaluation des risques, logique du mode de fonctionnement, conception du verrouillage du redémarrage, test de validation
Fonction d'arrêt liée à la sécurité	“S'arrêter en cas de danger”	Quel état de sécurité doit être atteint, dans quel délai de réponse, à quel PLr ?	Le chemin d'arrêt dépend d'un seul contacteur ou d'une seule vanne non contrôlée	Calcul PL, test de temps d'arrêt, DCavg, MTTFD, notation CCF, exclusions de défauts
Fonction de réinitialisation manuelle	“Effacer l'alarme”	La réinitialisation rétablit-elle les fonctions de sécurité sans déclencher de mouvement dangereux ?	La réinitialisation devient une commande de démarrage indirecte	Réinitialisation des bords surveillés, emplacement de la réinitialisation externe, visibilité de la zone de danger
Arrêt d'urgence	“Gros bouton rouge”	Le système annule-t-il le démarrage et maintient-il l'arrêt jusqu'à la séquence délibérée de réinitialisation/redémarrage ?	La réinitialisation de l'arrêt d'urgence redémarre la machine ou masque un défaut.	IEC 60204-1 examen logique, enregistrement de la validation, procédure d'essai périodique
Interruption de la barrière immatérielle	“La poutre est cassée, la machine s'arrête”	Le chemin OSSD atteint-il le PLr requis et empêche-t-il le redémarrage automatique ?	Le champ de protection se dissipe et la machine redémarre alors qu'une personne est encore exposée.	Distance de sécurité, temps de réponse, câblage OSSD, verrouillage du redémarrage

Version courte ? Non.

Une commande de démarrage ne doit pas devenir une échappatoire à une exigence de sécurité, et la réinitialisation ne doit pas agir comme un “démarrage avec de meilleures manières”, en particulier sur les machines où une personne peut encore se trouver à l'intérieur d'une zone protégée, en train de dégager un bourrage, de se pencher à travers un portail ou de se tenir derrière un point d'accès à plusieurs côtés.

C'est là qu'un véritable sélection des barrières immatérielles de sécurité pour les machines La discussion va bien au-delà du choix du pas du faisceau et de la hauteur de protection. Si le dispositif ne fait qu'interrompre le mouvement mais que la logique de redémarrage est bâclée, le matériel optique est accusé d'être à l'origine d'une défaillance des contrôles.

La dure vérité sur les fonctions d'arrêt liées à la sécurité

Une fonction d'arrêt liée à la sécurité n'est pas la même chose qu'une pression sur le bouton d'arrêt de l'IHM.

Il doit amener la machine à un état de sécurité défini lorsque la fonction de sécurité est demandée, et il doit respecter le PLr assigné pour le risque. Il peut s'agir de canaux redondants, de contacteurs contrôlés, d'une logique d'automate de sécurité, d'un couple de sécurité désactivé, de soupapes de décharge hydrauliques, d'un échappement pneumatique, de freins mécaniques, ou d'une combinaison de ces éléments.

L'OSHA guide de sauvegarde des machines exprime un point de vue plus large dans un langage réglementaire plus simple : la protection protège les travailleurs des zones dangereuses des machines, et la déconnexion doit compléter la protection lors de l'entretien et de la maintenance. Ce n'est pas la terminologie de l'ISO, mais le chevauchement pratique est évident. Une fonction d'arrêt qui fonctionne pendant la production peut ne pas protéger quelqu'un pendant le déblocage, le réglage, le nettoyage ou la maintenance.

J'ai vu la même erreur se répéter dans les dossiers d'incidents : les gens conçoivent pour le cycle normal, puis s'étonnent lorsque la blessure survient au cours d'un travail anormal.

Bien sûr que oui.

Les machines blessent les gens lors des opérations de nettoyage, de récupération, de changement, de dérivation, de redémarrage et de “juste un réglage rapide”. C'est précisément la raison pour laquelle les exigences de la norme ISO 13849 en matière de réinitialisation du démarrage, de l'arrêt et du redémarrage doivent être liées aux modes de fonctionnement, aux abus prévisibles et au comportement en matière de maintenance - et pas seulement au cycle automatique.

Si un protecteur s'ouvre, si une barrière immatérielle se déclenche ou si un tapis de sécurité détecte une présence, la machine ne doit pas simplement s'arrêter. Elle doit s'arrêter par le biais d'un chemin de commande lié à la sécurité qui continue à se comporter en cas de défaillances crédibles.

C'est la ligne de démarcation entre une fonction de contrôle industriel et une fonction de sécurité.

La réinitialisation est l'endroit où se cachent les mauvaises conceptions

La réinitialisation semble inoffensive. Ce n'est pas le cas.

Une fonction de sécurité à réarmement manuel conforme à la norme ISO 13849 doit rétablir la fonction de sécurité une fois que la cause de l'arrêt a été supprimée ; elle ne doit pas déclencher d'elle-même un mouvement dangereux. Je le répète, car c'est la phrase que j'afficherais sur le mur de chaque atelier de fabrication de panneaux : réinitialiser les préparatifs ; démarrer les commandes.

Une fonction de réinitialisation ISO 13849 correcte nécessite généralement quatre éléments :

1. La condition dangereuse a été levée.
2. Le dispositif de réinitialisation se trouve en dehors de la zone de danger.
3. L'opérateur peut vérifier que la zone de danger est dégagée.
4. L'entrée de réinitialisation est surveillée comme une modification délibérée du signal, et non comme une autorisation permanente.

C'est pourquoi le poste de réinitialisation est important sur les machines à entrées multiples. Si une personne peut se tenir derrière le rideau, autour de l'appareil ou à l'intérieur de la cellule pendant qu'une autre personne réinitialise à partir d'un endroit aveugle, il n'y a pas de problème de réinitialisation. Il s'agit d'un problème de corps dans la zone.

Pour les machines dotées de plusieurs points d'accès, un barrière immatérielle de protection d'accès multilatérale peut réduire les trajectoires d'approche aveugles, mais il ne peut toujours pas réparer une mauvaise logique de redémarrage. Le matériel voit. La logique décide.

Et c'est dans la logique que les entreprises sont exposées.

Dossiers : L'industrie ne cesse de réapprendre la même leçon

Arrêtons de faire croire qu'il s'agit d'une théorie.

Le 26 août 2022, selon un communiqué de presse de l Dossier d'accident OSHA sur une machine à bois Sharp Chain modèle 3916-001, Un travailleur de 44 ans est entré dans la machine pour éliminer un blocage au niveau d'un capteur de lentille photo-oculaire/de la tête de profilage. Une fois le blocage éliminé, la machine s'est mise en marche. Il a été coincé et écrasé entre le profileur et le cadre et est décédé des suites de lacérations de la lame et d'un traumatisme par objet contondant.

Il s'agit d'une logique de démarrage/redémarrage inscrite dans le sang.

Le 9 mai 2021, l'OSHA a enregistré un autre cas de redémarrage automatique : un employé a tenté de redémarrer une sertisseuse mécanique automatisée après un mauvais alignement du produit. Le rideau lumineux a été désactivé, la machine a été remise sous tension et la main gauche de l'employé a été happée par la lame de coupe, ce qui a entraîné l'amputation de l'index, selon l'OSHA. Détail des accidents OSHA pour le sertisseur mécanique automatisé.

Machine différente. Même modèle.

Et puis il y a United Hospital Supply. L'OSHA a déclaré que les superviseurs et les employés avaient délibérément contourné un rideau lumineux de presse-frein avant qu'un ouvrier du premier jour ne subisse trois amputations de doigts. L'entreprise a dû payer $498 464 euros de pénalités proposées et a été placée dans le programme d'application des infractions graves (Severe Violator Enforcement Program), selon la base de données de l'OSHA sur les infractions graves. 17 mai 2023 Libération de United Hospital Supply.

Cette question devrait faire taire toutes les conversations sur le “contournement temporaire”.

En 2023, le BLS a enregistré 226 accidents mortels impliquant des travailleurs frappés, attrapés ou comprimés par des équipements motorisés en marche ; 48 d'entre eux concernaient la maintenance, le nettoyage ou les essais, et 53 concernaient des travailleurs attrapés ou enchevêtrés dans des équipements motorisés en marche en 2023, soit une moyenne de 1,5 million d'euros. BLS CFOI Tableau A-9 pour 2023. Il ne s'agit pas de rares cas exceptionnels. Il s'agit d'un modèle industriel auquel sont attachés des factures, des citations, des amputations, des funérailles et des avocats.

Exigences de la norme ISO 13849 : Ce que le SRS devrait réellement dire

La spécification des exigences de sécurité (SRS) est le moment où les équipes deviennent honnêtes ou commencent à construire une fiction.

Pour les fonctions de démarrage, d'arrêt et de réinitialisation, je m'attendrais à ce que le SRS les définisse :

• Risque lié à la machine : écrasement, cisaillement, enchevêtrement, coupure, aspiration, impact, exposition des personnes piégées.
• Événement déclencheur : protecteur ouvert, OSSD désactivé, arrêt d'urgence activé, perte de pression, défaut du servomoteur, défaut d'interverrouillage, changement de mode, rétablissement de l'alimentation.
• État de sécurité : STO actif, pression hydraulique supprimée, énergie pneumatique épuisée, frein engagé, mouvement arrêté, outil maintenu, vitesse dangereuse réduite.
• PLr : PL c, PL d ou PL e, en fonction de l'évaluation des risques.
• Architecture : Catégorie B, 1, 2, 3 ou 4.
• Couverture diagnostique : Valeur DCavg et méthode de contrôle.
• Hypothèses MTTFD : contacteur B10d, données de la vanne, données du relais, données du capteur, cycles de fonctionnement.
• Score CCF : séparation, diversité, protection contre la contamination, CEM, surtension, formation, examen de la conception.
• Temps de réponse : réponse du capteur + logique de sécurité + dispositif de sortie + temps d'arrêt de la machine.
• Comportement de réinitialisation : déclenché par un front, délibéré, visible depuis une position sûre, pas de mouvement dangereux par la seule réinitialisation.
• Conditions de redémarrage : commande de démarrage séparée, effacement de la zone, rétablissement de toutes les fonctions de sécurité, effacement des défauts.

Il ne s'agit pas de paperasserie pour la paperasserie. C'est la façon d'empêcher qu'un examen de la conception ne devienne un combat d'opinion.

Si vous spécifiez une protection optique, commencez par le risque. La protection des doigts peut vous inciter à opter pour une résolution de 10 ou 14 mm. La protection des mains peut permettre une résolution plus large, en fonction de la distance et du risque. Pour les points d'accès plus petits ou les machines de précision, un rideau lumineux de haute précision La discussion peut être justifiée. Pour les presses, les machines hydrauliques et les points d'accès larges, une rideau de lumière pour machines lourdes peut mieux correspondre à la réalité mécanique.

Mais il ne faut pas confondre la sélection des produits avec la conception de la sécurité fonctionnelle.

Un rideau lumineux de type 4 relié à une chaîne de réarmement/redémarrage mal conçue est comme un casque dont la jugulaire a été coupée. Il semble responsable jusqu'à l'impact.

Les équipes chargées de la passation des marchés de l'OSSD manquent toujours à l'appel

Les sorties OSSD ne sont pas des décorations.

Une barrière immatérielle de sécurité double OSSD peut alimenter un relais de sécurité ou un automate de sécurité avec des signaux redondants et contrôlés. C'est important lorsque l'objectif de la fonction de sécurité est suffisamment élevé pour nécessiter une détection et une tolérance aux pannes. C'est l'une des raisons pour lesquelles un Barrière immatérielle de sécurité à double sortie avec redondance OSSD est à prendre en compte lorsque le risque machine indique un PLr plus élevé.

Mais voici la mauvaise habitude de l'industrie : les services d'approvisionnement demandent le DSSO, puis ignorent le reste de l'ASR/CS.

L'OSSD seul ne donne pas de PL e. Un automate de sécurité seul ne donne pas de PL e. Un relais avec un boîtier jaune ne donne pas de PL e. La chaîne complète est importante : entrée, logique, sortie, câblage, diagnostic, hypothèses environnementales, validation et discipline de maintenance.

C'est la raison pour laquelle la comparaison du site entre les barrières immatérielles de sécurité et barrières immatérielles non sécurisées est un lien interne utile. La distinction n'est pas superficielle. Une catégorie de dispositifs est destinée à détecter des choses. L'autre est destinée à aider les personnes à éviter les mouvements dangereux lorsqu'elle est correctement intégrée.

Type 2, type 4, PLr, et le mensonge de la baisse des coûts

Voici mon opinion controversée : de nombreux débats sur le type 2 contre le type 4 ne sont pas des débats techniques. Il s'agit d'une pression sur les coûts qui porte un costume d'ingénieur.

Si la blessure crédible est légère, que l'exposition est contrôlée et que l'évaluation des risques le justifie, des fonctions de sécurité moins performantes peuvent être valables. Mais si la blessure crédible est une amputation, un écrasement ou la mort, je veux voir un argument écrit très sérieux avant que quelqu'un ne s'incline.

Le guide interne sur Barrières immatérielles de sécurité de type 2 et de type 4 s'inscrit naturellement dans ce cadre, car la norme ISO 13849 ne pose pas la question de savoir “quel est le dispositif le moins cher ?”. Elle demande si la fonction de sécurité permet d'atteindre le PLr.

Et le PLr n'est pas une vibration.

Elle est dérivée de la gravité de la blessure, de la fréquence ou de la durée de l'exposition et de la possibilité d'éviter le danger. Une fois le PLr fixé, la conception de la SRP/CS doit l'atteindre par le biais de l'architecture, du MTTFD, du DCavg et des contrôles CCF.

Cela signifie que les logiques de démarrage, d'arrêt et de réinitialisation ne peuvent pas être évaluées isolément. Elles doivent être évaluées en tant que comportement à l'intérieur de la fonction de sécurité.

Ce que signifie l'expression “vraiment nécessaire” dans le langage de l'atelier

Quelles sont donc les exigences réelles de la norme ISO 13849 pour les fonctions de démarrage, d'arrêt et de réinitialisation ?

Il faut des preuves, pas de l'espoir.

Pour une fonction d'arrêt liée à la sécurité, vous avez besoin d'un état de sécurité défini et d'une architecture de commande qui atteigne le PLr requis. Pour une fonction de réinitialisation manuelle, il faut une action délibérée qui rétablisse l'état de préparation sans déclencher de mouvement dangereux. Pour une fonction de démarrage/redémarrage, vous devez empêcher un redémarrage inattendu ou automatique après une demande de sécurité, à moins que les conditions de redémarrage et de démarrage ne soient intentionnellement satisfaites.

Il s'agit de la version simplifiée.

La version la plus profonde est plus laide : vous devez concevoir contre l'opérateur qui élimine un bourrage à 2 heures du matin, le superviseur qui veut que la ligne remonte, le technicien qui enregistre un capteur “juste pour le tester”, l'intégrateur qui suppose que le programme de l'automate programmable est le problème de quelqu'un d'autre, et l'acheteur qui pense que la cotation du rideau lumineux est le plan de sécurité.

Ce n'est pas le cas.

Si votre machine peut redémarrer après la levée d'un blocage, le retour du courant, la fermeture d'un protecteur ou le rétablissement d'un champ de barrières immatérielles sans séquence de sécurité délibérée, la norme ISO 13849 n'est pas votre plus gros problème. C'est la physique qui l'est.

FAQ

Quelles sont les exigences de la norme ISO 13849 pour les fonctions de démarrage, d'arrêt et de réinitialisation ?

Les exigences de la norme ISO 13849 relatives aux fonctions de démarrage, d'arrêt et de réinitialisation sont des tâches de conception et de validation du comportement des commandes liées à la sécurité, qui imposent au constructeur de machines de définir chaque fonction de sécurité, d'attribuer des PLr, de concevoir la SRP/CS, de vérifier la réponse aux défaillances et d'empêcher la logique de réinitialisation ou de redémarrage de créer des mouvements dangereux.
En pratique, le bouton de démarrage ne doit pas neutraliser une demande de sécurité, la fonction d'arrêt doit atteindre l'état de sécurité défini et la réinitialisation ne doit rétablir l'autorisation qu'une fois que la condition dangereuse a été éliminée.

Une fonction de réinitialisation est-elle toujours liée à la sécurité selon la norme ISO 13849 ?

Une fonction de réinitialisation est liée à la sécurité lorsqu'elle rétablit ou active une fonction de sécurité après un arrêt de protection, un défaut, un déclenchement de verrouillage, une interruption de la barrière immatérielle ou un arrêt d'urgence, en particulier lorsqu'une réinitialisation incorrecte pourrait permettre un mouvement dangereux ou exposer une personne à l'intérieur de la zone dangereuse.
Si la réinitialisation ne fait qu'effacer un message de diagnostic non lié à la sécurité, elle peut ne pas faire partie de la SRP/CS. Mais si la réinitialisation affecte l'autorisation de redémarrage, il faut s'en méfier et documenter la logique.

Une machine peut-elle redémarrer automatiquement après la disparition d'une barrière immatérielle ?

Une machine ne doit pas redémarrer automatiquement après la disparition d'une barrière immatérielle lorsqu'une personne peut encore être exposée à un mouvement dangereux, car le redémarrage nécessite normalement la confirmation de la zone de sécurité, le rétablissement de la fonction de sécurité et une action de démarrage délibérée distincte après toute réinitialisation manuelle requise.
C'est la différence entre “le faisceau est dégagé” et “la machine peut fonctionner en toute sécurité”. Il ne s'agit pas de la même phrase.

Quelle est la différence entre l'arrêt et l'arrêt d'urgence dans la conception ISO 13849 ?

Un arrêt lié à la sécurité est une fonction de sécurité définie qui ramène la machine à un état sûr dans des conditions et des PLr spécifiés, tandis qu'un arrêt d'urgence est une fonction de protection supplémentaire destinée à une intervention humaine urgente et ne doit pas remplacer une protection adéquate ou une réduction normale des risques.
Dans une bonne conception, les fonctions d'arrêt l'emportent sur les fonctions de démarrage correspondantes, mais l'arrêt d'urgence ne doit pas être utilisé comme arrêt principal de la production ou comme compensation d'une mauvaise protection.

Quels documents attestent de la conformité à la norme ISO 13849 de la logique de réinitialisation et de redémarrage ?

La conformité à la norme ISO 13849 pour la logique de réinitialisation et de redémarrage est normalement étayée par une évaluation des risques, une spécification des exigences de sécurité, une détermination des PLr, une architecture SRP/CS, des données sur la fiabilité des composants, des hypothèses sur la couverture des diagnostics, une notation CCF, des schémas de circuit, un examen des logiciels, des essais de validation et des vérifications enregistrées du comportement du redémarrage.
Si le fichier ne peut pas montrer comment la réinitialisation se comporte après des défauts, une perte d'alimentation, une ouverture de la garde, une interruption de l'OSSD et des changements de mode, il n'est pas terminé. Il est simplement assemblé.

Prochaine étape avant le vote de la machine

Ne commencez pas par demander un rideau de lumière moins cher.

Commencez par écrire la fonction de sécurité.

Définissez le danger, l'état de sécurité, le PLr, le temps d'arrêt, la séquence de réinitialisation, les conditions de redémarrage, les modes de fonctionnement, les points d'accès et les tests de validation. Choisissez ensuite le matériel qui peut prendre en charge cette conception : relais de sécurité, automate de sécurité, contacteurs, vannes, variateurs STO, barrières immatérielles OSSD, interverrouillages ou sécurisation multilatérale.

Si votre équipe examine déjà une machine dont le comportement au démarrage et au redémarrage n'est pas clair, utilisez l'outil interne ressources pour la sélection des dispositifs de sécurité puis demander une étude technique par l'intermédiaire de Page de contact du rideau de sécurité. Apportez la configuration de la machine, les données relatives au temps d'arrêt, la hauteur de protection requise, la résolution, la plage de détection, le type de sortie, la tension, les exigences en matière de câble et le marché cible.

Car la vérité est simple : La norme ISO 13849 ne se préoccupe pas du fait que la machine “fonctionne habituellement”. Elle s'intéresse à ce qui se passe lorsque la mauvaise chose se produit à la mauvaise seconde.