Valider la sécurité fonctionnelle d'une machine

Ce que signifie « valider » une fonction de sécurité

La validation de sécurité fonctionnelle est l’étape qui démontre qu’une fonction de sécurité — arrêt d’urgence, arrêt sur ouverture de protecteur, surveillance de vitesse réduite, commande bimanuelle — atteint réellement le niveau exigé par l’analyse de risque.

Le mot important est « réellement ». Beaucoup de dossiers s’arrêtent au calcul : un logiciel a produit un Performance Level, la capture d’écran est imprimée, et le sujet est considéré comme clos.

Ce n’est pas une validation. Un calcul démontre ce que l’architecture devrait produire si elle était réalisée comme prévu. La validation démontre que la machine, telle qu’elle est câblée, paramétrée et livrée, se comporte comme le calcul l’annonce.

La validation combine donc toujours deux volets : une part d’analyse, qui ne peut pas être remplacée par des essais, et une part d’essais, qui ne peut pas être remplacée par de l’analyse.

Le critère : PL atteint ≥ PL requis

Avec EN ISO 13849-1, la logique est simple à énoncer.

L’appréciation du risque, conduite selon EN ISO 12100, aboutit pour chaque fonction de sécurité à un PL requis, noté PL r. C’est le niveau que la fonction doit atteindre compte tenu de la gravité du dommage possible, de la fréquence d’exposition et de la possibilité d’évitement.

La conception fournit ensuite un PL atteint. Il résulte de la combinaison de plusieurs éléments : l’architecture retenue — les catégories B, 1, 2, 3 et 4 —, le MTTF_D des composants, la couverture de diagnostic moyenne DC_avg, et la maîtrise des défaillances de cause commune CCF.

Les Performance Levels s’échelonnent de PL a à PL e, chacun correspondant à une plage de PFH_D, PL e étant le plus exigeant.

La fonction est acceptable lorsque le PL atteint est au moins égal au PL r.

Avec EN IEC 62061:2021, la démarche est équivalente et s’exprime en niveaux SIL. Pour les machines, on utilise SIL 1 à SIL 3 ; le SIL 4 existe dans le référentiel de sécurité fonctionnelle générique mais n’est pas employé sur les machines.

Une correspondance approximative circule largement : PL c ≈ SIL 1, PL d ≈ SIL 2, PL e ≈ SIL 3. Elle est indicative et conditionnelle à l’architecture — utile pour se repérer entre deux dossiers, jamais utilisable comme équivalence stricte dans une démonstration de conformité.

Ce qui se contrôle concrètement

La validation porte sur chaque fonction de sécurité prise individuellement, du capteur à l’actionneur, en incluant la logique de traitement. Les points suivants reviennent systématiquement.

• Le temps de réponse global. C’est le point le plus souvent négligé. Une fonction peut avoir un excellent PL et être inefficace si le temps entre la détection et l’arrêt effectif du mouvement dangereux dépasse ce que la distance de sécurité permet. Ce temps se mesure sur la machine réelle, en incluant les temps de cycle de la logique et les temps de décélération mécanique.
• L’arrêt d’urgence. Coupure effective, catégorie d’arrêt réellement obtenue, absence de redémarrage au déverrouillage, comportement de chaque actionneur concerné.
• La surveillance des protecteurs. Ouverture du protecteur en cours de mouvement, cohérence des contacts de position, comportement en cas de neutralisation simple d’un capteur — un dispositif contournable en trois secondes avec un aimant ou un tournevis ne remplit pas sa fonction.
• La détection de défaut. C’est ici que la validation se distingue de l’essai fonctionnel. On injecte volontairement des défauts — coupure de conducteur, court-circuit entre voies, contact collé, perte d’une voie de la redondance — et on observe si le système les détecte et réagit comme l’analyse le prévoyait.
• La redondance et l’indépendance des voies. Deux voies qui cheminent dans le même câble, alimentées par la même source et traitées par le même composant ne sont pas indépendantes, quel que soit le résultat du calcul.
• Le paramétrage. Sur les blocs logiques et automates de sécurité configurables, le paramétrage effectif de la machine livrée doit correspondre à celui pris pour hypothèse dans le calcul. C’est un écart courant, et invisible sans vérification.

Aucun temps de réponse, aucune distance de sécurité et aucun intervalle de vérification ne peut être donné de manière générique : ils dépendent de la fonction, de la vitesse des éléments mobiles, de la géométrie d’accès et de la norme applicable à votre machine. Ils doivent être établis fonction par fonction.

Le dossier de validation : le document qui manque

C’est le document qui manque le plus souvent dans les dossiers que nous examinons. Les fonctions existent, elles sont correctement conçues, quelqu’un les a essayées — et il n’en reste rien d’écrit.

Un dossier de validation exploitable se construit dans cet ordre, chaque pièce s’appuyant sur la précédente.

1. Lister les fonctions de sécuritéChacune décrite par son déclencheur, sa réaction attendue et son périmètre.
2. Fixer le PL r de chaque fonctionLe PL requis — ou le SIL requis — et sa justification, issue de l'appréciation du risque.
3. Décrire l'architecture réellement mise en œuvreComposants, références, catégorie, schéma bloc. Ce qui est câblé, pas ce qui était prévu.
4. Calculer le niveau atteintAvec les données de fiabilité utilisées et leur origine.
5. Conduire le plan d'essais et consigner les résultatsEssais fonctionnels, essais avec injection de défaut, mesures de temps de réponse, conditions et moyens de mesure.
6. Expliciter les hypothèses et les limitesDurée d'utilisation retenue, conditions d'environnement, intervalles de vérification à imposer à l'exploitant.
7. Traiter les écarts constatésLes consigner et documenter ce qui en a été fait.

Ces éléments rejoignent le dossier technique de la machine. Sans eux, la case « sécurité fonctionnelle » de votre déclaration de conformité repose sur une affirmation.

L’erreur à ne pas commettre : valider sur le papier

La tentation est forte de conduire la validation à partir des schémas, en salle de réunion, sur une machine qui n’est pas encore montée. Cette validation-là passe à côté de tout ce qui compte : les écarts entre schéma et câblage, le paramétrage réel, les temps de réponse mécaniques, les contournements possibles.

La validation se conduit sur la machine, dans sa configuration de livraison, avec les modes de fonctionnement réellement accessibles à l’opérateur — y compris les modes de réglage et de maintenance, qui sont ceux où surviennent la plupart des accidents et ceux que les campagnes d’essai oublient le plus souvent.

Ce qui déclenche une revalidation

La validation n’est pas définitive. Elle doit être reprise, au moins sur la partie concernée, dans plusieurs situations :

• remplacement d’un composant de sécurité par une référence différente ;
• modification du paramétrage d’un bloc logique ou d’un automate de sécurité ;
• mise à jour du logiciel de sécurité ;
• ajout d’un mode de fonctionnement ;
• modification mécanique changeant une distance de sécurité ou une inertie.

Sur une machine déjà mise sur le marché, ce type d’intervention mérite une seconde question : s’agit-il d’une simple maintenance, ou d’une modification qui affecte la sécurité au point de rouvrir l’évaluation de la conformité ? Les conséquences ne sont pas du tout du même ordre.