3.1 La consignation mécanique : les 4 étapes

La séparation consiste à couper, ouvrir, fermer ou isoler tous les organes qui alimentent ou peuvent alimenter l'équipement à consigner. Elle se réalise sur des organes physiques, pas sur un automate ou une commande logicielle : seuls les sectionneurs, vannes, sectionneurs-fusibles, pinces et brides garantissent une rupture de continuité physique.

Pour chaque source d'énergie identifiée au module précédent, il faut localiser un point de séparation approprié :

• Électrique : sectionneur principal de l'armoire, ouverture en position franche et visible (lame ouverte visible derrière une vitre, ou sectionneur en position verticale haute)
• Hydraulique : vanne d'isolement en amont de l'équipement, jamais une simple servovalve (qui peut fuir)
• Pneumatique : vanne de coupure de la branche concernée, avec purge automatique en aval si possible
• Vapeur / fluides chauds : double vanne d'isolement (une amont sécurité, une procédé) avec purge intermédiaire (« double block & bleed »)
• Gravitaire : pas un point de séparation au sens strict, mais positionnement de la béquille mécanique (cf. étape 3)

Le piège classique de l'étape 1 est de séparer trop en aval. Exemple : couper l'alimentation du moteur d'une pompe alors que l'amont (vanne de procédé) reste ouvert — le fluide peut continuer à passer par siphonnage ou par retour gravitaire. La règle est d'identifier l'amont absolu de chaque énergie et de couper là.

Un principe guide le choix du point de séparation : il doit être visible et inéquivoque. On doit constater physiquement, sans déduction ni interprétation, que l'organe est en position séparée. Une vanne quart de tour se lit d'un coup d'œil à la position de sa poignée ; une vanne à volant, non. Un sectionneur à coupure visible se lit ; un disjoncteur peut rester armé sans que rien ne le signale. Quand la position n'est pas lisible, il faut une vérification supplémentaire à l'étape 4.

La condamnation rend matériellement impossible la remise en service par un tiers. Elle se matérialise par un dispositif physique de blocage, presque toujours un cadenas individuel à clé personnelle assorti d'une étiquette nominative datée.

Trois principes structurent la condamnation :

Principe 1 — Une clé, un porteur. Chaque cadenas a une clé unique, détenue exclusivement par son porteur (le M2 pour les cadenas de consignation, chaque M1 pour son cadenas individuel). Aucun double, aucune clé d'équipe. Le M2 peut détenir un passe-maître pour les situations d'urgence, mais son usage est strictement encadré par une procédure de levée d'urgence (cf. ci-après).

Principe 2 — Une étiquette nominative et datée. L'étiquette accompagne toujours le cadenas. Elle porte : le nom de l'intervenant, son service / entité, la date et heure de pose, l'intervention en cours, le téléphone d'urgence. C'est cette étiquette qui permet d'identifier, en cas d'urgence, qui peut lever la condamnation. Une consignation sans étiquette nominative est de facto inopérante.

Principe 3 — Moraillon collectif si plusieurs intervenants. Si plusieurs M1 doivent intervenir simultanément sur la même zone, on utilise un moraillon multi-cadenas (anneau de blocage à 4, 6 ou 12 emplacements). Chaque intervenant pose son cadenas personnel. Le moraillon collectif ne peut être retiré que lorsque tous les cadenas ont été levés. C'est la garantie qu'aucun intervenant ne soit oublié dans la zone au moment de la remise en service.

La séparation et la condamnation isolent l'équipement de ses sources d'alimentation, mais n'éliminent pas l'énergie déjà stockée à l'instant t : pression hydraulique dans un accumulateur, air comprimé dans un réservoir tampon, masse soulevée par un vérin, ressort en compression, fluide chaud dans une enveloppe calorifugée. C'est l'objet de la dissipation.

Pour chaque énergie résiduelle identifiée au module 2, la technique de dissipation est spécifique :

Le piège majeur de l'étape 3 est de croire qu'une dissipation est instantanée. Beaucoup d'énergies se dissipent progressivement (cinétique d'une masse lourde, refroidissement d'une chaudière) ou peuvent rebondir (manomètre qui redescend puis remonte par fuite interne, ressort qui se redétend). La vérification à l'étape 4 doit donc être faite à plusieurs intervalles pour les énergies à long temps de réponse.

Une bonne pratique consiste à tracer dans le permis de travail les temps de dissipation prévus pour chaque énergie, avec horodatage de début et de fin. Cette traçabilité est précieuse en cas d'audit ou d'enquête post-accident.

La vérification est l'étape qui distingue une consignation rigoureuse d'une consignation théorique. Elle répond directement à l'exigence de l'article R4323-15 du Code du travail : les mesures prises pour empêcher la remise en marche inopinée doivent être effectives, ce qui suppose de s'en assurer. Dans la démarche de l'INRS, cette phase inclut aussi l'identification : confirmer que l'on a bien consigné l'équipement sur lequel on va intervenir, et pas son voisin.

Trois vérifications systématiques pour chaque opération :

1. Tentative de remise en marche au pupitre. Le M2 essaie de remettre en marche l'équipement depuis le poste de commande normal. L'essai doit échouer — sinon, c'est qu'une des séparations a été incomplète. Cet essai est l'équivalent mécanique de la VAT (Vérification d'Absence de Tension) électrique.

2. Contrôle des manomètres, jauges, thermomètres. Tous les indicateurs de niveau d'énergie résiduelle doivent indiquer la valeur attendue : 0 bar pour hydraulique et pneumatique, température ambiante (ou inférieure) pour thermique, position « relâchée » pour ressort. Si un instrument ne donne pas la valeur attendue, ne pas démarrer l'intervention.

3. Contrôle visuel direct. Vérification physique de la position des organes de séparation : sectionneur en position franche, vanne avec poignée dans la position attendue, sabot mécanique en contact ferme avec la masse. Ce contrôle se fait œil à œil, jamais sur la base d'un schéma.

Sur les équipements complexes, on peut ajouter des vérifications spécifiques : (4) mesure de pression au point d'intervention même (un manomètre central peut indiquer 0 bar tandis qu'une portion isolée reste sous pression — purge insuffisante), (5) contrôle de la température de surface par pyromètre IR ou thermocouple à contact, (6) contrôle de la teneur en O₂ et en gaz toxiques par détecteur multigaz si la zone est à atmosphère contrôlée.

La vérification doit être répétée à intervalle régulier pendant une intervention longue (> 2 heures), particulièrement après chaque pause repas ou changement d'équipe — car une dérive lente (fuite interne, mise sous pression accidentelle par une vanne motorisée tierce) peut s'installer pendant ces périodes.

À l'inverse, vouloir économiser l'étape de vérification est le raccourci le plus tentant : elle ne prend que quelques minutes et, la plupart du temps, elle confirme ce qu'on savait déjà. C'est exactement ce qui la rend dangereuse — sa valeur ne se manifeste que le jour où une séparation était incomplète, et ce jour-là il n'y a pas de deuxième chance.

La qualité du matériel de consignation conditionne directement la qualité de la consignation. Un cadenas à clé universelle ou une étiquette générique ruinent toute la procédure.

Cadenas individuels. En aluminium ou plastique technique (PA66) pour les zones humides, en acier traité pour les zones à risque mécanique. Anse de 25-38 mm pour passer dans les moraillons usuels. Une clé unique par cadenas, codée et non dupliquable. Couleurs variables (rouge / jaune / bleu) pour distinguer par fonction ou par service. Marquage indélébile du nom du porteur.

Étiquettes nominatives. Plastique rigide, format minimal 60 × 100 mm, lisible à 2 m de distance. Mentions obligatoires : NOM PRÉNOM, fonction, service, date et heure de pose, intervention en cours, n° de téléphone d'urgence. Le fond rouge ou orange est l'usage le plus répandu pour signifier « ne pas manœuvrer », mais aucune couleur n'est imposée par un texte : ce qui compte est que la convention soit la même partout dans l'établissement et connue de tous, y compris des entreprises extérieures.

Moraillons multi-cadenas. Pour les zones multi-intervenants. 4, 6 ou 12 emplacements selon la taille des chantiers. Acier inoxydable. Doit pouvoir être posé sur n'importe quel sectionneur ou vanne.

Dispositifs d'adaptation. Beaucoup de sectionneurs et de vannes ne sont pas conçus pour recevoir un cadenas. On utilise alors des verrouilleurs d'adaptation : pince universelle pour disjoncteur modulaire, coquille pour vanne à boule, blocage de vanne papillon, boîtier de recouvrement pour prise industrielle, obturateur de bride. Ces dispositifs existent en kit chez les distributeurs de matériel de sécurité ; le critère de choix est qu'ils tiennent sous l'effort d'une manœuvre involontaire, pas seulement qu'ils s'installent.

À éviter absolument. Cadenas combinés (la combinaison n'est pas personnelle, donc inopérante), cadenas à clé universelle, étiquettes vierges, scellés mécaniques sans cadenas (pas de blocage), simple papier collant avec un nom à l'encre.

Sept erreurs reviennent dans les analyses d'accidents de maintenance. Elles ont en commun de porter sur l'organisation, pas sur la technique — la procédure existait dans presque tous les cas :

1. « Le bouton d'arrêt d'urgence suffit. » Faux. L'arrêt d'urgence est une fonction de sécurité ponctuelle, pas une consignation. Il peut être levé par n'importe qui sans déverrouillage personnel.
2. Oublier les énergies secondaires. Consigner l'électrique sans purger l'hydraulique ; consigner l'hydraulique sans bloquer l'énergie gravitaire. Toutes les énergies doivent être traitées.
3. Cadenas mais pas d'étiquette nominative. En cas d'urgence, personne ne sait qui a posé le cadenas — la levée d'urgence devient impossible légitimement.
4. Pas de vérification après pose. Économie de 2 minutes qui coûte parfois une amputation. Toujours tenter la remise en marche au pupitre.
5. « On enlève juste pendant la pause, on remettra après. » Levée non autorisée pendant l'intervention. Tout déconsignation hors fin d'opération doit être tracée formellement.
6. Cadenas posés par une seule personne pour toute une équipe. Le chef de quart pose UN cadenas pour son équipe de 5. Au changement d'équipe, son cadenas est retiré — l'équipe entrante n'est plus protégée. Il faut un cadenas par intervenant.
7. Pas de transfert formel de consignation au changement de quart. Le M2 qui part doit faire un transfert signé au M2 qui arrive, sinon la chaîne de responsabilité est rompue.

Chacune de ces erreurs se détecte à la lecture du registre de consignation, sans avoir besoin d'aller sur le terrain : un permis sans heure de vérification, un cadenas unique pour une équipe de cinq, un transfert de quart non signé. Un audit mensuel de quelques permis pris au hasard suffit à repérer la dérive avant qu'elle ne devienne la norme.