La séparation consiste à couper, ouvrir, fermer ou isoler tous les organes qui alimentent ou peuvent alimenter l'équipement à consigner. Elle se réalise sur des organes physiques, pas sur un automate ou une commande logicielle : seuls les sectionneurs, vannes, sectionneurs-fusibles, pinces et brides garantissent une rupture de continuité physique.

Pour chaque source d'énergie identifiée au module précédent, il faut localiser un point de séparation approprié :

• Électrique : sectionneur principal de l'armoire, ouverture en position franche et visible (lame ouverte visible derrière une vitre, ou sectionneur en position verticale haute)
• Hydraulique : vanne d'isolement en amont de l'équipement, jamais une simple servovalve (qui peut fuir)
• Pneumatique : vanne de coupure de la branche concernée, avec purge automatique en aval si possible
• Vapeur / fluides chauds : double vanne d'isolement (une amont sécurité, une procédé) avec purge intermédiaire (« double block & bleed »)
• Gravitaire : pas un point de séparation au sens strict, mais positionnement de la béquille mécanique (cf. étape 3)

Le piège classique de l'étape 1 est de séparer trop en aval. Exemple : couper l'alimentation du moteur d'une pompe alors que l'amont (vanne de procédé) reste ouvert — le fluide peut continuer à passer par siphonnage ou par retour gravitaire. La règle est d'identifier l'amont absolu de chaque énergie et de couper là.

ISO 14118 §6.2 impose une conception qui rende la séparation visible et inéquivoque : on doit voir physiquement, sans déduction, que l'organe est en position « séparé ». Les vannes à quart de tour sont préférables aux vannes à volant (la position est visuelle), les sectionneurs visibles aux disjoncteurs (qui peuvent rester armés sans qu'on s'en aperçoive).

La condamnation rend matériellement impossible la remise en service par un tiers. Elle se matérialise par un dispositif physique de blocage, presque toujours un cadenas individuel à clé personnelle assorti d'une étiquette nominative datée.

Trois principes structurent la condamnation :

Principe 1 — Une clé, un porteur. Chaque cadenas a une clé unique, détenue exclusivement par son porteur (le M2 pour les cadenas de consignation, chaque M1 pour son cadenas individuel). Aucun double, aucune clé d'équipe. Le M2 peut détenir un passe-maître pour les situations d'urgence, mais son usage est strictement encadré par une procédure de levée d'urgence (cf. ci-après).

Principe 2 — Une étiquette nominative et datée. L'étiquette accompagne toujours le cadenas. Elle porte : le nom de l'intervenant, son service / entité, la date et heure de pose, l'intervention en cours, le téléphone d'urgence. C'est cette étiquette qui permet d'identifier, en cas d'urgence, qui peut lever la condamnation. Une consignation sans étiquette nominative est de facto inopérante.

Principe 3 — Moraillon collectif si plusieurs intervenants. Si plusieurs M1 doivent intervenir simultanément sur la même zone, on utilise un moraillon multi-cadenas (anneau de blocage à 4, 6 ou 12 emplacements). Chaque intervenant pose son cadenas personnel. Le moraillon collectif ne peut être retiré que lorsque tous les cadenas ont été levés. C'est la garantie qu'aucun intervenant ne soit oublié dans la zone au moment de la remise en service.

La séparation et la condamnation isolent l'équipement de ses sources d'alimentation, mais n'éliminent pas l'énergie déjà stockée à l'instant t : pression hydraulique dans un accumulateur, air comprimé dans un réservoir tampon, masse soulevée par un vérin, ressort en compression, fluide chaud dans une enveloppe calorifugée. C'est l'objet de la dissipation.

Pour chaque énergie résiduelle identifiée au module 2, la technique de dissipation est spécifique :

Le piège majeur de l'étape 3 est de croire qu'une dissipation est instantanée. Beaucoup d'énergies se dissipent progressivement (cinétique d'une masse lourde, refroidissement d'une chaudière) ou peuvent rebondir (manomètre qui redescend puis remonte par fuite interne, ressort qui se redétend). La vérification à l'étape 4 doit donc être faite à plusieurs intervalles pour les énergies à long temps de réponse.

Une bonne pratique consiste à tracer dans le permis de travail les temps de dissipation prévus pour chaque énergie, avec horodatage de début et de fin. Cette traçabilité est précieuse en cas d'audit ou d'enquête post-accident.

La vérification est l'étape qui distingue une consignation rigoureuse d'une consignation théorique. ISO 14118 §6.5 l'impose explicitement : « Après la prise de mesures d'isolation, l'efficacité de ces mesures doit être vérifiée. »

Trois vérifications systématiques pour chaque opération :

1. Tentative de remise en marche au pupitre. Le M2 essaie de remettre en marche l'équipement depuis le poste de commande normal. L'essai doit échouer — sinon, c'est qu'une des séparations a été incomplète. Cet essai est l'équivalent mécanique de la VAT (Vérification d'Absence de Tension) électrique.

2. Contrôle des manomètres, jauges, thermomètres. Tous les indicateurs de niveau d'énergie résiduelle doivent indiquer la valeur attendue : 0 bar pour hydraulique et pneumatique, température ambiante (ou inférieure) pour thermique, position « relâchée » pour ressort. Si un instrument ne donne pas la valeur attendue, ne pas démarrer l'intervention.

3. Contrôle visuel direct. Vérification physique de la position des organes de séparation : sectionneur en position franche, vanne avec poignée dans la position attendue, sabot mécanique en contact ferme avec la masse. Ce contrôle se fait œil à œil, jamais sur la base d'un schéma.

Sur les équipements complexes, on peut ajouter des vérifications spécifiques : (4) mesure de pression au point d'intervention même (un manomètre central peut indiquer 0 bar tandis qu'une portion isolée reste sous pression — purge insuffisante), (5) contrôle de la température de surface par pyromètre IR ou thermocouple à contact, (6) contrôle de la teneur en O₂ et en gaz toxiques par détecteur multigaz si la zone est à atmosphère contrôlée.

La vérification doit être répétée à intervalle régulier pendant une intervention longue (> 2 heures), particulièrement après chaque pause repas ou changement d'équipe — car une dérive lente (fuite interne, mise sous pression accidentelle par une vanne motorisée tierce) peut s'installer pendant ces périodes.

À l'inverse, vouloir économiser l'étape de vérification est le raccourci qui mène le plus souvent aux accidents graves. Toutes les fiches REX INRS pointent ce point : la consignation « hâtive » sans vérification est statistiquement la première cause d'accident en maintenance mécanique.

La qualité du matériel de consignation conditionne directement la qualité de la consignation. Un cadenas à clé universelle ou une étiquette générique ruinent toute la procédure.

Cadenas individuels. En aluminium ou plastique technique (PA66) pour les zones humides, en acier traité pour les zones à risque mécanique. Anse de 25-38 mm pour passer dans les moraillons usuels. Une clé unique par cadenas, codée et non dupliquable. Couleurs variables (rouge / jaune / bleu) pour distinguer par fonction ou par service. Marquage indélébile du nom du porteur.

Étiquettes nominatives. Plastique rigide, format minimal 60 × 100 mm, lisible à 2 m de distance. Mentions obligatoires : NOM PRÉNOM, fonction, service, date et heure de pose, intervention en cours, n° de téléphone d'urgence. Couleur de fond rouge ou orange pour « ne pas manipuler » — un standard de plus en plus utilisé en France et dans le monde.

Moraillons multi-cadenas. Pour les zones multi-intervenants. 4, 6 ou 12 emplacements selon la taille des chantiers. Acier inoxydable. Doit pouvoir être posé sur n'importe quel sectionneur ou vanne.

Dispositifs d'adaptation. Sur les sectionneurs ou vannes non prévus pour la consignation, on utilise des verrouilleurs d'adaptation : pince universelle pour cadenas sur sectionneur DIN, sabot de vanne à boule, blocage de vanne papillon, cache pour boîtier d'alimentation, etc. Disponibles en kit chez les principaux fabricants (Brady, Master Lock, Idem Safety, Castell).

À éviter absolument. Cadenas combinés (la combinaison n'est pas personnelle, donc inopérante), cadenas à clé universelle, étiquettes vierges, scellés mécaniques sans cadenas (pas de blocage), simple papier collant avec un nom à l'encre.

L'analyse de cas INRS dégage des erreurs structurelles qui se répètent malgré la diffusion massive d'ISO 14118 :

1. « Le bouton d'arrêt d'urgence suffit. » Faux. L'arrêt d'urgence est une fonction de sécurité ponctuelle, pas une consignation. Il peut être levé par n'importe qui sans déverrouillage personnel.
2. Oublier les énergies secondaires. Consigner l'électrique sans purger l'hydraulique ; consigner l'hydraulique sans bloquer l'énergie gravitaire. Toutes les énergies doivent être traitées.
3. Cadenas mais pas d'étiquette nominative. En cas d'urgence, personne ne sait qui a posé le cadenas — la levée d'urgence devient impossible légitimement.
4. Pas de vérification après pose. Économie de 2 minutes qui coûte parfois une amputation. Toujours tenter la remise en marche au pupitre.
5. « On enlève juste pendant la pause, on remettra après. » Levée non autorisée pendant l'intervention. Tout déconsignation hors fin d'opération doit être tracée formellement.
6. Cadenas posés par une seule personne pour toute une équipe. Le chef de quart pose UN cadenas pour son équipe de 5. Au changement d'équipe, son cadenas est retiré — l'équipe entrante n'est plus protégée. Il faut un cadenas par intervenant.
7. Pas de transfert formel de consignation au changement de quart. Le M2 qui part doit faire un transfert signé au M2 qui arrive, sinon la chaîne de responsabilité est rompue.

Chacune de ces erreurs apparaît régulièrement dans les rapports d'accidents publics. La formation M2 doit y insister avec des exemples concrets, et le registre de consignation doit permettre l'audit régulier de ces points par le responsable HSE.