2.3 Dispositifs de protection, organes de service et arrêt d'urgence

Le dispositif de protection est, selon l'annexe I, un « dispositif, autre qu'un protecteur, qui réduit le risque, seul ou associé à un protecteur » (1.1.1 g). Il ne fait pas obstacle physiquement : il détecte une personne ou oblige à une position sûre, et agit sur la commande. Le paragraphe 1.4.3 fixe trois exigences :

• les éléments mobiles ne peuvent être mis en mouvement « aussi longtemps que l'opérateur peut les atteindre » ;
• les personnes ne peuvent atteindre les éléments mobiles tant qu'ils sont en mouvement ;
• l'absence ou la défaillance d'un de leurs organes empêche la mise en marche ou provoque l'arrêt.

Le choix d'un dispositif sensible repose sur le temps total d'arrêt de la machine et sur la vitesse d'approche du corps humain. La brochure INRS ED 6281 « Aide au choix d'un dispositif de protection sensible » en décrit la démarche.

L'article R4324-8 pose la règle : « La mise en marche des équipements de travail ne peut être obtenue que par l'action d'un opérateur sur l'organe de service prévu à cet effet, sauf si cette mise en marche, obtenue autrement, ne présente aucun risque pour les opérateurs intéressés. » Elle ne s'applique pas à la mise en marche qui résulte de la séquence normale d'un cycle automatique.

L'annexe I (1.2.3) va plus loin pour les machines neuves : la même action volontaire est requise « pour la remise en marche après un arrêt, quelle qu'en soit la cause » et pour toute modification importante des conditions de fonctionnement, sauf si cela n'entraîne pas de situation dangereuse. Le paragraphe 1.2.6 ajoute que l'interruption puis le rétablissement de l'énergie ne doivent pas provoquer de mise en marche inopinée.

L'article R4324-12 ajoute une exigence de visibilité : depuis l'organe de mise en marche, l'opérateur doit pouvoir s'assurer de l'absence de personnes dans les zones dangereuses ; sinon, toute mise en marche est précédée automatiquement d'un signal sonore ou visuel, et la personne exposée doit avoir « le temps et les moyens de se soustraire rapidement » au risque.

Tout équipement est muni des organes nécessaires à son arrêt général dans des conditions sûres (R4324-13). Chaque poste de travail dispose d'un organe permettant d'arrêter tout ou partie de l'équipement selon les risques, et cet organe obéit à deux règles (R4324-14) :

L'arrêt normal ne remplace pas la consignation : il suffit à interrompre le cycle, pas à sécuriser une intervention dans la zone dangereuse (chapitre 3.2).

Selon l'article R4324-15, chaque machine est munie d'un ou plusieurs dispositifs d'arrêt d'urgence « clairement identifiables, accessibles et en nombre suffisant ». Deux catégories en sont exclues : les machines pour lesquelles l'arrêt d'urgence ne réduirait pas le risque (il ne raccourcirait pas l'arrêt ou n'apporterait pas les mesures nécessaires) et les machines portatives et guidées à la main.

L'annexe I (1.2.4.3) précise son fonctionnement pour les machines neuves :

Les dispositifs d'arrêt d'urgence viennent à l'appui d'autres mesures de protection ; ils ne les remplacent pas.
— Code du travail, annexe I à l'article R4312-1, paragraphe 1.2.4.3

Cette dernière phrase est la plus souvent oubliée : un arrêt d'urgence placé près d'une zone non protégée ne protège personne, car il faut que quelqu'un l'actionne avant l'accident. La norme NF EN ISO 13850 traite de la conception de la fonction d'arrêt d'urgence. Pour un ensemble de machines, les commandes d'arrêt, arrêt d'urgence compris, arrêtent aussi les équipements associés dont le maintien en marche serait dangereux (1.2.4.4).

Une machine automatisée doit souvent fonctionner protecteur ouvert pour le réglage, l'apprentissage d'un robot ou la recherche de panne. L'annexe I (1.2.5) encadre strictement ce cas : la machine est munie d'un sélecteur de mode « verrouillable dans chaque position », et quand le mode permet de travailler protecteur ouvert ou dispositif neutralisé, le sélecteur doit simultanément :

Si ces quatre conditions ne peuvent être réunies, le sélecteur active d'autres mesures « de manière à garantir une zone d'intervention sûre ». Côté utilisateur, l'article R4324-17 exige que les machines dont l'opérateur peut choisir et régler les caractéristiques de fonctionnement comportent les indications nécessaires pour le faire de façon sûre, avec la vitesse limite précisée clairement.

Barrages, interrupteurs de protecteurs, arrêts d'urgence n'ont de valeur que si la chaîne qui les relie aux actionneurs est fiable. L'annexe I (1.2.1) exige que les systèmes de commande soient conçus pour qu'une défaillance du matériel ou de la logique, ou une erreur de logique, n'entraîne pas de situation dangereuse, que l'arrêt ne puisse être empêché et que les dispositifs de protection restent opérationnels ou donnent un ordre d'arrêt.

La norme NF EN ISO 13849-1 classe la fiabilité des parties de commande relatives à la sécurité en niveaux de performance (PL), la CEI 62061 en niveaux d'intégrité (SIL). Ces méthodes relèvent du concepteur et de l'intégrateur ; elles sont expliquées dans le chapitre sécurité des machines : PL, SIL de la formation Automaticien, et le quiz sécurité des machines EN ISO 13849 permet de tester ce niveau expert.