Chapitre 58 - Les applications de la sécurité

Figure 58.1 Circuit de commande bimanuelle

La méthode prospective

Tableau 58.1 Dysfonctionnements possibles d'un circuit de commande bimanuelle
et conséquences

* Incident influençant directement la fiabilité du système. ** Incident provoquant une grave diminution du niveau de sécurité du système. *** Incident dangereux, à éviter.

Voir texte et figure 58.1.

Figure 58.2 Simulateur pour l'étude des circuits de commande de presses

La méthode rétrospective

Figure 58.3 Séquence d'événements possible

Figure 58.4 Représentation de deux opérations logiques

La méthode rétrospective est souvent employée dans l’analyse a priori des systèmes concrets, notamment dans les industries chimique, aéronautique, spatiale et nucléaire. Elle s’est également avérée extrêmement utile dans les enquêtes sur les accidents industriels.

Bien que très différentes, les méthodes prospective et rétrospective sont complémentaires. La méthode prospective est fondée sur un ensemble de défauts ou de dysfonctionnements; la valeur d’une telle analyse dépend donc largement de la pertinence des dysfonctionnements pris en compte au départ. Sous cet éclairage, la méthode rétrospective paraît plus systématique. Si l’analyste connaît les types d’accidents ou d’incidents qui peuvent se produire, il peut théoriquement appliquer cette méthode pour remonter à l’ensemble des dysfonctionnements ou combinaisons de dysfonctionnements susceptibles d’y conduire. Toutefois, du fait que les comportements dangereux d’un système ne sont pas forcément connus d’avance, la méthode prospective permet de les découvrir, au moyen d’une simulation par exemple. Une fois ces comportements identifiés, la méthode rétrospective permet d’en analyser les dangers de façon plus détaillée.

Les problèmes de l’analyse de la sûreté des systèmes

Les méthodes analytiques que l’on vient de décrire ne sont pas de simples processus mécaniques qu’il suffit d’appliquer de façon automatique pour parvenir à des conclusions utiles à l’amélioration de la sûreté d’un système. Les analystes rencontrent au contraire un certain nombre de problèmes au cours de leur travail, et l’utilité de leurs analyses dépend pour une grande part de la manière dont ils s’y prennent pour les résoudre. Nous exposons ci-après certains des problèmes classiques qui peuvent se présenter.

La compréhension du système à étudier et de ses conditions de fonctionnement

Les problèmes fondamentaux de toute analyse de la sûreté des systèmes sont la définition du système à étudier, de ses limites et des conditions dans lesquelles il est censé devoir fonctionner tout au long de son existence.

Si l’analyste prend en compte un sous-système trop restreint, cela peut conduire à adopter une série de mesures préventives aléatoires (situation dans laquelle tout est organisé de façon à éviter certains types d’événements, alors que d’autres dangers non moins graves sont ignorés ou sous-estimés). Si, au contraire, le système pris en compte est trop étendu ou trop général par rapport à un problème donné, on arrive à un flou excessif du concept et des responsabilités, qui ne permet pas d’adopter les mesures préventives nécessaires.

Un exemple type du problème de la définition du système à étudier est celui de la sûreté des machines ou des installations industrielles. Dans ce genre de situation, l’analyste peut être tenté de ne tenir compte que de l’équipement lui-même, en négligeant le fait qu’il va être utilisé ou commandé par une ou plusieurs personnes. Ce type de simplification suffit parfois. Cependant, ce qu’il convient d’analyser, ce n’est pas le seul sous-système correspondant à la machine, mais le système complet travailleur plus machine aux différentes étapes de la durée de vie du matériel (y compris, par exemple, transport et manutention, montage, essais et réglages, utilisation normale, maintenance, démontage et, dans certains cas, destruction). A chaque étape, la machine fait partie d’un système spécifique, dont le but et les modes de fonctionnement ou de dysfonctionnement sont totalement différents de ceux du système dans les autres étapes. Elle doit par conséquent être conçue et fabriquée de manière à permettre d’assurer la fonction prévue dans de bonnes conditions de sécurité à chacune de ces étapes.

Plus généralement, en ce qui concerne les études de sûreté dans les entreprises, il existe plusieurs niveaux de systèmes: la machine, le poste de travail, l’équipe, le service, l’usine et l’entreprise dans son ensemble. Selon le niveau considéré, les types de dysfonctionnements possibles et les mesures préventives correspondantes sont très différents. Une bonne politique de prévention doit prendre en compte les dysfonctionnements pouvant survenir aux divers niveaux.

Les conditions de fonctionnement du système peuvent être définies selon les modalités de fonctionnement attendues du système et l’environnement auquel il pourra être exposé. Cette définition devrait être suffisamment réaliste pour tenir compte des conditions effectives probables de fonctionnement. Un système qui ne serait très sûr que dans une plage de fonctionnement extrêmement limitée pourra devenir moins sûr si l’utilisateur n’est pas en mesure de le maintenir dans la plage théorique prescrite. Un système vraiment sûr devrait donc être suffisamment robuste pour supporter des variations raisonnables de ses conditions de fonctionnement et il devrait tolérer certaines erreurs simples, mais prévisibles, de la part des opérateurs.

La modélisation du système

Il est souvent nécessaire d’élaborer un modèle pour analyser la sûreté d’un système. Ce travail peut soulever certains problèmes qui méritent d’être examinés.

Pour un système restreint et relativement simple comme une machine classique, le modèle peut presque être construit directement à partir de la description des éléments matériels et de leur fonction (moteurs, transmissions, etc.) et de la manière dont ils sont liés entre eux. Le nombre des modes de défaillance possibles des éléments est, de même, limité.

Les machines modernes, comme les ordinateurs ou les robots, qui contiennent des composants complexes tels que microprocesseurs et circuits électroniques à très forte intégration, posent un problème particulier. Ce problème n’a pas été complètement résolu du point de vue de la modélisation ou de la prédiction des différents modes de défaillance possibles, en raison du nombre très élevé de transistors par puce et de la diversité des logiciels.

Lorsque le système à analyser est une organisation humaine, un problème intéressant de la modélisation est celui du choix et de la définition de certains éléments immatériels ou non complètement matériels. On peut, par exemple, représenter un poste de travail particulier par un système comprenant des travailleurs, des logiciels, des tâches, des machines, des matériaux et un environnement (l’élément «tâche» peut s’avérer difficile à définir, car ce qui compte au fond n’est pas la tâche prescrite, mais la tâche telle qu’elle est réellement exécutée).

Lorsqu’il modélise les organisations humaines, l’analyste peut choisir de subdiviser le système considéré en un sous-système d’information et en un ou plusieurs sous-systèmes d’action. L’analyse des défaillances aux différentes étapes du sous-système d’information (acquisition, transfert, traitement et utilisation des informations) peut se révéler très instructive.

Les problèmes associés aux niveaux d’analyse multiples

Des problèmes associés aux niveaux d’analyse multiples apparaissent souvent parce que l’analyste, partant d’un événement indésirable, peut remonter à des incidents toujours plus éloignés dans le temps. Selon le niveau d’analyse considéré, la nature des dysfonctionnements qui surviennent varie, ce qui est également vrai pour les mesures préventives. Il importe de pouvoir décider du niveau auquel arrêter l’analyse et du niveau auquel prendre les mesures préventives. Considérons l’exemple d’un cas simple d’accident résultant d’une défaillance mécanique provoquée par l’utilisation répétée d’une machine dans des conditions anormales. Il peut s’agir d’un manque de formation de l’opérateur ou d’une mauvaise organisation du travail. Selon le niveau d’analyse considéré, l’action préventive requise consistera à remplacer la machine par un autre modèle capable de supporter des conditions d’utilisation plus sévères, à n’utiliser la machine que dans des conditions normales, à modifier la formation des opérateurs, ou à réorganiser le travail.

L’efficacité et la portée d’une mesure préventive dépendent du niveau auquel elle est introduite. Une action préventive à proximité immédiate de l’événement indésirable est plus susceptible d’avoir une incidence directe et rapide, mais ses effets peuvent être limités. En remontant raisonnablement dans l’analyse des événements, il devrait être possible, en revanche, de trouver des types de dysfonctionnement communs à de nombreux accidents. Une mesure préventive prise à ce niveau aura une portée nettement plus étendue, mais son efficacité sera peut-être moins directe.

Compte tenu qu’il existe plusieurs niveaux d’analyse, il peut également y avoir de nombreuses formes d’action préventive, dont chacune apporte sa propre contribution au travail de prévention. Il s’agit là d’un point extrêmement important et il suffit de se référer à l’accident qui vient d’être décrit pour en prendre conscience. Si l’on propose de remplacer la machine par un autre modèle capable de supporter des conditions d’utilisation plus sévères, on met l’accent, en matière de prévention, sur la machine. Si l’on décide que la machine ne doit être utilisée que dans des conditions normales, cela signifie que l’accent est mis sur l’opérateur. De même, l’accent peut être mis sur la formation du personnel, l’organisation du travail, ou simultanément sur la machine, l’utilisateur, la fonction de formation et la fonction d’organisation.

Pour un niveau d’analyse donné, un accident apparaît souvent comme la conséquence d’une combinaison de plusieurs dysfonctionnements ou inadaptations. Selon que l’on agira sur un dysfonctionnement ou un autre, ou sur plusieurs simultanément, les modalités de la mesure préventive adoptée seront différentes.

Figure 58.5 Tournevis

La sécurité exige que les sols soient aussi propres et aussi secs que possible pour éviter les glissades accidentelles lorsqu’on se sert d’un outil à main dangereux ou qu’on se trouve à proximité d’une personne qui en utilise. Bien que les étincelles produites par les outils à main en fer ou en acier n’aient pas, en principe, une température suffisante pour constituer des sources d’inflammation, il est recommandé, lorsqu’on travaille avec des matériaux inflammables ou à proximité de ceux-ci, d’employer des outils antiétincelants en bronze, en plastique, en aluminium ou en bois.

Les outils à moteur

Les outils à moteur sont dangereux en cas de mauvaise utilisation. Il existe plusieurs types d’outils à moteur, que l’on classe habituellement selon leur source d’énergie (électriques, pneumatiques, à carburant liquide, hydrauliques, à vapeur ou à poudre explosive). Les travailleurs devraient posséder la qualification ou la formation requises pour l’utilisation de chacun des outils à moteur nécessaires à leur travail. Ils devraient connaître les risques potentiels associés à l’utilisation de ces outils et observer les précautions générales ci-après pour s’en préserver:

• Ne jamais transporter un outil par son cordon ou son flexible.
• Ne jamais tirer sur le cordon ou le flexible pour débrancher l’outil de sa prise.
• Tenir les cordons et les flexibles à l’écart des sources de chaleur, de l’huile et des arêtes vives.
• Débrancher les outils lorsqu’on ne les utilise pas, pour procéder à leur entretien et pour remplacer des accessoires tels que lames, pointes et disques.
• Les spectateurs devraient rester à bonne distance de la zone de travail.
• Maintenir les pièces à l’aide de serre-joints ou d’un étau de manière à libérer les deux mains pour l’utilisation de l’outil.
• Eviter les mises en route accidentelles. Ne pas laisser les doigts sur l’interrupteur lors du transport d’un outil raccordé. Si l’outil est doté d’un dispositif de verrouillage en marche, celui-ci doit être débloqué lorsque l’alimentation est coupée, de manière que l’outil ne démarre pas automatiquement au moment où l’alimentation est rétablie.
• Les outils devraient être entretenus, aiguisés et nettoyés avec soin pour assurer un fonctionnement optimal. Les opérations de lubrification et de changement d’accessoires devraient être effectuées conformément aux instructions du fabricant.
• Les travailleurs devraient adopter une bonne position et un bon équilibre lors de l’utilisation d’outils motorisés. Ils devraient porter une tenue adaptée à leur travail en gardant toujours à l’esprit que les vêtements amples, les cravates et les bijoux peuvent se prendre dans des organes mobiles.
• Tous les outils électriques endommagés devraient être retirés du service et repérés par une étiquette indiquant «Ne pas utiliser» pour éviter les électrocutions.

Les protecteurs

Les parties dangereuses en mouvement devraient être munies de protecteurs. Les parties mécaniques comme les courroies, engrenages, arbres, poulies, roues dentées, axes, tambours, volants, chaînes ou autres pièces à mouvement alternatif, rotatif ou autre devraient être protégées lorsque les travailleurs risquent d’être exposés à leur contact. On devra, si nécessaire, disposer des protecteurs pour éviter que les opérateurs et les autres personnes ne soient exposés aux risques liés:

• à la zone d’opération;
• aux points d’entraînement par pincement;
• aux pièces à mouvement rotatif ou alternatif;
• aux projections de copeaux ou d’étincelles, ainsi qu’aux vapeurs et aux gouttelettes de fluides de coupe.

Figure 58.6 Scie circulaire avec cape de protection

Les interrupteurs et les commandes de sécurité

Les équipements ci-après sont des exemples d’outils motorisés à main qui devraient être équipés d’un interrupteur à arrêt par relâchement:

Figure 58.7 Perceuse électrique

Ces outils peuvent également être équipés de commandes verrouillables, à condition de pouvoir être arrêtés par un simple mouvement du ou des doigts avec lesquels on les met en marche. Les outils portatifs à moteur ci-après peuvent être équipés uniquement d’un interrupteur marche-arrêt commandé:

• ponceuses vibrantes;
• ponceuses à disque d’un diamètre de disque ne dépassant pas 5 cm;
• meuleuses d’un diamètre de disque ne dépassant pas 5 cm;
• défonceuses et rabots;
• trancheuses, grignoteuses et cisailles à stratifiés;
• scies à chantourner et scies sauteuses dont la lame mesure moins de 6,4 mm de large.

Les outils portatifs à moteur pour lesquels un interrupteur à arrêt par relâchement est indispensable comprennent également:

• les scies circulaires d’un diamètre de lame supérieur à 5,1 cm;
• les tronçonneuses à chaîne;
• les outils à percussion sans système de blocage des accessoires.

Les outils électriques

Les travailleurs appelés à se servir d’outils électriques devraient être conscients de plusieurs risques. Le plus grave est le risque d’électrocution, suivi de risques de brûlures et de commotions électriques. Dans certaines conditions, même un courant limité peut être à l’origine d’une fibrillation cardiaque susceptible d’entraîner la mort. Un choc électrique peut également provoquer une chute du haut d’une échelle ou d’un poste de travail en hauteur.

Pour limiter les risques de blessures à la suite de chocs électriques, les outils devraient être protégés par l’un au moins des dispositifs ci-après:

• Mise à la terre par câble à trois conducteurs (dont un de terre). Les câbles à trois fils comprennent deux fils sous tension et un de mise à la terre. Une extrémité du fil de terre est reliée à l’enveloppe métallique de l’outil, et l’autre à la terre, par l’intermédiaire de la broche mâle de la prise. Chaque fois qu’un adaptateur est utilisé pour brancher l’outil sur une prise à deux fils, le fil de l’adaptateur doit être relié à une terre sûre. La broche mâle ne doit jamais être enlevée.
• Double isolation. Le travailleur et l’outil sont protégés de deux manières: 1) par l’isolation normale des fils; 2) par un boîtier faisant obstacle au passage du courant électrique jusqu’à l’opérateur en cas de fonctionnement défectueux.
• Alimentation par transformateur basse tension.
• Branchement par l’intermédiaire de disjoncteurs de défaut à la terre . Ces appareils, fixes ou portatifs, coupent instantanément le circuit lorsque le courant cherche un passage à la terre à travers le corps du travailleur ou les objets reliés à la terre.

Lorsqu’on utilise des outils électriques, il conviendrait d’appliquer les pratiques de sécurité générales ci-après:

• Respecter les limites d’utilisation préconisées.
• Le port de gants et de chaussures de sécurité est recommandé.
• Les outils non utilisés devraient être conservés dans un endroit sec.
• Les outils ne devraient pas être employés si des fils ou des connecteurs sont effilochés, pliés ou endommagés.
• Les outils électriques ne devraient pas être utilisés dans les lieux humides.
• Les zones de travail devraient être bien éclairées.

Les meuleuses

Les meules et disques abrasifs montés sur les outils de meulage, de coupe, de polissage et de brossage posent des problèmes de sécurité particuliers en raison des risques de rupture et de projection de fragments.

Avant montage, les disques et meules abrasifs devraient être attentivement examinés et sonnés (essai au son) en leur appliquant de petits coups à l’aide d’un instrument léger et non métallique pour vérifier qu’ils ne présentent pas de fissures ou autres défauts. Une meule fissurée ou qui émet un son mat risque d’éclater en service. Elle doit donc être mise au rebut. Une meule saine et sans défauts produit un son métallique clair: elle «sonne».

Pour éviter une fissuration de la meule, l’utilisateur doit s’assurer qu’elle coulisse librement sur son axe. L’écrou de l’axe devrait être suffisamment serré pour maintenir la meule en place sans déformer les flasques. Les recommandations du fabricant doivent être respectées. L’utilisateur devrait également vérifier que la vitesse de rotation ne dépasse pas les caractéristiques de la meule. Compte tenu du risque de désintégration ou d’éclatement de la meule au démarrage, le travailleur ne devrait jamais rester face à elle pendant sa montée en vitesse. Les outils de meulage portatifs devraient être équipés de carters de protection protégeant l’opérateur non seulement de la surface en mouvement de la meule, mais aussi contre les projections d’éclats en cas de rupture. En outre, lors de l’utilisation d’une meuleuse à moteur, il convient de:

• Porter une protection oculaire.
• Couper l’alimentation électrique en dehors des périodes d’utilisation.
• Ne jamais bloquer une meuleuse portative dans un étau.

Les outils pneumatiques

Les outils pneumatiques qui fonctionnent à l’air comprimé comprennent les burins, les perceuses, les marteaux et les ponceuses. Quoique ces outils présentent différents dangers potentiels, le principal est celui d’être heurté par un de leurs accessoires, ou par une des fixations que le travailleur pose avec l’outil. Une protection des yeux est nécessaire et une protection du visage recommandée pour l’utilisation d’outils pneumatiques. Le bruit représente également un danger. Lorsqu’on se sert d’outils bruyants comme les marteaux pneumatiques, il est impératif de porter correctement une protection auditive adaptée au risque encouru.

Le travailleur utilisant un outil pneumatique devrait s’assurer que le flexible d’air est bien raccordé et qu’il ne risque pas de se débrancher. Un cordon de faible longueur ou un dispositif d’immobilisation du flexible d’air sur l’outil constitueront une sécurité supplémentaire. Si le flexible a un diamètre supérieur à 13 mm, il est conseillé d’installer une valve de surdébit à la source d’alimentation en air, afin de couper automatiquement l’arrivée d’air en cas de rupture du flexible. En règle générale, il convient d’appliquer aux flexibles les mêmes précautions qu’aux câbles électriques, dans la mesure où ils sont sujets aux mêmes types de détériorations ou de heurts accidentels et où ils présentent le même risque de faire trébucher les personnes.

Les pistolets à air comprimé ne devraient jamais être dirigés vers une personne, ni surtout être pointés «à bout portant» sur soi-même ou quelqu’un d’autre. Une agrafe ou une retenue devraient être installées pour éviter que l’accessoire, ciseau ou burin, ne soit accidentellement chassé du canon. Il est conseillé de placer des écrans pour que les personnes travaillant à proximité soient protégées contre les débris projetés par les burins, les pistolets à riveter, les marteaux pneumatiques, les agrafeuses ou les perceuses pneumatiques.

Les pistolets «airless» destinés à pulvériser des peintures ou des liquides sous des pressions élevées (70 bars ou plus) devraient être équipés de dispositifs visuels automatiques ou manuels empêchant leur mise en service tant que ce dispositif n’a pas été libéré manuellement. Les marteaux-piqueurs lourds peuvent causer une fatigue et des tensions musculaires qu’il est possible d’alléger en les équipant de robustes poignées en caoutchouc assurant une bonne prise. Les travailleurs employant un marteau-piqueur devraient porter des lunettes et des chaussures de sécurité pour se protéger en cas de dérapage ou de chute de l’outil. Un écran facial est également recommandé.

Les outils à moteur thermique

Ces outils fonctionnent généralement à l’aide de petits moteurs à combustion interne utilisant de l’essence. Les dangers les plus graves que présentent ces outils sont les émanations de carburant, qui peuvent s’enflammer ou exploser et émettre des gaz toxiques. On veillera à manipuler, transporter et stocker l’essence uniquement dans des récipients homologués pour les liquides inflammables, et on respectera les précautions applicables à ces liquides. Avant de remplir le réservoir de ces outils, l’utilisateur devrait arrêter le moteur et le laisser refroidir pour éviter une inflammation accidentelle des vapeurs dangereuses. Si un outil à moteur thermique est utilisé dans un local fermé, il est nécessaire d’assurer une ventilation efficace ou de porter un équipement de protection pour éviter une exposition au monoxyde de carbone. On prendra soin d’équiper la zone concernée d’extincteurs d’incendie.

Les outils de scellement à charge explosive

Ces outils fonctionnent comme des armes à feu et devraient être traités avec le même soin. Ils sont en fait si dangereux qu’ils ne devraient être utilisés que par des personnes ayant reçu une formation spéciale. Une protection correcte des oreilles, des yeux et du visage est indispensable pour travailler avec ces outils. Tous les modèles d’outils à charge propulsive devraient être conçus pour différentes charges, de manière à laisser à l’utilisateur le choix de la puissance strictement nécessaire au travail à effectuer.

L’orifice de l’outil devrait être équipé d’un écran ou d’une protection perpendiculaire au canon pour protéger l’utilisateur des projections d’éclats ou de débris qui peuvent présenter un danger au moment du tir. L’outil devrait être conçu de manière à ne pas pouvoir fonctionner sans ce genre de dispositif de sécurité. Pour éviter tout fonctionnement accidentel, le tir devrait exiger deux mouvements distincts: l’un pour amener l’outil en position, l’autre pour appuyer sur la détente. Il est nécessaire que l’outil puisse fonctionner uniquement lorsqu’on l’appuie contre la surface de travail avec une force supérieure d’au moins 2,5 kg à son propre poids.

En cas de raté, l’utilisateur devrait attendre au moins 30 secondes avant de tenter un nouveau tir. En cas de nouvel échec, il devrait attendre 30 secondes supplémentaires, afin de limiter le risque d’explosion de la cartouche défectueuse, puis retirer la charge avec précaution. La cartouche défectueuse devrait être plongée dans l’eau, ou mise au rebut par tout autre moyen sûr défini par l’entreprise.

En cas d’apparition d’un défaut sur un outil à charge propulsive en cours d’utilisation, l’outil devrait immédiatement être étiqueté et retiré du service jusqu’à ce qu’il soit réparé comme il convient. Voici quelques précautions à prendre pour utiliser et manipuler ces outils dans les conditions de sécurité:

• Les outils à charge propulsive ne devraient pas être employés dans les atmosphères explosives ou inflammables, sauf si un permis spécial a été délivré par une personne autorisée.
• Avant d’utiliser l’outil, le travailleur devrait l’examiner afin de vérifier qu’il est propre, que toutes les pièces mobiles fonctionnent librement et que le canon n’est pas obstrué.
• L’outil ne devrait jamais être dirigé sur une personne.
• L’outil ne devrait être chargé que s’il est prévu de l’utiliser immédiatement. Un outil chargé ne devrait jamais rester sans surveillance, surtout s’il est accessible à des personnes non autorisées.
• Les mains devraient être tenues à l’écart de la bouche du canon.

Lors de la pose de fixations à l’aide d’un outil de scellement à charge propulsive, les mesures de sécurité suivantes devraient être prises:

• Ne pas enfoncer une fixation dans un matériau qu’elle risque de traverser de part en part.
• Ne pas enfoncer une fixation dans des matériaux comme la brique ou le béton à moins de 75 mm ou, dans de l’acier, à moins de 13 mm d’une arête ou d’un angle.
• Ne pas enfoncer de fixations dans des matériaux très durs ou cassants qui risquent de se fragmenter, d’éclater ou de faire ricocher la fixation.
• Utiliser un guide d’alignement lors de la pose de fixations dans des trous existants. Ne pas enfoncer de fixations dans un orifice endommagé par un tir antérieur.

Les outils hydrauliques

Le fluide employé dans les outils hydrauliques devrait être approuvé pour l’utilisation prévue et conserver ses caractéristiques aux températures extrêmes auxquelles il sera exposé. Les pressions de service recommandés par le fabricant pour une utilisation sûre des flexibles, clapets, tuyauteries, filtres et autres accessoires ne devraient pas être dépassées. S’il existe un risque de fuites à haute pression dans une zone où peuvent être présentes des sources d’inflammation telles que flammes ou surfaces chaudes, on devrait envisager l’emploi d’huiles incombustibles.

Les vérins

Tous les vérins — à crémaillère, à vis et hydrauliques — devraient comporter un dispositif les empêchant de dépasser la hauteur prévue. La limite de charge indiquée par le fabricant devrait être inscrite en permanence sur le vérin à un endroit bien visible et ne jamais être dépassée. On placera si nécessaire des cales de bois sous la base afin de mettre le vérin de niveau et le stabiliser. Si la surface à soulever est métallique, on placera un bloc de bois dur ou d’un autre matériau équivalent de 25 mm d’épaisseur entre la surface d’assise et la tête métallique du vérin pour limiter les risques de glissement. Un vérin ne devrait jamais servir à soutenir une charge soulevée. Une fois la charge soulevée, elle devrait être immédiatement soutenue par des cales.

Pour installer un vérin, on vérifiera les points ci-après:

1. Sa base devrait reposer sur une surface ferme et plane.
2. Le vérin devrait être correctement centré.
3. Sa tête devrait s’appuyer contre une surface plane.
4. La force de levage devrait être uniformément répartie.

Une bonne maintenance des vérins est essentielle à la sécurité. Tous les vérins devraient être examinés avant chaque utilisation et lubrifiés périodiquement. Les vérins qui ont supporté des charges excessives ou subi des chocs anormaux devraient être examinés attentivement, afin de vérifier qu’ils ne sont pas endommagés. Les vérins hydrauliques exposés au gel devraient être remplis d’un liquide antigel approprié.

Résumé

Les travailleurs qui emploient des outils à main et des outils à moteur et qui sont exposés à des objets ou matériaux abrasifs ou susceptibles de tomber ou d’être projetés, ainsi qu’aux risques présentés par des poussières, fumées, brouillards, vapeurs ou gaz dangereux, devraient disposer des équipements individuels nécessaires pour se protéger. Les risques associés à l’utilisation des outils à moteur peuvent être évités si les travailleurs respectent cinq règles fondamentales:

1. Conserver les outils en bon état par une maintenance régulière.
2. Utiliser l’outil adapté à la tâche.
3. Vérifier le bon état de chaque outil avant utilisation.
4. Respecter les instructions du fabricant.
5. Choisir et employer les équipements de protection appropriés.

Il appartient aux employeurs et à leur personnel de coopérer pour maintenir des pratiques de travail conformes à la sécurité. Un outil défectueux ou une situation dangereuse devraient être immédiatement signalés à la personne compétente.

Figure 58.8 Exemples de mouvements mécaniques pouvant blesser une personne

Sources d’énergie. Les sources d’énergie externes utilisées pour entraîner une machine mettent parfois en œuvre des puissances considérables. Ces systèmes peuvent être électriques, à vapeur, hydrauliques, pneumatiques ou mécaniques et ils sont tous susceptibles, en cas de déclenchement intempestif ou de perte de contrôle, d’occasionner de graves dommages corporels ou matériels. Une étude des accidents survenus sur une année (de 1987 à 1988) chez les agriculteurs de neuf villages du nord de l’Inde a révélé que les machines à hacher le fourrage utilisées, qui étaient toutes du même modèle, étaient plus dangereuses lorsqu’elles étaient actionnées par un moteur ou un tracteur. La fréquence relative des accidents impliquant plus qu’une blessure légère (par machine) était de 5,1‰ pour les hacheuses manuelles, contre 8,6‰ pour les hacheuses motorisées (Mohan et Patel, 1992).

Les lésions liées aux mouvements des machines

Les forces associées aux mouvements des machines étant souvent très importantes, on peut présumer qu’elles risquent d’être à l’origine de lésions graves. Cette supposition est confirmée par plusieurs sources. Selon les statistiques britanniques (Health and Safety Executive, 1989), les accidents du type «contact avec une machine en mouvement ou avec des matériaux usinés» représentaient seulement 5% des accidents du travail, mais 10% des accidents mortels ou graves (fractures, amputations, etc.). Les résultats d’études effectuées dans deux usines suédoises de construction automobile vont dans le même sens. Les accidents causés par des mouvements de machines donnaient lieu à deux fois plus de jours d’arrêt de travail, mesurés par les valeurs médianes, que ceux n’impliquant pas de machine. Les accidents liés aux machines différaient également des autres par la partie du corps touchée: selon les résultats, 80% des lésions subies à la suite d’accidents dus à des machines concernaient les mains et les doigts, alors que cette proportion n’était que de 40% pour les autres cas (Backström et Döös, 1995).

S’agissant des risques dans les installations automatisées, la situation se révèle à la fois différente (du point de vue du type d’accident, de la séquence des événements et du degré de gravité des lésions) et plus complexe (à la fois du point de vue technique et sur le plan des qualifications spécialisées requises) que pour les installations employant des machines classiques. Le terme automatisé désigne ici des équipements qui, sans intervention directe de l’être humain, sont capables de déclencher un mouvement d’une machine ou de changer sa direction ou sa fonction. Ces équipements emploient des dispositifs de détection (par exemple, détecteurs de position ou microcontacts) ou une certaine forme de commande séquentielle (comme un programme informatique) pour contrôler et diriger leur travail. Depuis quelques décennies, les automates à logique programmable sont de plus en plus répandus en tant qu’unités de contrôle dans les systèmes de production. L’utilisation de micro-ordinateurs tend désormais à se généraliser pour contrôler les équipements de production dans les pays industriels, tandis que les autres systèmes de commande comme les appareils électromécaniques sont de moins en moins nombreux. Dans l’industrie manufacturière suédoise, l’utilisation des machines à commande numérique a augmenté de 11 à 12% par an dans les années quatre-vingt (Hörte et Lindberg, 1989). Dans la production industrielle moderne, être blessé par des «parties de machines en mouvement» devient de plus en plus synonyme d’être blessé par des «mouvements de machines commandés par ordinateur».

On rencontre des installations automatisées dans des secteurs industriels toujours plus nombreux et le nombre de leurs fonctions va croissant. L’automatisation se répand dans les activités de stockage, de manutention, de traitement des matériaux, de transformation, d’assemblage et d’emballage. La fabrication en série ressemble désormais à la production dans les industries de transformation. Si l’introduction, l’usinage et l’éjection des pièces sont mécanisés, l’opérateur n’a plus besoin de rester dans la zone dangereuse tant la production se déroule sans incident. Des études sur la fabrication automatisée ont révélé que les accidents se produisaient surtout lors des interventions suivant les perturbations de la production. Mais les personnes peuvent être également exposées aux mouvements des machines pendant l’exécution d’autres travaux comme les nettoyages, les réglages, les contrôles et les réparations.

Figure 58.9 Exemple type d'accident provoqué par un mouvement de machine
commandée par ordinateur

Une des études citées plus haut (Backström et Döös, 1995) a montré qu’il existait un lien de causalité entre le fait que des mouvements de machines sont commandés automatiquement et la plus longue durée des arrêts de travail parmi le personnel correspondant, par rapport aux accidents dus à d’autres types de mouvements de machines, la valeur médiane étant quatre fois supérieure dans l’un des lieux de travail considérés. Le type de lésions dans les accidents d’automatisation était similaire à celui des autres accidents avec des machines (principalement les mains et les doigts), mais avec un degré de gravité tendant à être supérieur (amputations, écrasements et fractures).

Les systèmes de commande par ordinateur, tout comme les systèmes manuels, ne présentent pas une fiabilité absolue. Rien ne garantit qu’un programme informatique fonctionnera sans erreur. L’électronique, de par le faible niveau de ses signaux, peut être sensible à des interférences en l’absence d’une protection adéquate, et les conséquences des défaillances qui peuvent en résulter ne sont pas toujours prévisibles. De plus, les changements apportés à la programmation sont rarement signalés. Une des méthodes employées pour compenser cette lacune est, par exemple, le recours à des systèmes dédoublés, comportant deux chaînes indépendantes de composants fonctionnels, avec une méthode de surveillance qui vérifie que toutes deux donnent la même valeur. L’apparition de valeurs différentes indique une défaillance de l’une des chaînes. Il reste malgré tout possible que les deux chaînes souffrent du même défaut et que toutes deux soient déréglées par la même perturbation, donnant ainsi des valeurs faussement positives (puisque les deux systèmes concordent). Néanmoins, il n’a été possible que dans quelques-uns seulement des cas étudiés d’imputer un accident à une défaillance de l’ordinateur (voir ci-dessous), malgré le fait qu’un même ordinateur contrôle fréquemment toutes les fonctions d’une installation (y compris l’arrêt d’une machine suite à l’activation d’un dispositif de sécurité). Une autre solution envisageable consiste à équiper un système éprouvé avec des composants électromécaniques pour assurer les fonctions de sécurité.

Les problèmes techniques

Figure 58.10 Types de problèmes techniques impliquées dans des accidents
d'automatisation (nombre d'accidents = 127)

Figure 58.11 Type de gestion des perturbations au moment de l'accident
(nombre d'accidents = 76)

La sécurité des travailleurs

Les catégories de personnel les plus susceptibles d’être victimes d’accidents d’automatisation varient selon la manière dont le travail est organisé, c’est-à-dire selon les groupes professionnels préposés aux tâches dangereuses. En pratique, il s’agit de la personne habituellement chargée de régler les problèmes et les incidents sur le lieu de travail. Dans l’industrie suédoise moderne, on demande généralement aux opérateurs d’une machine d’effectuer des interventions actives. C’est la raison pour laquelle, dans l’étude précédemment citée sur une usine suédoise de construction automobile (Backström et Döös, 1997b), on a constaté que 82% des personnes victimes de lésions causées par des machines automatisées étaient des ouvriers de production ou des opérateurs. Les opérateurs présentaient également une fréquence relative d’accidents plus élevée (15 accidents d’automatisation par an pour 1 000 opérateurs) que les ouvriers de maintenance (6‰). Les résultats des études montrant que les ouvriers de maintenance sont plus touchés s’expliquent au moins en partie par le fait que, dans certaines entreprises, il est interdit aux opérateurs de pénétrer dans les zones d’usinage. Dans d’autres établissements, où la répartition des tâches est différente, d’autres catégories de personnel — les régleurs par exemple — peuvent être chargées de résoudre les problèmes de production.

La mesure corrective la plus fréquemment prise en vue d’augmenter le niveau de sécurité individuelle consiste à protéger la personne contre les mouvements dangereux de la machine à l’aide d’un dispositif de sécurité, tel qu’une barrière. Le principe majeur dans ce cas est celui de la sécurité «passive», c’est-à-dire la mise en place d’une protection ne nécessitant pas d’action de la part du travailleur. Il est cependant impossible de juger de l’efficacité des dispositifs de protection sans une très bonne connaissance des exigences réelles du travail sur la machine en question, connaissance que les opérateurs sont en général les seuls à posséder.

De nombreux facteurs sont susceptibles de rendre inopérante une protection, même apparemment adéquate, d’une machine. Pour faire leur travail, les opérateurs peuvent être amenés à neutraliser ou à contourner un dispositif de sécurité. Dans une étude (Döös et Backström, 1993), on a constaté qu’une neutralisation ou un contournement de ce genre avait eu lieu dans 12 des 75 accidents d’automatisation considérés. Il s’agit souvent de l’excès de zèle d’un opérateur, qui n’est plus disposé à accepter les problèmes de production ou les retards qui en résultent pour le processus de production lorsqu’on se conforme aux instructions pour les interventions à la suite d’un incident. Une manière d’éviter ce problème est de rendre le dispositif de protection imperceptible, de sorte qu’il n’ait pas d’incidence sur les cadences de production, la qualité du produit ou l’exécution des tâches. Mais ce n’est pas toujours possible et si les incidents de production se répètent, des inconvénients, même mineurs, peuvent inciter les travailleurs à ne pas utiliser les dispositifs de protection. Dans ce domaine également, il conviendrait de fixer des procédures pour éliminer les causes des incidents de production et éviter leur répétition. L’absence de moyens permettant de confirmer que les dispositifs de protection fonctionnent réellement selon les spécifications constitue également un facteur de risque non négligeable.

Des anomalies telles que des défauts de raccordement, des signaux de mise en marche qui restent dans le système et occasionnent ultérieurement des démarrages intempestifs, l’accumulation d’une pression d’air et des détecteurs mal fixés sont susceptibles d’entraîner une défaillance de l’équipement de protection.

Résumé

Comme on vient de le montrer, les solutions techniques apportées à certains problèmes peuvent en susciter d’autres. Le fait que des accidents sont causés par des mouvements des machines, phénomène de nature essentiellement technique, ne signifie pas nécessairement qu’ils puissent être supprimés uniquement par des mesures techniques. Les systèmes techniques continueront à connaître des dysfonctionnements et les travailleurs ne réussiront pas à maîtriser dans tous les cas les situations qui en résultent. Les risques continueront d’exister et on ne pourra en conserver le contrôle que par la mise en œuvre de moyens très divers. La législation et les contrôles, les mesures d’organisation prises au niveau de l’entreprise (formation, inspections de sécurité, analyse des risques et rapports sur les incidents et les situations dangereuses), ainsi qu’un souci constant d’amélioration sont des compléments nécessaires aux progrès purement techniques.

Figure 58.12 Poinçonneuse mécanique

Figure 58.13 Exemples de parties saillantes dangereuses sur des pièces à
mouvement tangentiel

Des points d’entraînement par coincement sont créés par les parties tournantes des machines. Il en existe trois types principaux:

Figure 58.16 Points de prise entre des éléments tournants de machines et des
parties fixes

Figure 58.17 Mouvement alternatif dangereux

Figure 58.18 Exemple de mouvement de translation

Les actions

Il existe quatre grands types d’action: la coupe, le poinçonnage, le cisaillage et le pliage.

Figure 58.19 Exemples de risques de lacération

Figure 58.20 Représentation d'une opération de poinçonnage

Figure 58.21 Opération de cisaillage

Figure 58.22 Opération de pliage

Les caractéristiques requises des dispositifs de protection

Pour protéger les travailleurs contre les risques mécaniques, ces dispositifs devraient répondre aux caractéristiques générales minimales suivantes:

Eviter le contact. Le dispositif de protection devrait empêcher que les mains, les bras ou toute autre partie du corps ou encore des vêtements n’entrent en contact avec des organes mobiles dangereux, en éliminant toute possibilité pour les opérateurs ou autres travailleurs de s’approcher de ces organes.

Garantir la sécurité. On devrait veiller à ce que les travailleurs ne puissent pas enlever ou neutraliser facilement le dispositif de protection. Les barrières, écrans et autres dispositifs de sécurité devraient être réalisés en matériaux durables, capables de supporter les conditions d’utilisation normales et être solidement fixés à la machine.

Protéger contre les chutes d’objets. La protection devrait être conçue pour empêcher que des objets étrangers ne puissent atteindre des parties en mouvement et les endommager ou ne soient transformés en projectiles dangereux.

Ne pas créer de nouveaux dangers . Une protection ne remplit pas son rôle si elle crée par elle-même un danger, par exemple un point de cisaillement ou une arête tranchante. Les bords des protecteurs devraient être roulés (ou boulonnés) de manière à éliminer les arêtes vives.

Ne pas créer d’interférences . Les protections qui gênent les travailleurs dans l’exécution de leurs tâches risquent d’être rapidement neutralisées ou ignorées. Dans la mesure du possible, les travailleurs devraient pouvoir lubrifier les machines sans devoir détacher ou retirer leurs protecteurs. Le fait, par exemple, de placer le réservoir d’huile à l’extérieur de la protection, avec une tuyauterie aboutissant au point de lubrification, évite de devoir pénétrer dans la zone dangereuse.

La formation aux systèmes de protection

Le plus élaboré des systèmes de protection ne peut assurer une véritable sécurité que si les travailleurs savent pourquoi et comment l’employer. Une formation spécifique et détaillée est un élément important de tout programme de mise en place de protecteurs contre les dangers des machines. Des protecteurs bien étudiés peuvent améliorer la productivité et le rendement en libérant les travailleurs de la crainte d’être blessés. Une formation concernant les protecteurs est nécessaire pour les nouveaux opérateurs et le personnel chargé de la maintenance ou des réglages, lors de la mise en place de protecteurs nouveaux ou modifiés, ou lorsque des travailleurs sont affectés à une nouvelle machine ou une nouvelle fonction. Elle devrait comprendre des cours ou un enseignement pratique portant sur les points suivants:

• description et identification des dangers associés à des machines particulières ainsi que des protecteurs spécifiques contre chacun des dangers rencontrés;
• comment les protecteurs assurent la sécurité, comment les utiliser et pourquoi;
• comment et dans quelles circonstances il est possible de retirer les protecteurs, et qui doit le faire (en général, uniquement le personnel de réparation et de maintenance);
• ce qu’il convient de faire (par exemple aviser la hiérarchie) si un protecteur est endommagé, absent ou hors d’état d’assurer la sécurité voulue.

Les méthodes de mise en sécurité des machines

Il existe de nombreuses manières d’assurer aux machines le niveau de sécurité requis. Le type d’opération, les dimensions ou la forme des matériaux, la méthode de manutention, l’agencement physique de la zone de travail, le type de matériau et les besoins ou les limitations de la production permettront de déterminer la méthode de protection appropriée à une machine particulière. Le concepteur de la machine ou le responsable de la sécurité doivent choisir la protection la plus efficace et la plus pratique possible.

On peut classer les systèmes de protection en cinq grandes catégories: 1) les protections matérielles, fixes ou mobiles; 2) les dispositifs de sécurité; 3) la protection par séparation (par l’emplacement ou la distance); 4) les dispositifs d’alimentation et d’éjection; 5) les autres systèmes.

Les protections matérielles

Il existe quatre types principaux de protections formant barrière pour interdire l’accès aux zones dangereuses:

Tableau 58.2 Protections relatives aux machines

Figure 58.23 Protection fixe sur une presse mécanique

Figure 58.24 Protection fixe pour courroies et poulies

Figure 58.25 Protection fixe sur une scie à ruban

Protecteurs à verrouillage. Lorsqu’on ouvre ou qu’on retire des protecteurs à verrouillage, le mécanisme de déclenchement ou l’alimentation en énergie sont automatiquement coupés ou déconnectés, et la machine ne peut pas accomplir son cycle ou être remise en marche tant que le protecteur n’a pas été remis en place. En revanche, la remise en place du protecteur ne devrait pas provoquer le redémarrage automatique de la machine. Ces protections peuvent utiliser l’énergie électrique, mécanique, hydraulique ou pneumatique, ou une combinaison quelconque de ces énergies. Elles ne devraient pas empêcher la marche pas à pas ou la commande par impulsions (c’est-à-dire des mouvements lents et limités) commandées à distance, lorsque ce mode de fonctionnement est prévu.

Figure 58.26 Protection avec contacteur de sécurité sur un batteur

Figure 58.27 Protection télescopique sur une scie à ruban

Protecteurs à réglage automatique. Les ouvertures des protecteurs à réglage automatique sont déterminées par le mouvement des matériaux. A mesure que l’opérateur déplace le matériau vers la zone dangereuse, le protecteur est repoussé en dégageant une ouverture juste suffisante pour le passage du matériau. Une fois celui-ci retiré, le protecteur revient en position de repos. Ce type de protection interpose une barrière entre la zone dangereuse et l’opérateur. Ces protecteurs peuvent être réalisés en plastique, en métal ou dans un autre matériau robuste. Ils offrent différents niveaux de protection.

Figure 58.28 Protection à réglage automatique sur une scie à bras radial

Les dispositifs de sécurité

Il existe des dispositifs de sécurité permettant d’arrêter une machine lorsqu’une main ou une partie quelconque du corps est placée par inadvertance dans la zone dangereuse, de retenir les mains de l’opérateur ou de les retirer de la zone dangereuse pendant le fonctionnement, de contraindre l’opérateur à poser simultanément les deux mains sur les commandes de la machine (de manière à maintenir les deux mains et le reste du corps à l’écart) ou d’actionner une barrière en synchronisation avec le cycle de fonctionnement de la machine, afin d’empêcher toute pénétration dans la zone de danger au cours de la partie dangereuse du cycle. Ces dispositifs de sécurité sont classés selon les grandes catégories ci-après:

Les dispositifs à détection de présence

Trois types de détecteurs arrêtant la machine ou interrompant son cycle de travail si un travailleur est présent dans la zone dangereuse sont décrits ci-après:

Figure 58.29 Dispositif photoélectrique de détection de présence sur une plieuse

Figure 58.30 Dispositif de détection de présence à fréquence radio

Figure 58.31 Détecteur électromécanique sur une machine à poser des œillets

Les dispositifs à retrait

Figure 58.32 Dispositif de retrait des mains sur une presse mécanique

Les dispositifs limitateurs

Tableau 58.3 Dispositifs

Les dispositifs de commande de sécurité

Tous ces dispositifs de commande de sécurité sont actionnés manuellement et doivent être réinitialisés manuellement aussi pour remettre en marche la machine:

Figure 58.38 Presse mécanique avec portillon

La protection par l’emplacement ou la distance

Avec ce type de solution, la machine ou ses parties en mouvement dangereuses sont placées de telle manière que les zones dangereuses soient inaccessibles ou ne présentent pas de risque pour les travailleurs pendant le fonctionnement normal de la machine. On peut utiliser à cet effet des cloisons ou des clôtures limitant l’accès aux machines ou installer celles-ci à un emplacement où un élément existant des locaux, un mur par exemple, protégera l’opérateur et les autres personnes. Une autre possibilité consiste à placer les parties dangereuses suffisamment haut pour qu’elles soient normalement hors de portée des travailleurs. Il est indispensable d’effectuer une analyse complète des dangers de chaque machine et de chaque situation avant d’envisager cette technique de protection. Les exemples mentionnés ci-dessous ne représentent que quelques-unes des nombreuses applications du principe de la protection par l’emplacement ou la distance.

Opération d’alimentation. L’opération d’alimentation peut faire l’objet d’une mesure de protection par position s’il est possible de maintenir une distance de sécurité pour protéger les mains de l’opérateur. Les dimensions du matériau à travailler peuvent assurer dans certains cas une sécurité suffisante. Dans le cas d’une poinçonneuse simple, par exemple, si le matériau mesure un mètre ou plus et si on ne le travaille que d’un côté, l’opérateur peut le tenir du côté opposé pendant le travail. Toutefois, en fonction de la machine, une protection peut rester nécessaire pour les autres personnes.

Positionnement des commandes. Le positionnement du poste de commande de l’opérateur est l’une des approches possibles de la protection par l’emplacement. S’il n’est pas nécessaire que l’opérateur se tienne à proximité, les commandes de l’opérateur pourront être placées à une distance suffisante de la machine pour assurer la sécurité.

Les systèmes de protection au niveau de l’alimentation et de l’éjection

Tableau 58.4 Méthodes d'alimentation et d'éjection

Le recours à l’une des cinq méthodes suivantes d’alimentation et d’éjection pour la mise en sécurité des machines ne supprime pas la nécessité de protecteurs matériels ou d’autres dispositifs, qui devraient être utilisés en fonction des besoins pour assurer une protection contre les dangers.

Figure 58.39 Presse mécanique à alimentation automatique

Figure 58.40 Presse mécanique à alimentation par goulotte

Figure 58.41 Système d'éjection par navette

Figure 58.42 Mécanisme d'éjection semi-automatique

Figure 58.43 Protection par barrières du périmètre d'action d'un robot

Les autres systèmes et accessoires de protection

Quoique ces accessoires n’assurent pas une protection complète contre les dangers des machines, ils peuvent apporter aux opérateurs une marge de sécurité supplémentaire. Leur application et leur utilisation nécessitent un jugement averti.

Figure 58.44 Vue arrière d'une cisaille

Figure 58.45 Exemples d'écrans

Figure 58.46 Outils de maintien

Figure 58.47 Utilisation d'un poussoir et d'un bloc de poussée

Figure 58.48 Une personne et deux robots dans des enveloppes modélisées

Réflecteurs (détecteurs de mouvement et détecteurs de présence). Quels que soient leurs mérites, les détecteurs décrits ci-dessus ne sont pas des détecteurs de présence au sens large. Pour que leur utilisation sur les véhicules lourds et les grands équipements mobiles, principalement en vue d’assurer la sécurité du travail, puisse être envisagée, il est nécessaire que deux caractéristiques importantes soient réunies: 1) la possibilité de surveiller une zone depuis une position donnée; et 2) un fonctionnement fiable et ne nécessitant pas de mesures complémentaires concernant l’objet à détecter, comme l’installation de dispositifs réfléchissants. Pour que l’équipement puisse déceler la présence d’une personne pénétrant dans la zone surveillée, et ce jusqu’à ce qu’elle ait quitté cette zone, il est nécessaire également qu’il détecte une personne restant parfaitement immobile. C’est ce qui distingue les détecteurs de mouvement des détecteurs de présence, du moins en ce qui concerne une utilisation avec des équipements mobiles: les détecteurs de mouvement sont presque toujours déclenchés lorsque le véhicule commence à se déplacer.

Détecteurs de mouvement. Les deux principaux types de détecteurs de mouvement sont: 1) les détecteurs infrarouges passifs, qui réagissent au plus petit changement du faisceau infrarouge dans la zone surveillée (le plus petit faisceau détectable est d’environ 10^-9 W, avec une plage de longueur d’onde d’environ 7 à 20 µm); 2) les détecteurs à ultrasons et à micro-ondes à effet Doppler, qui déterminent les caractéristiques du déplacement d’un objet en fonction des changements de fréquence. L’effet Doppler augmente par exemple la fréquence du sifflet d’une locomotive pour un observateur pendant qu’elle approche et diminue cette fréquence lorsque la locomotive s’éloigne. L’application de cet effet permet de construire des détecteurs d’approche relativement simples, le récepteur n’ayant qu’à surveiller la fréquence du signal des bandes voisines en guettant l’apparition de la fréquence Doppler.

Vers le milieu des années soixante-dix, l’emploi de détecteurs de mouvement a pris une place prédominante dans les fonctions de service comme l’ouverture des portes, la protection contre le vol et la protection des objets. Pour un usage fixe, la détection d’une personne approchant d’une zone dangereuse constituait un élément suffisant pour donner l’alerte en temps voulu ou pour arrêter une machine. C’est sur cette base que l’on a entrepris d’étudier les possibilités d’utilisation des détecteurs de mouvement, en particulier les détecteurs infrarouges passifs pour la sécurité au travail (Mester et coll., 1980). Etant donné qu’une personne habillée a généralement une température supérieure à celle de son environnement (tête 34 °C, mains 31 °C), la détection d’une personne qui s’approche est relativement plus facile que celle d’un objet inanimé. C’est ainsi que des éléments de machine peuvent se déplacer dans la zone surveillée sans déclencher le détecteur.

Figure 58.49 Détecteur infrarouge passif employé comme détecteur d'approche
dans une zone dangereuse

Ces essais ont montré que, d’une manière générale, les détecteurs de mouvement ne convenaient pas pour la sécurité au travail. La surveillance nocturne des salles d’un musée ne peut pas être comparée à celle des zones dangereuses d’un atelier.

Détecteurs à impulsions ultrasonores, radar ou lumineuses. Les détecteurs fonctionnant sur le principe impulsion/écho — c’est-à-dire ceux qui mesurent le temps de retour d’impulsions ultrasonores, radar ou lumineuses — offrent d’importantes possibilités d’application comme détecteurs de présence. Avec les lasers à balayage, les impulsions peuvent balayer une zone avec une périodicité élevée (habituellement par rotation), horizontalement par exemple; grâce à un ordinateur, on peut donc obtenir un profil de distance des objets ayant réfléchi la lumière sur la ligne ainsi définie. Si l’on ne se contente pas d’une ligne unique, mais qu’on veuille tout l’espace situé à l’avant du robot mobile jusqu’à une hauteur de 2 m, par exemple, il faut traiter d’énormes quantités de données pour décrire l’environnement. Le détecteur de présence «idéal» de l’avenir sera constitué d’une combinaison des deux procédés suivants:

1. Un procédé de reconnaissance des formes, composé d’une caméra et d’un ordinateur, celui-ci pouvant également être un «réseau de neurones».
2. Un procédé de balayage laser pour mesurer les distances. Ce procédé consiste à relever, dans un espace tridimensionnel, un certain nombre de points sélectionnés par le processus de reconnaissance des formes, à indiquer les distances et à détecter les mouvements à partir de la vitesse et de la direction.

Figure 58.50 Robot mobile à balayage par laser pour la navigation et la détection
de présence

Les détecteurs à ultrasons et radar, qui déterminent la distance sur la base du temps écoulé entre le signal et la réponse, sont moins exigeants du point de vue technique et donc plus économiques à produire. La zone de détection a une tête arrondie, avec une ou plusieurs zones latérales plus petites disposées symétriquement. La vitesse de propagation du signal (330 m/s pour le son et 300 000 km/s pour les ondes électromagnétiques) détermine la rapidité de traitement de l’électronique employée.

Figure 58.51 Disposition de la tête de détection et de la zone surveillée à l'arrière
d'un camion

Cette démonstration spectaculaire a rencontré un grand succès à la Foire-Exposition. Elle a montré que la sécurisation de la zone arrière des gros véhicules faisait l’objet d’études dans de nombreux organismes, notamment les comités spécialisés des associations professionnelles (Berufsgenossenschaften), les compagnies assurant les véhicules municipaux, les autorités de contrôle de l’industrie et les fabricants de détecteurs, ces derniers s’intéressant plutôt aux voitures particulières et concentrant leurs efforts sur les systèmes destinés à faciliter les manœuvres sur les parkings pour éviter que les carrosseries subissent des dommages. Un comité ad hoc a été créé spontanément pour promouvoir les systèmes de détection vers l’arrière; il a entrepris en premier lieu de dresser la liste des besoins en matière de sécurité au travail. Dans les dix années qui ont suivi, de nombreux efforts ont été consacrés au problème de la surveillance vers l’arrière — qui représente peut-être l’application la plus importante des détecteurs de présence —, mais il n’y a toujours pas eu d’avancée majeure.

Les détecteurs à ultrasons ont été employés dans de nombreux projets, notamment pour équiper des grues de triage de bois, des pelles hydrauliques, des véhicules municipaux spéciaux et d’autres véhicules utilitaires, ainsi que des chariots élévateurs et des chargeuses (Schreiber, 1990). Les dispositifs avertisseurs de recul présentent une importance particulière pour les gros engins qui fonctionnent fréquemment en marche arrière. Les détecteurs de présence à ultrasons sont utilisés par exemple pour la protection de véhicules spéciaux sans conducteur, comme les machines robotisées de manutention. Par rapport aux pare-chocs caoutchoutés, ces détecteurs ont une plus grande portée qui permet un freinage avant le contact entre la machine et un obstacle. Les détecteurs correspondants pour les voitures particulières constituent des développements avec des contraintes nettement moins sévères.

Figure 58.52 Camion de tonnage moyen équipé d'un système avertisseur de recul
(Microsonic GmbH, Dortmund)

Conclusion

Depuis le début des années soixante-dix, plusieurs institutions et fabricants ont travaillé au développement et à la réalisation de détecteurs de présence. Pour l’application particulière de l’avertisseur de recul, les dispositions existantes sont la norme DIN 75031 et le rapport ISO/TR 12155. La Deutsche Post poursuit des essais d’une importance majeure. Plusieurs fabricants ont équipé chacun cinq camions de taille moyenne avec ces dispositifs. Il est très important pour la sécurité au travail que ces essais donnent des résultats concluants. Comme nous l’avons précisé au début de cet article, la disponibilité de détecteurs de présence en nombre suffisant pose un défi majeur pour la technologie de la sécurité dans les nombreuses applications mentionnées. Il faut que ces équipements puissent être réalisés à un faible prix de revient si l’on veut que les dommages aux équipements, aux machines et aux produits et surtout les lésions corporelles, souvent graves, appartiennent désormais au passé.

Figure 58.53 Dispositifs de coupure électriques et pneumatiques

Les dispositifs de coupure générale

Figure 58.54 Exemples de dispositifs de coupure générale électriques et pneumatiques

Le dispositif de coupure de sécurité

Un dispositif de coupure de sécurité ne déconnecte pas la totalité de l’installation de sa source d’énergie. Il supprime uniquement l’énergie des parties de l’installation qui sont critiques pour un sous-système opérationnel particulier. Il est possible de prévoir des interventions de courte durée sur certains sous-systèmes opérationnels — par exemple pour des réglages, des modifications de réglages, des changements d’équipements, des réparations ou des nettoyages périodiques, ainsi que pour l’exécution de mouvements et de séquences d’opérations indispensables aux réglages, aux modifications de réglages, aux changements d’équipements ou aux essais. Les équipements et installations complexes de production ne peuvent pas être mis à l’arrêt au moyen de la coupure générale dans ces cas, parce qu’il serait alors impossible, après la réparation, de remettre en service l’installation complète au stade où son fonctionnement avait été interrompu. En outre, dans les grands systèmes techniques, le dispositif de coupure générale est rarement situé à l’endroit où doit avoir lieu l’intervention. Un dispositif de coupure de sécurité doit donc répondre à un certain nombre d’exigences, notamment:

• Il doit interrompre la circulation d’énergie de manière fiable et de telle sorte qu’aucun mouvement ou processus dangereux ne puisse être déclenché par la transmission ou l’apparition accidentelles de signaux de commande.
• Il doit être installé à l’emplacement précis des interventions dans des zones dangereuses des sous-systèmes opérationnels. Si nécessaire, ces dispositifs peuvent être installés en plusieurs endroits, par exemple à différents étages, dans plusieurs salles, ou en différents points d’accès aux machines ou aux équipements.
• Son dispositif de commande doit comporter une position «arrêt» bien visible et qui doit apparaître uniquement après l’interruption effective de la circulation d’énergie.
• Une fois en position «arrêt», ce dispositif de commande doit pouvoir être protégé contre les réenclenchements non autorisés: a) lorsqu’il n’est pas possible de surveiller correctement les zones dangereuses depuis la zone de contrôle; b) lorsque les personnes se trouvant dans la zone dangereuse ne peuvent pas voir facilement et constamment le dispositif de commande; et c) lorsqu’un verrouillage ou un marquage est imposé par la législation ou le règlement interne.
• Le dispositif ne doit déconnecter qu’un seul des éléments fonctionnels d’un système technique étendu dans les cas où les autres éléments fonctionnels peuvent continuer à opérer sans danger pour les personnes effectuant l’intervention.

Figure 58.55 Dispositif de coupure de sécurité

Les dispositifs de commande des sous-systèmes opérationnels

Ces dispositifs de commande permettent de déclencher et de contrôler en toute sécurité les mouvements et les séquences d’opérations des sous-systèmes opérationnels. Ils peuvent être nécessaires pour les réglages en vue de l’exécution de séquences d’essai, pour la régulation, lorsqu’il faut corriger des défauts de fonctionnement ou dégager des zones obstruées, ou pour la formation en vue de démonstrations de leur fonctionnement. En pareils cas, une remise en route normale de l’installation est impossible, car elle exposerait les opérateurs à des mouvements ou des processus déclenchés par la transmission ou l’apparition accidentelles de signaux de commande. Un dispositif de commande de sous-système opérationnel doit répondre aux exigences ci-après:

Figure 58.56 Dispositifs de commande mobile et fixe pour sous-systèmes

Les dispositifs d’arrêt d’urgence

Les dispositifs d’arrêt d’urgence sont nécessaires lorsque le fonctionnement normal des systèmes techniques peut créer des dangers qu’il n’est pas possible de prévenir au niveau de la conception du système ou par la prise de mesures de sécurité appropriées. Dans les sous-systèmes opérationnels, le dispositif d’arrêt d’urgence fait souvent partie de l’appareillage de commande. Lorsqu’il est actionné, il déclenche des opérations qui ramènent aussi rapidement que possible le système à l’état de sécurité. En ce qui concerne les priorités de sécurité, la protection des personnes est primordiale. La protection contre les dommages matériels joue un rôle secondaire, à moins que ces dommages ne puissent à leur tour mettre des personnes en danger. Le dispositif d’arrêt d’urgence doit répondre aux exigences ci-après:

Figure 58.57 Dispositif d'arrêt d'urgence

Les dispositifs de commande de fonctions

Les dispositifs de commande de fonctions servent à mettre le système technique en fonctionnement normal et à lancer, exécuter et interrompre les mouvements et processus prévus dans ce mode. Ces dispositifs servent exclusivement au cours du fonctionnement normal de l’installation, c’est-à-dire lorsque toutes les fonctions prévues se déroulent sans incidents. Ils sont donc employés par les opérateurs du système. Les dispositifs de commande de fonctions doivent répondre aux exigences ci-après:

Figure 58.58 Représentation schématique d'un pupitre de commande

Les interrupteurs de position

Les interrupteurs de position empêchent la mise en marche d’une installation tant que les conditions de sécurité surveillées ne sont pas satisfaites et ils interrompent son fonctionnement dès qu’une de ces conditions n’est plus remplie. Ils servent par exemple à surveiller les portes des compartiments de sécurité, à vérifier la position des protections ou à s’assurer que les limites de vitesse ou de course ne sont pas dépassées. Les interrupteurs de position doivent par conséquent répondre aux exigences de sécurité et de fiabilité ci-après:

Figure 58.59 Schéma d'un interrupteur de position à commande et coupure automatiques

Les circuits de contrôle de sécurité

Plusieurs des appareils de commutation de sécurité décrits ci-dessus assurent la fonction de sécurité non pas directement, mais par l’émission d’un signal qui est ensuite transmis et traité par un circuit de contrôle de la sécurité avant d’atteindre les parties de l’installation qui exercent la fonction de sécurité proprement dite. Un dispositif de coupure de sécurité, par exemple, provoque indirectement la déconnexion de l’énergie aux points critiques, tandis qu’un dispositif de coupure générale arrête directement l’alimentation électrique.

Les circuits de contrôle de sécurité doivent assurer une transmission fiable des signaux et, dans ce but, il convient de prendre en compte les principes ci-après:

• La sécurité doit être garantie même lorsque l’énergie extérieure est absente ou insuffisante, par exemple en cas de conduite déconnectée ou de fuite.
• Les signaux de protection sont plus fiables lorsqu’ils sont obtenus par l’interruption du signal, par exemple au moyen de contacteurs de sécurité à ouverture des contacts ou de relais à contacts à ouverture.
• La fonction de protection des amplificateurs, transformateurs et équipements similaires est obtenue avec plus de fiabilité en l’absence d’énergie extérieure. Ce genre de mécanismes comprend, par exemple, les appareils de commutation électromagnétiques ou les vannes en position fermée au repos.
• Les branchements réalisés par erreur ou les fuites dans le circuit de contrôle de la sécurité ne doivent pas conduire à des démarrages intempestifs ni empêcher les mises à l’arrêt (court-circuit entre les circuits d’arrivée et de retour, fuites à la terre ou liaison à la masse).
• Les influences extérieures dont l’effet sur le système demeure conforme aux prévisions ne doivent pas gêner la fonction de sécurité du circuit de contrôle.

Les composants employés dans les circuits de contrôle de la sécurité doivent remplir leur fonction avec une très grande fiabilité. Ceux d’entre eux qui ne répondent pas à cette exigence doivent être mis en œuvre selon le principe d’une redondance contrôlée et diversifiée au maximum.

Figure 58.60 L'Airbus de la Lufthansa après sa chute à Varsovie en 1993

L’exemple de l’incident suivant montre, lui aussi, les effets désastreux que peut avoir la modification d’une seule instruction sur un système informatique. On détermine la teneur en alcool du sang par des tests chimiques effectués sur un sérum sanguin clarifié, dont les globules ont été préalablement éliminés par centrifugation. La concentration d’alcool est par conséquent supérieure (d’un facteur de 1,2) à celle présente dans le sang entier, plus épais. Il convient donc de diviser par 1,2 les valeurs obtenues avec le sérum pour déterminer les valeurs en parties par millier à considérer sur les plans légal et médical. Lors d’un test interlaboratoires effectué en 1984, les concentrations d’alcool dans le sang relevées par différents instituts de recherche lors de tests identiques avec du sérum devaient être comparées entre elles. Comme il ne s’agissait que d’une comparaison, l’instruction de diviser par 1,2 fut supprimée du programme dans l’un des instituts pendant la durée de l’expérience. Après l’achèvement du test interlaboratoires, une instruction de multiplication par 1,2 fut introduite par erreur à cette étape du programme. Environ 1 500 valeurs erronées furent ainsi calculées entre août 1984 et mars 1985. Cette erreur eut des conséquences pour la carrière professionnelle de conducteurs de camions dont l’alcoolémie se situait entre 1 et 1,3%, étant donné qu’une valeur de 1,3% est sanctionnée, sur le plan légal, par un retrait de longue durée du permis de conduire.

Les accidents dus aux contraintes liées au travail ou à l’environnement

Suite à une perturbation dans la collecte des déchets dans la zone d’action d’une poinçonneuse-grignoteuse à commande numérique, l’opérateur actionna «l’arrêt programmé». Alors qu’il tentait de retirer les déchets avec ses mains, le vérin de la machine se mit en mouvement malgré l’arrêt programmé et l’opérateur fut grièvement blessé. L’analyse de l’accident montra qu’il ne s’agissait pas d’une erreur du programme. Il s’avéra impossible de reproduire le démarrage intempestif. De semblables anomalies ayant déjà été constatées auparavant sur d’autres machines du même type, il paraît plausible d’expliquer cet accident par des interférences électromagnétiques. Des accidents de même nature avec des robots industriels ont été rapportés au Japon (Neumann, 1995).

Un incident sur la sonde spatiale Voyager 2, survenu le 18 janvier 1986, met encore davantage en évidence l’influence des contraintes de l’environnement sur les systèmes contrôlés par ordinateur. Six jours avant de parvenir au point de son parcours le plus proche d’Uranus, la sonde avait transmis des images recouvertes de grandes lignes noires et blanches. Une analyse précise montra qu’un unique bit d’un mot d’instruction du sous-système de données de vol était à l’origine de la panne, observée lors de la compression des images dans la sonde. Le bit en question avait vraisemblablement été décalé dans la mémoire par l’impact d’une particule cosmique. La transmission sans erreur des photographies compressées ne put reprendre que deux jours plus tard, grâce à un programme de secours capable d’ignorer l’élément de mémoire défectueux (Laeser, McLaughlin et Wolff, 1987).

Résumé des accidents présentés

Les accidents analysés montrent que certains risques qui pourraient être négligés lorsqu’on utilise des techniques électromécaniques simples prennent de l’importance en cas de recours à l’informatique. Les ordinateurs permettent de gérer des fonctions de sécurité complexes et propres à des situations déterminées et il est donc particulièrement important que toutes ces fonctions soient définies sans ambiguïté, sans erreur et de manière complète et vérifiable. Les erreurs de spécification sont difficiles à découvrir et, dans les systèmes complexes, elles sont fréquemment à l’origine d’accidents. Des commandes programmables sont habituellement introduites afin de permettre une adaptation souple et rapide à l’évolution des marchés commerciaux. Mais les modifications, notamment dans le cas de systèmes complexes, ont des effets secondaires difficiles à prévoir. Toutes les modifications doivent donc être soumises à une procédure de gestion des changements rigoureusement formalisée, avec une séparation nette entre les fonctions de sécurité et les sous-systèmes ne relevant pas de ce domaine pour faciliter le contrôle des conséquences des modifications pour la technologie de la sécurité.

Les ordinateurs fonctionnent avec de faibles niveaux électriques et sont par conséquent sensibles aux interférences provenant de sources de rayonnement extérieures. Etant donné que la modification d’un seul signal sur plusieurs millions peut entraîner un défaut de fonctionnement, la question de la compatibilité électromagnétique en relation avec les ordinateurs mérite une attention particulière.

La maintenance des systèmes contrôlés par ordinateur devient toujours plus complexe et donc plus difficile à appréhender. L’ergonomie des logiciels d’interface utilisateur et de configuration prend donc une importance accrue pour la technologie de la sécurité.

Aucun système informatique ne peut être testé à 100%. La vérification complète d’un mécanisme de contrôle simple à 32 ports d’entrées binaires et 1 000 options de branchement différentes nécessite 4,3 × 10¹² tests. A raison de 100 tests exécutés et évalués par seconde, une vérification complète demanderait plus de 1 300 ans (à raison de 365 jours par an et 24 heures par jour).

Les procédures et les mesures pour l’amélioration des dispositifs de sécurité contrôlés par ordinateur

Au cours des dix dernières années, des procédures ont été mises au point qui ont permis de maîtriser certaines difficultés liées à l’utilisation de l’informatique à des fins de sécurité. Ces procédures visent les défaillances informatiques décrites dans la présente partie. Les descriptions d’utilisations de logiciels et d’ordinateurs pour la protection des machines et les analyses des accidents montrent que l’étendue des dommages et les risques associés à différentes applications sont extrêmement variables. Il apparaît clairement que les précautions à prendre pour améliorer les matériels et les logiciels utilisés dans les technologies de sécurité devraient être définies en fonction du risque.

Figure 58.61 Méthode qualitative de détermination des risques

Figure 58.62 Efficacité des mesures prises contre les erreurs indépendamment du risque

L’analyse des accidents décrits plus haut montre que la défaillance des protections contrôlées par ordinateur n’est pas seulement provoquée par des défauts aléatoires de certains éléments, mais également par des conditions de fonctionnement particulières que le programmeur a négligé de prendre en compte. Les conséquences, qui ne sont pas immédiatement perceptibles, des modifications apportées aux programmes au cours de la maintenance du système constituent une nouvelle source d’erreurs. Il peut exister, dans les systèmes de sécurité contrôlés par microprocesseurs, des défauts qui, bien qu’introduits lors du développement du système, ne donnent lieu à des situations dangereuses qu’en cours de fonctionnement. Les mesures de précaution contre ces défauts doivent donc être prises lorsque les systèmes de sécurité sont encore au stade du développement. Ce type de mesures doit être pris non seulement au niveau de la conception, mais aussi aux stades suivants du développement, de l’installation et des modifications. Certaines défaillances peuvent être évitées si elles sont découvertes et corrigées à ces stades (DIN, 1990).

Figure 58.63 Exemples de disposition prises pour contrôler ou éviter les erreurs dans
les systèmes informatiques

Les possibilités et les perspectives des systèmes électroniques programmables (Automates programmables industriels (API)) en technologie de la sécurité

Les machines et les installations modernes deviennent de plus en plus complexes et doivent accomplir des tâches de plus en plus étendues dans des délais toujours plus courts. C’est la raison pour laquelle les systèmes informatiques se sont répandus dans presque tous les secteurs de l’industrie depuis le milieu des années soixante-dix. Cette complexité accrue a largement contribué à l’augmentation du coût de l’amélioration de la technologie de la sécurité appliquée à ces systèmes. Le recours aux logiciels et aux ordinateurs pose un défi majeur pour la sécurité sur le lieu de travail, mais permet en revanche de mettre en œuvre de nouveaux systèmes à tolérance d’erreur dans le domaine de la technologie de la sécurité.

Un vers amusant, mais aussi instructif d’Ernst Jandl, «Lichtung: Manche meinen lechts und rinks kann man nicht velwechsern, werch ein Illtum» aide à expliquer ce qu’on entend par le concept de tolérance d’erreur. Pour les besoins du français, on peut le transcrire ainsi: «Beaucoup pensent qu’on ne peut pas intelchangel omble et rumièle, querre elleul.» Malgré l’inversion des lettres ρ et λ, un adulte normal comprend facilement cette phrase. Une personne n’ayant qu’une connaissance sommaire du français en serait capable elle aussi. Cette tâche est en revanche quasiment impossible pour un système de traduction automatique.

Cet exemple montre qu’un être humain peut réagir d’une façon beaucoup plus tolérante à l’erreur qu’une machine à traduire. En effet, l’être humain, comme tous les êtres vivants, est capable de tolérer certaines défaillances en les rapportant à son expérience. Si l’on considère les machines utilisées actuellement, on constate que la plupart pénalisent les défaillances de leurs utilisateurs non pas par un accident, mais par une diminution de la production. Cette particularité conduit les opérateurs à neutraliser ou à contourner les protections. La technologie informatique moderne met à la disposition de la sécurité au travail des systèmes en mesure de réagir intelligemment, c’est-à-dire de manière adaptée. De tels systèmes rendent ainsi possible un mode de comportement tolérant à l’erreur sur les machines les plus récentes. Ils commencent par avertir l’utilisateur en cas de fausse manœuvre et n’arrêtent la machine que s’il n’y a pas d’autre moyen d’éviter un accident. L’analyse des accidents montre qu’il existe dans ce domaine un potentiel considérable d’amélioration de la sécurité (Reinert et Reuss, 1991).

Figure 58.64 Principales sources de dangers dans la fabrication assistée par
ordinateur (FAO)

Les erreurs humaines et les erreurs du système

Dans un système SAH, les dangers peuvent provenir du système lui-même, de son association avec d’autres équipements présents dans l’environnement physique ou d’interactions entre les personnes et le système. L’accident corporel n’est que l’une des conséquences possibles des interactions humain-machine dans des situations dangereuses; les quasi-accidents et les dommages matériels sont beaucoup plus fréquents (Zimolong et Duda, 1992). L’apparition d’une erreur peut avoir l’une des conséquences suivantes: 1) l’erreur passe inaperçue; 2) le système est capable de compenser l’erreur; 3) l’erreur conduit à une panne de la machine ou à un arrêt du système; 4) l’erreur conduit à un accident.

Etant donné que toutes les erreurs humaines entraînant un incident critique ne provoquent pas nécessairement un accident, il convient en outre de classer les conséquences selon les catégories ci-après: 1) incident mettant en cause la sécurité (c’est-à-dire tout événement non intentionnel, quelles que soient ses conséquences, lésions, dommages ou pertes); 2) accident (c’est-à-dire événement mettant en cause la sécurité et entraînant des lésions, des dommages ou des pertes); 3) incident avec dommages (c’est-à-dire événement mettant en cause la sécurité et entraînant des dommages matériels); 4) quasi-accident (c’est-à-dire événement mettant en cause la sécurité et lors duquel des lésions, des dommages ou des pertes ont été évités de peu et fortuitement); 5) accident potentiel (c’est-à-dire événement mettant en cause la sécurité et qui aurait pu occasionner des lésions, des dommages ou des pertes mais qui, en raison des circonstances, n’a même pas eu pour résultat un quasi-accident).

On peut distinguer trois types fondamentaux d’erreurs humaines dans un système SAH:

1. Inattentions et omissions relativement aux compétences.
2. Erreurs relativement aux règles.
3. Erreurs relativement aux connaissances.

Cette taxinomie, inventée par Reason (1990), repose sur une modification de la classification compétences-règles-connaissances de Rasmussen précédemment décrite pour les performances humaines. Au niveau des compétences, les performances humaines sont régies par un schéma mémorisé d’instructions préprogrammées, représentées sous la forme de structures analogiques dans un domaine spatio-temporel. Le niveau des règles s’applique à la gestion de problèmes familiers dont les solutions sont régies par des règles mémorisées (dites «productions» dans la mesure où elles sont appelées, ou produites, à la demande). Ces règles imposent de faire des diagnostics (ou jugements) ou de prendre certaines mesures correctives compte tenu de l’application de conditions qui exigent une réaction appropriée. A ce niveau, les erreurs humaines sont en général associées à des erreurs de classification des situations conduisant soit à l’application de la mauvaise règle, soit à une erreur dans les jugements et procédures rappelés pour le cas en question. Les erreurs relatives aux connaissances se produisent dans des situations nouvelles, pour lesquelles les actions doivent être planifiées «en ligne», c’est-à-dire au moment même, selon des processus analytiques conscients et à l’aide de connaissances mémorisées. Les erreurs à ce niveau découlent de l’insuffisance des ressources et du caractère incomplet ou erroné des connaissances.

Les systèmes génériques de modélisation des erreurs (Generic Error-Modelling Systems (GEMS)) proposés par Reason (1990), qui tentent de déterminer les origines des types fondamentaux d’erreurs humaines, peuvent servir à établir la taxinomie du comportement humain dans un système SAH. Les GEMS s’efforcent d’intégrer deux domaines distincts de recherche des erreurs: 1) les inattentions et omissions, dans lesquelles l’action s’écarte de l’intention par suite d’erreurs d’exécution ou de mémorisation; et 2) les erreurs proprement dites, dans lesquelles l’action se déroule conformément au plan, mais où ce plan n’est pas adapté à l’objectif recherché.

L’évaluation et la prévention des risques dans la fabrication assistée par ordinateur (FAO)

Selon la norme ISO (ISO, 1994b), l’évaluation des risques en FAO doit être effectuée de manière à réduire au minimum tous les risques et à servir de base pour déterminer des objectifs et des mesures de sécurité dans l’élaboration des programmes ou des plans visant à créer un environnement de travail sûr et à garantir la sécurité et la santé du personnel. Les dangers du travail dans des environnements SAH peuvent être caractérisés de la façon suivante: 1) l’opérateur humain peut avoir à pénétrer dans la zone dangereuse pour remédier à des incidents ou effectuer des tâches de révision ou de maintenance; 2) la zone dangereuse est difficile à déterminer, à observer ou à contrôler; 3) le travail peut être monotone; 4) les accidents qui se produisent dans les systèmes de fabrication intégrée par ordinateur sont souvent graves. Chaque danger identifié devrait être évalué du point de vue des risques qu’il présente, et il convient de déterminer et de mettre en place des mesures de sécurité appropriées en vue de réduire ces risques au minimum. Les dangers devraient également être estimés du point de vue de tous les aspects d’un processus donné: l’unité elle-même, l’interaction entre unités, les parties en service du système et le fonctionnement du système complet dans l’ensemble des modes et conditions d’exploitation prévus, y compris les conditions dans lesquelles les moyens de protection normaux sont désactivés pour la programmation, les vérifications, les recherches de pannes, la maintenance ou les réparations.

La phase de conception de la stratégie de sécurité de la norme ISO (ISO, 1994b) pour la FAO comprend les éléments ci-après:

• spécification des limites des paramètres du système;
• application d’une stratégie de sécurité;
• identification des dangers;
• évaluation des risques associés;
• suppression des dangers ou diminution des risques dans toute la mesure du possible.

Les spécifications de la sécurité du système devraient comprendre:

• une description des fonctions du système;
• un plan ou un modèle du système;
• les résultats d’une étude de l’interaction des divers processus de travail et des activités manuelles;
• une analyse des séquences du processus, y compris les interactions manuelles;
• une description des interfaces avec les convoyeurs ou les lignes de transport;
• les organigrammes des processus;
• les plans d’implantation;
• les plans des dispositifs d’alimentation et d’évacuation;
• la détermination de l’espace nécessaire pour l’alimentation et l’évacuation des matériaux;
• les rapports d’accidents disponibles.

Conformément à la norme ISO (ISO, 1994b), toutes les prescriptions nécessaires pour garantir la sécurité de fonctionnement d’un système de FAO devraient être prises en compte dans la conception des procédures de planification systématique de la sécurité. Cela comprend toutes les mesures de protection pour réduire efficacement les risques, et cela exige:

• l’intégration de l’interface opérateur-machine;
• la définition précoce de la position des personnes intervenant dans le système (dans le temps et dans l’espace);
• une étude précoce des moyens de réduire le travail isolé;
• la prise en compte des éléments de l’environnement.

La procédure de planification de la sécurité devrait notamment tenir compte des problèmes de sécurité ci-après en matière de FAO:

• Sélection des modes de fonctionnement du système . Les équipements de commande devraient permettre au moins les modes de fonctionnement suivants: 1) mode normal ou de production (c’est-à-dire avec tous les dispositifs de protection normaux reliés et en service); 2) fonctionnement avec neutralisation de certains dispositifs de protection normaux; 3) fonctionnement empêchant l’apparition de situations dangereuses par l’action du système ou par une opération manuelle à distance (par exemple, fonctionnement local, isolation de la source d’énergie ou blocage mécanique de conditions dangereuses).
• Formation, installation, mise en service et essais de fonctionnement . Lorsqu’il est nécessaire que du personnel pénètre dans la zone dangereuse, les mesures de sécurité suivantes devraient être prévues dans le système de contrôle: 1) action maintenue (type commande de l’homme mort); 2) dispositif de validation; 3) vitesse réduite; 4) puissance réduite; 5) arrêt d’urgence mobile.
• Sécurité lors de la programmation, de la maintenance et des réparations . Pendant la programmation, seul le programmeur devrait être autorisé à pénétrer dans l’espace protégé. Des procédures d’inspection et de maintenance devraient être prévues pour garantir que le système fonctionne en permanence comme prévu. Le programme d’inspection et de maintenance devrait tenir compte des recommandations du fournisseur du système et des fournisseurs des différents éléments de celui-ci. Il va sans dire que le personnel assurant la maintenance ou les réparations devrait être formé aux procédures nécessaires à l’accomplissement des tâches requises.
• Dépannage . Lorsqu’un dépannage impose de pénétrer dans l’espace protégé, l’opération doit avoir lieu après une déconnexion sûre (ou, si possible, après une condamnation). Des mesures complémentaires devraient être prises pour éviter l’apparition d’une situation dangereuse à la suite d’une fausse manœuvre. Lorsque des risques peuvent apparaître pendant un dépannage sur certaines parties du système ou sur les machines des systèmes voisins, ces systèmes doivent eux aussi être mis hors service et protégés contre un démarrage intempestif. Il conviendrait d’attirer l’attention, au moyen d’instructions et de signaux d’avertissement, sur le fait que l’on procède à un dépannage sur des éléments qui ne peuvent pas être complètement surveillés.

Le contrôle des perturbations des systèmes

Dans de nombreuses installations SAH utilisées en fabrication assistée par ordinateur, les opérateurs remplissent le plus souvent des tâches de contrôle, de programmation, de maintenance, de préréglage, d’entretien ou de recherche de pannes. Les perturbations du système conduisent à des situations qui obligent les travailleurs à pénétrer dans les zones dangereuses. On peut donc admettre que ces perturbations restent la principale raison des interventions humaines en FAO, étant donné que la programmation des systèmes s’effectue le plus souvent hors des zones à accès restreint. L’un des principaux problèmes de sécurité dans la FAO consiste donc à prévenir les perturbations, car la plupart des risques surviennent au stade de la recherche de pannes. Eviter les perturbations est un objectif commun à la recherche de la sécurité et à celle du rendement.

Une perturbation dans un système de FAO est un état ou une fonction du système qui s’écarte de l’état prévu ou souhaité. Outre leurs effets sur la productivité, les perturbations de la FAO ont une incidence directe sur la sécurité des personnes impliquées dans l’exploitation du système. Une étude finlandaise (Kuivanen, 1990) a montré que la moitié environ des perturbations en fabrication automatisée compromettent la sécurité des travailleurs. Les principales causes des perturbations étaient des erreurs de conception du système (34%), des défaillances des composants (31%), des erreurs humaines (20%) et des facteurs extérieurs (15%). La plupart des défaillances de machines étaient provoquées par le système de contrôle et, dans celui-ci, la plupart des défaillances se produisaient dans les détecteurs. Un moyen efficace d’accroître le niveau de sécurité des installations de FAO consiste à réduire le nombre des perturbations. Bien que les actions humaines sur les systèmes perturbés permettent d’éviter des accidents dans un environnement SAH, elles peuvent également y contribuer. Par exemple, une étude des accidents liés à des dysfonctionnements de systèmes de contrôle techniques a montré qu’environ un tiers des séquences d’accident comportaient une intervention humaine sur la boucle de contrôle du système perturbé.

Les grands sujets de recherche en matière de prévention des perturbations dans la FAO concernent: 1) les principales causes des perturbations; 2) les composants et fonctions peu fiables; 3) l’impact des perturbations sur la sécurité; 4) l’impact des perturbations sur le fonctionnement du système; 5) les dommages matériels; 6) les réparations. La sécurité des systèmes SAH devrait être planifiée au stade de la conception du système, en accordant toute l’attention voulue à la technologie, aux personnes et à l’organisation, et elle devrait faire partie intégrante du processus global de planification technique des systèmes SAH.

La conception des systèmes SAH: les défis futurs

Pour tirer le meilleur parti des systèmes automatisés hybrides qui viennent d’être décrits, il est nécessaire d’adopter une vision nettement plus large du développement de ces systèmes, reposant sur l’intégration des personnes, de l’organisation et de la technologie. Trois grands types d’intégration devraient être mis en œuvre:

1. Intégration des personnes , en assurant une communication efficace entre elles.
2. Intégration humain-ordinateur , par la mise au point d’interfaces et d’interactions adaptées entre les personnes et les ordinateurs.
3. Intégration technologique , en assurant des interfaces et des interactions efficaces entre les machines.

La conception des systèmes automatisés devrait répondre aux critères minimaux ci-après: 1) flexibilité; 2) adaptation dynamique; 3) meilleures capacités de réaction; 4) nécessité de motiver le personnel et de mieux exploiter ses compétences, son jugement et son expérience. Cela nécessite également que l’organisation, les méthodes de travail et les technologies des systèmes SAH soient mises au point de manière à permettre aux personnes, à tous les niveaux du système, d’adapter leurs stratégies de travail à la diversité des situations de contrôle des systèmes. Il faudra pour cela concevoir et mettre au point les organisations, les méthodes de travail et les technologies des systèmes SAH sous la forme de systèmes ouverts (Kidd, 1994).

Un système automatisé hybride ouvert (SAHO) est un système qui reçoit des informations de son environnement et lui en renvoie. Le principe d’un système ouvert peut s’appliquer non seulement aux architectures des systèmes et aux organisations, mais aussi aux méthodes de travail, aux interfaces humain-ordinateur et aux relations entre les personnes et les technologies: on peut mentionner, par exemple, les systèmes d’organisation, les systèmes de contrôle et les systèmes d’aide à la décision. Un système ouvert est également adaptatif dans la mesure où il laisse aux personnes une grande liberté pour la définition du mode de fonctionnement du système. Ainsi, dans le domaine des techniques de fabrication avancées, les critères des systèmes automatisés hybrides ouverts correspondent à la notion de fabrication intégrée humain-ordinateur. Pour la conception de la technologie, il y a lieu de considérer alors l’architecture globale de ces systèmes, y compris les points suivants: 1) prise en compte du réseau de groupes; 2) structure de chaque groupe; 3) interactions entre les groupes; 4) nature du logiciel d’appui; 5) besoins en communication technique et en intégration entre les modules du logiciel d’appui.

Le système automatisé hybride adaptatif, contrairement au système fermé, ne limite pas le champ d’action des opérateurs. Le rôle du concepteur d’un système SAH est de créer un système qui réponde aux préférences personnelles des utilisateurs et qui leur permette de travailler de la façon qu’ils estiment la mieux adaptée. Une condition préalable à la contribution de l’utilisateur est le développement d’une méthodologie de conception adaptative, c’est-à-dire d’un système SAHO permettant l’emploi des technologies assistées par ordinateur dans le processus de conception. La nécessité d’élaborer une méthodologie de conception adaptative est l’une des exigences immédiates pour la mise en pratique du concept SAHO. On devra mettre au point un niveau différent de technologie de contrôle hiérarchique humain adaptatif. Ces technologies devraient permettre à l’opérateur humain de «voir» le système de contrôle, normalement invisible, du fonctionnement du système SAH, par exemple par l’emploi d’un système vidéo rapide et interactif à chaque point de contrôle et de commande du système. Un autre besoin important, enfin, est celui d’une méthodologie pour la mise au point d’une assistance par ordinateur, intelligente et hautement adaptative, appliquée aux rôles et aux fonctionnements humains dans les systèmes automatisés hybrides.

Figure 58.65 Conception générale des systèmes de commande

La méthode la plus simple pour rendre un système de commande sûr consiste à l’enfermer dans une enceinte inviolable interdisant tout accès et toute intervention humaine dans la zone dangereuse. Un tel système présenterait une très grande sécurité, mais il est irréalisable, étant donné que l’interdiction d’accès rendrait impossibles les essais, les réparations et les réglages. Compte tenu qu’un accès aux zones dangereuses doit être autorisé dans certaines situations, il est nécessaire de prévoir d’autres mesures de protection que de simples cloisons, barrières ou écrans pour faciliter la production, l’installation et la maintenance.

Certaines de ces mesures peuvent être intégrées totalement ou en partie au système de commande:

• Les mouvements peuvent être arrêtés immédiatement par des boutons d’arrêt d’urgence lorsqu’une personne pénètre dans la zone dangereuse.
• Les commandes à boutons-poussoirs devraient être maintenues enfoncées pour que les mouvements correspondants soient exécutés.
• Les commandes bimanuelles ne devraient autoriser les mouvements que lorsque les deux mains sont occupées à maintenir enfoncés les deux organes de commande et se trouvent donc à l’écart des zones dangereuses.

Les mesures de protection de ce type sont activées par les opérateurs. Mais comme l’élément l’humain constitue souvent un point faible dans les applications, de nombreuses fonctions, telles que celles décrites ci-après:

• Les mouvements des bras des robots sont très lents pendant l’«apprentissage» ou la maintenance. Leur vitesse est cependant surveillée en permanence et si, par suite d’une défaillance du système de contrôle, elle venait à augmenter de façon imprévue au cours d’une période de maintenance ou d’apprentissage, le système de surveillance entrerait en action et interromprait immédiatement le mouvement.
• Une cellule de détection contrôle l’accès à une zone dangereuse. Si le faisceau lumineux est interrompu, la machine s’arrête automatiquement.

Le bon fonctionnement des systèmes de commande est la plus importante des conditions préalables à la production. Si une fonction de production est interrompue à la suite d’une défaillance du système de commande, c’est tout au plus gênant, mais pas dangereux. Si une fonction liée à la sécurité n’est pas assurée, cela peut entraîner des pertes de production, des dégâts matériels, des lésions corporelles, voire des accidents mortels. Les fonctions du système de commande qui ont un rapport avec la sécurité doivent donc être plus fiables et plus sûres que les fonctions courantes. Aux termes de la directive 98/37/CE du Conseil de l’Union européenne concernant le rapprochement des législations des Etats membres relatives aux machines (CEE, 1989), les systèmes de commande doivent être conçus de façon à être sûrs et fiables.

Les systèmes de commande sont constitués d’un certain nombre de composants reliés entre eux pour exécuter une ou plusieurs fonctions. Les systèmes de contrôle sont subdivisés en voies. Une voie est une partie de la commande chargée d’une fonction particulière (par exemple, démarrage, arrêt normal, arrêt d’urgence). La voie est matérialisée par une chaîne de composants (transistors, diodes, relais, portes, etc.) par lesquels l’information représentant cette fonction (le plus souvent sous forme de signaux électriques) est transférée de l’entrée à la sortie.

La conception des voies de commande pour les fonctions en rapport avec la sécurité (celles qui impliquent des êtres humains) doit répondre aux critères ci-après:

• Les composants employés dans les voies de commande ayant des fonctions en rapport avec la sécurité doivent être capables de supporter les conditions rigoureuses d’une utilisation normale. D’une manière générale, ils doivent être suffisamment fiables.
• Les défauts affectant la logique ne doivent pas créer de situations dangereuses. D’une manière générale, les voies en rapport avec la sécurité doivent être suffisamment à l’épreuve des défaillances.
• Les influences extérieures (facteurs extérieurs) ne doivent pas provoquer de défaillances temporaires ou permanentes des voies en rapport avec la sécurité.

La fiabilité R

Figure 58.66 Formule de fiabilité

La fiabilité des systèmes complexes

Les systèmes sont constitués de composants. Si l’on connaît les indices de fiabilité des composants, on peut calculer celui de l’ensemble du système par la méthode suivante:

Les systèmes en série

Figure 58.67 Diagramme de fiabilité de composants reliés en série

La fiabilité totale est inférieure à celle du composant le moins fiable. Cette fiabilité totale diminue sensiblement lorsque le nombre de composants augmente.

Les systèmes en parallèle

Figure 58.68 Diagramme de fiabilité de composants reliés en parallèle

La connexion en parallèle de deux composants ou plus améliore sensiblement la fiabilité totale.

Figure 58.69 Exemple d'application pratique de la figure 58.68

Le calcul de la fiabilité totale d’une voie est simple si l’on dispose de tous les indices de fiabilité des composants correspondants. Dans le cas de composants complexes (circuits intégrés, microprocesseurs, etc.), ce calcul est difficile, voire impossible, si le fabricant n’a pas communiqué les informations nécessaires.

La sécurité

Lorsque les professionnels évoquent la question de la sécurité et demandent des machines sûres, ils se réfèrent à la sécurité de la machine ou du système dans son ensemble. Cette notion est cependant trop générale et trop imprécise pour s’appliquer à la conception des systèmes de commande. Une définition de la sécurité qui soit pratique et utilisable pour les concepteurs des circuits de commande pourrait être la suivante: la sécurité est l’aptitude d’un système de commande à assurer la fonction requise dans les limites prescrites et pendant un laps de temps donné, même en cas d’apparition de défauts prévisibles. Il est donc nécessaire de préciser, au stade de la conception, quel doit être le niveau de sécurité de la voie ayant un rapport avec la sécurité (le concepteur peut mettre au point une voie protégée contre la première défaillance, contre une défaillance quelconque, contre deux défaillances, etc.). En outre, une voie affectée à une fonction de prévention des accidents peut être essentiellement fiable, sans qu’elle soit pour autant totalement protégée contre les défaillances. Les exemples suivants permettent de mieux expliquer ce principe:

Exemple 1

Figure 58.70 Voie de commande en rapport avec la sécurité et assurant la fonction
de sécurité requise

La fonction de sécurité nécessaire dans ce cas est double: si la porte est fermée, le moteur peut fonctionner. Si la porte est ouverte, il doit être arrêté. Connaissant les fiabilités R₁ à R₆, on peut calculer la fiabilité R_tot. Les concepteurs doivent choisir des composants fiables pour conserver au système complet un niveau de fiabilité suffisamment élevé (c’est-à-dire que la conception intègre la probabilité que la fonction soit toujours assurée après vingt ans par exemple). Les concepteurs doivent donc répondre à deux obligations: 1) le circuit doit assurer la fonction voulue; 2) la fiabilité de la voie de contrôle complète doit être suffisante.

La question qui se pose alors est la suivante: cette voie assurera-t-elle les fonctions de sécurité voulues même si une défaillance se produit dans le système (par exemple, si les contacts d’un relais restent collés ou si un composant ne fonctionne pas correctement)? La réponse est «non». En effet, une seule voie de contrôle, constituée uniquement de composants reliés en série et travaillant avec des signaux statiques, ne présente pas de protection contre une défaillance. Cette voie ne peut avoir qu’une certaine fiabilité, garantissant la probabilité que la fonction sera assurée. Dans une telle situation, la sécurité est toujours définie par rapport aux défaillances.

Exemple 2

Figure 58.71 Voie de commande en rapport avec la sécurité à deux sous-voies
entièrement séparées

Cette conception assure une sécurité contre la première défaillance (et les éventuelles défaillances ultérieures de la même sous-voie), mais elle n’offre pas de garantie contre deux défaillances pouvant se produire simultanément ou non dans deux sous-voies différentes, étant donné qu’elle est dépourvue de circuit de détection des défaillances. Par conséquent, les deux sous-voies fonctionnent au départ avec une grande fiabilité (voir le cas des systèmes en parallèle), mais après la première défaillance, une seule voie continue de fonctionner, et la fiabilité diminue. Si une deuxième défaillance se produit sur la sous-voie encore en service, les deux voies seront hors service et la fonction de sécurité ne sera plus assurée.

Exemple 3

Figure 58.72 Voie de commande en rapport avec la sécurité à deux sous-voies
entièrement séparées se surveillant mutuellement

Cette configuration est protégée contre les défaillances, car après une défaillance quelconque, une seule sous-voie cesse d’être fonctionnelle, tandis que l’autre reste disponible et assure la fonction de sécurité. Ce système comporte en outre un circuit de détection des défaillances. Lorsque, par suite d’une défaillance, les deux sous-voies ne fonctionnent plus de manière identique, cette situation est détectée par un circuit «exclusif ou» et la machine est automatiquement mise à l’arrêt. Cette solution consistant à prévoir des sous-voies ayant un rôle pour la sécurité est l’une des meilleures pour la conception des systèmes de contrôle des machines. Ces sous-voies sont protégées contre une défaillance et elles sont en outre suffisamment fiables pour que les risques d’apparition de deux défaillances simultanées soient infimes.

La redondance

Figure 58.73 Fiabilité de systèmes redondants avec ou sans détection des défaillances

Les circuits ou composants complexes présentent, par rapport aux dispositifs plus simples, une certaine redondance. La redondance peut se définir ainsi: 1) la redondance est la présence de moyens (composants, voies, coefficients de sécurité plus élevés, tests supplémentaires, etc.) en plus grand nombre que ce qui est nécessaire à la seule exécution de la fonction souhaitée; 2) la redondance n’améliore évidemment pas la fonction, qui est exécutée de toute manière. Elle n’améliore que la fiabilité ou la sécurité.

Certains professionnels de la sécurité pensent que la redondance se résume à l’installation de systèmes doubles ou triples. Cette interprétation est très restrictive et la redondance peut être prise dans un sens bien plus large et plus souple. On peut envisager qu’elle ne soit pas intégrée uniquement au matériel, mais aussi au logiciel. L’amélioration du coefficient de sécurité (par exemple, le choix d’une corde plus solide) peut également être considérée comme une forme de redondance.

L’entropie

L’entropie, terme principalement employé en thermodynamique et en astronomie, peut se définir ainsi: toute chose tend à se dégrader. Il est donc absolument certain que tous les composants, sous-systèmes ou systèmes sont voués, indépendamment de la technologie mise en œuvre, à tomber en panne à un moment quelconque. Cela signifie qu’il n’existe pas de systèmes, sous-systèmes ou composants absolument fiables ou sûrs. Tous sont simplement plus ou moins fiables et sûrs, selon la complexité de leur structure. Les défaillances qui se produisent inévitablement tôt ou tard démontrent l’action de l’entropie.

Le seul moyen dont disposent les concepteurs pour faire obstacle à l’entropie est la redondance, qui est obtenue: a) en introduisant une fiabilité supplémentaire dans les composants; b) en assurant un supplément de sécurité dans l’architecture du circuit. C’est uniquement en accroissant dans une proportion suffisante la probabilité que la fonction désirée soit assurée pendant toute la période voulue que les concepteurs peuvent dans une certaine mesure se prémunir contre l’entropie.

L’évaluation des risques

Plus le risque est grand, plus grande doit être la fiabilité ou la sécurité nécessaires, et inversement. Ce principe est illustré par les deux cas suivants:

Cas 1

L’accès à un moule monté sur une machine de moulage par injection est protégé par une porte. Si la porte est fermée, la machine peut fonctionner. Si elle est ouverte, tous les mouvements dangereux doivent être arrêtés. En aucun cas (même celui d’une défaillance de la voie en rapport avec la sécurité), un mouvement quelconque, en particulier ceux qui actionnent l’outil de moulage, ne peut se produire.

Cas 2

L’accès à une ligne d’assemblage à commande automatique, sur laquelle de petits composants en plastique sont assemblés sous une pression pneumatique, est protégé par une porte. Si cette porte est ouverte, la ligne doit être arrêtée.

Dans le cas 1, une défaillance du système de commande de la porte peut conduire à un accident grave par suite d’une fermeture imprévue de l’outil. Dans le cas 2, la défaillance du système de commande de la porte ne peut provoquer que des blessures légères ou des dégâts insignifiants.

Il est évident que, dans le premier cas, il est nécessaire d’introduire une redondance nettement supérieure pour obtenir la fiabilité ou la sécurité requise contre les défaillances en vue d’une protection contre un risque extrêmement élevé. En fait, selon la norme européenne EN 201, le système de contrôle de la porte de la machine de moulage par injection doit être équipé de trois voies: deux voies électriques et à surveillance mutuelle et une voie équipée principalement de circuits hydrauliques et de test. Ces trois fonctions de surveillance concernent toutes la même porte.

En revanche, dans des applications comme celle du cas 2, une voie unique actionnée par un contacteur à action directe suffit par rapport au risque.

Les catégories de commande

Etant donné que toutes les considérations ci-dessus reposent, d’une manière générale, sur la théorie de l’information, et qu’elles sont donc valables pour toutes les technologies, il est indifférent que le système de commande soit basé sur des composants électroniques, électromécaniques, mécaniques, hydrauliques ou pneumatiques, sur une combinaison de ces dispositifs, ou sur une quelconque autre technologie. L’inventivité du concepteur, d’une part, et les considérations économiques, de l’autre, sont les facteurs déterminants du choix dans un éventail pratiquement illimité de solutions permettant de réaliser des voies en rapport avec la sécurité.

Pour éviter les confusions, il est commode de définir certains critères de tri. Les structures de voies les plus couramment employées pour assurer les fonctions liées à la sécurité sur les systèmes de contrôle des machines peuvent être classées selon:

• la fiabilité;
• le comportement en cas de défaillance;
• le délai de signalisation de la défaillance.

Tableau 58.5 Combinaisons possibles d'architecture de circuits assurant des fonctions de
sécurité dans les systèmes de commande de machines

La catégorie applicable à une machine particulière et à son système de contrôle pour la sécurité est généralement spécifiée dans les nouvelles normes européennes, à moins que l’autorité nationale, l’utilisateur et le constructeur ne conviennent d’une autre catégorie. Le concepteur développe alors un système de commande répondant aux caractéristiques exigées. Pour la conception des voies de commande, on peut notamment prendre en considération les éléments ci-après:

• Les composants doivent résister aux influences prévisibles (oui/non).
• Leur construction doit être conforme aux normes techniques les plus récentes (oui/non) .
• On utilise des composants et des méthodes éprouvés (oui/non) .
• Les défaillances doivent impérativement être détectées (oui/ non) .
• La fonction sécuritaire sera-t-elle assurée même en cas de défaillance (oui/non) ?
• Quand la défaillance sera-t-elle détectée (jamais, rapidement, immédiatement) ?

Ce processus est réversible. A partir des mêmes questions, on peut déterminer à quelle catégorie appartient une voie de commande mise au point précédemment.

Exemples de catégories

Catégorie B

Les composants utilisés principalement dans les voies de contrôle des appareils grand public doivent résister aux influences prévisibles et être conçus selon les normes pertinentes. On peut citer comme exemple un interrupteur bien conçu.

Catégorie 1

Figure 58.74 Interrupteur à action directe

Cette voie emploie l’interrupteur à action directe S. Le contacteur K est contrôlé par le voyant L. L’opérateur est averti d’un collage des contacts normalement ouverts (NO) grâce au voyant L. Le contacteur K comporte des contacts à guidage forcé. (Note: les relais et contacteurs à contacts à guidage forcé possèdent, par comparaison avec les relais et contacteurs ordinaires, une cage spéciale en matériau isolant, de sorte que si des contacts normalement fermés (NF) sont effectivement fermés, tous les contacts NO doivent être ouverts, et inversement. Il est donc possible d’utiliser les contacts NF pour vérifier que les contacts de travail ne sont ni collés ni soudés.)

Catégorie 2

Figure 58.75 Circuit comportant un détecteur de défaillances

Ce système de commande est testé régulièrement ou occasionnellement par injection d’une impulsion à l’entrée. Dans un système fonctionnant correctement, cette impulsion est transférée à la sortie et comparée à une impulsion provenant d’un générateur de test. Si les deux impulsions sont présentes, il est évident que le système fonctionne. En revanche, s’il n’y a pas d’impulsion en sortie, c’est la preuve d’une défaillance.

Catégorie 3

Figure 58.76 Circuit de système à API

Bien que les API modernes soient très fiables, ils ne le sont pas toujours autant qu’il le faudrait pour traiter les fonctions de sécurité. De plus, les systèmes à API courants ne sont pas assez sûrs, car ils n’exécutent pas la fonction sécuritaire en cas de défaillance. Par conséquent, il est interdit d’y recourir pour gérer les fonctions de sécurité sans mesures complémentaires.

Applications à très faibles risques: systèmes à un API et dispositions complémentaires

Lorsqu’un seul API est utilisé pour la commande, le système se compose des parties principales suivantes:

La partie entrée

Un moyen d’améliorer la fiabilité d’un capteur et de l’entrée d’un API consiste à doubler le nombre de ses composants. Ce type de configuration d’entrée à système double peut également être surveillé par un logiciel, afin de vérifier que les deux systèmes fournissent la même information. On peut ainsi détecter une défaillance dans la partie entrée. Cette conception est à peu près identique à ce qui est exigé pour la catégorie 3. En revanche, comme la surveillance est assurée par un logiciel et une fois seulement, on peut classer le système dans la catégorie 3- (soit moins fiable que la 3).

La partie centrale

Cette partie peut assez difficilement être doublée, mais il est possible de la tester. A la mise sous tension (ou en cours d’opération), on peut effectuer une vérification du jeu d’instructions complet. On peut également vérifier la mémoire, aux mêmes intervalles, à l’aide de configurations binaires appropriées. Si ces vérifications s’achèvent sans défaillance, cela prouve que les deux parties concernées, le processeur et la mémoire, fonctionnent correctement. Certaines caractéristiques de la partie centrale sont typiques de la catégorie 4 (signal dynamique) et d’autres de la catégorie 2 (tests périodiques à des intervalles appropriés). Le problème est que ces tests, bien qu’étendus, ne peuvent pas être véritablement complets, en raison de la nature même des systèmes à API unique.

La partie sortie

Comme l’entrée, la sortie (y compris les activateurs) peut être doublée. On surveille les deux sous-systèmes pour s’assurer qu’ils donnent le même résultat. Les défaillances seront détectées, et la fonction de sécurité assurée. Mais cette partie présente les mêmes points faibles que l’entrée, et il y a donc lieu de retenir la catégorie 3.

Figure 58.77 Circuit API avec système de détection des défaillances

Le système dans son ensemble peut être décrit comme de catégorie 3-/4/2/3- si la surveillance est étendue et bien faite. Il est toutefois impossible d’éliminer totalement de ces systèmes les points faibles décrits ci-dessus. En pratique, les systèmes à API unique amélioré ne sont utilisés pour des fonctions liées à la sécurité que lorsque les risques sont assez faibles (Hölscher et Rader, 1984).

Les applications à risques faibles et moyens, à un seul API

Presque toutes les machines actuelles sont équipées d’une unité de commande à API. Pour résoudre le problème d’une fiabilité insuffisante et d’une sécurité contre les défaillances habituellement insuffisante, on applique généralement les méthodes suivantes pour la conception des systèmes:

Figure 58.79 Configuration type pour la catégorie d'arrêt 1

Figure 58.80 Configuration type pour la catégorie d'arrêt 2

Les applications à risques élevés: systèmes à deux API ou plus

Figure 58.81 Système perfectionné à deux API

Les défaillances systématiques

Les défaillances systématiques, qui peuvent avoir pour origine des erreurs de spécification, de conception ou autres, se rencontrent aussi bien dans le matériel que dans le logiciel. Les systèmes à double API conviennent aux applications liées à la sécurité. Ces configurations permettent de détecter les défaillances aléatoires du matériel. Grâce à une diversification du matériel, comme l’utilisation de deux types d’équipements différents ou de produits de deux fabricants différents, on peut déceler les défaillances systématiques du matériel (il est très improbable qu’une défaillance systématique identique du matériel survienne sur les deux API).

Les logiciels

Les logiciels sont un élément nouveau dans les questions de sécurité. Un logiciel peut être correct ou incorrect (relativement aux défaillances). A la différence du matériel, un logiciel correct ne peut pas devenir soudainement incorrect. Dans ces conditions, les objectifs consisteront à éradiquer toutes les erreurs du logiciel ou du moins à les identifier.

Il existe plusieurs moyens d’atteindre ce but. L’un est la vérification du programme (une deuxième personne tente de découvrir les erreurs au cours d’un essai ultérieur). Une autre possibilité est la diversification des logiciels, qui consiste à faire traiter le même problème par deux programmes, écrits par deux programmeurs différents. Si les résultats sont identiques (dans certaines limites), on peut supposer que les deux parties des programmes sont correctes. Sinon, on peut supposer la présence d’erreurs. (Note: l’architecture matérielle doit naturellement être également prise en compte.)

Résumé

Pour l’utilisation des API, il convient en général de prendre en compte les considérations de base suivantes, qui ont été exposées dans les sections précédentes:

• Un système de commande sans aucune redondance peut être classé en catégorie B. Un système de commande avec des dispositions complémentaires peut correspondre à la catégorie 1 ou supérieure, mais sans dépasser 2.
• Un système de commande en deux parties, avec une comparaison réciproque des résultats, peut être classée en catégorie 3. Un système de commande en deux parties, avec une comparaison réciproque des résultats et une plus ou moins grande diversification, peut être classé en catégorie 3 et convient pour des applications à risques plus élevés.

Dans les systèmes comportant des API, la nécessité d’évaluer également la qualité du logiciel est un nouvel élément à considérer. S’il est correct, un logiciel est fiable à 100%. Au stade actuel du développement technologique, les meilleures solutions techniques connues ne seront probablement pas utilisées, en raison des limitations économiques qui subsistent. Par ailleurs, différents groupes d’experts (par exemple EC, EWICS) continuent d’élaborer des normes pour les applications des API à la sécurité. Plusieurs normes sont déjà disponibles (VDE 0801, CEI 65A, etc.), mais le domaine est si vaste et si complexe qu’aucune ne peut être considérée comme définitive.

Figure 58.82 Système de commande pour le réglage d'un robot de soudage mobile

Les accidents et les modes de fonctionnement

Les accidents mortels impliquant des robots sont apparus au début des années quatre-vingt. Les statistiques et les enquêtes montrent que la majorité des incidents et accidents ne surviennent pas en fonctionnement normal, c’est-à-dire pendant l’exécution automatique du travail en cause. Avec ces types de machines et d’installations industrielles robotisées, ce sont les modes de fonctionnement particuliers qui sont les plus préoccupants, comme la mise en service, les réglages, la programmation, les essais de production, les vérifications, les recherches de pannes ou la maintenance. En effet, dans ces modes de fonctionnement, des personnes sont habituellement présentes dans les zones dangereuses. Le concept de sécurité doit protéger le personnel des événements dangereux dans ce type de situation.

Les normes de sécurité internationales

Figure 58.83 Diagramme en blocs pour un système de sécurité de personnel

Les conditions et les mesures de sécurité en fonctionnement normal

L’emploi de la technologie des robots pose des problèmes très délicats en ce qui concerne l’analyse et l’évaluation des risques et les concepts de sécurité. Les exemples et suggestions qui suivent ne sont donc donnés qu’à titre indicatif:

1. Compte tenu d’un objectif de sécurité consistant à rendre impossible de pénétrer ou d’introduire les mains dans les zones dangereuses où des mouvements automatiques sont exécutés, on peut notamment préconiser les solutions suivantes:
• Disposer des barrières mécaniques pour rendre impossible de pénétrer ou d’introduire les mains dans les zones dangereuses.
• Employer des dispositifs de sécurité réagissant à l’approche (cellules et tapis de détection) et permettant une mise à l’arrêt sûre des machines lorsqu’on intervient ou qu’on pénètre dans la zone dangereuse.
• Ne permettre de pénétrer ou d’introduire les mains que lorsque l’ensemble du système est sécurisé, par exemple grâce à l’installation de dispositifs de verrouillage sur les portes d’accès.
2. Compte tenu d’un objectif de sécurité consistant à empêcher qu’une personne ne soit blessée par un dégagement d’énergie (projection de pièces ou énergie rayonnée), on peut proposer les solutions suivantes:
• Concevoir le système de manière à éviter tout dégagement d’énergie (par exemple, raccordements dimensionnés de manière adéquate, systèmes passifs de verrouillage des préhenseurs dans les mécanismes de changement de préhenseur, etc.).
• Empêcher l’émission d’énergie à partir de la zone dangereuse, par exemple en installant un capot de sécurité de dimensions appropriées.
3. Des interfaces entre les deux modes de fonctionnements, normal et particulier (dispositifs de verrouillage de portes, cellules et tapis de détection) sont nécessaires pour permettre au système de commande de sécurité de reconnaître automatiquement la présence de personnes.

Les conditions et les mesures de sécurité dans les modes de fonctionnement particuliers

Certains modes de fonctionnement particuliers (réglage, programmation) des robots industriels nécessitent un examen direct des mouvements à l’emplacement où ils sont exécutés. L’objectif de sécurité correspondant est que l’exécution des mouvements ne doit pas présenter de dangers pour les personnes concernées. Il faut que ces mouvements:

• soient exécutés uniquement de la manière et à la vitesse prévues;
• ne se prolongent pas au-delà du temps prescrit;
• soient déclenchés uniquement lorsqu’on aura l’assurance qu’aucune partie du corps humain ne se trouve dans la zone dangereuse.

Figure 58.84 Robot industriel à six degrés de liberté placé dans une cage de sécurité
avec des ouvertures pour le passage des matériaux

Les conditions requises pour les systèmes de commande de sécurité

Une des caractéristiques d’un système de commande de sécurité doit être de garantir l’exécution de la fonction sécuritaire à chaque apparition d’un défaut. Les machines robotisées industrielles devraient passer presque instantanément d’un état d’insécurité à un état de sécurité. Les mesures de sécurité nécessaires dans ce but comprennent les objectifs de sécurité suivants:

• Un défaut dans le système de contrôle ne doit pas provoquer de situation dangereuse.
• Un défaut dans le système de contrôle doit être identifié (immédiatement ou par vérification périodique).

Les solutions suggérées pour la mise en place de systèmes de contrôle fiables sont les suivantes:

• mettre en place une configuration redondante et diversifiée des systèmes de contrôle électromécaniques, y compris des circuits de test;
• mettre en place un ensemble redondant et diversifié de systèmes de contrôle par microprocesseurs, élaborés par des équipes différentes. Cette approche moderne est considérée comme la meilleure actuellement, par exemple dans le cas des cellules de détection.

Les objectifs de sécurité pour la construction et l’utilisation de robots industriels

Les constructeurs et les utilisateurs de robots industriels sont tenus d’installer des systèmes de contrôle modernes. Indépendamment de la responsabilité légale, on peut considérer qu’il existe aussi une obligation morale de faire de la technologie robotique une technologie sûre.

Le mode de fonctionnement normal

Les conditions de sécurité suivantes devraient être assurées lorsque des machines robotisées fonctionnent en mode normal:

• Le champ d’intervention du robot et les zones de travail utilisées par les équipements périphériques doivent être protégés de manière à interdire le passage des mains ou des personnes dans des zones rendues dangereuses par les mouvements automatiques.
• On doit prévoir des protections pour éviter les dommages dus aux projections de pièces ou d’outils.
• Il ne faut pas que des personnes puissent être blessées par des pièces, des outils ou des pièces à usiner éjectés par le robot ou par une libération d’énergie à la suite d’un défaut ou d’une interruption de l’alimentation du préhenseur, d’une vitesse excessive, de collisions ou de défauts des pièces à usiner.
• Il ne faut pas que des personnes puissent être blessées par une libération d’énergie ou par des pièces éjectées par des équipements périphériques.
• Les orifices d’introduction et de retrait doivent être conçus de manière à interdire de placer les mains ou de pénétrer dans des zones rendues dangereuses par les mouvements automatiques. Cette condition doit également être satisfaite lors du retrait des matériaux de production. Lorsque les matériaux sont introduits automatiquement dans le robot, les ouvertures d’introduction et de retrait, ainsi que le transfert des matériaux ne doivent pas créer de zone dangereuse.

Les modes de fonctionnement particuliers

Les conditions de sécurité suivantes devraient être assurées lorsque des machines robotisées fonctionnent selon des modes particuliers:

Lors d’une intervention à la suite d’une panne dans le processus de production, on devra veiller aux points suivants:

• Interdire d’introduire les mains ou de pénétrer dans les zones rendues dangereuses par les mouvements automatiques du robot ou des équipements périphériques.
• Lorsque des personnes ou des parties du corps sont exposées à des mouvements dangereux, éviter les risques dus à un comportement défectueux du système ou à l’introduction d’un ordre intempestif.
• Eviter que le déplacement ainsi que le retrait des matériaux de production ou des déchets n’occasionnent des mouvements ou des situations présentant des dangers.
• Eviter que les équipements périphériques occasionnent des blessures.
• Si des mouvements doivent être exécutés alors que les protecteurs pour le mode de fonctionnement normal sont enlevés, ces mouvements pourront être exécutés uniquement avec l’ampleur et la vitesse prescrites et uniquement pendant la période prescrite. En outre, aucune personne ou partie du corps d’une personne ne doit être présente dans la zone dangereuse.

Les conditions de sécurité ci-après doivent être assurées lors des réglages:

Aucun mouvement dangereux ne doit être déclenché par une commande défectueuse ou par l’introduction d’un ordre incorrect.

• Le remplacement de pièces du robot ou des équipements périphériques ne doit pas provoquer de mouvements ou de situations présentant des dangers.
• Si des mouvements doivent être exécutés pendant les réglages alors que les protecteurs pour le mode de fonctionnement normal sont retirés, ces mouvements pourront être exécutés uniquement avec l’ampleur et la vitesse prescrites et uniquement pendant la période prescrite. En outre, aucune personne ou partie du corps ne doit être présente dans la zone dangereuse.
• Pendant les réglages, les équipements périphériques ne doivent effectuer aucun mouvement dangereux et ne créer aucune situation dangereuse.

Les conditions de sécurité suivantes doivent être assurées pendant la programmation:

• On empêchera qu’il soit possible d’introduire les mains ou de pénétrer dans les zones rendues dangereuses par des mouvements automatiques.
• Si des mouvements doivent être exécutés alors que les protecteurs pour le mode de fonctionnement normal sont retirés, les conditions suivantes doivent être remplies:
  a) seule la commande de déplacement peut être exécutée, et uniquement aussi longtemps qu’elle est émise;
  b) seuls les mouvements contrôlables (c’est-à-dire bien visibles et à vitesse réduite) peuvent être exécutés;
  c) les mouvements ne peuvent être déclenchés que lorsqu’ils ne constituent pas un risque pour le programmeur ou d’autres personnes.
  
• Les équipements périphériques ne doivent pas constituer un risque pour le programmeur ou d’autres personnes.

La sécurité des opérations de test nécessite les précautions suivantes:

Il doit être impossible d’introduire les mains ou de pénétrer dans les zones rendues dangereuses par des mouvements automatiques.

• Les équipements périphériques ne doivent pas constituer une source de risque.

Pour l’inspection des machines robotisées dans des conditions de sécurité, il convient d’appliquer notamment les procédures suivantes:

• S’il est nécessaire de pénétrer dans le champ d’intervention du robot pour une inspection, cet accès ne doit être autorisé que lorsque le système est à l’état de sécurité.
• On doit éviter les risques dus à un comportement défectueux du système ou à l’introduction d’un ordre intempestif.
• Les équipements périphériques ne doivent présenter aucun danger pour le personnel d’inspection.

Comme la recherche des pannes exige souvent de mettre en marche la machine robotisée alors qu’elle se trouve dans un état potentiellement dangereux, il convient d’appliquer des procédures de travail spécifiques, assurant une sécurité, comme les mesures suivantes:

• Tout accès aux zones rendues dangereuses par des mouvements automatiques doit être interdit.
• On doit empêcher la mise en marche d’un mécanisme d’entraînement à la suite d’un ordre défectueux ou de l’introduction d’un ordre erroné.
• Lors de la manipulation d’une partie défectueuse, tout mouvement du robot doit être interdit.
• On doit empêcher les blessures par projection ou chute de parties de la machine.
• S’il est nécessaire, pendant la recherche des pannes, d’exécuter des mouvements alors que les protecteurs pour le mode de fonctionnement normal sont retirés, ces mouvements pourront être exécutés uniquement avec l’ampleur et la vitesse prescrites, et uniquement pendant la période prescrite. En outre, aucune personne ou partie du corps ne doit être présente dans la zone dangereuse.
• On doit empêcher les lésions par les équipements périphériques.

Les interventions pour corriger un défaut ou pour la maintenance peuvent également nécessiter de mettre en marche la machine alors qu’elle est dans un état d’insécurité, et nécessitent donc les précautions suivantes:

• Il doit être impossible de mettre en marche le robot.
• La manipulation des différentes pièces de la machine, manuellement ou à l’aide d’équipements auxiliaires, doit pouvoir s’effectuer sans exposition à des dangers.
• Il ne doit pas être possible d’entrer en contact avec des parties sous tension.
• On doit empêcher les lésions par émission de liquides ou de gaz.
• On doit empêcher les lésions par les équipements périphériques.

Figure 58.85 Normes génériques et normes d'application sectorielles

Les avantages et les problèmes des API

L’adoption des SEP pour les besoins de la sécurité présente de nombreux avantages potentiels, mais il a été reconnu qu’il ne serait possible de les obtenir que grâce à des méthodes de conception et d’évaluation appropriées, et cela pour plusieurs raisons: 1) un grand nombre de caractéristiques des API ne permettent pas de prédire l’intégrité de sécurité (c’est-à-dire les performances, en matière de sécurité, des systèmes assurant les fonctions de sécurité requises) avec le même niveau de confiance que celui qui a toujours caractérisé les systèmes moins complexes à base matérielle (câblés); 2) on a constaté que, bien que nécessaires, les tests effectués sur les systèmes complexes n’étaient pas suffisants à eux seuls, ce qui signifie que, même si le API assure des fonctions de sécurité relativement simples, le niveau de complexité de l’électronique programmable est nettement supérieur à celui des systèmes câblés qu’elle remplace; 3) cette complexité accrue impose de considérer avec beaucoup plus d’attention qu’auparavant les méthodes de conception et d’évaluation, de sorte que le niveau de compétences personnelles requis du personnel pour obtenir les performances voulues des systèmes liés à la sécurité est plus élevé.

Les avantages des API informatisés sont:

• possibilité d’effectuer en ligne un diagnostic beaucoup plus fréquent des composants critiques;
• possibilité de réaliser des verrouillages de sécurité perfectionnés;
• possibilité de fournir des fonctions de diagnostic et de surveillance d’état permettant d’analyser les performances de l’installation et des machines et d’en rendre compte en temps réel;
• possibilité de comparer l’état réel de l’installation avec celui d’un modèle «idéal»;
• possibilité de mieux informer les opérateurs et donc d’améliorer la prise de décisions concernant la sécurité;
• mise en œuvre de stratégies de contrôle évoluées permettant d’écarter les opérateurs des environnements dangereux ou hostiles;
• possibilité de diagnostics à distance du système de commande.

L’emploi de systèmes informatisés dans les applications de sécurité crée un certain nombre de problèmes qui doivent être traités de manière adéquate, tels que:

• les modes de défaillance sont complexes et pas toujours prévisibles;
• il est nécessaire de tester l’ordinateur, mais cette précaution ne suffit pas pour établir que les fonctions de sécurité seront exécutées avec le degré de certitude requis pour l’application;
• les microprocesseurs peuvent présenter de très faibles différences d’un lot à l’autre et avoir par conséquent un comportement distinct;
• les systèmes informatisés non protégés sont particulièrement sensibles aux interférences électriques (interférences rayonnées, crêtes de tension sur le réseau électrique, décharges électrostatiques, etc.);
• il est difficile et souvent impossible de quantifier la probabilité de défaillance des systèmes de sécurité complexes intégrant des logiciels. En l’absence d’une méthode de quantification bien établie, la vérification des logiciels repose sur des procédures et des normes décrivant les méthodes à appliquer pour la conception, la réalisation et la maintenance des logiciels.

Les systèmes de sécurité considérés

Figure 58.86 Système électrique, électronique et électronique programmable (E/E/EP)

Le terme «dispositif électrique, électronique et électronique programmable» regroupe une grande diversité de dispositifs, répartis en trois grandes catégories:

1. Dispositifs électriques, tels que les relais électromécaniques.
2. Dispositifs électroniques, tels qu’instruments électroniques transistorisés et systèmes logiques.
3. Dispositifs électroniques programmables, qui comprennent des systèmes informatisés très divers, notamment:
• des microprocesseurs;
• des microcontrôleurs;
• des contrôleurs programmables;
• des circuits intégrés spécifiques à l’application;
• des automates programmables;
• d’autres dispositifs à base informatique (par exemple, détecteurs, transmetteurs et actionneurs «intelligents»).

Par définition, un système de sécurité répond à deux objectifs:

1. Il exécute les fonctions de sécurité nécessaires pour assurer ou maintenir la sûreté des équipements contrôlés. Il doit assurer les fonctions de sécurité spécifiées pour le système. Ainsi, si la température atteint une certaine valeur x, la vanne y doit s’ouvrir pour introduire de l’eau dans une cuve.
2. Il assure, seul ou avec d’autres systèmes de sécurité, le niveau d’intégrité de sécurité nécessaire à l’exécution des fonctions de sécurité requises. Celles-ci doivent être exécutées par les systèmes de sécurité avec un niveau de confiance adapté à l’application, afin de conférer à l’équipement contrôlé le niveau de sécurité voulu.

Figure 58.87 Principales caractéristiques des systèmes relatifs à la sécurité

Les défaillances du système

Figure 58.88 Catégories de défaillance

1. Les défaillances aléatoires du matériel sont celles qui proviennent des divers mécanismes de détérioration normale du matériel. Ces mécanismes sont nombreux et apparaissent plus ou moins rapidement selon les composants. Etant donné qu’en raison des tolérances de fabrication, les défaillances des différents composants dues à ces mécanismes apparaissent après des périodes de fonctionnement d’une durée variable, les défaillances d’un système comprenant de nombreux composants se produisent à des dates imprévisibles, c’est-à-dire de manière aléatoire. Certaines mesures de la fiabilité des systèmes, par exemple la moyenne des temps de bon fonctionnement (MTBF), sont utiles, mais elles ne concernent généralement que les défaillances aléatoires du matériel et ne tiennent pas compte des défaillances systématiques.
2. Les défaillances systématiques proviennent d’erreurs dans la conception, la réalisation ou l’utilisation d’un système qui provoquent une panne de celui-ci dans le cas d’une combinaison particulière des données qui sont entrées ou dans certains environnements. Si une défaillance du système se produit lorsqu’un ensemble de circonstances déterminé apparaît, elle se produira à nouveau chaque fois que ce même ensemble de circonstances sera réuni. Toute défaillance d’un système relatif à la sécurité n’ayant pas pour origine une défaillance aléatoire du matériel est, par définition, une défaillance systématique. Dans le cadre des systèmes E/E/EP relatifs à la sécurité, on rencontre les défaillances systématiques suivantes:
• défaillances systématiques dues à des erreurs ou à des omissions dans les caractéristiques requises des fonctions de sécurité;
• défaillances systématiques dues à des erreurs dans la conception, la fabrication, l’installation ou l’utilisation du matériel. Elles comprennent les défaillances provenant de causes environnementales et d’erreurs humaines, notamment de l’opérateur;
• défaillances systématiques dues à des défauts du logiciel;
• défaillances systématiques dues à des erreurs dans la maintenance et les modifications.

La protection des systèmes relatifs à la sécurité

Figure 58.89 Concepts de performance de sécurité

Dans la norme internationale CEI 1508, on distingue quatre niveaux d’intégrité de sécurité, numérotés de 1 à 4, le niveau 1 étant le plus bas. Le niveau d’intégrité de sécurité d’un système relatif à la sécurité dépend du rôle qu’il joue pour assurer à l’équipement contrôlé le niveau de sécurité requis. Plusieurs systèmes relatifs à la sécurité peuvent être nécessaires, dont certains à base de technologie pneumatique ou hydraulique.

La conception des systèmes relatifs la sécurité

Figure 58.90 Principales causes (étapes) des défaillances des systèmes de commande

La sécurité fonctionnelle des systèmes relatifs à la sécurité ne dépend pas seulement d’une définition adéquate des caractéristiques techniques, mais aussi d’une mise en œuvre efficace de celles-ci et du maintien de l’intégrité initiale pendant toute la durée de vie de l’équipement. Pour cela, on doit disposer d’un système efficace de gestion de la sécurité et il faut que le personnel, dans tous les domaines d’activité, possède les compétences requises pour les tâches qui lui sont confiées. Il est particulièrement important de pouvoir compter sur un système de gestion de la sécurité adéquat dans le cas de systèmes de sécurité complexes. Cela conduit à une stratégie permettant de garantir:

• que l’on dispose d’un système de gestion de la sécurité efficace;
• que les caractéristiques techniques définies pour les systèmes E/E/EP relatifs à la sécurité suffisent pour traiter à la fois les causes des défaillances aléatoires du matériel et celles des défaillances systématiques;
• que les compétences des personnes concernées correspondent aux tâches à accomplir.

Figure 58.91 Rôle du cycle de vie de sécurité dans l'obtention de la sécurité fonctionnelle

Le niveau de sécurité

Figure 58.92 Rôle des niveaux d'intégrité de sécurité dans le processus
de conception

Figure 58.93 Rôle du cycle de vie de sécurité dans le processus de spécification
et de conception

Le concept et le niveau de sécurité s’appliquent à l’équipement commandé. Le concept de sécurité fonctionnelle s’applique au système de sécurité. Il est nécessaire que ce système présente une sécurité fonctionnelle pour que l’équipement à l’origine du risque atteigne un niveau de sécurité adéquat. Le niveau de sécurité prescrit pour une situation spécifique est un facteur essentiel des caractéristiques d’intégrité de sécurité requises des systèmes relatifs à la sécurité.

Le niveau de sécurité nécessaire dépend de nombreux facteurs, comme la gravité des lésions possibles, le nombre de personnes exposées ou la fréquence et la durée de l’exposition. La perception du danger par les personnes exposées et leurs opinions à ce sujet ont également une importance. Pour parvenir à ce qui représente un niveau de sécurité adapté à une application particulière, les principaux éléments à prendre en considération sont:

• les obligations légales visant l’application en cause;
• les directives des organismes de sécurité compétents;
• les discussions et accords avec les parties concernées par l’application;
• les normes industrielles;
• les normes nationales et internationales;
• les conseils des meilleurs experts industriels et scientifiques indépendants.

Résumé

Lors de la conception et de l’utilisation des systèmes relatifs à la sécurité, il convient de se rappeler que c’est l’équipement commandé qui crée le risque. Les systèmes relatifs à la sécurité sont conçus pour réduire la fréquence ou la probabilité de l’événement dangereux, ainsi que la gravité de ses conséquences éventuelles. Une fois défini le niveau de sécurité nécessaire à l’équipement, on peut déterminer le niveau d’intégrité de sécurité du système relatif à la sécurité; ce niveau permet au concepteur de définir les mesures qui doivent être intégrées au stade de la conception pour éviter les défaillances aléatoires du matériel et les défaillances systématiques.

Figure 58.94 Réduction du risque: concepts généraux

Figure 58.95 Modèle global: couches de protection

Tableau 58.6 Niveau d'intégrité de sécurité des systèmes de protection: plages de
probabilités des défaillances

Les systèmes de protection

Figure 58.96 Système type de protection

Mais que se passera-t-il en cas de défaillance des composants du système de protection? C’est le rôle du dispositif de coupure secondaire, qui est commandé par la fonction d’autodiagnostic incorporée à cette configuration. Ce système n’est toutefois pas entièrement à sécurité intégrée, dans la mesure où cette configuration n’a qu’une certaine probabilité d’être disponible lorsqu’il lui sera demandé d’exécuter sa fonction de sécurité (donc une certaine probabilité de défaillance sur demande et, par conséquent, un niveau diminué d’intégrité de sécurité). Ce système peut, par exemple, être capable de détecter et de tolérer certains types de défaillances d’une carte de sortie, sans être capable de résister à une défaillance d’une carte d’entrée. Son niveau d’intégrité de sécurité sera donc nettement inférieur à celui d’une configuration comportant une carte d’entrée plus fiable ou un meilleur système de diagnostic, ou une combinaison de ces deux éléments.

Il existe d’autres causes possibles de défaillances des cartes, notamment les défauts physiques «traditionnels» du matériel, les défauts systématiques comme les erreurs dans la définition des caractéristiques requises, les défauts de mise en œuvre du logiciel ou une mauvaise protection contre les conditions ambiantes (humidité, par exemple). Dans cette configuration à une seule voie, le diagnostic n’assure pas nécessairement une couverture pour tous ces types de défauts, ce qui limitera le niveau d’intégrité de sécurité atteint en pratique (la couverture est le pourcentage de défaillances qu’un système peut détecter et gérer de façon sûre).

Les caractéristiques techniques

Figure 58.97 Spécification de la conception et solution retenue

L’évitement des défaillances

L’évitement des défaillances vise à prévenir leur introduction dans un système. La principale approche consiste à adopter une méthode systématique de gestion du projet, dans laquelle la sécurité est traitée comme une qualité définissable et gérable du système au stade de la conception et, par la suite, dans le cadre de l’exploitation et de la maintenance. Cette approche, semblable à l’assurance de la qualité, repose sur le concept du retour d’information et implique: 1) une planification (définition des objectifs de sécurité et identification des moyens d’y parvenir); 2) une mesure des objectifs atteints pendant la réalisation par rapport au plan conçu initialement; 3) l’application du retour d’information pour rectifier les éventuels écarts. Les études de conception sont un bon exemple de technique d’évitement des défaillances. Dans la norme CEI 1508, cette approche «qualitative» de l’évitement des défaillances est facilitée par la prescription faite d’utiliser un cycle de vie de sécurité et de respecter des procédures de gestion de la sécurité aussi bien pour le matériel que pour les logiciels. Pour ceux-ci, il s’agit souvent de procédures d’assurance de la qualité, comme celles décrites dans la norme ISO 9000-3 (ISO, 1997).

Tableau 58.7 Conception et développement des logiciels

FR = fortement recommandée; R = recommandée; — = neutre: la technique/mesure n’est ni recommandée, ni déconseillée au niveau d’intégrité de sécurité (NIS).

Note: la technique/mesure appropriée sera choisie en fonction du niveau d’intégrité de sécurité.

La tolérance aux défaillances

Selon la norme CEI 1508, il est nécessaire que le niveau de tolérance augmente en même temps que le niveau d’intégrité de sécurité recherché. La norme admet toutefois que cette tolérance a plus d’importance lorsque les systèmes (et les éléments qui les constituent) sont complexes (appelés de type B dans la norme CEI 1508). Pour les systèmes moins complexes et «éprouvés», on peut retenir un niveau de tolérance aux défaillances moins élevé.

La tolérance aux défaillances matérielles aléatoires

Tableau 58.8 Niveau d'intégrité de sécurité — Prescriptions relatives aux défauts sur
les composants de type B¹

¹ Composants dont les modes de défaillance sont mal définis ou difficiles à tester, ou pour lesquels on ne dispose que de peu de données sur leurs défaillances dans des conditions de fonctionnement réelles (par exemple, composants électroniques programmables).

Tableau 58.9 Prescriptions pour le niveau d'intégrité de sécurité 2 — Architectures des
systèmes électroniques programmables destinés aux systèmes de protection

E/S = entrée/sortie.

La première colonne du tableau représente des configurations avec différents degrés de tolérance aux défaillances. Les architectures figurant au bas du tableau ont généralement des degrés de tolérance aux défaillances supérieurs à celles du haut. Un système 1oo2 (un sur deux) est capable de supporter une défaillance unique quelconque, de même que 2oo3.

La deuxième colonne décrit le pourcentage de couverture des systèmes de diagnostic interne. Plus le niveau de diagnostic est élevé, plus les défauts interceptés seront nombreux. C’est là un élément important dans un système de protection, car si le composant défectueux (une carte d’entrée par exemple) est réparé dans un délai raisonnable (huit heures en général), la perte de sécurité fonctionnelle sera faible (on notera que ce ne serait pas le cas pour un système de contrôle en continu, sur lequel toute défaillance est susceptible de provoquer immédiatement une condition d’insécurité et un risque d’incident).

La troisième colonne indique l’intervalle entre les tests de vérification. Il s’agit de tests particuliers qui sont nécessaires pour éprouver de façon intensive le système de protection afin de vérifier l’absence de défauts latents. Ils sont généralement effectués par le fournisseur de l’équipement lors des périodes d’arrêt des installations.

La quatrième colonne indique le taux de faux déclenchements, c’est-à-dire des déclenchements qui provoquent l’arrêt des installations ou des équipements, alors qu’il n’existe pas de défaut dans le processus. La sécurité se paie souvent d’un taux de faux déclenchements supérieur. Un système de protection simple à redondance (1oo2) présente, tous les autres paramètres restant inchangés, un niveau d’intégrité de sécurité supérieur, mais également un taux de faux déclenchements plus élevé qu’un système à voie unique (1oo1).

Si le concepteur ne désire pas utiliser l’une des architectures du tableau, ou s’il souhaite procéder à une analyse plus poussée, la norme CEI 1508 lui laisse cette possibilité. Les techniques d’optimisation de la fiabilité, comme la modélisation de Markov, peuvent alors être employées pour calculer l’élément matériel du niveau d’intégrité de sécurité (Johnson, 1989; Goble, 1992).

La tolérance aux défaillances systématiques et de cause commune

Cette catégorie de défaillances est très importante dans les systèmes de sécurité et elle fait obstacle à la recherche de l’intégrité de sécurité. Dans les systèmes à redondance, un composant, un sous-système, voire le système tout entier, sont doublés afin d’accroître la fiabilité des éléments les moins fiables. Il en résulte une amélioration de la fiabilité du fait que, statistiquement, la probabilité que deux systèmes présentent simultanément une défaillance à la suite de défauts aléatoires est égale au produit des probabilités de chacun, et donc nettement inférieure. En revanche, les défauts systématiques et de mode commun provoquent des défaillances simultanées des systèmes à redondance lorsque, par exemple, une erreur de spécification du logiciel conduit à une défaillance simultanée des parties dupliquées. Un autre exemple est celui de la panne d’une alimentation électrique commune aux deux parties d’un système à redondance.

La norme CEI 1508 comporte des tableaux dans lesquels les techniques sont classées en fonction du niveau d’intégrité de sécurité considéré comme efficace pour une protection contre les défaillances systématiques et de mode commun.

L’hétérogénéité et la redondance analytique sont des exemples de techniques de protection contre les défaillances systématiques. Le principe de l’hétérogénéité consiste à faire réaliser la deuxième voie d’un système à redondance au moyen d’une technologie ou d’un langage informatique différents; les voies redondantes peuvent alors être considérées comme indépendantes en matière de défauts, c’est-à-dire qu’elles présentent une faible probabilité de défaillance simultanée. Cependant, dans le cas notamment des systèmes à base logicielle, il semblerait que cette technique manque d’efficacité, étant donné que la plupart des erreurs se situent dans les spécifications. La redondance analytique tente d’exploiter les informations redondantes disponibles dans l’installation ou la machine pour déceler les défauts. Pour les autres causes de défaillances systématiques, comme les contraintes extérieures, la norme fournit des tableaux donnant des conseils sur les bonnes méthodes techniques à adopter (par exemple, séparation des câbles de signaux et d’alimentation), en fonction du niveau d’intégrité de sécurité.

Conclusion

Les systèmes à base informatique présentent de nombreux avantages, non seulement économiques, mais aussi du point de vue des possibilités d’amélioration de la sécurité. Toutefois, pour tirer parti de ce potentiel, il est nécessaire de porter une bien plus grande attention aux détails que lorsqu’il s’agit de composants classiques. Le présent article a exposé les principales exigences techniques que les concepteurs devraient prendre en compte pour exploiter avec succès cette technologie.

Figure 58.98 Modèles courants de structures ROPS pour tracteurs

Les projets de réglementation imposant l’installation de structures ROPS sur les tracteurs se sont heurtés dans plusieurs pays à la résistance des milieux agricoles. Les tentatives visant à imposer aux employeurs l’installation de ROPS sur les tracteurs en service ont rencontré une vive opposition, qui s’est même étendue à la proposition que seuls les nouveaux engins soient équipés par les constructeurs. Mais de nombreux pays ont finalement réussi à imposer les ROPS sur les tracteurs neufs et, par la suite, certains sont parvenus également à exiger qu’ils soient montés sur les modèles anciens. Les normes internationales concernant les tracteurs et les engins de terrassement, y compris les normes d’essai des ROPS, ont contribué à améliorer la fiabilité de ces équipements. Par ailleurs, les tracteurs ont été conçus avec des centres de gravité et des crochets d’attelage plus bas. La propulsion à quatre roues motrices a contribué à réduire elle aussi le risque de retournement. La proportion des tracteurs équipés de ROPS reste toutefois assez faible dans les pays où le parc est ancien et où l’équipement a posteriori n’est pas obligatoire.

Les recherches

Les accidents par retournement, en particulier ceux impliquant des tracteurs, ont fait l’objet de recherches dans de nombreux pays. Il n’existe cependant pas de statistiques internationales centralisées sur le nombre d’accidents causés par les types de machines mobiles considérés dans le présent article. Les statistiques dont on dispose au niveau national montrent néanmoins que ce nombre est élevé, surtout dans l’agriculture. Selon un rapport écossais sur les accidents par retournement de tracteurs dans la période allant de 1968 à 1976, 85% des engins impliqués comportaient des équipements auxiliaires, avec une égale proportion d’équipements tractés et montés. Il était précisé dans le rapport écossais que les deux tiers des accidents de retournement s’étaient produits sur des terrains en pente (Springfeldt, 1993). On a pu démontrer par la suite qu’il serait possible de réduire le nombre de ces accidents en dispensant une formation sur la conduite en terrain incliné, ainsi qu’en installant des instruments de mesure de la déclivité, associés à un indicateur des limites de sécurité correspondantes.

Dans d’autres études, des chercheurs néo-zélandais ont observé que la moitié des accidents mortels par retournement étudiés se produisaient sur sol horizontal ou en pente douce, et seulement un dixième sur des pentes raides. Il se peut que, sur sol plat ou peu incliné, les conducteurs soient moins attentifs aux risques de retournement et sous-estiment les risques présentés par les inégalités de terrain. Sur l’ensemble des décès par retournement de tracteurs survenus en Nouvelle-Zélande de 1949 à 1980, 80% concernaient des tracteurs à roues et 20% des engins à chenilles (Springfeldt, 1993). Des études suédoises et néo-zélandaises ont révélé qu’environ 80% des retournements de tracteurs entraînant un décès étaient des renversements latéraux. La moitié des tracteurs impliqués dans les cas mortels en Nouvelle-Zélande s’étaient retournés de 180°.

Figure 58.99 Accidents par retournement pour 100 000 tracteurs en Suède entre
1960 et 1990

La prévention des accidents par retournement

Figure 58.100 Décès par chute et hauteur de chute dans le secteur du bâtiment aux
Etats-Unis, de 1985 à 1993

Dans de nombreux pays, la réglementation impose de prévoir une protection lorsque les travailleurs sont exposés à une chute de plus de 3 m. Une interprétation simpliste de cette règle consisterait à dire que les chutes de moins de 3 m ne sont pas dangereuses. Cette limite de 3 m résulte en fait d’un consensus social, politique et pratique selon lequel il n’est pas obligatoire d’être protégé contre les chutes si l’on travaille à la hauteur d’un seul étage. Même si, sur le plan légal, une protection contre les chutes n’est obligatoire qu’à partir d’une hauteur de 3 m, cette protection devrait toujours être envisagée. La hauteur de la chute n’est pas le seul facteur déterminant pour la gravité de ce type d’accident et le nombre de morts qu’il entraîne. On doit considérer aussi où et comment les chutes surviennent, ce qui conduit à analyser les secteurs d’activité dans lesquels les chutes de hauteur sont les plus fréquentes.

Les lieux des chutes

Tableau 58.10 Chutes de hauteur: Québec 1982-1987

Les causes des chutes

Jusqu’à maintenant, il a été montré que les chutes surviennent dans tous les secteurs économiques et qu’elles peuvent être mortelles même si la hauteur est inférieure à 3 m. Pour quelles raisons une personne tombe-t-elle? De nombreux facteurs humains peuvent être à l’origine d’une chute. Par souci de simplicité et de commodité, nous regrouperons ces facteurs dans les grandes catégories ci-après:

Les occasions de chute sont déterminées par des facteurs liés à l’environnement et sont à l’origine du type de chute le plus fréquent, à savoir le fait de trébucher ou de glisser, et de tomber au même niveau. D’autres occasions de chute sont associées à des activités se déroulant au-dessus du niveau du sol.

Une propension à tomber peut être provoquée par une ou plusieurs maladies aiguës et chroniques. Les maladies spécifiquement liées aux chutes sont généralement celles qui affectent le système nerveux, le système circulatoire, le système musculo-squelettique ou une combinaison de ces systèmes.

Une tendance à tomber résulte des détériorations intrinsèques universelles qui caractérisent le processus normal de vieillissement. Lors d’une chute, l’aptitude à maintenir une position verticale, ou stabilité posturale, est perdue du fait d’une combinaison de tendances, de propensions et d’occasions.

La stabilité posturale

Les chutes sont provoquées par une défaillance momentanée de la stabilité posturale qui maintient normalement une personne en position debout. Elle est le fait d’un système constitué d’un grand nombre d’adaptations rapides à des perturbations extérieures, en particulier la pesanteur. Ces adaptations sont en majeure partie des actions réflexes, favorisées par de nombreux arcs réflexes possédant chacun une entrée sensorielle, des liaisons intégratives internes et une sortie motrice. Les entrées sensorielles sont la vision, les mécanismes de l’oreille interne qui détectent la position dans l’espace, l’appareil somato-sensoriel qui détecte les stimuli de pression sur la peau, et la position des articulations portantes. Il apparaît que la perception visuelle joue un rôle particulièrement important. On sait très peu de choses des structures intégratives normales et des fonctions de la moelle épinière ou du cerveau. La sortie motrice de l’arc réflexe est la réaction musculaire.

La vision

La principale entrée sensorielle est la vision. Deux fonctions visuelles sont liées à la stabilité posturale et au contrôle de la démarche:

• la perception de ce qui est vertical et de ce qui est horizontal, qui est à la base de l’orientation spatiale;
• la capacité de détecter et de distinguer des objets dans des espaces encombrés.

Deux autres fonctions visuelles sont importantes:

• la capacité de stabiliser la direction du regard afin d’immobiliser l’environnement et un point de référence visuelle pendant qu’on se déplace;
• la capacité de fixer et de suivre du regard des objets bien définis au sein d’un large champ de vision. Cette fonction exige une attention considérable et entraîne une détérioration des performances dans les autres tâches demandant simultanément de l’attention.

Les causes de l’instabilité posturale

Les trois entrées sensorielles sont interactives et liées entre elles. L’absence de l’une d’elles, ou la présence d’entrées faussées, conduisent à une instabilité posturale, voire à la chute. Quelles sont les causes de cette instabilité?

La vision

• l’absence de références verticales et horizontales, comme dans le cas d’un monteur de charpentes métalliques travaillant sur le toit d’un bâtiment;
• l’absence de références visuelles stables; ainsi, l’eau qui coule sous un pont ou des nuages en mouvement ne sont pas des références stables;
• le fait de fixer un objet précis dans le cadre du travail, ce qui diminue d’autres fonctions visuelles comme la capacité de détecter et de distinguer des objets qui pourraient faire trébucher dans un espace encombré;
• un objet en mouvement sur un arrière-plan ou une référence mobile, par exemple un élément de structure métallique déplacé par une grue, avec des nuages en mouvement comme arrière-plan et référence visuelle.

L’oreille interne

• avoir la tête en bas, alors que le système d’équilibration a des performances optimales à l’horizontale;
• voyager dans un avion pressurisé;
• un mouvement très rapide, par exemple sur des montagnes russes;
• les maladies.

L’appareil somato-sensoriel (stimuli de pression sur la peau et position des articulations portantes)

• se tenir sur une seule jambe;
• engourdissement des membres en raison d’un maintien prolongé dans une position immobile, par exemple à genoux;
• port de bottes rigides;
• membres très froids.

La sortie motrice

• membres engourdis;
• fatigue musculaire;
• maladies, lésions;
• vieillissement, incapacité permanente ou temporaire;
• vêtements volumineux ou pesants.

La stabilité posturale et le contrôle de la démarche sont des réflexes très complexes chez l’être humain. Toute perturbation des entrées sensorielles peut provoquer une chute. Les perturbations décrites dans cette section sont fréquentes sur les lieux de travail où les chutes sont considérées comme une sorte de phénomène naturel qu’il convient de prévenir.

La stratégie de protection contre les chutes

Figure 58.101 Installations pour la lecture d'une jauge

Dans la quatrième illustration, il existe un moyen d’accès amélioré, constitué d’un escalier, d’une plate-forme et d’un garde-corps. Les avantages sont une réduction des risques de chute et une plus grande facilité de lecture (confort) qui réduit la durée de chaque mesurage et assure une posture de travail stable qui améliore la précision de la mesure.

La solution correcte est celle de la cinquième illustration. Au stade de la conception de l’installation, les activités de maintenance et d’exploitation ont été prises en compte. Le manomètre a été installé de manière à pouvoir être lu au niveau du sol. Aucune chute de hauteur n’est possible et tout danger est donc écarté.

Figure 58.102 Stratégie de prévention des chutes

Tableau 58.11 Dispositifis types de prévention et d'arrêt des chutes

Tableau 58.12 Différences entre prévention et arrêt des chutes

Il faut privilégier les mesures de prévention, qui sont caractérisées par des sollicitations mécaniques dix à vingt fois inférieures à celles des dispositifs d’arrêt des chutes. Ainsi, la lisse d’un garde-corps doit pouvoir accepter une charge de service de l’ordre de 1 kN — le poids d’un homme corpulent — alors que la longe accrochée à un point d’ancrage doit pouvoir résister à une force de l’ordre de 20 kN, soit le poids de deux petites voitures ou d’un bloc de béton de 1 m³. Avec un dispositif de prévention, la chute est évitée et le risque de lésion est inexistant; avec un dispositif d’arrêt de chute, elle se produit et, même si elle est arrêtée, il peut y avoir un risque de lésions, selon les circonstances.

Tableau 58.13 Formulaire type d'évaluation de conditions dangereuses

Certains termes comme substance toxique, manque d’oxygène, excès d’oxygène, risques mécaniques , etc., appellent une définition plus précise en fonction des normes existantes.

Tableau 58.14 Exemple de permis d'entrée

* LIE: limite inférieure d’explosibilité.

Le système du permis fonctionne de façon optimale lorsque les conditions dangereuses sont connues et que des essais ont démontré l’efficacité des mesures de sécurité correspondantes. Il permet une répartition efficace des compétences. Le permis trouve ses limites en présence de risques inconnus jusque-là. Si la personne qualifiée n’est pas disponible, on risque de ne pas pouvoir parer à ces dangers.

Le certificat d’entrée est un autre mécanisme de contrôle des entrées. Il nécessite la présence d’une personne qualifiée qui apportera son savoir-faire pour l’identification, l’évaluation et la maîtrise des risques. La possibilité de réagir rapidement aux cas préoccupants et de traiter les risques imprévus est un avantage supplémentaire. Certaines réglementations imposent que la personne qualifiée procède à une inspection visuelle de l’espace avant le début des travaux. A la suite de l’évaluation des conditions régnant dans l’espace et de la mise en place des mesures de prévention, la personne qualifiée délivrera un certificat décrivant l’état de l’espace et les conditions dans lesquelles les travaux peuvent être entrepris (NFPA, 1993). Cette manière de procéder convient parfaitement aux opérations portant sur un grand nombre d’espaces confinés ou sur des espaces dont les conditions ou la configuration sont susceptibles de changer rapidement.

Figure 58.103 Système de manutention de matériaux

Les accidents de manutention de matériaux et de circulation interne les plus fréquents sont associés à la manutention manuelle, aux transports et aux déplacements faisant intervenir l’énergie humaine (chariots, bicyclettes, etc.) ou effectués au moyen de camions, de chariots élévateurs, de grues, de palans, de convoyeurs ou de véhicules sur rails.

Plusieurs types d’accidents se produisent couramment dans le transport et la manutention de charges sur les lieux de travail. Voici les plus fréquents:

• foulures à l’occasion de manutentions manuelles;
• chutes de charges sur des personnes;
• personnes prises entre des objets;
• collisions entre des équipements;
• chutes de personnes;
• blessures par coups, chocs et coupures causés par les équipements ou les charges;
• efforts excessifs lors du soulèvement de charges pesantes.

Les éléments des systèmes de manutention

Chacun des éléments d’un système de manutention de matériaux peut être conçu de différentes manières; chacune d’elles entraîne des risques différents. Plusieurs critères de sécurité sont à prendre en compte pour chaque élément. Il est important d’adopter une approche orientée vers le système dans son ensemble pendant toute la durée de vie utile de celui-ci, c’est-à-dire lors de sa conception, de son utilisation normale et du suivi des accidents et perturbations antérieurs, si l’on veut pouvoir y apporter des améliorations.

Les principes généraux de prévention

Certains principes généraux de prévention sont considérés comme applicables à la sécurité dans la manutention de matériaux. Ils s’appliquent à la fois aux systèmes manuels et mécaniques de manutention, aussi bien dans le cadre d’une usine que dans celui d’un entrepôt ou d’un chantier. De nombreux principes doivent être mis en œuvre au sein d’un même projet pour obtenir une sécurité optimale, une seule mesure ne suffisant en principe pas à prévenir entièrement les accidents. A l’inverse, ces principes généraux ne sont pas tous nécessaires, et certains peuvent ne pas convenir à une situation spécifique. Les professionnels de la sécurité et les spécialistes de la manutention des matériaux devraient considérer les éléments les plus pertinents dans chaque cas particulier pour orienter leurs études. Le plus important est d’exploiter au mieux ces principes afin de créer des systèmes de manutention des matériaux sûrs et commodes, plutôt que de se décider pour une seule technique à l’exclusion de toute autre.

Les 22 principes mentionnés ci-après peuvent être appliqués à la mise au point et à l’évaluation des systèmes de manutention des matériaux à des fins de sécurité au stade de la planification ou dans leur état présent ou passé. Tous sont applicables aux actions de sécurité décidées a priori ou a posteriori. La liste qui suit ne suppose aucun ordre de priorité rigoureux, mais il est possible de distinguer sommairement les premiers principes — qui concernent davantage la conception initiale des nouvelles installations et des nouveaux procédés de manutention des matériaux — des derniers, qui sont orientés plutôt vers les méthodes existantes de manutention des matériaux.

Vingt-deux principes de prévention des accidents de manutention

1. Eliminer toutes les opérations de transport et de manutention qui ne sont pas indispensables. Etant donné le danger inhérent à de nombreuses opérations de transport et de manutention, il est utile d’examiner si certaines d’entre elles ne pourraient pas être supprimées ou modifées. Un grand nombre de procédés de fabrication modernes peuvent être organisés en flux continu, sans séparation entre les phases de manutention et de transport. De nombreuses opérations d’assemblage et de construction peuvent être planifiées et conçues de façon à supprimer des mouvements pénibles et difficiles. On peut également trouver des solutions plus efficaces et plus rationnelles en analysant la logistique et les flux de matières dans les processus de fabrication et de transport.
2. Tenir les personnes à l’écart des zones de transport et de manutention. Lorsque les travailleurs ne se trouvent pas sous les charges à déplacer ou à proximité, les conditions de sécurité sont ipso facto améliorées du fait d’une moindre exposition au danger. Dans les aciéries, il est interdit au personnel de pénétrer dans la zone de manutention de ferraille, parce que les électro-aimants employés pour ce type de transport présentent un risque permanent de chute des charges transportées. Il est souvent possible d’automatiser la manutention de matériaux dans des environnements agressifs grâce à des robots et des chariots automatiques, et de réduire ainsi l’exposition des travailleurs aux risques d’accidents liés aux charges en mouvement. En outre, en interdisant au personnel de traverser sans nécessité les aires de chargement et de déchargement, on supprime pratiquement plusieurs autres risques liés à la manutention des matériaux.
3. Séparer au maximum les opérations de transport pour limiter les collisions. Plus il y a de possibilités de rencontres entre véhicules, ou entre des véhicules et des équipements ou des personnes, plus la probabilité de collision augmente. La séparation des opérations de transport est un élément important des activités de planification en vue d’assurer des transports intérieurs sûrs. De nombreuses séparations peuvent être envisagées — entre piétons et véhicules, véhicules lourds et véhicules légers, circulation interne et circulation en direction ou à partir de l’extérieur, transport entre différents lieux de travail et manutention des matériaux dans un même lieu de travail, transport et stockage, transport et ligne de production, réception et expédition, transport des matières dangereuses et transports courants, etc.
   Lorsqu’une séparation spatiale n’est pas possible, on peut affecter aux engins de transport et aux piétons des horaires d’accès différents à une zone de travail (par exemple, dans un entrepôt ouvert au public). S’il n’est pas possible d’aménager des passages séparés pour les piétons, leurs itinéraires pourront être signalés par des panneaux ou des marquages. A l’entrée des bâtiments d’usine, des portes piétonnes séparées devraient être prévues pour le personnel. Si la circulation des piétons se mélange à celle des chariots élévateurs au droit des portes, elles auront aussi tendance à se mélanger au-delà, ce qui crée un risque. Lors des travaux de transformation, il est souvent nécessaire de limiter les déplacements des engins et des personnes dans les zones intéressées. Dans le cas des transports par ponts roulants, on évitera les collisions en aménageant des cheminements sans chevauchement et en installant des contacteurs de fin de course et des barrières mécaniques.
4. Affecter un espace suffisant à la manutention des matériaux et au transport. L’exiguïté des espaces de manutention des matériaux est souvent une cause d’accidents. Les mains peuvent par exemple se trouver prises entre une charge et un mur dans les opérations de manutention manuelle, ou une personne peut être coincée entre le poinçon d’une grue mobile et une pile de marchandises si la distance de sécurité minimale de 0,5 m n’a pas été respectée. L’espace nécessaire aux opérations de transport et de manutention devrait être soigneusement pris en compte dans la conception des installations et la planification des modifications. Il est recommandé de réserver une certaine marge de sécurité pour pouvoir tenir compte des modifications futures dans les dimensions des charges ou les types de matériels. Il arrive fréquemment que le volume des produits fabriqués ait tendance à augmenter avec le temps, alors que l’espace affecté à leur manutention diminue constamment. Bien que la recherche d’une rentabilisation de l’espace consacré à la production soit l’une des raisons qui incitent à le réduire, il ne faut pas oublier que l’espace nécessaire à certains chariots élévateurs pour tourner et repartir en sens opposé est plus important qu’il n’apparaît au premier abord.
5. Rechercher la continuité des opérations de transport et éviter les solutions de continuité dans la manutention des matériaux. La continuité des flux de matières réduit les risques d’accidents; l’agencement de base d’une installation est déterminant pour l’application de ce principe de sécurité. Les accidents ont tendance à se produire plus volontiers là où la circulation des matières est interrompue en raison d’un changement d’équipement ou pour des raisons propres à la production. L’intervention humaine est souvent nécessaire, notamment pour charger, décharger, attacher, emballer, soulever ou tirer des charges. La nature des matières manutentionnées joue un rôle, mais on peut dire, d’une manière générale, que les convoyeurs assurent des flux plus continus que les ponts roulants ou les chariots élévateurs. Une bonne planification consiste à organiser les opérations de transport de telle sorte que les véhicules motorisés circulent dans les locaux de l’usine selon un itinéraire circulaire à sens unique, sans déplacement en zigzag ou marche arrière. Etant donné que des solutions de continuité tendent à apparaître aux limites séparant deux services ou deux cellules de fabrication, la production et le transport devraient être organisés de manière à éviter ces «no man’s lands».
6. Utiliser des éléments standards dans les systèmes de manutention des matériaux . Il est généralement préférable pour la sécurité d’employer des charges, des équipements et des outils standards dans la manutention des matériaux. La notion d’unité de charge est bien connue des professionnels du transport. Les matériaux regroupés en conteneurs ou sur palettes sont plus faciles à arrimer et à déplacer lorsque les autres éléments de la chaîne de transport (rayons de stockage, chariots élévateurs, véhicules à moteur et dispositifs d’accrochage sur les grues) sont conçus pour ces unités de charge. L’utilisation de chariots élévateurs de modèles standards, avec des commandes semblables, réduit la probabilité d’erreurs des conducteurs; il est arrivé en effet que des accidents se produisent lorsqu’un conducteur passe d’un engin à un autre ayant des commandes différentes.
7. Connaître les matériaux à manutentionner. La connaissance des caractéristiques des matériaux à transporter est une condition préalable à la sécurité des manutentions. Pour choisir des dispositifs de levage ou de préhension appropriés, on doit tenir compte du poids, de la position du centre de gravité et des dimensions des charges à soulever ou transporter. Pour la manutention des matières dangereuses, il est nécessaire de disposer d’informations sur leur réactivité, leur inflammabilité et leur toxicité. Les produits fragiles, tranchants, pulvérulents, visqueux ou mal assujettis présentent des risques particuliers, de même que les substances explosives ou les animaux vivants, par exemple. Les emballages fournissent souvent des indications importantes sur les méthodes de manutention correctes, mais il arrive que des étiquettes disparaissent, ou que des emballages protecteurs masquent des informations essentielles. Il n’est pas non plus toujours possible de voir comment est réparti le contenu d’un emballage et donc de situer correctement l’emplacement de son centre de gravité.
8. Maintenir une marge de sécurité. Les surcharges sont une cause fréquente d’accidents dans les systèmes de manutention des matériaux. Les charges maximales admissibles des élingues et autres dispositifs de levage devraient être clairement marquées et on prendra soin de choisir ceux qui conviennent. Les erreurs d’appréciation (poids, centre de gravité) des charges peuvent conduire à des surcharges et à des arrimages et des manœuvres inappropriés. Dans le cas d’une manutention à l’aide d’élingues, l’opérateur doit avoir conscience que, lorsque l’engin se déplace sur une surface inclinée, les forces qui s’exercent peuvent suffire à libérer la charge ou à déséquilibrer l’engin. La limite de charge devrait être indiquée sur les chariots élévateurs. Elle varie en fonction de la hauteur de levage et des dimensions de la charge. Une rupture par fatigue peut se produire dans le cas d’opérations répétées avec des charges très inférieures à la charge de rupture nominale si le matériel en cause n’est pas conçu pour résister à ce type de défaillance.
9. Fixer des limites de vitesse suffisamment basses pour préserver la sécurité des déplacements. Les limites de vitesse des véhicules se déplaçant sur les lieux de travail varient de 10 à 40 km/h. Ces vitesses devraient être encore réduites dans les couloirs intérieurs, au passage des portes, aux intersections et dans les allées étroites. Un bon conducteur sait adapter la vitesse de son véhicule à chaque situation, mais il est recommandé de prévoir des panneaux de limitation de vitesse aux endroits critiques. La vitesse maximale d’une grue mobile commandée à distance, par exemple, devrait être déterminée en fixant une vitesse comparable à celle d’un homme marchant au pas et en tenant compte également du temps nécessaire à la surveillance simultanée des charges, de manière à ne pas dépasser le temps de réaction de l’opérateur.
10. Eviter les opérations de levage lorsque des personnes risquent de se trouver sous la charge . Le levage de matériaux s’accompagne toujours d’un risque de chute des charges. Il est normalement interdit de travailler sous des charges suspendues, mais il arrive couramment que des charges soient transportées au-dessus du personnel dans les opérations de production, ce qui présente un danger. Le transport par chariots élévateurs jusqu’à des rayonnages élevés et le levage entre étages sont d’autres exemples de levage à grande hauteur. Les convoyeurs aériens transportant des roches, du coke ou des pièces de coulée peuvent également présenter des risques de chutes de charges pour les personnes travaillant au-dessous s’ils ne sont pas équipés de carters de protection. Lorsqu’on envisage l’installation d’un système de transport surélevé, on devrait tenir compte du fait qu’il présente des risques potentiels supérieurs à ceux d’un système au niveau du sol.
11. Eviter les méthodes de manutention des matériaux qui imposent de grimper et de travailler en hauteur . Il existe un risque de chute chaque fois que le personnel doit grimper, par exemple pour détacher des élingues, bâcher un véhicule ou porter des inscriptions sur des charges. Une meilleure organisation, une modification du déroulement des opérations, l’emploi d’accessoires de levage différents et d’outils commandés à distance ou le recours à la mécanisation et à l’automatisation permettent souvent d’éviter ces risques.
12. Fixer des protections aux emplacements dangereux. Des protections devraient être installées aux points dangereux des équipements de manutention, comme les chaînes des chariots élévateurs, les mécanismes d’entraînement des câbles des grues et les angles rentrants des tambours de convoyeurs. Dans de nombreux cas, il ne suffit pas de placer ces points dangereux hors de portée, étant donné qu’il reste possible de les atteindre avec une échelle ou par d’autres moyens. Les protections offrent également une sécurité contre les défaillances techniques pouvant occasionner un accident (par exemple, les retenues de câble sur les poulies des grues, les clavettes de sûreté sur les crochets de levage ou les gaines entourant les élingues en textile pour les protéger contre les parties coupantes). Les garde-corps et les plinthes installés au bord des plates-formes de chargement et des rayons de stockage en hauteur et autour des ouvertures dans les sols empêchent les chutes d’objets ou de personnes. Ce genre de protection est souvent nécessaire dans le cas du levage, par grues ou chariots élévateurs, entre différents étages. Dans les opérations de manutention des matériaux, le personnel peut être protégé contre les chutes d’objets par des filets de sécurité, par des grillages ou par des carters métalliques.
13. N’utiliser pour le levage et le transport des personnes que les équipements prévus à cet effet . Les grues, les chariots élévateurs, les pelles mécaniques et les convoyeurs sont destinés à déplacer des matériaux et non des personnes. Il existe des plates-formes spéciales pour soulever les personnes, par exemple lorsqu’on doit réparer un éclairage au plafond. On peut également se servir, sans risque excessif d’accident grave, d’un engin élévateur équipé d’une cage spéciale répondant aux critères de sécurité requis.
14. Veiller à la stabilité des engins et des charges . Des accidents se produisent lorsque des engins (en particulier des chariots élévateurs ou des grues mobiles), des marchandises ou des rayonnages deviennent instables. Le choix d’équipements à stabilisation active est une première étape dans la réduction des risques. Il est en outre recommandé d’employer des équipements qui émettent un signal sonore avant que la charge utile admissible ne soit dépassée. De bonnes pratiques de travail et des opérateurs qualifiés font également partie de la prévention. Un personnel suffisamment expérimenté et formé est capable d’évaluer la position des centres de gravité, de reconnaître les empilements instables et de prendre les mesures adéquates.
15. Assurer une bonne visibilité . La manutention au moyen de chariots élévateurs a toujours pour effet de limiter la visibilité. Lors de l’achat d’un nouveau véhicule, il importe de vérifier le champ de vision dont dispose l’opérateur à travers les structures du mât (et pour les chariots à grande levée, à travers le cadre supérieur). Quoi qu’il en soit, les matériaux soulevés entraînent une certaine perte de visibilité, et cela doit être pris en compte. On devrait, autant que possible, assurer un champ de vision dégagé, par exemple en ménageant des ouvertures ou des espaces libres à certains endroits critiques des rayonnages et entre les piles de marchandises. Des miroirs peuvent être installés sur les engins ainsi qu’à des emplacements appropriés pour rendre les angles morts moins dangereux. Les miroirs ne sont toutefois qu’un moyen de prévention secondaire par rapport à l’élimination effective des angles morts pour permettre une vision directe. Pour les déplacements par grue, il est souvent nécessaire de charger quelqu’un de s’assurer que personne ne se trouve dans la zone où la charge doit être déposée. Une bonne pratique de sécurité consiste à peindre ou à signaler par d’autres moyens les points dangereux et les obstacles présents dans l’environnement de travail, comme les piliers, les encadrements de portes et les bords des quais de déchargement, les éléments saillants des machines ou les parties mobiles des engins de manutention. Un bon éclairage apporte souvent une amélioration considérable de la visibilité, par exemple dans les escaliers et les couloirs ou aux portes.
16. Remplacer le soulèvement et le transport manuels des charges par des systèmes mécaniques automatisés . Près de 15% de tous les accidents du travail sont associés au soulèvement ou au transport manuels de charges. La plupart sont dus à un effort excessif, le reste étant constitué de glissades et de chutes ou de lésions des mains par des arêtes vives. Les troubles consécutifs aux traumas cumulatifs et les dorsalgies sont des problèmes de santé typiques de la manutention manuelle. Bien que la mécanisation et l’automatisation aient supprimé un grand nombre de tâches de manutention manuelle dans l’industrie, il existe encore des lieux de travail où les personnes doivent effectuer des efforts physiques excessifs en soulevant et en transportant de lourdes charges. On devrait envisager de mettre à disposition des équipements de manutention appropriés tels que palans, plates-formes de levage, monte-charges, chariots élévateurs, ponts roulants, convoyeurs, palettiseurs, robots ou manipulateurs mécaniques.
17. Instaurer et entretenir une communication efficace . Un grand nombre d’accidents graves ont pour origine un manque de communication. Le grutier doit pouvoir communiquer avec l’élingueur qui attache la charge; si leurs signaux sont ambigus ou erronés ou si les liaisons radio sont mauvaises, il peut en résulter des erreurs lourdes de conséquences. Les communications sont un élément important entre le personnel de manutention, le personnel de production, les chargeurs, les dockers, les conducteurs d’équipements et le personnel de maintenance. Ainsi, lors du changement d’équipe, le conducteur d’un chariot élévateur doit informer celui qui le remplace quant aux problèmes qu’il a pu rencontrer, comme les angles morts dus à des empilements de marchandises dans les allées. Les conducteurs de véhicules à moteur ou de grues mobiles qui ne font pas partie du personnel d’entreprise ont souvent une connaissance insuffisante des risques particuliers qu’ils peuvent rencontrer; ils devraient par conséquent recevoir des conseils et une formation spéciale. On pourrait, par exemple, leur remettre à l’entrée un plan des lieux accompagné des principales consignes de sécurité. Les panneaux de signalisation sont moins fréquents sur les lieux de travail que sur les voies publiques, bien qu’une large part des risques rencontrés dans la circulation routière soient également présents dans les installations industrielles. Il est donc important de prévoir des panneaux pour la circulation interne afin de mieux signaler les dangers et d’informer les conducteurs des précautions à prendre.
18. Organiser les interfaces humaines et la manutention manuelle selon les principes de l’ergonomie . Les travaux de manutention de matériaux devraient être adaptés aux capacités et aux qualifications des personnes appelées à les exécuter, afin d’éviter les erreurs et les efforts inutiles. Les commandes et les tableaux de bord des grues et des chariots élévateurs devraient être compatibles avec les attentes normales et les habitudes des utilisateurs. En manutention manuelle, on devrait veiller à ce qu’il existe un espace suffisant pour permettre les mouvements nécessaires à l’exécution des tâches. On devrait éviter les postures de travail excessivement pénibles, par exemple le levage manuel au-dessus du niveau de la tête, et les charges ne devraient pas dépasser le maximum autorisé. Les différences interindividuelles (âge, force, mensurations, état de santé, expérience) peuvent imposer une modification correspondante des espaces de travail et des tâches. La desserte manuelle des installations de magasinage est un exemple de tâche où l’ergonomie revêt une extrême importance pour la sécurité et la productivité.
19. Fournir une formation et des conseils appropriés . Les tâches de manutention sont souvent considérées comme étant d’un niveau trop inférieur pour justifier une formation spéciale du personnel. Les effectifs de grutiers et de caristes spécialisés sont en diminution dans les entreprises et il existe une tendance croissante à considérer la conduite de ces engins comme une tâche pratiquement à la portée de tout le monde. Bien que des mesures techniques et ergonomiques permettent de réduire les dangers, c’est le savoir-faire de l’opérateur qui s’avère en fin de compte décisif pour éviter les situations dangereuses dans un environnement de travail aussi dynamique. Les enquêtes sur les accidents ont révélé qu’un grand nombre des victimes d’accidents de manutention n’étaient pas elles-mêmes impliquées dans ces tâches. Il faudrait donc que les autres personnes présentes dans les zones de manutention bénéficient également d’une certaine formation.
20. Fournir au personnel affecté au transport et à la manutention des équipements individuels appropriés . Plusieurs types de lésions peuvent être prévenus grâce à des équipements de protection individuelle adaptés. Les chaussures de sécurité antidérapantes et à embout d’acier, les gants épais, les lunettes et les casques de protection sont des équipements habituels pour les tâches de manutention. Lorsque des risques particuliers l’exigent, des protections contre les chutes, des appareils de protection respiratoire et des vêtements spéciaux sont également utilisés. Un équipement individuel approprié pour les tâches de manutention devrait assurer une bonne visibilité et ne pas comporter d’éléments qui pourraient facilement s’accrocher au matériel ou se prendre dans les parties mobiles des engins.
21. Assurer une maintenance et des vérifications adéquates . Lorsque des accidents se produisent en raison de défaillances du matériel, on découvre souvent que celles-ci sont dues à des procédures de maintenance et de vérification insuffisantes. Les instructions concernant la maintenance et les inspections figurent dans les normes de sécurité et dans les manuels des constructeurs. Le non-respect des procédures indiquées peut conduire à des situations dangereuses. Les utilisateurs des engins de manutention sont responsables de la maintenance et des vérifications courantes, comme le contrôle des batteries, des entraînements de câbles et de chaînes, des dispositifs de levage, des freins et des commandes, le nettoyage des vitres et les apports d’huile, si nécessaire. Des vérifications plus approfondies et moins fréquentes sont effectuées à des intervalles réguliers d’une semaine, d’un mois, d’un semestre ou d’un an, selon les conditions d’utilisation. L’ordre et la propreté, y compris un nettoyage adéquat des sols et des lieux de travail, sont également importants pour la sécurité de la manutention. Les sols gras ou mouillés provoquent des chutes de personnes et des dérapages d’engins. Les palettes et les rayonnages brisés devraient être immédiatement mis au rebut. Dans les opérations impliquant un transport de matières en vrac sur des convoyeurs, il est important d’éliminer les dépôts de poussières pour éviter les explosions et les feux de poussière.
22. Inclure les changements de conditions ambiantes dans la planification . Les équipements, comme les personnes, n’ont qu’une capacité d’adaptation limitée aux variations de l’environnement. Les caristes ont besoin de plusieurs secondes pour s’adapter lorsqu’ils passent de l’intérieur d’un bâtiment obscur à une cour ensoleillée ou inversement. Pour assurer une meilleure sécurité, il est possible d’installer un éclairage spécial à proximité des portes. En plein air, les grues sont souvent exposées à des vents forts dont il faut tenir compte lors des opérations de levage. Par vent trop violent, le levage par grue devrait être totalement interrompu. La glace et la neige peuvent occasionner un surcroît de travail considérable pour le personnel, qui doit nettoyer la surface des charges. Cela conduit parfois à prendre des risques supplémentaires, par exemple lorsque ce travail est fait en se plaçant sur la charge ou au-dessous d’une charge soulevée. La planification devrait concerner également les méthodes de sécurité relatives à ces tâches. Une charge recouverte de glace peut glisser à l’extérieur de la fourche lors de son transport par chariot élévateur. Enfin, les atmosphères corrosives, la chaleur, le gel et l’eau de mer peuvent détériorer les matériels et occasionner par la suite des pannes si ces matériels n’ont pas été prévus pour résister à ces conditions.