Au cours des dernières années, les microprocesseurs ont joué un rôle de plus en plus important dans le domaine de la technologie de sécurité. Étant donné que des ordinateurs entiers (c'est-à-dire l'unité centrale de traitement, la mémoire et les composants périphériques) sont désormais disponibles dans un seul composant en tant qu '«ordinateurs à puce unique», la technologie des microprocesseurs est utilisée non seulement dans le contrôle de machines complexes, mais également dans des protections de conception relativement simple. (ex. barrières immatérielles, commandes bimanuelles et barres palpeuses). Le logiciel contrôlant ces systèmes comprend entre un millier et plusieurs dizaines de milliers de commandes simples et se compose généralement de plusieurs centaines de branches de programme. Les programmes fonctionnent en temps réel et sont principalement écrits dans le langage d'assemblage des programmeurs.

L'introduction de systèmes commandés par ordinateur dans le domaine de la technologie de sécurité s'est accompagnée dans tous les équipements techniques à grande échelle non seulement de projets de recherche et de développement coûteux, mais également de restrictions importantes destinées à améliorer la sécurité. (La technologie aérospatiale, la technologie militaire et la technologie de l'énergie atomique peuvent être citées ici comme exemples d'applications à grande échelle.) Le domaine collectif de la production industrielle de masse n'a jusqu'à présent été traité que de façon très limitée. Cela s'explique en partie par le fait que les cycles rapides d'innovation caractéristiques de la conception des machines industrielles rendent difficile la transmission, sauf d'une manière très restreinte, des connaissances pouvant découler de projets de recherche portant sur les essais finaux de machines à grande échelle. dispositifs de sécurité. Cela fait du développement de procédures d'évaluation rapides et peu coûteuses un desiderata (Reinert et Reuss 1991).

Cet article examine d'abord les machines et les installations dans lesquelles les systèmes informatiques exécutent actuellement des tâches de sécurité, en utilisant des exemples d'accidents survenus principalement dans le domaine des protections des machines pour décrire le rôle particulier que jouent les ordinateurs dans la technologie de sécurité. Ces accidents donnent des indications sur les précautions à prendre pour que les équipements de sécurité pilotés par ordinateur qui se généralisent actuellement n'entraînent pas une augmentation du nombre d'accidents. La dernière section de l'article esquisse une procédure qui permettra d'amener même de petits systèmes informatiques à un niveau approprié de sécurité technique à des frais justifiables et dans un délai acceptable. Les principes indiqués dans cette dernière partie sont actuellement introduits dans les procédures internationales de normalisation et auront des implications pour tous les domaines de la technologie de la sécurité dans lesquels les ordinateurs trouvent une application.

Exemples d'utilisation de logiciels et d'ordinateurs dans le domaine de la protection des machines

Les quatre exemples suivants montrent clairement que les logiciels et les ordinateurs entrent actuellement de plus en plus dans les applications liées à la sécurité dans le domaine commercial.

Les installations de signalisation d'urgence personnelle se composent, en règle générale, d'une station de réception centrale et d'un certain nombre d'appareils de signalisation d'urgence personnelle. Les appareils sont portés par des personnes travaillant seules sur site. Si l'une de ces personnes travaillant seule se trouve dans une situation d'urgence, elle peut utiliser l'appareil pour déclencher une alarme par signal radio dans la centrale de réception. Un tel déclencheur d'alarme dépendant de la volonté peut également être complété par un mécanisme de déclenchement indépendant de la volonté activé par des capteurs intégrés dans les dispositifs d'urgence personnels. Les appareils individuels et la station de réception centrale sont fréquemment contrôlés par des micro-ordinateurs. Il est concevable que la défaillance de certaines fonctions spécifiques de l'ordinateur intégré puisse conduire, dans une situation d'urgence, à l'échec du déclenchement de l'alarme. Des précautions doivent donc être prises pour percevoir et réparer cette perte de fonction dans le temps.

Les presses à imprimer utilisées aujourd'hui pour imprimer des magazines sont de grosses machines. Les bandes de papier sont normalement préparées par une machine séparée de manière à permettre une transition transparente vers un nouveau rouleau de papier. Les pages imprimées sont pliées par une plieuse et ensuite travaillées à travers une chaîne d'autres machines. Il en résulte des palettes chargées de magazines entièrement cousus. Bien que de telles installations soient automatisées, il y a deux points où des interventions manuelles doivent être faites : (1) dans le filetage des chemins de papier, et (2) dans le dégagement des obstructions causées par les déchirures de papier aux points dangereux sur les rouleaux rotatifs. Pour cette raison, une vitesse de fonctionnement réduite ou un mode pas à pas limité dans la trajectoire ou dans le temps doit être assuré par la technologie de commande pendant le réglage des presses. En raison de la complexité des procédures de pilotage, chaque poste d'impression doit être équipé de son propre automate programmable. Toute défaillance survenant dans la commande d'une imprimerie alors que les grilles de protection sont ouvertes doit être empêchée de conduire soit au démarrage intempestif d'une machine arrêtée, soit à un fonctionnement au-delà des vitesses réduites de manière appropriée.

Dans les grandes usines et les entrepôts, des robots guidés automatisés sans conducteur circulent sur des pistes spécialement balisées. Ces voies peuvent être piétinées à tout moment par des personnes, ou des matériaux et des équipements peuvent être laissés par inadvertance sur les voies, car elles ne sont pas séparées structurellement des autres voies de circulation. Pour cette raison, une sorte d'équipement de prévention des collisions doit être utilisé pour s'assurer que le véhicule sera arrêté avant qu'une collision dangereuse avec une personne ou un objet ne se produise. Dans des applications plus récentes, la prévention des collisions est effectuée au moyen de scanners à ultrasons ou à lumière laser utilisés en combinaison avec un pare-chocs de sécurité. Comme ces systèmes fonctionnent sous contrôle informatique, il est possible de configurer plusieurs zones de détection permanentes afin qu'un véhicule puisse modifier sa réaction en fonction de la zone de détection spécifique dans laquelle se trouve une personne. Les défaillances du dispositif de protection ne doivent pas entraîner de collision dangereuse avec une personne.

Les guillotines des dispositifs de contrôle de la coupe du papier sont utilisées pour presser puis couper des piles de papier épaisses. Ils sont déclenchés par un dispositif de commande à deux mains. L'utilisateur doit atteindre la zone dangereuse de la machine après chaque coupe. Une protection immatérielle, généralement une grille lumineuse, est utilisée en conjonction avec le dispositif de commande bimanuelle et un système de commande de machine sûr pour éviter les blessures lorsque le papier est alimenté pendant l'opération de coupe. Presque toutes les guillotines plus grandes et plus modernes utilisées aujourd'hui sont contrôlées par des systèmes de micro-ordinateurs multicanaux. La commande bimanuelle et la grille immatérielle doivent également être garanties pour fonctionner en toute sécurité.

Accidents avec des systèmes contrôlés par ordinateur

Dans presque tous les domaines d'application industrielle, des accidents avec des logiciels et des ordinateurs sont signalés (Neumann 1994). Dans la plupart des cas, les pannes informatiques n'entraînent pas de blessures aux personnes. De tels manquements ne sont en tout état de cause rendus publics que lorsqu'ils présentent un intérêt public général. Cela signifie que les cas de dysfonctionnement ou d'accident liés aux ordinateurs et aux logiciels entraînant des blessures corporelles représentent une proportion relativement élevée de tous les cas rendus publics. Malheureusement, les accidents qui ne provoquent pas beaucoup de sensations publiques ne font pas l'objet d'enquêtes quant à leurs causes avec la même intensité que les accidents plus importants, généralement dans les usines à grande échelle. Pour cette raison, les exemples qui suivent se réfèrent à quatre descriptions de dysfonctionnements ou d'accidents typiques des systèmes commandés par ordinateur en dehors du domaine de la sécurité des machines, qui sont utilisées pour suggérer ce qu'il faut prendre en compte lors des jugements concernant la technologie de sécurité.

Accidents causés par des pannes aléatoires du matériel

L'accident suivant a été causé par une concentration de pannes aléatoires dans le matériel combinées à un échec de programmation : Un réacteur surchauffé dans une usine chimique, après quoi des soupapes de décharge ont été ouvertes, permettant au contenu du réacteur d'être rejeté dans l'atmosphère. Cet incident s'est produit peu de temps après qu'un avertissement eut été donné indiquant que le niveau d'huile d'une boîte de vitesses était trop bas. Une enquête minutieuse sur l'accident a montré que peu de temps après que le catalyseur ait initié la réaction dans le réacteur - en conséquence de quoi le réacteur aurait nécessité plus de refroidissement - l'ordinateur, sur la base du rapport de faibles niveaux d'huile dans la boîte de vitesses, a gelé tout grandeurs sous son contrôle à une valeur fixe. Cela a maintenu le débit d'eau froide à un niveau trop bas et le réacteur a ainsi surchauffé. Une enquête plus approfondie a montré que l'indication de bas niveaux d'huile avait été signalée par un composant défectueux.

Le logiciel avait répondu conformément à la spécification avec le déclenchement d'une alarme et la fixation de toutes les variables opératoires. C'était une conséquence de l'étude HAZOP (analyse des dangers et de l'opérabilité) (Knowlton 1986) réalisée avant l'événement, qui exigeait que toutes les variables contrôlées ne soient pas modifiées en cas de défaillance. Le programmeur ne connaissant pas la procédure en détail, cette exigence a été interprétée comme signifiant que les actionneurs commandés (vannes de commande dans ce cas) ne devaient pas être modifiés ; aucune attention n'a été accordée à la possibilité d'une élévation de la température. Le programmeur n'a pas pris en considération qu'après avoir reçu un signal erroné le système pouvait se retrouver dans une situation dynamique d'un type nécessitant l'intervention active de l'ordinateur pour éviter un accident. La situation qui a conduit à l'accident était d'ailleurs si improbable qu'elle n'avait pas été analysée en détail dans l'étude HAZOP (Levenson 1986). Cet exemple permet de passer à une deuxième catégorie de causes d'accidents logiciels et informatiques. Ce sont les pannes systématiques qui sont dans le système depuis le début, mais qui ne se manifestent que dans certaines situations bien précises dont le développeur n'a pas tenu compte.

Accidents causés par des pannes de fonctionnement

Lors d'essais sur le terrain lors de l'inspection finale des robots, un technicien a emprunté la cassette d'un robot voisin et l'a remplacée par une autre sans en informer son collègue. De retour sur son lieu de travail, le collègue insère la mauvaise cassette. Comme il se tenait à côté du robot et s'attendait à une séquence particulière de mouvements de sa part - une séquence qui se déroulait différemment en raison du programme échangé - une collision s'est produite entre le robot et l'humain. Cet accident décrit l'exemple classique d'une panne de fonctionnement. Le rôle de ces défaillances dans les dysfonctionnements et les accidents augmente actuellement en raison de la complexité croissante de l'application des mécanismes de sécurité contrôlés par ordinateur.

Accidents causés par des défaillances systématiques du matériel ou des logiciels

Une torpille à ogive devait être tirée à des fins d'entraînement, depuis un navire de guerre en haute mer. En raison d'un défaut de l'appareil d'entraînement, la torpille est restée dans le tube lance-torpilles. Le capitaine a décidé de retourner au port d'attache afin de récupérer la torpille. Peu de temps après que le navire ait commencé à rentrer chez lui, la torpille a explosé. Une analyse de l'accident a révélé que les développeurs de la torpille avaient été obligés d'intégrer à la torpille un mécanisme destiné à empêcher qu'elle ne revienne sur la rampe de lancement après avoir été tirée et détruise ainsi le navire qui l'avait lancée. Le mécanisme choisi pour cela était le suivant : Après le tir de la torpille, on vérifiait, à l'aide de la centrale de navigation inertielle, si sa trajectoire s'était modifiée de 180°. Dès que la torpille a senti qu'elle avait tourné à 180 °, la torpille a explosé immédiatement, soi-disant à une distance de sécurité de la rampe de lancement. Ce mécanisme de détection a été actionné dans le cas de la torpille qui n'avait pas été correctement lancée, de sorte que la torpille a explosé après que le navire eut changé de cap de 180°. Il s'agit d'un exemple typique d'accident survenu en raison d'un défaut de spécification. L'exigence du cahier des charges selon laquelle la torpille ne devait pas détruire son propre navire en cas de changement de cap n'était pas formulée avec suffisamment de précision; la précaution a donc été programmée par erreur. L'erreur n'est apparue que dans une situation particulière, une situation que le programmeur n'avait pas considérée comme une possibilité.

Le 14 septembre 1993, un Airbus A 320 de la Lufthansa s'écrase lors de son atterrissage à Varsovie (figure 1). Une enquête minutieuse sur l'accident a montré que des modifications de la logique d'atterrissage de l'ordinateur de bord effectuées après un accident avec un Boeing 767 de Lauda Air en 1991 étaient en partie responsables de cet atterrissage forcé. Ce qui s'était passé lors de l'accident de 1991, c'est que la déviation de poussée, qui détourne une partie des gaz du moteur afin de freiner l'avion lors de l'atterrissage, s'était engagée alors qu'elle était encore en l'air, forçant ainsi la machine à piquer du nez incontrôlable. Pour cette raison, un verrouillage électronique de la déviation de poussée avait été intégré dans les machines Airbus. Ce mécanisme a permis à la déviation de poussée de n'entrer en vigueur qu'après que les capteurs des deux ensembles de trains d'atterrissage aient signalé la compression des amortisseurs sous la pression des roues touchant le sol. Sur la base d'informations erronées, les pilotes de l'avion à Varsovie ont anticipé un fort vent latéral.

Figure 1. Airbus de Lufthansa après un accident à Varsovie en 1993

Pour cette raison, ils ont amené la machine avec une légère inclinaison et l'Airbus s'est posé avec la roue droite uniquement, laissant la gauche portant moins que le poids total. Du fait du verrouillage électronique du braquage de poussée, l'ordinateur de bord a refusé au pilote pendant neuf secondes les manœuvres qui auraient permis à l'avion d'atterrir en toute sécurité malgré des circonstances défavorables. Cet accident démontre très clairement que des modifications de systèmes informatiques peuvent conduire à des situations nouvelles et dangereuses si l'on ne considère pas à l'avance l'étendue de leurs conséquences possibles.

 

L'exemple de dysfonctionnement suivant montre également les effets désastreux que la modification d'une seule commande peut avoir sur les systèmes informatiques. La teneur en alcool du sang est déterminée, par des tests chimiques, à l'aide de sérum sanguin clair dont les globules sanguins ont été préalablement centrifugés. La teneur en alcool du sérum est donc plus élevée (d'un facteur 1.2) que celle du sang total plus épais. Pour cette raison, les valeurs d'alcool dans le sérum doivent être divisées par un facteur de 1.2 afin d'établir les parties pour mille légalement et médicalement critiques. Lors du test inter-laboratoires organisé en 1984, les taux d'alcoolémie déterminés lors de tests identiques effectués dans différents instituts de recherche utilisant du sérum devaient être comparés les uns aux autres. Comme il ne s'agissait que de comparaison, l'ordre de diviser par 1.2 a d'ailleurs été effacé du programme d'un des établissements pour la durée de l'expérimentation. Après la fin de l'essai interlaboratoires, une commande de multiplication par 1.2 a été introduite par erreur dans le programme à cet endroit. En conséquence, environ 1,500 1984 valeurs incorrectes de parties pour mille ont été calculées entre août 1985 et mars 1.0. Cette erreur était critique pour la carrière professionnelle des camionneurs dont le taux d'alcoolémie se situait entre 1.3 et 1.3 pour mille, puisqu'une sanction légale entraînant la confiscation du permis de conduire pour une période prolongée est la conséquence d'une valeur de XNUMX pour mille.

Accidents causés par des influences de contraintes de fonctionnement ou de contraintes environnementales

Suite à une perturbation causée par la collecte de déchets dans la zone effective d'une poinçonneuse et grignoteuse CNC (commande numérique par ordinateur), l'utilisateur a déclenché "l'arrêt programmé". Alors qu'il tentait d'enlever les déchets avec ses mains, la tige de poussée de la machine s'est mise à bouger malgré l'arrêt programmé et a gravement blessé l'utilisateur. L'analyse de l'accident a révélé qu'il ne s'agissait pas d'une erreur de programme. Le démarrage inattendu n'a pas pu être reproduit. Des irrégularités similaires avaient été observées par le passé sur d'autres machines du même type. Il semble plausible d'en déduire que l'accident doit avoir été causé par des interférences électromagnétiques. Des accidents similaires avec des robots industriels sont signalés au Japon (Neumann 1987).

Un dysfonctionnement de la sonde spatiale Voyager 2 le 18 janvier 1986 rend encore plus claire l'influence des contraintes environnementales sur les systèmes contrôlés par ordinateur. Six jours avant l'approche la plus proche d'Uranus, de grands champs de lignes noires et blanches couvraient les images de Voyager 2. Une analyse précise a montré qu'un seul bit dans un mot de commande du sous-système de données de vol avait causé la panne, observée comme les images ont été compressées dans la sonde. Ce bit avait très probablement été déplacé dans la mémoire du programme par l'impact d'une particule cosmique. La transmission sans erreur des photographies compressées de la sonde n'a été effectuée que deux jours plus tard, en utilisant un programme de remplacement capable de contourner le point mémoire défaillant (Laeser, McLaughlin et Wolff 1987).

Résumé des accidents présentés

Les accidents analysés montrent que certains risques qui pourraient être négligés dans des conditions utilisant une technologie électromécanique simple, gagnent en importance avec l'utilisation d'ordinateurs. Les ordinateurs permettent le traitement de fonctions de sécurité complexes et spécifiques à la situation. Une spécification claire, sans erreur, complète et testable de toutes les fonctions de sécurité devient donc particulièrement importante. Les erreurs dans les spécifications sont difficiles à découvrir et sont souvent la cause d'accidents dans les systèmes complexes. Les commandes librement programmables sont généralement introduites dans le but de pouvoir réagir de manière flexible et rapide à l'évolution du marché. Cependant, les modifications, en particulier dans les systèmes complexes, ont des effets secondaires difficiles à prévoir. Toutes les modifications doivent donc être soumises à une procédure de gestion des modifications strictement formelle dans laquelle une séparation claire des fonctions de sécurité des systèmes partiels sans rapport avec la sécurité aidera à garder les conséquences des modifications pour la technologie de sécurité faciles à étudier.

Les ordinateurs fonctionnent avec de faibles niveaux d'électricité. Ils sont donc sensibles aux interférences provenant de sources de rayonnement externes. La modification d'un seul signal parmi des millions pouvant entraîner un dysfonctionnement, il convient de porter une attention particulière au thème de la compatibilité électromagnétique en lien avec les ordinateurs.

La maintenance des systèmes commandés par ordinateur devient actuellement de plus en plus complexe et donc de plus en plus floue. L'ergonomie logicielle des logiciels d'utilisation et de configuration devient donc plus intéressante du point de vue de la technique de sécurité.

Aucun système informatique n'est testable à 100 %. Un mécanisme de contrôle simple avec 32 ports d'entrée binaires et 1,000 4.3 chemins logiciels différents nécessite 10 × XNUMX¹² tests pour un contrôle complet. A raison de 100 tests par seconde exécutés et évalués, un test complet prendrait 1,362 XNUMX ans.

Procédures et mesures pour l'amélioration des dispositifs de sécurité contrôlés par ordinateur

Des procédures ont été développées au cours des 10 dernières années qui permettent de maîtriser des enjeux spécifiques de sécurité liés à l'informatique. Ces procédures s'adressent aux pannes informatiques décrites dans cette section. Les exemples décrits de logiciels et d'ordinateurs dans la protection des machines et les accidents analysés montrent que l'étendue des dommages et donc aussi le risque encouru dans diverses applications sont extrêmement variables. Il est donc clair que les précautions nécessaires à l'amélioration des ordinateurs et des logiciels utilisés dans les techniques de sécurité doivent être établies en fonction du risque.

La figure 2 montre une procédure qualitative par laquelle la réduction de risque nécessaire pouvant être obtenue à l'aide de systèmes de sécurité peut être déterminée indépendamment de l'ampleur et de la fréquence des dommages (Bell et Reinert 1992). Les types de défaillances des systèmes informatiques analysés dans la section « Accidents avec des systèmes contrôlés par ordinateur » (ci-dessus) peuvent être mis en relation avec ce que l'on appelle les niveaux d'intégrité de sécurité, c'est-à-dire les installations techniques de réduction des risques.

Figure 2. Procédure qualitative de détermination des risques

La figure 3 montre clairement que l'efficacité des mesures prises, dans un cas donné, pour réduire les erreurs dans les logiciels et les ordinateurs doit croître avec l'augmentation du risque (DIN 1994 ; IEC 1993).

Figure 3, Efficacité des précautions prises contre les erreurs indépendamment du risque

L'analyse des accidents esquissée ci-dessus montre que la défaillance des sauvegardes pilotées par ordinateur est causée non seulement par des défauts aléatoires de composants, mais également par des conditions de fonctionnement particulières dont le programmeur n'a pas tenu compte. Les conséquences non immédiatement évidentes des modifications du programme effectuées au cours de la maintenance du système constituent une autre source d'erreur. Il s'ensuit qu'il peut y avoir des défaillances dans les systèmes de sécurité commandés par des microprocesseurs qui, bien que réalisées lors de la mise au point du système, ne peuvent conduire à une situation dangereuse qu'en cours de fonctionnement. Des précautions contre de telles défaillances doivent donc être prises pendant que les systèmes liés à la sécurité sont en phase de développement. Ces mesures dites d'évitement des pannes doivent être prises non seulement pendant la phase de conception, mais également pendant le processus de développement, d'installation et de modification. Certaines défaillances peuvent être évitées si elles sont découvertes et corrigées au cours de ce processus (DIN 1990).

Comme le montre clairement le dernier incident décrit, la panne d'un seul transistor peut entraîner la défaillance technique d'équipements automatisés très complexes. Étant donné que chaque circuit unique est composé de plusieurs milliers de transistors et d'autres composants, de nombreuses mesures d'évitement des pannes doivent être prises pour reconnaître de telles pannes qui se produisent en fonctionnement et pour initier une réaction appropriée dans le système informatique. La figure 4 décrit les types de pannes dans les systèmes électroniques programmables ainsi que des exemples de précautions qui peuvent être prises pour éviter et contrôler les pannes dans les systèmes informatiques (DIN 1990 ; CEI 1992).

Figure 4. Exemples de précautions prises pour contrôler et éviter les erreurs dans les systèmes informatiques

Possibilités et perspectives des systèmes électroniques programmables dans les technologies de sécurité

Les machines et installations modernes deviennent de plus en plus complexes et doivent accomplir des tâches de plus en plus complètes dans des délais de plus en plus courts. Pour cette raison, les systèmes informatiques ont envahi presque tous les domaines de l'industrie depuis le milieu des années 1970. Cette augmentation de la complexité à elle seule a contribué de manière significative à l'augmentation des coûts impliqués dans l'amélioration de la technologie de sécurité dans de tels systèmes. Bien que les logiciels et les ordinateurs représentent un grand défi pour la sécurité sur le lieu de travail, ils permettent également la mise en œuvre de nouveaux systèmes sans erreur dans le domaine de la technologie de sécurité.

Un vers drôle mais instructif d'Ernst Jandl aidera à expliquer ce que l'on entend par le concept erreur facile. "Lichtung: Manche meinen lechts und rinks kann man nicht velwechsern, werch ein Illtum". ("Dilection: Beaucoup croient que la lumière et le repos ne peuvent pas être échangés, quel ellol".) Malgré l'échange des lettres r et l, cette phrase est facilement compréhensible par un humain adulte normal. Même quelqu'un avec une faible maîtrise de la langue anglaise peut le traduire en anglais. La tâche est cependant presque impossible pour un ordinateur de traduction seul.

Cet exemple montre qu'un être humain peut réagir d'une manière beaucoup plus favorable aux erreurs qu'un ordinateur de langage. Cela signifie que les humains, comme toutes les autres créatures vivantes, peuvent tolérer les échecs en les référant à l'expérience. Si l'on regarde les machines en usage aujourd'hui, on constate que la majorité des machines pénalisent les défaillances des utilisateurs non pas par un accident, mais par une baisse de production. Cette propriété conduit à la manipulation ou au contournement des garanties. La technologie informatique moderne met à la disposition de la sécurité au travail des systèmes capables de réagir intelligemment, c'est-à-dire de manière modifiée. De tels systèmes permettent ainsi un mode de comportement sans erreur dans les nouvelles machines. Ils avertissent d'abord les utilisateurs lors d'une mauvaise manipulation et n'arrêtent la machine que lorsque c'est le seul moyen d'éviter un accident. L'analyse des accidents montre qu'il existe dans ce domaine un potentiel considérable de réduction des accidents (Reinert et Reuss 1991).

 

Dos

Un système automatisé hybride (HAS) vise à intégrer les capacités de machines artificiellement intelligentes (basées sur la technologie informatique) avec les capacités des personnes qui interagissent avec ces machines dans le cadre de leurs activités de travail. Les principales préoccupations de l'utilisation du HAS concernent la manière dont les sous-systèmes humains et machines doivent être conçus afin de tirer le meilleur parti des connaissances et des compétences des deux parties du système hybride, et la manière dont les opérateurs humains et les composants de la machine doivent interagir les uns avec les autres. assurer la complémentarité de leurs fonctions. De nombreux systèmes automatisés hybrides ont évolué en tant que produits d'applications de méthodologies modernes basées sur l'information et le contrôle pour automatiser et intégrer différentes fonctions de systèmes technologiques souvent complexes. HAS a été identifié à l'origine avec l'introduction de systèmes informatisés utilisés dans la conception et l'exploitation de systèmes de contrôle en temps réel pour les réacteurs nucléaires, pour les usines de traitement chimique et pour la technologie de fabrication de pièces discrètes. Le HAS se retrouve désormais également dans de nombreuses industries de services, telles que le contrôle du trafic aérien et les procédures de navigation aérienne dans le domaine de l'aviation civile, ainsi que dans la conception et l'utilisation de systèmes intelligents de navigation pour véhicules et autoroutes dans le transport routier.

Avec les progrès continus de l'automatisation assistée par ordinateur, la nature des tâches humaines dans les systèmes technologiques modernes passe de celles qui nécessitent des compétences perceptivo-motrices à celles qui nécessitent des activités cognitives, nécessaires à la résolution de problèmes, à la prise de décision dans la surveillance du système et à la tâches de contrôle de surveillance. Par exemple, les opérateurs humains dans les systèmes de fabrication intégrés par ordinateur agissent principalement en tant que moniteurs de système, résolveurs de problèmes et décideurs. Les activités cognitives du superviseur humain dans tout environnement HAS sont (1) la planification de ce qui doit être fait pour une période de temps donnée, (2) la conception de procédures (ou étapes) pour atteindre l'ensemble d'objectifs planifiés, (3) le suivi des progrès des processus (technologiques), (4) "enseigner" le système via un ordinateur interactif, (5) intervenir si le système se comporte de manière anormale ou si les priorités de contrôle changent et (6) apprendre par le retour d'information du système sur l'impact de actions de supervision (Sheridan 1987).

Conception de système hybride

Les interactions homme-machine dans un HAS impliquent l'utilisation de boucles de communication dynamiques entre les opérateurs humains et les machines intelligentes - un processus qui comprend la détection et le traitement de l'information et l'initiation et l'exécution des tâches de contrôle et la prise de décision - dans une structure donnée d'attribution de fonctions entre humains et machines. Au minimum, les interactions entre les personnes et l'automatisation doivent refléter la grande complexité des systèmes automatisés hybrides, ainsi que les caractéristiques pertinentes des opérateurs humains et les exigences des tâches. Par conséquent, le système automatisé hybride peut être formellement défini comme un quintuple dans la formule suivante :

A = (T, U, C, E, I)

où T = exigences de la tâche (physiques et cognitives) ; U = caractéristiques de l'utilisateur (physiques et cognitives) ; C = les caractéristiques de l'automatisation (matériel et logiciel, y compris les interfaces informatiques) ; E = l'environnement du système ; I = un ensemble d'interactions entre les éléments ci-dessus.

L'ensemble des interactions I incarne toutes les interactions possibles entre T, U et C in E quelle que soit leur nature ou leur force d'association. Par exemple, l'une des interactions possibles pourrait impliquer la relation entre les données stockées dans la mémoire de l'ordinateur et les connaissances correspondantes, le cas échéant, de l'opérateur humain. Les interactions I peut être élémentaire (c'est-à-dire limité à une association biunivoque) ou complexe, comme cela impliquerait des interactions entre l'opérateur humain, le logiciel particulier utilisé pour accomplir la tâche souhaitée et l'interface physique disponible avec l'ordinateur.

Les concepteurs de nombreux systèmes automatisés hybrides se concentrent principalement sur l'intégration assistée par ordinateur de machines sophistiquées et d'autres équipements dans le cadre de la technologie informatique, accordant rarement beaucoup d'attention au besoin primordial d'une intégration humaine efficace au sein de ces systèmes. Par conséquent, à l'heure actuelle, de nombreux systèmes (technologiques) intégrés à l'ordinateur ne sont pas entièrement compatibles avec les capacités inhérentes des opérateurs humains telles qu'exprimées par les compétences et les connaissances nécessaires au contrôle et à la surveillance efficaces de ces systèmes. Une telle incompatibilité survient à tous les niveaux du fonctionnement humain, machine et homme-machine, et peut être définie dans le cadre de l'individu et de l'ensemble de l'organisation ou de l'installation. Par exemple, les problèmes d'intégration des personnes et de la technologie dans les entreprises de fabrication de pointe surviennent tôt dans la phase de conception du HAS. Ces problèmes peuvent être conceptualisés en utilisant le modèle d'intégration de système suivant de la complexité des interactions, I, entre les concepteurs du système, D, opérateurs humains, H, ou les utilisateurs potentiels du système et la technologie, T:

Je (H, T) = F [ je (H, D), je (D, T)]

où I représente les interactions pertinentes ayant lieu dans la structure d'une HAS donnée, tandis que F indique les relations fonctionnelles entre les concepteurs, les opérateurs humains et la technologie.

Le modèle d'intégration de système ci-dessus met en évidence le fait que les interactions entre les utilisateurs et la technologie sont déterminées par le résultat de l'intégration des deux interactions précédentes, à savoir (1) celles entre les concepteurs de HAS et les utilisateurs potentiels et (2) celles entre les concepteurs. et la technologie HAS (au niveau des machines et de leur intégration). Il convient de noter que même si de fortes interactions existent généralement entre les concepteurs et la technologie, seuls très peu d'exemples d'interrelations aussi fortes entre les concepteurs et les opérateurs humains peuvent être trouvés.

On peut affirmer que même dans les systèmes les plus automatisés, le rôle humain reste essentiel à la performance réussie du système au niveau opérationnel. Bainbridge (1983) a identifié un ensemble de problèmes liés au fonctionnement de la HAS qui sont dus à la nature de l'automatisation elle-même, comme suit :

1. Opérateurs « hors de la boucle de régulation ». Les opérateurs humains sont présents dans le système pour exercer un contrôle en cas de besoin, mais en étant "hors de la boucle de contrôle", ils ne parviennent pas à maintenir les compétences manuelles et les connaissances à long terme du système qui sont souvent nécessaires en cas d'urgence.
2. "Image mentale" obsolète. Les opérateurs humains peuvent ne pas être en mesure de réagir rapidement aux changements de comportement du système s'ils n'ont pas suivi de très près les événements de son fonctionnement. De plus, la connaissance ou l'image mentale des opérateurs du fonctionnement du système peut être inadéquate pour initier ou exercer les réponses requises.
3. Disparition des générations de compétences. Les nouveaux opérateurs peuvent ne pas être en mesure d'acquérir des connaissances suffisantes sur le système informatisé acquis par l'expérience et, par conséquent, seront incapables d'exercer un contrôle efficace en cas de besoin.
4. Autorité de l'automatique. Si le système informatisé a été mis en œuvre parce qu'il peut effectuer les tâches requises mieux que l'opérateur humain, la question se pose : « Sur quelle base l'opérateur devrait-il décider que des décisions correctes ou incorrectes sont prises par les systèmes automatisés ? »
5. Apparition de nouveaux types d'"erreurs humaines" dues à l'automatisation. Les systèmes automatisés conduisent à de nouveaux types d'erreurs et, par conséquent, d'accidents qui ne peuvent être analysés dans le cadre des techniques d'analyse traditionnelles.

 

Répartition des tâches

L'une des questions importantes pour la conception du HAS est de déterminer combien et quelles fonctions ou responsabilités doivent être attribuées aux opérateurs humains, et lesquelles et combien aux ordinateurs. En règle générale, il existe trois classes de base de problèmes d'attribution des tâches à prendre en compte : (1) l'attribution des tâches superviseur humain-ordinateur, (2) l'attribution des tâches homme-humain et (3) l'attribution des tâches ordinateur-ordinateur de supervision. Idéalement, les décisions d'allocation devraient être prises par le biais d'une procédure d'allocation structurée avant que la conception de base du système ne soit commencée. Malheureusement, un tel processus systématique est rarement possible, car les fonctions à attribuer peuvent nécessiter un examen plus approfondi ou doivent être effectuées de manière interactive entre les composants du système humain et machine, c'est-à-dire par l'application du paradigme de contrôle de supervision. L'attribution des tâches dans les systèmes automatisés hybrides devrait se concentrer sur l'étendue des responsabilités de supervision humaines et informatiques et devrait tenir compte de la nature des interactions entre l'opérateur humain et les systèmes informatisés d'aide à la décision. Les moyens de transfert d'informations entre les machines et les interfaces humaines d'entrée-sortie et la compatibilité des logiciels avec les capacités cognitives humaines de résolution de problèmes doivent également être pris en compte.

Dans les approches traditionnelles de la conception et de la gestion des systèmes automatisés hybrides, les travailleurs étaient considérés comme des systèmes d'entrée-sortie déterministes, et il y avait une tendance à ignorer la nature téléologique du comportement humain, c'est-à-dire le comportement axé sur les objectifs reposant sur l'acquisition de connaissances. les informations pertinentes et la sélection des objectifs (Goodstein et al. 1988). Pour réussir, la conception et la gestion de systèmes automatisés hybrides avancés doivent être basées sur une description des fonctions mentales humaines nécessaires à une tâche spécifique. L'approche « d'ingénierie cognitive » (décrite plus loin) propose que les systèmes homme-machine (hybrides) doivent être conçus, conçus, analysés et évalués en termes de processus mentaux humains (c'est-à-dire que le modèle mental de l'opérateur des systèmes adaptatifs est pris en Compte). Voici les exigences de l'approche centrée sur l'humain pour la conception et l'exploitation du HAS telles que formulées par Corbett (1988) :

1. Compatibilité. L'exploitation du système ne devrait pas exiger des compétences sans rapport avec les compétences existantes, mais devrait permettre aux compétences existantes d'évoluer. L'opérateur humain doit entrer et recevoir des informations qui sont compatibles avec la pratique conventionnelle afin que l'interface soit conforme aux connaissances et compétences antérieures de l'utilisateur.
2. Transparence. On ne peut pas contrôler un système sans le comprendre. Par conséquent, l'opérateur humain doit être capable de "voir" les processus internes du logiciel de contrôle du système si l'apprentissage doit être facilité. Un système transparent permet aux utilisateurs de construire facilement un modèle interne des fonctions de prise de décision et de contrôle que le système peut exécuter.
3. Choc minimal. Le système ne doit rien faire que les opérateurs trouvent inattendu à la lumière des informations dont ils disposent, détaillant l'état actuel du système.
4. Contrôle des perturbations. Les tâches incertaines (telles que définies par l'analyse de la structure des choix) doivent être sous le contrôle d'un opérateur humain avec une aide informatique à la prise de décision.
5. Faillibilité. Les compétences et connaissances implicites des opérateurs humains ne doivent pas être conçues en dehors du système. Les opérateurs ne doivent jamais être mis dans une position où ils regardent, impuissants, le logiciel diriger une opération incorrecte.
6. Réversibilité des erreurs. Le logiciel doit fournir suffisamment d'informations en amont pour informer l'opérateur humain des conséquences probables d'une opération ou d'une stratégie particulière.
7. Souplesse d'exploitation. Le système doit offrir aux opérateurs humains la liberté de faire des compromis entre les exigences et les limites des ressources en modifiant les stratégies d'exploitation sans perdre le support du logiciel de contrôle.

 

Ingénierie Cognitive des Facteurs Humains

L'ingénierie cognitive des facteurs humains se concentre sur la façon dont les opérateurs humains prennent des décisions sur le lieu de travail, résolvent des problèmes, formulent des plans et acquièrent de nouvelles compétences (Hollnagel et Woods 1983). Les rôles des opérateurs humains fonctionnant dans n'importe quel HAS peuvent être classés à l'aide du schéma de Rasmussen (1983) en trois grandes catégories :

1. Comportement basé sur les compétences est la performance sensori-motrice exécutée lors d'actes ou d'activités qui se déroulent sans contrôle conscient en tant que modèles de comportement fluides, automatisés et hautement intégrés. Les activités humaines qui entrent dans cette catégorie sont considérées comme une séquence d'actes qualifiés composés pour une situation donnée. Le comportement basé sur les compétences est donc l'expression de modèles de comportements plus ou moins stockés ou d'instructions préprogrammées dans un domaine spatio-temporel.
2. Comportement basé sur des règles est une catégorie de performances orientée vers un objectif structurée par un contrôle prédictif via une règle ou une procédure stockée, c'est-à-dire une performance ordonnée permettant de composer une séquence de sous-programmes dans une situation de travail familière. La règle est généralement sélectionnée à partir d'expériences antérieures et reflète les propriétés fonctionnelles qui contraignent le comportement de l'environnement. La performance basée sur des règles repose sur un savoir-faire explicite quant à l'utilisation des règles pertinentes. L'ensemble de données de décision est constitué de références pour la reconnaissance et l'identification d'états, d'événements ou de situations.
3. Comportement basé sur les connaissances est une catégorie de performance contrôlée par un objectif, dans laquelle l'objectif est explicitement formulé sur la base de la connaissance de l'environnement et des objectifs de la personne. La structure interne du système est représentée par un « modèle mental ». Ce type de comportement permet de développer et de tester différents plans dans des conditions de contrôle inconnues et, par conséquent, incertaines, et est nécessaire lorsque les compétences ou les règles sont soit indisponibles, soit inadéquates, de sorte que la résolution de problèmes et la planification doivent être appelées à la place.

 

Dans la conception et la gestion d'un HAS, il convient de considérer les caractéristiques cognitives des travailleurs afin d'assurer la compatibilité du fonctionnement du système avec le modèle interne du travailleur qui décrit ses fonctions. Par conséquent, le niveau de description du système doit être déplacé des aspects du fonctionnement humain basés sur les compétences vers les aspects basés sur les règles et les connaissances, et des méthodes appropriées d'analyse des tâches cognitives doivent être utilisées pour identifier le modèle d'opérateur d'un système. Un problème connexe dans le développement d'un HAS est la conception des moyens de transmission d'informations entre l'opérateur humain et les composants du système automatisé, tant au niveau physique que cognitif. Un tel transfert d'informations doit être compatible avec les modes d'information utilisés à différents niveaux de fonctionnement du système, c'est-à-dire visuels, verbaux, tactiles ou hybrides. Cette compatibilité informationnelle garantit que différentes formes de transfert d'informations nécessiteront une incompatibilité minimale entre le support et la nature de l'information. Par exemple, un affichage visuel est le meilleur pour la transmission d'informations spatiales, tandis que l'entrée auditive peut être utilisée pour transmettre des informations textuelles.

Très souvent, l'opérateur humain développe un modèle interne qui décrit le fonctionnement et la fonction du système en fonction de son expérience, de sa formation et de ses instructions en rapport avec le type d'interface homme-machine donné. À la lumière de cette réalité, les concepteurs d'un HAS devraient tenter d'intégrer aux machines (ou à d'autres systèmes artificiels) un modèle des caractéristiques physiques et cognitives de l'opérateur humain, c'est-à-dire l'image que le système se fait de l'opérateur (Hollnagel et Woods 1983). . Les concepteurs d'un HAS doivent également tenir compte du niveau d'abstraction dans la description du système ainsi que des différentes catégories pertinentes du comportement de l'opérateur humain. Ces niveaux d'abstraction pour modéliser le fonctionnement humain en milieu de travail sont les suivants (Rasmussen 1983) : (1) forme physique (structure anatomique), (2) fonctions physiques (fonctions physiologiques), (3) fonctions généralisées (mécanismes psychologiques et fonctions cognitives). et processus affectifs), (4) fonctions abstraites (traitement de l'information) et (5) but fonctionnel (structures de valeurs, mythes, religions, interactions humaines). Ces cinq niveaux doivent être considérés simultanément par les concepteurs afin d'assurer une performance efficace de la HAS.

Conception de logiciels système

Étant donné que le logiciel informatique est un composant principal de tout environnement HAS, le développement logiciel, y compris la conception, les tests, le fonctionnement et la modification, ainsi que les problèmes de fiabilité du logiciel doivent également être pris en compte dès les premières étapes du développement HAS. Par ce moyen, on devrait être en mesure de réduire le coût de la détection et de l'élimination des erreurs logicielles. Il est cependant difficile d'estimer la fiabilité des composantes humaines d'une HAS, en raison des limites de notre capacité à modéliser la performance des tâches humaines, la charge de travail associée et les erreurs potentielles. Une charge de travail mental excessive ou insuffisante peut conduire à une surcharge d'informations et à l'ennui, respectivement, et peut entraîner une dégradation des performances humaines, entraînant des erreurs et une augmentation de la probabilité d'accidents. Les concepteurs d'un HAS doivent utiliser des interfaces adaptatives, qui utilisent des techniques d'intelligence artificielle, pour résoudre ces problèmes. En plus de la compatibilité homme-machine, la question de l'adaptabilité homme-machine entre eux doit être considérée afin de réduire les niveaux de stress qui surviennent lorsque les capacités humaines peuvent être dépassées.

En raison du haut niveau de complexité de nombreux systèmes automatisés hybrides, l'identification de tout danger potentiel lié au matériel, aux logiciels, aux procédures opérationnelles et aux interactions homme-machine de ces systèmes devient essentielle au succès des efforts visant à réduire les blessures et les dommages matériels. . Les risques pour la sécurité et la santé associés aux systèmes automatisés hybrides complexes, tels que la technologie de fabrication intégrée par ordinateur (CIM), sont clairement l'un des aspects les plus critiques de la conception et du fonctionnement du système.

Problèmes de sécurité du système

Les environnements automatisés hybrides, avec leur potentiel important de comportement erratique du logiciel de contrôle dans des conditions de perturbation du système, créent une nouvelle génération de risques d'accident. À mesure que les systèmes automatisés hybrides deviennent plus polyvalents et complexes, les perturbations du système, y compris les problèmes de démarrage et d'arrêt et les déviations dans le contrôle du système, peuvent augmenter considérablement la possibilité d'un danger grave pour les opérateurs humains. Ironiquement, dans de nombreuses situations anormales, les opérateurs comptent généralement sur le bon fonctionnement des sous-systèmes de sécurité automatisés, une pratique qui peut augmenter le risque de blessures graves. Par exemple, une étude des accidents liés à des dysfonctionnements des systèmes de contrôle technique a montré qu'environ un tiers des séquences accidentelles comportaient une intervention humaine dans la boucle de contrôle du système perturbé.

Les mesures de sécurité traditionnelles ne pouvant être facilement adaptées aux besoins des environnements HAS, les stratégies de contrôle des blessures et de prévention des accidents doivent être reconsidérées au regard des caractéristiques inhérentes à ces systèmes. Par exemple, dans le domaine de la technologie de fabrication avancée, de nombreux processus sont caractérisés par l'existence de quantités substantielles de flux d'énergie qui ne peuvent pas être facilement anticipées par les opérateurs humains. De plus, les problèmes de sécurité apparaissent généralement aux interfaces entre les sous-systèmes ou lorsque les perturbations du système progressent d'un sous-système à l'autre. Selon l'Organisation internationale de normalisation (ISO 1991), les risques associés aux dangers dus à l'automatisation industrielle varient selon les types de machines industrielles incorporées dans le système de fabrication spécifique et selon la manière dont le système est installé, programmé, utilisé, entretenu et réparé. Par exemple, une comparaison des accidents liés aux robots en Suède avec d'autres types d'accidents a montré que les robots peuvent être les machines industrielles les plus dangereuses utilisées dans l'industrie manufacturière de pointe. Le taux d'accident estimé pour les robots industriels était d'un accident grave pour 45 années-robots, un taux supérieur à celui des presses industrielles, qui était d'un accident pour 50 années-machines. Il convient de noter ici que les presses industrielles aux États-Unis représentaient environ 23 % de tous les décès liés aux machines à travailler les métaux pour la période 1980-1985, les presses mécaniques se classant au premier rang en ce qui concerne le produit gravité-fréquence des blessures non mortelles.

Dans le domaine de la technologie de fabrication avancée, de nombreuses pièces mobiles sont dangereuses pour les travailleurs car elles changent de position de manière complexe en dehors du champ visuel des opérateurs humains. Les développements technologiques rapides dans la fabrication intégrée par ordinateur ont créé un besoin critique d'étudier les effets de la technologie de fabrication avancée sur les travailleurs. Afin d'identifier les dangers causés par les différentes composantes d'un tel environnement HAS, les accidents passés doivent être soigneusement analysés. Malheureusement, les accidents impliquant l'utilisation de robots sont difficiles à isoler des rapports d'accidents liés à des machines à commande humaine et, par conséquent, il peut y avoir un pourcentage élevé d'accidents non enregistrés. Les règles de santé et de sécurité au travail du Japon stipulent que "les robots industriels ne disposent pas actuellement de moyens de sécurité fiables et les travailleurs ne peuvent en être protégés que si leur utilisation est réglementée". Par exemple, les résultats de l'enquête menée par le ministère du Travail du Japon (Sugimoto 1987) sur les accidents liés aux robots industriels dans les 190 usines étudiées (avec 4,341 300 robots en activité) ont montré qu'il y avait 37 perturbations liées aux robots, dont 9 cas des actes dangereux ont entraîné des quasi-accidents, 2 étaient des accidents causant des blessures et XNUMX étaient des accidents mortels. Les résultats d'autres études indiquent que l'automatisation informatisée n'augmente pas nécessairement le niveau global de sécurité, car le matériel du système ne peut pas être rendu sûr par les fonctions de sécurité du logiciel informatique seul, et les contrôleurs du système ne sont pas toujours très fiables. De plus, dans un HAS complexe, on ne peut pas dépendre exclusivement des dispositifs de détection de sécurité pour détecter les conditions dangereuses et entreprendre des stratégies appropriées d'évitement des dangers.

Effets de l'automatisation sur la santé humaine

Comme indiqué ci-dessus, les activités des travailleurs dans de nombreux environnements HAS sont essentiellement celles du contrôle de la supervision, de la surveillance, de l'assistance et de la maintenance du système. Ces activités peuvent également être classées en quatre groupes de base comme suit : (1) tâches de programmation, c'est-à-dire codage des informations qui guident et dirigent le fonctionnement des machines, (2) surveillance des composants de production et de contrôle du HAS, (3) maintenance des composants du HAS pour prévenir ou atténuer les dysfonctionnements des machines, et (4) effectuer diverses tâches de soutien, etc. , travailler dans un environnement HAS peut être insatisfaisant et stressant pour les travailleurs. Les sources de stress comprenaient la surveillance constante requise dans de nombreuses applications HAS, la portée limitée des activités attribuées, le faible niveau d'interaction des travailleurs permis par la conception du système et les risques pour la sécurité associés à la nature imprévisible et incontrôlable de l'équipement. Même si certains travailleurs impliqués dans les activités de programmation et d'entretien ressentent des éléments de défi, ce qui peut avoir des effets positifs sur leur bien-être, ces effets sont souvent compensés par la nature complexe et exigeante de ces activités, ainsi que par la pression exercé par la direction pour mener à bien ces activités rapidement.

Bien que dans certains environnements HAS les opérateurs humains soient éloignés des sources d'énergie traditionnelles (flux de travail et mouvement de la machine) dans des conditions normales de fonctionnement, de nombreuses tâches dans les systèmes automatisés doivent encore être effectuées en contact direct avec d'autres sources d'énergie. Le nombre de composants différents du HAS étant en constante augmentation, un accent particulier doit être mis sur le confort et la sécurité des travailleurs et sur le développement de dispositifs efficaces de contrôle des blessures, d'autant plus que les travailleurs ne sont plus en mesure de suivre le la sophistication et la complexité de tels systèmes.

Afin de répondre aux besoins actuels en matière de contrôle des blessures et de sécurité des travailleurs dans les systèmes de fabrication intégrés par ordinateur, le comité ISO sur les systèmes d'automatisation industrielle a proposé une nouvelle norme de sécurité intitulée "Sécurité des systèmes de fabrication intégrés" (1991). Cette nouvelle norme internationale, qui a été développée en reconnaissance des risques particuliers qui existent dans les systèmes de fabrication intégrés incorporant des machines industrielles et des équipements associés, vise à minimiser les risques de blessures pour le personnel travaillant sur ou à proximité d'un système de fabrication intégré. Les principales sources de dangers potentiels pour les opérateurs humains dans le CIM identifiées par cette norme sont présentées dans la figure 1.

Figure 1. Principale source de dangers dans la fabrication intégrée par ordinateur (CIM) (après ISO 1991)

Erreurs humaines et système

En général, les dangers dans un HAS peuvent provenir du système lui-même, de son association avec d'autres équipements présents dans l'environnement physique ou des interactions du personnel humain avec le système. Un accident n'est que l'un des nombreux résultats des interactions homme-machine qui peuvent survenir dans des conditions dangereuses ; les quasi-accidents et les incidents avec dommages sont beaucoup plus fréquents (Zimolong et Duda 1992). L'apparition d'une erreur peut entraîner l'une des conséquences suivantes : (1) l'erreur reste inaperçue, (2) le système peut compenser l'erreur, (3) l'erreur entraîne une panne de la machine et/ou un arrêt du système ou (4 ) l'erreur entraîne un accident.

Étant donné que toutes les erreurs humaines qui entraînent un incident critique ne causeront pas un véritable accident, il convient de distinguer davantage les catégories de résultats comme suit : (1) un incident dangereux (c'est-à-dire tout événement non intentionnel, qu'il entraîne des blessures, des dommages ou perte), (2) un accident (c'est-à-dire un événement dangereux entraînant une blessure, un dommage ou une perte), (3) un incident dommageable (c'est-à-dire un événement dangereux qui n'entraîne qu'un certain type de dommage matériel), (4) un quasi-accident ou « quasi-accident » (c'est-à-dire, un événement dangereux dans lequel une blessure, un dommage ou une perte a été évité fortuitement par une faible marge) et (5) l'existence d'un potentiel d'accident (c'est-à-dire, des événements dangereux qui auraient pu entraîner des blessures, des dommages , ou perte, mais, en raison des circonstances, n'a pas entraîné même un quasi-accident).

On peut distinguer trois types fondamentaux d'erreur humaine dans une HAS :

1. dérapages et manquements basés sur les compétences
2. erreurs basées sur des règles
3. erreurs fondées sur la connaissance.

 

Cette taxonomie, conçue par Reason (1990), est basée sur une modification de la classification compétence-règle-connaissance de la performance humaine de Rasmussen telle que décrite ci-dessus. Au niveau des compétences, la performance humaine est régie par des modèles stockés d'instructions préprogrammées représentées sous forme de structures analogiques dans un domaine spatio-temporel. Le niveau basé sur des règles s'applique à la résolution de problèmes familiers dans lesquels les solutions sont régies par des règles stockées (appelées "productions", car elles sont consultées ou produites au besoin). Ces règles exigent que certains diagnostics (ou jugements) soient posés, ou que certaines actions correctives soient prises, étant donné que certaines conditions sont apparues qui exigent une réponse appropriée. À ce niveau, les erreurs humaines sont généralement associées à une mauvaise classification des situations, conduisant soit à l'application de la mauvaise règle, soit au rappel incorrect des jugements ou des procédures qui en découlent. Les erreurs basées sur les connaissances se produisent dans des situations nouvelles pour lesquelles des actions doivent être planifiées « en ligne » (à un moment donné), en utilisant des processus analytiques conscients et des connaissances stockées. Les erreurs à ce niveau proviennent de ressources limitées et de connaissances incomplètes ou incorrectes.

Les systèmes génériques de modélisation des erreurs (GEMS) proposés par Reason (1990), qui tentent de localiser les origines des types d'erreurs humaines de base, peuvent être utilisés pour dériver la taxonomie globale du comportement humain dans un HAS. GEMS cherche à intégrer deux domaines distincts de recherche sur les erreurs : (1) les dérapages et les défaillances, dans lesquels les actions s'écartent de l'intention actuelle en raison d'échecs d'exécution et/ou de stockage et (2) les erreurs, dans lesquelles les actions peuvent se dérouler conformément au plan, mais le plan est insuffisant pour atteindre le résultat souhaité.

Évaluation et prévention des risques en CIM

Selon l'ISO (1991), l'évaluation des risques dans le CIM doit être effectuée de manière à minimiser tous les risques et à servir de base pour déterminer les objectifs et les mesures de sécurité lors de l'élaboration de programmes ou de plans à la fois pour créer un environnement de travail sûr et pour assurer également la sécurité et la santé du personnel. Par exemple, les risques professionnels dans les environnements HAS basés sur la fabrication peuvent être caractérisés comme suit : (1) l'opérateur humain peut avoir besoin d'entrer dans la zone dangereuse pendant les tâches de récupération après perturbation, d'entretien et de maintenance, (2) la zone dangereuse est difficile à déterminer, à percevoir et à contrôler, (3) le travail peut être monotone et (4) les accidents survenant au sein des systèmes de fabrication intégrés par ordinateur sont souvent graves. Chaque danger identifié doit être évalué pour son risque, et des mesures de sécurité appropriées doivent être déterminées et mises en œuvre pour minimiser ce risque. Les dangers doivent également être déterminés en ce qui concerne tous les aspects suivants d'un processus donné : l'unité elle-même ; l'interaction entre les unités individuelles ; les sections d'exploitation du système ; et le fonctionnement du système complet pour tous les modes et conditions de fonctionnement prévus, y compris les conditions dans lesquelles les moyens de protection normaux sont suspendus pour des opérations telles que la programmation, la vérification, le dépannage, la maintenance ou la réparation.

La phase de conception de la stratégie de sécurité ISO (1991) pour le CIM comprend :

• spécification des limites des paramètres du système
• application d'une stratégie de sécurité
• identification des dangers
• évaluation des risques associés
• la suppression des dangers ou la diminution des risques autant que possible.

 

La spécification de sécurité du système doit inclure :

• une description des fonctions du système
• une configuration et/ou un modèle de système
• les résultats d'une enquête entreprise pour étudier l'interaction de différents processus de travail et activités manuelles
• une analyse des séquences de processus, y compris l'interaction manuelle
• une description des interfaces avec les lignes de convoyage ou de transport
• organigrammes de processus
• plans de fondation
• les plans des dispositifs d'alimentation et d'évacuation
• détermination de l'espace requis pour l'approvisionnement et l'élimination du matériel
• dossiers d'accidents disponibles.

 

Conformément à la norme ISO (1991), toutes les exigences nécessaires pour assurer un fonctionnement sûr du système CIM doivent être prises en compte dans la conception des procédures systématiques de planification de la sécurité. Cela inclut toutes les mesures de protection pour réduire efficacement les dangers et nécessite :

• intégration de l'interface homme-machine
• définition précoce de la position des acteurs du système (dans le temps et dans l'espace)
• réflexion précoce sur les moyens de réduire le travail isolé
• prise en compte des aspects environnementaux.

 

La procédure de planification de la sécurité devrait aborder, entre autres, les problèmes de sécurité suivants du CIM :

• Sélection des modes de fonctionnement du système. L'équipement de contrôle doit prévoir au moins les modes de fonctionnement suivants : (1) mode normal ou mode de production (c'est-à-dire avec toutes les protections normales connectées et en fonctionnement), (2) fonctionnement avec certaines des protections normales suspendues et (3) fonctionnement en quel système ou déclenchement manuel à distance de situations dangereuses est empêché (par exemple, dans le cas d'un fonctionnement local ou d'une isolation de l'alimentation ou d'un blocage mécanique de conditions dangereuses).
• Formation, installation, mise en service et tests fonctionnels. Lorsque du personnel doit se trouver dans la zone dangereuse, les mesures de sécurité suivantes doivent être prévues dans le système de commande : (1) actionnement maintenu, (2) dispositif d'activation, (3) vitesse réduite, (4) puissance réduite et (5 ) arrêt d'urgence mobile.
• Sécurité dans la programmation, la maintenance et la réparation du système. Pendant la programmation, seul le programmeur doit être autorisé dans l'espace protégé. Le système devrait avoir des procédures d'inspection et d'entretien en place pour assurer la poursuite du fonctionnement prévu du système. Le programme d'inspection et d'entretien doit tenir compte des recommandations du fournisseur du système et de celles des fournisseurs des différents éléments des systèmes. Il est à peine besoin de mentionner que le personnel qui effectue la maintenance ou les réparations sur le système doit être formé aux procédures nécessaires pour effectuer les tâches requises.
• Élimination des défauts. Lorsque l'élimination du défaut est nécessaire depuis l'intérieur de l'espace protégé, elle doit être effectuée après la déconnexion de sécurité (ou, si possible, après l'actionnement d'un mécanisme de consignation). Des mesures supplémentaires contre le déclenchement erroné de situations dangereuses doivent être prises. Lorsque des dangers peuvent survenir lors de l'élimination des défauts sur des sections de l'installation ou sur les machines d'installations ou de machines voisines, celles-ci doivent également être mises hors service et protégées contre tout démarrage inattendu. Au moyen d'instructions et de panneaux d'avertissement, il convient d'attirer l'attention sur l'élimination des défauts dans les composants du système qui ne peuvent pas être observés complètement.

 

Contrôle des perturbations du système

Dans de nombreuses installations HAS utilisées dans le domaine de la fabrication intégrée par ordinateur, des opérateurs humains sont généralement nécessaires pour contrôler, programmer, entretenir, prérégler, entretenir ou dépanner les tâches. Les perturbations du système entraînent des situations qui obligent les travailleurs à pénétrer dans les zones dangereuses. À cet égard, on peut supposer que les perturbations restent la principale cause d'interférence humaine dans le CIM, car les systèmes seront le plus souvent programmés depuis l'extérieur des zones réglementées. L'un des problèmes les plus importants pour la sécurité du CIM est de prévenir les perturbations, car la plupart des risques surviennent lors de la phase de dépannage du système. L'évitement des perturbations est l'objectif commun en termes de sécurité et de rentabilité.

Une perturbation dans un système CIM est un état ou une fonction d'un système qui s'écarte de l'état prévu ou souhaité. Outre la productivité, les perturbations pendant le fonctionnement d'un CIM ont un effet direct sur la sécurité des personnes impliquées dans l'exploitation du système. Une étude finlandaise (Kuivanen 1990) a montré qu'environ la moitié des perturbations dans la fabrication automatisée diminuent la sécurité des travailleurs. Les principales causes de perturbations étaient les erreurs de conception du système (34 %), les défaillances des composants du système (31 %), les erreurs humaines (20 %) et les facteurs externes (15 %). La plupart des pannes de machine ont été causées par le système de contrôle et, dans le système de contrôle, la plupart des pannes se sont produites dans les capteurs. Un moyen efficace d'augmenter le niveau de sécurité des installations CIM est de réduire le nombre de perturbations. Si les actions humaines dans les systèmes perturbés préviennent la survenue d'accidents dans l'environnement HAS, elles y contribuent également. Par exemple, une étude des accidents liés à des dysfonctionnements des systèmes de contrôle technique a montré qu'environ un tiers des séquences accidentelles comportaient une intervention humaine dans la boucle de contrôle du système perturbé.

Les principales problématiques de recherche en prévention des perturbations CIM concernent (1) les causes majeures des perturbations, (2) les composants et fonctions non fiables, (3) l'impact des perturbations sur la sûreté, (4) l'impact des perturbations sur le fonctionnement du système, ( 5) dégâts matériels et (6) réparations. La sécurité du HAS doit être planifiée dès le stade de la conception du système, en tenant dûment compte de la technologie, des personnes et de l'organisation, et faire partie intégrante du processus de planification technique global du HAS.

Conception HAS : les enjeux futurs

Pour assurer le meilleur bénéfice des systèmes automatisés hybrides comme discuté ci-dessus, une vision beaucoup plus large du développement du système, basée sur l'intégration des personnes, de l'organisation et de la technologie, est nécessaire. Trois principaux types d'intégration de système doivent être appliqués ici :

1. l'intégration des personnes, en assurant une communication efficace entre eux
2. intégration homme-ordinateur, en concevant des interfaces et des interactions adaptées entre les personnes et les ordinateurs
3. intégration technologique, en assurant un interfaçage et des interactions efficaces entre les machines.

 

Les exigences de conception minimales pour les systèmes automatisés hybrides doivent inclure les éléments suivants : (1) flexibilité, (2) adaptation dynamique, (3) amélioration de la réactivité et (4) nécessité de motiver les personnes et de mieux utiliser leurs compétences, leur jugement et leur expérience. . Ce qui précède nécessite également que les structures organisationnelles, les pratiques de travail et les technologies de la HAS soient développées pour permettre aux personnes à tous les niveaux du système d'adapter leurs stratégies de travail à la variété des situations de contrôle des systèmes. Ainsi, les organisations, les pratiques de travail et les technologies de la HAS devront être conçues et développées comme des systèmes ouverts (Kidd 1994).

Un système automatisé hybride ouvert (OHAS) est un système qui reçoit des entrées et envoie des sorties à son environnement. L'idée d'un système ouvert peut s'appliquer non seulement aux architectures des systèmes et aux structures organisationnelles, mais aussi aux pratiques de travail, aux interfaces homme-machine et à la relation entre les personnes et les technologies : on peut citer, par exemple, les systèmes d'ordonnancement, les systèmes de contrôle et systèmes d'aide à la décision. Un système ouvert est aussi un système adaptatif lorsqu'il laisse aux gens une grande liberté pour définir le mode de fonctionnement du système. Par exemple, dans le domaine de la fabrication de pointe, les exigences d'un système automatisé hybride ouvert peuvent être réalisées grâce au concept de fabrication humaine et intégrée par ordinateur (HCIM). De ce point de vue, la conception de la technologie doit aborder l'architecture globale du système HCIM, y compris les éléments suivants : (1) les considérations du réseau de groupes, (2) la structure de chaque groupe, (3) l'interaction entre les groupes, (4) la nature du logiciel de support et (5) les besoins techniques de communication et d'intégration entre les modules logiciels de support.

Le système automatisé hybride adaptatif, par opposition au système fermé, ne limite pas ce que les opérateurs humains peuvent faire. Le rôle du concepteur d'un HAS est de créer un système qui satisfera les préférences personnelles de l'utilisateur et permettra à ses utilisateurs de travailler de la manière qu'ils jugent la plus appropriée. Une condition préalable à l'autorisation de la contribution des utilisateurs est le développement d'une méthodologie de conception adaptative, c'est-à-dire un OHAS qui permet d'activer une technologie assistée par ordinateur pour sa mise en œuvre dans le processus de conception. La nécessité de développer une méthodologie pour la conception adaptative est l'une des exigences immédiates pour réaliser le concept OHAS dans la pratique. Un nouveau niveau de technologie de contrôle de supervision humaine adaptative doit également être développé. Une telle technologie devrait permettre à l'opérateur humain de "voir à travers" le système de contrôle autrement invisible du fonctionnement du HAS, par exemple, en appliquant un système vidéo interactif à grande vitesse à chaque point de contrôle et d'exploitation du système. Enfin, une méthodologie pour le développement d'un support informatisé intelligent et hautement adaptatif des rôles humains et du fonctionnement humain dans les systèmes automatisés hybrides est également très nécessaire.

 

Dos

Il est généralement admis que les systèmes de contrôle doivent être sûrs pendant leur utilisation. Dans cet esprit, la plupart des systèmes de contrôle modernes sont conçus comme illustré à la figure 1.

Figure 1. Conception générale des systèmes de contrôle

La façon la plus simple de sécuriser un système de contrôle est de construire un mur impénétrable autour de celui-ci afin d'empêcher l'accès ou l'interférence humaine dans la zone dangereuse. Un tel système serait très sûr, bien que peu pratique, car il serait impossible d'y accéder pour effectuer la plupart des travaux de test, de réparation et de réglage. Étant donné que l'accès aux zones dangereuses doit être autorisé sous certaines conditions, des mesures de protection autres que des murs, des clôtures et autres sont nécessaires pour faciliter la production, l'installation, l'entretien et la maintenance.

 

Certaines de ces mesures de protection peuvent être partiellement ou totalement intégrées dans les systèmes de contrôle, comme suit :

• Le mouvement peut être arrêté immédiatement si quelqu'un entre dans la zone dangereuse, au moyen de boutons d'arrêt d'urgence (ES).
• Les commandes à bouton-poussoir permettent le mouvement uniquement lorsque le bouton-poussoir est activé.
• Les commandes bimanuelles (DHC) permettent le mouvement uniquement lorsque les deux mains sont engagées pour appuyer sur les deux éléments de commande (garantissant ainsi que les mains sont tenues à l'écart des zones dangereuses).

 

Ces types de mesures de protection sont activés par les opérateurs. Cependant, comme l'être humain représente souvent un point faible dans les applications, de nombreuses fonctions, telles que les suivantes, sont exécutées automatiquement :

• Les mouvements des bras du robot pendant l'entretien ou le « teach-in » sont très lents. Néanmoins, la vitesse est surveillée en permanence. Si, en raison d'une défaillance du système de contrôle, la vitesse des bras robotiques automatiques devait augmenter de manière inattendue pendant la période d'entretien ou d'apprentissage, le système de surveillance s'activerait et arrêterait immédiatement le mouvement.
• Une barrière lumineuse est prévue pour empêcher l'accès à une zone dangereuse. Si le faisceau lumineux est interrompu, la machine s'arrêtera automatiquement.

 

Le fonctionnement normal des systèmes de contrôle est la condition préalable la plus importante pour la production. Si une fonction de production est interrompue en raison d'une défaillance du contrôle, c'est tout au plus gênant mais pas dangereux. Si une fonction relative à la sécurité n'est pas exécutée, cela peut entraîner une perte de production, des dommages matériels, des blessures ou même la mort. Par conséquent, les fonctions du système de commande relatives à la sécurité doivent être plus fiables et plus sûres que les fonctions normales du système de commande. Conformément à la directive européenne 89/392/CEE (lignes directrices pour les machines), les systèmes de commande doivent être conçus et construits de manière à être sûrs et fiables.

Les commandes sont constituées d'un certain nombre de composants reliés entre eux de manière à exécuter une ou plusieurs fonctions. Les commandes sont subdivisées en canaux. Un canal est la partie d'une commande qui exécute une fonction spécifique (par exemple, démarrage, arrêt, arrêt d'urgence). Physiquement, le canal est créé par une chaîne de composants (transistors, diodes, relais, portes, etc.) à travers laquelle, d'un composant à l'autre, des informations (principalement électriques) représentant cette fonction sont transférées de l'entrée à la sortie.

Lors de la conception des canaux de commande pour les fonctions relatives à la sécurité (fonctions impliquant des humains), les exigences suivantes doivent être remplies :

• Les composants utilisés dans les canaux de commande avec des fonctions relatives à la sécurité doivent pouvoir résister aux rigueurs d'une utilisation normale. Généralement, ils doivent être suffisamment fiables.
• Les erreurs de logique ne doivent pas provoquer de situations dangereuses. Généralement, le canal pertinent pour la sécurité doit être suffisamment résistant aux pannes.
• Les influences externes (facteurs) ne doivent pas conduire à des défaillances temporaires ou permanentes dans les canaux importants pour la sécurité.

 

Fiabilité

Fiabilité est la capacité d'un canal ou d'un composant de commande à exécuter une fonction requise dans des conditions spécifiées pendant une période de temps donnée sans faillir. (La probabilité pour des composants ou des canaux de contrôle spécifiques peut être calculée à l'aide de méthodes appropriées.) La fiabilité doit toujours être spécifiée pour une valeur de temps spécifique. Généralement, la fiabilité peut être exprimée par la formule de la figure 2.

Figure 2. Formule de fiabilité

Fiabilité des systèmes complexes

Les systèmes sont construits à partir de composants. Si les fiabilités des composants sont connues, la fiabilité du système dans son ensemble peut être calculée. Dans de tels cas, les dispositions suivantes s'appliquent :

Systèmes série

La fiabilité totale R_tot d'un système série composé de N composants de même fiabilité R_C est calculé comme dans la figure 3.

Figure 3. Graphique de fiabilité des composants connectés en série

La fiabilité totale est inférieure à la fiabilité du composant le moins fiable. À mesure que le nombre de composants connectés en série augmente, la fiabilité totale de la chaîne diminue considérablement.

Systèmes parallèles

La fiabilité totale R_tot d'un système parallèle composé de N composants de même fiabilité R_C est calculé comme dans la figure 4.

Figure 4. Graphique de fiabilité des composants connectés en parallèle

La fiabilité totale peut être améliorée de manière significative grâce à la connexion en parallèle de deux composants ou plus.

La figure 5 illustre un exemple pratique. Notez que le circuit éteindra le moteur de manière plus fiable. Même si le relais A ou B n'ouvre pas son contact, le moteur sera toujours éteint.

Figure 5. Exemple pratique de la figure 4

Calculer la fiabilité totale d'un canal est simple si toutes les fiabilités nécessaires des composants sont connues et disponibles. Dans le cas de composants complexes (circuits intégrés, microprocesseurs, etc.) le calcul de la fiabilité totale est difficile voire impossible si les informations nécessaires ne sont pas publiées par le fabricant.

Sécurité

Lorsque les professionnels parlent de sécurité et demandent des machines sûres, ils parlent de la sécurité de l'ensemble de la machine ou de l'installation. Cette sécurité est cependant trop générale, et pas assez précisément définie pour le concepteur de commandes. La définition suivante de sécurité peut être pratique et utilisable par les concepteurs de circuits de commande : la sécurité est la capacité d'un système de commande à exécuter la fonction requise dans les limites prescrites, pendant une durée donnée, même lorsque des défauts anticipés se produisent. Par conséquent, il doit être clarifié lors de la conception à quel point le canal relatif à la sécurité doit être « sûr ». (Le concepteur peut développer un canal qui est sûr contre la première panne, contre une panne quelconque, contre deux pannes, etc.) De plus, un canal qui remplit une fonction qui est utilisée pour prévenir les accidents peut être essentiellement fiable, mais il n'a pas être inévitablement à l'abri des pannes. Ceci peut être mieux expliqué par les exemples suivants :

Exemple 1

L'exemple illustré à la figure 6 est un canal de commande relatif à la sécurité exécutant la fonction de sécurité requise. Le premier composant peut être un interrupteur qui surveille, par exemple, la position d'une porte d'accès à une zone dangereuse. Le dernier composant est un moteur qui entraîne les pièces mécaniques en mouvement dans la zone dangereuse.

Figure 6. Un canal de commande relatif à la sécurité exécutant la fonction de sécurité requise

La fonction de sécurité requise dans ce cas est double : Si la porte est fermée, le moteur peut fonctionner. Si la porte est ouverte, le moteur doit être arrêté. Connaître les fiabilités R₁ à R₆, il est possible de calculer la fiabilité R_total Les concepteurs doivent utiliser des composants fiables afin de maintenir une fiabilité suffisamment élevée de l'ensemble du système de contrôle (c'est-à-dire que la probabilité que cette fonction puisse encore être exécutée dans, disons, même 20 ans doit être prise en compte dans la conception). En conséquence, les concepteurs doivent remplir deux tâches : (1) le circuit doit remplir la fonction requise et (2) la fiabilité des composants et de l'ensemble du canal de commande doit être adéquate.

La question suivante doit maintenant être posée : Le canal susmentionné assurera-t-il les fonctions de sécurité requises même en cas de défaillance du système (par exemple, si un contact de relais est collé ou si un composant fonctionne mal) ? La réponse est non". La raison en est qu'un seul canal de commande constitué uniquement de composants connectés en série et fonctionnant avec des signaux statiques n'est pas à l'abri d'une défaillance. Le canal ne peut avoir qu'une certaine fiabilité, ce qui garantit la probabilité que la fonction soit réalisée. Dans de telles situations, la sécurité s'entend toujours comme lié à une panne.

Exemple 2

Si un canal de commande doit être à la fois fiable et sûr, la conception doit être modifiée comme dans la figure 7. L'exemple illustré est un canal de commande relatif à la sécurité composé de deux sous-canaux entièrement séparés.

Figure 7. Un canal de commande relatif à la sécurité avec deux sous-canaux entièrement séparés

Cette conception est sûre contre la première panne (et d'éventuelles autres pannes dans le même sous-canal), mais n'est pas sûre contre deux pannes qui peuvent se produire dans deux sous-canaux différents (simultanément ou à des moments différents) car il n'y a pas de circuit de détection de panne. Par conséquent, au départ, les deux sous-canaux fonctionnent avec une grande fiabilité (voir système parallèle), mais après la première panne, un seul sous-canal fonctionnera et la fiabilité diminue. Si une deuxième panne survient dans le sous-canal encore en fonctionnement, les deux seront alors défaillants et la fonction de sécurité ne sera plus assurée.

Exemple 3

L'exemple illustré sur la figure 8 est un canal de commande relatif à la sécurité composé de deux sous-canaux entièrement séparés qui se surveillent mutuellement.

Figure 8. Un canal de commande relatif à la sécurité avec deux sous-canaux entièrement séparés qui se surveillent mutuellement

Une telle conception est à l'abri des pannes car après toute panne, un seul sous-canal sera non fonctionnel, tandis que l'autre sous-canal restera disponible et assurera la fonction de sécurité. De plus, la conception a un circuit de détection de panne. Si, en raison d'une panne, les deux sous-canaux ne fonctionnent pas de la même manière, cette condition sera détectée par un circuit "ou exclusif", avec pour résultat que la machine sera automatiquement éteinte. C'est l'un des meilleurs moyens de concevoir des commandes de machine : concevoir des sous-canaux pertinents pour la sécurité. Ils sont sûrs contre une panne et offrent en même temps une fiabilité suffisante pour que les chances que deux pannes se produisent simultanément sont infimes.

Redondance

Il est évident qu'il existe diverses méthodes par lesquelles un concepteur peut améliorer la fiabilité et/ou la sécurité (contre les pannes). Les exemples précédents illustrent comment une fonction (par exemple, porte fermée, le moteur peut fonctionner ; porte ouverte, le moteur doit être arrêté) peut être réalisée par diverses solutions. Certaines méthodes sont très simples (un sous-canal) et d'autres plus compliquées (deux sous-canaux avec supervision mutuelle). (Voir figure 9.)

Figure 9. Fiabilité des systèmes redondants avec ou sans détection de panne

Il existe une certaine redondance dans les circuits et/ou composants complexes par rapport aux composants simples. Redondance peut être définie comme suit : (1) La redondance est la présence de plus de moyens (composants, voies, facteurs de sécurité plus élevés, tests supplémentaires, etc.) qu'il n'en faut réellement pour la simple réalisation de la fonction recherchée ; (2) la redondance n'« améliore » évidemment pas la fonction, qui est quand même réalisée. La redondance ne fait qu'améliorer la fiabilité et/ou la sécurité.

Certains professionnels de la sécurité pensent que la redondance n'est que le doublement ou le triplement, etc., du système. Il s'agit d'une interprétation très limitée, car la redondance peut être interprétée de manière beaucoup plus large et flexible. La redondance peut être non seulement incluse dans le matériel ; il peut également être inclus dans le logiciel. L'amélioration du facteur de sécurité (par exemple, une corde plus solide au lieu d'une corde plus faible) peut également être considérée comme une forme de redondance.

Entropie

Entropie, un terme que l'on trouve principalement en thermodynamique et en astronomie, peut être défini comme suit : Tout tend vers la décomposition. Par conséquent, il est absolument certain que tous les composants, sous-systèmes ou systèmes, indépendamment de la technologie utilisée, tomberont en panne à un moment donné. Cela signifie qu'il n'existe pas de systèmes, sous-systèmes ou composants fiables et/ou sûrs à 100 %. Tous sont simplement plus ou moins fiables et sûrs, selon la complexité de la structure. Les défaillances qui surviennent inévitablement plus tôt ou plus tard démontrent l'action de l'entropie.

Le seul moyen dont disposent les concepteurs pour contrer l'entropie est la redondance, qui est obtenue en (a) introduisant plus de fiabilité dans les composants et (b) en fournissant plus de sécurité dans toute l'architecture du circuit. Ce n'est qu'en augmentant suffisamment la probabilité que la fonction requise soit exécutée pendant la période de temps requise que les concepteurs peuvent, dans une certaine mesure, se défendre contre l'entropie.

Évaluation des risques

Plus le risque potentiel est grand, plus la fiabilité et/ou la sécurité (contre les pannes) requises sont élevées (et vice versa). Ceci est illustré par les deux cas suivants :

Cas 1

L'accès à l'outil de moulage fixé dans une presse à injecter est protégé par une porte. Si la porte est fermée, la machine peut fonctionner, et si la porte est ouverte, tous les mouvements dangereux doivent être arrêtés. En aucun cas (même en cas de défaillance du canal relatif à la sécurité) des mouvements, en particulier ceux qui actionnent l'outil, ne doivent se produire.

Cas 2

L'accès à une chaîne de montage contrôlée automatiquement qui assemble de petits composants en plastique sous pression pneumatique est gardé par une porte. Si cette porte est ouverte, la ligne devra être arrêtée.

Dans le cas 1, si le système de commande de surveillance de porte tombe en panne, une blessure grave peut survenir si l'outil est fermé de manière inattendue. Dans le cas 2, seules des blessures légères ou des dommages insignifiants peuvent survenir si le système de contrôle de surveillance de porte tombe en panne.

Il est évident que dans le premier cas, il faut introduire beaucoup plus de redondance pour atteindre la fiabilité et/ou la sécurité (contre les pannes) requises pour se protéger contre les risques extrêmement élevés. En fait, selon la norme européenne EN 201, le système de contrôle de surveillance de la porte de la machine de moulage par injection doit avoir trois canaux ; dont deux sont électriques et supervisés mutuellement et dont l'un est majoritairement équipé de circuits hydrauliques et d'essais. Ces trois fonctions de surveillance concernent la même porte.

A l'inverse, dans des applications comme celle décrite dans le cas 2, une seule voie activée par un interrupteur à action positive est adaptée au risque.

Catégories de contrôle

Étant donné que toutes les considérations ci-dessus sont généralement basées sur la théorie de l'information et sont par conséquent valables pour toutes les technologies, peu importe que le système de contrôle soit basé sur des composants électroniques, électromécaniques, mécaniques, hydrauliques ou pneumatiques (ou un mélange de ceux-ci) , ou sur une autre technologie. L'inventivité du concepteur d'une part et les questions économiques d'autre part sont les principaux facteurs affectant un nombre presque infini de solutions quant à la manière de réaliser des caniveaux importants pour la sécurité.

Pour éviter toute confusion, il est pratique de fixer certains critères de tri. Les structures de canaux les plus typiques utilisées dans les commandes de machines pour exécuter des fonctions liées à la sécurité sont classées selon :

• fiabilité
• comportement en cas de panne
• temps de révélation de panne.

 

Leurs combinaisons (toutes les combinaisons possibles ne sont pas présentées) sont illustrées dans le tableau 1.

Tableau 1. Certaines combinaisons possibles de structures de circuit dans les commandes de machine pour les fonctions liées à la sécurité

 

La catégorie applicable à une machine spécifique et à son système de commande relatif à la sécurité est principalement spécifiée dans les nouvelles normes européennes (EN), à moins que l'autorité nationale, l'utilisateur et le fabricant ne conviennent mutuellement qu'une autre catégorie doit être appliquée. Le concepteur développe ensuite un système de contrôle qui répond aux exigences. Par exemple, les considérations régissant la conception d'un canal de contrôle peuvent inclure les éléments suivants :

• Les composants doivent résister aux influences attendues. (OUI NON)
• Leur construction doit être conforme aux normes les plus récentes. (OUI NON)
• Des composants et des méthodes éprouvés sont utilisés. (OUI NON)
• Échec doit être détecté. (OUI NON)
• La fonction de sécurité sera-t-elle exécutée même en cas de panne ? (OUI NON)
• Quand la panne sera-t-elle détectée ? (JAMAIS, TÔT, IMMÉDIATEMENT)

 

Ce processus est réversible. En utilisant les mêmes questions, on peut décider à quelle catégorie appartient un canal de contrôle existant, précédemment développé.

Exemples de catégories

Catégorie B

Les composants du canal de commande principalement utilisés dans les biens de consommation doivent résister aux influences attendues et être conçus selon l'état de la technique. Un interrupteur bien conçu peut servir d'exemple.

Catégorie 1

L'utilisation de composants et de méthodes éprouvés est typique pour la catégorie 1. Un exemple de catégorie 1 est un interrupteur à action positive (c'est-à-dire qui nécessite l'ouverture forcée des contacts). Cet interrupteur est conçu avec des pièces robustes et est activé par des forces relativement élevées, atteignant ainsi une fiabilité extrêmement élevée uniquement lors de l'ouverture des contacts. Malgré des contacts collés ou même soudés, ces interrupteurs s'ouvrent. (Remarque : les composants tels que les transistors et les diodes ne sont pas considérés comme des composants éprouvés.) La figure 10 servira d'illustration d'une commande de catégorie 1.

Figure 10. Un interrupteur à action positive

Ce canal utilise le commutateur S à action positive. Le contacteur K est surveillé par le voyant L. L'opérateur est averti que les contacts normalement ouverts (NO) sont collés au moyen du voyant lumineux L. Le contacteur K a des contacts à guidage forcé. (Remarque : les relais ou contacteurs à guidage forcé des contacts ont, par rapport aux relais ou contacteurs habituels, une cage spéciale en matériau isolant de sorte que si les contacts normalement fermés (NC) sont fermés, tous les contacts NO doivent être ouverts, et vice-versa. Cela signifie qu'en utilisant des contacts NF, une vérification peut être effectuée pour déterminer que les contacts de travail ne collent pas ou ne sont pas soudés ensemble.)

Catégorie 2

La catégorie 2 prévoit la détection automatique des pannes. Une détection automatique de panne doit être générée avant chaque mouvement dangereux. Ce n'est que si le test est positif que le mouvement peut être effectué ; sinon la machine sera arrêtée. Des systèmes de détection automatique de panne sont utilisés pour les barrières lumineuses afin de prouver qu'elles fonctionnent toujours. Le principe est illustré sur la figure 1.

Figure 11. Circuit comprenant un détecteur de panne

Ce système de contrôle est testé régulièrement (ou occasionnellement) en injectant une impulsion à l'entrée. Dans un système fonctionnant correctement, cette impulsion sera ensuite transférée à la sortie et comparée à une impulsion provenant d'un générateur de test. Lorsque les deux impulsions sont présentes, le système fonctionne évidemment. Sinon, s'il n'y a pas d'impulsion de sortie, le système est en panne.

Catégorie 3

Les circuits ont été décrits précédemment dans l'exemple 3 dans la section Sécurité de cet article, figure 8.

L'exigence - c'est-à-dire la détection automatique des pannes et la capacité d'exécuter la fonction de sécurité même si une panne s'est produite n'importe où - peut être satisfaite par des structures de contrôle à deux canaux et par une supervision mutuelle des deux canaux.

Pour les commandes de la machine uniquement, les défaillances dangereuses doivent être étudiées. A noter qu'il existe deux types de panne :

• Non dangereux les pannes sont celles qui, après leur apparition, provoquent un « état sûr » de la machine en prévoyant l'arrêt du moteur.
• dangereux les pannes sont celles qui, après leur apparition, provoquent un "état dangereux" de la machine, car le moteur ne peut pas être arrêté ou le moteur commence à se déplacer de manière inattendue.

Catégorie 4

La catégorie 4 prévoit généralement l'application d'un signal dynamique changeant en continu sur l'entrée. La présence d'un signal dynamique sur les moyens de sortie Running ("1"), et l'absence de signal dynamique signifie Arrêtez (« 0 »).

Pour de tels circuits, il est typique qu'après la défaillance d'un composant, le signal dynamique ne soit plus disponible sur la sortie. (Remarque : le potentiel statique sur la sortie n'a pas d'importance.) De tels circuits peuvent être appelés « à sécurité intégrée ». Toutes les pannes seront divulguées immédiatement, pas après le premier changement (comme dans les circuits de catégorie 3).

Autres commentaires sur les catégories de contrôle

Le tableau 1 a été développé pour les commandes de machine habituelles et montre uniquement les structures de circuit de base ; selon la directive machine, il doit être calculé en partant du principe qu'une seule panne se produira dans un cycle de machine. C'est pourquoi la fonction de sécurité n'a pas à être réalisée en cas de deux défaillances simultanées. On suppose qu'une panne sera détectée dans un cycle machine. La machine sera arrêtée puis réparée. Le système de contrôle redémarre alors, pleinement opérationnel, sans défaillance.

L'intention première du concepteur devrait être de ne pas autoriser les défaillances "permanentes", qui ne seraient pas détectées au cours d'un cycle car elles pourraient ensuite être combinées avec une ou plusieurs défaillances nouvelles (cumul des défaillances). De telles combinaisons (une panne permanente et une nouvelle panne) peuvent provoquer un dysfonctionnement même des circuits de catégorie 3.

Malgré ces tactiques, il est possible que deux pannes indépendantes se produisent en même temps dans le même cycle machine. Ce n'est que très improbable, surtout si des composants hautement fiables ont été utilisés. Pour les applications à très haut risque, trois sous-canaux ou plus doivent être utilisés. Cette philosophie est basée sur le fait que le temps moyen entre les pannes est beaucoup plus long que le cycle de la machine.

Cela ne signifie pas, cependant, que le tableau ne peut pas être développé davantage. Le Tableau 1 est fondamentalement et structurellement très similaire au Tableau 2 utilisé dans l'EN 954-1. Cependant, il n'essaie pas d'inclure trop de critères de tri. Les exigences sont définies selon les lois rigoureuses de la logique, de sorte que seules des réponses claires (OUI ou NON) peuvent être attendues. Cela permet une évaluation, un tri et une classification plus précis des circuits soumis (canaux liés à la sécurité) et, enfin et surtout, une amélioration significative de la reproductibilité de l'évaluation.

L'idéal serait que les risques puissent être classés en différents niveaux de risque, puis qu'un lien précis soit établi entre les niveaux de risque et les catégories, le tout indépendamment de la technologie utilisée. Cependant, ce n'est pas tout à fait possible. Peu de temps après la création des catégories, il est devenu clair que même avec la même technologie, diverses questions n'avaient pas suffisamment de réponses. Quel est le meilleur : un composant de catégorie 1 très fiable et bien conçu, ou un système répondant aux exigences de la catégorie 3 avec une faible fiabilité ?

Pour expliquer ce dilemme, il faut distinguer deux qualités : la fiabilité et la sécurité (contre les pannes). Ils ne sont pas comparables, car ces deux qualités ont des caractéristiques différentes :

• Le composant le plus fiable a la caractéristique désagréable qu'en cas de panne (même hautement improbable), la fonction cessera de fonctionner.
• Les systèmes de catégorie 3, où même en cas de panne, la fonction sera exécutée, ne sont pas à l'abri de deux pannes en même temps (ce qui peut être important, c'est de savoir si des composants suffisamment fiables ont été utilisés).

Compte tenu de ce qui précède, il se peut que la meilleure solution (du point de vue du risque élevé) soit d'utiliser des composants hautement fiables et de les configurer de sorte que le circuit soit protégé contre au moins une panne (de préférence plus). Il est clair qu'une telle solution n'est pas la plus économique. En pratique, le processus d'optimisation est principalement la conséquence de toutes ces influences et considérations.

L'expérience de l'utilisation pratique des catégories montre qu'il est rarement possible de concevoir un système de contrôle qui ne peut utiliser qu'une seule catégorie dans l'ensemble. La combinaison de deux ou même trois parties, chacune d'une catégorie différente, est typique, comme illustré dans l'exemple suivant :

De nombreuses barrières immatérielles de sécurité sont conçues dans la catégorie 4, dans laquelle un canal fonctionne avec un signal dynamique. À la fin de ce système, il y a généralement deux sous-canaux supervisés mutuellement qui fonctionnent avec des signaux statiques. (Cela répond aux exigences de la catégorie 3.)

Selon EN 50100, ces barrières lumineuses sont classées comme Dispositifs de protection électrosensibles de type 4, bien qu'ils soient composés de deux parties. Malheureusement, il n'y a pas d'accord sur la dénomination des systèmes de contrôle constitués de deux parties ou plus, chaque partie appartenant à une autre catégorie.

Systèmes électroniques programmables (PES)

Les principes utilisés pour créer le tableau 1 peuvent, avec certaines restrictions bien sûr, être généralement appliqués également aux SPE.

Système PES uniquement

Lors de l'utilisation des PES pour le contrôle, les informations sont transférées du capteur à l'activateur via un grand nombre de composants. Au-delà, il passe même « par » un logiciel. (Voir figure 12).

Figure 12. Un circuit du système PES

Bien que les PES modernes soient très fiables, la fiabilité n'est pas aussi élevée que celle requise pour le traitement des fonctions de sécurité. Au-delà de cela, les systèmes PES habituels ne sont pas suffisamment sûrs, car ils n'assureront pas la fonction liée à la sécurité en cas de panne. Par conséquent, l'utilisation de PES pour le traitement de fonctions de sécurité sans aucune mesure supplémentaire n'est pas autorisée.

Applications à très faible risque : systèmes avec un PES et des mesures supplémentaires

Lors de l'utilisation d'un seul PES pour le contrôle, le système se compose des parties principales suivantes :

Partie d'entrée

La fiabilité d'un capteur et l'entrée d'un PES peuvent être améliorées en les doublant. Une telle configuration d'entrée à double système peut être en outre supervisée par un logiciel pour vérifier si les deux sous-systèmes fournissent les mêmes informations. Ainsi, les défaillances dans la partie d'entrée peuvent être détectées. C'est presque la même philosophie que celle requise pour la catégorie 3. Cependant, comme la supervision est effectuée par logiciel et une seule fois, cela peut être dénommé 3- (ou pas aussi fiable que 3).

Partie centrale

Bien que cette partie ne puisse pas être bien doublée, elle peut être testée. Lors de la mise sous tension (ou pendant le fonctionnement), une vérification de l'ensemble du jeu d'instructions peut être effectuée. Aux mêmes intervalles, la mémoire peut également être vérifiée par des modèles de bits appropriés. Si de telles vérifications sont effectuées sans échec, les deux parties, CPU et mémoire, fonctionnent évidemment correctement. La partie centrale présente certaines caractéristiques typiques de la catégorie 4 (signal dynamique) et d'autres typiques de la catégorie 2 (tests effectués régulièrement à des intervalles appropriés). Le problème est que ces tests, malgré leur ampleur, ne peuvent pas être vraiment complets, car le système à un seul PSE ne les permet pas par nature.

Partie sortie

Semblable à une entrée, la sortie (y compris les activateurs) peut également être doublée. Les deux sous-systèmes peuvent être supervisés par rapport au même résultat. Les pannes seront détectées et la fonction de sécurité sera exécutée. Cependant, on retrouve les mêmes points faibles que dans la partie input. Par conséquent, la catégorie 3 est choisie dans ce cas.

Dans la figure 13 la même fonction est apportée aux relais A et B. Les contacts de contrôle a et b, informe ensuite deux systèmes d'entrée si les deux relais effectuent le même travail (sauf si une panne s'est produite dans l'un des canaux). La supervision est refaite par logiciel.

Figure 13. Un circuit PES avec un système de détection de panne

L'ensemble du système peut être décrit comme catégorie 3-/4/2/3- s'il est correctement et largement réalisé. Néanmoins, les points faibles de tels systèmes tels que décrits ci-dessus ne peuvent pas être totalement éliminés. En fait, les SPE améliorés ne sont effectivement utilisés pour des fonctions liées à la sécurité que là où les risques sont plutôt faibles (Hölscher et Rader 1984).

Applications à faible et moyen risque avec un seul PES

Aujourd'hui, presque toutes les machines sont équipées d'une unité de commande PES. Pour résoudre le problème de fiabilité insuffisante et de sécurité généralement insuffisante contre les défaillances, les méthodes de conception suivantes sont couramment utilisées :

• Dans des machines relativement simples comme les ascenseurs, les fonctions sont divisées en deux groupes : (1) les fonctions qui ne sont pas liées à la sécurité sont traitées par le PES ; (2) les fonctions relatives à la sécurité sont regroupées dans une chaîne (circuit de sécurité) et traitées en dehors du PES (voir figure 14).

 

Figure 14. État de l'art pour la catégorie d'arrêt 0

• La méthode donnée ci-dessus n'est pas adaptée aux machines plus complexes. L'une des raisons est que ces solutions ne sont généralement pas suffisamment sûres. Pour les applications à risque moyen, les solutions doivent satisfaire aux exigences de la catégorie 3. Des idées générales sur l'apparence de telles conceptions sont présentées dans les figures 15 et 16.

 

Figure 15. État de l'art pour la catégorie d'arrêt 1

 

Figure 16. État de l'art pour la catégorie d'arrêt 2

Applications à haut risque : systèmes avec deux (ou plus) PES

Outre la complexité et les dépenses, aucun autre facteur n'empêcherait les concepteurs d'utiliser des systèmes PES entièrement doublés tels que Siemens Simatic S5-115F, 3B6 Typ CAR-MIL, etc. Ceux-ci incluent généralement deux PES identiques avec un logiciel homogène, et supposent l'utilisation de PES "bien éprouvés" et de compilateurs "bien éprouvés" (un PES ou un compilateur éprouvé peut être considéré comme celui qui, dans de nombreuses applications pratiques, sur 3 ans ou plus a montré que les défaillances systématiques ont été évidemment éliminées). Bien que ces systèmes PSE doublés n'aient pas les points faibles des systèmes PSE simples, cela ne signifie pas que les systèmes PSE doublés résolvent tous les problèmes. (Voir figure 17).

Figure 17. Système sophistiqué avec deux SPE

Échecs systématiques

Les défaillances systématiques peuvent résulter d'erreurs dans les spécifications, la conception et d'autres causes, et peuvent être présentes aussi bien dans le matériel que dans les logiciels. Les systèmes à double PES conviennent à une utilisation dans des applications liées à la sécurité. De telles configurations permettent la détection de pannes matérielles aléatoires. Grâce à la diversité du matériel, comme l'utilisation de deux types différents ou de produits de deux fabricants différents, des défaillances matérielles systématiques pourraient être révélées (il est très peu probable qu'une défaillance systématique matérielle identique se produise dans les deux SPE).

Logiciel

Le logiciel est un nouvel élément dans les considérations de sécurité. Le logiciel est soit correct, soit incorrect (en ce qui concerne les pannes). Une fois correct, le logiciel ne peut pas devenir instantanément incorrect (par rapport au matériel). Les objectifs sont d'éradiquer toutes les erreurs du logiciel ou au moins de les identifier.

Il existe différentes manières d'atteindre cet objectif. L'un est le vérification du programme (une deuxième personne tente de découvrir les erreurs lors d'un test ultérieur). Une autre possibilité est culturelle du logiciel, dans lequel deux programmes différents, écrits par deux programmeurs, traitent le même problème. Si les résultats sont identiques (dans certaines limites), on peut supposer que les deux sections de programme sont correctes. Si les résultats sont différents, il est présumé que des erreurs sont présentes. (NB, Le architecture du matériel doit naturellement aussi être pris en compte.)

Résumé

Lors de l'utilisation de PES, les mêmes considérations de base suivantes doivent généralement être prises en compte (comme décrit dans les sections précédentes).

• Un système de contrôle sans aucune redondance peut être attribué à la catégorie B. Un système de contrôle avec des mesures supplémentaires peut être de catégorie 1 ou même supérieure, mais pas supérieure à 2.
• Un système de contrôle en deux parties avec comparaison mutuelle des résultats peut être attribué à la catégorie 3. Un système de contrôle en deux parties avec comparaison mutuelle des résultats et plus ou moins de diversité peut être attribué à la catégorie 3 et convient aux applications à haut risque.

Un nouveau facteur est que pour le système avec un PES, même le logiciel doit être évalué du point de vue de l'exactitude. Le logiciel, s'il est correct, est fiable à 100 %. A ce stade de développement technologique, les meilleures solutions techniques possibles et connues ne seront probablement pas utilisées, les facteurs limitants étant encore économiques. En outre, divers groupes d'experts continuent de développer les normes pour les applications de sécurité des PES (par exemple, EC, EWICS). Bien qu'il existe déjà différentes normes (VDE0801, IEC65A, etc.), cette question est si vaste et complexe qu'aucune d'entre elles ne peut être considérée comme définitive.

 

Dos

Chaque fois que des équipements de production simples et conventionnels, tels que des machines-outils, sont automatisés, il en résulte des systèmes techniques complexes ainsi que de nouveaux risques. Cette automatisation est réalisée grâce à l'utilisation de systèmes de commande numérique par ordinateur (CNC) sur des machines-outils, appelées Machines-outils CNC (par exemple, fraiseuses, centres d'usinage, perceuses et meuleuses). Afin de pouvoir identifier les dangers potentiels inhérents aux outils automatiques, il convient d'analyser les différents modes de fonctionnement de chaque système. Les analyses menées antérieurement indiquent qu'il convient de différencier deux types de fonctionnement : le fonctionnement normal et le fonctionnement spécial.

Il est souvent impossible de prescrire les exigences de sécurité pour les machines-outils à commande numérique sous la forme de mesures spécifiques. C'est peut-être parce qu'il existe trop peu de réglementations et de normes spécifiques aux équipements qui apportent des solutions concrètes. Les exigences de sécurité ne peuvent être déterminées que si les dangers éventuels sont systématiquement identifiés par une analyse des dangers, en particulier si ces systèmes techniques complexes sont équipés de systèmes de commande librement programmables (comme pour les machines-outils à commande numérique).

Dans le cas de machines-outils à commande numérique nouvellement développées, le fabricant est tenu d'effectuer une analyse des risques sur l'équipement afin d'identifier les dangers éventuellement présents et de montrer au moyen de solutions constructives que tous les dangers pour les personnes, dans tous les différents modes de fonctionnement, sont éliminés. Tous les dangers identifiés doivent faire l'objet d'une évaluation des risques dans laquelle chaque risque d'événement dépend de l'étendue des dommages et de la fréquence à laquelle ils peuvent se produire. Le danger à évaluer est également classé dans une catégorie de risque (minimisé, normal, accru). Lorsque le risque ne peut être accepté sur la base de l'évaluation des risques, des solutions (mesures de sécurité) doivent être trouvées. Le but de ces solutions est de réduire la fréquence d'occurrence et l'étendue des dommages d'un incident imprévu et potentiellement dangereux (un « événement »).

Les approches de solutions pour les risques normaux et accrus se trouvent dans la technologie de sécurité indirecte et directe ; pour des risques minimisés, on les trouve dans la technologie de sécurité de référence :

• Technologie de sécurité directe. Des précautions sont prises à l'étape de conception pour éliminer tout danger (par exemple, l'élimination des points de cisaillement et de piégeage).
• Technologie de sécurité indirecte. Le danger demeure. Cependant, l'ajout de dispositifs techniques empêche le danger de se transformer en événement (par exemple, de tels dispositifs peuvent inclure la prévention de l'accès aux pièces mobiles dangereuses au moyen de capots de sécurité physiques, la mise à disposition de dispositifs de sécurité qui coupent l'alimentation, la protection contre le vol pièces à l'aide de gardes de sécurité, etc.).
• Technologie de sécurité de référence. Cela ne s'applique qu'aux dangers résiduels et aux risques minimisés, c'est-à-dire aux dangers qui peuvent entraîner un événement en raison de facteurs humains. L'apparition d'un tel événement peut être évitée par un comportement approprié de la part de la personne concernée (par exemple, des instructions sur le comportement dans les manuels d'exploitation et de maintenance, la formation du personnel, etc.).

 

Exigences de sécurité internationales

La directive CE sur les machines (89/392/CEE) de 1989 définit les principales exigences de sécurité et de santé pour les machines. (Conformément à la directive Machines, une machine est considérée comme la somme totale de pièces ou d'appareils interconnectés, dont au moins un peut se déplacer et a donc une fonction.) En outre, des normes individuelles sont créées par des organismes de normalisation internationaux pour illustrer d'éventuelles solutions (par exemple, en s'occupant des aspects fondamentaux de la sécurité ou en examinant les équipements électriques équipant les machines industrielles). L'objectif de ces normes est de préciser les objectifs de protection. Ces exigences de sécurité internationales donnent aux fabricants la base juridique nécessaire pour spécifier ces exigences dans les analyses des dangers et les évaluations des risques susmentionnées.

Modes de fonctionnement

Lors de l'utilisation de machines-outils, une distinction est faite entre le fonctionnement normal et le fonctionnement spécial. Les statistiques et enquêtes indiquent que la majorité des incidents et accidents n'ont pas lieu en fonctionnement normal (c'est-à-dire lors de l'exécution automatique de la mission concernée). Avec ces types de machines et d'installations, l'accent est mis sur des modes de fonctionnement spéciaux tels que la mise en service, le réglage, la programmation, les essais, les vérifications, le dépannage ou la maintenance. Dans ces modes de fonctionnement, les personnes se trouvent généralement dans une zone dangereuse. Le concept de sécurité doit protéger le personnel des événements nuisibles dans ce type de situations.

Fonctionnement normal

Ce qui suit s'applique aux machines automatiques en fonctionnement normal : (1) la machine remplit la mission pour laquelle elle a été conçue et construite sans autre intervention de l'opérateur, et (2) appliquée à un simple tour, cela signifie qu'un la pièce est tournée dans la bonne forme et des copeaux sont produits. Si la pièce est changée manuellement, le changement de pièce est un mode de fonctionnement spécial.

Modes de fonctionnement spéciaux

Les modes de fonctionnement spéciaux sont des processus de travail qui permettent un fonctionnement normal. Sous cette rubrique, par exemple, on inclurait les changements de pièces ou d'outils, la correction d'un défaut dans un processus de production, la correction d'un défaut de machine, le réglage, la programmation, les essais, le nettoyage et l'entretien. En fonctionnement normal, les systèmes automatiques remplissent leurs missions de manière autonome. Du point de vue de la sécurité du travail, cependant, le fonctionnement normal automatique devient critique lorsque l'opérateur doit intervenir dans les processus de travail. Les personnes intervenant dans ces processus ne doivent en aucun cas être exposées à des dangers.

personnel

Lors de la protection des machines-outils, il faut tenir compte des personnes travaillant dans les différents modes de fonctionnement ainsi que des tiers. Les tiers comprennent également ceux qui sont indirectement concernés par la machine, tels que les superviseurs, les inspecteurs, les assistants pour le transport du matériel et les travaux de démontage, les visiteurs et autres.

Exigences et mesures de sécurité pour les accessoires de machines

Les interventions pour les travaux dans des modes de fonctionnement spéciaux signifient que des accessoires spéciaux doivent être utilisés pour garantir que le travail peut être effectué en toute sécurité. Le premier type Les accessoires comprennent les équipements et les éléments permettant d'intervenir dans le processus automatique sans que l'opérateur n'ait à accéder à une zone dangereuse. Ce type d'accessoire comprend (1) des crochets et des pinces à copeaux qui ont été conçus de manière à ce que les copeaux dans la zone d'usinage puissent être retirés ou retirés à travers les ouvertures prévues dans les protections de sécurité, et (2) des dispositifs de serrage de la pièce avec lesquels le matériau de production peut être inséré ou retiré manuellement d'un cycle automatique

Divers modes de fonctionnement particuliers, par exemple des travaux de correction ou des travaux de maintenance, obligent le personnel à intervenir sur un système. Dans ces cas également, il existe toute une gamme d'accessoires de machine conçus pour augmenter la sécurité du travail, par exemple des dispositifs pour manipuler les meules lourdes lors du changement de celles-ci sur les meuleuses, ainsi que des élingues de grue spéciales pour le démontage ou le montage de composants lourds lors de les machines sont révisées. Ces appareils sont les deuxième type d'accessoire de machine pour augmenter la sécurité pendant le travail dans des opérations spéciales. Les systèmes de contrôle de fonctionnement spéciaux peuvent également être considérés comme représentant un deuxième type d'accessoire de machine. Des activités particulières peuvent être réalisées en toute sécurité avec de tels accessoires, par exemple, un dispositif peut être mis en place dans les axes de la machine lorsque des mouvements d'avance sont nécessaires avec les protecteurs ouverts.

Ces systèmes de commande de fonctionnement spéciaux doivent répondre à des exigences de sécurité particulières. Par exemple, ils doivent s'assurer que seul le mouvement demandé est effectué de la manière demandée et uniquement pendant la durée demandée. Le système de commande de fonctionnement spécial doit donc être conçu de manière à éviter que toute action erronée ne se transforme en mouvements ou états dangereux.

Un équipement qui augmente le degré d'automatisation d'une installation peut être considéré comme un troisième type d'accessoire de machine pour augmenter la sécurité de travail. Des actions qui étaient auparavant effectuées manuellement sont effectuées automatiquement par la machine en fonctionnement normal, comme les équipements dont les chargeurs portiques, qui changent automatiquement les pièces sur les machines-outils. La sauvegarde du fonctionnement normal automatique pose peu de problèmes parce que l'intervention d'un opérateur au cours des événements est inutile et parce que d'éventuelles interventions peuvent être empêchées par des dispositifs de sécurité.

Exigences et mesures de sécurité pour l'automatisation des machines-outils

Malheureusement, l'automatisation n'a pas permis d'éliminer les accidents dans les usines de production. Les enquêtes montrent simplement un déplacement de la survenance des accidents du fonctionnement normal vers le fonctionnement spécial, principalement dû à l'automatisation du fonctionnement normal de sorte que les interventions en cours de production ne sont plus nécessaires et que le personnel n'est donc plus exposé au danger. D'autre part, les machines hautement automatiques sont des systèmes complexes qui sont difficiles à évaluer lorsque des défauts surviennent. Même les spécialistes chargés de remédier aux pannes ne sont pas toujours en mesure de le faire sans encourir d'accidents. La quantité de logiciels nécessaires pour faire fonctionner des machines de plus en plus complexes augmente en volume et en complexité, avec pour résultat qu'un nombre croissant d'ingénieurs électriciens et de mise en service sont victimes d'accidents. Il n'y a pas de logiciel parfait, et les changements de logiciel entraînent souvent des changements ailleurs qui n'étaient ni attendus ni souhaités. Afin d'éviter que la sécurité ne soit affectée, un comportement défectueux dangereux causé par une influence externe et des défaillances de composants ne doit pas être possible. Cette condition ne peut être remplie que si le circuit de sécurité est conçu le plus simplement possible et séparé du reste des commandes. Les éléments ou sous-ensembles utilisés dans le circuit de sécurité doivent également être à sécurité intégrée.

Il incombe au concepteur de développer des conceptions qui satisfont aux exigences de sécurité. Le concepteur ne peut éviter d'avoir à considérer avec le plus grand soin les procédures de travail nécessaires, y compris les modes de fonctionnement particuliers. Des analyses doivent être faites pour déterminer quelles procédures de travail sécuritaires sont nécessaires et le personnel d'exploitation doit se familiariser avec celles-ci. Dans la majorité des cas, un système de contrôle pour un fonctionnement spécial sera nécessaire. Le système de contrôle observe ou régule généralement un mouvement, alors qu'en même temps, aucun autre mouvement ne doit être initié (car aucun autre mouvement n'est nécessaire pour ce travail, et donc aucun n'est attendu par l'opérateur). Le système de commande ne doit pas nécessairement effectuer les mêmes missions dans les différents modes de fonctionnement particuliers.

Exigences et mesures de sécurité en modes de fonctionnement normal et spécial

Fonctionnement normal

La spécification d'objectifs de sécurité ne doit pas entraver le progrès technique car des solutions adaptées peuvent être sélectionnées. L'utilisation de machines-outils à commande numérique impose des exigences maximales en matière d'analyse des risques, d'évaluation des risques et de concepts de sécurité. Ce qui suit décrit plus en détail plusieurs objectifs de sécurité et solutions possibles.

Objectif de sécurité

• L'accès manuel ou physique aux zones dangereuses lors des mouvements automatiques doit être interdit.

 

Solutions possibles

• Empêcher l'accès manuel ou physique aux zones dangereuses au moyen de barrières mécaniques.
• Prévoir des dispositifs de sécurité qui réagissent à l'approche (barrières lumineuses, tapis de sécurité) et éteindre les machines en toute sécurité lors des interventions ou de l'entrée.
• Autoriser l'accès manuel ou physique aux machines (ou à leur voisinage) uniquement lorsque l'ensemble du système est dans un état sûr (par exemple, en utilisant des dispositifs de verrouillage avec des mécanismes de fermeture sur les portes d'accès).

 

Objectif de sécurité

• La possibilité que des personnes soient blessées à la suite de la libération d'énergie (pièces volantes ou faisceaux d'énergie) doit être éliminée.

 

Solution possible

• Empêcher le dégagement d'énergie de la zone dangereuse, par exemple par un capot de sécurité dimensionné en conséquence.

 

Opération spéciale

Les interfaces entre le fonctionnement normal et le fonctionnement spécial (par exemple, dispositifs de verrouillage de porte, barrières lumineuses, tapis de sécurité) sont nécessaires pour permettre au système de contrôle de sécurité de reconnaître automatiquement la présence de personnel. Ce qui suit décrit certains modes de fonctionnement spéciaux (par exemple, réglage, programmation) sur les machines-outils à commande numérique qui nécessitent des mouvements qui doivent être évalués directement sur le site d'utilisation.

Objectifs de sécurité

• Les déplacements ne doivent avoir lieu que de manière à ne pas constituer un danger pour les personnes concernées. Ces mouvements doivent être exécutés uniquement dans le style et la vitesse prévus et poursuivis uniquement aussi longtemps que cela est indiqué.
• Ils ne doivent être tentés que s'il peut être garanti qu'aucune partie du corps humain ne se trouve dans la zone de danger.

 

Solution possible

• Installez des systèmes de contrôle de fonctionnement spéciaux qui permettent uniquement des mouvements contrôlables et gérables à l'aide d'une commande du bout des doigts via des boutons-poussoirs de type "acquittement". La vitesse des mouvements est ainsi réduite en toute sécurité (à condition que l'énergie ait été réduite au moyen d'un transformateur d'isolement ou d'un équipement de surveillance similaire).

 

Exigences sur les systèmes de contrôle de sécurité

L'une des caractéristiques d'un système de contrôle de sécurité doit être que la fonction de sécurité soit garantie de fonctionner chaque fois qu'un défaut survient afin de diriger les processus d'un état dangereux vers un état sûr.

Objectifs de sécurité

• Un défaut dans le système de contrôle de sécurité ne doit pas déclencher un état dangereux.
• Un défaut dans le système de contrôle de sécurité doit être identifié (immédiatement ou périodiquement).

 

Solutions possibles

• Mettre en place une disposition redondante et diversifiée des systèmes de contrôle électromécaniques, y compris les circuits de test.
• Mettre en place une configuration redondante et diversifiée de systèmes de contrôle à microprocesseur développés par différentes équipes. Cette approche est considérée comme l'état de l'art, par exemple, dans le cas des barrières immatérielles de sécurité.

 

Pour aller plus loin

Il est évident que la tendance croissante des accidents dans les modes d'exploitation normaux et spéciaux ne peut être stoppée sans un concept de sécurité clair et sans équivoque. Ce fait doit être pris en compte lors de la préparation des règlements et directives de sécurité. De nouvelles lignes directrices sous la forme d'objectifs de sécurité sont nécessaires pour permettre des solutions avancées. Cet objectif permet aux concepteurs de choisir la solution optimale pour un cas spécifique tout en démontrant les caractéristiques de sécurité de leurs machines de manière assez simple en décrivant une solution à chaque objectif de sécurité. Cette solution peut alors être comparée à d'autres solutions existantes et acceptées, et si elle est meilleure ou au moins de valeur égale, une nouvelle solution peut alors être choisie. De cette manière, les progrès ne sont pas entravés par des réglementations étroitement formulées.

---

Principales caractéristiques de la directive CEE sur les machines

La directive du Conseil du 14 juin 1989 concernant le rapprochement des législations des États membres relatives aux machines (89/392/CEE) s'applique à chaque État.

• Chaque État doit intégrer la directive dans sa législation.

• Valable à partir du 1er janvier 1993.

• Exige que tous les fabricants adhèrent à l'état de l'art.

• Le fabricant doit produire un dossier technique de construction contenant des informations complètes sur tous les aspects fondamentaux de la sécurité et des soins de santé.

• Le fabricant doit délivrer la déclaration de conformité et le marquage CE des machines.

• Le fait de ne pas mettre une documentation technique complète à la disposition d'un centre de contrôle de l'État est considéré comme représentant le non-respect des directives de la machine. Une interdiction de vente pan-CEE pourrait en être la conséquence.

 

Objectifs de sécurité pour la construction et l'utilisation de machines-outils à commande numérique

1. Tours

1.1 Mode de fonctionnement normal

1.1.1 La zone de travail doit être sécurisée de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques, intentionnellement ou non.

1.1.2 Le magasin d'outils doit être protégé de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques, intentionnellement ou non.

1.1.3 Le magasin de pièces doit être protégé de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques, intentionnellement ou non.

1.1.4 L'enlèvement des copeaux ne doit pas entraîner de blessures corporelles dues aux copeaux ou aux pièces mobiles de la machine.

1.1.5 Les blessures corporelles résultant de l'accès aux systèmes d'entraînement doivent être évitées.

1.1.6 La possibilité d'accéder aux zones dangereuses des convoyeurs à copeaux en mouvement doit être évitée.

1.1.7 Aucune blessure personnelle aux opérateurs ou à des tiers ne doit résulter du vol de pièces ou de parties de celles-ci.

Par exemple, cela peut se produire

• en raison d'un serrage insuffisant

• en raison d'une force de coupe inadmissible

• en raison d'une vitesse de rotation inadmissible

• en raison d'une collision avec l'outil ou les pièces de la machine

• en raison de la rupture de la pièce

• en raison de dispositifs de serrage défectueux

• en raison d'une panne de courant

 

1.1.8 Aucune blessure ne doit résulter du vol des dispositifs de serrage de la pièce.

1.1.9 Aucune blessure personnelle ne doit résulter de copeaux volants.

1.1.10 Aucune blessure personnelle ne doit résulter d'outils volants ou de pièces de ceux-ci.

Par exemple, cela peut se produire

• en raison de défauts matériels

• en raison d'une force de coupe inadmissible

• en raison d'une collision avec la pièce à usiner ou une partie de la machine

• en raison d'un serrage ou d'un serrage inadéquat

 

1.2 Modes de fonctionnement spéciaux

1.2.1 Changement de pièce.

1.2.1.1 Le serrage de la pièce à usiner doit être effectué de manière à ce qu'aucune partie du corps ne puisse se coincer entre les dispositifs de serrage de fermeture et la pièce à usiner ou entre la pointe du manchon d'avance et la pièce à usiner.

1.2.1.2 Le démarrage d'un entraînement (broches, axes, manchons, têtes tourelles ou convoyeurs à copeaux) à la suite d'une commande défectueuse ou d'une commande invalide doit être empêché.

1.2.1.3 La pièce doit pouvoir être manipulée manuellement ou avec des outils sans danger.

1.2.2 Changement d'outil dans le porte-outil ou la tête de tourelle d'outil.

1.2.2.1 Tout danger résultant d'un comportement défectueux du système ou dû à la saisie d'une commande invalide doit être évité.

1.2.3 Changement d'outil dans le magasin d'outils.

1.2.3.1 Les mouvements dans le magasin d'outils résultant d'une commande défectueuse ou invalide doivent être empêchés pendant le changement d'outil.

1.2.3.2 Il ne doit pas être possible d'accéder à d'autres pièces mobiles de la machine depuis la station de chargement des outils.

1.2.3.3 Il ne doit pas être possible d'atteindre les zones dangereuses lors de la poursuite du mouvement du magasin d'outils ou pendant la recherche. S'ils ont lieu avec les protections pour le mode de fonctionnement normal retirées, ces mouvements ne peuvent être que du type désigné et ne peuvent être effectués que pendant la période de temps ordonnée et uniquement lorsqu'il peut être garanti qu'aucune partie du corps ne se trouve dans ces zones dangereuses. .

1.2.4 Vérification des mesures.

1.2.4.1 L'accès à la zone de travail ne doit être possible qu'après l'arrêt de tous les mouvements.

1.2.4.2 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

1.2.5 Configuration.

1.2.5.1 Si des mouvements sont exécutés pendant la mise en place avec les protections pour le mode de fonctionnement normal retirées, l'opérateur doit être protégé par un autre moyen.

1.2.5.2 Aucun mouvement ou changement de mouvement dangereux ne doit être initié à la suite d'une commande défectueuse ou d'une entrée de commande invalide.

1.2.6 Programmation.

1.2.6.1 Aucun mouvement ne doit être initié pendant la programmation qui met en danger une personne dans la zone de travail.

1.2.7 Défaut de fabrication.

1.2.7.1 Le démarrage d'un variateur résultant d'une commande défectueuse sur consigne d'entrée de commande invalide doit être interdit.

1.2.7.2 Aucun mouvement ou situation dangereux ne doit être déclenché par le déplacement ou le retrait de la pièce ou des déchets.

1.2.7.3 Lorsque des mouvements doivent avoir lieu avec les protecteurs pour le mode d'exploitation normal enlevés, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et seulement s'il peut être garanti qu'aucune partie du corps se trouvent dans ces zones dangereuses.

1.2.8 Dépannage.

1.2.8.1 L'accès aux zones dangereuses des mouvements automatiques doit être interdit.

1.2.8.2 Le démarrage d'un entraînement à la suite d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

1.2.8.3 Un mouvement de la machine lors de la manipulation de la pièce défectueuse doit être empêché.

1.2.8.4 Les blessures résultant de l'éclatement ou de la chute d'une pièce de la machine doivent être évitées.

1.2.8.5 Si, lors de la recherche de pannes, des mouvements doivent avoir lieu avec les protections pour le mode de fonctionnement normal retirées, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et uniquement lorsqu'il peut être assuré que aucune partie du corps ne se trouve dans ces zones dangereuses.

1.2.9 Dysfonctionnement et réparation de la machine.

1.2.9.1 La machine doit être empêchée de démarrer.

1.2.9.2 La manipulation des différentes parties de la machine doit être possible soit manuellement soit avec des outils sans aucun danger.

1.2.9.3 Il ne doit pas être possible de toucher les parties sous tension de la machine.

1.2.9.4 Les blessures corporelles ne doivent pas résulter de l'émission de fluides ou de fluides gazeux.

 

2. Fraiseuses

2.1 Mode de fonctionnement normal

2.1.1 La zone de travail doit être sécurisée de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques, intentionnellement ou non.

2.1.2 L'enlèvement des copeaux ne doit pas entraîner de blessures corporelles dues aux copeaux ou aux pièces mobiles de la machine.

2.1.3 Les blessures corporelles résultant de l'accès aux systèmes d'entraînement doivent être évitées.

Aucune blessure personnelle aux opérateurs ou à des tiers ne doit résulter de la projection de pièces ou de parties de celles-ci.

Par exemple, cela peut se produire

• en raison d'un serrage insuffisant

• en raison d'une force de coupe inadmissible

• en raison d'une collision avec l'outil ou les pièces de la machine

• en raison de la rupture de la pièce

• en raison de dispositifs de serrage défectueux

• en raison d'une panne de courant

 

2.1.4 Aucune blessure ne doit résulter du vol des dispositifs de serrage de la pièce.

2.1.5 Aucune blessure personnelle ne doit résulter de copeaux volants.

2.1.6 Aucune blessure personnelle ne doit résulter d'outils volants ou de pièces de ceux-ci.

Par exemple, cela peut se produire

• en raison de défauts matériels

• en raison d'une vitesse de rotation inadmissible

• en raison d'une force de coupe inadmissible

• en raison d'une collision avec une pièce à usiner ou une pièce de machine

• en raison d'un serrage ou d'un serrage inadéquat

• en raison d'une panne de courant

 

Modes de fonctionnement spéciaux

2.2.1 Changement de pièce.

2.2.1.1 Lorsque des dispositifs de serrage à moteur sont utilisés, il ne doit pas être possible que des parties du corps se coincent entre les parties de fermeture du dispositif de serrage et la pièce à usiner.

2.2.1.2 Le démarrage d'un entraînement (broche, axe) résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

2.2.1.3 La manipulation de la pièce doit être possible manuellement ou avec des outils sans aucun danger.

2.2.2 Changement d'outil.

2.2.2.1 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

2.2.2.2 Les doigts ne doivent pas pouvoir se coincer lors de la mise en place des outils.

2.2.3 Vérification des mesures.

2.2.3.1 L'accès à la zone de travail ne doit être possible qu'après l'arrêt de tous les mouvements.

2.2.3.2 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

2.2.4 Configuration.

2.2.4.1 Si des mouvements sont exécutés pendant la mise en place avec les protections pour le mode de fonctionnement normal retirées, l'opérateur doit être protégé par un autre moyen.

2.2.4.2 Aucun mouvement ou changement de mouvement dangereux ne doit être initié à la suite d'une commande défectueuse ou d'une entrée de commande invalide.

2.2.5 Programmation.

2.2.5.1 Aucun mouvement ne doit être amorcé pendant la programmation qui met en danger une personne dans la zone de travail.

2.2.6 Défaut de fabrication.

2.2.6.1 Le démarrage du variateur résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

2.2.6.2 Aucun mouvement ou situation dangereux ne doit être provoqué par le déplacement ou le retrait de la pièce ou des déchets.

2.2.6.3 Lorsque des mouvements doivent avoir lieu avec les protecteurs pour le mode d'exploitation normal enlevés, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et seulement s'il peut être garanti qu'aucune partie du corps se trouvent dans ces zones dangereuses.

2.2.7 Dépannage.

2.2.7.1 L'accès aux zones dangereuses des mouvements automatiques doit être interdit.

2.2.7.2 Le démarrage d'un entraînement à la suite d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

2.2.7.3 Tout mouvement de la machine lors de la manipulation de la pièce défectueuse doit être empêché.

2.2.7.4 Les blessures résultant de l'éclatement ou de la chute d'une pièce de la machine doivent être évitées.

2.2.7.5 Si, lors de la recherche de pannes, des mouvements doivent avoir lieu avec les protections pour le mode de fonctionnement normal retirées, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et uniquement lorsqu'il peut être assuré que aucune partie du corps ne se trouve dans ces zones dangereuses.

2.2.8 Dysfonctionnement et réparation de la machine.

2.2.8.1 Le démarrage de la machine doit être empêché.

2.2.8.2 La manipulation des différentes parties de la machine doit être possible manuellement ou avec des outils sans aucun danger.

2.2.8.3 Il ne doit pas être possible de toucher les parties sous tension de la machine.

2.2.8.4 Les blessures corporelles ne doivent pas résulter de l'émission de fluides ou de fluides gazeux.

 

3. Centres d'usinage

3.1 Mode de fonctionnement normal

3.1.1 La zone de travail doit être sécurisée de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques, intentionnellement ou non.

3.1.2 Le magasin d'outils doit être protégé de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques.

3.1.3 Le magasin de pièces doit être sécurisé de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques.

3.1.4 L'enlèvement des copeaux ne doit pas entraîner de blessures corporelles dues aux copeaux ou aux pièces mobiles de la machine.

3.1.5 Les blessures corporelles résultant de l'accès aux systèmes d'entraînement doivent être évitées.

3.1.6 La possibilité d'accéder aux zones dangereuses des convoyeurs à copeaux en mouvement (convoyeurs à vis, etc.) doit être évitée.

3.1.7 Aucune blessure personnelle aux opérateurs ou à des tiers ne doit résulter du vol de pièces ou de parties de celles-ci.

Par exemple, cela peut se produire

• en raison d'un serrage insuffisant

• en raison d'une force de coupe inadmissible

• en raison d'une collision avec l'outil ou les pièces de la machine

• en raison de la rupture de la pièce

• en raison de dispositifs de serrage défectueux

• en raison du changement de la mauvaise pièce

• en raison d'une panne de courant

 

3.1.8 Aucune blessure ne doit résulter du vol des dispositifs de serrage de la pièce.

3.1.9 Aucune blessure personnelle ne doit résulter de copeaux volants.

3.1.10 Aucune blessure personnelle ne doit résulter d'outils volants ou de pièces de ceux-ci.

Par exemple, cela peut se produire

• en raison de défauts matériels

• en raison d'une vitesse de rotation inadmissible

• en raison d'une force de coupe inadmissible

• en raison d'une collision avec une pièce à usiner ou une pièce de machine

• en raison d'un serrage ou d'un serrage inadéquat

• en raison de l'outil qui s'envole du changeur d'outils

• en raison de la sélection du mauvais outil

• en raison d'une panne de courant

 

3.2 Modes de fonctionnement spéciaux

3.2.1 Changement de pièce.

3.2.1.1 Lorsque des dispositifs de serrage à moteur sont utilisés, il ne doit pas être possible que des parties du corps se coincent entre les parties de fermeture du dispositif de serrage et la pièce à usiner.

3.2.1.2 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

3.2.1.3 La pièce doit pouvoir être manipulée manuellement ou avec des outils sans aucun danger.

3.2.1.4 En cas de changement de pièces dans un poste de bridage, il ne doit pas être possible depuis cet emplacement d'atteindre ou d'entrer dans les séquences de mouvement automatique de la machine ou du magasin de pièces. Aucun mouvement ne doit être initié par la commande tant qu'une personne est présente dans la zone de bridage. L'insertion automatique de la pièce serrée dans la machine ou le magasin de pièces ne doit avoir lieu que lorsque la station de serrage est également protégée par un système de protection correspondant à celui du mode de fonctionnement normal.

3.2.2 Changement d'outil dans la broche.

3.2.2.1 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

3.2.2.2 Les doigts ne doivent pas pouvoir se coincer lors de la mise en place des outils.

3.2.3 Changement d'outil dans le magasin d'outils.

3.2.3.1 Les mouvements dans le magasin d'outils résultant de commandes défectueuses ou d'entrées de commande non valides doivent être empêchés pendant le changement d'outil.

3.2.3.2 Il ne doit pas être possible d'accéder à d'autres pièces mobiles de la machine depuis la station de chargement des outils.

3.2.3.3 Il ne doit pas être possible d'atteindre les zones dangereuses lors de la poursuite du mouvement du magasin d'outils ou pendant la recherche. S'ils ont lieu avec les protections pour le mode de fonctionnement normal enlevés, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et uniquement lorsqu'il peut être garanti qu'aucune partie du corps ne se trouve dans ces zones dangereuses. .

3.2.4 Vérification des mesures.

3.2.4.1 L'accès à la zone de travail ne doit être possible qu'après l'arrêt de tous les mouvements.

3.2.4.2 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

3.2.5 Configuration.

3.2.5.1 Si des mouvements sont exécutés pendant la mise en place avec les protections pour le mode de fonctionnement normal retirées, l'opérateur doit être protégé par un autre moyen.

3.2.5.2 Aucun mouvement ou changement de mouvement dangereux ne doit être initié à la suite d'une commande défectueuse ou d'une entrée de commande invalide.

3.2.6 Programmation.

3.2.6.1 Aucun mouvement ne doit être amorcé pendant la programmation qui met en danger une personne dans la zone de travail.

3.2.7 Défaut de fabrication.

3.2.7.1 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

3.2.7.2 Aucun mouvement ou situation dangereux ne doit être provoqué par le déplacement ou le retrait de la pièce ou des déchets.

3.2.7.3 Lorsque des mouvements doivent avoir lieu avec les protecteurs pour le mode d'exploitation normal enlevés, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et seulement s'il peut être garanti qu'aucune partie du corps se trouvent dans ces zones dangereuses.

3.2.8 Dépannage.

3.2.8.1 L'accès aux zones dangereuses des mouvements automatiques doit être interdit.

3.2.8.2 Le démarrage d'un entraînement à la suite d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

3.2.8.3 Tout mouvement de la machine lors de la manipulation de la pièce défectueuse doit être empêché.

3.2.8.4 Les blessures résultant de l'éclatement ou de la chute d'une pièce de la machine doivent être évitées.

3.2.8.5 Si, lors de la recherche de pannes, des mouvements doivent avoir lieu avec les protections pour le mode de fonctionnement normal retirées, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et uniquement lorsqu'il peut être assuré que aucune partie du corps ne se trouve dans ces zones dangereuses.

3.2.9 Dysfonctionnement et réparation de la machine.

3.2.9.1 Le démarrage de la machine doit être empêché.

3.2.9.2 La manipulation des différentes parties de la machine doit être possible manuellement ou avec des outils sans aucun danger.

3.2.9.3 Il ne doit pas être possible de toucher les parties sous tension de la machine.

3.2.9.4 Les blessures corporelles ne doivent pas résulter de l'émission de fluides ou de fluides gazeux.

 

4. Rectifieuses

4.1 Mode de fonctionnement normal

4.1.1 La zone de travail doit être sécurisée de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques, intentionnellement ou non.

4.1.2 Les blessures corporelles résultant de l'accès aux systèmes d'entraînement doivent être évitées.

4.1.3 Aucune blessure personnelle aux opérateurs ou à des tiers ne doit résulter du vol de pièces ou de parties de celles-ci.

Par exemple, cela peut se produire

• en raison d'un serrage insuffisant

• en raison d'une force de coupe inadmissible

• en raison d'une vitesse de rotation inadmissible

• en raison d'une collision avec l'outil ou les pièces de la machine

• en raison de la rupture de la pièce

• en raison de dispositifs de serrage défectueux

• en raison d'une panne de courant

 

4.1.4 Aucune blessure ne doit résulter du vol des dispositifs de serrage de la pièce.

4.1.5 Aucune blessure ou incendie ne doit résulter d'étincelles.

4.1.6 Aucune blessure personnelle ne doit résulter des pièces volantes des meules.

Par exemple, cela peut se produire

• en raison d'une vitesse de rotation inadmissible

• en raison d'une force de coupe inadmissible

• en raison de défauts matériels

• en raison d'une collision avec une pièce à usiner ou une pièce de machine

• en raison d'un serrage insuffisant (brides)

• en raison de l'utilisation d'une meule incorrecte

 

Modes de fonctionnement spéciaux

4.2.1 Changement de pièce.

4.2.1.1 Lorsque des dispositifs de serrage à moteur sont utilisés, il ne doit pas être possible que des parties du corps se coincent entre les parties de fermeture du dispositif de serrage et la pièce à usiner.

4.2.1.2 Le démarrage d'un entraînement d'avance résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

4.2.1.3 Les blessures causées par la meule en rotation doivent être évitées lors de la manipulation de la pièce.

4.2.1.4 Les blessures corporelles résultant d'une meule qui éclate ne doivent pas être possibles.

4.2.1.5 La manipulation de la pièce doit être possible manuellement ou avec des outils sans aucun danger.

4.2.2 Changement d'outil (changement de meule)

4.2.2.1 Le démarrage d'un entraînement d'avance résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

4.2.2.2 Les blessures causées par la meule en rotation ne doivent pas être possibles pendant les procédures de mesure.

4.2.2.3 Les blessures corporelles résultant d'une meule qui éclate ne doivent pas être possibles.

4.2.3 Vérification des mesures.

4.2.3.1 Le démarrage d'un entraînement d'avance résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

4.2.3.2 Les blessures causées par la meule en rotation ne doivent pas être possibles pendant les procédures de mesure.

4.2.3.3 Les blessures corporelles résultant d'une meule qui éclate ne doivent pas être possibles.

4.2.4. Installer.

4.2.4.1 Si des mouvements sont exécutés pendant la mise en place avec les protections pour le mode de fonctionnement normal retirées, l'opérateur doit être protégé par un autre moyen.

4.2.4.2 Aucun mouvement ou changement de mouvement dangereux ne doit être initié à la suite d'une commande défectueuse ou d'une entrée de commande invalide.

4.2.5 Programmation.

4.2.5.1 Aucun mouvement ne doit être amorcé pendant la programmation qui met en danger une personne dans la zone de travail.

4.2.6 Défaut de fabrication.

4.2.6.1 Le démarrage d'un entraînement d'avance résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

4.2.6.2 Aucun mouvement ou situation dangereux ne doit être provoqué par le déplacement ou le retrait de la pièce ou des déchets.

4.2.6.3 Lorsque des mouvements doivent avoir lieu avec les protecteurs pour le mode d'exploitation normal enlevés, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et seulement s'il peut être garanti qu'aucune partie du corps se trouvent dans ces zones dangereuses.

4.2.6.4 Les blessures causées par la meule en rotation doivent être évitées.

4.2.6.5 Les blessures corporelles résultant d'une meule qui éclate ne doivent pas être possibles.

4.2.7 Dépannage.

4.2.7.1 L'accès aux zones dangereuses des mouvements automatiques doit être interdit.

4.2.7.2 Le démarrage d'un entraînement à la suite d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.

4.2.7.3 Tout mouvement de la machine lors de la manipulation de la pièce défectueuse doit être empêché.

4.2.7.4 Les blessures résultant de l'éclatement ou de la chute d'une pièce de la machine doivent être évitées.

4.2.7.5 Les blessures causées par le contact de l'opérateur ou par l'éclatement de la meule en rotation doivent être évitées.

4.2.7.6 Si, lors de la recherche de pannes, des mouvements doivent avoir lieu avec les protections pour le mode de fonctionnement normal retirées, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et uniquement lorsqu'il peut être assuré que aucune partie du corps ne se trouve dans ces zones dangereuses.

4.2.8 Dysfonctionnement et réparation de la machine.

4.2.8.1 Le démarrage de la machine doit être empêché.

4.2.8.2 La manipulation des différentes parties de la machine doit être possible manuellement ou avec des outils sans aucun danger.

4.2.8.3 Il ne doit pas être possible de toucher les parties sous tension de la machine.

4.2.8.4 Les blessures corporelles ne doivent pas résulter de l'émission de fluides ou de fluides gazeux.

 

Dos