Les dispositifs de commande et les dispositifs utilisés pour le sectionnement et la commutation doivent toujours être discutés en relation avec systèmes techniques, terme utilisé dans cet article pour désigner les machines, installations et équipements. Chaque système technique remplit une tâche pratique spécifique et assignée. Des dispositifs de commande et de commutation de sécurité appropriés sont nécessaires si cette tâche pratique doit être réalisable ou même possible dans des conditions sûres. De tels dispositifs sont utilisés pour initier le contrôle, interrompre ou retarder le courant et/ou les impulsions d'énergies électriques, hydrauliques, pneumatiques ou encore potentielles.

Isolation et réduction d'énergie

Les dispositifs d'isolement sont utilisés pour isoler l'énergie en déconnectant la ligne d'alimentation entre la source d'énergie et le système technique. Le dispositif de sectionnement doit normalement produire une déconnexion réelle déterminable sans équivoque de l'alimentation en énergie. La déconnexion de l'alimentation en énergie doit également toujours être associée à la réduction de l'énergie stockée dans toutes les parties du système technique. Si le système technique est alimenté par plusieurs sources d'énergie, toutes ces lignes d'alimentation doivent pouvoir être isolées de manière fiable. Les personnes formées pour manipuler le type d'énergie concerné et qui travaillent à la partie énergie du système technique, utilisent des dispositifs d'isolement pour se protéger des dangers de l'énergie. Pour des raisons de sécurité, ces personnes vérifieront toujours qu'aucune énergie potentiellement dangereuse ne reste dans le système technique, par exemple en vérifiant l'absence de potentiel électrique dans le cas de l'énergie électrique. La manipulation sans risque de certains dispositifs d'isolement n'est possible que pour des spécialistes formés ; dans ce cas, le dispositif d'isolement doit être rendu inaccessible aux personnes non autorisées. (Voir figure 1.)

Figure 1. Principes des dispositifs d'isolement électriques et pneumatiques

Le commutateur principal

Un dispositif interrupteur principal déconnecte le système technique de l'alimentation en énergie. Contrairement au dispositif de sectionnement, il peut être manœuvré sans danger même par des « non énergéticiens ». Le dispositif interrupteur général est utilisé pour déconnecter des systèmes techniques non utilisés à un moment donné si, par exemple, leur fonctionnement est entravé par des tiers non autorisés. Il est également utilisé pour effectuer une déconnexion à des fins telles que l'entretien, la réparation de dysfonctionnements, le nettoyage, la réinitialisation et le réaménagement, à condition que ces travaux puissent être effectués sans énergie dans le système. Bien entendu, lorsqu'un dispositif interrupteur général possède également les caractéristiques d'un dispositif de sectionnement, il peut également assumer et/ou partager sa fonction. (Voir figure 2.)

Figure 2. Exemple d'illustration d'interrupteurs principaux électriques et pneumatiques

Dispositif de déconnexion de sécurité

Un dispositif de déconnexion de sécurité ne déconnecte pas l'ensemble du système technique de la source d'énergie ; au lieu de cela, il supprime l'énergie des parties du système critiques pour un sous-système opérationnel particulier. Des interventions de courte durée peuvent être désignées pour des sous-systèmes opérationnels - par exemple, pour la configuration ou la réinitialisation/réinstallation du système, pour la réparation de dysfonctionnements, pour le nettoyage régulier, et pour les mouvements essentiels et désignés et les séquences de fonctions requises pendant le cours de configuration, de réinitialisation/réinstallation ou de tests. Dans ces cas, les équipements de production complexes et les usines ne peuvent pas simplement être arrêtés avec un interrupteur principal, car l'ensemble du système technique ne pourrait pas redémarrer là où il s'était arrêté après la réparation d'un dysfonctionnement. De plus, le dispositif interrupteur général est rarement situé, dans les systèmes techniques les plus étendus, à l'endroit où l'intervention doit être faite. Ainsi, le dispositif de déconnexion de sécurité est obligé de remplir un certain nombre d'exigences, telles que les suivantes :

• Il interrompt le flux d'énergie de manière fiable et de manière à ce que des mouvements ou processus dangereux ne soient pas déclenchés par des signaux de commande entrés par erreur ou générés par erreur.
• Il est installé précisément là où des interruptions doivent être effectuées dans les zones dangereuses des sous-systèmes opérationnels du système technique. Si nécessaire, l'installation peut se faire à plusieurs endroits (par exemple, à différents étages, dans différentes pièces ou à différents points d'accès sur des machines ou des équipements).
• Son dispositif de contrôle a une position "off" clairement marquée qui ne s'enregistre qu'une seule fois après que le flux d'énergie a été coupé de manière fiable.
• Une fois en position "arrêt", son dispositif de commande peut être sécurisé contre un redémarrage sans autorisation (a) si les zones dangereuses en question ne peuvent pas être surveillées de manière fiable depuis la zone de contrôle et (b) si les personnes situées dans la zone dangereuse ne peuvent pas elles-mêmes voir le dispositif de contrôle facilement et constamment, ou (c) si le verrouillage/l'étiquetage est requis par la réglementation ou les procédures de l'organisation.
• Il ne doit déconnecter qu'une seule unité fonctionnelle d'un système technique étendu, si les autres unités fonctionnelles sont en mesure de continuer à fonctionner par elles-mêmes sans danger pour l'intervenant.

Lorsque l'interrupteur principal utilisé dans un système technique donné est en mesure de remplir toutes les exigences d'un dispositif de sectionnement de sécurité, il peut également assumer cette fonction. Mais ce ne sera bien sûr un expédient fiable que dans des systèmes techniques très simples. (Voir figure 3.)

Figure 3. Illustration des principes élémentaires d'un dispositif de déconnexion de sécurité

Équipements de commande pour sous-systèmes opérationnels

Les appareillages de commande permettent de mettre en œuvre et de contrôler en toute sécurité les mouvements et les séquences fonctionnelles nécessaires à la mise en œuvre et à la commande des sous-systèmes opérationnels du système technique. Des appareillages de commande pour les sous-systèmes opérationnels peuvent être nécessaires pour la configuration (lorsque des essais de fonctionnement doivent être exécutés) ; pour la régulation (lorsque des dysfonctionnements dans le fonctionnement du système doivent être réparés ou lorsque des blocages doivent être éliminés) ; ou à des fins de formation (démonstration d'opérations). Dans de tels cas, le fonctionnement normal du système ne peut pas simplement être redémarré, car la personne intervenante serait mise en danger par des mouvements et des processus déclenchés par des signaux de commande entrés par erreur ou générés par erreur. Un appareillage de commande pour les sous-systèmes opérationnels doit être conforme aux exigences suivantes :

• Il doit permettre l'exécution en toute sécurité des mouvements et des processus requis pour les sous-systèmes opérationnels du système technique. Par exemple, certains mouvements seront exécutés à des vitesses réduites, progressivement ou à des niveaux de puissance inférieurs (selon ce qui est approprié), et les processus interrompus immédiatement, en règle générale, si le panneau de commande n'est plus surveillé.
• Ses panneaux de contrôle doivent être situés dans des zones où leur fonctionnement ne met pas en danger l'opérateur et d'où les processus contrôlés sont entièrement visibles.
• Si plusieurs panneaux de contrôle contrôlant divers processus sont présents à un même endroit, ceux-ci doivent être clairement marqués et disposés de manière distincte et compréhensible.
• L'appareillage de commande des sous-systèmes opérationnels ne devrait devenir efficace que lorsque le fonctionnement normal a été désengagé de manière fiable ; c'est-à-dire qu'il doit être garanti qu'aucune commande de contrôle ne peut être émise efficacement à partir d'un fonctionnement normal et prendre le pas sur l'appareillage de commande.
• L'utilisation non autorisée de l'appareillage de commande pour les sous-systèmes opérationnels devrait pouvoir être évitée, par exemple en exigeant l'utilisation d'une clé ou d'un code spécial pour libérer la fonction en question. (Voir figure 4.)

Figure 4. Dispositifs d'actionnement dans les dispositifs de commande pour les sous-systèmes opérationnels mobiles et fixes

L'interrupteur d'urgence

Les interrupteurs d'urgence sont nécessaires lorsque le fonctionnement normal des systèmes techniques peut entraîner des dangers que ni une conception appropriée du système ni la prise de mesures de sécurité appropriées ne sont en mesure d'empêcher. Dans les sous-systèmes opérationnels, l'interrupteur d'urgence fait souvent partie du dispositif de commande du sous-système opérationnel. Lorsqu'il est actionné en cas de danger, l'interrupteur d'urgence met en œuvre des processus qui ramènent le plus rapidement possible le système technique dans un état de fonctionnement sûr. Au regard des priorités de sécurité, la protection des personnes est au premier plan ; la prévention des dommages matériels est secondaire, à moins que ceux-ci ne soient susceptibles de mettre également en danger les personnes. L'interrupteur d'urgence doit répondre aux exigences suivantes :

• Elle doit aboutir le plus rapidement possible à un état de fonctionnement sûr du système technique.
• Son panneau de commande doit être facilement reconnaissable et placé et conçu de telle sorte qu'il puisse être actionné sans difficulté par les personnes en danger et qu'il puisse également être atteint par d'autres intervenants en cas d'urgence.
• Les processus d'urgence qu'il déclenche ne doivent pas entraîner de nouveaux risques ; par exemple, ils ne doivent pas desserrer les dispositifs de serrage ou déconnecter les fixations magnétiques ou bloquer les dispositifs de sécurité.
• Après le déclenchement d'un processus d'interrupteur d'urgence, le système technique ne doit pas pouvoir être redémarré automatiquement par la réinitialisation du panneau de commande de l'interrupteur d'urgence. Au lieu de cela, l'entrée consciente d'une nouvelle commande de contrôle de fonction doit être requise. (Voir figure 5.)

Figure 5. Illustration des principes des panneaux de commande dans les interrupteurs d'urgence

Dispositif de commande de commutateur de fonction

Les dispositifs de commande à commutation de fonction sont utilisés pour activer le système technique pour le fonctionnement normal et pour initier, mettre en œuvre et interrompre les mouvements et les processus désignés pour le fonctionnement normal. Le dispositif de commande de commutation de fonction est utilisé exclusivement dans le cadre du fonctionnement normal du système technique, c'est-à-dire lors de l'exécution non perturbée de toutes les fonctions attribuées. Il est utilisé en conséquence par les personnes qui gèrent le système technique. Les dispositifs de commande de commutation de fonction doivent répondre aux exigences suivantes :

• Leurs panneaux de contrôle doivent être accessibles et faciles à utiliser sans danger.
• Leurs panneaux de contrôle doivent être disposés de manière claire et rationnelle ; par exemple, les boutons de commande doivent fonctionner « rationnellement » en ce qui concerne les mouvements contrôlés de haut en bas, de droite et de gauche. (Les mouvements de contrôle « rationnels » et les effets correspondants peuvent être sujets à des variations locales et sont parfois définis par des stipulations.)
• Leurs panneaux de contrôle doivent être étiquetés de manière claire et intelligible, avec des symboles facilement compréhensibles.
• Les processus qui nécessitent toute l'attention de l'utilisateur pour leur exécution en toute sécurité ne doivent pas pouvoir être déclenchés soit par des signaux de commande générés par erreur, soit par un fonctionnement intempestif des organes de commande qui les régissent. Le traitement des signaux du panneau de commande doit être suffisamment fiable et le fonctionnement involontaire doit être empêché par une conception appropriée du dispositif de commande. (Voir figure 6).

Figure 6. Représentation schématique d'un panneau de contrôle des opérations

Commutateurs de surveillance

Les interrupteurs de surveillance empêchent le démarrage de l'installation technique tant que les conditions de sécurité surveillées ne sont pas remplies et interrompent le fonctionnement dès qu'une condition de sécurité n'est plus remplie. Ils sont utilisés, par exemple, pour surveiller les portes dans les compartiments de protection, pour vérifier la position correcte des protections ou pour s'assurer que les limites de vitesse ou de trajectoire ne sont pas dépassées. Les interrupteurs de surveillance doivent donc satisfaire aux exigences de sécurité et de fiabilité suivantes :

• L'appareillage de commutation utilisé à des fins de surveillance doit émettre le signal de protection de manière particulièrement fiable ; par exemple, un interrupteur de surveillance mécanique peut être conçu pour interrompre le flux de signal automatiquement et avec une fiabilité particulière.
• L'outil de commutation utilisé à des fins de surveillance doit être actionné de manière particulièrement fiable lorsque la condition de sécurité n'est pas remplie (par exemple, lorsque le poussoir d'un interrupteur de surveillance avec interruption automatique est forcé mécaniquement et automatiquement en position d'interruption).
• L'interrupteur de surveillance ne doit pas pouvoir être désactivé de manière incorrecte, du moins pas par inadvertance et sans effort ; cette condition peut être remplie, par exemple, par un interrupteur mécanique à commande automatique avec interruption automatique, lorsque l'interrupteur et l'élément de commande sont solidement fixés. (Voir figure 7).

Figure 7. Schéma d'un interrupteur avec un fonctionnement mécanique positif et une déconnexion positive

Circuits de contrôle de sécurité

Plusieurs des dispositifs de commutation de sécurité décrits ci-dessus n'exécutent pas directement la fonction de sécurité, mais plutôt en émettant un signal qui est ensuite transmis et traité par un circuit de commande de sécurité et atteint finalement les parties du système technique qui exercent la fonction de sécurité proprement dite. Le dispositif de déconnexion de sécurité, par exemple, provoque fréquemment la déconnexion de l'énergie à des points critiques de manière indirecte, alors qu'un interrupteur principal déconnecte généralement directement l'alimentation en courant du système technique.

Étant donné que les circuits de commande de sécurité doivent transmettre des signaux de sécurité de manière fiable, les principes suivants doivent donc être pris en considération :

• La sécurité doit être garantie même lorsque l'énergie extérieure fait défaut ou est insuffisante, par exemple lors de déconnexions ou de fuites.
• Les signaux de protection fonctionnent de manière plus fiable en interrompant le flux de signaux ; par exemple, des interrupteurs de sécurité avec contact d'ouverture ou un contact de relais ouvert.
• La fonction de protection des amplificateurs, transformateurs et similaires peut être réalisée de manière plus fiable sans énergie extérieure ; de tels mécanismes comprennent, par exemple, des dispositifs de commutation électromagnétique ou des évents qui sont fermés au repos.
• Les raccordements effectués par erreur et les fuites dans le circuit de commande de sécurité ne doivent pas entraîner de faux démarrages ou des entraves à l'arrêt ; en particulier en cas de court-circuit entre les conduits d'entrée et de sortie, de fuite à la terre ou de mise à la terre.
• Les influences extérieures affectant le système dans une mesure ne dépassant pas les attentes de l'utilisateur ne doivent pas interférer avec la fonction de sécurité du circuit de contrôle de sécurité.

Les composants utilisés dans les circuits de commande de sécurité doivent exécuter la fonction de sécurité de manière particulièrement fiable. Les fonctions des composants ne répondant pas à cette exigence sont à mettre en oeuvre en ménageant une redondance la plus diversifiée possible et à surveiller.

Noir