56. Prévention des accidents
Éditeur de chapitre : Jorma Saari
Introduction
Jorma Saari
Concepts de l'analyse des accidents
Kirsten Jorgensen
Théorie des causes d'accident
Abdoul Raouf
Facteurs humains dans la modélisation des accidents
Anne-Marie Feyer et Ann M. Williamson
Modèles d'accident : homéostasie du risque
Gérald JS Wilde
Modélisation des accidents
Andrew R. Hale
Modèles de séquences d'accidents
Ragnar Andersson
Modèles d'écart d'accident
Urban Kjellen
MAIM : le modèle d'information sur les accidents du Merseyside
Harry S. Shannon et John Davies
Principes de prévention : L'approche de santé publique pour réduire les blessures en milieu de travail
Gordon S. Smith et Mark A. Veazie
Principes théoriques de la sécurité au travail
Réinald Skiba
Principes de prévention : informations sur la sécurité
Mark R. Lehto et James M. Miller
Coûts des accidents du travail
Diego Andreoni
Cliquez sur un lien ci-dessous pour afficher le tableau dans le contexte de l'article.
1. Taxonomies pour la classification des écarts
2. La matrice Haddon appliquée aux blessures des véhicules à moteur
3. Les dix stratégies de contre-mesure de Haddon pour la construction
4. Informations de sécurité mappées à la séquence accidentelle
5. Recommandations dans les systèmes d'alerte sélectionnés
Pointez sur une vignette pour voir la légende de la figure, cliquez pour voir la figure dans le contexte de l'article.
57. Audits, inspections et enquêtes
Éditeur de chapitre : Jorma Saari
Audits de sécurité et audits de gestion
Johan Van de Kerckhove
Analyse des risques : le modèle de causalité des accidents
Jop Groeneweg
Risques matériels
Carsten D. Groenberg
Analyse des risques : facteurs organisationnels
Urban Kjellen
Inspection du lieu de travail et application de la réglementation
Antoine Linehan
Analyse et rapport : enquête sur les accidents
Michel Monteau
Déclaration et compilation de statistiques sur les accidents
Kirsten Jorgensen
Cliquez sur un lien ci-dessous pour afficher le tableau dans le contexte de l'article.
1. Strates dans la politique de qualité et de sécurité
2. Éléments d'audit de sécurité PAS
3. Évaluation des méthodes de contrôle du comportement
4. Types de défaillances générales et définitions
5. Concepts du phénomène accidentel
6. Variables caractérisant un accident
Pointez sur une vignette pour voir la légende de la figure, cliquez pour voir la figure dans le contexte de l'article.
58. Demandes de sécurité
Éditeurs de chapitre : Kenneth Gerecke et Charles T. Pope
Analyse des Systèmes
Manh Trung Ho
Sécurité des outils électriques portatifs et manuels
Département du travail des États-Unis—Administration de la sécurité et de la santé au travail ; édité par Kenneth Gerecke
Pièces mobiles de machines
Tomas Backström et Marianne Döos
Protection de la machine
Département du travail des États-Unis—Administration de la sécurité et de la santé au travail ; édité par Kenneth Gerecke
Détecteurs de présence
Paul Schreber
Dispositifs de contrôle, d'isolement et de commutation d'énergie
René Troxler
Applications liées à la sécurité
Dietmar Reinert et Karlheinz Meffert
Logiciels et ordinateurs : systèmes automatisés hybrides
Waldemar Karwowski et Jozef Zurada
Principes de conception de systèmes de commande sûrs
Georg Vondracek
Principes de sécurité pour les machines-outils à commande numérique
Toni Retsch, Guido Schmitter et Albert Marty
Principes de sécurité pour les robots industriels
Toni Retsch, Guido Schmitter et Albert Marty
Systèmes de commande électriques, électroniques et électroniques programmables liés à la sécurité
Ron Bell
Exigences techniques pour les systèmes liés à la sécurité basés sur des dispositifs électriques, électroniques et électroniques programmables
John Brazendale et Ron Bell
rollover
Bengt Springfeldt
Chutes d'altitude
Jean Arteau
Espaces confinés
Neil Mc Manus
Principes de prévention : manutention et circulation interne
Kari Häkkinen
Cliquez sur un lien ci-dessous pour afficher le tableau dans le contexte de l'article.
1. Dysfonctionnements possibles d'un circuit de commande à deux boutons
2. Protecteurs de machine
3. Compatibles
4. Méthodes d'alimentation et d'éjection
5. Combinaisons de structures de circuits dans les commandes de machines
6. Niveaux d'intégrité de sécurité pour les systèmes de protection
7. Conception et développement de logiciels
8. Niveau d'intégrité de sécurité : composants de type B
9. Exigences d'intégrité : architectures de systèmes électroniques
10. Chutes d'altitude : Québec 1982-1987
11.Systèmes typiques de prévention et d'arrêt des chutes
12. Différences entre la prévention des chutes et l'arrêt des chutes
13. Modèle de formulaire pour l'évaluation des conditions dangereuses
14. Un exemple de permis d'entrée
Pointez sur une vignette pour voir la légende de la figure, cliquez pour voir la figure dans le contexte de l'article.
59. Politique de sécurité et leadership
Éditeur de chapitre : Jorma Saari
Politique de sécurité, leadership et culture
Dan Peterson
Culture et gestion de la sécurité
Marcel Simard
Climat et sécurité organisationnels
Nicole Dedobbeleer et François Béland
Processus participatif d'amélioration du lieu de travail
Jorma Saari
Méthodes de prise de décision en matière de sécurité
Terje Sten
Perception du risque
Bernhard Zimolong et Rudiger Trimpop
Acceptation des risques
Rudiger Trimpop et Bernhard Zimolong
Cliquez sur un lien ci-dessous pour afficher le tableau dans le contexte de l'article.
1. Mesures climatiques de sécurité
2. Différences entre Tuttava et autres programmes/techniques
3. Un exemple de bonnes pratiques de travail
4. Objectifs de performance dans une usine d'encres d'imprimerie
Pointez sur une vignette pour voir la légende de la figure, cliquez pour voir la figure dans le contexte de l'article.
60. Programmes de sécurité
Éditeur de chapitre : Jorma Saari
Recherche sur la sécurité au travail : un aperçu
Herbert I. Linn et Alfred A. Amendola
Services gouvernementaux
Antoine Linehan
Services de sécurité : consultants
Dan Peterson
Mise en place d'un programme de sécurité
Tom B.Lemon
Programmes de sécurité réussis
Tom B.Lemon
Programmes d'incitation à la sécurité
Gérald JS Wilde
Promotion de la sécurité
Thomas W.Planek
Étude de cas : Campagnes de santé et de sécurité au travail au niveau national en Inde
KC Gupta
Cliquez sur un lien ci-dessous pour afficher le tableau dans le contexte de l'article.
1. Modèles OBM vs. TQM de motivation des employés
2. Usines indiennes : emploi et accidents
Pointez sur une vignette pour voir la légende de la figure, cliquez pour voir la figure dans le contexte de l'article.
Il est généralement admis que les systèmes de contrôle doivent être sûrs pendant leur utilisation. Dans cet esprit, la plupart des systèmes de contrôle modernes sont conçus comme illustré à la figure 1.
Figure 1. Conception générale des systèmes de contrôle
La façon la plus simple de sécuriser un système de contrôle est de construire un mur impénétrable autour de celui-ci afin d'empêcher l'accès ou l'interférence humaine dans la zone dangereuse. Un tel système serait très sûr, bien que peu pratique, car il serait impossible d'y accéder pour effectuer la plupart des travaux de test, de réparation et de réglage. Étant donné que l'accès aux zones dangereuses doit être autorisé sous certaines conditions, des mesures de protection autres que des murs, des clôtures et autres sont nécessaires pour faciliter la production, l'installation, l'entretien et la maintenance.
Certaines de ces mesures de protection peuvent être partiellement ou totalement intégrées dans les systèmes de contrôle, comme suit :
Ces types de mesures de protection sont activés par les opérateurs. Cependant, comme l'être humain représente souvent un point faible dans les applications, de nombreuses fonctions, telles que les suivantes, sont exécutées automatiquement :
Le fonctionnement normal des systèmes de contrôle est la condition préalable la plus importante pour la production. Si une fonction de production est interrompue en raison d'une défaillance du contrôle, c'est tout au plus gênant mais pas dangereux. Si une fonction relative à la sécurité n'est pas exécutée, cela peut entraîner une perte de production, des dommages matériels, des blessures ou même la mort. Par conséquent, les fonctions du système de commande relatives à la sécurité doivent être plus fiables et plus sûres que les fonctions normales du système de commande. Conformément à la directive européenne 89/392/CEE (lignes directrices pour les machines), les systèmes de commande doivent être conçus et construits de manière à être sûrs et fiables.
Les commandes sont constituées d'un certain nombre de composants reliés entre eux de manière à exécuter une ou plusieurs fonctions. Les commandes sont subdivisées en canaux. Un canal est la partie d'une commande qui exécute une fonction spécifique (par exemple, démarrage, arrêt, arrêt d'urgence). Physiquement, le canal est créé par une chaîne de composants (transistors, diodes, relais, portes, etc.) à travers laquelle, d'un composant à l'autre, des informations (principalement électriques) représentant cette fonction sont transférées de l'entrée à la sortie.
Lors de la conception des canaux de commande pour les fonctions relatives à la sécurité (fonctions impliquant des humains), les exigences suivantes doivent être remplies :
Fiabilité
Fiabilité est la capacité d'un canal ou d'un composant de commande à exécuter une fonction requise dans des conditions spécifiées pendant une période de temps donnée sans faillir. (La probabilité pour des composants ou des canaux de contrôle spécifiques peut être calculée à l'aide de méthodes appropriées.) La fiabilité doit toujours être spécifiée pour une valeur de temps spécifique. Généralement, la fiabilité peut être exprimée par la formule de la figure 2.
Figure 2. Formule de fiabilité
Fiabilité des systèmes complexes
Les systèmes sont construits à partir de composants. Si les fiabilités des composants sont connues, la fiabilité du système dans son ensemble peut être calculée. Dans de tels cas, les dispositions suivantes s'appliquent :
Systèmes série
La fiabilité totale Rtot d'un système série composé de N composants de même fiabilité RC est calculé comme dans la figure 3.
Figure 3. Graphique de fiabilité des composants connectés en série
La fiabilité totale est inférieure à la fiabilité du composant le moins fiable. À mesure que le nombre de composants connectés en série augmente, la fiabilité totale de la chaîne diminue considérablement.
Systèmes parallèles
La fiabilité totale Rtot d'un système parallèle composé de N composants de même fiabilité RC est calculé comme dans la figure 4.
Figure 4. Graphique de fiabilité des composants connectés en parallèle
La fiabilité totale peut être améliorée de manière significative grâce à la connexion en parallèle de deux composants ou plus.
La figure 5 illustre un exemple pratique. Notez que le circuit éteindra le moteur de manière plus fiable. Même si le relais A ou B n'ouvre pas son contact, le moteur sera toujours éteint.
Figure 5. Exemple pratique de la figure 4
Calculer la fiabilité totale d'un canal est simple si toutes les fiabilités nécessaires des composants sont connues et disponibles. Dans le cas de composants complexes (circuits intégrés, microprocesseurs, etc.) le calcul de la fiabilité totale est difficile voire impossible si les informations nécessaires ne sont pas publiées par le fabricant.
Sécurité
Lorsque les professionnels parlent de sécurité et demandent des machines sûres, ils parlent de la sécurité de l'ensemble de la machine ou de l'installation. Cette sécurité est cependant trop générale, et pas assez précisément définie pour le concepteur de commandes. La définition suivante de sécurité peut être pratique et utilisable par les concepteurs de circuits de commande : la sécurité est la capacité d'un système de commande à exécuter la fonction requise dans les limites prescrites, pendant une durée donnée, même lorsque des défauts anticipés se produisent. Par conséquent, il doit être clarifié lors de la conception à quel point le canal relatif à la sécurité doit être « sûr ». (Le concepteur peut développer un canal qui est sûr contre la première panne, contre une panne quelconque, contre deux pannes, etc.) De plus, un canal qui remplit une fonction qui est utilisée pour prévenir les accidents peut être essentiellement fiable, mais il n'a pas être inévitablement à l'abri des pannes. Ceci peut être mieux expliqué par les exemples suivants :
Exemple 1
L'exemple illustré à la figure 6 est un canal de commande relatif à la sécurité exécutant la fonction de sécurité requise. Le premier composant peut être un interrupteur qui surveille, par exemple, la position d'une porte d'accès à une zone dangereuse. Le dernier composant est un moteur qui entraîne les pièces mécaniques en mouvement dans la zone dangereuse.
Figure 6. Un canal de commande relatif à la sécurité exécutant la fonction de sécurité requise
La fonction de sécurité requise dans ce cas est double : Si la porte est fermée, le moteur peut fonctionner. Si la porte est ouverte, le moteur doit être arrêté. Connaître les fiabilités R1 à R6, il est possible de calculer la fiabilité Rtotal Les concepteurs doivent utiliser des composants fiables afin de maintenir une fiabilité suffisamment élevée de l'ensemble du système de contrôle (c'est-à-dire que la probabilité que cette fonction puisse encore être exécutée dans, disons, même 20 ans doit être prise en compte dans la conception). En conséquence, les concepteurs doivent remplir deux tâches : (1) le circuit doit remplir la fonction requise et (2) la fiabilité des composants et de l'ensemble du canal de commande doit être adéquate.
La question suivante doit maintenant être posée : Le canal susmentionné assurera-t-il les fonctions de sécurité requises même en cas de défaillance du système (par exemple, si un contact de relais est collé ou si un composant fonctionne mal) ? La réponse est non". La raison en est qu'un seul canal de commande constitué uniquement de composants connectés en série et fonctionnant avec des signaux statiques n'est pas à l'abri d'une défaillance. Le canal ne peut avoir qu'une certaine fiabilité, ce qui garantit la probabilité que la fonction soit réalisée. Dans de telles situations, la sécurité s'entend toujours comme lié à une panne.
Exemple 2
Si un canal de commande doit être à la fois fiable et sûr, la conception doit être modifiée comme dans la figure 7. L'exemple illustré est un canal de commande relatif à la sécurité composé de deux sous-canaux entièrement séparés.
Figure 7. Un canal de commande relatif à la sécurité avec deux sous-canaux entièrement séparés
Cette conception est sûre contre la première panne (et d'éventuelles autres pannes dans le même sous-canal), mais n'est pas sûre contre deux pannes qui peuvent se produire dans deux sous-canaux différents (simultanément ou à des moments différents) car il n'y a pas de circuit de détection de panne. Par conséquent, au départ, les deux sous-canaux fonctionnent avec une grande fiabilité (voir système parallèle), mais après la première panne, un seul sous-canal fonctionnera et la fiabilité diminue. Si une deuxième panne survient dans le sous-canal encore en fonctionnement, les deux seront alors défaillants et la fonction de sécurité ne sera plus assurée.
Exemple 3
L'exemple illustré sur la figure 8 est un canal de commande relatif à la sécurité composé de deux sous-canaux entièrement séparés qui se surveillent mutuellement.
Figure 8. Un canal de commande relatif à la sécurité avec deux sous-canaux entièrement séparés qui se surveillent mutuellement
Une telle conception est à l'abri des pannes car après toute panne, un seul sous-canal sera non fonctionnel, tandis que l'autre sous-canal restera disponible et assurera la fonction de sécurité. De plus, la conception a un circuit de détection de panne. Si, en raison d'une panne, les deux sous-canaux ne fonctionnent pas de la même manière, cette condition sera détectée par un circuit "ou exclusif", avec pour résultat que la machine sera automatiquement éteinte. C'est l'un des meilleurs moyens de concevoir des commandes de machine : concevoir des sous-canaux pertinents pour la sécurité. Ils sont sûrs contre une panne et offrent en même temps une fiabilité suffisante pour que les chances que deux pannes se produisent simultanément sont infimes.
Redondance
Il est évident qu'il existe diverses méthodes par lesquelles un concepteur peut améliorer la fiabilité et/ou la sécurité (contre les pannes). Les exemples précédents illustrent comment une fonction (par exemple, porte fermée, le moteur peut fonctionner ; porte ouverte, le moteur doit être arrêté) peut être réalisée par diverses solutions. Certaines méthodes sont très simples (un sous-canal) et d'autres plus compliquées (deux sous-canaux avec supervision mutuelle). (Voir figure 9.)
Figure 9. Fiabilité des systèmes redondants avec ou sans détection de panne
Il existe une certaine redondance dans les circuits et/ou composants complexes par rapport aux composants simples. Redondance peut être définie comme suit : (1) La redondance est la présence de plus de moyens (composants, voies, facteurs de sécurité plus élevés, tests supplémentaires, etc.) qu'il n'en faut réellement pour la simple réalisation de la fonction recherchée ; (2) la redondance n'« améliore » évidemment pas la fonction, qui est quand même réalisée. La redondance ne fait qu'améliorer la fiabilité et/ou la sécurité.
Certains professionnels de la sécurité pensent que la redondance n'est que le doublement ou le triplement, etc., du système. Il s'agit d'une interprétation très limitée, car la redondance peut être interprétée de manière beaucoup plus large et flexible. La redondance peut être non seulement incluse dans le matériel ; il peut également être inclus dans le logiciel. L'amélioration du facteur de sécurité (par exemple, une corde plus solide au lieu d'une corde plus faible) peut également être considérée comme une forme de redondance.
Entropie
Entropie, un terme que l'on trouve principalement en thermodynamique et en astronomie, peut être défini comme suit : Tout tend vers la décomposition. Par conséquent, il est absolument certain que tous les composants, sous-systèmes ou systèmes, indépendamment de la technologie utilisée, tomberont en panne à un moment donné. Cela signifie qu'il n'existe pas de systèmes, sous-systèmes ou composants fiables et/ou sûrs à 100 %. Tous sont simplement plus ou moins fiables et sûrs, selon la complexité de la structure. Les défaillances qui surviennent inévitablement plus tôt ou plus tard démontrent l'action de l'entropie.
Le seul moyen dont disposent les concepteurs pour contrer l'entropie est la redondance, qui est obtenue en (a) introduisant plus de fiabilité dans les composants et (b) en fournissant plus de sécurité dans toute l'architecture du circuit. Ce n'est qu'en augmentant suffisamment la probabilité que la fonction requise soit exécutée pendant la période de temps requise que les concepteurs peuvent, dans une certaine mesure, se défendre contre l'entropie.
Évaluation des risques
Plus le risque potentiel est grand, plus la fiabilité et/ou la sécurité (contre les pannes) requises sont élevées (et vice versa). Ceci est illustré par les deux cas suivants :
Cas 1
L'accès à l'outil de moulage fixé dans une presse à injecter est protégé par une porte. Si la porte est fermée, la machine peut fonctionner, et si la porte est ouverte, tous les mouvements dangereux doivent être arrêtés. En aucun cas (même en cas de défaillance du canal relatif à la sécurité) des mouvements, en particulier ceux qui actionnent l'outil, ne doivent se produire.
Cas 2
L'accès à une chaîne de montage contrôlée automatiquement qui assemble de petits composants en plastique sous pression pneumatique est gardé par une porte. Si cette porte est ouverte, la ligne devra être arrêtée.
Dans le cas 1, si le système de commande de surveillance de porte tombe en panne, une blessure grave peut survenir si l'outil est fermé de manière inattendue. Dans le cas 2, seules des blessures légères ou des dommages insignifiants peuvent survenir si le système de contrôle de surveillance de porte tombe en panne.
Il est évident que dans le premier cas, il faut introduire beaucoup plus de redondance pour atteindre la fiabilité et/ou la sécurité (contre les pannes) requises pour se protéger contre les risques extrêmement élevés. En fait, selon la norme européenne EN 201, le système de contrôle de surveillance de la porte de la machine de moulage par injection doit avoir trois canaux ; dont deux sont électriques et supervisés mutuellement et dont l'un est majoritairement équipé de circuits hydrauliques et d'essais. Ces trois fonctions de surveillance concernent la même porte.
A l'inverse, dans des applications comme celle décrite dans le cas 2, une seule voie activée par un interrupteur à action positive est adaptée au risque.
Catégories de contrôle
Étant donné que toutes les considérations ci-dessus sont généralement basées sur la théorie de l'information et sont par conséquent valables pour toutes les technologies, peu importe que le système de contrôle soit basé sur des composants électroniques, électromécaniques, mécaniques, hydrauliques ou pneumatiques (ou un mélange de ceux-ci) , ou sur une autre technologie. L'inventivité du concepteur d'une part et les questions économiques d'autre part sont les principaux facteurs affectant un nombre presque infini de solutions quant à la manière de réaliser des caniveaux importants pour la sécurité.
Pour éviter toute confusion, il est pratique de fixer certains critères de tri. Les structures de canaux les plus typiques utilisées dans les commandes de machines pour exécuter des fonctions liées à la sécurité sont classées selon :
Leurs combinaisons (toutes les combinaisons possibles ne sont pas présentées) sont illustrées dans le tableau 1.
Tableau 1. Certaines combinaisons possibles de structures de circuit dans les commandes de machine pour les fonctions liées à la sécurité
Critères (questions) |
Stratégie de base |
|||||
En augmentant la fiabilité (la survenance d'une panne est-elle décalée dans un futur peut-être lointain ?) |
Par une structure de circuit (architecture) appropriée, la défaillance sera au moins détectée (Cat. 2) ou l'effet de défaillance sur le canal sera éliminé (Cat. 3) ou la défaillance sera immédiatement révélée (Cat. 4) |
|||||
Catégories |
||||||
Cette solution est fondamentalement fausse |
B |
1 |
2 |
3 |
4 |
|
Les composants du circuit peuvent-ils supporter les influences attendues ? sont-ils construits selon l'état de l'art ? |
Non |
Oui |
Oui |
Oui |
Oui |
Oui |
Des composants et/ou des méthodes éprouvés ont-ils été utilisés ? |
Non |
Non |
Oui |
Oui |
Oui |
Oui |
Une panne peut-elle être détectée automatiquement ? |
Non |
Non |
Non |
Oui |
Oui |
Oui |
Une défaillance empêche-t-elle l'exécution de la fonction relative à la sécurité ? |
Oui |
Oui |
Oui |
Oui |
Non |
Non |
Quand la panne sera-t-elle détectée ? |
Jamais |
Jamais |
Jamais |
En avance (au plus tard à la fin d'un intervalle qui ne dépasse pas un cycle machine) |
Immédiatement (lorsque le signal perd de la dynamique |
|
Dans les produits de consommation |
A utiliser dans les machines |
La catégorie applicable à une machine spécifique et à son système de commande relatif à la sécurité est principalement spécifiée dans les nouvelles normes européennes (EN), à moins que l'autorité nationale, l'utilisateur et le fabricant ne conviennent mutuellement qu'une autre catégorie doit être appliquée. Le concepteur développe ensuite un système de contrôle qui répond aux exigences. Par exemple, les considérations régissant la conception d'un canal de contrôle peuvent inclure les éléments suivants :
Ce processus est réversible. En utilisant les mêmes questions, on peut décider à quelle catégorie appartient un canal de contrôle existant, précédemment développé.
Exemples de catégories
Catégorie B
Les composants du canal de commande principalement utilisés dans les biens de consommation doivent résister aux influences attendues et être conçus selon l'état de la technique. Un interrupteur bien conçu peut servir d'exemple.
Catégorie 1
L'utilisation de composants et de méthodes éprouvés est typique pour la catégorie 1. Un exemple de catégorie 1 est un interrupteur à action positive (c'est-à-dire qui nécessite l'ouverture forcée des contacts). Cet interrupteur est conçu avec des pièces robustes et est activé par des forces relativement élevées, atteignant ainsi une fiabilité extrêmement élevée uniquement lors de l'ouverture des contacts. Malgré des contacts collés ou même soudés, ces interrupteurs s'ouvrent. (Remarque : les composants tels que les transistors et les diodes ne sont pas considérés comme des composants éprouvés.) La figure 10 servira d'illustration d'une commande de catégorie 1.
Figure 10. Un interrupteur à action positive
Ce canal utilise le commutateur S à action positive. Le contacteur K est surveillé par le voyant L. L'opérateur est averti que les contacts normalement ouverts (NO) sont collés au moyen du voyant lumineux L. Le contacteur K a des contacts à guidage forcé. (Remarque : les relais ou contacteurs à guidage forcé des contacts ont, par rapport aux relais ou contacteurs habituels, une cage spéciale en matériau isolant de sorte que si les contacts normalement fermés (NC) sont fermés, tous les contacts NO doivent être ouverts, et vice-versa. Cela signifie qu'en utilisant des contacts NF, une vérification peut être effectuée pour déterminer que les contacts de travail ne collent pas ou ne sont pas soudés ensemble.)
Catégorie 2
La catégorie 2 prévoit la détection automatique des pannes. Une détection automatique de panne doit être générée avant chaque mouvement dangereux. Ce n'est que si le test est positif que le mouvement peut être effectué ; sinon la machine sera arrêtée. Des systèmes de détection automatique de panne sont utilisés pour les barrières lumineuses afin de prouver qu'elles fonctionnent toujours. Le principe est illustré sur la figure 1.
Figure 11. Circuit comprenant un détecteur de panne
Ce système de contrôle est testé régulièrement (ou occasionnellement) en injectant une impulsion à l'entrée. Dans un système fonctionnant correctement, cette impulsion sera ensuite transférée à la sortie et comparée à une impulsion provenant d'un générateur de test. Lorsque les deux impulsions sont présentes, le système fonctionne évidemment. Sinon, s'il n'y a pas d'impulsion de sortie, le système est en panne.
Catégorie 3
Les circuits ont été décrits précédemment dans l'exemple 3 dans la section Sécurité de cet article, figure 8.
L'exigence - c'est-à-dire la détection automatique des pannes et la capacité d'exécuter la fonction de sécurité même si une panne s'est produite n'importe où - peut être satisfaite par des structures de contrôle à deux canaux et par une supervision mutuelle des deux canaux.
Pour les commandes de la machine uniquement, les défaillances dangereuses doivent être étudiées. A noter qu'il existe deux types de panne :
Catégorie 4
La catégorie 4 prévoit généralement l'application d'un signal dynamique changeant en continu sur l'entrée. La présence d'un signal dynamique sur les moyens de sortie pour le running ("1"), et l'absence de signal dynamique signifie Arrêtez (« 0 »).
Pour de tels circuits, il est typique qu'après la défaillance d'un composant, le signal dynamique ne soit plus disponible sur la sortie. (Remarque : le potentiel statique sur la sortie n'a pas d'importance.) De tels circuits peuvent être appelés « à sécurité intégrée ». Toutes les pannes seront divulguées immédiatement, pas après le premier changement (comme dans les circuits de catégorie 3).
Autres commentaires sur les catégories de contrôle
Le tableau 1 a été développé pour les commandes de machine habituelles et montre uniquement les structures de circuit de base ; selon la directive machine, il doit être calculé en partant du principe qu'une seule panne se produira dans un cycle de machine. C'est pourquoi la fonction de sécurité n'a pas à être réalisée en cas de deux défaillances simultanées. On suppose qu'une panne sera détectée dans un cycle machine. La machine sera arrêtée puis réparée. Le système de contrôle redémarre alors, pleinement opérationnel, sans défaillance.
L'intention première du concepteur devrait être de ne pas autoriser les défaillances "permanentes", qui ne seraient pas détectées au cours d'un cycle car elles pourraient ensuite être combinées avec une ou plusieurs défaillances nouvelles (cumul des défaillances). De telles combinaisons (une panne permanente et une nouvelle panne) peuvent provoquer un dysfonctionnement même des circuits de catégorie 3.
Malgré ces tactiques, il est possible que deux pannes indépendantes se produisent en même temps dans le même cycle machine. Ce n'est que très improbable, surtout si des composants hautement fiables ont été utilisés. Pour les applications à très haut risque, trois sous-canaux ou plus doivent être utilisés. Cette philosophie est basée sur le fait que le temps moyen entre les pannes est beaucoup plus long que le cycle de la machine.
Cela ne signifie pas, cependant, que le tableau ne peut pas être développé davantage. Le Tableau 1 est fondamentalement et structurellement très similaire au Tableau 2 utilisé dans l'EN 954-1. Cependant, il n'essaie pas d'inclure trop de critères de tri. Les exigences sont définies selon les lois rigoureuses de la logique, de sorte que seules des réponses claires (OUI ou NON) peuvent être attendues. Cela permet une évaluation, un tri et une classification plus précis des circuits soumis (canaux liés à la sécurité) et, enfin et surtout, une amélioration significative de la reproductibilité de l'évaluation.
L'idéal serait que les risques puissent être classés en différents niveaux de risque, puis qu'un lien précis soit établi entre les niveaux de risque et les catégories, le tout indépendamment de la technologie utilisée. Cependant, ce n'est pas tout à fait possible. Peu de temps après la création des catégories, il est devenu clair que même avec la même technologie, diverses questions n'avaient pas suffisamment de réponses. Quel est le meilleur : un composant de catégorie 1 très fiable et bien conçu, ou un système répondant aux exigences de la catégorie 3 avec une faible fiabilité ?
Pour expliquer ce dilemme, il faut distinguer deux qualités : la fiabilité et la sécurité (contre les pannes). Ils ne sont pas comparables, car ces deux qualités ont des caractéristiques différentes :
Compte tenu de ce qui précède, il se peut que la meilleure solution (du point de vue du risque élevé) soit d'utiliser des composants hautement fiables et de les configurer de sorte que le circuit soit protégé contre au moins une panne (de préférence plus). Il est clair qu'une telle solution n'est pas la plus économique. En pratique, le processus d'optimisation est principalement la conséquence de toutes ces influences et considérations.
L'expérience de l'utilisation pratique des catégories montre qu'il est rarement possible de concevoir un système de contrôle qui ne peut utiliser qu'une seule catégorie dans l'ensemble. La combinaison de deux ou même trois parties, chacune d'une catégorie différente, est typique, comme illustré dans l'exemple suivant :
De nombreuses barrières immatérielles de sécurité sont conçues dans la catégorie 4, dans laquelle un canal fonctionne avec un signal dynamique. À la fin de ce système, il y a généralement deux sous-canaux supervisés mutuellement qui fonctionnent avec des signaux statiques. (Cela répond aux exigences de la catégorie 3.)
Selon EN 50100, ces barrières lumineuses sont classées comme Dispositifs de protection électrosensibles de type 4, bien qu'ils soient composés de deux parties. Malheureusement, il n'y a pas d'accord sur la dénomination des systèmes de contrôle constitués de deux parties ou plus, chaque partie appartenant à une autre catégorie.
Systèmes électroniques programmables (PES)
Les principes utilisés pour créer le tableau 1 peuvent, avec certaines restrictions bien sûr, être généralement appliqués également aux SPE.
Système PES uniquement
Lors de l'utilisation des PES pour le contrôle, les informations sont transférées du capteur à l'activateur via un grand nombre de composants. Au-delà, il passe même « par » un logiciel. (Voir figure 12).
Figure 12. Un circuit du système PES
Bien que les PES modernes soient très fiables, la fiabilité n'est pas aussi élevée que celle requise pour le traitement des fonctions de sécurité. Au-delà de cela, les systèmes PES habituels ne sont pas suffisamment sûrs, car ils n'assureront pas la fonction liée à la sécurité en cas de panne. Par conséquent, l'utilisation de PES pour le traitement de fonctions de sécurité sans aucune mesure supplémentaire n'est pas autorisée.
Applications à très faible risque : systèmes avec un PES et des mesures supplémentaires
Lors de l'utilisation d'un seul PES pour le contrôle, le système se compose des parties principales suivantes :
Partie d'entrée
La fiabilité d'un capteur et l'entrée d'un PES peuvent être améliorées en les doublant. Une telle configuration d'entrée à double système peut être en outre supervisée par un logiciel pour vérifier si les deux sous-systèmes fournissent les mêmes informations. Ainsi, les défaillances dans la partie d'entrée peuvent être détectées. C'est presque la même philosophie que celle requise pour la catégorie 3. Cependant, comme la supervision est effectuée par logiciel et une seule fois, cela peut être dénommé 3- (ou pas aussi fiable que 3).
Partie centrale
Bien que cette partie ne puisse pas être bien doublée, elle peut être testée. Lors de la mise sous tension (ou pendant le fonctionnement), une vérification de l'ensemble du jeu d'instructions peut être effectuée. Aux mêmes intervalles, la mémoire peut également être vérifiée par des modèles de bits appropriés. Si de telles vérifications sont effectuées sans échec, les deux parties, CPU et mémoire, fonctionnent évidemment correctement. La partie centrale présente certaines caractéristiques typiques de la catégorie 4 (signal dynamique) et d'autres typiques de la catégorie 2 (tests effectués régulièrement à des intervalles appropriés). Le problème est que ces tests, malgré leur ampleur, ne peuvent pas être vraiment complets, car le système à un seul PSE ne les permet pas par nature.
Partie sortie
Semblable à une entrée, la sortie (y compris les activateurs) peut également être doublée. Les deux sous-systèmes peuvent être supervisés par rapport au même résultat. Les pannes seront détectées et la fonction de sécurité sera exécutée. Cependant, on retrouve les mêmes points faibles que dans la partie input. Par conséquent, la catégorie 3 est choisie dans ce cas.
Dans la figure 13 la même fonction est apportée aux relais A ainsi que B. Les contacts de contrôle a ainsi que b, informe ensuite deux systèmes d'entrée si les deux relais effectuent le même travail (sauf si une panne s'est produite dans l'un des canaux). La supervision est refaite par logiciel.
Figure 13. Un circuit PES avec un système de détection de panne
L'ensemble du système peut être décrit comme catégorie 3-/4/2/3- s'il est correctement et largement réalisé. Néanmoins, les points faibles de tels systèmes tels que décrits ci-dessus ne peuvent pas être totalement éliminés. En fait, les SPE améliorés ne sont effectivement utilisés pour des fonctions liées à la sécurité que là où les risques sont plutôt faibles (Hölscher et Rader 1984).
Applications à faible et moyen risque avec un seul PES
Aujourd'hui, presque toutes les machines sont équipées d'une unité de commande PES. Pour résoudre le problème de fiabilité insuffisante et de sécurité généralement insuffisante contre les défaillances, les méthodes de conception suivantes sont couramment utilisées :
Figure 14. État de l'art pour la catégorie d'arrêt 0
Figure 15. État de l'art pour la catégorie d'arrêt 1
Figure 16. État de l'art pour la catégorie d'arrêt 2
Applications à haut risque : systèmes avec deux (ou plus) PES
Outre la complexité et les dépenses, aucun autre facteur n'empêcherait les concepteurs d'utiliser des systèmes PES entièrement doublés tels que Siemens Simatic S5-115F, 3B6 Typ CAR-MIL, etc. Ceux-ci incluent généralement deux PES identiques avec un logiciel homogène, et supposent l'utilisation de PES "bien éprouvés" et de compilateurs "bien éprouvés" (un PES ou un compilateur éprouvé peut être considéré comme celui qui, dans de nombreuses applications pratiques, sur 3 ans ou plus a montré que les défaillances systématiques ont été évidemment éliminées). Bien que ces systèmes PSE doublés n'aient pas les points faibles des systèmes PSE simples, cela ne signifie pas que les systèmes PSE doublés résolvent tous les problèmes. (Voir figure 17).
Figure 17. Système sophistiqué avec deux SPE
Échecs systématiques
Les défaillances systématiques peuvent résulter d'erreurs dans les spécifications, la conception et d'autres causes, et peuvent être présentes aussi bien dans le matériel que dans les logiciels. Les systèmes à double PES conviennent à une utilisation dans des applications liées à la sécurité. De telles configurations permettent la détection de pannes matérielles aléatoires. Grâce à la diversité du matériel, comme l'utilisation de deux types différents ou de produits de deux fabricants différents, des défaillances matérielles systématiques pourraient être révélées (il est très peu probable qu'une défaillance systématique matérielle identique se produise dans les deux SPE).
Logiciels
Le logiciel est un nouvel élément dans les considérations de sécurité. Le logiciel est soit correct, soit incorrect (en ce qui concerne les pannes). Une fois correct, le logiciel ne peut pas devenir instantanément incorrect (par rapport au matériel). Les objectifs sont d'éradiquer toutes les erreurs du logiciel ou au moins de les identifier.
Il existe différentes manières d'atteindre cet objectif. L'un est le vérification du programme (une deuxième personne tente de découvrir les erreurs lors d'un test ultérieur). Une autre possibilité est culturelle du logiciel, dans lequel deux programmes différents, écrits par deux programmeurs, traitent le même problème. Si les résultats sont identiques (dans certaines limites), on peut supposer que les deux sections de programme sont correctes. Si les résultats sont différents, il est présumé que des erreurs sont présentes. (NB, Le architecture du matériel doit naturellement aussi être pris en compte.)
Résumé
Lors de l'utilisation de PES, les mêmes considérations de base suivantes doivent généralement être prises en compte (comme décrit dans les sections précédentes).
Un nouveau facteur est que pour le système avec un PES, même le logiciel doit être évalué du point de vue de l'exactitude. Le logiciel, s'il est correct, est fiable à 100 %. A ce stade de développement technologique, les meilleures solutions techniques possibles et connues ne seront probablement pas utilisées, les facteurs limitants étant encore économiques. En outre, divers groupes d'experts continuent de développer les normes pour les applications de sécurité des PES (par exemple, EC, EWICS). Bien qu'il existe déjà différentes normes (VDE0801, IEC65A, etc.), cette question est si vaste et complexe qu'aucune d'entre elles ne peut être considérée comme définitive.
Chaque fois que des équipements de production simples et conventionnels, tels que des machines-outils, sont automatisés, il en résulte des systèmes techniques complexes ainsi que de nouveaux risques. Cette automatisation est réalisée grâce à l'utilisation de systèmes de commande numérique par ordinateur (CNC) sur des machines-outils, appelées Machines-outils CNC (par exemple, fraiseuses, centres d'usinage, perceuses et meuleuses). Afin de pouvoir identifier les dangers potentiels inhérents aux outils automatiques, il convient d'analyser les différents modes de fonctionnement de chaque système. Les analyses menées antérieurement indiquent qu'il convient de différencier deux types de fonctionnement : le fonctionnement normal et le fonctionnement spécial.
Il est souvent impossible de prescrire les exigences de sécurité pour les machines-outils à commande numérique sous la forme de mesures spécifiques. C'est peut-être parce qu'il existe trop peu de réglementations et de normes spécifiques aux équipements qui apportent des solutions concrètes. Les exigences de sécurité ne peuvent être déterminées que si les dangers éventuels sont systématiquement identifiés par une analyse des dangers, en particulier si ces systèmes techniques complexes sont équipés de systèmes de commande librement programmables (comme pour les machines-outils à commande numérique).
Dans le cas de machines-outils à commande numérique nouvellement développées, le fabricant est tenu d'effectuer une analyse des risques sur l'équipement afin d'identifier les dangers éventuellement présents et de montrer au moyen de solutions constructives que tous les dangers pour les personnes, dans tous les différents modes de fonctionnement, sont éliminés. Tous les dangers identifiés doivent faire l'objet d'une évaluation des risques dans laquelle chaque risque d'événement dépend de l'étendue des dommages et de la fréquence à laquelle ils peuvent se produire. Le danger à évaluer est également classé dans une catégorie de risque (minimisé, normal, accru). Lorsque le risque ne peut être accepté sur la base de l'évaluation des risques, des solutions (mesures de sécurité) doivent être trouvées. Le but de ces solutions est de réduire la fréquence d'occurrence et l'étendue des dommages d'un incident imprévu et potentiellement dangereux (un « événement »).
Les approches de solutions pour les risques normaux et accrus se trouvent dans la technologie de sécurité indirecte et directe ; pour des risques minimisés, on les trouve dans la technologie de sécurité de référence :
Exigences de sécurité internationales
La directive CE sur les machines (89/392/CEE) de 1989 définit les principales exigences de sécurité et de santé pour les machines. (Conformément à la directive Machines, une machine est considérée comme la somme totale de pièces ou d'appareils interconnectés, dont au moins un peut se déplacer et a donc une fonction.) En outre, des normes individuelles sont créées par des organismes de normalisation internationaux pour illustrer d'éventuelles solutions (par exemple, en s'occupant des aspects fondamentaux de la sécurité ou en examinant les équipements électriques équipant les machines industrielles). L'objectif de ces normes est de préciser les objectifs de protection. Ces exigences de sécurité internationales donnent aux fabricants la base juridique nécessaire pour spécifier ces exigences dans les analyses des dangers et les évaluations des risques susmentionnées.
Modes de fonctionnement
Lors de l'utilisation de machines-outils, une distinction est faite entre le fonctionnement normal et le fonctionnement spécial. Les statistiques et enquêtes indiquent que la majorité des incidents et accidents n'ont pas lieu en fonctionnement normal (c'est-à-dire lors de l'exécution automatique de la mission concernée). Avec ces types de machines et d'installations, l'accent est mis sur des modes de fonctionnement spéciaux tels que la mise en service, le réglage, la programmation, les essais, les vérifications, le dépannage ou la maintenance. Dans ces modes de fonctionnement, les personnes se trouvent généralement dans une zone dangereuse. Le concept de sécurité doit protéger le personnel des événements nuisibles dans ce type de situations.
Fonctionnement normal
Ce qui suit s'applique aux machines automatiques en fonctionnement normal : (1) la machine remplit la mission pour laquelle elle a été conçue et construite sans autre intervention de l'opérateur, et (2) appliquée à un simple tour, cela signifie qu'un la pièce est tournée dans la bonne forme et des copeaux sont produits. Si la pièce est changée manuellement, le changement de pièce est un mode de fonctionnement spécial.
Modes de fonctionnement spéciaux
Les modes de fonctionnement spéciaux sont des processus de travail qui permettent un fonctionnement normal. Sous cette rubrique, par exemple, on inclurait les changements de pièces ou d'outils, la correction d'un défaut dans un processus de production, la correction d'un défaut de machine, le réglage, la programmation, les essais, le nettoyage et l'entretien. En fonctionnement normal, les systèmes automatiques remplissent leurs missions de manière autonome. Du point de vue de la sécurité du travail, cependant, le fonctionnement normal automatique devient critique lorsque l'opérateur doit intervenir dans les processus de travail. Les personnes intervenant dans ces processus ne doivent en aucun cas être exposées à des dangers.
personnel
Lors de la protection des machines-outils, il faut tenir compte des personnes travaillant dans les différents modes de fonctionnement ainsi que des tiers. Les tiers comprennent également ceux qui sont indirectement concernés par la machine, tels que les superviseurs, les inspecteurs, les assistants pour le transport du matériel et les travaux de démontage, les visiteurs et autres.
Exigences et mesures de sécurité pour les accessoires de machines
Les interventions pour les travaux dans des modes de fonctionnement spéciaux signifient que des accessoires spéciaux doivent être utilisés pour garantir que le travail peut être effectué en toute sécurité. Le premier type Les accessoires comprennent les équipements et les éléments permettant d'intervenir dans le processus automatique sans que l'opérateur n'ait à accéder à une zone dangereuse. Ce type d'accessoire comprend (1) des crochets et des pinces à copeaux qui ont été conçus de manière à ce que les copeaux dans la zone d'usinage puissent être retirés ou retirés à travers les ouvertures prévues dans les protections de sécurité, et (2) des dispositifs de serrage de la pièce avec lesquels le matériau de production peut être inséré ou retiré manuellement d'un cycle automatique
Divers modes de fonctionnement particuliers, par exemple des travaux de correction ou des travaux de maintenance, obligent le personnel à intervenir sur un système. Dans ces cas également, il existe toute une gamme d'accessoires de machine conçus pour augmenter la sécurité du travail, par exemple des dispositifs pour manipuler les meules lourdes lors du changement de celles-ci sur les meuleuses, ainsi que des élingues de grue spéciales pour le démontage ou le montage de composants lourds lors de les machines sont révisées. Ces appareils sont les deuxième type d'accessoire de machine pour augmenter la sécurité pendant le travail dans des opérations spéciales. Les systèmes de contrôle de fonctionnement spéciaux peuvent également être considérés comme représentant un deuxième type d'accessoire de machine. Des activités particulières peuvent être réalisées en toute sécurité avec de tels accessoires, par exemple, un dispositif peut être mis en place dans les axes de la machine lorsque des mouvements d'avance sont nécessaires avec les protecteurs ouverts.
Ces systèmes de commande de fonctionnement spéciaux doivent répondre à des exigences de sécurité particulières. Par exemple, ils doivent s'assurer que seul le mouvement demandé est effectué de la manière demandée et uniquement pendant la durée demandée. Le système de commande de fonctionnement spécial doit donc être conçu de manière à éviter que toute action erronée ne se transforme en mouvements ou états dangereux.
Un équipement qui augmente le degré d'automatisation d'une installation peut être considéré comme un troisième type d'accessoire de machine pour augmenter la sécurité de travail. Des actions qui étaient auparavant effectuées manuellement sont effectuées automatiquement par la machine en fonctionnement normal, comme les équipements dont les chargeurs portiques, qui changent automatiquement les pièces sur les machines-outils. La sauvegarde du fonctionnement normal automatique pose peu de problèmes parce que l'intervention d'un opérateur au cours des événements est inutile et parce que d'éventuelles interventions peuvent être empêchées par des dispositifs de sécurité.
Exigences et mesures de sécurité pour l'automatisation des machines-outils
Malheureusement, l'automatisation n'a pas permis d'éliminer les accidents dans les usines de production. Les enquêtes montrent simplement un déplacement de la survenance des accidents du fonctionnement normal vers le fonctionnement spécial, principalement dû à l'automatisation du fonctionnement normal de sorte que les interventions en cours de production ne sont plus nécessaires et que le personnel n'est donc plus exposé au danger. D'autre part, les machines hautement automatiques sont des systèmes complexes qui sont difficiles à évaluer lorsque des défauts surviennent. Même les spécialistes chargés de remédier aux pannes ne sont pas toujours en mesure de le faire sans encourir d'accidents. La quantité de logiciels nécessaires pour faire fonctionner des machines de plus en plus complexes augmente en volume et en complexité, avec pour résultat qu'un nombre croissant d'ingénieurs électriciens et de mise en service sont victimes d'accidents. Il n'y a pas de logiciel parfait, et les changements de logiciel entraînent souvent des changements ailleurs qui n'étaient ni attendus ni souhaités. Afin d'éviter que la sécurité ne soit affectée, un comportement défectueux dangereux causé par une influence externe et des défaillances de composants ne doit pas être possible. Cette condition ne peut être remplie que si le circuit de sécurité est conçu le plus simplement possible et séparé du reste des commandes. Les éléments ou sous-ensembles utilisés dans le circuit de sécurité doivent également être à sécurité intégrée.
Il incombe au concepteur de développer des conceptions qui satisfont aux exigences de sécurité. Le concepteur ne peut éviter d'avoir à considérer avec le plus grand soin les procédures de travail nécessaires, y compris les modes de fonctionnement particuliers. Des analyses doivent être faites pour déterminer quelles procédures de travail sécuritaires sont nécessaires et le personnel d'exploitation doit se familiariser avec celles-ci. Dans la majorité des cas, un système de contrôle pour un fonctionnement spécial sera nécessaire. Le système de contrôle observe ou régule généralement un mouvement, alors qu'en même temps, aucun autre mouvement ne doit être initié (car aucun autre mouvement n'est nécessaire pour ce travail, et donc aucun n'est attendu par l'opérateur). Le système de commande ne doit pas nécessairement effectuer les mêmes missions dans les différents modes de fonctionnement particuliers.
Exigences et mesures de sécurité en modes de fonctionnement normal et spécial
Fonctionnement normal
La spécification d'objectifs de sécurité ne doit pas entraver le progrès technique car des solutions adaptées peuvent être sélectionnées. L'utilisation de machines-outils à commande numérique impose des exigences maximales en matière d'analyse des risques, d'évaluation des risques et de concepts de sécurité. Ce qui suit décrit plus en détail plusieurs objectifs de sécurité et solutions possibles.
Objectif de sécurité
Solutions possibles
Objectif de sécurité
Solution possible
Opération spéciale
Les interfaces entre le fonctionnement normal et le fonctionnement spécial (par exemple, dispositifs de verrouillage de porte, barrières lumineuses, tapis de sécurité) sont nécessaires pour permettre au système de contrôle de sécurité de reconnaître automatiquement la présence de personnel. Ce qui suit décrit certains modes de fonctionnement spéciaux (par exemple, réglage, programmation) sur les machines-outils à commande numérique qui nécessitent des mouvements qui doivent être évalués directement sur le site d'utilisation.
Objectifs de sécurité
Solution possible
Exigences sur les systèmes de contrôle de sécurité
L'une des caractéristiques d'un système de contrôle de sécurité doit être que la fonction de sécurité soit garantie de fonctionner chaque fois qu'un défaut survient afin de diriger les processus d'un état dangereux vers un état sûr.
Objectifs de sécurité
Solutions possibles
Conclusion
Il est évident que la tendance croissante des accidents dans les modes d'exploitation normaux et spéciaux ne peut être stoppée sans un concept de sécurité clair et sans équivoque. Ce fait doit être pris en compte lors de la préparation des règlements et directives de sécurité. De nouvelles lignes directrices sous la forme d'objectifs de sécurité sont nécessaires pour permettre des solutions avancées. Cet objectif permet aux concepteurs de choisir la solution optimale pour un cas spécifique tout en démontrant les caractéristiques de sécurité de leurs machines de manière assez simple en décrivant une solution à chaque objectif de sécurité. Cette solution peut alors être comparée à d'autres solutions existantes et acceptées, et si elle est meilleure ou au moins de valeur égale, une nouvelle solution peut alors être choisie. De cette manière, les progrès ne sont pas entravés par des réglementations étroitement formulées.
Principales caractéristiques de la directive CEE sur les machines
La directive du Conseil du 14 juin 1989 concernant le rapprochement des législations des États membres relatives aux machines (89/392/CEE) s'applique à chaque État.
Objectifs de sécurité pour la construction et l'utilisation de machines-outils à commande numérique
1. Tours
1.1 Mode de fonctionnement normal
1.1.1 La zone de travail doit être sécurisée de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques, intentionnellement ou non.
1.1.2 Le magasin d'outils doit être protégé de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques, intentionnellement ou non.
1.1.3 Le magasin de pièces doit être protégé de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques, intentionnellement ou non.
1.1.4 L'enlèvement des copeaux ne doit pas entraîner de blessures corporelles dues aux copeaux ou aux pièces mobiles de la machine.
1.1.5 Les blessures corporelles résultant de l'accès aux systèmes d'entraînement doivent être évitées.
1.1.6 La possibilité d'accéder aux zones dangereuses des convoyeurs à copeaux en mouvement doit être évitée.
1.1.7 Aucune blessure personnelle aux opérateurs ou à des tiers ne doit résulter du vol de pièces ou de parties de celles-ci.
Par exemple, cela peut se produire
1.1.8 Aucune blessure ne doit résulter du vol des dispositifs de serrage de la pièce.
1.1.9 Aucune blessure personnelle ne doit résulter de copeaux volants.
1.1.10 Aucune blessure personnelle ne doit résulter d'outils volants ou de pièces de ceux-ci.
Par exemple, cela peut se produire
1.2 Modes de fonctionnement spéciaux
1.2.1 Changement de pièce.
1.2.1.1 Le serrage de la pièce à usiner doit être effectué de manière à ce qu'aucune partie du corps ne puisse se coincer entre les dispositifs de serrage de fermeture et la pièce à usiner ou entre la pointe du manchon d'avance et la pièce à usiner.
1.2.1.2 Le démarrage d'un entraînement (broches, axes, manchons, têtes tourelles ou convoyeurs à copeaux) à la suite d'une commande défectueuse ou d'une commande invalide doit être empêché.
1.2.1.3 La pièce doit pouvoir être manipulée manuellement ou avec des outils sans danger.
1.2.2 Changement d'outil dans le porte-outil ou la tête de tourelle d'outil.
1.2.2.1 Tout danger résultant d'un comportement défectueux du système ou dû à la saisie d'une commande invalide doit être évité.
1.2.3 Changement d'outil dans le magasin d'outils.
1.2.3.1 Les mouvements dans le magasin d'outils résultant d'une commande défectueuse ou invalide doivent être empêchés pendant le changement d'outil.
1.2.3.2 Il ne doit pas être possible d'accéder à d'autres pièces mobiles de la machine depuis la station de chargement des outils.
1.2.3.3 Il ne doit pas être possible d'atteindre les zones dangereuses lors de la poursuite du mouvement du magasin d'outils ou pendant la recherche. S'ils ont lieu avec les protections pour le mode de fonctionnement normal retirées, ces mouvements ne peuvent être que du type désigné et ne peuvent être effectués que pendant la période de temps ordonnée et uniquement lorsqu'il peut être garanti qu'aucune partie du corps ne se trouve dans ces zones dangereuses. .
1.2.4 Vérification des mesures.
1.2.4.1 L'accès à la zone de travail ne doit être possible qu'après l'arrêt de tous les mouvements.
1.2.4.2 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
1.2.5 Configuration.
1.2.5.1 Si des mouvements sont exécutés pendant la mise en place avec les protections pour le mode de fonctionnement normal retirées, l'opérateur doit être protégé par un autre moyen.
1.2.5.2 Aucun mouvement ou changement de mouvement dangereux ne doit être initié à la suite d'une commande défectueuse ou d'une entrée de commande invalide.
1.2.6 Programmation.
1.2.6.1 Aucun mouvement ne doit être initié pendant la programmation qui met en danger une personne dans la zone de travail.
1.2.7 Défaut de fabrication.
1.2.7.1 Le démarrage d'un variateur résultant d'une commande défectueuse sur consigne d'entrée de commande invalide doit être interdit.
1.2.7.2 Aucun mouvement ou situation dangereux ne doit être déclenché par le déplacement ou le retrait de la pièce ou des déchets.
1.2.7.3 Lorsque des mouvements doivent avoir lieu avec les protecteurs pour le mode d'exploitation normal enlevés, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et seulement s'il peut être garanti qu'aucune partie du corps se trouvent dans ces zones dangereuses.
1.2.8 Dépannage.
1.2.8.1 L'accès aux zones dangereuses des mouvements automatiques doit être interdit.
1.2.8.2 Le démarrage d'un entraînement à la suite d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
1.2.8.3 Un mouvement de la machine lors de la manipulation de la pièce défectueuse doit être empêché.
1.2.8.4 Les blessures résultant de l'éclatement ou de la chute d'une pièce de la machine doivent être évitées.
1.2.8.5 Si, lors de la recherche de pannes, des mouvements doivent avoir lieu avec les protections pour le mode de fonctionnement normal retirées, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et uniquement lorsqu'il peut être assuré que aucune partie du corps ne se trouve dans ces zones dangereuses.
1.2.9 Dysfonctionnement et réparation de la machine.
1.2.9.1 La machine doit être empêchée de démarrer.
1.2.9.2 La manipulation des différentes parties de la machine doit être possible soit manuellement soit avec des outils sans aucun danger.
1.2.9.3 Il ne doit pas être possible de toucher les parties sous tension de la machine.
1.2.9.4 Les blessures corporelles ne doivent pas résulter de l'émission de fluides ou de fluides gazeux.
2. Fraiseuses
2.1 Mode de fonctionnement normal
2.1.1 La zone de travail doit être sécurisée de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques, intentionnellement ou non.
2.1.2 L'enlèvement des copeaux ne doit pas entraîner de blessures corporelles dues aux copeaux ou aux pièces mobiles de la machine.
2.1.3 Les blessures corporelles résultant de l'accès aux systèmes d'entraînement doivent être évitées.
Aucune blessure personnelle aux opérateurs ou à des tiers ne doit résulter de la projection de pièces ou de parties de celles-ci.
Par exemple, cela peut se produire
2.1.4 Aucune blessure ne doit résulter du vol des dispositifs de serrage de la pièce.
2.1.5 Aucune blessure personnelle ne doit résulter de copeaux volants.
2.1.6 Aucune blessure personnelle ne doit résulter d'outils volants ou de pièces de ceux-ci.
Par exemple, cela peut se produire
Modes de fonctionnement spéciaux
2.2.1 Changement de pièce.
2.2.1.1 Lorsque des dispositifs de serrage à moteur sont utilisés, il ne doit pas être possible que des parties du corps se coincent entre les parties de fermeture du dispositif de serrage et la pièce à usiner.
2.2.1.2 Le démarrage d'un entraînement (broche, axe) résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
2.2.1.3 La manipulation de la pièce doit être possible manuellement ou avec des outils sans aucun danger.
2.2.2 Changement d'outil.
2.2.2.1 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
2.2.2.2 Les doigts ne doivent pas pouvoir se coincer lors de la mise en place des outils.
2.2.3 Vérification des mesures.
2.2.3.1 L'accès à la zone de travail ne doit être possible qu'après l'arrêt de tous les mouvements.
2.2.3.2 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
2.2.4 Configuration.
2.2.4.1 Si des mouvements sont exécutés pendant la mise en place avec les protections pour le mode de fonctionnement normal retirées, l'opérateur doit être protégé par un autre moyen.
2.2.4.2 Aucun mouvement ou changement de mouvement dangereux ne doit être initié à la suite d'une commande défectueuse ou d'une entrée de commande invalide.
2.2.5 Programmation.
2.2.5.1 Aucun mouvement ne doit être amorcé pendant la programmation qui met en danger une personne dans la zone de travail.
2.2.6 Défaut de fabrication.
2.2.6.1 Le démarrage du variateur résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
2.2.6.2 Aucun mouvement ou situation dangereux ne doit être provoqué par le déplacement ou le retrait de la pièce ou des déchets.
2.2.6.3 Lorsque des mouvements doivent avoir lieu avec les protecteurs pour le mode d'exploitation normal enlevés, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et seulement s'il peut être garanti qu'aucune partie du corps se trouvent dans ces zones dangereuses.
2.2.7 Dépannage.
2.2.7.1 L'accès aux zones dangereuses des mouvements automatiques doit être interdit.
2.2.7.2 Le démarrage d'un entraînement à la suite d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
2.2.7.3 Tout mouvement de la machine lors de la manipulation de la pièce défectueuse doit être empêché.
2.2.7.4 Les blessures résultant de l'éclatement ou de la chute d'une pièce de la machine doivent être évitées.
2.2.7.5 Si, lors de la recherche de pannes, des mouvements doivent avoir lieu avec les protections pour le mode de fonctionnement normal retirées, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et uniquement lorsqu'il peut être assuré que aucune partie du corps ne se trouve dans ces zones dangereuses.
2.2.8 Dysfonctionnement et réparation de la machine.
2.2.8.1 Le démarrage de la machine doit être empêché.
2.2.8.2 La manipulation des différentes parties de la machine doit être possible manuellement ou avec des outils sans aucun danger.
2.2.8.3 Il ne doit pas être possible de toucher les parties sous tension de la machine.
2.2.8.4 Les blessures corporelles ne doivent pas résulter de l'émission de fluides ou de fluides gazeux.
3. Centres d'usinage
3.1 Mode de fonctionnement normal
3.1.1 La zone de travail doit être sécurisée de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques, intentionnellement ou non.
3.1.2 Le magasin d'outils doit être protégé de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques.
3.1.3 Le magasin de pièces doit être sécurisé de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques.
3.1.4 L'enlèvement des copeaux ne doit pas entraîner de blessures corporelles dues aux copeaux ou aux pièces mobiles de la machine.
3.1.5 Les blessures corporelles résultant de l'accès aux systèmes d'entraînement doivent être évitées.
3.1.6 La possibilité d'accéder aux zones dangereuses des convoyeurs à copeaux en mouvement (convoyeurs à vis, etc.) doit être évitée.
3.1.7 Aucune blessure personnelle aux opérateurs ou à des tiers ne doit résulter du vol de pièces ou de parties de celles-ci.
Par exemple, cela peut se produire
3.1.8 Aucune blessure ne doit résulter du vol des dispositifs de serrage de la pièce.
3.1.9 Aucune blessure personnelle ne doit résulter de copeaux volants.
3.1.10 Aucune blessure personnelle ne doit résulter d'outils volants ou de pièces de ceux-ci.
Par exemple, cela peut se produire
3.2 Modes de fonctionnement spéciaux
3.2.1 Changement de pièce.
3.2.1.1 Lorsque des dispositifs de serrage à moteur sont utilisés, il ne doit pas être possible que des parties du corps se coincent entre les parties de fermeture du dispositif de serrage et la pièce à usiner.
3.2.1.2 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
3.2.1.3 La pièce doit pouvoir être manipulée manuellement ou avec des outils sans aucun danger.
3.2.1.4 En cas de changement de pièces dans un poste de bridage, il ne doit pas être possible depuis cet emplacement d'atteindre ou d'entrer dans les séquences de mouvement automatique de la machine ou du magasin de pièces. Aucun mouvement ne doit être initié par la commande tant qu'une personne est présente dans la zone de bridage. L'insertion automatique de la pièce serrée dans la machine ou le magasin de pièces ne doit avoir lieu que lorsque la station de serrage est également protégée par un système de protection correspondant à celui du mode de fonctionnement normal.
3.2.2 Changement d'outil dans la broche.
3.2.2.1 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
3.2.2.2 Les doigts ne doivent pas pouvoir se coincer lors de la mise en place des outils.
3.2.3 Changement d'outil dans le magasin d'outils.
3.2.3.1 Les mouvements dans le magasin d'outils résultant de commandes défectueuses ou d'entrées de commande non valides doivent être empêchés pendant le changement d'outil.
3.2.3.2 Il ne doit pas être possible d'accéder à d'autres pièces mobiles de la machine depuis la station de chargement des outils.
3.2.3.3 Il ne doit pas être possible d'atteindre les zones dangereuses lors de la poursuite du mouvement du magasin d'outils ou pendant la recherche. S'ils ont lieu avec les protections pour le mode de fonctionnement normal enlevés, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et uniquement lorsqu'il peut être garanti qu'aucune partie du corps ne se trouve dans ces zones dangereuses. .
3.2.4 Vérification des mesures.
3.2.4.1 L'accès à la zone de travail ne doit être possible qu'après l'arrêt de tous les mouvements.
3.2.4.2 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
3.2.5 Configuration.
3.2.5.1 Si des mouvements sont exécutés pendant la mise en place avec les protections pour le mode de fonctionnement normal retirées, l'opérateur doit être protégé par un autre moyen.
3.2.5.2 Aucun mouvement ou changement de mouvement dangereux ne doit être initié à la suite d'une commande défectueuse ou d'une entrée de commande invalide.
3.2.6 Programmation.
3.2.6.1 Aucun mouvement ne doit être amorcé pendant la programmation qui met en danger une personne dans la zone de travail.
3.2.7 Défaut de fabrication.
3.2.7.1 Le démarrage d'un entraînement résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
3.2.7.2 Aucun mouvement ou situation dangereux ne doit être provoqué par le déplacement ou le retrait de la pièce ou des déchets.
3.2.7.3 Lorsque des mouvements doivent avoir lieu avec les protecteurs pour le mode d'exploitation normal enlevés, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et seulement s'il peut être garanti qu'aucune partie du corps se trouvent dans ces zones dangereuses.
3.2.8 Dépannage.
3.2.8.1 L'accès aux zones dangereuses des mouvements automatiques doit être interdit.
3.2.8.2 Le démarrage d'un entraînement à la suite d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
3.2.8.3 Tout mouvement de la machine lors de la manipulation de la pièce défectueuse doit être empêché.
3.2.8.4 Les blessures résultant de l'éclatement ou de la chute d'une pièce de la machine doivent être évitées.
3.2.8.5 Si, lors de la recherche de pannes, des mouvements doivent avoir lieu avec les protections pour le mode de fonctionnement normal retirées, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et uniquement lorsqu'il peut être assuré que aucune partie du corps ne se trouve dans ces zones dangereuses.
3.2.9 Dysfonctionnement et réparation de la machine.
3.2.9.1 Le démarrage de la machine doit être empêché.
3.2.9.2 La manipulation des différentes parties de la machine doit être possible manuellement ou avec des outils sans aucun danger.
3.2.9.3 Il ne doit pas être possible de toucher les parties sous tension de la machine.
3.2.9.4 Les blessures corporelles ne doivent pas résulter de l'émission de fluides ou de fluides gazeux.
4. Rectifieuses
4.1 Mode de fonctionnement normal
4.1.1 La zone de travail doit être sécurisée de manière à ce qu'il soit impossible d'atteindre ou d'entrer dans les zones dangereuses des mouvements automatiques, intentionnellement ou non.
4.1.2 Les blessures corporelles résultant de l'accès aux systèmes d'entraînement doivent être évitées.
4.1.3 Aucune blessure personnelle aux opérateurs ou à des tiers ne doit résulter du vol de pièces ou de parties de celles-ci.
Par exemple, cela peut se produire
4.1.4 Aucune blessure ne doit résulter du vol des dispositifs de serrage de la pièce.
4.1.5 Aucune blessure ou incendie ne doit résulter d'étincelles.
4.1.6 Aucune blessure personnelle ne doit résulter des pièces volantes des meules.
Par exemple, cela peut se produire
Modes de fonctionnement spéciaux
4.2.1 Changement de pièce.
4.2.1.1 Lorsque des dispositifs de serrage à moteur sont utilisés, il ne doit pas être possible que des parties du corps se coincent entre les parties de fermeture du dispositif de serrage et la pièce à usiner.
4.2.1.2 Le démarrage d'un entraînement d'avance résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
4.2.1.3 Les blessures causées par la meule en rotation doivent être évitées lors de la manipulation de la pièce.
4.2.1.4 Les blessures corporelles résultant d'une meule qui éclate ne doivent pas être possibles.
4.2.1.5 La manipulation de la pièce doit être possible manuellement ou avec des outils sans aucun danger.
4.2.2 Changement d'outil (changement de meule)
4.2.2.1 Le démarrage d'un entraînement d'avance résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
4.2.2.2 Les blessures causées par la meule en rotation ne doivent pas être possibles pendant les procédures de mesure.
4.2.2.3 Les blessures corporelles résultant d'une meule qui éclate ne doivent pas être possibles.
4.2.3 Vérification des mesures.
4.2.3.1 Le démarrage d'un entraînement d'avance résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
4.2.3.2 Les blessures causées par la meule en rotation ne doivent pas être possibles pendant les procédures de mesure.
4.2.3.3 Les blessures corporelles résultant d'une meule qui éclate ne doivent pas être possibles.
4.2.4. Installer.
4.2.4.1 Si des mouvements sont exécutés pendant la mise en place avec les protections pour le mode de fonctionnement normal retirées, l'opérateur doit être protégé par un autre moyen.
4.2.4.2 Aucun mouvement ou changement de mouvement dangereux ne doit être initié à la suite d'une commande défectueuse ou d'une entrée de commande invalide.
4.2.5 Programmation.
4.2.5.1 Aucun mouvement ne doit être amorcé pendant la programmation qui met en danger une personne dans la zone de travail.
4.2.6 Défaut de fabrication.
4.2.6.1 Le démarrage d'un entraînement d'avance résultant d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
4.2.6.2 Aucun mouvement ou situation dangereux ne doit être provoqué par le déplacement ou le retrait de la pièce ou des déchets.
4.2.6.3 Lorsque des mouvements doivent avoir lieu avec les protecteurs pour le mode d'exploitation normal enlevés, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et seulement s'il peut être garanti qu'aucune partie du corps se trouvent dans ces zones dangereuses.
4.2.6.4 Les blessures causées par la meule en rotation doivent être évitées.
4.2.6.5 Les blessures corporelles résultant d'une meule qui éclate ne doivent pas être possibles.
4.2.7 Dépannage.
4.2.7.1 L'accès aux zones dangereuses des mouvements automatiques doit être interdit.
4.2.7.2 Le démarrage d'un entraînement à la suite d'une commande défectueuse ou d'une entrée de commande invalide doit être empêché.
4.2.7.3 Tout mouvement de la machine lors de la manipulation de la pièce défectueuse doit être empêché.
4.2.7.4 Les blessures résultant de l'éclatement ou de la chute d'une pièce de la machine doivent être évitées.
4.2.7.5 Les blessures causées par le contact de l'opérateur ou par l'éclatement de la meule en rotation doivent être évitées.
4.2.7.6 Si, lors de la recherche de pannes, des mouvements doivent avoir lieu avec les protections pour le mode de fonctionnement normal retirées, ces mouvements ne peuvent être que du type désigné et exécutés uniquement pendant la période de temps ordonnée et uniquement lorsqu'il peut être assuré que aucune partie du corps ne se trouve dans ces zones dangereuses.
4.2.8 Dysfonctionnement et réparation de la machine.
4.2.8.1 Le démarrage de la machine doit être empêché.
4.2.8.2 La manipulation des différentes parties de la machine doit être possible manuellement ou avec des outils sans aucun danger.
4.2.8.3 Il ne doit pas être possible de toucher les parties sous tension de la machine.
4.2.8.4 Les blessures corporelles ne doivent pas résulter de l'émission de fluides ou de fluides gazeux.
Les robots industriels se retrouvent partout dans l'industrie partout où des exigences de productivité élevées doivent être satisfaites. L'utilisation de robots nécessite cependant la conception, l'application et la mise en œuvre des contrôles de sécurité appropriés afin d'éviter de créer des risques pour le personnel de production, les programmeurs, les spécialistes de la maintenance et les ingénieurs système.
Pourquoi les robots industriels sont-ils dangereux ?
Une définition des robots est « des machines automatiques en mouvement librement programmables et capables de fonctionner avec peu ou pas d'interface humaine ». Ces types de machines sont actuellement utilisés dans une grande variété d'applications dans l'industrie et la médecine, y compris la formation. Les robots industriels sont de plus en plus utilisés pour des fonctions clés, telles que les nouvelles stratégies de fabrication (CIM, JIT, lean production, etc.) dans des installations complexes. Leur nombre et leur étendue d'applications ainsi que la complexité des équipements et des installations entraînent des risques tels que :
Des enquêtes au Japon indiquent que plus de 50% des accidents de travail avec des robots peuvent être attribués à des défauts dans les circuits électroniques du système de contrôle. Dans les mêmes enquêtes, «l'erreur humaine» était responsable de moins de 20%. La conclusion logique de cette constatation est que les dangers causés par des défaillances du système ne peuvent être évités par des mesures comportementales prises par des êtres humains. Les concepteurs et les exploitants doivent donc prévoir et mettre en œuvre des mesures techniques de sécurité (voir figure 1).
Figure 1. Système de commande de fonctionnement spécial pour la mise en place d'un robot de soudage mobile
Accidents et modes opératoires
Des accidents mortels impliquant des robots industriels ont commencé à se produire au début des années 1980. Les statistiques et enquêtes indiquent que la majorité des incidents et accidents n'ont pas lieu en exploitation normale (réalisation automatique de la mission concernée). Lorsque vous travaillez avec des machines et des installations de robots industriels, l'accent est mis sur les modes de fonctionnement spéciaux tels que la mise en service, la configuration, la programmation, les essais, les vérifications, le dépannage ou la maintenance. Dans ces modes de fonctionnement, les personnes se trouvent généralement dans une zone dangereuse. Le concept de sécurité doit protéger le personnel des événements négatifs dans ce type de situations.
Exigences de sécurité internationales
La directive Machines de la CEE de 1989 (89/392/CEE (voir l'article « Principes de sécurité pour les machines-outils à commande numérique » dans ce chapitre et ailleurs dans ce Encyclopédie)) établit les principales exigences de sécurité et de santé pour les machines. Une machine est considérée comme la somme totale de pièces ou d'appareils interconnectés, dont au moins une pièce ou un appareil peut se déplacer et a donc une fonction. En ce qui concerne les robots industriels, il convient de noter que l'ensemble du système, et non un seul équipement sur la machine, doit répondre aux exigences de sécurité et être équipé des dispositifs de sécurité appropriés. L'analyse des dangers et l'évaluation des risques sont des méthodes appropriées pour déterminer si ces exigences ont été satisfaites (voir figure 2).
Figure 2. Schéma fonctionnel d'un système de sécurité du personnel
Exigences et mesures de sécurité en fonctionnement normal
L'utilisation de la technologie robotique impose des exigences maximales en matière d'analyse des dangers, d'évaluation des risques et de concepts de sécurité. Pour cette raison, les exemples et suggestions suivants ne peuvent servir qu'à titre indicatif :
1. Compte tenu de l'objectif de sécurité selon lequel l'accès manuel ou physique aux zones dangereuses impliquant des mouvements automatiques doit être empêché, les solutions suggérées incluent les suivantes :
2. Compte tenu de l'objectif de sécurité selon lequel personne ne peut être blessé à la suite de la libération d'énergie (pièces volantes ou faisceaux d'énergie), les solutions suggérées comprennent :
3. Les interfaces entre le fonctionnement normal et le fonctionnement spécial (par exemple, dispositifs de verrouillage de porte, barrières lumineuses, tapis de sécurité) sont nécessaires pour permettre au système de contrôle de sécurité de reconnaître automatiquement la présence de personnel.
Exigences et mesures de sécurité dans les modes de fonctionnement spéciaux
Certains modes de fonctionnement particuliers (par exemple, réglage, programmation) sur un robot industriel nécessitent des mouvements qui doivent être évalués directement sur le site d'exploitation. L'objectif de sécurité pertinent est qu'aucun mouvement ne puisse mettre en danger les personnes impliquées. Les mouvements doivent être
Une solution suggérée à cet objectif pourrait impliquer l'utilisation de systèmes de commande de fonctionnement spéciaux qui permettent uniquement des mouvements contrôlables et gérables à l'aide de commandes acquittables. La vitesse des mouvements est ainsi réduite en toute sécurité (réduction d'énergie par la connexion d'un transformateur d'isolement ou l'utilisation d'un équipement de surveillance de l'état de sécurité) et la condition de sécurité est acquittée avant que la commande ne soit autorisée à s'activer (voir figure 3).
Figure 3. Robot industriel à six axes dans une cage de sécurité avec des barrières matérielles
Exigences sur les systèmes de contrôle de sécurité
L'une des caractéristiques d'un système de contrôle de sécurité doit être que la fonction de sécurité requise est garantie de fonctionner chaque fois qu'un défaut survient. Les robots industriels doivent être dirigés presque instantanément d'un état dangereux à un état sûr. Les mesures de contrôle de la sécurité nécessaires pour atteindre cet objectif comprennent les objectifs de sécurité suivants :
Les solutions suggérées pour fournir des systèmes de contrôle de sécurité fiables seraient :
Objectifs de sécurité pour la construction et l'utilisation de robots industriels.
Lorsque des robots industriels sont construits et utilisés, les fabricants ainsi que les utilisateurs sont tenus d'installer des contrôles de sécurité à la pointe de la technologie. Outre l'aspect de la responsabilité juridique, il peut également y avoir une obligation morale de s'assurer que la technologie robotique est également une technologie sûre.
Mode de fonctionnement normal
Les conditions de sécurité suivantes doivent être fournies lorsque les machines robotisées fonctionnent en mode normal :
Modes de fonctionnement spéciaux
Les conditions de sécurité suivantes doivent être fournies lorsque les machines robotisées fonctionnent dans des modes spéciaux :
Les éléments suivants doivent être évités lors de la réparation d'une panne dans le processus de production :
Les conditions de sécurité suivantes doivent être assurées lors de la configuration :
Aucun mouvement dangereux ne doit être initié à la suite d'une commande erronée ou d'une entrée de commande incorrecte.
Lors de la programmation, les conditions de sécurité suivantes sont applicables :
Les opérations de test en toute sécurité nécessitent les précautions suivantes :
Empêcher l'accès manuel ou physique aux zones dangereuses en raison des mouvements automatiques.
Lors de l'inspection des machines robotisées, les procédures de sécurité incluent les éléments suivants :
Le dépannage nécessite souvent le démarrage de la machine robot alors qu'elle se trouve dans une condition potentiellement dangereuse, et des procédures de travail sûres spéciales telles que les suivantes doivent être mises en œuvre :
La résolution d'un défaut et les travaux de maintenance peuvent également nécessiter un démarrage alors que la machine est dans un état dangereux, et nécessitent donc les précautions suivantes :
Cet article traite de la conception et de la mise en œuvre de systèmes de commande liés à la sécurité qui traitent de tous les types de systèmes électriques, électroniques et électroniques programmables (y compris les systèmes informatisés). L'approche globale est conforme à la norme 1508 proposée par la Commission électrotechnique internationale (CEI) (Sécurité fonctionnelle : relative à la sécurité
Système) (CEI 1993).
Contexte
Au cours des années 1980, les systèmes informatisés - généralement appelés systèmes électroniques programmables (PES) - ont été de plus en plus utilisés pour exécuter des fonctions de sécurité. Les principales forces motrices de cette tendance étaient (1) l'amélioration des fonctionnalités et des avantages économiques (en particulier compte tenu du cycle de vie total de l'appareil ou du système) et (2) l'avantage particulier de certaines conceptions, qui ne pouvaient être réalisées que lorsque la technologie informatique était utilisée. . Au cours de l'introduction précoce des systèmes informatisés, un certain nombre de constatations ont été faites :
Afin de résoudre ces problèmes, plusieurs organismes ont publié ou commencé à élaborer des lignes directrices pour permettre l'exploitation en toute sécurité de la technologie PES. Au Royaume-Uni, le Health and Safety Executive (HSE) a élaboré des directives pour les systèmes électroniques programmables utilisés pour les applications liées à la sécurité, et en Allemagne, un projet de norme (DIN 1990) a été publié. Au sein de la Communauté européenne, un élément important des travaux sur les normes européennes harmonisées concernant les systèmes de commande relatifs à la sécurité (y compris ceux utilisant des SPE) a été lancé en relation avec les exigences de la directive Machines. Aux États-Unis, l'Instrument Society of America (ISA) a produit une norme sur les PES à utiliser dans les industries de transformation, et le Center for Chemical Process Safety (CCPS), une direction de l'American Institute of Chemical Engineers, a produit des lignes directrices pour le secteur des procédés chimiques.
Une importante initiative de normalisation est actuellement en cours au sein de la CEI pour développer une norme internationale générique pour les systèmes électriques, électroniques et électroniques programmables (E/E/PES) relatifs à la sécurité qui pourrait être utilisée par les nombreux secteurs d'application, y compris les processus, secteurs médical, des transports et des machines. La norme internationale CEI proposée comprend sept parties sous le titre général CEI 1508. Sécurité fonctionnelle des systèmes électriques/électroniques/électroniques programmables relatifs à la sécurité. Les différentes parties sont les suivantes :
Une fois finalisée, cette Norme internationale à base générique constituera une publication CEI de sécurité fondamentale couvrant la sécurité fonctionnelle des systèmes électriques, électroniques et électroniques programmables relatifs à la sécurité et aura des implications pour toutes les normes CEI, couvrant tous les secteurs d'application en ce qui concerne la conception et l'utilisation futures des systèmes électriques/électroniques/électroniques programmables liés à la sécurité. L'un des principaux objectifs de la norme proposée est de faciliter l'élaboration de normes pour les différents secteurs (voir figure 1).
Figure 1. Normes génériques et sectorielles d'application
Avantages et problèmes du PSE
L'adoption des PES à des fins de sécurité présentait de nombreux avantages potentiels, mais il a été reconnu que ceux-ci ne seraient atteints que si des méthodologies de conception et d'évaluation appropriées étaient utilisées, car : (1) de nombreuses caractéristiques des PES ne permettent pas l'intégrité de la sécurité (c'est-à-dire c'est-à-dire que les performances de sécurité des systèmes exécutant les fonctions de sécurité requises) doivent être prédites avec le même degré de confiance que celui qui est traditionnellement disponible pour les systèmes matériels moins complexes ("câblés") ; (2) il a été reconnu que si les tests étaient nécessaires pour les systèmes complexes, ils n'étaient pas suffisants en eux-mêmes. Cela signifiait que même si le SPE mettait en œuvre des fonctions de sécurité relativement simples, le niveau de complexité de l'électronique programmable était nettement supérieur à celui des systèmes câblés qu'ils remplaçaient ; et (3) cette montée en complexité signifiait que les méthodologies de conception et d'évaluation devaient être beaucoup plus prises en compte qu'auparavant, et que le niveau de compétence personnelle requis pour atteindre des niveaux de performance adéquats des systèmes relatifs à la sécurité était par la suite plus élevé.
Les avantages des SPE informatisés sont les suivants :
L'utilisation de systèmes informatisés dans des applications liées à la sécurité crée un certain nombre de problèmes qui doivent être résolus de manière adéquate, tels que les suivants :
Systèmes de sécurité à l'étude
Les types de systèmes relatifs à la sécurité considérés sont les systèmes électriques, électroniques et électroniques programmables (E/E/PES). Le système comprend tous les éléments, en particulier les signaux provenant de capteurs ou d'autres dispositifs d'entrée sur l'équipement sous contrôle, et transmis via des autoroutes de données ou d'autres voies de communication aux actionneurs ou à d'autres dispositifs de sortie (voir figure 2).
Figure 2. Système électrique, électronique et électronique programmable (E/E/PES)
Le terme appareil électrique, électronique et électronique programmable a été utilisé pour englober une grande variété de dispositifs et couvre les trois classes principales suivantes :
Par définition, un système relatif à la sécurité a deux objectifs :
Ce concept est illustré à la figure 3.
Figure 3. Principales caractéristiques des systèmes liés à la sécurité
Pannes du système
Afin d'assurer un fonctionnement sûr des systèmes E/E/PES relatifs à la sécurité, il est nécessaire de reconnaître les diverses causes possibles de défaillance du système relatif à la sécurité et de s'assurer que des précautions adéquates sont prises contre chacune. Les défaillances sont classées en deux catégories, comme illustré à la figure 4.
Figure 4. Catégories de défaillance
Protection des systèmes liés à la sécurité
Les termes utilisés pour indiquer les mesures de précaution requises par un système relatif à la sécurité pour se protéger contre les pannes matérielles aléatoires et les pannes systématiques sont mesures d'intégrité de la sécurité du matériel ainsi que mesures systématiques d'intégrité de la sécurité respectivement. Les mesures de précaution qu'un système lié à la sécurité peut appliquer contre les pannes matérielles aléatoires et les pannes systématiques sont appelées intégrité de la sécurité. Ces concepts sont illustrés dans la figure 5.
Figure 5. Termes de performance de sécurité
Dans la norme internationale CEI 1508 proposée, il existe quatre niveaux d'intégrité de sécurité, appelés niveaux d'intégrité de sécurité 1, 2, 3 et 4. Le niveau d'intégrité de sécurité 1 est le niveau d'intégrité de sécurité le plus bas et le niveau d'intégrité de sécurité 4 est le plus élevé. Le niveau d'intégrité de la sécurité (qu'il soit 1, 2, 3 ou 4) pour le système relatif à la sécurité dépendra de l'importance du rôle joué par le système relatif à la sécurité pour atteindre le niveau de sécurité requis pour l'équipement sous contrôle. Plusieurs systèmes liés à la sécurité peuvent être nécessaires, dont certains peuvent être basés sur la technologie pneumatique ou hydraulique.
Conception de systèmes liés à la sécurité
Une analyse récente de 34 incidents impliquant des systèmes de contrôle (HSE) a révélé que 60 % de tous les cas de défaillance avaient été « intégrés » avant que le système de contrôle lié à la sécurité n'ait été mis en service (figure 7). La prise en compte de toutes les phases du cycle de vie de la sécurité est nécessaire si l'on veut produire des systèmes adéquats relatifs à la sécurité.
Figure 7. Cause principale (par phase) de la défaillance du système de contrôle
La sécurité fonctionnelle des systèmes relatifs à la sécurité dépend non seulement de la garantie que les exigences techniques sont correctement spécifiées, mais également de la garantie que les exigences techniques sont effectivement mises en œuvre et que l'intégrité de la conception initiale est maintenue tout au long de la vie de l'équipement. Cela ne peut être réalisé que si un système de gestion de la sécurité efficace est en place et que les personnes impliquées dans toute activité sont compétentes en ce qui concerne les tâches qu'elles doivent accomplir. En particulier lorsque des systèmes complexes liés à la sécurité sont impliqués, il est essentiel qu'un système de gestion de la sécurité adéquat soit en place. Cela conduit à une stratégie qui garantit ce qui suit :
Afin de répondre de manière systématique à toutes les exigences techniques pertinentes de la sécurité fonctionnelle, le concept de cycle de vie de la sécurité a été développé. Une version simplifiée du cycle de vie de la sécurité dans la norme internationale émergente CEI 1508 est illustrée à la figure 8. Les phases clés du cycle de vie de la sécurité sont :
Figure 8. Rôle du cycle de vie de sécurité dans la réalisation de la sécurité fonctionnelle
Niveau de sécurité
La stratégie de conception pour l'obtention de niveaux adéquats d'intégrité de sécurité pour les systèmes relatifs à la sécurité est illustrée dans la figure 9 et la figure 10. Un niveau d'intégrité de sécurité est basé sur le rôle que le système relatif à la sécurité joue dans la réalisation du niveau global de sécurité pour les équipements sous contrôle. Le niveau d'intégrité de sécurité spécifie les précautions qui doivent être prises en compte dans la conception contre les pannes matérielles aléatoires et systématiques.
Figure 9. Rôle des niveaux d'intégrité de sécurité dans le processus de conception
Figure 10. Rôle du cycle de vie de sécurité dans le processus de spécification et de conception
Le concept de sécurité et de niveau de sécurité s'applique à l'équipement sous contrôle. Le concept de sécurité fonctionnelle s'applique aux systèmes relatifs à la sécurité. La sécurité fonctionnelle des systèmes relatifs à la sécurité doit être atteinte si l'on veut atteindre un niveau de sécurité adéquat pour l'équipement à l'origine du danger. Le niveau de sécurité spécifié pour une situation spécifique est un facteur clé dans la spécification des exigences d'intégrité de sécurité pour les systèmes relatifs à la sécurité.
Le niveau de sécurité requis dépendra de nombreux facteurs, par exemple, la gravité des blessures, le nombre de personnes exposées au danger, la fréquence à laquelle les personnes sont exposées au danger et la durée de l'exposition. Les facteurs importants seront la perception et les opinions des personnes exposées à l'événement dangereux. Pour déterminer ce qui constitue un niveau de sécurité approprié pour une application spécifique, un certain nombre d'entrées sont prises en compte, notamment :
Résumé
Lors de la conception et de l'utilisation de systèmes liés à la sécurité, il ne faut pas oublier que c'est l'équipement sous contrôle qui crée le danger potentiel. Les systèmes relatifs à la sécurité sont conçus pour réduire la fréquence (ou la probabilité) de l'événement dangereux et/ou les conséquences de l'événement dangereux. Une fois que le niveau de sécurité a été défini pour l'équipement, le niveau d'intégrité de sécurité pour le système lié à la sécurité peut être déterminé, et c'est le niveau d'intégrité de sécurité qui permet au concepteur de spécifier les précautions qui doivent être intégrées dans la conception pour être déployé contre les pannes matérielles aléatoires et systématiques.
Les machines, les usines de traitement et les autres équipements peuvent, s'ils fonctionnent mal, présenter des risques d'événements dangereux tels que des incendies, des explosions, des surdoses de rayonnement et des pièces mobiles. L'une des causes de dysfonctionnement de ces usines, équipements et machines est la défaillance des dispositifs électromécaniques, électroniques et électroniques programmables (E/E/PE) utilisés dans la conception de leurs systèmes de contrôle ou de sécurité. Ces pannes peuvent provenir soit de défauts physiques de l'appareil (par exemple, d'une usure se produisant de manière aléatoire dans le temps (pannes matérielles aléatoires)) ; ou de défauts systématiques (par exemple, des erreurs commises dans la spécification et la conception d'un système qui provoquent sa défaillance en raison de (1) une combinaison particulière d'entrées, (2) certaines conditions environnementales (3) des entrées incorrectes ou incomplètes des capteurs, ( 4) saisie de données incomplète ou erronée par les opérateurs, et (5) défauts systématiques potentiels dus à une mauvaise conception de l'interface).
Défaillances des systèmes liés à la sécurité
Cet article couvre la sécurité fonctionnelle des systèmes de commande liés à la sécurité et examine les exigences techniques matérielles et logicielles nécessaires pour atteindre l'intégrité de sécurité requise. L'approche globale est conforme à la norme CEI 1508, parties 2 et 3 (CEI 1993) proposée par la Commission électrotechnique internationale. L'objectif général du projet de norme internationale CEI 1508, Sécurité fonctionnelle : systèmes liés à la sécurité, est de garantir que les installations et les équipements peuvent être automatisés en toute sécurité. Un objectif clé dans l'élaboration de la norme internationale proposée est d'empêcher ou de minimiser la fréquence de :
L'article "Systèmes électriques, électroniques et électroniques programmables relatifs à la sécurité" définit l'approche générale de gestion de la sécurité intégrée dans la partie 1 de la CEI 1508 pour assurer la sécurité des systèmes de commande et de protection qui sont importants pour la sécurité. Cet article décrit la conception technique globale nécessaire pour réduire le risque d'accident à un niveau acceptable, y compris le rôle de tout système de contrôle ou de protection basé sur la technologie E/E/PE.
Dans la figure 1, le risque lié à l'équipement, à l'usine de traitement ou à la machine (généralement appelé équipement sous contrôle (EUC) sans dispositifs de protection) est marqué à une extrémité de l'échelle de risque EUC, et le niveau de risque cible nécessaire pour atteindre le niveau de sécurité requis est à l'autre extrémité. Entre les deux, est illustrée la combinaison de systèmes liés à la sûreté et d'installations externes de réduction des risques nécessaires pour réaliser la réduction des risques requise. Ceux-ci peuvent être de différents types : mécaniques (par exemple, des soupapes de surpression), hydrauliques, pneumatiques, physiques, ainsi que des systèmes E/E/PE. La figure 2 met l'accent sur le rôle de chaque couche de sécurité dans la protection de l'EUC à mesure que l'accident progresse.
Figure 1. Réduction des risques : Concepts généraux
Figure 2. Modèle global : Couches de protection
À condition qu'une analyse des dangers et des risques ait été effectuée sur l'EUC comme requis dans la partie 1 de la CEI 1508, la conception conceptuelle globale de la sécurité a été établie et, par conséquent, les fonctions requises et le niveau d'intégrité de sécurité (SIL) cible pour tout E/E/ Un système de contrôle ou de protection PE a été défini. La cible du niveau d'intégrité de sécurité est définie par rapport à une mesure de défaillance cible (voir tableau 1).
Tableau 1. Niveaux d'intégrité de sécurité pour les systèmes de protection : mesures de défaillance ciblées
Niveau d'intégrité de sécurité Mode de fonctionnement à la demande (probabilité de ne pas exécuter sa fonction de conception à la demande)
4 10-5 ≤ × 10-4
3 10-4 ≤ × 10-3
2 10-3 ≤ × 10-2
1 10-2 ≤ × 10-1
Systèmes de protection
Ce document décrit les exigences techniques que le concepteur d'un système E/E/PE relatif à la sécurité doit prendre en compte pour satisfaire à l'objectif de niveau d'intégrité de sécurité requis. L'accent est mis sur un système de protection typique utilisant l'électronique programmable afin de permettre une discussion plus approfondie des problèmes clés avec peu de perte de généralité. Un système de protection typique est illustré à la figure 3, qui représente un système de sécurité à un seul canal avec une coupure secondaire activée via un dispositif de diagnostic. En fonctionnement normal, la condition dangereuse de l'EUC (par exemple, survitesse dans une machine, température élevée dans une usine chimique) sera détectée par le capteur et transmise à l'électronique programmable, qui commandera aux actionneurs (via les relais de sortie) de mettre le système dans un état sûr (par exemple, couper l'alimentation du moteur électrique de la machine, ouvrir une vanne pour relâcher la pression).
Figure 3. Système de protection typique
Mais que se passe-t-il en cas de défaillance des composants du système de protection ? C'est la fonction de l'arrêt secondaire, qui est activé par la fonction de diagnostic (autocontrôle) de cette conception. Cependant, le système n'est pas complètement à sécurité intégrée, car la conception n'a qu'une certaine probabilité d'être disponible lorsqu'on lui demande d'assurer sa fonction de sécurité (elle a une certaine probabilité de défaillance à la demande ou un certain niveau d'intégrité de sécurité). Par exemple, la conception ci-dessus pourrait être capable de détecter et de tolérer certains types de défaillance de la carte de sortie, mais elle ne serait pas capable de résister à une défaillance de la carte d'entrée. Par conséquent, son intégrité de sécurité sera bien inférieure à celle d'une conception avec une carte d'entrée à plus grande fiabilité, ou des diagnostics améliorés, ou une combinaison de ceux-ci.
Il existe d'autres causes possibles de pannes de carte, y compris des défauts physiques "traditionnels" dans le matériel, des défauts systématiques, y compris des erreurs dans la spécification des exigences, des défauts de mise en œuvre dans le logiciel et une protection inadéquate contre les conditions environnementales (par exemple, l'humidité). Les diagnostics de cette conception monocanal peuvent ne pas couvrir tous ces types de défauts, ce qui limitera le niveau d'intégrité de sécurité atteint dans la pratique. (La couverture est une mesure du pourcentage de défauts qu'une conception peut détecter et gérer en toute sécurité.)
Exigences techniques
Les parties 2 et 3 du projet de CEI 1508 fournissent un cadre pour identifier les diverses causes potentielles de défaillance du matériel et des logiciels et pour sélectionner les caractéristiques de conception qui surmontent ces causes potentielles de défaillance appropriées au niveau d'intégrité de sécurité requis du système relatif à la sécurité. Par exemple, l'approche technique globale du système de protection de la figure 3 est illustrée à la figure 4. La figure indique les deux stratégies de base pour surmonter les défauts et les défaillances : (1) évitement des fautes, où l'on veille à éviter la création de défauts ; et (2) tolérance aux pannes, où la conception est créée spécifiquement pour tolérer des défauts spécifiés. Le système monocanal mentionné ci-dessus est un exemple de conception (limitée) tolérante aux pannes où les diagnostics sont utilisés pour détecter certains défauts et mettre le système dans un état sûr avant qu'une défaillance dangereuse ne se produise.
Figure 4. Spécification de conception : solution de conception
Évitement des pannes
L'évitement des pannes tente d'empêcher l'introduction de pannes dans un système. L'approche principale consiste à utiliser une méthode systématique de gestion du projet afin que la sécurité soit traitée comme une qualité définissable et gérable d'un système, lors de la conception, puis ultérieurement lors de l'exploitation et de la maintenance. La démarche, qui s'apparente à l'assurance qualité, repose sur le concept de retour d'expérience et implique : (1) et la planification de votre patrimoine (définir les objectifs de sécurité, identifier les voies et moyens pour atteindre les objectifs) ; (2) mesure réalisation par rapport au plan pendant la mise en œuvre et (3) l'application Réactions pour corriger tout écart. Les revues de conception sont un bon exemple de technique d'évitement des erreurs. Dans la CEI 1508, cette approche "qualité" de la prévention des pannes est facilitée par les exigences d'utilisation d'un cycle de vie de sécurité et d'utilisation de procédures de gestion de la sécurité pour le matériel et les logiciels. Pour ces derniers, ceux-ci se manifestent souvent par des procédures d'assurance qualité du logiciel telles que celles décrites dans l'ISO 9000-3 (1990).
De plus, les parties 2 et 3 de la CEI 1508 (concernant respectivement le matériel et les logiciels) classent certaines techniques ou mesures considérées comme utiles pour éviter les défauts au cours des différentes phases du cycle de vie de sécurité. Le tableau 2 donne un exemple de la partie 3 pour la phase de conception et de développement du logiciel. Le concepteur utiliserait le tableau pour aider à la sélection des techniques d'évitement des défauts, en fonction du niveau d'intégrité de sécurité requis. Avec chaque technique ou mesure dans les tableaux, il y a une recommandation pour chaque niveau d'intégrité de sécurité, de 1 à 4. La gamme de recommandations couvre Hautement recommandé (HR), Recommandé (R), Neutre—ni pour ou contre (—) et Non recommandé (NR).
Tableau 2. Conception et développement de logiciels
Technique/mesure |
SIL 1 |
SIL 2 |
SIL 3 |
SIL 4 |
1. Méthodes formelles incluant, par exemple, CCS, CSP, HOL, LOTOS |
- |
R |
R |
HR |
2. Méthodes semi-formelles |
HR |
HR |
HR |
HR |
3. Structuré. Méthodologie comprenant, par exemple, JSD, MASCOT, SADT, SSADM et YOURDON |
HR |
HR |
HR |
HR |
4. Approche modulaire |
HR |
HR |
HR |
HR |
5. Normes de conception et de codage |
R |
HR |
HR |
HR |
HR = fortement recommandé ; R = recommandé ; NR = déconseillé ;— = neutre : la technique/mesure n'est ni pour ni contre le SIL.
Remarque : une technique/mesure numérotée doit être sélectionnée en fonction du niveau d'intégrité de sécurité.
Tolérance aux pannes
La CEI 1508 exige des niveaux croissants de tolérance aux pannes à mesure que la cible d'intégrité de sécurité augmente. La norme reconnaît cependant que la tolérance aux pannes est plus importante lorsque les systèmes (et les composants qui composent ces systèmes) sont complexes (désignés comme Type B dans la CEI 1508). Pour les systèmes moins complexes et « bien éprouvés », le degré de tolérance aux pannes peut être assoupli.
Tolérance aux pannes matérielles aléatoires
Le tableau 3 montre les exigences de tolérance aux pannes contre les pannes matérielles aléatoires dans les composants matériels complexes (par exemple, les microprocesseurs) lorsqu'ils sont utilisés dans un système de protection tel que celui illustré à la figure 3. Le concepteur peut avoir besoin d'envisager une combinaison appropriée de diagnostics, de tolérance aux pannes et vérifications manuelles pour surmonter cette classe de défaut, en fonction du niveau d'intégrité de sécurité requis.
Tableau 3. Niveau d'intégrité de sécurité - Exigences de défaut pour les composants de type B1
1 Les défauts non détectés liés à la sécurité doivent être détectés par le contrôle périodique.
2 Pour les composants sans couverture de diagnostic moyen en ligne, le système doit être capable d'exécuter la fonction de sécurité en présence d'un seul défaut. Les défauts non détectés liés à la sécurité doivent être détectés par le contrôle périodique.
3 Pour les composants avec une couverture de diagnostic en ligne élevée, le système doit être capable d'exécuter la fonction de sécurité en présence d'un seul défaut. Pour les composants sans couverture de diagnostic en ligne élevée, le système doit pouvoir exécuter la fonction de sécurité en présence de deux défauts. Les défauts non détectés liés à la sécurité doivent être détectés par le contrôle périodique.
4 Les composants doivent pouvoir assurer la fonction de sécurité en présence de deux défauts. Les défauts doivent être détectés avec une couverture de diagnostic élevée en ligne. Les défauts non détectés liés à la sécurité doivent être détectés par le contrôle périodique. L'analyse matérielle quantitative doit être basée sur les hypothèses les plus défavorables.
1Composants dont les modes de défaillance ne sont pas bien définis ou testables, ou pour lesquels les données de défaillance issues de l'expérience sur le terrain sont médiocres (par exemple, les composants électroniques programmables).
La CEI 1508 aide le concepteur en fournissant des tableaux de spécifications de conception (voir tableau 4) avec des paramètres de conception indexés par rapport au niveau d'intégrité de sécurité pour un certain nombre d'architectures de système de protection couramment utilisées.
Tableau 4. Exigences pour le niveau d'intégrité de sécurité 2 - Architectures de systèmes électroniques programmables pour les systèmes de protection
Configuration du système PE |
Couverture de diagnostic par canal |
Intervalle de test hors ligne (TI) |
Temps moyen avant déclenchement intempestif |
PE unique, E/S unique, Ext. WD |
Haute |
6 mois |
1.6 ans |
Double PE, E/S simple |
Haute |
6 mois |
10 ans |
Double PE, double E/S, 2oo2 |
Haute |
3 mois |
1,281 ans |
Double PE, double E/S, 1oo2 |
Aucun |
2 mois |
1.4 ans |
Double PE, double E/S, 1oo2 |
Faible |
5 mois |
1.0 ans |
Double PE, double E/S, 1oo2 |
Moyenne |
18 mois |
0.8 ans |
Double PE, double E/S, 1oo2 |
Haute |
36 mois |
0.8 ans |
Double PE, double E/S, 1oo2D |
Aucun |
2 mois |
1.9 ans |
Double PE, double E/S, 1oo2D |
Faible |
4 mois |
4.7 ans |
Double PE, double E/S, 1oo2D |
Moyenne |
18 mois |
18 ans |
Double PE, double E/S, 1oo2D |
Haute |
48 + mois |
168 ans |
Triple PE, Triple E/S, IPC, 2oo3 |
Aucun |
Mois 1 |
20 ans |
Triple PE, Triple E/S, IPC, 2oo3 |
Faible |
3 mois |
25 ans |
Triple PE, Triple E/S, IPC, 2oo3 |
Moyenne |
12 mois |
30 ans |
Triple PE, Triple E/S, IPC, 2oo3 |
Haute |
48 + mois |
168 ans |
La première colonne du tableau représente les architectures avec différents degrés de tolérance aux pannes. En général, les architectures placées près du bas du tableau ont un degré de tolérance aux pannes plus élevé que celles situées près du haut. Un système 1oo2 (un sur deux) est capable de résister à n'importe quel défaut, tout comme 2oo3.
La deuxième colonne décrit le pourcentage de couverture de tout diagnostic interne. Plus le niveau de diagnostic est élevé, plus les défauts seront piégés. Dans un système de protection, cela est important car, à condition que le composant défaillant (par exemple, une carte d'entrée) soit réparé dans un délai raisonnable (souvent 8 heures), il y a peu de perte de sécurité fonctionnelle. (Remarque : ce ne serait pas le cas pour un système de contrôle continu, car tout défaut est susceptible de provoquer une condition dangereuse immédiate et le potentiel d'un incident.)
La troisième colonne montre l'intervalle entre les tests périodiques. Ce sont des tests spéciaux qui doivent être effectués pour exercer à fond le système de protection afin de s'assurer qu'il n'y a pas de défauts cachés. Celles-ci sont généralement effectuées par le fournisseur d'équipement pendant les périodes d'arrêt de l'usine.
La quatrième colonne indique le taux de déclenchement intempestif. Un déclenchement intempestif est un déclenchement qui provoque l'arrêt de l'usine ou de l'équipement lorsqu'il n'y a pas d'écart de procédé. Le prix de la sécurité est souvent un taux de déclenchement intempestif plus élevé. Un système de protection redondant simple - 1oo2 - a, avec tous les autres facteurs de conception inchangés, un niveau d'intégrité de sécurité plus élevé mais également un taux de déclenchement intempestif plus élevé qu'un système à canal unique (1oo1).
Si l'une des architectures du tableau n'est pas utilisée ou si le concepteur souhaite effectuer une analyse plus fondamentale, la CEI 1508 autorise cette alternative. Des techniques d'ingénierie de la fiabilité telles que la modélisation de Markov peuvent ensuite être utilisées pour calculer l'élément matériel du niveau d'intégrité de sécurité (Johnson 1989 ; Goble 1992).
Tolérance aux défaillances systématiques et de cause commune
Cette classe de défaillance est très importante dans les systèmes de sécurité et constitue le facteur limitant pour la réalisation de l'intégrité de la sécurité. Dans un système redondant, un composant ou un sous-système, voire l'ensemble du système, est dupliqué pour obtenir une haute fiabilité à partir de pièces à faible fiabilité. L'amélioration de la fiabilité se produit parce que, statistiquement, le risque que deux systèmes échouent simultanément par des défauts aléatoires sera le produit des fiabilités des systèmes individuels, et donc beaucoup plus faible. D'autre part, les défauts systématiques et de cause commune entraînent la défaillance simultanée de systèmes redondants lorsque, par exemple, une erreur de spécification dans le logiciel entraîne la défaillance simultanée des parties dupliquées. Un autre exemple serait la panne d'une alimentation électrique commune à un système redondant.
La CEI 1508 fournit des tableaux de techniques d'ingénierie classées par rapport au niveau d'intégrité de sécurité considérées comme efficaces pour assurer une protection contre les défaillances systématiques et de cause commune.
Des exemples de techniques offrant des défenses contre les défaillances systématiques sont la diversité et la redondance analytique. La base de la diversité est que si un concepteur implémente un deuxième canal dans un système redondant en utilisant une technologie ou un langage logiciel différent, alors les défauts dans les canaux redondants peuvent être considérés comme indépendants (c'est-à-dire une faible probabilité de défaillance fortuite). Cependant, en particulier dans le domaine des systèmes logiciels, il semble que cette technique ne soit pas efficace, car la plupart des erreurs se trouvent dans la spécification. La redondance analytique tente d'exploiter des informations redondantes dans l'usine ou la machine pour identifier les défauts. Pour les autres causes de défaillance systématique, par exemple les contraintes externes, la norme fournit des tableaux donnant des conseils sur les bonnes pratiques d'ingénierie (par exemple, séparation des câbles de signal et d'alimentation) indexés par rapport au niveau d'intégrité de sécurité.
Conclusions
Les systèmes informatisés offrent de nombreux avantages, non seulement économiques, mais également susceptibles d'améliorer la sécurité. Cependant, l'attention portée aux détails requise pour réaliser ce potentiel est nettement plus grande que dans le cas de l'utilisation de composants de système conventionnels. Cet article a décrit les principales exigences techniques qu'un concepteur doit prendre en compte pour exploiter avec succès cette technologie.
Les tracteurs et autres engins mobiles utilisés dans les travaux agricoles, forestiers, de construction et miniers, ainsi que la manutention des matériaux, peuvent entraîner de graves dangers lorsque les véhicules se renversent sur le côté, basculent vers l'avant ou se renversent en arrière. Les risques sont accrus dans le cas de tracteurs à roues avec des centres de gravité élevés. Les autres véhicules qui présentent un risque de renversement sont les tracteurs à chenilles, les chargeuses, les grues, les cueilleurs de fruits, les bouteurs, les tombereaux, les grattoirs et les niveleuses. Ces accidents surviennent généralement trop rapidement pour que les conducteurs et les passagers puissent s'éloigner de l'équipement, et ils peuvent se coincer sous le véhicule. Par exemple, les tracteurs avec des centres de gravité élevés ont une probabilité considérable de renversement (et les tracteurs étroits ont encore moins de stabilité que les larges). Un interrupteur de coupure du moteur au mercure pour couper l'alimentation lors de la détection d'un mouvement latéral a été introduit sur les tracteurs, mais s'est avéré trop lent pour faire face aux forces dynamiques générées lors du mouvement de renversement (Springfeldt 1993). Par conséquent, le dispositif de sécurité a été abandonné.
Le fait qu'un tel équipement soit souvent utilisé sur un terrain en pente ou inégal ou sur un sol meuble, et parfois à proximité immédiate de fossés, de tranchées ou d'excavations, est une cause importante de renversement. Si un équipement auxiliaire est attaché en hauteur sur un tracteur, la probabilité de se cabrer en arrière en montant une pente (ou de basculer en avant en descendant) augmente. De plus, un tracteur peut se renverser en raison de la perte de contrôle due à la pression exercée par l'équipement tracté (par exemple, lorsque le chariot descend dans une pente et que l'équipement attelé n'est pas freiné et dépasse le tracteur). Des risques particuliers surviennent lorsque des tracteurs sont utilisés comme véhicules de remorquage, en particulier si le crochet de remorquage du tracteur est placé à un niveau plus élevé que l'essieu des roues.
HISTOIRE
Le problème des renversements a été signalé au niveau national dans certains pays où de nombreux renversements mortels se sont produits. En Suède et en Nouvelle-Zélande, le développement et les essais de structures de protection contre le retournement (ROPS) sur les tracteurs (figure 1) étaient déjà en cours dans les années 1950, mais ces travaux n'ont été suivis d'une réglementation que de la part des autorités suédoises ; ces réglementations sont entrées en vigueur à partir de 1959 (Springfeldt 1993).
Figure 1. Types habituels de ROPS sur les tracteurs
Les réglementations proposées prescrivant les ROPS pour les tracteurs se sont heurtées à une résistance dans le secteur agricole de plusieurs pays. Une forte opposition s'est élevée contre les projets obligeant les employeurs à installer un ROPS sur les tracteurs existants, et même contre la proposition selon laquelle seuls les nouveaux tracteurs seraient équipés par les fabricants d'un ROPS. Finalement, de nombreux pays ont imposé avec succès le ROPS pour les nouveaux tracteurs, et plus tard, certains pays ont pu exiger que le ROPS soit également installé sur les anciens tracteurs. Les normes internationales concernant les tracteurs et les engins de terrassement, y compris les normes d'essai pour les ROPS, ont contribué à des conceptions plus fiables. Les tracteurs ont été conçus et fabriqués avec des centres de gravité plus bas et des crochets de remorquage placés plus bas. Les quatre roues motrices ont réduit le risque de renversement. Mais la proportion de tracteurs équipés de ROPS dans les pays possédant de nombreux tracteurs anciens et sans obligation de rééquipement de ROPS est encore assez faible.
Enquêtes
Les accidents de renversement, en particulier ceux impliquant des tracteurs, ont été étudiés par des chercheurs dans de nombreux pays. Cependant, il n'existe pas de statistiques internationales centralisées sur le nombre d'accidents causés par les types d'engins mobiles examinés dans cet article. Les statistiques disponibles au niveau national montrent néanmoins que le nombre est élevé, surtout dans l'agriculture. Selon un rapport écossais sur les accidents de renversement de tracteurs dans la période 1968-1976, 85% des tracteurs impliqués avaient un équipement attaché au moment de l'accident, et parmi ceux-ci, la moitié avait un équipement traîné et l'autre moitié avait un équipement monté. Les deux tiers des accidents de renversement de tracteur dans le rapport écossais se sont produits sur des pentes (Springfeldt 1993). Il a été prouvé par la suite que le nombre d'accidents serait réduit après l'introduction d'une formation à la conduite en pente ainsi que l'application d'un instrument de mesure de l'inclinaison des pentes combiné à un indicateur de limites de pente sécuritaires.
Dans d'autres enquêtes, des chercheurs néo-zélandais ont observé que la moitié de leurs renversements mortels se produisaient sur un terrain plat ou sur de légères pentes, et seulement un dixième se produisaient sur des pentes raides. Sur terrain plat, les conducteurs de tracteurs peuvent être moins attentifs aux risques de renversement et ils peuvent mal évaluer le risque posé par les fossés et les terrains accidentés. Parmi les décès par renversement de tracteurs en Nouvelle-Zélande entre 1949 et 1980, 80 % sont survenus avec des tracteurs à roues et 20 % avec des tracteurs à chenilles (Springfeldt 1993). Des études en Suède et en Nouvelle-Zélande ont montré qu'environ 80 % des décès par renversement de tracteur se produisaient lorsque les tracteurs se renversaient sur le côté. La moitié des tracteurs impliqués dans les accidents mortels en Nouvelle-Zélande avaient roulé à 180°.
Des études sur la corrélation entre les décès par renversement en Allemagne de l'Ouest et l'année modèle des tracteurs agricoles (Springfeldt 1993) ont montré qu'un des 1 10,000 vieux tracteurs non protégés fabriqués avant 1957 était impliqué dans un décès par renversement. Parmi les tracteurs avec ROPS prescrits, fabriqués en 1970 et plus tard, 1 tracteur sur 25,000 1980 a été impliqué dans un accident mortel par renversement. Parmi les renversements mortels de tracteurs en Allemagne de l'Ouest au cours de la période 1985-1993, les deux tiers des victimes ont été éjectées de leur zone protégée, puis écrasées ou heurtées par le tracteur (Springfeldt 1). Parmi les renversements non mortels, un quart des conducteurs ont été éjectés du siège du conducteur mais n'ont pas été renversés. Il est évident que le risque de décès augmente si le conducteur est éjecté hors de la zone protégée (similaire aux accidents automobiles). La plupart des tracteurs impliqués avaient une proue à deux piliers (figure XNUMX C) qui n'empêche pas le conducteur d'être éjecté. Dans quelques cas, la ROPS avait subi une rupture ou une forte déformation.
Les fréquences relatives des blessures pour 100,000 1993 tracteurs à différentes périodes dans certains pays et la réduction du taux de mortalité ont été calculées par Springfeldt (100,000). L'efficacité du ROPS dans la diminution des blessures dans les accidents de renversement de tracteur a été prouvée en Suède, où le nombre de décès pour 17 0.3 tracteurs a été réduit d'environ 1960 à 1990 sur une période de trois décennies (2-98) (figure 1). À la fin de la période, on estimait qu'environ 24 % des tracteurs étaient équipés d'un ROPS, principalement sous la forme d'une cabine indéformable (figure 4 A). En Norvège, les décès ont été réduits d'environ 100,000 à XNUMX pour XNUMX XNUMX tracteurs au cours d'une période similaire. Cependant, de moins bons résultats ont été obtenus en Finlande et en Nouvelle-Zélande.
Figure 2. Blessures par renversement pour 100,000 1957 tracteurs en Suède entre 1990 et XNUMX
Prévention des blessures par renversements
Le risque de renversement est le plus élevé dans le cas des tracteurs ; cependant, dans les travaux agricoles et forestiers, on ne peut pas faire grand-chose pour empêcher les tracteurs de se renverser. En installant des ROPS sur les tracteurs et les types d'engins de terrassement présentant des risques potentiels de renversement, le risque de blessures corporelles peut être réduit, à condition que les conducteurs restent assis sur leur siège pendant les événements de renversement (Springfeldt 1993). La fréquence des décès par renversement dépend en grande partie de la proportion de machines protégées utilisées et des types de ROPS utilisés. Une proue (figure 1 C) protège beaucoup moins qu'une cabine ou un châssis (Springfeldt 1993). La structure la plus efficace est une cabine indéformable, qui permet au conducteur de rester à l'intérieur, protégé, lors d'un retournement. (Une autre raison de choisir une cabine est qu'elle offre une protection contre les intempéries.) Le moyen le plus efficace de maintenir le conducteur dans la protection du ROPS lors d'un retournement est une ceinture de sécurité, à condition que le conducteur utilise la ceinture lors de l'utilisation de l'équipement. Dans certains pays, des plaques d'information sur le siège du conducteur conseillent de saisir le volant en cas de capotage. Une mesure de sécurité supplémentaire consiste à concevoir la cabine de conduite ou l'environnement intérieur et le ROPS de manière à éviter toute exposition à des dangers tels que des arêtes vives ou des protubérances.
Dans tous les pays, les renversements d'engins mobiles, principalement des tracteurs, causent des blessures graves. Il existe toutefois des différences considérables entre les pays en ce qui concerne les spécifications techniques relatives à la conception des machines, ainsi que les procédures administratives pour les examens, les essais, les inspections et la commercialisation. La diversité internationale qui caractérise les efforts de sécurité dans ce domaine peut s'expliquer par des considérations telles que :
Les règles de sécurité
La nature des règles régissant les exigences relatives aux ROPS et le degré de mise en œuvre des règles dans un pays ont une forte influence sur les accidents de renversement, en particulier les accidents mortels. Dans cette optique, le développement de machines plus sûres a été encouragé par des directives, des codes et des normes émis par des organisations internationales et nationales. De plus, de nombreux pays ont adopté des prescriptions rigoureuses pour le ROPS, ce qui a entraîné une forte réduction des blessures par renversement.
Communauté Économique Européenne
À partir de 1974, la Communauté économique européenne (CEE) a publié des directives concernant l'homologation des tracteurs agricoles et forestiers à roues et, en 1977, d'autres directives spéciales concernant les ROPS, y compris leur fixation sur les tracteurs (Springfeldt 1993; CEE 1974, 1977, 1979, 1982, 1987). Les directives prescrivent une procédure d'homologation et de certification par le fabricant des tracteurs, et la ROPS doit être examinée par un examen d'homologation CEE. Les directives ont été acceptées par tous les pays membres.
Certaines directives CEE concernant les ROPS sur les tracteurs ont été abrogées le 31 décembre 1995 et remplacées par la directive générale sur les machines qui s'applique aux types de machines présentant des risques en raison de leur mobilité (CEE 1991). Les tracteurs à roues, ainsi que certains engins de terrassement d'une capacité supérieure à 15 kW (à savoir les chenilles et les chargeuses sur pneus, les chargeuses-pelleteuses, les tracteurs à chenilles, les décapeuses, les niveleuses et les tombereaux articulés) doivent être équipés d'un ROPS. En cas de capotage, la ROPS doit offrir au conducteur et aux opérateurs un volume limiteur de débattement adéquat (c'est-à-dire un espace permettant le mouvement du corps des occupants avant de toucher les éléments intérieurs lors d'un accident). Il est de la responsabilité des fabricants ou de leurs représentants autorisés d'effectuer les tests appropriés.
Organisation pour la coopération et le développement économique
En 1973 et 1987, l'Organisation de coopération et de développement économiques (OCDE) a approuvé des codes normalisés pour l'essai des tracteurs (Springfeldt 1993; OCDE 1987). Ils donnent les résultats des essais des tracteurs et décrivent l'équipement d'essai et les conditions d'essai. Les codes exigent de tester de nombreuses pièces et fonctions de machines, par exemple la résistance du ROPS. Les codes de tracteurs de l'OCDE décrivent une méthode statique et une méthode dynamique d'essai ROPS sur certains types de tracteurs. Une ROPS peut être conçue uniquement pour protéger le conducteur en cas de renversement du tracteur. Il doit être retesté pour chaque modèle de tracteur sur lequel le ROPS doit être monté. Les codes exigent également qu'il soit possible de monter une protection contre les intempéries pour le conducteur sur la structure, de nature plus ou moins temporaire. Les codes des tracteurs ont été acceptés par tous les organismes membres de l'OCDE depuis 1988, mais dans la pratique, les États-Unis et le Japon acceptent également les ROPS qui ne sont pas conformes aux exigences du code si des ceintures de sécurité sont fournies (Springfeldt 1993).
Organisation internationale du Travail
En 1965, l'Organisation Internationale du Travail (OIT) dans son manuel, Sécurité et santé dans le travail agricole, exigeait qu'une cabine ou un châssis d'une résistance suffisante soit convenablement fixé aux tracteurs afin de fournir une protection satisfaisante au conducteur et aux passagers à l'intérieur de la cabine en cas de renversement du tracteur (Springfeldt 1993; OIT 1965). Selon les codes de pratique de l'OIT, les tracteurs agricoles et forestiers doivent être équipés d'un ROPS pour protéger l'opérateur et tout passager en cas de renversement, de chute d'objets ou de charges déplacées (OIT 1976).
L'installation d'un cadre ROPS ne doit pas nuire à
Normes internationales et nationales
En 1981, l'Organisation internationale de normalisation (ISO) a publié une norme pour les tracteurs et les machines agricoles et forestières (ISO 1981). La norme décrit une méthode d'essai statique pour ROPS et définit les conditions d'acceptation. La norme a été approuvée par les organismes membres dans 22 pays ; cependant, le Canada et les États-Unis ont exprimé leur désapprobation du document pour des raisons techniques. Une pratique standard et recommandée publiée en 1974 par la Society of Automotive Engineers (SAE) en Amérique du Nord contient des exigences de performance pour le ROPS sur les tracteurs agricoles à roues et les tracteurs industriels utilisés dans la construction, les décapeuses sur pneus, les chargeuses frontales, les bulldozers, les chargeuses sur chenilles , et niveleuses (SAE 1974 et 1975). Le contenu de la norme a été adopté comme réglementation aux États-Unis et dans les provinces canadiennes de l'Alberta et de la Colombie-Britannique.
Règles et conformité
Les codes et les normes internationales de l'OCDE concernent la conception et la construction des ROPS ainsi que le contrôle de leur résistance, mais n'ont pas le pouvoir d'exiger que ce type de protection soit mis en pratique (OCDE 1987; ISO 1981). La Communauté économique européenne a également proposé que les tracteurs et les engins de terrassement soient équipés de protections (CEE 1974-1987). L'objectif des directives CEE est d'uniformiser les entités nationales en ce qui concerne la sécurité des nouvelles machines au stade de la fabrication. Les pays membres sont tenus de suivre les directives et d'édicter les prescriptions correspondantes. A partir de 1996, les pays membres de la CEE ont l'intention d'édicter des réglementations exigeant que les nouveaux tracteurs et engins de terrassement soient équipés de ROPS.
En 1959, la Suède est devenue le premier pays à exiger le ROPS pour les nouveaux tracteurs (Springfeldt 1993). Des exigences correspondantes sont entrées en vigueur au Danemark et en Finlande dix ans plus tard. Plus tard, dans les années 1970 et 1980, les exigences obligatoires pour le ROPS sur les nouveaux tracteurs sont entrées en vigueur en Grande-Bretagne, en Allemagne de l'Ouest, en Nouvelle-Zélande, aux États-Unis, en Espagne, en Norvège, en Suisse et dans d'autres pays. Dans tous ces pays, à l'exception des États-Unis, les règles ont été étendues aux vieux tracteurs quelques années plus tard, mais ces règles n'étaient pas toujours obligatoires. En Suède, tous les tracteurs doivent être équipés d'une cabine de protection, une règle qui ne s'applique en Grande-Bretagne qu'à tous les tracteurs utilisés par les travailleurs agricoles (Springfeldt 1993). Au Danemark, en Norvège et en Finlande, tous les tracteurs doivent être pourvus d'au moins un châssis, tandis qu'aux États-Unis et dans les États australiens, les arceaux sont acceptés. Aux États-Unis, les tracteurs doivent être équipés de ceintures de sécurité.
Aux États-Unis, les engins de manutention qui ont été fabriqués avant 1972 et qui sont utilisés dans des travaux de construction doivent être équipés d'un ROPS qui satisfait aux normes de performance minimales (US Bureau of National Affairs 1975). Les machines couvertes par l'exigence comprennent certaines décapeuses, chargeuses frontales, bouteurs, tracteurs à chenilles, chargeuses et niveleuses. La mise à niveau a été effectuée de ROPS sur des machines fabriquées environ trois ans plus tôt.
Sexemaire
Dans les pays ayant des exigences obligatoires en matière de ROPS pour les nouveaux tracteurs et la mise à niveau de ROPS sur les anciens tracteurs, il y a eu une diminution des blessures par renversement, en particulier des accidents mortels. Il est évident qu'une cabine indéformable est le type de ROPS le plus efficace. Un arc donne une mauvaise protection en cas de renversement. De nombreux pays ont prescrit des ROPS efficaces au moins sur les nouveaux tracteurs et depuis 1996 sur les engins de terrassement. En dépit de ce fait, certaines autorités semblent accepter des types de ROPS qui ne sont pas conformes aux exigences telles qu'elles ont été promulguées par l'OCDE et l'ISO. On s'attend à ce qu'une harmonisation plus générale des règles régissant le ROPS s'accomplisse progressivement dans le monde entier, y compris dans les pays en développement.
Les chutes de hauteur sont des accidents graves qui surviennent dans de nombreuses industries et professions. Les chutes depuis des hauteurs entraînent des blessures qui sont produites par le contact entre la personne qui tombe et la source de la blessure, dans les circonstances suivantes :
À partir de cette définition, on peut supposer que les chutes sont inévitables car la gravité est toujours présente. Les chutes sont des accidents, en quelque sorte prévisibles, survenant dans tous les secteurs industriels et professions et ayant une gravité élevée. Des stratégies pour réduire le nombre de chutes, ou du moins réduire la gravité des blessures en cas de chute, sont abordées dans cet article.
La hauteur de la chute
La gravité des blessures causées par les chutes est intrinsèquement liée à la hauteur de chute. Mais ce n'est qu'en partie vrai : l'énergie de la chute libre est le produit de la masse qui tombe par la hauteur de la chute, et la gravité des blessures est directement proportionnelle à l'énergie transférée lors de l'impact. Les statistiques d'accidents de chute confirment cette forte relation, mais montrent également que les chutes d'une hauteur inférieure à 3 m peuvent être mortelles. Une étude détaillée des chutes mortelles dans la construction montre que 10 % des décès causés par des chutes sont survenus d'une hauteur inférieure à 3 m (voir figure 1). Deux questions sont à débattre : la limite légale de 3 m, et où et comment une chute donnée a été arrêtée.
Figure 1. Décès causés par des chutes et hauteur de chute dans l'industrie de la construction aux États-Unis, 1985-1993
Dans de nombreux pays, la réglementation rend la protection contre les chutes obligatoire lorsque le travailleur est exposé à une chute de plus de 3 m. L'interprétation simpliste est que les chutes de moins de 3 m ne sont pas dangereuses. La limite de 3 m est en fait le résultat d'un consensus social, politique et pratique qui dit qu'il n'est pas obligatoire d'être protégé contre les chutes lorsqu'on travaille à la hauteur d'un seul étage. Même si la limite légale de 3 m pour la protection antichute obligatoire existe, la protection antichute doit toujours être envisagée. La hauteur de chute n'est pas le seul facteur expliquant la gravité des accidents de chute et les décès dus aux chutes ; où et comment la personne qui est tombée s'est immobilisée doivent également être pris en compte. Cela conduit à l'analyse des secteurs industriels où l'incidence des chutes de hauteur est plus élevée.
Où les chutes se produisent
Les chutes de hauteur sont fréquemment associées à l'industrie de la construction car elles représentent un pourcentage élevé de tous les décès. Par exemple, aux États-Unis, 33 % de tous les décès dans la construction sont causés par des chutes de hauteur ; au Royaume-Uni, le chiffre est de 52 %. Des chutes de hauteur se produisent également dans d'autres secteurs industriels. L'exploitation minière et la fabrication de matériel de transport ont un taux élevé de chutes d'altitude. Au Québec, où de nombreuses mines sont des mines souterraines à forte pente et à filons étroits, 20 % de tous les accidents sont des chutes de hauteur. La fabrication, l'utilisation et l'entretien d'équipements de transport tels que les avions, les camions et les wagons sont des activités où le taux d'accidents de chute est élevé (tableau 1). Le ratio variera d'un pays à l'autre selon le niveau d'industrialisation, le climat, etc. mais les chutes de hauteur se produisent dans tous les secteurs avec des conséquences similaires.
Tableau 1. Chutes d'altitude : Québec 1982-1987
Chutes de hauteur Chutes de hauteur dans tous les accidents
pour 1,000 XNUMX travailleurs
BTP 14.9 10.1%
Industrie lourde 7.1 3.6%
Après avoir pris en considération la hauteur de chute, la prochaine question importante est de savoir comment la chute est arrêtée. Tomber dans des liquides chauds, des rails électrifiés ou dans un concasseur de pierres peut être fatal même si la hauteur de chute est inférieure à 3 m.
Causes des chutes
Jusqu'à présent, il a été démontré que les chutes se produisent dans tous les secteurs économiques, même si la hauteur est inférieure à 3 m. Mais pourquoi do les humains tombent? De nombreux facteurs humains peuvent être impliqués dans une chute. Un large regroupement de facteurs est à la fois conceptuellement simple et utile dans la pratique :
D'ACQUISITIONS tomber sont déterminés par des facteurs environnementaux et entraînent le type de chute le plus courant, à savoir les trébuchements ou les glissades qui entraînent des chutes du niveau du sol. D'autres opportunités de baisse sont liées aux activités au-dessus du niveau du sol.
Passif tomber sont une ou plusieurs des nombreuses maladies aiguës et chroniques. Les maladies spécifiques associées aux chutes affectent généralement le système nerveux, le système circulatoire, le système musculo-squelettique ou une combinaison de ces systèmes.
Tendances tomber résultent des changements universels et intrinsèques de détérioration qui caractérisent le vieillissement normal ou la sénescence. En cas de chute, la capacité à maintenir une posture droite ou une stabilité posturale est la fonction qui échoue en raison de tendances, de passifs et d'opportunités combinés.
Stabilité posturale
Les chutes sont causées par l'incapacité de la stabilité posturale à maintenir une personne en position verticale. La stabilité posturale est un système consistant en de nombreux ajustements rapides aux forces externes perturbatrices, en particulier la gravité. Ces ajustements sont en grande partie des actions réflexes, soutenues par un grand nombre d'arcs réflexes, chacun avec son entrée sensorielle, ses connexions intégratives internes et sa sortie motrice. Les entrées sensorielles sont : la vision, les mécanismes de l'oreille interne qui détectent la position dans l'espace, l'appareil somatosensoriel qui détecte les stimuli de pression sur la peau et la position des articulations portantes. Il apparaît que la perception visuelle joue un rôle particulièrement important. On sait très peu de choses sur les structures et les fonctions normales et intégratives de la moelle épinière ou du cerveau. La composante de sortie motrice de l'arc réflexe est la réaction musculaire.
Vision
L'entrée sensorielle la plus importante est la vision. Deux fonctions visuelles sont liées à la stabilité posturale et au contrôle de la marche :
Deux autres fonctions visuelles sont importantes :
Causes de l'instabilité posturale
Les trois entrées sensorielles sont interactives et interdépendantes. L'absence d'un input – et/ou l'existence de faux input – entraîne une instabilité posturale voire des chutes. Qu'est-ce qui pourrait causer l'instabilité?
Vision
Oreille interne
Appareil somatosensoriel (stimuli de pression sur la peau et position des articulations portantes)
Sortie du moteur
La stabilité posturale et le contrôle de la marche sont des réflexes très complexes de l'être humain. Toute perturbation des entrées peut provoquer des chutes. Toutes les perturbations décrites dans cette section sont courantes sur le lieu de travail. Par conséquent, tomber est en quelque sorte naturel et la prévention doit donc primer.
Stratégie de protection contre les chutes
Comme indiqué précédemment, les risques de chutes sont identifiables. Les chutes sont donc évitables. La figure 2 montre une situation très courante où une jauge doit être lue. La première illustration montre une situation classique : un manomètre est installé au sommet d'un réservoir sans moyen d'accès. Dans la seconde, l'ouvrier improvise un moyen d'accès en grimpant sur plusieurs caissons : une situation à risque. Dans le troisième, l'ouvrier utilise une échelle ; c'est une amélioration. Cependant, l'échelle n'est pas fixée de manière permanente au réservoir ; il est donc probable que l'échelle soit utilisée ailleurs dans l'usine lorsqu'une lecture est requise. Une telle situation est possible, avec un équipement antichute ajouté à l'échelle ou au réservoir et avec le travailleur portant un harnais de sécurité complet et utilisant une longe attachée à un ancrage. Le risque de chute d'élévation existe toujours.
Figure 2. Installations pour lire une jauge
Dans la quatrième illustration, un moyen d'accès amélioré est prévu à l'aide d'un escalier, d'une plate-forme et de garde-corps ; les bénéfices sont une réduction du risque de chute et une augmentation de la facilité de lecture (confort), réduisant ainsi la durée de chaque lecture et offrant une posture de travail stable permettant une lecture plus précise.
La solution correcte est illustrée dans la dernière illustration. Lors de la phase de conception des installations, les activités d'entretien et d'exploitation ont été comptabilisées. La jauge a été installée de manière à pouvoir être lue au niveau du sol. Aucune chute de hauteur n'est possible : le danger est donc éliminé.
Cette stratégie met l'accent sur la prévention des chutes en utilisant les moyens d'accès appropriés (ex. : échafaudages, échelles, escaliers) (Bouchard 1991). Si la chute ne peut être empêchée, des systèmes antichute doivent être utilisés (figure 3). Pour être efficaces, les systèmes antichute doivent être prévus. Le point d'ancrage est un facteur clé et doit être préfabriqué. Les systèmes antichute doivent être efficaces, fiables et confortables ; deux exemples sont donnés dans Arteau, Lan et Corbeil (à paraître) et Lan, Arteau et Corbeil (à paraître). Des exemples de systèmes typiques de prévention et d'arrêt des chutes sont donnés dans le tableau 2. Les systèmes et composants d'arrêt des chutes sont détaillés dans Sulowski 1991.
Figure 3. Stratégie de prévention des chutes
Tableau 2. Systèmes typiques de prévention et d'arrêt des chutes
Systèmes de prévention des chutes |
Systèmes d'arrêt d'automne |
|
Protection collective |
Garde-corps |
Filet de sécurité |
Protection individuelle |
Système de restriction de voyage (TRS) |
Harnais, longe, ancrage absorbeur d'énergie, etc. |
L'accent mis sur la prévention n'est pas un choix idéologique, mais plutôt un choix pratique. Le tableau 3 montre les différences entre la prévention des chutes et l'arrêt des chutes, la solution EPI traditionnelle.
Tableau 3. Différences entre la prévention des chutes et l'arrêt des chutes
Prévention |
Arrestation |
|
Chute |
Non |
Oui |
Équipement typique |
Filières |
Harnais, longe, absorbeur d'énergie et ancrage (système antichute) |
Charge de conception (force) |
1 à 1.5 kN appliqué horizontalement et 0.45 kN appliqué verticalement, tous deux en tout point du rail supérieur |
Résistance minimale à la rupture du point d'ancrage 18 à 22 kN |
chargement |
Statique |
Dynamique |
Pour l'employeur et le concepteur, il est plus facile de construire des systèmes antichute car leurs exigences minimales de résistance à la rupture sont 10 à 20 fois inférieures à celles des systèmes antichute. Par exemple, l'exigence minimale de résistance à la rupture d'un garde-corps est d'environ 1 kN, le poids d'un homme de grande taille, et l'exigence minimale de résistance à la rupture du point d'ancrage d'un système antichute individuel pourrait être de 20 kN, le poids de deux petits voitures ou 1 mètre cube de béton. Avec la prévention, la chute ne se produit pas, donc le risque de blessure n'existe pas. Avec l'arrêt de chute, la chute se produit et même si elle est arrêtée, un risque résiduel de blessure existe.
Les espaces confinés sont omniprésents dans l'industrie en tant que sites récurrents d'accidents mortels et non mortels. Le terme espace confiné a traditionnellement été utilisé pour étiqueter des structures particulières, telles que des réservoirs, des cuves, des fosses, des égouts, des trémies, etc. Cependant, une définition basée sur la description de cette manière est trop restrictive et défie toute extrapolation facile aux structures dans lesquelles des accidents se sont produits. Potentiellement, toute structure dans laquelle des personnes travaillent pourrait être ou pourrait devenir un espace confiné. Les espaces confinés peuvent être très grands ou ils peuvent être très petits. Ce que le terme décrit en fait est un environnement dans lequel un large éventail de conditions dangereuses peuvent se produire. Ces conditions comprennent le confinement personnel, ainsi que les risques structurels, de procédé, mécaniques, matériels en vrac ou liquides, atmosphériques, physiques, chimiques, biologiques, de sécurité et ergonomiques. Bon nombre des conditions produites par ces dangers ne sont pas propres aux espaces confinés, mais sont exacerbées par l'implication des surfaces limites de l'espace confiné.
Les espaces confinés sont considérablement plus dangereux que les espaces de travail normaux. Des modifications apparemment mineures des conditions peuvent immédiatement faire passer le statut de ces espaces de travail d'inoffensif à potentiellement mortel. Ces conditions peuvent être transitoires et subtiles, et sont donc difficiles à reconnaître et à traiter. Les travaux impliquant des espaces clos se produisent généralement lors de la construction, de l'inspection, de l'entretien, de la modification et de la réhabilitation. Ce travail est non routinier, de courte durée, non répétitif et imprévisible (se produisant souvent en dehors des heures de travail ou lorsque l'unité est hors service).
Accidents en espace confiné
Les accidents impliquant des espaces confinés diffèrent des accidents qui surviennent dans des espaces de travail normaux. Une erreur ou un oubli apparemment mineur dans la préparation de l'espace, la sélection ou l'entretien de l'équipement ou de l'activité de travail peut précipiter un accident. En effet, la tolérance à l'erreur dans ces situations est plus faible que pour une activité normale sur le lieu de travail.
Les professions des victimes d'accidents en espace clos couvrent tout le spectre professionnel. Bien que la plupart soient des travailleurs, comme on pouvait s'y attendre, les victimes comprennent également des ingénieurs et des techniciens, des superviseurs et des gestionnaires, ainsi que du personnel d'intervention d'urgence. Le personnel de sécurité et d'hygiène industrielle a également été impliqué dans des accidents en espace confiné. Les seules données sur les accidents dans les espaces confinés proviennent des États-Unis et ne couvrent que les accidents mortels (NIOSH 1994). Dans le monde, ces accidents font environ 200 victimes par an dans l'industrie, l'agriculture et la maison (Reese et Mills 1986). Il s'agit au mieux d'une supposition basée sur des données incomplètes, mais cela semble être applicable aujourd'hui. Environ les deux tiers des accidents résultaient de conditions atmosphériques dangereuses dans l'espace confiné. Dans environ 70 % d'entre eux, la condition dangereuse existait avant l'entrée et le début du travail. Parfois, ces accidents causent plusieurs décès, dont certains sont le résultat de l'incident initial et d'une tentative de sauvetage ultérieure. Les conditions très stressantes dans lesquelles la tentative de sauvetage se produit exposent souvent les sauveteurs potentiels à un risque considérablement plus élevé que la victime initiale.
Les causes et les conséquences des accidents impliquant des travaux à l'extérieur des structures confinant des atmosphères dangereuses sont similaires à ceux qui se produisent à l'intérieur des espaces confinés. Une explosion ou un incendie impliquant une atmosphère confinée a causé environ la moitié des accidents mortels de soudage et de coupage aux États-Unis. Environ 16 % de ces accidents impliquaient des fûts ou conteneurs « vides » de 205 l (45 gal UK, 55 gal US) (OSHA 1988).
Identification des espaces confinés
Un examen des accidents mortels dans les espaces confinés indique que les meilleures défenses contre les rencontres inutiles sont une main-d'œuvre informée et formée et un programme de reconnaissance et de gestion des dangers. Le développement de compétences permettant aux superviseurs et aux travailleurs de reconnaître les conditions potentiellement dangereuses est également essentiel. Un des contributeurs à ce programme est un inventaire précis et à jour des espaces confinés. Cela inclut le type d'espace, l'emplacement, les caractéristiques, le contenu, les conditions dangereuses, etc. Dans de nombreuses circonstances, les espaces confinés défient l'inventaire car leur nombre et leur type changent constamment. D'autre part, les espaces confinés dans les opérations de traitement sont facilement identifiables, mais restent fermés et inaccessibles presque tout le temps. Sous certaines conditions, un espace peut être considéré comme un espace clos un jour et ne sera plus considéré comme un espace clos le lendemain.
L'un des avantages de l'identification des espaces confinés est la possibilité de les étiqueter. Une étiquette peut permettre aux travailleurs de relier le terme espace confiné aux équipements et structures sur leur lieu de travail. L'inconvénient du processus d'étiquetage comprend : (1) l'étiquette peut disparaître dans un paysage rempli d'autres étiquettes d'avertissement ; (2) les organisations qui ont de nombreux espaces confinés pourraient éprouver de grandes difficultés à les étiqueter; (3) l'étiquetage apporterait peu d'avantages dans des circonstances où la population des espaces confinés est dynamique; et (4) le recours aux étiquettes pour l'identification entraîne une dépendance. Les espaces confinés pourraient être négligés.
Évaluation des risques
L'aspect le plus complexe et le plus difficile du processus d'espace confiné est l'évaluation des risques. L'évaluation des risques identifie à la fois les conditions dangereuses et potentiellement dangereuses et évalue le niveau et l'acceptabilité des risques. La difficulté avec l'évaluation des dangers survient parce que bon nombre des conditions dangereuses peuvent produire des blessures aiguës ou traumatiques, sont difficiles à reconnaître et à évaluer, et changent souvent avec l'évolution des conditions. L'élimination ou l'atténuation des risques lors de la préparation de l'espace d'entrée est donc essentielle pour minimiser les risques pendant le travail.
L'évaluation des dangers peut fournir une estimation qualitative du niveau de préoccupation attaché à une situation particulière à un moment donné (tableau 1). L'étendue des préoccupations au sein de chaque catégorie varie de minime à un certain maximum. La comparaison entre les catégories n'est pas appropriée, car le niveau maximal de préoccupation peut différer considérablement.
Tableau 1. Exemple de formulaire d'évaluation des conditions dangereuses
Condition dangereuse |
Conséquence réelle ou potentielle |
||
Faible |
Modérés |
Haute |
|
Travail à chaud |
|||
Dangers atmosphériques |
|||
manque d'oxygène |
|||
enrichissement en oxygène |
|||
la chimie |
|||
biologiques |
|||
Incendie / Explosion |
|||
Ingestion/contact cutané |
|||
Agents physiques |
|||
bruit/vibration |
|||
stress chaud/froid |
|||
rayonnement non/ionisant |
|||
laser |
|||
Confinement personnel |
|||
Risque mécanique |
|||
Risque de processus |
|||
Dangers pour la sécurité |
|||
de construction |
|||
engloutissement/immersion |
|||
enchevêtrement |
|||
électrique |
|||
tomber |
|||
glisser/trébucher |
|||
visibilité/niveau de luminosité |
|||
explosif/implosif |
|||
surfaces chaudes/froides |
NA = non applicable. La signification de certains termes tels que substance toxique, carence en oxygène, enrichissement en oxygène, risque mécanique, et ainsi de suite, nécessitent des spécifications supplémentaires selon les normes qui existent dans une juridiction particulière.
Chaque entrée du tableau 1 peut être développée pour fournir des détails sur les conditions dangereuses lorsqu'elles sont préoccupantes. Des détails peuvent également être fournis pour éliminer les catégories d'un examen ultérieur lorsque la préoccupation est inexistante.
La clé du succès de la reconnaissance et de l'évaluation des dangers est la Personne qualifiée. La personne qualifiée est réputée capable, par son expérience, son éducation et/ou sa formation spécialisée, d'anticiper, de reconnaître et d'évaluer les expositions à des substances dangereuses ou à d'autres conditions dangereuses et de spécifier des mesures de contrôle et/ou des actions de protection. Autrement dit, on s'attend à ce que la personne qualifiée sache ce qui est requis dans le contexte d'une situation particulière impliquant un travail dans un espace clos.
Une évaluation des dangers doit être effectuée pour chacun des segments suivants du cycle d'exploitation de l'espace clos (le cas échéant) : l'espace non perturbé, la préparation avant l'entrée, les activités de travail d'inspection avant les travaux (McManus, manuscrit) et l'intervention d'urgence. Des accidents mortels se sont produits au cours de chacun de ces segments. L'espace non perturbé fait référence au statu quo établi entre la fermeture suivant une entrée et le début de la préparation de la suivante. Les préparations préalables à l'entrée sont des mesures prises pour rendre l'espace sûr pour l'entrée et le travail. L'inspection avant les travaux est l'entrée initiale et l'examen de l'espace pour s'assurer qu'il est sûr pour le début des travaux. (Cette pratique est requise dans certaines juridictions.) Les activités de travail sont les tâches individuelles à accomplir par les candidats. L'intervention d'urgence est l'activité dans le cas où le sauvetage des travailleurs est nécessaire ou si une autre situation d'urgence se produit. Les dangers qui subsistent au début de l'activité de travail ou qui sont générés par celle-ci dictent la nature des accidents possibles pour lesquels une préparation et une intervention d'urgence sont requises.
La réalisation de l'évaluation des dangers pour chaque segment est essentielle car l'orientation change en permanence. Par exemple, le niveau de préoccupation concernant une condition spécifique pourrait disparaître après la préparation préalable à l'entrée ; cependant, la condition pourrait réapparaître ou une nouvelle pourrait se développer à la suite d'une activité qui se produit à l'intérieur ou à l'extérieur de l'espace confiné. Pour cette raison, il serait inapproprié d'évaluer un niveau de préoccupation pour une condition dangereuse pour toujours sur la seule base d'une évaluation des conditions de pré-ouverture ou même d'ouverture.
Des méthodes de surveillance instrumentales et autres sont utilisées pour déterminer l'état de certains des agents physiques, chimiques et biologiques présents dans et autour de l'espace confiné. Une surveillance pourrait être exigée avant l'entrée, pendant l'entrée ou pendant l'activité de travail. Le verrouillage/étiquetage et d'autres techniques procédurales sont utilisés pour désactiver les sources d'énergie. L'isolation à l'aide d'obturateurs, de bouchons et de capuchons, et de doubles configurations de vannes d'isolement et de purge ou d'autres vannes empêche l'entrée de substances par la tuyauterie. La ventilation, à l'aide de ventilateurs et d'éjecteurs, est souvent nécessaire pour fournir un environnement sûr pour travailler avec et sans protection respiratoire approuvée. L'évaluation et le contrôle des autres affections reposent sur le jugement de la personne qualifiée.
La dernière partie du processus est la plus critique. La personne qualifiée doit décider si les risques associés à l'entrée et au travail sont acceptables. La sécurité peut être mieux assurée par le contrôle. Si les conditions dangereuses et potentiellement dangereuses peuvent être contrôlées, la décision n'est pas difficile à prendre. Plus le niveau de contrôle perçu est faible, plus le besoin de contingences est grand. La seule autre alternative est d'interdire l'entrée.
Contrôle d'entrée
Les méthodes traditionnelles de gestion de l'activité en espace clos sur site sont le permis d'entrée et la personne qualifiée sur site. Des lignes claires d'autorité, de responsabilité et d'imputabilité entre la personne qualifiée et les participants, le personnel de réserve, les intervenants d'urgence et la direction sur place sont requises dans l'un ou l'autre système.
La fonction d'un document d'entrée est d'informer et de documenter. Le tableau 2 (ci-dessous) fournit une base formelle pour effectuer l'évaluation des dangers et documenter les résultats. Lorsqu'il est modifié pour inclure uniquement les informations pertinentes à une circonstance particulière, cela devient la base du permis d'entrée ou du certificat d'entrée. Le permis d'entrée est le plus efficace en tant que résumé qui documente les actions effectuées et indique, par exception, la nécessité de mesures de précaution supplémentaires. Le permis d'entrée doit être délivré par une personne qualifiée qui a également le pouvoir d'annuler le permis si les conditions changent. L'émetteur du permis devrait être indépendant de la hiérarchie de supervision afin d'éviter toute pression potentielle pour accélérer l'exécution des travaux. Le permis spécifie les procédures à suivre ainsi que les conditions dans lesquelles l'entrée et le travail peuvent avoir lieu, et enregistre les résultats des tests et d'autres informations. Le permis signé est affiché à l'entrée ou au portail de l'espace ou tel que spécifié par l'entreprise ou l'autorité de régulation. Il demeure affiché jusqu'à ce qu'il soit annulé, remplacé par un nouveau permis ou que les travaux soient terminés. Le permis d'entrée devient un dossier une fois les travaux terminés et doit être conservé aux fins de tenue de dossiers conformément aux exigences de l'organisme de réglementation.
Le système de permis fonctionne mieux lorsque les conditions dangereuses sont connues par l'expérience antérieure et que les mesures de contrôle ont été essayées et se sont avérées efficaces. Le système de permis permet une répartition efficace des ressources expertes. Les limites du permis surviennent lorsque des dangers auparavant non reconnus sont présents. Si la personne qualifiée n'est pas facilement disponible, celles-ci peuvent rester sans réponse.
Le certificat d'entrée fournit un mécanisme alternatif pour le contrôle d'entrée. Cela nécessite une personne qualifiée sur place qui fournit une expertise pratique dans la reconnaissance, l'évaluation et le contrôle des dangers. Un avantage supplémentaire est la capacité de répondre aux préoccupations à court préavis et de faire face aux dangers imprévus. Certaines juridictions exigent que la personne qualifiée effectue une inspection visuelle personnelle de l'espace avant le début des travaux. Suite à l'évaluation de l'espace et à la mise en place de mesures de contrôle, la Personne Qualifiée délivre un certificat décrivant l'état de l'espace et les conditions dans lesquelles les travaux peuvent se dérouler (NFPA 1993). Cette approche est parfaitement adaptée aux opérations qui comportent de nombreux espaces confinés ou lorsque les conditions ou la configuration des espaces peuvent subir des changements rapides.
Tableau 2. Un exemple de permis d'entrée
ENTREPRISE ABC
ESPACE CONFINÉ—PERMIS D'ENTRÉE
1. INFORMATIONS DESCRIPTIVES
Département:
Lieu:
Bâtiment/Magasin :
Équipement/Espace :
Partie:
Date : Assesseur:
Durée: Qualification :
2. ESPACES ADJACENTS
Espace:
Description:
Contenu:
Processus:
3. CONDITIONS DE PRE-TRAVAIL
Dangers atmosphériques
Déficit en oxygène Oui Non Contrôlé
Concentration : (Minimum acceptable : %)
Enrichissement en oxygène Oui Non Contrôlé
Concentration : (Maximum acceptable : %)
Chemical Oui Non Contrôlé
Concentration de la substance (Norme acceptable : )
Dentisterie Biologique Oui Non Contrôlé
Concentration de la substance (Norme acceptable : )
Incendie / Explosion Oui Non Contrôlé
Concentration de la substance (Maximum acceptable : % LIE)
Risque d'ingestion/de contact avec la peau Oui Non Contrôlé
Agents physiques
Bruit/Vibration Oui Non Contrôlé
Niveau : (Maximum acceptable : dBA)
Chaleur/Froid Stress Oui Non Contrôlé
Température : (Plage acceptable : )
Rayonnement non/ionisant Oui Non Contrôlé
Type Niveau (Maximum acceptable : )
Zone Oui Non Contrôlé
Type Niveau (Maximum acceptable : )
Confinement personnel
(Reportez-vous à l'action corrective.) Oui Non Contrôlé
Risque mécanique
(Se référer à la procédure.) Oui Non Contrôlé
Risque de processus
(Se référer à la procédure.) Oui Non Contrôlé
ENTREPRISE ABC
ESPACE CONFINÉ—PERMIS D'ENTRÉE
Dangers pour la sécurité
Risque structurel
(Reportez-vous à l'action corrective.) Oui Non Contrôlé
Engloutissement/Immersion
(Reportez-vous à l'action corrective.) Oui Non Contrôlé
Enchevêtrement
(Reportez-vous à l'action corrective.) Oui Non Contrôlé
Électricité
(Se référer à la procédure.) Oui Non Contrôlé
Automne
(Reportez-vous à l'action corrective.) Oui Non Contrôlé
Glissade/trébuchement
(Reportez-vous à l'action corrective.) Oui Non Contrôlé
Visibilité/niveau de luminosité Oui Non Contrôlé
Niveau : (Plage acceptable : lux)
Explosif/Implosif
(Reportez-vous à l'action corrective.) Oui Non Contrôlé
Surfaces chaudes/froides
(Reportez-vous à l'action corrective.) Oui Non Contrôlé
Pour les entrées dans les cases en surbrillance, Oui ou Contrôlé, fournissez des détails supplémentaires et reportez-vous aux mesures de protection. Pour connaître les dangers pour lesquels des essais peuvent être effectués, reportez-vous aux exigences d'essai. Indiquez la date de l'étalonnage le plus récent. Le maximum, le minimum, la plage ou la norme acceptable dépend de la juridiction.
4. Procédure de travail
Description:
Travail à chaud
(Reportez-vous aux mesures de protection.) Oui Non Contrôlé
Danger atmosphérique
Déficit en oxygène
(Reportez-vous aux exigences relatives aux tests supplémentaires. Enregistrez les résultats.
Reportez-vous aux exigences relatives aux mesures de protection.)
La concentration: Oui Non Contrôlé
(Minimum acceptable : %)
Enrichissement en oxygène
(Reportez-vous aux exigences relatives aux tests supplémentaires. Enregistrez les résultats.
Reportez-vous aux exigences relatives aux mesures de protection.)
La concentration: Oui Non Contrôlé
(Maximum acceptable : %)
Chemical
(Se référer à l'exigence pour des tests supplémentaires. Enregistrer les résultats. Se référer à l'exigence
pour les mesures de protection.)
Concentration des substances Oui Non Contrôlé
(Norme acceptable : )
Dentisterie Biologique
(Se référer à l'exigence pour des tests supplémentaires. Enregistrer les résultats. Se référer à l'exigence
pour les mesures de protection.)
Concentration des substances Oui Non Contrôlé
(Norme acceptable : )
Incendie / Explosion
(Se référer à l'exigence pour des tests supplémentaires. Enregistrer les résultats. Se référer à l'exigence
pour les mesures de protection.)
Concentration des substances Oui Non Contrôlé
(Norme acceptable : )
Risque d'ingestion/de contact avec la peau Oui Non Contrôlé
(Se reporter aux exigences relatives aux mesures de protection.)
ENTREPRISE ABC
ESPACE CONFINÉ—PERMIS D'ENTRÉE
Agents physiques
Bruit/Vibration
(Reportez-vous à l'exigence relative aux mesures de protection. Reportez-vous à l'exigence
tests supplémentaires. Enregistrer les résultats.)
Niveau: Oui Non Contrôlé
(Maximum acceptable : dBA)
Chaleur/Froid Stress
(Reportez-vous à l'exigence relative aux mesures de protection. Reportez-vous à l'exigence
tests supplémentaires. Enregistrer les résultats.)
Température: Oui Non Contrôlé
(Plage acceptable : )
Rayonnement non/ionisant
(Reportez-vous à l'exigence relative aux mesures de protection. Reportez-vous à l'exigence
tests supplémentaires. Enregistrer les résultats.)
Niveau de type Oui Non Contrôlé
(Maximum acceptable : )
Zone
(Se reporter aux exigences relatives aux mesures de protection.) Oui Non Contrôlé
Risque mécanique
(Se reporter aux exigences relatives aux mesures de protection.) Oui Non Contrôlé
Risque de processus
(Se reporter aux exigences relatives aux mesures de protection.) Oui Non Contrôlé
Dangers pour la sécurité
Risque structurel
(Se reporter aux exigences relatives aux mesures de protection.) Oui Non Contrôlé
Engloutissement/Immersion
(Se reporter aux exigences relatives aux mesures de protection.) Oui Non Contrôlé
Enchevêtrement
(Se reporter aux exigences relatives aux mesures de protection.) Oui Non Contrôlé
Électricité
(Se reporter aux exigences relatives aux mesures de protection.) Oui Non Contrôlé
Automne
(Se reporter aux exigences relatives aux mesures de protection.) Oui Non Contrôlé
Glissade/trébuchement
(Se reporter aux exigences relatives aux mesures de protection.) Oui Non Contrôlé
Visibilité/niveau de luminosité
(Se reporter aux exigences relatives aux mesures de protection.) Oui Non Contrôlé
Explosif/Implosif
(Se reporter aux exigences relatives aux mesures de protection.) Oui Non Contrôlé
Surfaces chaudes/froides
(Se reporter aux exigences relatives aux mesures de protection.) Oui Non Contrôlé
Pour les entrées dans les cases en surbrillance, Oui ou Possible, fournissez des détails supplémentaires et reportez-vous aux
les mesures. Pour connaître les dangers pour lesquels des essais peuvent être effectués, reportez-vous aux exigences d'essai. Indiquez la date de
calibrage le plus récent.
Mesures protectives
Équipement de protection individuelle (préciser)
Équipement et procédure de communication (préciser)
Systèmes d'alarme (préciser)
Équipement de sauvetage (préciser)
Ventilation (préciser)
Éclairage (préciser)
Autre précisez)
(Suite à la page suivante)
ENTREPRISE ABC
ESPACE CONFINÉ—PERMIS D'ENTRÉE
Conditions de test
Spécifier les exigences et la fréquence des tests
personnel
Superviseur d'entrée
Superviseur d'origine
Participants autorisés
Personnel de test
Préposés
La manutention des matériaux et la circulation interne sont des facteurs contributifs dans une grande partie des accidents dans de nombreuses industries. Selon le type d'industrie, la part des accidents du travail imputés à la manutention varie de 20 à 50 %. La maîtrise des risques liés à la manutention est le premier problème de sécurité dans les chantiers portuaires, le BTP, les entrepôts, les scieries, la construction navale et autres industries lourdes similaires. Dans de nombreuses industries de transformation, telles que l'industrie des produits chimiques, l'industrie des pâtes et papiers et les industries de l'acier et de la fonderie, de nombreux accidents ont encore tendance à se produire lors de la manutention des produits finis, soit manuellement, soit par des chariots élévateurs et des grues.
Ce fort potentiel d'accidents dans les activités de manutention est dû à au moins trois caractéristiques fondamentales :
Accidents de manutention
Chaque fois que des personnes ou des machines déplacent des charges, un risque d'accident est présent. L'ampleur du risque est déterminée par les caractéristiques technologiques et organisationnelles du système, l'environnement et les mesures de prévention des accidents mises en œuvre. Pour des raisons de sécurité, il est utile de décrire la manutention comme un système dans lequel les différents éléments sont interdépendants (figure 1). Lorsque des changements sont introduits dans n'importe quel élément du système (équipement, biens, procédures, environnement, personnes, gestion et organisation), le risque de blessures est susceptible de changer également.
Figure 1. Un système de manutention des matériaux
Les types de manutention et de trafic interne les plus fréquemment impliqués dans les accidents sont associés à la manutention manuelle, au transport et au déplacement à la main (charrettes, bicyclettes, etc.), aux camions, aux chariots élévateurs, aux grues et aux palans, aux convoyeurs et au transport ferroviaire.
Plusieurs types d'accidents sont couramment rencontrés dans le transport et la manutention des matériaux sur les lieux de travail. La liste suivante présente les types les plus fréquents :
Éléments des systèmes de manutention des matériaux
Pour chaque élément d'un système de manutention, plusieurs options de conception sont disponibles et le risque d'accident est affecté en conséquence. Plusieurs critères de sécurité doivent être considérés pour chaque élément. Il est important que l'approche systémique soit utilisée tout au long de la durée de vie du système - pendant la conception du nouveau système, pendant le fonctionnement normal du système et lors du suivi des accidents et perturbations passés afin d'introduire des améliorations dans le système.
Principes généraux de prévention
Certains principes pratiques de prévention sont généralement considérés comme applicables à la sécurité dans la manutention des matériaux. Ces principes peuvent être appliqués aux systèmes manuels et mécaniques de manutention des matériaux au sens général et chaque fois qu'une usine, un entrepôt ou un chantier de construction est envisagé. De nombreux principes différents doivent être appliqués au même projet pour obtenir des résultats de sécurité optimaux. Habituellement, aucune mesure ne peut totalement prévenir les accidents. Inversement, tous ces principes généraux ne sont pas nécessaires et certains d'entre eux peuvent ne pas fonctionner dans une situation spécifique. Les professionnels de la sécurité et les spécialistes de la manutention doivent considérer les éléments les plus pertinents pour guider leur travail dans chaque cas spécifique. La question la plus importante est de gérer les principes de manière optimale pour créer des systèmes de manutention sûrs et pratiques, plutôt que de se contenter d'un seul principe technique à l'exclusion des autres.
Les 22 principes suivants peuvent être utilisés à des fins de sécurité dans le développement et l'évaluation des systèmes de manutention de matériaux à leur stade prévu, actuel ou historique. Tous les principes sont applicables aux activités de sécurité proactives et consécutives. Aucun ordre de priorité strict n'est implicite dans la liste qui suit, mais une division approximative peut être faite : les premiers principes sont plus valables dans la conception initiale des nouveaux aménagements d'usine et des processus de manutention des matériaux, tandis que les derniers principes énumérés sont plus orientés vers la fonctionnement des systèmes de manutention existants.
Vingt-deux principes de prévention des accidents de manutention
Les sujets de leadership et de culture sont les deux considérations les plus importantes parmi les conditions nécessaires pour atteindre l'excellence en matière de sécurité. La politique de sécurité peut ou non être considérée comme importante, selon la perception du travailleur quant à savoir si l'engagement et le soutien de la direction envers la politique sont en fait réalisés chaque jour. La direction rédige souvent la politique de sécurité et ne parvient pas à s'assurer qu'elle est appliquée par les gestionnaires et les superviseurs au travail, tous les jours.
Culture de sécurité et résultats de sécurité
Nous pensions qu'il y avait certains « éléments essentiels » d'un « programme de sécurité ». Aux États-Unis, les organismes de réglementation fournissent des lignes directrices sur la nature de ces éléments (politique, procédures, formation, inspections, enquêtes, etc.). Certaines provinces du Canada déclarent qu'il existe 20 éléments essentiels, tandis que certaines organisations du Royaume-Uni suggèrent que 30 éléments essentiels devraient être pris en compte dans les programmes de sécurité. Après un examen attentif de la justification des différentes listes d'éléments essentiels, il devient évident que les listes de chacun reflètent simplement l'opinion d'un écrivain du passé (Heinrich, par exemple, ou Bird). De même, les règlements sur les programmes de sécurité reflètent souvent l'opinion d'un des premiers auteurs. Il y a rarement des recherches derrière ces opinions, ce qui entraîne des situations où les éléments essentiels peuvent fonctionner dans une organisation et pas dans une autre. Lorsque nous examinons réellement la recherche sur l'efficacité du système de sécurité, nous commençons à comprendre que bien qu'il existe de nombreux éléments essentiels qui s'appliquent aux résultats de sécurité, c'est la perception qu'a le travailleur de la culture qui détermine si un seul élément sera efficace ou non. . Un certain nombre d'études citées dans les références conduisent à la conclusion qu'il n'y a pas d'éléments « incontournables » et « essentiels » dans un système de sécurité.
Cela pose de sérieux problèmes étant donné que les réglementations de sécurité tendent à demander aux organisations de simplement « avoir un programme de sécurité » composé de cinq, sept ou d'un nombre quelconque d'éléments, lorsqu'il est évident que bon nombre des activités prescrites ne fonctionneront pas et feront perdre du temps. , les efforts et les ressources qui pourraient être utilisés pour entreprendre les activités proactives qui empêcheront les pertes. Ce ne sont pas les éléments utilisés qui déterminent les résultats de sécurité ; c'est plutôt la culture dans laquelle ces éléments sont utilisés qui détermine le succès. Dans une culture de sécurité positive, presque tous les éléments fonctionneront ; dans une culture négative, probablement aucun des éléments n'obtiendra de résultats.
Construire une culture
Si la culture de l'organisation est si importante, les efforts de gestion de la sécurité doivent viser d'abord et avant tout à construire une culture afin que les activités de sécurité qui sont instituées obtiennent des résultats. Culture peut être vaguement défini comme "la façon dont c'est ici". La culture de la sécurité est positive lorsque les travailleurs croient honnêtement que la sécurité est une valeur clé de l'organisation et peuvent percevoir qu'elle figure en bonne place sur la liste des priorités de l'organisation. Cette perception par les salariés ne peut être atteinte que lorsqu'ils perçoivent la direction comme crédible ; quand le des mots de la politique de sécurité sont vécues au quotidien ; lorsque les décisions de la direction sur les dépenses financières montrent que l'argent est dépensé pour les gens (ainsi que pour gagner plus d'argent); lorsque les mesures et les récompenses fournies par la direction forcent les performances des cadres intermédiaires et des superviseurs à des niveaux satisfaisants ; lorsque les travailleurs jouent un rôle dans la résolution de problèmes et la prise de décision ; lorsqu'il existe un degré élevé de confiance entre la direction et les travailleurs ; lorsqu'il y a ouverture des communications; et lorsque les travailleurs reçoivent une reconnaissance positive pour leur travail.
Dans une culture de sécurité positive comme celle décrite ci-dessus, presque tous les éléments du système de sécurité seront efficaces. En fait, avec la bonne culture, une organisation n'a même pas besoin d'un « programme de sécurité », car la sécurité est traitée comme une partie normale du processus de gestion. Pour parvenir à une culture de sécurité positive, certains critères doivent être remplis
1. Un système doit être en place pour assurer des activités quotidiennes régulières de supervision (ou d'équipe) proactives.
2. Le système doit veiller activement à ce que les tâches et activités de l'encadrement intermédiaire soient menées dans les domaines suivants :
3. La haute direction doit clairement démontrer et soutenir que la sécurité est une priorité élevée dans l'organisation.
4. Tout travailleur qui choisit de le faire devrait pouvoir participer activement à des activités significatives liées à la sécurité.
5. Le système de sécurité doit être flexible, permettant de faire des choix à tous les niveaux.
6. L'effort de sécurité doit être perçu comme positif par le personnel.
Ces six critères peuvent être remplis quel que soit le style de management de l'organisation, qu'il soit autoritaire ou participatif, et avec des approches complètement différentes de la sécurité.
Politique Culture et Sécurité
Avoir une politique de sécurité n'atteint que rarement des résultats s'il n'est pas suivi de systèmes qui font vivre la politique. Par exemple, si la politique stipule que les superviseurs sont responsables de la sécurité, cela ne signifie rien à moins que ce qui suit soit en place :
Ces critères sont vrais à chaque niveau de l'organisation ; les tâches doivent être définies, il doit y avoir une mesure valide de la performance (achèvement de la tâche) et une récompense en fonction de la performance. Ainsi, la politique de sécurité ne détermine pas la performance de la sécurité ; la responsabilité le fait. La responsabilité est la clé de la construction de la culture. Ce n'est que lorsque les travailleurs voient les superviseurs et la direction remplir leurs tâches de sécurité au quotidien qu'ils croient que la direction est crédible et que la direction le pensait vraiment lorsqu'elle a signé les documents de politique de sécurité.
Direction et sécurité
Il ressort clairement de ce qui précède que le leadership est crucial pour les résultats en matière de sécurité, car le leadership forme la culture qui détermine ce qui fonctionnera et ce qui ne fonctionnera pas dans les efforts de sécurité de l'organisation. Un bon leader indique clairement ce qu'il souhaite en termes de résultats et précise également ce qui sera fait dans l'organisation pour atteindre les résultats. Le leadership est infiniment plus important que la politique, car les dirigeants, par leurs actions et leurs décisions, envoient des messages clairs dans toute l'organisation quant aux politiques qui sont importantes et celles qui ne le sont pas. Les organisations déclarent parfois par le biais de politiques que la santé et la sécurité sont des valeurs clés, puis élaborent des mesures et des structures de récompense qui favorisent le contraire.
Le leadership, par ses actions, ses systèmes, ses mesures et ses récompenses, détermine clairement si la sécurité sera atteinte ou non dans l'organisation. Cela n'a jamais été aussi évident pour tous les travailleurs de l'industrie que pendant les années 1990. Il n'y a jamais eu d'allégeance aussi affirmée à la santé et à la sécurité qu'au cours des dix dernières années. Dans le même temps, il n'y a jamais eu autant de réduction des effectifs ou de « rajustement des effectifs » et plus de pression pour augmenter la production et réduire les coûts, créant plus de stress, plus d'heures supplémentaires forcées, plus de travail pour moins de travailleurs, plus de peur pour l'avenir et moins sécurité d'emploi que jamais. Le redimensionnement a décimé les cadres intermédiaires et les superviseurs et a imposé plus de travail à moins de travailleurs (les personnes clés en matière de sécurité). Il y a une perception générale de surcharge à tous les niveaux de l'organisation. La surcharge provoque plus d'accidents, plus de fatigue physique, plus de fatigue psychologique, plus de réclamations de stress, plus de conditions de mouvement répétitives et plus de troubles traumatiques cumulatifs. Dans de nombreuses organisations, la relation entre l'entreprise et le travailleur s'est également détériorée, alors qu'il y avait auparavant des sentiments mutuels de confiance et de sécurité. Dans l'ancien environnement, un travailleur peut avoir continué à « se blesser au travail ». Cependant, lorsque les travailleurs craignent pour leur emploi et qu'ils voient que les rangs de la direction sont si minces, qu'ils ne sont pas supervisés, ils commencent à avoir l'impression que l'organisation ne se soucie plus d'eux, ce qui entraîne une détérioration de la culture de sécurité.
Analyse des écarts
De nombreuses organisations passent par un processus simple connu sous le nom d'analyse des écarts composé de trois étapes : (1) déterminer où vous voulez être ; (2) déterminer où vous êtes maintenant et (3) déterminer comment vous rendre d'où vous êtes à où vous voulez être, ou comment « combler le fossé ».
Déterminer où vous voulez être. À quoi voulez-vous que le système de sécurité de votre organisation ressemble ? Six critères ont été proposés pour évaluer le système de sécurité d'une organisation. Si ceux-ci sont rejetés, vous devez mesurer le système de sécurité de votre organisation par rapport à d'autres critères. Par exemple, vous voudrez peut-être examiner les sept variables climatiques de l'efficacité organisationnelle telles qu'établies par le Dr Rensis Likert (1967), qui a montré que plus une organisation est bonne dans certaines choses, plus elle aura de chances de réussir sur le plan économique, et donc en toute sécurité. Ces variables climatiques sont les suivantes :
Il existe d'autres critères permettant de s'évaluer, comme le critère établi pour déterminer la probabilité d'événements catastrophiques suggéré par Zembroski (1991).
Déterminer où vous êtes maintenant. C'est peut-être le plus difficile. On pensait à l'origine que l'efficacité du système de sécurité pouvait être déterminée en mesurant le nombre de blessures ou un sous-ensemble de blessures (blessures enregistrables, blessures avec perte de temps, taux de fréquence, etc.). En raison du faible nombre de ces données, elles ont généralement peu ou pas de validité statistique. Reconnaissant cela dans les années 1950 et 1960, les enquêteurs se sont éloignés des mesures d'incident et ont tenté de juger de l'efficacité du système de sécurité par le biais d'audits. On a tenté de prédéterminer ce qui doit être fait dans une organisation pour obtenir des résultats, puis de déterminer par mesure si ces choses ont été faites ou non.
Pendant des années, on a supposé que les notes d'audit prédisaient les résultats en matière de sécurité ; meilleure est la note d'audit cette année, plus bas sera le nombre d'accidents enregistrés l'année prochaine. Nous savons maintenant (d'après diverses recherches) que les scores d'audit ne sont pas très bien corrélés (voire pas du tout) avec le dossier de sécurité. La recherche suggère que la plupart des audits (externes et parfois construits en interne) ont tendance à être beaucoup mieux corrélés avec la conformité réglementaire qu'avec le dossier de sécurité. Ceci est documenté dans un certain nombre d'études et de publications.
Un certain nombre d'études corrélant les scores d'audit et le dossier des blessures dans les grandes entreprises sur des périodes de temps (cherchant à déterminer si le dossier des blessures a une validité statistique) ont trouvé une corrélation nulle, et dans certains cas une corrélation négative, entre les résultats d'audit et le dossier de blessures. Les audits de ces études ont tendance à être corrélés positivement avec la conformité réglementaire.
Combler le fossé
Il semble n'y avoir que quelques mesures de performance en matière de sécurité qui soient valides (c'est-à-dire qu'elles soient vraiment corrélées avec le nombre réel d'accidents dans les grandes entreprises sur de longues périodes) qui peuvent être utilisées pour « combler l'écart » :
La mesure la plus importante à examiner est peut-être l'enquête de perception, qui est utilisée pour évaluer l'état actuel de la culture de sécurité de toute organisation. Les problèmes de sécurité critiques sont identifiés et toute différence entre les points de vue de la direction et des employés sur l'efficacité des programmes de sécurité de l'entreprise est clairement démontrée.
L'enquête commence par une courte série de questions démographiques qui peuvent être utilisées pour organiser des graphiques et des tableaux pour montrer les résultats (voir figure 1). En règle générale, les participants sont interrogés sur leur niveau d'employé, leur lieu de travail général et peut-être leur groupe de métiers. A aucun moment on ne pose aux salariés des questions qui permettraient de les identifier par les personnes qui notent les résultats.
Figure 1. Exemple de résultats d'enquête de perception
La deuxième partie de l'enquête se compose d'un certain nombre de questions. Les questions sont conçues pour découvrir les perceptions des employés sur les différentes catégories de sécurité. Chaque question peut affecter le score de plus d'une catégorie. Un pourcentage cumulatif de réponses positives est calculé pour chaque catégorie. Les pourcentages des catégories sont représentés graphiquement (voir figure 1) pour afficher les résultats par ordre décroissant de perception positive par les travailleurs à la chaîne. Les catégories du côté droit du graphique sont celles qui sont perçues par les employés comme étant les moins positives et qui ont donc le plus besoin d'amélioration.
Résumé
On a beaucoup appris ces dernières années sur ce qui détermine l'efficacité d'un système de sécurité. Il est reconnu que la culture est la clé. La perception qu'ont les employés de la culture de l'organisation dicte leur comportement et, par conséquent, la culture détermine si oui ou non un élément du programme de sécurité sera efficace.
La culture n'est pas établie par une politique écrite, mais plutôt par le leadership; par des actions et des décisions au jour le jour ; et par les systèmes en place qui garantissent que les activités de sécurité (performance) des gestionnaires, des superviseurs et des équipes de travail sont réalisées. La culture peut être construite positivement grâce à des systèmes de responsabilisation qui garantissent la performance et à travers des systèmes qui permettent, encouragent et obtiennent la participation des travailleurs. De plus, la culture peut être valablement évaluée par des sondages de perception, et améliorée une fois que l'organisation a déterminé où elle aimerait être.
La culture de la sécurité est un nouveau concept parmi les professionnels de la sécurité et les chercheurs universitaires. La culture de sécurité peut être considérée comme incluant divers autres concepts faisant référence aux aspects culturels de la sécurité au travail, tels que les attitudes et comportements de sécurité ainsi que le climat de sécurité au travail, qui sont plus couramment mentionnés et assez bien documentés.
La question se pose de savoir si la culture de la sécurité n'est qu'un nouveau mot utilisé pour remplacer d'anciennes notions, ou apporte-t-elle un nouveau contenu substantiel susceptible d'élargir notre compréhension de la dynamique de la sécurité dans les organisations ? La première section de cet article répond à cette question en définissant le concept de culture de sécurité et en explorant ses dimensions potentielles.
Une autre question qui peut être soulevée à propos de la culture de sécurité concerne sa relation avec la performance des entreprises en matière de sécurité. Il est admis que des entreprises similaires classées dans une catégorie de risque donnée diffèrent fréquemment quant à leurs performances réelles en matière de sécurité. La culture de sécurité est-elle un facteur d'efficacité de la sécurité et, si oui, quel type de culture de sécurité réussira à contribuer à un impact souhaitable ? Cette question est abordée dans la deuxième section de l'article en examinant certaines preuves empiriques pertinentes concernant l'impact de la culture de sécurité sur les performances de sécurité.
La troisième section aborde la question pratique de la gestion de la culture de sécurité, afin d'aider les managers et autres dirigeants organisationnels à construire une culture de sécurité qui contribue à la réduction des accidents du travail.
Culture de la sécurité : concept et réalités
Le concept de culture de sécurité n'est pas encore très bien défini et renvoie à un large éventail de phénomènes. Certaines d'entre elles sont déjà partiellement documentées, comme les attitudes et les comportements des managers ou des ouvriers face au risque et à la sécurité (Andriessen 1978 ; Cru et Dejours 1983 ; Dejours 1992 ; Dodier 1985 ; Eakin 1992 ; Eyssen, Eakin-Hoffman et Spengler 1980 ;Haas 1977). Ces études sont importantes pour présenter des preuves sur la nature sociale et organisationnelle des attitudes et des comportements de sécurité des individus (Simard 1988). Cependant, en se concentrant sur des acteurs organisationnels particuliers comme les gestionnaires ou les travailleurs, ils n'abordent pas la question plus large du concept de culture de sécurité, qui caractérise les organisations.
Un courant de recherche plus proche de l'approche globale mise en avant par le concept de culture de sécurité est représenté par les études sur le climat de sécurité qui se sont développées dans les années 1980. Le concept de climat de sécurité renvoie aux perceptions que les travailleurs ont de leur environnement de travail, notamment le niveau de préoccupation et d'activités de la direction en matière de sécurité et leur propre implication dans la maîtrise des risques au travail (Brown et Holmes 1986 ; Dedobbeleer et Béland 1991 ; Zohar 1980). Théoriquement, on pense que les travailleurs développent et utilisent de tels ensembles de perceptions pour déterminer ce qu'ils croient être attendu d'eux dans l'environnement organisationnel et se comportent en conséquence. Bien que conceptualisé comme un individuel d'un point de vue psychologique, les perceptions qui forment le climat de sécurité donnent une appréciation précieuse de la réaction commune des travailleurs face à une organisationnel attribut socialement et culturellement construit, en l'occurrence par la gestion de la sécurité au travail sur le lieu de travail. Par conséquent, bien que le climat de sécurité ne reflète pas complètement la culture de sécurité, il peut être considéré comme une source d'information sur la culture de sécurité d'un lieu de travail.
La culture de la sécurité est un concept qui (1) comprend les valeurs, les croyances et les principes qui servent de fondement au système de gestion de la sécurité et (2) comprend également l'ensemble des pratiques et des comportements qui illustrent et renforcent ces principes de base. Ces croyances et pratiques sont significations produits par les membres de l'organisation dans leur recherche de stratégies traitant de questions telles que les risques professionnels, les accidents et la sécurité au travail. Ces significations (croyances et pratiques) ne sont pas seulement partagées dans une certaine mesure par les membres du milieu de travail, mais constituent également une source première d'activité motivée et coordonnée concernant la question de la sécurité au travail. On peut en déduire que la culture doit être différenciée à la fois des structures concrètes de sécurité au travail (présence d'un service de sécurité, d'un comité paritaire de sécurité et de santé, etc.) et des programmes de sécurité au travail existants (constitués d'activités d'identification et de contrôle des risques telles que inspections du lieu de travail, enquête sur les accidents, analyse de la sécurité au travail, etc.).
Petersen (1993) soutient que la culture de sécurité « est au cœur de la façon dont les éléments ou outils des systèmes de sécurité... sont utilisés » en donnant l'exemple suivant :
Deux entreprises avaient une politique similaire d'enquête sur les accidents et les incidents dans le cadre de leurs programmes de sécurité. Des incidents similaires se sont produits dans les deux entreprises et des enquêtes ont été lancées. Dans la première entreprise, le superviseur a constaté que les travailleurs impliqués avaient un comportement dangereux, les a immédiatement avertis de l'infraction à la sécurité et a mis à jour leurs dossiers personnels de sécurité. Le cadre supérieur responsable a remercié ce superviseur d'avoir fait respecter la sécurité au travail. Dans la deuxième entreprise, le superviseur s'est penché sur les circonstances de l'incident, à savoir qu'il s'est produit alors que l'opérateur était sous forte pression pour respecter les délais de production après une période de problèmes d'entretien mécanique qui avait ralenti la production, et dans un contexte où l'attention des employés a été tirée des pratiques de sécurité parce que les récentes compressions de l'entreprise ont inquiété les travailleurs pour leur sécurité d'emploi. Les responsables de l'entreprise ont reconnu le problème d'entretien préventif et ont tenu une réunion avec tous les employés où ils ont discuté de la situation financière actuelle et ont demandé aux travailleurs de maintenir la sécurité tout en travaillant ensemble pour améliorer la production en vue d'aider la viabilité de l'entreprise.
"Pourquoi", a demandé Petersen, "une entreprise a-t-elle blâmé l'employé, rempli les formulaires d'enquête sur les incidents et s'est-elle remise au travail alors que l'autre entreprise a constaté qu'elle devait traiter les fautes à tous les niveaux de l'organisation ?" La différence réside dans les cultures de sécurité, et non dans les programmes de sécurité eux-mêmes, bien que la manière culturelle dont ce programme est mis en pratique, ainsi que les valeurs et les croyances qui donnent un sens aux pratiques réelles, déterminent en grande partie si le programme a un contenu et un impact réels suffisants.
De cet exemple, il ressort que la direction générale est un acteur clé dont les principes et actions en matière de sécurité au travail contribuent largement à asseoir la culture sécurité de l'entreprise. Dans les deux cas, les superviseurs ont répondu en fonction de ce qu'ils percevaient comme « la bonne façon de faire les choses », une perception qui avait été renforcée par les actions conséquentes de la haute direction. Évidemment, dans le premier cas, la direction a privilégié une approche « by-the-book », ou une approche bureaucratique et hiérarchique du contrôle de la sécurité, alors que dans le second cas, l'approche était plus globale et propice à l'engagement des gestionnaires et des travailleurs. participation à la sécurité au travail. D'autres approches culturelles sont également possibles. Par exemple, Eakin (1992) a montré que dans les très petites entreprises, il est courant que le top manager délègue entièrement la responsabilité de la sécurité aux travailleurs.
Ces exemples soulèvent la question importante de la dynamique d'une culture de sécurité et des processus impliqués dans la construction, le maintien et le changement de culture organisationnelle en matière de sécurité au travail. L'un de ces processus est le leadership dont font preuve les cadres supérieurs et les autres dirigeants de l'organisation, comme les dirigeants syndicaux. L'approche de la culture organisationnelle a contribué à renouveler les études sur le leadership dans les organisations en montrant l'importance du rôle personnel des leaders naturels et organisationnels dans la démonstration de l'engagement envers les valeurs et la création de significations partagées entre les membres de l'organisation (Nadler et Tushman 1990 ; Schein 1985). L'exemple de Petersen de la première entreprise illustre une situation où le leadership de la haute direction était strictement structurel, il s'agissait simplement d'établir et de renforcer la conformité au programme de sécurité et aux règles. Dans la deuxième entreprise, les cadres supérieurs ont fait preuve d'une approche plus large du leadership, combinant un rôle structurel en décidant d'accorder du temps pour effectuer la maintenance préventive nécessaire à un rôle personnel en rencontrant les employés pour discuter de la sécurité et de la production dans une situation financière difficile. Enfin, dans l'étude d'Eakin, les cadres supérieurs de certaines petites entreprises semblent ne jouer aucun rôle de leadership.
D'autres acteurs organisationnels qui jouent un rôle très important dans la dynamique culturelle de la sécurité au travail sont les cadres intermédiaires et les superviseurs. Dans leur étude de plus d'un millier de superviseurs de première ligne, Simard et Marchand (1994) montrent qu'une forte majorité de superviseurs sont impliqués dans la sécurité du travail, même si les modèles culturels de leur implication peuvent différer. Dans certains lieux de travail, le modèle dominant est ce qu'ils appellent « l'implication hiérarchique » et est davantage axé sur le contrôle ; dans d'autres organisations, le schéma est celui de « l'implication participative », car les superviseurs encouragent et permettent à la fois à leurs employés de participer aux activités de prévention des accidents ; et dans une petite minorité d'organisations, les superviseurs se retirent et laissent la sécurité aux travailleurs. Il est facile de voir la correspondance entre ces styles de gestion de la sécurité par les superviseurs et ce qui a été dit précédemment au sujet des modèles de leadership des cadres supérieurs en matière de sécurité au travail. Empiriquement, cependant, l'étude de Simard et Marchand montre que la corrélation n'est pas parfaite, une circonstance qui appuie l'hypothèse de Petersen selon laquelle un problème majeur pour de nombreux cadres est de savoir comment construire une culture de sécurité solide et axée sur les personnes parmi les gestion de la surveillance. Une partie de ce problème peut être due au fait que la plupart des gestionnaires de niveau inférieur sont encore principalement axés sur la production et enclins à blâmer les travailleurs pour les accidents du travail et autres problèmes de sécurité (DeJoy 1987 et 1994 ; Taylor 1981).
Cet accent mis sur la gestion ne doit pas être considéré comme faisant abstraction de l'importance des travailleurs dans la dynamique de la culture de sécurité des lieux de travail. La motivation et les comportements des travailleurs en matière de sécurité au travail sont influencés par les perceptions qu'ils ont de la priorité accordée à la sécurité au travail par leurs superviseurs et cadres supérieurs (Andriessen 1978). Ce modèle d'influence du haut vers le bas a été prouvé dans de nombreuses expériences comportementales, utilisant les commentaires positifs des managers pour renforcer le respect des règles de sécurité formelles (McAfee et Winn 1989 ; Näsänen et Saari 1987). Les travailleurs forment aussi spontanément des groupes de travail lorsque l'organisation du travail offre des conditions appropriées leur permettant de s'impliquer dans la gestion et la régulation formelles ou informelles de la sécurité du travail (Cru et Dejours 1983 ; Dejours 1992 ; Dwyer 1992). Ce dernier modèle de comportement des travailleurs, plus orienté vers les initiatives de sécurité des groupes de travail et leur capacité d'autorégulation, peut être utilisé positivement par la direction pour développer l'implication des travailleurs et la sécurité dans la construction d'une culture de sécurité au travail.
Culture de sécurité et performance en matière de sécurité
Il existe un nombre croissant de preuves empiriques concernant l'impact de la culture de sécurité sur la performance en matière de sécurité. De nombreuses études ont examiné les caractéristiques des entreprises ayant de faibles taux d'accidents, en les comparant généralement à des entreprises similaires ayant des taux d'accidents supérieurs à la moyenne. Un résultat assez cohérent de ces études, menées dans les pays industrialisés ainsi que dans les pays en développement, souligne l'importance de l'engagement et du leadership des cadres supérieurs en matière de sécurité pour la performance en matière de sécurité (Chew 1988 ; Hunt et Habeck 1993 ; Shannon et al. 1992 ; Smith et al. .1978). De plus, la plupart des études montrent que dans les entreprises où le taux d'accidentologie est le plus faible, l'implication personnelle des cadres supérieurs dans la sécurité au travail est au moins aussi importante que leurs décisions dans la structuration du système de gestion de la sécurité (fonctions qui comprendraient l'utilisation de ressources financières et professionnelles et la création de politiques et de programmes, etc.). Selon Smith et al. (1978) l'implication active des cadres supérieurs agit comme un facteur de motivation pour tous les niveaux de gestion en maintenant leur intérêt par la participation, et pour les employés en démontrant l'engagement de la direction envers leur bien-être. Les résultats de nombreuses études suggèrent que l'une des meilleures façons de démontrer et de promouvoir ses valeurs humanistes et sa philosophie axée sur les personnes est que la haute direction participe à des activités très visibles, telles que des inspections de sécurité au travail et des réunions avec les employés.
De nombreuses études concernant la relation entre la culture de sécurité et la performance de sécurité mettent en évidence les comportements de sécurité des superviseurs de première ligne en montrant que l'implication des superviseurs dans une approche participative de la gestion de la sécurité est généralement associée à des taux d'accidents plus faibles (Chew 1988 ; Mattila, Hyttinen et Rantanen 1994 ; Simard et Marchand 1994 ; Smith et al. 1978). Un tel modèle de comportement des superviseurs est illustré par de fréquentes interactions et communications formelles et informelles avec les travailleurs au sujet du travail et de la sécurité, en accordant une attention particulière au suivi des performances des travailleurs en matière de sécurité et en donnant des commentaires positifs, ainsi qu'en développant la participation des travailleurs aux activités de prévention des accidents. . Par ailleurs, les caractéristiques d'une surveillance efficace de la sécurité sont les mêmes que celles d'une surveillance généralement efficace de l'exploitation et de la production, ce qui conforte l'hypothèse d'un lien étroit entre une gestion efficace de la sécurité et une bonne gestion générale.
Il est prouvé qu'une main-d'œuvre axée sur la sécurité est un facteur positif pour la performance de l'entreprise en matière de sécurité. Cependant, la perception et la conception des comportements de sécurité des travailleurs ne doivent pas être réduites à la seule prudence et au respect des règles de sécurité de la direction, même si de nombreuses expériences comportementales ont montré qu'un niveau plus élevé de conformité des travailleurs aux pratiques de sécurité réduit les taux d'accidents (Saari 1990). En effet, l'autonomisation et la participation active de la main-d'œuvre sont également documentées comme des facteurs de réussite des programmes de sécurité au travail. Au niveau du lieu de travail, certaines études offrent des preuves que le fonctionnement efficace des comités mixtes de santé et de sécurité (composés de membres qui sont bien formés en sécurité au travail, coopèrent à la poursuite de leur mandat et sont soutenus par leurs électeurs) contribuent de manière significative à la performance de l'entreprise en matière de sécurité (Chew 1988; Rees 1988; Tuohy et Simard 1992). De même, au niveau de l'atelier, les groupes de travail incités par la direction à développer la sécurité et l'autorégulation des équipes ont généralement une meilleure performance en matière de sécurité que les groupes de travail sujets à l'autoritarisme et à la désintégration sociale (Dwyer 1992 ; Lanier 1992).
On peut conclure des preuves scientifiques susmentionnées qu'un type particulier de culture de sécurité est plus propice à la performance en matière de sécurité. En bref, cette culture de la sécurité combine le leadership et le soutien de la haute direction, l'engagement de la direction inférieure et l'implication des employés dans la sécurité au travail. En fait, une telle culture de sécurité est celle qui obtient un score élevé sur ce qui pourrait être conceptualisé comme les deux dimensions principales du concept de culture de sécurité, à savoir mission de sécurité ainsi que implication dans la sécurité, comme le montre la figure 1.
Figure 1. Typologie des cultures de sûreté
Mission de sécurité fait référence à la priorité accordée à la sécurité au travail dans la mission de l'entreprise. La littérature sur la culture organisationnelle souligne l'importance d'une définition explicite et partagée d'une mission qui découle des valeurs clés de l'organisation et les soutient (Denison 1990). Par conséquent, la dimension de la mission de sécurité reflète le degré auquel la sécurité et la santé au travail sont reconnues par la direction comme une valeur clé de l'entreprise, et le degré auquel les cadres supérieurs utilisent leur leadership pour promouvoir l'internalisation de cette valeur dans les systèmes de gestion. et pratiques. On peut alors émettre l'hypothèse qu'un sens fort de la mission de sécurité (+) a un impact positif sur la performance en matière de sécurité car il motive les membres individuels du lieu de travail à adopter un comportement orienté vers un objectif en matière de sécurité au travail et facilite la coordination en définissant un objectif commun ainsi que un critère externe d'orientation du comportement.
Implication dans la sécurité est l'endroit où les superviseurs et les employés se réunissent pour développer la sécurité de l'équipe au niveau de l'atelier. La littérature sur la culture organisationnelle soutient l'argument selon lequel des niveaux élevés d'implication et de participation contribuent à la performance parce qu'ils créent chez les membres de l'organisation un sentiment d'appartenance et de responsabilité conduisant à un plus grand engagement volontaire qui facilite la coordination des comportements et réduit la nécessité de systèmes de contrôle bureaucratiques explicites. (Denison 1990). De plus, certaines études montrent que l'implication peut être une stratégie des managers pour une performance efficace ainsi qu'une stratégie des travailleurs pour un meilleur environnement de travail (Lawler 1986 ; Walton 1986).
Selon la figure 1, les lieux de travail combinant un niveau élevé de ces deux dimensions devraient être caractérisés par ce que nous appelons une culture de sécurité intégrée, ce qui signifie que la sécurité au travail est intégrée dans la culture organisationnelle en tant que valeur clé, et dans les comportements de tous les membres de l'organisation, renforçant ainsi l'implication des cadres supérieurs jusqu'aux employés de base. Les preuves empiriques mentionnées ci-dessus appuient l'hypothèse selon laquelle ce type de culture de sécurité devrait conduire les lieux de travail à la meilleure performance en matière de sécurité par rapport à d'autres types de cultures de sécurité.
La gestion d'une culture de sécurité intégrée
La gestion d'une culture de sécurité intégrée nécessite d'abord la volonté de la haute direction de l'intégrer à la culture organisationnelle de l'entreprise. Ce n'est pas une tâche simple. Elle va bien au-delà de l'adoption d'une politique d'entreprise officielle mettant l'accent sur la valeur clé et la priorité accordée à la sécurité au travail et à la philosophie de sa gestion, bien qu'en effet l'intégration de la sécurité au travail dans les valeurs fondamentales de l'organisation soit une pierre angulaire dans la construction d'une sécurité intégrée Culture. En effet, la haute direction doit être consciente qu'une telle politique est le point de départ d'un processus de changement organisationnel majeur, puisque la plupart des organisations ne fonctionnent pas encore selon une culture de sécurité intégrée. Bien sûr, les détails de la stratégie de changement varieront en fonction de la culture de sécurité existante du lieu de travail (voir les cellules A, B et C de la figure 1). Dans tous les cas, l'un des enjeux clés est que le top management se comporte en cohérence avec une telle politique (c'est-à-dire qu'il mette en pratique ce qu'elle prêche). Cela fait partie du leadership personnel dont les cadres supérieurs doivent faire preuve dans la mise en œuvre et l'application d'une telle politique. Un autre enjeu clé est que la haute direction facilite la structuration ou la restructuration de divers systèmes formels de gestion afin de soutenir la construction d'une culture de sécurité intégrée. Par exemple, si la culture de sécurité existante est bureaucratique, le rôle du personnel de sécurité et du comité paritaire de santé et de sécurité devrait être réorienté de manière à soutenir le développement de l'implication des superviseurs et des équipes de travail en matière de sécurité. De la même manière, le système d'évaluation du rendement devrait être adapté afin de reconnaître la responsabilisation des gestionnaires de niveau inférieur et la performance des groupes de travail en matière de sécurité au travail.
Les cadres inférieurs, et en particulier les superviseurs, jouent également un rôle essentiel dans la gestion d'une culture de sécurité intégrée. Plus précisément, ils devraient être responsables de la performance en matière de sécurité de leurs équipes de travail et ils devraient encourager les travailleurs à s'impliquer activement dans la sécurité au travail. Selon Petersen (1993), la plupart des managers de niveau inférieur ont tendance à être cyniques à propos de la sécurité car ils sont confrontés à la réalité des messages contradictoires de la haute direction ainsi qu'à la promotion de divers programmes qui vont et viennent avec peu d'impact durable. Par conséquent, la construction d'une culture de sécurité intégrée peut souvent nécessiter un changement dans le comportement des superviseurs en matière de sécurité.
Selon une étude récente de Simard et Marchand (1995), une approche systématique du changement de comportement des superviseurs est la stratégie la plus efficace pour effectuer le changement. Une telle approche consiste en des étapes cohérentes et actives visant à résoudre trois problèmes majeurs du processus de changement : (1) la résistance des individus au changement, (2) l'adaptation des systèmes formels de gestion existants afin d'accompagner le processus de changement et (3 ) la formation de la dynamique politique et culturelle informelle de l'organisation. Ces deux derniers problèmes peuvent être résolus par le leadership personnel et structurel des cadres supérieurs, comme mentionné au paragraphe précédent. Cependant, dans les milieux syndiqués, ce leadership devrait façonner la dynamique politique de l'organisation afin de créer un consensus avec les dirigeants syndicaux quant au développement d'une gestion participative de la sécurité au niveau de l'atelier. Quant au problème de la résistance des superviseurs au changement, il ne devrait pas être géré par une approche de commande et de contrôle, mais par une approche consultative qui aide les superviseurs à participer au processus de changement et à développer un sentiment d'appropriation. Des techniques telles que le groupe de discussion et le comité ad hoc, qui permettent aux superviseurs et aux équipes de travail d'exprimer leurs préoccupations concernant la gestion de la sécurité et de s'engager dans un processus de résolution de problèmes, sont fréquemment utilisées, combinées à une formation appropriée des superviseurs en gestion de supervision participative et efficace .
Il n'est pas facile de concevoir une véritable culture de sécurité intégrée dans un milieu de travail qui n'a pas de comité paritaire de santé et de sécurité ni de délégué à la sécurité des travailleurs. Cependant, de nombreux pays industrialisés et certains pays en développement ont maintenant des lois et des réglementations qui encouragent ou obligent les lieux de travail à établir de tels comités et délégués. Le risque est que ces comités et délégués deviennent de simples substituts à une véritable implication et responsabilisation des employés dans la sécurité au travail au niveau de l'atelier, servant ainsi à renforcer une culture de sécurité bureaucratique. Afin de soutenir le développement d'une culture de sécurité intégrée, les commissions paritaires et les délégués devraient favoriser une approche décentralisée et participative de la gestion de la sécurité, par exemple en (1) organisant des activités qui sensibilisent les employés aux dangers sur le lieu de travail et aux comportements à risque, (2 ) concevoir des procédures et des programmes de formation qui permettent aux superviseurs et aux équipes de travail de résoudre de nombreux problèmes de sécurité au niveau de l'atelier, (3) participer à l'évaluation des performances de sécurité du lieu de travail et (4) donner des informations de renforcement aux superviseurs et aux travailleurs.
Un autre moyen puissant de promouvoir une culture de sécurité intégrée auprès des employés consiste à mener une enquête de perception. Les travailleurs savent généralement où se situent la plupart des problèmes de sécurité, mais comme personne ne leur demande leur avis, ils résistent à s'impliquer dans le programme de sécurité. Une enquête de perception anonyme est un moyen de sortir de cette impasse et de favoriser l'implication sécurité des salariés tout en apportant à la direction générale un retour d'expérience permettant d'améliorer la gestion du programme sécurité. Une telle enquête peut être réalisée à l'aide d'une méthode d'interview combinée à un questionnaire administré à l'ensemble ou à un échantillon statistiquement valide d'employés (Bailey 1993 ; Petersen 1993). Le suivi de l'enquête est crucial pour construire une culture de sécurité intégrée. Une fois les données disponibles, la haute direction doit poursuivre le processus de changement en créant des groupes de travail ad hoc avec la participation de tous les échelons de l'organisation, y compris les travailleurs. Cela fournira des diagnostics plus approfondis des problèmes identifiés dans l'enquête et recommandera des moyens d'améliorer les aspects de la gestion de la sécurité qui en ont besoin. Une telle enquête de perception peut être répétée tous les ans ou tous les deux ans, afin d'évaluer périodiquement l'amélioration de leur système et de leur culture de gestion de la sécurité.
Nous vivons dans une ère de nouvelles technologies et de systèmes de production plus complexes, où les fluctuations de l'économie mondiale, les exigences des clients et les accords commerciaux affectent les relations d'une organisation de travail (Moravec 1994). Les industries font face à de nouveaux défis dans l'établissement et le maintien d'un environnement de travail sain et sécuritaire. Dans plusieurs études, les efforts de sécurité de la direction, son engagement et son implication dans la sécurité ainsi que la qualité de la gestion ont été soulignés comme des éléments clés du système de sécurité (Mattila, Hyttinen et Rantanen 1994 ; Dedobbeleer et Béland 1989 ; Smith 1989 ; Heinrich, Petersen et Roos 1980 ; Simonds et Shafai-Sahrai 1977 ; Komaki 1986 ; Smith et al. 1978).
Selon Hansen (1993a), l'engagement de la direction envers la sécurité n'est pas suffisant s'il s'agit d'un état passif ; seul un leadership actif et visible qui crée un climat de performance peut guider avec succès une entreprise vers un lieu de travail sûr. Rogers (1961) a indiqué que "si l'administrateur, ou le chef militaire ou industriel, crée un tel climat au sein de l'organisation, alors le personnel deviendra plus réactif, plus créatif, mieux capable de s'adapter aux nouveaux problèmes, plus fondamentalement coopératif". Le leadership en matière de sécurité est ainsi perçu comme favorisant un climat où travailler en toute sécurité est valorisé – un climat de sécurité.
Très peu de recherches ont été faites sur le concept de climat de sécurité (Zohar 1980 ; Brown et Holmes 1986 ; Dedobbeleer et Béland 1991 ; Oliver, Tomas et Melia 1993 ; Melia, Tomas et Oliver 1992). Les gens dans les organisations rencontrent des milliers d'événements, de pratiques et de procédures, et ils perçoivent ces événements dans des ensembles connexes. Cela implique que les environnements de travail ont de nombreux climats et que le climat de sécurité est considéré comme l'un d'entre eux. Comme le concept de climat est un phénomène complexe et à plusieurs niveaux, la recherche sur le climat organisationnel a été en proie à des problèmes théoriques, conceptuels et de mesure. Il apparaît donc crucial d'examiner ces questions dans la recherche sur le climat de sécurité si le climat de sécurité doit rester un sujet de recherche viable et un outil managérial valable.
Le climat de sécurité a été considéré comme un concept significatif qui a des implications considérables pour comprendre la performance des employés (Brown et Holmes 1986) et pour assurer le succès dans le contrôle des blessures (Matttila, Hyttinen et Rantanen 1994). Si les dimensions du climat de sécurité peuvent être évaluées avec précision, la direction peut les utiliser pour reconnaître et évaluer les problèmes potentiels. De plus, les résultats de recherche obtenus avec un score de climat de sécurité standardisé peuvent fournir des comparaisons utiles entre les industries, indépendamment des différences de technologie et de niveaux de risque. Un score de climat de sécurité peut ainsi servir de fil conducteur dans l'établissement de la politique de sécurité d'une organisation de travail. Cet article examine le concept de climat de sécurité dans le contexte de la littérature sur le climat organisationnel, discute de la relation entre la politique de sécurité et le climat de sécurité et examine les implications du concept de climat de sécurité pour le leadership dans le développement et l'application d'une politique de sécurité dans une organisation industrielle.
Le concept de climat de sécurité dans la recherche sur le climat organisationnel
Recherche sur le climat organisationnel
Le climat organisationnel est un concept populaire depuis un certain temps. De multiples revues du climat organisationnel ont paru depuis le milieu des années 1960 (Schneider 1975a ; Jones et James 1979 ; Naylor, Pritchard et Ilgen 1980 ; Schneider et Reichers 1983 ; Glick 1985 ; Koys et DeCotiis 1991). Il existe plusieurs définitions du concept. Climat organisationnel a été vaguement utilisé pour désigner une large classe de variables organisationnelles et perceptuelles qui reflètent les interactions individu-organisation (Glick 1985 ; Field et Abelson 1982 ; Jones et James 1979). Selon Schneider (1975a), il devrait faire référence à un domaine de recherche plutôt qu'à une unité d'analyse spécifique ou à un ensemble particulier de dimensions. Le terme climat organisationnel devrait être remplacé par le mot climat faire référence à un climat pour quelque chose.
L'étude des climats dans les organisations a été difficile car il s'agit d'un phénomène complexe et à plusieurs niveaux (Glick 1985 ; Koys et DeCotiis 1991). Néanmoins, des progrès ont été réalisés dans la conceptualisation du construit climatique (Schneider et Reichers 1983 ; Koys et DeCotiis 1991). Une distinction proposée par James et Jones (1974) entre les climats psychologiques et les climats organisationnels est généralement acceptée. La différenciation se fait en termes de niveau d'analyse. Le climat psychologique est étudié au niveau individuel de l'analyse, et le climat organisationnel est étudié au niveau organisationnel de l'analyse. Considéré comme un attribut individuel, le terme climat psychologique est recommandé. Considéré comme un attribut organisationnel, le terme climat organisationnel est considéré comme approprié. Les deux aspects du climat sont considérés comme des phénomènes multidimensionnels, descriptifs de la nature des perceptions des employés de leurs expériences au sein d'une organisation de travail.
Bien que la distinction entre climat psychologique et climat organisationnel soit généralement acceptée, elle n'a pas dégagé la recherche sur le climat organisationnel de ses problèmes conceptuels et méthodologiques (Glick 1985). L'un des problèmes non résolus est le problème d'agrégation. Le climat organisationnel est souvent défini comme une simple agrégation du climat psychologique dans une organisation (James 1982 ; Joyce et Slocum 1984). La question est : comment peut-on agréger les descriptions des individus de leur milieu de travail afin de représenter une unité sociale plus large, l'organisation ? Schneider et Reichers (1983) ont noté qu'« un travail conceptuel ardu est nécessaire avant la collecte de données afin que (a) les groupes d'événements évalués échantillonnent le domaine pertinent des problèmes et (b) l'enquête soit relativement descriptive et se réfère à l'unité (c'est-à-dire, individu, sous-système, organisation totale) d'intérêt à des fins d'analyse. » Glick (1985) ajoute que le climat organisationnel doit être conceptualisé comme un phénomène organisationnel, et non comme une simple agrégation de climat psychologique. Il a également reconnu l'existence d'unités multiples de théorie et d'analyse (c.-à-d. individuelles, sous-unités et organisationnelles). Le climat organisationnel connote une unité organisationnelle de la théorie; il ne fait pas référence au climat d'un individu, d'un groupe de travail, d'une profession, d'un département ou d'un emploi. D'autres étiquettes et unités de théorie et d'analyse devraient être utilisées pour le climat d'un individu et le climat d'un groupe de travail.
L'accord perceptif entre les employés d'une organisation a fait l'objet d'une attention considérable (Abbey et Dickson 1983 ; James 1982). Un faible accord de perception sur les mesures du climat psychologique est attribué à la fois à une erreur aléatoire et à des facteurs substantiels. Comme les employés sont invités à rendre compte du climat de l'organisation et non de leur climat psychologique ou de groupe de travail, de nombreuses erreurs aléatoires et sources de biais au niveau individuel sont considérées comme s'annulant lorsque les mesures perceptuelles sont agrégées au niveau organisationnel (Glick 1985 ). Pour démêler les climats psychologiques et organisationnels et pour estimer les contributions relatives des processus organisationnels et psychologiques en tant que déterminants des climats organisationnels et psychologiques, l'utilisation de modèles multi-niveaux semble cruciale (Hox et Kreft 1994 ; Rabash et Woodhouse 1995). Ces modèles prennent en compte les niveaux psychologiques et organisationnels sans utiliser des mesures moyennes des climats organisationnels qui sont généralement prises sur un échantillon représentatif d'individus dans un certain nombre d'organisations. On peut montrer (Manson, Wong et Entwisle 1983) que les estimations biaisées des moyennes du climat organisationnel et des effets des caractéristiques organisationnelles sur les climats résultent de l'agrégation au niveau organisationnel des mesures prises au niveau individuel. La croyance selon laquelle les erreurs de mesure au niveau individuel sont annulées lorsqu'elles sont moyennées sur une organisation n'est pas fondée.
Un autre problème persistant avec le concept de climat est la spécification des dimensions appropriées du climat organisationnel et/ou psychologique. Jones et James (1979) et Schneider (1975a) proposent d'utiliser des dimensions climatiques susceptibles d'influencer ou d'être associées aux critères d'intérêt de l'étude. Schneider et Reichers (1983) ont étendu cette idée en affirmant que les organisations du travail ont des climats différents pour des choses spécifiques telles que la sécurité, le service (Schneider, Parkington et Buxton 1980), les relations industrielles au sein de l'entreprise (Bluen et Donald 1991), la production, la sécurité et la qualité. Bien que le référencement de critères permette de se concentrer sur le choix des dimensions climatiques, le climat reste un terme générique large. Le niveau de sophistication requis pour être en mesure d'identifier quelles dimensions des pratiques et des procédures sont pertinentes pour comprendre des critères particuliers dans des collectivités spécifiques (par exemple, des groupes, des positions, des fonctions) n'a pas été atteint (Schneider 1975a). Cependant, l'appel à des études axées sur des critères n'exclut pas en soi la possibilité qu'un ensemble relativement petit de dimensions puisse toujours décrire plusieurs environnements alors qu'une dimension particulière peut être positivement liée à certains critères, sans rapport avec d'autres et négativement liée à un troisième. ensemble de résultats.
Le concept de climat de sécurité
Le concept de climat de sécurité a été développé dans le contexte des définitions généralement acceptées du climat organisationnel et psychologique. Aucune définition spécifique du concept n'a encore été proposée pour fournir des lignes directrices claires pour la mesure et la construction de la théorie. Très peu d'études ont mesuré le concept, y compris un échantillon stratifié de 20 organisations industrielles en Israël (Zohar 1980), 10 entreprises de fabrication et de production dans les États du Wisconsin et de l'Illinois (Brown et Holmes 1986), 9 chantiers de construction dans l'État du Maryland (Dedobbeleer et Béland 1991), 16 chantiers de construction en Finlande (Mattila, Hyttinen et Rantanen 1994, Mattila, Rantanen et Hyttinen 1994), et parmi les ouvriers de Valence (Oliver, Tomas et Melia 1993 ; Melia, Tomas et Oliver 1992).
Le climat était considéré comme un résumé des perceptions que les travailleurs partagent à propos de leur milieu de travail. Les perceptions du climat résument la description d'un individu de ses expériences organisationnelles plutôt que sa réaction évaluative affective à ce qui a été vécu (Koys et DeCotiis 1991). A la suite de Schneider et Reichers (1983) et Dieterly et Schneider (1974), les modèles de climat de sécurité supposent que ces perceptions sont développées parce qu'elles sont nécessaires comme cadre de référence pour évaluer la pertinence d'un comportement. Sur la base d'une variété d'indices présents dans leur environnement de travail, les employés étaient censés développer des ensembles cohérents de perceptions et d'attentes concernant les contingences comportement-résultat, et se comporter en conséquence (Frederiksen, Jensen et Beaton 1972; Schneider 1975a, 1975b).
Le tableau 1 montre une certaine diversité dans le type et le nombre de dimensions du climat de sécurité présentées dans les études de validation sur le climat de sécurité. Dans la littérature générale sur le climat organisationnel, il y a très peu d'accord sur les dimensions du climat organisationnel. Cependant, les chercheurs sont encouragés à utiliser les dimensions climatiques susceptibles d'influencer ou d'être associées aux critères d'intérêt de l'étude. Cette approche a été adoptée avec succès dans les études sur le climat de sécurité. Zohar (1980) a développé sept ensembles d'items qui décrivaient des événements, des pratiques et des procédures organisationnels et qui se sont avérés différencier les usines à taux d'accidents élevé des taux d'accidents faibles (Cohen 1977). Brown et Holmes (1986) ont utilisé le questionnaire à 40 éléments de Zohar et ont trouvé un modèle à trois facteurs au lieu du modèle à huit facteurs de Zohar. Dedobbeleer et Béland ont utilisé neuf variables pour mesurer le modèle à trois facteurs de Brown et Holmes. Les variables ont été choisies pour représenter les préoccupations de sécurité dans l'industrie de la construction et n'étaient pas toutes identiques à celles incluses dans le questionnaire de Zohar. Un modèle à deux facteurs a été trouvé. Il nous reste à débattre si les différences entre les résultats de Brown et Holmes et les résultats de Dedobbeleer et Béland sont attribuables à l'utilisation d'une procédure statistique plus adéquate (procédure des moindres carrés pondérés LISREL avec des coefficients de corrélations tétrachoriques). Une réplication a été faite par Oliver, Tomas et Melia (1993) et Melia, Tomas et Oliver (1992) avec neuf variables similaires mais non identiques mesurant les perceptions climatiques chez les travailleurs post-traumatiques et pré-traumatiques de différents types d'industries. Des résultats similaires à ceux de l'étude de Dedobbeleer et Béland ont été trouvés.
Tableau 1. Mesures climatiques de sécurité
Auteurs) |
Dimensions |
Articles |
Zohar (1980) |
Importance perçue de la formation à la sécurité |
40 |
Brown et Holmes (1986) |
Perception par les employés de la préoccupation de la direction pour leur bien-être |
10 |
Dedobbeleer et Béland (1991) |
Engagement et implication de la direction en matière de sécurité |
9 |
Mélia, Tomas et Olivier (1992) |
Modèle à deux facteurs de Dedobbeleer et Béland |
9 |
Olivier, Tomas et Mélia (1993) |
Modèle à deux facteurs de Dedobbeleer et Béland |
9 |
Plusieurs stratégies ont été utilisées pour améliorer la validité des mesures du climat de sécurité. Il existe différents types de validité (par exemple, de contenu, concurrente et conceptuelle) et plusieurs façons d'évaluer la validité d'un instrument. Validité du contenu est l'adéquation d'échantillonnage du contenu d'un instrument de mesure (Nunnally 1978). Dans la recherche sur le climat de sécurité, les éléments sont ceux qui, selon les recherches antérieures, sont des mesures significatives de la sécurité au travail. D'autres juges « compétents » jugent généralement le contenu des éléments, puis une méthode de mise en commun de ces jugements indépendants est utilisée. Il n'est pas fait mention d'une telle procédure dans les articles sur le climat de sécurité.
La validité de construction est la mesure dans laquelle un instrument mesure la construction théorique que le chercheur souhaite mesurer. Cela nécessite une démonstration que le construit existe, qu'il est distinct des autres construits et que l'instrument particulier mesure ce construit particulier et aucun autre (Nunnally 1978). L'étude de Zohar a suivi plusieurs suggestions pour améliorer la validité. Des échantillons représentatifs d'usines ont été choisis. Un échantillon aléatoire stratifié de 20 travailleurs de la production a été prélevé dans chaque usine. Toutes les questions portaient sur le climat organisationnel pour la sécurité. Pour étudier la validité conceptuelle de son instrument de climat de sécurité, il a utilisé les coefficients de corrélation de Spearman pour tester la concordance entre les scores de climat de sécurité des usines et le classement des inspecteurs de sécurité des usines sélectionnées dans chaque catégorie de production en fonction des pratiques de sécurité et des programmes de prévention des accidents. Le niveau de climat de sécurité était corrélé à l'efficacité du programme de sécurité telle qu'évaluée par les inspecteurs de la sécurité. À l'aide d'analyses factorielles confirmatoires LISREL, Brown et Holmes (1986) ont vérifié la validité factorielle du modèle de mesure Zohar auprès d'un échantillon de travailleurs américains. Ils voulaient valider le modèle de Zohar par la réplication recommandée des structures factorielles (Rummel 1970). Le modèle n'était pas étayé par les données. Un modèle à trois facteurs a fourni un meilleur ajustement. Les résultats ont également indiqué que les structures climatiques ont montré une stabilité entre les différentes populations. Ils ne différaient pas entre les salariés accidentés et ceux qui n'en avaient pas, fournissant ainsi une mesure climatique valide et fiable à travers les groupes. Les groupes ont ensuite été comparés sur les scores climatiques, et des différences de perception du climat ont été détectées entre les groupes. Comme le modèle a la capacité de distinguer les individus dont on sait qu'ils diffèrent, validité concurrente a été montré.
Afin de tester la stabilité du modèle à trois facteurs de Brown et Holmes (1986), Dedobbeleer et Béland (1991) ont utilisé deux procédures LISREL (la méthode du maximum de vraisemblance choisie par Brown et Holmes et la méthode des moindres carrés pondérés) auprès de travailleurs de la construction. Les résultats ont révélé qu'un modèle à deux facteurs offrait un meilleur ajustement global. La validation de la construction a également été testée en étudiant la relation entre une mesure du climat de sécurité perceptif et des mesures objectives (c'est-à-dire les caractéristiques structurelles et de processus des chantiers de construction). Des relations positives ont été trouvées entre les deux mesures. Les preuves ont été recueillies auprès de différentes sources (c.-à-d. travailleurs et surintendants) et de différentes manières (c.-à-d. questionnaire écrit et entrevues). Mattila, Rantanen et Hyttinen (1994) ont reproduit cette étude en montrant que des résultats similaires étaient obtenus à partir des mesures objectives de l'environnement de travail, aboutissant à un indice de sécurité, et des mesures du climat de sécurité perceptif.
Une réplication systématique de la structure bifactorielle de Dedobbeleer et Béland (1991) a été effectuée dans deux échantillons différents de travailleurs dans différentes professions par Oliver, Tomas et Melia (1993) et Melia, Tomas et Oliver (1992). Le modèle à deux facteurs a fourni le meilleur ajustement global. Les structures climatiques ne différaient pas entre les travailleurs américains de la construction et les travailleurs espagnols de différents types d'industries, fournissant par la suite une mesure climatique valide pour différentes populations et différents types de professions.
La fiabilité est une question importante dans l'utilisation d'un instrument de mesure. Il fait référence à la précision (cohérence et stabilité) de la mesure par un instrument (Nunnally 1978). Zohar (1980) a évalué le climat organisationnel pour la sécurité dans des échantillons d'organisations utilisant diverses technologies. La fiabilité de ses mesures perceptives agrégées du climat organisationnel a été estimée par Glick (1985). Il a calculé la fiabilité de l'évaluateur moyen au niveau agrégé en utilisant la formule de Spearman-Brown basée sur la corrélation intraclasse à partir d'une analyse de variance unidirectionnelle, et a trouvé un ICC(1,k) de 0.981. Glick a conclu que les mesures agrégées de Zohar étaient des mesures cohérentes du climat organisationnel pour la sécurité. Les analyses factorielles confirmatoires LISREL menées par Brown et Holmes (1986), Dedobbeleer et Béland (1991), Oliver, Tomas et Melia (1993) et Melia, Tomas et Oliver (1992) ont également mis en évidence la fiabilité des mesures du climat de sécurité. Dans l'étude de Brown et Holmes, les structures factorielles sont restées les mêmes pour les groupes sans accident par rapport aux groupes avec accident. Olivier et al. et Mélia et al. ont démontré la stabilité des structures factorielles de Dedobbeleer et Béland dans deux échantillons différents.
Politique de sécurité et climat de sécurité
Le concept de climat de sécurité a des implications importantes pour les organisations industrielles. Cela implique que les travailleurs ont un ensemble unifié de cognitions concernant les aspects de sécurité de leur environnement de travail. Comme ces cognitions sont considérées comme un cadre de référence nécessaire pour évaluer la pertinence d'un comportement (Schneider 1975a), elles ont une influence directe sur la performance des travailleurs en matière de sécurité (Dedobbeleer, Béland et German 1990). Il y a donc des implications fondamentales appliquées du concept de climat de sécurité dans les organisations industrielles. La mesure du climat de sécurité est un outil pratique qui peut être utilisé par la direction à faible coût pour évaluer et reconnaître les problèmes potentiels. Il devrait donc être recommandé de l'inclure comme un élément du système d'information sur la sécurité d'une organisation. Les informations fournies peuvent servir de lignes directrices dans l'établissement d'une politique de sécurité.
Comme les perceptions des travailleurs sur le climat de sécurité sont largement liées aux attitudes de la direction à l'égard de la sécurité et à l'engagement de la direction envers la sécurité, on peut donc conclure qu'un changement dans les attitudes et les comportements de la direction sont des conditions préalables à toute tentative réussie d'amélioration du niveau de sécurité dans les organisations industrielles. Une excellente gestion devient une politique de sécurité. Zohar (1980) a conclu que la sécurité devrait être intégrée dans le système de production d'une manière étroitement liée au degré global de contrôle que la direction exerce sur les processus de production. Ce point a été souligné dans la littérature relative à la politique de sécurité. La participation de la direction est considérée comme essentielle à l'amélioration de la sécurité (Minter, 1991). Les approches traditionnelles montrent une efficacité limitée (Sarkis 1990). Ils sont basés sur des éléments tels que des comités de sécurité, des réunions de sécurité, des règles de sécurité, des slogans, des campagnes d'affichage et des incitations ou des concours de sécurité. Selon Hansen (1993b), ces stratégies traditionnelles confient la responsabilité de la sécurité à un coordinateur d'état-major détaché de la mission de ligne et dont la tâche est presque exclusivement d'inspecter les dangers. Le principal problème est que cette approche n'intègre pas la sécurité dans le système de production, limitant ainsi sa capacité à identifier et à résoudre les oublis et les insuffisances de gestion qui contribuent à la causalité des accidents (Hansen 1993b ; Cohen 1977).
Contrairement aux travailleurs de la production dans les études Zohar et Brown et Holmes, les travailleurs de la construction percevaient les attitudes et les actions de la direction en matière de sécurité comme une seule dimension (Dedobbeleer et Béland 1991). Les travailleurs de la construction percevaient également la sécurité comme une responsabilité conjointe entre les individus et la direction. Ces résultats ont des implications importantes pour le développement des politiques de sécurité. Ils suggèrent que le soutien et l'engagement de la direction envers la sécurité devraient être très visibles. De plus, ils indiquent que les politiques de sécurité devraient répondre aux préoccupations de sécurité de la direction et des travailleurs. Les réunions de sécurité en tant que « cercles culturels » de Freire (1988) peuvent être un bon moyen d'impliquer les travailleurs dans l'identification des problèmes de sécurité et les solutions à ces problèmes. Les dimensions du climat de sécurité sont donc en étroite relation avec la mentalité de partenariat pour améliorer la sécurité au travail, contrastant avec la mentalité d'application policière qui était présente dans l'industrie de la construction (Smith 1993). Dans le contexte de l'augmentation des coûts des soins de santé et de l'indemnisation des accidents du travail, une approche patronale-syndicale non accusatoire en matière de santé et de sécurité a émergé (Smith, 1993). Cette approche partenariale appelle donc une révolution de la gestion de la sécurité, s'éloignant des programmes et des politiques de sécurité traditionnels.
Au Canada, Sass (1989) a signalé la forte résistance de la direction et du gouvernement à l'extension des droits des travailleurs en matière de santé et de sécurité au travail. Cette résistance est basée sur des considérations économiques. Sass a donc plaidé pour "le développement d'une éthique de l'environnement de travail basée sur des principes égalitaires et la transformation du groupe de travail primaire en une communauté de travailleurs qui peuvent façonner le caractère de leur environnement de travail". Il a également suggéré que la relation appropriée dans l'industrie pour refléter un environnement de travail démocratique est le « partenariat », le rassemblement des principaux groupes de travail sur un pied d'égalité. Au Québec, cette philosophie progressiste s'est concrétisée par la mise en place de « comités paritaires » (Gouvernement du Québec 1978). Selon la loi, chaque organisation comptant plus de dix employés devait créer un comité paritaire, qui comprend des représentants des employeurs et des travailleurs. Ce comité a un pouvoir décisif dans les questions suivantes liées au programme de prévention : détermination d'un programme de services de santé, choix du médecin du travail, constatation des dangers imminents et élaboration de programmes de formation et d'information. Le comité est également responsable du suivi préventif dans l'organisation; répondre aux plaintes des travailleurs et des employeurs; analyser et commenter les rapports d'accidents; établir un registre des accidents, blessures, maladies et plaintes des travailleurs; étudier les statistiques et les rapports; et la communication d'informations sur les activités du comité.
Leadership et climat de sécurité
Pour faire bouger les choses qui permettent à l'entreprise d'évoluer vers de nouvelles hypothèses culturelles, la direction doit être disposée à aller au-delà de «l'engagement» vers un leadership participatif (Hansen 1993a). Le lieu de travail a donc besoin de leaders dotés d'une vision, de compétences d'autonomisation et d'une volonté de provoquer le changement.
Le climat de sécurité est créé par les actions des dirigeants. Cela signifie favoriser un climat où le travail en toute sécurité est valorisé, inviter tous les employés à penser au-delà de leur travail particulier, à prendre soin d'eux-mêmes et de leurs collègues, propager et cultiver le leadership en matière de sécurité (Lark 1991). Pour induire ce climat, les dirigeants ont besoin de perception et de perspicacité, de motivation et de compétences pour communiquer le dévouement ou l'engagement envers le groupe au-delà de l'intérêt personnel, de la force émotionnelle, de la capacité à induire une «redéfinition de la cognition» en articulant et en vendant de nouvelles visions et concepts, capacité à créer l'implication participation et profondeur de vision (Schein 1989). Pour changer des éléments de l'organisation, les dirigeants doivent être prêts à « dégeler » (Lewin 1951) leur propre organisation.
Selon Lark (1991), le leadership en matière de sécurité signifie, au niveau de la direction, créer un climat général dans lequel la sécurité est une valeur et dans lequel les superviseurs et les non-superviseurs prennent consciencieusement et à leur tour la direction du contrôle des risques. Ces cadres dirigeants publient une politique de sécurité dans laquelle ils : affirment la valeur de chaque collaborateur et du groupe, et leur propre engagement en faveur de la sécurité ; relier la sécurité à la pérennité de l'entreprise et à la réalisation de ses objectifs ; exprimer leurs attentes que chaque individu soit responsable de la sécurité et participe activement au maintien de la santé et de la sécurité sur le lieu de travail ; nommer un représentant de la sécurité par écrit et habiliter cette personne à exécuter la politique de sécurité de l'entreprise.
Les superviseurs attendent un comportement sûr de la part de leurs subordonnés et les impliquent directement dans l'identification des problèmes et leurs solutions. Le leadership en matière de sécurité pour le non-superviseur signifie signaler les lacunes, considérer les actions correctives comme un défi et travailler à corriger ces lacunes.
Le leadership défie et habilite les gens à diriger de leur propre chef. Au cœur de cette notion d'empowerment se trouve le concept de pouvoir, défini comme la capacité de contrôler les facteurs qui déterminent sa vie. Cependant, le nouveau mouvement de promotion de la santé tente de recadrer le pouvoir non pas comme un « pouvoir sur », mais plutôt comme un « pouvoir de » ou un « pouvoir avec » (Robertson et Minkler, 1994).
Conclusions
Seuls certains des problèmes conceptuels et méthodologiques qui affligent les climatologues organisationnels sont abordés dans la recherche sur le climat de sécurité. Aucune définition précise du concept de climat de sécurité n'a encore été donnée. Néanmoins, certains résultats de recherche sont très encourageants. La plupart des efforts de recherche ont été dirigés vers la validation d'un modèle de climat de sécurité. Une attention particulière a été accordée à la spécification des dimensions appropriées du climat de sécurité. Les dimensions suggérées par la littérature sur les caractéristiques organisationnelles jugées discriminatoires entre les entreprises à fort taux d'accidents et celles à faible taux d'accidents ont servi de point de départ utile pour le processus d'identification des dimensions. Des modèles à huit, trois et deux facteurs sont proposés. Le rasoir d'Occam demandant une certaine parcimonie, la limitation des dimensions semble pertinente. Le modèle à deux facteurs est donc le plus approprié, en particulier dans un contexte de travail où de courts questionnaires doivent être administrés. Les résultats de l'analyse factorielle pour les échelles basées sur les deux dimensions sont très satisfaisants. De plus, une mesure climatique valide est fournie pour différentes populations et différentes professions. D'autres études devraient cependant être menées si les règles de réplication et de généralisation des tests théoriques doivent être respectées. Le défi consiste à spécifier un univers théoriquement significatif et analytiquement pratique des dimensions climatiques possibles. Les recherches futures devraient également se concentrer sur les unités organisationnelles d'analyse pour évaluer et améliorer la validité et la fiabilité du climat organisationnel pour les mesures de sécurité. Plusieurs études sont menées en ce moment dans différents pays, et l'avenir s'annonce prometteur.
Comme le concept de climat de sécurité a des implications importantes pour la politique de sécurité, il devient particulièrement crucial de résoudre les problèmes conceptuels et méthodologiques. Le concept appelle clairement une révolution de la gestion de la sécurité. Un processus de changement des attitudes et des comportements de la direction devient une condition préalable à l'atteinte des performances en matière de sécurité. Le « leadership du partenariat » doit émerger de cette période où restructurations et licenciements sont un signe des temps. Le leadership défie et responsabilise. Dans ce processus d'autonomisation, les employeurs et les employés augmenteront leur capacité à travailler ensemble de manière participative. Ils développeront également des compétences d'écoute et de prise de parole, d'analyse de problèmes et de recherche de consensus. Un sens de la communauté devrait se développer ainsi que l'auto-efficacité. Les employeurs et les employés pourront s'appuyer sur ces connaissances et ces compétences.
Modification du comportement : une technique de gestion de la sécurité
La gestion de la sécurité a deux tâches principales. Il incombe à l'organisation de sécurité (1) de maintenir les performances de sécurité de l'entreprise au niveau actuel et (2) de mettre en œuvre des mesures et des programmes qui améliorent les performances de sécurité. Les tâches sont différentes et nécessitent des approches différentes. Cet article décrit une méthode pour la deuxième tâche qui a été utilisée dans de nombreuses entreprises avec d'excellents résultats. L'arrière-plan de cette méthode est la modification du comportement, qui est une technique d'amélioration de la sécurité qui a de nombreuses applications dans le commerce et l'industrie. Deux expériences menées indépendamment sur les premières applications scientifiques de la modification du comportement ont été publiées par des Américains en 1978. Les applications se trouvaient dans des endroits assez différents. Komaki, Barwick et Scott (1978) ont fait leur étude dans une boulangerie. Sulzer-Azaroff (1978) a fait ses études dans les laboratoires d'une université.
Conséquences du comportement
La modification du comportement met l'accent sur les conséquences d'un comportement. Lorsque les travailleurs ont plusieurs comportements à adopter, ils choisissent celui dont on s'attend à ce qu'il entraîne les conséquences les plus positives. Avant d'agir, le travailleur dispose d'un ensemble d'attitudes, de compétences, d'équipements et de conditions d'installation. Ceux-ci ont une influence sur le choix de l'action. Cependant, c'est surtout ce qui suit l'action en tant que conséquences prévisibles qui détermine le choix du comportement. Parce que les conséquences ont un effet sur les attitudes, les compétences, etc., elles ont un rôle prédominant dans l'induction d'un changement de comportement, selon les théoriciens (figure 1).
Figure 1. Modification du comportement : une technique de gestion de la sécurité
Le problème dans le domaine de la sécurité est que de nombreux comportements dangereux amènent les travailleurs à choisir des conséquences plus positives (au sens de récompenser apparemment le travailleur) que des comportements sûrs. Une méthode de travail non sécuritaire peut être plus gratifiante si elle est plus rapide, peut-être plus facile, et suscite l'appréciation du superviseur. La conséquence négative – par exemple, une blessure – ne suit pas chaque comportement dangereux, car les blessures nécessitent l'existence d'autres conditions défavorables avant de pouvoir se produire. Par conséquent, les conséquences positives sont écrasantes dans leur nombre et leur fréquence.
À titre d'exemple, un atelier a été organisé dans lequel les participants ont analysé des vidéos de divers travaux dans une usine de production. Ces participants, ingénieurs et opérateurs de machines de l'usine, ont remarqué qu'une machine fonctionnait avec le protecteur ouvert. "Vous ne pouvez pas garder le garde fermé", a affirmé un opérateur. « Si le fonctionnement automatique cesse, j'appuie sur le fin de course et je force la dernière pièce à sortir de la machine », dit-il. « Sinon, je dois sortir la pièce non finie, la porter sur plusieurs mètres et la remettre sur le convoyeur. La pièce est lourde ; il est plus facile et plus rapide d'utiliser le fin de course.
Ce petit incident illustre bien comment les conséquences attendues affectent nos décisions. L'opérateur veut faire le travail rapidement et éviter de soulever une pièce lourde et difficile à manipuler. Même si cela est plus risqué, l'opérateur rejette la méthode la plus sûre. Le même mécanisme s'applique à tous les niveaux des organisations. Un directeur d'usine, par exemple, aime maximiser le profit de l'exploitation et être récompensé pour ses bons résultats économiques. Si la haute direction ne prête pas attention à la sécurité, le directeur de l'usine peut s'attendre à des conséquences plus positives des investissements qui maximisent la production que ceux qui améliorent la sécurité.
Conséquences positives et négatives
Les gouvernements donnent des règles aux décideurs économiques par le biais de lois et appliquent les lois avec des sanctions. Le mécanisme est direct : tout décideur peut s'attendre à des conséquences négatives en cas de violation de la loi. La différence entre l'approche juridique et l'approche préconisée ici réside dans le type de conséquences. Les forces de l'ordre utilisent des conséquences négatives pour un comportement dangereux, tandis que les techniques de modification du comportement utilisent des conséquences positives pour un comportement sûr. Les conséquences négatives ont leurs inconvénients même si elles sont efficaces. Dans le domaine de la sécurité, le recours aux conséquences négatives est courant, allant des sanctions gouvernementales à la réprimande du superviseur. Les gens essaient d'éviter les pénalités. Ce faisant, ils associent facilement la sécurité aux sanctions, comme quelque chose de moins souhaitable.
Les conséquences positives renforçant un comportement sécuritaire sont plus souhaitables, car elles associent des sentiments positifs à la sécurité. Si les opérateurs peuvent s'attendre à des conséquences plus positives de méthodes de travail sûres, ils choisissent plutôt cela comme un rôle probable du comportement. Si les directeurs de centrale sont évalués et récompensés sur la base de la sécurité, ils donneront très probablement une plus grande valeur aux aspects de sécurité dans leurs décisions.
L'éventail des conséquences positives possibles est large. Ils s'étendent de l'attention sociale à divers privilèges et jetons. Certaines des conséquences peuvent facilement être liées au comportement; d'autres exigent des actions administratives qui peuvent être accablantes. Heureusement, la simple chance d'être récompensé peut modifier les performances.
Changer un comportement dangereux en comportement sûr
Ce qui était particulièrement intéressant dans les travaux originaux de Komaki, Barwick et Scott (1978) et de Sulzer-Azaroff (1978) était l'utilisation des informations de performance comme conséquence. Plutôt que d'utiliser des conséquences sociales ou des récompenses tangibles, qui peuvent être difficiles à administrer, ils ont développé une méthode pour mesurer la performance en matière de sécurité d'un groupe de travailleurs et ont utilisé l'indice de performance comme conséquence. L'indice a été construit de manière à ce qu'il ne s'agisse que d'un seul chiffre variant entre 0 et 100. Étant simple, il communiquait efficacement le message sur la performance actuelle aux personnes concernées. L'application originale de cette technique visait simplement à amener les employés à modifier leur comportement. Il n'a abordé aucun autre aspect de l'amélioration du lieu de travail, comme l'élimination des problèmes par l'ingénierie ou l'introduction de changements de procédure. Le programme a été mis en œuvre par des chercheurs sans la participation active des travailleurs.
Les utilisateurs de la technique de modification du comportement (BM) supposent que le comportement dangereux est un facteur essentiel dans la causalité des accidents et un facteur qui peut changer isolément sans effets ultérieurs. Par conséquent, le point de départ naturel d'un programme de BM est l'enquête sur les accidents pour l'identification des comportements dangereux (Sulzer-Azaroff et Fellner 1984). Une application typique de la modification du comportement liée à la sécurité consiste en les étapes indiquées dans la figure 2. Les actes sûrs doivent être spécifiés avec précision, selon les développeurs de la technique. La première étape consiste à définir quels sont les actes corrects dans un domaine tel qu'un département, un domaine de supervision, etc. Le port approprié de lunettes de sécurité dans certaines zones serait un exemple d'acte sécuritaire. Habituellement, un petit nombre d'actes sûrs spécifiques - par exemple, dix - sont définis pour un programme de modification du comportement.
Figure 2. La modification du comportement pour la sécurité comprend les étapes suivantes
Voici quelques autres exemples de comportements sécuritaires typiques :
Si un nombre suffisant de personnes, généralement de 5 à 30, travaillent dans une zone donnée, il est possible de générer une liste de contrôle d'observation basée sur les comportements à risque. Le principe de base est de choisir des éléments de la liste de contrôle qui n'ont que deux valeurs, correctes ou incorrectes. Si le port de lunettes de sécurité fait partie des gestes sécuritaires spécifiés, il serait approprié d'observer chaque personne séparément et de déterminer si elle porte ou non des lunettes de sécurité. De cette façon, les observations fournissent des données objectives et claires sur la prévalence des comportements sécuritaires. D'autres comportements sûrs spécifiés fournissent d'autres éléments à inclure dans la liste de contrôle d'observation. Si la liste se compose, par exemple, de cent éléments, il est facile de calculer un indice de performance de sécurité du pourcentage de ces éléments qui sont marqués comme corrects, une fois l'observation terminée. L'indice de performance varie généralement de temps à autre.
Lorsque la technique de mesure est prête, les utilisateurs déterminent la ligne de base. Des rondes d'observation sont effectuées à des moments aléatoires chaque semaine (ou pendant plusieurs semaines). Lorsqu'un nombre suffisant de tours d'observation est effectué, il y a une image raisonnable des variations de la performance de base. Cela est nécessaire pour que les mécanismes positifs fonctionnent. La ligne de base doit être d'environ 50 à 60 % pour donner un point de départ positif pour l'amélioration et pour reconnaître les performances antérieures. La technique a prouvé son efficacité pour modifier les comportements de sécurité. Sulzer-Azaroff, Harris et McCann (1994) énumèrent dans leur revue 44 études publiées démontrant un effet certain sur le comportement. La technique semble fonctionner presque toujours, à quelques exceptions près, comme mentionné dans Cooper et al. 1994.
Application pratique de la théorie comportementale
En raison de plusieurs inconvénients dans la modification du comportement, nous avons développé une autre technique qui vise à remédier à certains des inconvénients. Le nouveau programme s'appelle Tuttava, qui est un acronyme pour les mots finnois productif en toute sécurité. Les principales différences sont présentées dans le tableau 1.
Tableau 1. Différences entre Tuttava et les autres programmes/techniques
Aspect |
Modification du comportement pour la sécurité |
Processus participatif d'amélioration du lieu de travail, Tuttava |
Base |
Accidents, incidents, perceptions des risques |
Analyse du travail, flux de travail |
Focus |
Les gens et leur comportement |
Conditions |
Implémentation Experts, consultants |
Équipe mixte employés-direction |
|
d'Entourage |
Temporaire |
Durable |
Objectif |
Changement de comportement |
Changement fondamental et culturel |
La théorie de la sécurité sous-jacente aux programmes de sécurité comportementale est très simple. Il suppose qu'il existe une ligne claire entre des ainsi que le danger. Le port de lunettes de sécurité représente un comportement sécuritaire. Peu importe que la qualité optique des verres soit mauvaise ou que le champ de vision soit réduit. Plus généralement, la dichotomie entre des ainsi que le danger peut être une simplification dangereuse.
La réceptionniste d'une usine m'a demandé de retirer ma bague pour une visite de l'usine. Elle a commis un acte sécuritaire en me demandant de retirer ma bague, et moi, en le faisant. L'alliance a cependant une grande valeur émotionnelle pour moi. Par conséquent, j'avais peur de perdre ma bague pendant la tournée. Cela a pris une partie de mon énergie perceptive et mentale loin de l'observation de la zone environnante. J'étais moins observateur et donc mon risque d'être heurté par un chariot élévateur qui passait était plus élevé que d'habitude.
La politique "pas d'anneaux" est probablement née d'un accident passé. Semblable au port de lunettes de sécurité, il est loin d'être clair qu'il représente en soi la sécurité. Les enquêtes sur les accidents et les personnes concernées sont la source la plus naturelle d'identification des actes dangereux. Mais cela peut être très trompeur. L'enquêteur peut ne pas vraiment comprendre comment un acte a contribué à la blessure faisant l'objet de l'enquête. Par conséquent, un acte étiqueté « dangereux » peut ne pas être vraiment dangereux de manière générale. Pour cette raison, l'application développée ici (Saari et Näsänen 1989) définit les objectifs comportementaux d'un point de vue d'analyse du travail. L'accent est mis sur les outils et les matériaux, car les travailleurs les manipulent tous les jours et il leur est facile de commencer à parler d'objets familiers.
Observer les gens par des méthodes directes conduit facilement à blâmer. Le blâme entraîne des tensions organisationnelles et des antagonismes entre la direction et les travailleurs, et n'est pas bénéfique pour les améliorations continues de la sécurité. Il est donc préférable de se concentrer sur les conditions physiques plutôt que d'essayer de contraindre directement le comportement. Cibler l'application sur les comportements liés à la manipulation de matériaux et d'outils rendra tout changement pertinent très visible. Le comportement lui-même peut ne durer qu'une seconde, mais il doit laisser une marque visible. Par exemple, remettre un outil à sa place après utilisation prend très peu de temps. L'outil lui-même reste visible et observable, et il n'est pas nécessaire d'observer le comportement lui-même.
Le changement visible offre deux avantages : (1) il devient évident pour tout le monde que des améliorations se produisent et (2) les gens apprennent à lire leur niveau de performance directement à partir de leur environnement. Ils n'ont pas besoin des résultats des rondes d'observation pour connaître leurs performances actuelles. De cette façon, les améliorations commencent à agir comme des conséquences positives par rapport au comportement correct, et l'indice de performance artificiel devient inutile.
Les chercheurs et consultants externes sont les principaux acteurs de l'application décrite précédemment. Les ouvriers n'ont pas besoin de penser à leur travail ; il suffit qu'ils changent de comportement. Cependant, pour obtenir des résultats plus profonds et plus durables, il serait préférable qu'ils soient impliqués dans le processus. Par conséquent, l'application doit intégrer à la fois les travailleurs et la direction, de sorte que l'équipe de mise en œuvre soit composée de représentants des deux parties. Ce serait également bien d'avoir une application qui donne des résultats durables sans mesures continues. Malheureusement, le programme normal de modification du comportement ne crée pas de changements très visibles, et de nombreux comportements critiques ne durent qu'une seconde ou des fractions de seconde.
La technique présente certains inconvénients sous la forme décrite. En théorie, le retour à la ligne de base devrait se produire lorsque les rondes d'observation sont terminées. Les ressources pour développer le programme et effectuer l'observation peuvent être trop importantes par rapport au changement temporaire obtenu.
Les outils et le matériel offrent une sorte de fenêtre sur la qualité des fonctions d'une organisation. Par exemple, si trop de composants ou de pièces encombrent un poste de travail, cela peut indiquer des problèmes dans le processus d'achat de l'entreprise ou dans les procédures des fournisseurs. La présence physique de pièces en surnombre est un moyen concret d'amorcer une discussion sur les fonctions organisationnelles. Les travailleurs qui ne sont surtout pas habitués aux discussions abstraites sur les organisations, peuvent participer et apporter leurs observations dans l'analyse. Les outils et les matériaux fournissent souvent une voie vers les facteurs sous-jacents, plus cachés, qui contribuent aux risques d'accident. Ces facteurs sont généralement de nature organisationnelle et procédurale et, par conséquent, difficiles à traiter sans information concrète et substantielle.
Des dysfonctionnements organisationnels peuvent également entraîner des problèmes de sécurité. Par exemple, lors d'une récente visite d'usine, des travailleurs ont été observés en train de soulever manuellement des produits sur des palettes pesant au total plusieurs tonnes. Cela s'est produit parce que le système d'achat et le système du fournisseur ne fonctionnaient pas bien et, par conséquent, les étiquettes des produits n'étaient pas disponibles au bon moment. Les produits devaient être mis de côté pendant des jours sur des palettes, obstruant une allée. Lorsque les étiquettes sont arrivées, les produits ont été soulevés, encore une fois manuellement, jusqu'à la ligne. Tout cela était un travail supplémentaire, un travail qui contribue au risque de blessure au dos ou autre.
Quatre conditions doivent être satisfaites pour un programme d'amélioration réussi
Pour réussir, il faut posséder une compréhension théorique et pratique correcte du problème et des mécanismes qui le sous-tendent. C'est la base pour fixer les objectifs d'amélioration, après quoi (1) les gens doivent connaître les nouveaux objectifs, (2) ils doivent avoir les moyens techniques et organisationnels pour agir en conséquence et (3) ils doivent être motivés (figure 3). Ce régime s'applique à tout programme de changement.
Figure 3. Les quatre étapes d'un programme de sécurité réussi
Une campagne de sécurité peut être un bon instrument pour diffuser efficacement des informations sur un objectif. Cependant, elle n'a d'effet sur le comportement des personnes que si les autres critères sont satisfaits. Exiger le port d'un casque de sécurité n'a aucun effet sur une personne qui n'en a pas, ou si un casque de sécurité est terriblement inconfortable, par exemple, à cause d'un climat froid. Une campagne de sécurité peut également viser à accroître la motivation, mais elle échouera si elle se contente d'envoyer un message abstrait, tel que « la sécurité d'abord », à moins que les destinataires aient les compétences nécessaires pour traduire le message en comportements spécifiques. Les directeurs d'usine auxquels on dit de réduire de 50 % les blessures dans la zone sont dans une situation similaire s'ils ne comprennent rien aux mécanismes des accidents.
Les quatre critères énoncés dans la figure 3 doivent être remplis. Par exemple, une expérience a été menée dans laquelle les gens étaient censés utiliser des écrans autonomes pour empêcher la lumière de soudage d'atteindre les zones des autres travailleurs. L'expérience a échoué parce qu'on ne s'est pas rendu compte qu'aucun accord organisationnel adéquat n'avait été conclu. Qui doit mettre l'écran en place, le soudeur ou l'autre travailleur à proximité exposé à la lumière ? Parce que tous deux travaillaient à la pièce et ne voulaient pas perdre de temps, un accord organisationnel sur la rémunération aurait dû être conclu avant l'expérience. Un programme de sécurité réussi doit aborder ces quatre domaines simultanément. Sinon, les progrès seront limités.
Programme Tuttava
Le programme Tuttava (figure 4) dure de 4 à 6 mois et couvre la zone de travail de 5 à 30 personnes à la fois. Elle est réalisée par une équipe composée des représentants de la direction, des agents de maîtrise et des ouvriers.
Figure 4. Le programme Tuttava comprend quatre étapes et huit étapes
Objectifs de performance
La première étape consiste à préparer une liste d'objectifs de performance, ou meilleures pratiques de travail, composée d'une dizaine d'objectifs bien définis (tableau 2). Les objectifs doivent être (1) positifs et faciliter le travail, (2) généralement acceptables, (3) simples et énoncés brièvement, (4) exprimés au début avec des verbes d'action pour souligner les éléments importants à faire et (5) faciles observer et mesurer.
Les mots clés pour spécifier les cibles sont les outils ainsi que matières premières.. Habituellement, les objectifs se réfèrent à des objectifs tels que le placement correct des matériaux et des outils, le maintien des allées ouvertes, la correction immédiate des fuites et autres perturbations du processus, et le maintien du libre accès aux extincteurs, aux sorties de secours, aux sous-stations électriques, aux interrupteurs de sécurité, etc. Les objectifs de performance d'une usine d'encres d'imprimerie sont indiqués dans le tableau 3.
Ces cibles sont comparables aux comportements sécuritaires définis dans les programmes de modification des comportements. La différence est que les comportements Tuttava laissent des marques visibles. Fermer les bouteilles après utilisation peut être un comportement qui prend moins d'une minute. Cependant, il est possible de voir si cela a été fait ou non en observant les bouteilles non utilisées. Il n'est pas nécessaire d'observer les gens, ce qui est important pour éviter de pointer du doigt et de blâmer.
Les objectifs définissent le changement de comportement que l'équipe attend des employés. En ce sens, ils se comparent aux comportements sécuritaires dans la modification du comportement. Cependant, la plupart des objectifs se réfèrent à des choses qui ne sont pas seulement des comportements des travailleurs mais qui ont une signification beaucoup plus large. Par exemple, l'objectif peut être de ne stocker que les matériaux immédiatement nécessaires dans la zone de travail. Cela nécessite une analyse du processus de travail et une compréhension de celui-ci, et peut révéler des problèmes dans les dispositions techniques et organisationnelles. Parfois, les matériaux ne sont pas stockés de manière pratique pour une utilisation quotidienne. Parfois, les systèmes de livraison fonctionnent si lentement ou sont si vulnérables aux perturbations que les employés stockent trop de matériel dans la zone de travail.
Liste de contrôle des observations
Lorsque les objectifs de performance sont suffisamment bien définis, l'équipe conçoit une liste de contrôle d'observation pour mesurer dans quelle mesure les objectifs sont atteints. Environ 100 points de mesure sont choisis dans la zone. Par exemple, le nombre de points de mesure était de 126 dans l'usine d'encres d'imprimerie. A chaque point, l'équipe observe un ou plusieurs éléments spécifiques. Par exemple, en ce qui concerne un conteneur à déchets, les éléments pourraient être (1) le conteneur n'est-il pas trop plein, (2) le bon type de déchets y est-il mis ou (3) le couvercle est-il en place, si nécessaire ? Chaque élément ne peut être que correct ou incorrect. Les observations dichotomisées rendent le système de mesure objectif et fiable. Cela permet de calculer un indice de performance après un tour d'observation couvrant tous les points de mesure. L'indice est simplement le pourcentage d'items jugés corrects. L'indice peut, bien évidemment, aller de 0 à 100, et il indique directement dans quelle mesure les normes sont respectées. Lorsque la première ébauche de la liste de contrôle d'observation est disponible, l'équipe effectue une ronde de test. Si le résultat est d'environ 50 à 60%, et si chaque membre de l'équipe obtient à peu près le même résultat, l'équipe peut passer à la phase suivante de Tuttava. Si le résultat du premier cycle d'observation est trop faible, disons 20 %, l'équipe révise la liste des objectifs de performance. C'est parce que le programme doit être positif dans tous ses aspects. Une base de référence trop basse n'évaluerait pas adéquatement les performances antérieures ; il se contenterait plutôt de rejeter le blâme sur les mauvaises performances. Une bonne ligne de base est d'environ 50 %.
Améliorations techniques, organisationnelles et procédurales
Une étape très importante du programme consiste à assurer l'atteinte des objectifs de rendement. Par exemple, des déchets peuvent se trouver sur le sol simplement parce que le nombre de conteneurs à déchets est insuffisant. Il peut y avoir trop de matériaux et de pièces parce que le système d'approvisionnement ne fonctionne pas. Le système doit s'améliorer avant qu'il ne soit correct d'exiger un changement de comportement de la part des travailleurs. En examinant chacun des objectifs d'atteignabilité, l'équipe identifie généralement de nombreuses opportunités d'améliorations techniques, organisationnelles et procédurales. De cette façon, les membres travailleurs apportent leur expérience pratique dans le processus de développement.
Parce que les travailleurs passent toute la journée sur leur lieu de travail, ils ont beaucoup plus de connaissances sur les processus de travail que sur la gestion. En analysant l'atteinte des objectifs de performance, les travailleurs ont la possibilité de communiquer leurs idées à la direction. Au fur et à mesure que des améliorations se produisent, les employés sont beaucoup plus réceptifs à la demande d'atteindre les objectifs de performance. Habituellement, cette étape conduit à des actions correctives facilement gérables. Par exemple, des produits ont été retirés de la ligne pour des ajustements. Certains produits étaient bons, d'autres mauvais. Les ouvriers de la production souhaitaient avoir des zones désignées marquées pour les bons et les mauvais produits afin de savoir quels produits remettre en ligne et lesquels envoyer au recyclage. Cette étape peut également nécessiter des modifications techniques majeures, comme un nouveau système de ventilation dans la zone où sont stockés les produits rejetés. Parfois, le nombre de modifications est très élevé. Par exemple, plus de 300 améliorations techniques ont été apportées dans une usine de produits chimiques à base de pétrole qui n'emploie que 60 travailleurs. Il est important de bien gérer la mise en place des améliorations pour éviter la frustration et la surcharge des départements respectifs.
Mesures de base
Les observations de base sont lancées lorsque la réalisation des objectifs de performance est suffisamment assurée et lorsque la liste de contrôle des observations est suffisamment fiable. Parfois, les objectifs doivent être révisés, car les améliorations prennent plus de temps. L'équipe effectue des rondes d'observation hebdomadaires pendant quelques semaines pour déterminer la norme en vigueur. Cette phase est importante car elle permet de comparer à tout instant ultérieur les performances aux performances initiales. Les gens oublient facilement comment les choses se passaient il y a seulement quelques mois. Il est important d'avoir le sentiment de progrès pour renforcer les améliorations continues.
Commentaires
Comme prochaine étape, l'équipe forme toutes les personnes de la région. Cela se fait généralement en un séminaire d'une heure. C'est la première fois que les résultats des mesures de référence sont rendus publics. La phase de rétroaction commence immédiatement après le séminaire. Les rondes d'observation se poursuivent chaque semaine. Désormais, le résultat du tour est immédiatement communiqué à tout le monde en affichant l'indice sur une carte placée à un endroit visible. Toutes remarques critiques, reproches ou autres commentaires négatifs sont strictement interdits. Bien que l'équipe identifie les individus qui ne se comportent pas comme spécifié dans les objectifs, l'équipe est chargée de garder l'information pour elle-même. Parfois, tous les employés sont intégrés au processus dès le début, surtout si le nombre de personnes travaillant dans la zone est faible. C'est mieux que d'avoir des équipes de mise en œuvre représentatives. Cependant, cela peut ne pas être réalisable partout.
Effets sur les performances
Le changement se produit quelques semaines après le début de la rétroaction (figure 5). Les gens commencent à maintenir le chantier en ordre visiblement meilleur. L'indice de performance saute généralement de 50 à 60 %, puis même à 80 ou 90 %. Cela peut ne pas sembler énorme en termes absolus, mais cela is un grand changement dans l'atelier.
Figure 5. Les résultats d'un département d'un chantier naval
Comme les objectifs de performance ne se réfèrent pas uniquement aux questions de sécurité, les avantages vont d'une meilleure sécurité à la productivité, à l'économie de matériaux et de métrage au sol, à une meilleure apparence physique, etc. Pour rendre les améliorations attrayantes pour tous, il existe des objectifs qui intègrent la sécurité à d'autres objectifs, tels que la productivité et la qualité. Cela est nécessaire pour rendre la sécurité plus attrayante pour la direction, qui financera ainsi plus volontiers les améliorations de sécurité moins importantes.
Des résultats durables
Lorsque le programme a été développé pour la première fois, 12 expériences ont été menées pour tester les différents composants. Des observations de suivi ont été faites dans un chantier naval pendant 2 ans. Le nouveau niveau de performance a été bien maintenu au cours du suivi de 2 ans. Les résultats durables séparent ce processus de la modification normale du comportement. Les changements visibles dans l'emplacement des matériaux, des outils, etc., et les améliorations techniques empêchent l'amélioration déjà assurée de s'estomper. Au bout de 3 ans, une évaluation de l'impact sur les accidents au chantier naval a été réalisée. Le résultat a été dramatique. Les accidents avaient diminué de 70 à 80 %. C'était bien plus que ce à quoi on pouvait s'attendre sur la base du changement de comportement. Le nombre d'accidents totalement indépendants des objectifs de performance a également diminué.
L'effet majeur sur les accidents n'est pas attribuable aux changements directs obtenus par le processus. Il s'agit plutôt d'un point de départ pour d'autres processus à suivre. Comme Tuttava est très positif et qu'il apporte des améliorations notables, les relations entre la direction et les travailleurs s'améliorent et les équipes sont encouragées pour d'autres améliorations.
Changement culturel
Une grande aciérie était l'un des nombreux utilisateurs de Tuttava, dont l'objectif principal est de changer la culture de la sécurité. Quand ils ont commencé en 987, il y avait 57 accidents par million d'heures travaillées. Auparavant, la gestion de la sécurité s'appuyait fortement sur des commandes venant d'en haut. Malheureusement, le président a pris sa retraite et tout le monde a oublié la sécurité, car la nouvelle direction n'a pas pu créer une demande similaire de culture de la sécurité. Parmi les cadres intermédiaires, la sécurité était considérée négativement comme quelque chose de plus à faire en raison de la demande du président. Ils ont organisé dix équipes Tuttava en 987, et de nouvelles équipes ont été ajoutées chaque année par la suite. Maintenant, ils ont moins de 35 accidents par million d'heures travaillées, et la production n'a cessé d'augmenter au cours de ces années. Le processus a permis d'améliorer la culture de la sécurité car les cadres intermédiaires ont constaté dans leurs départements respectifs des améliorations bénéfiques à la fois pour la sécurité et la production. Ils sont devenus plus réceptifs aux autres programmes et initiatives de sécurité.
Les avantages pratiques étaient importants. Par exemple, le service de maintenance de l'aciérie, qui emploie 300 personnes, a rapporté une réduction de 400 jours du nombre de jours perdus en raison d'accidents du travail, soit de 600 jours à 200 jours. Le taux d'absentéisme a également baissé d'un point de pourcentage. Les encadrants ont déclaré qu'« il est plus agréable de venir sur un lieu de travail bien organisé, tant sur le plan matériel que mental ». L'investissement n'était qu'une fraction de l'avantage économique.
Une autre entreprise employant 1,500 15,000 personnes a signalé le rejet de XNUMX XNUMX m2 de la zone de production, puisque les matériaux, équipements, etc., sont stockés dans un meilleur ordre. L'entreprise a payé 1.5 million de dollars de moins en loyer. Une entreprise canadienne économise environ 1 million de dollars canadiens par année en raison de la réduction des dommages matériels résultant de la mise en œuvre de Tuttava.
Ce sont des résultats qui ne sont possibles que par un changement culturel. L'élément le plus important de la nouvelle culture est le partage d'expériences positives. Un responsable a déclaré : « Vous pouvez acheter le temps des gens, vous pouvez acheter leur présence physique à un endroit donné, vous pouvez même acheter un nombre mesuré de leurs mouvements musculaires qualifiés par heure. Mais vous ne pouvez pas acheter la loyauté, vous ne pouvez pas acheter la dévotion des cœurs, des esprits ou des âmes. Vous devez les mériter. L'approche positive de Tuttava aide les managers à gagner la loyauté et le dévouement de leurs équipes de travail. Ainsi, le programme permet d'impliquer les employés dans les projets d'amélioration ultérieurs.
Une entreprise est un système complexe où la prise de décision a lieu dans de nombreux liens et dans diverses circonstances. La sécurité n'est qu'une des nombreuses exigences que les gestionnaires doivent prendre en compte lorsqu'ils choisissent parmi des actions. Les décisions relatives aux questions de sécurité varient considérablement dans leur portée et leur nature selon les attributs des problèmes de risque à gérer et la position du décideur dans l'organisation.
De nombreuses recherches ont été entreprises sur la façon dont les gens prennent réellement des décisions, à la fois individuellement et dans un contexte organisationnel : voir, par exemple, Janis et Mann (1977) ; Kahnemann, Slovic et Tversky (1982) ; Montgomery et Svenson (1989). Cet article examinera une sélection d'expériences de recherche dans ce domaine comme base des méthodes de prise de décision utilisées dans la gestion de la sécurité. En principe, la prise de décision concernant la sécurité n'est pas très différente de la prise de décision dans d'autres domaines de la gestion. Il n'existe pas de méthode simple ni d'ensemble de règles pour prendre de bonnes décisions dans toutes les situations, car les activités impliquées dans la gestion de la sécurité sont trop complexes et variées dans leur portée et leur nature.
L'objectif principal de cet article ne sera pas de présenter des prescriptions ou des solutions simples, mais plutôt de fournir plus d'informations sur certains des défis et principes importants pour une bonne prise de décision en matière de sécurité. Un aperçu de la portée, des niveaux et des étapes de résolution de problèmes concernant les questions de sécurité sera donné, principalement basé sur les travaux de Hale et al. (1994). La résolution de problèmes est un moyen d'identifier le problème et d'obtenir des solutions viables. Il s'agit d'une première étape importante dans tout processus décisionnel à examiner. Afin de mettre en perspective les enjeux des décisions concrètes en matière de sécurité, les principes de théorie du choix rationnel sera discuté. La dernière partie de l'article porte sur la prise de décision dans un contexte organisationnel et introduit la perspective sociologique sur la prise de décision. Sont également inclus certains des principaux problèmes et méthodes de prise de décision dans le contexte de la gestion de la sécurité, afin de mieux comprendre les principales dimensions, défis et pièges de la prise de décisions sur les questions de sécurité en tant qu'activité et défi importants dans la gestion de la sécurité. .
Le contexte de la prise de décision en matière de sécurité
Une présentation générale des méthodes de prise de décision en matière de sécurité est compliquée car les problèmes de sécurité et la nature des problèmes de décision varient considérablement au cours de la vie d'une entreprise. Du concept et de la création à la fermeture, le cycle de vie d'une entreprise peut être divisé en six étapes principales :
Chacun des éléments du cycle de vie implique des décisions concernant la sécurité qui ne sont pas seulement spécifiques à cette seule phase mais qui ont également un impact sur certaines ou toutes les autres phases. Lors de la conception, de la construction et de la mise en service, les principaux enjeux concernent le choix, l'élaboration et la réalisation des normes et spécifications de sécurité décidées. Pendant l'exploitation, la maintenance et la démolition, les principaux objectifs de la gestion de la sécurité seront de maintenir et éventuellement d'améliorer le niveau de sécurité déterminé. La phase de construction représente également une « phase de production » dans une certaine mesure, car en même temps que les principes de sécurité de la construction doivent être respectés, les spécifications de sécurité pour ce qui est construit doivent être réalisées.
Niveaux de décision de gestion de la sécurité
Les décisions concernant la sécurité diffèrent également dans leur caractère selon le niveau organisationnel. Hale et al. (1994) distinguent trois principaux niveaux de décision de la gestion de la sécurité dans l'organisation :
Le niveau d' exécution est le niveau auquel les actions des personnes impliquées (travailleurs) influencent directement la survenue et le contrôle des dangers sur le lieu de travail. Ce niveau concerne la reconnaissance des dangers et le choix et la mise en œuvre des actions pour les éliminer, les réduire et les maîtriser. Les degrés de liberté présents à ce niveau sont limités ; ainsi, les boucles de rétroaction et de correction visent essentiellement à corriger les écarts par rapport aux procédures établies et à ramener la pratique à une norme. Dès qu'une situation est identifiée où la norme convenue n'est plus considérée comme appropriée, le niveau supérieur suivant est activé.
Le niveau d' planification, organisation et procédures s'intéresse à l'élaboration et à la formalisation des actions à mener au niveau de l'exécution par rapport à l'ensemble des aléas attendus. Le niveau de planification et d'organisation, qui définit les responsabilités, les procédures, les lignes hiérarchiques, etc., se trouve généralement dans les manuels de sécurité. C'est ce niveau qui élabore de nouvelles procédures pour les dangers nouveaux pour l'organisation et modifie les procédures existantes pour suivre soit les nouvelles connaissances sur les dangers, soit les normes de solutions relatives aux dangers. Ce niveau implique la traduction de principes abstraits en attribution et mise en œuvre concrètes des tâches, et correspond à la boucle d'amélioration requise dans de nombreux systèmes qualité.
Le niveau d' structuration et gestion concerne les principes généraux de la gestion de la sécurité. Ce niveau est activé lorsque l'organisation considère que les niveaux de planification et d'organisation actuels échouent de manière fondamentale à atteindre une performance acceptée. C'est le niveau auquel le fonctionnement « normal » du système de gestion de la sécurité est surveillé de manière critique et par lequel il est continuellement amélioré ou maintenu face aux changements de l'environnement externe de l'organisation.
Hale et al. (1994) soulignent que les trois niveaux sont abstractions correspondant à trois types de rétroaction différents. Ils ne doivent pas être considérés comme contigus aux niveaux hiérarchiques de l'atelier, de la première ligne et de la direction supérieure, car les activités spécifiées à chaque niveau abstrait peuvent être appliquées de nombreuses manières différentes. La répartition des tâches reflète la culture et les méthodes de travail de chaque entreprise.
Processus de prise de décision en matière de sécurité
Les problèmes de sécurité doivent être gérés par une sorte de processus de résolution de problèmes ou de prise de décision. Selon Hale et al. (1994) ce processus, qui est désigné cycle de résolution de problèmes, est commun aux trois niveaux de gestion de la sécurité décrits ci-dessus. Le cycle de résolution de problèmes est un modèle de procédure idéalisée par étapes pour analyser et prendre des décisions sur les problèmes de sécurité causés par des écarts potentiels ou réels par rapport aux réalisations souhaitées, attendues ou planifiées (figure 1).
Figure 1. Le cycle de résolution de problèmes
Bien que les étapes soient en principe les mêmes aux trois niveaux de gestion de la sécurité, l'application en pratique peut différer quelque peu selon la nature des problèmes traités. Le modèle montre que les décisions concernant la gestion de la sécurité couvrent de nombreux types de problèmes. En pratique, chacun des six problèmes décisionnels de base suivants en matière de gestion de la sécurité devra être décomposé en plusieurs sous-décisions qui serviront de base aux choix sur chacun des principaux domaines problématiques.
Théorie du choix rationnel
Les méthodes de prise de décision des managers doivent être basées sur un certain principe de rationalité afin d'être acceptées par les membres de l'organisation. Dans des situations pratiques, ce qui est rationnel peut ne pas toujours être facile à définir, et les exigences logiques de ce qui peut être défini comme des décisions rationnelles peuvent être difficiles à satisfaire. Théorie du choix rationnel (RCT), la conception de la prise de décision rationnelle, a été développée à l'origine pour expliquer le comportement économique sur le marché, puis généralisée pour expliquer non seulement le comportement économique, mais aussi le comportement étudié par presque toutes les disciplines des sciences sociales, de la philosophie politique à la psychologie.
L'étude psychologique de la prise de décision humaine optimale est appelée théorie de l'utilité espérée subjective (UES). RCT et SEU sont fondamentalement les mêmes; seules les applications diffèrent. SEU se concentre sur la réflexion sur la prise de décision individuelle, tandis que RCT a une application plus large pour expliquer le comportement au sein d'organisations ou d'institutions entières - voir, par exemple, Neumann et Politser (1992). La plupart des outils de la recherche opérationnelle moderne utilisent les hypothèses de SEU. Ils supposent que ce qui est souhaité est de maximiser la réalisation d'un objectif, sous des contraintes spécifiques, et en supposant que toutes les alternatives et conséquences (ou leur distribution de probabilité) sont connues (Simon et associés 1992). L'essence de RCT et SEU peut être résumée comme suit (March et Simon 1993):
Les décideurs, lorsqu'ils sont confrontés à une situation de prise de décision, acquièrent et voient l'ensemble des alternatives parmi lesquelles ils choisiront leur action. Cet ensemble est simplement donné ; la théorie ne dit pas comment il est obtenu.
À chaque alternative est attaché un ensemble de conséquences - les événements qui s'ensuivront si cette alternative particulière est choisie. Ici, les théories existantes se répartissent en trois catégories :
Au départ, le décideur utilise une « fonction d'utilité » ou un « ordre de préférence » qui classe tous les ensembles de conséquences de la plus préférée à la moins préférée. Il convient de noter qu'une autre proposition est la règle du "risque minimax", par laquelle on considère le "pire ensemble de conséquences" qui peut découler de chaque alternative, puis sélectionne l'alternative dont le pire ensemble de conséquences est préféré aux pires ensembles attachés à d'autres alternatives.
Le décideur choisit l'alternative la plus proche de l'ensemble de conséquences préféré.
Une difficulté de RCT est que le terme rationalité est en soi problématique. Ce qui est rationnel dépend du contexte social dans lequel la décision a lieu. Comme le souligne Flanagan (1991), il est important de distinguer les deux termes rationalité ainsi que logique. La rationalité est liée à des questions liées au sens et à la qualité de vie de certains individus, alors que la logique ne l'est pas. Le problème du bienfaiteur est précisément la question que les modèles de choix rationnel ne parviennent pas à clarifier, en ce qu'ils supposent une neutralité de valeur, qui est rarement présente dans la prise de décision réelle (Zey 1992). Bien que la valeur de RCT et SEU en tant que théorie explicative soit quelque peu limitée, elle a été utile en tant que modèle théorique pour la prise de décision «rationnelle». La preuve que le comportement s'écarte souvent des résultats prédits par la théorie de l'utilité attendue ne signifie pas nécessairement que la théorie prescrit de manière inappropriée la façon dont les gens devrait prendre des décisions. En tant que modèle normatif, la théorie s'est avérée utile pour générer des recherches sur comment et pourquoi les gens prennent des décisions qui violent l'axiome de l'utilité optimale.
L'application des idées de RCT et de SEU à la prise de décision en matière de sécurité peut fournir une base pour évaluer la «rationalité» des choix faits en matière de sécurité - par exemple, dans la sélection de mesures préventives compte tenu d'un problème de sécurité que l'on veut atténuer. Très souvent, il ne sera pas possible de se conformer aux principes du choix rationnel en raison du manque de données fiables. Soit on peut ne pas avoir une image complète des actions disponibles ou possibles, soit l'incertitude des effets de différentes actions, par exemple, la mise en œuvre de différentes mesures préventives, peut être grande. Ainsi, le RCT peut être utile pour souligner certaines faiblesses dans un processus de décision, mais il fournit peu d'indications pour améliorer la qualité des choix à faire. Une autre limitation de l'applicabilité des modèles de choix rationnel est que la plupart des décisions dans les organisations ne recherchent pas nécessairement des solutions optimales.
Résolution de problème
Les modèles de choix rationnel décrivent le processus de évaluer et choisir entre les alternatives. Cependant, décider d'un plan d'action nécessite également ce que Simon et associés (1992) décrivent comme résolution de problème. Il s'agit de choisir les problèmes qui nécessitent une attention particulière, de fixer des objectifs et de trouver ou de décider de plans d'action appropriés. (Bien que les managers sachent qu'ils ont des problèmes, ils ne comprennent peut-être pas assez bien la situation pour diriger leur attention vers un plan d'action plausible.) Comme mentionné précédemment, la théorie de choix rationnel a ses racines principalement dans l'économie, les statistiques et la recherche opérationnelle, et ce n'est que récemment qu'il a retenu l'attention des psychologues. La théorie et les méthodes de résolution de problèmes ont une histoire très différente. La résolution de problèmes a d'abord été étudiée principalement par des psychologues, et plus récemment par des chercheurs en intelligence artificielle.
Des recherches empiriques ont montré que le processus de résolution de problèmes se déroule plus ou moins de la même manière pour un large éventail d'activités. Premièrement, la résolution de problèmes procède généralement par une recherche sélective parmi de larges ensembles de possibilités, en utilisant des règles empiriques (heuristiques) pour guider la recherche. Étant donné que les possibilités dans des situations problématiques réalistes sont pratiquement infinies, une recherche par essais et erreurs ne fonctionnerait tout simplement pas. La recherche doit être très sélective. L'une des procédures souvent utilisées pour guider la recherche est décrite comme escalade- en utilisant une certaine mesure d'approche de l'objectif pour déterminer où il est le plus rentable de regarder ensuite. Une autre procédure courante et plus puissante est analyse moyens-fins. Lors de l'utilisation de cette méthode, le résolveur de problèmes compare la situation actuelle avec l'objectif, détecte les différences entre eux, puis recherche dans la mémoire les actions susceptibles de réduire la différence. Une autre chose qui a été apprise sur la résolution de problèmes, en particulier lorsque le solveur est un expert, est que le processus de pensée du solveur repose sur de grandes quantités d'informations stockées en mémoire et qui sont récupérables chaque fois que le solveur reconnaît des indices signalant sa pertinence.
L'une des réalisations de la théorie contemporaine de la résolution de problèmes a été de fournir une explication aux phénomènes d'intuition et de jugement fréquemment observés dans le comportement des experts. La réserve de connaissances spécialisées semble être en quelque sorte indexé par les indices de reconnaissance qui le rendent accessible. Combinée à certaines capacités d'inférence de base (peut-être sous la forme d'une analyse moyens-fins), cette fonction d'indexation est appliquée par l'expert pour trouver des solutions satisfaisantes à des problèmes difficiles.
La plupart des défis auxquels les responsables de la sécurité sont confrontés seront d'un type qui nécessitera une sorte de résolution de problème, par exemple, détecter quelles sont réellement les causes sous-jacentes d'un accident ou d'un problème de sécurité, afin de déterminer une mesure préventive. Le cycle de résolution de problèmes développé par Hale et al. (1994) – voir figure 1 – décrit bien ce qu'impliquent les étapes de résolution d'un problème de sécurité. Ce qui semble évident, c'est qu'à l'heure actuelle, il n'est pas possible et peut-être même pas souhaitable de développer un modèle strictement logique ou mathématique pour ce qui est un processus idéal de résolution de problèmes de la même manière que celle qui a été suivie pour les théories du choix rationnel. Ce point de vue est soutenu par la connaissance d'autres difficultés dans les cas réels de résolution de problèmes et de prise de décision qui sont discutés ci-dessous.
Problèmes mal structurés, établissement d'un agenda et cadrage
Dans la vie réelle, des situations se produisent fréquemment lorsque le processus de résolution de problèmes devient obscur parce que les objectifs eux-mêmes sont complexes et parfois mal définis. Ce qui arrive souvent, c'est que la nature même du problème se transforme successivement au cours de l'exploration. Dans la mesure où le problème présente ces caractéristiques, on peut l'appeler mal structuré. Des exemples typiques de processus de résolution de problèmes présentant de telles caractéristiques sont (1) le développement de nouvelles conceptions et (2) la découverte scientifique.
La résolution de problèmes mal définis n'est devenue un sujet d'étude scientifique que récemment. Lorsque les problèmes sont mal définis, le processus de résolution de problèmes nécessite une connaissance substantielle des critères de solution ainsi qu'une connaissance des moyens de satisfaire ces critères. Les deux types de connaissances doivent être évoqués au cours du processus, et l'évocation des critères et des contraintes modifie et remodèle continuellement la solution à laquelle le processus de résolution de problèmes s'adresse. Certaines recherches concernant la structuration et l'analyse des problèmes dans le cadre des questions de risque et de sécurité ont été publiées et pourraient être étudiées avec profit ; voir, par exemple, Rosenhead 1989 et Chicken et Haynes 1989.
Établir l'ordre du jour, qui est la toute première étape du processus de résolution de problèmes, est aussi la moins bien comprise. Ce qui amène un problème à la tête de l'ordre du jour, c'est l'identification d'un problème et le défi qui en découle pour déterminer comment il peut être représenté d'une manière qui facilite sa solution ; ce sont des sujets sur lesquels l'étude des processus de décision ne s'est focalisée que récemment. La tâche d'établir un ordre du jour est de la plus haute importance car les êtres humains individuels et les institutions humaines ont des capacités limitées pour faire face à de nombreuses tâches simultanément. Alors que certains problèmes reçoivent toute l'attention, d'autres sont négligés. Lorsque de nouveaux problèmes surgissent soudainement et de manière inattendue (par exemple, la lutte contre les incendies), ils peuvent remplacer une planification et une délibération ordonnées.
La manière dont les problèmes sont représentés a beaucoup à voir avec la qualité des solutions trouvées. Actuellement, la représentation ou cadrage des problèmes est encore moins bien compris que l'établissement de l'agenda. Une caractéristique de nombreuses avancées scientifiques et technologiques est qu'un changement de cadre entraînera une toute nouvelle approche pour résoudre un problème. Un exemple d'un tel changement dans le cadrage de la définition des problèmes dans les sciences de la sécurité au cours des dernières années est le déplacement de l'attention des détails des opérations de travail vers les décisions et les conditions organisationnelles qui créent l'ensemble de la situation de travail - voir, par exemple, Wagenaar et coll. (1994).
Prise de décision dans les organisations
Les modèles de prise de décision organisationnelle considèrent la question du choix comme un processus logique dans lequel les décideurs tentent de maximiser leurs objectifs en une série ordonnée d'étapes (figure 2). Ce processus est en principe le même pour la sécurité que pour les décisions sur d'autres questions que l'organisation doit gérer.
Figure 2. Le processus décisionnel dans les organisations
Ces modèles peuvent servir de cadre général pour la « prise de décision rationnelle » dans les organisations ; cependant, ces modèles idéaux ont plusieurs limitations et ils laissent de côté des aspects importants des processus qui peuvent réellement avoir lieu. Certaines des caractéristiques importantes des processus décisionnels organisationnels sont examinées ci-dessous.
Critères appliqués dans le choix organisationnel
Alors que les modèles de choix rationnel se préoccupent de trouver l'alternative optimale, d'autres critères peuvent être encore plus pertinents dans les décisions organisationnelles. Comme l'ont observé March et Simon (1993), les organisations, pour diverses raisons, recherchent satisfaisante plutôt que optimaux de Red Lion
Selon March et Simon (1993), la plupart des décisions humaines, qu'elles soient individuelles ou organisationnelles, concernent la découverte et la sélection de satisfaisante alternatives. Ce n'est que dans des cas exceptionnels qu'il s'agit de découvrir et de sélectionner des optimaux alternatives. Dans la gestion de la sécurité, des alternatives satisfaisantes en matière de sécurité suffiront généralement, de sorte qu'une solution donnée à un problème de sécurité doit répondre à des normes spécifiées. Les contraintes typiques qui s'appliquent souvent aux décisions de sécurité de choix optimal sont des considérations économiques telles que : « Assez bon, mais aussi bon marché que possible ».
Prise de décision programmée
En explorant les parallèles entre la prise de décision humaine et la prise de décision organisationnelle, March et Simon (1993) ont soutenu que les organisations ne peuvent jamais être parfaitement rationnelles, car leurs membres ont des capacités limitées de traitement de l'information. On prétend que les décideurs ne peuvent au mieux atteindre que des formes limitées de rationalité parce qu'ils (1) doivent généralement agir sur la base d'informations incomplètes, (2) ne sont capables d'explorer qu'un nombre limité d'alternatives relatives à une décision donnée, et (3) sont incapables d'attribuer des valeurs précises aux résultats. March et Simon soutiennent que les limites de la rationalité humaine sont institutionnalisées dans la structure et les modes de fonctionnement de nos organisations. Afin de rendre le processus décisionnel gérable, les organisations fragmentent, routinisent et limitent le processus décisionnel de plusieurs façons. Les départements et les unités de travail ont pour effet de segmenter l'environnement de l'organisation, de cloisonner les responsabilités, et ainsi de simplifier les domaines d'intérêt et la prise de décision des gestionnaires, des superviseurs et des travailleurs. Les hiérarchies organisationnelles remplissent une fonction similaire, fournissant des canaux de résolution de problèmes afin de rendre la vie plus gérable. Cela crée une structure d'attention, d'interprétation et d'opération qui exerce une influence cruciale sur ce qui est apprécié comme choix « rationnels » du décideur individuel dans le contexte organisationnel. March et Simon ont nommé ces ensembles organisés de réponses programmes de performances, ou simplement programmes. Le terme programme n'est pas destiné à connoter une rigidité complète. Le contenu du programme peut s'adapter à un grand nombre de caractéristiques qui l'initient. Le programme peut également être conditionnel à des données indépendantes des stimuli initiateurs. Il est alors plus correctement appelé un stratégie de performance.
Un ensemble d'activités est considéré comme routinier dans la mesure où le choix a été simplifié par le développement d'une réponse fixe à des stimuli définis. Si les recherches ont été éliminées, mais que le choix reste sous la forme de routines informatiques systématiques clairement définies, l'activité est désignée comme routinier. Les activités sont considérées comme non routinières dans la mesure où elles doivent être précédées d'activités d'élaboration de programmes de type résolution de problèmes. La distinction faite par Hale et al. (1994) (discuté ci-dessus) entre les niveaux d'exécution, de planification et de structure/gestion du système ont des implications similaires concernant la structuration du processus décisionnel.
La programmation influence la prise de décision de deux manières : (1) en définissant comment un processus de décision doit être exécuté, qui doit y participer, etc., et (2) en prescrivant les choix à faire en fonction des informations et des alternatives disponibles. Les effets de la programmation sont d'une part positifs en ce sens qu'ils peuvent accroître l'efficacité du processus de décision et garantir que les problèmes ne restent pas sans solution, mais qu'ils sont traités de manière bien structurée. D'autre part, une programmation rigide peut entraver la flexibilité nécessaire, en particulier dans la phase de résolution de problèmes d'un processus de décision afin de générer de nouvelles solutions. Par exemple, de nombreuses compagnies aériennes ont établi des procédures fixes pour le traitement des écarts signalés, appelés rapports de vol ou rapports de maintenance, qui exigent que chaque cas soit examiné par une personne désignée et qu'une décision soit prise concernant les actions préventives à entreprendre en fonction des incident. Parfois, la décision peut être qu'aucune mesure ne doit être prise, mais les procédures garantissent qu'une telle décision est délibérée et non le résultat d'une négligence, et qu'un décideur responsable est impliqué dans les décisions.
Le degré de programmation des activités influence la prise de risque. Wagenaar (1990) soutient que la plupart des accidents sont les conséquences d'un comportement routinier sans aucune considération de risque. Le vrai problème du risque se produit à des niveaux plus élevés dans les organisations, là où les décisions non programmées sont prises. Mais les risques ne sont le plus souvent pas pris consciemment. Ils résultent généralement de décisions prises sur des questions qui ne sont pas directement liées à la sécurité, mais où les conditions préalables à une exploitation sûre ont été affectées par inadvertance. Les managers et autres décideurs de haut niveau sont ainsi plus souvent permettant des opportunités de risques que prendre des risques.
Prise de décision, pouvoir et conflits d'intérêts
La capacité d'influencer les résultats des processus de prise de décision est une source de pouvoir bien reconnue et qui a attiré une attention considérable dans la littérature sur la théorie de l'organisation. Étant donné que les organisations sont dans une large mesure des systèmes de prise de décision, un individu ou un groupe peut exercer une influence majeure sur les processus de décision de l'organisation. Selon Morgan (1986), les types de pouvoir utilisés dans la prise de décision peuvent être classés selon les trois éléments interdépendants suivants :
Certains problèmes de décision peuvent entraîner un conflit d'intérêts, par exemple entre la direction et les employés. Des désaccords peuvent survenir sur la définition de ce qui est réellement le problème – ce que Rittel et Webber (1973) ont qualifié de problèmes « vicieux », à distinguer des problèmes « apprivoisés » en ce qui concerne l'obtention du consentement. Dans d'autres cas, les parties peuvent s'entendre sur la définition du problème, mais pas sur la manière dont le problème doit être résolu, ni sur les solutions acceptables ou les critères de solutions. Les attitudes ou les stratégies des parties en conflit définiront non seulement leur comportement en matière de résolution de problèmes, mais également les perspectives de parvenir à une solution acceptable par le biais de négociations. Les variables importantes sont la façon dont les parties tentent de satisfaire leurs propres préoccupations par rapport aux préoccupations de l'autre partie (figure 3). Une collaboration réussie exige que les deux parties s'affirment quant à leurs propres besoins, mais soient simultanément disposées à prendre également en considération les besoins de l'autre partie.
Figure 3. Cinq styles de comportement de négociation
Une autre typologie intéressante basée sur le degré d'accord entre les buts et les moyens a été développée par Thompson et Tuden (1959) (cité dans Koopman et Pool 1991). Les auteurs ont suggéré ce qu'était une « stratégie la mieux adaptée » basée sur la connaissance des perceptions des parties sur la cause du problème et sur les préférences des résultats (figure 4).
Figure 4. Une typologie de stratégie de résolution de problèmes
S'il y a accord sur les objectifs et les moyens, la décision peut être calculée, par exemple, élaborée par certains experts. Si les moyens d'atteindre les objectifs recherchés ne sont pas clairs, ces experts devront parvenir à une solution par voie de consultation (jugement majoritaire). En cas de conflit sur les objectifs, une consultation entre les parties concernées est nécessaire. Cependant, s'il n'y a pas d'accord sur les objectifs et les moyens, l'organisation est vraiment en danger. Une telle situation nécessite un leadership charismatique qui peut « inspirer » une solution acceptable pour les parties en conflit.
La prise de décision dans un cadre organisationnel ouvre ainsi des perspectives bien au-delà des choix rationnels ou des modèles de résolution de problèmes individuels. Les processus de décision doivent être considérés dans le cadre des processus d'organisation et de gestion, où le concept de rationalité peut prendre des significations nouvelles et différentes de celles définies par la logique des approches de choix rationnel intégrées, par exemple, dans les modèles de recherche opérationnelle. La prise de décision effectuée dans le cadre de la gestion de la sécurité doit être considérée à la lumière d'une perspective qui permettra une compréhension complète de tous les aspects des problèmes de décision en question.
Résumé et conclusions
La prise de décision peut généralement être décrite comme un processus commençant par une situation initiale (état initial) que les décideurs perçoivent comme s'écartant d'une situation d'objectif souhaitée (état d'objectif), bien qu'ils ne sachent pas à l'avance comment transformer l'état initial en état de but (Huber 1989). Le résolveur de problèmes transforme l'état initial en état final en appliquant un ou plusieurs opérateurs, ou des activités visant à modifier les états. Souvent, une séquence d'opérateurs est nécessaire pour provoquer le changement souhaité.
La littérature de recherche sur le sujet ne fournit pas de réponses simples sur la façon de prendre des décisions sur les questions de sécurité ; par conséquent, les méthodes de prise de décision doivent être rationnelles et logiques. La théorie du choix rationnel représente une conception élégante de la façon dont les décisions optimales sont prises. Cependant, dans le cadre de la gestion de la sécurité, la théorie du choix rationnel ne peut pas être facilement appliquée. La limitation la plus évidente est le manque de données valides et fiables sur les choix potentiels en ce qui concerne à la fois l'exhaustivité et la connaissance des conséquences. Une autre difficulté est que le concept rationnel suppose un bienfaiteur, qui peut différer selon la perspective choisie dans une situation de décision. Cependant, l'approche du choix rationnel peut encore être utile pour souligner certaines des difficultés et des lacunes des décisions à prendre.
Souvent, le défi n'est pas de faire un choix judicieux entre des actions alternatives, mais plutôt d'analyser une situation afin de découvrir quel est réellement le problème. Dans l'analyse des problèmes de gestion de la sécurité, la structuration est souvent la tâche la plus importante. Comprendre le problème est une condition préalable pour trouver une solution acceptable. La question la plus importante concernant la résolution de problèmes n'est pas d'identifier une seule méthode supérieure, qui n'existe probablement pas en raison du large éventail de problèmes dans les domaines de l'évaluation des risques et de la gestion de la sécurité. L'essentiel est plutôt d'adopter une approche structurée et de documenter l'analyse et les décisions prises de manière à ce que les procédures et les évaluations soient traçables.
Les organisations géreront une partie de leur prise de décision par le biais d'actions programmées. La programmation ou les procédures fixes pour les routines de prise de décision peuvent être très utiles dans la gestion de la sécurité. Un exemple est la façon dont certaines entreprises traitent les déviations signalées et les quasi-accidents. La programmation peut être un moyen efficace de contrôler les processus de prise de décision dans l'organisation, à condition que les problèmes de sécurité et les règles de décision soient clairs.
Dans la vie réelle, les décisions se prennent dans un contexte organisationnel et social où émergent parfois des conflits d'intérêts. Les processus de décision peuvent être entravés par des perceptions différentes de ce que sont les problèmes, des critères ou de l'acceptabilité des solutions proposées. Être conscient de la présence et des effets possibles des intérêts acquis est utile pour prendre des décisions acceptables pour toutes les parties concernées. La gestion de la sécurité comprend une grande variété de problèmes en fonction du cycle de vie, du niveau organisationnel et de l'étape de résolution des problèmes ou d'atténuation des risques qu'un problème concerne. En ce sens, la prise de décision concernant la sécurité a une portée et un caractère aussi larges que la prise de décision sur toute autre question de gestion.
" AVIS DE NON-RESPONSABILITÉ : L'OIT n'assume aucune responsabilité pour le contenu présenté sur ce portail Web qui est présenté dans une langue autre que l'anglais, qui est la langue utilisée pour la production initiale et l'examen par les pairs du contenu original. Certaines statistiques n'ont pas été mises à jour depuis la production de la 4ème édition de l'Encyclopédie (1998)."