Sécurité des commandes de machine : EN ISO 13849-1 et niveau PL
Chaque fonction de sécurité confiée à la commande d'une machine doit atteindre un niveau de performance cohérent avec le risque qu'elle couvre. La norme EN ISO 13849-1 en décrit la détermination, le calcul et, avec la partie 2, la validation.
- Niveau déterminé fonction par fonction
Décrivez votre besoin
Recontact sous 24 h
PLr requis
De a (risque faible) à e (risque élevé), fixé par fonction de sécurité.
PL atteint
Résultat de l'architecture, des composants, du diagnostic et du logiciel.
Logiciel
La logique de sécurité compte autant que le matériel qui l'exécute.
Validation
Essais et analyses de la partie 2 de la norme.
Fonction de sécurité et niveau de performance : les notions de base
Une fonction de sécurité est une fonction remplie par une mesure de protection destinée à éliminer un risque ou à le réduire, et dont la défaillance pourrait aggraver ce risque (règlement 2023/1230, article 3). Quand cette fonction dépend du système de commande, comme l'arrêt d'urgence, le verrouillage d'un protecteur ou la détection de personnes, sa fiabilité doit être dimensionnée.
La norme EN ISO 13849-1 exprime ce dimensionnement par un niveau de performance, noté PL. Selon l'INRS, cinq niveaux sont prévus, de PLr = a pour une contribution à la réduction d'un risque faible jusqu'à PLr = e pour un risque élevé. Le PLr est le niveau requis ; le PL est celui que la conception atteint effectivement, et il doit être au moins égal au PLr.
Cette norme s'applique à toutes technologies (électrique, hydraulique, pneumatique, mécanique). Son application est volontaire, mais elle ouvre la présomption de conformité pour les exigences qu'elle couvre lorsque sa référence est publiée au Journal officiel de l'Union européenne. Les normes de type C, propres à une machine, prévalent sur les normes générales et peuvent fixer un niveau minimum par fonction.
L'intégrateur détermine les niveaux requis, choisit les composants et l'architecture, programme la logique de sécurité et conduit la validation. Le niveau obtenu dépend de la machine réelle : aucune valeur n'est promise avant l'analyse. Pour une validation formalisée, un devis de validation d'une fonction de sécurité permet de lister les fonctions concernées.
Fonctions de sécurité courantes à dimensionner
Ces fonctions reviennent sur la plupart des machines et lignes automatisées. Chacune reçoit son propre PLr.
- Arrêt d'urgence : disponible et opérationnel à tout moment, quel que soit le mode de marche ; il vient en appui des autres mesures sans les remplacer.
- Verrouillage d'un protecteur mobile : empêche la mise en marche des fonctions dangereuses tant que le protecteur n'est pas fermé et donne un ordre d'arrêt à son ouverture.
- Interverrouillage : maintient le protecteur fermé et verrouillé tant que le risque de blessure subsiste.
- Détection de personnes : barrière immatérielle, scrutateur laser ou tapis, dont le niveau doit être suffisant pour la fonction envisagée.
- Commande bimanuelle : action simultanée requise pour délivrer l'ordre de commande lors des interventions.
- Sélection de mode : le mode choisi a priorité, hors arrêt d'urgence ; les modes avec protection neutralisée exigent des mesures spécifiques.
- Équipement électrique : le circuit de commande de ces fonctions respecte aussi les règles de l'EN 60204-1 équipement électrique machine.
Ce qui compose un niveau de performance
Un PL ne se résume pas à une valeur de fiabilité : plusieurs critères se combinent.
Faire défiler le tableau
| Critère | Rôle | Remarque |
|---|---|---|
| Catégorie et architecture désignée | Une de cinq catégories (B, 1 à 4), avec un ou deux canaux fonctionnels, avec ou sans équipement d'essai. | Une même catégorie peut conduire à des PL différents : elle ne suffit pas à exprimer un PL. |
| MTTFd par canal | Durée moyenne avant défaillance dangereuse, calculée à partir des données des composants. | Une valeur de MTTFd seule ne suffit pas à qualifier un PL. |
| Couverture de diagnostic moyenne (DCavg) | Part des défaillances dangereuses détectées, exigée à partir de la catégorie 2. | Dépend des tests et de la surveillance mis en œuvre. |
| Défaillances de cause commune | Mesures contre les causes qui affectent plusieurs canaux à la fois, exigées à partir de la catégorie 2. | Exemple : protection des circuits contre les surtensions. |
| Défaillances systématiques | Règles de bonne conception, dont la désactivation énergétique. | Se maîtrisent par la conception et la méthode. |
| Logiciel de sécurité | Exigences propres à la partie logicielle. | Un composant apte à un PL élevé ne vaut rien si son logiciel applicatif est déficient. |
Source : INRS, ED 6310, repères pour l'utilisation de la norme EN ISO 13849-1.
Déterminer le PLr sans confondre risque et niveau requis
L'annexe informative de la norme propose un graphe fondé sur trois paramètres : la gravité de la blessure, la fréquence ou la durée d'exposition, et la possibilité d'éviter le phénomène dangereux ou de limiter le dommage. L'analyse se fait sans prendre en compte la contribution du moyen de protection prévu, et la probabilité d'occurrence de l'événement dangereux se traite séparément.
Cette méthode ne remplace pas l'estimation du risque de la norme EN ISO 12100 : l'INRS précise qu'elle n'est en aucun cas prévue pour estimer le risque lui-même. Le niveau requis se détermine donc après l'analyse de risques et en début de conception, puis se réexamine si une modification de la machine change le niveau de risque ou les mesures de réduction. Pour la vue d'ensemble, voyez la conformité des machines, au-delà de niveau de performance ISO 13849-1.
- Le choix entre EN ISO 13849-1 et EN 62061 dépend de la technologie : plutôt la première avec beaucoup de composants électromécaniques, plutôt la seconde avec des modules de sécurité programmables ou électroniques.
- La partie 2 de la norme décrit les étapes de validation, les principes de sécurité éprouvés et des listes de défauts et d'exclusions de défauts.
Dimensionner et valider une fonction de sécurité
La séquence suit l'ordre de la norme : spécifier, déterminer, concevoir, calculer, valider.
Spécifier la fonction
Événement déclencheur, réaction attendue, temps de réponse, modes de marche concernés, état sûr à atteindre.
Déterminer le PLr
Graphe de la norme pour chaque fonction, à partir des résultats de l'analyse de risques et des critères du site.
Choisir l'architecture
Composants de sécurité, canaux, diagnostic ; vérification que le PL de chaque partie ne limite pas le PL global.
Programmer la logique
Blocs fonctionnels de sécurité du fabricant lorsqu'ils conviennent, structure du programme documentée.
Valider
Analyses et essais de la partie 2, trace des résultats dans le dossier technique, remise de la documentation.
Suites fréquentes d'un dimensionnement de sécurité
Le niveau de performance s'inscrit dans un ensemble : électricité de la machine et évolution de la machine.
EN 60204-1 équipement électrique machine
Armoire, protections et schémas de l'équipement qui porte les fonctions de sécurité.
modification substantielle machine
Un ajout de protection qui touche au système de commande de sécurité peut changer le rôle de celui qui l'exécute.
devis de validation d'une fonction de sécurité
Lister les fonctions, les composants et la documentation disponible.
Questions fréquentes sur la norme ISO 13849-1
Quelle différence entre PL et PLr ?
Le PLr est le niveau de performance requis, déterminé pour chaque fonction de sécurité à partir du risque à couvrir. Le PL est le niveau effectivement atteint par la conception de la partie du système de commande concernée. La conception est acceptable si le PL est au moins égal au PLr, et chaque fonction est examinée séparément.
Un automate de sécurité suffit-il pour atteindre un PL donné ?
Non. Un composant apte à un niveau donné ne garantit pas le PL de la fonction : celui-ci dépend de l'ensemble capteur, logique et actionneur, de l'architecture, du diagnostic et du logiciel applicatif. Un composant apte au PL e dont le logiciel serait déficient ne permettrait pas d'atteindre ce niveau.
Faut-il valider la fonction de sécurité après l'avoir calculée ?
Oui. La partie 2 de la norme décrit les étapes de validation à effectuer pour les parties de système de commande conçues selon la partie 1 : analyses, essais fonctionnels, listes de défauts. Le calcul seul ne prouve pas que la fonction se comporte comme prévu dans la machine réelle.
Quand faut-il refaire la détermination du PLr ?
Lorsqu'une modification de la machine affecte le niveau de risque à couvrir ou les mesures d'élimination et de réduction du risque, l'INRS indique qu'une nouvelle estimation du niveau de sécurité est nécessaire dans le nouveau contexte. C'est typiquement le cas d'un changement de protection ou de mode de marche.
La norme est-elle obligatoire ?
Non, son application est volontaire. Le respect d'une norme harmonisée dont la référence est publiée au Journal officiel de l'Union européenne donne toutefois une présomption de conformité pour les exigences qu'elle couvre. La loi, elle, impose des objectifs de sécurité que le dossier technique doit démontrer.
Pouvez-vous vous charger de la programmation et de la validation ?
L'intégrateur peut déterminer les niveaux, concevoir l'architecture, programmer la logique de sécurité et conduire la validation. Il ne promet ni un PL ni un résultat de conformité avant l'analyse de la machine. Après votre demande de devis, vous êtes recontacté sous 24 h pour cadrer les fonctions concernées.
Références
- INRS, ED 6310 : présentation de la norme NF EN ISO 13849-1 (PLr, catégories, MTTFd, DCavg) et de la partie 2 (validation)
- INRS, ED 6122 : niveau de sécurité des dispositifs de protection au regard de la norme NF EN ISO 13849-1
- Règlement (UE) 2023/1230 sur les machines (article 3, annexe III)
- INRS, Conception des machines : la démarche de conception
Faire dimensionner vos fonctions de sécurité
Indiquez la machine, les fonctions de sécurité en place ou prévues et la documentation dont vous disposez. Vous êtes recontacté sous 24 h après votre demande.
Décrivez votre besoin
Recontact sous 24 h