Sûreté de fonctionnement des machines.

Circuits de commande
1- Définition et Généralités :
Sûreté de fonctionnement, elle est apparue comme une nécessité au cours de la révolution
industrielle. L’objectif de la sûreté de fonctionnement est d’atteindre zéro accident, zéro
arrêt, zéro défaut et même zéro maintenance. Pour cela il fallait expérimenter toutes les
utilisations possibles d’un produit pendant une grande durée (quasi impossible dans le
contexte actuel).

La sûreté de fonctionnement est un domaine d’activité qui propose des moyens pour
augmenter la fiabilité et la sûreté des systèmes dans des délais et avec des couts
raisonnables.

Tout système doit accomplir dans des conditions et dans un environnement donné une
fonction au minimum. Une fonction peut être définie comme l’action d’une entité ou de l’un
de ses composants exprimée en termes de finalité.
Il convient de distinguer les fonctions et la structure (ou encore architecture matérielle
support).

Fonction principale : raison d’être d’un système (pour un téléphone portable : la fonction
principale est la communication entre 2 entités) ;
Fonctions secondaires : fonctions assurées en plus de la fonction principale (sms, horloge,
réveil, jeux . . .) ;
Fonctions de protections : moyens pour assurer la sécurité des biens, des personnes et de
l’environnement ;
Fonctions redondantes : plusieurs composants assurant la même fonction
Les suretés de fonctionnement sont parfois appelées FDMS pour Fiabilité, Disponibilité,
Maintenabilité et Sécurité.

Méthode d’analyse de sûreté de fonctionnement :

Plusieurs méthodes d’analyse sont mises au point pour mieux assurer la sureté de
fonctionnement. Les principales sont :
APD : Analyse Préliminaire des Dangers,
AMDE : Analyse des Modes de Défaillances et de leurs Effets,
MAC : Méthode de l’Arbre des Causes
Un API est un appareil dédié au contrôle d’une machine ou d’un processus industriel,
constitué de composants électroniques, un API est composée de trois grandes parties :
Le processeur
La mémoire
Les interfaces Entrée/sorties

Le système de commande d’un équipement de travail est constitué par les circuits qui
élaborent les ordres destinés au processus ou à la machine et à l’operateur (signalisation) à
partir des informations de la partie opérative, des entrées externes (consignes) et de l’état
du système.
Il comprend les dispositifs de signalisation, de commande (écran, pupitre, etc.), le système
traitant les informations logiques ou analogiques (automate programmable, micro-
 ordinateur, relais électromécaniques, etc.), les dispositifs de sécurité (barrage immatériel,
tapis sensible, scrutateur laser, dispositifs de verrouillage, etc.) et les capteurs. Il peut être
réalisé par une combinaison des technologies suivantes :
Electromécanique (relais, interrupteurs de position, etc.)
Pneumatique
Hydraulique
Electronique (Circuits analogiques et numériques programmables)

La partie opérative, constituée par le processus que l’on souhaite piloter, agit directement
sur la matière à partir des ordres envoyés par le système et renvoie à cette dernière des
informations sur son état ou son environnement. Elle exécute les taches physiques ; ses
principales fonctions sont :
Transmettre l’énergie
Adapter l’énergie
Transmettre les efforts
Agir sur la matière d’œuvre

Elle comprend principalement les actionneurs (moteurs, vérins, etc.) et les effecteurs (pinces,
outils actifs). Pendant la phase d’exploitation, la partie opérative constitue la principale zone
de dangers auxquels sont exposés les opérateurs de la machine. De ce fait, la mise en
sécurité du personnel nécessite d’agir, via le circuit de commande sur les pré-actionneurs qui
commandent les actionneurs susceptibles d’entrainer des mouvements dangereux.

2- Catégories des parties des systèmes de commandes relatifs à la sécurité :

Voir le tableau résumant les prescriptions applicables aux normes
3- Les différents systèmes de commandes relatifs à la sécurité utilisés :
On a :
- Les systèmes de commandes électromagnétiques
- Les Automates Programmables dédié à la sécurité
- Les systèmes de commandes hydrauliques et pneumatiques

 Les systèmes de commandes électromagnétiques :

Dans cette partie, il sera question de la prévention des accidents pouvant survenir
lors de l’exploitation d’un système de production automatisé. Il est établi que ceux-ci
surviennent le plus souvent lors de la présence ou de l’intrusion d’une personne dans
une zone rendue dangereuse par des organes en mouvement et l’on conçoit
facilement que la mise en sécurité du personnel puisse, entre autres, être obtenue
par l’immobilisation et le maintien à l’arrêt des éléments dangereux. Il faut retenir
que les solutions proposées dans ce cas précis ne sont applicables qu’aux systèmes
dans lesquels la sécurité résulte de l’arrêt du mouvement. L’objectif visé c’est
d’attirer l’attention sur la nécessité de prévoir dès la conception des parties
« puissances » et « commandes » d’un automatisme.

Principes de base :
Selon la norme NF EN 292-1, il existe deux types de fonctions de sécurité

Les fonctions de sécurité directe : qui sont aussi classées en deux catégories (les
fonctions de sécurité spécifiquement destiner à assurer la sécurité, les fonctions
conditionnant la sécurité) leur impact sur la sécurité est tel que leur
 dysfonctionnement engendre un risque immédiat de lésion ou d’atteinte à la santé.
Pour répondre à ces exigences, les préventeurs admettent maintenant la nécessité
d’agir directement sur le ou les pré-actionneurs qui commandent les actionneurs
susceptibles d’entrainer des mouvements dangereux.

Dans l’état actuel des techniques, l’INRS déconseille de faire confiance à une logique
programmée pour assurer les fonctions de sécurité directe (à fortiori celles-ci ne
doivent en aucun cas être traitées par le seul automate programmable).
Mais malgré ces réserves, les informations relatives aux fonctions de sécurité directe
peuvent de surcroit être exploitées par l’automate programmable, notamment pour
gérer le freinage, la remise en route, les contrôles ….
Exemple de fonction de sécurité directe : arrêt d’urgence, verrouillage du
fonctionnement d’une machine en fonction de la position d’un protecteur etc.

Les fonctions de sécurité indirecte : elles ont généralement une action de contrôle :
leurs défaillances n’engendrent pas de risque immédiat mais abaissent le niveau de
sécurité global. Elles peuvent être assurées par automates programmables.
Exemple de fonctions de sécurité indirecte : auto contrôle du bon fonctionnement
d’un dispositif de verrouillage associé à un protecteur, contrôle de pression, de
température, de vitesse.

Implantation dans l’équipement des moyens permettant d’assurer les fonctions de

sécurité
C’est dès la conception qu’il est nécessaire de prévoir les moyens pour assurer la
sécurité. En effet les informations issues d’un dispositif d’arrêt d’urgence, d’un
dispositif de verrouillage associé à un protecteur, d’un dispositif sensible… doivent
s’intégrer naturellement dans le processus de commande des actionneurs considérés
comme pouvant entrainer des risques, cela sans que l’utilisateur ait à modifier le
câblage d’origine et ou le programme de l’automate, afin d’éviter la perte de
garantie et l’apparition de risques nouveaux.

4- Intégration de la sécurité à différents niveaux de système :

L’intégration de la sécurité dans la commande d’un actionneur doit intervenir aux trois
niveaux suivants :

 La partie puissance (ou partie opérative)

 La partie commande qui intègre la gestion du processus et des sécurités
 La partie « Logique câblée » consacrée à la sécurité

a- La partie puissance :
Si l’on souhaite assurer la sécurité par arrêt du mouvement, il faut :
 Arrêter de manière certaine
 Optimiser le temps de mise à l’arrêt
 Maintenir l’arrêt

Ces exigences ont, bien entendu, une retombée sur la conception de la

partie opérative, laquelle devrait être réalisée de la manière exposée dans le
schéma ci-dessous
Remarque :

L’exemple proposé sur le schéma 1 permet de commander l’arrêt de

l’actionneur M par deux techniques différentes : par les contacteurs
(KP, KC) ou par le variateur de fréquence.
Dans la pratique, on pourra se contenter d’une redondance en
mettant en œuvre :
Soit contacteur+variateur
Soit contacteur (KP) + contacteur (KC)

Le choix de la structure redondante sera fonction des résultats

d’une analyse des risques engendrés par l’installation sur laquelle
on souhaite faire la prévention.
A titre indicatif, on peut envisager les cas de figure suivants :
Temps d’obtention de l’arrêt minimisé tenant compte d’un
mécanisme à inertie importante.
Il faut non seulement interrompre l’arrivée d’énergie sur
l’actionneur M (contacteur) mais aussi enclencher le frein
électromécanique.
 La solution « Contacteur+Frein » s’impose.

Temps d’obtention de l’arrêt minimisé avec prise en compte du

risque de déstabilisation de la charge.
Pour certaines applications, un freinage brutal peut entrainer un
transfert de risque (chute du produit transporté par exemple). Ainsi,
le freinage le mieux adapté devra suivre une rampe de décélération
résultant du meilleur compromis temps d’obtention de
l’arrêt/stabilité de la charge.
Dans ce cas de figure, la solution optimale sera : variateur de
fréquence + contacteur à commande différée.
Temps d’obtention de l’arrêt avec un mécanisme présentant peu
d’inertie
C’est le cas des mouvements lents mettant en œuvre des
transmissions à crémaillère, vis sans fin, etc. On peut alors
simplement utiliser deux contacteurs montés en série (par exemple
KP et KC schéma1)

b- La partie commande :
La partie commande a pour mission essentielle de commander la réalisation, par
l’équipement, de la fonction requise. Elle peut mettre en œuvre une technologie
à relais, soit une technologie hybride à relais et électronique, soit un automate
programmable. Quelle que soit la technologie utilisée, il est indispensable d’y
inclure des fonctions destinées à assurer la sécurité, réalisées en logique câblée
qui agiront à deux niveaux :
 Directement sur l’alimentation de l’actionneur ou des actionneurs,
 Indirectement sur la commande elle-même

Le schéma2 est un exemple qui répond à ces deux critères et pour lequel a
été prise la précaution de séparer la partie purement fonctionnelle qui est
gérée ici par automate programmable (Situation maintenant courante) de
la partie « gestion » des protecteurs ou dispositifs de sécurité. Cette
disposition permet d’éliminer les modes communs de défaillance :
notamment la défaillance de l’automate n’aura pas de conséquence
immédiate sur la sécurité. En outre, la maintenance en sera plus aisée et la
confiance envers les dispositifs de sécurité plus grande (il est plus facile de
modifier un programme qu’un câblage)
 Remarque : On constate sur le schéma 2 que les informations relatives à la
sécurité transitent par deux canaux :

Par l’unité de commande, qui peut agir de manière indépendante ou

simultanée sur le variateur (SV1) et sur le contacteur KC1(S1) de
l’actionneur M1 ;

Par les circuits câblées « dédiés à la sécurité » (voir NF EN 292-1), qui

interviennent directement sur les contacteurs KP(P) et/ou KC1(C).

c- Partie logique câblée dédiée à la sécurité :

Ce module réalisé en logique câblée est volontairement distinct de la partie
« commande du processus » il a pour objet unique l’exploitation des signaux
(engendrés en général, par des contacts de relais, interrupteurs de fin de course
…) provenant directement des dispositifs de protection, ses ordres de sortie
actionnent les contacteurs KP et KC par l’intermédiaire des contacts P et C.
Comme on peut le constater sur le schéma 2, ce module va hiérarchiser les
ordres d’arrêt et les orienter vers les actionneurs concernés. Pour illustrer notre
propos et en utilisant le schéma 2, nous allons voir comment les ordres d’arrêt
sont engendrés et traités dans différents cas.
a) Traitement de diverses fonctions :
Traitement de l’ordre d’arrêt d’urgence
Sur une machine équipée de plusieurs actionneurs, l’arrêt d’urgence doit non
seulement agir sur l’ensemble des actionneurs (cela dans le but évident de
diminuer le temps de réaction homme-machine) mais aussi avoir priorité
absolue sur tous les autres ordres. Ainsi, le module « sécurité » devra traiter
de manière prioritaire l’ordre d’arrêt d’urgence qui, en agissant sur le
contacteur KP, supprimera l’arrivée d’énergie sur l’ensemble des actionneurs
M1 M2 M3 …. Bien entendu, l’évènement « arrêt d’urgence » sera lui aussi
traité parallèlement par la partie « commande du processus », par
désexcitation de KC1, KC2,KC3 et par l’envoi d’une consigne d’arrêt rapide
sur les variateurs.
Traitement d’un ordre issu d’un dispositif de protection (dispositif de
verrouillage associé à un protecteur)
Ici contrairement à ce que se passe dans le cas de l’arrêt d’urgence, l’ordre
d’arrêt généré par le module « sécurité » sera destiné à agir uniquement sur
l’axe concerné. Pour cela, la logique câblée de sécurité interviendra, par
l’intermédiaire de l’un des contacts C, sur le contacteur KC relatif à
l’actionneur en question. Bien entendu, l’évènement de sécurité sera aussi
analysé en redondance par la partie fonctionnelle qui agit sur la carte de
sortie de l’automate programmable correspondant à cet actionneur.
Traitement différé d’un ordre d’arrêt
Pour éviter un transfert de risque dû à un arrêt brutal, il est parfois conseillé
d’appliquer d’abord un freinage commandé par automate, la coupure de la
puissance par le circuit de sécurité étant différée d’un temps suffisant pour
permettre un arrêt « sans casse ». Bien entendu, si l’automate ne remplit pas
sa fonction, l’arrêt se fera néanmoins mais avec un léger retard et de
manière brutale.
Traitement d’un autocontrôle
Ce traitement peut-être directement pris en compte par la partie
fonctionnelle, à condition d’utiliser un automate programmable industriel.
b) Réalisation de la logique câblée :
Les informations de sécurité traitées dans cet exemple sont issues :

Des arrêts d’urgence,

De la commande d’armement/réarmement
Des protecteurs dédiés aux actionneurs présentant un risque

Ces différents moyens ont été retenus car ils sont les plus couramment
utilisés. Ils fournissent l’information sous forme de contacts, lesquels sont
exploités par la logique câblée (schéma3)
La fonction de ces dispositions de sécurité est définie comme suit :

L’arrêt d’urgence voir chapitre 7

Le dispositif de validation des sécurités
Lorsqu’un dispositif d’arrêt d’urgence ou un dispositif de sécurité a été
sollicité, la machine ne doit redémarrer que sous l’effet d’une action
volontaire de l’opérateur sur la commande « armement» prévue à cet effet.
Cela permet de s’assurer que le risque a bien disparu, il est à noter que :

L’action du dispositif d’arrêt d’urgence a priorité sur une action maintenue

de la commande d’armement/réarmement,
La relance de la séquence interrompue ne peut être obtenue qu’après avoir
déverrouillé le dispositif d’arrêt d’urgence puis relâché et réactivé la
commande d’armement/réarmement
Principe de fonctionnement de la logique câblée (schéma)
La 1e Ligne, affectée aux arrêts d’urgence alimente le relais KAU si aucun
arrêt n’est sollicité. Le relais P de la deuxième ligne est lui-même alimentée si
le contact de contrôle des arrêts d’urgence (KAU) est fermé (aucun arrêt
d’urgence actionné) si le contact de contrôle es sécurités appartenant à
l’automate est fermé (contrôle positif) si les fonctions de sécurité
correspondant aux relais C1, C2, C3 sont activées non sollicitées et enfin si le
contact «armement » est fermé. Ces conditions remplies, le relais P
s’autoalimente par son contact associé P, sa mise hors tension se produira
uniquement par KAU ou par le contact appartenant à l’automate. Le relais
C1, C2, C3 sont alimentés par l’ensemble des contacts suivants :

Les contacts des dispositifs de sécurité

Les contacts de contrôle appartenant à l’automate
Le contact (KAU) vérifiant les arrêts d’urgence

Exploitation des informations « de sécurité »

Après avoir montré comment il est possible d’intégrer la sécurité à tous les
niveaux d’une machine ou d’un automatisme, il nous parait utile de relier les
actions préventives entreprises à chacun de ces niveaux en décrivant le
traitement des informations relatives à la sécurité qui sont fournies par des
contacts appartenant aux dispositifs d’arrêt d’urgence et de protection.
Sur le schéma 2, on constate qu’un actionneur peut être immobilisé par
chacune des trois actions suivantes :

Désexcitation du/des contacteur(s) KP par l’intermédiaire du contact P,

directement et uniquement commandé par la logique câblée
Désexcitation du/des contacteurs KC, soit par l’intermédiaire du contact P ou
des contacts C pilotés par la logique câblée, soit directement par l’automate
programmable (contact S)
Action sur le variateur de fréquence par l’intermédiaire soit du contact P, soit
des contacts C pilotés par la logique câblée, soit directement par l’API
(Contact SV)
Ainsi une information de sécurité va transiter par deux voies : La logique
câblée, l’automate programmable.
La logique câblée agit, selon la priorité affichée, soit directement sur la
puissance (relais et contact P), soit sur l’automate programmable en coupant
l’alimentation des cartes de sortie (relais et contact C).
 L’automate programmable agit sur le variateur de fréquence (SV), soit sur
les contacteurs KC (contacts S), soit enfin sur le relais P de la logique câblée
contact de contrôle appartenant à l’automate voir schéma 3)
L’obtention de la sécurité est donc basée sur une redondance de type
hétérogène mais également par association de techniques de sécurité telles
que :

Action directe des organes de sécurité sur la coupure de l’énergie (logique

câblée)
Sécurité positive : organes à comportement orienté à la coupure.
Autocontrôle des dispositifs de protection : ces dispositifs détectent leur
propre défaillance et émettent un ordre d’arrêt.

5- Automate programmable dédié à la sécurité :

a) Architecture d’un circuit de commande intégrant un API :

API gérant la commande et les sécurités :
API gérant la commande, le circuit traitant les sécurités étant séparés

Redondance d’API, gérant la commande et les sécurités :

 APIds gérant la commande et les sécurités :

APIds gérant les sécurités séparées

b) Les deux grandes familles d’APIds :
6- Système de commande hydraulique et pneumatique
Les exigences générales aux quelles les systèmes de transmissions hydrauliques et
pneumatiques doivent satisfaire sont détaillées respectivement dans les normes NF EN 982
et NF EN 983.
Le fluide fait également partie du système de commande hydraulique ou pneumatique. La
nature et l’état du fluide sont des paramètres d’une grande importance. Une fois le fluide
approprié choisi, il est particulièrement important de veiller à une filtration suffisante de
celui-ci pendant le fonctionnement ; pour ce faire, on respectera les directives du fabricant
des actionneurs (clapets, distributeurs, etc.) Les cinq catégories (B, 1, 2, 3,4) définies dans la
norme NF EN 954-1 s’appliquent aux parties relatives à la sécurité de tous les types de
systèmes de commandes, donc également aux systèmes hydraulique et pneumatique.
A titre de d’exemple, une partie relative à la sécurité d’un système de commande
pneumatique de catégorie 3 selon la norme NF EN 954-1 est illustrée par la figure ci-dessous
Le mouvement potentiellement dangereux est toujours commandé par deux distributeurs
(EV2 et EV3 ou EV2 et EV4). La défaillance d’un distributeur ne conduit pas à la perte de la
fonction de sécurité. Le pressostat PS permet de contrôler le bon fonctionnement de
l’électrodistributeur EV5 qui permet le pilotage pneumatique de EV3 et EV4.