Conception des circuits d’arrêt d’urgence selon l’ISO 13850 – dans quels cas prévoir un réarmement manuel, et dans quels cas un réarmement automatique ?

La question de savoir s’il faut appliquer un réarmement manuel ou automatique après l’activation de l’arrêt d’urgence devrait idéalement être tranchée dès la phase de conception. Par la suite, cette décision cesse d’être un simple paramètre du programme et commence à influer à la fois sur l’architecture de commande, le comportement des entraînements et des fluides, les essais de réception, la notice d’utilisation et la manière de gérer les perturbations. En pratique, il ne s’agit donc pas seulement de choisir un type de réarmement, mais de déterminer dans quel état la machine se retrouve après le déverrouillage de l’E-STOP et si cet état est sûr sans action humaine supplémentaire et délibérée.

Le réarmement n’est pas un détail

La question du réarmement après un E-STOP est très souvent abordée trop tard. Lorsque la logique de la machine est déjà figée, les séquences de process déjà programmées et que le système de commande repose sur des hypothèses arrêtées concernant l’état des entraînements et des signaux après la perte de la fonction de sécurité, modifier le mode de réarmement n’est plus un simple ajustement. Cela commence à affecter le programme de l’automate, les fonctions de sécurité en automatisation industrielle, les essais fonctionnels, la documentation et les conditions de réception. C’est pourquoi la conduite à tenir après le déclenchement de l’arrêt d’urgence ne devrait pas découler des habitudes du concepteur ni d’une pression visant à réduire le temps d’arrêt.

C’est une décision d’architecture. Elle doit être liée à la réponse à deux questions : dans quel état la machine doit-elle se trouver après le déverrouillage du dispositif d’arrêt d’urgence, et cet état est-il uniquement un état sûr ou déjà un état de disponibilité au mouvement. C’est précisément à ce niveau que l’erreur apparaît le plus souvent. Elle ne réside pas dans le seul choix entre réarmement manuel et réarmement automatique, mais dans le fait que l’équipe n’analyse pas si, après la libération de l’E-STOP, la machine peut passer dans un état auquel l’opérateur ne s’attend pas.

Si la libération du bouton n’entraîne pas seulement l’annulation de la fonction d’arrêt, mais aussi le rétablissement de la disponibilité des entraînements, la réalimentation du circuit pneumatique ou le retour de la logique de process à une étape à partir de laquelle le mouvement peut repartir sur un simple signal de démarrage, il est interdit d’évaluer cela sous le seul angle de la commodité. Il faut analyser le redémarrage intentionnel, la prévention du démarrage intempestif et l’ergonomie d’exploitation : qui effectue le réarmement, depuis quel endroit, et si, depuis cette position, cette personne voit réellement la zone dangereuse.

Ce qui compte, c’est le comportement de l’ensemble du système après l’intervention, et non le seul bouton E-STOP. Il faut savoir si les entraînements restent coupés, si les servomoteurs reviennent à l’état prêt après la libération, si le circuit pneumatique se réalimente après dépressurisation, si les signaux dans l’automate sont maintenus et dans quel ordre interviennent les confirmations et les déverrouillages. L’évaluation n’est pas la même pour une machine qui, après la libération de l’arrêt d’urgence, reste immobile et nécessite une commande de mise en marche distincte et volontaire, que pour une machine qui revient à une étape intermédiaire du process et reconstitue presque automatiquement les conditions du mouvement.

C’est ici qu’apparaît le principal critère de conception : il ne faut pas d’abord se demander ce qu’il est formellement permis d’appliquer, mais quel sera réellement l’état de la machine après le déverrouillage de l’E-STOP et si cet état est sûr sans action humaine supplémentaire. La référence normative structure cette évaluation, mais ne la remplace pas. L’enjeu principal n’est pas le confort d’utilisation, mais le fait que le réarmement ne crée pas, à lui seul, une situation dangereuse.

Où le risque et le coût augmentent réellement

La majorité des erreurs de conception n’apparaît pas là où la machine, après l’activation de l’E-STOP, est simplement à l’arrêt, mais là où l’arrêt intervient dans un état intermédiaire. Cela concerne en particulier les lignes de conditionnement et les cellules robotisées, les systèmes avec serrage, les entraînements multi-axes ainsi que les circuits comportant de l’énergie accumulée dans la pneumatique, l’hydraulique ou des éléments mécaniques. Dans de tels systèmes, supprimer la cause de l’arrêt ne signifie pas encore qu’un retour en production peut se faire en sécurité.

Le produit peut rester coincé, un axe peut s’arrêter hors de sa position sûre, le préhenseur peut continuer à maintenir la pièce, et la pression ou le couple peuvent encore agir sur le mécanisme. Dans une telle situation, le choix entre réarmement manuel et automatique ne relève pas du confort de l’opérateur, mais de l’état réel de la machine après la libération de l’E-STOP et de la capacité de la personne à l’interpréter correctement.

Du point de vue de la conception, les solutions intermédiaires sont les plus dangereuses. Formellement, elles ne lancent pas le cycle, mais, en pratique, elles rétablissent la capacité de la machine à exécuter un mouvement ou provoquent un mouvement auxiliaire. Le réarmement automatique est tentant là où la disponibilité et le retour rapide à la production sont déterminants, mais après la libération de l’E-STOP, l’automate peut rétablir l’état prêt des entraînements, réactiver les sorties, rétablir la pression ou desserrer les freins. L’opérateur perçoit alors la machine comme toujours arrêtée, alors que du point de vue de l’énergie et de la logique de commande, elle n’est déjà plus passive.

Ce sont précisément ces comportements semi-automatiques qui conduisent le plus souvent à des désaccords lors de la réception. La machine ne redémarre pas seule en cycle complet, mais elle récupère de l’énergie, serre un élément, rejoint une position de référence ou active une fonction auxiliaire. Du point de vue de la conception, il ne s’agit pas de détails d’interface, mais de décisions qui définissent la frontière entre un rétablissement admissible de l’état prêt et une reprise de fonctionnement inadmissible.

En pratique, le problème est généralement hybride, car il combine sécurité et organisation du travail. Le réarmement manuel réduit le risque de redémarrage intempestif, mais s’il est mal conçu, il génère rapidement ses propres coûts. Si le bouton de reset est placé hors du champ de vision de la zone, impose un déplacement supplémentaire ou n’est pas clairement distingué du déverrouillage de l’E-STOP et de la commande de démarrage, les opérateurs finissent par considérer la procédure comme une contrainte. On voit alors apparaître des contournements, des interventions de maintenance, des corrections d’instructions et des formations complémentaires. Si l’utilisateur ne parvient pas à distinguer clairement le déverrouillage du bouton coup de poing, le reset du circuit de sécurité et le redémarrage du processus, le problème ne tient pas uniquement au contenu de la norme, mais à toute l’architecture d’exploitation, y compris les messages HMI et le découpage en zones de la machine.

Un bon exemple est une cellule équipée d’un convoyeur et d’un préhenseur pneumatique. Après l’activation de l’E-STOP, le convoyeur s’arrête, le préhenseur reste en position intermédiaire et la pièce n’est pas déposée. Après déverrouillage de l’E-STOP, la commande rétablit l’alimentation pneumatique, faute de logique distincte de mise en sécurité par décharge du système. Formellement, aucune commande de démarrage n’a été donnée, mais le vérin retrouve son énergie et l’actionneur effectue un bref mouvement inattendu, uniquement dû au retour de pression. Ce type de situation est parfois difficile à reproduire lors des essais, mais il détruit très vite la confiance de l’utilisateur dans la machine.

Les conséquences vont au-delà du seul risque de blessure. Elles se traduisent par des interventions de maintenance, une réception prolongée, des corrections du programme, l’ajout d’exceptions dans les instructions et des débats sur le point de savoir si, après un E-STOP, il faut purger la pression ou supprimer le couple moteur, ou seulement bloquer les ordres de mouvement ultérieurs. Des problèmes similaires apparaissent aussi lors du référencement automatique après arrêt, ainsi qu’avec un circuit centralisé d’E-STOP couvrant des zones dont la visibilité diffère et dont le retour d’énergie n’a pas les mêmes effets.

À ce stade, la référence à la PN‑EN ISO 13850 et aux exigences applicables au dispositif d’arrêt d’urgence joue un rôle structurant. Le seul fait qu’après déverrouillage de l’E-STOP il n’y ait pas de redémarrage complet du cycle ne permet pas encore de conclure que la solution est acceptable. Il faut évaluer si le retour d’énergie, le rétablissement de l’état prêt des entraînements, l’actionnement de la préhension, le défreinage des axes ou le mouvement vers la position de référence ne créent pas une situation dangereuse ou trompeuse pour l’opérateur. C’est pourquoi, en pratique, il faut considérer non pas le seul signal de reset, mais l’ensemble de la séquence.

Comment prendre une décision de conception

Pour décider du reset après l’activation de l’arrêt d’urgence, il est préférable de partir d’une description des états de la machine plutôt que d’une question de confort d’utilisation. Il faut décrire sans ambiguïté ce qui se passe après l’appui sur l’E-STOP puis après son déverrouillage : quelles voies d’énergie sont coupées, lesquelles restent alimentées, si l’état prêt des entraînements est rétabli, si les axes se défreinent, si des vérins peuvent achever leur mouvement sous l’effet de la pression résiduelle, de la gravité ou de l’énergie élastique, et s’il existe une quelconque séquence automatique après rétablissement de l’état prêt.

Ce n’est qu’à partir de cette analyse qu’on peut déterminer si le simple déverrouillage du bouton coup de poing est neutre du point de vue de la sécurité, ou s’il constitue déjà un changement d’état susceptible d’exposer une personne. Si le déverrouillage de l’E-STOP rétablit l’énergie d’une manière dont l’opérateur ne perçoit pas pleinement les effets, ou qui peut modifier la position des actionneurs, le point de départ doit être un reset manuel. En revanche, si le déverrouillage ne provoque aucun mouvement, ne rétablit aucune énergie dangereuse et ne lance aucune séquence, on peut envisager un retour automatique à l’état prêt, mais uniquement si le redémarrage ultérieur du processus exige une commande distincte et sans ambiguïté.

En pratique, il est utile de dissocier trois actions qui, trop souvent, sont confondues dans un même signal ou un même message opérateur. Le déverrouillage du dispositif d’arrêt d’urgence est une action mécanique et signifie uniquement que le bouton est revenu en position de disponibilité. Le reset de la fonction de sécurité constitue une validation distincte indiquant que les conditions de sécurité peuvent de nouveau être considérées comme remplies. Le démarrage du processus est encore autre chose : c’est la décision d’engager le mouvement ou de relancer le cycle.

Si ces niveaux se superposent, l’utilisateur cesse de comprendre si le déverrouillage de l’E-STOP déclenche déjà quelque chose ou s’il ne fait que lever un blocage, et l’équipe projet perd la capacité de défendre la logique retenue lors de l’évaluation de conformité. Pour la même raison, l’emplacement du bouton de reset relève d’un choix de conception, et non d’un détail cosmétique. La personne qui effectue le reset doit pouvoir évaluer la zone pour laquelle elle rétablit l’état prêt, ou bien le système doit fournir une autre méthode fiable de confirmation de l’état.

Sur des lignes plus complexes, cela peut signifier un reset local pour la zone concernée tout en maintenant l’état prêt du reste de l’installation, mais uniquement si les limites des zones, les dépendances entre entraînements et les effets du rétablissement de l’énergie sont clairement définis. Une telle décision doit résulter d’une analyse fonctionnelle, et non d’une volonté de simplifier l’exploitation.

Un bon test de décision consiste à décrire la séquence, et non le seul schéma électrique. L’équipe doit être en mesure de répondre à quelques questions de contrôle :

• après déverrouillage de l’E-STOP, l’énergie ou l’état prêt des actionneurs revient-il d’une manière perceptible pour la machine,
• un mouvement quelconque peut-il se produire sans commande de démarrage distincte,
• la personne qui effectue le reset voit-elle l’ensemble de la zone et peut-elle exclure la présence d’une personne ainsi qu’un état intermédiaire du processus.

Si, pour l’une quelconque de ces questions, la réponse n’est pas clairement sûre, le retour automatique devient une solution difficile à justifier. Cela concerne en particulier les systèmes dans lesquels, après l’arrêt, la pièce reste dans le préhenseur, le vérin s’est immobilisé dans une position intermédiaire, l’axe est maintenu par le couple, et la perte du verrouillage peut provoquer une descente ou un déplacement. Dans de tels cas, le reset manuel n’est pas un simple formalisme : il impose une vérification consciente de la situation avant le rétablissement de l’état de disponibilité.

À l’inverse, lorsque, après déverrouillage de l’E-STOP, le système reste passif et que le démarrage du mouvement exige une action distincte de l’opérateur ou une séquence supérieure, le retour automatique peut réduire les temps d’arrêt sans dégrader le niveau de sécurité. On peut citer l’exemple d’un poste avec zone de travail protégée et entraînement qui, après un E-STOP, perd toute possibilité de mouvement, mais qui, une fois déverrouillé, retrouve l’alimentation de commande et l’état de disponibilité sans exécuter le moindre mouvement d’axe ou de vérin. En revanche, la même logique inscrite dans l’automate devient discutable sur une machine de transfert, où la libération de l’E-STOP défreine un axe, rétablit la pression sur les distributeurs ou permet d’achever une étape de séquence interrompue.

C’est pourquoi la décision doit être formalisée non seulement dans le code, mais aussi dans les documents de projet : schémas, matrice d’états, description de la séquence de redémarrage, messages HMI, procédures de débourrage et scénarios d’essais de réception. Si cette logique ne peut pas être expliquée à l’utilisateur dans une description unique et cohérente — ce que fait la libération de l’E-STOP, ce que fait le reset et ce qui lance le processus — c’est généralement le signe que la répartition des fonctions est erronée ou trop complexe.

D’abord la pratique, ensuite la référence normative

En pratique, la manière de réinitialiser après l’activation d’un arrêt d’urgence ne se décide pas à partir du nom de la fonction, mais à partir d’une question simple : que va-t-il exactement se passer sur la machine après le relâchement du bouton coup de poing, et cet état est-il sans ambiguïté sûr ? Il s’agit d’une décision de conception, et non d’une préférence de l’utilisateur ni d’un raccourci repris d’une réalisation antérieure.

L’équipe doit être capable de décrire l’enchaînement complet des événements : arrêt, suppression des énergies jusqu’au niveau exigé par l’évaluation des risques, déverrouillage du dispositif, réinitialisation de la fonction, confirmation de l’état de disponibilité, puis seulement redémarrage. Si l’une quelconque de ces étapes se superpose à une autre ou dépend du comportement par défaut de l’automate, on ouvre la voie à des contestations lors de la réception et à des erreurs d’exploitation qu’aucune notice ne permettra ensuite de corriger.

Cela apparaît clairement lors de la modernisation d’une cellule existante, où l’utilisateur attend des arrêts plus courts après l’élimination de perturbations mineures, tandis que l’intégrateur propose un retour automatique après libération de l’E-STOP afin de simplifier l’exploitation. Au niveau de la description générale, la solution semble raisonnable : l’opérateur élimine la cause de l’arrêt, déverrouille le dispositif et la machine revient à l’état de disponibilité sans bouton de reset supplémentaire. Le problème n’apparaît qu’en état intermédiaire.

Si, après le rétablissement du fluide de travail, le vérin retrouve la pression dans une position telle qu’il peut effectuer une course, une approche ou le délestage du préhenseur sans nouvelle intention de l’opérateur, alors le retour à l’état de disponibilité cesse d’être un état logique neutre. En réalité, il devient une partie du mouvement de process, simplement dissimulée sous un autre nom. Un tel cas impose généralement non pas une retouche cosmétique du programme, mais un retour à l’architecture des fonctions : séparation du déverrouillage et du reset, confirmation explicite de l’état de disponibilité ou refonte de la séquence de mise à l’échappement et de réalimentation en énergie.

Cet exemple montre aussi quels éléments de preuve de conception sont réellement déterminants. Il ne suffit pas d’affirmer que rien ne démarre après la libération si, lors des essais de réception, de la documentation d’utilisation et de la gestion des perturbations, le comportement des entraînements, des vannes, des freins et des étapes de séquence n’a pas été vérifié précisément au moment du déverrouillage de l’E-STOP. Dans la documentation technique des machines, il doit exister une trace de l’analyse de risques pour ce scénario, une description des états sur l’HMI, un scénario d’essai après libération de l’arrêt d’urgence, ainsi qu’une confirmation claire par l’utilisateur de la logique de redémarrage convenue. C’est précisément sur la base de ces éléments que la cohérence de la solution est ensuite évaluée : lors de la réception de la machine, lors de la mise à jour des procédures d’accès en zone ou des procédures LOTO, pour les exceptions liées au mode réglage et au mode maintenance, et, en cas d’incident, également pour déterminer si l’opérateur pouvait prévoir le comportement du système.

C’est seulement dans ce cadre qu’il est pertinent de se référer à l’ISO 13850. La norme clarifie le rôle de l’arrêt d’urgence : il doit servir à arrêter un processus dangereux ou à limiter les effets d’un danger, et le déverrouillage du dispositif ne peut pas, à lui seul, créer un nouvel état dangereux. Pour le concepteur, la conclusion pratique est simple : le seul retour du dispositif E-STOP en position déverrouillée ne peut pas se substituer à l’action volontaire exigée par le concept de sécurité de la machine.

Dans le contexte polonais et européen, il ne s’agit toutefois pas uniquement d’une conformité logique à la norme. La cohérence de l’ensemble de la solution avec la documentation technique et les exigences de certification CE des machines, la notice d’utilisation, les résultats de l’évaluation des risques et, après modernisation, le périmètre de mise à jour de la validation des fonctions de sécurité est tout aussi importante. Ce sont ces éléments qui seront ensuite examinés dans la relation fournisseur–utilisateur, et non une ligne isolée dans le programme de l’automate.

La conclusion pratique est sans équivoque. Si le concepteur n’est pas en mesure de montrer ce qui se passe après le relâchement de l’E-STOP, quelles énergies reviennent, quels éléments peuvent changer de position et pourquoi cet état est sûr, il ne faut pas ajouter d’exceptions de procédure du type « l’opérateur ne doit alors pas se trouver dans la zone ». Il faut revenir aux fonctions, à la séquence et à la répartition des responsabilités entre le déverrouillage, le reset et le redémarrage. Seule une solution défendable sur le schéma, lors des essais de réception, dans l’instruction et dans l’évaluation des risques peut être considérée comme techniquement aboutie.