Niveaux de performance ISO 13849 : guide pratique pour la maintenance

Points clés

• Un niveau de performance (PL a à e) évalue une fonction de sécurité complète, la chaîne entière du capteur à la logique jusqu'à l'actionneur. Il n'appartient jamais à un seul composant sur une fiche technique.
• Le niveau de performance requis PLr provient d'un graphe de risque avec trois questions simples : quelle est la gravité de la blessure, à quelle fréquence quelqu'un est exposé, et peut-il s'écarter.
• Atteindre un PL demande quatre éléments ensemble : une architecture désignée (catégorie B à 4), des composants fiables (MTTFd), des diagnostics qui détectent les défaillances dangereuses (DC), et une protection contre les défaillances de cause commune (CCF).
• La maintenance peut détruire un PL sans que personne ne le remarque : une pièce de rechange non identique, une fonction pontée lors d'un dépannage, ou un composant utilisé au-delà de sa durée de mission, communément 20 ans.
• Des enregistrements par fonction (identifiant de la fonction, PLr, composants, dates des tests, constats) sont la seule preuve que la fonction existe toujours.

Qu'est-ce qu'une fonction de sécurité

La norme ISO 13849 n'évalue pas des pièces. Elle évalue des fonctions de sécurité : des chaînes complètes où quelque chose détecte, quelque chose décide et quelque chose agit. « La protection ouverte entraîne l'arrêt d'un mouvement dangereux » est une fonction de sécurité : l'interverrouillage détecte, le relais de sécurité décide, les contacteurs se déclenchent. L'arrêt d'urgence en est une autre ; la commande à deux mains sur une presse en est une troisième. Une machine porte couramment une douzaine ou plus.

Le niveau de performance, PL a (le plus bas) à PL e (le plus élevé), exprime la fiabilité avec laquelle cette chaîne entière répond à la demande, et il dépend du maillon le plus faible. Un composant vendu « PL e » est seulement capable d'être utilisé dans une fonction PL e ; le niveau lui-même appartient à la fonction.

Les protections elles-mêmes sont traitées dans notre guide sur la protection des machines, et les dispositifs d'interverrouillage qui leur sont montés dans les interverrouillages de protection. Cet article traite de la cotation de fiabilité dans laquelle ces dispositifs opèrent.

PLr : quelle fiabilité exige le risque

Avant de choisir du matériel, l'évaluation des risques répond à trois questions par danger, en descendant un graphe de risque jusqu'au niveau de performance requis, PLr :

• S, gravité : S1, blessure légère qui guérit normalement ; S2, blessure grave irréversible ou décès.
• F, fréquence ou durée d'exposition : F1, rarement ou brièvement ; F2, fréquemment ou pendant de longues périodes.
• P, possibilité d'évitement : P1, l'évitement est possible dans des conditions spécifiques (mouvement lent, bonne visibilité, espace pour reculer) ; P2, difficilement possible.

La combinaison la plus grave, S2 F2 P2, conduit à PLr e. S2 F2 P1 et S2 F1 P2 conduisent à PLr d. La branche S1 se termine entre a et c.

Sur une machine achetée, ce travail revient au fabricant, et le PLr par fonction devrait figurer dans la documentation. La répartition des responsabilités est celle que décrit notre article sur la Réglementation machines UE 2023/1230 : le constructeur conçoit et valide les fonctions, l'utilisateur les maintient efficaces. Cette seconde moitié est le domaine de la maintenance.

Ce qui délivre réellement un PL

Quatre ingrédients se combinent pour produire le PL atteint. En termes simples :

• Catégorie B : une seule voie construite à partir de composants standard utilisés selon leurs spécifications ; une seule défaillance peut faire perdre la fonction de sécurité.
• Catégorie 1 : toujours une seule voie, mais construite avec des composants et des principes éprouvés, donc la défaillance est moins probable ; une seule défaillance peut encore faire perdre la fonction.
• Catégorie 2 : une voie unique plus une voie de test qui vérifie la fonction de sécurité à des intervalles appropriés, de sorte que certaines défaillances sont détectées.
• Catégorie 3 : deux voies, de sorte qu'une défaillance unique ne fait pas perdre la fonction de sécurité, et la plupart des défaillances simples sont détectées.
• Catégorie 4 : deux voies avec des diagnostics suffisamment puissants pour que même une accumulation de défaillances non détectées ne fasse pas perdre la fonction.

Autour de l'architecture se trouvent trois autres chiffres. MTTFd, le temps moyen jusqu'à une défaillance dangereuse de chaque voie, classé en faible, moyen et élevé. DC, couverture diagnostique, la part des défaillances dangereuses que la surveillance peut effectivement voir. Et CCF, protection contre les défaillances de cause commune, évaluée selon une liste de contrôle de la norme (séparation, diversité, surdimensionnement), car deux voies qui tombent ensemble pour une même cause ne valent qu'une voie.

La même catégorie avec des composants moins fiables ou des diagnostics plus faibles aboutit à un PL plus bas : c'est une matrice, pas un menu, d'où l'importance des pièces utilisées.

PL et SIL : une correspondance approximative

La sécurité des machines parle en PL ; la sécurité des procédés parle en SIL. À titre de correspondance approximative, PL c se situe près de SIL 1, PL d près de SIL 2 et PL e près de SIL 3. Traitez cela comme une orientation seulement : ce sont les normes applicables qui décident, et personne ne doit relabelliser un système d'un régime à l'autre par plaque signalétique. Si votre usine exploite également des unités de procédé sous IEC 61511, c'est un régime différent avec sa propre discipline d'essai, abordée dans notre article sur les systèmes instrumentés de sécurité.

Ce que la maintenance doit savoir

Le PL atteint est une propriété du matériel exact installé aujourd'hui. Quatre règles le maintiennent :

• La loi du « à l'identique ». L'architecture vit dans les numéros de pièce. Remplacer un relais de sécurité par un relais généraliste, un contacteur avec contacts miroir par un contacteur qui n'en a pas, ou un interverrouillage codé par une pièce de rechange non codée moins chère, et la machine s'arrêtera généralement toujours. La catégorie change discrètement, le PL disparaît, et aucune lumière ne s'allume. Le remplacement signifie la pièce identique ou une équivalence confirmée par le fabricant, enregistrée pour la fonction.
• Ne jamais shunter ni forcer une fonction de sécurité pour dépanner. Un interverrouillage ponté ou une sortie forcée transforme une fonction PL d en aucune fonction. Diagnostiquez avec la fonction intacte, ou dans le cadre d'une procédure contrôlée, signée et limitée dans le temps.
• Durée de mission. Les calculs ISO 13849 supposent une durée de vie limitée, souvent 20 ans : à son terme, les composants de sécurité sont remplacés même s'ils fonctionnent encore, car les chiffres de fiabilité derrière le PL ne sont plus valides. Les pièces électromécaniques en service à cycles élevés peuvent atteindre leur fin de vie bien plus tôt ; les données du fabricant tranchent.
• Tester selon le calendrier indiqué, et enregistrer par fonction. Le manuel et la validation de la machine définissent l'intervalle des tests fonctionnels. Chaque enregistrement doit contenir l'identifiant de la fonction, son PLr, les composants de la chaîne, la date du test, le résultat et les constats. Ces enregistrements doivent figurer dans le même plan de maintenance préventive que le reste de l'actif, et non dans un classeur qui part avec un technicien à la retraite.

Dans Fabrico, le test de chaque fonction de sécurité s'exécute comme une tâche de maintenance préventive récurrente avec une checklist, les résultats sont stockés contre l'actif, un contrôle échoué peut déclencher une tâche de suivi, et l'historique par fonction est prêt quand un auditeur demande ce qui a été testé et quand. Pour voir cela sur votre propre liste de machines, réservez une courte démo.

Un exemple chiffré

Une machine de conditionnement de caisses a une porte de protection articulée au-dessus de la zone de chargement. Le graphe de risque : un écrasement par le poussoir est une lésion irréversible, S2. L'opérateur ouvre la protection plusieurs fois par poste pour dégager les bourrages, F2. Le mouvement est suffisamment lent et visible pour que l'évitement soit jugé possible dans des conditions spécifiques, P1. Résultat : PLr d.

Le constructeur la livre en catégorie 3 : un interverrouillage RFID de type 4 sur la porte, un relais de sécurité, et deux contacteurs en série avec contacts miroir câblés dans la boucle de rétroaction du relais, de sorte qu'un contacteur soudé est détecté au cycle suivant.

La réalité de la maintenance la première année : la ligne comporte 14 fonctions de sécurité, et la validation prévoit un test fonctionnel mensuel de chacune, réparti sur les postes. Cela fait 168 tests par an à environ 10 minutes chacun incluant l'enregistrement : environ 28 heures de temps technicien par an.

En mars, une panne de nuit a détruit un contacteur, et une pièce de rechange commerciale aux caractéristiques appropriées a été installée. La machine s'arrêtait parfaitement chaque fois que la protection s'ouvrait, si bien que pour l'opérateur rien n'avait changé. Mais la pièce de rechange n'avait pas de contacts miroir : la boucle de rétroaction du relais de sécurité ne pouvait plus détecter un contacteur soudé. La machine aurait encore stoppé sur la défaillance d'un contacteur, donc rien ne semblait anormal ; ce qui était perdu, c'est la détection. Une soudure serait restée en place sans être découverte jusqu'à la défaillance du second contacteur, et c'est précisément cette détection des fautes dangereuses que requiert la catégorie 3. Le test fonctionnel d'avril l'a détecté, car la checklist inclut la vérification de la surveillance de la rétroaction, pas seulement « est-ce que ça s'arrête ».

La réparation a été un ordre de travail correctif pour monter le contacteur correct, plus la modification ennuyeuse qui empêche la répétition : la liste de pièces de rechange pour cette machine a été corrigée afin que le magasin ne puisse délivrer que la référence exacte à contacts miroir. La fonction semblait fonctionner pendant cinq semaines alors que le PL n'existait pas.

Erreurs courantes

• Considérer le PL comme une cote de composant. Un logo « PL e » sur une fiche technique décrit une capacité, pas votre installation. Le niveau appartient à la fonction, et le maillon le plus faible le fixe.
• Mélanger la documentation SIL et PL sur une même machine. Choisissez le régime sous lequel la machine a été validée et conservez les enregistrements dans son vocabulaire.
• Ponter une fonction pour maintenir la production. Chaque heure de fonctionnement en pontage, la machine fonctionne avec un danger que l'évaluation des risques dit nécessiter une protection PL d, et cette protection n'est pas présente.
• Pièces de rechange non identiques. Le moyen le plus simple d'annuler une conception de sécurité est une substitution bien intentionnée à 3 h du matin. Verrouillez la liste de pièces de rechange sur les numéros de pièce validés.
• Ignorer la durée de mission. Un relais de sécurité vieux de 20 ans qui clique encore n'est pas une preuve ; les statistiques derrière son PL ont expiré avec sa durée de mission.
• Pas d'enregistrements de test par fonction. Si personne ne peut produire l'historique des tests pour la fonction 7, alors pour une enquête d'incident, la fonction 7 n'a jamais été testée.

Questions fréquentes

Qu'est-ce qu'un niveau de performance dans ISO 13849 ?

Un niveau de performance, PL a à PL e, exprime la fiabilité avec laquelle une fonction de sécurité complète (capteur, logique, actionneur) répond à la demande. Il est déterminé par la catégorie d'architecture, la fiabilité des composants (MTTFd), la couverture diagnostique et la protection contre les défaillances de cause commune.

Quelle est la différence entre PL et SIL ?

Le PL provient d'ISO 13849 pour les fonctions de sécurité des machines ; le SIL provient des IEC 61508 et IEC 61511, typiquement pour les unités de procédé. À titre de correspondance approximative, PL c se situe près de SIL 1, PL d près de SIL 2 et PL e près de SIL 3, mais les normes décident et il n'y a pas de relabellisation par plaque signalétique.

Comment savoir quel PL une machine nécessite ?

Le niveau requis, PLr, provient de l'évaluation des risques via le graphe de risque : gravité de la blessure (S1/S2), fréquence ou durée d'exposition (F1/F2) et possibilité d'évitement (P1/P2). Sur une machine achetée, le fabricant doit indiquer le PLr par fonction dans la documentation ; s'il manque, demandez-le.

La maintenance peut-elle remplacer des pièces dans un circuit de sécurité ?

Oui, avec la pièce identique ou une équivalence confirmée par le fabricant, enregistrée pour la fonction. Une substitution qui change les caractéristiques de sécurité du composant (un contacteur sans contacts miroir, un relais généraliste, un interverrouillage non codé) modifie silencieusement l'architecture et annule le PL, même si la machine semble encore s'arrêter.

À quelle fréquence les fonctions de sécurité doivent-elles être testées ?

À l'intervalle défini par le manuel du fabricant et la validation de la machine ; une périodicité mensuelle à annuelle par fonction est courante en pratique. Le test doit exercer la fonction entière, y compris la surveillance, et chaque test doit laisser un enregistrement par fonction avec le constat.