En novembre 2024, une ligne de convoyeurs à rouleaux construite dans le Guangdong est arrivée au port de Rotterdam. La douane l'a retenue pour inspection, et l'expédition n'a jamais quitté le port. Le premier réflexe du fabricant a été de vérifier le certificat CE — il était en règle, parfaitement valide. Le vrai problème se trouvait dans le dossier technique : l'évaluation des risques exigeait PLd pour l'interverrouillage de la porte de sécurité, mais la machine avait été construite selon une architecture monocanal de Catégorie 2. Le rapport de calcul SISTEMA était également périmé et ne correspondait plus au PL exigé dans les documents. La remise en conformité a pris deux mois. Entre les frais de stockage portuaire et les allers-retours des ingénieurs, le coût aurait pu acheter une autre petite ligne de convoyeurs sans problème.
J'ai passé vingt ans en première ligne de l'entreposage américain — à diriger des opérations, à sélectionner des équipements, et à me retrouver face à des organismes notifiés plus d'une fois. Le "décalage de PL" est le mode de défaillance récurrent que je vois chez les constructeurs chinois d'automatisation qui exportent vers l'Europe. Un certificat peut s'acheter. Une chaîne de calcul brisée se repère en quelques minutes. Permettez-moi donc d'exposer ce qui compte vraiment dans la norme EN ISO 13849 : comment un niveau de performance est fixé, en quoi les convoyeurs et les AMR divergent, et les points de remise en conformité que les examinateurs signalent le plus souvent.
D'où vient réellement le PL
PL — niveau de performance — va de a à e et mesure la probabilité de défaillance dangereuse par heure. Plus on avance dans l'alphabet, plus l'exigence de fiabilité est élevée. Le fixer est un processus en deux étapes : d'abord déterminer le PL requis, le PLr, puis calculer ce que l'on peut réellement atteindre.
Le PLr vient de l'évaluation des risques. C'est non négociable. Commencez par identifier chaque fonction de sécurité — sur une ligne de convoyeurs, il s'agit généralement de l'arrêt d'urgence, de l'interverrouillage des portes de sécurité et de la protection périmétrique, plus les barrières immatérielles partout où des personnes entrent régulièrement. Évaluez ensuite chaque fonction selon trois axes : la gravité possible de la blessure, la fréquence d'exposition des personnes, et leur probabilité d'éviter le danger. Ces trois dimensions se croisent pour donner le PLr. En pratique, les fonctions de sécurité d'une ligne de convoyeurs typique se situent quelque part dans la bande PL b à PL d.
Ce que l'on peut réellement atteindre est décidé par trois entrées : le MTTFD (temps moyen avant défaillance dangereuse), le DCavg (taux de couverture de diagnostic moyen) et le CCF (défaillance de cause commune, noté sur la fameuse liste de contrôle de 65 points). Ces trois chiffres, avec la catégorie architecturale — Catégorie B, 1, 2, 3 ou 4, les chiffres les plus élevés exigeant plus de redondance et de diagnostic — déterminent quel PL on peut légitimement revendiquer. Atteindre PLd signifie généralement une architecture bicanale à partir de la Catégorie 3 ; une construction monocanal de Catégorie 2 ne portera pas une revendication PLd. L'expédition de Rotterdam est morte exactement sur ce décalage : PLd sur le papier, Catégorie 2 dans l'acier. L'examinateur n'a même pas eu besoin de lire le rapport de calcul attentivement.
Quand vous n'êtes pas sûr du numéro de clause, écrivez "selon le texte de la norme" au lieu d'en inventer un. Et surveillez les éditions : la norme EN ISO 13849-1 a été republiée en édition révisée en 2023, tandis que la Partie 2, qui couvre la validation, est toujours l'édition de 2012. J'ai vu des dossiers qui citaient des numéros de clause de 2012 dans des documents rédigés contre l'édition de 2023 — ils sont revenus couverts d'encre rouge.
Pour le calcul lui-même, SISTEMA est l'outil standard de l'industrie. Ce n'est pas de la magie : vous y entrez le MTTFD de chaque composant, votre DCavg estimé et votre score à la liste CCF, et il calcule le PL atteint par fonction de sécurité selon la méthode de la norme. Le logiciel est la partie facile. La partie difficile est la provenance de chaque chiffre que vous tapez — le MTTFD d'un composant doit remonter au manuel du fabricant, à une conversion B10d, ou aux tableaux de référence dans les annexes de la norme. "Le fournisseur nous a dit que ce relais de sécurité dure cent ans" n'est pas une preuve, et un examinateur le traitera comme zéro.
Un exemple minimal montre comment l'arithmétique se comporte. Prenez un interverrouillage de porte de sécurité : deux interrupteurs de porte en série en entrée, un relais de sécurité en logique, deux contacteurs en série en sortie. Prenez le MTTFD de chaque composant dans son manuel ou via une conversion B10d, estimez le DCavg pour la configuration bicanale avec surveillance croisée, et notez la liste CCF point par point. Quatre chiffres entrent, SISTEMA tourne, le PL sort — et s'il manque une source à un seul chiffre, toute la fonction s'effondre.
Les convoyeurs et les AMR ne jouent pas avec les mêmes règles
Un convoyeur est une machine d'usage général, et la voie 13849 fonctionne bien. Un AMR est différent. La machine complète relève aussi de normes de type C spécifiques au produit — ISO 3691-4, par exemple — qui portent leurs propres exigences pour les niveaux des fonctions de sécurité. Là où elles existent, la norme produit et l'organisme notifié décident du niveau. N'inventez pas d'affirmations absolues comme "un AMR doit atteindre PL d" dans votre documentation ; si vous l'écrivez, vous devez le prouver.
J'ai vu des documents d'appel d'offres de constructeurs chinois déclarant "le système de sécurité de cet AMR atteint PLd" en toute confiance, alors que la norme produit demandait quelque chose de tout à fait différent pour cette fonction — ou lorsque la certification du scanner laser ne couvrait tout simplement pas l'application. Écrivez le chiffre trop haut et la charge de la preuve vous incombe entièrement. Écrivez-le trop bas et la norme produit vous rattrape. La bonne séquence : lisez d'abord la norme spécifique au produit, confirmez si chaque fonction de sécurité y est graduée, et n'utilisez 13849 qu'ensuite pour couvrir ce que la norme produit laisse de côté. Les deux normes se complètent ; elles ne sont pas des alternatives. Un cas de 2023 l'a montré concrètement. Un constructeur d'AMR de Shenzhen disposait d'un scanner laser entièrement certifié — mais l'usage prévu du certificat était la protection de zone fixe. Sur un robot mobile faisant de la protection en suivi, l'organisme notifié l'a rejeté. La solution a été de passer à un scanner dont la certification couvrait l'usage mobile et de refaire la validation de la machine complète. Le projet a glissé de trois mois. Un composant certifié n'est pas un composant correctement appliqué : chaque mot du périmètre du certificat doit correspondre à vos conditions d'exploitation.
Un changement de fond à suivre : l'ancienne directive Machines était 2006/42/EC, et le règlement Machines de l'UE (UE) 2023/1230 la remplace, avec une application complète en 2027 selon le texte du règlement. Pour tout nouveau projet, confirmez auprès de votre organisme émetteur si le parcours de certification relève de la directive ou du nouveau règlement — ne découvrez pas le décalage la semaine avant l'expédition.
Les corrections que je vois sans cesse — et comment les éviter
Le premier tueur, et le plus courant, est une chaîne documentaire brisée. Quatre documents racontant quatre histoires : l'évaluation des risques dit PLr = c, la liste des fonctions de sécurité dit que l'arrêt d'urgence est PLr = d, SISTEMA calcule PLc, et le rapport de validation est copié du modèle d'un autre projet. Un examinateur qui trouve cela rejette le dossier d'office — parfois sans même offrir de fenêtre de remise en conformité.
Le deuxième est des valeurs MTTFD sans provenance. Le rapport liste de beaux chiffres MTTFD, et quand on demande la source, personne ne peut répondre. La règle : manuel du fabricant, conversion B10d, ou les tableaux d'annexe de la norme — citez-en une par composant. Un chiffre sans source compte pour zéro dans un examen.
Le troisième est la liste CCF traitée comme de la décoration. La liste de 65 points se note point par point ; un score court ou des mesures non mises en oeuvre dégradent l'architecture d'une catégorie, et le PL chute avec elle. Les examinateurs vérifient le câblage séparé et la protection contre les surtensions sur le terrain. C'est visible. On ne peut pas le simuler.
Le quatrième est le DCavg gonflé. Une architecture monocanal avec un chien de garde ne gagne pas une couverture de diagnostic élevée. Si vous ne pouvez pas justifier le chiffre, écrivez-le plus bas. Revendiquer PLc prudemment et réussir du premier coup bat toujours revendiquer PLd et se faire renvoyer.
Ma défense permanente contre les quatre est le tableau de traçabilité du PL : une ligne par fonction de sécurité, cinq colonnes — nom de la fonction, chaîne de composants entrée-logique-sortie, PLr, PL calculé, et les numéros de page dans le rapport SISTEMA et le rapport de validation. Faites concorder ces cinq colonnes et la moitié de votre risque de remise en conformité disparaît. Ça paie aussi en maintenance : changez un composant et vous ne révisez que cette ligne au lieu de reconstruire tout le dossier.
La séquence compte aussi. Figez le PLr pendant l'évaluation des risques, faites un premier passage SISTEMA avant de sélectionner le matériel, et ne calculez la version finale qu'après le verrouillage des composants. Inversez l'ordre — achetez tout d'abord, remplissez les calculs après — et chaque changement de composant déclenche un cycle complet de recalcul. C'est ainsi que les plannings meurent en silence.
Voici quelque chose que vous pouvez utiliser demain : demandez à votre fournisseur la source du MTTFD de chaque composant de sécurité — la page du manuel ou la valeur B10d. S'il ne peut pas la produire, ne signez pas le bon de commande, aussi attractif que soit le prix. Dans le jeu du PL, le certificat n'est pas là où l'on gagne ou perd. On gagne ou on perd selon que chaque maillon de la chaîne de calcul a une source.
Traduit de l'anglais. En cas de divergence, la version anglaise fait foi.
