Sécurité des machines et des équipements de travail Circuits de commande et de puissance. Principes d intégration des exigences de sécurité

Transcription

1 Sécurité des machines et des équipements de travail Circuits de commande et de puissance. Principes d intégration des exigences de sécurité

2 L Institut national de recherche et de sécurité L Institut national de recherche et de sécurité (INRS) est une association déclarée sans but lucratif (loi du 1 er juillet 1901), constituée sous l égide de la Caisse nationale de l assurance maladie. Il est placé sous la tutelle des pouvoirs publics et le contrôle financier de l État. Son conseil d administration est composé en nombre égal de représentants du Mouvement des entreprises de France et des organisations syndicales de salariés. L INRS apporte son concours aux services ministériels, à la Caisse nationale de l assurance maladie, aux Caisses régionales d assurance maladie, aux comités d hygiène, de sécurité et des conditions de travail, aux entreprises, enfin à toute personne, employeur ou salarié, qui s intéresse à la prévention. L INRS recueille, élabore et diffuse toute documentation intéressant l hygiène et la sécurité du travail : brochures, dépliants, affiches, films, renseignements bibliographiques... Il forme des techniciens de la prévention et procède en son centre de recherche de Nancy aux études permettant d améliorer les conditions de sécurité et l hygiène de travail. Les publications de l'inrs sont distribuées par les Caisses régionales d'assurance maladie. Pour les obtenir, adressez-vous au service prévention de la Caisse régionale de votre circonscription, dont vous trouverez l adresse en fin de brochure. Les Caisses régionales d assurance maladie Les Caisses régionales d assurance maladie disposent, pour diminuer les risques professionnels dans leur région, d un service prévention composé d ingénieurs-conseils et de contrôleurs de sécurité. Par les contacts fréquents que ces derniers ont avec les entreprises, ils sont à même non seulement de déceler les risques professionnels particuliers à chacune d elles, mais également de préconiser les mesures préventives les mieux adaptées aux différents postes dangereux et d apporter, par leurs conseils, par la diffusion de la documentation éditée par l Institut national de recherche et de sécurité, une aide particulièrement efficace à l action des comités d hygiène, de sécurité et des conditions de travail. Toute représentation ou reproduction intégrale ou partielle faite sans le consentement de l INRS, de l auteur ou de ses ayants droit ou ayants cause, est illicite. Il en est de même pour la traduction, l adaptation ou la transformation, l arrangement ou la reproduction, par un art ou un procédé quelconque (article L du code de la propriété intellectuelle). La violation des droits d auteur constitue une contrefaçon punie d un emprisonnement de deux ans et d une amende de euros (article L et suivants du code de la propriété intellectuelle). INRS, Conception graphique et schémas Atelier F. Causse. Illustration de couverture Bernard Chadebec.

3 Sécurité des machines et des équipements de travail Circuits de commande et de puissance. Principes d intégration des exigences de sécurité J. Marsot, R. Klein Laboratoire sûreté des machines et composants Ingénierie des équipements de travail, INRS D. Pagliero, D. Dei-Svaldi Laboratoire sûreté des systèmes électroniques Ingénierie des équipements de travail, INRS ED 913

4 Sommaire Avant-propos 5 Chapitre 1 SYSTÈME DE COMMANDE 1.1 Généralités Circuits de commande et de puissance/stratégie de réduction du risque 7 Chapitre 2 INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE 2.1 Aspect réglementaire Aspect normatif Choix d une catégorie Catégorie Circuit électromécanique Circuit hydraulique/pneumatique Catégorie Circuit électromécanique Catégorie Circuit électromécanique Circuit redondant sans détection de défaut Circuit redondant avec détection de défaut Circuit hydraulique/pneumatique Catégorie Circuit électromécanique Circuit hydraulique/pneumatique Blocs logiques de sécurité 20 2

5 Chapitre 3 INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE PUISSANCE 3.1 Circuit de puissance électrique Circuit de puissance pneumatique Circuit de puissance hydraulique 24 Chapitre 4 EXEMPLE DE CONCEPTION D UN AUTOMATISME 4.1 Partie relative à la sécurité Traitement de diverses fonctions Principe de fonctionnement 28 Chapitre 5 ANNEXES 5.1 Action mécanique positive (NF EN ) Actionnement suivant le mode positif (NF EN 292-1) Relais à contacts liés ou guidés (NF EN 50205) Distributeur à recouvrement à l arrêt positif Sorties statiques 31 Lexique 33 Bibliographie 35 3

6 Avant-propos Cette brochure traite des circuits de commande des équipements de travail pour lesquels la mise en sécurité du personnel est obtenue par l'immobilisation et le maintien à l'arrêt des éléments dangereux 1. Elle a pour but d aider les concepteurs et/ou les intégrateurs de ces équipements, qu ils soient neufs ou en cours de rénovation, en attirant leur attention sur la nécessité de prévoir, pour les parties «puissance» et «commande» d'un automatisme, une architecture et des fonctions capables d'intégrer des moyens de prévention (barrages immatériels, arrêt d urgence, dispositifs de verrouillage, etc.). Elle est un complément de la brochure ED 807 [1] relative au moyen de protection contre les risques mécaniques. Il est bien entendu que d'autres mesures de prévention peuvent être mises en œuvre pour améliorer la sécurité des opérateurs sur machines. Il s'agit essentiellement : des mesures d'organisation (aménagement des postes de travail, adaptation des modes opératoires, etc.), de la formation et de l'information des opérateurs, de l'emploi, en dernier recours, de protections individuelles. Le premier chapitre de ce recueil présente de façon générale les circuits de commande et les prescriptions qui leur sont applicables dès lors qu ils contribuent au processus de réduction du risque. Les chapitres suivants présentent l impact de l intégration de la sécurité au niveau des circuits de commande et de puissance d un automatisme. Ils sont illustrés par des schémas de principe abondamment commentés qui proviennent pour la plupart de la brochure 6/97 e du BIA 2 [2]. La technologie «électronique» n est pas présentée dans ce document car elle fait l objet de publications spécifiques [3] [4]. Ces schémas ne sont en aucun cas des schémas de mise en œuvre. Ils donnent uniquement des idées de réalisation dont il est possible de s inspirer. Pour la réalisation et/ou la modification finale du circuit de commande d un équipement de travail, il est recommandé de s appuyer sur les références bibliographiques [5] [6] [7] [8]. 1 - Par conséquent, elle ne concerne pas les systèmes nécessitant la poursuite de la mission même en mode dégradé (chimie, pétrochimie, nucléaire, avionique, etc.). 2 - BIA : Berufsgenossenschaftliches Institut für Arbeitsschutz. Avertissement Ce document renvoie à des normes. Seuls font foi les textes de ces normes éditées par l Afnor dans leur version originale. Le lecteur peut se procurer ces normes auprès de l Afnor (adresse dans la bibliographie). Les normes citées dans cette brochure ne sont pas d application obligatoire et elles ont été élaborées en vue de la conception d équipements de travail neufs ou considérés comme neufs. Certaines de ces normes sont à l état de projet (Pr), elles sont donc susceptibles de modifications. Nous estimons cependant que les informations techniques qu elles contiennent peuvent aider utilement les personnes en charge de l amélioration des machines en service. La validité des informations contenues dans ce document s entend à la date de son élaboration, soit septembre Les chiffres entre crochets renvoient à la bibliographie en fin d ouvrage. 5

7 1 Système de commande 1.1 Généralités Le système de commande d un équipement de travail est constitué par les circuits qui élaborent les ordres destinés au processus ou à la machine et à l'opérateur (signalisation) à partir des informations de la partie opérative, des entrées externes (consignes) et de l'état du système (cf. figure 1). Il comprend les dispositifs de signalisation, de commande (écran, pupitre, etc.), le système traitant les informations logiques ou analogiques (automate programmable, micro-ordinateur, relais électromécanique, etc.), les dispositifs de sécurité (barrage immatériel, tapis sensible, scrutateur laser, dispositifs de verrouillage, etc.) et les capteurs. Il peut être réalisé par une combinaison des technologies suivantes : électromécanique (relais, interrupteurs de position, etc.), pneumatique, hydraulique, Interface opérateur / machine SIGNALISATION AFFICHAGE AVERTISSEMENTS ORGANES DE SERVICE APPAREIL DE COMMANDE Interface opérateur / machine CAPTEURS DISPOSITIFS DE SÉCURITÉ MÉMORISATION ET TRAITEMENT LOGIQUE OU ANALOGIQUE DES INFORMATIONS PRÉACTIONNEURS (contacteurs, distributeurs, variateurs) SYSTÈME DE COMMANDE ACTIONNEURS (moteurs, vérins, etc) PARTIE OPÉRATIVE ÉLÉMENTS DE TRANSMISSION PROTECTEURS Interface opérateur / machine Figure 1 Représentation schématique générale d'une machine (NF EN [9]). 6 SYSTÈME DE COMMANDE

8 électronique (circuits analogiques et numériques programmables). La partie opérative, constituée par le processus que l'on souhaite piloter, agit directement sur la matière d'œuvre à partir des ordres envoyés par le système de commande et renvoie à cette dernière des informations sur son état ou son environnement. Elle exécute les tâches physiques ; ses principales fonctions sont : transformer l'énergie, adapter l'énergie, transmettre les efforts, agir sur la matière d'œuvre. Elle comprend principalement les actionneurs (moteurs, vérins, etc.) et les effecteurs (pinces, outils actifs). Pendant la phase d'exploitation, la partie opérative constitue la principale zone de dangers auxquels sont exposés les opérateurs de la machine. De ce fait, la mise en sécurité du personnel nécessite d agir, via le circuit de commande, sur le(s) pré-actionneurs qui commande(nt) les actionneurs susceptibles d'entraîner des mouvements dangereux. gereuse ne conduit pas pour autant au dommage ; encore faut-il que l enchaînement des différentes étapes soit conditionné par d'autres facteurs : persistance de phénomènes dangereux, apparition d'événements critiques, non-possibilité d'évitement. Le risque «machine» est donc fonction de la gravité (G) et de la probabilité d occurrence de la blessure ou dommage encouru. Cette probabilité dépend ellemême de trois paramètres : la fréquence et/ou la durée d exposition (F expo ), la probabilité d occurrence de l événement dangereux (P occ ). Cette probabilité d occurrence peut d être d origine humaine (manœuvre inappropriée, par exemple 3 ) ou technique (défaillance de composant, erreur logicielle, etc.), Sous-système technique (entité dangereuse) Sous-système humain (homme) et 1.2 Circuits de commande et de puissance/stratégie de réduction du risque Situation potentiellement dangereuse et Non annihilation du phénomène dangereux F expo En prévention technique des machines et systèmes de production, on représente schématiquement la chaîne des événements conduisant à l accident par une suite Evénement critique (défaillance du circuit de Situation dangereuse de conjonctions telle que représentée par la figure 2. et P occ Un équipement de travail, de par les énergies en présence (de nature électrique, thermique, cinétique, etc.), Non évitement est considéré comme étant une entité dangereuse. Associer à ce sous-système technique une présence et P vit humaine implique la survenue de situations potentiellement dangereuses. Toute situation potentiellement dan- Accident (dommage) Gravité ou G 3 - Cette probabilité d occurrence est également influencée par l environnement du poste de travail et des aptitudes de(s) personne(s) exposée(s) à maîtriser les risques encourus. Ces deux aspects ne sont pas abordés dans ce document. Figure 2 Chaîne des événements conduisant à l accident. SYSTÈME DE COMMANDE 7

9 la possibilité d éviter ou de limiter le dommage (P évit ). Le niveau de risque généré par un phénomène dangereux peut alors être évalué par un indice de risque «R», fonction de ces différents paramètres (cf. figure 3). Indice de risque «R» = f (G, F expo, P occ, P évit ) Les circuits de puissance et de commande d une machine contribuent très souvent à la réduction du(des) risque(s) encouru(s) par les opérateurs. C est notamment le cas lorsqu ils assurent des fonctions d autosurveillance, de tests périodiques, de mise et/ou de maintien à l arrêt des éléments dangereux, etc. Plus la contribution de ces circuits à la réduction du(des) risque(s) est importante, plus leur aptitude à résister aux défauts doit être élevée. LE RISQUE LA GRAVITÉ LA PROBABILITÉ D'OCCURRENCE DE CE DOMMAGE relatif à un phénomène dangereux est une fonction de du dommage encouru du fait de ce phénomène dangereux et de La fréquence et/ou durée d'exposition Probabilité d'occurrence de l'événement dangereux Possibilité d'éviter ou de limiter ce dommage Figure 3 Éléments de l'estimation du risque [10]. 8 SYSTÈME DE COMMANDE

10 Intégration de la sécurité au niveau du circuit de commande 2 Comme rappelé au 1.1, le circuit de commande a pour mission la réalisation des fonctions requises de la machine. Les parties de ce circuit affectées à la réalisation des fonctions de sécurité sont appelées les parties relatives à la sécurité. 2.1 Aspect réglementaire qu'il ne se produise pas de situations dangereuses en cas d'erreur de logique dans les manœuvres». De plus, le paragraphe de cette directive 98/37 stipule : «un défaut affectant la logique du circuit de commande ou une défaillance ou une détérioration du circuit de commande ne doit pas créer de situations dangereuses». La conception et/ou la modification d un circuit de commande doivent être effectuées de manière à ce qu il soit sûr et fiable afin d éviter toute situation dangereuse, et ce même en présence d un défaut, d une défaillance et/ou d une détérioration. En effet, pour les machines neuves, le paragraphe des exigences essentielles de la directive 98/37 CE dite «Directive machines» [11] stipule que «les systèmes de commande doivent être conçus et construits pour être sûrs, fiables de manière à éviter toute situation dangereuse. Ils doivent être notamment conçus et construits de manière : à résister aux contraintes normales de service et aux influences extérieures, Par ailleurs, pour les machines en service, le paragraphe 2.1 des prescriptions minimales applicables aux équipements de travail de la directive 89/655/CEE [12] énonce que «les systèmes de commande doivent être sûrs et être choisis compte tenu des défaillances, des perturbations et des contraintes prévisibles dans le cadre de l utilisation projetée». 2.2 Aspect normatif La norme NF EN [13] classe les parties de systèmes de commande relatives à la sécurité en 5 catégories (B, 1, 2, 3, 4) en fonction de leur comportement en cas d apparition de défauts (cf. figure 4). Catégorie 1 Catégorie B Catégorie 2 Catégorie 3 Catégorie 4 Présence de défaut Analyse du comportement Catégorisation/comportement sous défaut Figure 4 Illustration de la notion de catégorie. INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE 9

11 G1 CATÉGORIES B G1 : Lésion légère (normalement réversible). G2 : Lésion sérieuse (normalement irréversible), y compris le décès F1 : Rare à assez fréquent et/ou de courte durée d'exposition F2 : Fréquent à continu et/ou de longue durée d'exposition Point de départ G2 F1 F2 P1 P2 P1 P1 : Possible sous certaines conditions P2 P2 : Rarement possible Catégories possibles nécessitant des mesures complémentaires Catégories ayant la préférence pour les points de référence Mesures excessives pour le risque en question Figure 5 Exemple de grille de sélection [2]. 2.3 Choix d une catégorie Pour une partie de système de commande relative à la sécurité, le choix d une catégorie dépend de l estimation du niveau de sa contribution à la réduction d un risque donné (cf. figure 5). Cette estimation est fonction des paramètres suivants : la gravité du dommage effectivement protégé par cette partie de système de commande (G), la fréquence et/ou durée d exposition de l opérateur dans la zone protégée par cette partie de système de commande (F), la possibilité d éviter ou de limiter le dommage protégé par cette partie de système de commande (P). On prendra comme hypothèse que le niveau de risque global «R» de cette application est élevé du fait : d une gravité potentielle élevée (possibilité d écrasement de la main), d une fréquence d exposition des mains de l opérateur dans la zone dangereuse élevée, d une probabilité d occurrence élevée, du fait des risques d erreur humaine et/ou technique, d une possibilité d évitement faible du fait de la vitesse de rotation élevée des rouleaux. Afin de réduire ce niveau de risque, le concepteur choisit comme seule mesure de protection l utilisation d un protecteur mobile. Le niveau de contribution, de la partie du circuit de commande relative à ce protecteur, à la réduction du risque est donc élevé (cf. figure 7). Il ne faut pas confondre cette estimation avec l estimation globale d un risque selon la norme EN En effet, la probabilité d occurrence de l événement dangereux est dans ce cas égale à 1 car ÉLEVÉ Niveau de risque initial la notion de catégorie repose sur un comportement en présence de défauts. De ce fait, elle n ap- Zone dangereuse paraît pas dans les paramètres de sélection. Pour illustrer ce propos, nous proposons l analyse d un mécanisme «théorique» composé de deux rouleaux présentant un risque d écrasement (cf. figure 6). FAIBLE Figure 6 Illustration de l application et du niveau de risque associé. 10 INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE

12 Dans ce cas, la norme EN orientera le concepteur vers une catégorie 4 pour cette partie de circuit de commande (gravité, fréquence d exposition élevée et possibilité d évitement faible). Si maintenant le concepteur choisit d utiliser comme mesures de protection un protecteur mobile combiné avec une butée mécanique - par hypothèse, on considère que l écrasement suite à l entraînement de la main entre les rouleaux est empêché par cette butée mécanique. Dans ce cas, la contribution de la partie du circuit de commande relative au protecteur est plus faible que précédemment (cf. figure 8). En effet, le dommage effectivement protégé par le protecteur est un pincement des doigts. La norme EN orientera le concepteur vers une catégorie 1 pour cette partie de circuit de commande (gravité faible et autres paramètres inchangés). En conclusion, pour une application ayant un niveau de risque global élevé, la catégorie selon EN de la partie du système de commande relative au protecteur peut être différente en fonction de sa contribution dans la réduction de ce risque global. Par ailleurs, les catégories ne représentent pas un niveau de risque et de ce fait elles ne sont pas destinées à être utilisées selon une hiérarchie donnée. Cette hiérarchisation peut éventuellement avoir un sens si l on compare des systèmes de commande de même technologie (électromécanique/électromécanique, électronique/électronique, etc.). Elle n a aucun sens dans tous les autres cas (cf. figure 9). Comme rappelé au début de ce chapitre, les catégories ne représentent qu un comportement en présence de défauts. CHOIX DU(ES) MOYEN(S) DE PROTECTION CHOIX DE LA CATÉGORIE ESTIMATION DU RISQUE Point de départ Protecteur mobile + circuit de commande de catégorie 4 G2 G1 F2 P1 F1 P2 P1 P2 CATÉGORIES B ÉLEVÉ FAIBLE Réduction du risque du fait du protecteur et de la catégorie 4 pour la partie de système de commande Figure 7 Protection par un protecteur mobile. CHOIX DU(ES) MOYEN(S) DE PROTECTION CHOIX DE LA CATÉGORIE ESTIMATION DU RISQUE Butée de protection Point de départ Protecteur mobile + circuit de commande de catégorie 1 G1 G2 F1 F2 P1 P2 P1 P2 CATÉGORIES B ÉLEVÉ FAIBLE Réduction du risque du fait de la butée Réduction du risque du fait du protecteur et de la catégorie 1 pour la partie de système de commande correspondante Figure 8 Protection par un protecteur mobile associé à une butée de protection. INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE 11

13 ? Détecteur électronique de catégorie 2, 3 ou 4 Détecteur mécanique de catégorie 1 Prenons le cas d'un détecteur de position mécanique satisfaisant à la catégorie 1 selon EN Le niveau de confiance que l'on peut accorder à ce détecteur dans sa capacité à assurer sa fonction de sécurité peut être équivalent, voire supérieur, à celui d'un détecteur électronique satisfaisant aux catégories 2, 3 ou 4. Figure 9 Illustration de la non hiérarchisation des catégories. En conséquence, lorsqu une fonction de sécurité est réa- la catégorie B est à la base de toutes les autres. Elle lisée par un circuit de commande faisant intervenir dif- sous-entend entre autres qu un composant ou une férentes technologies (cf. figure 10), il n est générale- partie de circuit de commande résiste aux pertur- ment pas possible de déterminer une catégorie pour bations environnementales normalement prévi- l ensemble de cette fonction. sibles (vibrations, chocs, rayonnement électromagnétique, température, etc.), L objectif est d atteindre, pour chacune des sousparties relatives à une technologie donnée, un niveau de confiance équivalent dans leur capacité à assurer leur fonction de sécurité. les catégories 1, 2, 3 et 4 sont toutes meilleures que la catégorie B, la sécurité est principalement basée sur la fiabilité des composants du circuit de commande pour les catégories B et 1 et par la structure du circuit pour les catégories 2, 3 et 4, entraîner la perte de la fonction de sécurité, À partir des prescriptions applicables à ces catégories, il est possible d affirmer que [14] : Figure 10 Association de différentes technologies. 12 INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE pour les catégories B, 1 et 2, un défaut unique peut la catégorie 4 présente une meilleure tolérance aux

14 fautes que la catégorie 3 car elle prend en compte l accumulation de défauts. Les chapitres suivants décrivent, pour chacune de ces catégories, la réalisation d une partie de système de commande assurant le contrôle de position d un protecteur. Les schémas présentés ci-après ont pour seul et unique objectif d illustrer l impact technique des différentes catégories sur une partie de système de commande relative à la sécurité. De ce fait, certaines parties de circuit ne sont pas représentées (liaisons équipotentielles, protection électrique, etc.) afin d en faciliter leur compréhension. 2.4 Catégorie 1 La conception de parties du système de commande relatives à la sécurité de catégorie 1 exige le respect de la catégorie B et l utilisation de composants et de principes de sécurité éprouvés Circuit électromécanique (cf. figure 11) Caractéristiques constructives Le contrôle de position est assuré par un détecteur de position (S1) placé en série dans la chaîne d arrêt de l actionneur (contacteur de puissance, par exemple) des éléments potentiellement dangereux. Il est fortement recommandé que ce détecteur de position soit à manœuvre positive d ouverture et actionné suivant le mode positif (cf. annexes 5.2 et 5.3). Le détecteur de position doit être monté de façon à être protégé contre un changement de position (cf. EN 1088). La course, les efforts et la fréquence de commande et la durée de vie de l'interrupteur de position sont conformes aux indications du fabricant. Description fonctionnelle La mise en marche n est possible que lorsque le protecteur est en position fermée. Lorsque le protecteur est ouvert, S1 interrompt ou empêche les mouvements ou les états dangereux. Un composant peut être considéré comme éprouvé lorsque : il a été largement utilisé dans le passé et avec succès dans des applications similaires relatives à la sécurité, il a été conçu et testé selon des méthodes qui permettent de valider son aptitude à la fonction et sa fiabilité. En tout état de cause, la décision de qualifier un composant particulier «d éprouvé» peut dépendre de son application. Dans une partie de système de commande de catégorie 1, la sécurité est uniquement basée sur la sélection des composants, de ce fait si un défaut se produit, il peut entraîner la perte de la fonction de sécurité. Remarque À ce jour, il n est pas admis de pouvoir réaliser un circuit de commande électronique répondant à la catégorie 1 [13]. Comportement sur défaillances La fonction de sécurité n est pas préservée dans tous les cas de défaillances et elle est fonction de la fiabilité de S1. Du fait de l utilisation de principes de sécurité éprouvés tels que la manœuvre positive d ouverture et l actionnement suivant le mode Ouvert Fermé Chaîne d'arrêt de puissance S1 Symbolisation de la manœuvre positive d'ouverture (cf. 5.2) Figure 11 Exemple de circuit électromécanique de catégorie 1. INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE 13

15 positif, ces défaillances peuvent être détectées visuellement (rupture du galet de contact, démontage du protecteur ou de l interrupteur). Aucune mesure de détection des défauts n'est prévue Circuit hydraulique/pneumatique (cf. figure 12) Caractéristiques constructives L interrupteur de position EV est à action mécanique positive (vanne à levier à galet, par exemple). Il est actionné par le protecteur suivant le mode positif et il possède un recouvrement à l arrêt positif (cf. annexe 5.5). La commutation de la vanne RV est obtenue par suppression du signal de commande. Les vannes de commande RV et EV sont sécurisées contre un changement de position. La course, les efforts, la fréquence de commande et la durée de vie de RV et de EV sont conformes aux indications du fabricant. Celui-ci confirme, le cas échéant, que ces vannes sont des éléments éprouvés (fiabilité suffisante). Description fonctionnelle L interrupteur de position pneumatique (ou hydraulique) EV surveille la position du protecteur mobile. Il transmet une instruction de commande à la vanne de verrouillage RV. L'alimentation en énergie (hydraulique ou pneumatique) se fait uniquement lorsque le protecteur est fermé. Lorsque le protecteur est ouvert, la vanne RV coupe l alimentation en énergie et de ce fait interrompt ou empêche les mouvements ou les états dangereux. Comportement sur défaillances Une défaillance des vannes EV ou de RV peut entraîner la perte de la fonction de sécurité. Aucune mesure de détection des défauts n'est prévue. 2.5 Catégorie 2 La conception de parties du système de commande relatives à la sécurité de catégorie 2 exige le respect de la catégorie B et que leur(s) fonction(s) soi(en)t contrôlée(s) par le système de commande de la machine : au démarrage de la machine et avant le déclenchement de toute situation dangereuse, périodiquement pendant le fonctionnement si nécessaire en fonction de l appréciation du risque et du type de fonctionnement de la machine. Ce contrôle, qui peut être déclenché manuellement ou automatiquement : doit permettre le fonctionnement si aucun défaut n est détecté, doit générer un signal de sortie conduisant à une mise en sécurité de la machine 4, ne doit pas lui-même conduire à une situation dangereuse [13]. Ouvert EV Vers l'équipement Dans une partie de circuit de commande de catégorie 2, la sécurité est basée sur la structure du circuit de commande. L'apparition d'un défaut peut mener à la perte de la fonction de sécurité entre les intervalles de contrôle. RV Fermé Figure 12 Exemple de circuit hydraulique de catégorie Exceptionnellement à un avertissement de danger si une mise en sécurité de la machine n est pas possible. 14 INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE

16 K1 Ouvert S1 Chaîne d'arrêt Comportement sur défaillances La fonction de sécurité n est pas maintenue en cas de défaillance de S1. K1 Une défaillance de S1 sera détectée lors du test cyclique d ouverture/fermeture du protecteur (au début de chaque prise de poste, par exemple). Fermé K1 2.6 Catégorie Circuit électromécanique (cf. figure 13) K1 Caractéristiques constructives Le détecteur de position S1 est à double contact. Les contacteurs auxiliaires K1 et doivent être à contacts liés ou guidés (cf. annexe 5.4). Le détecteur de position S1 doit être monté de façon à être protégé contre un changement de position (cf. EN 1088). La course, les efforts, la fréquence de commande et la durée de vie de S1 sont conformes aux indications du fabricant. Les conditions d utilisation (tension, courant, etc.) et la durée de vie des contacteurs auxiliaires K1 et sont respectées. Description fonctionnelle Figure 13 Exemple de circuit électromécanique de catégorie 2. Le détecteur de position S1 surveille la position du protecteur mobile. Il transmet une instruction de commande par l intermédiaire de K1 et de. Lorsque le protecteur est ouvert, S1 interrompt ou empêche les mouvements ou les états dangereux via K1 et (K1 alimenté et au repos). A la mise sous tension, la mise en marche n est pas possible même lorsque le protecteur est fermé (K1 et au repos). La mise en marche n est possible que lorsque le protecteur est ouvert puis refermé «test cyclique» (K1 au repos et alimenté). La conception de parties du système de commande relatives à la sécurité de catégorie 3 exige le respect de la catégorie B et : qu un défaut unique du système de commande ne mène pas à une perte de la fonction de sécurité, que le défaut unique soit détecté si cela est raisonnablement faisable. Dans une partie de circuit de commande de catégorie 3, la sécurité est essentiellement basée sur la structure du circuit de commande. L'accumulation de défauts non détectés peut conduire à la perte de la fonction de sécurité. En conséquence, les défaillances de mode commun doivent être prises en compte [13]. L expression «raisonnablement faisable» signifie que les mesures requises pour cette détection et leurs mises en œuvre dépendent de l application, d une part, et de la technologie utilisée d autre part. Cela peut conduire, comme le montrent les exemples suivants, à des schémas de commande très différents les uns des autres Circuit électromécanique Circuit redondant sans détection de défaut (cf. figure 14) Caractéristiques constructives S1 et S2 sont câblés séparément. De ce fait, le risque de défaillance par court-circuit entre deux fils n est pas à prendre en compte. La course, les efforts et la fréquence de commande des détecteurs de position S1 et S2 sont conformes aux indications du fabricant. Ils sont montés de façon à être protégés contre un changement de position (cf. EN 1088). INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE 15

17 Ouvert S1 Chaîne d'arrêt ou empêche les mouvements ou les états dangereux via K1 et. La mise en marche n est possible que lorsque le protecteur est fermé (K1 et alimentés). Fermé K1 S2 K1 Figure 14 Exemple de circuit électromécanique sans détection de défaut. Comportement sur défauts Le démontage du protecteur est détecté par S2. La fonction de sécurité est maintenue en cas de défaillance de S1 ou S2 et de K1 ou. Certaines défaillances de S1, de S2, de K1 ou de ne sont pas détectées (collage de contacts, par exemple). L'accumulation de défauts entraîne la perte de la fonction de sécurité. Les contacteurs auxiliaires K1 et doivent être à contacts liés ou guidés (cf. annexe 5.4). Leurs conditions d utilisation (tension, courant, etc.) et leur durée de vie sont respectées. Description fonctionnelle Lorsque le protecteur est ouvert, une combinaison de contacts «travail» et «repos» (S1 et S2) interrompt Bien qu un défaut unique ne mène pas à une perte de la fonction de sécurité, on ne peut pas considérer que ce schéma satisfasse à la catégorie 3. En effet, l état de la technique dans le domaine de l électromécanique montre qu il est raisonnablement faisable de détecter un défaut unique sur S1, S2, K1 ou. Chaînes d'arrêt Ouvert S1 K1 K1 S2 Fermé K3 K3 K1 K3 K1 K3 K1 K3 Figure 15 Exemple de circuit électromécanique de catégorie INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE

18 Circuit redondant avec détection de défaut (cf. figure 15) Circuit hydraulique/pneumatique (cf. figure 16) Caractéristiques constructives Les détecteurs de position S1 et S2 sont à double contact. S1 et S2 sont câblés séparément. De ce fait, le risque de défaillance par court-circuit entre deux fils n est pas à prendre en compte. Les relais K1, et K3 sont à contacts guidés. Le relais K3 est temporisé à la retombée. La course, les efforts et la fréquence de commande des détecteurs de position S1 et S2 sont conformes aux indications du fabricant. Ils sont montés de façon à être protégés contre un changement de position (cf. EN 1088). Caractéristiques constructives Les distributeurs EV1, EV2, EV3 et EV4 sont des distributeurs à recouvrement à l arrêt positif (cf. annexe 5.5). La commutation des vannes EV3 et EV4 est obtenue par suppression du signal de commande. Les vannes de commande EV1 et EV2 sont sécurisées contre un changement de position. La course, les efforts, la fréquence de commande et la durée de vie des différentes vannes sont conformes aux indications du fabricant. Celui-ci confirme, le cas échéant, que ces vannes sont des éléments éprouvés (fiabilité suffisante). Description fonctionnelle Lorsque le protecteur est ouvert, une combinaison de contacts de «repos» et «travail» (S1 et S2) interrompt ou empêche les mouvements ou les états dangereux via K1, et K3 (K1, et K3 au repos). La mise en marche n est possible que lorsque le protecteur est fermé (K1 et alimentés, K3 au repos). Description fonctionnelle Le verrouillage d'un protecteur mobile est assuré par deux détecteurs de position pneumatiques (ou hydrauliques) EV1 et EV2. Ils transmettent chacun un signal de commande aux distributeurs EV3 et EV4. L'alimentation de l'énergie est uniquement assurée lorsque le protecteur est fermé. Comportement sur défauts Le démontage du protecteur est détecté du fait de la discordance entre S1 et S2. La fonction de sécurité est maintenue en cas de défaillance des interrupteurs S1 ou S2. La fonction de sécurité est maintenue en cas de défaillance des relais K1, ou K3. Une défaillance sur S1, S2, K1, ou K3 empêche la remise en marche de la machine. De façon pratique, de nombreux constructeurs proposent sur le marché des blocs logiques qui intègrent ce type de relayage (cf. 2.8). De ce fait, il est possible d affirmer que ce type de schéma reflète l état de la technique dans le domaine des circuits électromécaniques et, qu en conséquence, il satisfait pleinement à la catégorie 3, contrairement à l exemple précédent. Comportement sur défauts Aucune mesure de détection de défauts n'est prévue. La défaillance d'un des distributeurs n'entraîne pas la perte de la fonction de sécurité. Ouvert Fermé EV1 EV2 Vers l'équipement Figure 16 Exemple de circuit pneumatique de catégorie 3. EV4 EV3 INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE 17

19 Certaines défaillances de EV1, EV2, EV3 ou EV4 ne sont pas détectées. L'accumulation de défauts non détectés peut entraîner la perte de la fonction de sécurité. que si cette détection n est pas possible, l éventualité de défauts supplémentaires doit être prise en compte et leur accumulation ne doit pas mener à la perte de la fonction de sécurité 5 [13]. Ce type de schéma peut être considéré comme satisfaisant aux prescriptions de la catégorie 3. En effet, compte tenu de l état actuel de la technique, il peut être admis qu il n est pas raisonnablement faisable de détecter un défaut unique pour un circuit de commande hydraulique ou pneumatique. Dans une partie de circuit de commande de catégorie 4, la sécurité est essentiellement basée sur la structure du circuit de commande. Lorsque les défauts se produisent, la fonction de sécurité est toujours assurée. Les défauts seront détectés à temps pour empêcher une perte de la fonction de sécurité Circuit électromécanique (cf. figure 17) 2.7 Catégorie 4 La conception de partie du système de commande relative à la sécurité de catégorie 4 exige le respect de la catégorie B et : que le défaut unique sur l une quelconque des parties de ce circuit ne mène pas à une perte de la fonction de sécurité, que le défaut unique soit détecté dès ou avant la prochaine sollicitation de la fonction de sécurité, Caractéristiques constructives Tous les éléments de la commande influençant la sécurité sont conçus de manière redondante. Les détecteurs de position S1 et S2 sont câblés séparément. De ce fait, le risque de défaillance par court-circuit entre deux fils de ces contacts n est pas à prendre en compte. 5 - Le nombre de défauts combinés à prendre en considération dépend de la technologie, de la structure du circuit de commande et de l application [13]. Chaînes d'arrêt Ouvert S1 K3 K1 K1 K1 K1 S2 K4 Fermé K4 K3 K3 K3 K1 K3 K3 K4 K4 K4 K1 K3 K4 Figure 17 Exemple de circuit électromécanique de catégorie INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE

20 La course, les efforts et la fréquence de commande des détecteurs de position S1 et S2 sont conformes aux indications du fabricant. Ils sont montés de façon à être protégés contre un changement de position (cf. EN 1088). Les relais auxiliaires K1,, K3 et K4 sont à contacts liés. Ouvert EV2 Vers l'équipement EV3 Description fonctionnelle Lorsque le protecteur est ouvert, une combinaison de contacts «repos» et «travail» (S1 et S2) interrompt ou empêche les mouvements ou les états dangereux via K1,, K3 et K4 (K1,, K4 au repos et K3 alimentés). La mise en marche n est possible que lorsque le protecteur est fermé (K1,, K4 alimentés et K3 au repos). Comportement sur défauts Le démontage du protecteur est détecté du fait de la discordance entre S1 et S2. La fonction de sécurité est également assurée en cas de défaillance d'un élément. Tous les défauts sont détectés par interruption de la chaîne de commande en cours de fonctionnement ou lors de l'actionnement (ouverture et fermeture) du protecteur. L'accumulation de défauts entre deux actionnements consécutifs n est pas pris en compte. De façon pratique, de nombreux constructeurs proposent sur le marché des blocs logiques qui intègrent ce type de relayage (cf. 2.8). Remarque Si plusieurs interrupteurs de position mécaniques de différents protecteurs sont montés en série, la catégorie 4 n est plus satisfaite car aucune détection des défauts des détecteurs de position n est alors possible. Fermé EV1 Figure 18 Exemple de circuit pneumatique de catégorie 4. EV3 est un distributeur redondant (pilotes mécaniquement séparés) et autosurveillé de façon pneumatique (hydraulique) ou électromécanique [15]. La commutation de la vanne EV3 est obtenue par suppression du signal de commande. Les vannes de commande EV1 et EV2 sont sécurisées contre un changement de position. La course, les efforts, la fréquence de commande et la durée de vie des différentes vannes sont conformes aux indications du fabricant. Celui-ci confirme, le cas échéant, que ces vannes sont des éléments éprouvés (fiabilité suffisante). Description fonctionnelle Le protecteur mobile est verrouillé par deux détecteurs de position pneumatiques (hydrauliques) EV1 et EV2 et ils transmettent chacun une instruction de commande à un distributeur autosurveillé EV3. L'alimentation en énergie est uniquement assurée lorsque le protecteur est fermé. La commutation de la combinaison de distributeurs EV3 est atteinte par suppression d'un ou des deux signaux de commande Circuit hydraulique/pneumatique (cf. figure 18) Caractéristiques constructives Les distributeurs EV1, EV2 et EV3 sont des distributeurs à recouvrement à l arrêt positif (cf. annexe 5.5). Comportement sur défauts La défaillance d'un distributeur n'entraîne pas la perte de la fonction de sécurité. La détection des défauts au sein de ce distributeur respecte les spécifications de la catégorie 4. Le déclenchement du mouvement dangereux est neutralisé après une détection de défaut. INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE 19

21 2.8 Blocs logiques de sécurité De nombreux fabricants ont développé des blocs logiques de sécurité pour réaliser de façon pratique et sûre les circuits de relayage tels que décrits dans les paragraphes 2.4 à 2.7 (cf. figure 19). Ces blocs logiques se présentent sous la forme de boîtier intégrable dans les circuits de commande de machine et permettent d assurer diverses fonctions de sécurité : arrêt d urgence, contrôle de protecteur mobile (cf. figures 19 et 20), commande bimanuelle, relais de contrôle (vitesse, tension, temporisation, arrêt, etc.), commande muting (inhibition temporaire sécurisée d'un dispositif de détection électrosensible), tapis sensible, extension de contacts, etc. Ces modules peuvent être réalisés en technologie électromécanique ou électronique. Leur mise en œuvre nécessite de se conformer aux prescriptions du constructeur, en particulier en ce qui concerne le câblage et les limites d'utilisation. Ils disposent tous des fonctionnalités suivantes (cf. figure 20) : des sorties de sécurité constituées soit de plusieurs contacts en série appartenant aux relais internes à contacts guidés (cf. annexe 5.4), soit de sorties statiques (cf. annexe 5.6), Figure 19 Exemple de bloc logique de sécurité. Arrêt d'urgence A1 Boucle de retour K1 Chaînes d'arrêt de la puissance Entrée 1 Barrage immatériel Bloc logique de sécurité (catégorie 3 ou 4) K1 Entrée 2 Contrôle de protecteur A2 K1 Figure 20 Exemple de traitement de fonctions de sécurité de catégorie 3 ou INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE

22 un contrôle de la concordance des informations d'entrée, un contrôle de leurs liaisons avec les dispositifs de sécurité, une boucle de retour permettant de contrôler l'état des contacts de recopie associés aux relais ou contacteurs commandés par les sorties du module. Cette fonction permet de surveiller l'état des relais ou contacteurs de commande externes à chaque sollicitation. Dans certaines configurations de câblage, cette boucle est utilisée pour créer une fonction de réarmement automatique ou manuel. Remarques Il convient, lors de l'utilisation de ces blocs logiques pour traiter des fonctions de sécurité de catégorie 3 ou 4, de doubler les informations d'entrée en utilisant des disposi- tifs de sécurité dont l'information de sortie est délivrée par deux contacts. La figure 21 ci-après illustre un exemple d'utilisation de différents blocs logiques pour la commande et le contrôle des dispositifs de sécurité au travers d'une représentation de machine selon la norme EN (cf. 1.1). La figure 28 (cf ) montre que l'on peut réaliser une logique entièrement câblée respectant le concept de sécurité positive en utilisant des bloc logiques de sécurité. Le mouvement dangereux est commandé par la commande bimanuelle. La protection de l'opérateur est assurée par un barrage immatériel et un protecteur mobile. La machine comporte un arrêt d'urgence. Capteurs dispositifs de sécurité (cf. ED 807) Signalisation Actionneurs Vérin hydraulique Arrêt d'urgence Bloc logique cf. 2.8 Circuit de commande Mouvement dangereux Barrage immatériel Bloc logique cf. 2.8 Circuit électromécanique ou électronique (ex. APIdS [4]) Circuit hydraulique Protecteur mobile Circuit de puissance (cf. 3.3) Bloc logique cf. 2.8 Bloc logique cf. 2.8 Commande bimanuelle Organes de commande Le mouvement dangereux est commandé par la commande bimanuelle. La protection de l'opérateur est assurée par un barrage immatériel et un protecteur mobile. La machine comporte un arrêt d'urgence. Figure 21 Illustration de l utilisation de blocs logiques de sécurité. INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE COMMANDE 21

23 3 Intégration de la sécurité au niveau du circuit de puissance Si l'on souhaite assurer la sécurité par arrêt d un mouvement potentiellement dangereux, il faut arrêter ce mouvement de manière certaine, optimiser le temps de mise à l'arrêt et maintenir cet arrêt. Ces exigences ont une retombée sur la conception du circuit de puissance. 3.1 Circuit de puissance électrique enclencher le frein électromécanique. De ce fait, la solution «contacteur + frein» s'impose. Temps d'obtention de l'arrêt minimisé avec prise en compte du risque de déstabilisation de la charge Pour certaines applications, un freinage brutal peut entraîner un transfert de risque (chute du produit transporté, par exemple). Ainsi le freinage le mieux adapté Selon l exemple de la figure 22, il est possible de commander l'arrêt de l'actionneur par les contacteurs (KP et KC) ou par le variateur de fréquence. Dans la pratique, on pourra se contenter soit : d un contacteur (KP ou KC), d un contacteur et d un variateur, de deux contacteurs (KP et KC). Le choix de la structure (redondante ou non) sera fonction des résultats d'une évaluation du niveau de contribution de cette partie de circuit de puissance à la réduction de risque engendré par l actionneur en question. Choix d'un ou deux contacteurs en fonction d'une estimation du risque KP KC À titre indicatif, on peut envisager les cas de figure suivants. Pilotage du variateur VARIATEUR DE VITESSE Temps d'obtention de l'arrêt minimisé tenant compte d'un mécanisme à inertie importante Dans ce cas, il faut non seulement interrompre l'arrivée d'énergie sur l'actionneur M (contacteur) mais aussi Figure 22 Exemple de circuit de puissance électrique. M 22 INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE PUISSANCE

24 devra suivre une rampe de décélération résultant du meilleur compromis temps d'obtention de l'arrêt par rapport à la stabilité de la charge. Dans ce cas de figure, la solution optimale sera «variateur de fréquence + contacteur à commande différée». des deux distributeurs EV1 et EV2 (ou EV 2). Le choix de la structure redondante et des autocontrôles sera fonction des résultats d'une évaluation du niveau de contribution de cette partie de circuit de puissance à la réduction de risque engendré par le vérin. Temps d'obtention de l'arrêt avec un mécanisme présentant peu d'inertie C'est le cas des mouvements lents mettant en œuvre des transmissions à crémaillère, vis sans fin, etc. On peut alors simplement utiliser la solution «un ou deux contacteurs montés en série». 3.2 Circuit de puissance pneumatique Selon l exemple de la figure 23, il est possible de commander l'arrêt du vérin pneumatique par les distributeurs EV1 et EV2 (avec ou sans autocontrôle). Dans la pratique, on pourra se contenter soit : d un distributeur (EV2) simple ou redondant et autosurveillé (EV 2), EV2 Mouvements dangereux Distributeur de commande EV'2 À titre indicatif, on peut envisager les cas de figure suivants pour l obtention de l arrêt d un vérin. Inversion du sens de mouvement pour faire revenir puis maintenir à l arrêt l équipage mobile au point de départ Cette solution n est acceptable que si le mouvement de retour ne génère pas de nouveaux risques. Arrêt de l équipage mobile au cours de son déplacement par : mise à l air libre du circuit d alimentation du vérin. Le temps d obtention de l arrêt dépend dans ce cas de la rapidité de la purge du circuit, de l inertie de l équipage mobile et des frottements auxquels il est soumis ; mise à l air libre du circuit d alimentation du vérin associé à un freinage mécanique de l équipage mobile. Du fait de la compressibilité de l air, cette solution est la seule qui permet un arrêt immédiat ; blocage sur air des vérins : cette solution ne garantit pas un arrêt précis et peut conduire à un coincement de l opérateur du fait des efforts qui sont maintenus. En conclusion, l arrêt par coupure d énergie avec mise à l air libre du circuit d alimentation doit être privilégié chaque fois que la disparition de la pression d alimenta- Pressostat tion n engendre pas de mouvement intempestif. Si l application comporte des vérins de bridage ou effectuant EV1 Détendeur Filtre un travail contre la pesanteur, des dispositions particulières doivent alors être prises (clapets antiretour pilotés, par exemple). Figure 23 Exemple de circuit de puissance pneumatique. Des informations détaillées relatives à la sécurité sur ces dispositions particulières et sur le choix des distributeurs sont données dans la brochure INRS ED 736 [6]. INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE PUISSANCE 23

25 Distributeur 5/2 bistable Distributeur 5/2 monostable Distributeur 5/3 Centre ouvert Distributeur 5/3 Centre fermé Mise hors énergie du circuit Permet facilement une mise à l'air libre de toutes les chambres du vérin quand on l'associe à un distributeur 3/2 ou à un robinet de purge 3/2. Permet de façon automatique une mise à l'air libre de toutes les chambres du vérin. Ne permet pas de façon simple une mise à l'air libre de toutes les chambres du vérin. Nécessite généralement un dispositif spécifique sur chaque liaison distributeur/vérin. Obtention de l'arrêt du vérin en cours de mouvement Possible à l'aide : d'un distributeur purgeur 3/2 couplé si nécessaire à un freinage mécanique, par blocage sur air à l'aide de distributeursbloqueurs 2/2. Possible par mise à l'air libre couplé si nécessaire à un freinage mécanique. Possible par blocage sur air à l'aide de distributeurs-bloqueurs 2/2. Comportement du vérin en cas de coupure intempestive des signaux de commande Poursuite du mouvement en cours jusqu'en butée. Un vérin à l'arrêt reste à l'arrêt, effort maintenu. Inversion ou poursuite du mouvement en cours. Risque de mouvement intempestif pour un vérin à l'arrêt. Arrêt du mouvement en cours par mise à l'air libre. Un vérin à l'arrêt reste à l'arrêt, effort non maintenu. Arrêt du mouvement en cours par blocage sur air. Un vérin à l'arrêt reste à l'arrêt, effort maintenu. Résumé des critères de sécurité pour le choix d'un distributeur. Pour information, le tableau ci-dessus donne, pour la commande d un vérin double effet, quelques critères relatifs à la sécurité pour le choix du distributeur. Le choix de la structure redondante et des autocontrôles sera fonction des résultats d'une évaluation du niveau de contribution de cette partie de circuit de puissance à la réduction de risque engendré par le vérin. 3.3 Circuit de puissance hydraulique Selon l exemple de la figure 24, il est possible de commander l'arrêt du vérin par les distributeurs EV1 et EV2 et par la coupure de la pompe hydraulique. Dans la pratique, on pourra se contenter soit : d un distributeur EV1 avec ou sans contrôle de position, d un distributeur EV1 et la commande du moteur de la pompe hydraulique, des deux distributeurs EV1 et EV2 avec ou sans autocontrôles de leur position. Remarque Dans le cas d utilisation d un seul distributeur à commande proportionnelle (EV 1), la position d arrêt doit être obtenue par sa mise hors tension et non seulement par l application de la valeur de consigne adéquate (cf. figure 25). Pour des informations plus détaillées sur la conception des circuits de puissance hydrauliques, nous recommandons aux lecteurs de se référer aux références bibliographiques [16] [17] [18]. 24 INTÉGRATION DE LA SÉCURITÉ AU NIVEAU DU CIRCUIT DE PUISSANCE