Les verrouillages automatiques et la reprise après défaut d’un filtre-presse partent des dangers propres à la machine, et non d’une liste standard : il faut identifier chaque transition dangereuse effectuée par le filtre-presse — fermeture du paquet de plaques, mise sous pression de l’alimentation, compression des membranes, déplacement des plaques, déchargement du gâteau — et définir les conditions qui doivent être vérifiées avant que chacune d’entre elles ne soit autorisée. Ce qui rend la conception spécifique, c’est le filtre-presse lui-même : s’il est équipé de plaques à membrane et d’un circuit de pression de compression séparé, comment la pression de fermeture est maintenue et relâchée, si un dispositif de déplacement des plaques se déplace entre celles-ci, et quelles pompes en amont et quels convoyeurs en aval sont reliés électriquement au cycle. La reprise après défaillance est alors le reflet de cette même logique : pour chaque interruption, le système de commande définit ce qui s’arrête, quel état est conservé, ce qui est signalé à l’opérateur et qui est autorisé à lancer l’étape suivante.
Raccorder les dispositifs de verrouillage à la presse fournie et à ses sources de danger
Un dispositif de verrouillage n’est utile que s’il établit un lien entre une situation dangereuse spécifique et une action à éviter précise ; c’est pourquoi le travail de définition commence par l’analyse des risques liés à la presse et de sa séquence de mouvements, plutôt que par une liste reprise d’un autre projet. Parcourez la séquence de fonctionnement de la machine telle qu’elle se déroulera réellement : fermeture, remplissage, filtration, compression de la membrane ou soufflage d’air (le cas échéant), relâchement de la pression, ouverture de la plaque, déplacement, évacuation du gâteau et retour à l’état prêt. À chaque transition dangereuse, précisez les conditions qui doivent être remplies avant que la commande ne soit autorisée à effectuer cette transition.
L'énergie stockée mérite d'être traitée séparément du mouvement. Un filtre-presse contient de la pression hydraulique dans le vérin de fermeture, de l’air comprimé ou de l’eau sous pression dans les plaques à membrane, ainsi que de la pression d’alimentation dans le bloc de chambres et les collecteurs ; chacun de ces éléments peut générer un mouvement ou se décharger après l’arrêt du moteur. Les équipements connectés doivent être pris en compte dans cette même analyse : la pompe d’alimentation, la ligne de mélange ou de dosage de la boue, le convoyeur de gâteaux et la trémie à boues peuvent chacun créer un danger au niveau du filtre-presse, ou se retrouver dans un état dangereux suite à l’arrêt de celui-ci.
Lorsque la configuration hydraulique, pneumatique et de processus diffère du cas générique — une presse sans membranes ne nécessite pas de vérification de la libération de la pression, une presse équipée d’un changeur automatique présente un mouvement entre les plateaux que l’on ne retrouve pas sur une presse manuelle —, le dispositif de verrouillage doit s’adapter en conséquence. Pour la presse proposée, l’analyse des risques et le descriptif des mesures de contrôle fournis par le fournisseur sont les documents qui indiquent quelles conditions ont été attribuées à quelles transitions. L’architecture de protection finale, y compris la détermination des fonctions liées à la sécurité et de leur niveau de performance, découle de l’évaluation des risques liés aux machines du projet ; ISO 12100:2010 décrit la méthodologie générale permettant d'identifier les dangers, d'estimer et d'évaluer les risques, de les réduire et d'en consigner les résultats ; toutefois, elle ne détermine pas la conformité ni la conception de protection complète d'une machine donnée, et son édition actuelle est en cours de révision.
Définir les signes indiquant que la pression a été relâchée avant l’ouverture
Avant que le bloc de plaques ne puisse s’ouvrir, le système de commande doit disposer d’une preuve formelle que les pressions susceptibles de provoquer un mouvement ou une éjection ont été évacuées — et le fait que “ le temporisateur soit arrivé à terme ” ne constitue pas cette preuve. Une étape terminée indique qu’un certain temps s’est écoulé ; elle ne signifie pas pour autant qu’une vanne s’est actionnée, qu’une conduite s’est purgée ou que la membrane retient encore de l’eau parce qu’un circuit de vidange est obstrué. Ce qui caractérise un programme de pressage bien défini, c’est que le script de commande spécifie les états de libération qu’il reconnaît, les signaux qui les confirment et ce que la machine fait lorsque la confirmation n’arrive pas.
Les pressions en jeu ne sont pas interchangeables. La pression d'alimentation dans le bloc de chambre, la pression de compression derrière les membranes et la pression de fermeture sur la pile de plaques proviennent chacune d'une source différente et s'évacuent par un chemin différent ; chacune nécessite donc son propre état d'évacuation. La Mode d'emploi du filtre-presse à membrane Putsch PKF 100 NG-2 Prenons l'exemple de cette machine : la séquence décrite sépare l'extraction de l'eau du séchage à l'air ou du nettoyage, et précise la libération de la pression de la membrane ainsi que celle de la pression de fermeture correspondante avant l'ouverture et l'évacuation. Il s'agit de la description d'un modèle fournie par le fabricant, publiée dans un manuel mis à disposition par un revendeur ; sa séquence, ses seuils, la disposition des vannes et le comportement en cas de défaillance ne peuvent pas être transposés à une autre presse.
La question pertinente concernant la presse en question est donc précise et peut trouver une réponse. Quels états de relâchement de pression le système de commande détecte-t-il avant l’ouverture ? Comment chacun d’entre eux est-il confirmé — par un pressostat, la lecture d’un transmetteur, le retour d’information sur la position de la vanne ou une combinaison de ces éléments ? Et que se passe-t-il lorsqu’un relâchement n’est pas confirmé dans le délai prévu ? La réponse en cas d’ouverture bloquée est tout aussi importante que le relâchement lui-même, car une presse qui se contente d’attendre sans donner d’indication incite les opérateurs à chercher un moyen de contourner cette attente. Demandez ces précisions par écrit dans le cadre de la description du système de commande, et considérez les signaux de confirmation comme des éléments de conception plutôt que comme des détails de mise en service.
Préciser l'état conservé après un défaut de cycle
Un dysfonctionnement doit laisser la presse dans un état bien défini et décrit, et le cahier des charges doit préciser en quoi consiste cet état pour chaque type d'interruption. Pour chaque défaillance matérielle, quatre questions doivent trouver une réponse : quel équipement s'arrête, quel état est conservé, quelles informations s'affichent à l'opérateur et qui est habilité à lancer l'étape suivante ? Si ces quatre réponses ne sont pas consignées par dysfonctionnement, la machine aura tout de même un comportement — mais un comportement non documenté, pour lequel personne ne pourra planifier de procédure de reprise.
La raison pour laquelle on les distingue en fonction du type de défaillance tient au fait que les risques diffèrent. Une interruption de l’alimentation — déclenchement de la pompe, vanne fermée, cuve vide — laisse la presse sous pression mais sans mouvement, et la remise en service consiste essentiellement à rétablir l’alimentation et à reprendre la filtration dans les conditions autorisées par le système de commande. Une défaillance survenant pendant le déplacement des plaques laisse le dispositif de déplacement coincé entre deux plaques, l’opérateur étant alors susceptible de s’approcher du paquet de plaques ouvert pour constater ce qui s’est passé. Un dysfonctionnement lors du déchargement peut entraîner la formation d’un pontage de gâteau dans la trémie et l’arrêt d’un convoyeur sous charge. Un dysfonctionnement alors que la pression de membrane ou de fermeture est encore maintenue est encore différent, car c’est l’énergie stockée qui détermine si un mouvement est sûr ou non. Une commande de réinitialisation générique appliquée aux quatre cas masque précisément les différences qui comptent.
L'état de conservation détermine également si la reprise du cycle est tout simplement envisageable. Un ensemble de chambres partiellement rempli contenant des solides tassés risque de ne pas filtrer correctement si l'alimentation redémarre simplement, et une plaque partiellement déplacée peut ne pas se trouver dans une position reconnue par la séquence. C’est pourquoi la machine fournie peut nécessiter un retour à un état de départ défini — pack fermé, plaques en position initiale, pressions relâchées et séquence réinitialisée — plutôt qu’une reprise en cours d’opération, et le fournisseur doit préciser quels défauts permettent la reprise et lesquels imposent ce retour. L’écran de l’opérateur doit indiquer la condition en termes de processus, et pas seulement sous forme de code, afin que la personne devant le panneau de commande sache si elle est confrontée à un problème d’alimentation, un problème de mouvement ou une pression résiduelle.
Distinguer la réinitialisation de l'alarme de l'autorisation de redémarrage
| Décision de contrôle | Question abordée | Une autre question qui reste en suspens |
|---|---|---|
| Accusé de réception de l'alarme | L'alarme affichée a-t-elle été acquittée ? | La cause du dysfonctionnement a-t-elle été corrigée ? |
| Élimination des défauts | Le problème a-t-il été résolu après avoir corrigé sa cause ? | A-t-on vérifié la présence de personnes, la présence d'énergie résiduelle et la connexion des équipements avant le redémarrage ? |
| Autorisation de redémarrer | Le redémarrage est-il autorisé à partir de l'état où l'interruption s'est produite ? | La machine nécessite-t-elle un état de départ défini, ou la reprise s'effectue-t-elle dans des conditions évaluées et testées ? |
La prise en compte d'une alarme, la suppression du défaut et l'autorisation de redémarrage sont trois décisions distinctes, et le cahier des charges fonctionnel doit veiller à ce qu'elles le restent. Appuyer sur le bouton de réinitialisation fait disparaître un message de l'écran ; cela ne dit rien sur la présence éventuelle d'une personne au niveau du bloc de plaques, sur le maintien de la pression de membrane ou de fermeture, ni sur l'état de fonctionnement de la pompe d'alimentation et du convoyeur à gâteau. Lorsqu'un seul bouton regroupe ces trois actions, l'affichage devient la seule indication dont dispose l'opérateur, et cet affichage est la source d'information la moins fiable qui soit.
La conséquence pratique se situe au niveau de la logique de commande. L’opérateur doit pouvoir accuser réception à tout moment, car le fait de couper l’avertisseur sonore ne constitue pas une décision de sécurité. La suppression d’un défaut doit exiger que la condition à l’origine de celui-ci ait effectivement disparu, ce qui doit être confirmé par le signal qui l’a déclenché plutôt que par la simple affirmation de l’opérateur. L’autorisation de redémarrage doit dépendre de l’état réel après l’interruption — quelles pressions sont relâchées, où se trouve le sélecteur de vitesse, si les protecteurs sont fermés et si les équipements connectés sont en état de démarrer — et du fait que le redémarrage à partir de cet état soit ou non autorisé par la conception de sécurité.
Une reprise automatique programmée est possible pour certains défauts, et une presse qui tente à nouveau de démarrer l'avance après une brève coupure d'alimentation peut être justifiée. Elle n'est acceptable que dans les conditions pour lesquelles elle a été évaluée et testée, et ces conditions doivent figurer dans le cahier des charges aux côtés de la fonction. C’est la procédure approuvée du projet et la personne désignée pour la valider qui déterminent si un défaut donné peut faire l’objet d’une reprise automatique et si l’état de reprise peut être remis en service, et non la commodité du cycle.
Maîtriser les énergies dangereuses avant toute intervention d'entretien
Dès lors que le dépannage nécessite d’intervenir entre les plaques, qu’il s’agisse de dégager un gâteau coincé ou d’effectuer tout autre travail de maintenance, les verrouillages de sécurité cessent d’assurer la protection et la procédure de contrôle de l’énergie spécifique à la machine du site prend le relais. Cette procédure comprend l’isolation physique de chaque source d’énergie, la maîtrise de l’énergie stockée et la vérification de l’efficacité de l’isolation ; elle est appliquée avant le début des travaux plutôt qu’après la première tentative d’intervention. Sur un filtre-presse, les sources d’énergie concernées sont rarement uniquement électriques : la pression hydraulique dans le circuit de fermeture, l’air comprimé alimentant les membranes et les vannes, l’alimentation sous pression dans le collecteur, ainsi que la force de gravité exercée sur une plaque non soutenue ou un convoyeur chargé doivent toutes être prises en compte.
Il convient de bien distinguer les dispositifs de circuit de commande des dispositifs d'isolation de l'énergie. La règle de l'OSHA applicable à l'industrie générale aux États-Unis, prévue à 29 CFR 1910.147 les considère comme des éléments distincts — un arrêt IHM, un sélecteur hors mode automatique ou une autorisation logicielle constituent des dispositifs du circuit de commande, et non des dispositifs d’isolation de l’énergie — ; par conséquent, aucun d’entre eux ne remplace le dispositif d’isolation prévu pour les opérations d’entretien. Cette règle couvre le contrôle de l’énergie lors des opérations d’entretien et de maintenance dans l’industrie générale américaine et s’applique aux sources électriques, mécaniques, hydrauliques, pneumatiques, chimiques et thermiques ; il ne s’agit ni d’une exigence chinoise, ni d’une procédure propre à une machine, ni d’une conception complète. La détermination des obligations légales applicables à une usine donnée, ainsi que celle de l’admissibilité d’éventuelles mesures alternatives, nécessite une évaluation spécifique à chaque juridiction.
Cela a des implications en matière d'approvisionnement. Le fournisseur de la presse doit identifier les dispositifs d'isolation, leur emplacement et les points d'énergie stockée qui doivent être purgés ou bloqués, car le site ne peut pas rédiger une procédure spécifique à la machine sans savoir où se trouvent l'accumulateur hydraulique, le réservoir d'air et la conduite d'alimentation fermée. La vérification de l'absence totale d'énergie nécessite une méthode définie et un emplacement pour effectuer ce contrôle, ce qui est plus facile à mettre en place lors de la conception que de procéder à des modifications a posteriori sur une tuyauterie déjà installée.
Vérifier les interruptions et la reprise à l'aide de tests en conditions de sécurité
| Élément d'enregistrement de test | Problème à résoudre |
|---|---|
| État initial | Que faisait la presse lorsque l'interruption a commencé ? |
| Méthode d'essai avec simulation de défaut et en conditions de sécurité | Quelle défaillance du matériau fait-elle l'objet de l'essai, et cette méthode est-elle sûre ou a-t-elle été remplacée par une alternative sûre et homologuée ? |
| Arrêt prévu | Quelles fonctions de la presse et quels équipements connectés devraient cesser de fonctionner ? |
| État conservé | Quel état devrait prévaloir après la rupture ? |
| Recouvrement autorisé | Qui peut lancer la prochaine étape, et la récupération nécessite-t-elle un état de départ bien défini ? |
| Réponse observée | L'interruption et la reprise se sont-elles déroulées comme prévu, y compris le redémarrage des équipements connectés ? |
Les essais de réception doivent être effectués en fonction d'une liste convenue d'interruptions, car une presse qui effectue un cycle sans problème ne prouve en rien son comportement lorsqu'un cycle est interrompu. Établissez cette liste à partir des défaillances matérielles identifiées lors de l’analyse des risques — coupure de l’alimentation en matière première, perte d’air, défaillance d’un dispositif de changement de vitesse, arrêt d’urgence pendant la compression, ouverture d’un capot de protection pendant le déchargement, arrêt d’un convoyeur en aval — et rédigez une note pour chacune d’entre elles avant le jour du test, afin que le comportement attendu fasse l’objet d’un accord préalable plutôt que d’être justifié a posteriori.
Ces données permettent de vérifier si l’arrêt documenté, l’état de maintien et la procédure de reprise correspondent bien à ceux que la machine produit réellement. Le comportement à surveiller de très près est ce qui se passe lorsque la défaillance est réparée : le rétablissement d’une pompe d’alimentation ou la réouverture d’un dispositif de protection ne devraient pas, en soi, provoquer de mouvement inattendu au niveau de la presse ni redémarrer les équipements connectés. Il est bien préférable d’observer cela sur une machine à l’arrêt, en présence de personnel et avec une zone de déchargement dégagée, plutôt que de le découvrir en cours de poste.
Toutes les défaillances ne peuvent pas être reproduites en toute sécurité. Provoquer délibérément une défaillance d’un circuit de décompression ou interrompre un mouvement en cours de course peut créer précisément le danger que l’on cherche à tester ; dans ce cas, l’essai est remplacé par une alternative sûre et approuvée — signaux simulés à l’entrée, essai sur banc de la logique ou vérification en présence d’un témoin du code de commande — et cette substitution est consignée avec la raison qui la justifie. La décision d’accepter ou non les réponses observées relève de la procédure approuvée du projet et de la personne désignée pour l’approuver.
Pour un échange constructif avec le fournisseur du presse automatique proposée, veillez à disposer des éléments suivants : la configuration du pressoir, en précisant notamment si celui-ci est équipé de plaques à membrane et d’un dispositif de changement de plaque automatique ; une liste des équipements en amont et en aval raccordés, avec leurs verrouillages électriques ; les pratiques du site en matière de contrôle de l’énergie et la réglementation applicable ; les caractéristiques de la boue et du gâteau qui influent sur les risques de bourrage et de pontage ; ainsi qu’une liste provisoire des interruptions que vous souhaitez voir reproduites lors de la réception. Les réponses vérifiées aux défaillances et les autorisations de reprise d’exploitation issues de ces essais doivent ensuite figurer dans formation des opérateurs et dans le registre de relais, afin que les personnes en charge de la ligne sachent quelles pannes elles peuvent résoudre elles-mêmes et lesquelles doivent être confiées à quelqu'un d'autre.
Questions fréquemment posées
Q : Comment puis-je comparer les propositions de systèmes de verrouillage de deux fournisseurs si leurs listes d'alarmes semblent similaires ?
A : Il convient de comparer la situation dangereuse détectée par chaque dispositif de verrouillage et l’action qu’il empêche, plutôt que de se contenter de compter les alarmes. Pour la presse proposée, vérifiez que l’explication tient compte des mouvements, de la pression maintenue et des équipements connectés lors des transitions de cycle concernées. Des noms d’alarmes similaires ne garantissent pas une protection équivalente ; la configuration finale doit s’appuyer sur l’évaluation des risques liés aux machines du projet.
Q : Un cycle interrompu peut-il reprendre là où il s'est arrêté, ou doit-il recommencer depuis le début ?
A : Aucune de ces deux options ne doit être considérée comme acquise. La spécification de reprise doit identifier l'étape interrompue, l'état conservé par la presse et les équipements connectés, ainsi que les conditions requises pour l'action suivante autorisée. Certaines machines fournies peuvent nécessiter un retour à un état de départ défini ; par conséquent, une promesse générale de “ reprise après réinitialisation ” doit s'accompagner d'une définition plus précise des limites de la reprise.
Q : Faut-il opter pour la récupération automatique lors de l'achat d'un filtre-presse automatique ?
A : Précisez quels défauts, le cas échéant, peuvent faire l'objet d'une reprise automatique et dans quelles conditions évaluées et testées. Le simple fait que le fonctionnement soit automatique ne suffit pas à établir que tout état d'interruption se prête à une reprise automatique. Distinguez ces cas des défauts qui nécessitent l'autorisation d'une personne avant le redémarrage, et intégrez le comportement convenu dans les essais d'interruption.
Q : Le cahier des charges d'un dispositif de verrouillage précise-t-il également la procédure à suivre pour éliminer un bourrage ou effectuer l'entretien de la presse ?
A : Non. Cette intervention nécessite la mise en œuvre de la procédure de contrôle énergétique spécifique à l'installation, comprenant l'isolation physique, le contrôle de l'énergie stockée et la vérification. Il convient d'inclure cette procédure ainsi que les responsabilités correspondantes de l'opérateur dans le protocole de transfert, plutôt que de considérer un arrêt via l'IHM ou la désactivation du mode automatique comme une mesure d'isolation. Les exigences légales applicables doivent être déterminées en fonction de la juridiction du site.
