L'analyse de risque d'une cellule robotisée souffre d'un défaut récurrent : elle décrit la machine telle qu'elle devrait fonctionner. Or les accidents se produisent rarement pendant le cycle nominal. Ils surviennent quand une pièce se coince, quand un capteur tombe en défaut, quand quelqu'un entre pour nettoyer une buse ou reprendre une trajectoire.
Partir du travail réel, pas du schéma
La première étape ne se fait pas au bureau. Elle consiste à observer la cellule en fonctionnement pendant une durée suffisante pour voir survenir les aléas ordinaires : un bourrage, une pièce mal positionnée, une reprise manuelle.
Ce que l'on cherche à noter est simple. Qui intervient, à quel moment, pour combien de temps, avec quel geste, et dans quelle partie de l'espace. Ces observations produisent une liste de situations de travail beaucoup plus riche que la lecture du cahier des charges, parce qu'elles font apparaître les contournements que les équipes ont inventés pour tenir la cadence.
Les principes généraux de prévention posés par le code du travail encadrent cette démarche, et les résultats de l'évaluation des risques de chaque unité de travail doivent être transcrits dans le document unique.
Distinguer le robot, le système robot et la cellule
La confusion entre ces trois niveaux produit des analyses incomplètes. Le robot génère des risques mécaniques liés aux mouvements du bras. Le système robot ajoute les parties travaillantes : l'outil et la pièce en mouvement. La cellule ajoute les équipements associés et l'environnement.
Une analyse qui s'arrête au premier niveau passe à côté de l'essentiel. Le bras d'un cobot à puissance limitée peut être inoffensif au contact ; le même bras équipé d'une lame, d'une torche ou d'une pièce à arêtes vives ne l'est plus.
Les six familles à balayer systématiquement
Le balayage gagne à être méthodique plutôt qu'intuitif. Six familles couvrent l'essentiel de ce qu'une cellule robotisée peut produire.
Les impacts physiques viennent des mouvements du bras, des pinces, de l'outil et de la pièce manipulée, ainsi que des chutes ou éjections de pièces. Ils produisent écrasements, cisaillements, coupures, chocs, perforations et abrasions.
Les risques liés au procédé dépendent de ce que la cellule fabrique : contact avec des éléments chauds ou froids, température excessive, produits chimiques, rayonnements. Une cellule de soudage et une cellule de palettisation n'ont pas le même profil.
Les risques électriques concernent l'armoire, les liaisons et les interventions de maintenance.
Les troubles musculosquelettiques naissent des contraintes physiques de l'interaction, en particulier lors du guidage manuel, et des postures imposées par un poste conçu pour la machine plutôt que pour la personne.
Les risques psychosociaux regroupent la dépendance au rythme du robot, la monotonie des tâches de surveillance, l'isolement et la surcharge mentale. L' INRS les fait figurer explicitement dans son tableau d'identification des risques liés aux robots collaboratifs.
Les risques liés aux interventions hors production, enfin, concernent la maintenance, le nettoyage, le réglage et le déblocage. C'est la famille la plus souvent sous-traitée dans les analyses, et celle où l'accidentologie est la plus lourde.
Les cinq questions qui font remonter ce que l'on ne voit pas
Cinq questions posées aux opérateurs suffisent à faire apparaître la majorité des angles morts.
Que faites-vous quand une pièce se coince. La réponse décrit la procédure réelle de déblocage, souvent plus rapide et moins protégée que la procédure écrite.
Combien de fois par jour entrez-vous dans la zone. Le chiffre est presque toujours supérieur à celui qu'avait prévu le concepteur.
Qu'est-ce qui vous gêne le plus. Cette question fait remonter les postures, les bruits et les contraintes visuelles.
Quelle est la manœuvre que vous faites autrement que ce qui est écrit. Elle demande de la confiance pour obtenir une réponse honnête, et c'est celle qui rapporte le plus.
Qu'est-ce qui vous a fait peur récemment. Les presque-accidents ne sont presque jamais consignés, alors qu'ils désignent exactement les situations à traiter.
Hiérarchiser sans se noyer
Une analyse qui produit deux cents lignes toutes équivalentes ne sert à personne. La hiérarchisation croise la gravité potentielle et la fréquence d'exposition, en tenant compte de la possibilité d'éviter le dommage.
Une situation rare mais très grave, comme une intervention dans l'espace maximal d'évolution sans consignation, prime sur une situation fréquente et bénigne. Une situation fréquente et modérément grave, comme une posture contraignante répétée cent fois par jour, mérite pourtant autant d'attention : elle produit des troubles qui n'apparaissent qu'après des mois.
Ce que l'analyse doit produire
Le livrable utile n'est pas un document, c'est une liste d'actions affectées. Chaque risque retenu porte une mesure, un responsable et une échéance.
Les mesures techniques passent avant les mesures organisationnelles, et celles-ci avant les consignes individuelles. Un panneau qui demande de ne pas entrer ne remplace pas un dispositif qui empêche d'entrer pendant que le bras bouge.
Enfin, l'analyse se relit après quelques semaines de production réelle. Ce que l'équipe fait au bout d'un mois ne ressemble jamais tout à fait à ce que l'on avait imaginé, et cette dérive est exactement ce que la relecture doit capter.
Les modes dégradés, angle mort récurrent
Une analyse construite sur le fonctionnement normal laisse de côté ce qui arrive quand quelque chose manque. Quatre coupures méritent d'être examinées une par une.
La coupure d'énergie électrique : que devient la position du bras, le préhenseur retient-il sa pièce, les protections restent-elles verrouillées.
La coupure d'air comprimé : une pince pneumatique s'ouvre-t-elle ou se ferme-t-elle, et la pièce tombe-t-elle.
Le défaut d'un capteur : la cellule s'arrête-t-elle, ou continue-t-elle avec une information fausse. Ce second cas est le plus dangereux, parce qu'il ne produit aucune alarme.
La remise sous tension : que se passe-t-il au redémarrage si une pièce est restée engagée, ou si un opérateur se trouve encore dans la zone.
Ces quatre scénarios se testent réellement, sur l'installation, et non par lecture de la documentation.
Faire vivre l'analyse
Une analyse de risque produite pour la mise en service et rangée ensuite devient un document mort en quelques mois.
Trois événements doivent déclencher sa relecture : toute modification de la cellule, y compris logicielle, tout incident ou presque-accident, et tout changement dans l'organisation du travail autour du poste.
Une revue périodique, même courte, complète ce dispositif. Elle consiste moins à relire le document qu'à retourner observer la cellule : ce que l'équipe fait au bout de six mois de production diffère toujours de ce que l'analyse initiale avait décrit.
Commentaires
No comments yet