L'arrêt d'urgence constitue l'un des dispositifs de commande les plus visibles sur une machine de chantier, mais sa fonction précise et ses limites d'utilisation demeurent souvent mal comprises. La norme de référence ISO 13850, dont la dernière édition a été publiée en novembre 2015, définit la fonction d'arrêt d'urgence comme « une fonction destinée à éviter ou à réduire un risque existant pour la personne, un dommage à la machine ou au travail en cours ; et qui est déclenchée par une action humaine unique ». Cette définition souligne le caractère ponctuel et réactif du dispositif : il intervient lorsqu'un risque se manifeste déjà, et non pour le prévenir de manière systématique.

Quelle est la limite principale de l'arrêt d'urgence en matière de réduction des risques ?

Contrairement à une idée largement répandue, la fonction d'arrêt d'urgence ne constitue pas une mesure de protection primaire. Elle ne permet pas de réduire les risques à la source. La norme ISO 13850 énonce ce principe de manière claire : « La fonction d'arrêt d'urgence est une mesure de protection complémentaire et ne doit pas se substituer aux mesures de sauvegarde et aux autres fonctions ou fonctions de sécurité. » Ce principe s'aligne avec la Directive Machines, qui stipule au paragraphe RESS 1.2.4.3 : « Les dispositifs d'arrêt d'urgence doivent venir en renfort des autres mesures de protection et non les remplacer. »

Dans la pratique, cela signifie qu'un convoyeur à bande dont les pièces mobiles ne sont pas correctement protégées ne peut être considéré comme sûr du simple fait qu'un câble d'arrêt d'urgence est installé. Les mesures de protection mécaniques — carters, grilles de protection, barrières immatérielles — doivent être mises en œuvre en premier lieu. L'arrêt d'urgence intervient ensuite comme filet de sécurité additionnel en cas de situation imprévue.

L'arrêt d'urgence est-il une fonction de sécurité au sens strict ?

Ce point fait l'objet de débats techniques au sein de l'ISO TC 199. Selon la position majoritaire du comité technique, l'arrêt d'urgence n'est pas une fonction de sécurité à proprement parler, même s'il est intégré dans un système de sécurité. La définition d'une fonction de sécurité retenue est : « Fonction d'une machine dont la défaillance peut entraîner une augmentation immédiate du (des) risque(s). » L'arrêt d'urgence, en revanche, nécessite une action humaine pour être déclenché et n'intervient pas de manière autonome dans la maîtrise d'un danger.

Une position technique différente, soutenue notamment par une majorité d'experts aux États-Unis, reconnaît l'arrêt d'urgence comme une fonction de sécurité dans la mesure où il doit présenter un niveau de fiabilité minimal (SIL 1 ou PL c), mais maintient l'interdiction de l'utiliser comme dispositif de protection principal. La norme américaine B11.19:2019 admet néanmoins, dans les « cas extrêmes où il n'y a pas d'autre solution », la possibilité de réduire le risque grâce à une fonction d'arrêt d'urgence telle qu'une corde ou un bouton, moyennant le respect de toutes les exigences applicables de conception et de fiabilité.

Pourquoi l'arrêt d'urgence ne doit-il pas être utilisé pour sécuriser la maintenance ?

De nombreux boutons d'arrêt d'urgence sont équipés d'une clé. Lorsque la clé est retirée, l'actionneur activé ne peut être réinitialisé sans que la clé soit réinsérée. Cette conception confère une certaine importance à l'activation et à la réinitialisation du dispositif, mais elle induit aussi une pratique dangereuse : certains techniciens de maintenance utilisent la clé comme moyen de consignation, afin de s'assurer que personne ne réinitialise la fonction et ne redémarre la machine pendant leurs interventions. Ce comportement est formellement interdit.

La norme EN ISO 13850 précise explicitement dans sa note au paragraphe 4.1.1.2 : « La fonction d'arrêt d'urgence ne peut être considérée comme une mesure de prévention du démarrage inopiné telle que décrite dans la norme ISO 12100. » La norme EN ISO 14118, publiée en mai 2018, contient une mise en garde similaire. Pour sécuriser une intervention de maintenance, il est nécessaire de recourir à des procédures de verrouillage-étiquetage (lockout-tagout) conformes aux normes spécifiques, et non à l'arrêt d'urgence.

Conception et déclenchement : quelles exigences techniques ?

La fonction d'arrêt d'urgence doit être déclenchée par une action humaine unique, ce qui implique une interface utilisateur simple et immédiatement reconnaissable. Les boutons-poussoirs rouges à champignon, les câbles d'arrêt tendus ou les pédales identifiées sont les dispositifs d'actionnement les plus courants. L'ISO 13850 impose également que la fonction reste active tant qu'elle n'a pas été réinitialisée manuellement, empêchant ainsi tout redémarrage intempestif de la machine.

Le niveau de performance exigé pour le circuit de commande d'arrêt d'urgence est généralement fixé à PL c (Performance Level c) selon l'ISO 13849-1, ou SIL 1 (Safety Integrity Level 1) selon l'IEC 62061. Ces niveaux garantissent une fiabilité suffisante pour un dispositif complémentaire, sans atteindre les exigences imposées aux fonctions de sécurité principales comme les barrières immatérielles ou les dispositifs de verrouillage.

Arrêt d'urgence et évaluation des risques : quelle place dans la hiérarchie des mesures ?

Dans le cadre d'une démarche d'évaluation des risques selon l'ISO 12100, l'arrêt d'urgence intervient en dernière position de la hiérarchie des mesures de réduction des risques. La priorité va toujours à la suppression du danger par conception intrinsèque (par exemple, suppression des pièces mobiles accessibles), puis aux mesures de protection techniques (capotage, barrières), aux mesures de protection complémentaires (dispositifs de surveillance) et, enfin, aux informations pour l'utilisateur. L'arrêt d'urgence ne peut compenser aucune de ces étapes manquantes.

Cette hiérarchie s'applique également aux engins de chantier, où les risques mécaniques, hydrauliques et électriques sont particulièrement élevés. Sur un bagger sur chenilles, par exemple, les risques d'écrasement liés au mouvement du bras d'excavation doivent d'abord être maîtrisés par des mesures de conception (limitation des courses, capteurs de proximité, verrouillage en position transport) avant que l'arrêt d'urgence ne soit envisagé comme mesure complémentaire.

Normes applicables et évolutions réglementaires

Outre l'ISO 13850, plusieurs textes normatifs encadrent l'installation et l'utilisation des dispositifs d'arrêt d'urgence sur les machines de chantier. La Directive Machines 2006/42/CE (et son successeur, le Règlement Machines UE 2023/1230, applicable à partir de 2027) fixe les exigences essentielles de sécurité. Les normes harmonisées ISO 12100 (sécurité des machines – principes généraux de conception) et ISO 13849-1 (parties des systèmes de commande relatives à la sécurité) complètent le cadre technique.

Les constructeurs de chargeuses sur pneus, de tombereaux articulés ou de grues mobiles doivent ainsi intégrer l'arrêt d'urgence dans une architecture globale de sécurité, documentée dans l'analyse de risques et le dossier technique de la machine. La simple présence d'un bouton rouge ne suffit pas à répondre aux exigences légales.

Retour d'expérience et erreurs fréquentes sur chantier

Les audits de sécurité révèlent plusieurs pratiques inadaptées concernant l'utilisation de l'arrêt d'urgence. La plus fréquente consiste à activer le bouton d'urgence en fin de journée comme moyen d'arrêt normal de la machine, ce qui use prématurément le dispositif et banalise son usage. D'autres opérateurs tentent de contourner l'arrêt d'urgence activé en pontant le circuit électrique, supprimant ainsi toute protection. Enfin, l'absence de contrôle périodique du bon fonctionnement de l'arrêt d'urgence (test d'actionnement et de réinitialisation) compromet la fiabilité du système.

Pour garantir l'efficacité de ce dispositif complémentaire, les responsables de parc machines doivent intégrer l'arrêt d'urgence dans leurs procédures de vérification périodique, former les opérateurs à son usage correct et veiller à ce qu'il ne soit jamais considéré comme un substitut aux protections principales. Seule une compréhension précise de sa fonction et de ses limites permet d'éviter les accidents et de respecter les obligations réglementaires.