Douches de sécurité et lave-œil : automatiser l'activation périodique

Ce qu’exigent les référentiels applicables

Les exigences diffèrent selon les marchés, tant sur le fond que sur la force juridique qui s’y attache.

Deux dispositions de Z358.1 déterminent tout le contenu de cette page. Les appareils raccordés au réseau doivent être activés chaque semaine, et une inspection complète a lieu chaque année. L’activation hebdomadaire est brève : elle suffit à confirmer que l’appareil fonctionne et que du liquide de rinçage est disponible à la tête de l’appareil (pomme de douche ou buse du lave-œil). Ce n’est pas un essai de performance, et ce n’est pas l’inspection annuelle. L’équipement lui-même est conçu pour délivrer du liquide de rinçage pendant 15 minutes complètes à une température tiède, à partir d’une vanne qui s’ouvre en environ une seconde et reste ouverte jusqu’à sa fermeture volontaire.

Ces référentiels convergent en ceci qu’ils décrivent tous un équipement devant délivrer pendant une durée soutenue, à partir d’une vanne que l’utilisateur n’a pas à maintenir ouverte. Ils divergent, et nettement, sur la fréquence d’activation, le régime d’inspection et la température de délivrance, autant d’éléments qui ne se transposent pas d’un marché à l’autre.

La capacité d’un composant n’établit pas, à elle seule, la conformité de l’équipement complet et de l’installation. Cela se détermine au niveau du produit fini et du site, non au niveau d’une commande.

L’activation remplit deux fonctions

La première consiste à confirmer que l’appareil fonctionne.

La seconde concerne l’eau. Entre deux activations, l’eau stagne dans la branche qui alimente l’appareil, et un équipement de secours n’est, par construction, presque jamais utilisé : cette conduite d’alimentation compte donc parmi les plus fiablement stagnantes d’un bâtiment. Lorsque l’alimentation est tempérée, la partie haute de la plage tiède peut favoriser la prolifération microbienne. Un appareil mécaniquement en bon état peut néanmoins délivrer une eau restée chaude pendant des semaines.

Ces deux fonctions se dissocient dès l’automatisation, et les maintenir distinctes constitue le problème de conception.

Partir de l’analyse des défaillances

Une douche de sécurité manuelle est une vanne à commande manuelle sur une alimentation sous pression. Rien d’électronique ne s’interpose entre l’alimentation et la tête de l’appareil.

Ajouter de l’électronique sur ce trajet introduit des modes de défaillance le plus souvent silencieux : une batterie déchargée depuis la dernière visite, une électrovanne bistable bloquée ou restée à mi-course, une bobine ou un étage de commande défaillant, un défaut de la commande. Les contrôles de routine en détectent une partie, mais entre deux contrôles, ils peuvent rester indétectés à moins que le système ne se surveille lui-même et ne signale les anomalies.

Le critère que toute architecture doit satisfaire est donc le suivant : un défaut unique dans le système ajouté ne doit pas empêcher l’eau d’atteindre la tête de l’appareil. Ce principe prime sur toute autre question traitée dans cette page.

Où peut se situer une vanne de rinçage

Sur un appareil à commande manuelle, l’alimentation est sous pression jusqu’à la vanne manuelle, et tout ce qui se trouve en aval reste à sec tant que personne ne l’ouvre. Un rinçage automatisé ne peut donc prélever l’eau qu’en amont de cette vanne.

Branche de dérivation Le trajet de rinçage part en amont et rejoint l'évacuation

Défaut unique dans le système ajouté Le rinçage s'arrête. La douche fonctionne toujours.

Vanne dans le trajet d'alimentation L'électronique se trouve dans le trajet de délivrance

Défaut unique dans le système ajouté Peut s'interposer entre l'alimentation et la tête. Admissible uniquement avec une dérogation mécanique, une alimentation et un comportement de vanne qui laissent l'eau disponible, et une supervision.

Une branche de dérivation (bypass). Un té en amont de la vanne manuelle, une électrovanne de rinçage, et une conduite vers l’évacuation. À chaque cycle, le contrôleur ouvre l’électrovanne et l’eau circule depuis l’alimentation sous pression, à travers la branche, jusqu’à l’évacuation. Le trajet de rinçage ne se situe pas entre l’alimentation et la tête de l’appareil, de sorte qu’un défaut empêchant le bypass de fonctionner, comme une batterie déchargée ou une vanne bloquée fermée, arrête le rinçage sans empêcher la douche de fonctionner. Un bypass bloqué ouvert est un cas différent, de nature hydraulique, traité plus loin.

C’est une architecture possible parmi d’autres, non une solution par défaut. Elle doit être conçue par le calcul, et non simplement supposée. Le bypass doit être dimensionné de sorte qu’une électrovanne bloquée ouverte ne puisse pas réduire sensiblement le débit ou la pression disponibles à l’appareil lors d’une activation réelle, ce qui relève du calcul hydraulique et non d’une simple garantie de principe. Il nécessite des dispositifs d’isolement et anti-retour adaptés à l’installation. Il nécessite une évacuation capable d’absorber le rejet, ce dont de nombreux emplacements de douches de sécurité ne disposent pas. Et un bypass bloqué ouvert qui rejette vers une évacuation éloignée n’est pas nécessairement visible de qui que ce soit, de sorte qu’un site s’appuyant sur la visibilité comme indicateur de défaut devrait reconsidérer cette hypothèse.

Deux limites subsistent même lorsque l’architecture est correctement conçue. Le bypass n’actionne jamais la vanne propre à l’appareil : il n’exerce donc pas l’appareil et ne satisfait pas à l’activation périodique que décrivent ces référentiels. Et il ne renouvelle la branche que jusqu’au té, laissant l’eau stagner entre le té et la tête de l’appareil ; c’est pourquoi le té doit se situer aussi près de l’appareil que l’installation le permet.

Une vanne dans le trajet d’alimentation. Cette solution permet au cycle d’actionner l’appareil lui-même, ce qu’exige une activation automatisée complète, et elle ne se pose que lorsque l’appareil est déjà à commande électronique. Si elle est retenue, la démonstration de sécurité doit être établie explicitement : une commande de dérogation mécanique en parallèle de l’actionnement électronique, une disposition de la vanne et de l’alimentation électrique dont les modes de défaillance laissent l’alimentation en eau disponible plutôt que de l’isoler, une supervision de l’état de la batterie et de la position de la vanne afin que les défauts soient signalés plutôt que découverts, et une réponse définie pour le cas où la supervision elle-même serait indisponible. Il s’agit là d’un travail de sécurité fonctionnelle, d’une ampleur nettement supérieure à celle d’une simple minuterie pilotant une électrovanne. À noter également : lorsqu’un référentiel exige que la vanne reste ouverte jusqu’à sa fermeture volontaire, comme le fait Z358.1, aucune coupure temporisée ne doit se trouver dans le trajet de secours.

Ce que l’automatisation remplace, et ce qu’elle ne remplace pas

Le rinçage automatisé sur un bypass empêche l’alimentation de stagner entre deux activations, sur les appareils que personne ne visite souvent. Sur les sites comportant des appareils dans des recoins isolés, sur des installations non surveillées ou dans des implantations saisonnières, c’est précisément là que se situe le problème du temps de séjour de l’eau.

Il ne remplace pas l’activation périodique, qui actionne l’appareil et vérifie qu’il fonctionne. Il ne confirme pas que le liquide de rinçage a atteint la tête de l’appareil, que le jet était conforme, ni que le débit et la température ont satisfait à l’exigence applicable. Il ne remplace pas non plus l’inspection que requiert le régime applicable, laquelle est annuelle sous Z358.1. Il doit être spécifié comme une mesure de qualité de l’eau venant s’ajouter au régime d’essai, non comme un moyen de le réduire.

Pour de nombreux sites, la bonne réponse reste une routine manuelle assortie d’un registre écrit. Le rinçage automatisé se justifie là où les appareils sont nombreux, isolés ou saisonniers, et là où l’eau stagnante constitue la préoccupation dominante.

Ce que supposerait un appareil surveillé

Que l’activation elle-même puisse être automatisée et documentée est une question légitime, et les exigences sont alors plus lourdes que pour une simple vanne programmée.

Les contrôles visuels et l’inspection resteraient nécessaires, car le jet, une éventuelle obstruction et l’état de l’appareil ne se mesurent pas de cette façon. C’est une question de développement, non une question de composant.

Déterminer le cycle

L’intervalle suit le régime du site, souvent hebdomadaire lorsqu’il accompagne le rythme des activations.

La durée doit permettre de renouveler l’eau retenue dans la branche jusqu’au té. Calculer ou estimer ce volume, établir le débit à travers le bypass dans des conditions représentatives, diviser, et ajouter une marge. Lorsque la pression d’alimentation varie selon l’heure ou la saison, dimensionner sur le débit minimal crédible. Sur une alimentation tempérée, déterminer quelle branche le cycle renouvelle réellement, car une disposition mitigée peut ne renouveler complètement ni la ligne chaude ni la ligne froide.

Dans les climats à risque de gel, la protection contre le gel détermine l’architecture et le choix de l’appareil, et toute modification de l’intervalle de rinçage à ce titre doit reposer sur une justification propre au site plutôt que sur une règle générale. Et le cycle de rinçage ne doit pas s’exécuter pendant une activation réelle, ce qui est simple à organiser mais doit l’être délibérément.

Alimenter l’électronique là où se trouve l’appareil

Les appareils de secours se trouvent souvent précisément là où il n’y a pas de réseau électrique. Lorsqu’il faut tirer une alimentation secteur jusqu’à chaque appareil, ce poste de travaux peut représenter une part importante du coût du projet, et sur certains sites, c’est précisément ce qui empêche d’envisager l’automatisation.

L’électronique devient alors un problème de budget énergétique. Un contrôleur qui attend entre deux cycles hebdomadaires passe la quasi-totalité de sa vie au repos, de sorte que le courant absorbé au repos peut dominer cette charge, tandis que l’énergie des impulsions, la capacité et la chimie de la batterie, la température et l’autodécharge entrent tous dans le calcul. Le choix de la vanne en découle : une électrovanne bistable ne consomme du courant que pendant les impulsions qui l’ouvrent et la ferment, ce qui rend réaliste un intervalle de remplacement de la batterie de plusieurs années.

Sur une branche de bypass, une batterie déchargée constitue une défaillance de maintenance et non une défaillance de sécurité. C’est la raison pour laquelle la batterie se trouve là, et non dans le trajet de secours.

Registres

Un contrôleur qui remonte les événements atteste qu’un cycle a été commandé à un instant donné. C’est un type de preuve différent d’un registre manuel, pas simplement meilleur : un enregistrement de contrôleur est produit de façon fiable et ne peut attester de rien au-delà de la commande elle-même, tandis qu’une activation manuelle observée peut attester du rejet et de l’état de l’appareil, mais dépend de la personne qui l’exécute. Là où une installation exige davantage, la position de la vanne montre que la vanne a été commandée ou déplacée, un signal de pression montre que la conduite a réagi, et une mesure de débit montre que l’eau a effectivement franchi le point de mesure. Aucun de ces éléments, pris isolément, n’atteste que l’appareil a fonctionné comme spécifié.

Pour la plupart des exploitants, le résultat utile est un registre daté par appareil, montrant que le régime de rinçage s’est exécuté conformément à la configuration, produit sans qu’il soit nécessaire de parcourir le site, et tenu clairement à l’écart des registres d’activation et d’inspection qu’exige le référentiel applicable.