Liste de contrôle de réception en usine pour équipements médicaux et de laboratoire

Vérifier qu'un plan d'essai FAT écrit ou un plan d'inspection et d'essai (ITP) existe et a été approuvé par l'acheteur et le fournisseur avant le début des essais.

Sans plan approuvé, la base d'acceptation/refus est contestable ; tester selon un plan non approuvé invalide la réception.

Vérifier que le plan d'essai liste chaque essai, ses critères d'acceptation, la séquence, et le point de validation pour chaque étape.

Un plan sans critères d'acceptation explicites par essai laisse passer des résultats limites sans contestation.

Vérifier que la spécification acheteur en vigueur, le bon de commande et les plans approuvés sont disponibles sur le lieu d'essai et correspondent à l'équipement présenté.

Tester par rapport à une spécification ou un indice de plan périmé est une cause fréquente d'équipement accepté puis rejeté.

Vérifier que les indices de révision des documents de référence sur site sont les derniers émis et qu'aucune demande de modification ouverte n'affecte le périmètre testé.

Des indices de révision non maîtrisés ou obsolètes annulent l'intérêt même de l'assistance par rapport à ces documents.

Vérifier que les utilités requises pour les essais prévus — alimentation électrique, air comprimé, eau, refroidissement ou combustible selon le cas — sont disponibles et raccordées à l'usine.

Des utilités de site absentes ou sous-dimensionnées bloquent ou écourtent régulièrement une FAT une fois les participants sur place.

Vérifier que les utilités fournies par le fournisseur correspondent aux valeurs requises par l'équipement et le plan d'essai en tension, fréquence, pression, débit et qualité.

Une utilité présente mais à des paramètres incorrects (tension ou pression d'air, par exemple) empêche un essai de performance valide.

Vérifier que le personnel du fournisseur nécessaire pour conduire l'essai — opérateurs, ingénieur responsable ou représentant qualité — est présent et disponible pendant toute la durée.

L'absence de personnel compétent impose un essai improvisé ou un report ; confirmer qu'un représentant du fournisseur peut valider la réception.

Vérifier que tous les participants ont reçu l'induction sécurité du site et que l'équipement de protection individuelle requis leur a été remis avant d'entrer dans la zone d'essai.

Des participants non induits sur un site de production en activité constituent une exposition en matière de sécurité et de responsabilité, et peuvent être évacués, ce qui arrête la FAT.

Vérifier que les dispositions d'urgence pour la zone d'essai — issues, point de rassemblement, premiers secours et contact d'urgence du site — ont été communiquées aux participants.

Un essai de réception sous tension ou sous pression comporte des risques réels ; les participants doivent connaître la conduite à tenir avant d'en avoir besoin.

Vérifier qu'un certificat d'étalonnage valide et en cours de validité est disponible pour chaque instrument de mesure utilisé pour juger les résultats de la FAT.

Des résultats mesurés avec un instrument non étalonné ou périmé ne sont pas défendables ; vérifier que la date d'étalonnage n'est pas dépassée.

Vérifier que l'étalonnage de chaque instrument d'essai est raccordé à un étalon national ou international reconnu et que sa précision est adaptée aux tolérances contrôlées.

Un instrument moins précis que la tolérance qu'il vérifie ne peut pas confirmer la conformité ; la chaîne de raccordement doit figurer sur le certificat.

Vérifier que des feuilles de résultats FAT vierges ou un procès-verbal d'assistance conforme au plan d'essai approuvé sont préparés pour consigner les résultats et signatures au fil des essais.

Consigner les résultats après coup, de mémoire, affaiblit le procès-verbal de réception ; capturer les relevés et les validations en temps réel.

Vérifier qu'un bordereau de transmission ou un index documentaire est fourni et que chaque document qu'il référence est physiquement présent dans le dossier.

Un index comportant des pièces référencées mais absentes est la façon la plus courante dont un dossier incomplet passe inaperçu. Pointer chaque ligne face au document physique correspondant.

Vérifier que le procès-verbal d'essais et d'inspection compilé, couvrant les résultats du FAT assistés, est inclus, signé et daté par le fournisseur.

C'est le document sur lequel l'acheteur s'appuiera après expédition. Confirmer qu'il est bien intégré au dossier ; les résultats d'essais sous-jacents sont assistés et jugés dans les modules techniques concernés, pas ici.

Vérifier que les certificats matière et composants exigés par le bon de commande sont présents, lisibles et référencés de façon croisée aux éléments qu'ils couvrent.

Présence, lisibilité et traçabilité dans le dossier uniquement. La conformité du contenu du certificat à la spécification de nuance/épaisseur est vérifiée dans le module matériaux (mat), pas ici.

Vérifier que les manuels d'exploitation et de maintenance sont inclus et couvrent l'installation, l'exploitation, la maintenance courante et le dépannage.

Une carence fréquente est un manuel limité à l'exploitation, sans section maintenance ni dépannage.

Vérifier que les plans conformes à l'exécution sont inclus et reflètent l'unité telle qu'inspectée, y compris toute modification intervenue en cours de fabrication.

Les plans fournis sont fréquemment le dossier de conception d'origine, non le conforme à l'exécution. Comparer les indices de révision aux modifications constatées sur l'unité.

Vérifier qu'une liste de pièces de rechange est incluse et que chaque ligne porte une référence constructeur suffisante pour permettre une recommande sans requête complémentaire.

Des désignations sans référence, ou des codes internes sur lesquels l'acheteur ne peut pas commander, rendent tout remplacement ultérieur dépendant du fournisseur.

Vérifier que les pièces de rechange recommandées pour la mise en service et le premier entretien sont identifiées dans la liste de pièces de rechange et réconciliées avec ce qui est effectivement expédié avec l'unité.

Volet documentaire du contrôle des pièces de rechange. La présence physique des pièces expédiées dans les caisses est confirmée dans le module emballage (pack).

Vérifier que les conditions de garantie sont formalisées par écrit, incluant la durée, la base de départ, la couverture et toute exclusion ou condition.

Une garantie dont la date de départ, le périmètre ou les conditions ne sont pas définis est difficile à faire valoir après expédition. Confirmer par rapport aux conditions du bon de commande.

Vérifier que tous les documents de livraison sont fournis dans la langue exigée par le bon de commande.

Des manuels ou certificats fournis uniquement en chinois constituent un constat fréquent. Confirmer la langue exigée et si des exemplaires bilingues ou traduits avaient été convenus.

Vérifier que les données de plaque signalétique consignées dans les documents (modèle, numéro de série, caractéristiques nominales) correspondent à la plaque signalétique physique de l'unité.

Des documents décrivant un numéro de série ou des caractéristiques nominales différents de ceux de l'unité indiquent un dossier non correspondant ou réutilisé.

Vérifier que les coordonnées du fournisseur et des sous-fournisseurs pour le support technique, les pièces de rechange et les réclamations sous garantie sont indiquées dans le dossier.

Le support post-expédition s'enraye lorsque l'acheteur ne dispose d'aucun contact nommé pour les pièces ou la garantie.

Vérifier que chaque document porte un titre, un indice de révision ou d'édition et une date, permettant à l'acheteur de confirmer qu'il détient l'édition en vigueur.

Des documents non indicés rendent impossible, par la suite, de déterminer si une version obsolète est utilisée.

Confirmer que le dossier est spécifique à cette unité et non un manuel générique de famille de produits omettant les options ou variantes commandées.

Des manuels génériques sont couramment substitués à ceux d'une réalisation sur mesure ; ils décrivent les options standard et omettent ou contredisent ce qui a réellement été fourni.

Confirmer que, lorsqu'un dossier électronique est fourni, les fichiers s'ouvrent, sont complets, ne sont ni verrouillés par mot de passe ni corrompus, et que tout format natif promis est bien inclus.

Une clé USB ou un lien remis lors du FAT peut ne contenir que des fichiers numérisés, verrouillés ou incomplets. Ouvrir un échantillon et confirmer la présence des formats convenus (par exemple plans modifiables).

Confirmer que la spécification d'emballage (ou la liste de colisage) ainsi que le mode et l'itinéraire de transport prévus sont disponibles avant l'inspection de l'emballage.

La méthode d'emballage doit être jugée au regard du mode déclaré (maritime/aérien/routier, conteneurisé ou en vrac) et de la destination ; sans la spécification, l'emballage ne peut être évalué.

Vérifier que la méthode d'emballage et les matériaux correspondent à la spécification pour le mode de transport déclaré (caisse export maritime, mise en conteneur, ou fret aérien selon le cas).

Un emballage de qualité domestique sur un long trajet maritime est une défaillance fréquente ; une protection export/maritime est souvent spécifiée mais remplacée pour réduire les coûts.

Inspecter la construction des caisses et cageots pour en vérifier l'adéquation — patins/longerons de base, contreventement, fixations et fermeture — afin que le colis résiste à la manutention et au gerbage en transit.

N'évaluer que la qualité de construction ; les points de levage, les dispositifs d'élingage et les indicateurs de basculement/choc sont vérifiés dans le module levage et transport.

Vérifier que les marques d'expédition sur chaque colis (destinataire, référence de commande/contrat, numéro de caisse, port de destination) correspondent à la liste de colisage et à la facture commerciale.

Les caisses mal marquées sont mal acheminées ou retardées au groupage ; la séquence des numéros de caisse doit être complète (ex. 1/8 … 8/8).

Vérifier que les poids brut et net ainsi que les dimensions extérieures marqués sur chaque colis concordent avec la liste de colisage.

Les poids déclarés déterminent la réservation du fret, le choix du conteneur/véhicule et le matériel de manutention ; les écarts entraînent une remanutention et des frais de surestarie.

Vérifier que les marquages de manutention et d'orientation (ex. sens dessus dessous à respecter, craint l'humidité, points d'élingage/zones à ne pas élinguer, fragile) sont présents et corrects pour le contenu.

Les pictogrammes ISO 780 sont d'usage courant ; confirmer leur présence et leur cohérence avec la spécification d'emballage plutôt que de citer la norme sur la caisse.

Vérifier que tous les articles fournis en vrac — pièces de rechange, consommables, outillage spécial, pièces homologues et accessoires — listés dans le contrat/la liste de colisage sont physiquement présents et identifiés.

La fourniture en vrac est la cause la plus fréquente de livraison incomplète ; l'absence de pièces de rechange de mise en service ou d'outillage spécial peut bloquer l'installation sur site.

Lorsque la préservation est spécifiée, vérifier qu'elle est appliquée — dessiccant avec indicateur d'humidité sous emballage barrière/VCI scellé, VCI sur les surfaces usinées nues, et obturation des orifices, brides et extrémités d'arbre ouverts.

Un transport et un stockage maritimes prolongés provoquent la corrosion des surfaces non protégées ; la quantité de dessiccant et l'étanchéité de la barrière anti-humidité sont couramment minimisées.

Vérifier que les fluides sont traités conformément à l'exigence d'expédition — systèmes vidangés ou charge de protection/préservation appliquée et déclarée, points de vidange fermés et absence de fuite résiduelle.

L'eau piégée peut geler ou provoquer de la corrosion en transit ; certaines unités sont expédiées avec une charge de préservation qui doit être documentée pour que le site ne la revidange pas.

Vérifier que l'emballage en bois porte une marque valide de traitement thermique (HT) ou de fumigation ISPM-15, avec l'enregistrement du producteur.

Le bois non marqué ou non conforme est refusé ou détruit au port de destination et peut bloquer l'ensemble de l'envoi ; s'applique à tout emballage en bois massif.

Vérifier que le numéro de série/plaque, le modèle et la quantité de l'équipement correspondent à la plaque signalétique, à la liste de colisage et à la facture commerciale.

Une discordance de numéro de série entre l'unité physique et les documents d'expédition/commerciaux constitue un risque de fraude et de blocage en dédouanement, et peut invalider la garantie.

Assister à la constitution d'un relevé photographique daté de chaque unité telle qu'emballée, et l'obtenir — calage/contreventement interne et préservation avant fermeture, puis le colis fermé et marqué.

Une fois les caisses fermées, l'emballage interne ne peut plus être réinspecté ; les photos avant fermeture constituent la seule preuve en cas de réclamation pour dommage de transport ou livraison incomplète.

Vérifier que le dossier de certificats matière est complet : un certificat de contrôle matière (MTC/MTR) est présent pour chaque nuance de matériau porteur ou sous pression utilisée dans la fabrication, et chaque certificat est lisible et traçable à un numéro de coulée.

Confirmer que le type de certificat répond à l'exigence de la commande (par exemple EN 10204 3.1 avec un 3.2 indépendant lorsque le contrat l'exige). Un dossier incomplet avant la FAT reste généralement incomplet après paiement.

Vérifier qu'une liste de traçabilité matière (correspondance numéros de coulée) est disponible, reliant chaque composant fabriqué majeur au numéro de coulée et au certificat couvrant son matériau.

Sans correspondance composant/coulée, la remontée de traçabilité sur le terrain relève de la conjecture. Son absence constitue en soi un constat.

Vérifier qu'un analyseur d'identification positive des matériaux (PMI) opérationnel (XRF portable ou OES) avec étalonnage valide et échantillon de référence certifié est disponible pour la FAT.

Vérifier que l'analyseur lit correctement l'échantillon de référence avant de se fier à un résultat quelconque. En l'absence d'analyseur, consigner que la nuance d'alliage n'a pas pu être confirmée de manière indépendante — ne pas valider sur la seule base des documents.

Recouper chaque certificat de contrôle matière avec le matériau spécifié : confirmer la nuance/désignation, ainsi que la composition chimique certifiée et les propriétés mécaniques (limite d'élasticité, résistance à la traction, allongement, et résilience/Charpy si requis) dans les limites de la nuance spécifiée.

Un certificat mentionnant une nuance équivalente mais différente, ou omettant un essai de résilience requis, constitue une non-conformité à la spécification même si le dossier documentaire paraît en ordre.

Effectuer un contrôle ponctuel par analyseur PMI sur un échantillon de matériau de base couvrant les principaux composants fabriqués, et confirmer que la composition d'alliage mesurée correspond à la nuance revendiquée sur le certificat correspondant.

C'est la principale défense contre la substitution de nuance — par exemple un acier au carbone livré alors qu'une nuance faiblement alliée ou inoxydable était spécifiée, ou une nuance inoxydable inférieure (304) substituée à une nuance supérieure (316). L'examen documentaire ne peut détecter cela. La couverture de l'échantillonnage doit suivre un plan convenu ; assister vous-même à chaque relevé.

Retracer les numéros de coulée depuis l'acier physique jusqu'aux certificats : repérer le marquage poinçonné ou peint sur un échantillon de composants et confirmer que chacun se rattache à un numéro de coulée figurant sur un certificat du dossier.

Un matériau sans identité transférable, ou portant un numéro de coulée absent du dossier de certificats, ne peut pas être démontré comme étant le matériau certifié. Être attentif aux surmarquages ou remarquages de numéros de coulée.

Mesurer l'épaisseur des tôles principales et l'épaisseur de paroi / la section des éléments structurels ou sous pression clés, et confirmer leur conformité à la dimension nominale spécifiée et à la tolérance matière.

Une tôle sous-épaisse ou des sections plus légères que spécifié constituent une substitution courante de réduction de coût. Mesurer en plusieurs points ; utiliser un contrôle d'épaisseur par ultrasons lorsqu'une face est inaccessible.

Mesurer les dimensions principales des composants usinés ou fabriqués clés (alésages, faces d'appui, entraxes de perçage, longueurs critiques) et confirmer qu'elles respectent les tolérances indiquées sur les plans du composant.

Conformité dimensionnelle au niveau composant uniquement ; la conformité d'ensemble par rapport au plan d'ensemble général est vérifiée ailleurs.

Inspecter visuellement un échantillon représentatif de soudures pour en vérifier la qualité d'exécution : confirmer un profil régulier et un remplissage complet, et l'absence de morsures, de recouvrement, de fissures visibles, de cratères non remplis, d'amas de porosités, d'amorçages d'arc et de projections excessives.

Qualité visuelle des soudures uniquement. La conformité des soudures à un plan de soudage, ainsi que les relevés de contrôle non destructif pour les pièces sous pression, sont vérifiés dans leurs modules dédiés et ne sont pas repris ici. Utiliser une jauge à souder pour les morsures/surépaisseurs lorsque des limites d'acceptation s'appliquent.

Inspecter visuellement la finition du revêtement/peinture appliqué pour en vérifier la continuité et la qualité d'exécution : confirmer une couverture uniforme sans coulures, affaissements, cloques, projection sèche, zones manquées ou substrat apparent, et confirmer que l'adhérence est satisfaisante par un contrôle ponctuel.

Qualité visuelle du revêtement uniquement. La mesure de l'épaisseur de film sec par rapport à une spécification de revêtement est vérifiée dans le module structurel / enveloppe concerné et n'est pas dupliquée ici.

Inspecter la boulonnerie installée quant à sa nuance et son authenticité : confirmer que les têtes de boulons portent le marquage de classe de qualité correct et une marque d'identification du fabricant, que les filets et le revêtement sont propres et non endommagés, et qu'il n'existe aucun signe de marquages de tête remarqués, meulés ou incohérents.

La boulonnerie contrefaite ou non conforme est répandue. Signes d'alerte : têtes vierges sur des boulons de structure, marques de fabricant absentes ou incohérentes, marquages de classe surmarqués, mauvaise finition des filets, et marquages de classe ne correspondant pas à la spécification (par exemple une classe 4.8 marquée ou fournie alors que 8.8/10.9 est requis). Le marquage de nuance inoxydable (A2/A4) s'applique lorsque des fixations résistant à la corrosion sont spécifiées.

Sur la boulonnerie critique, effectuer un contrôle ponctuel de l'authenticité des fixations par essai de dureté ou PMI lorsque cela est possible, et confirmer que le résultat est cohérent avec la classe de qualité marquée ou le matériau de fixation spécifié.

Les marquages de tête peuvent être falsifiés ; un contrôle de dureté ou d'alliage sur un échantillon confirme que la fixation correspond bien à ce qui est poinçonné. Se limiter à la boulonnerie structurelle, sous pression ou critique pour la sécurité.

Rassembler des copies des certificats de contrôle matière, du rapport de contrôle ponctuel PMI (relevés avec détails de l'instrument et de la référence), des certificats de boulonnerie ou déclarations de conformité, et de tout relevé d'application de revêtement/peinture généré pour cet équipement.

Le rapport PMI et la correspondance des coulées constituent la preuve objective que l'identité a été vérifiée, et non simplement certifiée. Les conserver avec le dossier FAT.

Confirmer qu'aucun composant ne porte un numéro de coulée absent du dossier de certificats, et qu'aucune nuance fournie ne constitue une substitution à la baisse de la nuance spécifiée justifiée uniquement comme « équivalente ».

La substitution de nuance et les coulées non traçables constituent la fraude matière aux conséquences les plus graves lors de la FAT : elles passent un examen documentaire et ne se révèlent qu'en service. Traiter tout écart entre l'analyseur, le poinçon et le certificat comme un point d'arrêt, et non comme une simple remarque documentaire.

Confirmer que l'alimentation nominale de l'équipement (tension, phases, fréquence) indiquée sur la plaque signalétique correspond à l'alimentation du site de l'acheteur et au bon de commande, avant tout essai sous tension.

Une incompatibilité (par exemple un équipement conçu en 400 V/50 Hz face à un site en 480 V/60 Hz) rend l'unité impossible à installer et peut la détruire dès la première mise sous tension.

Vérifier que le schéma approuvé et les plans d'implantation de l'armoire, à jour et datés, sont disponibles lors de la FAT et correspondent aux indices de révision figurant sur la commande de l'acheteur.

Tous les contrôles de conformité montage/schéma ne valent que par l'indice de révision utilisé comme référence ; une révision périmée invalide la comparaison.

Comparer l'armoire telle que construite au schéma approuvé : calibres des appareils, références, contacteurs, disjoncteurs, fusibles et sections de câbles conformes au plan et à la nomenclature.

La substitution de composants ou leur sous-dimensionnement est une dérive courante liée à la réduction des coûts, difficile à détecter une fois l'armoire fermée et expédiée.

Inspecter les raccordements des conducteurs : cosses/embouts adaptés, absence de brins de câble égarés, absence de cuivre apparent au-delà de la borne, et absence d'isolant endommagé.

Des raccordements de mauvaise qualité entraînent des connexions desserrées, des amorçages d'arc et des points chauds qui n'apparaissent qu'en service, sous charge.

Assister à la vérification du couple de serrage sur un échantillon de bornes de puissance et de raccords de jeux de barres, à l'aide d'un outil dynamométrique étalonné, par rapport aux valeurs prescrites par le fabricant, et confirmer la présence du marquage de contrôle de serrage.

Un sous-serrage des connexions de puissance est une cause majeure d'échauffement en service ; un sur-serrage fissure les bornes. Les valeurs de couple sont spécifiques à chaque appareil.

Vérifier que l'identification des câbles et conducteurs (repères de fils, couleurs de phase, embouts) est présente, lisible et conforme à la numérotation des fils du schéma.

Des repères de fils absents ou erronés ralentissent la recherche de défauts sur site et le reraccordement après expédition, avec un risque d'erreur accru.

Confirmer que les étiquettes de calibre, d'avertissement et d'identification de l'armoire et des appareils (sectionneur principal, arrivée d'alimentation, avertissements de danger/tension, tableau des circuits) sont posées, dans la langue convenue, et durables.

La langue et le contenu des étiquettes dépendent de la commande ; l'absence d'étiquettes d'avertissement de tension constitue également un enjeu de sécurité et de recette sur site.

Assister à la vérification de la continuité de la mise à la terre de protection (PE) et des liaisons équipotentielles, depuis la borne de terre principale jusqu'aux parties conductrices accessibles (porte d'armoire, châssis, carcasses moteur, enveloppes).

Critère: Continuité confirmée avec une résistance mesurée faible (typiquement ≤ 0,1 Ω, ou la valeur indiquée dans le cahier des charges de l'acheteur ou la norme applicable) à chaque point contrôlé.

Une liaison équipotentielle rompue laisse des masses métalliques accessibles sous tension en cas de défaut d'isolement. Le seuil d'acceptation varie selon la norme et la longueur du conducteur ; confirmer la valeur retenue.

Assister à un essai de résistance d'isolement (IR) sur les circuits de puissance hors tension, à la tension d'essai appropriée, l'électronique et les dispositifs sensibles étant déconnectés ou protégés selon les besoins.

Critère: La résistance d'isolement atteint ou dépasse le minimum indiqué dans le cahier des charges de l'acheteur ou la norme applicable pour la tension du circuit (couramment ≥ 1 MΩ, avec des valeurs d'acceptation plus élevées habituelles pour les installations BT) ; aucun circuit en défaut.

Une résistance d'isolement faible signale un isolant endommagé, humide ou pincé, avec un risque de choc électrique ou de court-circuit. La valeur d'acceptation dépend de la tension et de la norme ; vérifier que la tension d'essai appliquée convient à l'équipement.

Assister à un contrôle sous tension du sens de rotation moteur/entraînement pour chaque unité entraînée, et confirmer sa conformité avec la flèche de sens indiquée et l'exigence du procédé.

Critère: Le sens de rotation observé correspond à la flèche de sens marquée et au sens de procédé spécifié par l'acheteur, pour chaque moteur testé.

Un ordre de phases inversé fait tourner pompes, ventilateurs et convoyeurs à l'envers ; sur certains équipements, une marche inversée provoque des dommages immédiats. Ce contrôle porte uniquement sur le sens ; les contrôles mécaniques des machines tournantes sont traités séparément.

Vérifier que les réglages de protection thermique et de surcharge des démarreurs moteur et variateurs sont établis au courant nominal du moteur raccordé et conformes aux valeurs de la documentation de coordination/réglages.

Critère: Chaque réglage de surcharge/protection thermique correspond au courant nominal du moteur et à la consigne documentée ; aucun appareil laissé à une valeur par défaut arbitraire.

Des protections de surcharge laissées au maximum par défaut n'assurent aucune protection du moteur ; réglées trop bas, elles déclenchent intempestivement au démarrage.

Confirmer que les calibres et réglages des dispositifs de protection (disjoncteur principal, disjoncteurs de départ, fusibles, DDR/défaut à la terre le cas échéant) sont conformes à l'étude de coordination des protections ou à la documentation de sélectivité fournie avec l'équipement.

Des appareils non conformes à l'étude de coordination peuvent ne pas éliminer un défaut ou déclencher hors séquence. Ce contrôle vérifie les réglages de protection par rapport aux documents d'étude, et non la logique de commande.

Vérifier l'intégrité de l'enveloppe à indice de protection IP pour les parties électriques : presse-étoupes en place, entrées inutilisées obturées, aucun défonçable ouvert, et portes/couvercles fermant sur des joints intacts.

Des entrées ouvertes annulent l'indice de protection de l'enveloppe et exposent les parties actives à la poussière, à l'humidité et au contact direct. L'indice IP requis dépend de la commande.

Rassembler les relevés d'essais électriques complétés — mesures de résistance d'isolement, résultats de continuité de terre/liaison équipotentielle, et visa de contrôle de serrage — avec l'identité de l'opérateur et les références des instruments consignées.

Le relevé signé constitue la preuve, conditionnant le paiement à l'expédition, que ces essais critiques pour la sécurité ont réellement été réalisés et satisfaits.

Rassembler les certificats d'étalonnage valides du contrôleur d'isolement, du testeur de continuité de terre/boucle et de l'outil dynamométrique utilisés lors des essais électriques.

Les relevés issus d'instruments hors étalonnage ne sont pas opposables ; un étalonnage expiré fragilise l'ensemble du dossier d'essais électriques.

Contrôler par sondage que le câblage interne n'est pas raccordé à une phase incorrecte ni omis lorsque le schéma indique les trois phases chargées, et que le neutre et la terre ne sont pas inversés aux bornes.

Une inversion neutre/terre ou une phase omise passe un contrôle visuel rapide, et même un contrôle de sens de rotation, tout en créant un risque de choc électrique et un déséquilibre de charge ; ces défauts ne se révèlent que par une vérification systématique point par point.

Vérifier que la liste des E/S à jour, la narrative de contrôle-commande ou le cahier des charges fonctionnel, le tableau de verrouillage (cause à effet) et la liste des alarmes sont disponibles et correspondent à l'équipement présenté.

Ce sont les documents de référence sur lesquels tout essai de contrôle-commande est jugé ; sans eux, les résultats d'E/S et de logique ne peuvent être déclarés conformes.

Vérifier que le programme API/IHM chargé sur l'équipement correspond à la révision convenue pour la FAT et consigner sa version, sa somme de contrôle ou sa date de téléchargement au regard de la documentation de contrôle-commande.

Tester un programme non documenté ou obsolète signifie que le comportement observé peut ne pas correspondre à ce qui sera livré ; relever l'identifiant dès maintenant permet de détecter tout changement ultérieur.

Vérifier que les noms de tags, libellés, symboles et la navigation entre pages de l'IHM sont cohérents avec la liste des E/S et la narrative de contrôle-commande, sans objet provisoire, mal étiqueté ou orphelin.

Des tags incohérents ou résiduels induisent l'opérateur en erreur et signalent souvent un développement d'écrans incomplet ou repris d'un autre projet.

Assister à un contrôle point à point des E/S : forcer ou actionner chaque entrée et sortie à tour de rôle et confirmer qu'elle correspond à la bonne adresse, au bon tag et à la bonne indication IHM selon la liste des E/S.

Critère: Chaque point d'E/S sollicité correspond à l'adresse, au tag et à la description figurant sur la liste des E/S, avec le changement d'état IHM attendu et la polarité correcte (aucun point inversé, croisé ou mort).

Les E/S croisées, inversées ou non raccordées constituent le défaut de contrôle-commande le plus courant et peuvent commander le mauvais actionneur sur site ; ce contrôle porte sur la chaîne câblage-logique-écran, non sur la précision des capteurs.

Assister à la vérification de chaque verrouillage et permissif de sécurité et de process en simulant sa condition de déclenchement, et confirmer que le système de contrôle-commande inhibe ou arrête la fonction concernée et en signale la cause.

Critère: Chaque verrouillage et permissif du tableau cause à effet, lorsque sa condition est simulée, produit l'action de contrôle-commande spécifiée (blocage du démarrage, arrêt, maintien ou déclenchement) et l'annonciation correcte ; aucun ne peut être contourné depuis l'interface opérateur sans l'autorisation définie.

Les verrouillages constituent la logique qui protège l'équipement et les opérateurs ; chaque branche de la matrice cause à effet doit être prouvée individuellement, et non présumée à partir d'un seul essai réussi.

Assister à la génération d'alarmes pour un ensemble représentatif de conditions d'alarme et confirmer que chacune se déclenche, s'affiche, s'horodate, s'acquitte et se réarme correctement dans la liste des alarmes.

Critère: Chaque condition simulée déclenche l'alarme correspondante au seuil configuré avec le texte, la priorité et l'horodatage corrects ; l'acquittement et le retour à la normale se comportent conformément à la spécification des alarmes, et aucune alarme n'est bloquée, dupliquée ou manquante.

Les alarmes constituent la fenêtre de l'opérateur sur les défauts ; une priorité erronée, un texte manquant ou une alarme qui ne se réarme pas compromettent la réponse aux défauts sur site.

Vérifier que la langue d'affichage de l'IHM, les unités d'ingénierie, les formats numériques et le fuseau horaire/horloge sont réglés comme spécifié, et que la langue dans laquelle l'acheteur exploitera l'équipement est complète sur chaque écran.

Critère: Tous les textes, alarmes et messages de l'IHM s'affichent dans la ou les langues spécifiées avec les unités (p. ex. métrique/impérial) et formats spécifiés ; aucun écran ne revient à la langue par défaut du fabricant ni n'affiche de champs non traduits ou aux unités incohérentes.

Des écrans laissés dans la langue par défaut du fabricant ou dans de mauvaises unités constituent un manquement fréquent et opérationnellement sérieux pour un équipement destiné à l'export.

Assister au fonctionnement dans chaque mode de contrôle-commande et pour chaque commande opérateur que propose l'équipement — tels que manuel/auto, marche/arrêt, et toute commande de séquence ou de pas à pas — et confirmer que le système de contrôle-commande répond comme décrit dans la narrative de contrôle-commande.

Critère: Chaque sélection de mode et chaque commande produit la réponse définie dans la narrative de contrôle-commande, les transitions entre modes sont gérées en sécurité, et les commandes non valides sont rejetées ou ignorées plutôt que de provoquer un comportement non défini.

La gestion des modes et des séquences est l'endroit où les lacunes de la logique de contrôle-commande apparaissent ; confirmer le comportement documenté, pas seulement que l'équipement se met en mouvement.

Assister à un échange de données démontré avec chaque système tiers ou externe avec lequel le système de contrôle-commande doit communiquer — tel qu'un SCADA d'usine, un API amont/aval ou un réseau de supervision — via le protocole spécifié.

Critère: Pour chaque interface spécifiée, la liaison s'établit selon le protocole et l'adresse convenus, des signaux représentatifs sont lus et écrits correctement dans les deux sens, et une perte de communication est détectée et signalée par le système de contrôle-commande.

Les communications avec d'autres systèmes sont difficiles à corriger après expédition ; confirmer l'échange réellement mappé et la réponse en cas de perte de communication, et non simplement qu'un câble est raccordé. Si le système homologue n'est pas disponible en usine, consigner ce qui a pu être démontré et ce qui n'a pas pu l'être.

Assister à l'activation de chaque arrêt d'urgence à travers le système de contrôle-commande et confirmer que l'automate enregistre l'arrêt, commande les sorties vers leur état de sécurité défini, et signale la condition d'arrêt d'urgence.

Critère: À chaque actionnement de l'arrêt d'urgence, le système de contrôle-commande amène toutes les sorties à l'état de sécurité spécifié, empêche le redémarrage tant que l'arrêt d'urgence n'est pas réarmé et que la séquence de réarmement/acquittement définie n'est pas accomplie, et affiche l'arrêt d'urgence comme actif.

Ce contrôle porte sur la réponse et la signalisation par le système de contrôle-commande d'un arrêt d'urgence et sur l'inhibition du redémarrage ; l'intégrité du circuit de sécurité câblé et l'isolement de l'énergie emmagasinée sont vérifiés dans le module des systèmes de sécurité.

Recueillir la liste des E/S telle que testée, le tableau de verrouillage/cause à effet et la liste des alarmes, annotés des résultats constatés lors de la FAT et de tout changement effectué pendant les essais.

Les documents de contrôle-commande annotés constituent l'enregistrement de ce qui a réellement été prouvé et la référence pour la mise en service sur site ; les changements non documentés survenus en cours d'essai sont une source fréquente de litiges ultérieurs.

Vérifier qu'aucun point d'E/S, verrouillage ou alarme ne reste forcé, outrepassé, contourné ou désactivé à l'issue des essais, et que tous les forçages utilisés pendant la FAT ont été retirés.

Des forçages appliqués pour les essais et laissés en place livrent un automate qui ignore les entrées réelles ou des verrouillages neutralisés ; vérifier que la table des forçages/dérogations est vide avant la levée de réserve.

Vérifier que les signaux présentés comme satisfaits lors des essais de verrouillage et des essais fonctionnels sont produits par des conditions de terrain réelles ou par une simulation convenue, et confirmer quelles entrées ont été physiquement actionnées par rapport à celles simulées en logiciel.

Une branche logique peut sembler validée alors que l'entrée est simplement simulée dans le programme ; consigner la méthode employée afin que des résultats simulés seulement ne soient pas confondus avec une réponse physique prouvée.

Vérifier que les livrables logiciels et données convenus dans la spécification ou le bon de commande — sauvegardes, sources de programme, relevés de version, licences et identifiants — sont listés et disponibles pour être constatés lors du FAT.

Si le périmètre de remise des logiciels n'est pas détaillé avant la réception, l'absence de sauvegardes ou de licences n'apparaît qu'après la mise en service.

Vérifier que les outils, supports et éventuels câbles de programmation nécessaires pour effectuer et recharger une sauvegarde sont disponibles sur le site d'essai, et non détenus uniquement par un prestataire absent.

Une sauvegarde qui ne peut être réalisée qu'avec un outil spécialisé que personne sur place ne maîtrise ne peut être constatée de bout en bout.

Assister à une sauvegarde complète du programme automate, de l'application HMI/SCADA et du jeu courant de paramètres et de recettes, réalisée sur un support fourni par l'acheteur ou indépendant, pendant le FAT.

Critère: Une sauvegarde complète est produite sur un support amovible, l'opération se conclut sans échec ni élément ignoré, et le jeu de fichiers de sauvegarde est conservé par l'acheteur.

Les sauvegardes mentionnées dans les documents mais jamais démontrées sur support amovible constituent une lacune fréquente ; l'acheteur doit repartir avec une copie.

Assister à une restauration de la sauvegarde — recharger les paramètres et recettes enregistrés (ou restaurer sur une cible de rechange/effacée lorsque cela est possible) et confirmer que les valeurs reviennent exactement telles qu'enregistrées.

Critère: Après restauration, les valeurs de paramètres et de recettes récupérées correspondent champ par champ aux valeurs antérieures à la sauvegarde, sans ressaisie manuelle.

Une sauvegarde n'est prouvée que par une restauration démontrée ; les fournisseurs présentent souvent l'étape de sauvegarde mais jamais la récupération, laissant la restaurabilité non vérifiée.

Vérifier que la journalisation des données ou l'historian enregistre les points de données, la fréquence d'échantillonnage et la durée de rétention requis par la spécification, en provoquant des valeurs d'essai et en confirmant qu'elles sont capturées.

Critère: Chaque tag ou champ spécifié est journalisé à l'intervalle requis avec les unités d'ingénierie correctes, et une modification provoquée pendant l'essai apparaît dans le journal à l'horodatage et à la valeur attendus.

Une journalisation qui omet des champs requis, enregistre au mauvais intervalle ou perd les unités n'est souvent découverte que lorsque l'acheteur a besoin des données pour un dossier de lot ou une investigation.

Assister à un export des données journalisées et ouvrir le fichier obtenu dans un outil généraliste maîtrisé par l'acheteur pour confirmer que le format est exploitable sans logiciel propriétaire.

Critère: L'export produit un format ouvert et documenté (tel que CSV) qui s'ouvre sur la machine propre de l'acheteur, avec colonnes, horodatages et valeurs intacts et lisibles.

Des données d'historian verrouillées dans un visualiseur propriétaire ou un format binaire non documenté sont en pratique inexploitables par l'acheteur après la remise.

Vérifier que les niveaux d'accès utilisateurs sont appliqués en se connectant avec un compte restreint (niveau opérateur) et en confirmant que les réglages protégés ne peuvent pas être modifiés sans identifiants élevés.

Critère: Un compte restreint peut exploiter l'équipement mais se voit refuser l'accès aux écrans de paramètres, de recettes ou de configuration réservés aux niveaux d'accès supérieurs.

Des niveaux d'accès présents dans un menu mais non réellement appliqués permettent à tout opérateur de modifier des paramètres protégés ; confirmer le blocage, ne pas se contenter de lire la liste des niveaux.

Vérifier que la date et l'heure de l'automate et du HMI/SCADA sont correctes et, lorsqu'une source de temps ou une synchronisation est spécifiée, que les horloges concordent avec celle-ci et entre elles.

Critère: La date, l'heure et le fuseau horaire affichés sont corrects sur l'automate et le HMI, les horodatages des journaux le reflètent, et toute synchronisation temporelle spécifiée maintient les horloges en concordance.

Des horloges incorrectes ou non synchronisées corrompent les horodatages des journaux et compromettent toute tentative ultérieure de corrélation des événements sur la machine ou l'installation.

Recueillir un relevé écrit des versions des programmes automate et HMI/SCADA et, le cas échéant, des versions de firmware du contrôleur, correspondant à ce qui est chargé sur l'équipement testé.

Sans version de référence consignée, l'acheteur ne peut ultérieurement pas déterminer si le logiciel livré a été modifié, ni quelle révision faire supporter.

Recueillir les relevés d'accès utilisateurs — les niveaux d'accès définis et leurs permissions — ainsi qu'une remise contrôlée des identifiants administrateur et des comptes à l'acheteur.

Des identifiants conservés uniquement par le fournisseur laissent l'acheteur incapable d'administrer, de récupérer ou de re-sécuriser le système après la livraison.

Vérifier que les conditions de licence logicielle sont documentées et confirmer que toute licence runtime, HMI/SCADA ou historian est transférable à l'acheteur et couvre la configuration livrée.

Des licences non transférables, limitées en nombre de postes, ou liées au compte du fournisseur, peuvent laisser l'acheteur incapable d'exploiter ou d'étendre le système en toute légalité.

Confirmer que la sauvegarde constatée peut être rechargée en utilisant uniquement les outils, licences et documentations que l'acheteur possédera après la livraison — et non le seul poste d'ingénierie du fournisseur.

Des sauvegardes qui ne se restaurent qu'à partir d'un poste d'ingénierie sous licence que l'acheteur ne reçoit jamais donnent une fausse assurance de restaurabilité.

Confirmer qu'aucun identifiant administrateur codé en dur, par défaut ou réservé au fournisseur ne subsiste sans être déclaré, et que le niveau d'accès le plus élevé est sous le contrôle de l'acheteur.

Des mots de passe administrateur par défaut ou réservés au fournisseur, laissés cachés, constituent à la fois une exposition de sécurité et un risque de blocage si la relation avec le fournisseur prend fin.

Confirmer que la sauvegarde des paramètres et recettes capture les valeurs réellement testées et est réalisée après le réglage final, et non un jeu antérieur ou par défaut.

Une sauvegarde réalisée avant le réglage final de mise en service restaure des réglages erronés ; effectuer ou refaire la sauvegarde une fois les valeurs validées en place.

Confirmer que le programme d'essai des fonctions de sécurité recense chaque fonction de protection de la machine (chaque interverrouillage de protecteur, arrêt d'urgence, dispositif de détection de présence, commande bimanuelle et mode à sécurité intégrée) et précise comment chacune sera sollicitée.

Les dispositifs de sécurité sont fréquemment testés par sondage plutôt que de façon exhaustive ; une liste de fonctions incomplète permet l'expédition d'un interverrouillage ou d'un arrêt d'urgence non vérifié.

Vérifier que chaque actionneur d'arrêt d'urgence est un dispositif rouge à tête en champignon, à accrochage mécanique et à réarmement manuel, sur fond jaune, et qu'un actionneur se trouve à portée de chaque poste opérateur et poste de commande.

L'accessibilité et le type d'actionneur correct sont vérifiables à l'arrêt ; un poste opérateur sans arrêt d'urgence à portée est un défaut d'implantation courant. L'ISO 13850 traite des principes de l'arrêt d'urgence, mais ne la citer que si le cahier des charges de l'acheteur le fait.

Vérifier que chaque protecteur mobile est équipé d'un dispositif d'interverrouillage, positivement fixé de manière à ne pas pouvoir être neutralisé à la main ou avec un outil simple, et que les ouvertures protégées ne permettent pas d'atteindre la zone dangereuse.

La fixation physique et la résistance à la neutralisation sont des contrôles statiques ; la fonction d'arrêt elle-même est vérifiée plus loin. La fixation des protecteurs fixes sur les organes tournants relève du module des machines tournantes.

Vérifier que les rideaux immatériels et scrutateurs de zone présentent la résolution et la hauteur protégée spécifiées, sont montés à la distance de sécurité minimale calculée par rapport à la zone dangereuse, ou au-delà, sans aucun espace permettant un accès non détecté autour ou derrière le champ de détection.

La capacité de détection et la distance de montage sont dimensionnelles et déterminent l'efficacité globale du dispositif ; un rideau monté trop près ne laisse pas le temps à la machine de s'arrêter. L'ISO 13855 donne le mode de calcul de la distance, mais ne la citer que si le cahier des charges le fait.

Vérifier que chaque point d'isolement d'énergie dangereuse — électrique, hydraulique, pneumatique et énergie accumulée par gravité ou par ressort — est prévu, clairement identifié, et peut être verrouillé en position isolée.

La présence et la possibilité de verrouillage de chaque point d'isolement sont vérifiables à l'arrêt ; une source qui ne peut pas être verrouillée en position isolée ne peut pas être rendue sûre pour la maintenance.

Assister à la vérification que l'ouverture de chaque protecteur interverrouillé, machine en marche, provoque l'arrêt du mouvement dangereux protégé, et que la machine ne peut pas être redémarrée protecteur ouvert.

Critère: L'ouverture de tout protecteur interverrouillé arrête le mouvement dangereux associé, et aucune commande de démarrage n'initie de mouvement tant que ce protecteur reste ouvert.

Il s'agit ici du comportement physique d'arrêt à l'ouverture de chaque protecteur ; le câblage de la logique de sécurité et la surveillance à double canal en amont sont vérifiés dans le module commande.

Assister à la vérification que l'actionnement de chaque dispositif d'arrêt d'urgence arrête tout mouvement dangereux, et confirmer que le réarmement du dispositif ne redémarre pas la machine à lui seul — une action de démarrage volontaire distincte est requise.

Critère: Chaque arrêt d'urgence, une fois actionné, arrête tout mouvement dangereux ; son déverrouillage et son réarmement ne redémarrent pas le mouvement sans une commande de démarrage distincte.

La fonction et le comportement « réarmement sans redémarrage » sont constatés ici ; le temps de réponse du système de commande et la catégorie d'arrêt au niveau logique relèvent du module commande.

Assister à la vérification que l'interruption de chaque champ de rideau immatériel ou de scrutateur de zone pendant un mouvement dangereux arrête ce mouvement, et que la machine ne peut pas être redémarrée tant que le champ reste coupé.

Critère: La coupure du champ de protection arrête le mouvement dangereux ; le mouvement ne reprend pas tant que le champ est obstrué, et le redémarrage exige une action volontaire.

Le comportement de coupure-à-l'arrêt constitue la fonction de protection essentielle d'un dispositif de détection de présence et doit être constaté pour chaque champ.

Lorsqu'un dispositif de détection de présence est invalidé ou masqué pendant une partie du cycle, assister à la vérification que l'invalidation ne s'active que pendant la phase non dangereuse prévue, cesse à la fin de cette phase, et fournit une indication signalant qu'elle est active.

Critère: L'invalidation ou le masquage n'intervient que dans la phase de cycle spécifiée, la protection intégrale est rétablie en dehors de cette phase, et un indicateur d'invalidation est actif pendant toute sa durée.

L'invalidation est la fonction de sécurité la plus détournée : une invalidation qui reste active, se déclenche trop tôt, ou ne dispose d'aucun indicateur, laisse la zone dangereuse exposée alors que la machine paraît protégée.

Lorsque des commandes bimanuelles sont installées, assister à la vérification que le mouvement dangereux exige l'actionnement des deux commandes dans la fenêtre de concomitance admise, maintenues appuyées en continu, et que le relâchement de l'une des deux arrête le mouvement.

Critère: Le mouvement ne démarre que si les deux commandes sont actionnées de façon quasi simultanée et maintenues ; le relâchement de l'une des commandes, ou l'actionnement d'une seule, n'initie ni ne maintient le mouvement.

Tenter un actionnement à une seule main et un actionnement bloqué dans le cadre de l'essai ; une commande bimanuelle neutralisable par une seule main ou une cale ne procure aucune protection. L'ISO 13851 traite des commandes bimanuelles, mais ne la citer que si le cahier des charges le fait.

Lorsque l'équipement comprend un robot ou un manipulateur programmable, assister à la vérification que les modes à vitesse réduite ou de fonctionnement sûr limitent le mouvement comme spécifié, et que la pénétration dans une zone de sécurité définie arrête ou ralentit le robot comme prévu.

Critère: Le mode à vitesse réduite maintient le mouvement du robot dans la limite spécifiée, et le franchissement d'une zone de sécurité produit l'arrêt de protection ou la réduction de vitesse spécifiés.

Les limites de vitesse à sécurité intégrée et la surveillance de zone constituent les protections principales des cellules robotisées collaboratives ou clôturées, et sont validées par rapport aux spécifications de zone et de vitesse de l'acheteur.

Pour un équipement comportant une source laser, assister à la vérification que l'ouverture de l'enceinte ou la neutralisation d'un interverrouillage d'accès supprime l'émission laser, et confirmer que l'enceinte est intacte, sans ouverture involontaire permettant l'échappement du faisceau.

Critère: L'ouverture de tout point d'accès ou panneau interverrouillé met fin à l'émission laser ; l'enceinte ne présente aucun jeu ni aucune ouverture permettant l'échappement du faisceau direct ou réfléchi.

S'applique uniquement aux équipements comportant une source laser confinée. L'intégrité de l'enceinte et la coupure d'émission à l'ouverture constituent les protections de confinement d'un faisceau par ailleurs inaccessible. La CEI 60825-1 régit la sécurité laser, mais ne la citer que si le cahier des charges le fait.

Vérifier que l'isolement de chaque source d'énergie, suivi de toute étape de décharge d'énergie résiduelle spécifiée, ne laisse aucune énergie accumulée dangereuse — confirmer que la pression hydraulique et pneumatique est purgée, que les condensateurs sont déchargés, et que les charges par gravité ou par ressort sont soutenues ou bloquées.

L'isolement seul ne supprime pas l'énergie piégée ; un accumulateur, un mécanisme à ressort ou un axe suspendu peut se libérer après le verrouillage de l'alimentation si aucune étape de décharge ou de retenue n'est prévue.

Rassembler les relevés de validation des fonctions de sécurité pour les essais constatés, ainsi que toute analyse de risque, fiche technique des dispositifs de sécurité et déclaration de classification laser fournies pour la machine.

Ces relevés attestent quelles fonctions de protection ont été validées sur site et sont nécessaires à la mise en service sur le site de l'acheteur ainsi qu'au dossier de sécurité de la machine.

Confirmer qu'aucun dispositif de protection n'a été contourné, shunté, scotché ou neutralisé de toute autre manière pour faciliter la mise en service — rechercher les interverrouillages neutralisés, les rideaux bloqués, et les canaux d'arrêt d'urgence ou de sécurité désactivés.

Les fonctions de sécurité sont couramment neutralisées pendant le montage en usine pour accélérer les réglages, et ne sont parfois pas rétablies ; un contournement laissé en place expédie une machine dangereuse qui paraît conforme.

Confirmer que les étiquettes de danger de sécurité, les avertissements de classification laser et d'ouverture de faisceau, et l'identification des points d'isolement sont présents, lisibles et dans une langue convenue avec l'acheteur.

Un étiquetage de sécurité ou laser manquant, illisible ou dans la mauvaise langue est un défaut d'expédition fréquent et peut bloquer la réception ou l'importation ; les étiquettes laser ne sont requises que pour les équipements comportant un laser.

Confirmer qu'une liste d'instruments ou un tableau de repérage est disponible, nommant chaque instrument monté par repère, type, étendue de mesure et précision requise, et le rapprocher des instruments effectivement installés.

Sans liste de repérage rapprochée, des instruments manquants ou substitués passent inaperçus et aucun des points suivants ne peut être jugé complet.

Confirmer que l'instrument de référence utilisé pour les contrôles ponctuels de précision est lui-même en cours de validité et d'une précision adaptée aux repères vérifiés, et consigner son identité.

Une référence pas meilleure, voire moins précise, que l'instrument contrôlé ne peut pas prouver le relevé ; il s'agit du pendant, pour les instruments montés, de l'étalonnage du matériel d'essai FAT vérifié au titre de la préparation avant FAT.

Vérifier que la plaque signalétique ou l'étiquette d'identification de chaque instrument repéré correspond au tableau de repérage pour le numéro de repère, le modèle, l'étendue de mesure et les unités, et que le repère est marqué de façon lisible et durable sur l'instrument.

Un instrument non repéré ou mal étiqueté ne pourra être ni maintenu, ni réétalonné, ni fiable une fois l'équipement sur site.

Vérifier que les unités techniques indiquées et l'étendue de mesure de chaque manomètre local, cadran et afficheur correspondent à la spécification acheteur.

Des instruments gradués dans une unité erronée (bar au lieu de psi, °C au lieu de °F, par exemple) ou avec une étendue de mesure inadaptée constituent une non-conformité fréquente et facilement manquée sur un équipement destiné à l'export.

Vérifier que chaque capteur et instrument est installé à l'emplacement, dans l'orientation et au raccordement process indiqués sur le P&ID ou le plan d'implantation générale, y compris l'isolement et tout collecteur ou vanne racine.

Ne porte que sur l'implantation du capteur ; le câblage vers le système de contrôle et la réponse du contrôle au signal sont vérifiés respectivement dans les modules électrique et contrôle-commande.

Vérifier que le montage du capteur convient à la mesure — les éléments déprimogènes disposent de la longueur droite spécifiée et du bon sens d'écoulement, les doigts de gant sont insérés à la profondeur spécifiée, et les piquages de niveau et de pression sont à la bonne altitude.

Un matériel correct mal installé donne quand même un relevé erroné ; une mauvaise implantation est une erreur intégrée qu'aucun étalonnage ultérieur ne corrige.

Réaliser un contrôle ponctuel de précision sur chaque instrument critique en comparant son indication à l'instrument de référence dans les conditions process disponibles pendant la FAT, et consigner les deux relevés.

Critère: L'écart entre l'indication de l'instrument et le relevé de référence reste dans la précision annoncée de l'instrument ou la tolérance de la spécification acheteur, à chaque point contrôlé.

Une comparaison en un seul point, à l'ambiante ou à l'arrêt, ne sollicite pas toute l'étendue de mesure ; noter quels points ont pu être contrôlés et lesquels ne l'ont pas pu.

Lorsqu'un instrument alimente un afficheur local ou de pupitre, vérifier que la valeur affichée concorde avec l'indication propre de l'instrument et avec le relevé de référence.

Critère: La valeur affichée suit le relevé de référence dans la précision combinée annoncée de la boucle, sans décalage, sans mise à l'échelle erronée ni discordance d'unités entre le terrain et l'affichage.

Vérifie que le relevé est restitué fidèlement jusqu'à l'opérateur ; la véracité de l'affichage relève de ce point, mais le comportement des alarmes et asservissements pilotés par la valeur relève du module contrôle-commande.

Pour tout instrument qui ne peut pas être sollicité à une valeur process représentative pendant la FAT, assister à ou examiner un enregistrement d'étalonnage banc ou boucle couvrant toute l'étendue de mesure plutôt qu'un seul point.

Critère: L'étalonnage documenté montre des erreurs avant et après ajustage dans la précision annoncée de l'instrument sur toute l'étendue spécifiée, avec un étalonnage à jour et traçable.

Une couverture sur toute l'étendue de mesure révèle des erreurs de linéarité et d'étendue qu'un contrôle ponctuel à l'ambiante ne peut pas détecter ; n'accepter une preuve documentaire que lorsque le contrôle en direct est impraticable.

Recueillir un certificat d'étalonnage valide et en cours de validité pour chaque instrument monté, indiquant le numéro de repère, le résultat après ajustage, la précision obtenue et les dates d'étalonnage et d'échéance.

Un instrument monté sans certificat en cours de validité n'apporte aucune preuve de justesse ; un certificat ne portant pas le numéro de repère ne peut pas être rattaché à l'instrument présent sur l'équipement.

Vérifier que chaque certificat d'étalonnage indique la traçabilité à un étalon de mesure national ou international reconnu, via le matériel de référence utilisé.

Un certificat portant un résultat mais sans chaîne de traçabilité n'est pas défendable ; l'accréditation ISO/IEC 17025 de l'organisme étalonneur est souvent exigée, mais ne la citer que lorsque la spécification acheteur le fait.

Rechercher les certificats d'étalonnage dont l'échéance expirera avant la mise en service prévue de l'équipement sur site.

Des instruments étalonnés bien avant l'expédition peuvent arriver hors étalonnage après le transport et le stockage ; signaler les certificats à échéance proche afin qu'un réétalonnage puisse être planifié avant le démarrage.

Vérifier qu'un certificat existe et se rapproche de l'instrument sérialisé spécifique monté, et non d'une autre unité du même modèle, et qu'aucun repère n'a été laissé avec un certificat générique ou type.

Une substitution fréquente consiste en un certificat pour un numéro de série rattaché à un instrument installé différent ; faire correspondre les numéros de série, pas seulement les numéros de modèle.

Pour les instruments à étendue de mesure ou mise à l'échelle configurable, confirmer que l'étendue effectivement configurée dans l'appareil correspond à sa plaque signalétique, à son certificat et à la spécification acheteur.

Un transmetteur peut être étalonné correctement puis reconfiguré ensuite ; une étendue configurée sur site en désaccord avec la spécification produit des relevés plausibles mais erronés en exploitation.

Confirmer que les valeurs de régime nominal à démontrer — débit ou capacité, temps de cycle, consommation, et critères d'acceptation de la qualité de production — sont inscrites dans le bon de commande ou la fiche technique et actées dans le protocole FAT avant l'essai.

Sans chiffres actés et méthode d'essai définie, l'essai de performance se réduit à une vague observation de type « a fonctionné en charge nominale » qui ne prouve rien au moment du paiement.

Confirmer que l'essai utilisera le matériau d'essai, la matière première ou la charge spécifiés, ainsi que les conditions de fonctionnement nominales (vitesse, consignes, qualité de produit), et consigner tout écart par rapport aux conditions de service actées pour l'essai.

Une performance obtenue avec un matériau de substitution facile ou une charge allégée ne représente pas le régime nominal ; les substitutions doivent être déclarées et acceptées, non découvertes après coup.

Confirmer que les instruments utilisés pour mesurer le débit, le temps de cycle et la consommation (débitmètres, wattmètres, compteurs d'air et d'eau, chronomètres, compteurs, balances) sont identifiés et disposent d'un étalonnage valide pour l'essai.

Le résultat de performance n'est fiable qu'à hauteur des instruments qui l'ont produit ; la justesse des capteurs par rapport à une référence est vérifiée dans le module instrumentation, mais la validité de l'étalonnage pour cet essai doit être confirmée ici.

Assister à un essai soutenu en capacité nominale pendant la durée d'essai actée et consigner le débit obtenu sur cette période.

Critère: Le débit moyenné sur toute la durée actée atteint ou dépasse la capacité nominale indiquée sur la fiche technique ou le bon de commande, dans la tolérance actée, sans ralentissement pour maintenir la cadence.

Groupe débit. Une brève pointe à vitesse nominale ne constitue pas une preuve ; le chiffre doit se maintenir sur toute la durée actée. Un débit instantané de pointe n'équivaut pas à une capacité soutenue.

Mesurer le temps de cycle (ou takt time) sur des cycles représentatifs pendant l'essai soutenu et consigner les valeurs.

Critère: Le temps de cycle mesuré atteint ou est inférieur au temps de cycle spécifié sur la fiche technique ou le bon de commande, dans la tolérance actée, et reste constant sur les cycles échantillonnés plutôt que d'être respecté seulement par intermittence.

Groupe débit. Le temps de cycle et le débit sont des exigences distinctes : une machine peut atteindre son temps de cycle sur un cycle isolé tout en manquant le débit soutenu une fois le chargement, l'indexation et la réinitialisation pris en compte.

Confirmer que l'unité maintient la production nominale de façon stable pendant l'essai, sans arrêt non planifié, baisse de débit ni intervention manuelle pour la maintenir en fonctionnement, et consigner tout arrêt avec sa cause et sa durée.

Critère: La production nominale est soutenue pendant la durée actée sans arrêt non planifié ni dérive à la baisse de la cadence ; tout arrêt est consigné et, s'il dépasse la tolérance actée, l'essai est repris.

Groupe débit. Des micro-arrêts fréquents, une perte progressive de cadence ou un opérateur maintenant la machine en fonctionnement indiquent tous que le régime nominal n'est pas réellement atteint, même si le chiffre affiché est brièvement obtenu.

Mesurer la puissance électrique absorbée par l'unité en fonctionnement à charge nominale et la comparer à la consommation déclarée.

Critère: La puissance mesurée à charge nominale est égale ou inférieure à la consommation déclarée/garantie sur la fiche technique ou le bon de commande, dans la tolérance actée.

Groupe consommation. La consommation est vérifiée en charge, non à vide ; une absorption sous-déclarée peut surcharger l'alimentation du site ou enfreindre une garantie énergétique. Comparaison à la valeur déclarée uniquement — le dimensionnement du point de raccordement par rapport au plan d'interface relève du module utilités.

Lorsque l'unité consomme de l'air comprimé, mesurer la consommation d'air à charge nominale et à la pression d'alimentation spécifiée, et la comparer à la valeur déclarée.

Critère: La consommation d'air mesurée (débit d'air libre) à la pression de service spécifiée et à charge nominale est égale ou inférieure à la valeur déclarée, dans la tolérance actée.

Groupe consommation. Applicable uniquement aux équipements consommant de l'air. Une demande d'air sous-estimée prive les autres équipements d'un compresseur partagé et constitue une cause fréquente de déficit de capacité sur site.

Lorsque l'unité consomme de l'eau de process ou de refroidissement (ou une autre utilité déclarée), mesurer la consommation à charge nominale et la comparer à la valeur déclarée.

Critère: La consommation d'eau/d'utilité mesurée à charge nominale et aux conditions d'alimentation spécifiées est égale ou inférieure à la valeur déclarée, dans la tolérance actée.

Groupe consommation. Applicable uniquement lorsqu'une utilité eau ou fluide est déclarée. Une absorption excessive peut dépasser la capacité d'alimentation ou de rejet du site et gonfler le coût de fonctionnement par rapport au chiffre coté.

Confirmer qu'un plan d'échantillonnage de la qualité de production — taille d'échantillon, fréquence d'échantillonnage, nombres d'acceptation et de refus — est acté et consigné avant le début de l'essai.

Critère: Un plan d'échantillonnage écrit, avec taille, fréquence et critères d'acceptation/refus définis, est fixé et validé avant l'échantillonnage de la production, et non ajusté après avoir vu les résultats.

Groupe qualité de production. Acter le plan après coup permet de faire passer un essai limite en assouplissant les critères. L'ISO 2859-1 régit l'échantillonnage par attributs selon le niveau d'acceptation et n'est citée que lorsque le plan de l'acheteur s'appuie dessus ; sinon, utiliser le plan acté et laisser standardRef à null.

Pendant l'essai soutenu, échantillonner la production selon le plan acté et vérifier chaque échantillon par rapport aux critères d'acceptation de production de l'acheteur, en consignant le résultat de chaque échantillon.

Critère: La production échantillonnée satisfait aux critères d'acceptation spécifiés par l'acheteur et l'essai reste dans le nombre d'acceptation du plan d'échantillonnage acté ; le lot n'est pas accepté si le nombre de refus est atteint.

Groupe qualité de production. Un débit à vitesse nominale ne vaut rien si la production qui en sort est hors tolérance ; la production doit être jugée pendant l'essai de capacité, non sur un échantillon distinct choisi après coup.

Consigner le taux de rebut, de mise au rebut ou de reprise observé sur l'essai soutenu et le comparer au maximum acté.

Critère: Le taux de rebut/mise au rebut sur l'essai est égal ou inférieur au maximum indiqué dans le bon de commande ou acté dans le protocole FAT ; si aucun chiffre n'est spécifié, le taux est consigné pour acceptation par accord des parties.

Groupe qualité de production. Une machine qui n'atteint son débit qu'en produisant une part élevée de rebut n'a pas atteint la capacité effective ; le taux de production bonne est le chiffre qui compte sur site.

Collecter le procès-verbal d'essai de performance signé — débit et temps de cycle obtenus, valeurs de consommation mesurées, et résultats complets de l'échantillonnage de production avec taux de rebut — en notant le matériau d'essai, les conditions de fonctionnement et les instruments utilisés.

Ce procès-verbal signé constitue la preuve, au moment du paiement lié à l'expédition, que le régime nominal a bien été démontré ; sans les conditions d'essai et les instruments notés, les chiffres ne peuvent être défendus ni reproduits sur site.

Confirmer que la cadence démontrée n'a pas été obtenue en fonctionnant au-delà des paramètres de fonctionnement spécifiés (survitesse, surtempérature, surpression, ou consigne hors fiche technique) dans le seul but de réussir l'essai.

La production nominale n'est valable qu'aux conditions nominales ; pousser la machine au-delà de ses réglages spécifiés pour atteindre le chiffre masque un déficit de capacité réel et réduit la durée de vie de l'équipement en service.

Obtenir la spécification de conception hygiénique des surfaces au contact du produit — nuance requise du matériau de contact, rugosité de surface (Ra) maximale, matériaux d'élastomère/joint acceptables, exigence de drainage et tout régime CIP/SIP — avant d'engager les contrôles.

Les limites de Ra, les matériaux autorisés et le régime de nettoyage dépendent tous de l'acheteur/du bon de commande. Sans les objectifs déclarés, les contrôles hygiéniques ci-dessous ne peuvent être qu'observés, non attestés au regard d'une exigence.

Confirmer qu'un moyen de mesure de la rugosité de surface est disponible pour la FAT — un rugosimètre étalonné, ou des échantillons comparateurs de rugosité de référence — et consigner son identification et son statut d'étalonnage.

Un rugosimètre à palpeur donne une valeur Ra chiffrée ; les échantillons comparateurs ne donnent qu'une comparaison tactile/visuelle. Noter la méthode utilisée, car un résultat par comparateur relève du jugement, non de la mesure.

Recouper les certificats du matériau de contact avec la spécification : confirmer que chaque composant métallique au contact du produit est couvert par un certificat matière indiquant la nuance spécifiée (par exemple la nuance d'acier inoxydable requise), et que la nuance certifiée correspond à l'exigence.

La substitution d'une nuance inférieure ou non spécifiée sur les surfaces de contact (par exemple une nuance 304 alors que 316L est requise pour le procédé) est une non-conformité hygiénique et de résistance à la corrosion qu'un simple examen documentaire peut manquer. Cet article confirme le certificat ; la vérification indépendante du métal par analyseur est l'article fat-mat-005 du module matériaux — s'y référer sans répéter ici le contrôle ponctuel par analyseur.

Mesurer la rugosité de surface (Ra) des surfaces au contact du produit sur un échantillon représentatif d'emplacements et confirmer que chaque relevé est égal ou inférieur au Ra maximal spécifié.

Critère: Le Ra mesuré à chaque emplacement de surface de contact échantillonné est égal ou inférieur au maximum spécifié (les surfaces de contact spécifient fréquemment un Ra de 0,8 µm ou plus fin ; utiliser la limite déclarée par l'acheteur).

Une surface de contact rugueuse retient des résidus de produit et des micro-organismes et ne peut être nettoyée de façon fiable. Échantillonner l'intérieur des cuves/réservoirs, les alésages de tuyauterie et les raccords accessibles ; une éprouvette polie témoin ne constitue pas une preuve pour les surfaces réellement construites.

Inspecter les soudures côté contact quant à leur finition hygiénique : confirmer que les soudures côté procédé sont à pénétration complète, continues, et meulées/polies à fleur là où requis, sans crevasse, piqûre, morsure, racine non fondue, décoloration/teinte thermique ni projection incrustée côté produit.

Les soudures côté contact sont un piège à résidus de premier plan. Ce contrôle porte spécifiquement sur la finition hygiénique de la face mouillée de la soudure ; la qualité générale de soudage et tout CND de la soudure relèvent des modules matériaux et pression et ne sont pas dupliqués ici. Une forte teinte thermique sur l'inox indique une perte de résistance à la corrosion et une purge insuffisante.

Parcourir le circuit au contact du produit pour vérifier l'aptitude au drainage et l'absence de bras morts : confirmer que le circuit mouillé s'autovidange vers les points bas prévus dans l'orientation d'installation, et que les piquages, tés d'instrumentation et orifices inutilisés restent dans la limite de bras mort spécifiée.

Le produit stagnant et les bras morts ne sont ni nettoyés ni stérilisés par le CIP/SIP et constituent une source de contamination. Vérifier que les pentes sur le banc de FAT correspondent à la condition installée, ou noter l'orientation dont dépend l'affirmation de drainabilité. Le ratio de bras mort admissible dépend de l'acheteur/de la norme.

Vérifier que les joints et raccords au contact du produit sont de conception hygiénique : confirmer que les raccordements sont du type sanitaire spécifié (par exemple raccord clamp hygiénique, soudure orbitale ou raccords aseptiques) avec des joints correctement positionnés et sans filetage exposé, ressaut, angle interne vif ni crevasse dans le circuit mouillé.

Des raccords non hygiéniques, des joints mal positionnés ou saillants et des crevasses internes annulent la nettoyabilité quel que soit l'état de surface. Le type de raccordement et la norme applicable dépendent de la spécification.

Lorsque l'équipement comporte un système de nettoyage en place (CIP) intégré, assister à un cycle CIP et confirmer que chaque phase de nettoyage se déroule comme programmé et que les dispositifs de projection mouillent l'intégralité de la surface de contact sans zone d'ombre.

Critère: Le cycle CIP effectue chaque phase programmée (prérinçage, soude, rinçage intermédiaire, acide si utilisé, rinçage final) selon la séquence spécifiée, et la couverture complète de la surface de contact est confirmée (par exemple par test à la riboflavine/de couverture ou contrôle visuel du motif de projection) sans zone non mouillée.

Inclure uniquement lorsque l'équipement dispose de sa propre capacité CIP. Assister au cycle tel que livré ; le débit/la température/la concentration/le temps atteints au regard de la recette CIP sont confirmés dans l'article ci-dessous. La validation du résultat de nettoyage (par exemple par écouvillonnage) est une activité de mise en service, non un contrôle de FAT.

Lorsqu'un régime CIP ou de stérilisation en place (SIP) est prévu, assister et consigner les paramètres de nettoyage/stérilisation atteints — température d'alimentation et, le cas échéant, de retour, débit ou pression d'alimentation, concentration chimique, et durée de phase — au regard de la recette CIP/SIP spécifiée.

Critère: Les paramètres CIP/SIP relevés (température, débit/pression, concentration, temps de maintien/d'exposition pour chaque phase) atteignent ou dépassent les valeurs indiquées dans la recette spécifiée, maintenus pendant toute la durée spécifiée.

Une température insuffisante, un débit faible, une concentration trop faible ou un temps de maintien raccourci laissent les surfaces effectivement non nettoyées/non stérilisées alors que le cycle paraît s'achever normalement. Pour le SIP, la température d'exposition et le temps de maintien sont les paramètres critiques. Les valeurs cibles de la recette dépendent de l'acheteur.

Rassembler les déclarations de conformité au contact alimentaire/produit pour chaque élastomère, joint, garniture, joint torique et pièce de contact non métallique, et confirmer que chaque matériau déclaré figure sur la liste spécifiée/autorisée et est apte à la température de procédé et aux produits chimiques CIP/SIP éventuels.

La conformité des élastomères est documentaire — rassembler la déclaration de contact alimentaire du fabricant (le régime applicable, par exemple FDA 21 CFR 177 ou CE 1935/2004, dépend de la juridiction de l'acheteur, donc le consigner plutôt que d'en présumer un). Un élastomère non répertorié ou non apte est une non-conformité du matériau de contact même lorsque la robinetterie métallique est conforme.

Rassembler les certificats du matériau de contact, les relevés de rugosité de surface (Ra) enregistrés à la FAT, le registre de soudage sanitaire / les relevés de finition des soudures, et tout certificat de traitement de surface (par exemple électropolissage ou passivation) pour les surfaces au contact du produit.

Ce sont les relevés objectifs attestant que les surfaces hygiéniques satisfont l'exigence. Les conserver avec le dossier de FAT ; les certificats de passivation/électropolissage ne s'appliquent que lorsque ce traitement est spécifié.

Confirmer l'absence de crevasse, de fixation filetée, d'interstice borgne ou de poche de liquide piégé exposés au circuit produit, et que les traversées d'instruments, regards et joints de trou d'homme donnant sur la zone de contact sont montés à fleur et hygiéniquement étanches.

Les instruments rajoutés après coup, les filetages de boulons exposés et les joints en retrait ou saillants sont les défauts hygiéniques les plus courants qui subsistent jusqu'à la FAT car ils passent un essai fonctionnel — l'équipement fonctionne, mais la zone de contact ne peut être nettoyée. Traiter chacun comme un point d'arrêt, non comme une remarque esthétique.

Confirmer que la nuance de contact produit, l'état de surface et la qualité des soudures/raccords sont homogènes sur l'ensemble du circuit mouillé, sans section construite à un niveau inférieur aux surfaces de contact spécifiées.

Une réduction de coût fréquente consiste en une cuve ou un réservoir principal conforme équipé de tuyauterie, vannes ou raccords de nuance inférieure ou plus rugueux sur le même circuit mouillé. Échantillonner au-delà du composant vitrine ; la section la plus faible du circuit de contact fixe le niveau de nettoyabilité de l'ensemble.