Comment spécifier un smartphone à sécurité intrinsèque

La plupart des appels d'offres pour terminaux de zones dangereuses sont perdus ou gagnés avant que le moindre produit ne soit comparé, lors de la rédaction de l'exigence. Une spécification libellée « fournir 120 téléphones antidéflagrants, homologués ATEX » appelle quatre offres incomparables : un Android durci de Zone 2, un téléphone à touches de Zone 1, une tablette certifiée et une coque de téléphone. Une spécification qui nomme le classement, le niveau de protection, la plateforme de gestion et la filière de réparation produit quatre offres que l'on peut mettre dans un tableau.

Voici une liste de contrôle opérationnelle de spécification de smartphone à sécurité intrinsèque, rédigée pour être reprise dans un dossier d'appel d'offres et modifiée. Chaque section explique à quoi sert la clause, car ce raisonnement vous sera nécessaire lors de la réunion de clarification.

1. Partir de la zone, pas de l'appareil

Tout ce qui suit dépend du classement des zones dangereuses, et ce classement vous appartient, pas au fournisseur. Récupérez les plans de classement en vigueur et le tableau qui les sous-tend, parcourez les trajets réellement empruntés par vos utilisateurs et consignez, pour chacun, le cas le plus contraignant plutôt que le cas typique. Un appareil portable doit être choisi pour le pire endroit où il sera porté.

Clauses à rédiger :

• L'appareil doit convenir à la zone gaz [Zone 1] et à la zone poussières [Zone 21], classées selon IEC 60079-10-1 et IEC 60079-10-2. Lorsque le site est classé selon NFPA 70, l'appareil doit convenir à [Class I, Division 1, Groups C and D].
• Niveau de protection minimal du matériel [Gb] pour les gaz et [Db] pour les poussières. Les appareils marqués uniquement Gc ou Dc ne doivent pas être proposés.
• Groupe de gaz [IIC]. Groupe de poussières [IIIC].
• Classe de température [T4] ou meilleure.
• La plage de température ambiante certifiée doit couvrir [moins 20 °C à plus 55 °C] et figurer sur le certificat, et pas seulement dans la documentation commerciale.
• Modes de protection acceptables : sécurité intrinsèque selon IEC 60079-11 au niveau [ia ou ib]. La sécurité augmentée au niveau ec, le mode non producteur d'étincelles nA et le mode à respiration limitée nR ne sont pas acceptables pour cette zone.

La clause sur la plage ambiante se justifie plus souvent qu'on ne le croit. Un appareil certifié jusqu'à plus 40 °C n'est pas conforme sur une installation à l'air libre dans le Golfe en juillet, et un appareil certifié à moins 10 °C n'est pas conforme lors d'un poste d'hiver dans le nord. La limite du certificat est la limite.

2. Certification et accès au marché

Nommez les schémas que vous accepterez et les preuves que vous attendez, et exigez-les avant l'attribution plutôt qu'à la livraison.

• Un certificat de conformité IECEx en cours de validité couvrant exactement le modèle et la variante proposés.
• Pour le matériel mis sur le marché européen, une attestation d'examen UE de type ATEX délivrée par un organisme notifié nommément désigné, accompagnée de la déclaration UE de conformité. Pour la Grande-Bretagne, soit la voie UKCA, soit le marquage CE selon les dispositions de reconnaissance en vigueur.
• Pour les sites relevant de NFPA 70, une homologation pour l'emplacement classé délivrée par un laboratoire d'essais reconnu au niveau national.
• Les agréments radio pour chaque pays d'utilisation : conformité à la directive sur les équipements radioélectriques dans l'UE, réglementation britannique équivalente, identifiant FCC aux États-Unis et homologation nationale ailleurs.
• Tout instrument national de conformité exigé à l'importation, par exemple la voie SASO et SABER en Arabie saoudite ou l'agrément PESO en Inde.

La protection contre les explosions et la conformité radio sont deux volets distincts. Un appareil peut détenir un certificat Ex irréprochable et être pourtant illégal à mettre sous tension dans votre pays. Demandez les deux.

3. Étanchéité, chute et environnement physique

C'est là que les raccourcis commerciaux font le plus de dégâts, car les deux affirmations phares de toute fiche technique d'appareil durci signifient moins qu'il n'y paraît.

Indices IP. IP68 est déclaré selon IEC 60529, et pour le chiffre 8 les conditions d'essai sont convenues entre le fabricant et l'utilisateur plutôt que fixées par la norme. IP68 seul vous apprend donc très peu de choses. Demandez la profondeur et la durée d'immersion déclarées, et inscrivez un minimum dans la spécification.

Essais d'environnement et de chute. Une mention « durci » ou « testé en chute » n'est pas un certificat, et il n'existe aucun tampon de réussite ou d'échec. Un appareil décrit ainsi affirme que certaines méthodes d'essai ont été appliquées selon certains profils. Demandez quelles méthodes, à quels niveaux, et le rapport. La hauteur de chute, la surface de chute et le nombre de chutes sont les chiffres qui déterminent si un terminal survit à un caillebotis.

Clauses à rédiger :

• Protection d'étanchéité minimale IP68 selon IEC 60529, avec une profondeur d'immersion déclarée d'au moins [1.5 m] pendant au moins [30 minutes].
• Les méthodes et profils d'essais d'environnement et de chute doivent être indiqués, avec la méthode d'essai de chute, la hauteur de chute, la surface d'impact et le nombre de chutes déclarés, et le rapport d'essai disponible sur demande.
• L'écran doit être utilisable avec des gants [nitrile et cuir de manutention] et lisible en plein soleil ; indiquer la luminosité d'écran mesurée.
• Résistance chimique aux substances manipulées sur le site, lorsque les matériaux du boîtier sont susceptibles d'y être exposés.

4. Batterie, recharge et autonomie

Les clauses relatives à la batterie ont une double fonction : elles couvrent le poste de travail, et elles couvrent une obligation de conformité que la plupart des acheteurs découvrent tard.

Un appareil à sécurité intrinsèque est certifié avec des types de cellules précis, identifiés dans l'annexe du certificat. Remplacer une cellule d'aspect identique invalide la certification. Dans presque tous les cas, le certificat comporte aussi une condition selon laquelle la recharge doit avoir lieu hors de la zone dangereuse, et souvent que la batterie ne peut être changée qu'en dehors de celle-ci. Ces conditions doivent parvenir aux personnes qui portent l'appareil, par la procédure d'exploitation du site et le point sécurité avant la prise de poste, et pas seulement au classeur d'archives.

• Capacité de batterie suffisante pour un poste de [12 heures] avec [le profil du site : PTT continu, utilisation périodique de la caméra, GNSS activé], le profil d'usage supposé étant indiqué.
• Indiquer si la batterie est remplaçable par l'utilisateur, et où. Confirmer par écrit si le certificat autorise le remplacement de la batterie dans une zone classée.
• Seuls les types de cellules énumérés dans l'annexe du certificat doivent être fournis comme pièces de rechange ; fournir les références.
• Le matériel de recharge doit être identifié et son exigence d'emplacement indiquée. Des chargeurs multi-baies pour un local de recharge non dangereux doivent être proposés en option.
• Fournir le résumé d'essai UN 38.3 et la classification de transport applicable aux cellules.
• Politique de remplacement de la batterie sur la durée de vie de l'appareil, y compris la disponibilité des pièces de rechange pendant au moins [5 ans] après la dernière expédition.

5. Politique de caméra

Une caméra de 50 MP est la fonction la plus utile d'un terminal de terrain et aussi la raison la plus probable du rejet de votre spécification par une revue de sûreté du site. Décidez de la politique avant l'appel d'offres, pas après.

Options réalistes, à peu près par ordre de fréquence de choix :

• Caméra présente, désactivée de façon centralisée par la gestion des appareils, activée par exception au titre d'un permis de photographie.
• Caméra présente et activée, avec une restriction par géorepérage ou au niveau de l'application.
• Caméra présente, limitée à une application approuvée d'inspection ou de permis qui stocke les images dans le système de l'entreprise et bloque la galerie.
• Variante sans caméra pour les sites où tout appareil d'imagerie est interdit.

Inscrivez l'option retenue dans la spécification avec le mécanisme, car « la caméra peut être désactivée » est vrai de presque tous les téléphones et n'apprend rien à votre responsable sûreté. Ce qu'il doit savoir, c'est si elle peut être désactivée d'une manière que l'utilisateur ne peut pas annuler.

6. Système d'exploitation et gestion des appareils

Les terminaux pour zones dangereuses sont des appareils de parc. Ils échouent sur la gestion bien après avoir réussi la certification.

• Version d'Android à la livraison, et horizon engagé pour les mises à niveau du système d'exploitation et les correctifs de sécurité mensuels ou trimestriels. Indiquer la date de fin, et non une promesse de « mises à jour régulières ».
• Prise en charge de la gestion de la mobilité d'entreprise : l'appareil doit s'enrôler dans [votre plateforme EMM ou MDM] en mode entièrement géré, avec un profil professionnel lorsque nécessaire.
• Enrôlement zero-touch ou équivalent en masse, afin que les appareils arrivent déjà provisionnés au lieu d'être configurés un par un.
• Liste d'applications autorisées, mode kiosque ou appareil dédié, et effacement à distance.
• Commandes matérielles pouvant être pilotées par politique : caméra, microphone, données USB, Bluetooth, partage de connexion, GNSS.
• Enrôlement Wi-Fi et VPN par certificat pour l'accès au réseau du site.

Si vous exploitez déjà un parc d'appareils durcis standard, ajoutez une ligne exigeant que les terminaux pour zones dangereuses soient gérables depuis la même console avec le même jeu de politiques. Deux consoles représentent un coût récurrent que votre équipe informatique paiera indéfiniment.

7. Voix, radio et push to talk

Les équipes de terrain communiquent d'abord par la voix, et tout le reste vient ensuite. Le détail technique ici détermine si l'appareil remplace une radio bidirectionnelle ou finit porté en plus d'elle.

• Bandes cellulaires requises pour chaque pays d'utilisation, avec la prise en charge de VoLTE indiquée.
• Normes Wi-Fi et authentification d'entreprise, ainsi que les appels Wi-Fi s'ils font partie du plan de couverture pour les zones intérieures ou offshore.
• Push to talk sur réseau cellulaire, en nommant la plateforme que vous utilisez, ainsi que l'interconnexion avec le système radio existant par une passerelle le cas échéant.
• Niveau sonore du haut-parleur, mesuré, par rapport aux niveaux de bruit des zones d'utilisation. Un terminal que l'on n'entend pas à côté d'un compresseur ne sera pas utilisé.
• Accessoires : casques, micros-haut-parleurs déportés, étuis et supports de véhicule. Chaque accessoire raccordé électriquement à l'appareil doit lui-même être couvert par la certification. Un casque non certifié branché sur un terminal certifié constitue un ensemble non conforme, et c'est l'un des constats les plus fréquents lors d'un audit de matériel Ex.

8. Travailleur isolé et localisation

Les fonctions de travailleur isolé font vendre des appareils et déçoivent les acheteurs, généralement parce que personne n'a distingué la fonction du système qui l'entoure.

• Quelles alarmes sont requises : alarme manuelle, détection de chute par inclinaison, absence de mouvement, ainsi que tout comportement de pré-alarme et d'annulation.
• Si la fonction d'alarme est une fonctionnalité applicative ou une fonction de sécurité certifiée et, si une revendication de sécurité fonctionnelle est faite, la norme et le niveau selon lesquels elle est évaluée. Posez la question explicitement ; la réponse honnête pour la plupart des terminaux est qu'il s'agit d'une fonctionnalité logicielle.
• Où va l'alarme, qui la surveille en permanence, et quelle est l'escalade si l'alarme n'est pas acquittée.
• Localisation : un GNSS à quatre constellations améliore le temps de positionnement et la précision en extérieur et autour des structures, mais aucun système satellitaire ne fonctionne de façon fiable à l'intérieur d'un module de procédé ou d'une cuve. Si la localisation en intérieur est une exigence, spécifiez l'infrastructure qui la fournira plutôt que d'attendre du terminal qu'il la résolve.
• Conséquences sur la batterie d'un signalement continu de la position, indiquées dans l'hypothèse d'autonomie de la section 4.

9. Réparation, pièces de rechange et circuit de service

Un appareil à sécurité intrinsèque ne peut pas être ouvert par un atelier de téléphonie généraliste. La réparation des équipements Ex est régie par la norme IEC 60079-19, et les ateliers de réparation peuvent eux-mêmes être certifiés dans le cadre du schéma IECEx pour les installations de service. Une réparation effectuée en dehors de ce cadre n'annule pas seulement une garantie : elle supprime le fondement sur lequel l'appareil est autorisé dans une zone classée.

• Circuit de réparation nommé et délai de traitement cible, avec l'emplacement de l'atelier indiqué.
• Indiquer si le réparateur est évalué selon IEC 60079-19 et si un atelier de service certifié est utilisé.
• Durée de la garantie et ce qui l'annule précisément.
• Dimensionnement du stock de pièces de rechange et lieu de stockage, avec stockage dans le pays lorsque le dédouanement à l'importation est lent.
• Engagement de disponibilité des pièces de rechange et des batteries après la fin de production.
• Sort d'un appareil qui échoue à sa prochaine inspection périodique selon IEC 60079-17.

10. Le dossier de documentation

Exigez les documents comme livrable de l'attribution, indexés, en une seule remise. La liste complète et la manière de vérifier chaque élément font l'objet d'un guide distinct dans notre bibliothèque d'analyses, mais au minimum :

• Certificat de conformité et son annexe complète.
• Toutes les conditions spécifiques d'utilisation, lorsque le numéro de certificat porte le suffixe X.
• Déclarations de conformité UE et, le cas échéant, britanniques.
• Rapports d'essais de protection contre la pénétration et d'essais mécaniques.
• Homologations radio pour chaque pays d'utilisation.
• Documentation de la batterie, y compris le résumé d'essai UN 38.3.
• Notice d'utilisation dans les langues exigées sur site.
• Une photographie de l'étiquette réelle du produit, à comparer caractère par caractère avec le marquage du certificat.

Les cinq erreurs les plus coûteuses

1. Spécifier par catégorie marketing. « Téléphone antidéflagrant » ou « téléphone ATEX » comme seule exigence permet à un appareil Zone 2 de concourir pour un besoin Zone 1. Indiquez la zone, l'EPL et le mode de protection.
2. Oublier les poussières. Un certificat limité aux gaz est muet sur la Zone 21 ; il n'y est pas partiellement conforme.
3. Ignorer la plage de température ambiante. La plage certifiée est une limite stricte et elle est souvent plus étroite que la plage de fonctionnement commerciale indiquée sur la fiche technique.
4. Laisser les accessoires hors du périmètre. Les micro-casques, câbles et stations d'accueil font partie de l'ensemble certifié. Les acheter séparément auprès d'un fournisseur généraliste le compromet.
5. Traiter le circuit de réparation comme un détail. Le circuit est mis à l'épreuve à la première panne d'un terminal, et la flotte est alors déjà déployée.

Remarque sur l'évaluation d'un appareil avant lancement

Si un fournisseur propose un appareil dont la certification est encore en cours, ce n'est pas automatiquement éliminatoire, mais cela modifie ce que vous pouvez exiger. Demandez le programme de certification par écrit : quels schémas, quel organisme de certification, quelles normes et éditions, et les dates cibles. Demandez en termes clairs ce qui n'est pas détenu aujourd'hui. Réalisez les essais de manipulation et de gestion des appareils en zone non dangereuse, et attendez l'existence du certificat pour lancer le pilote en zone classée.

Le SAMS IS-04Z1 se trouve précisément dans cette situation. Il est conçu pour la Zone 1 et la Zone 21, avec une plateforme octocœur Qualcomm Snapdragon, une batterie de 4 000 mAh, IP68 et une construction robuste, un appareil photo 50 MP PDAF, Android 16 avec prise en charge EMM et MDM, 4G LTE, Wi-Fi, Bluetooth, NFC et GNSS quadri-constellation, avec un marquage ATEX cible II 2 G Ex ib IIC T4 et un objectif NEC 500 Class I Division 1. La certification est en cours et le lancement est prévu au T4 2026 ; la fiche technique et le calendrier de certification sont donc ce qu'un acheteur devrait nous demander dès aujourd'hui. Les exigences par pays sont présentées dans les pages marchés, notamment les Émirats arabes unis, le Royaume-Uni, le Nigeria et l'Inde.

Questions fréquentes

Sources officielles

• Système IECEx
• IEC : présentation des zones dangereuses (Ex)
• Commission européenne : équipements ATEX
• NFPA 70 (National Electrical Code)