Assurer la sécurité des machines avec variateurs de vitesse : fonctions clés et meilleures pratiques

Principes généraux des fonctions de sécurité dans les équipements électroniques

Ce blog donne une introduction à l'utilisation des variateurs de vitesse dans les fonctions de sécurité des machines. Il est destiné à aider ceux qui sont familiers avec les variateurs onduleurs CA mais moins avec les systèmes de contrôle liés à la sécurité. Il devrait aider le lecteur à comprendre les principes et à accéder à la grande quantité de matériel détaillé disponible sur les systèmes liés à la sécurité.

Le terme « Sécurité Fonctionnelle » s'applique lorsque des équipements électriques, électroniques ou programmables sont utilisés pour réaliser des fonctions qui affectent la sécurité humaine. C'est un sujet énorme, qui inclut des applications diverses telles que la signalisation ferroviaire et la surveillance et le contrôle de grandes installations de processus où de nombreuses personnes pourraient être en danger en cas d'accident. Cependant, le plus couramment dans les applications de variateurs, cela ferait référence à un type de machinerie, où le système de contrôle peut être utilisé pour prévenir une situation où une personne serait en danger de blessure due au fonctionnement de la machinerie. Un exemple simple est une barrière de sécurité, qui doit être ouverte fréquemment pour accéder à une partie de la machinerie, mais lorsqu'elle est ouverte, la machinerie ne doit pas pouvoir fonctionner. Un système de capteurs et d'actionneurs peut être conçu pour détecter l'état de la barrière et contrôler la machine.

Avec la disponibilité d'équipements programmables intelligents tels que les API et les VSD numériques, les systèmes de sécurité peuvent être plus flexibles et intelligents que cet exemple, permettant un fonctionnement flexible tout en maintenant la sécurité. Par exemple, il pourrait être possible de permettre un fonctionnement continu à vitesse réduite lorsque une barrière est ouverte, éventuellement conditionnel à l'activation d'une clé de sécurité spéciale par une personne qualifiée, ou peut-être lorsque le visage de cette personne est reconnu, ou quelque autre précaution.

Modes de défaillance

Le facteur crucial avec les fonctions de sécurité est que la fiabilité de la fonction doit être considérablement meilleure que ce qui peut être atteint par des équipements électriques, électroniques ou programmables simples. Aussi bonne que soit la qualité d'un circuit électrique ou électronique conventionnel, certaines pannes de composants peuvent se produire qui entraînent l'échec de la fonction de sécurité requise, mais sans que la panne ne devienne apparente. Le matériel pour les fonctions de sécurité doit donc être conçu avec des fonctionnalités d'auto-test ou « fail-safe » intégrées. Pendant le développement du produit, les effets des pannes matérielles doivent être analysés dans une Analyse des Modes de Défaillance et de leurs Effets (AMDE) et les modes de défaillance potentiellement dangereux doivent être réduits par conception à un niveau très bas. Une cible typique pour le PFH_D (probabilité de défaillance dans une direction dangereuse) pour un niveau d'intégrité SIL3 serait de 10^-8 par heure, c'est-à-dire un taux de défaillance de moins d'un par 10 000 ans. De tels taux de défaillance bas nécessitent toujours des structures spéciales dans les systèmes de contrôle électroniques. Notez ici que nous parlons de défaillances aléatoires qui se produisent pendant la durée de vie prévue de l'équipement, et non de l'espérance de vie. Les pièces avec des mécanismes d'usure connus dans la durée de vie prévue du système peuvent être gérées par une maintenance planifiée.

Structures de contrôle

Dans la plupart des applications impliquant des variateurs, la sécurité d'une machine fixe est traitée, et l'option la plus courante est d'utiliser deux canaux indépendants pour la fonction de sécurité, avec une vérification croisée arrangée de sorte qu'en cas de divergence, le variateur s'arrête, c'est-à-dire que le couple d'entraînement s'arrête. Dans la plupart des machines, cela résulte en un état sûr. Pour une machine comme un palan qui pourrait bouger sous la gravité sans variateur, des mesures doivent être prises pour s'assurer qu'il ne peut pas causer de danger lorsque le couple d'entraînement disparaît.

La Figure 1 illustre un système de sécurité de base à deux canaux qui est également appelé système « un sur deux » ou 1oo2, signifiant que si l'un des deux canaux demande un arrêt, la machine s'arrête. C'est l'arrangement le plus courant pour un système de contrôle de sécurité de machinerie. Une panne dans l'un ou l'autre capteur ou processeur de conditionnement de signal ne mène pas à une perte de la fonction de sécurité. Notez que la Figure 1 est un diagramme fonctionnel seulement, la « porte ET » à la sortie n'est pas une simple puce logique, car cela introduirait un mécanisme de défaillance à point unique, si la puce logique échouait. Cela pourrait être une entrée STO à deux canaux sur le variateur, ou une autre méthode où la défaillance par cause commune d'un seul dispositif est éliminée.

La fonction de diagnostic montrée en gris est généralement nécessaire pour assurer la sécurité continue, car sans elle, bien qu'une panne dans un canal ne cause pas l'échec de la fonction de sécurité, il serait possible pour la machine de continuer à fonctionner indéfiniment avec un canal dans l'état non sûr. Une seconde panne mènerait alors à une condition dangereuse.

Figure 1 : Structure de contrôle un-sur-deux

Logiciel/micrologiciel

L'utilisation de processeurs embarqués exécutant du micrologiciel et des logiciels introduit une nouvelle dimension à la sécurité fonctionnelle. Le logiciel n'a pas de défaillances aléatoires, mais sa complexité signifie qu'il est difficile de s'assurer qu'il fonctionne comme prévu sous toutes les conditions et séquences d'événements. Cela ne peut pas être prouvé par un test du système complet comme une « boîte noire » – le logiciel doit être écrit dans un langage bien défini avec des mesures prises pour éviter les erreurs de codage, et soigneusement structuré en modules qui peuvent être spécifiés et testés à chaque étape. Il doit également être prouvé que les modules ne peuvent pas être affectés négativement par d'autres activités dans le système de processeur, et c'est difficile si d'autres codes non-sécurité s'exécutent sur le même processeur.

La discipline nécessaire de créer une spécification claire et non ambiguë, avec un plan de test, et de documenter thoroughly le processus, s'applique à la fois à l'écriture du code et à la conception du système complet.

Un contrôle important de la qualité du logiciel est de distinguer un « langage à variabilité limitée » (LVL) d'un « langage à variabilité complète » (FVL). Le LVL est restreint à la configuration de modules pré-approuvés avec des fonctions bien définies d'une manière restreinte afin que le résultat puisse être testé par un programme de test séquentiel simple. Le LVL aurait été créé en utilisant un FVL tel que C++ etc., qui avait subi un processus de conception rigoureux complet, et était ensuite verrouillé au-delà de l'accès par le programmeur LVL.

La facilité avec laquelle le logiciel peut être modifié signifie également qu'un système sécurisé de contrôle de version doit être en place, y compris la prévention des modifications non autorisées.

Applications des variateurs

De nombreuses fonctions de sécurité qui comprennent des séquences et combinaisons simples d'entrées pour contrôler des sorties peuvent être implémentées dans un API avec des fonctionnalités spéciales pour prévenir les dangers des pannes matérielles et des erreurs logicielles, c'est-à-dire un « API de sécurité ». Cependant, il y a des applications où le variateur est particulièrement bien placé pour implémenter de telles fonctions de manière rentable :

• Prévention de l'entraînement – le variateur onduleur a des caractéristiques uniques qui le destinent au dernier maillon de la chaîne de sécurité, qui est d'empêcher le couple d'être développé dans le moteur quand requis, avec une intégrité très élevée. Cela est défini comme Safe Torque Off (STO).
• Restriction de l'étendue du mouvement, y compris le couple, l'accélération, la vitesse, la direction ou la position, soit en valeurs absolues, soit en valeurs relatives telles que les incréments de position. Le variateur contrôle ces variables et a souvent des mesures précises et à réponse rapide de celles-ci, par exemple via un codeur d'arbre ou de position, ou éventuellement en observant le comportement de la tension et du courant du moteur. Si ces fonctions liées au variateur sont combinées avec une logique combinatoire et séquentielle simple pour les entrées de capteurs de machine tels que les interrupteurs de portail et les interrupteurs à clé, alors une grande classe d'applications de sécurité peut être implémentée.

Normes pour les parties liées à la sécurité des systèmes de contrôle de machinerie

Le besoin de gestion rigoureuse et d'implémentation de la conception de systèmes de sécurité signifie que les normes internationales pertinentes sont complexes et denses. Dans cette note, nous ne regarderons que quelques caractéristiques clés des normes les plus pertinentes pour la sécurité des machines.

Les normes internationales sont préfixées par ISO ou IEC. Les normes européennes CENELEC sont préfixées par EN. Nous regarderons les versions EN ici, les formes internationales utilisent les mêmes numéros avec des préfixes différents. Les versions EN ont le statut de normes harmonisées pour la Directive Machines CE.

EN ISO 12100 décrit comment l'évaluation des risques de la machinerie doit être réalisée, résultant en l'allocation de fonctions de sécurité au système de contrôle si nécessaire. C'est un précurseur essentiel à la conception correcte du contrôle lié à la sécurité, et est la responsabilité du concepteur de la machine.

EN 61800-5-2 est une norme pour la sécurité fonctionnelle des systèmes d'entraînement de puissance. Elle définit un certain nombre de fonctions[1] qui sont particulièrement adaptées aux variateurs, appelées « sous-fonctions de sécurité désignées », telles que Safe Torque Off (STO), Vitesse Limitée en Sécurité (SLS) etc. L'intégrité de sécurité d'une fonction de sécurité complète est mesurée par le SIL, qui peut prendre des valeurs de 1 (le plus bas) à 3. Puisque le variateur est un sous-système d'un système de contrôle complet lié à la sécurité, cela est appelé sa « capacité SIL ».

EN 62061 est une norme pour les systèmes de contrôle électriques/électroniques/programmables de machines, qui utilise la même métrique SIL que EN 61800-5-2

EN ISO 13849-1 est une norme pour les systèmes de contrôle de machines, y compris les systèmes non électriques. Elle utilise une métrique différente, le Niveau de Performance (PL) et la Catégorie (de B à 4). Une norme supplémentaire EN ISO 13849-2 couvre la « Validation », qui inclut des conseils sur les pannes qui doivent être considérées et lesquelles peuvent être exclues (« exclusions de pannes »).

La base de beaucoup de standardisation des systèmes électriques/électroniques/programmables liés à la sécurité est la série EN 61508-#, parties 1 à 7. Ce ne sont pas en elles-mêmes des normes harmonisées car elles couvrent tous les systèmes et pas seulement les systèmes de contrôle pour machines.

Niveaux d'intégrité de sécurité

Le SIL ou PL requis pour une fonction de sécurité donnée est lié au degré de risque que la fonction doit atténuer – c'est-à-dire la probabilité et la sévérité d'une blessure possible. Le processus de décision de cela commence avec l'évaluation des risques de la machine, qui est décrite dans EN ISO 12100. Les règles pour dériver le SIL ou PL requis sont données dans EN 62061 et EN ISO 13849-1.

Safe Torque Off dans les variateurs onduleurs (STO)

La fonction de sécurité la plus basique qu'un variateur peut offrir est le STO. Un variateur onduleur contrôlant un moteur à induction est particulièrement adapté à cette fonction, car l'étage de puissance de l'onduleur doit être continuellement actif avec un motif de commutation PWM complexe et bien contrôlé pour la plupart des semi-conducteurs de puissance afin de produire un couple dans le moteur. La Figure 2 illustre la structure de puissance de base de l'onduleur.

Figure 2 : Structure de puissance de base de l'onduleur à liaison CC

Le moteur a besoin d'un champ magnétique tournant pour produire du couple, qui ne peut être généré que par les six transistors de puissance suivant un motif de commutation complexe et bien défini qui génère un ensemble de tension triphasé aux bornes de sortie. En l'absence de ce motif de contrôle, puisque l'alimentation de l'onduleur est CC, il n'y a pas de pannes dans le circuit de puissance de l'onduleur qui peuvent tendre à causer du couple. Le pire cas de panne serait où deux transistors dans les pôles opposés de deux jambes d'onduleur conduisent involontairement, comme montré par les flèches rouges dans la Figure 2. Dans ce cas, un courant élevé non contrôlé circulerait dans une phase du moteur jusqu'à ce que soit le schéma de protection contre les surintensités opère, soit l'onduleur soit détruit (le fusible ou disjoncteur d'entrée coupe). Rien de cela ne donne un champ magnétique tournant, donc il n'y a pas de couple généré.

Dans le cas d'un moteur à aimant permanent ou à réluctance, ce pire cas de panne causerait un couple d'alignement temporaire jusqu'à ce que le dispositif de protection opère. À la limite, le moteur pourrait tourner d'un pas de pôle pour un moteur PM ou d'un demi-pas de pôle pour un moteur à réluctance.

L'interface entre l'étage de puissance de l'onduleur et l'entrée de contrôle STO du variateur doit être conçue pour maintenir la très faible probabilité d'une défaillance non sûre, ce qui signifierait que le motif de contrôle PWM complexe était involontairement transmis aux transistors de l'onduleur. Typiquement, l'arrangement utilise une sorte de technique « fail safe », whereby juste comme dans l'onduleur lui-même, les défaillances de composants de toutes sortes résultent en une perte de la commande « Enable ». Il peut y avoir deux canaux indépendants pour que la fonction STO puisse être facilement interfacée à un contrôleur de sécurité à deux canaux.

Fonctions de sécurité de variateur plus avancées

La plupart des autres fonctions de sécurité désignées de variateur nécessitent une analyse de données telles que le courant moteur et/ou la vitesse, etc. Cela est typiquement implémenté dans un microcontrôleur, avec un second contrôleur vérifiant continuellement les données d'entrée et de sortie et les actions du processeur, comme illustré dans la Figure 3. Invariablement, le résultat d'une divergence détectée est que le variateur est désactivé via la fonction STO.

La probabilité d'une panne matérielle dans la direction dangereuse est réduite à un niveau tolérable en ayant deux canaux avec vérification croisée. Les dispositifs d'entrée tels que les interrupteurs sont dupliqués pour permettre la détection de simples erreurs « bloquées à », et ils peuvent être alimentés avec des impulsions électriques diversifiées pour que des pannes furtives plus subtiles entre canaux puissent être détectées. Les codeurs incrémentaux de base ont une caractéristique utile inhérente qui permet de détecter la plupart des pannes, puisque les deux pistes d'impulsions ont un décalage de phase de 90° ce qui signifie que la plupart des erreurs résultent en une séquence d'impulsions impossible, qui peut être détectée. Les sorties numériques sont vérifiées par des impulsions de test régulières qui testent si une sortie intentionnellement maintenue dans l'état haut (vrai) est encore capable de passer bas – parfois appelées sorties OSSD.

La probabilité d'une panne systématique, c'est-à-dire une panne inhérente à la conception, est réduite à un niveau tolérable par un processus très rigoureux de définition des exigences précises pour les fonctions de sécurité et de suivi de leur implémentation, test et documentation.

Machines complètes et composants de sécurité

Le processus rigoureux de spécification et de suivi des fonctions de sécurité doit être suivi pour chaque application individuelle, et le concepteur de machinerie est ultimement responsable de cela. Si un variateur avec des fonctionnalités de sécurité fonctionnelle est utilisé comme partie de la conception, il devient un composant de sécurité, et sa propre spécification d'exigences de sécurité et sa certification deviennent une partie de la documentation du système complet.

Au sein de l'Union Européenne, cette exigence est incorporée dans la loi sous la forme de la Directive Machines 2006/42/CE, qui inclut une définition et des exigences pour les composants de sécurité lorsqu'ils sont mis sur le marché séparément. En pratique, cela signifie généralement que le variateur avec fonctions de sécurité vient avec un certificat d'examen de type CE délivré par un Organisme Notifié indépendant approuvé par le gouvernement, pour lui permettre d'être utilisé dans le système de contrôle lié à la sécurité d'une machine. S'il a la fonction STO intégrée en standard, de sorte qu'il pourrait ou non être utilisé comme composant de sécurité, le variateur doit alors avoir deux déclarations de fabricant CE séparées, selon la Directive Machines et la Directive Basse Tension.