Le système de commande de sécurité du pont roulant constitue la dernière ligne de défense pour la protection des équipements et du personnel — il exécute une logique de sécurité SIL3 indépendamment de la commande de mouvement du PLC standard, communique avec le variateur de fréquence et les E/S de sécurité via le protocole PROFIsafe, et assure une réponse de sécurité en moins de 20 ms dans les situations dangereuses telles que l'arrêt d'urgence, la survitesse, le dépassement de fin de course et le glissement de charge. Kelude Industries Lourdes a développé une architecture de commande normalisée reposant sur les CPU de sécurité Siemens S7-1500F, intégrant quatre fonctions de sécurité essentielles : coupure de couple de sécurité (STO), limitation de vitesse de sécurité (SLS), commande de frein de sécurité (SBC) et surveillance de direction de sécurité (SDI). Cet article présente l'intégralité de cette démarche d'ingénierie, de la conception du système et de la sélection des composants à la programmation de la logique de sécurité et à la mise en service avec certification.

Architecture du système de sécurité et niveaux SIL

Le système de commande de sécurité du pont roulant est conforme aux normes IEC 61508 et ISO 13849-1 (sécurité des machines — parties relatives à la sécurité des systèmes de commande), avec un objectif de conception fixé au niveau d'intégrité de sécurité SIL3 (probabilité de défaillance dangereuse par heure inférieure à 10⁻⁷). L'architecture du système repose sur le principe de séparation entre la couche de sécurité indépendante et la couche de commande standard : la couche standard, assurée par un CPU S7-1500 (par exemple 1513-1 PN), exécute la logique de mouvement, tandis que la couche de sécurité, confiée à un CPU de sécurité S7-1500F (par exemple 1515F-2 PN ou 1517F-3 PN/DP), exécute la logique de sécurité de manière indépendante. Les deux couches coexistent sur le même réseau PROFINET via le protocole PROFIsafe.

L'architecture matérielle du système de commande de sécurité repose sur trois niveaux. Le niveau de détection comprend des modules d'entrée numérique de sécurité F-DI (acquisition des signaux des boutons d'arrêt d'urgence, des fins de course, des verrous de sécurité de porte et des interrupteurs de survitesse) ainsi que des modules d'entrée analogique de sécurité F-AI (acquisition des signaux des codeurs de sécurité et des capteurs de charge). Le niveau de commande est assuré par le CPU de sécurité S7-1500F qui exécute le programme de sécurité, dont la logique est développée en langage F-LAD ou F-SCL et validée via l'outil Safety Admin de TIA Portal. Le niveau d'exécution pilote les relais de sécurité, les électrovannes de frein et les bornes STO des variateurs de fréquence via des modules de sortie numérique de sécurité F-DQ. Ces modules intègrent une fonction de déconnexion à double canal, garantissant qu'une défaillance unique ne compromet pas la fonction de sécurité.

Sélection du F-CPU et communication de sécurité PROFIsafe

Les CPU de sécurité de la série S7-1500F intègrent un environnement d'exécution de sécurité F-runtime sur la base des CPU standard. Le F-runtime agit comme une couche d'exécution indépendante partageant le même CPU que le programme utilisateur standard. Le programme de sécurité est développé en F-LAD et compilé via l'outil Safety Admin de TIA Portal en code de sécurité certifié. Kelude sélectionne différents modèles de F-CPU pour ses ponts roulants en fonction de la capacité de levage et de la complexité des fonctions de sécurité : les ponts roulants standard de 20 à 50 t utilisent le CPU 1515F-2 PN (128 Ko de mémoire programme et 256 Ko de mémoire de sécurité F), les ponts roulants lourds de plus de 50 t ou nécessitant des fonctions de sécurité étendues utilisent le CPU 1517F-3 PN/DP (512 Ko de mémoire programme, prise en charge des E/S de sécurité distribuées), et les mises à niveau de sécurité pour ponts roulants simples utilisent le CPU 1511F-1 PN (48 Ko de mémoire programme, E/S de sécurité intégrées, déployé dans une armoire de commande compacte).

Le protocole de communication de sécurité PROFIsafe constitue la base du transfert de données de sécurité SIL3. PROFIsafe superpose une couche de sécurité F-host et F-device au protocole standard PROFINET RT. Les données de sécurité sont échangées entre le F-host (CPU de sécurité) et les F-devices (modules F-DI/F-DQ, fonctions de sécurité des variateurs) via des télégrammes PROFIsafe. Chaque télégramme PROFIsafe contient 2 octets de données de sécurité et 1 octet de somme de contrôle CRC (CRC 16 bits + CRC 8 bits). La trame de communication intègre un compteur de surveillance continu (F_WD_Time par défaut : 150 ms) et des identifiants de connexion (F_Source_Add/F_Dest_Add), garantissant l'intégrité, la rapidité et la justesse du transfert de données. Les télégrammes PROFIsafe sont transmis en parallèle des télégrammes PROFINET standard dans le cycle d'E/S, sans affecter les performances temps réel du contrôle de mouvement. Le taux de rafraîchissement des données de sécurité est identique au cycle d'E/S, avec une valeur typique de 4 à 8 ms.

La configuration de PROFIsafe dans TIA Portal nécessite d'établir une connexion F entre le F-CPU et les modules F-DI/F-DQ dans la vue des appareils, de définir les paramètres F_Source_Add et F_Dest_Add du module F (plage de valeurs : 1 à 65 534), de configurer le temps de surveillance F_WD_Time et la version de contrôle F_iPar_CRC. Le programme de sécurité est compilé et validé par simulation via l'éditeur et les fonctions de test de l'administration de sécurité de TIA Portal. Le F-runtime génère automatiquement un identifiant CRC 16 bits pour chaque bloc de sécurité ; toute modification du code entraîne une variation du CRC, déclenchant ainsi une revalidation du sous-programme de sécurité.

Circuit d'arrêt d'urgence à double canal et redondance des E/S de sécurité

Le circuit d'arrêt d'urgence du système de commande du pont roulant adopte une conception redondante à double canal. Les deux canaux sont totalement indépendants sur les plans électrique et logique, chacun pouvant couper indépendamment l'alimentation électrique de puissance. Le canal A acquiert les signaux des contacts à fermeture des boutons d'arrêt d'urgence (SB1 à SB4) via le module F-DI 16×24V DC. Le CPU de sécurité exécute une comparaison à double canal dans le programme de sécurité — les états des signaux des canaux A et B doivent être cohérents dans un délai de 500 ms, faute de quoi un défaut F-Diff est déclenché et le système passe à l'état d'arrêt. Le canal B connecte directement les contacts auxiliaires des boutons d'arrêt d'urgence en série via le câblage d'E/S, et est intégré au circuit de commande de la bobine du contacteur principal KM1 via les contacts à ouverture forcée du relais de sécurité K1. Cette conception à double canal satisfait aux exigences SIL3 de la norme IEC 61508 — une défaillance unique ne compromet pas la fonction de sécurité.

La sélection des modules d'E/S de sécurité suit le principe de sécurité positive — en cas de défaillance unique d'un composant interne, la sortie doit automatiquement passer à l'état de sécurité (c'est-à-dire déconnectée/hors tension). Chaque canal d'entrée du module F-DI 16×24V DC intègre deux générateurs d'impulsions de test indépendants qui émettent deux impulsions de test en opposition de phase vers les capteurs/boutons, détectant ainsi les courts-circuits de ligne et les défauts à la terre par lecture en retour. Les canaux de sortie du module F-DQ 8×24V DC/2A intègrent une fonction de déconnexion à double canal — chaque sortie est contrôlée par deux interrupteurs en série, une défaillance de l'un ou l'autre pouvant déconnecter l'alimentation de la charge. La fréquence des impulsions de test des signaux de sortie de sécurité est de 1 Hz (soit 500 ms au niveau haut + 500 ms au niveau bas pour le test), et le F-CPU synchronise l'état des sorties F-DQ à chaque cycle de balayage de sécurité (20 ms).

La disposition des boutons d'arrêt d'urgence est conforme à la norme ISO 13850 relative aux principes de conception des arrêts d'urgence pour les machines. Chaque pont roulant est équipé d'un bouton d'arrêt d'urgence dans la cabine de commande, sur la télécommande au sol, sur la plateforme de maintenance et sur les deux sommiers d'extrémité. Tous les boutons d'arrêt d'urgence sont de type champignon rouge (diamètre ≥ 30 mm), mis en évidence sur un fond jaune sur le panneau. Les fins de course utilisent des contacts à ouverture positive, garantissant que le circuit de sécurité peut être ouvert même en cas de soudure des contacts. Les fins de course de fin de course et de décélération sont installés indépendamment, sans support de montage partagé.

Commande redondante du frein double et protection contre le glissement de charge

Le système de freinage du mécanisme de levage du pont roulant constitue l'élément d'exécution central du contrôle de sécurité. Kelude équipe chaque pont roulant de deux freins à disque indépendants (frein A et frein B) dans le cadre de son architecture de sécurité SIL3. Chaque frein est composé d'un électroaimant et de plaquettes de frein indépendants. Les deux freins partagent le même moyeu de frein, mais leur installation mécanique est totalement indépendante. En fonctionnement normal, les deux freins s'ouvrent et se ferment simultanément. En cas de défaillance d'un frein, l'autre peut exécuter indépendamment la fonction de freinage, satisfaisant ainsi à l'exigence de tolérance aux défaillances uniques du niveau SIL3.

La séquence de commande des deux freins est essentielle pour prévenir le glissement de charge. Séquence d'ouverture : le CPU de sécurité envoie simultanément des ordres d'ouverture aux freins A et B via le module F-DQ — le canal 1 du F-DQ pilote l'électroaimant MK1 du frein A, le canal 2 pilote l'électroaimant MK2 du frein B. Une fois MK1 et MK2 alimentés, les deux jeux de plaquettes se libèrent simultanément. Le signal de libération est détecté par les détecteurs de proximité magnétiques SQ1 (frein A) et SQ2 (frein B) montés sur les freins, puis transmis au CPU de sécurité via le module F-DI. Ce n'est qu'après confirmation de l'ouverture complète des deux freins que le variateur de fréquence reçoit l'autorisation de fonctionnement. Séquence de fermeture : le CPU de sécurité émet l'ordre de fermeture après réduction de la vitesse du moteur à zéro — les canaux 1 et 2 du F-DQ sont simultanément mis hors tension, les plaquettes de frein se serrent sur le moyeu de frein sous l'effet de la force des ressorts après la désexcitation de MK1 et MK2. Une fois la fermeture confirmée, le CPU de sécurité maintient la confirmation de vitesse nulle pendant 300 ms avant de libérer l'autorisation du variateur.

Mécanisme de détection de désynchronisation des freins : le CPU de sécurité enregistre l'écart de temps Δt entre les commutations de MK1 et MK2 à chaque cycle de levage (de l'émission de l'ordre au basculement de l'état du détecteur de proximité). Lorsque Δt dépasse le seuil de synchronisation défini (50 ms par défaut), le système enregistre un événement d'écart de synchronisation. Si trois cycles consécutifs présentent un écart dépassant le seuil, ou si un écart unique dépasse 100 ms, le CPU de sécurité déclenche une alarme F-Diff — le PLC cesse immédiatement de fonctionner et active la fonction STO. Le panneau de commande affiche le code de défaut « Freins désynchronisés ». La réinitialisation nécessite l'intervention d'un technicien de maintenance qui doit vérifier la tension d'alimentation des électroaimants et l'état d'usure des plaquettes de frein. Concernant la compensation de l'usure des freins, le système enregistre cumulativement le temps d'ouverture t_open et le temps de fermeture t_close de chaque serrage du frein. Après comparaison avec les valeurs nominales initiales (t_open ≈ 150 ms, t_close ≈ 100 ms), l'avance de l'ordre d'ouverture est automatiquement ajustée en fonction de la tendance d'usure des plaquettes, garantissant que le point d'ouverture effectif et le couple de freinage restent toujours dans la plage de sécurité. Le cycle de compensation est suivi d'un auto-ajustement des paramètres après 2 000 cycles.

Portique roulant semi-portique

Le portique roulant semi-portique, également connu sous le nom de portique en porte-à-faux, est un équipement de levage industriel très répandu. Il se compose d'un portique principal, de pieds de support, d'un mécanisme de levage, d'un mécanisme de déplacement et d'un système de contrôle électrique. Grâce à sa structure simple, son encombrement réduit et sa grande adaptabilité, il est largement utilisé dans les ateliers, les quais de chargement, les cours de stockage et d'autres lieux pour le levage, le déplacement et le chargement/déchargement de marchandises.

5. Fonctions de sécurité : STO/SLS/SBC/SDI

Les quatre fonctions de sécurité du système de commande de sécurité du pont roulant sont réalisées par la coopération entre le CPU de sécurité S7-1500F et l'interface PROFIsafe du variateur de fréquence G120. Toutes les fonctions de sécurité sont programmées en F-LAD et validées via TIA Portal Safety Admin. Chaque bloc fonctionnel de sécurité intègre un traitement du signal à double canal, une comparaison croisée (Cross-Comparison) et une logique de sortie fail-safe.

La fonction STO (Safe Torque Off) constitue la base de la sécurité du pont roulant et correspond à la sous-fonction STO de la norme IEC 61800-5-2. La STO coupe directement le signal de validation d'impulsions du variateur de fréquence G120 via PROFIsafe, empêchant ainsi tout couple moteur accidentel, avec un temps de réponse inférieur à 20 ms. Les conditions de déclenchement incluent : actionnement du bouton d'arrêt d'urgence en cabine, déclenchement de l'arrêt d'urgence depuis la télécommande au sol, dépassement de course d'une fin de course quelconque, ouverture du verrou de sécurité de porte, retour anormal des freins doubles, ou défaut détecté par l'autotest du CPU de sécurité. Après déclenchement de la STO, le variateur exécute automatiquement un freinage interne (injection de courant continu) et le pont roulant s'immobilise naturellement sous l'effet de l'inertie et de la charge. La réinitialisation de la STO nécessite une confirmation manuelle sur le panneau de commande (bouton Reset) ; le CPU de sécurité ne réautorise la remise en service qu'après vérification que toutes les conditions de déclenchement sont levées et que les freins sont bien fermés.

La limitation de vitesse de sécurité SLS (Safely Limited Speed) surveille en temps réel la vitesse du moteur via un codeur de sécurité (codeur incrémental dont les impulsions sont lues par une entrée F-DI, ou capteur de vitesse de sécurité à retour direct). Lorsque le chariot ou le pont se déplace à vitesse nominale et approche à moins de 200 mm d'une fin de course, le CPU de sécurité envoie une consigne de limitation de vitesse (10 % de la vitesse nominale) au variateur via PROFIsafe. Le variateur exécute alors automatiquement la décélération, tandis que le CPU de sécurité surveille en continu le maintien de la vitesse dans la plage autorisée (≤ 0,3 m/s). Si le CPU de sécurité détecte un dépassement de la limite SLS (comparaison de vitesse exécutée par l'API de sécurité : vitesse réelle n_act > seuil SLS n_sls pendant plus de 50 ms), il déclenche immédiatement un défaut SLS-Fault et exécute la STO. Le temps de réponse de la fonction SLS est inférieur à 50 ms.

La commande de frein de sécurité SBC (Safe Brake Control) fonctionne en synergie avec le contrôle redondant des freins doubles décrit précédemment. La fonction SBC est exécutée par le bloc fonctionnel F-SBR du CPU de sécurité. Le F-SBR émet deux commandes SBC_Open indépendantes vers les modules F-DQ, commandant respectivement les électroaimants des freins A et B. Le CPU de sécurité effectue une vérification de l'état SBC à chaque cycle de sécurité : lorsque la STO est active, que la SLS est déclenchée, ou que le CPU de sécurité détecte un maintien à vitesse nulle prolongé du variateur, le F-SBR force la fermeture des deux freins et, une fois la fermeture confirmée, transmet au variateur via PROFIsafe le signal « confirmation de fermeture des freins ». La SBC intègre également une fonction de surveillance du couple de freinage : à partir du signal du capteur de charge et de l'état de vitesse nulle du moteur après fermeture des freins, elle déduit si le couple de freinage est suffisant. Lorsque le couple de freinage devient inférieur à 80 % de sa valeur nominale, une alarme SBC est déclenchée.

La surveillance de direction de sécurité SDI (Safe Direction Indication) empêche le pont roulant de subir un défaut de direction erroné avant la réception d'une commande inverse sur le mécanisme de translation du pont ou du chariot. La SDI détermine le sens de déplacement réel à partir de la relation de phase des impulsions du codeur de sécurité et le compare au sens de déplacement retourné par le variateur. Lorsque le CPU de sécurité détecte une opposition entre le sens de déplacement réel et le sens de la commande de contrôle pendant plus de 100 ms, il déclenche un défaut SDI-Fault et exécute la STO. Un conflit de direction SDI est généralement causé par une erreur de paramétrage du variateur (inversion de phase du câble moteur) ou par un câblage incorrect du codeur. Après déclenchement de la STO, une réinitialisation manuelle est requise après vérification du câblage et des paramètres par le personnel de maintenance.

6. Mise en service, validation et certification de sécurité

La mise en service et la validation du système de commande de sécurité du pont roulant suivent une procédure normalisée en six étapes. La première étape consiste à configurer les paramètres des fonctions de sécurité : création du programme de sécurité (F-LAD) dans l'éditeur de sécurité de TIA Portal, puis configuration des paramètres de connexion PROFIsafe pour le F-CPU et les modules F-DI/F-DQ : F_Source_Add (adresse F-CPU), F_Dest_Add (adresse du module F), F_WD_Time (150 ms par défaut), numéro de version de contrôle F_iPar_CRC et F_Param_CRC. Chaque bloc de fonction de sécurité est configuré avec des variables à double canal ; la logique de comparaison croisée est générée automatiquement par l'exécution F-runtime. Après compilation, les signatures F-prog CRC et F-CRC sont obtenues ; toute non-concordance indique une modification du programme de sécurité, nécessitant une nouvelle validation.

Deuxième étape : validation hors ligne par simulation. Le programme de sécurité est chargé dans PLCSIM Advanced, connecté à des modules F-DI/F-DQ virtuels. La fonction Safety Simulation de PLCSIM permet de simuler trois scénarios de défaut : déclenchement d'urgence, dépassement de fin de course et retour de défaut du frein. L'environnement de simulation vérifie le temps de réponse STO (≤ 20 ms), le seuil de vitesse déclenchant SLS (précision ≤ 5 %), la surveillance de l'écart de synchronisation des freins doubles SBC (seuil de 50 ms déclenchant l'alarme F-Diff) et la détection de conflit de direction SDI (seuil de 100 ms déclenchant STO). Un rapport de validation de sécurité est généré une fois toutes les fonctions de sécurité validées en simulation.

Troisième étape : vérification du câblage sur site. À l'aide d'un multimètre et d'un oscilloscope, on vérifie point par point les impulsions de test du module F-DI (onde carrée 1 Hz, amplitude 24 V) et la fonction de déconnexion double canal du module F-DQ. Les deux canaux du bouton d'arrêt d'urgence sont mesurés séparément : la forme d'onde d'impulsion sur la borne F-DI du canal A et la continuité du contact auxiliaire câblé du canal B, confirmant que les deux canaux coupent correctement le circuit de sécurité lorsque le bouton d'arrêt d'urgence est enfoncé. La tension d'alimentation mesurée de l'électroaimant du frein doit être comprise entre 22,8 et 24,5 V ; l'oscilloscope capture la courbe de courant d'excitation (crête d'environ 1,6 A, courant de maintien stable d'environ 0,8 A).

Quatrième étape : test fonctionnel en charge. Trois essais de déclenchement sont effectués à vide et en charge nominale : déclenchement par le bouton d'arrêt d'urgence en cabine, par la télécommande et par dépassement de fin de course. Chaque déclenchement doit valider l'exécution correcte de toutes les fonctions de sécurité STO/SLS/SBC/SDI : après STO, la validation d'impulsion du variateur de fréquence est coupée en 20 ms et l'état Drive-CLiQ passe en défaut ; après SLS, la pente de décélération de la courbe de vitesse correspond aux paramètres de décélération du variateur, avec un dépassement maximal ≤ 10 % ; après SBC, les deux freins se ferment simultanément avec un Δt ≤ 50 ms ; le conflit de direction SDI est simulé en inversant les phases A/B du codeur. Toutes les données de test sont consignées dans le rapport de mise en service.

Cinquième étape : préparation de la certification TÜV. Les documents relatifs à la sécurité sont rassemblés : manuel d'architecture du système (décrivant la répartition fonctionnelle et les interfaces entre la couche de sécurité et la couche de commande standard), tableau de définition des fonctions de sécurité (conditions de déclenchement, temps de réponse et mode de réinitialisation de STO/SLS/SBC/SDI entièrement quantifiés), tableau d'analyse FMEA (répertoriant tous les défauts ponctuels prévisibles et leur impact sur les fonctions de sécurité), tableau de configuration des paramètres de connexion PROFIsafe et rapport de validation par simulation. Les documents sont rédigés conformément aux exigences de format des normes EN ISO 13849-1 et IEC 62061.

Sixième étape : surveillance continue et inspection périodique. Une fois le système de commande de sécurité en service, le CPU de sécurité enregistre automatiquement le journal des événements de sécurité (nombre de déclenchements d'urgence, d'activations SLS, d'événements de non-synchronisation des freins, de défauts F-Diff). Un résumé de l'état de fonctionnement de sécurité est généré toutes les 24 heures et transmis via OPC UA à la plateforme de gestion de la sécurité de la salle de contrôle centrale. Le personnel de maintenance effectue un test complet des fonctions de sécurité chaque trimestre (conformément aux dispositions de sécurité de la norme ISO 4301 relatives à la conception des appareils de levage), et un organisme d'inspection tiers (tel que TÜV ou l'institut national d'inspection des équipements spéciaux) réalise une validation sur site des fonctions de sécurité tous les 12 mois. Les enregistrements de test sont conservés jusqu'au cycle d'inspection suivant.

Questions fréquentes