Conception de l'architecture d'un système de surveillance de la sécurité des ponts roulants — Solution trois-en-un : double canal SIL 3, « boîte noire » de données et plateforme de surveillance à distance

Le système de surveillance de sécurité des ponts roulants constitue la dernière ligne de défense pour garantir la sécurité des équipements et du personnel. Les normes GB/T 28264-2017 « Système de gestion de la surveillance de sécurité des appareils de levage » et TSG Q7014-2016 définissent les neuf éléments de surveillance obligatoires ainsi que les exigences relatives à l'architecture du système de surveillance de sécurité. Cet article analyse de manière exhaustive la mise en œuvre technique du système de surveillance de sécurité des ponts roulants, depuis la conception d’un automate de sécurité à double canal de niveau SIL 3, en passant par les solutions techniques de mise en œuvre des neuf éléments de surveillance, le choix du matériel pour la « boîte noire » et la conception de la sécurité des données, ainsi que les fonctionnalités de la plateforme de supervision à distance, jusqu’aux indicateurs de performance du système et aux exigences de certification.

Architecture d'un automate de sécurité SIL3 à deux canaux

Au cœur du système de surveillance de sécurité se trouve l'automate programmable de sécurité (PLC). Krude Heavy Industry utilise une architecture redondante à deux canaux composée d'un Siemens S7-1500F (canal A) et d'un S7-1200F (canal B) :Canal AGérer sept des neuf fonctions essentielles de surveillance (capacité de levage / hauteur de levage / course / fin de course / arrêt d'urgence / protection contre la survitesse / protection par verrouillage),Voie BGestion des deux fonctions restantes (protection contre les vitesses anormales / protection contre le vent et le glissement) et utilisation comme solution de secours pour le canal A : lorsque le canal A détecte un défaut lors de son autodiagnostic, le canal B prend automatiquement le relais pour les sept fonctions. Les deux canaux disposent d'un processeur, d'un module d'E/S et d'une alimentation électrique indépendants ; ils échangent uniquement leurs états de diagnostic via la communication Profisafe.

Cycle de diagnostic croisé à double canal ≤ 10 ms — Au cours de chaque cycle, les deux canaux s’échangent des messages de sécurité (F-Communication via Profisafe) afin de vérifier que leurs processeurs, E/S, alimentations et liaisons de communication respectives fonctionnent normalement. Si aucun message n’est reçu de l’autre canal au cours d’un cycle, cela est considéré comme une défaillance du canal et déclenche un arrêt de sécurité. La PFHd (probabilité de défaillance dangereuse par heure) de l’architecture à deux canaux est ≤ 10⁻⁸, ce qui satisfait aux exigences du niveau SIL 3 (tableau 2 de la norme CEI 61508-2010, partie 2 / tableau 6 de la norme EN 62061-2021). le système de contrôle de sécurité de Krud Heavy Industry a obtenu le certificat de sécurité fonctionnelle SIL 3 délivré par TÜV Süd (numéro de certificat : Z10 23 04 03847 001). Par rapport à un API monocanal (SIL 2, PFHd ≤ 10⁻⁷), la probabilité de défaillance dangereuse est réduite de 90%.

Les exigences techniques du niveau SIL 3: Conformément aux normes CEI 61508/EN 62061, le niveau SIL 3 exige que le PFHd (probabilité de défaillance dangereuse par heure) soit inférieur ou égal à 10⁻⁸, c'est-à-dire que la probabilité de défaillance d'une fonction de sécurité soit inférieure à une cent-millionième par heure. Le PFHd d’un API monocanal se situe généralement entre 10⁻⁷ et 10⁻⁶, ce qui ne satisfait pas aux exigences du niveau SIL 3. Dans une architecture redondante à deux canaux, la probabilité de défaillance simultanée des deux canaux est égale au carré de celle d’un canal unique (PFHd ≈ 10⁻¹²), mais, en raison des contraintes liées aux défaillances de cause commune (CCF), la PFHd réelle est d’environ 10⁻⁸. Conformément au barème d’évaluation des CCF défini dans l’annexe D de la norme CEI 61508-6-2010, les mesures de réduction du CCF (sur un total de 100 points, ≥ 65 points pour être conforme) comprennent : l’utilisation de processeurs issus de lots différents sur les deux canaux, des circuits d’alimentation indépendants, un espacement d’au moins 50 mm entre les câbles des modules d’E/S indépendants, et l’application d’un vernis de protection sur les circuits imprimés pour les protéger de l’humidité et de la poussière.

Critères d'ingénierie pour le choix d'un automate programmable de sécurité: Les raisons pour lesquelles Krude Heavy Industry a choisi la série F de Siemens (S7-1200F/1500F) : ① Intégration transparente du protocole de communication de sécurité Profisafe avec Profinet, sans nécessiter de bus de sécurité dédié ; ② L'environnement de programmation unifié TIA Portal permet de gérer à la fois les automates standard et les automates de sécurité, ce qui optimise l'efficacité de la mise en service ; ③ Les modules F-I/O prennent en charge une configuration mixte 1oo1+1oo2, alliant ainsi rentabilité et sécurité ; ④ Part de marché supérieure à 80% en Chine, ce qui facilite l’approvisionnement en pièces de rechange. Principe du « canal noir » Profisafe : l’automate de sécurité ne dépend pas de la sécurité Profinet sous-jacente ; chaque trame F contient un CRC de 24 bits, un horodatage de 32 bits et un numéro de série de 8 bits, ce qui permet de détecter toute altération des données même si le réseau sous-jacent est compromis.

Décomposition des maillons du délai de réponse de sécurité conformément aux exigences de la norme GB/T 28264-2017, paragraphe 5.1.3, et de la norme TSG Q7014-2016, paragraphe 4.2: Capteur → API de sécurité → actionneur : cycle complet ≤ 100 ms. Mesures détaillées : capteur de sécurité ≤ 10 ms ou ≤ 50 ms (signal analogique), cycle de balayage de l’automate de sécurité ≤ 10 ms, délai Profisafe ≤ 5 ms (mode IRT : 1 ms), relais de sécurité ≤ 20 ms (SICK UE43), contacteur/frein ≤ 30 ms. À une vitesse de 1 m/s, une distance de glissement de 100 ms correspond à ≤ 100 mm, ce qui est bien inférieur à la marge de sécurité de 1,5 m.

Solutions de mise en œuvre de neuf technologies de surveillance obligatoire

La norme GB/T 28264-2017 ” Système de gestion de la surveillance de la sécurité des appareils de levage ” définit les critères de sélection des capteurs, les seuils de déclenchement et les méthodes de mise au point pour les neuf éléments de surveillance obligatoires. Chacun de ces éléments adopte une architecture à trois niveaux « capteur + API de sécurité à deux canaux + actionneur » : le capteur acquiert le signal de la grandeur physique ; l’API de sécurité à deux canaux effectue un diagnostic croisé pour vérifier l’authenticité du signal ; enfin, l’actionneur exécute l’action de sécurité. Le tableau comparatif ci-dessous présente, pour chaque élément, le choix des capteurs, les composants d’exécution, les seuils d’action de sécurité et les points clés de la mise en service sur site ; il constitue la base technique indispensable à l’inspection prévue par la norme TSG Q7014-2016.

Sélection du matériel et spécifications techniques de la « boîte noire » de données

La « boîte noire » de données pour ponts roulants (Data Recorder) est un équipement rendu obligatoire par l’article 5.4 de la norme GB/T 28264-2017. Son fonctionnement est similaire à celui d’une boîte noire d’avion : elle enregistre en boucle les données de fonctionnement du pont roulant et les incidents de sécurité, et les données sont inviolables. La « boîte noire » de Krude Heavy Industry repose sur un processeur ARM Cortex-M4 de qualité industrielle (STM32F407, fréquence d'horloge de 168 MHz) ; les données sont stockées sur une carte SD de qualité industrielle (SLC NAND, durée de vie d'écriture/effacement ≥ 100 000 cycles) et bénéficient d'une protection contre les coupures de courant (un supercondensateur assure l’alimentation pendant ≥ 30 secondes pour permettre l’écriture des dernières données). D’une capacité de stockage de 64 Go, elle enregistre en continu pendant plus de 30 jours l’intégralité des données de fonctionnement (notamment la charge soulevée, la hauteur de levage, la position de course, la vitesse de déplacement, le courant de chaque moteur, l’état de fonctionnement de chaque mécanisme, l’état des dispositifs de sécurité, etc., soit 128 points de données, enregistrés une fois par seconde).

Mécanisme d'enregistrement déclenché par un événement : dès qu'un des neuf contrôles de sécurité se déclenche (surcharge 110%, limite de hauteur, limite de course, etc.), la « boîte noire » enregistre automatiquement les données à haute fréquence correspondant aux 30 secondes précédant le déclenchement et aux 30 secondes suivant celui-ci (fréquence d'enregistrement portée à 100 Hz par seconde). Prise en charge de l’enregistrement de 100 événements distincts, chaque enregistrement contenant l’intégralité des données contextuelles. Méthodes d’exportation des données : ① exportation directe via le port USB (vérification par l’administrateur à l’aide de la clé UKey requise) ; ② exportation via la plateforme réseau à distance (authentification TLS bidirectionnelle + compte administrateur requis) ; ③ Exportation physique sur carte SD (nécessite le retrait du sceau de sécurité + un lecteur de carte dédié). Les fichiers de données sont au format binaire crypté (.kdr) et ne peuvent être analysés que par le logiciel d’analyse dédié de Krued Heavy Industry ; les rapports exportés sont automatiquement convertis aux formats PDF et CSV.

Normes de référence pour la conception de la sécurité des données: GB/T 22239-2019 « Technologies de sécurité de l'information — Exigences fondamentales relatives à la protection par niveaux de la cybersécurité » (niveau 3), GB/T 25069-2022 « Technologies de sécurité de l'information — Terminologie » , GB/T 32918.4-2016 « Algorithme de cryptographie à clé publique à courbe elliptique SM2 ». La signature des données de la « boîte noire » utilise l’algorithme national SM2 (longueur de clé de 256 bits) ; les données ne peuvent être considérées comme des preuves juridiques qu’après validation de la signature SM2.

Comparaison des architectures fonctionnelles et des solutions de communication des plateformes de surveillance à distance

La plateforme de supervision à distance est le centre de collecte et de gestion des données du système de surveillance de sécurité des ponts roulants. Elle transmet les données des automates de sécurité (PLC) et des « boîtes noires » sur site vers un serveur cloud ou un serveur local via les protocoles MQTT ou OPC UA. Les fonctionnalités principales de la plateforme comprennent : un tableau de bord de surveillance en temps réel (affichage de la position du pont roulant, de son état de fonctionnement, des informations d’alerte et de l’état des dispositifs de sécurité sous forme de tableau de bord et de carte 3D), la notification des alertes (neuf types de surveillance, tels que la surcharge, le dépassement des limites de course ou la vitesse excessive, déclenchent des notifications à trois niveaux via SMS, application mobile ou e-mail, avec un temps de réponse ≤ 30 secondes), des rapports d’analyse des données (rapports d’exploitation quotidiens, hebdomadaires et mensuels comprenant des graphiques d’analyse, envoyés automatiquement à l’adresse e-mail de l’administrateur), ainsi que l’intégration vidéo (lorsqu’une alarme de sécurité se déclenche, le système affiche automatiquement les images de la caméra IA associée au pont roulant concerné et permet de visionner les 30 secondes d’enregistrement précédant et suivant l’alarme).

Le choix d'une solution de communication à distance a une incidence directe sur la réactivité et la sécurité des données. Voici une comparaison technique entre quatre solutions de communication à distance :

Exemples de livraisons réalisées par Krude Heavy Industry

Le projet d'installation d'un système de surveillance de sécurité sur les 16 ponts roulants du poste de coulée continue d'une aciérie constitue un cas d'école pour le déploiement à grande échelle des systèmes de surveillance de sécurité de Krude Heavy Industry. Lors de l’étude sur site réalisée en juin 2025, il a été constaté que les automates programmables (PLC) de 6 ponts roulants, de type S7-300, devaient être mis à niveau vers le modèle S7-1200F, tandis que les 10 autres, déjà équipés de S7-1200, pouvaient être directement équipés de modules F-I/O. Plan de modernisation : remplacement des automates de 6 ponts roulants + installation de capteurs sur l’ensemble de l’équipement + modernisation des armoires de commande + « boîte noire » + plateforme de télégestion. Coût unitaire d’environ 35 000 yuans, soit un total de 560 000 yuans pour les 16 ponts roulants. Nombre total de capteurs installés : 128 (16 limiteurs de charge + 16 limiteurs de hauteur + 32 paires de limiteurs de course + 32 limiteurs de porte + 16 codeurs de vitesse excessive + 8 anémomètres + 32 boutons d’arrêt d’urgence), longueur totale du câblage : environ 4 800 mètres.

Programmation d'un automate de sécurité comprenant environ 280 000 lignes de code logique FBD, et configuration de la communication Profisafe pour 48 équipements F. Mise au point sur site pendant 12 jours, avec test point par point de 117 fonctions de sécurité, taux de réussite dès le premier essai de 94%. Les 6 points non conformes comprenaient 3 connexions desserrées, 2 écarts d’étalonnage des capteurs et 1 délai d’attente de message Profisafe dépassé ; tous ont été corrigés et ont passé le nouveau contrôle avec succès en l’espace de 3 jours. L’Institut d’inspection des équipements spéciaux de la province du Henan (numéros de rapport : 2025-SP-0384 à 0399) a effectué une inspection sur site de 3 jours : les essais de charge statique, de charge dynamique et de freinage ont tous été jugés conformes ; les 27 fonctions de sécurité contrôlées par échantillonnage ont toutes été validées ; les données de la « boîte noire » correspondaient parfaitement aux enregistrements du PLC sur site. Source des données : rapports statistiques d’exploitation du service des équipements de cette aciérie pour la période de juillet 2025 à juin 2026 (numéros de rapport : KL-2025-SAFETY-001 à 012). depuis la mise en service du projet, les arrêts imprévus ont diminué de 751 TP3T, les pertes annuelles liées aux pannes d’équipements sont passées de 800 000 yuans à 200 000 yuans, et le délai de rentabilité du système de surveillance de la sécurité est d’environ 11 mois.

Sécurité des travaux : durée totale du chantier : 42 jours (hors délai d’attente de 7 jours pour l’inspection TSG) ; 12 ouvriers ont travaillé sans interruption, en respectant strictement les « Normes de sécurité relatives aux travaux de transformation des engins de levage ». Pour les travaux en hauteur (installation des capteurs sur la poutre principale et les poutres d’extrémité), un système de protection à trois niveaux a été mis en place : harnais de sécurité, corde de sécurité et filet de sécurité. Les travaux électriques ont été réalisés conformément à la procédure en quatre étapes : coupure de courant, vérification de l’absence de tension, signalisation et mise à la terre. Aucun accident de sécurité n’a été enregistré pendant les travaux ; après la modernisation, l’enquête de satisfaction menée auprès des opérateurs sur site a donné une note de 9,2/10. Krude Heavy Industry fournit un service couvrant l’ensemble du cycle de vie du système de surveillance de sécurité, comprenant des inspections trimestrielles à distance, des contrôles annuels sur site, des rappels de remplacement des capteurs trois mois avant leur date d’expiration et des mises à jour logicielles gratuites à vie.

Foire aux questions