- Définissez d’abord les chemins de charge via un support mécanique positif et une auto-rétention mécanique, puis configurez l’actionnement et la surveillance.
- Après un défaut, retenir la charge, arrêter les mouvements dangereux, inhiber le déclenchement et fournir un chemin de récupération sûr.
- Développer des cas d’injection de défauts pour la pression, les vannes, le verrouillage, les capteurs, la communication, les disparités et les commandes de libération involontaires.
- Progrès depuis la simulation et les charges de substitution jusqu'aux blocs-batteries réels par étapes, avec des enregistrements traçables aux exigences de sécurité correspondantes.
00 Résumé analytique
Les blocs-batteries de traction sont lourds et ont des centres de gravité complexes. Leurs boîtiers, faces d’étanchéité, connexions haute tension et interfaces de refroidissement sont sensibles aux dommages mécaniques, et les cellules endommagées peuvent présenter des risques supplémentaires. Une perte d’air ou d’alimentation électrique, un verrouillage incomplet, des signaux de capteur incorrects ou un déclenchement involontaire peuvent provoquer une chute et endommager le boîtier, l’isolation ou le système de refroidissement. Le GB 38031-2025 est entré en vigueur le 1 juillet 2026 et précise les exigences de sécurité pour les batteries de traction utilisées dans les véhicules électriques [1]. Il aborde la sécurité des produits de batterie et ne remplace pas la conception de sécurité mécanique des outils de manutention. La conception des outillages doit donc contrôler les dommages mécaniques et les événements énergétiques anormaux.
L’architecture à sécurité intégrée combine un support mécanique positif, des verrous mécaniquement auto-retenus, un verrouillage de libération de charge supportée et des diagnostics utilisant des signaux multiples. La rétention de charges lourdes ne doit pas dépendre principalement de la friction ou d’une pression d’air continue. Le chemin de charge mécanique et l’état fermé et verrouillé doivent être explicites ; le support doit être confirmé avant le relâchement, les états de pression, de position, de verrouillage et de charge étant surveillés ensemble. Les fonctions de contrôle liées à la sécurité peuvent être conçues selon la norme ISO 13849-1:2023 et validées par des analyses et des tests selon la norme ISO 13849-2:2012 [2][3]. Le niveau de performance requis est déterminé par l’évaluation des risques spécifique.
Principales conclusions
- Les blocs-batteries lourds doivent utiliser un support géométrique et des caractéristiques d’auto-retenue mécanique comme chemin de charge principal ; une seule fonction de pression pneumatique, de vide ou de friction ne doit pas être la seule mesure de prévention des chutes.
- Le comportement de sécurité vise à retenir la charge, à arrêter les mouvements dangereux et à inhiber le déclenchement tout en préservant un chemin de récupération diagnostiquable. La poursuite de la production après un défaut ne doit pas être l’objectif.
- L’injection de défauts doit couvrir les capteurs bloqués, les courts-circuits/ouvertures de signaux, les vannes bloquées, les canalisations rompues, les chutes de pression, les pannes de communication, les inadéquations de recettes et les fausses commandes de libération.
- Progression depuis une énergie faible vers une énergie élevée, des charges de substitution vers des blocs-batteries réels, et des défauts uniques vers des combinaisons de défauts justifiées.
- Les enregistrements de validation doivent relier chaque exigence de sécurité à ses hypothèses de pannes, étapes de test, signaux bruts, résultats d’évaluation et d’actions correctives pour fournir une traçabilité complète.
01Portée de la recherche et objectifs de sécurité
Cette étude concerne l’outillage dédié aux modules de batterie, aux boîtiers inférieurs, aux plateaux de batterie et aux blocs-batteries de traction complets pendant l’assemblage, l’inspection, la réparation et le transfert côté ligne. Le support peut être un manipulateur industriel pneumatique, un appareil de levage, un robot ou une machine spéciale. Le périmètre couvre l’outillage et ses interfaces de contrôle, hors conception électrochimique des cellules, certification des algorithmes BMS et réglementation du transport.
Les objectifs de sécurité se répartissent en quatre catégories : protéger le personnel contre les risques de chute de charge et d’écrasement ; éviter d’endommager le boîtier de la batterie, les surfaces d’étanchéité ou les interfaces au-delà des limites du produit ; empêcher qu’un seul défaut d’outillage ne provoque directement une libération dangereuse ; et fournir des étapes définies pour transférer la charge vers un support sûr lors d’une condition anormale. L'ISO 12100 exige l’identification des dangers et la réduction des risques tout au long du cycle de vie des machines [4], tandis que l’ISO/TR 20218-1 fournit des conseils de sécurité pour la conception et l’intégration des effecteurs terminaux de robots [5].
| Fonction de sécurité | Condition de déclenchement | Réponse cible | Enregistrements requis |
|---|---|---|---|
| Confirmation prise/appui | Avant le ramassage | Le levage est interdit sans confirmation | Position, pression/force, état verrouillé |
| Rétention de charge | Perte d’alimentation en air, perte d’alimentation électrique, panne de vanne | Aucun rejet dangereux ; mouvement arrêté | Temps de maintien, déplacement et état structurel |
| Version à chargement pris en charge | Pièce supportée dans une orientation autorisée | Déverrouillage/desserrage autorisé seulement après ces contrôles | Enregistrement du signal, de la position et de la commande pris en charge |
| Prévention des décalages | Le modèle/l’outillage/la recette de la batterie sont incohérents | Serrage et levage inhibés | ID, version de recette, journal de verrouillage |
| Récupération après condition anormale | Tout défaut lié à la sécurité | Entrer dans l’état d’arrêt ou de maintenance contrôlé | Étapes de récupération et enregistrements d’autorisation |
02Architecture porteuse et principes de sécurité
02.1 Support mécanique positif
Définissez le chemin de support à partir des zones structurelles et sans contact sur la face inférieure du bloc de batterie. Privilégiez les bras de support, les supports de fourches, se plaçant à travers des trous porteurs ou des rails latéraux, ou des points de préhension mécaniques agréés par le fournisseur du produit. Lorsque des vérins ou des moteurs ferment, positionnent ou verrouillent l’outillage, la structure doit toujours tenir compte de la rétention de charge après une perte d’énergie et ne doit pas perdre immédiatement toute capacité de maintien.
Lorsque la force est transmise par serrage par friction, obtenez des données vérifiables pour le coefficient de frottement minimum, les matériaux de contact, l’état de surface et la force de serrage. Évaluez également les effets du serrage sur le boîtier, la plaque de refroidissement, les faces d’étanchéité et les revêtements. Pour la rétention de charges lourdes, évaluez d’abord le support mécanique positif ; L’augmentation de la force de serrage à elle seule n’est pas un moyen adéquat de réduire le risque.
02.2 Cas de charge et exemples de calculs
F_eq = m · (g + a_z) + F_shock
F_design = S_L · F_eqSupposons une masse de batterie de 650 kg et une accélération ascendante maximale de 0.25 g, sans charge d’impact supplémentaire. La charge verticale équivalente est d’environ 7.97 kN. Avec l’exemple de facteur de sécurité S_L=2.0, la charge verticale de conception est d’environ 15.9 kN ; quatre points de support idéaux, chargés uniformément, supportent en moyenne environ 4.0 kN par point. La conception réelle doit également tenir compte du décalage du centre de gravité, de la rigidité inégale du support, des tolérances de fabrication, de l’inclinaison, du freinage et de la défaillance d’un point de support. Cet exemple ne constitue ni une charge nominale de projet ni un facteur de sécurité recommandé.
Lorsque le centre de gravité est décalé, calculer chaque réaction de support en utilisant l’équilibre statique ou l’analyse par éléments finis ; ne divisez pas la charge totale de manière égale. Comparez la réaction maximale sur n’importe quel support sur des packs de batteries de différentes longueurs, masses et configurations d’accessoires, et utilisez-la comme entrée pour prendre en charge la conception.
02.3 Verrouillage et déverrouillage
Après la fermeture, le mécanisme de verrouillage doit fournir un état mécanique vérifiable. Si l’énergie d’entraînement est perdue, elle doit retenir la charge ou au moins empêcher une libération dangereuse. La libération nécessite la confirmation que la pièce est supportée, que l’outillage se trouve dans une position autorisée, que le mouvement s’est arrêté, que la zone du personnel est sécurisée et que la commande d’exploitation est valide. Tout conflit de capteur doit conduire à un état conservateur plutôt qu’à la substitution d’un défaut logiciel par un retour d’information réel.
03Architecture de sécurité pneumatique, électrique et de contrôle
ISO 4414:2010 s’applique aux systèmes et composants pneumatiques des machines et traite des dangers importants associés à leur utilisation prévue [6]. Pour l’outillage des blocs-batteries, la conception pneumatique doit tenir compte de la rupture de la conduite, de la déconnexion des raccords, du grippage du tiroir de vanne, des fluctuations de la pression d’alimentation, de l’énergie résiduelle et de l’isolation pour la maintenance. Les réservoirs d’air ou les dispositifs de rétention de pression ne peuvent que retarder la perte de capacité ; ils ne constituent pas automatiquement un maintien sûr de la charge.
Les diagnostics doivent couvrir la pression d’alimentation, la pression dans les deux chambres d’actionneur ou les circuits critiques, la position de verrouillage, la position de la mâchoire/du bras de support, la présence de la pièce, l’état de la charge supportée, la plausibilité de la charge/poids et l’état de la communication. Utilisez des signaux physiquement divers lorsque cela est possible. Deux signaux issus de la même cible mécanique ou transportés dans le même câble ne peuvent pas être traités comme une redondance indépendante du seul fait qu’ils sont deux.
Lift_Enable = Load_Present ∧ Clamp_Closed ∧ Lock_Confirmed ∧ Pressure_OK ∧ Recipe_Match
Release_Enable = Supported ∧ Safe_Position ∧ Motion_Stopped ∧ Operator_Command ∧ Diagnostics_OKCes expressions logiques décrivent des relations fonctionnelles ; ils ne démontrent pas de niveau de performance. Concevoir et valider l’architecture de contrôle liée à la sécurité, la couverture des diagnostics, les mesures de défaillance de cause commune et les logiciels conformément aux normes sélectionnées du projet [2][3].
04Analyse des dangers et AMDE
| Mode de défaillance | Cause locale | Conséquence potentielle | Contrôle de conception | Méthode de vérification |
|---|---|---|---|---|
| Perte soudaine de l’alimentation en air principale | Perte d’air dans le collecteur principal ou raccord débranché | La force de serrage diminue et la charge glisse | Support mécanique, serrure autobloquante, clapet anti-retour et surveillance | Injection de défauts de perte d’air |
| Rupture d’une seule branche | Durites usées ou raccords endommagés | Rupture d’une seule mâchoire et chargement excentrique | Isolation de zone, redondance des points de support et surveillance de la pression | Introduire une fuite à l’endroit spécifié |
| Tiroir de valve bloqué en position de déverrouillage | Contamination, défaillance mécanique | Desserrage intempestif | Isolation de libération, autorisation à deux conditions et rétention mécanique | Grippage de valve simulé |
| Verrouillage incomplet | Tolérances, corps étrangers, désalignement | Déconnexion pendant le transport de la charge | Retour de verrouillage indépendant et rétention mécanique positive | Test d’état partiellement verrouillé |
| Capteur bloqué haut (1) | Court-circuit ligne, blocage logiciel | Non serré mais autorisé à se soulever | Signaux complémentaires et diagnostics de timing/plausibilité | Le signal est forcé à 1 |
| Capteur bloqué bas (0) | Circuit ouvert, écart cible | Libération bloquée ou diagnostic de défaut incorrect | Diagnostic de circuit ouvert et état de maintenance | Le signal est forcé à 0 |
| Recette de modèle incorrecte | Erreur de lecture de code-barres, de réseau ou d’opérateur | Point de transfert de charge incorrect et interférence | Anti-erreur mécanique, cohérence des identifiants, contrôle de version | Injection de mésappariement |
| Commande de libération involontaire | Interface homme-machine ou erreur de programme | Charge suspendue tombée | Verrouillage support-confirmation, position restreinte, double action | Commande de relâchement émise avec la charge suspendue |
| Interruption de communication | Panne de bus, redémarrage de l’automate | Statut inconnu | Charge retenue ; le mouvement s’est arrêté ; libération inhibée | Déconnecter/redémarrer l’injection |
| Charge anormale | Deux paquets ramassés ensemble, corps étrangers ou centre de gravité anormal | Surcharge de la structure ou des engins de levage | Contrôle de plausibilité du poids et prévention des doubles sélections | Test de charge de substitution |
Combinez l’AMDEC avec un arbre de défaillances ou une matrice d’exigences de sécurité pour analyser l’événement de chute de charge et identifier les ensembles de coupes minimaux, tels que « pas de support mécanique positif + défaillance du verrouillage + commande de libération involontaire » ou « défaillance du capteur de cause commune + aucun diagnostic logiciel ». Si une seule défaillance peut déclencher l’événement majeur, donnez la priorité aux changements structurels ; La seule réduction du score d’occurrence n’est pas suffisante.
05Stratégie de validation par injection de fautes
ISO 13849-2:2012 spécifie la validation des fonctions de sécurité, des catégories et des niveaux de performance par analyse et test [3]. L’injection de fautes fait partie de la validation ; un examen complet de la conception, des données sur les composants, des calculs et une vérification du logiciel sont également requis. Avant les tests, effectuez l’évaluation des risques, l’exclusion de la zone de test, la conception de la charge de substitution, le soutien d’urgence et les plans de récupération.
05.1 Tests par étapes
- Modèle et étape logique : forcer les entrées dans la simulation ou la logique hors ligne pour vérifier les réponses de la machine à états et des alarmes.
- Étage de banc à faible consommation d’énergie : utilisez des outils vides ou des substituts légers pour injecter les défauts de câblage, de vanne et de pression.
- Étage de charge de substitution nominale : vérifiez la rétention, le déplacement et la structure avec des charges non-batterie de géométrie et de masse équivalentes.
- Étape réelle du bloc de batterie : tester uniquement les éléments d’interface et de protection du produit non couverts par les étapes précédentes, sous risques contrôlés et autorisation.
- Étape d’intégration sur site : vérifier les verrouillages avec le manipulateur, l’équipement de levage, les convoyeurs, les accessoires et les systèmes de sécurité.
05.2 Matrice d’injection de défauts
| Non. | Défaut injecté | Calage de l’injection | État attendu du système | Enregistrements clés |
|---|---|---|---|---|
| FI- 01 | Couper l’alimentation en air principale | Immobile après le levage / pendant le mouvement | Charge retenue ; mouvement dangereux arrêté ; libération inhibée | Pression, déplacement, temps d’arrêt |
| FI- 02 | Fuite rapide dans une seule branche | Orientation dans le pire des cas | Isoler le défaut, émettre une alarme et maintenir une condition permettant un réglage contrôlé. | Pression de zone et réactions d’appui |
| FI- 03 | Retour de verrouillage bloqué à un niveau élevé (1) | Avant la clôture | Le levage n’est pas autorisé | Journal d’entrées/sorties et d’alarmes |
| FI- 04 | Le retour de verrouillage est bloqué à un niveau bas (0) | État partiellement verrouillé | Le diagnostic de plausibilité est déclenché ; le levage n’est pas autorisé | Position, pression, contradictions de signaux |
| FI- 05 | Commande de relâchement bloquée active | Charge suspendue | Les couches physiques ou de contrôle empêchent les rejets dangereux | Courant de la vanne, pression, état de verrouillage |
| FI- 06 | Faux signal de confirmation de support | Avant le placement pris en charge | Les contrôles doubles/divers rejettent la libération | Support, position, changements de charge |
| FI- 07 | Redémarrage du contrôleur / perte de communication | Lors de la manipulation | Les sorties entrent dans l’état sûr défini ; charge retenue | Heure de redémarrage, état de sortie |
| FI- 08 | Modèle de batterie/recette incorrecte | Avant le ramassage | Incompatibilité de recette détectée ; mouvement inhibé | ID, version de la recette, CRC/signature |
| FI- 09 | Arrêt d’urgence | Vitesse de fonctionnement maximale crédible | Arrêter sans relâcher la charge | Accélération maximale, déplacement de la structure/charge |
| FI- 10 | Opération de maintenance incorrecte | Charge non prise en charge | Sous réserve des autorisations et des conditions mécaniques | Autorisations, étapes, état de verrouillage |
Définissez à l’avance trois résultats possibles pour chaque cas : « réussite », « échec » et « examen technique requis ». En plus de savoir si la charge tombe, enregistrez le déplacement de pointe, les changements de verrouillage, la visibilité des alarmes, si la récupération nécessite le contournement d’une fonction de sécurité et tout dommage caché sur la batterie.
06Critères d’acceptation et enregistrements à l’appui
Déduire les critères d’acceptation à partir de l’évaluation des risques du projet et de l’accord technique, en précisant au moins les catégories de critères et leurs conditions de fonctionnement. Les catégories typiques incluent les charges nominales et les pires cas, les réactions de support individuelles, la déformation admissible du boîtier, le temps de maintien, le glissement maximum, l’accélération d’arrêt, le temps de détection des défauts, les alarmes et la réinitialisation, l’autorisation de libération et l’isolement de maintenance. Les valeurs doivent refléter les conditions d’exposition du bloc-batterie, du support et du personnel ; les valeurs universelles ne doivent pas être appliquées.
| Catégorie d’enregistrement | Documents types | Exigences de qualité |
|---|---|---|
| Exigences | Spécification des exigences de sécurité, interfaces client, zones interdites/restreintes du produit | Numéro unique, version et source |
| Analyse | Calcul de charges, éléments finis, FMEA/FTA, évaluation PL | Les hypothèses sont explicites et les conditions de fonctionnement les plus défavorables sont traçables. |
| Conception | Dessins, nomenclature, circuit pneumatique/schéma électrique, version du logiciel | Correspond à l’analyse et à l’équipement physique |
| Vérification | Plan de test, courbes originales, photos, logs | Défaut, base de temps et critères d’évaluation entièrement enregistrés |
| Approbation de la version | Écarts, actions correctives réalisées, exigences d’approbation et de maintenance | Restrictions définies pour les problèmes non résolus |
Enregistrez les commandes, l’actionnement des vannes, les changements de pression, le déplacement du verrou et les signaux d’arrêt du transporteur sur une base de temps commune afin que les séquences et les relations de réponse aux pannes puissent être analysées. Les captures d’écran IHM seules sont insuffisantes pour cette validation.
07Récupération, maintenance et modifications sécurisées
La récupération anormale doit être définie lors de la conception. Les étapes typiques comprennent l’arrêt du transporteur, la confirmation du maintien de la charge, l’établissement d’un support temporaire, l’isolation de l’énergie, l’élimination du défaut, la reconfirmation de l’engagement du verrouillage, le réglage à basse vitesse et l’approbation de la réinitialisation. Le personnel ne doit pas se tenir sous le bloc-batterie ni compter sur un soutien manuel continu. Si un verrou mécanique doit être libéré manuellement, l’action doit être contrôlée par l’outillage, l’autorisation et les conditions de support confirmées.
Les inspections de maintenance couvrent l’usure du verrou, la déformation du bras de support, les fixations, l’usure des tuyaux, la contamination des vannes, les cibles des capteurs, la courbure des câbles, les matériaux des plages de contact et l’état d’étalonnage. Les modifications apportées à la masse du bloc de batterie, au centre de gravité, à la structure du boîtier, aux points de support autorisés, aux modules d’outillage, aux recettes logicielles ou à l’accélération du porteur nécessitent une évaluation d’impact et toute revalidation nécessaire.
08Conclusions et exigences d’application
La conception à sécurité intégrée commence par les chemins de charge structurelle et la rétention mécanique. Les systèmes pneumatiques, électriques et de contrôle fournissent ensuite une confirmation d’état, un diagnostic de défaut et un déclenchement contrôlé. En cas de panne, le système doit empêcher toute libération dangereuse et entrer dans un état à partir duquel une récupération en toute sécurité est possible, plutôt que de maintenir un takt de production. Les cas d’injection de défauts doivent correspondre aux exigences de sécurité, à l’AMDEC/FTA, à la logique de contrôle et à la structure réelle, avec des critères d’acceptation révisables et des résultats d’actions correctives.
Les professionnels qualifiés doivent concevoir et approuver les demandes de projet conformément aux réglementations, normes, exigences des clients et risques réels applicables. La conformité du produit aux niveaux de performance GB 38031, ISO 13849, l’inspection par un tiers et l’acceptation du client nécessitent chacune l’évaluation et les enregistrements de tests pertinents. Ce rapport fournit la méthode de recherche et le plan de validation.
Références
- GB 38031-2025 Exigences de sécurité pour les batteries de puissance pour véhicules électriques. https://openstd.samr.gov.cn/bzgk/std/newGbInfo?hcno=3AB693FAFF5D9716DF61C61D6FD2187A
- ISO 13849-1:2023. Sécurité des machines - Parties des systèmes de contrôle liées à la sécurité - Partie 1 : Principes généraux de conception. https://www.iso.org/standard/73481.html
- ISO 13849-2:2012. Sécurité des machines - Parties des systèmes de contrôle liées à la sécurité - Partie 2 : Validation. https://www.iso.org/standard/53640.html
- ISO 12100:2010. Sécurité des machines - Principes généraux de conception - Évaluation des risques et réduction des risques. https://www.iso.org/standard/51528.html
- ISO/TR 20218-1 :2018. Robotique - Conception de sécurité pour les systèmes robotiques industriels - Partie 1 : Effecteurs terminaux. https://www.iso.org/standard/69488.html
- ISO 4414:2010. Transmissions pneumatiques - Règles générales et exigences de sécurité pour les systèmes et leurs composants. https://www.iso.org/standard/44790.html
- ISO/TR 14121-2 :2012. Sécurité des machines - Évaluation des risques - Partie 2 : Orientations pratiques et exemples de méthodes. https://www.iso.org/standard/57180.html
- Département américain des transports / NHTSA. Gestion de la sécurité des systèmes de stockage d’énergie rechargeables automobiles. https://rosap.ntl.bts.gov/view/dot/38221/dot_38221_DS1.pdf
- Held, M. ; Bronnimann, R. Cellule sûre, batterie sûre ? Enquête sur les incendies de batteries à l’aide de FMEA, FTA et d’expériences pratiques. Fiabilité de la microélectronique 64, 2016. https://doi.org/10.1016/j.microrel.2016.07.051
