Blog
Étude de cas sur la construction d'un boîtier de contrôleur de rideau coupe-feu à sécurité intégrée
- Client : Groupe Européen de Matériaux de Construction
- Projet : Unité de contrôle d'alimentation sécurisée 24VDC / 14A
- Standard EN 12101-10
Le problème de la gravité
En ingénierie de la sécurité incendie, on s'inquiète généralement du feu. Nous nous inquiétons de la gravité.
Le client s'est adressé à nous car son ancien contrôleur de 350W se détruisait. Ils avaient une exigence simple : “ Déploiement gravitaire sécurisé ”. Lorsque l'alimentation est coupée — que ce soit par une alarme incendie ou une panne de courant — le frein magnétique du moteur se libère et le rideau coupe-feu descend.
Le problème de l'ancienne conception était la physique. Le fabricant précédent avait interprété le “ déploiement par gravité ” au sens littéral. Ils ont simplement coupé le courant.
En 2018, nous avons examiné l'épave d'une unité retournée d'un site d'essai à Manchester. Le rideau, un composite d'acier lourd, était tombé librement d'une hauteur de 4 mètres. Sans freinage électronique, il a heurté le sol à environ 8,8 m/s.
Le choc n'a pas seulement provoqué un grand bruit ; il a sectionné les vis M6 qui fixaient les interrupteurs de fin de course et fissuré le carter du réducteur du moteur tubulaire. Techniquement, le rideau s'est déployé. Mais le système était complètement hors d'usage. On ne peut pas demander à un gestionnaire d'immeuble de remplacer un moteur $500 à chaque fausse alerte.
Contrôle de la décélération (Logique de la force contre-électromotrice)
Nous devions résoudre cela sans ajouter de freins centrifuges mécaniques coûteux, ce qui nécessiterait une refonte du boîtier du moteur du client. La solution devait se trouver sur le PCBA.
Nous avons utilisé le moteur contre lui-même.
Lorsqu'un moteur à courant continu tourne sans alimentation, il devient un générateur. En créant une boucle fermée sur les enroulements du moteur pendant la descente, nous générons une “ force contre-électromotrice ” (force contre-e.m.). Cette force s'oppose à la rotation.
Compromis de conception :
Nous avons envisagé deux manières de procéder :
- 1. Freinage PWM : Utilisez le microcontrôleur pour déclencher les MOSFETs afin de contrôler la vitesse.
- Avantages : Vitesse réglable.
- Inconvénients : Nécessite que le MCU soit actif. Si la batterie est complètement déchargée, le freinage sera défaillant et le rideau tombera.
- 2. Freinage Résistif Passif : Utiliser un relais (Normalement Fermé) pour commuter une résistance de puissance aux bornes des enroulements en cas de perte de puissance.
- Avantages : Fonctionne même si le circuit imprimé est grillé. Physique pure.
- Inconvénients : Vitesse fixe basée sur la valeur de résistance.
Nous avons choisi l'Option 2. La fiabilité l'emporte.
Rédaction de la résistance : Nous avions besoin d'une vitesse de descente comprise entre 0,15 m/s et 0,3 m/s. Désormais, lorsque l'alimentation est coupée, le relais se déclenche, la résistance s'enclenche et le rideau descend doucement. Aucun renvoi d'angle endommagé.
Le piège de la “0.0V” et le test de suicide
L'interface entre le panneau de contrôle d'alarme incendie (FACP) et notre boîtier est un simple bornier à deux fils. Les spécifications indiquent “Contact Libre de Tension” (Contact Sec). Cela signifie que le système d'alarme incendie ferme simplement un interrupteur. Aucune tension ne doit être envoyée.
La réalité sur les chantiers
Les électriciens sont fatigués. Ils travaillent dans des sous-sols sombres. Ils voient un bloc de jonction, et ils y câblent instinctivement un signal actif de 24V. Parfois même 110V.
Dans la version précédente, ce signal était dirigé directement vers la broche GPIO du microcontrôleur.
Résultat : La MCU a explosé.
Taux de retour : environ 121 TP3T de l'ensemble des unités étaient renvoyées en raison de processeurs grillés. Le client rejetait la faute sur les installateurs ; les installateurs, quant à eux, mettaient cela sur le compte des “ composants électroniques bon marché ”.”
Le Règlement
Nous avons cessé de faire confiance aux installateurs. Nous avons supposé qu'ils essaieraient de tuer le conseil.
Nous avons repensé l'étage d'entrée en utilisant un Omron G2RL-1-E relais combiné à un Optocoupleur (PC817X).
- S'ils envoient un contact sec ? La logique interne fonctionne comme prévu.
- S'ils injectent 24V ? L'optocoupleur limite le courant. Le circuit survit.
- Et s'ils injectaient du 110 V ? La résistance d'entrée grille (elle sert de sacrifice), mais le microcontrôleur, qui coûte cher, et le reste de la carte sont protégés. Il vaut mieux remplacer une résistance $0.05 que de devoir remplacer une carte mère $150.
La Vérification : “ Le Test du Suicide ”
Nous avons mis à jour la matrice FCT (Functional Circuit Test). Nous avons construit un banc d'essai spécifique qui injecte délibérément 24VDC dans le port de contact sec pendant 5 secondes.
- S'il y a de la fumée sur la carte : Échec.
- Si la protection se déclenche mais se réinitialise : Passe.
Calcul de dimensionnement de batterie
La norme EN 12101-10 exige que le système conserve l'alimentation de secours pendant une durée spécifique (généralement 72 heures, mais ce système de classe 1 nécessitait 4 heures + 1 cycle en raison de la sauvegarde par générateur).
De nombreux ingénieurs se contentent de regarder les ampères, de multiplier par les heures et de choisir la taille de batterie supérieure. C'est ainsi que surviennent les défaillances en hiver.
Voici le calcul réel que nous avons utilisé pour le rapport DFM.
Paramètres :
- I-standby (Courant de veille) : 80 mA (Ceci couvre le microcontrôleur STM32 en mode veille, la surveillance du BMS et une LED d'état)
- Temps de veille : 4 heures
- I-alarme (Courant de fonctionnement du moteur) : 12A (Pic au démarrage) / 4A (Fonctionnement) (Nous utilisons le cas le plus défavorable de 12A pour des raisons de sécurité)
- Cycle T (Temps actif) : 0,25 heures (15 minutes) (Comprend plusieurs tentatives si le rideau se bloque)
Le projet de calcul :
C-requis=(I-veille×T-maintien)+(I-alarme×T-cycle)
C-requis=(0,08A×4h)+(12A×0,25h)
C-requis=0,32Ah+3,0Ah=3,32Ah
Une batterie de 4Ah semble suffisante, n'est-ce pas ? Non.
Nous devons appliquer les “ Facteurs du monde réel ” :
- Vieillissement (kage) Les batteries au plomb perdent de leur capacité. Nous partons du principe que l'état de santé de la batterie 80% est de 80 % après 2 ans.
- Température (ktemp) : Ces boîtes se trouvent dans des cages d'escalier non chauffées. À 10°C, la capacité diminue. Nous utilisons 0,8.
- Profondeur de décharge (kdod) : Vous ne pouvez pas décharger une batterie VRLA jusqu'à 0%. Nous limitons la décharge à 80% afin de permettre la récupération.
Formule révisée :
Sélection :
Nous avons standardisé sur deux batteries VRLA de 12V 7Ah (connexion en série pour 24V).
Pourquoi VRLA et non Lithium ?
Le lithium est attrayant. Il est aussi léger. Mais le lithium cesse de se charger à 0°C. Le VRLA est lourd, bon marché, et fonctionne lorsqu'il gèle. Pour une boîte de sécurité incendie qui reste dans un mur en béton pendant 5 ans, le VRLA reste le roi.
(Note : Nous devons vérifier la marque. Nous préférons Yuasa, mais des problèmes de chaîne d'approvisionnement pourraient nous obliger à opter pour des alternatives génériques. Il est nécessaire de tester la résistance interne des alternatives.)
Assemblage : Gestion de la chaleur
Le contrôleur commande une charge de 350W. Le courant de crête est de 14A.
Dans un banc d'essai ouvert, 14 A sont gérables. À l'intérieur d'une boîte métallique étanche IP54, c'est un four.
La source de chaleur principale est le pont MOSFET. Nous utilisons des boîtiers TO-247.
Graisse vs. tampons
Le fournisseur précédent utilisait des tampons thermiques en silicone.
- Conductivité thermique du pad : Environ 1,5 W/mK.
- Épaisseur : 0,5 mm.
- Résultat : Durant le test de rodage 14A, la température du boîtier du MOSFET a atteint 105°C. Trop proche de la limite.
Nous sommes passés à la graisse thermique Dow Corning TC-5026.
- Conductivité de la graisse : ~2,9 W/mK.
- Épaisseur : Sérigraphié à 0,08 mm.
- Résultat : La température du boîtier a chuté à 82°C.
Le problème du couple
La graisse est salissante. Elle nécessite également une pression précise. Si vous serrez trop le MOSFET, vous expulsez toute la graisse et le métal touche le métal (bon pour la chaleur, mauvais si la surface n'est pas parfaitement plane). S'il est trop lâche, vous avez des espaces d'air.
Nous avons également constaté que le serrage excessif provoquait un “ stress de la puce ”.”
(Enregistrement des défaillances : Au troisième trimestre 2023, nous avons eu 3 unités défaillantes après 2 mois. Cause fondamentale : Micro-fissures dans l'époxy du MOSFET causées par un couple excessif.).
Mise à jour du processus :
Nous avons mis en œuvre des tournevis électriques (Kilews) préréglés à 0,6 N·m.
Chaque événement de serrage de vis est enregistré dans le MES. Si le conducteur détecte que la vis est en place trop tôt (filetage croisé) ou trop tard (arraché), la ligne s'arrête.
Étalonnage du disconnecteur basse tension (DBT)
La logique de protection de la batterie est essentielle. Si nous laissons la batterie se décharger jusqu'à 10V, l'électronique s'éteindra de manière chaotique. Nous avons besoin d'une extinction contrôlée.
Nous avons réglé le seuil LVD à 19,5 V.
Pourquoi 19,5 V ?
- Tension Nominale : 24 V.
- Entièrement déchargé (0%) : ~21V (à vide).
- Zone de détérioration par décharge profonde : Moins de 18V.
Il faut couper l'alimentation avant que la batterie ne soit détruite, mais après avoir extrait jusqu'au dernier ampère utilisable.
Cependant, il y a un inconvénient. Lorsque la charge (12A) est appliquée, la tension chute instantanément en raison de la résistance interne. Nous ne voulons pas que le LVD se déclenche simplement parce que le moteur a démarré.
Ajustement logique :
Nous avons programmé un temporisateur de “défiltrage” ("debouncing") dans le firmware.
- Si la tension est inférieure à 19,5V pendant plus de 5 secondes : Couper le courant.
- Si la tension chute à 18V pendant moins de 1 seconde (courant de démarrage du moteur) : Ignorer.
Ceci évite les déclenchements intempestifs lors de l'auto-test hebdomadaire.
Matrice de vérification
Nous ne procédons pas à des tests par lots pour ce produit. Chaque unité est testée.
| Étape de test | Paramètre | Objectif / Pourquoi nous le faisons |
|---|---|---|
| Liaison équipotentielle | 25A AC, 60s, <0,1Ω | Exigence de la norme CEI 62368-1. Si le fil de terre est déconnecté, le boîtier métallique devient un risque de choc électrique. |
| Disjonction LVD | Ramp DC vers le bas à 19,5V | Vérifier que la logique du comparateur fonctionne. Tolérance ±0,2V. |
| Charge de la force contre-électromotrice | Simuler la déconnexion du moteur | Vérifiez si la résistance de freinage s'engage. Sinon, le rideau chute trop rapidement. |
| Rodage à pleine charge | 350W, 45°C ambiant, 4h | Simulez une journée d'été dans une buanderie. |
| Vibration | Aléatoire, 10-500Hz | Vérifiez si les supports lourds du transformateur ou de la batterie se desserrent. |
Pensées finales
Cette boîte n'est pas intelligente. Elle n'utilise pas d'IA. Elle ne se connecte pas au cloud.
C'est un interrupteur stupide, lourd, robuste qui gère la puissance, la gravité et la chaleur.
Le client craignait initialement que notre solution ne soit plus coûteuse que la nomenclature précédente.
- Relais au lieu d'E/S directes.
- Pâte thermique de marque au lieu de coussinets bon marché.
- Batteries surdimensionnées.
Mais après 18 mois de production, le taux de défaillance sur site est passé de 12% à <0,1%.
Le coût d'une intervention sous garantie sur un chantier s'élève à environ $500. Le coût des pièces supplémentaires s'élevait à $12.
Parfois, la bonne ingénierie consiste simplement à dépenser de l'argent pour les choses ennuyeuses.
Foire Aux Questions (FAQ)
Nous gérons l'intégralité du cycle de vie du produit. Pour ce projet de sécurité incendie, notre périmètre comprenait la fabrication de circuits imprimés, l'approvisionnement des composants, l'assemblage SMT/DIP, la fabrication de faisceaux de câbles et l'intégration mécanique finale dans le boîtier métallique.
Chez PCBCool, nous nous positionnons comme un partenaire “clé en main”. Cela signifie que vous nous envoyez les fichiers de conception (Gerber/BOM/CAD), et nous vous expédions une unité entièrement testée et prête à être installée. Cette responsabilité unique élimine les accusations mutuelles qui se produisent lorsque vous faites appel à des fournisseurs distincts pour les circuits imprimés et le boîtier.
Oui. Bien que nous soyons un fabricant et non un laboratoire de certification, notre équipe d'ingénierie réalise des revues approfondies de DFM (Design for Manufacturing) pour garantir que votre conception respecte les normes de conformité avant le début de la production.
Dans le boîtier de ce contrôleur de 350W, nous avons identifié que la conception thermique d'origine ne passerait pas le test d'échauffement. Nous avons recommandé de passer des plaquettes thermiques à une graisse thermique spécifique et avons ajusté la disposition des composants. Nous nous assurons également que tous les composants critiques (tels que les relais et les connecteurs) portent les marques UL/VDE nécessaires requises pour votre audit final.
La chaleur et les vibrations sont les principales causes de défaillance. Pour les unités de haute puissance, nous ne nous fions pas à un assemblage manuel pour les étapes critiques.
- Thermique : Nous utilisons le dosage robotisé pour les matériaux d'interface thermique afin d'assurer un transfert de chaleur constant des MOSFET vers le dissipateur thermique.
- Mécanique : Nous utilisons des visseuses électriques à contrôle de couple connectées à notre MES (Manufacturing Execution System). Si une vis n'est pas serrée à la spécification exacte (par exemple, 0,6 N·m), la chaîne de production s'arrête. Cela permet d'éviter les défaillances dues aux “vis desserrées” courantes dans les environnements à fortes vibrations.
Nous ne nous contentons pas de vérifier si le produit “ s'allume ”. Nous concevons des montages de test sur mesure qui simulent les conditions d'utilisation les plus défavorables. Pour les dispositifs de sécurité des personnes, nous mettons en œuvre des tests 100% (et non un échantillonnage par lots). Nos tests comprennent un rodage à pleine charge (fonctionnement à puissance maximale pendant plusieurs heures), des tests de sécurité de la liaison à la terre et la simulation de défaillances (comme notre “ test suicide ”, au cours duquel nous injectons intentionnellement une tension dans les ports protégés afin de vérifier le bon fonctionnement des circuits de sécurité). Nous associons chaque résultat de test au numéro de série de l’appareil.
Nous nous approvisionnons exclusivement auprès de distributeurs agréés (tels qu'Arrow, Avnet, ou directement auprès des fabricants) afin d'assurer la traçabilité et d'éviter les contrefaçons. Pour les composants ayant une durée de vie, comme les batteries VRLA utilisées dans les contrôleurs d'incendie, nous gérons rigoureusement les codes de lots. Nous vérifions que les batteries sont récentes et correspondent aux exigences spécifiques de résistance interne nécessaires au calcul de l'autonomie de 4 heures. Nous ne substituons jamais de marques “équivalentes” pour les pièces d'alimentation critiques sans approbation écrite de l'ingénierie.
Andy est un professionnel expérimenté de l'industrie des circuits imprimés (CI), fort de plusieurs décennies d'expérience dans la fabrication, l'assemblage et le support client des CI. Chez PCBCool, il dirige l'équipe de marketing et contribue à transformer l'expérience pratique des projets en contenu technique utile pour les ingénieurs, les acheteurs et les développeurs de produits.
