Les bases de la sécurité électronique : quand et comment intégrer des circuits de sécurité dans les conceptions

Les méthodes de protection habituelles consistent à utiliser des ferrites pour réduire les EMI, des diodes ESD, des suppresseurs de transitoires, des processus de verrouillage pour les charges à haute puissance et, évidemment, des fusibles pour limiter le courant en cas de défaillance. La sécurité peut fortement accentuer ces types de protections, tout en exigeant également d'autres solutions. Cet article étudiera une série de pratiques courantes de protection et de sécurité pour les conceptions électroniques, ainsi que les raisons de ces exigences. Il s'avère que la protection peut non seulement améliorer la fiabilité et la sécurité globale d'un produit, mais qu'elle peut même être obligatoire selon l'application pour que le produit puisse être homologué et distribué.

Trouver le bon équilibre

Commençons par une question tout à fait élémentaire : comment parvenir à équilibrer les circuits de protection et la rentabilité ? Pour un produit qui ne nécessite pas de sécurité spécifique, comment les concepteurs savent-ils quand ajouter des niveaux de protection ? La réponse peut être complexe. Elle doit en principe reposer sur une combinaison des exigences de l'utilisateur et des besoins de conception du produit mais aussi, tout simplement, sur ce que le concepteur et son équipe estimeront approprié.

Lorsqu'il s'agit d'intégrer la protection dans un circuit, il faut en général trouver un équilibre entre les coûts et les avantages, ce qui passe d'ordinaire par une estimation des risques relatifs. Les fusibles peuvent être coûteux, mais ils constituent la plupart du temps la première ligne de défense contre les surtensions que peuvent entraîner certaines variables environnementales ou certains composants de la charge. Ici, l'avantage est de protéger tout ce qui se trouve en aval du fusible et qui, évidemment, peut avoir une grande importance. Mais qu'en est-il d'autres formes de protection plus restreintes ? Qu'en est-il des ferrites ? Il est courant d'intégrer de petites ferrites sur des signaux sensibles qui voyagent hors de la carte afin de limiter les EMI et le bruit des hautes fréquences ou de les utiliser sur les entrées des régulateurs ou des composants de traitement pour contribuer à nettoyer le rail de tension. La police « d'assurance » qu'ils offrent peut justifier le coût supplémentaire si le risque est suffisamment élevé. Le risque, ici, peut être envisagé comme une combinaison de la gravité d'une panne et de sa probabilité.

Comment et quand traiter les questions de sécurité

Tout devient beaucoup plus simple lorsqu'on prend la sécurité en compte. En général, les coûts descendent dans l'ordre des priorités tandis que la fiabilité et la redondance passent en tête des objectifs (ce qui deviendra probablement une exigence lors du processus d'homologation et de test des produits). Pour les produits dont certains modes de panne risquent de blesser quelqu'un (directement ou indirectement), une évaluation des risques doit être réalisée pour couvrir autant de scénarios raisonnables que possible.

Par exemple, dans le domaine de la santé, cela est obligatoire pour les dispositifs médicaux et demande un peu plus d'investissement, notamment à travers la création d'un tableau (voir la figure 1) couvrant tous les risques raisonnablement imaginables, la description des événements ou des situations impliqués, les dommages susceptibles d'être infligés, ainsi que leur probabilité et leur gravité. Chaque risque est alors évalué par une personne désignée (ou un groupe), devient « maîtrisé » par l'introduction d'exigences de conception supplémentaires visant à empêcher qu'il ne survienne (risque jugé inacceptable), puis est à nouveau évalué et accepté. Bien que la procédure puisse être légèrement différente pour d'autres applications (comme l'aéronautique), le principe de base est le même dans un grand nombre de secteurs. L'évaluation de chaque risque et l'attribution à chacun d'un niveau de gravité et de probabilité avant de le maîtriser à l'aide d'un plan d'action est une démarche essentielle pour identifier les zones dans lesquelles une conception électronique (ou autre) nécessite des mesures de sécurité et de protection.

Figure 1 : matrice de traçabilité des dangers pour la gestion des risques d'un dispositif médical

Mais comment ces niveaux de probabilité et de gravité sont-ils quantifiés et évalués ? Cela passe en général par l'élaboration d'un tableau détaillé qui explique les différences entre chaque valeur numérique spécifique à l'application. La figure 2 montre plusieurs exemples de définitions de la fréquence et de la gravité afin de donner un cadre à une équipe devant évaluer un risque ou un événement. La plage et les valeurs d'évaluation varient selon l'application et la résolution nécessaires.

Figure 2 : tableaux de définition des niveaux de gravité (en haut) et de probabilité (en bas)

Enfin, il existe en général un tableau qui combine les deux et qui peut utiliser des codes de couleur (comme dans la figure 3) pour faire apparaître plus clairement les risques à prendre en compte à l'aide de spécifications et de modifications de conception. La plupart du temps, les risques de niveau Moyen (orange) et Élevé (rouge) exigent que des mesures soient prises. C'est ainsi que naissent les exigences concernant les circuits de sécurité.

Figure 3 : matrice de calcul des risques

Tout ce que nous avons décrit jusqu'ici est commun à tous les secteurs industriels dont les produits ou les systèmes peuvent comporter des caractéristiques de fonctionnement critiques. Pour autant, toutes les applications n'en ont pas nécessairement besoin. Bien souvent, il suffit d'user de simple bon sens en fonction du cas d'utilisation et des risques de dégâts ou de blessures.

La plupart des produits électriques devront recevoir une homologation de conformité quelconque avant que la technologie puisse être produite, distribuée et vendue. Ce processus d'homologation ne portera pas seulement sur la conformité électrique, mais également sur le respect des obligations de sécurité. Il s'agit là d'une zone grise et savoir exactement ce qui est nécessaire pour qu'un produit soit jugé conforme en matière de sécurité n'est pas toujours facile. Les agences réglementaires offrent en général une aide au cours du processus et il est toujours préférable de les impliquer dès la phase de conception.

Exemples réels

Ce qui suit est l'exemple d'une application qui utilise un faisceau laser à des fins d'imagerie. Un faisceau laser peut gravement endommager les yeux, et même un rayon parasite (reflété par une autre surface), peut suffire à provoquer des blessures, voire entraîner la cécité. Bien que le port de lunettes de protection puisse aider, le fabricant est en général tenu d'ajouter à son dispositif une protection électronique contre les risques de mauvaise utilisation et de fuite involontaire du faisceau. Des portes verrouillables et des panneaux mobiles avec des circuits directement câblés au générateur du laser (ou un verrouillage ou un relais gérant sa source d'alimentation) constituent en général la meilleure solution, mais même ces mesures devront être redondantes. L'expression officielle est « sûreté intégrée ». Si le circuit de sécurité vient à faillir (autrement dit, si l'un des commutateurs internes ne se déclenche pas), il doit pouvoir fonctionner en mode sécurisé de façon à ne pas blesser l'utilisateur ou endommager l'équipement. Cela peut nécessiter un circuit de secours, ou redondant.

figure 4 montre le schéma d'un système de verrouillage qui comprend un signal (avec une alimentation électrique suffisante pour la bobine d'un relais) qui traverse plusieurs portes ou capots sur la machine et un verrou qui ajoute une étape manuelle pour activer et désactiver le générateur du laser (facultatif). Puisque le circuit doit être redondant, deux commutateurs magnétiques à lames sont nécessaires pour chaque point d'accès, de même que deux commutateurs pour chacun des autres composants. Si l'un des commutateurs internes d'un composant tombe en panne dans son « état fermé », il reste considéré comme sûr, puisque l'autre commutateur interne (câblé en ligne avec le premier) s'ouvrira très vraisemblablement, ce qui suffira encore à interrompre l'alimentation du module laser.

Figure 4 : exemple d'un schéma de câblage décrivant le circuit de sécurité d'un rayon laser

Prenons un autre exemple, celui d'un dispositif médical chauffant utilisé sur la peau d'une personne. Dans cette application, l'appareil chauffant risque de brûler la personne en cas de panne ou de mauvais étalonnage. Bien que cela ne constitue pas un danger vital, le risque nécessite quand même l'installation de fonctions de sécurité intégrée ou de redondance.

figure 5 montre un exemple de ce système. Il existe plusieurs points de pannes éventuelles, même dans ce circuit de contrôle extrêmement simple. Non seulement le système contient un thermistor secondaire pour capter la température (au cas où l'un deux serait endommagé), mais plusieurs points de contrôle sont également nécessaires si l'un des MOSFET tombe en panne en mode fermé ou si l'ADC interne d'un processeur est endommagé ou mal étalonné. Dans cette configuration, un processeur secondaire compact très simple, conçu pour fonctionner indépendamment du processeur principal, est installé pour surveiller la température et contrôler l'alimentation de l'élément chauffant.

Figure 5 : Exemple d'un schéma de circuit avec redondance pour un élément chauffant

figure 6 montre une série de circuits de protection qui pourraient permettre de créer un dispositif plus sûr et plus fiable. « A » montre un circuit de contrôle de ventilateur capable d'indiquer la présence d'une panne, ainsi qu'un rail d'alimentation avec fusible et ferrite supplémentaire pour supprimer les EMI. « B » comprend un rail d'alimentation avec fusible pour un servomoteur, ainsi qu'un dispositif de surveillance du courant, de telle manière que le processeur puisse vérifier le mouvement/l'alimentation. « C » est un exemple de connecteur USB utilisé à des fins de charge, avec une protection supplémentaire pour son rail VBUS (ESD et fusible). « D » est un simple circuit de protection contre les tensions inverses pour un connecteur de batterie 3,7 V.

Figure 6 : plusieurs circuits de protection

Conclusion

Les circuits de protection et de sécurité doivent toujours être pris en compte et peuvent même être obligatoires selon les applications. Dans les cas les plus graves, tenter d'élaborer une liste raisonnable de risques auxquels attribuer des évaluations chiffrées représente déjà la moitié du travail. L'autre moitié consiste à établir un plan d'action comportant un jeu d'exigences détaillées et nécessite certaines compétences de conception et des « meilleures pratiques » tout à fait classiques. En règle générale, dans la totalité des cas et des applications, imaginez la façon dont une panne de circuit pourrait entraîner des dommages ou des blessures.