Verrouillages Mécaniques et Électriques : Double Alimentation et Groupe Électrogène

Architecture Avancée des Verrouillages Mécaniques et Électriques dans les Systèmes de Distribution de Puissance à Double Alimentation et Génération de Secours

L'intégration de sources d'énergie multiples dans les systèmes de distribution à basse et moyenne tension — typiquement configurés selon des schémas à double arrivée du réseau public (Main 1 - Main 2) associés à des groupes électrogènes de secours (Standby Gensets) — exige la conception rigoureuse de sous-systèmes de protection et de verrouillage. La finalité critique de ces sous-systèmes est d'empêcher la mise en parallèle non synchronisée de sources indépendantes, la réalimentation vers le réseau public (backfeeding) lors de contingences, ainsi que la fermeture simultanée de disjoncteurs sur des jeux de barres couplés sans le contrôle préalable de la phase, de la fréquence et de la amplitude de tension. Toute défaillance dans la ségrégation ou la synchronisation de ces sources entraîne systématiquement des dommages mécaniques catastrophiques sur les arbres des moteurs principaux, des explosions par arc électrique (arc flash) dans les tableaux de puissance, et des risques mortels pour le personnel d'exploitation et de maintenance.

Analyse Topologique et Transitoires Mécaniques et Électromagnétiques lors des Transferts de Puissance

Les topologies habituelles au sein des installations critiques (centres de données, complexes pétrochimiques et infrastructures hospitalières) correspondent au schéma à jeu de barres tronçonné avec couplage central (Main 1 - Tie - Main 2), interconnecté à un système de génération de secours au niveau d'un nœud en aval ou directement au jeu de barres principal via un inverseur de source automatique (ATS, Automatic Transfer Switch) ou un disjoncteur de puissance (ACB/VCB).

Lorsqu'un couplage intempestif hors phase se produit entre une arrivée du réseau commercial et un alternateur synchrone, un transitoire électromécanique sévère est généré. La différence instantanée de potentiel entre la tension du réseau public $\mathbf{E}_{grid}(t)$ et la tension interne du groupe électrogène synchrone $\mathbf{E}_{gen}(t)$ définit le vecteur de tension résultant $\Delta\mathbf{E}(t)$ :

Dans le pire scénario opérationnel, correspondant à un déphasage de $\delta = 180^\circ$ avec un écart d'angle total au moment du verrouillage/fermeture du disjoncteur, la valeur de crête du courant de court-circuit subtransitoire asymétrique $I_{pk, async}$ est donnée par l'équation :

Où :

• $\kappa$ : Facteur de crête (facteur de pic selon la CEI 60909), fonction du rapport $R/X$ du circuit équivalent vu depuis le point de défaut.
• $X''_{d,gen}$ : Réactance subtransitoire sur l'axe direct de l'alternateur synchrone.
• $Xtr$ : Réactance de fuite du transformateur d'arrivée.
• $Xsys$ : Impédance équivalente de court-circuit du réseau haute/moyenne tension.

Ce courant de crête induit des contraintes électrodynamiques instantanées considérables sur les barres collectrices et leurs supports isolateurs. La force par unité de longueur $F_m'$ entre conducteurs parallèles rigides est calculée selon la norme CEI 60865-1 :

Où $\mu_0 = 4\pi \times 10^{-7} H/m$ représente la perméabilité magnétique du vide, $i_{p, async}$ est le courant de crête instantané et $a$ est la distance d'entraxe entre les conducteurs.

Simultanément, le rotor du groupe synchrone subit un couple électromécanique transitoire d'accélération/décélération extrême ($T_e$), provoqué par l'interaction du flux magnétique statorique et du courant subtransitoire d'induit. Ce couple peut atteindre des magnitudes de 10 à 20 fois le couple nominal du moteur principal ($T_n$) :

Où $p$ est le nombre de paires de pôles, $\omega_s$ est la vitesse angulaire synchrone, $E''$ est la f.é.m. subtransitoire interne, $Ubus$ est la tension du jeu de barres, et $Tdc(t)$ est la composante amortie du couple acompagnant la composante continue (DC) du courant. La rupture par cisaillement des boulons d'accouplement de l'arbre d'entraînement, le vrillage des vilebrequins et la destruction mécanique de l'isolement des têtes de bobines statoriques sont les conséquences directes de cette défaillance cinématique.

Mécanismes de Verrouillage Mécanique : Cinématique, Tolérances et Dynamique de Défaillance

Les verrouillages mécaniques constituent la barrière primaire et inconditionnelle contre la fermeture simultanée non désirée de disjoncteurs. Contrairement aux schémas électroniques ou électriques, leur efficacité ne dépend d'aucune alimentation auxiliaire ni de l'intégrité d'un logiciel enfoui de contrôle.

Verrouillages par Barres de Poussée et Leviers Flexibles (Balancier / Walking-Beam et Câbles Push-Pull)

Le système de verrouillage par balancier ou barre oscillante (walking-beam) s'applique rigidement aux disjoncteurs montés de manière adjacente, que ce soit horizontalement ou verticalement. Il consiste en un levier à pivot central présentant des tolérances de jeu ajustées qui interverrouille mécaniquement les arbres de manœuvre des loquets de fermeture (closing latches).

Pour les systèmes éloignés où l'accouplement rigide est irréalisable, on emploie des câbles de poussée et de traction (push-pull cables) sous gaine blindée à faible frottement. Le critère de dimensionnement mécanique exige que l'élongation élastique du câble $\Delta L$ sous la force d'actionnement du solénoïde de fermeture ne dépasse pas la course de libération du loquet de blocage :

Où :

• $Fact$ : Force exercée par le ressort de fermeture du disjoncteur (de l'ordre de $1.5 kN$ à $5 kN$).
• $L_0$ : Longueur nominale du câble flexible.
• $A_c$ : Section transversale de l'âme en acier du câble.
• $E_c$ : Module d'Élasticité de l'acier inoxydable du câble ($\approx 193 GPa$).
• $\sum \theta_{\text{bend}} \cdot Kfric$ : Terme de perte par frottement accumulée dans les coudes de courbure.
• $\delta_{\text{clearance}}$ : Tolérance cinématique de sécurité ($< 0.5 mm$).

Les défaillances typiques rencontrées sur ce type de mécanisme incluent le fluage par fatigue plastique de l'âme métallique du câble, la déformation des butées de guidage par impacts répétés et le désalignement thermique du pivot central dû aux gradients de température à l'intérieur de la cellule de puissance ($\Delta T > 60 K$).

Systèmes à Clé Captive (Trapped Key Interlocking - TKI)

Le système Castell ou à clé captive impose une séquence opérationnelle stricte par le piégeage ou la libération mécanique de clés codées au niveau des mécanismes de déclenchement et d'essai des disjoncteurs de puissance. La logique cinématique de base pour un schéma à trois disjoncteurs (Deux Arrivées $Q_1, Q_2$ et un Couplage $Q_3$) répond à la condition géométrique et fonctionnelle suivante :

• Pour maintenir $Q_1$ et $Q_2$ fermés, la clé du couplage $K_3$ doit rester emprisonnée dans une boîte de transfert de clés (Key Transfer Unit, KTU).
• La fermeture de $Q_3$ exige la libération préalable de la clé $K_1$ (de l'arrivée 1) ou $K_2$ (de l'arrivée 2), ce qui n'est mécaniquement possible que si ledit disjoncteur se trouve en position OUVERT.

La force de rétention mécanique du barillet de la clé captive doit être dimensionnée pour supporter des couples de torsion manuels appliqués par les opérateurs allant jusqu'à $25 Nm$ sans subir de cisaillement des goupilles de rétention ni de déformations permanentes dans les combinaisons du tambour.

Systèmes de Verrouillage Électrique et Logique de Contrôle Filaire vs. CEI 61850 GOOSE

Le verrouillage électrique agit en parallèle du verrouillage mécanique, en intervenant directement sur les bobines de fermeture (Closing Coils - CC), les bobines à manque de tension (Undervoltage Releases - UVR) et les moteurs de réarmement des ressorts des disjoncteurs de puissance.

Schémas Électroniques Conventionnels Fil à Fil (Logique Filaire / Hardwired Logic)

Au niveau du contrôle discret, la bobina de fermeture d'un disjoncteur $Q_1$ est câblée en série à travers des contacts auxiliaires normalement fermés (NC) du disjoncteur opposé $Q_2$, et inversement. On emploie des contacts de position actionnés mécaniquement par l'arbre du disjoncteur (contacts ANSI 52a/52b).

Le circuit de fermeture sécurisé pour le disjoncteur de l'arrivée 1 ($CC_{Q1}$) répond à la fonction booléenne d'autorisation suivante :

Où :

• $52b_{Q2}$ : Contact auxiliaire NC du disjoncteur 2 (fermé lorsque $Q_2$ est ouvert).
• $Sync\_Check\_25$ : Contact de sortie du relais de contrôle de synchronisme (ANSI 25).
• $86\_Lockout$ : Contact du relais de verrouillage/bloquage des protections suite à un défaut sévère.

Il est indispensable de différencier l'application des déclencheurs à émission de tension (Shunt Trip - ST) et des déclencheurs à manque de tension (Undervoltage Release - UVR). Les bobines ST fonctionnent selon le principe d'une "évaluation/alimentation pour déclencher", ce qui implique qu'une perte de l'alimentation auxiliaire en courant continu ou alternatif dans le circuit de contrôle anéantit la capacité du système à empêcher la fermeture ou à ordonner un déclenchement d'urgence. Par conséquent, les schémas de verrouillage à haute sécurité requièrent des déclencheurs à manque de tension (UVR) fonctionnant selon une logique de sécurité positive (fail-safe) : la mise hors tension immédiate du circuit de verrouillage provoque la désexcitation du solénoïde et le déclenchement instantané du disjoncteur par l'énergie des ressorts.

Architecture Numérique Avancée : CEI 61850 GOOSE

Dans les postes numérisés, les signaux discrets câblés sont remplacés par des messages GOOSE (Generic Object Oriented Substation Events) transmis sur le réseau Ethernet du bus de terrain/poste (CEI 61850-8-1).

La vitesse de transmission d'un message GOOSE pour les applications de verrouillage critique doit se conformer à la Classe TT6 de la norme CEI 61850-5, exigeant un temps de transfert total $ttransfer \le 4 ms$. Le temps total de déclenchement/blocage numérique $ttotal$ se décompose comme suit :

Afin de pallier toute perte de paquets due à la saturation du trafic ou à des défaillances du commutateur Ethernet (switch), une stratégie de retransmission est implémentée sur la base d'un profil de répétition exponentiel à intervalles de temps ($T_0 \to T_1 \to T_2 \to Tmax$). Si un IED récepteur détecte la perte du signal de présence (Heartbeat Signal) ou dépasse le temps de surveillance $Tmax$ du lien sans recevoir de mise à jour d'état, la logique interne du relais doit basculer automatiquement dans un état de Sécurité Positive (Fail-Safe Default), en désactivant tout ordre de fermeture et en provoquant un déclenchement matériel local via la bobine UVR.

Matrice Comparative des Schémas d'Exploitation et Normes Internationales

La sélection du type de transfert (transition ouverte, fermée ou synchronisation passive) détermine les exigences réglementaires et les verrouillages imposés par les normes IEEE et CEI. Le tableau suivant récapitule les limites d'exploitation et les schémas de protection pour les différentes méthodologies de permutation des sources.

Schéma de Transfert	Plage Temporelle Opérationnelle	Verrouillages Requis	Fonctions ANSI / CEI	Mode de Défaillance Critique	Norme de Référence
Transition Ouverte (Break-Before-Make)	$tdead \ge 100 ms$ (Transf. Différé) / $tdead < 50 ms$ (En Phase)	Mécanique Rigide (Balancier/TKI) + Électrique par contacts auxiliaires 52b en série.	ANSI 27 (Manque de tension), ANSI 81U (Sous-fréquence), ANSI 50/51.	Refermeture hors phase provoquée par la rémanence vectorielle inductive des moteurs.	UL 1008, CEI 60947-6-1, IEEE 493 (Gold Book)
Transition Fermée Transitoire (Make-Before-Break)	$toverlap \le 100 ms$ (Parallèle Momentané)	Électrique avec temporisation stricte du chevauchement + Synchronisation dans une fenêtre fermée.	ANSI 25 (Sync-Check), ANSI 32R (Retour de puissance), ANSI 62 (Temporisateur limite).	Dépassement du temps de chevauchement ($t > 100 ms$) transformant l'installation en parallèle permanent non autorisé.	IEEE 1547, CEI 62271-200, NFPA 110
Parallèle Permanent / Soft Loading (Peak Shaving)	$toverlap = \infty$ (Exploitation continue interconnectée)	Verrouillage logique avec interface du Réseau Public / Déconnexion automatique par perte de réseau.	ANSI 25, ANSI 32, ANSI 67 (Max de courant directionnel), ANSI 81O/U, ANSI 27/59, ANSI 78 (Saut de vecteur).	Ilotage non intentionnel (Unintentional Islanding) réalimentant des défauts externes sur le réseau public.	IEEE 1547.1, CEI 61400-21, Recommandations Enedis/RTE (ou réglementations locales)

Pour les transferts en Transition Fermée, la fonction de contrôle de synchronisme (ANSI 25) doit restreindre de manière dynamique l'ordre de fermeture du disjoncteur entrant à l'intérieur d'une fenêtre paramétrique stricte, définie par les limites opérationnelles suivantes :

• Écart de Magnitude de Tension : $\Delta V = |Ubus - Ugen| \le 5 \%$
• Écart de Fréquence (Fréquence de Glissement) : $\Delta f = |fbus - fgen| \le 0.1 Hz$
• Angle de Déphasage Instantané : $\Delta \phi \le 10^\circ$

Si la vitesse de variation de l'angle de phase ($d\delta/dt$) indique un dépassement de la fenêtre paramétrée avant l'aboutissement du couplage cinématique du disjoncteur, le relais ANSI 25 doit avorter l'impulsion de fermeture de manière instantanée ($tinhibit < 10 ms$).

Ingénierie Forensique des Défaillances de Verrouillage : Études de Cas et Analyse Causale

Cas 1 : Déformation Plastique par Fatigue dans les Tringleries de Commande d'un Verrouillage Mécanique de Type Balancier ("Walking-Beam")

Dans une usine papetière équipée d'un tableau basse tension de 4000 A (415 V, 50 Hz) présentant une architecture Main 1 - Tie - Main 2, une défaillance catastrophique s'est produite, accompagnée d'une explosion par arc électrique et d'incendies dans les cellules de puissance de l'arrivée 1 et du couplage.

Analyse Forensique des Causes Racines (Root-Cause) : Le verrouillage mécanique par balancier entre les disjoncteurs ouverts (ACB) de 4000 A présentait un défaut d'alignement cinématique de $1.8 mm$ au niveau du guide de coulissement central. La cause principale résidait dans la fatigue du matériau causée par des cycles de manœuvre répétés sur les bras du balancier au cours d'essais de maintenance hors charge. Le ressort de charge du loquet de fermeture de l'ACB de l'arrivée 1 a développé une force d'actionnement supérieure à la limite d'élasticité du levier du balancier en tôle pliée, entraînant une déformation plastique permanente.

Lors d'une opération de maintenance programmée, alors que l'arrivée 2 alimentait l'ensemble du jeu de barres via le couplage ($Q_2$ et $Q_3$ fermés), un ordre manuel de fermeture locale a été envoyé par inadvertance au disjoncteur de l'arrivée 1 ($Q_1$). En raison de la déformation du balancier, le loquet mécanique n'a pas atteint la position d'interverrouillage physique total, ce qui a permis la fermeture effectif du disjoncteur $Q_1$.

Cela a provoqué une mise en parallèle hors phase ($\delta \approx 135^\circ$) entre l'arrivée 1 et l'arrivée 2. Le courant transitoire de court-circuit calculé a atteint une valeur de crête de $142 kA$, dépassant largement le pouvoir de coupure ultime en service ($Ics = 100 kA$) des disjoncteurs installés. Les forces électrodynamiques ont arraché les barres de phase du tableau central, générant un court-circuit triphasé franc et soutenu, suivi d'un arc électrique de haute énergie.

Cas 2 : Latence sur Réseau Ethernet et Absence de Verrouillage Électronique Sécurisé au Manque (UVR) Provoquant une Réalimentation Inverse (Backfeeding)

Au sein d'un hôpital régional alimenté par un transformateur d'arrivée de $13.2 kV / 480 V$ de 2 MVA et un groupe électrogène de secours de 1,5 MW, le réseau public s'est interrompu à la suite d'un défaut à la terre polyphasé sur la ligne moyenne tension du gestionnaire de réseau.

Le système d'automatisme s'appuyait exclusivement sur des messages CEI 61850 GOOSE traités par un API centralisé afin d'effectuer le délestage de charge et d'éviter le parallèle. La bobine de déclenchement retenue pour le disjoncteur principal du transformateur d'entrée ($Q_T$) était à émission de courant (Shunt Trip), alimentée par un banc de batteries local.

Analyse Forensique des Causes Racines (Root-Cause) : Au moment du défaut en moyenne tension, le court-circuit a entraîné un écroulement sévère de la tension auxiliaire sur l'armoire de contrôle qui alimentait le switch Ethernet du poste. La défaillance du commutateur a généré une latence imprévisible sur le réseau ; le message GOOSE émis par le relais de protection (ANSI 27) ordonnant l'ouverture de $Q_T$ a été perdu et n'a jamais été délivré à l'IED du disjoncteur principal.

Simultanément, le groupe de secours a démarré sur signal de manque de tension et a couplé sa puissance sur le jeu de barres principal en fermant le disjoncteur du groupe ($Q_G$). Comme le disjoncteur $Q_T$ demeurait fermé en raison de l'absence d'ordre de déclenchement et de l'impossibilité d'actionner la bobina à émission de tension (dont le fusible de contrôle avait fondu durant le transitoire), le groupe électrogène a injecté de l'énergie en sens inverse (backfeeding). Cette injection a porté le potentiel du secondaire du transformateur à 480 V et a élevé la tension à $13.2 kV$ vers le réseau public présumé hors tension.

Cette situation a provoqué l'électrocution d'un agent de maintenance du réseau de distribution qui intervenait en amont sur la ligne moyenne tension, ainsi que la destruction par surintensité de l'enroulement haute tension du transformateur.

Méthodologie de Conception et Simulation Avancée avec Vexten Suite

Le développement et la mise en œuvre de systèmes de verrouillage complexes exigent des outils informatiques de calcul statique et dynamique permettant de vérifier le comportement des équipements face à des manœuvres de transfert erronées ou des contingences critiques.

Calcul de Court-Circuit dans les États de Transition selon la CEI 60909 / IEEE 141

Au sein du moteur de calcul de court-circuit de Vexten Suite, la simulation du courant de défaut lors d'une défaillance de verrouillage est modélisée en altérant dynamiquement la matrice d'admittance nodale du système ($\mathbf{Y}_{bus}$). Lorsque deux sources non synchronisées ou concurrentes se retrouvent connectées au même jeu de barres suite à un défaut de verrouillage, le courant de court-circuit subtransitoire initial ($I''_k$) pour un court-circuit triphasé sur le jeu de barres de transfert est évalué par :

Où l'impédance équivalente du système $Z_k$ intègre la mise en parallèle des impédances du réseau et de la machine synchrone :

Vexten Suite évalue la tenue Thermique ($Ith$) et Dynamique ($Ipk$) des tableaux de distribution conformément à la norme CEI 62271-200. Si le courant de court-circuit résultant d'un parallèle intempestif dépasse la valeur assignée du jeu de barres ($Icw$ ou courant assigné de courte durée d'admissibilité), le logiciel génère une alerte de conception critique et impose une architecture de Verrouillage Mécanique Rigide Obligatoire (Classe B).

Vérification de la Capacité Thermique des Câbles et Facteur de Déclassement (CEI 60287 / NEC 310)

Au cours des défaillances de verrouillage impliquant un chevauchement non désiré ou une réalimentation inverse, les câbles de puissance reliant la génération de secours au jeu de barres principal subissent des surintensités susceptibles de dépasser leur contrainte thermique massique maximale admissible ($I^2 t$). L'équation de suréchauffement des conducteurs en régime de court-circuit transitoire adiabatique, paramétrée dans Vexten Suite, suit la norme CEI 60364-5-54 et le standard IEEE 242 :

Où :

• $S$ : Section transversale du conducteur en $mm ^2$.
• $K$ : Facteur dépendant du matériau du conducteur ($143 A \cdot s ^{1/2}/ mm ^2$ pour le cuivre isolé au PR/XLPE).
• $\theta_i$ : Température initiale du conducteur en service continu nominal ($\approx 90^\circ C$).
• $\theta_f$ : Température maximale admissible en court-circuit ($250^\circ C$ pour le PR/XLPE).
• $\beta$ : Inverse du coefficient de température du conducteur à $0^\circ C$ ($234.5^\circ C$ pour le cuivre).

Si la temporisation du relais de protection ou la défaillance du verrouillage électrique prolonge la durée d'élimination du courant de parallélisme incontrôlé au-delà de la courbe d'endommagement du câble $t > tdamage$, le module de dimensionnement des câbles de Vexten Suite impose le surdimensionnement automatique de la section de phase ou exige l'ajout redondant d'un système de déclenchement direct actionné par la bobine UVR du disjoncteur local.

Critères de Vérification Logique dans Vexten Suite

La méthodologie de vérification pour la conception sécurisée des verrouillages intégrée dans Vexten Suite s'articule autour des étapes techniques suivantes :

• Étape 1 : Modélisation de la Matrice d'États de Manœuvre : Définition de l'intégralité des combinaisons valides pour les disjoncteurs $Q_1, Q_2, \dots, Q_n$. Pour un système à $N$ disjoncteurs, l'espace des états à $2^N$ dimensions est évalué en séparant les états Autorisés, Interdits et Transitoires Synchronisés.
• Étape 2 : Simulation du Couple Transitoire Dynamique (Dynamic Transient Torque) : Évaluation du couple de torsion de crête sur l'arbre des alternateurs lors d'une perte du Sync-Check (ANSI 25) avec un angle de déphasage de $\delta = 180^\circ$.
• Étape 3 : Vérification de la Logique de Sécurité Positive (Fail-Safe) : Validation de l'intégrité du schéma électrique en cas de perte de l'alimentation auxiliaire en courant continu (VDC Control Power Failure). Tout circuit autorisant une manœuvre en l'absence de tension de contrôle est automatiquement rejeté par le logiciel.
• Étape 4 : Audit des Temps de Messagerie GOOSE : Calcul du retard de propagation déterministe au sein des réseaux Ethernet commutés (réseaux RSTP/PRP/HSR) garantissant que la latence accumulée ne dépasse pas le temps critique de libération de la bobine de protection du disjoncteur principal.

Grâce à cette approche rigoureuse d'ingénierie multidimensionnelle — combinant la résistance mécanique physique, la redondance électrique filaire orientée à manque de tension, la sécurité numérique déterministe sur réseaux CEI 61850 et la simulation analytique des transitoires via des outils tels que Vexten Suite — il est possible d'assurer une protection absolue des systèmes de puissance critiques contre les catastrophes opérationnelles dues aux chocs électromécaniques ou aux réalimentations non autorisées.