Brevet FR2422196A1 — publié le 19791102

La présente invention concerne un procédé de commande du déroulement d'un processus industriel ainsi qu'un système permettant la mise en oeuvre de ce procédé. Ce système et ce procédé sont applicables a la com- mande automatique du déroulement d'un processus industriel, avec une sécurité suffisante en cas de panne dans le système de commande. Il est connu de commander le de roulement de processus industriels à l'aide de dispositifs automatiques qui envoient, dans les différentes boucles de régulation du processus, des signaux de commande nécessaires au déroulement de oelui-ci. Ces dLspositifs sont genéralement des calculateurs, qui dans le cas d'un processus compliqué, représentent un inves tassement important. Genéralement, ces calculateurs peuvent prendre en charge une multitude de boucles de régulation et dans le cas de processus complexes, ces calculateurs doivent etre d'une puissance importante.Genéralement, pour des raisons de sécurité, il est courant d'utiliser deux calculateurs pour la commande d'un même processus ; en effet, les calculateurs comportent des Systèmes de tests internes, et si à la suite de l'un de ces tests, le calculateur qui commande le déroulement du processus se déclare defectueux, l'autre calculateur qui est utilisé uni- quement en secours, permet d'assurer une reprise de la commande du processus. Lorsqu'un tel incident se produit, le calculateur défectueux agit sur un dispositif de commutation statique ou dynamique qui permet de commander le deroulement du processus à partir du calculateur de secours.Ce système de commande présente de nombreux inconvénients : le dispositif de commu- tation est difficile à tester et il peut etre défectueux ; il est alors impossible d'assurer une continuité du déroulement du processus. De plus, le calculateur de secours qui était en attente doit etre initialisé.Ceci est un grave inconvénient, car le calculateur de secours qui tétait pas bouclé sur le processus en cours de déroulement peut présenter des déiaillances avant d'atteindre la commande de reprise du déroulement du pro cessus 7 cette commande de reprise est celle qui aurait dù être effectuée par l'autre oalculateur s'il ne s'était pas déclaré défectueux, Ce système connu de commande de déroulement de pro cessus qui, pour des raisons de sécurité, llttlise deux calculateurs, présente donc des inconvénients majeurs :: Une grande incertitude dans la bonne reprise du déroulement du processus ainsi que la mise en oeuvre dlun programme d'initialisation important. La présente invention permet de remelier à ces incon- vénients et elle a not wment pour but d'utiliser un procédé et de réaliser un dispositif permettant de commander le déroulement d'un processus industriel à l'aide de deux dispositifs identiques et notamment a' l'aide de deux microprocesseurs identiques reliés entre eux et commandant le déroulement du processus, de manière que lorsque l'un des deux dispositifs s'avère défectueux, l'autre dispositif assure une continuité dans la commande du déroulement du processus, sans qu'il soit nécessaire de procéder à une initialisation de l'un des deux dispositifs. La présente invention concerne un procédé de commande du déroulement ai processus industriel, caractérisé en ce qu'il comprend l'envoi sur une meme ligne de commande du processus, de signaux de commande incrémentiels provenant alternativement de deux dispositifs de commande identiques fonctionnant ou non en synchronisme, et connectés parallèlement l'un avec l'autre. Selon une autre caractéristique da procédé, on teste l'un des dispositifs à l'aide du second dispositif. Selon une caractéristique avantageuse, chacun des microprocesseurs teste l'autre et déduit de ce test le bon fonctionnement. En cas de test négatif, il prend l'initiative d'éliminer l'autre mlcroprocesseur généralement après s'etre assuré de son bon fonctionnement propre par un auto-test. Selon une caractéristique avantageuse, les deux dispo- sitifs fonctionnent à la meme cadence et sont synchrones. L'invention a aussi pour objet un système de commande du déroulement d'un processus industriel, caractérisé en ce qu'il comprend deux dispositifs de commande incrémentiels identiques, connectés à la meme ligne de commande du processus, ces deux dispositifs fonctionnant alternativement et étant connectés parallèlement l'un avec l'autre. Selon une autre caractéristique de l'invention, les deux dispositifs sont des microprocesseurs. Selon une caractéristique avantageuse du système de commande, chacun des microprocesseurs comporte une mémoire dans laquelle sont enregistrées des microinstructions de tests de 1,un des microprocesseurs par l'autre et réciproquement. Selon me caractéristique particulière, -le -micropros cesseur resté seul à la suite d'un test révélant la défectuo- sité de l'autre microprocesseur, fonctionne à une cadence double. D'autres caractéristiques et avantages de l'invention ressortiront encore de la description qui va suivre, donnée en référence aux figures annexées dans lesquelles - - la figure 1 est un schéma par blocs d'un mode de réalisation d'un système conforme à l'invention 7 - la figure 2 est un diagramme des signaux de commande incrémentiels intervenant dans le système. En référence à la figure 1, on a représenté un système de commande du déroulement d'un processus industrìel, conforme a' l'invention. Le processus oommandé est représenté schémati- quement en 1 sur la figure, tandis que le système de commande comprend deux dispositifs 2, 3 identiques, reliés à la même ligue de commande 4 du processus. Ces deux dispositifs identiques sont constitués par des microprocesseurs.Pour chacun des microprocesseurs 2, 3, on a représenté schématiquement sur la figure ltunité arithmétique et logique, les registres, les séquenceurs, l'accumulateur, etc.. , par les blocs 5 et 6, On a également représenté de tanière schématique pour le microprocesseur 2, une mémoire vive 7 et une mémoire myrte 8, tandis que pour le microprocesseur 3, la mémoire vive et la ne- moire morte sont représentées en 9 et 10 respectivement. On a également représenté sur cette figure une unité 11 permettant l'entrée des données dans chacun des microprocesseurs.Des capteurs 12, dont les sorties 14 sont reliées aux entrées 13 et 15 de chacun des microprocesseurs, fournissent à ces micropro cesseurs les informations concernant l'évolution du processus commandé 1. Le système comprend en outre des liaisons 16, 17 qui permettent, par exemple, de réaliser des tests de l'un des microprocesseurs par l'autre, ainsi qu'un échange d' informa- tions entre ces deux microprocesseurs. Les tests sont réalisés en particulier, grâce à des microinstructions qui sont contenues dans les mémoires de chacun des microprocesseurs. Il est bien évident que chaque microprocesseur peut, soit tester l'autre, soit se tester lui-meme, soit realiser ces deux fonc tions. Les microinstructions de test sont de préférence enre gistrées dans la mémoire morte associée a' chaque microprocesseur. La description du fonctionnement de oe système va naintenant permettre de mieux comprendre le procédé de commande de 1' in- vention, ainsi que le rôle des différents éLéments ai système. La ligne de commande 4 reçoit les signaux de commande incrémentiels provenant alternativement des deux microprocesseurs identiques qui fonctionnent, par exemple, en synchrone nismes. Ces deux microprocesseurs sont connectés en parallèle sur la mémoire de sortie qui peut etre avantageusement un organe de réglage du processus. Si un test révèle que l'un des microprocesseurs a un fonctionnement défectueux, ce microprocesseur ne fournit plus les ordres d'incrémentation.Cet autre microprocesseur assure alors seul la commande du déroulement du processus avec une cadence double~ Ce changement de cadence est réalisé grace à des instructions contenues dans la mémoire du microprocesseur ; ces instructions permettent d'une part de déconnecter le microprocesseur défectueux et, d'autre part, de doubler la cadence du microprocesseur demeurant seul pour commander le processus. Il n'y a ainsi aucun arret dans la oom- mande du processus et oeci grâce au fait que chaque microprocesseur est apte à delivrer a' chaque instant la meme commande que l'autre microprocesseur. En référence à la figure 2, on a représenté un diagramme des signaux incrémentiels de commande, intervenant dans le système. Sur le diagramme a, on a montré des impulsions I1, représentant des signaux incrémentiels de commande du déroulement ai processus, en provenance du microprocesseur 5, par exemple. Sur le diagramme b, on a montré de la meme maniere, des impulsions 12 représentant des signaux incrémentiels de commande du déroulement ai processus, en provenance du microprocesseur 6, par exemple, Entre chacune de ces impulsions, chaque microprocesseur assure le déroulement du programme d'entrée introduit par l'unité li. On a supposé, sur ces diagrammes, que les deux microprocesseurs fonctionnaient de manière synchrone.Le processus 1 revoit alors alternativement par la ligne 4, des signaux de commande en provenance de cha- cun des microprocesseurs, a' une cadence double de celle des impulsions Il et 12. Les impulsions I3 sur le diagramme b re présentent le cadencement de la commande du processus, compte tenu du cadencement des signaux de commande en provenance de chacun des nicroprocesseurs, ainsi par exemple, si chaque microprocesseur fonctionne à une cadence de 600 millisecondes, le processus reçoit des signaux incrémenttels de commande, à une cadence de 300 millisecondes. Si l'un des microprocesseurs est revélé défectueux a' la suite d'un test, c'est l'autre microprocesseur qui assure seul la commande du dispositif, avec une cadence correspondant à celle des impulsions I3. Cette cadence est double de celle qu'avait oe microprocesseur, avant que ne soit révélée la difectuosité. ainsi, chaque microprocesseur doit pouvoir, en cas de de'fectuosité de l'autre microprocesseur, assurer le déroulement du programme d'entrée à une vitesse doublée par rapport à celle qui était prévue au départ. Il est bien évident que les impulsions I2 et 13 qui ont été représentéeS avec la meme polarité sur la figure, pourraient être de polarités opposées. Le système décrit permet bien d'atteindre les buts mentionnés plus haut, et en particulier il permet d'éviter une initialisation de l'un des microprocesseurs à la suite d'une défectuosité de l'autre microprocesseur. Le procédé et le système, du fait qu'ils évitent une initialisation de l'un des microprocesseurs, présentent une grande sécurité pour le déroulement normal du processus ; en effet, comme l'initialisa- tion n'est pas nécessaire en cas de panne, le processus commandé continue à se dérouler normalement, sans qu'il y ait risque d'erreur dans la reprise du déroulement du processus, à la suite d'une panne de l'un des REVENDI,CATIONS- 1. Procédé de commande du dixoulement d'un processus industriel, caractérisé en ce qu'il comprend llenvot, sur une meme ligne de commande du processus, de signaux incrémentiels de commande provenant alternativement de deux dispositifs de commande identiques connectes en parallèle, l'un avec l'autre e t fonctionnant de man père synchrone ou asynchrone, 2. Procédé de commande selon la revendication 1, caractérisé en ce que l'on teste l'un des dispositifs à l'aide de l'autre et réciproquement. 3. Procédé de commande selon la revendication 2, carac térisé en ce qu'en cas de test négatif de l'un des microproces- seurs par l'autre, le microprocesseur non défectueux élimine le microprocesseur défectueux après s'etre assuré de son bon fonctionnement propre par un auto-test. 4. Procédé selon la revendication 1, caractérisé en ce que chaque dispositif se teste lui-meme au osurs du déroulement dl processus. 5. Procédé selon la revendication 1, caractérisé en ce que, d'une part, chaque dispositif se teste lui-mene au cours du déroulement du processus et que, d'autre part, l'on teste chaque dispositif à l'aide de l'autre et réciproquement. 6. Procédé de commande selon l'une quelconque des revendications 2, à 5, caractérisé en ce que les deux dispositifs fonctionnent à la meme cadence et sont synchrones. 7. Procédé de commande selon la revendication 5, caractérisé en oe que lorsque le test de l'un des dispositifs révèle un fonctionnement défectueux, l'autre dispositif commande seul le processus à partir de la dernière commande du dispositif défectueux, avec une cadence double. 8. Système de commande du déroulement d'un processus industriel, caractérisé en ce qu'il comprend deux dispositifs de commande incrémentiels identiques connectés a la même ligne de commande du processus, ces deux-dispositifs étant connectés parallèlement l'un avec l'autre et fonctionnant alternativement de manière synchrone ou asynchrone. 9. Système de commande selon la revendication 8, caractérisé en ce que les deux dispositifs sont des microprocesseurs. 10, Système de commande selon la revendication 9, carac térisé en ce que chacun des microprocesseurs comporte une mémoire dans laquelle sont enregistrées des mLcroinStructionS de tests, de l'un des microprocesseurs par l'autre et rectproquemente 11. Système do commande selon la revendication 9, caractérisé en ce que chacun des microprocesseurs comporte une mémoire dans laquelle sont enregistrées des macroìnstruc- tions de tests individuels de chacun des mtcroprocesseurs. 12. Système de commande selon la revendication 9, caractérisé en ce que chacun des micropr.#cesseurs comporte une mémoire dans laquelle sont enregistrées des microinstructions de tests individuels de chacun des microprocesseurs ainsi que des micro instructions de tests de l'un des microprocesseurs par l'autre. 13. Système selon l'une des revendications 10 a 12, caractérisé en ce que ladite mémoire est une mémoire morte. 14. Système de commande selon la revendication 13, caractérisé En ce que chacun des microprocesseurs comporte une mémoire dans laquelle sont enregistrées les instructions de commande du déroulement du processus ainsi qu'au moins une instruction de commande de déconnexion du microprocesseur révélé défectueux après un test. 15 Système selon la revendication 14, caractérisé en ce que les deux microprocesseurs fonctionnent a la meme cadence et sont synchrones. 16. Système de commande selon-la revendication 15, caractérisé en ce que le microprocesseur commandant seul le processus à la suite d'un test révélant la defectuosité de l'autre microprocesseur fonctionne à une cadence double de celle à laquelle fonctionnait chaque microprocesseur.