Brevet FR2701129A1 — publié le 19940805

INTERFACE DE PUISSANCE DE SECURITE L'invention concerne une interface de puissance de sécurité comportant une entrée, destinée à recevoir des signaux d'entrée logiques binaires continus, et une sortie destinée à être connectée à un actionneur. Une telle interface de puissance est destinée à être interposée entre une interface de sécurité, et au moins un actionneur à contrôler Il est en effet indispensable d'adapter la sortie de l'interface de sécurité, constituée de signaux logiques binaires, à la puissance requise par les actionneurs L'invention est plus particulièrement destinée à être connectée à la sortie d'une interface de sécurité ou d'un module de vote décrit dans la demande de brevet européen EP-526 350 L'interface de sécurité précitée comporte un oscillateur de type multivibrateur astable en anneau, comportant un nombre impair d'éléments inverseurs, dont les entrées d'alimentation constituent les entrées fonctionnelles de l'interface, elles-mêmes connectées à la sortie d'automates Dès que l'une des entrées n'est pas alimentée correctement, le signal de sortie de l'oscillateur est un signal continu En cas de panne interne à l'interface, la sortie n'est pas modifiée ou mise dans un état sûr, correspondant à la non-oscillation de l'oscillateur L'interface de sécurité comporte un circuit assurant le redressement des signaux de sortie de l'oscillateur On obtient ainsi en sortie de l'interface de sécurité ou d'un module de vote constitué par des interfaces de sécurité de ce type, des signaux basse puissance pouvant prendre deux niveaux logiques continus, dont l'un est considéré comme un état sûr L'interface de sécurité a la propriété d'être à haute sécurité de fonctionnement vis à vis de l'ensemble des pannes qui peuvent se produite en son sein. L'invention a pour but une interface de puissance qui permette la commande d'un actionneur sans dégrader les performances de sécurité et/ou de disponibilité de l'interface de sécurité ou du module de vote disposés en amont. Selon l'invention, ce but est atteint par le fait que l'interface de sécurité comporte au moins deux transistors de puissance connectés en série avec l'actionneur aux bornes d'une tension d'alimentation, des moyens de codage dynamique des signaux continus d'entrée, des moyens de commande connectés aux moyens de codage et à des électrodes de commande des transistors, et des moyens d'autotest de l'interface. Selon un développement de l'invention les moyens de codage dynamique comportent un oscillateur fournissant des signaux de fréquence prédéterminée lorsque le signal d'entrée prend une première valeur continue prédéterminée et des signaux continus lorsque le signal d'entrée prend une seconde valeur continue prédéterminée La seconde valeur prédéterminée du signal d'entrée est, de préférence, associée à un état sûr de l'actionneur. Selon un développement de l'invention, les moyens de commande comportent un circuit logique programmable fournissant sur deux sorties de commande distinctes, respectivement associées à chacun des transistors, des signaux oscillants lorsque les signaux de sortie des moyens de codage sont des signaux oscillants De plus, les moyens de commande comportent des moyens de mise en forme connectés entre le circuit logique programmable et les transistors, de manière à appliquer sur les électrodes de commande des transistors un signal de commande de saturation lorsque le signal de sortie associé du circuit logique programmable est un signal oscillant, et un signal de commande de blocage lorsque ledit signal de sortie est un signal continu. Le circuit logique programmable comporte, de préférence, une sortie de diagnostic produisant un signal oscillant en l'absence de défaillance interne à l'interface et un signal continu en cas de défaillance. D'autres avantages et caractéristiques ressortiront plus clairement de la description qui va suivre, d'un mode particulier de réalisation de l'invention, donné à titre d'exemple non limitatif et représenté sur la figure unique annexée. L'interface de puissance représentée sur la figure comporte deux transistors de puissance Tl et T 2, par exemple de type MOS, connectés en série entre une tension d'alimentation Va et une sortie 1 Un actionneur 2 est destiné à être connecté entre la sortie 1 et la masse Lorsque les deux transistors Tl et T 2 sont saturés, la tension d'alimentation Va est appliquée aux bornes de l'actionneur 2 Si au moins l'un des transistors est bloqué, aucune tension n'est alors appliquée aux bornes de l'actionneur 2. En fonctionnement normal, la sortie d'une interface de sécurité ou d'un module de vote 3, par exemple du type décrit dans la demande de brevet européen précitée, est connectée à une entrée de l'interface de puissance sur laquelle elle applique des signaux d'entrée E logiques, binaires, continus, basse puissance Les signaux d'entrée E sont- appliqués à l'entrée d'un oscillateur 4 qui réalise un codage dynamique des signaux d'entrée E Si le signal d'entrée E est à un premier niveau logique prédéterminé, par exemple au niveau 1, l'oscillateur 4 délivre un signal A oscillant de fréquence prédéterminée, par exemple 500 K Hz Par contre, si le signal d'entrée E est à un second niveau logique prédéterminé, par exemple au niveau 0, l'oscillateur 4 est inhibé et fournit un signal A continu en sortie. La sortie de l'oscillateur 4 est connectée à l'entrée d'un circuit logique programmable 5, qui fournit des signaux de contrôle distincts, respectivement Bl et B 2, aux transistors Tl et T 2 En fonctionnement normal, lorsque E = 1, le circuit 5 transmet à ses sorties le signal A oscillant Les signaux Bi, B 2, oscillants sont respectivement appliqués sur les électrodes de contrôle des transistors Tl et T 2, par l'intermédiaire d'un circuit de filtrage et de redressement 6 associé Un circuit 7 d'isolement galvanique, par exemple un transformateur, est intercalé entre chaque circuit 6 et la sortie correspondante du circuit 5 Des signaux oscillants, Bl et B 2, commandent ainsi la saturation des transistors Tl et T 2 et l'application de la tension d'alimentation Va aux bornes de l'actionneur 2 Par contre, si le signal d'entrée E est nul, le signal A de sortie de l'oscillateur 4 est un signal continu et le circuit logique programmable 5 fournit des signaux Bl et B 2 continus Les signaux appliqués sur les électrodes de commande des transistors Tl et T 2 sont alors des signaux de blocage et aucune tension n'est appliquée aux bornes de l'actionneur 2. Toute défaillance interne du circuit logique programmable 5 se traduit par le blocage à un niveau continu de tension de ses entrées et/ou de ses sorties Les signaux Bl et B 2 ne peuvent donc être tous deux oscillants et au moins un des transistors est bloqué, de sorte qu'aucune tension n'est appliquée à l'actionneur 2 Il en va de même en cas de panne intrinsèque à l'oscillateur 4 entraînant une perte d'oscillation. Pour assurer la sécurité, l'actionneur 2 est tel qu'il soit dans un état dit sûr lorsqu'aucune tension ne lui est appliquée Pour assurer la sécurité de l'installation, le signal d'entrée E de l'interface de puissance est à son niveau bas lorsqu'une défaillance a été détectée en amont, dans l'interface de sécurité ou le module de vote 3, conduisant ainsi au blocage des transistors Tl et T 2 et au passage de l'actionneur 2 dans un état sûr. Certaines défaillances internes de l'interface de puissance conduisent également automatiquement l'actionneur à prendre un état sûr C'est le cas notamment du collage d'un des transistors à l'état bloqué, de l'ouverture d'un des conducteurs de l'interface, de l'ouverture du circuit de découplage galvanique 7 ou du circuit 6. Certaines défaillances ne conduisent pas automatiquement au passage de l'actionneur dans un état sûr C'est le cas, en particulier, du collage d'un des transistors à l'état saturé Une telle défaillance doit être considérée comme dangereuse et il est indispensable de la détecter L'interface de puissance est, dans ce but, complétée par des moyens de détection d'une défaillance des transistors de puissance. Cette détection s'effectue au moyen d'un test cyclique en ligne des transistors de puissance Le test est réalisé sous le contrôle d'une horloge de test 8 qui applique des signaux H d'horloge sur une entrée de test du circuit logique programmable 5, les signaux H servant de base de temps pour séquencer l'exécution d'un auto-test. Un tel auto-test est, par exemple, effectué toutes les 20 ms. Pour vérifier l'état d'un transistor, Tl ou T 2, un circuit de détection de tension 9 est connecté en parallèle sur ce transistor et sa sortie est connectée à une entrée du circuit 5 Le circuit de détection de tension 9 est, de préférence, constitué par un opto-coupleur Le signal, VI ou V 2, de sortie du circuit de détection de tension 9 est représentatif de l'état du transistor correspondant, dont la tension aux bornes est sensiblement nulle lorsqu'il est saturé. Lorsque E = 1, les signaux A, Bl et B 2 sont des signaux oscillants et les transistors Tl et T 2 sont saturés L'application d'un signal H au circuit 5 provoque l'interruption brève du signal de commande de l'un des transistors, Tl par exemple, et la vérification, par l'intermédiaire du circuit 9 associé, de son passage à l'état de blocage Ce transistor est de nouveau saturé et la même opération est effectuée sur le second transistor, T 2 Ce test est du type à impulsions fines, c'est à dire que la durée du blocage est suffisamment longue pour en permettre la détection, mais trop courte pour être prise en compte par l'actionneur. Un test permettant de vérifier que les transistors ne sont pas collés en position de blocage est effectué lorsque E = O Dans ce cas, les signaux A, Bl et B 2 sont continus et les transistors Tl et T 2 bloqués L'application d'un signal H au circuit 5 provoque successivement l'application d'un signal de commande sur chacun des transistors permettant de vérifier qu'il passe effectivement à l'état saturé Il est à noter que, lorsque les transistors sont bloqués, leur polarisation s'effectue par l'intermédiaire des circuits de détection 9. Lors du déroulement-de l'auto-test, les signaux VI et V 2 appliqué au circuit 5 sont analysés par celui-ci Une défaillance de l'un des transistors est ainsi détectée et 2701129 deux modes de fonctionnement peuvent être prévus pour le circuit 5 en cas de défaillance détectée. Selon un premier mode de fonctionnement, favorisant la sécurité, le circuit 5 bloque ses sorties Bl et B 2 à un niveau continu de tension, bloquant les deux transistors Tl et T 2 ou, si l'un d'eux est collé en position saturée, bloquant l'autre, de manière à faire passer l'actionneur en position sûr Simultanément, la défaillance est signalée sur une sortie de diagnostic du circuit 5 En l'absence de défaillance, le circuit 5 fournit sur cette sortie un signal D oscillant Lorsqu'une défaillance est détectée, le signal D devient un signal continu. Selon un second mode de fonctionnement, favorisant la disponibilité, le circuit 5 maintient les commandes des transistors en l'état, même après détection d'une panne Cette panne est, comme précédemment, signalée sur la sortie de diagnostic par un signal D continu Pour améliorer la sécurité du système il peut être avantageux de distinguer les deux modes de fonctionnement A titre d'exemple non limitatif, un niveau continu haut du signal D peut correspondre au premier mode de fonctionnement, tandis qu'un niveau continu bas du signal D correspond au second mode de fonctionnement Un système de surveillance, non représenté, recevant les signaux D est alors conçu de manière à signaler différemment ces deux modes de fonctionnement à un opérateur, qui peut alors plus facilement déterminer le degré d'urgence d'une intervention. Le signal D passe aussi à un niveau continu en cas de défaillance interne du circuit logique programmable 5. Sa conception et le fait qu'elle comprenne une possibilité de test en ligne, rend l'interface de puissance sûre ("fail-safe") quelle que soit la panne simple susceptible d'intervenir et quelles que soient les valeurs du signal d'entrée logique E Les pannes simples susceptibles d'intervenir peuvent concerner aussi bien le système de commande de l'actionneur, à savoir l'oscillateur 4, le circuit 5, les transformateurs 7, les circuits 6, les transistors, l'alimentation et les fils de connexion, que le système de test, à savoir l'horloge de test 8, le circuit 5 et les optocoupleurs 9. Dans tous les cas, soit l'actionneur passe dans un état sûr, soit la défaillance est signalée par le signal de diagnostic D. REVENDICATIONS 1 Interface de puissance de sécurité comportant une entrée, destinée à recevoir des signaux d'entrée (E) logiques binaires continus, et une sortie ( 1) destinée à être connectée à un actionneur ( 2), interface caractérisée en ce qu'elle comporte au moins deux transistors de puissance (T 1, T 2) connectés en série avec l'actionneur ( 2) aux bornes d'une tension d'alimentation (Va), des moyens ( 4) de codage dynamique des signaux continus d'entrée (E), des moyens ( 5, 7, 6) de commande connectés aux moyens ( 4) de codage et à des électrodes de commande des transistors ( 1 T, T 2), et des moyens ( 8, 5, 9) d'autotest de l'interface. 2 Interface selon la revendication 1, caractérisée en ce que les moyens ( 4) de codage dynamique comportent un oscillateur ( 4) fournissant des signaux (A) de fréquence prédéterminée lorsque le signal d'entrée (E) prend une première valeur continue prédéterminée et des signaux (A) continus lorsque le signal d'entrée (E) prend une seconde valeur continue prédéterminée. 3 Interface selon la revendication 2, caractérisée en ce que la seconde valeur prédéterminée du signal d'entrée (E) est associée à un état sûr de l'actionneur ( 2). 4 Interface selon l'une quelconque des revendications 1 à 3, caractérisée en ce que les moyens de commande comportent un circuit logique programmable ( 5) fournissant sur deux sorties de commande distinctes, respectivement associées à chacun des transistors (Tl, T 2), des signaux (Bl, B 2) oscillants lorsque les signaux (A) de sortie des moyens de codage ( 4) sont des signaux oscillants. Interface selon la revendication 4, caractérisée en ce que les moyens de commande comportent des moyens de mise en forme ( 7, 6) connectés entre le circuit logique programmable ( 5) et les transistors (T 1, T 2), de manière à appliquer sur les électrodes de commande des transistors un signal de commande de saturation lorsque le signal de sortie associé du circuit logique programmable est un signal oscillant, et un signal de commande de blocage lorsque ledit signal de sortie est un signal continu. 6 Interface selon la revendication 5, caractérisée en ce que les moyens de mise en forme comportent des moyens ( 7) d'isolement galvanique et des moyens ( 6) de redressement - 7 Interface selon l'une quelconque des revendications 4 à 6, caractérisée en ce que le circuit logique programmable ( 5) comporte une sortie de diagnostic produisant un signal (D) oscillant en l'absence de défaillance interne à l'interface et un signal (D) continu en cas de défaillance. 8 Interface selon l'une quelconque des revendications 1 à 7, caractérisée en ce que les moyens d'autotest comportent des moyens ( 8) de production de signaux d'horloge (H), connectés à une entrée de test des moyens de commande, et des moyens ( 9) de détection pour détecter la tension aux bornes de chacun des transistors (Tl, T 2) et fournir aux moyens de commande des signaux (Vl, V 2) représentatifs desdites tensions, de manière à permettre un test en ligne des transistors de puissance. 9 Interface selon la revendication 8, caractérisée en ce que le test est un test par impulsions fines. Interface selon l'une des revendications 8 et 9, caractérisée en ce que les moyens de détection ( 9) comportent un opto-coupleur.