Brevet FR2773409A1 — publié le 19990709

La présente invention concerne un dispositif de commande à sécurité positive. On sait que dans les systèmes de commande de sécurité il est nécessaire d'être en mesure de détecter de manière sûre toute panne de composants. Ceci doit se traduire par un arrêt immédiat de la machine dangereuse commandée. Pour assurer une sécurité positive on prévoit donc généralement qu'en l'absence de commande ou lors d'une défaillance de commande le circuit d'alimentation de la machine dangereuse soit automatiquement ouvert. En outre, pour éviter qu'une défaillance de la commande se traduise par une fermeture du circuit d'alimentation de la machine dangereuse on prévoit généralement d'assurer la fermeture du circuit d'alimentation de la machine dangereuse par deux sorties de puissance associées à deux voies parallèles du dispositif de commande. Chaque sortie de puissance est reliée à un organe de commande associé à une unité logique d'un circuit logique électriquement isolé de l'organe de commande, et l'état de l'organe de commande de chaque voie est transmis à l'unité logique de l'autre voie pour assurer l'ouverture des deux organes de commande en cas de divergence sur leur état respectif. A titre complémentaire il est en outre prévu de procéder périodiquement à un test par impulsion fine qui consiste à simuler de façon très brève un ordre d'ouverture du circuit d'alimentation et s'assurer que les sorties de puissance ont été convenablement désactivées en réponse à cet ordre, la durée de ces ordres étant suffisamment brève pour que les organes d'ouverture du circuit d'alimentation de la machine dangereuse n'aient pas le temps de réagir. Un problème posé par les dispositifs de commande existants réside dans le fait que pour des raisons de synchronisation les unités logiques des deux voies sont reliées à une horloge commune. Les unités logiques sont elles-mêmes synchrones et leur changement d'état dépend donc directement du fonctionnement de l'horloge. Si l'horloge devient défaillante les sorties restent donc dans l'état où elles se trouvaient lors de la perte de l'horloge de sorte que l'ouverture du circuit d'alimentation de la machine dangereuse ne peut plus être assurée. Selon l'invention on propose un dispositif de commande du type précité dans lequel en aval de l'unité logique chaque circuit logique comporte un organe de conversion relié à l'horloge pour transformer en signal pulsé un signal logique d'activation de la sortie de puissance correspondante, et un organe de filtration et de redressement est disposé entre l'organe de conversion et l'organe de commande correspondant. Ainsi, en cas de défaillance de l'horloge l'organe de conversion ne transmet plus un signal pulsé mais un signal continu qui est arrêté par l'organe de filtration. La commande de la sortie de puissance ne pouvant plus être fermée l'utilisateur de la machine dangereuse est donc immédiatement alerté de la défaillance de l'horloge. Au contraire si l'horloge fonctionne convenablement le signal pulsé franchit la barrière du filtre, puis il est redressé et ferme de façon habituelle l'organe de commande correspondant pour activer la sortie de puissance. Par ailleurs, les unités logiques sont généralement alimentées à une tension inférieure aux sorties de puissance. A cet effet un convertisseur continu / continu commun au deux voies est généralement monté en dérivation sur la ligne d'alimentation des sorties de puissance. En cas de défaillance du convertisseur il existe un risque de surtension des unités logiques. Une telle surtension peut provoquer un court-circuit de certains composant et générer à la sortie des unités logiques des signaux équivalents aux signaux logiques d'activation des sorties de puissance. La sécurité d'ouverture des circuits d'alimentation de la machine dangereuse n'est donc plus assurée. Selon une version avantageuse de l'invention l'organe de filtration et de redressement fonctionne selon une tension inverse de la tension d'alimentation. Ainsi, même si à la suite d'un court-circuit de différents composants du circuit logique la tension d'alimentation parvient aux organes de filtration et de redressement elle ne pourra avoir aucun effet sur les organes de commande des sorties de puissance de sorte que celles-ci seront désactivées. Une fois encore l'utilisateur sera donc immédiatement alerté de la défaillance du dispositif de commande. D'autres caractéristiques et avantages de l'invention apparaîtront à la lecture de la description qui suit un mode de réalisation préféré non limitatif de l'invention en référence aux figures ci-jointes parmi lesquelles la figure 1 est un diagramme par blocs du dispositif de commande en sécurité positive selon l'invention la figure 2 est une représentation schématique détaillée de l'organe de filtration et de redressement la figure 3 est une illustration schématique des signaux en différents points du circuit logique. En référence aux figures, le dispositif selon l'invention comporte de façon connue en soi deux voies parallèles comprenant chacune une sortie de puissance SP reliée à un organe de commande 1 lui-même relié à une source de tension continue, par exemple une source de tension en vingt-quatre volts, et associé à un circuit logique 2. Les circuits logiques 2 sont alimentés par un convertisseur 3 commun aux deux voies délivrant une tension inférieure à la tension d'alimentation des sorties de puissance, par exemple une tension de +5 volts, et leur fonctionnement s'effectue sous contrôle d'une horloge 4 également commune aux deux voies. Chaque circuit logique comporte de façon également connue en soi une unité logique 5 reliée à des capteurs logiques 6, par exemple des détecteurs d'une présence au voisinage d'une partie dangereuse de la machine commandée, et à une entrée d'une cellule logique 7 ayant une seconde entrée reliée à un générateur de test par impulsion fine 8. Toujours de façon connue en soi chaque unité logique 5 est relié à la sortie de l'organe de commande de la voie opposée. Selon l'invention le circuit logique de chaque voie comporte en outre un organe de conversion 9 disposé entre la sortie de l'unité logique 5 et l'entrée de la cellule logique 7 correspondante, et un organe de filtration et de redressement 10 disposé entre la cellule logique 7 et l'organe de commande 1 correspondant d'une sortie de puissance. De façon conventionnelle les unités logiques assurent un traitement des signaux en provenance des capteurs logiques et de la sortie de l'organe de commande de la voie opposée pour délivrer un signal logique tel que représenté en A sur la figure 3, le niveau haut du signal logique correspondant à une commande d'activation de la sortie de puissance tandis que le niveau bas correspond à une désactivation de la sortie de puissance. Les organes de conversion 9 sont des organes conventionnels assurant la transformation d'un signal continu en signal pulsé comme représenté en B sur la figure 3. La structure des organes de conversion 9 est connue en soi et n'a donc pas été illustrée de façon détaillée sur les figures. Les générateurs d'impulsions fines 8, également de structure connue en soi, délivrent un signal en créneau périodique comme illustré en C sur la figure 3. Les cellules logiques 7 assurent une combinaison des signaux délivrés par les organes de conversion 9 et les générateurs de test par impulsion fine selon un signal illustré en D sur la figure 3. La structure détaillée d'un mode de réalisation préféré de l'organe de filtration et de redressement 10 a été illustrée sur la figure 2. L'organe de filtration et de redressement comporte une entrée d'alimentation 11 et une entrée logique 12 reliée à un étage amplificateur 13 formé de deux transistors en push-pull. Un condensateur 14 est relié à la sortie de l'étage amplificateur et assure une filtration des signaux continus, seul les signaux pulsés étant transmis par le condensateur 14. A ce propos on notera qu'il importe peu que les portions continues du signal soumis à l'organe de filtration et de redressement soient d'un niveau haut ou d'un niveau bas. Le signal pulsé transmis au-delà du condensateur 14 est un signal flottant qui est rendu négatif en imposant une limite positive faible, par exemple 0,4 volts au moyen d'une diode schottky 15 reliée au condensateur 14 d'une part et à la masse d'autre part. Les impulsions pulsées, par exemple à 500 kHz, oscillent ainsi entre une tension de -3,6 volts à +0,4 volts qui est donc sensiblement inverse de la tension délivrée par le convertisseur 3. La tension négative pulsée ainsi obtenue est redressée par un condensateur 16 associé à une diode 17 reliée en opposition de la diode 15 afin d'éviter une décharge directe du condensateur 16 dans l'étage amplificateur 13. On obtient ainsi dans la résistance 18 une tension négative continue qui est délivrée à un organe de couplage 19 avec l'organe de commande 1 de la sortie de puissance, ici un optocoupleur dont seul la diode émettrice à été représentée. On remarquera qu'en cas de défaillance de l'hor- loge 4 le signal provenant de l'unité logique 5 ne sera pas transformé en signal pulsé et sera donc arrêté par la capacité 14 de sorte que l'optocoupleur ne sera pas activé et l'interrupteur associé à la sortie de puissance correspondante sera ouvert. En outre, dans le cas où à la suite d'un court-circuit la tension de sortie du convertisseur 3 serait amenée à l'optocoupleur 19, cette tension serait une tension positive qui ne pourrait pas activer l'optocoupleur 19 de sorte que l'interrupteur associé à la sortie de puissance correspondante serait également maintenu ouvert. Toute panne de composant dans l'organe de filtration et de redressement, y compris la mise en court-circuit du condensateur 14 entraîne donc l'ouverture de l'interrupteur associé à la sortie de puissance correspondante. Bien entendu l'invention n'est pas limitée au mode de réalisation décrit et on peut y apporter des variantes de réalisation sans sortir du cadre de linven- tion. En particulier bien que la caractéristique de l'invention selon laquelle l'organe de filtration et de redressement fonctionne selon une tension inverse de l'alimentation ait été décrite en liaison avec un dispositif comportant un convertisseur, cette caractéristique s'appliquerait également à un dispositif dans lequel l'unité logique fonctionnerait au même niveau de tension que les sorties de puissance. REVENDICATIONS 1. Dispositif de commande à sécurité positive comportant deux voies parallèles comportant chacune une sortie de puissance (SP) et un organe de commande (1) associé à une unité logique (5) d'un circuit logique (2) électriquement isolé dans l'organe de commande, les circuits logiques (2) étant reliés à une horloge commune (4) caractérisé en ce qu'en aval de l'unité logique (5) chaque circuit logique comporte un organe de conversion (9) relié à l'horloge (4) pour transformer en signal pulsé un signal logique d'activation de la sortie de puissance correspondante, et en ce qu'un organe de filtration et de redressement (10) est disposé entre l'organe de conversion (9) et l'organe de commande correspondant. 2. Dispositif de commande selon la revendication 1 caractérisé en ce que les organes de filtration et de redressement (10) fonctionnent selon une tension inverse d'une tension d'alimentation.