Brevet FR2814820A1 — publié le 20020405

La présente invention concerne un système de sécurité implantable dans une commande numérique et pouvant se rapporter à toutes les applications habituellement couvertes par les commandes numériques, en particulier les applications dans les domaines de la machine-outil et de la robotique. L'invention concerne également une commande numérique intégrant un tel système de sécurité. Une commande numérique est principalement chargée d'assurer le contrôle et la commande d'une machine ou d'un process, incluant notamment le pilotage des mouvements d'un ou plusieurs axes séparés, coordonnés ou interpolés entre eux. Ces mouvements représentent en permanence un danger potentiel particulièrement pour les opérateurs situés à proximité des machines. Il est donc important de prendre des mesures préventives pour éviter tout accident. A un premier niveau, ces mesures de sûreté peuvent consister en des moyens passifs (portes, protection,...) ou en des moyens conventionnels (éléments électromécaniques séparés). Cependant, les commandes numériques doivent désormais comporter des systèmes de sécurité actifs plus performants aptes à contrôler de façon sûre la position, le déplacement, la vitesse, l'immobilisation et l'anti-démarrage d'un ou de plusieurs axes, car les opérateurs sont parfois amenés à intervenir dans la zone de travail, machine sous tension. Certains systèmes de sécurité actifs pour commande numérique sont déjà connus. Le document EP0742498 décrit notamment un système de sécurité dans lequel un code programme monocanal est chargé dans une structure à deux canaux identiques, chaque canal exécutant ensuite ce programme monocanal et effectuant une comparaison croisée des résultats pour détecter d'éventuelles différences entre les deux canaux. Cependant bien que le traitement de sécurité soit effectué dans deux canaux distincts, le code programme est lui monocanal et cette solution ne permet pas d'implanter aisément un nouveau système de sécurité sur une commande numérique déjà existante. La présente invention a pour but de réaliser un système de sécurité actif efficace intégré dans une commande numérique mais qui soit également capable, pour un coût raisonnable, d'être implantable dans une commande numérique existante au cours d'une opération de rétrofit ou de modernisation, par exemple. Pour cela, l'invention décrit un système de sécurité dans une commande numérique chargée notamment d'effectuer au moins une fonction de contrôle/commande d'une machine. Ce système de sécurité se caractérise par le fait qu'il comprend un premier automate de sécurité implanté dans la commande numérique, une première table image également implantée dans la commande numérique, accessible par la fonction de contrôle/commande de la commande numérique et par le premier automate de sécurité, et contenant des objets représentatifs de la machine à contrôler, un module sûreté possédant sa propre unité de traitement et relié à la commande numérique par une liaison CN-sûreté, un second automate de sécurité implanté dans le module sûreté et apte à échanger des informations avec le premier automate de sécurité, et une seconde table image implantée dans le module sûreté, accessible par le second automate de sécurité. La première table image et la seconde table image ont une structure identique. Le premier automate de sécurité compare périodiquement le contenu de la seconde table image avec le contenu de sa première table image et peut engager une action de défaut en cas de différence entre ces contenus. Réciproquement, le second automate de sécurité compare périodiquement le contenu de la première table image avec le contenu de sa seconde table image et peut engager une action de défaut en cas de différence entre ces contenus. Le système de sécurité comprend également, dans chacun des variateurs de vitesse reliés à la commande numérique, un module de surveillance variateur exerçant des fonctions de mesures et de commandes redondantes sur le variateur de vitesse. D'autres caractéristiques et avantages vont apparaître dans la description détaillée qui suit en se référant à un mode de réalisation donné à titre d'exemple et représenté par : - la figure 1 annexée qui montre l'architecture type d'une commande numérique intégrant un système de sécurité selon l'invention. En référence à la figure 1, une commande numérique 10 comporte une unité de traitement 11. Cette unité de traitement 11 effectue notamment au moins une fonction de contrôle/commande 12 d'une machine 40 grâce à des entrées/sorties 18 correspondant à des capteurs/actionneurs de la machine 40. Ces entrées/sorties 18 incluent des entrées/sorties sûreté 19 qui sont jugées nécessaires pour assurer la sécurité de la machine 40. Les entrées/sorties sûreté 19 comprennent notamment des contacts de porte et des modes de fonctionnement comme exemples d'entrées, des commandes de contacteur puissance et des validations de relais sécurité comme exemples de sorties. La fonction de contrôle/commande 12 est reliée par une liaison variateur-CN 14 à au moins un variateur de vitesse 41 chargé de piloter un axe de la machine 40. Dans l'exemple de la figure 1, trois variateurs 41 pilotant trois axes sont représentés. Le système de sécurité décrit dans la présente invention a pour but d'assurer une redondance des fonctions de sécurité de la commande numérique. Pour cela le système de sécurité comprend : * Un premier automate de sécurité 16 implanté dans la commande numérique 10. Ce premier automate de sécurité 16 est exécuté par l'unité de traitement 11 de la commande numérique 10. * Une première table image 15 implantée dans la commande numérique 10. Cette première table image 15 est accessible en lecture et en écriture par la fonction de contrôle/commande 12 ainsi que par le premier automate de sécurité 16. Elle contient des objets qui sont représentatifs de la machine 40 à contrôler. Ces objets contiennent à titre non exhaustif : des états machine, des états d'axes ou de groupes d'axes, des mesures, des consignes de vitesses et positions, des ordres et commandes, etc... 'Un module sûreté 20 possédant sa propre unité de traitement 21. Ce module sûreté communique avec la commande numérique 10 par une liaison CN- sûreté 30 qui est orientée pour la sécurité. * Un second automate de sécurité 26 implanté dans le module sûreté 20 et exécuté par l'unité de traitement 21 du module sûreté 20. Le premier automate de sécurité 16 et le second automate de sécurité 26 sont capables de s'échanger cycliquement des informations par la liaison CN-sûreté 30. 'Des entrées/sorties sûreté 29 correspondant à des capteurs/actionneurs de la machine 40, pilotées par l'unité de traitement 21 du module sûreté 20. 'Une seconde table image 25 implantée dans le module sûreté 20. Cette seconde table image 25 est accessible en lecture et en écriture par le second automate de sécurité 26 et par l'unité de traitement 21 pour la mise à jour des entrées/sorties sûreté 29. La première table image 15 et la seconde table image 25 ont une structure identique et contiennent les mêmes objets. Selon un mode de réalisation préférée, le module sûreté 20 est une carte électronique, par exemple au format PC, dont l'unité de traitement 21 est constitué par un microprocesseur ou un microcontrôleur. La liaison CN-sûreté 30 entre le module sûreté 20 et la commande numérique 10 peut indifféremment être soit réalisée par un bus ou liaison série spécifique à haut débit permettant par exemple d'échanger des trames supérieures à 200 octets toutes les 5 millisecondes, soit réalisée directement sur le bus interne de la commande numérique 10, lorsque par exemple la commande numérique 10 est également au format PC. L'intégrité de la liaison CN-sûreté 30 est contrôlée par les deux automates de sécurité 16,26 qui, en cas de défaut ou de discordance, déclenchent leurs actions de sécurité respectives. Bien qu'ils n'aient pas été représentés sur la figure 1, la commande numérique 10 et le module sûreté 20 comprennent les interfaces et les drivers de liaison nécessaires pour assurer la liaison CN-sûreté 30. Les entrées/sorties sûreté 29 sont des entrées/sorties qui sont jugées nécessaires pour assurer la sécurité de la machine 40. Selon le mode de réalisation préféré, elles correspondent aux mêmes signaux que les entrées/sorties sûreté 19. Les signaux d'entrées en provenance de certains capteurs de la machine 40 sont mis en parallèle pour être reçus simultanément par les entrées sûreté 19 et les entrées sûreté 29. Les signaux des sorties sûreté 19 et 29 sont mis en série pour être reliés à des actionneurs de la machine 40. On privilégie ainsi la sécurité car tout actionneur doit être commandé par une sortie 19 et par une sortie 29. Dans un autre mode de réalisation, on pourrait envisager de façon équivalente que les entrées/sorties sûreté 19 et les entrées/sorties sûreté 29 correspondent à des signaux différents provenant de capteurs ou d'actionneurs redondants sur la machine. Le système de sécurité comprend également dans chacun des variateurs de vitesse 41 de la commande numérique 10 un module de surveillance variateur 42. Ce module de surveillance 42 assure la redondance des mesures disponibles dans le variateur de vitesse 41, telles que vitesse et position de l'axe. Il permet aussi la redondance de certaines actions prises en charge par le variateur 41, comme le blocage des impulsions moteurs ou un freinage par court-circuit actif des phases moteur. Comme indiqué en figure 1, les variateurs de vitesse 41 sont reliés à la fonction de contrôle/commande 12 de la commande numérique 10 par une liaison variateur-CN 14 multipoints. De plus, les modules de surveillance variateur 42 sont reliés à l'unité de traitement 21 du module sûreté 20, par une liaison variateur-sûreté 24 distincte de la liaison variateur-CN 14, de façon à assurer une communication redondante avec les variateurs de vitesse 41 pilotant les axes de la machine 40. Cette liaison variateursûreté 24 est orientée pour la sécurité. Les informations concernant les axes de la machine 40 sont donc envoyées par la liaison variateur-CN 14 à la fonction de contrôle/commande 12 qui les charge dans la première table image 15. Parallèlement, ces informations sont envoyées par la liaison variateur-sûreté 24 à l'unité de traitement 21 qui les charge dans la seconde table image 25. Ainsi toute différence entre les deux tables images 15 et 25 pourra être détectée par l'un ou l'autre des automates de sécurité 16 ou 26. Le fonctionnement du système de sécurité va maintenant être décrit. La première table image 15 est rafraîchie avec des informations provenant de la fonction de contrôle/commande 12 connectée aux entrées/sorties 18,19 et avec des commandes provenant du premier automate de sécurité 16. La seconde table image 25 est rafraîchie avec des informations et des commandes provenant du second automate de sécurité 26 connecté aux entrées/sorties 29. Le premier automate de sécurité 16 envoie périodiquement le contenu de la première table image 15 au second automate de sécurité 26 et le second automate de sécurité 26 envoie périodiquement le contenu de la seconde table image 25 au premier automate de sécurité 16. Grâce à ces échanges d'informations croisés, les deux automates de sécurité 16,26 possèdent en permanence l'image des deux tables image 15,25. Ces deux tables images ayant une structure identique, leurs contenus doivent être égaux en fonctionnement normal. Le premier automate de sécurité 16 compare donc périodiquement le contenu de la seconde table image 25 avec le contenu de sa première table image 15. Lorsqu'une information contenue dans la seconde table image 25 diffère au-delà d'un certain seuil prédéterminé de la même information contenue dans la première table image 15, le premier automate de sécurité 16 peut engager une première action de défaut. Cette première action de défaut est transmise via la première table image 15 à la fonction de contrôle/commande 12 de la commande numérique 10 qui l'applique à la machine 40 et/ou aux variateurs 41 au moyen des entrées/sorties 18,19 et au moyen de la liaison variateur-CN 14. Réciproquement, le second automate de sécurité 26 compare périodiquement le contenu de la première table image 15 avec le contenu de sa seconde table image 25. Lorsqu'une information contenue dans la première table image 15 diffère au-delà d'un certain seuil prédéterminé de la même information contenue dans la seconde table image 25, le second automate de sécurité 26 peut engager une seconde action de défaut. Cette seconde action de défaut est appliquée à la machine 40 et/ou aux variateurs 41 au moyen des entrées/sorties sûreté 29 et au moyen de la liaison variateur-sûreté 24. Par ailleurs, les automates de sécurité 16, 26 peuvent aussi engager une action de défaut dès que la liaison CN-sûreté 30 n'est plus en mesure de leur permettre d'échanger les tables images 15,25. On assure ainsi une totale redondance de la gestion de la sécurité en utilisant des canaux séparés d'une part pour le traitement grâce aux deux automates de sécurité 16,26 totalement indépendants et d'autre part pour la prise d'informations des états de la machine et pour la mise en oeuvre des actions de défaut. Par ailleurs, étant donné que l'architecture proposée intègre une première table image 15 pour isoler et interface la fonction de contrôle/commande 12 avec le premier automate de sécurité 16 de la commande numérique 10, ceci préserve complètement l'indépendance entre la fonction de contrôle/commande 12 et l'automate de sécurité 16. Ceci est avantageux car les développements sont ainsi découplés et, par exemple, une évolution de la fonction de contrôle/commande 12 n'oblige pas nécessairement de refaire une validation des automates de sécurité. L'unité de traitement 11 de la commande numérique 10 et l'unité de traitement 21 du module sûreté 20 peuvent s'appuyer sur des microprocesseurs ou des microcontrôleurs différents. En conséquence, le codage du premier automate de sécurité 16 exécuté par l'unité de traitement 11 peut être différent du codage du second automate de sécurité 26 exécuté par l'unité de traitement 21. Ceci contribue à donner une garantie supplémentaire sur l'indépendance des traitements chargés d'assurer la sécurité. Un système de sécurité tel que décrit dans ce document peut être intégré de base dans une commande numérique conçue pour la sécurité. Il présente cependant l'avantage supplémentaire de pouvoir aussi être implanté sur une commande numérique existante. Pour cela, il faut ajouter un module sûreté 20 spécifique et implanter un premier automate de sécurité 16 et une première table image 15 dans une commande numérique 10. Les modifications sur la fonction de contrôle/commande 12 existante de la commande numérique 10 portent principalement sur l'accès à cette première table image 15. kl faut également ajouter un module de surveillance variateur 42, muni d'une liaison 24, dans chaque variateur existant 41. Enfin, on peut rattacher les entrées/sorties sûreté 29 aux entrées/sorties sûreté 19 existantes en mettant les entrées en parallèle et les sorties en série. Il est bien entendu que l'on peut, sans sortir du cadre de l'invention, imaginer d'autres variantes et perfectionnements de détail et de même envisager l'emploi de moyens équivalents. REVENDICATIONS 1. Système de sécurité pour une commande numérique (10) possédant une unité de traitement (11) chargée notamment d'effectuer au moins une fonction de contrôle/commande (12) d'une machine (40), grâce à des entrées/sorties (18) correspondant à des capteurs/actionneurs de la machine (40) et incluant des entrées/sorties sûreté (19), et grâce à une liaison variateur-CN (14) reliant la commande numérique (10) à au moins un variateur de vitesse (41) pour le pilotage d'au moins un axe machine, caractérisé par le fait que le système de sécurité comprend : un premier automate de sécurité (16) implanté dans la commande numérique (10), une première table image (15) implantée dans la commande numérique (10), accessible par la fonction de contrôle/commande (12) de la commande numérique (10) et par le premier automate de sécurité (16), et contenant des objets représentatifs de la machine (40) à contrôler, - un module sûreté (20) possédant sa propre unité de traitement (21) et relié à la commande numérique (10) par une liaison CN-sûreté (30), un second automate de sécurité (26) implanté dans le module sûreté (20) comprenant des entrées/sorties sûreté (29) de la machine et apte à échanger des informations avec le premier automate de sécurité (16) par la liaison CN-sûreté (30), une seconde table image (25) implantée dans le module sûreté (20), accessible par le second automate de sécurité (26). 2. Système de sécurité selon la revendication 1, caractérisé par le fait que la seconde table image (25) a une structure identique à la première table image (15). 3. Système de sécurité selon la revendication 2, caractérisé par le fait qu'il comprend également, dans chacun du (des) variateur (s) de vitesse (41) relié (s) à la commande numérique (10), un module de surveillance variateur (42) exerçant des fonctions de mesures et de commandes redondantes sur le variateur de vitesse (41). 4. Système de sécurité selon la revendication 3, caractérisé par le fait que le (s) module (s) de surveillance variateur (42) est (sont) relié (s) au module sûreté (20) par une liaison variateur-sûreté (24), distincte de la liaison variateur-CN (14). 5. Système de sécurité selon la revendication 2, caractérisé par le fait que le premier automate de sécurité (16) est exécuté par l'unité de traitement (11) de la commande numérique (10). 6. Système de sécurité selon la revendication 5, caractérisé par le fait que le second automate de sécurité (26) est exécuté par l'unité de traitement (21) du module de sûreté (20). 7. Système de sécurité selon la revendication 2, caractérisé par le fait que le module sûreté (20) comprend une carte électronique, compatible au format PC. 8. Système de sécurité selon la revendication 2, caractérisé par le fait que le module sûreté (20) est raccordé sur le bus interne de la commande numérique. 9. Système de sécurité selon l'une des revendications précédentes, caractérisé par le fait que le premier automate de sécurité (16) envoie périodiquement le contenu de la première table image (15) au second automate de sécurité (26), et par le fait que le second automate de sécurité (26) envoie périodiquement le contenu de la seconde table image (25) au premier automate de sécurité (16). 10. Système de sécurité selon la revendication 9, caractérisé par le fait que le premier automate de sécurité (16) compare périodiquement le contenu de la seconde table image (25) avec le contenu de la première table image (15) et peut engager une première action de défaut en cas de différence entre ces contenus. 11. Système de sécurité selon la revendication 10, caractérisé par le fait que le second automate de sécurité (26) compare périodiquement le contenu de la première table image (15) avec le contenu de la seconde table image (25) et peut engager une seconde action de défaut en cas de différence entre ces contenus. 12. Commande numérique caractérisée par le fait qu'elle comporte un système de sécurité selon l'une des revendications précédentes.