Brevet FR2841007A1 — publié le 20031219

P10-1456 - FR v - La presente invention se rapporte a un systeme de communication de securite permettant de faire circuler des informations de securite sur plusieurs bus de communication, de type bus de terrain ou bus capteurs/actionneurs. Ce systeme de communication de securite est particulierement adapte aux applications d'automatisme reparties, notamment dans le domaine des automatismes industrials, des automatismes du batiment et du controle/commande de reseaux de distribution electrique. Les bus de communication de terrain vent actuellement frequemment utilises dans des applications d'automatisme reparties. Ces applications d'automatisme vent generalement pilotees et surveillees par un ou plusieurs equipements d'automatisme, tels que des automates programmables, auxquels vent connectes un ou plusieurs bus de communication de terrain, par exemple par l'intermediaire d'un coupleur matre. Un automate programmable controlant une application d'automatisme ou une partie d'une application d'automatisme (appelee lot d'automatisme) peut ainsi etre connecte via le bus a des constituents d'automatisme qui vent avantageusement deportee le long du process ou de la machine a automatiser de fa,con a reduire les distances de cablage et a optimiser les modules d'entrees/sorties dans ['automate programmable. L'utilisation d'un ou plusieurs bus de communication de terrain pour communiquer entre equipements d'automatisme et constituents d'automatisme permet ainsi de simplifier considerablement la mise en ceuvre et le raccordement des constituents d'automatismes deportee. Parmi ces constituents d'automatisme, on trouve par exemple des capteurs, des actionneurs, des variateurs de vitesse, des modules d'automatisme, des constituents de dialogue homme-machine, tels que boutons, commutateurs, voyants, afficheurs, etc... La connexion de tels constituents d'automatismes a un bus de communication est alors soit faite de fa,con directe via une interface integree dans le constituent, soit realisee au travers d'interfaces de communication banalisees. Jusqu'a present, les informations de securite issues des constituents de securite, tels que boutons d'arret d'urgence, barrieres immaterielles de securite, detecteurs de controles d'acces,..., etaient exclues du bus de communication car ces constituents de securite devaient etre raccordes directement en cablage conventionnel dans le circuit puissance, entranant des surcoOts importants pour la mise en cauvre i de ['application d'automatisme. Grace desormais a la fiabilite accrue des echanges d'informations sur les bus de terrain, due notamment a l'utilisation de mecanismes de reconnaissance et de correction d'erreurs, la connexion de tels constituents de securite sur des bus de communication de terrain devient possible et constitue un apport important permettant de couvrir un nombre croissant d'applications d'automatisme orientees securite. II existe en effet des bus de communication de terrain sur lesquels on peut simultanement connecter des constituents de securite cohabitant avec des modules et constituents ordinaires. Ainsi, tous les constituents d'automatisme repartis dans un lot d'automatisme peuvent se connecter via un bus de communication a un equipement d'automatisme matre. Dans ce type d'architecture, il existe alors au moins un constituent de securite particulier appele moniteur de securite. Le moniteur de securite, qui est connecte au bus de terrain, comporte une unite de traitement propre lui permettant d'analyser la forme et le contenu des signaux circulant sur le bus. Le moniteur de securite pilote une ou plusieurs sorties dediees permettant par exemple en cas de defaut de couper la puissance sur tout ou partie de la machine. Des lors, pour assurer efficacement une fonction de securite, le moniteur de securite doit etre capable de declencher ses sorties des qutil detecte: soit une erreur dans les differents echanges d'informations circulant sur le bus, soit un ordre d'arret provenant d'un constituent de securite connecte au bus, soit une defaillance materielle d'un constituent de securite connecte au bus. Le bus de terrain AS-i (Actuator Sensor Interface) est un bus de terrain standardise, developpe par un consortium de constructeurs et repondant aux normes EN50295 et IEC62026-2, qui permet le raccordement de nombreux types de constituents d'automatisme, de type capteurs/actionneurs principalement binaires, a un coupleur matre situe, par exemple, dans un automate programmable. La fiabilite des transmissions de donnees sur le bus AS-i rendent possibles le raccordement de constituents d'automatisme ordinaires et de constituents de securite sur un meme bus AS-i de man iere a pouvoir real iser des applications d'automatis me orientees securite jusqu'a un niveau 4 selon la norme IEC61508 a partir d'un bus AS- i standard. Pour cela, il faut connecter sur le bus AS-i au moins un moniteur de securite tel que defini ci-dessus. Les sorties du ou des moniteurs de securite vent parametrees par un utilisateur de fa,con a ce que chaque moniteur de securite soit capable de gerer un ou plusieurs des constituents de securite connectes a ce meme bus AS-i, sans intervention du coupleur maftre de ce bus. Cependant, les bus de terrain vent generalement limites en distance et en nombre maximum de constituents connectables. Ces limitations necessitent d'utiliser parfois plusieurs bus de communication pour des applications d'automatisme complexes ou reparties sur des distances importantes. Dans ce genre d'application d'automatisme, on peut souhaiter conserver des fonctions de securite tout au long du process ou de la machine a automatiser. C'est le cas par exemple lorsque l'on veut qu'une action sur un bouton d'arret d'urgence, situe a une extremite de la machine, arrete de fa,con securitaire un moteur situe a l'autre extremite. Or, la securite des informations ne peut etre garantie que si la chane complete de communication est sOre et gable: a savoir depuis la prise d'informations sur le bouton d'arret d'urgence jusqu'a l'actionneur pilotant le moteur a arreter. En consequence, si la distance est trop grande ou si le nombre de constituents est trop important, il stavere alors indispensable de faire transiter les informations de securite a travers plusieurs bus de terrain, par l'intermediaire de plusieurs coupleurs mafires, voire a travers plusieurs automates programmables relies en reseau. De telles solutions pourraient alors necessiter la mise en redondance de differents coupleurs maftres ou automates programmables eVou l'utilisation de materiels specifiques, entrainant des complexites et des surcoGts penalisants. L'invention a done pour but de remedier a ces inconvenients en proposant un systeme de communication de securite permettant de faire transiter, de fa,con simple, facile a mettre en cauvre et peu coOteuse, des informations de securite sur plusieurs bus de communication, de type bus de terrain ou bus capteurs/actionneurs, sans passer par les coupleurs maftres de ces bus. Pour cela, I'invention decrit un systeme de communication de securite dans une application d'automatisme comprenant un bus de communication amont sur lequel est connecte au moins un moniteur de securite amont muni de plusieurs sorties pilotees par le moniteur de securite amont et un bus de communication aval sur lequel vent connectes i) un module d'entrees de securite aval muni de plusieurs entrees et capable de generer sur le bus de communication aval un signal de securite aval representatif de ltetat d esdites entrees, et ii) u n moniteur de secu rite ava l recevant led it signal de securite et muni de plusieurs sorties qui vent pilotables par le moniteur de securite aval en fonction audit signal de securite aval. Le systeme se caracterise par le fait que des sorties du moniteur de securite amont vent raccordees a des entrees du module d'entrees de securite aval dans le but de piloter au moins une sortie du moniteur de securite aval en fonction de l'etat des sorties du moniteur de securite amont raccordees aux entrees du module d'entrees de securite aval. Selon une caracteristique, deux sorties du moniteur de securite amont vent electriquement raccordees respectivement a deux entrees du module d'entrees de securite aval. D'autres caracteristiques et avantages vont apparatre dans la description detaillee qui suit en se referent a des modes de realisation donnes a titre d'exemple et representes par les dessins annexes sur lesquels: - la figure 1 decrit un premier exemple d'architecture d'un systeme de communication selon ['invention, - la figure 2 represente un second exemple d'architecture d'un systeme de communication selon ['invention, les figures 3 et 4 montrent des variantes du premier exemple d'architecture. En reference a la figure 1, une application d'automatisme repartie 5 est pilotee par deux lots d'automatisme A et B. Cette application d'automatisme 5 peut indifferemment appartenir au domaine des automatismes industrials, des automatismes du batiment, du controle/commande de reseaux de distribution electrique ou autres. Le premier lot d'automatisme amont A comporte un automate programmable amont 10 et un bus de communication de terrain amont 19 connecte a ['automate programmable 10, par l'intermediaire d'un coupleur matre, non represente dans la figure 1. De meme, le second lot d'automatisme aval B comporte un automate programmable aval 20 et un bus de communication de terrain aval 29 connecte a I'automate programmable 20, par l'intermediaire d'un coupleur matre, non represente dans la figure 1. Chaque automate programmable 10,20 peut eventuellement comporter plusieurs coupleurs matres de facon a communiquer sur plusieurs bus de communication de terrain. Chaque automate programmable 10,20 peut par ailleurs etre raccorde a un reseau de communication 6, de type reseau usine, utilise notamment pour la communication entre lots et pour la remontee d'informations vers un niveau central de supervision. Un certain nombre de constituents d'automatisme 18, respectivement 28, vent implantes le long de ['application d'automatisme 5 a piloter et vent connectes a l'un des bus de communication 19, respectivement 29, en tent qu'esclaves ce qui leur permet d'echanger des informations avec les coupleurs matres des automates programmables 10, respectivement 20, en limitant ainsi les distances de c3blage. Parmi ces constituents d'automatisme 18,28 on peut trouver indifferemment des capteurs, des actionneurs, des variateurs de vitesse, des modules d'automatisme, des constituents de dialogue homme-machine, etc... ainsi que des modules d'entrees de securite 15,25, tels que boutons d'arret d'urgence, barrieres immaterielles de securite, detecteurs de controles d'acces, etc... De fa,con connue, un module d'entrees de securite est capable de generer sur un bus de communication un signal de securite qui est representatif de l'etat de ses entrees. Pour etre conforme aux normes de securite, un module d'entrees de securite doit comporter au moins deux entrees. Dans ltexemple d'un bus de communication de terrain AS-i, ce signal de securite est constitue d'une sequence ordonnee de plusieurs frames de quatre bits qui circulent de fa,con ordonnee et cyclique sur le bus. Le contenu de chaque sequence de frames est specifique a un module d'entrees de securite determine, de sorte que tout recepteur d'un signal de securite est en mesure d'identifier la provenance de ce signal, apres une periode initiale d'apprentissage. Avantageusement, dans un bus AS-i, des signaux de securite peuvent ainsi cohabiter su r le meme bus avec d'autres sig naux em is par des constituents d 'automatismes ordinaires. Un moniteur de securite est un constituent d'automatisme qui comporte une unite de traitement apte a piloter des sorties de securite propres. L'unite de traiternent est capable de recevoir des signaux de securite circulant sur le bus de communication et de les analyser pour detecter une anomalie dans la sequence des frames, afin de piloter ses sorties de securite en fonction de cette analyse. Pour etre conforme aux normes de securite, un moniteur de securite doit piloter au moins deux sorties de securite. Par parametrage, un utilisateur peut affecter a un moniteur de securite un ou plusieurs modules d'entrees de securite, localises par exemple au moyen de leur adresse physique sur le bus. De plus, un moniteur de securite espionne tous les signaux echanges sur le bus de maniere a etre capable de detecter toute erreur dans le fonctionnement du bus de communication. Ainsi, un moniteur de securite doit etre capable de commander le declenchement de ses sorties de securite des que: - un ordre d'arret est detecte dans le signal de securite provenant d'un module d'entrees de securite affecte au moniteur de securite, - une erreur est detectee (ctest-a-dire une interruption de sequence ou une sequence erronee) dans le signal de securite provenant d'un module d'entrees de securite affecte au moniteur de securite, - une erreur est detectee dans les communications du bus. Un moniteur de securite amont 12 est connecte au bus de communication amont 19 et possede au moins deux sorties de securite amont 13. Selon le mode de realisation presente en figure 1, les sorties de securite 13 vent deux sorties a relais a securite positive, qui vent integrees dans le moniteur de securite amont 12. On pourrait egalement envisager des sorties de securite appartenant a un module de sorties de securite propre, connecte au bus de communication et dialoguant avec le moniteur de securite au moyen du bus. Le moniteur de securite amont 12 pilote ses sorties de securite 13 en fonction d'un parametrage effectue initialement par l'utilisateur. Un module d'entrees de securite amont 15, qui est un bouton d'arret d'urgence dans ltexemple de la figure 1, est connecte au bus de communication amont 19. Ce module d'entrees de securite amont 15 envole une sequence de frames determinee tent que le bouton d'arret d'urgence n'est pas enforce. Un moniteur de securite aval 22 est connecte au bus de communication aval 29 et possede au moins deux sorties de securite aval 23. Le systeme de communication comporte egalement un module d'entrees de securite aval 25 connecte au bus de communication aval 29. Le moniteur de securite aval 22 est parametre pour surveiller notamment le module d'entrees de securite aval 25. Le but de ['invention est de pouvoir transmettre une information de securite generee sur le bus de communication amont 19 vers le bus de communication aval 29. Pour cela, les sorties de securite amont 13 vent raccordees une a une aux entrees du module d'entrees de securite aval 25. Ainsi, tout changement d'etat d'au moins une sortie de securite amont 13 va provoquer un changement d'etat de ['entree du module qui lui est raccordee. La securite des informations est maintenue puisque, en utilisant deux sorties et deux entrees, on conserve toujours une redondance des informations. Selon le mode de realisation de la figure 1, les sorties de securite amont 13 vent electriquement cablees par une liaison filaire 39 aux entrees du module d'entrees de securite aval 25. Si le moniteur de securite amont 12 est. par exemple, parametre pour surveiller le module d'entrees de securite amont 15, alors au moment d'un appui sur le bouton d'arret d'urgence, le module d'entrees de securite amont 15 transmet cette information sur le bus de communication amont 19 via une modification du signal de securite re,cu par le moniteur de securite amont 12. Celui-ci declenche alors au moins une de ses sorties de securite amont 13 ce qui provoque en consequence le changement d'etat des entrees du module d'entrees de securite aval 25 correspondent. Le module d'entrees de securite aval 25 transmet cette information sur le bus de communication aval 29 via une modification du signal de securite qui va etre re,cu par le moniteur de securite aval 22, lequel peut alors declencher au moins une de ses sorties de securite aval 23. Ainsi, une action sur un bouton d'arret d'urgence connecte a un premier bus de communication entrane de maniere securitaire le declenchement automatique de sorties connectees sur un second bus de communication. On pourrait envisager de fa,con equivalente que le moniteur de securite amont 12 soit parametre pour pouvoir surveiller de meme tout autre constituent de securite connecte sur le bus de communication amont 19. Dans la variante de la figure 3, ou par exemple ['application d'automatisme 5 est geree par plus que deux floss d'automatisme, on souhaite faire transiter des informations de securite d'un bus de communication amont 19 vers plusieurs bus de communication aval 29,49. Pour cela, un second moniteur de securite amont 12" est connecte sur le bus de communication amont 19. Ce second moniteur 12" pilote des sorties 13" qui vent raccordees par liaison filaire a des entrees d'un module d'entrees de securite 45 lequel est connecte sur le bus de communication 49. II est evident que ['invention permettrait aussi de faire transiter une meme information de securite sur plusieurs bus de communication chanes en cascade. Pour cela, il suffirait de i raccorder les sorties d'un moniteur de securite aval 23 sur des entrees d'un module d'entrees de securite connecte a un troisieme bus de communication, et ainsi de suite. Dans la variante de la figure 4, on souhaite faire passer des informations de securite de fa,con reciproque non seulement du bus de communication amont 19 vers le bus de communication aval 29 comme dans ltexemple de la figure 1, et mais aussi du bus de communication aval 29 vers le bus de communication amont 19. Pour cela, un second moniteur de securite aval 22' est connecte sur le bus de communication aval 29 et pilote des sorties 23'. Un module d'entrees de securite amont 15' comprenant plusieurs entrees est connecte au bus de communication amont 19 et est capable de generer sur le bus un signal de securite amont representatif de l'etat desdites entrees. Les sorties 23' du moniteur de securite aval 22' vent raccordees respectivement a des entrees du module d'entrees de securite amont 15' dans le but de pouvoir piloter au moins une sortie 13' d'un moniteur de securite amont 12', connecte au bus de communication amont 19, en fonction de l'etat des sorties 23' raccordees aux entrees du module d'entrees de securite amont 15'. L'architecture presentee en figure 2 decrit un autre mode de realisation du systeme de communication de securite reprenant les caracteristiques de ['architecture de la figure 1. Ce mode de realisation comporte un repeteur de securite 30 possedant des connexions sur le bus de communication amont 19 et sur le bus de communication aval 29. Le repeteur de securite 30 integre dans un meme botier les fonctionnalites d'un moniteur de securite amont 12 avec ses sorties de securite 13 et d'un module d'entrees de securite aval 25.11 comporte un premier etage 31 qui realise la fonction d'un moniteur de securite connecte au bus de communication amont 19 et qui pilote deux sorties internee 32. Celles-ci vent raccordees une a une a des entrees 33 d'un deuxieme etage 34 qui realise la fonction d'un module d'entrees de securite connecte au bus de communication aval 29. Les sorties internee 32 vent indifferemment realisees dans une technologie de sorties a relais, de sorties optoelectroniques, de sorties infrarouges, ou autres, de telle fa,con que le repeteur de securite 30 puisse assurer ['isolation galvanique entre les deux bus de communication de terrain 19 et 29. Ainsi, grace a un tel repeteur de securite 30 con,cu dans un seul botier et muni de deux ports de connexion, on simplifie avantageusement la realisation d'un systeme de communication de securite selon ['invention, permettant de transmettre des informations de security entre un premier et un second bus de communication de terrain, par example de type AS-i. 11 est bien entendu que l'on pent, sans sortir du cadre de ['invention, imaginer d'autres variantes et perfectionnements de detail et de meme envisager l'emploi de moyens equivalents. REVENDICATIONS 1. Systeme de communication de securite dans une application d'automatisme (5), comprenant: - un bus de communication amont (19) sur loquel est connecte au moins un moniteur de securite amont (12) muni de plusieurs sorties (13) pilotees par le moniteur de securite amont (12), - un bus de communication aval (29) sur lequel vent connectes un module d'entrees de securite aval (25) muni de plusieurs entrees et capable de generer sur le bus de communication aval (29) un signal de securite aval representatif de ltetat desdites entrees, et un moniteur de securite aval (22) recevant ledit signal de securite et muni de plusieurs sorties (23) qui vent pilotables par le moniteur de securite aval (22) en fonction audit signal de securite aval, caracterise par le fait que des sorties (13) du moniteur de securite amont (12) vent raccordees a des entrees du module d'entrees de securite aval (25) dans le but de piloter au moins une sortie (23) du moniteur de securite aval (22) en fonction de ltetat des sorties (13) du moniteur de securite amont (12) raccordees aux entrees du module d'entrees de securite aval (25). 2. Systeme de communication de securite selon la revendication 1, caracterise par le fait que deux sorties (13) du moniteur de securite amont (12) vent electriquement raccordees respectivement a deux entrees du module d'entrees de securite aval (25). 3. Systeme de communication de securite selon la revendication 1, caracterise par le fait que le moniteur de securite amont (31) et le module d'entrees de securite aval (34) vent integres dans un repeteur de securite (30) comprenant un botier commun connecte au bus de communication amont (19) et au bus de communication aval (29). 4. Systeme de communication de securite selon la revendication 1, caracterise par le fait qu'un module d'entrees de securite amont (15), connecte sur le bus de communication amont (19) et muni de plusieurs entrees, est capable de generer sur le bus de communication amont (19) un signal de securite amont representatif de l'etat desdites entrees, le signal de securite amont etant re,cu par le moniteur de securite amont (12) dans le but de piloter les sorties (13) du moniteur de securite amont (12). 5. Systeme de communication de securite selon la revendication 1, comprenant: - au moins un moniteur de securite aval (22') connecte au bus de communication aval (29) et muni de plusieurs sorties (23') pilotees par le moniteur de securite aval (22'), - un module d'entrees de securite amont (15') connecte au bus de communication amont (19) et muni de plusieurs entrees et capable de generer sur le bus de communication amont (19) un signal de securite amont representatif de l'etat desdites entrees, - un moniteur de securite amont (12') connecte au bus de communication amont (19), recevant ledit signal de securite et possedant plusieurs sorties (13') qui vent pilotables par le moniteur de securite amont (12') en fonction audit signal de securite amont, caracterise par le fait que des sorties (23') du moniteur de securite aval (22') vent raccordees respectivement a des entrees du module d'entrees de securite amont (15') dans le but de piloter au moins une sortie (13') du moniteur de securite amont (12') en fonction de l'etat des sorties (23') du moniteur de securite aval (22') raccordees aux entrees du module d'entrees de securite amont (15'). 6. Systeme de communication de securite selon la revendication 1, comprenant plusieurs moniteurs de securite amont (12,12") connectes au bus de communication amont (19) et comprenant plusieurs bus de communication aval (29,49) sur chacun desquels vent connectes un module d'entrees de securite aval (25,45) et un moniteur de securite aval, caracterise par le fait que des sorties (13,13") de chaque moniteur amont (12,12") vent raccordees respectivement a des entrees du module d'entrees aval (25,45) de cheque bus de communication aval (29,49) dans le but de piloter au moins une sortie de cheque moniteur aval en fonction de l'etat des sorties (13,13") des moniteurs amont. 7. Systeme de communication de securite selon l'une des revendications precedentes, caracterise par le fait les signaux de securite generes par les i modules d'entrees de securite aval et amont vent composes d'une sequence ordonnee de plusieurs frames, specifique a chaque module d'entrees de securite. 8. Systeme de communication de securite selon l'une des revendications precedentes, caracterise par le fait que le bus de communication amont (19) et