Brevet FR3130410A1 — publié le 20230616

Système pour la conduite et l’aide à la conduite d’un processus industriel et procédé associé Un aspect de l’invention concerne un système à haute disponibilité comprenant : Une pluralité de postes opérateurs affichant des informations ; Un premier sous-système pour la conduite d’un processus industriel fonctionnant cycliquement et comprenant : Un module d’interface configuré pour collecter des données chacune associée à un instant d’acquisition, fonctionnant en redondance asynchrone ; Un premier module de traitement configuré pour trier les données reçues en fonction de leur instant d’acquisition et calculer des premières informations, fonctionnant en redondance active ; Un premier module de gestion des postes opérateurs configuré pour envoyer aux postes opérateurs, chaque première information ; Un premier réseau de communication doublé configuré pour gérer les échanges dans le premier sous-système ; Un deuxième sous-système pour l’aide à la conduite, comprenant : Un deuxième module de traitement configuré pour calculer des deuxièmes informations à partir des données et des premières informations, fonctionnant en redondance active ; Un deuxième module de gestion des postes opérateurs configuré pour envoyer aux postes opérateurs chaque deuxième information ; Un deuxième réseau de communication doublé configuré pour gérer les échanges dans le deuxième sous-système ; Un dispositif de séparation configuré pour gérer les échanges entre le premier sous-système et le deuxième sous-système. Système pour la conduite et l’aide à la conduite d’un processus industriel critique et procédé associé DOMAINE TECHNIQUE DE L’INVENTION Le domaine technique de l’invention est celui des systèmes et procédés de pour la conduite et l’aide à la conduite d’un processus industriel et plus particulièrement celui des systèmes et procédés pour la conduite et l’aide à la conduite d’un processus industriel critique. La présente invention concerne un système pour la conduite et l’aide à la conduite d’un processus industriel critique. La présente invention concerne également un procédé de conduite d’un processus industriel mis en œuvre par le système, et un produit-programme d’ordinateur. ARRIERE-PLAN TECHNOLOGIQUE DE L’INVENTION Pour la conduite de processus industriels fonctionnant en continu, comme par exemple le processus de triage dans une gare de triage ou encore le processus automatique de fabrication d’un dispositif dans une usine, il est courant d’avoir recours à une architecture SCADA (pour « Supervisory Control And Data Acquisition ») réalisant l’acquisition de données et la commande en temps réel d’un processus industriel via des automates programmables industriels, en calculant à partir des données acquises, des informations sur l’état du processus industriel utilisées pour sa commande et sa supervision. Pour assurer la sûreté du processus industriel et donc plus particulièrement dans le cas de la conduite de processus industriels critiques, comme par exemple le processus de gestion de la fourniture d’énergie par un réseau électrique ou par une centrale de production d’énergie électrique, l’architecture doit répondre à plusieurs exigences de sûreté, stipulées par exemple par la classe 2 selon IEC 61513 ou SIL2 selon IEC 61508. En particulier, l’architecture doit être fiable, à haute disponibilité, c’est-à-dire entièrement redondante et permettant de répondre à des exigences de disponibilité sur une période ayant une durée supérieure à une dizaine d’années, capable d’échanger un grand nombre d’informations, typiquement de l’ordre de 60 000 informations élémentaires et 20 000 commandes numériques, et de calculer un grand nombre d’informations, typiquement plus de 50 000 informations, dans des temps de traitement de quelques centaines de millisecondes à 2 ou 3 secondes et de mettre à disposition ces informations de manière centralisée et en cohérence temporelle au niveau des postes opérateurs. Pour répondre à ces exigences de sûreté, il est connu d’utiliser des systèmes de haut niveau de sûreté complémentaires au système principal de conduite, tels que les systèmes SPDS pour « Safety Parameter Display System » configurés pour afficher les informations essentielles pour la sûreté de fonctionnement, éventuellement couplés à un panneau de repli permettant de mettre le processus en état sûr de repli en cas de panne du système principal de conduite. Cependant, de tels systèmes ont une capacité de surveillance limitée, de l’ordre de 1000 à 3000 informations, et ne permettent pas de passer des commandes vers le processus. Ils ne sont donc pas adaptés à la conduite de gros processus industriels critiques. Il existe donc un besoin d’un système pour la conduite d’un processus industriel critique répondant aux exigences de sûreté précitées et ne nécessitant pas de systèmes de sureté complémentaires. L’invention offre une solution aux problèmes évoqués précédemment, en proposant un système de conduite d’un processus industriel à haute disponibilité, fiable, et fournissant de manière centralisée aux postes opérateurs des informations cohérentes et fiables en temps réel. Un premier aspect de l’invention concerne un système pour la conduite et l’aide à la conduite d’un processus industriel critique comprenant : Un premier ensemble de postes opérateurs comprenant chacun une interface graphique et étant chacun configuré pour : recevoir des consignes d’un opérateur via l’interface graphique ; afficher à un instant courant et sur demande de l’opérateur, des premières informations d’un sous-ensemble d’informations, le sous-ensemble d’informations étant compris dans un ensemble d’informations relatives au processus industriel, l’ensemble d’informations comprenant un groupe d’informations pour chaque instant d’acquisition d’une pluralité d’instants d’acquisition précédant l’instant courant, chaque groupe d’informations comprenant des premières informations pour la conduite du processus industriel et des deuxièmes informations pour l’aide à la conduite du processus industriel ; Un deuxième ensemble de postes opérateurs chacun configuré pour afficher à l’instant courant et sur demande de l’opérateur, les deuxièmes informations du sous-ensemble d’informations ; Un premier sous-système pour la conduite du processus industriel présentant un fonctionnement cyclique, un deuxième sous-système pour l’aide à la conduite du processus industriel présentant un fonctionnement événementiel et un dispositif de séparation unidirectionnel compris dans le premier sous-système et dans le deuxième sous-système, comportant un couple de calculateurs ; Le premier sous-système comprenant : Un module d’interface configuré pour collecter d’une pluralité d’automates programmables industriels présentant chacun un modèle d’automate, des données, chaque donnée étant associée à un instant d’acquisition de la pluralité d’instants d’acquisition, le module d’interface comportant au moins un couple de calculateurs pour chaque modèle d’automate, chaque calculateur du couple de calculateurs étant configuré pour : collecter chaque donnée reçue par chaque automate présentant le modèle d’automate et éliminer chaque donnée reçue en double ; envoyer à au moins un automate, au moins une commande dépendant des données collectées et/ou de consignes fournies par l’opérateur ; les calculateurs du module d’interface fonctionnant en redondance asynchrone ; Un premier module de traitement comportant un couple de calculateurs, chaque calculateur du couple de calculateurs étant configuré pour : recevoir de chaque calculateur du module d’interface, les données collectées ; trier les données reçues en fonction de leur instant d’acquisition et éliminer les données reçues en double ; calculer pour chaque instant d’acquisition, les premières informations du groupe d’informations correspondant, à partir des données triées correspondantes ; envoyer à chaque calculateur du dispositif de séparation, chaque première information calculée ; Les calculateurs du premier module de traitement fonctionnant en redondance active ; Un premier module de gestion des postes opérateurs comportant un calculateur pour chaque poste opérateur du premier ensemble de postes opérateurs, chaque calculateur étant configuré pour : recevoir chaque première information calculée ; envoyer au poste opérateur correspondant, chaque première information correspondant au sous-ensemble d’informations demandé ; gérer l’interface graphique du poste opérateur correspondant ; Un premier réseau de communication doublé présentant une première voie et une deuxième voie distincte comprenant un premier module de redondance réparti sur chaque calculateur du premier sous-système, chaque calculateur du premier sous-système étant configuré pour : envoyer au premier module de redondance, chaque message destiné à au moins un autre calculateur du premier sous-système, simultanément sur la première voie et la deuxième voie ; recevoir chaque message qui lui est destiné du premier module de redondance et envoyer un acquittement au premier module de redondance ; le premier module de redondance étant configuré pour : recevoir le message envoyé via la première voie et/ou via la deuxième voie ; effacer le message reçu via la deuxième voie si le message a été reçu via la première voie ; modifier le message reçu en ajoutant une demande d’acquittement ; diffuser vers l’autre calculateur du premier sous-système, le message modifié, simultanément sur la première voie et la deuxième voie ; le deuxième sous-système comprenant : Un deuxième module de traitement comportant un couple de calculateurs, chaque calculateur du couple de calculateurs étant configuré pour : recevoir de chaque calculateur du dispositif de séparation, les données collectées et les premières informations calculées ; éliminer les données et les premières informations reçues en double ; calculer pour chaque instant d’acquisition, les deuxièmes informations du groupe d’informations correspondant, à partir des données et des premières informations triées correspondantes ; les calculateurs du deuxième module de traitement fonctionnant en redondance active ; Un deuxième module de gestion des postes opérateurs comportant un calculateur pour chaque poste opérateur du deuxième ensemble de postes opérateurs, chaque calculateur étant configuré pour : recevoir chaque deuxième information calculée ; envoyer au poste opérateur correspondant, chaque deuxième information correspondant au sous-ensemble d’informations demandé ; gérer l’interface graphique du poste opérateur correspondant ; Un deuxième réseau de communication doublé présentant une première voie et une deuxième voie distincte, comprenant un deuxième module de redondance réparti sur chaque calculateur du deuxième sous-système, chaque calculateur du deuxième sous-système étant configuré pour : envoyer au deuxième module de redondance, chaque message destiné à au moins un autre calculateur du deuxième sous-système, simultanément sur la première voie et la deuxième voie ; recevoir chaque message qui lui est destiné du deuxième module de redondance et envoyer un acquittement au deuxième module de redondance ; le deuxième module de redondance étant configuré pour : recevoir le message envoyé via la première voie et/ou via la deuxième voie ; effacer le message reçu via la deuxième voie si le message a été reçu via la première voie ; modifier le message reçu en ajoutant une demande d’acquittement ; diffuser vers l’autre calculateur du deuxième sous-système, le message modifié, simultanément sur la première voie et la deuxième voie. Grâce à l’invention, le système est séparé en deux sous-systèmes distincts par un dispositif de séparation, le premier sous-système regroupant les fonctionnalités nécessaires à la conduite et le deuxième sous-système regroupant les fonctionnalités d’aide à la conduite moins exigeantes en termes de sûreté, ce qui permet de limiter les informations à gérer par le premier sous-système et ainsi de mettre en œuvre un fonctionnement cyclique pour acquérir et calculer systématiquement à chaque cycle toutes les informations essentielles, tout en restant compatible avec les puissances atteignables par la technologie courante des calculateurs. Ce fonctionnement cyclique permet de garantir à la fois la prédictibilité des temps de réponse et aussi la fiabilité des informations traitées. La séparation des fonctionnalités permet aussi de faciliter la qualification du système en réduisant le volume de travail nécessaire aux démonstrations de sûreté. Le dispositif de séparation permet d’envoyer toutes les informations acquises et calculées par le premier sous-système vers le deuxième sous-système, et le deuxième sous-système détectant les changements de valeurs pour fonctionner en mode événementiel. Etant unidirectionnel, le dispositif de séparation permet de garantir que les éventuelles défaillances du deuxième sous-système ne nuisent pas au fonctionnement fiable du premier sous-système. Le couplage des deux sous-systèmes via le dispositif de séparation permet d’avoir une conduite centralisée et assise de chaque opérateur sur un poste opérateur regroupant par juxtaposition des écrans rafraîchis séparément par chacun des deux sous-systèmes. Au sein du premier sous-système, un couple de calculateurs du module d’interface récupère les données acquises par une unique technologie d’automate et élimine les doublons, ce qui permet le découplage entre la gestion de la redondance de chaque technologie d’automate et la gestion de la redondance par le système selon l’invention. Au niveau du module d’interface, la redondance est assurée par chaque couple de calculateurs fonctionnant en redondance asynchrone, c’est-à-dire que chaque calculateur réalise les mêmes tâches sur les données qui lui sont affectées sans synchronisation avec les autres calculateurs. Le couple de calculateurs du premier module de traitement récupère les données acquises par chaque couple de calculateurs du module d’interface et les ordonne temporellement en supprimant les doublons, ce qui permet d’assurer la cohérence temporelle et l’unicité des données. Les informations nécessaires à la conduite du processus, appelées premières informations, sont ensuite calculées à partir des données triées et donc cohérentes temporellement. Le couple de calculateurs du deuxième module de traitement récupère les données acquises et triées et les premières informations calculées par le premier sous-système et supprime les doublons, ce qui permet d’assurer la cohérence temporelle et l’unicité des données et des premières informations. Les informations pour l’aide à la conduite du processus, appelées deuxièmes informations, sont ensuite calculées à partir des données et des premières informations triées et donc cohérentes temporellement. Au niveau du premier module de traitement et du deuxième module de traitement, la redondance est assurée par le couple de calculateurs fonctionnant en redondance active, c’est-à-dire réalisant les mêmes tâches simultanément et envoyant uniquement les informations calculées par l’un des calculateurs. Chaque calculateur du premier module de gestion des postes opérateurs récupère les premières informations calculées et envoient au poste opérateur du premier ensemble de postes opérateurs associé les premières informations demandées par l’opérateur et chaque calculateur du deuxième module de gestion des postes opérateurs récupère les deuxièmes informations calculées et envoient au poste opérateur du deuxième ensemble de postes opérateurs associé les deuxièmes informations demandées par l’opérateur. Chaque poste opérateur du premier ensemble de postes opérateurs étant identique et chaque poste opérateur du deuxième ensemble de postes opérateurs étant identique, la redondance est assurée au niveau des postes opérateurs. Suite à l’affichage des informations demandées, l’opérateur peut fournir une consigne via l’interface graphique d’un poste opérateur du premier ensemble de postes opérateurs pour modifier la conduite du processus industriel. La consigne est transmise à au moins un automate concerné via une commande émise par le couple de calculateurs du module d’interface correspondant. Lors des communications entre calculateurs, la redondance est assurée par le doublement du premier réseau de communication et du deuxième réseau de communication et la cohérence temporelle est assurée par le premier module de redondance et le deuxième module de redondance utilisant un mécanisme d’acquittement pour assurer la bonne réception simultanée des messages par l’ensemble des calculateurs destinataires. La cohérence temporelle et l’unicité des données et informations, ainsi que la redondance sont donc assurées en chaque point du système qui répond donc aux exigences de haute disponibilité, de fiabilité et de prédictibilité des temps de réponse. Outre les caractéristiques qui viennent d’être évoquées dans le paragraphe précédent, le système selon un premier aspect de l’invention peut présenter une ou plusieurs caractéristiques complémentaires parmi les suivantes, considérées individuellement ou selon toutes les combinaisons techniquement possibles. Selon une variante de réalisation, le premier sous-système comporte en outre une première base de données répartie sur au moins une partie des calculateurs du premier sous-système, configurée pour stocker et gérer les données et les premières informations et/ou le deuxième sous-système comporte en outre une deuxième base de données répartie sur au moins une partie des calculateurs du deuxième sous-système, configurée pour stocker et gérer les données, les premières informations et les deuxièmes informations. Ainsi, la première base de données répartie sur les calculateurs du premier sous-système et/ou la deuxième base de données répartie sur les calculateurs du deuxième sous-système gère une vue cohérente des données et informations représentatives de l’état du processus industriel, garantissant tout risque d’aléa temporel. Selon une variante de réalisation compatible avec la variante de réalisation précédente, le deuxième sous-système comporte en outre un module d’instant courant comportant une pluralité de calculateurs, chaque calculateur du module d’instant courant étant configuré pour : répliquer au moins une partie des données, des premières informations et des deuxièmes informations du deuxième module de traitement ; fournir au deuxième module de gestion des postes opérateurs, les données, les premières informations et les deuxièmes informations répliquées correspondant à l’instant d’acquisition précédant immédiatement l’instant courant ; les calculateurs du module d’instant courant fonctionnant en redondance fonctionnelle. Ainsi, les calculateurs du module d’instant courant gèrent les données relatives à l’instant courant et donc les modifications à apporter à l’affichage des postes opérateurs du deuxième ensemble de postes opérateurs en temps réel et décharge ainsi les calculateurs du deuxième module de gestion des postes opérateurs. Au niveau du module d’instant courant, la redondance est assurée par la pluralité de calculateurs fonctionnant en redondance fonctionnelle, c’est-à-dire réalisant les mêmes tâches simultanément. Selon une variante de réalisation compatible avec les variantes de réalisation précédentes, le deuxième sous-système comporte en outre un module d’archivage comportant une pluralité de calculateurs, chaque calculateur du module d’archivage étant configuré pour : répliquer et archiver une partie des données, des premières informations et des deuxièmes informations du deuxième module de traitement ; fournir au deuxième module de gestion des postes opérateurs, les données, les premières informations et les deuxièmes informations archivées correspondant à chaque instant d’acquisition précédant l’instant d’acquisition précédant immédiatement l’instant courant ; les calculateurs du module d’archivage fonctionnant en redondance fonctionnelle. Ainsi, les calculateurs du module d’archivage gèrent les données à afficher non relatives à l’instant courant, c’est-à-dire les données d’archives, et décharge ainsi les calculateurs du deuxième module de gestion des postes opérateurs. Au niveau du module d’archivage, la redondance est assurée par la pluralité de calculateurs fonctionnant en redondance fonctionnelle. Un deuxième aspect de l’invention concerne un procédé de conduite d’un processus industriel critique mis en œuvre par le système selon l’invention, comprenant les étapes suivantes réalisées pour chaque cycle d’un ensemble de cycles : Pour chaque calculateur de chaque couple de calculateurs du module d’interface, collecte de chaque donnée reçue par chaque automate présentant un modèle d’automate correspondant et élimination de chaque donnée reçue en double, chaque donnée étant associée à un instant d’acquisition précédant un instant courant ; Réception par chaque calculateur du premier module de traitement, des données collectées par le module d’interface, tri des données reçues en fonction de leur instant d’acquisition, élimination des données reçues en double et calcul de premières informations d’un groupe d’informations pour chaque instant d’acquisition, à partir des données triées correspondantes et envoi à chaque calculateur du dispositif de séparation, de chaque première information calculée ; Réception par chaque calculateur du premier module de gestion des postes opérateurs, de chaque première information calculée et envoi à chaque poste opérateur du premier ensemble de postes opérateurs, de chaque première information reçue comprise dans un sous-ensemble d’informations demandé par un opérateur ; Réception par chaque calculateur du deuxième module de traitement, des données collectées et des premières informations calculées par le premier sous-système, détection des données et premières informations modifiées par rapport au cycle précédent, élimination des données et premières informations reçues en double et calcul de deuxièmes informations du groupe d’informations pour chaque instant d’acquisition, à partir des données et des premières informations détectées correspondantes ; Réception par chaque calculateur du deuxième module de gestion des postes opérateurs, de chaque deuxième information calculée et envoi à chaque poste opérateur du deuxième ensemble de postes opérateurs, de chaque deuxième information reçue comprise dans le sous-ensemble d’informations demandé ; Affichage des premières informations du sous-ensemble d’informations demandé par chaque poste opérateur du premier ensemble de postes opérateurs et des deuxièmes informations du sous-ensemble d’informations demandé par chaque poste opérateur du deuxième ensemble de postes opérateurs, à l’instant courant ; Si l’opérateur fournit une consigne via l’interface graphique d’un poste opérateur du premier ensemble de postes opérateurs, envoi de la consigne au module d’interface ; Envoi par le module d’interface d’au moins une commande dépendant des données reçues et/ou de la consigne à au moins un automate ; chaque étape de réception par un calculateur du premier sous-système comportant un échange d’au moins un message entre le calculateur et un autre calculateur du premier sous-système comportant les sous-étapes suivantes : Envoi simultané sur la première voie et la deuxième voie du premier réseau de communication, du message par l’autre calculateur vers le premier module de redondance ; Réception par le premier module de redondance du message envoyé ; Si le message est reçu via la première voie et via la deuxième voie, effacement par le premier module de redondance, du message reçu via la deuxième voie ; Modification par le premier module de redondance, du message reçu par ajout d’une demande d’acquittement ; Diffusion simultanée sur la première voie et la deuxième voie, du message modifié vers le calculateur par le premier module de redondance ; Réception du message modifié par le calculateur et envoi d’un acquittement au premier module de redondance ; chaque étape de réception par un calculateur du deuxième sous-système comportant un échange d’au moins un message entre le calculateur et un autre calculateur du deuxième sous-système comportant les sous-étapes suivantes : Envoi simultané sur la première voie et la deuxième voie du deuxième réseau de communication, du message par l’autre calculateur vers le deuxième module de redondance ; Réception par le deuxième module de redondance, du message envoyé ; Si le message est reçu via la première voie et via la deuxième voie, effacement par le deuxième module de redondance, du message reçu via la deuxième voie ; Modification par le deuxième module de redondance, du message reçu par ajout d’une demande d’acquittement ; Diffusion simultanée sur la première voie et la deuxième voie, du message modifié vers le calculateur par le deuxième module de redondance ; Réception du message modifié par le calculateur et envoi d’un acquittement au deuxième module de redondance. Selon une variante de réalisation, le procédé selon l’invention comporte en outre les étapes suivantes réalisées par chaque calculateur du module d’instant courant : Réplication d’au moins une partie des données, des premières informations et des deuxièmes informations du deuxième module de traitement ; Envoi à chaque calculateur du deuxième module de gestion des postes opérateurs, des données, des premières informations et des deuxièmes informations répliquées correspondant à l’instant d’acquisition précédant immédiatement l’instant courant. Selon une variante de réalisation compatible avec la variante de réalisation précédente, le procédé selon l’invention comporte en outre les étapes suivantes réalisées par chaque calculateur du module d’archivage : Réplication et archivage d’au moins une partie des données, des premières informations et des deuxièmes informations du deuxième module de traitement ; Envoi à chaque calculateur du deuxième module de gestion des postes opérateurs, des données, des premières informations et des deuxièmes informations archivées correspondant à chaque instant d’acquisition précédant l’instant d’acquisition précédant immédiatement l’instant courant. Selon une sous-variante de réalisation des variantes de réalisation précédentes, l’étape d’envoi par un calculateur du deuxième sous-système comporte un échange d’au moins un message entre le calculateur et au moins un autre calculateur du deuxième sous-système comportant les sous-étapes suivantes : Envoi simultané sur la première voie et la deuxième voie du deuxième réseau de communication, du message par le calculateur vers le deuxième module de redondance ; Réception par le deuxième module de redondance, du message envoyé ; Si le message est reçu via la première voie et via la deuxième voie, effacement par le deuxième module de redondance, du message reçu via la deuxième voie ; Modification par le deuxième module de redondance, du message reçu par ajout d’une demande d’acquittement ; Diffusion simultanée sur la première voie et la deuxième voie, du message modifié vers l’autre calculateur ; Réception du message modifié par l’autre calculateur et envoi d’un acquittement au deuxième module de redondance. Un troisième aspect de l’invention concerne un produit-programme d’ordinateur comprenant des instructions qui, quand le programme est exécuté sur un ordinateur, conduisent celui-ci à mettre en œuvre les étapes du procédé selon l’invention. Selon une variante de réalisation, le produit-programme d’ordinateur est rédigé en langage ADA. Ainsi, le produit-programme d’ordinateur est indépendant du matériel des calculateurs sur lesquels il est implémenté. L’invention et ses différentes applications seront mieux comprises à la lecture de la description qui suit et à l’examen des figures qui l’accompagnent. BREVE DESCRIPTION DES FIGURES Les figures sont présentées à titre indicatif et nullement limitatif de l’invention. La montre une représentation schématique d’un système selon l’invention. La montre une représentation schématique d’un premier sous-système du système selon l’invention. La montre une représentation schématique d’un deuxième sous-système du système selon l’invention. La est un schéma synoptique illustrant l’enchaînement des étapes d’un procédé selon l’invention. La montre les données acquises et les informations calculées par le procédé selon l’invention en fonction du temps. La est un schéma synoptique illustrant l’enchaînement des sous-étapes d’une étape du procédé selon l’invention comportant l’échange d’un message entre un calculateur et au moins un autre calculateur du premier sous-système du système selon l’invention. La montre une représentation schématique de l’échange d’un message entre un calculateur et au moins un autre calculateur du premier sous-système du système selon l’invention. La est un schéma synoptique illustrant l’enchaînement des sous-étapes d’une étape du procédé selon l’invention comportant l’échange d’un message entre un calculateur et au moins un autre calculateur du deuxième sous-système du système selon l’invention. La montre une représentation schématique de l’échange d’un message entre un calculateur et au moins un autre calculateur du deuxième sous-système du système selon l’invention. Système (100) pour la conduite et l’aide à la conduite d’un processus industriel critique comprenant : Un premier ensemble (1051) de postes opérateurs (105) comprenant chacun une interface graphique et étant chacun configuré pour : recevoir des consignes d’un opérateur via l’interface graphique ; afficher à un instant courant (t c ) et sur demande de l’opérateur, des premières informations (P i ) d’un sous-ensemble d’informations (S c ), le sous-ensemble d’informations (S c ) étant compris dans un ensemble d’informations (E c ) comprenant un groupe d’informations (I i ) pour chaque instant d’acquisition (t i ) d’une pluralité d’instants d’acquisition (t i ) précédant l’instant courant (t c ), chaque groupe d’informations (I i ) comprenant des premières informations (P i ) pour la conduite du processus industriel et des deuxièmes informations (S i ) pour l’aide à la conduite du processus industriel ; Un deuxième ensemble (1052) de postes opérateurs (105) chacun configuré pour afficher à l’instant courant (t c ) et sur demande de l’opérateur, les deuxièmes informations (S i ) du sous-ensemble d’informations (S c ) ; Un premier sous-système (102) pour la conduite du processus industriel présentant un fonctionnement cyclique, un deuxième sous-système (104) pour l’aide à la conduite du processus industriel présentant un fonctionnement événementiel et un dispositif de séparation (103) unidirectionnel compris dans le premier sous-système (102) et dans le deuxième sous-système (104), comportant un couple de calculateurs (1022), le premier sous-système (102) comprenant : Un module d’interface (1021) configuré pour collecter, d’une pluralité d’automates (101) programmables industriels présentant chacun un modèle d’automate, des données (D i ), chaque donnée (D i ) étant associée à un instant d’acquisition (t i ) de la pluralité d’instants d’acquisition (t i ), le module d’interface (1021) comportant au moins un couple de calculateurs (1022) pour chaque modèle d’automate, chaque calculateur (1022) du couple de calculateurs (1022) étant configuré pour : collecter chaque donnée (D i ) reçue par chaque automate (101) présentant le modèle d’automate et éliminer chaque donnée (D i ) reçue en double ; envoyer à au moins un automate (101), au moins une commande dépendant des données (D i ) collectées et/ou de consignes fournies par l’opérateur ; les calculateurs (1022) du module d’interface (1021) fonctionnant en redondance asynchrone ; Un premier module de traitement (1023) comportant un couple de calculateurs (1022), chaque calculateur (1022) du couple de calculateurs (1022) étant configuré pour : recevoir de chaque calculateur (1022) du module d’interface (1021), les données (D i ) collectées ; trier les données (D i ) reçues en fonction de leur instant d’acquisition (t i ) et éliminer les données (D i ) reçues en double ; calculer pour chaque instant d’acquisition (t i ), les premières informations (P i ) du groupe d’informations (I i ) correspondant, à partir des données (D i ) triées correspondantes ; envoyer à chaque calculateur (1022) du dispositif de séparation (103), chaque première information (P i ) calculée ; les calculateurs (1022) du premier module de traitement (1023) fonctionnant en redondance active ; Un premier module de gestion des postes opérateurs (1024) comportant un calculateur (1022) pour chaque poste opérateur (105) du premier ensemble (1051) de postes opérateurs (105), chaque calculateur (1022) étant configuré pour : recevoir chaque première information (P i ) calculée ; envoyer au poste opérateur (105) correspondant, chaque première information (P i ) correspondant au sous-ensemble d’informations (S c ) demandé ; gérer l’interface graphique du poste opérateur (105) correspondant ; Un premier réseau de communication (1031) doublé présentant une première voie (1032) et une deuxième voie (1033) distinct, comprenant un premier module de redondance (1034) réparti sur chaque calculateur (1022) du premier sous-système (102), chaque calculateur (1022) du premier sous-système (102) étant configuré pour : envoyer au premier module de redondance (1034), chaque message destiné à au moins un autre calculateur (1022) du premier sous-système (102), simultanément sur la première voie (1032) et la deuxième voie (1033) ; recevoir chaque message qui lui est destiné du premier module de redondance (1034) et envoyer un acquittement au premier module de redondance (1034) ; le premier module de redondance (1034) étant configuré pour : recevoir le message envoyé via la première voie (1032) et/ou via la deuxième voie (1033) ; effacer le message reçu via la deuxième voie (1033) si le message a été reçu via la première voie (1032) ; modifier le message reçu en ajoutant une demande d’acquittement ; diffuser vers l’autre calculateur (1022) du premier sous-système (102), le message modifié, simultanément sur la première voie (1032) et la deuxième voie (1033) ; le deuxième sous-système (104) comprenant : Un deuxième module de traitement (1041) comportant un couple de calculateurs (1042), chaque calculateur (1042) du couple de calculateurs (1042) étant configuré pour : recevoir de chaque calculateur (1022) du dispositif de séparation (103), les données (D i ) collectées et les premières informations (P i ) calculées ; éliminer les données (D i ) et les premières informations (P i ) reçues en double ; calculer pour chaque instant d’acquisition (t i ), les deuxièmes informations (S i ) du groupe d’informations (I i ) correspondant, à partir des données (D i ) et des premières informations (P i ) triées correspondantes ; les calculateurs (1042) du deuxième module de traitement (1041) fonctionnant en redondance active ; Un deuxième module de gestion des postes opérateurs (1043) comportant un calculateur (1042) pour chaque poste opérateur (105) du deuxième ensemble (1052) de postes opérateurs (105), chaque calculateur (1042) étant configuré pour : recevoir chaque deuxième information (S i ) calculée ; envoyer au poste opérateur (105) correspondant, chaque deuxième information (S i ) correspondant au sous-ensemble d’informations (S c ) demandé ; gérer l’interface graphique du poste opérateur (105) correspondant ; Un deuxième réseau de communication (1035) doublé présentant une première voie (1036) et une deuxième voie (1037) distinct, comprenant un deuxième module de redondance (1038) réparti sur chaque calculateur (1022) du deuxième sous-système (104), chaque calculateur (1042) du deuxième sous-système (104) étant configuré pour : envoyer au deuxième module de redondance (1038), chaque message destiné à au moins un autre calculateur (1042) du deuxième sous-système (104), simultanément sur la première voie (1036) et la deuxième voie (1037) ; recevoir chaque message qui lui est destiné du deuxième module de redondance (1038) et envoyer un acquittement au deuxième module de redondance (1038) ; le deuxième module de redondance (1038) étant configuré pour : recevoir le message envoyé via la première voie (1036) et/ou via la deuxième voie (1037) ; effacer le message reçu via la deuxième voie (1037) si le message a été reçu via la première voie (1036) ; modifier le message reçu en ajoutant une demande d’acquittement ; diffuser vers l’autre calculateur (1042) du deuxième sous-système (104), le message modifié, simultanément sur la première voie (1036) et la deuxième voie (1037). Système (100) selon la revendication 1, caractérisé en ce que le premier sous-système (102) comporte en outre une première base de données (1025) répartie sur au moins une partie des calculateurs (1022) du premier sous-système (102), configurée pour stocker et gérer les données (D i ) et les premières informations (P i ) et/ou le deuxième sous-système (104) comporte en outre une deuxième base de données (1046) répartie sur au moins une partie des calculateurs (1042) du deuxième sous-système (104), configurée pour stocker et gérer les données (D i ), les premières informations (P i ) et les deuxièmes informations (S i ). Système (100) selon l’une quelconque des revendications précédentes, caractérisé en ce que le deuxième sous-système (104) comporte en outre un module d’instant courant (1044) comportant une pluralité de calculateurs (1042), chaque calculateur (1042) du module d’instant courant (1044) étant configuré pour : répliquer au moins une partie des données (D i ), des premières informations (P i ) et des deuxièmes informations (S i ) du deuxième module de traitement (1041) ; fournir au deuxième module de gestion des postes opérateurs (1043), les données (D i ), les premières informations (P i ) et les deuxièmes informations (S i ) répliquées correspondant à l’instant d’acquisition (t j ) précédant immédiatement l’instant courant (t c ) ; les calculateurs (1042) du module d’instant courant (1044) fonctionnant en redondance fonctionnelle. Système (100) selon l’une quelconque des revendications précédentes, caractérisé en ce que le deuxième sous-système (104) comporte en outre un module d’archivage (1045) comportant une pluralité de calculateurs (1042), chaque calculateur (1042) du module d’archivage (1045) étant configuré pour : répliquer et archiver une partie des données (D i ), des premières informations (P i ) et des deuxièmes informations (S i ) du deuxième module de traitement (1041) ; fournir au deuxième module de gestion des postes opérateurs (1043), les données (D i ), les premières informations (P i ) et les deuxièmes informations (S i ) archivées correspondant à chaque instant d’acquisition (t i ) précédant l’instant d’acquisition (t j ) précédant immédiatement l’instant courant (t c ) ; les calculateurs (1042) du module d’archivage (1045) fonctionnant en redondance fonctionnelle. Procédé (200) de conduite d’un processus industriel critique mis en œuvre par le système (100) selon l’une quelconque des revendications précédentes, comprenant les étapes suivantes réalisées pour chaque cycle d’un ensemble de cycles : Pour chaque calculateur (1022) de chaque couple de calculateurs (1022) du module d’interface (1021), collecte de chaque donnée (D i ) reçue par chaque automate (101) présentant un modèle d’automate correspondant et élimination de chaque donnée (D i ) reçue en double, chaque donnée (D i ) étant associée à un instant d’acquisition (t i ) précédant un instant courant (t c , 201) ; Réception par chaque calculateur (1022) du premier module de traitement (1023), des données (D i ) collectées par le module d’interface (1021), tri des données (D i ) reçues en fonction de leur instant d’acquisition (t i ), élimination des données (D i ) reçues en double, calcul de premières informations (P i ) d’un groupe d’informations (I i ) pour chaque instant d’acquisition (t i ), à partir des données (D i ) triées correspondantes et envoi à chaque calculateur (1022) du dispositif de séparation (103), de chaque première information (P i ) calculée (202) ; Réception par chaque calculateur (1022) du premier module de gestion des postes opérateurs (1024), de chaque première information (P i ) calculée et envoi à chaque poste opérateur (105) du premier ensemble (1051) de postes opérateurs (105), de chaque première information (P i ) reçue comprise dans un sous-ensemble d’informations (S c ) demandé par un opérateur (203) ; Réception par chaque calculateur (1042) du deuxième module de traitement (1041), des données (D i ) collectées et des premières informations (P i ) calculées par le premier sous-système (102), détection des données (D i ) et premières informations (P i ) modifiées par rapport au cycle précédent, élimination des données (D i ) et premières informations (P i ) reçues en double et calcul de deuxièmes informations (S i ) du groupe d’informations pour chaque instant d’acquisition (t i ), à partir des données (D i ) et des premières informations (P i ) détectées correspondantes (204) ; Réception par chaque calculateur (1042) du deuxième module de gestion des postes opérateurs (1043), de chaque deuxième information (S i ) calculée et envoi à chaque poste opérateur (105) du deuxième ensemble (1052) de postes opérateurs (105), de chaque deuxième information (S i ) reçue comprise dans le sous-ensemble d’informations (S c ) demandé (205) ; Affichage des premières informations (P i ) du sous-ensemble d’informations (S c ) demandé par chaque poste opérateur (105) du premier ensemble (1051) de postes opérateurs (105) et des deuxièmes informations (S i ) du sous-ensemble d’informations (S c ) demandé par chaque poste opérateur (105) du deuxième ensemble (1052) de postes opérateurs (105), à l’instant courant (t c , 206) ; Si l’opérateur fournit une consigne via l’interface graphique d’un poste opérateur (105) du premier ensemble (1051) de postes opérateurs (105), envoi de la consigne au module d’interface (1021, 207) ; Envoi par le module d’interface (1021) d’au moins une commande dépendant des données (D i ) reçues et/ou de la consigne à au moins un automate (101, 208) ; chaque étape de réception (202, 203) par un calculateur (1022) du premier sous-système (102) comportant un échange (212) d’au moins un message entre le calculateur (1022) et un autre calculateur (1022) du premier sous-système (102) comportant les sous-étapes suivantes : Envoi simultané sur la première voie (1032) et la deuxième voie (1033) du premier réseau de communication (1031), du message par l’autre calculateur (1022) vers le premier module de redondance (1034, 2121) ; Réception par le premier module de redondance (1034) du message envoyé (2122) ; Si le message est reçu via la première voie (1032) et via la deuxième voie (1033), effacement par le premier module de redondance (1034), du message reçu via la deuxième voie (1033, 2123) ; Modification par le premier module de redondance (1034), du message reçu par ajout d’une demande d’acquittement (2124) ; Diffusion simultanée sur la première voie (1032) et la deuxième voie (1033), du message modifié vers le calculateur (1022) par le premier module de redondance (1034, 2125) ; Réception du message modifié par le calculateur (1022) et envoi d’un acquittement au premier module de redondance (1034, 2126) ; chaque étape (204, 205) de réception par un calculateur (1042) du deuxième sous-système (104) comportant un échange (213) d’au moins un message entre le calculateur (1042) et un autre calculateur (1042) du deuxième sous-système (104) comportant les sous-étapes suivantes : Envoi simultané sur la première voie (1036) et la deuxième voie (1037) du deuxième réseau de communication (1035), du message par l’autre calculateur (1042) vers le deuxième module de redondance (1038, 2131) ; Réception par le deuxième module de redondance (1038), du message envoyé (2132) ; Si le message est reçu via la première voie (1036) et via la deuxième voie (1037), effacement par le deuxième module de redondance (1038), du message reçu via la deuxième voie (1037, 2133) ; Modification par le deuxième module de redondance (1038), du message reçu par ajout d’une demande d’acquittement (2134) ; Diffusion simultanée sur la première voie (1036) et la deuxième voie (1037), du message modifié vers le calculateur (1042) par le deuxième module de redondance (1038, 2135) ; Réception du message modifié par le calculateur (1042) et envoi d’un acquittement au deuxième module de redondance (1038, 2136). Procédé (200) selon la revendication 5 mis en œuvre par le système (100) comportant le module d’instant courant (1044), caractérisé en ce qu’il comporte en outre les étapes suivantes réalisées par chaque calculateur (1042) du module d’instant courant (1044) : Réplication d’au moins une partie des données (D i ), des premières informations (P i ) et des deuxièmes informations (S i ) du deuxième module de traitement (1041, 2091) ; Envoi à chaque calculateur (1042) du deuxième module de gestion des postes opérateurs (1043), des données (D i ), des premières informations (P i ) et des deuxièmes informations (S i ) répliquées correspondant à l’instant d’acquisition (t j ) précédant immédiatement l’instant courant (t c , 2092). Procédé (200) selon l’une quelconque des revendications 5 ou 6 mis en œuvre par le système (100) comportant le module d’archivage (1045), caractérisé en ce qu’il comporte en outre les étapes suivantes réalisées par chaque calculateur (1042) du module d’archivage (1045) : Réplication et archivage d’au moins une partie des données (D i ), des premières informations (P i ) et des deuxièmes informations (S i ) du deuxième module de traitement (1041, 2101) ; Envoi à chaque calculateur (1042) du deuxième module de gestion des postes opérateurs (1043), des données (D i ), des premières informations (P i ) et des deuxièmes informations (S i ) archivées correspondant à chaque instant d’acquisition (t i ) précédant l’instant d’acquisition (t j ) précédant immédiatement l’instant courant (t c , 2102). Procédé (200) selon la revendication 6 ou 7, caractérisé en ce que l’étape (2092, 2102) d’envoi par un calculateur (1042) du deuxième sous-système (104) comporte un échange (213) d’au moins un message entre le calculateur (1042) et au moins un autre calculateur (1042) du deuxième sous-système (104) comportant les sous-étapes suivantes : Envoi simultané sur la première voie (1036) et la deuxième voie (1037 du deuxième réseau de communication (1035), du message par le calculateur (1042) vers le deuxième module de redondance (1038, 2131) ; Réception par le deuxième module de redondance (1038), du message envoyé (2132) ; Si le message est reçu via la première voie (1036) et via la deuxième voie (1037), effacement par le deuxième module de redondance (1038), du message reçu via la deuxième voie (1037, 2133) ; Modification par le deuxième module de redondance (1038), du message reçu par ajout d’une demande d’acquittement (2134) ; Diffusion simultanée sur la première voie (1036) et la deuxième voie (1037), du message modifié vers l’autre calculateur (1042, 2135) ; Réception du message modifié par l’autre calculateur (1042) et envoi d’un acquittement au deuxième module de redondance (1038, 2136). Produit-programme d’ordinateur comprenant des instructions qui, quand le programme est exécuté sur un ordinateur, conduisent celui-ci à mettre en œuvre les étapes du procédé (200) selon l’une quelconque des revendications 5 à 8. Produit-programme d’ordinateur selon la revendication 9, caractérisé en ce qu’il est rédigé en langage ADA.