FR 2473779 A1 19810717 FR 8100488 A 19810113 La présente invention concerne un circuit de commande de charge. Avec l'apparition des circuits logiques de commande à semiconducteurs tels que des micro-ordinateurs ou des micro- processeurs,tout un nouveau domaine de dispositifs de comman- de s'est développé. Quand ces dispositifs sont utilisés dans des applications de commande de condition ou de commande de traitement,les circuits logiques de commande à semi-conduc- teurs ou un micro-ordinateur commandent finalement du maté- riel électrique de commutation tel que des relais ou des commutateurs à semiconducteurs de grande capacité. L'aptitude du microprocesseur ou du micro-ordinateur à exécuter un grand nombre de fonctions de commande dans une période de temps très courte fait de ce type de dispositif un outil idéèal pour le contrôle et la commande d'un matériel associé. Bien que les opérations de micro-ordinateur ou de micropro- cesseur entraînent des nodes erronés possibles contre les- quels il faut se préserver, elles offrent aussi une capacité presque illimitée de contrôle et de commande d'un matériel associé dans des conditions de fiabilité qui n'existaient pas auparavant dans la technique de commande. Dans le but d'obtenir un degré de fiabilité comparable aux types de dispositifs électromécaniques,les systèmes de commande de condition du type microprocesseur ou micro- ordinateur doivent fonctionner avec des routines ou sous- programmes de commande qui sont très différents du mode de commande électromécanique des unités. Ces routines permet- tent d'obtenir différents modes de contrôle de sécurité des dispositifs. Des circuits spécifiques de contrôle de sécurité qui contrôlent dynamiquement les circuits de commutation ont déjà été conçus. Ces circuits font interve- nir des circuits logiques de commande ou un micro-ordina- teur ainsi que les circuits externes associés au micro- ordinateur pour contrôler dynamiquement que les circuits de commande de charge ont fonctionné correctement. Ces circuits connus ne contrôlent pas si le fonctionnement propre du mi- cro-ordinateur ou des circuits logiques de commande est fiable. Si un circuit logique de commande ou micro-ordinateur ne fonctionne pas correctementles circuits de-contrôle de sécurité externes n'ont qu'une valeur limitée. Les circuits logiques de commande proprement dits doivent être rigoureu- sement contrôlés pour détecter des modes erronés et la transmission de signaux sous forme de "bruit". Quand les circuits de commande de charge sont contrôlés par le micro- ordinateur,et quand le micro-ordinateur fait un auto-contrôle de son fonctionnement,un nouveau niveau de fonctionnement fiable devient ainsi disponible. L'objet de la présente invention est un type de circuit de sécurité qui soit capable de contrôler un dispositif logique de commande ou un microordinateur et de mettre hors circuit de façon fiable un système entier s'il y a un dé- faut dans le dispositif logique de commande ou dans ses cir- cuits de sécurité périphériques. Selon la présente invention, un circuit de commande de charge comprenant un ensemble de relaisun circuit de contact de relais commandant la charge et un circuit de com- mande qui fait fonctionner les relais,le circuit de contact de relais comprenant un moyen de sécurité dont la désexci- tation désexcite la charge indépendamment du ou des autres relais, caractérisé en ce que le circuit de commande reçoit un signal d'horloge de secteur et un.signal de fréquence fixe correspondant à une fréquence nominale de secteur et compare ces deux signauxet en ce qu'une minuterie de sécurité est alimentée par le circuit de commande,commande le moyen de sécurité et fournit un signal de réaction qui est combiné avec le signal d'horloge de secteur,le circuit de commande contrôlant la minuterie de sécurité et cette minuterie con- trôlant la sortie du circuit de commande reliée au moyen de sécurité. D'autres caractéristiques et avantages de la présente invention seront mis en évidence dans la description suivante, donnée à titre d'exemple non limitatif,en référence aux dessins annexés dans lesquels: Fig.1 est un schéma fonctionnel du circuit de commande selon la présente invention; Fig.2 représente une série de formes d'onde produites dans le circuit de la figure 1; Fig. 3 donne un diagramme chronométrique montrant la relation entre les signaux produits dans le circuit de la figure 1; Fig.4 est un diagramme d'une séquence de cycles de temps montrant un fonctionnement normal et des conditions de fonctionnement anormal; et, Fig.5 représente une modification du circuit de la figure 1 pour un ensemble de moyens de commande de charge. Sur la figure 1,un microprocesseur 20 fonctionne avec deux horloges 21 et 24 qui sont continuellement comparées l'une à l'autre. La première horloge 24 est une horloge synchronisée par tension de secteur et la deuxième horloge 21 est une horloge commandée par quartz interne et qui est utili- sée principalement pour faire fonctionner les circuits logi- ques du microprocesseur. Le microprocesseur répond de façon continue aux signaux de sortie des deux horloges et déclenche régulièrement deux multivibrateurs mpnostables redéclenchables 44 et 45 qui agissent comme une minuterie de sécurité 43. La minuterie de sécurité 43 contrôle en permanence la présence d'une impulsion de sortie ou d'une impulsion d'horloge en provenance des circuits logiques de commande pour être redé- clenchée en permanence. La minuterie de sécurité 43 peut égaleme,,It se bloquer quand des impulsions d'horloge scnt reçues suivant une trop grande fréquence,comme dans le cas o une radio-fréquence ou d'autres types de parasites élec- triques traversent le système en indiqua nt de façon erronée la présence de signaux de commande ou l'apparition d'un au- tre défaut de fonctionnement. Un signal de sortie de la minuterie de sécurité 43 est utilisé pour commander une partie du circuit de commande de charge 15 comprenant un interrupteur ou un relais 62-63,qui a une configuration de circuit normalement ouvert de sorte qu'il puisse mettre le système hors circuit de façoxifiable dans le cas d'un défaut. Le circuit de commande de charge renvoie un signal(par le circuit 70) au microprocesseur pour vérifier l'état de l'interrupteur de sécurité de sortie 63.Cet interrupteur de sécurité de sortie 63 est commandé en série avec la source d'alimentation par rapport à la charge ex- trême 15,ce qui permet d'assurer par son ouverture la mise hors circuit de la charge dans le cas o 1' interrupteur de charge normale 30 reste fermé ou ne met pas la charge hors circuit quand cela est nécessaire. Avec le circuit de commande de charge selon la présente invention,deux horloges sont comparées entre elles et com- mandent ensuite la minuterie de sécurité. La minuterie de sécurité fonctionne en association avec les horloges et l'état voulu de la charge pour former un circuit de contrôle de sé- curité qui empêche effectivement qu'un défaut.de fonctionne- ne ment dans le microprocesseur et ses circuits associés/fasse fonctionner d'une manière non fiable le système dans des conditions extrêmes de charge,sans tenir compte que le dé- faut se trouve dans le circuit de commande proprement dit ou se manifeste dans les conditions extrêmes de charge. La figure 1 est un schéma fonctionnel d'ensemble du système selon la présente invention. Le système commandé,par exemple un système de chauffage,est représenté sous forme simplifiée à la droite du schéma, comme une charge 15 (par exemple,une électrovalve de brûleur,etc.)qui est alimentée quand deux contacts de relais 30 et 63 sont fermés. Le contact 30 est un contacteur de commande,par lequel le br - leur est normalement commandé,tandis que le contact 63 est un contacteur de sécurité dont l'ouverture met complètement hors circuit le système de chauffage. La température est détectée par un thermostat 10 qui signale à un microproces- seur 20 quandkie brûleur doit être allumé. Le microprocesseur 20 comporte également une ligne de sortie 40 qui commande,par l'intermédiaire de la minuterie 43,une bobine de relais 62; cette bobine de relais commande le contacteur de sécurité 63, de sorte que le microprocesseur puisse mettre hors circuit le système si cela est nécessaire. La tension appliquée à la bobine 62 est détectée par le microprocesseur 20 par l'inter- médiaire d'un amplificateur 70, de sorte que le microproces- seur puisse contrôler que la bobine 62 répond correctement. une diode autonome 67 protège les circuits contre des variations anormales de tension quand le courant traversant le relais 62 est supprimé; une diode protectrice semblable (non représentée)est utilisée pour une bobine 28 du circuit de la figure 1. Le microprocesseur 20 reçoit deux signaux d'horloge émis par la sortie d'une horloge à quartz 21 et par la sortie d'un circuit OU et formeur d'onde 24,qui est alimenté par un signal de secteur de 60 Hz et par la sortie Q d'un monosta- ble 44. La ligne de sortie 40 du microprocesseur est reliée au monostable 44 et à un second monostable 45 qui alimente une entrée d'interdiction du monostable 44 de sorte que ce dernier ne puisse répondre à un signal d'entrée de déclenche- ment que:si l'entrée d'interdiction(reliée au monostable 45) est à l'état logique faux. Ces deux monostables 44 et 45 sont des monostables redéclenchables,c'est-à-dire qu'un signal d'entrée de déclenchement redéclenche le retard de synchroni- sation de sorte qu'une suite de signaux d'entrée de déclenche- ment inférieure au retard de synchronisation maintient la sortie à un état permanent. La sortie Q est normalement à 0, et passe à 1 pendant le temps de retard de synchronisation lors du déclenchement. Ces deux monostables peuvent être formés sur une même pastille. Le fonctionnement de la minuterie 43 de sécurité (c'est- à-dire,les monostables 44 et 45)va être expliqué ennréférence aux formes d'onde de la figure 2. La forme d'onde indiquée en haut de la figure 2 représente le signal de secteur trans- mis par une ligne 23 de la figure 1 après sa conformation;sa période est 16,7 ms. Les fronts positifs de cette forme d'on- de sont convertis en pointes négatives par le circuit OU et formeur d'onde 24,qui envoie ces pointes au microprocesseur, ainsi qu'il est représenté sur la figure 2 par la seconde forme d'onde. Le microprocesseur répond à ces pointes négati- ves en engendrant,dans une.période de temps relativement courte,des impulsions à la sortie 40 (troisième forme d'onde). Ces impulsions sont envoyées au monostable 44 qui introduit un retard de temps de 13 ms environ. La première impulsion (négative)sur la ligne 40 déclenche le monostable 44 dont la sortie Q passe ainsi à un niveau logique 1 pendant 13 ms. La sortie Q du monostable 44 est reliée au circuit OU et formeur d'onde 24 qui répond au front négatif reçu de celle-ci(13 ms après le déclenchement du monostable 44) en produisant une pointe négative,environ 3,7 ms avant la pointe négative suivante du signal de secteur. Le micropro- cesseur répond à cette pointe comme on l'a décrit plus haut, en produisant une impulsion négative sur la ligne 40,et répond à la pointe suivante dérivée du secteur en produisant une autre impulsion sur la ligne 40.La première de ces impulsions déclenche le monostable 44,et la seconde le red=- clenche,de sorte que son retard est redéclenché par la secon- de (dérivée du secteur)et sa sortie produit donc un signal pendant 13 ms à partir de la pointe dérivée du secteur. La sortie Q du monostable 44 a donc la forme représentée par la quatrième forme d'onde de la figure 2, avec une brève portIn à un niveau 0 à l'instant 13 ms de chaque cycle de secteurs Ce signal de sortie Q du monostable 44 est envoyé à la bobine de relais 62,qu'il maintient excitée. Les brves portions négatives de ce signal ont pour effet de désexciter la bobine périodiquement. Cette désexcitation est détectée par le microprocesseur 20 par l'intermédiaire de l'inversezr ,et permet au microprocesseur de contrôler que la bobine 62 est commandée correctement. Cependant,les désexcitat-ions sont trop brèves pour que le relais réponde mécaniquemente sorte que le contacteur 63 ne s'ouvre pas. Cet aspect du fonctionnement est décrit et revendiqué dans la demande de brevet j.aponais n 6356/80 du 24 Janvier 1980,pour Dispositif de contrôle d'un appareil de commande de charge,déposée par la Demanderesse. Il est évident que le microprocesseur produit une impulsion à la sortie 40 en réponse à l'impulsion d'entre provenant du circuit 24 uniquement si la charge doit être excitée (comme cela est signalé par le thermostat 10) et qu'aucun défaut n'a été détecté par le microprocesseur. Autrement,le microprocesseur cesse simplement d'émettre des impulsions à la sortie 40, et/ou essaie de mettre la charge hors circuit au moyen de la bobine de relais 28. Les impulsions à la sortie 40 sont également envoyées au second monostable 45,qui a une période de 2 ms. Le dé- clènchement de ce monostable 45 produit un signal à un niveau haut à l'entrée d'interdiction du monostable 44,et empêche le monostable 44 de répondre à des impulsions d'en- tree pendant la période de 2 ms du monostable 45. Cela empê- che un mauvais fonctionnement possible du microprocesseur qui produirait une suite continue d'impulsions à la sortie 40.Une telle suite continue aurait pour effet de maintenir en permanence le monostable 45 dans la condition de déclenchement,ce qui bloquerait le monostable 44 dans l'état de fermeture en empêchant les impulsions de parvenir à la bobine de relais 62. Le contacteur de relais de sécurité 63 serait ainsi ouvert et la charge mise hors circuit. La somme des périodes des monostables 44 et 45 est évidemment un peu inférieure à la période du signal d'horloge de sec- teur. L'horloge à quartz 21 comprend un oscillateur à cristal et des circuits diviseurs pour engendrer un signal d'horloge d'une période d'environ 17 ms,c'est-à-dire qu'il est adapté au signal de secteur de 60 Hz mais non synchronisé avec celui-ci. Le microprocesseur 20 compare les signaux de secteur provenant du circuit 24 aux signaux d'horloge provenant de l'horloge à quartz 21 pour sa propre mise en séquence et synchronisation correcte. Si un composant est défectueux dans un des circuits d'horloge,le changement de flux d'informations synchronisées dans le circuit de contrôle de sécurité de cir- cuit logique de commande provoque une mise hors circuit de sécurité de la charge en coupant la minuterie 43,ce qui permet l'ouverture de l'interrupteur de sécurité 63 (spécifiquement par désexcitation du relais 62 et par ouver- ture du contacteur 63)et en même temps la désexcitation de l'interrupteur de charge 30. Par exemple,la défaillance du microprocesseur 20 pour engendrer une impulsion d'horloge laisse la minuterie 43 de sécurité dépasser son temps imparti et provoque l'ouverture du contacteur 63. Un défaut de l'horloge à quartz 21 ou de la source 22 de signal d'horloge de secteur de 60 Hz provoque la perte de l'impulsion d'horloge sur la ligne de déclenchement 40 et le contacteur 63 est ouvert en réponse à la minuterie de sécurité 43. Il est évident que,si le microprocesseur et ses horloges fonction- nent correctement mais si la minuterie de sécurité 43 cesse de fonctionner correctement,le microprocesseur reçoit alors des signaux qui ne correspondent pas à la logique établie à l'intérieur de ce microprocesseur et celui-ci peut alors désexciter la charge de façon fiable par actionnement du contacteur 30 ou du contacteur 63. La figure 3 est un diagramme donnant la relation temporelle entre le signal de minuterie de sécurité 43 (TMP43),le signal d'horloge à qiartz 21 (TMR21),et le signal de secteur de6O Hz. Le diagramme représente un intervalle de temps de 18 ms M signal de 60 Hz. Deux fenêtres W-43 et W60 Hz sont indiquées;ce sont les intervalles de temps établis par le microprocesseur 20 pour maintenir un fonctionnement normal. Si les événements correspondants (signal TMR43 et signal de 60 Hz) tombent hors des fenêtres représentées,le microprocesseur 20 agit de façon appropriée, comme décrit dans le paragraphe suivant. La figure 4 est un diagramme donnant un certain nombre de cycles du signal d'horloge de secteur de 60 Hz, désigné par 22,afin de montrer ce qui se produit dans trois groupes séparés de circonstances. Le diagramme représente deux cycles normaux suivis de deux cycles dans lesquels le signal d'horloge de 60 Hz est absent. Cette absence peut être due à une perte momentanée de tension de ligne d'alimen- tation secteur. Le diagramme se poursuit alors en montrant ce qui se produit,si l'horloge à quartz 21 cesse de fonctionner. Les deux premiers cycles représentés sur la figure 4 représentent d'une autre façon les formes d 'onde typiques de la figure 2. Ils représentent le fonctionnement de la minu- terie de sécurité 43,suivi du fonctionnement de la source 22 de signal de secteur de 60 Hz. Le cycle se répète ensuite,de sorte que les deux premiers cycles représentent le fonctionne- ment normal du système. Le diagramme représente ensuite l'absence de signaux de secteur provenant de la source 22,puis le fonctionnement de la minuterie de sécurité 43 indiquant que cette source a mal fonctionné. Le microprocesseur 20 est programmé pour accepter ou reconnaître ce type de défaut d'horloge imputable au secteur,en acceptant un nombre spéci- fié de cycles dans lesquelsun signal de secteur est absent sans coupure de circuit. L'ensemble du système de commande est conçu pour ne pas tenir compLe de ce type de défaut impu- table au secteur,en raison de la conception de la source d'alimentation de tout le système. Puisqu'il n'est pas souhaitable de mettre le système hors circuit en cas d'absence de deux cycles d'horloge de secteur,le micropro- cesseur 20 est programmé pour continuer pendant deux à quatre cycles dans une partie typique du matériel. La figure 4 représente ensuite,pour le cycle 5, le rétablissement du sgnal d'horloge de secteur 22 et la génération ultérieure d'un signal de sortie de la minuterie de sécurité 43. Le diagramme représente ensuite la perte du signal d'horloge à quartz 21 (TMR21 entre parenthèses et sur la flèche en tirets)qui programme le microprocesseur 20 dans sa séquence de fonctionnement. Cette perte de signal provoque la mise hors circuit du système par sécurité quand la minuterie de sécurité 43 engendre son signal de sortie suivant,en SS. Cela est réalisé par le passage à un niveau bas du signal de sortie Q du monostable 44,ce qui désexcite la bobine 62 et ouvre le contacteur 63. Puisque le contacteur 63 est en série avec la charge 15,la charge est désexcitée quel que soit l'état du contacteur 30. Le nombre de cycles qui peuvent être erronés et la synchroni- sation (telle que représentée sur la figure 4)qui peut être choisie dépendent du type de matériel commandé et du degré de sécurité exigé pour son fonctionnement. La figure 5 représente une modification du circuit de la figure 1 pour permettre l'utilisation d'un ensemble de contacteurs de commande dans le circuit de charge à la place du seul contacteur de commande de charge 30. Un ensem- ble de bobines de relais de commande de charge 80 à 82 - 10 sont excitées, conme la figure l'indique,à partir du microprocesseur ,par une diode autonome 96,et sont connectées à la ligne d'alimentation positive par l'intermédiaire d'un seul transistor 94 qui est commandé par la sortie de la minu- terie de sécurité 43. Comme plus haut,la charge peut être désexcitée par une mise hors circuit commandée au moyen des bobines 80 à 82, ou par une mise hors circuit de sécurité par blocage du transistor 94. REVENDICATIONS 1. Circuit de commande de charge comprenant un ensemble de relais,un circuit de contact de relais commandant la charge,et un circuit de commande (20)qui fait fonctionner les relais,le circuit de contact de relais comprenant un moyen de sécurité dont la désexcitation désexcite la charge indépendamment du ou des autres relais,caractérisé en ce que le circuit de commande (20) reçoit un signal d'horloge de secteur (22) et un signal de fréquence fixe (21)correspon- dant à une fréquence de secteur nominale et compare ces o10 deux signaux, et en ce qu'une minuterie de sécurité (43) est reliée au circuit de commande (20)pour commander le moyen de sécurité (62-63) et produire un signal de réaction (Q de 44)qui est combiné par un circuit (24)avec le signal d'horloge de secteur,le circuit de commande contrôlant la minuterie de sécurité et cette minuterie contrôlant la sortie du circuit de commande reliée au moyen de sécurité. 2. Circuit de commande de charge selon la revendica- tion 1,caractérisé en ce que le circuit de commande (20) est conçu pour contrôler le moyen de sécurité (62-63). 3.Circuit de commande de charge selon l'une quelconque des revendications 1 et 2,caractérisé en ce que le circuit de commande (20)est un microprocesseur. 4. Circuit de commande de charge selon l'une quelcon- que des revendications 1 à 3,caractérisé en ce que le signal de fréquence fixe est engendré par une horloge à quartz (21). 5. Circuit de commande de charge selon l'une quelcon- que des revendications 1 à 4,caractérisé en ce que la minute- rie de sécurité (43) comprend deux monostables (44 et 45) redéclenchables alimentés chacun par le circuit de commande (20),le premier (44) ayant une période un peu supérieure à la moitié de la période de secteur et alimentant le moyen de sécurité (62-63) pour produire le signal de réaction, tandis que le second (45),dont la période est relativement courte par rapport à la période de secteur,assure lors de son déclenchement l'interdiction du déclenchement du premier monostable (44). 6. Circuit de commande de charge selon l'une quelconque des revendications 1 à 5,caractérisé en ce que ledit moyen de sécurité (62-63)est un relais. 7. Circuit de commande de charge selon l'une quel- conque des revendications 1 à 5,caractérisé en ce que ledit moyen de sécurité (62-63)est un commutateur à semiconduc- teur en série avec les bobines des relais du circuit de contacts de relais.