FR 2648903 A1 19901228 FR 9008028 A 19900626 "Dispositif de sécurité comportant au moins un capteur sans contact pour la mesure d'évolutions de déplacements mécaniques d'un appareil" L'invention concerne un dispositif de sécurité comportant au moins un capteur sans contact pour la mesure d'évolutions de déplacements mécaniques d'un appareil. Dans les machines et installations dans lesquelles peuvent survenir des risques pour la personne et la vie des personnes travaillant sur ces machines, on prend des masures de sécurité particulières. Les évolutions des déplacements mécaniques dans ces machines ou dispositifs sont par exemple contrôlées à l'aide de capteurs qui travaillent fréquemment sans contact. On impose aux dispositifs de sécurité reposant sur de tels capteurs des exigences particulières pour les défauts gui y surviennent, exigences devant faire qu'en cas de tout défaut (individuel) imaginable, la machine est placée dans un état de sécurité supérieure (en règle générale par mise hors circuit). Les évolutions du travail, respectivement les processus de commutation sur les machines et installation sont déclenchés par des capteurs, respectivement des senseurs, par exemple par des capteurs de fin de course ou des interrupteurs de proximité, qui doivent pour cette raison également présenter un comportement spécifique en cas de défaillance. La présente invention concerne les interrupteurs de sécurité (par exemple les interrupteurs de proximité) qui ne nécessitent aucune force ni contact pour l'actionnement et qui sont peu sujets à usure. L'invention a pour but de développer un dispositif de sécurité comportant au moins un capteur sans contact pour mesurer des évolutions de déplacements mécaniques d'un appareil, qui satisfasse à des exigences particulièrement élevées de sécurité et qui puisse détecter aussi bien un défaut dans le capteur et dans les conducteurs posés vers le capteur, qu'également dans le dispositif de sécurité même. Selon l'invention, ce problème est résolu par le fait qu'en provenance d'au moins deux parties de circuit de sécurité travaillant indépendamment l'une de l'autre, on amène chaque fois un signal à une entrée d'un capteur, qui présente un comportement de transmission entre au moins l'une des entrées et au moins une sortie pour signaux, que le signal présent à la sortie du capteur est contrôlé par les deux parties de circuits de sécurité, avec le signal d'entrée, et comparé au résultat du contrôle de chaque autre partie de circuit de sécurité et qu'une information de défaut est produite en cas de non-coïncidence. L'invention repose sur le principe que tous les composants du circuit de sécurité, dont on exige la sécurité en cas de défaillance, soient construits de façon redondante, donc que les composants servant à la production d'une fonction de test, au contrôle de la présence de la fonction de test, au contrôle de la fonction de transmission du capteur et au regroupement des résultats de mesure doivent exister. Le cas échéant, le regroupement des signaux de commutation met en jeu plusieurs capteurs, ce qui s'effectue également de manière sure (redondante). Le circuit de sécurité globalement réalisé redondant est alors groupé de préférence en deux circuits intégrés qui sont fonctionnellement identiques, qui contiennent chacun l'un des blocs doubles nécessaires. Les deux parties de circuit de sécurité contrôlent le même capteur ou enregistreur. De préférence, les signaux injectés par les deux parties de circuit de sécurité dans le capteur sont superposés de manière additive et le signal présent à la sortie du capteur est amené aux deux parties de circuit de sécurité. Il est de préférence prévu des filtres dans les deux parties de circuit de sécurité, pour le signal qui provient du capteur, et qui réagissent uniquement à un signal injecté s'il est correct. Des modes de réalisation avantageux résultent des sous-revendications. D'autres détails, avantages et caractéristiques de l'invention apparaîtront non seulement dans les revendications, de leurs caractéristiques prises en soi ou en combinaison, mais également à la lecture de la description suivante d'exemples de réalisation de l'invention, faite à tire non limitatif et en regard du dessin annexé. Dans le dessin: - la figure 1 représente un schéma à bloc de deux capteurs raccordés à un circuit de sécurité, - la figure 2 représente un schéma & bloc d'un circuit de sécurité avec un capteur sans contact, - la figure 3 est une vue en perspective d'un capteur avec un décalage de phase des signaux d'entrée et de sortie, - la figure 4 est une vue en perspective 26489O3 d'une autre forme de réalisation d'un capteur, - la figure représente un schéma d'un circuit de sécurité composé de deux parties de circuit de sécurité et d'un capteur raccordé au circuit de sécurité, et - la figure 6 représente un schéma d'un circuit de sécurité raccordé à plusieurs capteurs, avec deux circuits intégrés programmables par l'utilisateur. Pour contrôler de façon redondante l'évolution d'un déplacement à caractère d'importance pour la sécurité, on met en oeuvre deux capteurs 1, 2, respectivement senseurs, pour le même processus. Les deux capteurs 1, 2 sont chacun raccordés à deux circuits de contrôle 3, 4 dans lesquels sont comparés entre eux les signaux de sortie des capteurs 1, 2. On peut détecter de cette manière aussi bien des défauts du capteur qu'également des défauts internes des circuits de contrôle 3, 4. Les défauts doubles, c'est- à-dire les défauts simultanés dans les capteurs 1, 2 ne peuvent pas être identifiés. Par rapport au dispositif représenté sur la figure 1, on crée par l'invention un dispositif qui satisfait à des exigences techniques de sécurité particulièrement élevées. Un tel dispositif est représenté par exemple sur la figure 2. Avec deux parties de circuit de sécurité appartenant à un circuit de sécurité 6, on contrôle au moins un capteur à l'aide duquel on mesure les évolutions de déplacement mécaniques. Le circuit de sécurité 6 contient en double les parties déterminées pour l'identification et le contrôle des défauts. Les parties de circuit de sécurité en double ne doivent pas nécessairement être complètement identiques. Si elles ne sont pas identiques, ceci offre l'avantage qu'aucun défaut du même type ne peut survenir dans chacune d'elles en même temps. Le circuit de sécurité 6 contient deux générateurs de fonction de test 7, 8 qui produisent chacun à leur sortie des signaux de contrôle identiques. Les signaux de contrôle sont superposés l'un à l'autre, en particulier de façon additive, et injectés dans le capteur 5. On utilise un capteur 5 qui présente une entrée 9 et une sortie 10 et un comportement de transmission qui est différent dans des états différents du capteur, pour le signal qui le parcoure. Les signaux injectés sur le capteur 5 et le comportement de transmission du capteur 5 sont déterminés l'un par rapport à l'autre de telle façon qu'un défaut dans le capteur 5 provoque une modification détectable de l'allure du signal, respectivement du signal, ce dernier ne devant pas nécessairement être interrompu. Un dispositif d'exploitation 11 est mis en circuit après le capteur, respectivement le senseur 5, qui entreprend les actions nécessaires dans le déroulement de la commande du dispositif et qui met celui-ci par exemple à l'arrêt dans le cas o est atteinte une valeur déterminée du signal à la sortie du capteur 5. Un signal du dispositif d'exploitation 11 est amené à deux dispositifs 12, 13 pour le contrôle de la fonction de transmission, les deux signaux de sortie des générateurs de fonction de test 7, 8 étant en même temps amenés à ces dispositifs. Le signal de sortie du circuit d'exploitation 11 est comparé dans chaque dispositif de contrôle 12, 13 aux signaux de sortie des générateurs de fonction de test 7, 8. Si l'on constate un écart des signaux lors de la comparaison, on produit alors une information de défaut. Un écart ne doit pas être provoqué que par un défaut dans le capteur 5. Un défaut peut survenir également dans le circuit de sécurité 6 même. Le circuit de sécurité 6 est de ce fait contrôlé quant à l'éventualité de défauts internes, c'est-à-dire qu'il se contrôle lui- même. Du résultat de la comparaison des deux dispositifs de contrôle 12, 13 est amené en commun à deux circuits combinatoires 14, 15 qui contrôlent les résultats de comparaison et peuvent de ce fait identifier des défauts dans les dispositifs de contrôle. Les circuits combinatoires 14, 15 exécutent des combinaisons du type ET. Les générateurs de fonction de test 7, 8, les dispositifs de contrôle 12, 13 et les circuits de combinaison 14, 15 appartiennent chaque à deux parties de circuit de sécurité travaillant indépendamment l'une de l'autre. Un capteur 16 particulièrement adapté pour le contrôle est représenté sur la figure 3. Le capteur 16 contient un noyau à demi-coquilles 17 en matériau ferromagnétique, disposé sur une tête de capteur non représentée en détail. Le noyau à demi-coquilles 17 porte un enroulement 18 dont les extrémités sont placées en série avec une inductance isolée, sur une source de tension alternative. Ces sources de tension alternative sont par exemples constituées par les générateurs de fonction de test 7, 8. Sur une contre- pièce, qui n'est pas non plus dessinée en détail, se trouve un deuxième noyau à demi-coquilles 19 comportant une bobine 20 qui est raccordée à une capacité 21. On dispose en série avec la bobine 8 par exemple un shunt pour mesurer l'intensité que véhicule la sortie du capteur 16. La tête de capteur et la contre-pièce sont mobiles relativement l'une par rapport à l'autre et fixées sur des parties de machine dont l'espacement ou l'espace intermédiaire est contrôlé. Dans le cas d'un écartement déterminé, le couplage par transformateur entre les bobines 18, 19 est si important que le condensateur 21 provoque l'apparition d'une résistance d'entrée du capteur 16 qui est fortement capacitive. Cette résistance d'entrée est maintenu même pour des espacements plus petits. Le courant du capteur 16 que l'on peut mesurer à l'aide du shunt présente alors un décalage de phase de nature capacitif par rapport à la tension alternative d'entrée. Si l'écartement dépasse l'écartement mentionné ci- dessus, ou si les deux bobines sont isolées par une pièce s'introduisant dans l'espacement, on observe une diminution forte ou une suppression du couplage entre les bobines 18, 20, de sorte qu'on observe une résistance d'entrée de nature fortement inductive sur le capteur 16. En fonction de l'écartement ou de l'isolation, il règne un décalage de phase mesurable entre intensité et tension qui est une caractéristique de l'écartement, respectivement de l'isolation. Une condition permettant le fonction- nement d'un dispositif est que l'on ait par exemple du fait de cet espacement une résistance d'entrée fortement capacitive, avec un décalage de phase d'à peu près 90'. Si ce décalage de phase prend un caractère inductif, ceci est identifié par le circuit de sécurité et fait l'objet d'une information. Ceci vaut également dans le cas d'un décalage de phase nul, qui peut être provoqué par un court circuit, donc un défaut dans le capteur 16. Un autre capteur 22 contient, tout comme le capteur 16, deux noyau à demicoquilles 17, 19, d'un noyau en pot, avec les enroulements 18, 20 respectifs. Les noyaux à demi-coquilles 17, 19 sont à nouveau disposés sur une tête de capteur et sur une contre- pièce. La bobine 20 est reliée à une diode lumineuse 23 placée sur la contre-pièce. La diode lumineuse 23 est confrontée à un photodétecteur 24 placé sur la tête de capteur. Les raccordements de la bobine 18 sont les entrées du capteur 22, dont les sorties sont les raccordements du photodétecteur 24. Dans le cas d'un écartement limite, respectivement d'un faible écartement, il doit y avoir opposition de phase entre le signal aux raccordements de la bobine 18 et le signal à la sortie du photodétecteur 24, cette opposition de phase étant produite par un branchement tel qu'un capteur 16 ou par un barrage photoélectrique qui présente une structure correspondante. Dans le cas d'un barrage photoélectrique, ceci est possible du fait qu'un optocoupleur est disposé dans un circuit oscillant. Il est par exemple prévu une dérivation de sortie qui fait passer un courant lorsque le photodétecteur n'est pas éclairé. On ne peut utiliser un barrage photoélectrique en tant que tel, c'est-à-dire ne comportant aucun composant de capteur travaillant de manière inductive. Le circuit de sécurité est réalisé en particulier selon la technique intégrée. Les parties de circuit de sécurité sont réalisées de préférence sous forme de deux circuits intégrés séparés. Du fait que des circuits intégrés peuvent osciller, on utilise des circuits à l'aide desquels peuvent être produits des suites aléatoires ou des suites pseudo-aléatoires. Si ces suites peuvent être émises avec un décalage temporel, on peut identifier des courts-circuits dans le circuit. La figure 5 représente deux circuits programmés par l'utilisateur (circuits ASIC), chaque fois sous forme de parties de circuits de sécurité 25, 26, qui contiennent chacune un oscillateur 27, 28. Dans les parties de circuit de sécurité 25, 26 se trouvent un certain nombre de composants fonctionnels qui sont décrits plus en détail ciaprès, qui traitent chacun des signaux qui sont produits par les oscillateurs 27 ou 28. Les composants fonctionnels sont représentés sous forme de carrés dans lesquels est chaque fois hachuré u coin. Les sens différents des hachures signifient l'association à l'un des deux oscillateurs 27, 28. Si des composants fonctionnels selon la figure 5 ne contiennent aucune hachure, ils traitent de signaux qui sont produits par les deux oscillateurs. Le dispositif à la figure 5 contient comme capteur 6 un barrage photoélectrique 29 qui produit une opposition de phase entre signal d'entrée et. signal de sortie, ce qui est provoqué par exemple par un condensateur 30 placé à la sortie du barrage photoélectrique. Chaque partie de circuit de sécurité , 26 contient un générateur aléatoire 31, 32 injectent leurs signaux de sorte, par l'intermédiaire de résistances non représentées en détail, dans une diode lumineuse du barrage photoélectrique 29. Le signal de sortie du barrage photoélectrique 29 arrive à deux démodulateurs 35, 36 placés dans les parties de circuit de sécurité 25, 26. Des corrélateurs 37, 38 sont chaque fois placés derrière les démodulateurs 35, 36 et produisent chacun des nombres servant à la corrélation du signal d'entrée démodulé, par exemple un nombre négatif ou un nombre positif, pour obtenir une corrélation négative ou positive. Les nombres du corrélateur 37 arrivent à un comparateur 39 situé dans la partie de circuit de sécurité 25 et dans un comparateur 40 situé dans la partie de circuit de sécurité 26. Les nombres du corrélateur 38 arrivent dans un comparateur 41 situé dans une partie de circuit de sécurité 25 et dans un comparateur 42 situé dans la partie de circuit de sécurité 25. Le comparateur 39 reçoit un signal de sortie d'un modulateur 43 situé dans la partie de circuit de sécurité 26, qui est reliée par un circuit de retardement 44 au générateur aléatoire 32. Le circuit de retardement 44 alimente également le comparateur 40. Le comparateur 41 reçoit un signal de sortie d'un modulateur 45 situé dans la partie de circuit de sécurité 25, qui est reliée par un circuit de retardement 46 au générateur aléatoire 31. Le circuit de retardement 46 alimente également le comparateur 42. Un corrélateur propre 47, 48, 49, 50 est placé en circuit après chaque comparateur 39, 40, 41, 42. Les corrélateurs 47, 50 alimentent les entrées d'un élément-ET 51 qui est raccordé par une autre entrée à un circuit de test de cadencement 52 qui est sollicité par le signal de sortie du générateur aléatoire 31. Les corrélateurs 48, 49 alimentent les entrées d'un élément-ET 53 qui est raccordé par une autre entrée à un circuit de test de cadencement 54 qui est sollicité par le signal de sortie du générateur aléatoire 32. D'autres entrées des éléments-ET 51, 53 sont chaque fois raccordés aux circuits de test de cadencement 54, 52. Dans les parties de circuits de sécurité 25, 26 sont chaque fois prévus des circuits de test de démarrage 55, 56 qui sont reliés entre eux et reliés aux modulateurs 45, 43. Deux signaux de sortie anti-coïncidents entre eux sont disponibles sur chacun des éléments-ET 51 et 53. Les circuits de test de démarrage 55, 56 peuvent être démarrés par des signaux de remise à l'état initial. Un dispositif comprenant les signaux anti- coïncidents est en particulier monté en circuit après les éléments-Et 51, 52 et produit une information en cas de disparition de l'anti-coïncidence. Les décalages de phase sont mesurés par les passages à zéro à l'aide du circuit représenté sur la figure 5. Les suites aléatoires sont modulées en phase. Les porteuses sont démodulées de manière numérique et l'on déterminé la durée de transmission d'un caractère. On peut ainsi contrôler si le signal émis par le barrage photoélectrique est en phase ou en opposition de phase avec la porteuse ou s'il n'y a pas corrélation (par exemple en cas d'interruption). Du fait de la modulation de phase, le récepteur numérique est également impliqué dans le contrôle. On effectuer ensuite la corrélation sur le nombre des caractères transmis, afin de filtrer ainsi des perturbations de brève durée et de mettre à disposition un signal de sortie statique. A l'aide du circuit de test de démarrage on peut simuler un défaut avant chaque démarrage, ce qui n'est pas possible en fonctionnement du fait de la mise hors service qui en résulterait obligatoirement pour la machine. Dans le dispositif représenté sur la figure 6, on contrôle les signaux de sortie de plusieurs capteurs 57, 58, 59, 60 dans deux circuits intégrés 61, 62 séparés l'un de l'autre, qui sont des circuits programmés par l'utilisateur. Dans le cas des capteurs 57, 58, 59, 60 il peut s'agir de barrages photoélectriques à fourchette, de coupleurs inductifs pour la transformation d'une réactance capacitive et de barrages photoélectriques pour produire un signal de sortie en opposition de phase. Les schémas de ces types de capteurs sont représentés à gauche de la figure 6. Chaque circuit 61, 62 émet deux signaux mutuellement anti-coïncidents qui alimentent par exemple des relais de sécurité 63, 654. On peut ainsi identifier des défauts des circuits de sortie et l'on peut former à partir de ces signaux des sorties anti- coïncidentes pour la suite du contrôle. Il est en outre possible d'obtenir une signalisation et une commande sure des relais de sécurité 63, 64. Du fait de la permutation mutuelle des signaux entre les circuits, par exemple les parties de circuit de sécurité 25, 26, il est possible d'identifier également des pannes complètes d'un circuit. Une suite aléatoire est par exemple produite dans un circuit intégré et comparée dans les deux circuits avec le signaux démodulés des capteurs. Dans le cas d'utilisation de circuits intégrés supplémentaires et d'un enchaînement de l'exploitation des signaux (par exemple d'un circuit 1 à l et 2, d'un circuit 2 à 2 et 3, d'un circuit 3 à 3 et 1) on peut aussi créer une tolérance de panne, donc identifier les circuits défectueux lors de la réception de la fonction complète. REVENDICATION S 1) Dispositif de sécurité comportant au moins un capteur sans contact pour la mesure d'évolutions de déplacements mécaniques d'un appareil, caractérisé en ce qu'en provenance d'au moins deux parties de circuit de sécurité (25, 26) travaillant indépendamment l'une de l'autre, on amène chaque fois un signal à une entrée d'un capteur (29), qui présente un comportement de transmission entre au moins l'une des entrées et au moins une sortie pour signaux, que le signal présent à la sortie du capteur (29) est contrôlé par les deux parties de circuits de sécurité (25, 26), avec le signal d'entrée, et comparé au résultat du contrôle de chaque autre partie de circuit de sécurité et qu'une information de défaut est produite en cas de non-coïncidence. 2) Dispositif de sécurité selon la revendication 1, caractérisé en ce que les signaux injectés par les deux parties de circuit de sécurité (25, 26) dans le capteur (29) sont superposés de manière additive et que le signal présent à la sortie du capteur (29) est amené aux deux parties de circuit de sécurité (25, 26). 3) Dispositlf de sécurité selon la revendication 1 ou 2, caractérisé en ce que des signaux variables dans le temps et provenant des parties de circuit de sécurité (25, 26) sont amenés au capteur (5, 16, 22, 29) et que le capteur (5, 16, 22, 29) modifie la phase des signaux injectés dans le cas d'un fonctionnement parfait. 4) Dispositif de sécurité selon un ou plusieurs quelconques des revendications précédentes, caractérisé en ce que le capteur (16) contient une première bobine (18) qui est placée en série sur une entrée, avec une inductance isolée, et qu'une autre bobine (20) du capteur (16), qui est reliée à un condensateur (21), est disposée mobile par rapport à la première bobine (18). ) Dispositif de sécurité selon une ou plusieurs quelconques des revendications précédentes, caractérisé en ce que le capteur (29) est réalisé sous forme de barrage photoélectrique, qui produit à sa sortie un signal de sortie, qui est en opposition de phase par rapport au signal d'entrée, lorsque le trajet de transmission de la lumière est libre. 6) Dispositif de sécurité selon une ou plusieurs quelconques des revendications précédentes, caractérisé en ce qu'un capteur (22) présente deux bobines (18, 20), mobiles l'une par rapport à l'autre, accouplables en transformateur, et est relié à sa bobine secondaire (20) avec un barrage photoélectrique et que les bobines (18, 20) et/ou le barrage photoélectrique sont reliés à l'aide de moyens pour produire le décalage de phase du signal d'entrée et du signal de sortie. 7) Dispositif de sécurité selon une ou plusieurs quelconques des revendications précédentes, caractérisé en ce que les signaux injectés par les parties de circuit de sécurité (25, 26) dans le capteur (29) sont modulés en phase et que le décalage de phase entre les signaux d'entrée et de sortie du capteur (29) est déterminé par comparaison des passages à zéro des signaux. 8) Dispositif de sécurité selon une ou plusieurs quelconques des revendications précédentes, caractérisé en ce que les signaux de sortie du capteur (29) sont démodulés de manière numérique et qu'il est formé une valeur moyenne de la longueur d'un caractère transmis. 9) Dispositif de sécurité selon une ou plusieurs quelconques des revendications précédentes, caractérisé en ce qu'une corrélation est effectuée pour un nombre prédéterminable de caractères transmis. ) Dispositif de sécurité selon une ou plusieurs quelconques des revendications précédentes, caractérisé en ce que chaque partie de circuit de sécurité (25, 26) est disposée dans un circuit intégré (ASIC) programmable par le client. 11) Dispositif de sécurité selon une ou plusieurs quelconques des revendications précédentes, caractérisé en ce que dans chaque partie de circuit de sécurité (25, 26) est prévu un générateur aléatoire (31, 32) après lequel est mis en circuit un modulateur (33, 34) auquel est raccordé un capteur, chaque partie de circuit de sécurité (25, 26) alimentant un démodulateur (25, 26) après lequel est mis en circuit un corrélateur (37, 38), ces derniers étant raccordés au comparateur (39, 40; 41, 42) qui sont en plus alimentés chacun par l'intermédiaire d'un circuit de retardement (44, 46) et d'un modulateur (43, 45) appartenant à la même partie de circuit de sécurité (25, 26) ou à celle qui est chaque fois l'autre partie de circuit de sécurité. 12) Dlspositif de sécurité selon une ou plusieurs quelconques des revendications précédentes, caractérisé en ce que des corrélateurs (47, 50, 48, 49) sont mis en circuit après les comparateurs (39, 42; 40, 41) et reliés deux à deux à l'aide d'éléments- ET (51, 53), auxquels peuvent être amenés les signaux de test de cadence des deux générateurs aléatoires (31, 32). 13) Dispositif de sécurité selon une ou plusieurs quelconques des revendications précédentes, caractérisé en ce que chaque partie de circuit de sécurité (25, 26) présente un circuit de test de démarrage (55, 56), qui est relié chaque fois à l'autre circuit de test de démarrage et à un modulateur (45, 43) qui alimente un comparateur (41, 39). !o