FR 2776103 A1 19990917 FR 9802961 A 19980311 l La présente invention concerne un ensemble de sé- curité notamment pour des équipements de protection électro- sensibles, comprenant - deux micro-contrôleurs recevant séparément les informations (états d'entrée) définies et synchrones pour les traiter et fournir des sorties respectives, - les deux micro-contrôleurs étant reliés par des liens pour rendre cohérent le déroulement des programmes traitant les deux états d'entrée dans les micro-contrôleurs, - un comparateur recevant les sorties des micro-contrôleurs pour émettre un signal en cas de discordance entre les deux sorties. De tels ensembles de sécurité équipent notamment des machines dangereuses. Ils reçoivent des informations de capteurs et traitent les signaux reçus pour valider le fonc- tionnement de l'installation, l'arrêter ou l'interdire. Suivant la catégorie de sécurité dans laquelle se classent ces ensembles de sécurité, les règles sont plus ou moins strictes et dans la catégorie la plus stricte, tout in- cident de fonctionnement doit être traité comme une détection de personne pénétrant dans le champ protégé de la machine. Pour cela, les ensembles de sécurité connus, tels que ceux évoqués ci-dessus, présentent une structure redon- dante. Les informations sont traitées suivant deux chemins, de manière synchrone, et les deux chemins échangent des in- formations de fonctionnement. Puis, les sorties sont compa- rées pour en vérifier la cohérence. Pour modifier la fonction de l'ensemble de sécu- rité, il faut injecter un nouveau paramétrage sur chacune des voies équipées d'un microprocesseur. Cette introduction est relativement longue et fastidieuse car elle se fait, par exemple, à l'aide d'interrupteurs, ce qui limite les possibi- lités en plus des inconvénients ci-dessus. La présente invention a pour but de remédier à ces inconvénients et se propose de créer un ensemble de sécu- rité du type défini ci-dessus, permettant de modifier le pa- ramétrage de l'ensemble de sécurité pour l'adapter facilement à de nouvelles configurations et rendre l'ensemble applicable à de nombreux cas voire polyvalent. A cet effet, l'invention concerne un tel ensemble de sécurité, caractérisé en ce qu'il comprend: - une mémoire réinscriptible associée respectivement à chaque micro-contrôleur, - une interface commune aux deux micro-contrôleurs, reliée à ceux-ci par un micro-contrôleur commun pour inscrire les données de paramétrage des fonctions des deux micro- contrôleurs par l'intermédiaire du micro-contrôleur commun. L'invention permet ainsi simplement de modifier la fonction de l'ensemble de sécurité en introduisant une seule fois par l'intermédiaire de l'interface, les données de paramétrage. Ces données sont communiquées par le micropro- cesseur commun au microprocesseur associé à chacune des deux voies qui inscrivent ces données de configuration dans leur mémoire réinscriptible respective. Pendant cette mise à jour ou cette modification du fonctionnement de l'ensemble de sé- curité, les sorties sont interdites et l'ensemble fonctionne20 en réception des messages de paramétrage. L'écriture bilatérale avec échange permet une écriture sûre du message qui est doublement écrit et reconnu. Chaque message est constitué d'un code à redondance cyclique permettant la vérification et en cas de discordance, le rejet du code. A la fin de ce paramétrage, l'ensemble de sécuri- té est de nouveau disponible pour assurer la fonction de sé- curité par le traitement des états d'entrée, et le synchronisme du traitement par l'échange direct de données entre les deux microprocesseurs des deux voies de traitement parallèles. Suivant d'autres caractéristiques avantageuses: - une mémoire réinscriptible est associée respectivement à chaque micro-contrôleur, - une interface commune aux deux micro-contrôleurs est reliée à ceux-ci par un micro- contrôleur commun pour inscrire les données de paramétrage des fonctions des deux micro- contrôleurs par l'intermédiaire du micro-contrôleur commun. La présente invention sera décrite ci-après de manière plus détaillée à l'aide des dessins annexés dans les- quels: - la figure 1 est un schéma d'un ensemble de sé- curité connu, - la figure 2 est un schéma d'un ensemble de sé- curité selon l'invention, - la figure 3 montre la phase de configuration de l'ensemble de sécurité, - la figure 4 montre l'algorithme général de l'ensemble de sécurité selon l'invention. Selon la figure 1, un ensemble de sécurité connu, destiné aux applications évoquées ci-dessus, se compose de deux branches B1, B2 ayant chacune un micro-contrôleur MC1, MC2. Ces deux branches reçoivent des états d'entrée El, E2 respectifs, fournis par des capteurs équipant l'installation ou la machine mise en sécurité. Les micro-contrôleurs MC1, MC2 fournissent les sorties S1, S2 appliquées à un compara- teur K donnant un signal de sortie S dépendant des sorties SI, S2. Le signal de sortie S déclenche une opération en cas de discordance entre les sorties S1, S2 dans le comparateur K. Ce signal peut être un signal avertisseur ou un signal d'arrêt de la machine ou de l'installation. Pour modifier la configuration de l'ensemble de sécurité, selon la technique connue, il faut introduire les données de paramétrage P séparément dans chacun des micro- contrôleurs MC1, MC2. Cette opération est longue, délicate et fastidieuse. Enfin, la synchronisation du traitement effectué par chacun des micro-contrôleurs MC1, MC2 dans les branches B1, B2 est assurée par des signaux de synchronisation C1, C2 échangés directement entre les deux micro-contrôleurs MC1, MC2. La figure 2 montre schématiquement un ensemble de sécurité selon l'invention. Cet ensemble se compose également de deux voies Bl0, V20 équipées chacune d'un micro- contrôleur MC1, MC2 échangeant entre eux des signaux de synchronisation C1, C2 pour synchroniser le traitement des signaux d'entrée (états d'entrée) EJ, E2 qui leur sont appliqués. Chaque micro-contrôleur MC1, MC2 est associé à une mémoire réinscriptible MM1, MM2 respective. De manière préférentielle, ces mémoires sont de type EEPROM. Les deux micro-contrôleurs MC1, MC2 sont associés à un micro-contrôleur commun MC3 avec lequel chaque micro- contrôleur MC1, MC2 échange séparément des informations C13, C31 ou C23, C32. Le micro-contrôleur commun MC3 est relié à une interface M, par exemple un ensemble de boutons-poussoirs et un afficheur pour recevoir les données de paramétrage P. Pour pouvoir aisément communiquer avec MC3, un menu déroulant y est intégré. Il comporte les fonctions paramétrables, non li- mitatives et, pour certaines, on y accède par un code d'accès confidentiel. Les sorties S1, S2 des micro-contrôleurs MC1, MC2 sont reliées à un comparateur K qui fournit un signal de sor- tie S représentant la concordance des signaux S1, S2 ou leur discordance. Cet ensemble de sécurité fonctionne de la manière suivante, séparément dans deux situations. Dans un premier cas, MC3 est actif et dialogue respectivement avec les micro-contrôleurs MC1, MC2. Pendant cet échange, les sorties S1, S2 sont inactivées. Ce dialogue entre le micro-contrôleur commun MC3 et les micro-contrôleurs MC1, MC2 de chacune des voies V1, V2 peut se traduire par l'inscription d'informations dans les mémoires réinscripti- bles MM1, MM2. Dans un second cas, le micro-contrôleur commun MC3 n'échange pas d'informations avec les micro-contrôleurs MC1, MC2 qui travaillent séparément et en synchronisme en échangeant les données et informations C1, C2. Dans cette phase MC1 et MC2 génèrent en aveugle des informations vers MC3 par les canaux C13 et C23, MC3 saisit ces informations à la volée. Dans ces échanges MC1 et MC2 sont exclusivement émetteurs et MC3 est exclusivement récepteur. Le paramétrage des fonctions des microprocesseurs MC1, MC2 se fait, comme indiqué ci-dessus, par l'introduction des données de paramétrage P par l'interface M et le micro- contrôleur MC3 commun. Le fonctionnement de l'ensemble de sécurité dé- crit ci-dessus et son paramétrage apparaissent à la figure 3. Ainsi, par interface M, on introduit par les bou- tons-poussoirs M1 ou autre moyen d'entrée, un message dans le microcontrôleur MC3 qui envoie des messages 1, 1' vers les micro-contrôleurs MC1, MC2. Ceux-ci échangent des signaux dans les sens 2, 2' pour vérifier l'homogénéité de l'avancement. Puis, les micro-contrôleurs MC1, MC2 envoient chacun un message 3, 3' pour l'inscrire dans la mémoire ré- inscriptible MM1, MM2 associée. Les mémoires MM1, MM2 ren- voient des messages 4, 4' vers leur micro-contrôleur MC1, MC2 respectif qui échange de nouveau des informations 2, 2' et vérifie le message en retour puis renvoie le message ainsi reçu (sous la forme de mots avec un code de contrôle 5, 5') vers le micro-contrôleur commun MC3. Après vérification, ce- lui-ci affiche le message sur l'afficheur M2. Le message af- fiché est celui mis en mémoire dans les mémoires MM1, MM2. Les opérations de la figure 3 sont résumées ci- après: 1 Message transmis à MC1 et MC2 1' 2 MC1 et MC2 contrôlent mutuellement l'existence du message 2' 2' 3 Ecriture dans le EEPROM respectives 3' 4 Vérification de la valeur qui vient d'être enregistrée en EEPROM par MC1 et MC2 respectivement 4' Retour du message de MC1 et MC2 au MC3 5 6 Affichage du message mémorisé Cette écriture bilatérale avec échange permet une écriture sûre du message. En effet le message est doublement écrit et reconnu. Par ailleurs, chaque message 1 et 5 est constitué d'un code possédant une distance de Hamming de 4 par rapport aux autres codes. Ceci est obtenu par un code à redondance cyclique (mot + CRC), c'est-à-dire que chaque code porte en lui son authentification et si cette vérification n'aboutit pas, le code est rejeté. L'ordinogramme de la figure 4 montre le fonction- nement de l'ensemble de sécurité en distinguant le fonction- nement normal (exploitation nominale) et la configuration ou chargement de paramètres P. Tout d'abord, par l'étape El,, E12 de RESET, cor- respondant à la mise sous tension, le programme initialise les périphériques et effectue le test des zones de mémoire (E21, E22). On change la configuration en mémoire réinscrip- tible présente à cet instant (E41, E42) et si le micro- contrôleur MC3 n'a pas été sollicité par les boutons pous- soirs M1 de l'interface M pour effectuer un passage dans la phase 2, on passe à la phase de traitement sécuritaire (phase 1) et l'exécution des tâches sécuritaires E31, E32. On ne sort de cette exécution que par une remise à l'état initial (RESET) engendrée par le micro-contrôleur commun MC3. Par contre, si après les tests d'initialisation E21, E22 et le chargement de la configuration existante E41, E42 si le micro- contrôleur MC3 a été sollicité par l'interface M c'est-à-dire les boutons poussoirs M1 pour ef- fectuer un passage dans la phase 2, alors on passe dans la phase 2. Tout d'abord, la nouvelle configuration est trans- mise aux micro-contrôleurs MC1, MC2 par le micro-contrôleur commun MC3 (étape E51, E52). Ce chargement est suivi par des échanges E61, E62 puis l'enregistrement de la nouvelle confi- guration dans la mémoire réinscriptible étape E71, E72. Si besoin, la boucle recommence par la nouvelle configuration ou on sort de cette boucle par un signal de RESET envoyé par le micro-contrôleur commun MC3. Ainsi, en conclusion, les micro-contrôleurs MC1, MC2 travaillent suivant deux phases de fonctionnement tempo- rellement distinctes. Ils peuvent travailler soit suivant une phase nominale sécuritaire, soit suivant une phase de confi- guration avec inscription des paramètres. L'exécution de l'une ou l'autre des deux phases est indépendante et le pas- sage d'une phase à l'autre se fait exclusivement par le si- gnal de RESET. R E V E N D I C A T IONS 1 ) Ensemble de sécurité notamment pour des équipements de protection électrosensibles, comprenant - deux micro-contrôleurs (MC1, MC2) recevant séparément les informations (états d'entrée) (E1, E2). définies et synchro- nes pour les traiter et fournir des sorties (S1, S2) res- pectives, - les deux micro-contrôleurs (MC1, MC2) étant reliés par des liens (C1, C2) pour rendre cohérent le déroulement des pro- grammes traitant les deux états d'entrée dans les micro- contrôleurs (MC1, MC2), - un comparateur (K) recevant les sorties (S1, S2) des micro- contrôleurs (MC1, MC2) pour émettre un signal en cas de discordance entre les deux sorties (S1, S2), caractérisé en ce qu'il comprend: - une mémoire réinscriptible associée respectivement à chaque micro- contrôleur (MC1, MC2), -une interface (M) commune aux deux micro- contrôleurs (MC1, MC2), reliée à ceux-ci par un micro-contrôleur (MC3) commun pour inscrire les données de paramétrage des fonctions des deux micro-contrôleurs (MCl, MC2) par l'intermédiaire du micro-contrôleur (MC3) commun. 2 ) Ensemble de sécurité selon la revendication 1, caractérisé en ce que l'interface est formée de boutons-poussoirs et d'un affi- cheur. 3 ) Ensemble de sécurité selon la revendication 1, caractérisé en ce que le troisième micro-contrôleur (MC3) dialogue avec les deux micro-contrôleurs (MC1, MC2) qui inscrivent chacun des infor- mations dans les mémoires respectives (MM1, MM2) pendant que les sorties (S1, S2) des deux micro-contrôleurs (MC1, MC2) sont inactivés. 4 ) Ensemble de sécurité selon la revendication 1, caractérisé en ce que les micro-contrôleurs (MC1, MC2) travaillent suivant des pha- ses de fonctionnement temporellement distinctes, - une phase nominale sécuritaire, - une phase de configuration, d'inscription des paramètres, l'exécution de ces deux phases étant totalement indépendante et le passage d'une phase à l'autre se faisant par le signal de RESET exclusivement.