FR 2694200 A1 19940204 FR 9209511 A 19920731 La présente invention concerne les dispositifs de sécurité, en vue d'éviter un déclenchement intempestif dans une centrale de détection et de commande automatique d'équipements de protection contre l'incendie, tels que matériels d'extinction de divers types, portes coupe-feu, etc. Dans les centrales de détection et de commande automatique réalisées à l'aide de microprocesseurs ou de microcontrôleurs, il est important d'éviter toute commande accidentelle des équipements de protection contre l'incendie en cas de défaillance de l'unité centrale, due à un accident matériel ou logiciel se traduisant par une perte d'information ou une défaillance dans le déroulement des programmes. Dans ce but, l'invention a pour objet un dispositif de sécurité, en vue d'éviter un déclenchement intempestif dans une centrale de détection et de commande automatique d'équipements de protection contre l'incendie, comportant un microprocesseur M sur lequel sont branchés: - des lignes de signalisation connectées à des détecteurs, - une sortie de contrôle de fonctionnement fournissant un signal de défaut de fonctionnement CDG, - une sortie de commande générale d'alarme fournissant un signal d'alarme général CGA, - un circuit d'alarme générale, - des sorties de commande particulière CA1 à CAn des équipements automatiques de protection, - des circuits de contrôle et de commande AL1 à ALn des équipements automatiques de protection, caractérisé en ce que la sortie de commande générale d'alarme CGA et la sortie de défaut de fonctionnement CDG sont connectées aux deux entrées d'une deuxième porte logique ET, le circuit d'alarme générale ALGE étant connecté à Ia sortie de la porte, et en ce que, entre la sortie du signal d'alarme générale CGA et le circuit d'alarme générale, sont disposés des moyens de retard de transmission TALG, supérieur au temps de détection TAN du signal CDG de défaut de fonctionnement. L'invention a aussi pour objet un procédé pour éviter un déclenchement intempestif dans une centrale de détection et de commande automatique d'équipements de protection contre l'incendie, comportant un microprocesseur M sur lequel sont branchés: - des lignes de mesure connectées à des détecteurs d'incendie ou à des dispositifs manuels d'alarme type "Coup de poing", - une sortie de contrôle de fonctionnement fournissant un signal de défaut de fonctionnement CDG, - une sortie de commande générale d'alarme fournissant un signal d'alarme général CGA, - un circuit d'alarme générale, - des sorties de commande particulière CA1 à CAn des équipements automatiques de protection, - des circuits de contrôle et de commande AL1 à ALn des équipements automatiques de protection, caractérisé en ce que l'on connecte la sortie de commande générale d'alarme CGA et la sortie de défaut de fonctionnement CDG aux deux entrées d'une deuxième porte logique ET, et le circuit d'alarme générale ALGE à la sortie de la porte, et en ce que le déclenchement de l'alarme générale ALGE par le signal d'alarme générale CGA est retardé d'un temps TALG supérieur au temps de détection TAN du signal CDG de défaut de fonctionnement, de façon que le circuit d'alarme générale ALGE ne soit activé qu'en l'absence d'un signal CDG de défaut de fonctionnement. Ainsi, s'il se produit en concommittance avec un signal d'alarme générale, soit un défaut dans le déroulement normal du logiciel, soit un défaut de fonctionnement de la sortie de commande générale d'alarme du système à microprocesseur, cette sortie ne répondant plus aux commandes transmises par le programme pour une raison quelconque, la sortie de contrôle de fonctionnement fournira un signal qui arrivera sur une entrée de la porte logique, avant que le signal d'alarme générale n'ait pu déclencher le circuit d'alarme générale. Dans un mode de réalisation avantageux, le dispositif comporte des moyens pour émettre régulièrement sur la sortie de contrôle du fonctionnement, des impulsions attestant le bon fonctionnement, le signal de défaut étant réalisé par l'arrêt des impulsions, cet arrêt étant détecté et transformé en signal par un circuit du type chien de garde, dont la sortie est connectée à une entrée de ladite porte. Selon un mode d'application avantageux de l'invention, la sortie de contrôle du fonctionnement et la sortie de commande générale d'alarme sont situées sur la même borne du microprocesseur, le signal d'alarme générale étant filtré par une circuit intégrateur éliminant lesdites impulsions. D'autres caractéristiques et avantages de l'invention apparaitront au cours de la description qui va suivre, donnée à titre d'exemple non limitatif, en regards des dessins ci-joints, et qui fera bien comprendre comment l'invention peut être réalisée. Sur les dessins, - la figure 1 est un schéma de principe d'un dispositif selon l'invention, - la figure 2 est un diagramme des signaux délivrés sur la sortie de commande générale d'alarme, - la figure 3 est une série de chronogrammes représentant les tensions en divers points du circuit électronique, dans le cas d'une commande normale, et dans le cas d'une commande accidentelle, - la figure 4 est une variante du schéma d'un détail du dispositif, et - la figure 5 est une variante du schéma d'un autre détail du dispositif. Sur le schéma de principe de la figure 1, A1, A2 et A3 sont des amplificateurs inverseurs, de préférence triggés; C1 et C4 sont des condensateurs de faibles valeurs et de même ordre de grandeur; C2 et C5 sont des condensateurs d'un-ordre de grandeur supérieur; P1 est une porte ET à trois entrées, P2 est une porte ET NON à deux entrées; T1, T2, TL1 ... TLn sont des transistors bipolaires N.P.N. ou MOS CANAL N; RAG, REL1 ... RELn, sont des relais. Le dispositif comporte un microprocesseur M, qui inclut ses mémoires de programme (logiciel) et de travail (données), ses interfaces d'entrée et de sortie et, en particulier, celles permettant Ia commande tout ou rien de certaines sorties. Cet ensemble est réalisé à l'aide d'un simpIe microcontrôleur ou d'un microcontrôleur en version extensible ou encore d'un microprocesseur auquel des composants périphériques sont adjoints: mémoire morte pour le logiciel, mémoire vive pour les données, buffers d'entrée et de sortie, périphériques programmables, ces différents composants étant connectés sur le bus du microcontrôleur ou du microprocesseur. Le microprocesseur comporte naturellement des sorties pour des lignes de signalisation connectées à des détecteurs. Sur la sortie 1, le microprocesseur M émet un signal RST, indiquant que le microprocesseur est désactivé. Sur la sortie 2, le microprocesseur M émet un signal DEFL de défaut de logiciel: signal normalement à 1 qui est désactivé si un défaut est observé par le logiciel lui-même (défaut de paramétrage par exemple consécutif à une perte d'information d'une des mémoires de l'ensemble) En marche normale, les signaux RST et DEFL sont au niveau haut (+ 5 V par exemple qui est la tension d'alimentation de l'ensemble à microprocesseur et des amplificateurs et portes logiques). La sortie 3 délivre un signal CGA de commande générale d'alarme, de niveau bas si aucune alarme n'est à transmettre ou de niveau haut si une alarme est à transmettre. Sur la même sortie 3 est également délivré un signal de défaut de fonctionnement qui peut être soit un défaut dans le déroulement normal du logiciel, soit un défaut de fonctionnement de la sortie CGA du système à microprocesseur, cette sortie ne répondant plus aux commandes transmises par le programme pour une raison quelconque. Comme il a été rappelé plus haut, les signaux de commande générale d'alarme et le signal de défaut de fonctionnement pourraient être délivrés sur deux sorties différentes. Comme on le verra par la suite, il est simple de différencier ces signaux et de les exploiter séparément. Ceci contribue à accroître la fiabilité du dispositif de protection contre des défaillances du sytsème. Le signal de défaut de fonctionnement est fourni sous la forme d'impulsions régulières qui indiquent le bon fonctionnement. Un défaut est signalé par I'arrêt des impulsions. Ce signal se superposant sur la sortie 3 au signal de commande générale d'alarme, qui est un signal bas ou haut, les signaux délivrés par la sortie 3 sont des signaux bas ou haut comportant une impulsion de très brève durée T1 de niveau inverse, conformément au diagramme de la figure 2. Les impulsions de durée T1 sont espacées du temps T2, l'ensemble étant géré par un logiciel qui effectue un constat de déroulement normal des programmes et règle les durées T1 et T2. D'autres sorties reçoivent les commandes particulières d'alarme CA1 à CAn, qui sont connectées par des sécurités appropriées, décrites plus en détail ci-après, aux circuits de contrôle et de commande des sorties d'alarme, utilisées pour la commande des équipements automatiques de protection. L'invention utilise de façon classique sur la sortie 3 un circuit de surveillance dit "chien de garde", assurant la fonction de réinitialiser le système, après une panne quelconque de logiciel ou de système (un tel système peut comporter plusieurs centaines de milliers de transistors). un tel circuit est nécessaire et de très nombreuses solutions peuvent être adoptées pour réaliser cette fonction. La solution présentée est l'une des plus simples donc une des plus économiques et des plus fiables. Elle est réalisée par l'ensemble C1, R1, A1, T1, R2, C2, R3, A2 et la porte P1 dans le cas qui nous concerne (se reporter sur la partie en haut à droite de la figure 1). ll est acquis que ce sous-ensemble émet un signal CDG ou DEFAUT GENERAL lorsqu'il y a constat que le fonctionnement du microsystème informatique présente une anomalie dans son déroulement ou dans les données nécessaires à ce fonctionnement au bout d'un temps que nous appelerons TAN. Le circuit représenté fonctionne de la façon suivante. Le front descendant de chaque impulsion T1 est transmis à l'amplificateur inverseur A1 à travers le circuit de différenciation R1 C1 et la sortie de cet amplificateur émet alors un signal positif qui commande le transistor T1. Ce transistor décharge le condensateur C2 à travers la résistance R2. Entre les impulsions brèves, le condensateur C2 est rechargé à travers la résistance R3 dont la valeur est telle que le seuil de tension provoquant la commande de l'amplificateur inverseur A2 n'est pas atteint entre deux impulsions. La disparition des impulsions brèves T1 traduit, soit un défaut dans le déroulement normal du logiciel, soit un défaut de fonctionnement de la sortie CGA du système à microprocesseur, cette sortie ne répondant plus aux commandes transmises par le programme pour une raison quelconque. Dans ce cas, le condensateur C2 est progressivement chargé et, quand le seuil de commande de l'amplificateur inverseur A2 est atteint, cet amplificateur émet un signal bas CDG sur sa sortie, au bout du temps TAN. Ce signal bas est transmis par la porte P1 (ET logique) à l'entrée 2 de la porte P2 (ET NON logique). Le signal CGA est aussi transmis à l'entrée 1 de la porte P2 à travers le circuit d'intégration R4 C4 dont la constante de temps CT est très supérieure à Ia durée de l'impulsion T1. Ces impulsions brèves ne sont donc pas transmises par la porte P2. Lorsque le signal CGA est bas (absence d'alarme), la sortie de la porte P2 est au niveau haut quel que soit le niveau de l'autre entrée. L'entrée de l'amplificateur inverseur A3 est alors au niveau haut et sa sortie au niveau bas. Le transistor T2 n'est pas commandé et aucun courant ne parcourt la bobine du relais RAG (relais d'alarme générale) dont les contacts sont au repos. Lorsque le signal CGA est au niveau haut (alarme) et si, et seulement si l'entrée 2 de la porte P2 est aussi au niveau haut (présence d'impulsions), la sortie de cette porte passe au niveau bas. Ce signal bas n'est pas transmis par la diode D5 qui est soumise à une tension inverse. I1 est transmis par le circuit d'intégration R5 C5 dont la constante de temps est sensiblement plus grande que celle obtenue par l'ensemble R3 C2. Lorsque le seuil de basculement de l'amplificateur inverseur A3 est atteint, la sortie de cet amplificateur passe au niveau haut, ce qui rend conducteur le transistor T2 et commande le relais RAG. Les diagrammes de Ia figure 3 explicitent le fonctionnement du système dans le cas où cette commande est validée par l'entrée 2 de la porte P2, ainsi que dans le cas où elle n'est pas validée, - soit parce que l'impulsion brève T1 n'est pas ou plus présente, - soit parce qu'un des signaux RST ou DEFL est au niveau bas. Le rôle distinctif de ces deux signaux est explicité plus loin. Premier cas - Commande normale: Le signal CGA passe de bas à haut. Il n'y a pas de signal de défaut de fonctionnement, donc les impulsions continuent (père ligne). A l'entrée de l'inverseur A2 (2ème ligne), le seuil de commande de A2 n'est pas atteint car la capacité C2 se décharge à chaque impulsion. L'entrée 2 de la porte P2 reste haute. Comme le signal CGA devient haut, l'entrée 1 de la porte P2 est également haute, et la sortie de la porte P2 passe au niveau bas. Ce signal est transmis par le circuit d'intégration R5 C5 et le seuil de commande de l'inverseur A3 (3ème Iigne) est atteint après un temps TALG. Quand le seuil est atteint, la sortie de l'inverseur A3 (4ème ligne) passe à l'état haut au bout du temps TALG. Deuxième cas - Commande accidentelle (défaut logiciel ou matériel): Sur la 5ème ligne, avec une correspondance du temps du signal sur les diagrammes ci-dessus, le signal CGA passe de bas à haut en même temps que les impulsions cessent. Ce signal haut est appliqué à l'entrée I de la porte P2. A partir du signal, la tension monte à l'entrée de l'inverseur A2 (6ème ligne) jusqu'à ce que le seuil de commande A2 soit atteint. A ce moment, la sortie de A2 passe à l'état bas (7ème ligne) au bout du temps TAN qui est inférieur au temps TALG. Le seuil de commande de l'inverseur A3 n'est pas atteint avant l'apparition du niveau bas à l'entrée 2 de la porte inverseuse P2 dont la sortie est alors ramenée au niveau haut par l'entrée 2 qui reçoit le signal négatif CDG (à travers la porte P1). La capacité 5 est alors rechargée très rapidement à travers la diode Dg. La sécurité du système repose sur les différences des constantes de temps R3 C2 (TAN) et R5 C5 (TALG), la seconde étant nettement plus grande que la première. En cas de défaillance du système, le signal négatif CDG apparaît avant que toute commande d'alarme ne puisse être transmise par l'inverseur A3. La sortie de l'inverseur A3 commande un relais d'alarme générale RAG à travers un transistor T2. Un des contacts de ce relais met sous tension les bobines des relais d'alarme REL1 à RELn destinés aux commandes particulières propres à chaque type de détection. Par ailleurs, chacun de ces relais est commandé par une sortie particulière CA1 à CAn du système à microprocesseur à travers un transistor TL1 à TLn qui referme le circuit par l'autre extrémité de sa bobine. Dans ces conditions, aucune commande particulière d'alarme ne peut être transmise si: - le relais d'alarme générale n'est pas commandé par la sortie CGA du système à microprocesseur; - cette commande n'est pas validée par le dispositif de contrôle de vraisemblance générant le signal négatif CDG en cas de défaillance du système. Le retard de l'effet du signal CGA a été réalisé par le circuit R5 C5 placé après la porte P2. On comprendra que n'importe quel circuit, qui retarde le signal CGA, peut être utilisé et, le cas échéant, placé avant la porte P2. En particulier le circuit de retard R4 C4 pourrait avoir une constante de temps supérieure à celle de R3 C2 et remplir cette fonction. Dans les conditions actuelles d'emploi des composants électroniques, le circuit décrit présente l'avantage d'utiliser des portes et amplificateurs dans des circuits intégrés qui en comportent plusieurs (4,6 ou 8) et dont certains sont inutilisés. Cette solution réduit au minimum le coût du dispositif de sécurité. Les signaux RST et DEFL qui sont raccordés aux entrées 1 et 2 de la porte ET P1 constituent une sécurité supplémentaire et une commodité. Le signal RST est celui qui est reçu et éventuellement généré pendant que le microprocesseur est en situation d'initialisation. I1 est négatif dans cette situation et agit directement à travers la porte P1 sur l'entrée 2 de la porte P2, ce qui a pour effet d'invalider immédiatement toute commande d'alarme générale et, par voie de conséquence, toute commande d'alarme particulière à l'initialisation ou à la réinitialisation du système. Les états CGA et CA1 à CAn du système à microprocesseur peuvent donc être quelconques dans cette situation sans risque de commande intempestive. Le signal DEFL est une sortie normale du système qui est désactivée (signal bas) lorsque le logiciel détecte une anomalie qui lui est propre. I1 fournit une signalisation particulière (défaut logiciel) qui est à la disposition du personnel de maintenance des installations et, par commodité, est aussi utilisé pour invalider directement et immédiatement toute commande générale d'alarme. L'alarme pouvant être déclenchée par l'apparition d'un défaut, l'invention prévoit d'inhiber l'alarme par un signal d'apparition du défaut (panne). Comme ce défaut ne peut être anticipé, on retarde la commande d'alarme pour permettre au signal de défaut d'inhiber celle-ci. La solution qui a été présentée ci-dessus n'est qu'un exemple de réalisation de l'application de ce principe. Cette forme de réalisation a été choisie parce qu'elle utilise, en les complétant, des sous ensembles qui sont nécessaires au bon fonctionnement du système d'automatisme dont il font partie. Ces sous ensembles sont le chien de garde, le signal de défaut général, et la sortie d'alarme générale. En variante, les sorties d'alarme sur relais peuvent être remplacées sur certains matériels par de simples sorties à transistors (sortie à collecteur ou drain ouvert). Voir figure 4. Dans ce cas, chacun de ces transistors est commandé à travers une porte ET à 2 entrées, l'une d'entre elles recevant le signal ALGE et l'autre la commande particulière CA1 àCAn. Le relais RAG peut être remplacé ou complété par un dispositif à transistor qui établit le courant sur la ligne commune ALGF alimentant les bobines des relais REL1 à RELn (Voir figure 5). Cette solution évite les effets parasitaires induits par les bobines des relais REL1 à RELn en cas de rebond à la fermeture des contacts du relais RAG dans la solution proposée dans le schéma général. Le choix des tensions + ou - pour valider les relais d'alarme 1 à n par la commande du relais d'alarme générale n'a pas de signification particulière. Les étages finaux du schéma peuvent être inversés (transistors à collecteur ouvert ou drain ouvert dont l'émetteur ou la source est raccordé au + et piloté par un signal inverse de celui représentée sur les différents diagrammes, le contact travail du relais RAG qui valide les différents relais REL1 à RELn étant alors raccordé au 0 v. De même, dans le schéma de la figure 4, les portes ET peuvent être rempIacées par des portes inverseuses ET-NON qui commandent des transistors à collecteur ouvert ou drain ouvert dont l'émetteur ou la source est raccordé au +. Les amplificateurs à seuil A2 et A3 sont des composants simples de circuits intégrés courants mais ils peuvent être remplacés pour des raisons de commodité par tout circuit remplisant la même fonction : comparateur ou amplificateur opérationnel monté en comparateur. On remarquera encore que pour la sécurité du système en cas de défaillance, les impulsions brèves T1 sont seulement nécessaires lorsque la sortie CGA est au niveau haut. Par contre, surveiller cette sortie pendant qu'elle est au nivau bas permet: - d'anticiper une panne de cette sortie qui ne permettrait plus de valider aucune alarme le moment venu et d'activer un dispositif d'alerte destiné au personnel de maintenance; - d'effectuer une tentative de réinitialisation du système pour le cas où il s'agirait d'une défaillance logicielle passagère (système de réinitialisation automatique non représenté sur le schéma). Toutes les dispositions décrites dans ce brevet sont applicables à des matériels de sécurité à destination différente ou plus générale et, en particulier aux systèmes ou sous ensembles de systèmes suivants: - centrale ou sous-ensemble de commande automatique d'extinction à microprocesseur fonctionnant à partir d'une détection d'incendie ou de deux détections d'incendie concommittants, - centrale de détection d'alarme technique avec sorties de télécommandes, - centrale de détection d'intrusion selon recommandation APSAD avec télécommande et/ou systèmes de télétransmission d'alarme (télésurveillance). Revendications: 1.- Dispositif de sécurité, en vue d'éviter un déclenchement intempestif dans une centrale de détection et de commande automatique d'équipements de protection contre l'incendie, comportant un microprocesseur (M) sur lequel sont branchés: - des lignes de signalisation connectées à des détecteurs, - une sortie de contrôle de fonctionnement fournissant un signal de défaut de fonctionnement (CDG), - une sortie de commande générale d'alarme fournissant un signal d'alarme général (CGA), - un circuit d'alarme générale, - des sorties de commande particulière (CAl à CAn) des équipements automatiques de protection, - des circuits de contrôle et de commande (ALI à ALn) des équipements automatiques de protection, caractérisé en ce que la sortie de commande générale d'alarme (CGA) et la sortie de défaut de fonctionnement (CDG) sont connectées aux deux entrées d'une deuxième porte logique ET (P2), le circuit d'alarme générale (ALGE) étant connecté à la sortie de la porte, et en ce que, entre la sortie du signal d'alarme générale (CGA) et le circuit d'alarme générale, sont disposés des moyens de retard de transmission (TALG), supérieur au temps de détection CTAN) du signal (CDG) de défaut de fonctionnement. 2.- Dispositif selon la revendication 1, caractérisé en ce qu'il comporte des moyens pour émettre régulièrement sur la sortie de contrôle du fonctionnement, des impulsions attestant le bon fonctionnement, le signal de défaut (CDG) étant réalisé par l'arrêt des impulsions, cet arrêt étant détecté et transformé en signal par un circuit du type chien de garde, dont la sortie est connectée à une entrée de ladite porte. 3.- Dispositif selon la revendication 2, dans lequel la sortie de contrôle du fonctionnement et la sortie de commande générale d'alarme sont situées sur la même borne du microprocesseur, le signal d'alarme générale étant filtré par un circuit intégrateur éliminant lesdites impulsions. 4.- Dispositif selon une des revendications 1 à 3 dans lequel la ligne de sortie du signal (CDG) est connectée à une entrée d'une première porte ET (P1) dont d'autres entrées sont connectées l'une à une sortie (1) du microprocesseur (M) d'un signal (RST) indiquant l'activation dudit microprocesseur, et une autre à une sortie (2) du microprocesseur (M) d'un signal (DEFL) indiquant un défaut de logiciel, la sortie de ladite première porte (P1) étant connectée à une entrée de ladite seconde porte (P2). 5.- Dispositif selon une des revendications Précédentes dans lequel un circuit de filtrage (Rg Cg) à constante de temps (TALG) est intercalé entre la sortie de ladite seconde porte (P2) et un amplificateur inverseur à seuil (A3) dont la sortie émet un signal validant l'alarme générale. 6.- Dispositif selon la revendication 5, dans lequel la sortie dudit amplificateur à seuil (A3) est connectée à un transistor (T2) commandant un relais (RAG) fermant le circuit d'alarme générale. 7.- Dispositif selon la revendication 6, dans lequel le relais (RAG) commande des relais (REL1 à RELn) pour chacune des alarmes particulières (ALo à Alun). 8.- Procédé pour éviter un déclenchement intempestif dans une centrale de détection et de commande automatique d'équipements de protection contre l'incendie, comportant un microprocesseur (M) sur lequel sont branchés: - des lignes de signalisation connectées à des détecteurs, - une sortie de contrôle de fonctionnement fournissant un signal de défaut de fonctionnement (CDG), - une sortie de commande générale d'alarme fournissant un signal d'aIarme général (CGA), - un circuit d'alarme générale, - des sorties de commande particulière (CA1 à CAn) des équipements automatiques de protection, - des circuits de contrôle et de commande (AL1 à ALn) des équipements automatiques de protection, caractérisé en ce que l'on connecte la sortie de commande générale d'alarme (CGA) et la sortie de défaut de fonctionnement (CDG) aux deux entrées d'une deuxième porte logique ET (P2), et le circuit d'alarme générale (ALGE) à la sortie de la porte, et en ce que le déclenchement de l'alarme générale (ALGE) par le signal d'alarme générale (CGA) est retardé d'un temps (TALG) supérieur au temps de détection (TAN) du signal (CDG) de défaut de fonctionnement, de façon que le circuit d'alarme générale (ALGE) ne soit activé qu'en l'absence d'un signal (CDG) de défaut de fonctionnement. 9.- Procédé selon la revendication 8, dans lequel le signal de contrôle de fonctionnement est constitué par une émission d'impulsions régulières (T1), dont l'interruption constitue le signal de défaut, ces impulsions étant injectées dans un circuit du type chien de garde dont la sortie est connectée à une entrée de ladite porte, et dans lequel le front descendant de chaque impulsion (T1) est transmis à un amplificateur inverseur (A1) à travers un circuit de différenciation (R1 C1) et la sortie de cet amplificateur émet alors un signal positif qui commande un transistor (T1), ce transistor décharge un condensateur (C2) à travers une résistance (R2), entre les impulsions brèves, le condensateur (C2) est rechargé à travers une résistance (R3) dont la valeur est telle que le seuil de tension provoquant la commande d'un amplificateur inverseur (A2) n'est pas atteint, la disparition des impulsions brèves (T1) traduit, soit un défaut dans le déroulement normal du logiciel, soit un défaut de fonctionnement à la sortie (CGA) du système à microprocesseur, cette sortie ne répondant plus aux commandes transmises par le programme pour une raison quelconque, dans ce cas, le condensateur (C2) est progressivement chargé et, quand le seuil de commande de l'amplificateur inverseur (A2) est atteint, cet amplificateur émet un signal bas (CDG) sur sa sortie.