FR 2827035 A1 20030110 FR 0108988 A 20010706 L'invention concerne un dispositif de sécurité pour chaudière industrielle comprenant des relais électromécaniques connectés en série pour former une chaîne de sécurité électromécanique, et au moins un relais de shunt normalement ouvert et monté en parallèle de l'un desdits relais électromécaniques, ledit relais de shunt étant piloté par un automate pour être fermé pendant une durée de temporisation. L'invention s'applique en particulier aux chaudières industrielles comprenant par exemple un brûleur à gaz pour produire de la vapeur ou de l'eau surchauffée. De telles chaudières sont munies d'un dispositif de sécurité du type indiqué ci-dessus qui est interposé entre un ou plusieurs capteurs et un ou plusieurs actionneurs montés sur la chaudière. Ce dispositif est notamment agencé pour déclencher via les actionneurs un arrêt de la chaudière quand au moins un capteur détecte un défaut de fonctionnement de la chaudière. Ce défaut peut être une pression excessive, un niveau d'eau trop bas ou un problème dans la flamme du brûleur. Chaque capteur est par exemple un pressostat qui fournit un courant électrique alternatif sous 230 Volts pour maintenir fermé un relais électromécanique correspondant monté en série dans la chaîne de sécurité du dispositif. Cette chaîne de sécurité est un circuit électrique comprenant plusieurs relais électromécaniques montés en série pour former un circuit électrique qui est fermé en fonctionnement normal, et qui est ouvert sur détection d'un défaut par un capteur. Les actionneurs qui peuvent être par exemple des électrovannes sont conçus pour déclencher un arrêt de la chaudière dès qu'ils ne sont plus alimentés en courant. Ainsi, le dispositif de sécurité comprend pour chaque capteur un relais qui est maintenu fermé par le courant d'alimentation correspondant, et il assure l'alimentation électrique des actionneurs si la chaîne de sécurité est fermée. En cas de défaut de fonctionnement, l'un des capteurs cesse de fournir son courant pour ouvrir la chaîne de sécurité, ce qui provoque un arrêt de l'alimentation électrique des actionneurs pour déclencher l'arrêt de la chaudière. Certains des capteurs sont soumis à des tests journaliers pour vérifier qu'en cas de défaut dans la chaudière, le capteur testé provoque l'ouverture du relais correspondant. Ces tests sont réalisés en cours d'exploitation, et le relais correspondant doit s'ouvrir, mais sans provoquer l'arrêt de la chaudière. Un relais de shunt qui est normalement ouvert est donc monté en parallèle du relais correspondant au capteur testé. Ce relais de shunt est fermé par un automate pendant une durée de temporisation prédéfinie, pour que la chaîne de sécurité reste fermée pendant l'ouverture du relais du capteur engendrée par le test. Le test d'un pressostat consiste par exemple à fermer temporairement une vanne d'isolation d'un caisson comprenant le pressostat et à faire monter la pression dans ce caisson pour vérifier que le relais correspondant dans la chaîne de sécurité s'ouvre sur augmentation de la pression dans le caisson. Sur fermeture de la vanne d'isolation, le relais de shunt est fermé par l'automate pour la durée de temporisation. L'augmentation de pression provoque l'ouverture du relais du capteur, mais la chaîne de sécurité reste fermée grâce à la fermeture du relais de shunt. La vanne d'isolation est ensuite ouverte pour terminer le test en rétablissant une pression normale dans le caisson. Le retour à une pression normale dans l'environnement du capteur provoque donc la fermeture du relais du capteur. Ensuite, la temporisation est désarmée à travers l'automate qui commande l'ouverture du relais de shunt, ce qui correspond à un retour à l'état initial précédant le test. Le problème que posent ces temporisations est qu'elles sont gérées seulement par l'automate. Par conséquent, un dysfonctionnement de l'automate peut provoquer un maintien fermé d'un relais de shunt dans la chaîne de sécurité au delà de la durée de temporisation. Dans un tel cas, le capteur correspondant est donc inhibé puisque s'il détecte un défaut, l'ouverture de son relais ne provoquera pas une ouverture de la chaîne de sécurité, compte tenu du fait que son relais de shunt est fermé. Un tel dysfonctionnement n'est donc pas détecté par le dispositif de sécurité, ce qui constitue un risque majeur pour la sécurité de fonctionnement de l'installation. Le but de l'invention est de remédier à ces inconvénients. A cet effet, l'invention a pour objet un dispositif de sécurité pour chaudière industrielle comprenant des relais électromécaniques connectés en série pour former une chaîne de sécurité électromécanique, et au moins un relais de shunt normalement ouvert et monté en parallèle de l'un desdits relais électromécaniques, ledit relais de shunt étant piloté par un automate pour être fermé pendant une durée de temporisation, caractérisé en ce que ledit relais de shunt a un contact relié à un circuit électronique, et en ce que ledit circuit électronique commande une ouverture d'un relais électromécanique monté en série dans la chaîne de sécurité en cas de fermeture dudit relais de shunt pendant une durée supérieure à ladite durée de temporisation.. Une telle construction fait que la temporisation est gérée par le circuit électronique et par l'automate pour assurer un degré de sécurité satisfaisant de l'installation. Selon un mode de réalisation particulier de l'invention dans lequel le dispositif de sécurité comprend des relais électromécaniques connectés en série pour former un circuit d'alimentation électrique d'un actionneur de la chaudière, l'un desdits relais étant piloté par un automate pour être ouvert pendant une durée de temporisation sur réception d'un ordre de lancement de temporisation, le circuit électronique pilote un autre relais électromécanique également monté en série dans ledit circuit d'alimentation pour ouvrir ledit autre relais électromécanique pendant ladite durée de temporisation sur réception dudit ordre de lancement de temporisation. Avec cet agencement, une durée de temporisation minimale telle qu'une durée de prébalayage minimale devant précéder une mise en service peut également être sécurisée. Selon un mode de réalisation préféré de l'invention ledit relais qui est piloté par le circuit électronique est fermé s'il est alimenté électriquement par le circuit électronique et ouvert sinon. Avec cet agencement, en cas de défaut dans le circuit électronique, la durée de temporisation tend vers zéro de manière à ouvrir instantanément la chaîne de sécurité dans un tel cas. Cette disposition augmente encore la sécurité de fonctionnement de la gestion de temporisation. Selon un mode de réalisation préféré de l'invention les relais et le circuit électronique sont montés sur un support sous la forme d'une plaque de circuit imprimé. Avec cet agencement, le dispositif de sécurité peut être monté dans un ensemble compact renfermé par un boîtier éventuellement scellé pour interdire à un opérateur d'en modifier la configuration. Selon un autre mode de réalisation particulier de l'invention le circuit électronique comprend un circuit programmable de type"PAL". Avec cet agencement, le circuit électronique peut être réalisé à moindre coût. L'invention sera maintenant décrite plus en détail, et en référence aux dessins annexés qui en illustrent une forme de réalisation à titre d'exemple non limitatif. La figure 1 est une représentation très schématique de l'invention ; La figure 2 est une représentation très schématique d'un premier mode de réalisation de l'invention ; La figure 3 est une représentation très schématique d'un circuit électronique du dispositif selon l'invention ; La figure 4 est une représentation très schématique d'un second mode de réalisation de l'invention. Comme représenté dans la figure 1, un dispositif de sécurité selon l'invention est relié à au moins un capteur PTn et à au moins un actionneur EVm qui sont généralement montés dans la chaudière industrielle CHA. Le capteur PTn qui est ici un pressostat envoie un courant électrique In au dispositif de sécurité DS qui est ici monté dans une armoire électrique AE. En cas de réception de ce courant In, le dispositif de sécurité renvoie à son tour un second courant électrique Jm en direction de l'actionneur EVm qui est ici une électrovanne, pour maintenir cet actionneur dans une position de marche normale. Si le courant In n'est pas reçu, le dispositif de sécurité DS commande un relais d'ouverture du circuit d'alimentation électrique de l'actionneur EVm pour annuler le courant Jm, et déclencher ainsi l'arrêt de la chaudière. Les courants électriques In et Jm sont généralement des courants alternatifs de forte puissance sous 230 Volts. La figure 2 montre de façon très schématique l'architecture du dispositif de sécurité DS. Celui-ci comprend plusieurs relais électromécaniques REn montés en série pour former une chaîne de sécurité CH1. Chaque relais REn est maintenu fermé par un courant d'alimentation In correspondant qui est fourni par un capteur correspondant PTn. La chaîne de sécurité CH1 constitue ainsi un circuit électrique qui est fermé en fonctionnement normal, et qui est ouvert dès que l'un des capteurs PTn détecte un défaut. Pour les capteurs devant faire l'objet d'un test périodique, un relais de shunt RTn qui est normalement ouvert est monté en parallèle du relais du capteur REn. Ce relais de shunt est commandé par un automate API pour être fermé pendant une durée de temporisation à partir du début du test. Cette durée de temporisation vaut par exemple 30 secondes maximum. Lorsqu'un opérateur teste un pressostat PTn en fermant une vanne d'isolation Vin du caisson d'isolation correspondant Cln et en faisant monter la pression dans ce caisson, la temporisation de test est enclenchée. Généralement, la vanne d'isolation Vin est équipée d'un contacteur électrique relié à l'automate API pour commander la fermeture du relais de shunt RTn dès que la vanne Vln est fermée. Ce relais de shunt est ensuite ouvert sur ordre de l'automate dès que la durée de temporisation est écoulée. En cas de dysfonctionnement de l'automate ou du relais de shunt, le relais de shunt RTn peut donc rester fermé pendant une durée supérieure à la durée de temporisation. Dans un tel cas, le capteur correspondant est donc inhibé puisque s'il détecte un défaut, l'ouverture de son relais ne provoquera pas une ouverture de la chaîne de sécurité, compte tenu du fait que son relais de shunt est fermé. Un tel dysfonctionnement n'est donc pas détecté par le dispositif de sécurité, ce qui constitue un risque majeur pour la sécurité de fonctionnement de l'installation. Selon l'invention, le relais de shunt RTn qui est piloté par l'automate API a sa temporisation sécurisée par un circuit électronique CEn de telle sorte que le circuit CEn pilote un relais électromécanique RS monté en série dans la chaîne CH1 pour ouvrir la chaîne CH1 si le relais REn reste fermé pendant une durée supérieure à la durée de temporisation. Ce circuit électronique a une entrée E reliée à un contact du relais de shunt RTn de telle sorte que dès qu'il détecte une fermeture du relais RTn, il enclenche une temporisation, et si à l'issue de cette temporisation le relais RTn est encore fermé, il commande l'ouverture du relais RS. Ainsi, le circuit électronique CEn est capable de déclencher un arrêt de la chaudière indépendamment de l'API, et sur détection d'un dépassement de la durée de temporisation. Selon l'invention, la temporisation qui est pilotée par l'automate API est donc également sécurisée par le circuit électronique CEn pour former une redondance matérielle hétérogène à la gestion de la temporisation. Ce mode de réalisation est donné à titre d'exemple pour la sécurisation d'une temporisation correspondant à un test de capteur, mais il peut également s'appliquer à la sécurisation d'autres temporisations similaires. Par exemple, au cours de la séquence de démarrage, le capteur de détection de flamme fait l'objet d'une temporisation similaire pour laquelle il doit détecter la présence d'une flamme du brûleur au plus tard cinq secondes après le début d'alimentation en gaz du brûleur, sans quoi une mise en sécurité de la chaudière ou de son dispositif de démarrage doit être déclenchée. Le circuit CEm peut être réalisé de différentes façons, en utilisant par exemple des condensateurs et des résistances pilotées par un circuit intégré logique pour compter la durée de temporisation sur la base du temps de charge d'un condensateur. Un exemple de réalisation du circuit électronique CEn est représenté très schématiquement dans la figure 3. Il comporte un circuit intégré logique CIL ayant une entrée E reliée à un contact du relais de shunt RTn et une sortie S pour commander une ouverture du relais RS dans le cas où l'entrée E est alimentée pendant une durée supérieure à la temporisation. Ce circuit intégré logique est alimenté par une tension continue de 12 Volts, et il est relié à une résistance R et à des condensateurs C1 et C2 pour piloter des charges du condensateur C1 afin de gérer la durée de temporisation. Sur réception d'un ordre de lancement de temporisation en E, le circuit intégré logique déclenche une charge du condensateur C1. Le circuit intégré logique a également une entrée reliée à un point V situé entre la résistance R et le condensateur C1, de telle sorte que durant la charge du condensateur C1, cette entrée change d'état lorsque la durée de temporisation s'est écoulée. Ainsi, dans le cas où la temporisation est écoulée alors que le relais de shunt RTn est encore fermé, le circuit intégré logique commande l'ouverture du relais RS à travers sa sortie S. Le circuit intégré logique CIL sera avantageusement réalisé par exemple avec un circuit de type"PAL". Ces circuits"PAL"fonctionnent sous 12 Volts et permettent de réaliser à moindre coût des opérateurs logiques entre des voies d'entrée et des voies de sortie. Ils sont configurés de façon définitive par claquage électrique. Plus particulièrement, le relais RS est un relais qui est fermé s'il est alimenté par la sortie S, et ouvert sinon, de telle manière qu'un dysfonctionnement du circuit CE déclenche une ouverture du relais RS. Ainsi, en cas de défaut dans le circuit électronique, la durée de temporisation tend vers zéro de manière à ouvrir instantanément la chaîne de sécurité dans un tel cas. Cette disposition augmente encore la sécurité de fonctionnement de la gestion de temporisation. Dans une autre variante de l'invention, les différents circuits électroniques et les différents relais sont regroupés dans un boîtier renfermant des supports sous la forme de plaques de circuits imprimés sur lesquels ils sont montés par soudage. Un tel boîtier comprend un ou plusieurs circuits imprimés sur lesquels sont montés les relais formant la chaîne électromécanique, de telle sorte que ces relais ne sont pas interconnectés par une logique câblée, mais par des pistes conductrices des circuits imprimés. Ces différents circuits peuvent ainsi former un ensemble compact renfermé par un boîtier éventuellement scellé pour interdire à un opérateur d'en modifier la configuration. Avantageusement, plusieurs circuits sont brochés dans des connecteurs d'une carte dite carte de fond de panier et également équipées de connecteurs assurant la connexion électrique avec les capteurs et avec les actionneurs. Le démarrage d'une telle chaudière est assujetti à une séquence mettant également en oeuvre des temporisations. Par exemple, l'allumage du brûleur ne doit être réalisé qu'après une opération de prébalayage de la chambre de combustion visant à évacuer d'éventuels gaz résiduels avant la mise en service du brûleur. L'ouverture de l'électrovanne d'alimentation en gaz du brûleur doit être interdite tant que la séquence de prébalayage n'est pas terminée. Une telle séquence de démarrage est assurée par un automate qui pilote la séquence de prébalayage pour commander la fermeture d'un relais du circuit d'alimentation électrique de l'électrovanne d'alimentation en gaz à la fin de la séquence de prébalayage. La fermeture de ce relais n'est commandée qu'après écoulement de la durée minimale de temporisation correspondant au prébalayage. L'automate peut être un automate programmable à microprocesseur, ou encore une"boîte noire"comprenant par exemple un servomoteur pour piloter la séquence. De manière analogue à la sécurisation de la chaîne de sécurité, le dispositif selon l'invention pourra avoir les temporisations de sa séquence de démarrage également sécurisées par un ou plusieurs circuits électroniques. Pour la gestion de la temporisation de prébalayage, l'automate API qui est représenté dans la figure 4, gère alors une temporisation qui est cette fois-ci une durée minimale devant s'écouler avant qu'il ne commande la fermeture d'un relais REm d'une chaîne électromécanique CA. La chaîne CA qui est sécurisée est ici un circuit d'alimentation électrique d'un actionneur EVm qui est par exemple l'électrovanne d'alimentation en gaz du brûleur. Selon l'invention, l'ordre de lancement de la temporisation de prébalayage qui est reçu en T est envoyé en parallèle dans l'automate API et dans un circuit électronique CEm. Sur réception d'un ordre de lancement de temporisation, le circuit électronique CE,, commande l'ouverture d'un autre relais électromécanique RS pendant la durée minimale. Par conséquent, en cas de dysfonctionnement de l'automate provoquant une fermeture anticipée du relais REm, l'actionneur EVm n'est pas alimenté puisque le circuit d'alimentation CA est maintenu ouvert par le relais RS qui est piloté par le circuit électronique CEm. Le relais RS constitue ici un relais d'autorisation de démarrage. Plus généralement, la séquence de démarrage inclut des temporisations qui sont des durées minimales et des durées maximales pendant lesquelles des relais doivent être actionnés. La sécurisation de l'ensemble d'une telle séquence de démarrage inclut donc plusieurs circuits électroniques pour gérer ces deux types de temporisation, en parallèle de l'automate. Le circuit électronique CEm gérant cette temporisation de prébalayage qui est une durée minimale pourra être par exemple un circuit du type de celui qui est représenté en figure 3, mais piloté par une logique différente de celle qui a été présentée plus haut. Ce circuit maintient le relais d'autorisation de démarrage RS ouvert sur réception d'un ordre de temporisation et commande une fermeture de ce relais après écoulement de la durée de temporisation. Plus particulièrement, le relais RS est un relais qui est fermé s'il est alimenté par la sortie S, et ouvert sinon, de telle manière qu'un dysfonctionnement du circuit CE déclenche une ouverture du relais RS. Ainsi, en cas de défaut dans le circuit électronique, la durée de temporisation tend vers l'infini de manière à interdire le démarrage du brûleur dans un tel cas. Cette disposition augmente encore la sécurité de fonctionnement de la gestion de temporisation. Comme on le voit, le dispositif de sécurité selon l'invention donne lieu à un degré de sécurisation amélioré de la gestion des temporisations de sécurité en formant une redondance hétérogène pour la gestion de ces temporisations. REVENDICATIONS 1/Dispositif de sécurité pour chaudière industrielle (CHA) comprenant des relais électromécaniques (REn, RS) connectés en série pour former une chaîne de sécurité électromécanique (CH1), et au moins un relais de shunt (RTn) normalement ouvert et monté en parallèle de l'un desdits relais électromécaniques (REn), ledit relais de shunt étant piloté par un automate (API) pour être fermé pendant une durée de temporisation, caractérisé en ce que ledit relais de shunt (RTn) a un contact relié à un circuit électronique (CEn), et en ce que ledit circuit électronique (CEn) commande une ouverture d'un relais électromécanique (RS) monté en série dans la chaîne de sécurité en cas de fermeture dudit relais de shunt (RTn) pendant une durée supérieure à ladite durée de temporisation. 2/Dispositif de sécurité pour chaudière industrielle (CHA) comprenant des relais électromécaniques (REm, RS) connectés en série pour former un circuit d'alimentation électrique (CA) d'un actionneur (Evm) de la chaudière, l'un desdits relais (REm) étant piloté par un automate pour être ouvert pendant une durée de temporisation sur réception d'un ordre de lancement de temporisation, caractérisé en ce qu'un circuit électronique (CEm) pilote un autre relais électromécanique (RS) également monté en série dans ledit circuit d'alimentation (CA) pour ouvrir ledit autre relais électromécanique (RS) pendant ladite durée de temporisation dès réception dudit ordre de lancement de temporisation. 3/Le dispositif selon la revendication 1, dans lequel ledit relais (RS) qui est piloté par le circuit électronique (CEn) est fermé s'il est alimenté électriquement par le circuit électronique et ouvert sinon. 4/Le dispositif de sécurité selon la revendication 1,2 ou 3, dans lequel lesdits relais (REn, REm, RS) et ledit circuit électronique (CEn, CEm) sont montés sur un support sous la forme d'une plaque de circuit imprimé. 5/Le dispositif de sécurité selon la revendication 1,2, 3 ou 4, dans lequel ledit circuit électronique (CEn, CEm) comprend un circuit programmable de type"PAL".