FR 2924227 A1 20090529 FR 0759317 A 20071126 Procédé de vérification d'un module de sorties numériques d'un automate programmable et module mettant en oeuvre ce procédé La présente invention se rapporte à un procédé de vérification d'une voie de sortie d'un module de sorties numériques d'un automate programmable. Elle concerne également un module de sorties numériques d'un automate programmable apte à mettre en oeuvre un tel procédé pour une ou plusieurs de ces voies de sortie. L'invention trouve une application particulièrement avantageuse dans le domaine des automates programmables dits de sécurité. Un automate programmable ou PLC (�Programmable Logical Controller�) est un équipement d'automatisme capable de piloter, commander et/ou surveiller un ou plusieurs process à automatiser. De construction généralement modulaire, un automate programmable PLC est composé de différents modules placés dans un ou plusieurs racks et qui communiquent entre eux par un bus de transmission, qui peut être notamment le bus, dit �fond de panier� (ou �backplane�), d'un rack de fixation des modules. Le nombre de modules dépend bien entendu de la taille et du type de process à automatiser. Typiquement, un automate programmable comprend : - un module d'alimentation fournissant les différentes tensions aux autres modules à travers le bus fond de panier. - un module unité centrale qui comporte un logiciel embarqué (�firmware�) intégrant un système d'exploitation (OS) temps réel, et un programme d'application, ou programme utilisateur, contenant les instructions à exécuter par le logiciel embarqué pour effectuer les opérations d'automatisme souhaitées. Le module unité centrale comporte aussi généralement une connexion en face avant vers des outils de programmation de type ordinateur personnel PC. - un ou plusieurs modules de communication vers des réseaux de communication (Ethernet, ...) ou des interfaces homme-machine (écran, clavier,...). - des modules d'entrées/sorties E/S de divers types en fonction du ou des process à commander, tels que E/S numériques, analogiques, de comptage, etc. Ces modules E/S comportent généralement plusieurs voies E/S qui sont reliées à des capteurs et à des actionneurs participant à la gestion automatisée du process. A titre d'exemple, un module d'entrées/sorties numériques peut fréquemment comporter 32 ou 64 voies d'entrées et/ou de sorties distinctes. L'invention s'adresse plus particulièrement à un module de sorties numériques (appelé aussi sorties digitales ou sorties Tout ou Rien), c'est-à-dire un module qui reçoit du module unité centrale de l'automate des instructions sous la forme de signaux numériques de commande pour chaque voie de sortie, ces signaux de commande étant destinés à commander des charges externes, telles que des actionneurs ou moteurs par exemple, reliées à des bornes du module de sortie. Dans le contexte d'un automatisme de sécurité où l'automate programmable doit présenter un niveau de sécurité renforcé, le bon fonctionnement de la commande des voies de sortie d'un module de sorties numériques doit être surveillé de manière à s'assurer que le module effectue correctement l'alimentation des charges à commander. En particulier, un signal de commande ordonnant la coupure de l'alimentation d'une charge doit impérativement entraîner une coupure de l'alimentation de la charge concernée. C'est pourquoi il est habituel d'équiper chaque voie d'un module de sorties numériques d'un dispositif de commande sécurisé comportant deux commutateurs qui sont disposés en série entre une borne d'alimentation et une borne de sortie du module, la charge à commander étant elle-même connectée entre la borne de sortie et une borne de masse du module. Chacun de ces deux commutateurs redondants reçoit un signal sécurisé de commande d'ouverture ou de fermeture, de sorte que l'alimentation de la charge n'est effective que si les deux commutateurs se ferment simultanément, tandis qu'il suffit qu'un seul des deux commutateurs s'ouvre en réponse à un signal de commande d'ouverture pour que l'alimentation de la charge soit coupée. On comprend qu'une telle disposition permet de se prémunir contre une fermeture intempestive de l'un des commutateurs, en particulier contre une situation où l'un des commutateurs resterait fermé alors qu'un signal de commande d'ouverture lui aura été appliqué. Cette situation peut se produire par exemple lorsqu'un relais électromagnétique reste �collé� en position fermée. Les organismes de contrôle et de certification produits pour la sécurité demandent également qu'un diagnostic sur la capacité d'ouverture soit effectué sur chacun des deux commutateurs de commande pour chaque voie de sortie d'un module de sorties numériques. C'est pour répondre à ce besoin que l'invention décrit un procédé de vérification du fonctionnement d'une voie d'un module de sorties numériques d'un 3 automate programmable, le module comportant deux commutateurs reliés en série entre une borne d'alimentation et une borne de sortie et commandés par deux signaux numériques de commande de façon à piloter une charge externe reliée à la borne de sortie. Le procédé consiste à polariser un point milieu des deux commutateurs à l'aide d'un pont de résistances, et à comparer la tension du point milieu par rapport à deux tensions de référence en fonction de la valeur des signaux de commande. Selon une caractéristique, le module comporte deux comparateurs dotés chacun d'une entrée négative et d'une entrée positive, une première tension de référence étant appliquée à l'entrée positive du premier comparateur et une deuxième tension de référence, inférieure à la première tension de référence, étant appliquée à l'entrée négative du second comparateur, l'entrée négative du premier comparateur et l'entrée positive du second comparateur étant reliées au point milieu. L'invention présente notamment l'avantage de pouvoir être mise en oeuvre de manière très simple puisque la polarisation du point milieu des commutateurs peut être facilement réalisée à l'aide de résistances au lieu d'éléments actifs et par l'utilisation de fonctions intrinsèques déjà existantes, comme la tension d'alimentation de la charge externe à commander qui est également utilisée pour polariser le point milieu. D'autres caractéristiques et avantages vont apparaître dans la description détaillée qui suit en se référant à un mode de réalisation donné à titre d'exemple et représenté par les dessins annexés sur lesquels la figure 1 représente un schéma fonctionnel simplifié d'une voie de sorties d'un module de sorties numériques conforme à l'invention, la figure 2 détaille un schéma d'un commutateur en technologie MOSFET utilisé dans l'invention. Sur la figure 1 est représenté un module de sécurité 10 de sorties numériques d'un automate programmable dont une des voies de sortie est destinée à commander une charge externe 20 connectée entre une borne de sortie 12 et une borne de masse 13 du module 10, reliée au 0V. Le module 10 comporte une borne d'alimentation 11 qui reçoit une tension d'alimentation nominale Va à partir par exemple d'une source d'alimentation extérieure 21, la tension nominale Va étant par exemple égale à 24Vcc. Pour chaque voie de sortie, le module 10 comporte également un dispositif de commande 30 de la charge 20. Conformément aux exigences de sécurité d'un tel module, ce dispositif de commande 30 est composé de deux commutateurs 31, 32 redondants qui sont reliés en série entre la borne d'alimentation 11 et la borne de sortie 12. La charge 20 ne peut donc être commandée que si les deux commutateurs 31, 32 sont en position fermée. Cela permet ainsi d'éviter qu'une fermeture intempestive d'un des commutateurs 31, 32 n'entraîne la mise en fonctionnement non désirée de la charge 20. Le point milieu entre les deux commutateurs 31, 32 porte la référence 34 sur la figure 1. Le premier commutateur 31 est situé entre la borne 11 d'alimentation et le point milieu 34, tandis que le deuxième commutateur 32 est situé entre le point milieu 34 et la borne 12 de sortie. Ces commutateurs 31, 32 peuvent être des relais électromécaniques ou de préférence des interrupteurs électroniques réalisés par exemple en technologie MOSFET. Chaque commutateur 31, respectivement 32, reçoit un signal numérique de commande S,, respectivement S2, permettant d'ouvrir ou de fermer le commutateur. Ces signaux de commande S,, S2 proviennent d'une unité de commande, non représentée, du module 10, suite par exemple à des ordres envoyés par le module unité centrale de l'automate programmable via un bus de communication, tel que le bus backplane. En fonctionnement normal, les signaux de commande S,, S2 ont des valeurs identiques mais qui peuvent être calculées par des moyens distincts pour assurer la fonction de sécurité de la commande de la charge 20. Si un des commutateurs 31, 32 est défectueux, en particulier si le commutateur 31 par exemple reste en permanence fermé, alors la charge 20 est commandée uniquement à partir du signal de commande S2 appliqué au commutateur 32, et il n'y a pas de commande intempestive de la charge 20. On pourrait donc penser que le module 10 fonctionne correctement vis-à- vis du process à automatiser. Néanmoins, dans ce cas, le module 10 ne remplira plus sa fonction de sécurité en cas d'apparition ultérieure d'un deuxième défaut (par exemple collage du commutateur 32). C'est pourquoi, même si le module 10 pilote correctement la charge 20, il est néanmoins nécessaire de tester régulièrement le bon fonctionnement du dispositif de commande 30 composé des deux commutateurs 31, 32, pour détecter un éventuel premier défaut et s'assurer ainsi que le module 10 reste à tout moment capable de remplir sa fonction de sécurité. Ces tests de bon fonctionnement sont de préférence réalisés périodiquement, par exemple toutes les 10 secondes. A cet effet, l'invention prévoit que le module 10 comporte des moyens de polarisation comprenant, pour chaque voie de sortie à tester, un pont de résistances qui est constitué de deux résistances R1, R2. Une première résistance R1 est raccordée entre la borne d'alimentation 11 et le point milieu 34 des deux commutateurs 31, 32. Une seconde résistance R2 est raccordée entre le point milieu 34 et une borne 15 du module 10, appelée borne négative. Cette borne négative 15 se trouve à une tension déterminée Vb qui est inférieure à la tension Va de la borne d'alimentation 11. De cette façon, il existe toujours une différence de potentiel positive connue (Va - Vb) entre la borne d'alimentation 11 et la borne négative 15, par exemple (Va - Vb) égale environ à 5V. Alternativement, on pourrait aussi relier directement la borne négative 15 à la borne de masse 13 du module 10. Les valeurs de R1 et R2 sont par exemple de l'ordre d'une centaine de kO chacune. Le procédé de vérification du dispositif de commande 30 consiste à comparer la tension Vm du point milieu 34 par rapport à deux tensions de référence Vrefl et Vref2 en fonction de certains tests à effectuer, c'est-à-dire en fonction de la valeur des signaux de commande S1, S2. Pour cela, le module 10 comporte des moyens de comparaison comprenant, pour chaque voie de sortie à tester, deux comparateurs 41, 42. De façon classique, un comparateur est doté d'une entrée négative et d'une entrée positive et effectue une comparaison entre ces deux entrées pour fournir un résultat sous la forme d'un signal de sortie numérique. Comme indiqué sur la figure 1, l'entrée négative du premier comparateur 41 et l'entrée positive du second comparateur 42 sont connectées ensemble au point milieu 34 et elles reçoivent donc la tension Vm du point milieu 34. Les sorties des deux comparateurs 41, 42, notées A1, A2, sont envoyées à l'unité de commande du module 10. L'entrée positive du premier comparateur 41 est reliée à une première tension de référence Vref1. L'entrée négative du second comparateur 42 est reliée à une deuxième tension de référence Vref2, qui est inférieure à la première tension de référence Vrefl. Les deux tensions de référence Vrefl, Vref2 définissent ainsi une plage de tension et le procédé de vérification consiste à positionner la tension Vm par rapport à cette plage de tension. La largeur (Vref1 - Vref2) de la plage de tension est choisie pour avoir une marge d'erreur acceptable qui permette de s'affranchir des incertitudes sur les composants et des erreurs sur les mesures. Par ailleurs, le module comporte une résistance R3 qui est reliée entre la borne de sortie 12 et la borne de masse 13. La valeur de cette résistance R3 (par exemple R3 de l'ordre de 40 kO) est choisie pour ne pas perturber le fonctionnement de la charge 20 lorsque celle-ci est commandée. La résistance R3 permet d'effectuer certains tests du dispositif de commande 30 même lorsqu'une charge externe 20 n'est pas raccordée, de façon à ce que la borne de sortie 12 soit néanmoins polarisée. Un premier test consiste à vérifier la bonne ouverture des deux commutateurs 31, 32, lorsque les signaux de commande S1 et S2 correspondent à des ordres d'ouverture. Si les deux commutateurs 31, 32 sont effectivement bien ouverts (c'est-à-dire à l'état non passant), alors la tension Vm du point milieu 34 est donnée par: Vm - Vb = (Va - Vb) * (R2/(R1+R2)) Les valeurs des tensions de référence Vrefl et Vref2 ainsi que les valeurs de R1 et R2 sont choisies pour que, lorsque les deux commutateurs 31, 32 sont effectivement bien ouverts, Vm se situe à l'intérieur de la plage de tension de référence Vrefl, Vref2, c'est-à- dire Vrefl > Vm > Vref2. Dans ce cas, la sortie Al du comparateur 41 est égale à 1 (car son entrée positive Vref1 est supérieure à son entrée négative Vm) et la sortie A2 du comparateur 42 est aussi égale à 1 (car son entrée positive Vm est supérieure à son entrée négative Vref2). Si le premier commutateur 31 reste collé malgré des signaux de commande S1, S2 donnant un ordre d'ouverture, alors le point milieu 34 se retrouve directement relié à la borne d'alimentation 11. Dans ce cas, la tension Vm vaut sensiblement Va, soit 24V. Donc la tension Vm est supérieure à Vref1, c'est-à-dire à l'extérieur de la plage de tension Vrefl, Vref2. Alors, les sorties des comparateurs 41, 42 sont égales à Al=0 et A2=1. Un tel défaut est donc facilement détectable par l'unité de commande du module 10 en comparant les signaux S1, S2 avec les signaux A1, A2. Inversement, si le second commutateur 32 reste collé malgré des signaux de commande S1, S2 donnant un ordre d'ouverture, alors le point milieu 34 est reliée à la borne de sortie 12. Dans ce cas, la résistance R3 se retrouve connectée en parallèle de la résistance R2. La valeur de R3 doit être choisie pour que la tension Vm se situe alors à l'extérieur de la plage de tension Vrefl, Vref2, c'est-à-dire Vm Un second test consiste à tester la fermeture correcte du premier commutateur 31 à vide, c'est-à-dire lorsque le second commutateur 32 est ouvert de façon à ne pas provoquer une alimentation non souhaitée de la charge 20. Pour cela, on envoie un signal de commande S1 de fermeture et un signal S2 d'ouverture et on vérifie que le commutateur 31 est bien fermé (c'est-à-dire à l'état passant). Si le commutateur 31 se ferme correctement, la tension Vm vaut sensiblement Va. Donc, dans ce cas, l'unité de commande du module 10 doit vérifier que Al = 0 et A2 = 1. Sinon, si les deux commutateurs 31, 32 restent ouverts, alors, on constate que Al = A2 = 1 et le défaut est détecté. Un troisième test est le test inverse, à savoir la vérification que le second commutateur 32 se ferme correctement en réponse à un signal de commande S2 de fermeture, le premier commutateur 31 restant ouvert. Comme indiqué ci-dessus, si le commutateur 32 se ferme correctement, la tension Vm va devenir inférieure à Vref2 a cause de la résistance R3. Donc, dans ce cas, l'unité de commande du module 10 doit vérifier que Al = 1 et A2 = 0. Sinon, si les deux commutateurs 31, 32 restent ouverts, alors Al = A2 = 1 et le défaut est détecté. Durant ce troisième test, il peut cependant se produire une situation de commande redondante, non représentée sur la figure 1, dans laquelle la charge 20 à commander peut également être alimentée en parallèle par une borne de sortie d'un autre module de sorties numériques, ceci pour augmenter non seulement la sécurité mais aussi la disponibilité de l'automatisme. Si la charge 20 est commandée en parallèle par une autre voie de sortie, cela signifie que la borne de sortie 12 se trouve à la tension d'alimentation Va via cette autre voie de sortie. Dans ce cas, la tension Vm du point milieu 34 prend alors aussi la valeur Va. Les signaux de sortie des comparateurs 41, 42 valent alors respectivement S1=O et S2=1. Ainsi, malgré cette situation de commande redondante de la charge 20, le troisième test sera OK si A, = 1 et A2 = 0 ou si A, = 0 et A2 = 1, et la présence d'un défaut (non fermeture du commutateur 32) sera détectée si A, = A2 = 1. Les deuxième et troisième tests peuvent être réalisés périodiquement lorsque la borne 12 de sortie n'est pas alimentée, car les commutateurs 31, 32 ne sont pas commandés à la fermeture en même temps pendant ces tests. Ces différents tests peuvent évidemment être réalisés périodiquement et pour une pluralité de voies de sortie, c'est-à-dire pour l'ensemble des voies de sortie du module de sorties numériques que l'on souhaite vérifier. Le module 10 comporte alors les moyens de polarisation et les moyens de comparaison précédemment décrits pour les différentes voies qui comportent deux commutateurs 31, 32 en série. Si les commutateurs 31, 32 sont des transistors MOSFET, on sait que les composants réalisés avec cette technologie présentent intrinsèquement l'équivalent d'une diode de retour inverse. Cette particularité des transistors MOSFET peut entraîner une difficulté dans la situation de commande redondante décrite précédemment. En effet, on a vu que la borne 12 de sortie peut se trouver éventuellement au potentiel positif Va, ce qui pourrait rendre le deuxième commutateur 32 passant en sens inverse, d'où le risque d'endommager tout le dispositif et de commander intempestivement la borne 12 de sortie. Pour éviter cet inconvénient, il est proposé le montage de la figure 2 dans lequel le deuxième commutateur 32 est constitué de deux transistors MOSFET reliés tête-bêche et commandés par le même signal de commande S2, les drains des deux transistors étant reliés entre eux. Les deux diodes intrinsèques sont alors montées en opposition, excluant ainsi tout risque intempestif de conduction inverse. REVENDICATIONS 1. Procédé de vérification du fonctionnement d'une voie d'un module de sorties numériques d'un automate programmable, le module comportant deux commutateurs (31, 32) reliés en série entre une borne d'alimentation (11) et une borne de sortie (12) et commandés par deux signaux numériques de commande (S,, S2) de façon à piloter une charge externe (20) reliée à la borne de sortie (12), caractérisé en ce que ledit procédé comprend les étapes consistant à : • polariser un point milieu (34) des deux commutateurs (31, 32) à l'aide d'un pont de résistances (R,, R2), • comparer la tension (Vm) du point milieu (34) par rapport à deux tensions de référence (Vref1, Vref2) en fonction de la valeur des signaux de commande (S,, S2). 2. Procédé de vérification selon la revendication 1, caractérisé en ce que l'étape de comparaison est effectuée à l'aide de deux comparateurs (41, 42) dotés chacun d'une entrée négative et d'une entrée positive, une première tension de référence (Vrefl) étant appliquée à l'entrée positive du premier comparateur (41) et une deuxième tension de référence (Vref2), inférieure à la première tension de référence (Vrefl), étant appliquée à l'entrée négative du second comparateur (42), l'entrée négative du premier comparateur (41) et l'entrée positive du second comparateur (42) étant reliées au point milieu (34). 3. Procédé de vérification selon la revendication 1, caractérisé en ce que l'étape de comparaison est effectuée de façon périodique et pour une pluralité de voies du module de sorties numériques. 4. Module de sorties numériques d'un automate programmable, comportant deux commutateurs de commande (31, 32) reliés en série entre une borne d'alimentation (11) et une borne de sortie (12) et commandés par deux signaux numériques de commande (Si, S2) de façon à piloter une charge (20) reliée à la borne de sortie (12), caractérisé en ce que le module comprend en outre : • des moyens de polarisation d'un point milieu (34) des deux commutateurs (31, 32), les moyens de polarisation comprenant un pont de résistances (R,, R2), • des moyens de comparaison (41, 42) de la tension (Vm) du point milieu (34) par rapport à deux tensions de référence (Vref,, Vref2) en fonction de la valeur des signaux de commande (S,, S2). 5. Module selon la revendication 4, caractérisé en ce que les moyens de comparaison comprennent deux comparateurs (41, 42) dotés chacun d'une entrée négative et d'une entrée positive, une première tension de référence (Vref,) étant appliquée à l'entrée positive du premier comparateur (41) et une deuxième tension de référence (Vref2), inférieure à la première tension de référence (VYeä), étant appliquée à l'entrée négative du second comparateur (42), l'entrée négative du premier comparateur (41) et l'entrée positive du second comparateur (42) étant reliées au point milieu (34). 6. Module selon la revendication 4, caractérisé en ce que le pont de résistances (R,, R2) comporte une première résistance (R,) raccordée entre la borne d'alimentation (11) et le point milieu (34). 7. Module selon la revendication 6, caractérisé en ce que le pont de résistances (R,, R2) comporte également une seconde résistance (R2) raccordée entre le point milieu (34) et une borne négative (15), une différence de potentiel positive déterminée existant entre la borne d'alimentation (11) et la borne négative (15). 8. Module selon la revendication 6, caractérisé en ce que le pont de résistances (R,, R2) comporte également une seconde résistance (R2) raccordée entre le point milieu (34) et une borne de masse (13) du module (10). 9. Module selon la revendication 4, caractérisé en ce que le module comporte une résistance (R3) disposée entre la borne de sortie (12) et une borne de masse (13) du module (10). 10. Module selon la revendication 4, caractérisé en ce que les deux commutateurs (31, 32) sont des commutateurs électroniques réalisés en technologie MOSFET. 11. Module selon la revendication 9, caractérisé en ce que le commutateur (32) qui est relié à la borne de sortie (12) est constitué de deux transistors t-MOSFET montés tête-bêche et commandés par le même signal de commande (S2).