FR 2945643 A1 20101119 FR 0953128 A 20090512 La présente invention concerne un module d'entrée sortie ainsi qu'un automate programmable industriel modulable pour la détection d'une défaillance et/ou pour la sécurisation d'un système électrique comprenant un tel module d'entrée/sortie. Les automates programmables sont utilisés dans l'industrie afin d'automatiser des processus de commande d'actionneurs à partir d'instructions provenant généralement d'un programme informatique exécuté sur une unité centrale et exploitant des données pouvant provenir de différents capteurs. Suivant l'application, l'interface entre l'unité centrale et les différents actionneurs et capteurs est assurée par des modules comprenant des extensions d'entrée/sortie sur lesquelles sont branchés ces actionneurs et capteurs. Ces modules ont la particularité d'être facilement remplacés car leurs connexions électrique à l'automate programmable industriel est assurée par l'intermédiaire d'embases fixes sur des rails normalisés se trouvant dans une armoire électrique. Dans des systèmes nécessitant un niveau de disponibilité plus élevé, il est nécessaire de contrôler la fiabilité des informations échangées. Pour satisfaire à cette exigence, il est connu de disposer d'une seconde unité centrale pour assurer une redondance dans le contrôle/commande des différents processus. A cet effet, les deux unités centrales sont en liaison permanente, ce qui leur permet d'échanger des informations de diagnostic et de statuts des différents composants de l'installation. Cependant, cette liaison nécessite l'utilisation d'unités centrales spécifiques avec un logiciel dédié pour pouvoir fonctionner. La redondance s'effectue alors soit en connectant les deux unités centrales aux différents modules par l'intermédiaire de deux bus de terrain dont les informations sont comparées en permanence, soit en effectuant un second contrôle de toutes les informations transitant à travers un unique bus de terrain. Dans ces configurations, la détection d'une défaillance repose essentiellement sur la communication entre les deux unités centrales et sur l'écoulement d'un temps de réponse maximal d'une unité centrale à l'autre. Les échanges d'informations entre les unités centrales et les modules d'entrée/sortie se déroulent suivant plusieurs cycles définissant des trames et déterminés par le programme des unités centrales qui se base sur une fréquence d'horloge de l'une des unités centrales. En cas de perte de liaison entre les deux unités centrales ou sans liaison entre celles-ci, la détection d'erreurs et la réaction qui s'en suit dépend du diagnostic des unités centrales et de l'interprétation et vérification des informations de redondance. Ces interprétations et vérifications surviennent après la réception de chaque trame. Aussi, il est souhaitable de raccourcir le délai de détection. L'invention vise à résoudre tout ou partie de ces inconvénients. A cet effet, la présente invention concerne un module d'entrée/sortie pour capteurs et/ou actionneurs comprenant au moins des premiers moyens de communication destinés à la communication avec une première unité centrale par l'intermédiaire d'un premier bus de terrain, et au moins des seconds moyens de communication destinés à la communication avec une seconde unité centrale par l'intermédiaire d'un second bus de terrain caractérisé en ce que le module comprend en outre des moyens de traitement agencés : pour établir une sélection d'une unité centrale primaire entre la première unité centrale et la seconde unité centrale en prenant en compte : l'état de fonctionnement de chacun des bus de terrain fournies par le premier bus et le second bus communiquant respectivement avec les premiers moyens de communication et les seconds moyens de communication, les états de fonctionnement ou d'arrêt de chacune des unités centrales fournis respectivement par les premiers moyens de communication et les seconds moyens de communication, et la consultation d'informations fournies par la première unité centrale et la seconde unité centrale communiquant respectivement avec les premiers moyens de communication et les seconds moyens de communication, et pour contrôler les sorties du module d'entrée/sortie en fonction des informations reçues de l'unité centrale primaire sélectionnée. En fonction des renseignements fournis et de paramétrages initiaux, le module, par l'intermédiaire de ses moyens de traitement est capable d'affecter une priorité sur la sélection des commandes à prendre en compte provenant des deux unités centrales. En cas de défaillance sur cette sélection, le module sélectionne les informations les plus cohérentes pour contrôler le processus et éventuellement passer à une solution de repli prenant en compte les dernières valeurs valides ou bien des valeurs par défaut. De plus, l'établissement d'un ordre d'importance permet de réduire le temps de réaction car l'information n'a pas besoin d'être vérifiée de nouveau pour satisfaire aux exigences de redondance. Les moyens de traitement fonctionnent avec tout type d'unités centrales et modules d'extensions d'entrée/sortie prévus pour un quelconque automate programmable industriel. Cette disposition permet d'utiliser des unités centrales existantes sur le marché et non spécialement prévues pour la redondance. Cela n'engendre donc pas les surcoûts qu'auraient engendrés l'utilisation d'unités centrales spécifiques qui auraient également nécessité le développement d'un logiciel d'interface de programmation lui aussi spécifique. De même, les différents capteurs et actionneurs ne nécessitent pas de connexions spécifiques pour être raccordés aux extensions d'entrée/sortie de chaque module. Selon un mode de réalisation, les moyens de traitement sont agencés pour envoyer aux deux unités centrales des informations concernant par exemple l'état du câblage, l'état de l'autre unité centrale et/ou la cohérence des informations échangées entre les deux unités centrales. Cette disposition permet au module d'entrée/sortie d'informer les unités centrales sur l'état des composants du système intervenant dans le processus et sur l'état d'avancement de ce même processus. Le module, par ses moyens de traitement peut ainsi renseigner les unités centrales sur le câblage, l'état de l'autre unité centrale, et sur la cohérence des informations échangées. Selon un mode de réalisation, les moyens de traitement sont agencés pour comparer les signaux fournis par les deux moyens de communications afin de vérifier leur cohérence. Selon le même mode de réalisation, en cas d'incohérence des signaux fournis par les deux moyens de communications, les moyens de traitement sont agencés pour contrôler les sorties du module d'entrée/sortie en fonction d'une dernière valeur cohérente reçue et/ou d'une valeur par défaut. Cette disposition permet au processus de ne prendre en compte que des valeurs cohérentes de capteurs dont la prise en compte n'a pas de répercussions aberrantes sur l'action des actionneurs. Avantageusement, reconnaissant et comparant le nombre d'autres modules reliés à chacun des deux bus de terrain. Cette disposition permet de détecter une différence correspondant à une coupure tel un court-circuit. Selon le même mode de réalisation, le module d'entrée/sortie comprend un dispositif d'affichage local des informations. Cette disposition permet à un opérateur de localiser immédiatement l'origine d'un défaut et permet donc une intervention de maintenance plus rapide. Une embase de connectique peut être agencée pour connecter d'une part le module d'entrée/sortie et d'autre part les deux bus de terrain reliés chacun aux deux unités centrales. Cette disposition permet une grande modularité dans l'utilisation de différents modules dans un même système électrique. La présente invention concerne également un ensemble comprenant un module d'entrée/sortie selon l'invention et des modules d'extensions d'entrée/sortie reliés à des capteurs et/ou actionneurs mais aussi un automate programmable industriel modulable comprenant au moins une première unité centrale et une seconde unité centrale, les deux unités centrales étant agencées pour exécuter un même programme, au moins des premiers moyens de communication destinés à la communication avec l'au moins une première unité centrale par l'intermédiaire d'un premier bus de terrain, et au moins des seconds moyens de communication destinés à la communication avec l'au moins une seconde unité centrale par l'intermédiaire d'un second bus de terrain, au moins un module d'entrée/sortie selon l'invention, au moins un capteur et/ou au moins un actionneur reliés au module d'entrée/sortie destinés respectivement au contrôle et à la commande d'un procédé industriel. La redondance de l'automate programmable industriel modulable n'est ainsi plus basée sur la communication directe entre les deux unités centrales ce qui permet de raccourcir les temps de prise de décision. D'autres caractéristiques et avantages de l'invention selon un mode de réalisation préféré ressortiront de la description détaillée ci-après, prises en liaison avec des dessins qui illustrent, à titre d'exemple, les principes de l'invention. La figure 1 est une représentation de l'agencement des unités centrales et des modules. La figure 2 montre la pile de protocole des deux unités centrales ainsi que la séquence des opérations effectuée au cours d'un cycle de fonctionnement d'un automate programmable industriel modulable selon l'invention. Comme montré sur la figure 1, un automate programmable industriel modulable 1 selon l'invention comprend deux unités centrales 2a, 2b branchés sur leur embase respective 3a, 3b ; des extensions d'entrée/sortie décentralisées 4 reliés aux embases 3a, 3b des deux unités centrales 2a, 2b par l'intermédiaire de deux bus de terrain 5a, 5b ; des modules d'entrées/sorties 6 branchés sur leurs embases (non montrées) reliées par un circuit électrique interne aux extensions d'entrée/sortie décentralisées 4. L'automate programmable industriel modulable 1 selon l'invention peut comprendre jusqu'à quatre modules de communication 7 adossés localement aux unités centrales 2a, 2b, et d'autres extensions d'entrée/sortie décentralisées 4 avec d'autres modules d'entrées/sorties 6 mais reliés aux entrées/sorties de la première extension décentralisée. Les modules de communication 7 permettent un raccordement aux différents systèmes à bus de terrain standards comme les unités centrales 2a, 2b et permet une intégration aux réseaux existants. Comme illustré sur la figure 1, les modules de communication 7 utilisent le réseau Ethernet existant, ce qui libère les bus de terrain 5a, 5b de la communication entre les deux unités centrales 2a, 2b. Seul le contrôle de la cohérence des informations échangées entre les deux unités centrales 2a, 2b est assurée par les bus de terrains 5a, 5b. Le module d'entrée/sortie comprend des moyens de traitement 9 constitués par exemple par un microprocesseur, qui permet la mise en forme des signaux, la communication et le transfert des données. Chaque module d'entrée/sortie 6 selon l'invention comprend un dispositif d'affichage local 8 pour déterminer la ligne contrôlant le process, l'état des lignes et des unités centrales 2a, 2b, les défauts ou l'absence de défauts. Les modules d'entrées/sorties 6 peuvent fonctionner avec des signaux du type binaire ou alors analogique. Les bus de terrain 5a, 5b sont des bus de terrain maître/esclave exclusif ; la communication sur ces bus se fait en série et s'effectue par un appel sélectif : le maître envoie une requête à l'esclave puis reçoit sa réponse. Chacun des bus de terrain 5a, 5b comprend plusieurs trames avec des centres de réseau communication 13a, 13b. Ces trames permettent la lecture et l'écriture des données issues du processus. Concernant les informations transmises d'une unité centrale 2a ou 2b vers un module d'entrées/sorties 6 à travers une trame d'un bus de terrain 5a ou 5b, la communication avec les unités centrales 2a, 2b est bidirectionnelle et s'effectue par l'intermédiaire des moyens de communication 13a, 13b au travers des deux bus de terrain 5a, 5b par l'envoi de trames. Chaque trame comporte les informations suivantes. La trame comprend une information sur l'état de fonctionnement de l'unité centrale 2a ou 2b sur lequel le module d'entrées/sorties 6 est branché, ainsi que des informations sur l'état du bus de terrain 5a ou 5b. Par exemple, si l'unité centrale 2a ou 2b fonctionne, alors elle enverra une valeur de fonctionnement, tandis que si l'unité centrale ne fonctionne pas alors une valeur d'arrêt sera fournie. La trame comprend une information sur l'état de fonctionnement d'un bus de terrain 5a ou 5b. Il est par exemple possible que cette information consiste en une variable basculant entre deux valeurs à chaque envoi d'une trame entre le module et une des unités centrales 2a ou 2b. Si la valeur de la variable reste constante lors de l'envoi de deux trames successives alors le module d'entrée/sortie 6 interprétera cette information comme un défaut du bus de terrain 5a ou 5b considéré. Chaque trame comprend également des informations provenant d'une unité centrale à destination des entrées/sorties. A partir des informations ci-dessus, les moyens de traitement 9 sélectionnent une unité centrale primaire entre la première unité centrale 2a et la seconde unité centrale 2b en prenant en compte, de préférence dans l'ordre indiqué ci-dessous : - l'état de fonctionnement de chacun des bus de terrain 5a, 5b fournis par le premier bus 5a et le second bus 5b communiquant respectivement avec les premiers moyens de communication 13a et les seconds moyens de communication 13b, - les états de fonctionnement ou d'arrêt de chacune des unités centrales 2a, 2b, et - la consultation d'informations fournies par la première unité centrale 2a et la seconde unité centrale 2b. L'unité centrale primaire sera donc de préférence celle reliée par un bus de terrain en fonctionnement, cette unité centrale étant elle-même en fonctionnement et fournissant des informations cohérentes. Dans le cas ou deux unités centrales remplissent ces conditions, une unité centrale par défaut peut être choisie par exemple en fonction de l'emplacement de raccordement au module d'entrées/sorties. Les trames transmises d'un module d'entrées/sorties 6 vers une des unités centrales 2a ou 2b contiennent les informations suivantes. La trame comprend une information indiquant à l'unité centrale 2a ou 2b s'il s'agit pour le module d'entrées/sorties 6 de l'unité centrale primaire ou s'il s'agit pour le module d'entrées/sorties 6 de l'unité centrale secondaire. La trame comprend des informations sur la cohérence des informations échangées avec les deux unités centrales 2a et 2b. En particulier, chaque trame comprend une information sur la cohérence de signaux numérique et une information sur la cohérence de signaux analogiques, les modules d'entrées/sorties 6 pouvant fonctionner avec des signaux du type binaire ou bien analogique. La trame comprend des informations sur l'état et/ou la présence d'un autre bus de terrain relié au module d'entrée/sortie 6, l'état du câblage, l'état et/ou la présence d'une autre unité centrale reliée au module d'entrée/sortie 6, des éventuels conflits d'instructions. Sur la figure 2, on peut voir les deux unités centrales 2a et 2b reliées chacune respectivement par l'intermédiaire des bus de terrain 5a et 5b à un module d'entrées/sorties 6. Les bus de terrain 5a et 5b sont chacun illustrés en deux parties afin de distinguer les informations d'entrées et de sorties des unités centrales 2a, 2b, cependant il s'agit des même bus de terrain 5a et 5b. Chacune des unités centrales 2a, 2b reçoit et décode dans un premier temps les données provenant des moyens de traitement 9 du module d'entrées/sorties 6 (� RI �). Ces données contiennent des informations concernant l'état de l'autre unité centrale 2a ou 2b, l'état des bus de terrain 5a et 5b, l'état du module d'entrées/sorties 6 et l'état des capteurs ou actionneurs reliées à celui-ci dont les informations reçues sont représentées sur la figure 4 par les flèches pleines 10 pointant sur le bord du module d'entrées/sorties 6. Ces informations sont analysées selon un certain ordre par plusieurs fonctions d'une partie � HA � du programme de chacune des unités centrales 2a, 2b séparées en blocs. Parmi ces blocs de fonction, on distingue le bloc de fonction � DIAG � qui permet d'analyser l'état du bus de terrain 5a ou 5b suivant l'unité centrale considérée, puis le bloc de fonction � CONTROL � qui contrôle les échanges de données entre les deux unités centrales 2a et 2b à travers la liaison Ethernet 12 entre les deux unités centrales 2a, 2b par l'intermédiaire du module d'entrées/sorties 6 et qui définie l'unité centrale primaire 2a, et enfin le bloc de fonction � DATA � qui collecte toutes les informations provenant de l'unité centrale primaire 2a et qui crée une table de données qui est transférée à l'unité centrale secondaire 2b par l'intermédiaire des bus de terrain 5a et 5b reliés au module d'entrées/sorties 6. Suivant la taille des données transférées, le transfert des données peut prendre plus qu'un cycle. Ces données sont ensuite traitées par une autre partie � APP � du programme des deux unités centrales 2a et 2b qui va les encoder en données � WO � afin de pouvoir les envoyer vers les moyens de traitement 9 du module d'entrées/sorties 6 (� OA-A et OA-B �). Ces moyens de traitement sont en mesure de sélectionner les données à prendre en compte parmi les données envoyées par les deux unités centrales 2a et 2b. Le module d'entrées/sorties 6 transmet ensuite ces données aux capteurs ou actionneurs reliées aux entrées/sorties de celui-ci. Ces informations transmises sont représentées sur la figure 4 par les flèches pleines 11 issues du bord du module d'entrées/sorties 6. Ainsi, il est possible d'intégrer un tel module d'entrée/sortie 6 dans un automate programmable industriel modulable 1 afin d'appliquer une méthode de détection d'une défaillance et/ou de sécurisation d'un système électrique devant répondre à un niveau d'exigence de sécurité élevé sans qu'il ne soit nécessaire d'avoir recours à des unités centrales spécifiques fonctionnant avec un programme dédié au système à sécuriser. Comme il va de soi, la présente invention ne se limite pas à la seule forme d'exécution de module d'entrées/sorties 6 et de cet automate programmable industriel modulable 1 décrite ci-dessus à titre d'exemple, mais elle embrasse au contraire toutes les variantes. REVENDICATIONS1. Module d'entrée/sortie (6) pour capteurs et/ou actionneurs comprenant au moins des premiers moyens de communication (13a) destinés à la communication avec une première unité centrale (2a) par l'intermédiaire d'un premier bus de terrain (5a), et au moins des seconds moyens de communication (13b) destinés à la communication avec une seconde unité centrale (2b) par l'intermédiaire d'un second bus de terrain (5b) caractérisé en ce que le module comprend en outre des moyens de traitement (9) agencés : - pour établir une sélection d'une unité centrale primaire entre la première unité centrale (2a) et la seconde unité centrale (2b) en prenant en compte : l'état de fonctionnement de chacun des bus de terrain (5a, 5b) fournis par le premier bus (5a) et le second bus (5b) communiquant respectivement avec les premiers moyens de communication (13a) et les seconds moyens de communication (13b), les états de fonctionnement de chacune des unités centrales (2a, 2b) fournis respectivement par les premiers moyens de communication (13a) et les seconds moyens de communication (13b), et la consultation d'informations fournies par la première unité centrale (2a) et la seconde unité centrale (2b) communiquant respectivement avec les premiers moyens de communication (13a) et les seconds moyens de communication (13b), et - pour contrôler les sorties du module d'entrée/sortie (6) en fonction des informations reçues de l'unité centrale primaire sélectionnée. 2. Module d'entrée/sortie (6) selon l'une des revendications précédentes dans lequel les moyens de traitement (9) sont agencés pour envoyer aux deux unités centrales (2a, 2b) des informations concernant par exemple l'état du câblage, l'état de l'autre unité centrale et/ou la cohérence des informations échangées entre les deux unités centrales (2a, 2b). 3. Module d'entrée/sortie (6) selon l'une des revendications précédentes, dans lequel les moyens de traitement (9) sont agencés pour comparer les signaux fournis par les deux moyens de communications (13a, 13b) afin de vérifier leur cohérence. 4. Module d'entrée/sortie (6) selon la revendication 3, dans lequel en cas d'incohérence des signaux fournis par les deux moyens de communications, les moyens de traitement (9) sont agencés pour contrôler lessorties du module d'entrée/sortie (6) en fonction d'une dernière valeur cohérente reçue et/ou d'une valeur par défaut. 5. Module d'entrée/sortie (6) selon l'une des revendications précédentes reconnaissant et comparant le nombre d'autres modules (6) reliés à chacun des deux bus de terrain (5a, 5b). 6. Module d'entrée/sortie (6) selon l'une des revendications précédentes dans lequel le module d'entrée/sortie (6) comprend un dispositif d'affichage (8) local des informations. 7. Ensemble comprenant un module d'entrée/sortie (6) selon l'une des revendications précédentes et des modules d'extensions (4) d'entrée/sortie reliés à des capteurs et/ou actionneurs. 8. Automate programmable industriel modulable (1) comprenant au moins une première unité centrale (2a) et une seconde unité centrale (2a, 2b), les deux unités centrales étant agencées pour exécuter un même programme, au moins des premiers moyens de communication (13a) destinés à la communication avec l'au moins une première unité centrale (2a) par l'intermédiaire d'un premier bus de terrain (5a), et au moins des seconds moyens de communication (13b) destinés à la communication avec l'au moins une seconde unité centrale (2b) par l'intermédiaire d'un second bus de terrain (5b), au moins un module d'entrée/sortie (6) selon l'une des revendications 1 à 7, au moins un capteur et/ou au moins un actionneur reliés au module d'entrée/sortie (6) destinés respectivement au contrôle et à la commande d'un procédé industriel.