FR2724528A1

FR2724528A1 - Procede de fiabilisation de la commande d'un organe de securite et dispositif de mise en oeuvre

Info

Publication number: FR2724528A1
Application number: FR9410795A
Authority: FR
Inventors: Antoine Soulard
Original assignee: Esswein SA
Current assignee: Esswein SA
Priority date: 1994-09-09
Filing date: 1994-09-09
Publication date: 1996-03-15
Anticipated expiration: 2014-09-09
Also published as: FR2724528B1

Abstract

Le procédé de l'invention est caractérisé par le fait que l'on envoie à l'organe de sécurité un signal présentant au moins deux états de codage différents, que l'on inhibe cet organe de sécurité tant qu'il reçoit les états de codage prévus, et que l'on active au moins partiellement cet organe de sécurité dès qu'il ne reçoit plus l'un au moins de ces états de codage.

Description

La présente invention se rapporte à un procédé de fiabilisation de la commande d'un organe de sécurité et à un dispositif de mise en oeuvre de ce procédé.

De nombreux matériels électromécaniques, électriques ou électroniques comportent des organes (moteurs, résistances chauffantes3...) qui, en cas de défaillance propre (emballement, blocage surchauffe, ...) ou de défaillance des éléments auxquels ils sont liés, doivent être mis hors service sous la commande d'un système électronique de surveillance. Ce système de surveillance peut être un calculateur, un microprocesseur, un circuit dédié, .. Généralement, un tel système électronique envoie en permanence un signal logique d'un certain niveau (O ou 1) à l'organe de sécurité (relais, micromoteur, interrupteur, ...) dont est muni l'organe surveillé par ce système électronique, tant que ce système électronique ne détecte aucune défaillance ou anomalie.Dès qu'il détecte une défaillance ou une anomalie, il envoie un signal logique complémentaire du précédent (1 ou 0, respectivement). Ce signal logique complémentaire active l'organe de sécurité qui met hors service l'organe surveillé.

Un tel système de sécurité fonctionne de façon satisfaisante tant que le système électronique de surveillance n'est pas défaillant et tant que la transmission du signal logique est assurée normalement. Dans le cas contraire, suivant le niveau sur lequel s'est arrêté ce signal logique, L'organe de sécurité est activé en permanence, ou bien ne peut plus être activé, et les matériels surveillés peuvent être détruits eVou provoquer des dégâts dans leur environnement.

La présente invention a pour objet un procédé de fiabilisation de la commande d'un tel organe de sécurité, qui permette de signaler immédiatement une panne du système électronique de surveillance, et de déclencher à coup sûr la mise hors service des matériels surveillés par ce système de surveillance, même lorsque le système électronique de surveillance subit une défaillance etlou lorsque la transmission de son signal de surveillance est perturbée.

La présente invention a également pour objet un dispositif de mise en oeuvre de ce procédé.

Le procédé conforme à l'invention consiste à envoyer à l'organe de sécurité du matériel surveillé un signal présentant au moins deux états de codage différents, à inhiber cet organe de sécurité tant qu'il reçoit les états de codage prévus et à activer au moins partiellement cet organe de sécurité dès qu'il ne reçoit plus l'un au moins de ces états de codage.

Le dispositif de surveillance conforme à l'invention, appliqué à un matériel surveillé, comportant un organe de sécurité déclenchant une mise en état de sécurité en cas de défaillance ou d'anomalie de ce matériel, cet organe de sécurité étant relié à un système électronique de surveillance, et, selon l'invention, on intercale un dispositif de contrôle entre l'organe de surveillance et le système électronique de surveillance, ce demier produisant une modulation à au moins deux états différents, le dispositif de contrôle détectant ces états et activant l'organe de surveillance en cas de disparition d'au moins l'un de ces états.

La présente invention sera mieux comprise à la lecture de la description détaillée d'un mode de réalisation, pris à titre d'exemple non limitatif et illustré par le dessin annexé, sur lequel:
- la figure 1 est un bloc-diagramme simplifié d'un système de surveillance de l'art antérieur;
- la figure 2 est un blocdiagrnmme simplifié d'un système comportant un dispositif conforme à l'invention; et
- les figures 3 à 5 sont des schémas d'un dispositif conforme à l'invention, dans trois cas d'utilisation différents.

Le système représenté de façon simplifiée en figure 1 comporte essentiellement un système électronique 1 de commande et de surveillance, relié par un conducteur 2 à un organe de sécurité 3 coopérant avec un matériel surveillé 4. Le système 1 peut par exemple être un micro-contrôleur ou un microprocesseur. Ce système 1 produit sur le conducteur 2 soit un état (niveau logique) O pour lequel l'organe 3 n'est pas activé, soit un état 1 pour lequel l'organe 3 est activé. Bien entendu, dans d'autres modes de réalisation, les états O et 1 peuvent produire les effets inverses, respectivement. En cas de défaillance du système 1, on ne peut pas prédire quel sera l'état maintenu sur le conducteur 2.

Le dispositif de l'invention, tel que schématiquement représenté en figure 2 permet de supprimer cette incertitude. Ce dispositif comporte, entre le système 1 et l'organe 3, un module de contrôle 5 inséré dans le parcours du conducteur 2. En outre, le système 1 doit délivrer un signal différent d'un état permanent, par exemple une succession d'états 0 et 1, c'est-à-dire un signal rectangulaire dont les niveaux respectifs sont 0 et 1.

De façon avantageuse, le rapport cyclique de ce signal est de 50%. La fréquence de ce signal est fonction des caractéristiques du module 5, mais peut varier dans de larges proportions, tout en étant suffisamment élevée pour que le temps de réaction du module 5 ne soit pas prohibitif. Cette fréquence peut par exemple être comprise entre quelques Hz et quelques kHz ou quelques dizaines de kHz. De façon plus générale, le système 1 doit délivrer une modulation, différente d'un état permanent, ou une succession d'états différents, le nombre de ces états étant supérieur ou égal à 2.

Tant que le module 5 reçoit du système 1 une succession d'états différents (états O et 1 dans le cas dudit signal rectangulaire), il inactive ou inhibe l'organe de sécurité 3. Si le module 5 reçoit un état permanent du système 1, il active l'organe de sécurité 3. Cet état permanent peut aussi bien résulter d'une panne ou d'un arrêt momentané du système 1 (qui délivre alors un état O ou un état 1 sur le conducteur 2 constamment, ou pendant un laps de temps suffisamment long pour être considéré comme un cas de panne, par exemple un laps de temps d'au moins plusieurs secondes pour un signal rectangulaire ayant une fréquence de quelques kHz, ) que d'une rupture ou d'un court-circuit du conducteur 2.

Bien entendu, on suppose que l'organe de sécurité 3 et le module 5 peuvent être considérés comme fiables, de même que la liaison entre eux et la liaison entre l'organe 3 et l'appareil 4. Pour améliorer cette fiabilité, on peut prévoir des alarmes visuelles eVou sonores pour signaler une éventuelle panne de ces éléments.

On a représenté sur les figures 3 à 5 un mode de réalisation possible du module 5, dans le cas où le système 1 fournit des signaux rectangulaires à rapport cyclique de 50%, et où l'organe 3 est activé par un état 1.

Le circuit 5 des figures 3 à 5 comporte, à son entrée, un circuit intégrateur 6 se composant d'une résistance série 7 et d'un condensateur parallèle 8. Le circuit 6 est suivi d'un circuit à deux amplificateurs opérationnels 9, 10. L'entrée non inverseuse (+) de l'amplificateur 9 est reliée à l'entrée inverseuse (-) de l'amplificateur 10 ainsi qu'au point commun de la résistance 7 et du condensateur 8.L'entrée inverseuse de l'amplificateur 9 reçoit une tension continue de valeur V/2 + AV, tandis que l'entrée non inverseuse de l'amplificateur 10 reçoit une tension continue de valeur VI2 - AV. Dans cette valeur, V/2 est la tension apparaissant aux bornes du condensateur 8 lorsque le circuit 6 reçoit une tension rectangulaire de rapport cyclique 50% et d'amplitude V, et AV est une tension inférieure à V/2 dans tous les cas. Les sorties des amplificateurs 9 et 10 sont reliées chacune à une entrée d'un circuit OU 11, dont la sortie constitue la sortie du module 5.

Dans le cas de fonctionnement normal (figure 3), le système 1 fournit au module 5 ladite tension rectangulaire. L'amplificateur 9 reçoit sur son entrée (+) une tension sensiblement continue de valeur V/2, et sur son entrée (-) V/2 + AV et l'amplificateur 10 reçoit sur son entrée (+) la valeur
V/2 - AV, et sur son entrée (-) la tension V/2. Sa tension de sortie est donc également nulle. Le circuit OU 11, recevant deux tensions nulles, présente donc sur sa sortie une tension nulle. L'organe 3 n'est alors donc pas activé.

Bien entendu, si l'organe 3 était du type à activation par un état 1, on remplacerait le circuit Il par circuit NON-OU ("NOR" en anglais) ou on ferait suivre le OU par un inverseur logique.

Dans le cas (figure 4) où le système 1 tombe en panne et délivre en permanence un état 0 sur le conducteur 2, I'amplificateur 9 reçoit sur son entrée (+) une tension nulle, et sur son entrée (-), depuis le circuit 6, une tension nulle, et l'amplificateur 10 reçoit sur son entrée (-) une tension nulle, et sur son entrée (+) une tension positive V/2 - AV. II présente donc sur sa sortie une tension positive correspondant à l'état logique 1. Le OU logique 11 présente alors sur sa sortie un état 1, et active donc l'organe de sécurité 3.

Dans le cas (figure 5) où le système 1 tombe en panne et délivre en permanence un état 1 sur le conducteur 2, I'amplificateur 9 reçoit sur son entrée (+) une tension +V, et sur son entrée (-) une tension V/2 + AV (donc inférieure à V, puisque, sur hypothèse, AV est toujours inférieure à V/2).

L'amplificateur 9 présente alors à sa sortie une tension positive correspondant à l'état logique 1. L'amplificateur 10 reçoit sur son entrée (-) une tension + V, et sur son entrée (-) une tension V/2 -AV, donc inférieure à
V. Il présente alors sur sa sortie une tension nulle. Le OU logique Il présente donc sur sa sortie un état 1, et active également l'organe 3.

Le module 5 tel que décrit ci-dessus est très simple à réaliser et peu onéreux. II est bien entendu possible de le réaliser de façon différente lorsque le signal qu'il reçoit du système 1 a des caractéristiques différentes, ou que l'on désire déterminer plusieurs niveaux d'alarme. La condition à respecter est qu'en fonctionnement normal le système 1 délivre une succession ou une séquence d'états différents, ou plusieurs modulations déterminées, reconnaissable par le module 5, alors qu'en cas de panne, le module 5 reçoive seulement l'un de ces états ou un signal non modulé, respectivement, chacun de ces états ou modulations déterminant un niveau d'alarme différent.

En particulier, le système 1 peut produire une fréquence porteuse déterminée modulée (en fréquence etlou phase etlou amplitude eVou par impulsions ...) par au moins un signal. Le module 5 comporte alors un démodulateur correspondant. Dans le cas de l'utilisation de plusieurs signaux modulants, chacun d'eux peut être géré par un sous-ensemble autonome du système 1, et chacun de ces sous-ensembles peut surveiller une partie correspondante de l'équipement 4. Cette surveillance peut être hiérarchisée en fonction de l'importance des dégâts que peut causer une panne de la partie d'équipement surveillée. Par conséquent, I'action de l'organe de sécurité 3 peut être corrélativement graduée (réduction d'une vitesse ou d'une température, pour les cas moins graves, et arrêt complet pour les cas plus graves, ...). Le système 1 émet alors des signaux modulants dont chacun correspond à la surveillance d'une de ces actions, et si l'un de ces signaux n'est pas reçu par le module 5, il déclenche l'action correspondante.

Claims

REVENDICATIONS

1. Procédé de fiabilisation de la commande d'un organe de sécurité relié à un systéme électronique de surveillance, cet organe de sécurité assurant la sécurité d'un matériel surveillé par le système électronique, caractérisé par le fait que l'on envoie à l'organe de sécurité un signal présentant au moins deux états de codage différents, que l'on inhibe cet organe de sécurité tant qu'il reçoit les états de codage prévus, et que l'on active au moins partiellement cet organe de sécurité dès qu'il ne reçoit plus l'un au moins de ces états de codage.

2. Procédé selon la revendication 1, caractérisé par le fait que ledit signal est un signal rectangulaire.

3. Procédé selon la revendication 2, caractérisé par le fait que le signal rectangulaire a un rapport cyclique de 50%.

4. Procédé selon la revendication 1, caractérisé par le fait que ledit signal est une fréquence porteuse modulée en fréquence etlou phase etlou amplitude etlou par impulsions par au moins un signal modulant, chacun des signaux modulants permettant de surveiller une partie correspondante du matériel à surveiller.

5. Procédé selon l'une des revendications précédentes, caractérisé par le fait que le système électronique délivre une succession ou une séquence d'états différents ou plusieurs modulations, chacun de ces états ou modulations déterminant un niveau d'alarme différent.

6. Dispositif de surveillance d'un matériel (4), comportant un organe de sécurité (3) déclenchant une mise en état de sécurité en cas de défaillance ou d'anomalie de ce matériel, cet organe de sécurité étant relié à un système électronique de surveillance (1), caractérisé par le fait qu'il comporte un dispositif de contrôle (5) entre l'organe de sécurité et le système électronique de surveillance, ce dernier produisant une modulation à au moins deux états différents, le dispositif de contrôle comportant un circuit de détection de ces états (7 à Il) dont la sortie est reliée à l'entrée de l'organe de sécurité.