Région de l’ingénierie des procédés – Version automatisation et instrumentation – Question du jour – Question du 27/10/2020

1. Le système ESD redondant double dispose d’une configuration double, des modules I/O jusqu’à la CPU et aux modules de communication. L’un des ensembles est en état de fonctionnement, tandis que l’autre est en mode de réserve chaude. 2. Chaque composant du système de vote triplé est indépendant, mais les fonctions des trois composants sont exactement identiques. Le signal de sortie du circuit triplé passe par une puce de vote à trois entrées et deux sorties avant de devenir la sortie du système. Lorsqu’un des trois circuits tombe en panne et génère un signal d’erreur, ce signal est masqué après un vote à trois contre deux, permettant au système de continuer à émettre le signal correct (tension, courant ou état de commutation). Le système n’affecte pas le processus en cas de panne interne. 3. Les deux systèmes du système de diagnostic quadruplé, issu du système de diagnostic dualisé, ne constituent pas une simple redondance où l’un sert de réserve à l’autre ; ils fonctionnent simultanément. Non seulement leurs entrées sont complètement indépendantes, mais leurs sorties également, avec les deux systèmes en parallèle, ce qui représente une véritable dualisation.

Le système de diagnostic redondant dans le système SIS est similaire à un système à deux canaux 1oo1D : cette architecture utilise un seul canal de contrôleur doté de capacités de diagnostic, et un second canal de diagnostic formant un circuit de sortie par connexion série. La structure 1oo1D se compose d’un calculateur logique unique et d’une horloge de surveillance externe ; la sortie du chronomètre est connectée en série à la sortie du calculateur logique. Dans les systèmes plus avancés, un contrôle de diagnostic intégré gère une sortie en série indépendante qui force le système à être déconnecté lorsqu’un défaut est détecté. La fonction de diagnostic transforme une défaillance dangereuse détectée en une défaillance sûre. La structure 1oo2D comprend deux canaux de circuit indépendants. Le circuit de sortie peut utiliser différents types de commutateurs doubles. Par exemple, l’interrupteur à état solide fournit une sortie de contrôleur conventionnelle, tandis qu’un autre relais, contrôlé par un diagnostic interne, fournit un deuxième interrupteur à contact ouvert. Si une défaillance dangereuse potentielle est détectée sur le canal de sortie, les contacts du relais se séparent, coupant l’alimentation du circuit de sortie et garantissant que l’actuateur reste en état sûr. Les canaux de circuit doubles peuvent réaliser une structure 1oo1D à l’aide de différents types de contacts, tels que deux contacts ouverts, ou un contact ouvert et un contact fermé, etc. Le suffixe « D » indique que le système dispose, dans chaque canal, de capacités d’autodiagnostic plus étendues et plus détaillées. Le deuxième chemin d’arrêt est celui où ce système d’autodiagnostic effectue un diagnostic du système en utilisant une méthode avancée basée sur des références. Un système de vote triplé est comme un système à 2 canaux 2oo3. Lorsque, dans certaines applications de systèmes de contrôle, l’apparition de tout mode de défaillance est absolument interdite, alors un système à deux choix sur trois constitue le choix le plus fiable. Lorsqu’il s’agit d’éviter l’apparition de deux modes de défaillance, la structure du système devient très complexe. Une conception structurelle qui peut tolérer à la fois des défaillances « sûres » et des défaillances « dangereuses » est une structure à trois choix parmi deux (deux résultats identiques sont choisis parmi trois unités pour la fonction de sécurité). Cette structure dotée de trois unités de contrôle offre un système à la fois sécurisé et hautement disponible. Ce système est appelé système TMR (Redondance à triple module). Chaque canal de sortie d’unité de contrôle possède deux points de sortie. Connecter les deux points de sortie de chacun des trois contrôleurs en un circuit de « vote », et utiliser le résultat du vote pour déterminer le véritable signal de sortie. Le résultat final dépend de l’opinion de la « majorité ». Lorsque deux points de sortie d’un circuit sont activés, la charge de sortie sera activée. Lorsque deux points de sortie d’un circuit sont déconnectés, la charge de sortie sera débranchée. Le système de diagnostic quadruplé, développé à partir du système de diagnostic dual, est comme le système quadruplé 2oo4D. Afin que le système puisse être dégradé à un système 1oo2D pour continuer de fonctionner en cas de panne, certains fabricants proposent sur le marché une solution de système appelée redondance quadruple, parfois désignée sous le nom de QMR (Redondance de quatre modules). Le système quadruplé, en tout cas, a pour structure de base une configuration redondante en entrées et sorties ; le terme « quadruplé » signifie que le système comprend quatre processeurs (deux par « jambe »). Cette structure garantit que, même si l’un des éléments du système s’arrête en raison d’une erreur ou d’un remplacement, le système dans son ensemble reste fonctionnel. Par rapport aux systèmes 1oo2D ou 2oo3, il semble que les systèmes 2oo4D soient plus sûrs et plus fiables ; en réalité, lorsqu’ils fonctionnent, le niveau d’disponibilité et d’intégrité de sécurité fournis par le système est identique. Contrairement au matériel, le logiciel ne se dégrade jamais. Ainsi, lors de la détection du matériel à l’aide de logiciels, on peut toujours les détecter avant que des erreurs ne se produisent. Le système de sécurité QMR utilise des logiciels pour effectuer des auto-tests et des autodiagnostics, du terrain au processeur. Cela rend le système de sécurité QMR plus fiable que tout autre système ne faisant pas usage d’auto-test et d’auto-diagnostic, y compris les systèmes 2oo3 ou 2oo4. En plus de disposer de capacités d’autotest et d’autodiagnostic internes au système, le système QMR a également la capacité de tester et de diagnostiquer les circuits en site. Pour les entrées et les sorties, le système dispose d’une fonction de surveillance des boucles. Une alarme est générée dès qu’un court-circuit ou une ouverture de circuit est détectée dans le circuit. Cette méthode de détection et de diagnostic automatiques réduit les coûts de maintenance et de test de l’ensemble du système. Le système QMR doté d’un système de diagnostic possède la capacité de gérer plusieurs pannes, car il peut détecter et isoler les pannes qui surviennent n’importe où dans le système. Tant que la défaillance ne provient pas de la même partie du système, il peut avoir la capacité de ne pas perdre aucune fonction de sécurité lorsque plusieurs défaillances surviennent. En combinant la technologie de diagnostic 2oo4D, le système acquiert la capacité de détecter et d’isoler même les défaillances sans erreur de fonctionnement. Le système de sécurité QMR est le premier, et pour l’instant le seul, à utiliser une véritable structure à double tolérance aux pannes. C’est le seul système de sécurité capable, même en cas de défaillance des deux processeurs, de maintenir l’exécution des fonctions de sécurité au niveau SIL3. Le système QMR peut fonctionner sans aucun problème, comme un système de sécurité monocanal, au niveau d’intégrité SIL3. Il est très facile de remplacer les modules défectueux du système de sécurité QMR, ce qui peut se faire en ligne, sans nécessiter de module de secours ou de module intermédiaire, et cela n’affecte pas le fonctionnement du dispositif de sécurité. Comme les deux canaux fonctionnent de manière indépendante, il est possible d’utiliser un canal sans diminuer les fonctions de sécurité du système dans son ensemble. De plus, le programme complet peut être téléchargé en ligne sans affecter le processus ni réduire l’intégrité de sécurité du système. Avant de passer à une nouvelle application, le système effectue une vérification et copie les valeurs afin d’assurer un fonctionnement continu, sûr et correct.

1. Le système ESD redondant double dispose d’une configuration double, des modules I/O jusqu’à la CPU et aux modules de communication. L’un des ensembles est en état de fonctionnement, tandis que l’autre est en mode de réserve chaude. 2. Chaque composant du système de vote triplé est indépendant, mais les fonctions des trois composants sont exactement identiques. Le signal de sortie du circuit triplé passe par une puce de vote à trois entrées et deux sorties avant de devenir la sortie du système. Lorsqu’un des trois circuits tombe en panne et génère un signal d’erreur, ce signal est masqué après un vote à trois contre deux, permettant au système de continuer à émettre le signal correct (tension, courant ou état de commutation). Le système n’affecte pas le processus en cas de panne interne. 3. Les deux systèmes du système de diagnostic quadruplé, issu du système de diagnostic dualisé, ne constituent pas une simple redondance où l’un sert de réserve à l’autre ; ils fonctionnent simultanément. Non seulement leurs entrées sont complètement indépendantes, mais leurs sorties également, avec les deux systèmes en parallèle, ce qui représente une véritable dualisation.

1. Le système ESD redondant double dispose d’une configuration double, des modules I/O jusqu’à la CPU et aux modules de communication. L’un des ensembles est en état de fonctionnement, tandis que l’autre est en mode de réserve chaude. 2. Chaque composant du système de vote triplé est indépendant, mais les fonctions des trois composants sont exactement identiques. Le signal de sortie du circuit triplé passe par une puce de vote à trois entrées et deux sorties avant de devenir la sortie du système. Lorsqu’un des trois circuits tombe en panne et génère un signal d’erreur, ce signal est masqué après un vote à trois contre deux, permettant au système de continuer à émettre le signal correct (tension, courant ou état de commutation). Le système n’affecte pas le processus en cas de panne interne. 3. Les deux systèmes du système de diagnostic quadruplé, issu du système de diagnostic dualisé, ne constituent pas une simple redondance où l’un sert de réserve à l’autre ; ils fonctionnent simultanément. Non seulement leurs entrées sont complètement indépendantes, mais leurs sorties également, avec les deux systèmes en parallèle, ce qui représente une véritable dualisation.

Les deux systèmes du système de diagnostic quadruplé, développé à partir du système de diagnostic double, ne constituent pas une simple redondance où l’un sert de réserve à l’autre ; ils fonctionnent en même temps. Non seulement leurs entrées sont complètement indépendantes, mais leurs sorties également, les deux systèmes étant connectés en parallèle, ce qui représente une véritable double redondance.

Les configurations et diagnostics redondants n’ont de sens que s’ils assurent à la fois la sécurité et la disponibilité.

Dernière modification de ce post par h20090630 le 27/10/2020 à 19:59. Le système de diagnostic redondant dans les systèmes SIS est un système à double canal. Cette structure utilise un seul canal de contrôleur doté de capacités de diagnostic, et un deuxième canal de diagnostic formant un circuit de sortie par connexion série. 1. Le système ESD redondant double dispose d’une configuration double, des modules I/O jusqu’à la CPU et aux modules de communication. L’un des ensembles est en état de fonctionnement, tandis que l’autre est en mode de réserve chaude. 2. Chaque composant du système de vote triplé est indépendant, mais les fonctions des trois composants sont exactement identiques. Le signal de sortie du circuit triplé passe par une puce de vote à trois entrées et deux sorties avant de devenir la sortie du système. Lorsqu’un des trois circuits tombe en panne et génère un signal d’erreur, ce signal est masqué après un vote à trois contre deux, permettant au système de continuer à émettre le signal correct (tension, courant ou état de commutation). Le système n’affecte pas le processus en cas de panne interne. 3. Les deux systèmes du système de diagnostic quadruplé, issu du système de diagnostic dualisé, ne constituent pas une simple redondance où l’un sert de réserve à l’autre ; ils fonctionnent simultanément. Non seulement leurs entrées sont complètement indépendantes, mais leurs sorties également, avec les deux systèmes en parallèle, ce qui représente une véritable dualisation.

1. Le système ESD redondant double dispose d’une configuration double, des modules I/O jusqu’à la CPU et aux modules de communication. L’un des ensembles est en état de fonctionnement, tandis que l’autre est en mode de réserve chaude. 2. Chaque composant du système de vote triplé est indépendant, mais les fonctions des trois composants sont exactement identiques. Le signal de sortie du circuit triplé passe par une puce de vote à trois entrées et deux sorties avant de devenir la sortie du système. Lorsqu’un des trois circuits tombe en panne et génère un signal d’erreur, ce signal est masqué après un vote à trois contre deux, permettant au système de continuer à émettre le signal correct (tension, courant ou état de commutation). Le système n’affecte pas le processus en cas de panne interne. 3. Les deux systèmes du système de diagnostic quadruplé, issu du système de diagnostic dualisé, ne constituent pas une simple redondance où l’un sert de réserve à l’autre ; ils fonctionnent simultanément. Non seulement leurs entrées sont complètement indépendantes, mais leurs sorties également, avec les deux systèmes en parallèle, ce qui représente une véritable dualisation.

Les configurations et diagnostics redondants n’ont de sens que s’ils assurent à la fois la sécurité et la disponibilité.

Il y a effectivement eu des progrès, et de nombreuses imperfections des systèmes et du matériel ont été prises en compte. Citant les mots de quelques anciens étudiants : 1. Le système ESD redondant à double configuration est configuré en double pour les modules I/O, la CPU et les modules de communication. L’un des ensembles est en état de fonctionnement, tandis que l’autre est en mode de réserve chaude. 2. Chaque composant du système de vote triplé est indépendant, mais les fonctions des trois composants sont exactement identiques. Le signal de sortie du circuit triplé passe par une puce de vote à trois entrées et deux sorties avant de devenir la sortie du système. Lorsqu’un des trois circuits tombe en panne et génère un signal d’erreur, ce signal est masqué après un vote à trois contre deux, permettant au système de continuer à émettre le signal correct (tension, courant ou état de commutation). Le système n’affecte pas le processus en cas de panne interne. 3. Les deux systèmes du système de diagnostic quadruplé, issu du système de diagnostic dualisé, ne constituent pas une simple redondance où l’un sert de réserve à l’autre ; ils fonctionnent simultanément. Non seulement leurs entrées sont complètement indépendantes, mais leurs sorties également, avec les deux systèmes en parallèle, ce qui représente une véritable dualisation.

1. Le système ESD redondant double dispose d’une configuration double, des modules I/O jusqu’à la CPU et aux modules de communication. L’un des ensembles est en état de fonctionnement, tandis que l’autre est en mode de réserve chaude. 2. Chaque composant du système de vote triplé est indépendant, mais les fonctions des trois composants sont exactement identiques. Le signal de sortie du circuit triplé passe par une puce de vote à trois entrées et deux sorties avant de devenir la sortie du système. Lorsqu’un des trois circuits tombe en panne et génère un signal d’erreur, ce signal est masqué après un vote à trois contre deux, permettant au système de continuer à émettre le signal correct (tension, courant ou état de commutation). Le système n’affecte pas le processus en cas de panne interne. 3. Les deux systèmes du système de diagnostic quadruplé, issu du système de diagnostic dualisé, ne constituent pas une simple redondance où l’un sert de réserve à l’autre ; ils fonctionnent simultanément. Non seulement leurs entrées sont complètement indépendantes, mais leurs sorties également, avec les deux systèmes en parallèle, ce qui représente une véritable dualisation.

1. Le système ESD redondant double dispose d’une configuration double, des modules I/O jusqu’à la CPU et aux modules de communication. L’un des ensembles est en état de fonctionnement, tandis que l’autre est en mode de réserve chaude. 2. Chaque composant du système de vote triplé est indépendant, mais les fonctions des trois composants sont exactement identiques. Le signal de sortie du circuit triplé passe par une puce de vote à trois entrées et deux sorties avant de devenir la sortie du système. Lorsqu’un des trois circuits tombe en panne et génère un signal d’erreur, ce signal est masqué après un vote à trois contre deux, permettant au système de continuer à émettre le signal correct (tension, courant ou état de commutation). Le système n’affecte pas le processus en cas de panne interne. 3. Les deux systèmes du système de diagnostic quadruplé, issu du système de diagnostic dualisé, ne constituent pas une simple redondance où l’un sert de réserve à l’autre ; ils fonctionnent simultanément. Non seulement leurs entrées sont complètement indépendantes, mais leurs sorties également, avec les deux systèmes en parallèle, ce qui représente une véritable dualisation.