▼
Scroll to page 2
of
22
1 Sommaire Pages 1. Rôle 3 2. Présentation 2.1 Généralités 2.2 Module 2.3 Synoptique 2.4 Caractéristiques 2.5 Visualisation 2.6 Installation 2.7 Détrompage 2.8 Câblage 5 7 8 9 10 11 13 14 3. Modes de marche 3.1 Présentation 3.2 Invalidation volontaire des commandes d'un coupleur 3.3 Fonctionnement en redondance 1/2 reconfigurable 3.4 Fonctionnement en Normal/Secours 3.5 Fonctionnement en rack standard 16 16 16 16 16 4. Configuration par ORPHEE 4.1 Sélection du mode de fonctionnement 4.2 Paramétrer le diagnostic 17 19 5. Utilisation en programmation 5.1 Ambivalence des commandes 5.2 Programmation 20 20 6. Dialogue module automate 6.1 Diagnostic 6.2 Autres informations coupleur vers CPU 21 22 Les produits matériels et logiciels présentés dans ce document sont à tout moment suceptibles d'évolution ou de modification tant aux plans techniques et d'aspect que d'utilisation. Leur description ne peut en aucun cas revêtir un aspect contractuel. TEM30300F n 2 TEM30300F n 3 1 . Rôle Les modules QSA008x trouvent leur utilisation dans les applications à haute sûreté de fonctionnement. Ils apportent leur contribution tant dans le domaine de la sécurité, du fait des modules de sorties à panne orientée, que dans le domaine de la disponibilité en facilitant la mise en oeuvre d’applications redondantes. ≈ Chaîne de commande B Chaîne de commande A rack standard C R P P U U rack standard ADT0120 automate A C R P P U U tB fil ver l a coaxi automate B ADT0120 RAK5200 A rt ve al fil axi co Q Q Q Q Q Q Q Q S S S S S S S S A A A A A A A A ADT0120 ADT0120 Architecture APRIL 5000 SDR ou SHD (voir "Manuel de sûreté APRIL 5000S, Ref. TEM32000F). TEM30300F n 4 Mission : - Elaborer de façon sûre 8 sorties à partir d’informations codées, reçues d’une ou de deux chaînes automate via leur liaison fil vert. - Relire les états effectifs en sortie, issus du vote. - Gérer de façon sûre les modes de marche et leur transition compte tenu des défaillances détectées en amont des coupleurs et des défaillances propres au module. - Présenter un très haut niveau de sécurité. - Permettre d'atteindre un très haut niveau de disponiblité système. - Limiter la présence de modes communs de défaillance. - Renseigner l’agent de maintenance. m TEM30300F - Permettre le dépannage «on-line», l'embrochage / débrochage sous tension étant possible. - La position de "repli" est la position à manque ( état 0, transistors ouverts ). n 5 2 . Présentation 2.1 Généralités Les modules QSA008x comprennent deux coupleurs fils verts (cf §2-3) et permettent la commande de 8 sorties de sécurité à partir d’une ou de deux chaînes automate. Les deux coupleurs fils verts sont totalement distincts et alimentés par deux réseaux d’alimentation séparés. Chacun de ces coupleurs traite les informations qui lui sont destinées et élabore les commandes codées à destination des voteurs de sortie (MSF) intrinséquement sûrs. Chaque coupleur élabore aussi de façon dynamique un signal d’état codé à destination de ces voteurs. Ce signal est représentatif de l’état de bon fonctionnement de la chaîne automate du coupleur. Il permet de valider ou non les commandes envoyées au MSF. Dans la suite de ce document ce signal est appelé signal de validation des commandes. Pour chaque sortie, le MSF, alimenté par les deux réseaux d’alimentation, réalise les fonctions suivantes : - vérification du codage des commandes et signaux d’état reçus. En cas de codage incorrect, le voteur passe en position de " repli" - vote sur les commandes validées selon la loi suivante : . si les coupleurs se déclarent en bon fonctionnement, le voteur réalise un ET des deux commandes, . si l’un des coupleurs se déclare invalide, le voteur ne retient que l'information issue du coupleur valide, . si les deux coupleurs se déclarent invalides, le voteur décide par construction le passage en position de repli. Par ailleurs les MSF font appel à une technologie particulière leur conférant la propriété d’être "fail safe". Ainsi, aucune défaillance interne du MSF ne peut masquer une commande de passage en repli. Le MSF effectue un autotest périodique qui fait passer les sorties à 0. Le fonctionnement est sans conséquence pour les actionneurs. t2 t0 t1 t0 = 630 µs max. t2 = 630 µs max. t1 = 44,16 ms max. Le module accepte les modes de fonctionnement suivant : - la redondance active 1/2 reconfigurable, - le mode Normal/Secours actif, - le fonctionnement en rack standard ( solitaire ). La programmation de ces modes de fonctionnement se fait via l'écran de paramètrage Orphée de la carte pour chaque chaîne automate. n En redondance 1/2 reconfigurable la carte réalise un ET logique des commandes des deux chaînes TEM30300F 6 Le mode de fonctionnement Normal / Secours actif diffère du précédent (redondance 1/2 reconfigurable) par le fait qu’à un instant donné une seule chaîne commande effectivement la sortie. Est déclaré actif (Normal) le premier coupleur paramétré. En cas de défaillance ou d'invalidation de la chaîne active, le module commute sur l'autre chaîne active. En fonctionnement en Rack standard, seul le coupleur A pilote les sorties. Le module gére par ailleurs la reconfiguration des modes de marche en fonction des défaillances détectées du module et des chaînes amont ainsi que des actions de l' opérateur. Chaque coupleur transmet vers sa CPU automate : - son état interne et la validation de ses commandes, - l’état de l’autre coupleur et la validation de ses commandes, - l’état des composants MSF (résultat des autotests internes), - l’état effectif des sorties MSF de la carte (après vote). TEM30300F n 7 2.2 Module LED modes de marche LED visualisation Sorties TOR emplacement bornier Détrompage du module le module peut être débroché et embroché dans le rack sous tension. TEM30300F n 8 2.3 Synoptique QSA008x MSF MSF MSF MSF MSF MSF MSF CPU B MSF Commmande puissance ISOLEMENT ALIMENTATION EXTERNE COUPLEUR FIL VERT B Vote sûr CPU A COUPLEUR FIL VERT A Adaptation ISOLEMENT 8 sorties libres de potentiel contrôle présence bornier Relecture Le coupleur A est le coupleur alimenté dans le cas d'utilisation en rack standard. Il pilote seul les leds d'affichage du bloc visualisation. En rack bi-fil vert (RAK5200) le coupleur B est associé à l'alimentation la plus à gauche dans le rack, le coupleur A est associé à l'alimentation occupant les emplacements 0 et 1 du rack. A chaque sortie physique sont associés, un MSF et une relecture interne au module. TEM30300F n 9 2.4 Caractéristiques tension d'utilisation : QSA0080 30 à 60 VDC QSA0081 18 à 32 VDC courant nominal 2A courant de pointe pendant 1msec. 20A courant résiduel à l'état 0 <5mA tension de déchet <3,1V eff. isolement des sorties entre elles 2kV isolement entre les sorties et la logique 2kV protection contre les surtensions transil protection contre les inversions de polarité fusibles externes température de fonctionnement 0 à 55° C température de stockage -25+70° C humidité relative de fonctionnement ≤ 90% sans et de stockage condensation dimensions 252X320x36 mm poids ~ 1kg normes CEI1131-2 CEI1508-2 ! NFC63850 Une protection extérieure au module doit être réalisée par fusible de calibre adapté à la charge. Ce fusible est disponible sur le bornier TQS0820. Une coupure sur l'alimentation externe doit durer plus de 5 s pour garantir l'acquittement du défaut "alimentation externe" de la voie et ainsi son bon redémarrage. Si le rack ne comporte pas de ventilateur, l'intensité par sortie est limitée à 0,5A. Le courant permanent admissible avec ventilation du module est de 12A (50% des sorties à 2A, 50% des sorties à 1A). Les coefficients du module QSA008X dans un rack standard sont: C1 = 2,7 C2 = 4 Pour l'utilisation de ces coefficients, se reporter à la documentation TEM30000F §4 TEM30300F n 10 2.5 Visualisation LED OK Allumée quand il n’y a pas de défaut. Eteinte si au moins un des deux coupleurs est en défaut interne grave (hors service) ou quelque soit le défaut en rack standard. Clignotante si au moins un des deux coupleurs est en défaut toléré (défaut ne conduisant pas à un passage en "hors service" du coupleur (voir § 6.1)). Si la led est clignotante ou éteinte certaines sorties peuvent encore fonctionner correctement. OK RUN EXT.FAULT LED RUN La led RUN est allumée dès qu’un des deux coupleurs "fil-vert" est en marche (RUN). La led RUN clignote lorsque le module est en attente de paramètre. LED EXT.FAULT Chaque coupleur l’allume sur détection d’un défaut externe. m ! TEM30300F 0 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 LEDS D'AFFICHAGE LED 0 à 7 : état des 8 sorties votées avec la convention sortie à 1 = led allumée LED 8 : état du coupleur B avec la convention - led allumée = coupleur en fonctionnement - led éteinte = coupleur hors service ou hors tension LED 9 : état du signal de validation des commandes (voir §2.1) du coupleur B avec la convention - led allumée = le coupleur valide ses commandes - led éteinte = le coupleur ne valide pas ses commandes LED 12 : état du coupleur A LED 13 : état du signal de validation des commandes du coupleur A (voir § 2.1) Ces leds ne sont pilotées que par le coupleur A. La défaillance du coupleur A entraîne la perte des leds d'affichage. La signification des autres leds reste valide ( OK, RUN, EXT.FAULT ) n 11 2.6 Installation 2 B 3 4 5 6 7 8 9 A Le module doit être installé dans les emplacements 2 à 9 du RAK5200, du RAK5000 ou du RAK5100. 2 B 3 4 5 6 7 8 9 A Visser impérativement les 2 vis de fixation du module pour garantir la tenue aux perturbations électriques. TEM30300F n 12 2.6 Installation (suite) 2 B bornier 3 4 5 6 7 8 9 A détrompeur 2 B 3 4 5 6 7 8 9 A mettre en place le bornier le détrompage est automatique 2 B 3 4 5 6 7 8 9 A visser le bornier TEM30300F n 13 2.7 détrompage détrompeur femelle: F détrompeur mâle : M position sur bornier QSA0080 M F F position sur bornier QSA0081 TEM30300F M F F position sur module F MM position sur module F M M n 14 2.8 Câblage réaliser le câblage selon les indications de la porte du module. 1 2 3 4 21 22 23 24 17 37 18 38 19 39 20 40 Borniers BORNIER A RESSORT Section des fils Commun Sortie Bornier à vis 1,5mm 2 Bornier à ressort ! TEM30300F Ne pas accéder aux connexions du module lorsque le bornier est absent. Les sorties passent à zéro dès que le bornier est déconnecté. Pour le démontage, retirer le bornier pour enlever le module. n 15 2.8 Câblage (suite) Description des signaux clients : les 8 voies sont numérotées de 0 à 7. Les signaux suivants sont indicés avec le numéro de la voie à laquelle ils sont affectés. VALIM : tension d'utilisation comprise entre : 30V et 60V DC pour la QSA0080, 18V et 32V DC pour la QSA0081. Q : sortie de commande actionneur COMQ : référence 0V de la tension d'utilisation. Les 2 points COMQ d'une même voie sont reliés électriquement sur le module. VALIM0 Q0 Appellations Bornes 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 Q0 COMQ0 Q1 COMQ1 Q2 COMQ2 Q3 COMQ3 Q4 COMQ4 Q5 COMQ5 Q6 COMQ6 Q7 COMQ7 NC NC NC NC 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 Appellations VALIM0 COMQ0 VALIM1 COMQ1 VALIM2 COMQ2 VALIM3 COMQ3 VALIM4 COMQ4 VALIM5 COMQ5 VALIM6 COMQ6 VALIM7 COMQ7 NC NC NC NC charge COMQ0 COMQ0 Câblage de deux modules QSA008x en OU Le câblage en OU de 2 modules QSA008x est possible. Pour cela il est nécessaire d'utiliser le bornier TQS0820 et les câbles KIT0300. Le bornier TQS0820 comporte 1 fusible 2A par voie. Q S A 0 0 8 x Q S A 0 0 8 x KIT0300 TQS0820 Charges TEM30300F n 16 3 . Modes de marche 3.1 Présentation En l'absence de défaillance module ou chaîne amont, le comportement de chaque coupleur est le suivant : - en redondance 1/2 reconfigurable, chaque coupleur valide ses commandes. - en Normal/Secours, seul le coupleur Normal valide ses commandes - en fonctionnement en rack standard, seul le coupleur A valide ses commandes. 3.2 Invalidation volontaire des commandes d'un coupleur L'exploitant peut forcer l'invalidation des commandes d'un coupleur en générant des commandes non ambivalentes ( voir § 5) . Dans ce cas le coupleur invalide ses commandes grâce à son signal de validation des commandes et ne participe plus à l'élaboration des 8 sorties du module. 3.3 Fonctionnement en redondance 1/2 reconfigurable Le choix de la mise en redondance est lié aux architectures de sûreté SDR, SHD ou HD (voir "Manuel de sûreté APRIL 5000S, Ref. TEM32000F). En l'absence de défaillance chaque voteur effectue un ET des commandes. En cas de défaillance, ou d'invalidation volontaire d'un coupleur, ou de sa chaîne amont, le coupleur invalide ses commandes et le voteur ne retient que l'information issue du coupleur valide. 3.4 Fonctionnement en Normal/Secours Lors de l’initialisation du système, c’est le premier coupleur paramétré qui se déclare "Normal". En cas de paramètrage simultané un détrompage hard privilégie le coupleur A. Le coupleur Secours bascule en Normal et valide ses commandes lorsqu'il s’aperçoit que l'autre coupleur cesse de valider ses commandes. Ce principe induit la possibilité d’avoir certains modules fonctionnant en Normal sur la chaîne A et d’autres sur la chaîne B. Pour forcer un état cohérent sur tous les modules (tous les coupleurs d'une chaîne dans le même état), il est recommandé d'invalider volontairement toutes les commandes issues d'une chaîne pendant quelques secondes. On force ainsi tous les coupleurs de cette chaîne en Secours. Pour l'invalidation des commandes se reporter au §5. 3.5 Fonctionnement en rack standard En fonctionnement normal le coupleur A valide ses commandes et active les sorties. En cas d'invalidation volontaire les sorties passent en "repli". TEM30300F n 17 4 . Configuration par ORPHEE 4.1 Sélectionner le mode de fonctionnement Indiquer le mode de fonctionnement et les voies utilisées de 0 à 7 Paramètrage de la carte QSA 008x utilisation en redondance 2/2 utilisation en normal/secours utilisation dans un rack standard utilisation des voies DIAGNOSTIC TEM30300F voie 0 voie 4 voie 1 voie 5 voie 2 voie 6 voie 3 voie 7 ANNULER OK n 18 4.2 Paramètrer le diagnostic En fonction des défauts diagnostiqués par la carte, l’automate peut déclencher une des trois actions suivantes paramétrées au préalable : - Continuer l’exécution du programme sans tenir compte du défaut, - Arrêter l’exécution du programme, - Déclencher un traitement diagnostic % TDn programmé par l’utilisateur. Les différents types de défauts détectés par le coupleur sont les suivants : Message console DEFAUT CONFIGURATION DEFAUT INTERNE 1 - Coupleur déclaré dans le programme mais physiquement absent ou différent 2 - Coupleur hors service ne pouvant plus communiquer sur le bus On distingue 2 types de DI : - les DI mineurs - les DI majeurs les DI majeurs sont ceux qui peuvent mettre en cause la sécurité. Seuls les DI majeurs imposent le passage en Hors service du coupleur DEFAUT EXTERNE Absence de bornier ou d'alimentation bornier NO RUN défaut interne majeur défaut externe RUN TEM30300F Signification du message 1 - Disposition du défaut externe 2 - Cartre changée avec automate sous tension n 19 En l'absence de paramètrage spécifique, l'automate exécutera par défaut les actions suivantes : Paramètre diagnostic automate CARTE QSA008x CONTINUER DEFAUT CONFIGURATION ARRETER DECLENCHER %TD DEFAUT INTERNE %TD DEFAUT EXTERNE %TD NO RUN %TD RUN %TD ANNULER OK choix par défaut ß TEM30300F Ce paramètrage peut avoir une influence considérable sur les performances de sûreté. Il doit donc résulter d'une analyse globale des dysfonctionnements. n 20 5 . Utilisation en programmation 5.1 Ambivalence des commandes On appelle ambivalence, le codage d'une variable sous la forme de deux informations binaires de logique opposée. Dans le cas présent chaque commande émise à destination des modules QSA008x doit être codée de façon ambivalente. ETAT commandé 0 1 %QXn %QXn+16 0 1 1 0 5.2 Programmation A chaque voie utilisée sont affectée deux emplacements mémoire ( %QXn et %QXn+16 ) que le programme doit gérer de façon ambivalente. En cas de non ambivalence des signaux de commande sur au moins une voie utilisée ( %QXn = %QXn+16 ), le coupleur invalide l'ensemble de ses commandes. Dans ces conditions les voteurs de sortie (MSF) ne retiennent que la commande issue du coupleur valide. Les commandes à destination des modules QSA008x peuvent être émises grâce à la BFC SOR_SEC qui gère l'ambivalence ou en programmant directement les %QX correspondants. La commande de sortie TOR est identifiée par %QXn et %QXn+16 (OUTPUT). n= ≈ TEM30300F n°de canal APRIL 7000 : 0 à 9 APRIL 5000 : 0 exemple: n° de rack dans le canal APRIL 7000 : 0 à 6 APRIL 5000 : 0 à 6 n°d'emplacement dans le rack 2 à9 n° de sortie sur le module 00 à 07 canal 1, rack1, emplacement 2, sortie 6 = ( % QX 11206, %QX11222 ) n 21 6 . Dialogue module automate 6.1 Diagnostic ! Défauts internes : DI1 : Défaut voteur ou alimentation externe Sur apparition de ce défaut, le coupleur ne passe pas en hors service. Ce défaut peut provoquer le passage en repli d'une sortie. Origine possible: - absence d'alimentation sur la sortie, - by-pass sur une sortie, - défaut interne toléré, - défaut interne non toléré provoquant la mise en repli de la sortie. La voie en défaut est localisée par %IX(n+8) (voir § 6.2 ). Une intervention est necessaire. DI2 : Défaut de la logique de commande Sur apparition de ce défaut, les cas de passage en hors service du coupleur sont : - en 1/2 reconfigurable il voit l'autre coupleur valider ses commandes, - en Normal/Secours il voit l'autre coupleur OK. DI3 : Défaut relecture sorties Sur apparition de ce défaut, le coupleur ne passe pas en hors service. DI4 : Défaut relecture visualisation : bloc visu en panne. Sur apparition de ce défaut, le coupleur A ne passe pas en hors service. Le défaut relecture visualisation peut être détecté lors de l’initialisation du coupleur A ou pendant le déroulement du logiciel. Sur ce défaut, il y aura émission d’un défaut interne mais le coupleur concerné (coupleur A puisque c’est lui qui pilote le bloc visualisation) ne modifie pas son fonctionnement (pas de passage hors service). Défauts externes : DE1, DE2, DE3 : non répertoriés, DE4 : Défaut de bornier. Sur apparition de ce défaut, chaque coupleur invalide ses sorties. La led RUN s'éteint et la led OK indique un défaut toléré. Défauts logiques : idem autres modules TOR DL1 : Défaut logique 1, DL2 : Le module n’est pas paramétré ou ses paramètres sont en défaut, DL3 : Le module n’est pas paramétré ou son programme est en défaut. TEM30300F n 22 6.2 autres informations coupleur vers CPU Des informations complémentaires sur l'état du module sont remontées par chaque coupleur du module vers sa CPU. Ces informations sont disponibles dans le %IXn associé au module: n= n° de canal APRIL 7000 : 0 à 9 APRIL 5000 : 0 n° de rack dans le canal APRIL 7000 : 0 à 6 APRIL 5000 : 0 à 6 n°d'emplacement dans le rack 2à9 bits significatif de 00 à 20 (voir ci-dessous) La mise à jour de ces informations dans la mémoire UC peut prendre jusqu'à 3 cycles programme. %IX...00-----> %IX...07 : valeur lue des 8 sorties physiques %IX...08-----> %IX...15 : défaut voteur ou alimentation client ou présence de by-pass sur la sortie: 1= défaut sur la voie, 0= pas de défaut. Ces informations sont valides sur apparition d'un défaut interne (DI1) de la carte. %IX..16 : état de l'autre coupleur: 1= actif, 0= inactif ( hors tension ou hors service ). %IX..17 : état du signal de validation des commandes: 1= actif, 0= inactif. %IX..18 : état du signal de validation des commandes de l'autre coupleur: 1= actif, 0= inactif. %IX..19 : indication de discordance: 1= discordance sur au moins une voie utilisée, 0= pas de discordance. %IX..20 : indication de bits non ambivalents (le coupleur invalide ses commandes) 1= bits non ambivalents sur au moins une voie utilisée, 0= toutes les voies utilisées ont des bits ambivalents. TEM30300F n