Description du délai de sécurité de processus

Le délai de sécurité de processus (PST) est une mesure importante pour un processus exécuté par une boucle de sécurité. Il est défini comme étant la période entre l'occurrence d'une défaillance sur un équipement sous contrôle (EUC) et l'occurrence d'un événement dangereux si la fonction de sécurité n'est pas exécutée (autrement dit, si l'état de sécurité n'est pas appliqué).

Description du temps de réaction du système

Le temps de réaction du système est la somme du temps de réaction du PAC et des temps de réaction du capteur sélectionné (T_S) et de l'actionneur sélectionné (T_A).

Pour chaque boucle de sécurité, vérifiez que le temps de réaction du système est inférieur au délai de sécurité du processus.

Le temps de réaction du système est illustré ci-après :

Le temps de réaction du système peut inclure les composants suivants :

Description du temps de réaction du PAC

Pour les E/S situées dans le rack principal local (avec l'UC), le temps de réaction du PAC est la somme des temps de réaction du module d'entrée sélectionné (T_I) et du module de sortie sélectionné (T_O), augmentée du temps de réaction de l'UC et du coprocesseur (T_CPU) :

Temps de réaction du PAC (local) = T_CPU + T_I + T_O

Si les E/S sont situées dans un rack distant, le temps de réaction du PAC inclut également le délai de communication d'entrée (T_{COMM_IN}) et le délai de communication de sortie (T_{COMM_OUT}) :

Temps de réaction du PAC (distant) = T_CPU + T_{COMM_IN} + T_I + T_{COMM_OUT} +T_O

Description du temps de réaction de l'UC et du coprocesseur

Le temps de réaction de l'UC et du coprocesseur est directement affecté par la période de la tâche SAFE et la période de la tâche FAST. Vérifiez que la logique de sécurité sera exécutée dans la période de la tâche SAFE.

Dans la mesure où un signal peut apparaître juste au début du cycle d'exécution alors que les signaux ont déjà été traités, deux cycles de la tâche SAFE sont parfois nécessaires pour réagir au signal.

La tâche FAST étant prioritaire sur la tâche SAFE, vous devez aussi tenir compte du temps nécessaire pour exécuter la tâche FAST dans votre estimation de la jigue.

D'où l'équation suivante pour le temps de réaction maximum (pire cas) :

Temps de réaction UC & coproc. = 2 x T_SAFE + T_FAST

Description du temps nécessaire aux modules d'entrée

Le temps maximum (pire cas) T_I nécessaire au module d'entrée numérique de sécurité et au module d'entrée analogique de sécurité est de 6 ms..

Description du temps nécessaire aux modules de sortie

Le temps maximum T_O nécessaire au module de sortie numérique de sécurité est estimé à 6 ms.

Un timeout de sécurité de repli S_TO doit être configuré pour le module de sorties numériques et le module de sorties relais numériques. Selon la période de tâche SAFE configurée (T_SAFE), la valeur de S_TO doit être configurée comme suit :

• Si (2,5 * T_SAFE) ≤ 40 ms, réglez S_TO sur une valeur minimum de 40 ms.

• Si (2,5 * T_SAFE) > 40 ms, réglez S_TO sur une valeur minimum de (2,5 * T_SAFE) ms.

Pour les applications redondantes, considérez l’impact sur le paramètre S_TO du temps supplémentaire (T_SWAP) requis par une permutation, et du temps supplémentaire T_SWITCH requis par un basculement.

Calcul du temps de réaction du système

Connaissant le délai de sécurité du processus (PST) et le temps de réaction maximum des capteurs et actionneurs, vous pouvez calculer le temps de réaction du système (SRT) maximum tolérable dans votre processus.

Le temps de réaction maximum (pire cas) du système peut être calculé comme suit :

Pour les systèmes dont les E/S se trouvent dans des stations distantes :

SRT max. = T_S + T_I + 2 x T_CRA + T_RPI + 2 x T_SAFE + T_FAST + T_O +T_A.

ou

SRT max. = 16 ms + T_S + 2,5 x T_SAFE + T_FAST + T_A.

Pour les systèmes à E/S locales :

SRT max. = T_S + T_I + 2,5 x T_SAFE + T_FAST + T_O +T_A.

ou

SRT max. = 15 ms + T_S + 2,5 x T_SAFE + T_FAST + T_A.

• En cas d'événement inattendu et un basculement, le temps de réaction de sécurité maximum peut augmenter en ajoutant le composant T_SWITCH aux calculs ci-dessus.

• Lorsque l’opérateur du système effectue une permutation, le temps de réaction de sécurité maximum peut augmenter en ajoutant un composant T_SWAP aux calculs ci-dessus.

Temps de réaction du système pendant une permutation

Une permutation désigne l'action déclenchée par l'opérateur sur un système redondant et qui échange les rôles du PAC principal et du PAC redondant. Une permutation consomme du temps supplémentaire, car aucune information ne peut être perdue et toutes les sorties du système doivent se voient appliquer un timeout de sécurité.

Le temps de permutation supplémentaire est ajouté au temps T_CPU après le composant T_JITTER normal, comme ci-dessous :

Le temps T_SWAP est ajouté au temps T_CPU après le composant T_JITTER normal. Cette séquence est affichée ci-dessous. Sauf en cas d’inclusion du composant de permutation, le temps de réaction du système est identique à celui décrit ci-dessus :

Le temps T_SWAP est la somme des éléments suivants :

T_{ADDITIONAL_JITTER} + T_TRANSFER

Les composants propres à la permutation sont décrits ci-après :

T_TRANSFER peut se calculer comme suit :

K3 x (MAST_KB + 2 x SAFE_KB + FAST_KB) + K4 x (MAST_DFB + 2 x SAFE_DFB + FAST_DFB) / 1000

Où :

• TASK_KB = Taille des données (en Ko) échangées pour la tâche entre le PAC principal et le PAC redondant.

• MAST_DFB = Nombre de DFB déclarés dans la tâche.

• K3 et K4 sont des constantes dont les valeurs sont déterminées par le module d’UC utilisé dans l’application :

Si l’opérateur du système souhaite effectuer une permutation sans que les sorties du module de sécurité ne prennent leur état de repli, réglez le paramètre Timeout de sécurité de repli des modules de sortie de sécurité (S_TO) sur, au minimum, une valeur supérieure à : T_{MULTITASK_JITTER} + T_SWAP + T_SAFE.

Temps de réaction du système pendant un basculement

Un basculement survient lorsque le PAC redondant d’un système redondant devient le PAC principal suite à un événement inattendu, par exemple lorsque le matériel du PAC principal devient subitement inopérationnel. L’objectif du basculement pour le nouveau PAC principal est de remplacer l’ancien de manière transparente, puis de lancer les opérations au point où l’ancien PAC principal a cessé de fonctionner. Pourtant, le dernier cycle peut être réexécuté. L’objectif du système est d'atteindre la reprise le plus rapidement possible.

Le temps T_SWTCH est ajouté au temps T_CPU après le composant T_JITTER normal. Cette séquence est affichée ci-dessous. Sauf en cas d’inclusion du composant de basculement, le temps de réaction du système est identique à celui décrit ci-dessus :

Le temps T_SWITCH est la somme des éléments suivants :

T_DETECT + T_{ADDITIONAL_JITTER}

Les composants propres au basculement sont décrits ci-après :

Contrairement à une permutation, aucun temps supplémentaire n’est nécessaire pour effectuer un transfert de données.

Pour autoriser le système à répondre à un événement inattendu et effectuer un basculement sans que les sorties du module de sécurité ne prennent leur état de repli, réglez le paramètre Timeout de sécurité de repli des modules de sortie de sécurité (S_TO) sur, au minimum, une valeur supérieure à : T_JITTER + T_SWITCH + T_SAFE.

Configuration des périodes maximum des tâches SAFE et FAST de l'UC

Le PAC de sécurité M580 ne peut effectuer qu'une exécution périodique des tâches SAFE et TAST (l'exécution cyclique n'est pas prise en charge pour ces tâches).

La Période de la tâche SAFE et le Chien de garde maximum de l'UC sont configurés dans l'onglet Général de la boîte de dialogue Propriétés de cette tâche. La valeur Timeout de repli des modules de sortie numérique de sécurité est configurée dans l'onglet Configuration du module de sortie.

De la même manière, la Période de la tâche FAST et le Chien de garde maximum de l'UC sont configurés dans l'onglet Général de la boîte de dialogue Propriétés de cette tâche.

Assurez-vous que la valeur du chien de garde est supérieure à la période de la tâche SAFE.

Vérifiez la période de la tâche SAFE de l'UC lors de la mise en service de votre projet. A ce moment, Control Expert Safety fournit les valeurs en temps réel émanant du PAC.

Vous trouverez ces informations dans Control Expert Safety en ouvrant l'onglet Tâche et en utilisant le menu Outils > Ecran de l'automate.

La figure suivante illustre l'exécution de chaque tâche dans un système multitâche et décrit la préemption des ressources de l'UC en fonction de la priorité de la tâche :

Calcul de l'impact des périodes d'exécution des tâches sur la bande passante de l'UC

Chaque tâche configurée consomme une portion du temps de traitement (ou bande passante) de l'UC. Le pourcentage estimé de bande passante de l'UC qui est consommé par une tâche est le résultat (quotient) du temps d'exécution estimé de la tâche (E_TASK) divisé par la période d'exécution configurée pour cette tâche (T_TASK), d'où la formule suivante :

Bande passante de la tâche = E_TASK / T_TASK.

Par conséquent, le pourcentage total de bande passante de l'UC consommé par une application est la somme des pourcentages de bande passante consommés par toutes les tâches.

Le tableau suivant présente deux applications et indique l'impact de tâches à haute priorité (FAST et SAFE) sur la consommation totale de la bande passante de l'UC :