Définition
C’est l’action de surveiller constamment si les entrées et sorties de sécurité de la boucle de sécurité (Arrêt d'Urgence, Interrupteur Magnétique Codé, etc..) gardent leur cohérence.
Les discordances générant l'incohérence peuvent être détectées en temps réel mais certaines discordances ne peuvent être détectées qu'à l'issue d'un cycle de sécurité volontaire.
Ce cycle de sécurité est composé d'inspections périodiques de telle façon que si un défaut pouvant conduire à la perte de la fonction sécurité n'est pas détecté entre deux inspections périodiques, il le soit à l'inspection suivante.
Les discordances générant l'incohérence peuvent être détectées en temps réel mais certaines discordances ne peuvent être détectées qu'à l'issue d'un cycle de sécurité volontaire.
Ce cycle de sécurité est composé d'inspections périodiques de telle façon que si un défaut pouvant conduire à la perte de la fonction sécurité n'est pas détecté entre deux inspections périodiques, il le soit à l'inspection suivante.
Les différents exemples décrits ci-après à partir des modules Preventa XPSAF et XPSAC permettent d'éclairer cette notion d'autocontrôle avec redondance des entrées / sorties.
Redondance des entrées avec autocontrôle
- Si l'Arrêt d'Urgence (AU) ne comporte qu'un contact et que ce contact a été forcé, la fonction sécurité n'est plus assurée, l'AU n'est jamais vu actionné.
- Si l'AU comporte deux contacts (redondance) contrôlés indépendamment :
Si le premier défaut est un contact ponté ( forcé à l'insu de l'opérateur) la fonction sécurité est assurée car le pontage est détecté à l'appui de AU et du réarmement ( l'appui de AU et du réarmement constitue le cycle de sécurité volontaire)
Si le premier défaut est un court-circuit, sa détection est immédiate (en temps réel) car la borne S12 ne doit jamais être à la tension de la borne S21.
La fonction sécurité est assurée.
Dans l'exemple, La plus value apportée par le module est la fourniture par ce module de deux tensions différentes.
Redondance des entrées sans autocontrôle
S'il y a pontage ( forçage) d'un contact, le module remplit sa fonction de sécurité dans la mesure où à l'appui de AU, il désactive ses sorties mais le défaut de pontage reste non détecté même à l'appui du réarmement. Panne dormante.
S'il y a court-circuit, le module ne remplit plus sa fonction de sécurité car l'AU n'est plus vu par le module.
Redondance des sorties sans autocontrôle
· S'il n'y a qu'un seul contacteur et si ce contacteur est collé, à l'appui de AU, la puissance est toujours alimentée, la fonction sécurité n'est plus assurée.
- S'il y a redondance des sorties et si un des contacteurs est collé, à l'appui de AU, le deuxième contacteur non collé fait que la puissance n'est plus alimentée
La fonction sécurité est assurée mais le contacteur collé n'est pas détecté : panne dormante
Redondance des sorties avec autocontrôle
Idem cas précédent, mais de plus à l'appui de réarmement, le contact auxiliaire ''O'' lié de KM1 reste ouvert, le module ''voit '' le contacteur collé et ne permettra l'alimentation des bobines de KM1 et KM2. Panne non dormante