Sur de nombreuses machines discrètes, un seul canal de proximité ou de barrière immatérielle est traité comme un interverrouillage de sécurité ou de qualité, même si l’entrée est un point discret classique. Lorsque ce canal utilise un capteur normalement ouvert (N.O.), le contrôleur ne peut pas faire la différence entre un champ libre et un connecteur débranché. Dans les deux cas, l’échelle reçoit la valeur FALSE. Les opérateurs qui découvrent cette faille peuvent maintenir une protection ouverte, débrancher un capteur d’outillage ou contourner un contrôle de présence sans déclencher d’alarme. La machine continue de fonctionner en supposant à tort que le processus est sain.

Cet article explique pourquoi la détection N.O. masque les défauts de circuit ouvert, comment les dispositifs normalement fermés (N.C.) et à double contact rétablissent cette détection, et quelle est la place des modules d’entrée de diagnostic Allen-Bradley tels que les 1756-IA8D et 1756-IB16D dans une architecture ControlLogix. Il établit également une distinction claire entre les diagnostics d’API et les architectures de sécurité certifiées qui s’appuient sur des relais de sécurité ou des API de sécurité pour les fonctions SIL 2 / PLd. La publication 1756-TD002 reste la référence principale pour les caractéristiques électriques des E/S numériques ControlLogix.

Pourquoi les capteurs normalement ouverts masquent les câbles débranchés

Une entrée discrète qui attend un capteur source ou puits évalue le courant circulant dans le canal. Avec un dispositif N.O., le courant circule uniquement lorsque la cible est détectée. Lorsque la cible est absente, le canal est ouvert et le bit d’entrée vaut FALSE. Lorsque le câble est débranché, le canal est également ouvert et le bit d’entrée vaut encore FALSE. L’application API ne dispose donc d’aucun état indépendant signifiant « capteur absent ». Une logique de qualité qui attend simplement la valeur TRUE avant de faire avancer un cycle traitera les deux conditions comme « autorisation de poursuivre », ce qui est exactement le mauvais résultat pour les applications de protection et de présence.

Avec un capteur N.C., l’état de repos sain est TRUE. La détection de la cible ouvre le contact et force le bit à FALSE. Un câble débranché force également le bit à FALSE, mais cet état n’apparaît que lorsqu’un problème survient par rapport à l’état de repos TRUE attendu. La logique applicative peut donc exiger la valeur TRUE avant d’autoriser le mouvement et traiter un état FALSE maintenu sans raison liée au processus comme un défaut. La distinction n’est pas sémantique : c’est la différence entre un contournement silencieux et un arrêt forcé.

Capteurs à double contact et architectures hybrides

De nombreux capteurs de proximité industriels et interrupteurs de protection proposent des boîtiers à double contact : une voie N.O. pour la logique machine et une voie N.C. pour la surveillance ou l’intégration à une chaîne de sécurité. Une configuration pratique consiste à raccorder le contact N.O. à une entrée d’API standard utilisée pour les décisions de séquence ou de qualité, tandis que le contact N.C. alimente un relais de sécurité ou un canal d’E/S de sécurité qui doit rester fermé pour autoriser la machine. Si le connecteur est retiré, la voie N.C. s’ouvre et le relais de sécurité retombe, quelle que soit l’opinion de l’API. Si la cible est simplement présente, la voie N.O. change d’état tandis que la voie de surveillance N.C. peut toujours vérifier la continuité du câble et du corps du dispositif.

Lorsque le matériel à double contact n’est pas disponible, le câblage en série d’une boucle N.C. « dispositif présent » à travers une entrée de surveillance dédiée reste utile, à condition que l’installateur comprenne qu’une seule coupure de fil, n’importe où dans la boucle, sera interprétée comme l’absence d’un dispositif. L’étiquetage, la documentation des boîtes de jonction et les tests fonctionnels périodiques restent obligatoires. Ne vous reposez pas sur le seul bit d’une entrée d’API comme unique niveau de protection contre les risques pour le personnel.

Modules de diagnostic : 1756-IA8D et 1756-IB16D

Les modules numériques de diagnostic ControlLogix ajoutent la détection des circuits ouverts et des courts-circuits, absente des modules standard. Le module d’entrée de diagnostic CA 1756-IA8D peut signaler une condition de circuit ouvert lorsque le circuit de terrain consomme moins d’environ 2 mA en présence de l’excitation. Le module d’entrée de diagnostic CC 1756-IB16D signale les circuits ouverts en dessous d’environ 0,5 mA. Ces seuils sont importants, car certains capteurs et dispositifs de terrain anciens laissent fuir suffisamment de courant pour maintenir un module non diagnostique dans un état apparemment normal, tout en restant proches d’un véritable circuit ouvert. La publication Rockwell 1756-TD002 répertorie les limites électriques et le comportement des diagnostics ; concevez toujours votre système selon les valeurs publiées pour la référence catalogue et la série concernées.

Les systèmes d’E/S Genius historiques sont souvent cités dans les discussions sur les modernisations, car leur comportement en matière de courant de fuite autour de 2 mA a influencé la conception des anciens circuits CA. Lors de la migration de points Genius vers ControlLogix, ne supposez pas que le même câblage de capteur produira automatiquement un état de diagnostic propre sur un 1756-IA8D. Mesurez le courant au repos, vérifiez le courant de fuite à l’état désactivé du capteur et ajustez les réseaux de rappel ou d’excitation si le bit de diagnostic fluctue ou ne s’active jamais. Les bits d’état de diagnostic doivent être intégrés à la logique d’alarme et d’inhibition, et non ignorés comme de simples informations facultatives.

Procédure de mise en œuvre

1. Inventoriez chaque capteur utilisé comme interverrouillage de protection, de présence ou d’outillage. Indiquez la polarité (N.O. ou N.C.) et précisez si le connecteur est accessible aux opérateurs.
2. Privilégiez les dispositifs N.C. ou à double contact pour tout canal qui doit vérifier l’intégrité du câble. Mettez à jour les schémas électriques et les variables API afin qu’ils correspondent au nouvel état de repos.
3. Lorsque des canaux à semi-conducteurs sont conservés, spécifiez des modules de diagnostic (1756-IB16D pour le CC, 1756-IA8D pour le CA) et mettez en service des tests de circuit ouvert en débranchant chaque canal dans des conditions contrôlées.
4. Associez les bits de défaut de diagnostic aux alarmes de première cause et à la logique d’autorisation d’inhibition. Exigez une réinitialisation vérifiée après un événement de circuit ouvert.
5. Pour les fonctions SIL 2 / PLd, implémentez la fonction de sécurité avec des relais de sécurité ou une architecture d’API de sécurité. Ne prétendez jamais qu’un programme d’API standard constitue à lui seul la mesure d’intégrité de sécurité.

Vérifiez la détection des circuits ouverts sur chaque canal

La vérification est simple et doit être consignée dans la liste de contrôle de mise en service. L’alimentation étant appliquée et la machine inhibée, débranchez chaque capteur critique et confirmez que l’alarme ou la retombée de sécurité prévue se produit dans le temps de réponse défini. Rebranchez le capteur et confirmez que l’état de repos N.C. revient à TRUE avant d’effacer le défaut. Les pièges courants sont de conserver des capteurs N.O. sur des variables « sécurité » par habitude, d’utiliser des modules de diagnostic sans câbler correctement l’excitation et de supposer qu’un budget de courant de fuite datant de l’ère Genius reste valable après un changement de plateforme. Une autre erreur fréquente consiste à traiter un bit de circuit ouvert diagnostiqué comme un simple avertissement tandis que la machine continue son cycle.

Enfin, rappelez-vous que les E/S discrètes de diagnostic améliorent la maintenabilité et réduisent les contournements silencieux, mais ne créent pas à elles seules une fonction de sécurité certifiée. Associez les diagnostics de l’API à des produits de sécurité matériels dimensionnés selon l’évaluation des risques et conservez des modules d’API et d’E/S de rechange conformes aux mêmes normes de plateforme ControlLogix que celles utilisées pour le reste de la cellule.