Que se passe-t-il lorsqu’un panneau de commande industriel détecte une défaillance en développement avant que l’opérateur ne remarque un problème visible ?

Un variateur moteur peut commencer à consommer un courant irrégulier. Un module d’alimentation peut commencer à chauffer davantage que la normale. Des erreurs de communication peuvent apparaître par intermittence entre les appareils de commande.

Dans un système classique, ces conditions ne deviennent souvent des problèmes de maintenance qu’après le déclenchement d’une alarme, d’un arrêt de sécurité ou d’un arrêt complet.

Les architectures de commande plus intelligentes peuvent réagir plus tôt.

Ils peuvent détecter les conditions anormales, isoler certaines défaillances, transférer les fonctions vers des équipements redondants et fournir au personnel de maintenance des informations de diagnostic détaillées.

Ce concept est parfois décrit comme un panneau de commande autoréparateur.

Le terme ne doit pas être interprété au sens littéral. Un panneau de commande ne peut pas réparer de lui-même un contacteur endommagé, une borne brûlée ou un variateur défaillant.

Ce qu’il peut faire, c’est reconnaître certaines défaillances et appliquer des stratégies de récupération prédéfinies afin d’en limiter l’effet sur la production.

Figure 1. Les panneaux de commande industriels modulaires constituent la base du diagnostic, de l’isolement et du remplacement structuré des composants.

Le point faible n’est souvent pas la machine

Les panneaux de commande coordonnent une grande partie des équipements industriels modernes.

Les automates programmables, les alimentations, les relais, les variateurs, les modules de communication et les appareils d’E/S fonctionnent ensemble pour maintenir une séquence de fonctionnement prévisible.

La défaillance d’un petit composant peut donc affecter un processus beaucoup plus vaste.

Un relais endommagé peut empêcher un moteur de démarrer. Une alimentation défaillante peut désactiver simultanément plusieurs circuits de commande. Un problème de communication peut rendre indisponibles pour le contrôleur des équipements pourtant en bon état.

Les stratégies de maintenance traditionnelles traitent ces risques au moyen d’inspections, de pièces de rechange, de remplacements préventifs et de l’intervention des opérateurs.

Ces pratiques restent nécessaires.

La limite réside dans le temps de réponse.

Lorsque la détection des défaillances dépend principalement de l’arrêt d’une machine ou de la détection d’une alarme par un opérateur, le processus est déjà entré dans un état de fonctionnement anormal.

La conception moderne des systèmes de commande tente de plus en plus de détecter les dégradations avant ce stade.

Ce que signifie réellement l’autoréparation

En termes d’ingénierie, l’autoréparation se comprend mieux comme une combinaison de détection des défaillances, d’isolement des défaillances et de récupération automatisée.

Une architecture pratique peut assurer plusieurs fonctions.

Premièrement, le système détecte un signal ou une condition de fonctionnement anormale.

Deuxièmement, la logique de diagnostic détermine quel appareil, circuit ou zone du processus est affecté.

Troisièmement, le système isole la fonction affectée lorsque l’architecture le permet.

Enfin, un matériel redondant ou une voie de commande alternative peut maintenir une partie du processus jusqu’à l’intervention de la maintenance.

L’opérateur continue de recevoir les alarmes, les journaux et les informations de diagnostic.

L’objectif n’est pas d’éliminer les défaillances. Il s’agit d’empêcher que chaque défaillance individuelle ne devienne automatiquement une interruption à l’échelle de l’usine.

L’architecture modulaire rend l’isolement des défauts pratique

La tolérance aux défauts commence par la conception physique.

Un panneau constitué d’un seul ensemble électrique étroitement interconnecté est difficile à isoler lorsqu’un composant tombe en panne.

Une architecture modulaire crée des limites fonctionnelles plus claires.

La distribution électrique, le contrôle, les communications, les entraînements et les E/S peuvent être répartis en sections identifiables, dotées d’une protection appropriée et d’un accès aux diagnostics.

Cela offre plusieurs avantages opérationnels.

Un défaut peut souvent être associé à une zone fonctionnelle plus restreinte. Le personnel de maintenance peut identifier plus rapidement le matériel affecté, et le remplacement devient plus structuré.

La modularité favorise également des stratégies standardisées de gestion des pièces de rechange.

Au lieu de diagnostiquer chaque composant jusqu’au niveau de la carte, les techniciens peuvent remplacer des modules définis et rétablir le service conformément à une procédure de maintenance établie.

Le matériel remplaçable à chaud peut améliorer cette approche lorsque la plateforme de contrôle et l’application concernées prennent en charge le remplacement sous tension.

Cependant, il ne faut jamais supposer qu’un remplacement à chaud est possible simplement parce qu’un système est modulaire.

Le contrôleur, la plateforme d’E/S, la conception électrique et la procédure de sécurité doivent le prendre explicitement en charge.

Pour les systèmes conçus autour de matériel de contrôle remplaçable, des modules d’E/S clairement catégorisés peuvent également simplifier la maintenance sur l’ensemble du cycle de vie et la planification des pièces de rechange.

La surveillance prédictive recherche les changements avant la défaillance

Une stratégie de contrôle autonome nécessite des informations sur l’état de l’équipement.

C’est là que la détection IIoT et la maintenance prédictive prennent toute leur importance.

Les systèmes modernes de surveillance peuvent observer la charge électrique, la température, les vibrations, la qualité des communications et d’autres variables de fonctionnement.

Une mesure unique peut ne pas révéler de problème.

La tendance est souvent plus utile.

Une connexion de borne dont la température augmente progressivement peut indiquer un problème électrique nécessitant une inspection.

Un moteur présentant une tendance croissante des vibrations peut nécessiter une intervention mécanique avant que son état n’entraîne un arrêt imprévu.

Un déséquilibre de courant récurrent peut également fournir des informations diagnostiques utiles lorsqu’il est évalué dans le contexte électrique et mécanique approprié.

L’informatique en périphérie permet d’effectuer une partie de cette analyse à proximité de la machine.

Au lieu de transmettre chaque mesure brute à un serveur distant, un équipement périphérique peut évaluer localement certains signaux et générer des événements lorsque des conditions définies sont détectées.

Cela peut réduire la latence de réponse et limiter le trafic de données inutile.

Les diagnostics doivent expliquer davantage que « défaut »

Un indicateur de défaut général présente une utilité limitée lorsque la production est déjà arrêtée.

Un diagnostic efficace doit identifier l’endroit où le problème s’est produit et fournir suffisamment de contexte au personnel de maintenance pour l’analyser.

Les contrôleurs modernes et les appareils intelligents peuvent exposer des informations de diagnostic au niveau des composants via le réseau de commande.

La couche IHM ou SCADA peut alors présenter des informations d’alarme plus précises.

Au lieu de signaler uniquement un défaut générique d’entraînement, le système peut identifier l’entraînement qui a généré l’alarme et enregistrer les valeurs de fonctionnement associées.

Les événements historiques aident également les ingénieurs à déterminer ce qui s’est produit immédiatement avant le déclenchement.

Cela devient particulièrement important lorsqu’une défaillance initiale produit plusieurs alarmes secondaires.

La première alarme visible à l’écran n’est peut-être pas la cause première.

Des séquences d’événements correctement horodatées aident les ingénieurs à reconstituer ce qui s’est passé.

L’isolement des défaillances empêche un problème de se propager

La détection seule ne crée pas de tolérance aux pannes.

L’architecture doit également définir ce qui se passe après la reconnaissance d’une défaillance.

Dans certaines applications, le module concerné peut être retiré logiquement de la séquence de fonctionnement.

Dans d’autres cas, le procédé peut basculer vers un équipement redondant.

Les alimentations électriques, les voies réseau, les contrôleurs, les interfaces de communication et les équipements de procédé peuvent tous utiliser la redondance lorsque l’application justifie cette complexité supplémentaire.

La redondance n’est pas automatiquement bénéfique.

Un système redondant mal conçu peut introduire des modes de défaillance supplémentaires et compliquer le dépannage.

La stratégie de récupération doit donc être conçue conjointement avec la stratégie de détection des défaillances.

Figure 2. Une séquence tolérante aux pannes détecte la condition anormale, isole la fonction concernée et transfère le fonctionnement lorsque la redondance est disponible.

Une défaillance d’entraînement montre comment fonctionne le concept

Prenons l’exemple d’une ligne d’embouteillage utilisant des variateurs de fréquence pour réguler la vitesse du convoyeur.

Un entraînement commence à présenter un comportement irrégulier du courant et une température croissante.

Dans une architecture conventionnelle, l’entraînement peut continuer à fonctionner jusqu’à ce que ses fonctions de protection provoquent un déclenchement.

Le convoyeur s’arrête.

La maintenance commence alors à dépanner la section défaillante tandis que la production reste interrompue.

Une architecture plus tolérante aux pannes pourrait réagir différemment.

La surveillance de l’état détecte en premier le profil électrique et thermique anormal.

Le système de commande génère un avertissement de maintenance avant que le procédé n’atteigne la condition de déclenchement.

Si l’application comprend un entraînement de secours prévu dès la conception ou une voie mécanique redondante, la fonction concernée peut alors être transférée selon une logique prédéfinie.

L’entraînement d’origine est isolé et la maintenance reçoit des informations détaillées sur le défaut.

La production peut se poursuivre à pleine capacité ou à capacité réduite selon la conception du procédé.

Cet exemple illustre une limitation importante.

Le système de commande ne peut pas créer une redondance qui n’a jamais été intégrée à la conception de la machine.

La récupération automatisée n’est possible que lorsque les architectures électrique, mécanique et logicielle prévoient une voie alternative.

Lorsqu’un contrôle à vitesse variable est utilisé, des architectures de variateurs VFD et de variateurs c.a. appropriées peuvent s’intégrer à une stratégie plus large de maintenance et de redondance.

La communication fait partie de l’architecture de reprise

Les diagnostics modernes dépendent fortement des réseaux de communication industriels.

Les contrôleurs ont besoin d’informations d’état provenant des variateurs, des E/S déportées, des dispositifs de protection et d’autres composants intelligents.

EtherNet/IP, PROFINET et d’autres protocoles industriels peuvent fournir cette visibilité diagnostique lorsque les équipements la prennent en charge.

Toutefois, l’utilisation d’un protocole Ethernet industriel ne rend pas automatiquement un réseau tolérant aux défaillances.

La résilience dépend de l’architecture du réseau.

Les commutateurs administrables, les voies redondantes, les capacités des contrôleurs, la topologie et les mécanismes de reprise influencent tous ce qui se produit après une défaillance de communication.

Les ingénieurs doivent donc distinguer deux questions.

L’appareil peut-il signaler la défaillance ?

Le réseau peut-il continuer à fonctionner après la défaillance ?

Ces capacités sont liées, mais techniquement différentes.

La sécurité et la reprise automatique nécessitent des limites clairement définies

La reprise automatique ne doit jamais contourner la fonction de sécurité d’une machine ou d’un processus.

Certaines défaillances doivent entraîner un arrêt contrôlé plutôt qu’une poursuite automatique du fonctionnement.

Un arrêt d’urgence, un interverrouillage de sécurité ou une condition électrique dangereuse ne peut pas simplement être contourné parce qu’il est souhaitable de maintenir la production.

La logique de reprise doit distinguer les défaillances qui permettent de poursuivre le fonctionnement de celles qui exigent que l’équipement passe dans un état sûr.

Cela est particulièrement important lorsque des voies de commande redondantes sont utilisées.

Les ingénieurs doivent savoir quels signaux appartiennent à l’automatisation standard et lesquels relèvent de l’architecture liée à la sécurité.

Un concept d’autoréparation fonctionne donc au mieux lorsque le confinement des défaillances est conçu autour de zones fonctionnelles et de sécurité définies.

Les jumeaux numériques ajoutent une couche de test

Les jumeaux numériques peuvent étendre la conception tolérante aux défaillances au-delà du tableau physique.

Une représentation virtuelle du système de commande permet aux ingénieurs d’étudier les séquences de fonctionnement avant de mettre en œuvre des modifications sur des équipements en service.

Des conditions de défaillance peuvent être introduites dans le modèle afin d’examiner la façon dont la logique de commande réagit.

Les ingénieurs peuvent vérifier si les alarmes appropriées apparaissent, si le basculement de la redondance s’effectue correctement et si des interactions imprévues entre les processus se produisent.

Cela est particulièrement utile lorsque la logique de reprise devient complexe.

Tester chaque défaillance possible sur des équipements de production en fonctionnement peut s’avérer impraticable ou dangereux.

Un environnement de simulation offre une autre manière de valider le comportement avant le déploiement.

Figure 3. La simulation numérique peut aider les ingénieurs à évaluer les séquences de défaillance et la logique de reprise avant que les modifications n’atteignent les équipements en fonctionnement.

L’intelligence en périphérie étend la prise de décision locale

Un autre développement concerne la quantité croissante de traitement disponible directement au niveau de la machine.

Les architectures de commande traditionnelles envoient souvent les tâches analytiques de niveau supérieur à des serveurs centralisés.

Les plateformes edge permettent de conserver certains diagnostics localement.

Cela peut être utile pour les applications où les décisions liées aux défaillances doivent être prises rapidement ou lorsqu’une connectivité cloud continue ne peut pas être garantie.

Les analyses locales peuvent identifier les schémas anormaux et n’envoyer que les événements pertinents aux systèmes de supervision ou d’entreprise.

Le PLC continue d’assurer une commande déterministe.

La couche analytique fournit des informations supplémentaires susceptibles d’influencer les décisions de maintenance ou une logique de récupération prédéfinie.

Il est important de maintenir une séparation claire entre ces fonctions.

La commande de la machine ne devrait pas devenir dépendante d’un modèle analytique opaque dont le comportement ne peut pas être validé.

Questions que les ingénieurs devraient se poser lors de la conception du panneau

Un panneau tolérant aux pannes commence par des questions de conception, et non par une fonctionnalité logicielle.

Les ingénieurs devraient déterminer si les différentes zones de défaut sont clairement définies au sein de l’architecture électrique.

Ils devraient identifier les défaillances pouvant être isolées sans arrêter la machine complète.

Les appareils devraient fournir un retour de diagnostic suffisant pour la stratégie de maintenance.

Les fonctions critiques devraient être examinées afin de déterminer si la redondance est justifiée sur les plans technique et économique.

L’équipe de conception devrait également décider quelles variables d’état doivent faire l’objet d’une surveillance continue au-delà des simples heures de fonctionnement.

Les diagnostics à distance peuvent être utiles, mais la sécurité du réseau et les droits d’exploitation doivent être pris en compte dès le début.

La logique de récupération devrait également être testée avec des scénarios de défaillance réalistes, et pas uniquement avec des séquences de fonctionnement normales.

L’objectif est une dégradation maîtrisée, pas un panneau indestructible

Les équipements industriels continueront à tomber en panne.

Les composants vieillissent. Les connexions se dégradent. Les réseaux perdent la communication. Les variateurs se déclenchent. Les alimentations arrivent en fin de vie utile.

L’objectif d’ingénierie n’est donc pas de créer un panneau de commande impossible à défaillir.

Un meilleur objectif est une dégradation progressive maîtrisée.

Le système devrait détecter rapidement toute dégradation lorsque cela est possible.

Lorsqu’une défaillance survient, ses effets devraient rester circonscrits chaque fois que l’architecture le permet.

Les opérateurs devraient recevoir des informations de diagnostic utiles plutôt que des alarmes génériques.

Les processus critiques devraient basculer vers des fonctions de secours conçues à cet effet lorsque cela est approprié.

Le personnel de maintenance devrait alors disposer de suffisamment d’informations pour réparer le matériel concerné sans investigations inutiles.

Telle est la signification concrète d’un panneau de commande autoréparateur.

Il ne se répare pas lui-même.

Il est conçu pour mieux comprendre son propre état, réagir intelligemment aux défaillances prévisibles et préserver autant que possible un fonctionnement sûr jusqu’à ce que les personnes puissent effectuer la réparation physique.