Schneider Electric M580 Safety - Conditions Mode d'emploi

M580 Safety
Conditions d'utilisation relatives à la sécurité - Plan
de vérification
Traduction de la notice originale
EIO0000004741.00
11/2021
www.se.com
Mentions légales
La marque Schneider Electric et toutes les marques de commerce de Schneider
Electric SE et de ses filiales mentionnées dans ce guide sont la propriété de
Schneider Electric SE ou de ses filiales. Toutes les autres marques peuvent être des
marques de commerce de leurs propriétaires respectifs. Ce guide et son contenu
sont protégés par les lois sur la propriété intellectuelle applicables et sont fournis à
titre d'information uniquement. Aucune partie de ce guide ne peut être reproduite ou
transmise sous quelque forme ou par quelque moyen que ce soit (électronique,
mécanique, photocopie, enregistrement ou autre), à quelque fin que ce soit, sans
l'autorisation écrite préalable de Schneider Electric.
Schneider Electric n'accorde aucun droit ni aucune licence d'utilisation commerciale
de ce guide ou de son contenu, sauf dans le cadre d'une licence non exclusive et
personnelle, pour le consulter tel quel.
Les produits et équipements Schneider Electric doivent être installés, utilisés et
entretenus uniquement par le personnel qualifié.
Les normes, spécifications et conceptions sont susceptibles d'être modifiées à tout
moment. Les informations contenues dans ce guide peuvent faire l'objet de
modifications sans préavis.
Dans la mesure permise par la loi applicable, Schneider Electric et ses filiales
déclinent toute responsabilité en cas d'erreurs ou d'omissions dans le contenu
informatif du présent document ou pour toute conséquence résultant de l'utilisation
des informations qu'il contient.
En tant que membre d'un groupe d'entreprises responsables et inclusives, nous
actualisons nos communications qui contiennent une terminologie non inclusive.
Cependant, tant que nous n'aurons pas terminé ce processus, notre contenu pourra
toujours contenir des termes standardisés du secteur qui pourraient être jugés
inappropriés par nos clients.
Table des matières
Consignes de sécurité ................................................................................5
Avant de commencer ..................................................................................5
Démarrage et test.......................................................................................6
Fonctionnement et réglages ........................................................................7
Introduction ..................................................................................................8
Processus de vérification .........................................................................10
Exigences relatives à la sécurité des applications ............................... 11
Exigences relatives au cycle de vie des applications ................................... 11
Informations sur la sécurité - Manuel de sécurité M580................................15
Informations sur la sécurité - M580 - Guide de planification du système
de sécurité ...............................................................................................23
Informations sur la sécurité - EcoStruxure™ Control Expert - Sécurité Bibliothèque de blocs................................................................................25
Informations sur la sécurité - Normes et certifications ..................................27
EIO0000004741.00
3
Consignes de sécurité
Consignes de sécurité
Informations importantes
Lisez attentivement ces instructions et examinez le matériel pour vous familiariser
avec l'appareil avant de tenter de l'installer, de le faire fonctionner, de le réparer ou
d'assurer sa maintenance. Les messages spéciaux suivants que vous trouverez
dans cette documentation ou sur l'appareil ont pour but de vous mettre en garde
contre des risques potentiels ou d'attirer votre attention sur des informations qui
clarifient ou simplifient une procédure.
La présence de ce symbole sur une étiquette “Danger” ou “Avertissement” signale un
risque d'électrocution qui provoquera des blessures physiques en cas de non-respect
des consignes de sécurité.
Ce symbole est le symbole d'alerte de sécurité. Il vous avertit d'un risque de blessures
corporelles. Respectez scrupuleusement les consignes de sécurité associées à ce
symbole pour éviter de vous blesser ou de mettre votre vie en danger.
!
DANGER
DANGER signale un risque qui, en cas de non-respect des consignes de sécurité, provoque
la mort ou des blessures graves.
!
AVERTISSEMENT
AVERTISSEMENT signale un risque qui, en cas de non-respect des consignes de sécurité,
peut provoquer la mort ou des blessures graves.
!
ATTENTION
ATTENTION signale un risque qui, en cas de non-respect des consignes de sécurité, peut
provoquer des blessures légères ou moyennement graves.
AVIS
AVIS indique des pratiques n'entraînant pas de risques corporels.
Remarque Importante
L'installation, l'utilisation, la réparation et la maintenance des équipements
électriques doivent être assurées par du personnel qualifié uniquement.
Schneider Electric décline toute responsabilité quant aux conséquences de
l'utilisation de ce matériel.
Une personne qualifiée est une personne disposant de compétences et de
connaissances dans le domaine de la construction, du fonctionnement et de
l'installation des équipements électriques, et ayant suivi une formation en sécurité
leur permettant d'identifier et d'éviter les risques encourus.
Avant de commencer
N'utilisez pas ce produit sur les machines non pourvues de protection efficace du
point de fonctionnement. L'absence de ce type de protection sur une machine
présente un risque de blessures graves pour l'opérateur.
EIO0000004741.00
5
Consignes de sécurité
AVERTISSEMENT
EQUIPEMENT NON PROTEGE
•
N'utilisez pas ce logiciel ni les automatismes associés sur des appareils non
équipés de protection du point de fonctionnement.
•
N'accédez pas aux machines pendant leur fonctionnement.
Le non-respect de ces instructions peut provoquer la mort, des blessures
graves ou des dommages matériels.
Cet automatisme et le logiciel associé permettent de commander des processus
industriels divers. Le type ou le modèle d'automatisme approprié pour chaque
application dépendra de facteurs tels que la fonction de commande requise, le
degré de protection exigé, les méthodes de production, des conditions
inhabituelles, la législation, etc. Dans certaines applications, plusieurs
processeurs seront nécessaires, notamment lorsque la redondance de
sauvegarde est requise.
Vous seul, en tant que constructeur de machine ou intégrateur de système,
pouvez connaître toutes les conditions et facteurs présents lors de la
configuration, de l'exploitation et de la maintenance de la machine, et êtes donc
en mesure de déterminer les équipements automatisés, ainsi que les sécurités et
verrouillages associés qui peuvent être utilisés correctement. Lors du choix de
l'automatisme et du système de commande, ainsi que du logiciel associé pour une
application particulière, vous devez respecter les normes et réglementations
locales et nationales en vigueur. Le document National Safety Council's Accident
Prevention Manual (reconnu aux Etats-Unis) fournit également de nombreuses
informations utiles.
Dans certaines applications, telles que les machines d'emballage, une protection
supplémentaire, comme celle du point de fonctionnement, doit être fournie pour
l'opérateur. Elle est nécessaire si les mains ou d'autres parties du corps de
l'opérateur peuvent entrer dans la zone de point de pincement ou d'autres zones
dangereuses, risquant ainsi de provoquer des blessures graves. Les produits
logiciels seuls, ne peuvent en aucun cas protéger les opérateurs contre
d'éventuelles blessures. C'est pourquoi le logiciel ne doit pas remplacer la
protection de point de fonctionnement ou s'y substituer.
Avant de mettre l'équipement en service, assurez-vous que les dispositifs de
sécurité et de verrouillage mécaniques et/ou électriques appropriés liés à la
protection du point de fonctionnement ont été installés et sont opérationnels. Tous
les dispositifs de sécurité et de verrouillage liés à la protection du point de
fonctionnement doivent être coordonnés avec la programmation des équipements
et logiciels d'automatisation associés.
NOTE: La coordination des dispositifs de sécurité et de verrouillage
mécaniques/électriques du point de fonctionnement n'entre pas dans le cadre
de cette bibliothèque de blocs fonction, du Guide utilisateur système ou de
toute autre mise en œuvre référencée dans la documentation.
Démarrage et test
Avant toute utilisation de l'équipement de commande électrique et des
automatismes en vue d'un fonctionnement normal après installation, un technicien
qualifié doit procéder à un test de démarrage afin de vérifier que l'équipement
fonctionne correctement. Il est essentiel de planifier une telle vérification et
d'accorder suffisamment de temps pour la réalisation de ce test dans sa totalité.
6
EIO0000004741.00
Consignes de sécurité
AVERTISSEMENT
RISQUES INHERENTS AU FONCTIONNEMENT DE L'EQUIPEMENT
•
Assurez-vous que toutes les procédures d'installation et de configuration ont
été respectées.
•
Avant de réaliser les tests de fonctionnement, retirez tous les blocs ou
autres cales temporaires utilisés pour le transport de tous les dispositifs
composant le système.
•
Enlevez les outils, les instruments de mesure et les débris éventuels
présents sur l'équipement.
Le non-respect de ces instructions peut provoquer la mort, des blessures
graves ou des dommages matériels.
Effectuez tous les tests de démarrage recommandés dans la documentation de
l'équipement. Conservez toute la documentation de l'équipement pour référence
ultérieure.
Les tests logiciels doivent être réalisés à la fois en environnement simulé et
réel
Vérifiez que le système entier est exempt de tout court-circuit et mise à la terre
temporaire non installée conformément aux réglementations locales
(conformément au National Electrical Code des Etats-Unis, par exemple). Si des
tests diélectriques sont nécessaires, suivez les recommandations figurant dans la
documentation de l'équipement afin d'éviter de l'endommager accidentellement.
Avant de mettre l'équipement sous tension :
•
Enlevez les outils, les instruments de mesure et les débris éventuels présents
sur l'équipement.
•
Fermez le capot du boîtier de l'équipement.
•
Retirez toutes les mises à la terre temporaires des câbles d'alimentation
entrants.
•
Effectuez tous les tests de démarrage recommandés par le fabricant.
Fonctionnement et réglages
Les précautions suivantes sont extraites du document NEMA Standards
Publication ICS 7.1-1995 (la version anglaise prévaut) :
EIO0000004741.00
•
Malgré le soin apporté à la conception et à la fabrication de l'équipement ou
au choix et à l'évaluation des composants, des risques subsistent en cas
d'utilisation inappropriée de l'équipement.
•
Il arrive parfois que l'équipement soit déréglé accidentellement, entraînant
ainsi un fonctionnement non satisfaisant ou non sécurisé. Respectez toujours
les instructions du fabricant pour effectuer les réglages fonctionnels. Les
personnes ayant accès à ces réglages doivent connaître les instructions du
fabricant de l'équipement et les machines utilisées avec l'équipement
électrique.
•
Seuls ces réglages fonctionnels, requis par l'opérateur, doivent lui être
accessibles. L'accès aux autres commandes doit être limité afin d'empêcher
les changements non autorisés des caractéristiques de fonctionnement.
7
Introduction
Introduction
Contexte
Ce document est un plan de vérification générique des conditions d'application
liées à la sécurité (SRAC) pour démontrer la conformité avec la section « Specific
requirements » (Exigences spécifiques) du certificat d'examen CE de type du
système de sécurité Modicon M580.
Le certificat d'examen CE de type du contrôleur de sécurité fonctionnelle Modicon
M580 REG.-NO : 01/205/5610/01/19 [3] exprime une exigence spécifique selon
laquelle « Les instructions des manuels d'installation et de sécurité associés
doivent être prises en compte ».
Ce plan de vérification des conditions d'application liées à la sécurité vise à :
•
identifier toutes les « instructions des manuels d'installation et de sécurité
associés » (également appelées exigences ou SRAC) ;
•
fournir une trame générique pour justifier que ces « instructions des manuels
d'installation et de sécurité associés » sont respectées.
Documents de référence
8
Réf.
Titre de la documentation
Référence
Révision – Date
[1]
Modicon M580 - Manuel de sécurité
QGH46983
06–10/2020 ou
version ultérieure
[2]
Modicon M580 - Guide de planification du
système de sécurité
QGH60284
06–09/2020 ou
version ultérieure
[3]
Examen CE de type du contrôleur de sécurité
fonctionnelle M580
01/205/5610/01/19
-
EIO0000004741.00
Introduction
Réf.
Titre de la documentation
Référence
Révision – Date
[4]
EcoStruxure Control Expert - Sécurité Bibliothèque de blocs
QGH60278
06–10/2020 ou
version ultérieure
[5]
Plateformes Modicon M580, M340 et X80 I/O
- Normes et certifications
EIO0000002727
02–10/2018 ou
version ultérieure
Acronymes
EIO0000004741.00
Acronyme
Définition
CIP
Common Industrial Protocol (protocole industriel commun)
CPU
Control Processing Unit (unité de traitement des commandes ou unité centrale)
DDDT
Device Derived Data Type (type de données dérivé d'équipement)
DTM
Device Type Manager (gestionnaire de type d'équipement)
CEM
Compatibilité électromagnétique
E/E/PE
Electrical/Electronic/Programmable Electronic (système électrique, électronique,
électronique programmable)
DDT
Derived Data Type (type de données dérivé)
ES (ou E/S)
Entrée/Sortie
FS
Functional Safety (sécurité fonctionnelle)
MTTR
Mean Time To Restoration (délai moyen avant restauration)
NTP
Network Time Protocol (protocole de temps réseau)
PAC
Programmable Automation Controller (automate programmable)
PLC
Programmable Logic Controller (automate programmable industriel)
PELV
Protective Extra Low Voltage (très basse tension de protection)
PL
Performance level (niveau de performance)
SIF
Safety Instrumented Function (fonction instrumentée de sécurité)
SIL
Safety Integrity Level (niveau d'intégrité de la sécurité)
SIS
Safety Instrumented System (système instrumenté de sécurité)
SAid
Safety Application identifier (identifiant d'application de sécurité)
SRAC
Safety Related Application Condition (condition d'application liée à la sécurité)
SRT
System Reaction Time (temps de réaction système)
SELV
Safety Extra-Low Voltage (très basse tension de sécurité)
UID
Unique Identifier (identifiant unique)
VS
Voltage Supply (tension d'alimentation)
9
Processus de vérification
Processus de vérification
Exigences
Cinq sous-ensembles d'exigences ont été extraits des documents suivants :
•
Exigences relatives au cycle de vie des applications, Modicon M580 - Manuel
de sécurité [1]
•
Exigences relatives aux messages d'informations sur la sécurité, Modicon
M580 - Manuel de sécurité [1]
•
Exigences relatives aux messages d'informations sur la sécurité, Modicon
M580 - Guide de planification du système de sécurité [2]
•
Exigences relatives aux messages d'informations sur la sécurité,
EcoStruxure Control Expert - Sécurité - Bibliothèque de blocs [4]
•
Exigences relatives aux messages d'informations sur la sécurité, Plateformes
Modicon M580, M340 et X80 I/O - Normes et certifications [5]
Par conséquent, le chapitre suivant contient cinq listes de contrôle distinctes,
correspondant à chacun des cinq sous-ensembles d'exigences.
Le processus de vérification consiste à s'assurer que toutes les exigences
identifiées ont été correctement prises en compte dans l'application de projet
envoyée pour vérification.
Condition préalable
Les personnes chargées de la vérification des SRAC doivent :
•
travailler de façon indépendante (vis-à-vis de l'équipe de conception) ;
•
maîtriser la sécurité fonctionnelle (certificat de formation FS niveau 3) ;
•
maîtriser le système de sécurité Modicon M580 et Control Expert (certificat
de formation en sécurité M580 Schneider Electric).
Exclusions
Ce document est valide uniquement avec les documents et révisions référencés,
tels qu'indiqués au paragraphe Documents de référence, page 8.
10
EIO0000004741.00
Exigences relatives à la sécurité des applications
Exigences relatives à la sécurité des applications
Exigences relatives au cycle de vie des applications
Liste de contrôle des exigences relatives au cycle de vie des applications. Pour
plus d'informations sur les exigences associées, consultez le document Modicon
M580 - Manuel de sécurité [1].
Id
Exigences relatives au cycle de vie des applications
Done
Justification
Cycle de vie d'une application
> Etape 9 : Spécification des exigences de sécurité des systèmes E/E/PE
CV
1
CV
2
Cette étape a lieu lorsque l'analyse des risques est terminée et a fourni (entre autres) les informations
suivantes :
•
Définition des fonctions intégrées de sécurité
•
Performances exigées desdites fonctions (temps, réduction des risques, niveau SIL, etc.)
•
Modes de défaillance de ces fonctions
□
□
□
Elle doit produire les spécifications du besoin en matière de sécurité, lesquelles comprendront au
minimum les informations suivantes nécessaires à la conception d'une application sécurisée à l'aide
de n'importe quel type de PAC de sécurité :
•
Etat sécurisé des fonctions de sécurité intégrées
•
Analyse du mode de fonctionnement du SIS (y compris le comportement en mode de marche,
d'arrêt, de mise sous tension, de maintenance, de réparation, etc.)
•
Intervalle de test de la fonction de sécurité (SIF)
•
MTTR du SIS
•
Choix d'avoir la SIF alimentée ou non alimentée
•
Performance du solveur de logique (temps de réaction, précision, etc.)
•
Besoins en matière de performance
•
□
□
□
□
□
□
•
Tolérance aux défaillances
□
•
Intégrité
□
•
Taux maximum de déclenchements infondés
□
•
Taux maximum de défaillances dangereuses
□
Spécifications environnementales (CEM, conditions mécaniques, chimiques, climatiques, etc.)
EIO0000004741.00
□
11
Exigences relatives à la sécurité des applications
Id
Exigences relatives au cycle de vie des applications
Done
Justification
> Etape 10 : Réalisation de systèmes liés à la sécurité E/E/PE
CV
3
La première sous-étape (10.1) a pour but de convertir les exigences de sécurité du SIS en
spécifications de la conception matérielle, des tests du matériel, de la conception logicielle, des tests
du logiciel et des tests d'intégration. Elle doit fournir au minimum les informations suivantes,
nécessaires pour concevoir une application sécurisée utilisant le système de sécurité M580 :
•
•
Architecture matérielle, en tenant compte des points suivants :
•
Respect des règles M580 concernant le mélange de modules de sécurité et de modules
hors sécurité : tous les modules de sécurité (modules d'E/S de sécurité et UC &
coprocesseur de sécurité) sont placés dans des racks où le rack principal et son
extension sont alimentés par une alimentation sécurisée et contiennent uniquement des
modules sécurisés ou des modules non perturbateurs de type 1.
□
•
Consommation électrique par rack.
□
•
Règles de déclassement.
□
Architecture de l'alimentation :
•
•
•
12
Y compris l'utilisation de variables globales M580 ; une variable globale ne doit pas
empêcher le déclenchement d'une action de sécurité à moins qu'un « protocole
d'application sécurisé » soit utilisé.
□
Intégration du matériel (câblage, armoire, etc.) :
•
Protection par fusibles.
□
•
Accessoires pour diagnostic du câblage.
□
Interfaces homme-machine :
•
•
□
Architecture logicielle :
•
•
Alimentation SELV/PELV uniquement.
Y compris l'utilisation de variables globales M580 ; une variable globale ne doit pas
empêcher le déclenchement d'une action de sécurité à moins qu'un « protocole
d'application sécurisé » soit utilisé.
□
Interfaces électriques/numériques :
•
Etat de sécurité.
□
•
Capteur et actionneur.
□
•
Algorithme
•
Performances (y compris la définition de la période, du chien de garde et du timeout de la tâche)
et prédiction d'un bon comportement à l'aide de la formule :
•
Comportement dans les cas suivants :
□
□
•
Configuration déverrouillée
□
•
Mode Maintenance
□
•
Entrée de maintenance
□
•
Canal non valide
□
•
Défaut du câblage
□
•
Intégrité de la voie
□
•
Intégrité du module
□
•
Gestion des identifiants uniques (UID) des modules d'E/S sécurisés (définir quand un UID doit
être modifié).
•
Serveur NTP :
□
•
Choix du PAC en tant que serveur NTP ou serveur NTP externe (en fonction de
l'utilisation de l'horodatage des E/S dans l'application de processus).
□
•
Redondance de serveurs
□
•
Perte de serveur
□
EIO0000004741.00
Exigences relatives à la sécurité des applications
Id
Exigences relatives au cycle de vie des applications
Done
Justification
> Etape 12 : Installation et mise en service globales
CV
4
Cette étape a pour but de définir les besoins pour les procédures d'installation, de planification des
tâches, d'instrumentation et de mise en service, puis de générer le système et de vérifier qu'il est
correct.
•
CV
5
Pour les applications redondantes, vérifiez que le timeout de repli des modules de sortie de
sécurité remplit les conditions définies pour les opérations de permutation et de basculement,
puis vérifiez le temps de maintien du CRA.
□
•
Vérifiez que le timeout de sécurité de repli (S_TO) pour les modules de sorties de sécurité est,
au moins supérieur à 40 ms ou à (2,5 * TSAFE), où TSAFE est égal à la période de la tâche
SAFE configurée.
□
•
Effacez toute application préexistante dans l'automate ou utilisez une application configurée
sans équipement de sécurité CIP avant d'installer l'équipement de sécurité sur un réseau de
sécurité Ethernet (avec équipements de sécurité CIP).
□
Dans un système de sécurité M580, la procédure de mise en service doit comprendre les points
suivants :
•
Vérification de l'intégrité de Control Expert et de la version de Control Expert.
•
Vérification des versions de micrologiciel de l'UC et du coprocesseur via la surveillance des
mots système %SW14 (version de micrologiciel du processeur de l'automate) et %SW142
(version de micrologiciel du coprocesseur).
•
Vérification des adresses de tous les modules (position dans le rack, commutateurs CRA).
•
Vérification du câblage :
□
□
•
Vérification point à point : de la variable interne au module d'E/S et à l'actionneur ou au
capteur.
□
•
Fusibles.
□
•
Equipement de diagnostic du câblage.
□
•
Au terme de cette procédure, tous les modules de sécurité sont en mode verrouillé (LCK) (il est
recommandé que l'application de sécurité elle-même vérifie cette condition).
•
Vérification de la configuration de chaque module (y compris les timeouts) :
•
Lisez la configuration à l'aide de l'écran Control Expert et comparez-la à la spécification.
•
Toutes les applications de sécurité ont été regénérées à l'aide de l'option Regénérer tout le
projet, puis téléchargées vers chaque automate, et leur identifiant (SAId) a été enregistré ainsi
que leur archive.
•
La période et le chien de garde des tâches sont corrects.
•
Références et versions des modules.
•
Utilisation d'alimentations SELV/PELV uniquement.
•
Si l'application de sécurité contient des équipements CIP Safety :
•
□
□
□
□
□
□
□
•
L'identifiant de configuration de sécurité (SCID) peut être considéré comme validé
(option activée dans le DTM CIP Safety dans Control Expert) et la configuration cible est
verrouillée après le test par l'utilisateur.
□
•
Pour vérifier que la configuration source créée par l'utilisateur à l'aide du logiciel Control
Expert a bien été envoyée et enregistrée dans le module source CIP Safety M580,
comparez visuellement les paramètres de la configuration cible CIP Safety affichés dans
les DDDT cibles (en mode connecté avec le PAC, dans une table d'animation) à ceux
affichés et configurés dans l'onglet Vérification de la configuration du DTM cible. Les
valeurs doivent toutes être identiques.
□
•
Une fois que les configurations de connexion de sécurité ont été appliquées dans le
module source CIP Safety M580, testez chacune de ces connexions cibles pour vérifier
qu'elles fonctionnent comme prévu.
□
•
Avant d'installer des équipements CIP Safety dans le réseau de sécurité, attribuez-leur
les adresses MAC et les débits appropriés.
□
Les téléchargements d'application sont validés au moyen d'un test utilisateur.
EIO0000004741.00
□
13
Exigences relatives à la sécurité des applications
Id
Exigences relatives au cycle de vie des applications
Done
Justification
> Etape 13 : Validation de sécurité globale
CV
6
Cette étape a pour but de confirmer que le système intégré de sécurité satisfait aux exigences
définies. Elle exécute tous les tests et produit les rapports définis à l'étape 7 du « cycle de vie de la
sécurité ». Elle doit notamment :
•
Vérifier qu'il n'y a pas de condition de dépassement (overrun) au cours d'aucun des états du
système (vérification du bit système %S19 dans les tâches MAST, FAST, AUX0) et que le temps
d'exécution maximum et actuel de la tâche SAFE (%SW42 et %SW43) sont inférieurs à la
période de la tâche SAFE.
•
Vérifier la formule de charge de l'UC :
□
□
NOTE: Vous pouvez utiliser les mots système %SW110 à %SW115 pour effectuer une
évaluation en temps réel de la charge moyenne pour les tâches de l'UC (si toutes les tâches sont
périodiques, %SW116 doit être inférieur à 80).
•
Vérifier les modes de fonctionnement spéciaux (déverrouillage de module, entrée de
maintenance, canal non valide, défaut de câblage).
•
Pour les applications redondantes, vérifiez que toutes les tâches sont correctement
synchronisées via la liaison redondante en vérifiant les bits MAST_SYNCHRONIZED, FAST_
SYNCHRONIZED et SAFE_SYNCHRONIZED du DDT T_M_ECPU_HSBY. Consultez le
document Redondance d'UC Modicon M580 - Guide de planification du système pour
architectures courantes pour une description du DDT T_M_ECPU_HSBY.
□
□
> Etape 14 : Exploitation, maintenance et réparation générales
CV
7
•
•
Exécuter les tests périodiques à intervalles corrects.
□
Surveiller l'identifiant SAId. (Voir remarque ci-dessous)
□
NOTE: Tant que le SAId n'a pas changé, la portion de sécurité de l'application n'a pas été
modifiée. Voir le bloc fonction S_SYST_STAT_MX pour plus de détails sur le comportement du
SAId.
•
Surveiller l'état de verrouillage de la configuration de chaque module de sécurité.
•
Enregistrer les opérations de réparation.
•
Si un module est remplacé, l'équipement de remplacement doit être correctement configuré et
vous (l'utilisateur) devez vérifier son bon fonctionnement. Effectuez (au minimum) les opérations
de mise en service applicables à ce module.
•
Enregistrer les écarts.
□
□
□
□
> Etape 15 : Modification et modernisation générales
CV
8
•
Toute modification doit être traitée comme une nouvelle conception. Une analyse d'impact peut
permettre de définir quelle partie de l'ancien système de sécurité peut être conservée et quelle
partie doit être reconçue.
□
NOTE: Lorsqu'une modification ne concerne pas l'application sécurisée, utilisez la signature du
source SAFE pour vous assurer qu'aucun changement n'a été apporté involontairement au code
SAFE. Cette signature permet de vérifier théoriquement que l'application n'a pas changé.
•
14
Elle ne remplace pas le SAId, qui représente l'unique moyen de s'assurer qu'un PAC exécute
bien l'application sécurisée qui a été validée.
□
EIO0000004741.00
Exigences relatives à la sécurité des applications
Informations sur la sécurité - Manuel de sécurité M580
Liste de contrôle des exigences relatives aux messages d'informations sur la
sécurité du manuel de sécurité. Pour plus d'informations sur les exigences
associées, reportez-vous au document Modicon M580 - Manuel de sécurité [1].
Exigences relatives aux messages d'informations sur la sécurité
Id
Done
Justification
Consignes de sécurité
> Avant de commencer
MS
1
EQUIPEMENT NON PROTEGE
N'utilisez pas ce logiciel ni les automatismes associés sur des appareils non équipés de
protection du point de fonctionnement.
□
N'accédez pas aux machines pendant leur fonctionnement.
□
> Démarrage et test
MS
2
RISQUES INHERENTS AU FONCTIONNEMENT DE L'EQUIPEMENT
•
Assurez-vous que toutes les procédures d'installation et de configuration ont été
respectées.
•
Avant de réaliser les tests de fonctionnement, retirez tous les blocs ou autres cales
temporaires utilisés pour le transport de tous les dispositifs composant le système.
•
Enlevez les outils, les instruments de mesure et les débris éventuels présents sur
l'équipement.
□
□
□
Fonction de sécurité M580
> Boucle de sécurité
MS
3
PERTE DE LA CAPACITE A EXECUTER LES FONCTIONS DE SECURITE
•
Utilisez uniquement des modules de sécurité pour assurer des fonctions de sécurité.
•
N'utilisez pas les entrées ou les sorties de modules non perturbateurs pour les
fonctions liées à la sécurité.
•
N'utilisez pas de variables de la zone globale pour les fonctions liées à la sécurité.
□
□
□
Modules pris en charge par le système de sécurité M580
> Modules non perturbateurs
MS
4
UTILISATION INCORRECTE DES DONNÉES LIÉES À LA SÉCURITÉ
Vérifiez que les données d'entrée et les données de sortie des modules non perturbateurs ne
sont pas utilisées pour le contrôle des sorties liées à la sécurité. Les modules sans fonction
de sécurité peuvent traiter uniquement des données non sécurisées.
□
Modules d'E/S de sécurité M580
> Caractéristiques communes des modules d'E/S de sécurité M580
> Alimentation externe utilisée avec les modules d'E/S de sécurité numériques
MS
5
ALIMENTATION SELV/PELV DE CATÉGORIE DE SURTENSION II REQUISE
Utilisez obligatoirement une alimentation de type SELV/PELV de catégorie de surtension II,
avec une sortie maximum de 60 VCC, pour alimenter les capteurs et les actionneurs.
□
Modules d'E/S de sécurité M580
> Module d'entrée analogique BMXSAI0410
> Exemples de câblage d'application du module d'entrée BMXSAI0410
MS
6
RISQUE DE FONCTIONNEMENT IMPRÉVU
Le niveau d'intégrité de sécurité (SIL) maximum est déterminé par la qualité du capteur et la
longueur de l'intervalle entre tests périodiques conformément à la norme IEC 61508. Si vous
utilisez des capteurs qui ne répondent pas aux exigences du standard SIL visé, prévoyez
systématiquement un câblage redondant à deux canaux.
EIO0000004741.00
□
15
Exigences relatives à la sécurité des applications
Id
Exigences relatives aux messages d'informations sur la sécurité
Done
Justification
> SIL3 Cat2/PLd
MS
7
RISQUE DE FONCTIONNEMENT IMPRÉVU
Pour obtenir le niveau SIL3 conformément à la norme IEC 61508 et Cat 2/PLd conformément
à la norme ISO13849 en utilisant ce mode de câblage, vous devez utiliser un capteur
homologué approprié.
□
> SIL3 Cat2/PLd avec haute disponibilité
MS8
RISQUE DE FONCTIONNEMENT IMPRÉVU
Pour obtenir le niveau SIL3 conformément à la norme IEC 61508 et Cat 2/PLd conformément
à la norme ISO13849 en utilisant ce mode de câblage, vous devez utiliser un capteur
homologué approprié.
□
> SIL3 Cat4/PLe
MS
9
RISQUE DE FONCTIONNEMENT IMPRÉVU
Pour obtenir le niveau SIL3 conformément à la norme IEC 61508 et Cat 4/PLe conformément
à la norme ISO13849 en utilisant ce mode de câblage, vous devez utiliser un capteur
homologué approprié.
□
> SIL3 Cat4/PLe avec haute disponibilité
MS
10
RISQUE DE FONCTIONNEMENT IMPRÉVU
Pour obtenir le niveau SIL3 conformément à la norme IEC 61508 et Cat 4/PLe conformément
à la norme ISO13849 en utilisant ce mode de câblage, vous devez utiliser un capteur
homologué approprié.
□
Modules d'E/S de sécurité M580
> Module d'entrée numérique de sécurité BMXSDI1602 > Exemples de câblage d'application du module d'entrée BMXSDI1602
MS
11
PERTE DE LA CAPACITE A EXECUTER LES FONCTIONS DE SECURITE
MS
12
SELECTION DE FUSIBLE INCORRECTE
MS
13
RISQUE DE FONCTIONNEMENT IMPRÉVU
Utilisez obligatoirement une alimentation process de type SELV/PELV avec sortie maximale
de 60 V.
Utilisez des fusibles à fusion rapide pour protéger les composants électroniques du module
d'entrée numérique contre les excès d'intensité électrique. Un mauvais choix de fusible peut
endommager le module d'entrée.
Le niveau d'intégrité de sécurité (SIL) maximum est déterminé par la qualité du capteur et la
longueur de l'intervalle entre tests périodiques conformément à la norme IEC 61508. Si vous
utilisez des capteurs qui ne répondent pas aux exigences du standard SIL visé, prévoyez
systématiquement un câblage redondant à deux canaux.
MS
14
□
□
□
RISQUE DE FONCTIONNEMENT IMPRÉVU
Schneider Electric recommande d'activer les diagnostics disponibles dans Control Expert
pour détecter ou exclure les conditions décrites plus haut. Si un test de diagnostic n'est pas
activé ou n'est pas disponible dans Control Expert, vous devrez appliquer une autre mesure
de sécurité pour détecter ou exclure ces conditions.
□
> SIL3 Cat2/PLd
MS
15
RISQUE DE CIRCUITS CROISES ENTRE CANAUX AU SEIN DU MEME GROUPE
MS
16
RISQUE DE CIRCUITS CROISES ENTRE CANAUX
Le module ne peut pas détecter les circuits croisés entre deux canaux d'un même groupe
VS. Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
Le module ne peut pas détecter les circuits croisés entre deux canaux (dans le cas, décrit ciavant, d'un seul capteur connecté avec une seule entrée et alimenté par une source
externe). Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
MS
17
16
□
□
RISQUE DE COURT-CIRCUIT VERS LE 24 VCC
Le module ne peut pas détecter les conditions de court-circuit vers le 24 VCC (dans le cas,
décrit ci-avant, d'un seul capteur connecté avec une seule entrée et alimenté par une source
externe). Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
□
EIO0000004741.00
Exigences relatives à la sécurité des applications
Id
Exigences relatives aux messages d'informations sur la sécurité
Done
Justification
> SIL3 Cat2/PLd avec haute disponibilité
MS
18
RISQUE DE CIRCUITS CROISES ENTRE CANAUX
MS
19
RISQUE DE COURT-CIRCUIT VERS LE 24 VCC
MS
20
RISQUE DE CIRCUITS CROISES ENTRE CANAUX AU SEIN DU MEME GROUPE
MS
21
RISQUE DE CIRCUITS CROISES ENTRE CANAUX
Le module ne peut pas détecter les circuits croisés entre deux canaux (dans le cas, décrit ciavant, d'un seul capteur connecté sur deux entrées et alimenté par une source externe).
Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette condition.
Le module ne peut pas détecter les conditions de court-circuit vers le 24 VCC (dans le cas,
décrit ci-avant, d'un seul capteur connecté sur deux entrées et alimenté par une source
externe). Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
Le module ne peut pas détecter les circuits croisés entre deux canaux d'un même groupe
VS. Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
Le module ne peut pas détecter les circuits croisés entre deux canaux (dans le cas de deux
capteurs redondants connectés à des entrées distinctes sur deux modules avec alimentation
externe). Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
MS
22
□
□
□
□
RISQUE DE COURT-CIRCUIT VERS LE 24 VCC
Le module ne peut pas détecter une condition de court-circuit vers le 24 VCC (dans le cas de
deux capteurs redondants connectés à des entrées distinctes sur deux modules avec
alimentation externe). Vous devez appliquer une autre mesure de sécurité pour détecter ou
exclure cette condition.
□
> Cat4/PLe
MS
23
RISQUE DE CIRCUITS CROISES ENTRE CANAUX AU SEIN DU MEME GROUPE
MS
24
RISQUE DE CIRCUITS CROISES ENTRE CANAUX
MS
25
RISQUE DE COURT-CIRCUIT VERS LE 24 VCC
MS
26
RISQUE DE FONCTIONNEMENT IMPRÉVU
Le module ne peut pas détecter les circuits croisés entre deux canaux d'un même groupe
VS. Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
Le module ne peut pas détecter les circuits croisés entre deux canaux (dans le cas d'un seul
capteur connecté sur deux entrées du même module avec une alimentation externe). Vous
devez appliquer une autre mesure de sécurité pour détecter ou exclure cette condition.
Le module ne peut pas détecter les conditions de court-circuit vers le 24 VCC (dans le cas
d'un seul capteur connecté sur deux entrées du même module avec une alimentation
externe). Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
Pour obtenir le niveau SIL3 conformément à la norme IEC 61508 et Cat4/PLe conformément
à la norme ISO13849 en utilisant ce mode de câblage, vous devez utiliser les capteurs
homologués appropriés.
MS
27
RISQUE DE CIRCUITS CROISES ENTRE CANAUX AU SEIN DU MEME GROUPE
MS
28
RISQUE DE COURT-CIRCUIT VERS LE 24 VCC
MS
29
RISQUE DE CIRCUITS CROISES ENTRE CANAUX
Le module ne peut pas détecter les circuits croisés entre deux canaux du même groupe VS
(dans le cas de l'acquisition de la même variable de processus à l'aide de deux capteurs
distincts avec alimentation par VS). Vous devez appliquer une autre mesure de sécurité pour
détecter ou exclure cette condition.
Le module ne peut pas détecter une condition de court-circuit vers le 24 VCC (dans le cas de
l'acquisition de la même variable de processus à l'aide de deux capteurs distincts avec
alimentation par VS). Vous devez appliquer une autre mesure de sécurité pour détecter ou
exclure cette condition.
Le module ne peut pas détecter les circuits croisés entre deux canaux (dans le cas de
l'acquisition de la même variable de processus à l'aide de deux capteurs distincts avec
alimentation externe). Vous devez appliquer une autre mesure de sécurité pour détecter ou
exclure cette condition.
EIO0000004741.00
□
□
□
□
□
□
□
17
Exigences relatives à la sécurité des applications
Exigences relatives aux messages d'informations sur la sécurité
Id
MS
30
Done
Justification
RISQUE DE FONCTIONNEMENT IMPRÉVU
Pour atteindre les niveaux SIL3 et Cat4/PLe avec ce câblage, vous devez utiliser un capteur
homologué approprié.
□
> Cat4/PLe avec haute disponibilité
MS
31
RISQUE DE CIRCUITS CROISES ENTRE CANAUX AU SEIN DU MEME GROUPE
MS
32
RISQUE DE CIRCUITS CROISES ENTRE CANAUX
Le module ne peut pas détecter les circuits croisés entre deux canaux d'un même groupe
VS. Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
Le module ne peut pas détecter les circuits croisés entre deux canaux (dans le cas de la
connexion monocanal de deux capteurs monocanaux redondants avec une alimentation
externe). Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
MS
33
RISQUE DE COURT-CIRCUIT VERS LE 24 VCC
MS
34
RISQUE DE CIRCUITS CROISES ENTRE CANAUX AU SEIN DU MEME GROUPE
MS
35
RISQUE DE CIRCUITS CROISES ENTRE CANAUX
MS
36
RISQUE DE FONCTIONNEMENT IMPRÉVU
Le module ne peut pas détecter une condition de court-circuit vers le 24 VCC (dans le cas de
la connexion monocanal de deux capteurs monocanaux redondants avec une alimentation
externe). Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
Le module ne peut pas détecter les circuits croisés entre deux canaux d'un même groupe
VS. Vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
Le module ne peut pas détecter les circuits croisés entre deux canaux. Vous devez appliquer
une autre mesure de sécurité pour détecter ou exclure cette condition.
Pour obtenir le niveau SIL3 conformément à la norme IEC 61508 et Cat4/PLe conformément
à la norme ISO13849 en utilisant ce mode de câblage, vous devez utiliser les capteurs
homologués appropriés.
□
□
□
□
□
□
Modules d'E/S de sécurité M580
> Module de sortie numérique de sécurité BMXSDO0802
MS
37
SELECTION DE FUSIBLE INCORRECTE
Utilisez des fusibles à fusion rapide pour protéger les composants électroniques du module
de sortie numérique contre les excès d'intensité électrique. Un mauvais choix de fusible peut
endommager le module.
□
> Exemples de câblage d'application du module de sortie BMXSDO0802
MS
38
RISQUE DE FONCTIONNEMENT IMPRÉVU
Le niveau d'intégrité de sécurité (SIL) maximum est déterminé par la qualité de l'actionneur et
la longueur de l'intervalle entre tests périodiques conformément à la norme IEC 61508. Si
vous utilisez des actionneurs qui ne répondent pas aux exigences du standard SIL visé,
prévoyez systématiquement un câblage redondant à deux canaux.
MS
39
□
RISQUE DE FONCTIONNEMENT IMPRÉVU
Lorsque l'équipement est utilisé dans une application impliquant des risques d'incendie et
d'émanation de gaz, ou encore lorsque l'état de demande de la sortie est alimenté :
18
•
Votre procédure de tests périodiques doit inclure un test d'efficacité de la détection de fil
rompu qui consiste à retirer le bornier et à vérifier que les bits d'erreur correspondants
sont définis.
•
Vérifiez l'efficacité de la détection de court-circuit à la terre, soit en activant la fonction
de diagnostic Test d'impulsion pour l'état alimenté dans l'onglet Configuration du
module, soit en implémentant une autre procédure (par exemple, en définissant la
sortie sur 1 et en vérifiant les diagnostics, et ainsi de suite).
•
Evitez d'utiliser des actionneurs de type lampe car leur impédance est très faible à
l'allumage, ce qui peut créer le risque de détecter une condition erronée de court-circuit
ou de surcharge.
□
□
□
EIO0000004741.00
Exigences relatives à la sécurité des applications
Id
Exigences relatives aux messages d'informations sur la sécurité
Done
Justification
> Diagnostics de câblage configurables dans Control Expert
MS
40
RISQUE DE FONCTIONNEMENT IMPRÉVU
Schneider Electric recommande d'activer les diagnostics disponibles dans Control Expert
pour détecter et résoudre les conditions décrites plus haut. Si un test de diagnostic n'est pas
activé ou n'est pas disponible dans Control Expert, vous devrez appliquer une autre mesure
de sécurité pour détecter ou exclure ces conditions.
□
> Récapitulatif des diagnostics de câblage des sorties
MS
41
RISQUE DE COURT-CIRCUIT VERS LA TERRE 0 VCC
MS
42
RISQUE DE COURT-CIRCUIT VERS LE 24 VCC
MS
43
RISQUE DE CIRCUITS CROISES
MS
44
RISQUE DE CIRCUITS CROISES
MS
45
RISQUE DE CIRCUITS CROISES
MS
46
RISQUE DE CIRCUITS CROISES
Pour la condition de court-circuit à la terre 0 V avec un état de sortie non alimenté, il est
recommandé d'activer l'option Détection de fil ouvert dans l'onglet Configuration du module.
Sinon, vous devez appliquer une autre mesure de sécurité pour détecter ou exclure cette
condition.
Pour la condition de court-circuit sur le 24 V avec l'état de sortie alimenté ou non alimenté, il
est recommandé d'activer l'option Court-circuit pour détection 24 V dans l'onglet
Configuration du module. Sinon, vous devez appliquer une autre mesure de sécurité pour
détecter ou exclure cette condition.
Le module ne peut pas détecter la condition de circuits croisés entre deux canaux avec l'état
de sortie non alimenté et l'autre canal non alimenté. Vous devez appliquer une autre mesure
de sécurité pour détecter ou exclure cette condition si elle se produit lorsque la sortie passe à
l'état alimenté.
Pour la condition de circuits croisés entre deux canaux avec l'état de sortie non alimenté et
l'autre canal alimenté, il est recommandé d'activer l'option Court-circuit pour détection 24 V
dans l'onglet Configuration du module. Sinon, vous devez appliquer une autre mesure de
sécurité pour détecter ou exclure cette condition lorsque la sortie passe à l'état alimenté.
Le module ne peut pas détecter la condition de circuits croisés entre deux canaux avec l'état
de sortie alimenté et l'autre canal non alimenté. Vous devez appliquer une autre mesure de
sécurité pour détecter ou exclure cette condition.
Pour la condition de circuits croisés entre deux canaux avec l'état de sortie alimenté et l'autre
canal alimenté, il est recommandé d'activer l'option Court-circuit pour détection 24 V dans
l'onglet Configuration du module. Sinon, vous devez appliquer une autre mesure de sécurité
pour détecter ou exclure cette condition.
□
□
□
□
□
□
Modules d'E/S de sécurité M580
> Module de sortie relais numérique de sécurité BMXSRA0405
> Connecteur de câblage du BMXSRA0405
MS
47
RISQUE DE FONCTIONNEMENT IMPRÉVU
Il vous incombe de mettre en oeuvre les diagnostics de câblage appropriés pour détecter et
éviter la survenue de défauts dangereux sur le câblage externe.
□
> Application_1 : 4 sorties, conformité SIL2 et Cat2/PLc, état non alimenté, pas de test de signal automatique
MS
48
PERTE DE LA CAPACITE A EXECUTER LES FONCTIONS DE SECURITE
Pour réaliser le niveau SIL2 de la norme IEC61508 et le niveau Cat2/PLc de la norme
ISO 13849 avec cette conception de câblage, vous devez effectuer une transition de signal
quotidienne de l'état alimenté vers l'état non alimenté.
□
> Application_3 : 4 sorties, conformité SIL2 et Cat2/PLc, état non alimenté, pas de test de signal automatique
MS
49
PERTE DE LA CAPACITE A EXECUTER LES FONCTIONS DE SECURITE
Pour réaliser le niveau SIL2 de la norme IEC61508 et le niveau Cat2/PLc de la norme
ISO 13849 avec cette conception de câblage, vous devez effectuer une transition de signal
quotidienne de l'état alimenté vers l'état non alimenté.
□
> Application_5 : 2 sorties, conformité SIL3 et Cat4/PLe, état non alimenté, pas de test de signal automatique
MS
50
PERTE DE LA CAPACITE A EXECUTER LES FONCTIONS DE SECURITE
Pour réaliser le niveau SIL3 de la norme IEC61508 et le niveau Cat 4/PLe de la norme
ISO 13849 avec cette conception de câblage, vous devez effectuer une transition de signal
quotidienne de l'état alimenté vers l'état non alimenté.
EIO0000004741.00
□
19
Exigences relatives à la sécurité des applications
Exigences relatives aux messages d'informations sur la sécurité
Id
Done
Justification
> Application_7 : 2 sorties, conformité SIL3 et Cat4/PLe, état alimenté, pas de test de signal automatique
MS
51
PERTE DE LA CAPACITE A EXECUTER LES FONCTIONS DE SECURITE
Pour réaliser le niveau SIL3 de la norme IEC61508 et le niveau Cat 4/PLe de la norme
ISO 13849 avec cette conception de câblage, vous devez effectuer une transition de signal
quotidienne de l'état alimenté vers l'état non alimenté.
□
Alimentations de sécurité M580
MS
52
PERTE DE LA CAPACITE A EXECUTER LES FONCTIONS DE SECURITE
Utilisez uniquement une alimentation BMXCPS4002S, BMXCPS4022S ou BMXCPS3522S
dans un rack comprenant un module de sécurité M580. Vérifiez à la fois votre installation
physique et votre projet dans Control Expert pour confirmer que seuls des modules
d'alimentation de sécurité M580 sont utilisés.
□
Validation d'un système de sécurité M580
> Calculs de performance et de chronologie d'un système de sécurité M580
MS
53
RISQUE DE COMPORTEMENT INATTENDU DE L'EQUIPEMENT
Réglez le timeout de sécurité de repli (S_TO) pour un module de sorties de sécurité sur une
valeur au moins supérieure à 40 ms ou (2,5 * TSAFE), où TSAFE est égal à la période de la
tâche SAFE configurée.
MS
54
□
RISQUE DE DEPASSEMENT DU DELAI DE SECURITE DU PROCESSUS
Définissez la période maximum de la tâche SAFE de l'UC en tenant compte du délai de
sécurité de votre processus. La période de la tâche SAFE de l'UC doit être inférieure au délai
de sécurité de processus de votre projet.
□
Bibliothèque de sécurité
> Fonctions et blocs fonction de sécurité certifiés
MS
55
FONCTIONNEMENT IMPRÉVU DE L'APPLICATION
•
N'utilisez pas la V1.00 du bloc fonction dérivé S_GUARD_LOCKING dans votre
application.
•
Dans Unity Pro 13.0 XLS (ou version ultérieure), mettez à jour le bloc fonction S_
GUARD_LOCKING dans votre application avec la version V1.01 (ou ultérieure) et
régénérez l'application.
□
□
Communications du système de sécurité M580
> Service NTP
> Configuration du service NTP
MS
56
RISQUE DE FONCTIONNEMENT IMPRÉVU
Si vous insérez des modules d'E/S de sécurité dans une station RIO, l'heure courante doit
être configurée pour le PAC avec micrologiciel de version 3.10 ou antérieure. Activez le
service NTP pour votre système M580 et configurez l'UC de sécurité en tant que serveur
NTP ou client NTP.
□
> Modification des paramètres temporels NTP durant les opérations
MS
57
RISQUE D'ARRÊT DU SYSTÈME DE SÉCURITÉ
•
Lors de l'utilisation de Control Expert V13 ou V13.1 ou du micrologiciel CPU 2.70 ou
version antérieure, ne modifiez pas les paramètres temporels (horloge) sur le serveur
NTP ou la CPU.
•
Un changement d'heure au cours des opérations peut entraîner une perte de
communication et un arrêt du système de sécurité.
□
□
> Procédure de synchronisation des paramètres temporels NTP
MS
58
RISQUE D'EQUIPEMENT INOPERANT
Si vous mettez à jour l'heure du PAC à l'aide de la fonction facultative Mettre à jour l'UC avec
l'heure du module sur un module BMENOP0300 ou BMENOC0301/11, une fois l'heure
fournie par le serveur NTP externe appliquée (lorsque %SW152 passe de 0 à 1),
synchronisez l'heure SAFE avec le serveur NTP externe via le mot %SW128. Respectez la
procédure suivante pour synchroniser l'heure NTP.
20
□
EIO0000004741.00
Exigences relatives à la sécurité des applications
Exigences relatives aux messages d'informations sur la sécurité
Id
MS
59
Done
Justification
RISQUE D'ARRÊT DU SYSTÈME DE SÉCURITÉ
•
Si vous utilisez Control Expert V14.0 ou version ultérieure et le micrologiciel CPU 2.80
ou version ultérieure pour effectuer une modification d'horloge de PAC, vous devez
faire suivre cette modification de la procédure de synchronisation décrite
précédemment.
•
Si vous n'effectuez pas la procédure de synchronisation, les E/S de sécurité peuvent
indiquer soit l'état sécurisé, soit l'état de repli après la dérive de l'horloge durant le délai
de communication.
□
□
> Configuration du DFB S_WR_ETH_MX
MS
60
PERTE DE LA CAPACITÉ À EXÉCUTER LES FONCTIONS DE SÉCURITÉ
La valeur du paramètre ID doit être unique et immuable dans le réseau pour une paire
émetteur/récepteur.
□
> Configuration du DFB S_RD_ETH_MX
MS
61
PERTE DE LA CAPACITÉ À EXÉCUTER LES FONCTIONS DE SÉCURITÉ
•
Le bloc fonction DFB S_RD_ETH_MX doit être appelé lors de chaque cycle dans la
logique de programme du PAC récepteur et il doit être exécuté avant que les données
du cycle soient utilisées.
•
La valeur du paramètre ID doit être unique et immuable dans le réseau pour une paire
émetteur/récepteur.
•
Vous devez tester la valeur du bit HEALTH du DFB S_RD_ETH_MX à chaque cycle
avant d'utiliser toute donnée sûre pour gérer la fonction de sécurité.
□
□
□
> Configuration du DFB S_WR_ETH_MX2
MS
62
PERTE DE LA CAPACITÉ À EXÉCUTER LES FONCTIONS DE SÉCURITÉ
La valeur du paramètre ID doit être unique et immuable dans le réseau pour une paire
émetteur/récepteur.
□
> Configuration du DFB S_RD_ETH_MX2
MS
63
PERTE DE LA CAPACITÉ À EXÉCUTER LES FONCTIONS DE SÉCURITÉ
•
Le bloc fonction DFB S_RD_ETH_MX2 doit être appelé lors de chaque cycle dans la
logique de programme du PAC récepteur et il doit être exécuté avant que les données
du cycle soient utilisées.
•
La valeur du paramètre ID doit être unique et immuable dans le réseau pour une paire
émetteur/récepteur.
•
Vous devez tester la valeur du bit HEALTH du DFB S_RD_ETH_MX2 à chaque cycle
avant d'utiliser toute donnée sécurisée pour gérer la fonction de sécurité.
□
□
□
> Communications par canal noir M580
MS
64
RISQUE DE FONCTIONNEMENT IMPRÉVU
Si vous insérez des modules d'E/S de sécurité dans une station RIO, l'heure courante doit
être configurée pour le PAC avec micrologiciel d'UC de version 3.10 ou antérieure. Activez le
service NTP pour votre système M580 et configurez l'UC de sécurité en tant que serveur
NTP ou client NTP.
MS
65
□
CHANGEMENT INATTENDU D'ETAT DES SORTIES LORS DU RETABLISSEMENT DE LA
COMMUNICATION
La logique du programme doit surveiller l'état des canaux de sortie et activer la fonction de
sécurité en conséquence, en faisant passer les commandes de sorties à l'état sécurisé.
□
Diagnostics d'un système de sécurité M580
> Diagnostics de l'UC et du coprocesseur de sécurité M580
> Diagnostics par LED de l'UC de sécurité M580
MS
66
RISQUE DE DIAGNOSTIC SYSTEME INEXACT
Ne pas utiliser les LED comme des indicateurs de fonctionnement.
EIO0000004741.00
□
21
Exigences relatives à la sécurité des applications
Exigences relatives aux messages d'informations sur la sécurité
Id
Done
Justification
Utilisation d'un système de sécurité M580
> Modes de fonctionnement, états de fonctionnement et tâches
> Fonctionnement du mode de maintenance
MS
67
PERTE DU NIVEAU D'INTÉGRITÉ DE LA SÉCURITÉ
Vous devez prendre les mesures nécessaires afin de sécuriser le système lorsque le PAC de
sécurité est en mode maintenance.
□
> Séquences de démarrage
MS
68
FONCTIONNEMENT IMPRÉVU DE L'ÉQUIPEMENT
Vous devez vous assurer que la sélection de la fonction Démarrage automatique en mode
RUN n'entraîne pas un comportement inattendu de votre système. Si c'est le cas, vous devez
désactiver cette fonction.
□
> Verrouillage de la configuration des modules d'E/S de sécurité M580 > Verrouillage de la configuration d'un module
d'E/S de sécurité
MS
69
RISQUE DE DETERIORATION INATTENDUE DU NIVEAU D'INTEGRITE DE LA
SECURITE DU PROJET
Vous devez verrouiller chaque module d'E/S de sécurité, une fois configuré mais avant de
lancer les opérations.
MS
70
□
VALEUR DE VARIABLE INATTENDUE
•
Assurez-vous que les paramètres de projet de l'application sont corrects.
•
Vérifiez la syntaxe permettant d'accéder aux variables dans les différents espaces de
nom.
□
□
CIP Safety
> Opérations CIP Safety
> Configuration de l'équipement CIP Safety à l'aide d'un outil fourni par le fabricant
MS
71
RISQUE DE COMPORTEMENT INATTENDU DE L'EQUIPEMENT
Si la CPU M580 est configurée comme équipement CIP Safety source, testez et vérifiez le
bon fonctionnement du système avant de contrôler la fonction de sécurité associée via une
communication CIP Safety. Lorsque les tests et la vérification ont été correctement exécutés,
activez la signature de la configuration CIP Safety cible (si elle existe) dans les DTM CIP
Safety Control Expert.
□
> Interactions entre les opérations du PAC de sécurité et la connexion cible
MS
72
22
RISQUE DE COMPORTEMENT INATTENDU DE L'EQUIPEMENT
N'utilisez pas les bits CTRL_IN ou CTRL_OUT comme mesure de sécurité pour faire passer
les données cibles à l'état sécurisé.
□
EIO0000004741.00
Exigences relatives à la sécurité des applications
Informations sur la sécurité - M580 - Guide de planification
du système de sécurité
Liste de contrôle des exigences relatives aux messages d'informations sur la
sécurité du Guide de planification du système de sécurité. Pour plus
d'informations sur les exigences associées, consultez le document Modicon M580
- Guide de planification du système de sécurité [2].
Id
Exigences relatives aux messages d'informations sur la sécurité
Done
Justification
Consignes de sécurité
> Avant de commencer
PG
1
PG
2
EQUIPEMENT NON PROTEGE
N'utilisez pas ce logiciel ni les automatismes associés sur des appareils non équipés de
protection du point de fonctionnement.
□
N'accédez pas aux machines pendant leur fonctionnement.
□
> Démarrage et test
RISQUES INHERENTS AU FONCTIONNEMENT DE L'EQUIPEMENT
•
Assurez-vous que toutes les procédures d'installation et de configuration ont été
respectées.
•
Avant de réaliser les tests de fonctionnement, retirez tous les blocs ou autres cales
temporaires utilisés pour le transport de tous les dispositifs composant le système.
•
Enlevez les outils, les instruments de mesure et les débris éventuels présents sur
l'équipement.
□
□
□
Modules pris en charge par le système de sécurité M580
> Modules non perturbateurs
PG
3
UTILISATION INCORRECTE DES DONNÉES LIÉES À LA SÉCURITÉ
Vérifiez que les données d'entrée et les données de sortie des modules non perturbateurs
ne sont pas utilisées pour le contrôle des sorties liées à la sécurité. Les modules sans
fonction de sécurité peuvent traiter uniquement des données non sécurisées.
□
CPU et coprocesseur de sécurité M580
> Caractéristiques physiques de la CPU et du coprocesseur de sécurité M580
PG
4
RISQUE D'ÉLECTROCUTION
Lorsqu'il est impossible de prouver que l'extrémité d'un câble blindé est reliée à la masse
locale, ce câble doit être considéré comme dangereux et les équipements de protection
individuelle (EPI) doivent être utilisés.
□
Installation du PAC de sécurité M580
> Installation de racks et modules d'extension M580
PG
5
FONCTIONNEMENT IMPRÉVU DE L'ÉQUIPEMENT
Installez les racks sur le plan horizontal longitudinal pour faciliter la ventilation.
PG
6
□
SURCHAUFFE ET FONCTIONNEMENT INATTENDU DE L'ÉQUIPEMENT
Lorsque vous installez des racks, prévoyez des dégagements suffisants pour le
refroidissement.
□
> Installation d'une CPU, d'un coprocesseur, d'une alimentation et d'un module d'E/S M580
PG
7
RISQUE D'ÉLECTROCUTION
Déconnectez toutes les sources d'alimentation avant d'installer la CPU.
PG
8
□
FONCTIONNEMENT IMPRÉVU DE L'ÉQUIPEMENT
Assurez-vous que la CPU ne contient pas de carte mémoire SD non prise en charge avant
de la mettre sous tension.
EIO0000004741.00
□
23
Exigences relatives à la sécurité des applications
Id
PG
9
Exigences relatives aux messages d'informations sur la sécurité
□
RISQUE D'ÉLECTROCUTION
Lorsqu'il est impossible de prouver que l'extrémité d'un câble blindé est reliée à la masse
locale, ce câble doit être considéré comme dangereux et les équipements de protection
individuelle (EPI) doivent être utilisés.
PG
15
□
RISQUES DE FONCTIONNEMENT IMPRÉVU DU SYSTÈME
Vérifiez que le module d'alimentation de sécurité M580 est hors tension avant de connecter
ou de déconnecter le bornier amovible du relais d'alarme.
PG
14
□
RISQUES DE FONCTIONNEMENT IMPRÉVU DU SYSTÈME
Vérifiez que l'alimentation est coupée (disjoncteur en amont OFF) avant de connecter ou de
déconnecter le bornier amovible de l'alimentation principale du module d'alimentation de
sécurité M580.
PG
13
□
RISQUES DE FONCTIONNEMENT IMPRÉVU DU SYSTÈME
Vérifiez que l'alimentation est coupée avant le retrait du module d'alimentation de sécurité
M580 du rack ou avant son insertion dans le rack.
PG
12
□
PERTE DE LA CAPACITÉ À EXÉCUTER LA FONCTION DE SÉCURITÉ
Utilisez l'alimentation de sécurité BMXCPS4002S, BMXCPS4022S ou BMXCPS3522S
uniquement dans un rack contenant au moins un module de sécurité.
PG
11
Justification
RISQUE D'ÉLECTROCUTION
Lorsqu'il est impossible de prouver que l'extrémité d'un câble blindé est reliée à la masse
locale, ce câble doit être considéré comme dangereux et les équipements de protection
individuelle (EPI) doivent être utilisés.
PG
10
Done
□
RISQUE D'ÉLECTROCUTION, D'EXPLOSION OU D'ARC ÉLECTRIQUE
Lors du montage ou du retrait des modules d'E/S de sécurité :
•
Vérifiez que chaque bornier est relié à la barre de mise à la terre BMXXSP••••.
•
Coupez la tension d'alimentation des capteurs et actionneurs.
□
□
Utilisation d'un système de sécurité M580
> Modes de fonctionnement, états de fonctionnement et tâches
PG
16
PERTE DU NIVEAU D'INTÉGRITÉ DE LA SÉCURITÉ
Vous devez prendre les mesures nécessaires afin de sécuriser le système lorsque le PAC
de sécurité est en mode maintenance.
PG
17
□
FONCTIONNEMENT IMPRÉVU DE L'ÉQUIPEMENT
Vous devez vous assurer que la sélection de la fonction Démarrage automatique en mode
RUN n'entraîne pas un comportement inattendu de votre système. Si c'est le cas, vous
devez désactiver cette fonction.
□
> Verrouillage de la configuration des modules d'E/S de sécurité M580
PG
18
RISQUE DE DETERIORATION INATTENDUE DU NIVEAU D'INTEGRITE DE LA
SECURITE DU PROJET
Vous devez verrouiller chaque module d'E/S de sécurité, une fois configuré mais avant de
lancer les opérations.
□
> Utilisation des tables d'animation dans Control Expert
PG
19
24
VALEUR DE VARIABLE INATTENDUE
•
Assurez-vous que les paramètres de projet de l'application sont corrects.
•
Vérifiez la syntaxe permettant d'accéder aux variables dans les différents espaces de
nom.
□
□
EIO0000004741.00
Exigences relatives à la sécurité des applications
Informations sur la sécurité - EcoStruxure™ Control
Expert - Sécurité - Bibliothèque de blocs
Liste de contrôle des exigences relatives aux messages d'informations sur la
sécurité de la bibliothèque de blocs de sécurité. Pour plus d'informations sur les
exigences associées, consultez le document EcoStruxure™ Control Expert Sécurité - Bibliothèque de blocs [4].
Id
Exigences relatives aux messages d'informations sur la sécurité
Done
Justification
A propos de ce manuel
> Informations relatives au produit
BIB
1
FONCTIONNEMENT IMPRÉVU DE L'ÉQUIPEMENT
N'utilisez que des logiciels approuvés par Schneider Electric.
BIB
2
□
FONCTIONNEMENT IMPRÉVU DE L'ÉQUIPEMENT
•
Consultez le document CEI 61508, « Sécurité fonctionnelle des systèmes électriques/
électroniques/électroniques programmables relatifs à la sécurité ».
•
Veillez à bien comprendre la définition des applications et environnements du niveau
d'intégrité de sécurité (SIL) 3 de la norme CEI 61508 Parties 1-7, édition 2.0.
•
Ne dépassez pas les spécifications SIL 3 dans l'application de ce produit.
□
□
□
S_EDM : surveillance de détection des erreurs relatives à l'actionneur
> Description
BIB
3
RISQUE DE FONCTIONNEMENT IMPRÉVU
Activez les entrées S_StartReset et S_AutoReset uniquement après avoir vérifié qu'aucune
situation dangereuse ne peut survenir en cas de démarrage du système.
□
S_ENABLE_SWITCH : commutateur d'activation à trois positions
> Description
BIB
4
RISQUE DE FONCTIONNEMENT IMPRÉVU
Activez les entrées S_StartReset et S_AutoReset uniquement après avoir vérifié qu'aucune
situation dangereuse ne peut survenir en cas de démarrage du système.
□
S_ESPE : équipement de protection électrosensible
> Description
BIB
5
RISQUE DE FONCTIONNEMENT IMPRÉVU
Activez les entrées S_StartReset et S_AutoReset uniquement après avoir vérifié qu'aucune
situation dangereuse ne peut survenir en cas de démarrage du système.
□
S_GUARD_LOCKING : commande de système de verrouillage
> Description
BIB
6
RISQUE DE FONCTIONNEMENT IMPRÉVU
Activez les entrées S_StartReset et S_AutoReset uniquement après avoir vérifié qu'aucune
situation dangereuse ne peut survenir en cas de démarrage du système.
□
S_GUARD_MONITORING : surveillance de système de verrouillage
> Description
BIB
7
RISQUE DE FONCTIONNEMENT IMPRÉVU
Activez les entrées S_StartReset et S_AutoReset uniquement après avoir vérifié qu'aucune
situation dangereuse ne peut survenir en cas de démarrage du système.
EIO0000004741.00
□
25
Exigences relatives à la sécurité des applications
Id
Exigences relatives aux messages d'informations sur la sécurité
Done
Justification
S_OUTCONTROL : pilote de sortie
> Description
BIB
8
RISQUE DE FONCTIONNEMENT IMPRÉVU
Activez les entrées S_StartReset et S_AutoReset uniquement après avoir vérifié qu'aucune
situation dangereuse ne peut survenir en cas de démarrage du système.
□
S_AI_COMP : comparaison d'entrées analogiques
> Description
BIB
9
PERTE DU NIVEAU D'INTÉGRITÉ DE LA SÉCURITÉ
Le code qui inclut le bloc fonction S_AI_COMP doit être certifié conforme à la norme CEI 61508,
avant d'être utilisé en production.
□
S_EMERGENCYSTOP : surveillance d'arrêt d'urgence
> Description
BIB
10
RISQUE DE FONCTIONNEMENT IMPRÉVU
Activez les entrées S_StartReset et S_AutoReset uniquement après avoir vérifié qu'aucune
situation dangereuse ne peut survenir en cas de démarrage du système.
□
S_MUTING_PAR : inhibition parallèle
> Description
BIB
11
RISQUE DE FONCTIONNEMENT IMPRÉVU
Activez les entrées S_StartReset et S_AutoReset uniquement après avoir vérifié qu'aucune
situation dangereuse ne peut survenir en cas de démarrage du système.
□
S_MUTING_SEQ : inhibition séquentielle
> Description
BIB
12
RISQUE DE FONCTIONNEMENT IMPRÉVU
Activez les entrées S_StartReset et S_AutoReset uniquement après avoir vérifié qu'aucune
situation dangereuse ne peut survenir en cas de démarrage du système.
□
S_AIHA : haute disponibilité pour entrées analogiques de sécurité Mx80
> Description
BIB
13
PERTE DU NIVEAU D'INTÉGRITÉ DE LA SÉCURITÉ
Le code qui inclut le bloc fonction S_AIHA doit être certifié conforme à la norme CEI 61508,
avant d'être utilisé en production.
□
S_DIHA : haute disponibilité pour entrées numériques de sécurité Mx80
> Description
BIB
14
PERTE DU NIVEAU D'INTÉGRITÉ DE LA SÉCURITÉ
Le code qui inclut le bloc fonction S_DIHA doit être certifié conforme à la norme CEI 61508,
avant d'être utilisé en production.
26
□
EIO0000004741.00
Exigences relatives à la sécurité des applications
Informations sur la sécurité - Normes et certifications
Liste de contrôle des exigences relatives aux messages d'informations sur la
sécurité des normes et certifications. Pour plus d'informations sur les exigences
associées, consultez le document Plateformes Modicon M580, M340 et X80 I/O Normes et certifications [5].
Id
Exigences relatives aux messages d'informations sur la sécurité
Done
Justification
A propos de ce manuel
> Informations relatives au produit
CERT
1
FONCTIONNEMENT IMPRÉVU DE L'ÉQUIPEMENT
•
L'utilisation de ce produit requiert une expertise dans la conception et la
programmation des systèmes d'automatisme. Seules les personnes ayant les
compétences adéquates sont autorisées à programmer, installer, modifier et utiliser
ce produit.
•
Respectez toutes les normes et consignes de sécurité locales et nationales.
□
□
Règles générales d'installation
CERT
2
Vérifiez que les règles générales d'installation sont conformes à celles définies dans le
document [5].
□
Conditions de stockage et de fonctionnement
CERT
3
Vérifiez que les conditions de stockage et de fonctionnement sont conformes à celles
définies dans le document [5].
EIO0000004741.00
□
27
Printed in:
Schneider Electric
35, rue Joseph Monier
92500 Rueil Malmaison - France
+ 33 (0) 1 41 29 70 00
Schneider Electric
35, rue Joseph Monier
92500 Rueil Malmaison
France
+ 33 (0) 1 41 29 70 00
www.se.com
Les normes, spécifications et conceptions pouvant changer de temps à
autre, veuillez demander la confirmation des informations figurant dans
cette publication.
© 2021 Schneider Electric. Tous droits réservés.
EIO0000004741.00
">