Concept sécuritaire de LION
Le L-BUS² garantit un transfert sécurisé des données et processus et de diagnostic fiable entre le coupleur de bus ( CPU ) et tous les modules raccordés. Le logiciel des modules SIL0 a été élaboré selon selon le processus de développement normalisé et standardisé EN 50128. Les modules SIL0 communiquent sans risque de perturbation avec le L-BUS². Les modules sont isolés galvaniquement.
Entrées sécurisées
Le module transmet les données d'entrée et les données de diagnostic via le coupleur de bus ( CPU ) par un protocole de bus de terrain sécurisé vers le TCMS. Le TCMS analyse les données à l'aide des informations de diagnostic, détermine leur validité et exécute une tache en cas d´erreur.
Grâce à des fonctions de diagnostic et d'auto-test des entrées logiques ainsi que dans le coupleur de bus, les défauts peuvent être ainsi détectés. Cela entraîne la réinitialisation des données d'entrée dans la structure du processus et l'identification des valeurs erronées dans les données de diagnostic. Les défauts ne pouvant pas être identifiés ou maitrisés dans le module entraînent un mode de repli de sécurité (Failsafe).
Des sorties sécurisées
Le module active les sorties et transmet les informations de diagnostic. Les données de diagnostic sont transmises par le coupleur du bus ( CPU ) au TCMS via un protocole sécurisé. Le TCMS exécute le traitement de la fonction de sécuritaire à l'aide des informations de diagnostic.
Grâce aux fonctions de diagnostic et d'auto-test dans les sorties logiques, ainsi que dans le coupleur de bus, les défauts peuvent être détectés. Cela entraîne la désactivation des sorties et la notification des défauts à l'aide des données de diagnostic. Les défauts ne pouvant pas être identifiés ou maitrisés dans le module entraînent un mode de repli de sécurité (Failsafe).et la désactivation des sorties.
Les architectures de sécurité avec LION
Avec ce modèle d'architecture, le niveau de sécurité SIL2* peut être atteint. Le signal d'entrée est lu de façon redondante/antivalente. L'utilisateur doit veiller au contrôle de plausabilité des signaux lus par l´automate. Pour l'antivalence, deux entrées sont nécessaires. L'utilisateur a ainsi toutes les possibilités d'utilisation des entrées à disposition. Il est possible de combiner deux canaux d'entrée voisins ou par ex. deux entrées de différents modules ou de différentes stations.
Pour les applications SIL1*, chaque canal d'entrée individuel sécurisé peut être utilisé. Le signal d'entrée du capteur est lu sur un canal. Toutes les entrées sont contrôlées pour couvrir l'état de défaut "Stuck-at-High" de façon cyclique avec des impulsions de test ( Pulse ). Pour chaque module, 16 entrées sont disponibles au total.
Pou atteindre le niveau de sécurité SIL2*, il est par exemple possible d'utiliser un modèle d'architecture, dans lequel l´actionneur est contrôlé sur deux canaux, avec un plus et un moins. Deux canaux de sortie sont donc utilisés. L'utilisateur dispose ainsi de toutes liberté d'utilisation pour définir les sorties utilisables. Il est possible de combiner deux canaux de sortie voisins ou par ex. deux entrées de modules différents ou de stations différentes.
Afin d'atteindre le niveau de sécurité SIL1*, le signal de sortie peut être commuté sur un seul canal. Les sorties sont alors contrôlées de façon granulaire. L'utilisateur peut relire l'état de commutation du transistor en plus du contrôle interne du module (identification de défauts Stuck-On), afin de diagnostiquer d'autres états de défauts comme des courts-circuits ou des surcharges. Par module sécurisé, 8 canaux de sorties sont disponibles au total.
*Le niveau SIL pouvant être atteint dépend du THR (EN 50129) de l'ensemble du système.