La présente invention est relative à un dispositif permettant la détermination de l'état d'un appareil, et en particulier de l'état ouvert ou fermé d'un appareil de coupure électrique tel qu'un disjoncteur ou un sectionneur, à l'aide de contacts auxiliaires.

On rappelle qu'un contact auxiliaire est un appareil qui, dans le cas de l'utilisation pour un appareil de coupure, comprend un élément lié à la partie mobile de l'appareil de coupure et fournit un signal dépendant de la position de ladite partie mobile. Ce signal peut être un signal binaire, par exemple "1" lorsque l'appareil est "en position" (ouverte ou fermée), et "0" lorsque l'appareil quitte sa position. Il est connu également d'utiliser des contacts auxiliaires pour piloter convenablement les bobines de commande d'ouverture et de fermeture de l'appareil de coupure électrique.

L'utilisation d'un contact auxiliaire pour déterminer à distance la position d'un disjoncteur peut comporter des risques d'erreurs. En effet, un contact auxiliaire est un appareil sujet à évanouissement: fonctionnant peu, les contacts métalliques peuvent se recouvrir d'une couche d'oxyde; dans ce cas, le contact auxiliaire peut fournir une information erronée et conduire à la décision d'ouvrir un sectionneur alors que le disjoncteur qu'on croyait ouvert est resté fermé.

On a donc songé à améliorer la sécurité d'emploi des contacts auxiliaires en utilisant une redondance.

Par exemple, on dispose de deux contacts auxiliaires au lieu d'un et les informations qu'ils

fournissent sont reçus sur un circuit de type OU, l'information prise en compte étant celle donnée à la sortie du circuit OU.

On observe que pour indiquer "en position", il suffit que l'un ou l'autre ou les deux contacts auxiliaires donnent "1". Si P est la probabilité de pannes d'un contact signal, la probabilité d'indiquer de manière erronée "en position" est PxP. Pour indiquer "hors position", il faut que les deux contacts auxiliaires indiquent "0"; la probabilité d'indiquer par erreur " hors position" est donc 2P.

On constate donc que la redondance passive avec deux contacts auxiliaires n'est pas la même pour les deux indications du contact auxiliaire et qu'en définitive elle ne résout pas le problème posé.

On a pensé utiliser une redondance passive avec trois contacts auxiliaires et une décision majoritaire deux parmi trois.

Pour indiquer "en position", il suffit que deux contacts auxiliaires indiquent "1". Les combinaisons acceptables pour conclure "en position" sont donc: 1 1 1 1 0 1 0 1 1 11 0

Pour indiquer "hors position", il suffit là encore que deux contacts auxiliaires indiquent "0". Les combinaisons acceptables pour conclure "hors position" sont donc:

0 0 0 0 0 1 1 0 0 0 10

La probabilité de défaillance simultanée de deux contacts auxiliaires étant PxP, on a la même sûreté de l'information "en position" et "hors

position", à savoir PxP, mais ceci ne vaut que tant qu'il n'y a qu'un seul contact auxiliaire défaillant.

Par contre, à la deuxième panne, si l'on n'est pas intervenu pour réparer la première panne, on pourra tirer une conclusion erronée; par exemple si deux contacts auxiliaires restent collées à "1":

"en position" on lira 111, ce qui est correct,

"hors position" on lira 110, ce qui est incorrect, car en décision majoritaire 2 parmi 3, on conclura "en position".

On voit que la redondance passive décrite plus haut améliore beaucoup la disponibilité de la signalisation, mais de façon soμvent insuffisante eu égard aux objectifs fixés de robustesse du système aux pannes multiples.

Or le problème existe de pouvoir surveiller à distance les appareils électriques et de pouvoir se fier à l'indication fournie par les contacts auxiliaires, de manière à pouvoir prendre des décisions d'exploitation de réseau sans risques.

Un but de l'invention est donc de définir un dispositif pour la détermination de la position d'un appareil à l'aide de contacts auxiliaires, permettant de fournir, des indications fiables même lorsque certains des contacts auxiliaires sont défaillants. En effet, dans certaines conditions d'exploitation du réseau, par exemple dans des conditions climatiques extrêmes, il n'est pas toujours possible de dépanner un contact auxiliaire qui se déclare défaillant. Il est néanmoins indispensable de pouvoir connaître sans risque d'erreur la position de ' l'appareil. Ce dispositif doit de plus assurer la commande correcte des ac ionneurs de l'appareil.

Un autre but de l'invention est de définir un dispositif pouvant fournir des informations lui permettant de s'autodiagnostiquer, en particulier en

indiquant l'état sain ou défaillant des contacts auxiliaires de l'appareil. Ce dernier accroît ainsi sa disponibilité en permettant sa maintenance à bon escient.

Un autre but de l'invention est de définir un dispositif permettant d'améliorer la connaissance de l'appareil électrique utilisé au fur et à mesure de son utilisation, par exemple dans le cas d'un disjoncteur, de connaître les durées de manoeuvres; l'une de ces durées peut être le temps qui s'écoule entre le début de l'ordre qui est donné au disjoncteur et le départ de la position occupée; une autre durée peut correspondre au temps qui s'écoule entre le départ d'une position donnée et l'arrivée en position opposée. La connaissances de ces durées de manoeuvre permet de mieux prévoir la maintenance de l'appareil et de prévenir ses défaillances majeures.

L'invention a pour objet un dispositif pour la détermination de l'état d'un appareil pouvant prendre un premier et un second états, l'appareil étant muni de contacts auxiliaires fournissant des indications binaires d'état dépendant de l'état actuel de l'appareil, caractérisé en ce qu'il comprend au moins un contact auxiliaire, dit contact auxiliaire - du premier état, fournissant un signal d'état "1" lorsque l'appareil est dans le premier état, et au moins un contact auxiliaire, dit contact auxiliaire du deuxième état, fournissant un signal d'état "1" lorsque l'appareil est dans le deuxième état, lesdits contacts auxiliaires pouvant s'autodiagnostiquer en émettant un signal binaire d'autodiagnostic, et un microcontrôleur programmé recevant sur des entrées les signaux d'état et d'autodiagnostic des contacts auxiliaires, ainsi que les ordres demandant son passage d'un état à l'autre, et fournissant en sortie un signal représentatif de l'état et/ou de la disponibilité de l'appareil, ce

signal étant élaboré par un programme de mise en oeuvre d'une stratégie de continuité de service et de sécurité d'utilisation de l'appareil, le logiciel s'appuyant sur les conditions ci-après:

- si un contact auxiliaire change d'état sans qu'un ordre de changement d'état soit transmis au microcontrôleur, ce dernier considère le contact auxiliaire comme défaillant et ne prend plus son indication en compte,

- si, après qu'un ordre de changement d'état ait été transmis au microcontrôleur, un contact auxiliaire n'a pas changé d'état dans un délai donné, le microcontrôleur le considère comme défaillant et ne prend plus son indication en compte, le logiciel prenant en outre en compte les états des contacts auxiliaires sains tels qu'ils apparaissent au moment de l'ordre de changement d'état, ainsi que l'ordre de changement d'état lui-même.

L'invention s'applique à l'électrotechnique et a pour objet, dans un exemple particulier de réalisation, un dispositif pour la détermination de la position d'un appareil de coupure électrique tel qu'un disjoncteur ou un sectionneur ayant un pôle par phase, comprenant pour chacun des pôles des contacts auxiliaires fournissant des signaux numériques binaires, à savoir un signal "1" lorsque le contact auxiliaire est dans une position correspondant à un état ouvert ou fermé de l'appareil, et un signal "0" lorsque le contact auxiliaire quitte sa position, ledit pôle étant manoeuvré par l'intermédiaire d'une bobine d'ouverture et d'une bobine de fermeture, caractérisé en ce qu'il comprend, pour chaque pôle, un premier et un second groupe de n contacts auxiliaires, n étant un nombre entier au moins égal à 2, les contacts auxiliaires (CAOl, CA02, CA03) du premier groupe, appelés contacts auxiliaires ouverture, fournissant un

signal "1" lorsqu'il détectent une position ouverte de l'appareil, les contacts auxiliaires (CAFI, CAF2, CAF3) du second groupe, appelés contacts signaux fermeture, fournissant un "1" lorsqu'ils détectent une position fermée de l'appareil, lesdits contacts auxiliaires étant reliés à un microprocesseur programmé (MP) recevant également une information (00) correspondant à un ordre d'ouverture de l'appareil et une information (OF) correspondant à un ordre de fermeture de l'appareil, ledit microprocesseur ayant une sortie (CDO) de commande de la bobine d'ouverture du pôle, une sortie (CDF) de commande de la bobine de fermeture du pôle, une sortie (PF) fournissant un signal "appareil fermé", une sortie (PO) fournissant un signal "appareil ouvert", des sorties (MACAO, MACAF) fournissant des indications sur la disponibilité des contacts auxiliaires des premier et second groupes, une sortie (MFCA) fournissant un signal indiquant la défaillance majeure de l'un des groupes de contacts auxiliaires et une sortie (MFP) fournissant une information indiquant la défaillance majeure du pôle, la stratégie du programme étant établie de telle sorte que:

- un contact auxiliaire qui, à la suite d'un ordre d'ouverture ou de fermeture, n'a pas changé d'état dans un délai donné, est considéré comme défaillant et n'est plus pris en considération par le programme,

- un appareil est déclaré ouvert en fin de séquence d'ouverture, si, à l'issue de cette séquence d'ouverture, l'un des cas suivants se présente:

- les n contacts auxiliaires fermeture et les n contacts auxiliaires ouverture sont sains et ont changé d'état convenablement, un contact auxiliaire ouverture passant de "1" à "0", un contact auxiliaire fermeture passant de "0" à "1",

- au moins un contact auxiliaire fermeture est sain et au moins un contact auxiliaire ouverture a changé d'état convenablement,

- les n contacts auxiliaires ouverture sains ont changé d'état alors que les n contacts auxiliaires fermeture sont tous défaillants (défaillance majeure de contacts auxiliaires correspondant à l'émission d'un signal MCFA ≈ 1) ,

- les n contacts auxiliaires fermeture sains ont changé d'état alors que les n contacts auxiliaires ouverture sont défaillants (défaillance majeure de contacts auxiliaires correspondant à l'émission d'un signal MCFA = 1),

- un appareil est déclaré fermé en fin de séquence de fermeture, si, à l'issue de cette séquence de fermeture, l'un des cas suivants se présente:

- au moins un contact auxiliaire ouverture sain a changé d'état en cas de défaillance de tous les contacts auxiliaires fermeture en cours d'opération,

- au moins un contact auxiliaire fermeture sain a changé d'état en cas de défaillance de tous les contacts ouverture en cours d'opération, le programme étant en outre agencé pour que:

- un groupe de contacts soit déclaré défaillant (défaillance majeure d'un groupe de contacts auxiliaires correspondant à un signal MFCA = 1) si, lors d'une manoeuvre d'ouverture ou de fermeture de l'appareil, aucun des contacts auxiliaires du groupe n'a changé d'état après une première temporisation (TIMEO) suivant l'ordre de manoeuvre, alors que dans le même laps de temps, un changement convenable a été observé pour les contacts auxiliaires de l'autre groupe,

- un contact auxiliaire soit déclaré non sain si, au cours d'une séquence d'ouverture ou de fermeture de l'appareil, après qu'un contact auxiliaire du même

groupe ait changé d'état convenablement, il n'ait pas changé d'état à l'expiration d'une seconde temporisation (TIME1) initiée par le changement d'état précédent.

Avantageusement, les contacts auxiliaires sont dotés de moyens d'auto-diagnostic et fournissent des signaux (ADOl, AD02, AD03, ADF1, ADF2, ADF3) adressés à des entrées du microcontrôleur.

Avantageusement, le programme est agencé pour qu'à l'état de veille, une information "appareil ouvert" soit donnée lorsque l'un des cas ci-après est présent:

- les n contacts auxiliaires ouverture sont sains et à l'état "1", les n contacts auxiliaires fermeture sont sains et à l'état "0",

- au moins un contact auxiliaire ouverture est sain et à l'état "1" et au moins un contact auxiliaire fermeture est sain et à l'état "0",

- les n contacts auxiliaires ouverture sont sains et à l'état '1' si tous les contacts auxiliaires fermeture sont défaillants,

- les n contacts auxiliaires fermeture sont sains et à l'état "0" si tous les contacts auxiliaires ouverture sont défaillants

De la même manière, le programme est agencé pour qu'à l'état de veille, une information "appareil fermé" soit donnée lorsque l'un des cas ci-après est présent:

- au moins un contact auxiliaire fermeture est sain et à l'état "1"

- au moins un contact auxiliaire ouverture est sain et à l'état "0".

Le programme est agencé pour verrouiller l'appareil en position "appareil ouvert" et pour signaler "appareil défaillant", lorsque l'état des

contacts auxiliaires ne correspond à aucun des cas permettant d'afficher "appareil ouvert".

De la même manière, le programme est agencé pour verrouiller l'appareil en position "appareil fermé " et pour signaler "appareil défaillant", lorsque l'état des contacts auxiliaires ne correspond à aucun des cas permettant d'afficher "appareil fermé".

Le programme est élaboré de manière que: lorsqu'un ordre d'ouverture (00) ou de fermeture (OF) est donné au temps origine (tO) , une première fenêtre temporelle de surveillance ayant une première durée (TIMEO) est lancée par un premier temporisateur (TEMPOl) et conjointement un premier chronomètre (ChrO) est démarré,

- lorsque le premier des contacts auxiliaires d'un premier groupe change d'état (un contact signal ouverture pour un ordre d'ouverture et un contact signal fermeture pour un ordre de fermeture) au premier temps (tl) , une seconde fenêtre temporelle ayant une seconde durée (TIMEl) à l'aide d'un second, temporisateur (TEMPOl) est ouverte et, conjointement, on stoppe le premier chronomètre (ChrO) , on met en mémoire la durée qu'il indique correspondant à la durée de décollage à partir du repos, et on démarre un second chronomètre (Chrl) ,

- à l'expiration de la seconde durée (TIMEl), à l'instant t2, les contacts auxiliaires dudit premier groupe ont pu changer d'état et ces états résultants sont mémorisés pour être analysés,

- lorsque le premier contact signal du second groupe change d'état au troisième temps (t3) , ladite seconde fenêtre temporelle de seconde durée (TIMEl) est relancée à l'aide dudit second temporisateur (TEMPOl) et conjointement, on stoppe le second chronomètre (Chrl) et on met en mémoire la durée qu'il indique

utilisable pour déterminer la vitesse moyenne des contacts de l'appareillage,

- à l'expiration du second délai (TIMEl), tous les contacts auxiliaires valides du second groupe ont pu changer d'état, et les états résultants sont émoriséspour être analysés,

- un contact auxiliaire du premier ou du second groupe étant déclaré défaillant si, au terme de la seconde fenêtre temporelle (TIMEl) y relative, il n'a pas changé d'état,

- un groupe de contact auxiliaires étant déclaré en défaillance majeure si, au terme de la première fenêtre temporelle (TIMEO) , aucun des contacts auxiliaire de ce groupe n'a changé d'état alors qu'un changement d'état convenable a été constaté dans le groupe opposé.

Le programme comprend un premier sous-programme de marche dégradée (marche dégradéel) , qui:

- lors d'un processus d'ouverture de l'appareil, après avoir constaté que la séquence a été initiée par le changement d'état d'un contact auxiliaire fermeture et qu'aucun des contacts auxiliaires ouverture n'a changé d'état à l'issue de la première fenêtre temporelle (TIMEO) , entraîne l'apparition d'un signal de défaillance de l'appareil (MFP = 1) ,

- lors d'un processus d'ouverture de l'appareil, après avoir constaté que la séquence n'a pas été initiée par le non changement d'état à l'issue de la première fenêtre temporelle des contacts auxiliaires fermeture, entraînera l'apparition d'un signal "appareil ouvert" (PO = 1) si les trois contacts auxiliaires ouverture ont changé d'état,et conjointement, on signale la défaillance majeure des contacts auxiliaires fermeture (MACAF = 1, MFCA = 1) ,

lors d'un processus d'ouverture de l'appareil, après avoir constaté que la séquence n'a pas été initiée par le non changement d'état à l'issue de la première fenêtre temporelle des contacts auxiliaires fermeture, et ayant constaté le non changement d'état des contacts auxiliaire ouverture sains, entraînera l'apparition d'un signal de défaillance de l'appareil (MFP = 1) et de verrouillage de toute ordre ultérieur, lors d'un processus de fermeture de l'appareil, après avoir constaté que la séquence a été initiée par le changement d'état d'un contact auxiliaire ouverture et qu'aucun des contacts auxiliaires fermeture n'a changé d'état à l'issue de la première fenêtre temporelle (TIMEO) , entraîne l'apparition du signal "appareil fermé", la seconde durée étant prise égale à la durée de la première fenêtre temporelle (TIMEO) , lors d'un processus de fermeture de l'appareil, après avoir constaté une défaillance majeure des contacts auxiliaire fermeture, entraîne l'apparition d'un signal "appareil fermé" si l'un des contacts signaux ouverture a changé d'état, lors d'un processus de fermeture de l'appareil, après avoir constaté une défaillance majeure des contacts auxiliaires fermeture, et constaté qu'aucun des contacts signaux ouverture sains n'a changé d'état, déclarera "appareil défaillant" , prendra la première durée (Tl) égale à la durée de la première fenêtre temporelle (TIMEO) , prendra la seconde durée (T2) égale à la capacité maximale dudit troisième chronomètre (FFFF) et commandera la mise en route d'un troisième programme de marche dégradée ("marche dégradée3) .

Le programme comprend un second sous-programme de marche dégradée ("marche dégradée2") , pour

déterminer la position de l'appareil à l'état de veille, lorsque tous les contacts auxiliaires ouverture et/ou tous les contacts auxiliaires fermeture sont défaillants, ledit second sous-programme étant agencé pour que:

- le dernier ordre donné enregistré étant un ordre d'ouverture, le dispositif ne confirme l'état "appareil ouvert" que si au moins tous les contacts auxiliaires d'un groupe sont sains,

- le dernier ordre donné enregistré étant un ordre de fermeture, le dispositif indique "appareil fermé" si au moins un contact auxiliaire fermeture sain est à "1" ou si au moins un contact auxiliaire ouverture sain est à "0",

- si tous les contacts auxiliaires ouverture et tous les contacts auxiliaires fermeture sont défaillants, le dispositif indique "appareil défaillant" et condamne toute manoeuvre ultérieure.

Le programme comporte un troisième sous-programme de marche dégradée "marche dégradée3", pour détecter les défaillances de l'appareil et commander des verrouilages de tous les ordres ultérieurs et la signalisation "appareil défaillant".

Dans un mode particulier de réalisation de l'invention, le nombre n de contacts auxiliaires de chaque groupe est égal à 3.

L'invention est maintenant expliquée de manière détaillée en référence à un exemple de réalisation décrit en référence au dessin ci-annexé dans lequel:

- la figure 1 est un schéma du dispositif de l'invention, appliqué à la détection de l'état ouvert ou fermé d'un pôle d'un appareil électrique de coupure tel qu'un disjoncteur,

- la figure 2 est un diagramme montrant la séquence de fermeture normale d'un pôle de disjoncteur.

Dans l'exemple donné, on se référera à la surveillance de l'état d'un pôle d'un disjoncteur à haute tension. Dans le cas habituel d'un disjoncteur triphasé, le dispositif décrit plus loin devra naturellement être réalisé en trois exemplaires, un pour chacun des pôles du disjoncteur.

Dans l'exemple choisi, le nombre « de contacts auxiliaires par groupe a été choisi égal à 3.

Le dispositif de l'invention est articulé autour d'un microcontrôleur MP, par exemple un circuit 80C31 de la marque INTEL.

Le microprocesseur MP reçoit les signaux d'un premier groupe de contacts auxiliaires CAOl, CA02, CA03, placés au voisinage du pôle et fournissant chacun, lorsqu'ils sont sains, un signal "1" lorsque le pôle est en position ouverte et un signal "0" lorsqu'il abandonne cette position. On appellera mot d'état du groupe des contacts auxiliaires ouverture (en abrégé dans la suite: CAO) , la suite de nombre correspondant aux signaux fourni par ce groupe. Ainsi, le mot d'état du groupe CAO est 111 lorsque tous les contacts auxiliaires du groupe sont sains et que le pôle est ouvert.

Le microcontrôleur reçoit également, de préférence mais facultativement, des signaux ADOl, AD02, AD03 relatifs à 1'autodiagnostic de santé effectué respectivement par les contacts auxiliaires d'ouverture CAOl, CA02 et CA03. Le signal est par exemple un signal binaire "1" lorsque le contact auxiliaire se juge sain et un signal binaire "0" losqu'il se juge défaillant.

Le microprocesseur MP reçoit également les signaux d'un second groupe des contacts auxiliaires CAFI, CAF2, CAF3 placés au voisinage du pôle et fournissant chacun, lorsqu'ils sont sains, un signal "1" lorsque le pôle est fermé et un signal zéro

lorsqu'ils abandonnent cette position. Le mot d'état du second groupe est donc 111 lorsque tous les contacts auxiliaires fermeture (en abrégé dans la suite:CAF) sont sains et que le pôle est fermé.

Le microcontrôleur reçoit également les signaux ADF1, ADF2 et ADF3 d'autodiagnostic des CAF, s'il est prévu qu'il reçoive les signaux d'autodiagnostic des CAO.

Le microprocesseur MP reçoit sur une entrée un signal 00 correspondant à un ordre d'ouverture du pôle et sur une autre entrée, un ordre OF. correspondant à un ordre de fermeture du pôle.

Le microprocesseur fournit sur deux sorties des signaux PO et PF signifiant respectivement "pôle ouvert" et "pôle fermé", ces signaux étant élaborés par l'application du programme contenu dans le microprocesseur. Par ailleurs, il délivre des ordres CDO et CDF adressés respectivement aux bobines d'ouverture BO et de fermeture BF du pôle, des informations MACAO et MACAF relatives à la disponibilité maximale des CAO et des CAF respectivement, une information MFCA relative à la défaillance majeure d'un groupe de contacts auxiliaires, et une information MFP indiquant .une défaillance majeure du pôle. Le microcontrôleur possède un port série PS utilisé pour la télésignalisation avec l'environnement du poste dans lequel est placé l'appareil de coupure.

Le principe d'élaboration du programme et de fonctionnement du dispositif est décrit maintenant.

Le programme de fonctionnement du microprocesseur est prévu pour fournir des informations certaines sur l'état ouvert ou fermé du pôle, même si certains des CSO ou des CSF sont défaillants; c'est ce qu'on appelle la marche dégradée, qui permet d'obtenir une information certaine sur l'état du pôle, en

attendant que les CSO ou les CSF défaillants soient réparés. Les principes utilisés sont les suivants:

- à chaque instant, la dernière bonne position du pôle est connue, car elle est mémorisée, ainsi que les ordres 00 et OF,

- à chaque acquisition d'une donnée 00, OF, CAO, CAF, faite périodiquement, par exemple toutes les millisecondes, par un sous-programme d'interruption au moyen d'une horloge en temps réel du microcontrôleur, on peut donc savoir si, à l'état de veille du pôle, celui-ci est ouvert ou fermé,

- si, lors de l'état de veille, un contact auxiliaire change d'état, il est déclaré défaillant et le programme ne le prendra plus en compte ultérieurement,

- si un ordre d'ouverture ou de fermeture du pôle est donné, une temporisation est lancée: si, avant l'échéance de cette temporisation, l'un des contacts auxiliaire a changé d'état, on conclut que ce contact auxiliaire est passé de sa position de repos antérieur à la position hors position. On lance alors une courte temporisation pour permettre aux autres contacts signaux du même groupe de prendre leur état final. On note leur état dans un masque de surveillance, chaque groupe de contacts auxiliaires (en abrégé dans la suite: CA) ayant le sien. Lorsque tous les CA sont bons, ces masques valent 111 pour le masques de surveillance des CAO et 111 pour le masque de surveillance des CAF. Les sorties MACAO et MACAF du microcontrôleur sont alors à "1". A chaque acquisition des CA, leurs mots d'état lorsqu'ils sont réputés fermés, ou le complément de leur mot d'état lorsqu'ils sont réputés ouverts, subissent un ET logique avec leur masque de surveillance, de sorte que seuls les CA valides interviennent dans l'analyse de position et dans l'analyse de leurs transitions attendues. Ce sont

donc les CA valides qui seront nommés dans la suite de ce texte.

On déclarera état de veille pôle ouvert dans les cas suivants:

- les trois CAO sont bons à "1", les trois CAF sont bons à "0",

- au moins un CAO est bon et à "1" et au moins un CAF est bon et à "0",

- les trois CAF sont bons et à "0" si tous les CAO sont défaillants,

- les trois CAO sont bons à "1" si tous les CAF sont défaillants.

Dans tous les autres cas on déclarera pôle ni ouvert, ni fermé , défaillance pôle et verrouillage en position.

On déclarera état de veille pôle fermé pourvu qu'au moins un CAF soit bon et à "1", ou qu'un CAO soit bon et à "0". Dans les autres cas, on dira pôle ni ouvert, ni fermé, défaillance pôle et verrouillage en position.

Pour un opération d'ouverture du pôle, l'information "pôle ouvert" ne sera donnée en fin de séquence que dans les cas suivants:

- les trois CAF bons sont passés de "1" à "0", - au moins un CAF bon est passé de "1" à "0" et un CAO bon est passé de "0" à "1",

- les trois CAO bons sont passés de "0" à "1" alors qu'une défaillance majeure s'est produite sur les trois CAF, - les trois CAF bons sont passés de "1" à "0" alors qu'une défaillance majeure s'est produite sur les trois CAO.

Pour une opération de fermeture du pôle, l'information "pôle fermé" ne sera donnée en fin de séquence dans les cas suivants:

- si un CAO bon est passé de "l" à "0"- en cas de défaillance majeure des trois CAF en cours d'opération,

- si un CAF bon est passé de "0" à "1" en cas de défaillance majeure des trois CAO en cours d'opération.

On note que les conditions en marche dégradée sont plus sévères pour affirmer une position ouverte qu'une position fermée, ce qui se comprend aisément pour des questions de sécurité.En outre, l'information pôle fermé est plus facile à vérifier que la position pôle ouvert, en raison de la présence de courant et de tension détectable par d'autres moyens.

La figure 2 est un diagramme expliquant le fonctionnement du dispositif lors d'une opération de fermeture du pôle. On émet l'hypothèse qu'à l'état de veille précédent l'ordre d'ouverture OO, le pôle est sain, ainsi que tous les contacts signaux CAO et CAF.

L'exemple donné est celui d'une fermeture du pôle, mais la séquence qu'on va décrire est identique, mutatis mutandis, lors d'une opération d'ouverture du pôle à partir d'un état fermé.

Dans ce qui suit, lorsqu'il sera question de temporisateurs ou de chronomètres, il est bien entendu que ces notions correspondent à des traitements au moyen de logiciel.

Le pôle étant donc supposé ouvert à l'origine, le mot d'état des CAO est 111 et le mot d'état des CSAF est 000. A l'instant to où un ordre de fermeture OF est donné au pôle et mémorisé, un premier temporisateur TEMPOOdéclenche une première fenêtre temporelle de durée donnée TIMEO; simultanément, un premier chronomètre CHRONO0 est démarré, la commande CDF donnant l'ordre de fermeture à la bobine de fermeture est activée à "1", initiant la fermeture du pôle; la sortie PO est "1", la sortie "PF" est à "0".

Lorsqu'à l'instant tl, le premier des CAO passe à "0", on ouvre, à l'aide d'un second temporisateur TEMPOl, une seconde fenêtre temporelle de durée TIMEl pendant laquelle on escompte le passage à "0" des autres CAO; simultanément, on stoppe le chronomètre CHRONOO, puis on range en mémoire la première durée Tl égale à tl - to, et on démarre un second chronomètre CHRONOl. On observe, à l'instant t2, le passage à "0" du dernier des CAO, puis on mémorise leur nouveau

10 masque d'état. On arrête le temporisateur TEMPOl. Si à l'expiration de la temporisation TIMEl, les autres CAO n'avaient pas changé d'état, ils seraient déclarés défaillants, et les bits correspondant à leur masque d'état seraient mis à zéro. On attend le basculement de "0" à "1" du premier des CAF, qui survient à l'instant t3. On arrête le chronomètre CHRONOl et on mémorise la durée indiquée T2 = t3 - tl, qui correspond sensiblement à la durée de la course du contact mobile du pôle;l'observation des o évolutions de Tl et T2 fournit de précieux renseignements sur le bon fonctionnement de l'appareil et permet de planifier la maintenance. Au même instant t3, on fait repartir le temporisateur TEMPOl qui ouvre une fenêtre temporelle de durée TIMEl, et on attend le basculement des deux autres CAF. Lorsqu'au temps t4 le dernier des CAF a basculé, on mémorise le nouveau masque d'état des CAF; l'information "pôle fermé" (PF = 1) est émise. Si, à l'issue de cette seconde fenêtre, l'un ou l'autre des autres CAF n'avait pas changé d'état, il aurait été déclaré défaillant, et le bit correspondant de son nouveau masque d'état serait mis à "0"» Simultanément, la commande CDF est mise à "0". Si en outre, à l'issue de la fenêtre temporelle TIMEO, les contacts signaux d'un groupe n'avaient pas changé d'état, ce groupe aurait été considéré comme faisant l'objet d'une défaillance majeure (signal "1" sur la

sortie MFCA du microcontrôleur) , si au moins un CA de l'autre groupe avait changé d'état convenablement.

A l'instant t5 correspondant à la fermeture de la fenêtre temporelle TIMEO du temporisateur TEMPOO, le microprocesseur émet, après avoir analysé les masques d'état des deux groupe de contacts signaux et détecté d'éventuelles défaillances majeures, les informations de disponibilité des CA sur ses sorties MACAO, MACAF et MFCA, et l'éventuelle défaillance majeure du pôle MFP. On notera que si les CA étaient tous défaillants, c'est à l'instant t5 que la commande CDF (dans le cas d'une fermeture du pôle) ou CDO (dans le cas d'une ouverture du pôle) , serait ramenée à "0" pour éviter la destruction par effet Joule des bobines de commande.

On notera que la séquence décrite précédemment a permis de recueillir des informations précieuses qui seront utilisées pour l'autodiagnostic du pôle: . la connaissance des durées Tl et T2 permet, au fil des manoeuvres, de surveiller l'état de fonctionnement du pôle et de prévenir les défaillances. En pratique, on mémorisera dans le microprocesseur les durées correspondants aux deux dernières opérations réalisées, ce qui permet en particulier d'observer ultérieurement les éventuelles dérives de ces temps opératoires..

Le sous-programme marche dégradée traite les anomalies détectées pendant l'état de veille (défaillance totale d'un groupe de CAF ou de CAO) ou détectées pendant l'exécution d'un ordre d'ouverture ou de fermeture, caractérisé par l'arrivée l'absence de transition d'un contact auxiliaire à l'échéance de la temporisation TIMEO initiée à réception d'un ordre.

Le sous-programme "marche dégradée" est subdivisé en plusieurs routines.

La routine "marche dégradée 1" traite les situations liées à l'apparition de défaillances majeures de groupes de contacts auxiliaires en cours

d'opération. Ces défaillances majeures apparaissent au terme de la temporisation TIMEO. On rappelle les règles dans ces cas:

- opération d'ouverture: 1er cas: l'opération a bien été initiée car on a constaté le basculement d'au moins un CAF. La défaillance majeure est due aux trois CAO; dans ce cas, si les trois CAF ont basculé, on pourra dire "pôle ouvert avec un risque très faible. On notera que la durée T2 n'est pas mesurable et on lui attribuera la valeur TIMEO.

2ème cas: l'opération.n'a pas été initiée La défaillance majeure est due aux trois CAF en panne. Si les trois CAO sains ont subi la transition, on conclura "pôle ouvert". Si les trois CAO bons n'ont pas vu la transition, on a alors une défaillance du pôle et on signale pôle ni ouvert, ni fermé et on verrouille tout ordre jusqu'à remise en ordre du pôle. (CDO = "0" et "CDF = "0") . On note que le temps Tl est en principe infini puisqu'il n'y a pas eu initialisation du processus. On attribue à Tl une valeur correspondant à la capacité maximale :FFFF du chronomètre; quant à T2, on le prend égal à TIMEO, ce qui est une valeur par excès, faute de mieux.

- opération de fermeture: 1er cas: l'opération a bien été initiée, car on a constaté la transition d'au moins un CAO. La défaillance majeure est donc due à la défaillance majeure des CAF. La probabilité de défaillance mécanique du pôle étant faible, on conclura à la fermeture du pôle. Comme précédemment, on prendra T2 égal à TIMEO. 2ème cas: l'opération n'est pas initiée;cela peut être dû soit à la défaillance majeure des trois CAO, soit à

la défaillance du pôle. Dans ce cas, si au moins un CAF bon a subi une transition, on pourra conclure à la fermeture du pôle. Dans le cas contraire, on conclura à la défaillance du pôle et on déclenchera une stratégie de réouverture contrôlée par la routine marche dégradée 3 qui sera décrite plus loin. On dira pôle ni ouvert, ni fermé. On prendra Tl égal à :FFFF et T2 égal à TIMEO. La routine "marche dégradée 2" essaye de déterminer la position à l'état de veille lorsque tous les CAO et/ou tous les CAF sont défaillants. Si cette détermination n'est pas possible, on n'indique aucune position du pôle et on interdit toute manoeuvre ultérieure.

Il faut distinguer trois cas: cas n°l:

L'ordre mémorisé dans le bit mémoire 00 est 1; cela signifie que le pôle est ouvert. Pour la sécurité des personnes, on ne confirmera cette position ouverte du pôle que si au moins tous les contacts signaux d'un groupe (ou tous les CAO ou tous les CAF) sont bons, cas n ^β 2:

L'ordre mémorisé dans le bit mémoire 00 est 0; cela signifie que le dernier ordre donné était un ordre de fermeture. On conclura "pôle fermé" si au moins un CAF bon est à "1" ou si au moins un CAO bon est à "0". cas n ^β 3:

Tous les CAO et tous les CAF sont défaillants: on décrétera une défaillance du pôle; on ne signalera aucune position et on condamnera toute manoeuvre ultérieure.

La routine "marche dégradée 3" traite la défaillance du pôle: celle-ci peut être détectée en cours d'opération ou à l'état de veille. Dans tous les cas, on signale pôle ni ouvert, ni fermé et on interdit toute opération ultérieure par l'émission sur les

sorties CDO et CDF des signaux correspondant au verrouillage des bobines de commande.

Si la défaillance pôle intervient sur un ordre de fermeture, le microprocesseur va tenter une ouverture du pôle pendant une durée égale à TIMEO, pour essayer de rouvrir le pôle et de ne pas le laisser en position intermédiaire, position dans laquelle la tenue diélectrique entre contacts est réduite. Un réamorçage entre les contacts du disjoncteur serait en effet destructif.

Si la défaillance du pôle est détectée pendant la veille, on ne fait ne fait rien de plus que les verrouillages et signalisations ci-dessus.

Bien entendu, les stratégies décrites ci-dessus ne sont données qu'à titre d'exemple; les stratégies décrites en cas de dégradations graves peuvent être différentes suivant le degré de risque que l'exploitant accepte pour ces signalisations. On peut, pour l'état ouvert, renforcer encore la signalisation en imposant n contacts auxiliaires sains dans un groupe et un contact auxiliaire sain dans le groupe opposé. Si, par contre, la continuité du service doit être très importante, on peut alléger les critères de signalisation pôle ouvert. Ces stratégies sont donc un exemple de ce que le concept d'un système programmé associé à des contacts auxiliaires permet de faire.

L'appareil de l'invention apporte une grande contribution au développement des postes à autocontrôle et surveillance à distance, grâce à une sûreté de fonctionnement et par l'acquisition de données précieuses pour l'établissement d'une maintenance active des appareils.

L'invention n'est pas limitée aux applications de l'électrotechnique dont un exemple d'application a été décrit. Elle s'applique à toutes les branches de l'industrie et peut être mise en oeuvre toutes les fois

qu'il s'agit de déterminer, en fonction d'une stratégie liée à la fois à la continuité du service et à la sécurité du matériel et des personnes, l'état d'un appareil ou d'une machine, en fonctions des indications données par des capteurs pouvant fournir des informations erronées, en cas de défaillance.