Specification Generale Systeme de Securite Mise en Œuvre Par Aps Et SNCC

TOTAL RAFFINAGE DISTRIBUTION Document N° Page
Direction Raffinage Europe Spécification DRE K1006 1/29

51, Esplanade du Général de Gaulle - La Défense 10
R0 02/99
92800 PUTEAUX
DOCUMENT
SPECIFICATION GENERALE SYSTEME DE SECURITÉ

MISE EN ŒUVRE PAR APS ET SNCC
SPECIFICATION GENERALE SYSTEME DE SECURITE

This document is the property of TOTAL RAFFINAGE DISTRIBUTION S.A.

It shall not be reproduced or disclosed without its authorisation.
Each new issue cancels and replaces the previous one.
Modifications are indicated by issue number.
Cette spécification est la propriété de la

Direction Raffinage Europe de
TOTAL RAFFINAGE DISTRIBUTION.
Elle ne peut être utilisée ou diffusée sans son autorisation.

Cette autorisation est à demander à la
Direction Technique de la DIRECTION RAFFINAGE EUROPE
Ce document est la propriété de TOTAL RAFFINAGE DISTRIBUTION S.A.
Chaque révision annule et remplace l'émission précédente.

Les modifications sont signalées par l'indice de révision.
Il ne pourra être copié ni divulgué sans son autorisation.
N.B. : TRD signifie TOTAL RAFFINAGE DISTRIBUTION S.A.

DRE signifie DIRECTION RAFFINAGE EUROPE.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
TABLE DES MATIERES
1. GENERALITES................................................................................................................ 4
2. TYPE D'INSTALLATION DES AUTOMATES DE SECURITES (APS)................................... 5

2.1. TYPE D'AUTOMATE UTILISÉ .................................................................................................... 5
2.2. ALIMENTATION DES AUTOMATES ............................................................................................. 5
2.3. INSTALLATION DES AUTOMATES ............................................................................................. 5
2.3.1. MISE À TERRE – IMMUNITÉ AUX BRUITS ..................................................................................... 6
2.3.2. CÂBLES RACCORDEMENTS.................................................................................................... 7
2.4. DÉFAUTS AUTOMATES ......................................................................................................... 7
2.5. CONDITIONS D'ENVIRONNEMENT .............................................................................................. 7

3. ENTREES / SORTIES AUTOMATES ................................................................................. 7

3.1. ENTRÉES .......................................................................................................................... 7

3.1.1. Entrées analogiques haut niveau "capteur" ......................................................................... 8
3.1.2. Entrées TOR "capteurs" ................................................................................................... 8

3.1.3. Entrées TOR "réarmements locaux" .................................................................................. 9
3.1.4. Entrées TOR "recopie commandes locales" ....................................................................... 9
3.1.5. Entrées TOR "Arrêt Urgence SDC" et "Bipasse Sécurité" .................................................... 9
3.1.6. Entrées TOR "défauts électriques"..................................................................................... 9
3.2. SORTIES ........................................................................................................................... 9
3.2.1. Commande d'électrovannes............................................................................................... 9
3.2.2. Commande arrêt de moteurs électriques ...........................................................................10
3.3. ECHANGES INTER AUTOMATES DE SÉCURITÉS ...........................................................................11
3.4. RÈGLES D'ACQUISITION ET DE TRAITEMENT DES ENTRÉES-SORTIES ..................................................11
4. ECHANGES SNCC .........................................................................................................12

4.1. ECHANGES AUTOMATES ⇒ SNCC........................................................................................13

ECHANGES SNCC ⇒ AUTOMATES ........................................................................................13
4.2.
4.3. PERFORMANCES DE LA LIAISON SNCC...................................................................................14
5. CONFIGURATION DES LOGIGRAMMES .........................................................................14

5.1. LOGIGRAMMES ..................................................................................................................14
5.2. PREMIER DÉFAUT ...............................................................................................................15
5.3. HISTORIQUE - SER ............................................................................................................15
6. FONCTIONNALITES AUTOMATE....................................................................................15
6.1. FONCTIONNALITÉS .............................................................................................................15
6.2. ASPECT MATÉRIEL ..............................................................................................................16
6.2.1. Consoles........................................................................................................................16
6.2.2. Système d'exploitation / logiciels......................................................................................16
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

6.2.3. Moyens de sauvegarde....................................................................................................16

6.2.4. Imprimantes ...................................................................................................................16
6.2.5. Architecture....................................................................................................................17
6.2.6. Logiciel de Supervision / Configuration ..............................................................................17
7. TESTS DES SECURITES ................................................................................................18
8. BIPASSES PROCÉDÉ ....................................................................................................19
9. ARRÊTS D'URGENCE MANUEL ......................................................................................20

9.1. ARRÊTS D'URGENCE PARTIELS...............................................................................................20
9.2. ARRÊTS D'URGENCE GÉNÉRAUX .............................................................................................20
10. REARMEMENT DES LOGIQUES DE SECURITE...............................................................21

11. RECEPTION APS...........................................................................................................21
12. FORMATION..................................................................................................................22
13. ASSISTANCE AU DEMARRAGE .....................................................................................22

13.1. MISE EN SERVICE DES AUTOMATES SUR SITE.............................................................................22
13.2. DÉMARRAGE DES INSTALLATIONS ..........................................................................................22
14. MAINTENANCE / EVOLUTIONS LOGICIELLES ...............................................................23

14.1. PIÈCES DE RECHANGE.........................................................................................................23
14.2. CONTRAT DE MAINTENANCE..................................................................................................23
14.3. CONTRAT DE MISE À NIVEAU.................................................................................................23
15. DOCUMENTATION.........................................................................................................24
16. DIVERS .........................................................................................................................25

16.1. MODIFICATIONS EN COURS DE PROJET .....................................................................................25
16.2. RÉSERVES APS................................................................................................................25

16.3. APRÈS-VENTE ...................................................................................................................25

16.4. SAUVEGARDES .................................................................................................................26
16.5. LANGUE – PROJET APS .....................................................................................................26
ANNEXE 1 : MATRICES DE SECURITE – SYSTEME DE TEST DES SECURITES

ANNEXE 2 : SCHEMAS TYPE DE TRAITEMENT DES ENTREES/SORTIES
AUTOMATE
ANNEXE 3 : BIPASSE PNEUMATIQUE DES ELECTROVANNES DES SECURITES
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
1. GENERALITES
Voir spécifications
K1005 : DCS
K1007 : Visualisation alarmes/sécurités
K1009 : Spécification pour l'installation des matériels de contrôle (API, APS, SNCC,
superviseur)
K1028 : Système feu et gaz
Cette présente spécification s'applique dans le cadre de l'installation d'un système numérique
de contrôle commande (SNCC) et d'un système de sécurité par automate programmable de
sécurité (APS) avec fonctionnement des sécurités par manque de tension (sécurités
positives). Dans le cas d'installations existantes avec sécurités à émission de tension, la
spécification K1023, édition Février 1974, continue d'être applicable.
Les termes anglais utilisés pour les équipements numériques sont :

− Pour le SNCC : DCS (Distribution Control System).

− Pour l'APS : ESD (Emergency Shutdown).
Les capteurs et les actionneurs liés aux sécurités seront directement raccordés aux
automates.
Toutes les informations destinées à l'opérateur seront présentées sur les écrans de conduite
via une liaison numérique redondante automate / SNCC. Il n'y aura pas de console automate
dans le poste de conduite.
Certains ordres seront envoyés du SNCC vers l'automate :
− commandes d'arrêt partiel des unités,

− commandes d'arrêt moteurs,
− commandes de séquences,
− commandes de réarmement des sécurités.

Les alarmes non issues de capteurs de sécurité seront raccordées au SNCC, sans transiter
par les automates.
La visualisation et le traitement des alarmes sont décrits dans la spécification K1007.
Les unités peuvent fonctionner ou être arrêtées indépendamment les unes des autres. Les
unités fonctionnent à feu continu. Les arrêts programmés pour entretien sont espacés d'au
minimum 3 ans. En conséquence, le système de sécurité doit être conçu pour que les
travaux d'entretien, de remise à niveau puissent être réalisés en marche. De même, il doit
pouvoir être possible de raccorder d'autres unités existantes sans arrêter l'ensemble des
unités.
Pour ce faire, le système doit permettre, en marche :
− de modifier la configuration pour ajouter des éléments tels que cartes d'entrées /
sorties,
− de modifier les configurations.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
2. TYPE ET INSTALLATION DES AUTOMATES DE SECURITES (APS)
2.1. Type d'automate utilisé
Les automates de sécurité ont obligatoirement un agrément TÜV classe 5 qui combine au
mieux, sécurité de fonctionnement et disponibilité du matériel. Ils peuvent être soit d'un
modèle à architecture tripliquée à vote 2/3, soit redondant à architecture "Fail safe". Les
modèles agréés figurent au catalogue général "Fournisseurs agréés par TOTAL".
Dans une application donnée, le nombre d'automates est en principe égal au nombre d'unités
gérées par le système numérique de conduite centralisée. Cependant, dans le cas de petites
unités, il pourra éventuellement être procédé à des regroupements par APS. En outre, si
l'application feu et gaz est importante, elle peut-être rassemblée dans un automate dédié à
cette fonction. Dans ce cas, si l'automate dialogue avec plusieurs SNCC, chaque SNCC est
relié à l'automate par une liaison numérique redondante spécifique.

Dans tous les cas, le nombre et l'organisation des APS, font l'objet d'un accord formel et écrit
de TOTAL.
2.2. Alimentation des automates
L'alimentation générale des automates est fournie par le 230 V secouru, utilisé également par
le SNCC. Les tensions 24 VCC des entrées et 48 VCC des sorties, sont élaborées et
distribuées, soit :
− directement par le fournisseur de l'APS,

− par des alimentations extérieures, créées par d'autres.
Dans les deux cas, les alimentations sont redondantes.
Pour toutes les tensions, la sélectivité des protections est à définir avec la plus grande
rigueur.
Toutes les tensions disposent d'un système de surveillance des défauts d'isolement, ainsi
que d'un système de recherche de défauts.
Dans le cas d'une mémoire RAM pour les automate, celle-ci sera sauvegardée par une pile
au lithium.
2.3. Installation des automates
Le fournisseur doit respecter les dispositifs ou prescriptions décrits dans la spécification

K1009 – installation des matériels de contrôle (API, APS, SNCC, superviseur)
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

2.3.1. Mise à terre – Immunité aux bruits

"installation et raccordement du matériel".
Le système doit être conforme aux tests définis par les normes suivantes :
Perturbations par conduction :
− ANSI 37 90 – 1978
− IEC 801 – 4,CLASS 3
− NEMA ICS 2-230-4

− MIL STD 461 C Part 4 per MIL STD 462 method CS01, CS02, CS06
Perturbations par rayonnement :
− IEC 801-3, level 3/BS6667 Part 3, level 3/SAMA PMC 33.1; Class 2
− MIL STD 461 C Part 4 per MIL STD 462 method RS01, RS02, RS03
− IEC TC 77B (Sec) 72.
Emission par conduction :
− MIL STD 462/CISPR 11 et CISPR 22, method CE03

Emission par rayonnement :
− MIL STD 462/CISPR 11 et CISPR 22, method RE02

Décharges électro-statiques :
− IEC 801-2, level 3 (8 kV).
Le matériel électrique du système de sécurité doit être raccordé à la terre, d'une part pour
assurer son immunité aux bruits, d'autre part pour assurer la protection du personnel et enfin
prévenir l'endommagement du matériel.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
2.3.2. Câbles raccordements

"Installation et raccordement du matériel".
Le fournisseur a à sa charge :
− Pour le raccordement au SNCC, les limites de fourniture sont les câbles de liaisons
(fourniture automate). Les éventuels modems côté automate seront fournis avec les
automates.
2.4. Défauts automates

Chaque automate est composé de 4 entités principales :

− les entrées,
− l'unité centrale,
− les sorties,
− les alimentations.
Chaque entité possède ses propres indicateurs, voyants d'alarmes.
Chaque entité est constituée de modules qui peuvent être testés, enlevés et remplacés sous
tension sans provoquer le déclenchement d'une quelconque partie de l'unité ou dégrader le
fonctionnement du système de conduite.
L'identification et la localisation automatique des défauts doit se faire d'une part au niveau des
modules et d'autre part par émission d'alarmes vers le système de conduite.
2.5. Conditions d'environnement

Le fournisseur indiquera les limites de fonctionnement de ses systèmes.

3. ENTREES / SORTIES AUTOMATES
Les entrées / sorties seront isolées voie par voie.
3.1. Entrées
Les capteurs de sécurité, analogiques ou TOR, sont raccordés directement et exclusivement

à des entrées de l'Automate Programmable de Sécurité.
− Les entrées seront polarisées par l'automate en 24 volts continu. L'alimentation des
entrées sera réalisée par l'automate.
− Les circuits de liaison entre l'unité et le local technique passent par des boîtes de
jonction spécialisées "BJS".
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
Les capteurs de sécurités respectent les règles d'indépendance "Alarmes/Sécurités/Contrôle"
(voir K1007).
L'installation de capteurs analogiques est privilégiée par rapport aux capteurs TOR qui ne
sont admis que sur des services secondaires sans lien au procédé proprement dit.
3.1.1. Entrées analogiques haut niveau "capteur"
− Les signaux proviennent soit :

• des transmetteurs placés dans les unités,
• des convertisseurs mV/-20 mA placés en local technique ou dans les unités.
− Les signaux sont du type 4-20 mA, les transmetteurs et les convertisseurs seront
alimentés de préférence directement par les automates.
− Pour certains capteurs, l'alimentation pourra être externe. Le constructeur précisera

les contraintes.
−
Des transmetteurs intelligents du type du fournisseur du SNCC devront

impérativement pouvoir être utilisés. Le fournisseur d'automate testera les
transmetteurs et indiquera les précautions et les limites d'utilisation.
Le fournisseur précisera l'éventuelle sensibilité de ses cartes d'entrées analogiques

en cas d'utilisation des consoles portables de programmation suivantes sur les
transmetteurs connectés :
Pocket FISHER-ROSEMOUNT : Protocole HART
Pocket FOXBORO : Protocole FOXCOM
: Protocole HART
Pocket HONEYWELL : Protocole DE
Protocole HART
Les cartes d'entrées seront redondantes.
Il précisera, dans le cas où il existe des problèmes potentiels, les dispositifs qu'il
compte mettre en œuvre pour supprimer tout risque.
− Le signal 4-20 mA des capteurs analogiques fait l'objet d'un traitement pour détecter
si le seuil est inférieur à 4 mA. Ce seuil déclenche l'action de sécurité sur rupture de
ligne, défaut capteur ou manque de courant.
− Les seuils de réglage hors échelle doivent être paramétrables entre 3,5 mA et 22
mA.
3.1.2. Entrées TOR "capteurs"
− Les signaux proviennent des unités. Le fonctionnement est du type "à manque"
(contact fermé en fonctionnement normal).
− Les cartes d'entrées seront redondantes.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
3.1.3. Entrées TOR "réarmements locaux"
− Relecture de boutons poussoirs installés dans les unités.

− Les cartes d'entrées seront simples (pas de redondance).
3.1.4. Entrées TOR "recopie commandes locales"
− Il s'agit de commandes implantées sur des tableaux locaux (démarrage machines,

allumage fours,…).
− Les cartes d'entrées seront simples.
3.1.5. Entrées TOR "Arrêt Urgence SDC" et "Bipasse Sécurité"

Il s'agit de lecture de commandes installées en salle de contrôle :

− Boutons d'Arrêt d'Urgence,

− Commandes de bipasse à clefs,

− …
ces entrées seront traitées comme des capteurs TOR (redondance).
3.1.6. Entrées TOR "défauts électriques"
− Proviennent des postes électriques.

− Ces entrées sont traitées à émission sur des cartes redondantes.
3.2. Sorties
Les sorties seront polarisées en 48 volts continu, de préférence depuis l'automate.

Le 48 volt de chaque sortie sera protégé par un fusible.
Les sorties seront équipées d'un dispositif de limitation de courant et d'un dispositif de
surveillance de lignes.
3.2.1. Commandes d'électrovannes
Les électrovannes seront pilotées depuis les sorties automates.
Les sorties seront normalement redondantes. Il ne devra exister aucun relayage entre les
sorties automates et les électrovannes.
Les sorties seront normalement sous tension (fonctionnement à manque).
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
Les électrovannes de sécurité sont du type monostable, à commande directe. La tension
d'alimentation est de 48 V CC. L puissance maximum de la bobine ne doit pas dépasser
13 W. La bobine est du type monostable avec ressort de rappel.
Le distributeur est du type 3/2 universel, avec raccordement ½" NPT. La pression
différentielle maximale admissible ne peut pas être inférieure à 10 bar. Le CV du distributeur
est au minimum égal à 1.75. Le diamètre de passage ne doit pas être inférieur à 10 mm.
Le raccordement pneumatique de l'ensemble formé par l'électrovanne et l'actionneur qu'elle

commande est muni d'un dispositif de commutation pneumatique à clef prisonnière en
position essai, qui permet de tester l'électrovanne, installation en fonctionnement. Le schéma
de principe de ce dispositif est donné en annexe 1.
Les clefs de manœuvre des commutations pneumatiques sont rassemblées sur un râtelier
spécial. L'absence d'une clef au râtelier anime une verrine au niveau du pupitre de conduite.
Pour un secteur donné (unité ou groupe d'unités), toutes les clefs ont la même référence. Le
nombre de clefs à prévoir est à définir, pour chaque affaire, avec l'accord de TOTAL.
La gestion de ces clefs ainsi que la pratique des tests de sécurité fait l'objet d'une procédure
d'exploitation.
Cas particuliers des électrovannes commandées "à émission".

Dans ces cas, les électrovannes sont du type à réarmement manuel. Les caractéristiques de
la bobine et du distributeur sont identiques au modèle "à manque" décrit ci-avant.
Les câbles de liaison entre les électrovannes et les boîtes de jonction correspondantes sont
du type anti-feu, conformes à la norme NFL 32070.
3.2.2. Commande arrêt de moteurs électriques

Ces sorties commandent des relais situés dans les postes électriques (< 5 watts).
Les sorties sont redondantes sans relayage intermédiaire entre le poste électrique et les
automates.
Les sorties arrêt sont normalement sous tension. Le fonctionnement est à manque jusqu'au
poste électrique.
Si la cellule électrique fonctionne à émission, un relais sera installé au poste électrique pour
passer de manque à émission. Les conséquences d'une panne éventuelle de ce relais sur le
procédé seront étudiées. Si les conséquences ne sont pas acceptables (par exemple
fermeture d'une vanne motorisée à l'aspiration d'un compresseur), des mesures adaptées
seront ajoutées ; par exemple : l'ajout d'une sécurité de protection de l'équipement (ex :
déclenchement compresseur par PSLL aspiration).
La recopie d'état de la cellule électrique ainsi que l'ordre de marche éventuel ne passent pas
par l'APS mais sont traités par le SNCC. Les différents cas de figure possibles sont résumés
dans les schémas de principe en annexe 4.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
3.3. Echanges inter automates de sécurités
Les liaisons inter automates de sécurité nécessaires à l'exécution des logigrammes seront :
− Soit câblées entre automates avec un niveau de sûreté équivalent à celui des
automates (sorties à manque de tension, relais agréés TÜV pour changement de
voltage…).
Si la disponibilité est requise, l'échange peut se faire via 3 câbles et un vote 2/3 à
l'arrivée.
− Soit par des liaisons numériques agréées TÜV classe 5.
Un dispositif interne et manuel dans l'automate d'arrivée permettra d'inhiber les échanges
venant d'un automate de départ. Ce dispositif sera utilisé lors des modifications de
configuration de l'automate de départ. L'inhibition sera signalée à l'opérateur par le biais de la

verrine "capteurs inhibés".
3.4. Règles d'acquisition et de traitement des entrées-sorties

Les différents types d'entrées suivent la règle du tableau ci-dessous. Sauf dans quelques cas
particuliers éventuels, à définir au coup par coup, les capteurs sont uniques par point de
mesure.
TYPE
TRAITEMENT
TYPE DE CAPTEUR D'ENTREE
DU SIGNAL
AUTOMATE
Transmetteur analogique procédé redondante
Transmetteur analogique feu et gaz Simple
Capteur TOR feu et gaz (pressostat, bris de glace) A manque Simple
Capteur TOR procédé A manque Redondante

Entrée TOR déf. Electrique N/S du poste électrique A émission Redondante
Entrée TOR autre du poste électrique A émission Redondante

Bouton poussoir local de réarmement A émission Simple
Test lampe A émission Simple
Bouton poussoir marche machine A émission Simple
Bouton poussoir arrêt machine A manque Redondante
Bipasse de sécurité procédé A émission Simple
Fin de course de vanne ou verrin A émission Redondante
Arrêt d'urgence A manque redondante
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
Le traitement du signal et le type de sortie sont définis selon le tableau ci-dessous :
CARACTERISTIQUE TYPE DE SORTIE

TYPE DE COMMANDE DU SIGNAL AUTOMATE
Electrovanne commande vanne procédé

A manque Redondante
et déclenchement machine
Electrovanne commande vanne incendie A émission Redondante
Electrovanne commande vanne rideau d'eau A émission Redondante
Electrovanne commande Klaxon feu et gaz A manque Simple

Feu à éclat A émission Redondante

Commande moteur "Marche" A émission Simple

Commande moteur "Arrêt" A manque Redondante

Verrine et feu à éclat A émission Simple
Voyant local machine A émission Simple

Commande d'ouverture / fermeture de vanne
(vanne fermant par manque d'air)
- Ouverture A émission Redondante
- Fermeture A manque Redondante
Commande d'ouverture / fermeture de vanne
(vanne ouvrant par manque d'air)
- Ouverture A manque Redondante
- Fermeture A émission Redondante

4. ECHANGES SNCC
− La liaison SNCC / automate devra être entièrement redondante : bus et cartes

d'interfaces.
− Il s'agira d'une redondance active : les deux liaisons seront maintenues
opérationnelles.
− Les automates seront de préférence couplés en direct sur le SNCC. Dans le cas
contraire, les liaisons seront du type MODBUS ou ETHERNET.
− La panne d'une liaison doit être signalée sur le SNCC. L'application doit comporter
un double watch dog :
• verrouillage dans l'automate des écritures SNCC si perte de communication
SNCC / automate,
• alarme SNCC si perte dialogue automate / SNCC.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
Le protocole d'écriture vers les automates de sécurité devra être spécialement étudié pour
interdire l'écriture d'un ordre dans une mauvaise adresse de l'automate. Le fournisseur devra
explicitement décrire le protocole qu'il préconise. Ces précautions devront aussi être prises
pour les périphériques des automates ayant accès à la base de données automate.
La configuration de la passerelle automate / SNCC devra être systématique (loi de

correspondance entre adresse automate / adresse liaison / adresse SNCC).
Les échanges seront réalisés par exception de préférence ou tout autre moyen équivalent,
afin de rendre la communication la moins dense possible.
4.1. Echanges automates ⇒ SNCC

Les échanges suivants sont prévus :

− Tous les capteurs analogiques.

− Toutes les entrées TOR avant et après inhibition (capteurs, défauts,

commandes,…).
− Tous les dépassements de seuils élaborés dans les automates (sécurités sur
variables analogiques).
− Lecture d'inhibition capteur (1 bit par capteur).
− Lecture défaut capteur (1 bit par capteur).
− Lecture des commandes électrovannes (sortie mémoires).
− Lecture des commandes de déclenchement des mémoires (2 bits par mémoire
dont 1 pour forçage d'actionneurs dans le SNCC).
− Lecture des shunts des électrovannes (1 par électrovanne).
− Lecture des capteurs après bipasse "process".
− Lecture des temporisations ou compteurs des séquences logiques

Echanges SNCC ⇒ automates

4.2.
Les échanges suivants sont prévus :
− commandes d'arrêt partiel,

− commandes de réarmement depuis la salle de contrôle,
− commandes d'arrêt moteurs,
− commandes de séquences.
Remarque : De préférence, les commandes SNCC ⇒ automate seront maintenues et

remises à zéro par l'automate.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
4.3. Performances de la liaison SNCC
Lecture et écriture en moins d'une seconde de tous les changements d'état.
La capacité des échanges devra être au minimum de 2000 lectures bits par seconde, 200
analogiques toutes les 2 secondes et de 10 écritures SNCC par seconde (en plus du watch
dog).
5. CONFIGURATION DES LOGIGRAMMES
5.1. Logigrammes
− Les logigrammes seront fournis par TOTAL sous forme de schémas de principe à
"émission".
Comme les entrées / sorties hardware fonctionnent en majorité à "manque", la

solution suivante sera retenue :

• traitement des signaux d'entrées avec inversion,
• configuration du schéma à émission,
• traitement des signaux de sortie avec inversion.
Les échanges automates / SNCC et SNCC / automate seront à "émission".
La configuration devra s'appuyer sur des modules préconfigurés (blocs fonctionnels)

correspondant aux traitements type des entrées / sorties, notamment :
− génération de seuil haut sur mesure analogique linéaire,

− génération de seuil bas sur mesure analogique linéaire,
− génération de seuil haut sur mesure analogique quadratique,

− génération de seuil bas sur mesure analogique quadratique,
− commande 1 électrovanne,
− commande 2 électrovannes en parallèle,
− commande turbine,
− commande moteur,
− acquisition arrêt urgence,
− acquisition réarmement,
− acquisition capteur TOR à manque,
− acquisition capteur TOR à émission.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
− Les modules incluront les possibilités de filtrage (entrées) et les dispositifs de test
des sécurités (forçages, inhibitions, shunts), ainsi que la génération des
informations nécessaires à la visualisation des logigrammes sur SNCC (voir
annexe : interface opérateur systèmes de sécurité).
− Le fournisseur livrera des logigrammes "tels que configurés" où sont représentées

toutes les variables citées lors de la configuration. Il s'efforcera de configurer
l'automate en respectant la présentation des schémas de principe TOTAL
(ordonnancement et contenu).
− Les paramètres de réglage (en particulier les valeurs des temporisations) devront
pouvoir être modifiés en marche depuis la console maintenance.
− Les modifications de logigramme doivent être réalisables "automate en service". Le

fournisseur décrira les procédures liées à ces modifications. Il a à sa charge

l'écriture de la procédure opératoire pour les modifications "en marche" sur site.
5.2. Premier défaut

Voir annexe "interface opérateur".
5.3. Historique - SER
Chaque automate est raccordé, au local technique, à un PC dédié disposant d'un logiciel
d'archivage de tous les évènements et de toutes les mesures acquises par l'automate. La
relecture des informations passées doit être possible sans interruption de l'archivage temps
réel. Le PC a une capacité de stockage de 50000 évènements. Une imprimante associée
permet la restitution, à la demande, des évènements passés.
Voir annexe "interface opérateur".
6. FONCTIONNALITES AUTOMATE
6.1. Fonctionnalités
Les fonctionnalités suivantes doivent être assurées :
− Accès en visualisation dynamique de la logique configurée,

− Configuration et chargement des programmes,
− Forçage des variables (entrées, sorties ou internes) logiques ou numériques,
− Accès aux données de maintenance de l'automate,
− Consignation d'évènements.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
6.2. Aspect matériel
6.2.1. Consoles
Les consoles seront à base de micro-ordinateur compatible PC de la dernière génération.
Il y aura une console par automate (avec un minimum de 2).
Elles seront équipées d'écran couleur 19" avec gestion de l'extinction automatique en cas de
non-utilisation.
Elles seront dimensionnées pour l'ensemble des applications des différents automates
supervisés (nottement 1 an de sauvegarde des archives historique d'évènements).
6.2.2. Système d'exploitation / logiciels

Chaque console possèdera les logiciels nécessaires à un fonctionnement autonome et

couvrant l'ensemble des fonctionnalités demandées.
Le système d'exploitation sera de préférence WINDOWS NT dernière version.
Un logiciel anti-virus sera installé sur chacune des consoles.

Deux consoles seront équipées d'un logiciel de traitement de texte et d'un tableur.
6.2.3. Moyens de sauvegarde
Les supports de stockage des sauvegardes des programmes de configuration et des

archives historiques seront de type réinscriptibles.
Ils devront permettre la sauvegarde de l'ensemble des applications sur un minimum de

support (2 maximum).
Le constructeur précisera le type et les caractéristiques de son matériel (CD-ROM, DVD-

ROM, lecteur ioméga-zip 100 mO,…).
Le constructeur fournira un jeu de supports de stockage pour une utilisation d'un an.
Le système de sauvegarde sera redondant et la sauvegarde de l'ensemble des applications

devra se faire aisément.
6.2.4. Imprimantes
L'imprimante servira à l'impression de la configuration et des historiques d'évènements. Il y

aura une imprimante pour 4 consoles. Chaque console aura accès à l'imprimante grâce à un
sélecteur automatique.
L'imprimante sera de type laser, noir et blanc, A4 avec chargeur 50 feuilles. Elle sera livrée
avec 2 recharges minimum.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
6.2.5. Architecture
Les consoles seront installées en réseau.
Le réseau sera dimensionné de telle façon que chaque console puisse dialoguer à tout
moment avec un automate sans ralentissement notable, y compris lors des
téléchargements.
D'une façon générale, chaque console sera dédiée à un automate.
Le constructeur fera en sorte que les consoles soient banalisées.
Le constructeur précisera
a) Les moyens mis à la disposition des opérateurs afin de minimiser les risques d'utilisation
de mauvaises versions de programme dans le cadre d'une architecture multi-console,

b) Les possibilités de connecter plusieurs consoles sur un même automate.

Le réseau de communication devra admettre les contraintes suivantes :
− distance APS-Console = 80 m mini*

− délocalisation éventuelle d'une console = à définir*
(se référer à la spécification particulière)
Le constructeur précisera les caractéristiques de son réseau (débit, redondance, agrément
TÜV,…).
6.2.6. Logiciel de Supervision / Configuration
Le logiciel doit assurer les fonctionnalités suivantes :

− Visualisation dynamique de la logique configurée :

• Les états logiques doivent apparaître sous des couleurs textes ou formes
différents pour les variables, les lignes de connexion et les opérateurs logiques.
• Les variables numériques, les valeurs de temporisations, la mesure doivent
apparaître sur les vues "logigrammes" en dynamique.
• Les variables numériques ou logiques forcées doivent apparaître sur les vues
"logigrammes" de façon explicite.
− Visualisation dynamique de l'état de l'automate (défauts des cartes E/S, de
communication, d'alimentation, de traitement ; temps de cycle des cartes de
traitement et de communication ; défauts des voies d'E/S ;…).
− Les opérations de configuration / maintenance seront protégées par des mots de
passe.
− Lors du téléchargement d'une nouvelle version, le système sauvegardera
systématiquement la version précédente et la nouvelle version.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
− Le fournisseur précisera les défauts de configuration non visualisés à la compilation
pouvant entraîner l'arrêt de l'automate (division par zéro par exemple) et indiquera
les remèdes à mettre en œuvre.
− Toutes les entrées automates seront "visibles" depuis le SNCC, notamment afin
d'exécuter les travaux de synchronisation entre capteurs / APS / SNCC.
− Accès à des tâches paramétrables de visualisation de variables logiques ou
analogiques, (entrées, sorties, variables internes,…).
Ces tables devront pouvoir être sauvegardées pour être réutilisées lors des essais
et synchros. Ces tables doivent comprendre au minimum le repère de la variable,
son état réel et son état forcé ou non forcé.
− Accès rapide à la table des forçages actifs dans l'automate.
− Forçage de toutes les variables de l'automate (entrées, sorties, bits internes,

variables numériques internes, variables de communication) avec visualisation de

l'état forcé.
Le forçage doit être maintenu. Il doit exister une commande permettant de

supprimer tous les forçages instantanément .
− Configuration et chargement des programmes - automate en service- ("on-line").

Le chargement "on-line" du programme, sans arrêt de l'automate, devra se faire
pour des adjonctions de cartes d'E/S ou de communication des adjonctions ou
modifications de points d'entrées ou sorties, des modifications des tables
d'échange avec d'autres systèmes (déplacement, suppression, changement de
repère).
− Accès aux langages de programmation suivants :
→ FBD (langage en blocs fonctionnels)
→ ST (littéral structuré)
Des blocs fonctionnels "clients" doivent pouvoir être créés, stockés dans une
bibliothèque et être utilisables à volonté.

La modification d'un bloc fonctionnel type doit être réalisable "on-line".
− Repères et services des variables doivent pouvoir être visualisés à l'écran dans les
schémas logiques réalisés en langage FBD.
7. TESTS DES SECURITES
Le système doit permettre le test des sécurités, tel que décrit dans l'annexe "interface
opérateur des automates de sécurité".
Il sera développé un interface spécifique dans le SNCC.
Les écritures vers l'automate (pose de shunts, bi-poses forçages) doivent faire l'objet d'une
protection spéciale :
− demande d'écriture,
− vérification cohérence de l'adresse,
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
− ouverture d'une fenêtre d'écriture temporelle (quelques secondes),
− écriture.
Le fournisseur de l'automate sous-traitera la fonctionnalité au fournisseur du SNCC sous sa
responsabilité.
Le système de test doit être redondant (2 consoles de test pourront marcher en parallèle).
Les fiches historiques et les états récapitulatifs des capteurs inhibé doivent être mis à jour en
parallèle sur les 2 consoles.
Cette fonctionnalité permet, pour l'ensemble des automates de l'application, l'accès aux
informations et manœuvres suivantes :
−
visualisation de l'état des entrées et sorties,

− inhibition d'une entrée,
− forçage d'une sortie,

− shunt d'une sortie.

Elle est supportée, de préférence, par une console du SNCC. En cas d'impossibilité, un PC
dédié est installé et mis en réseau sur l'ensemble des automates de l'application. Dans tous
les cas, l'accès aux fonctionnalités est verrouillé par un mot de passe, à l'exception de la
fonction visualisation.
L'ensemble de cette application est défini dans la spécification particulière "interface

opérateur pour les systèmes de sécurité".
8. BIPASSES PROCÉDÉ
Pour permettre le démarrage, il est nécessaire d'éliminer certaines conditions de

déclenchement pendant les opérations de démarrage. Il s'agit des bipasses procédé. Le
bipasse procédé de la sécurité se fait par un commutateur à clé (prisonnière en position

bipasse), situé au pupitre de conduite. Un voyant associé est allumé lorsque la sécurité est
hors service. Le commutateur à clé met hors service la sécurité, mais l'alarme de
déclenchement est conservée. Le voyant est obligatoirement du type à 2 lampes ou diodes

en parallèle. Le commutateur à clef est câblé sur une entrée de l'APS par une logique "à
émission". Le voyant est animé directement par un contact libre du commutateur à clef. Le
test de bon fonctionnement des voyants est réalisé à l'aide du bouton test.
NOTA :
Lorsque le nombre de commutateurs est limité, l'animation des voyants peut être réalisée à
partir de sorties logiques de l'automate. Le mode d'animation est déterminé au cas par cas
avec l'accord de DRE.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
Dans le cas où la grandeur ne doit être éliminée que pendant un temps très court, préréglé,
on adopte un dispositif automatique de bipasse (signalé au SNCC) lorsque l'ordre de
démarrage est donné. Dans ce cas, une temporisation gérée par l'APS bipasse puis rétablit
la sécurité. Exemple : sécurité de pression d'huile pour le démarrage d'un compresseur
fonctionnant avec une pompe à huile attelée.
La gestion des clefs des commutateurs de bipasse fait l'objet d'une procédure d'exploitation
par établissement.
9. ARRÊTS D'URGENCE MANUEL
9.1. Arrêts d'urgence partiels

Ces arrêts d'urgence n'intéressent qu'une partie d'une unité de fabrication (ex : détournement
de la charge, passage en recirculation, etc…).

Ils sont réalisables en SOFTWARE au niveau du SNCC. Cette solution n'est acceptable que
s'il existe en SdC un bouton poussoir de niveau supérieur (arrêt général d'unité par exemple)
qui couvre, a fortiori, l'arrêt partiel. L'ordre est transmis du SNCC à l'APS via la liaison
numérique. L'APS exécute la séquence logique programmée pour la fonction.
9.2. Arrêts d'urgence généraux
Ils sont obligatoirement réalisés à partir de boutons-poussoir mécaniques reliés à des

entrées logiques de l'APS.
Les arrêts d'urgence généraux peuvent être installés :

a) En unité
Ces boutons sont du type coup de poing à accrochage mécanique. Ils sont munis de
capot de protection contre les manœuvres intempestives. Toute manœuvre d'un arrêt
d'urgence induit une information au niveau de la console d'alarme du SNCC.

b) En SdC
Le bouton-poussoir est du type à accrochage mécanique. Il comporte une signalisation

lumineuse incorporée et un capot de protection. La signalisation lumineuse est animée

par l'un des contacts du bouton-pressoir (lampe éclairée en position enclenchée).
Un bouton de test lampes, installé au pupitre, permet de s'assurer du bon fonctionnement

des signalisations. Ce bouton permet de tester l'ensemble des signalisations du pupitre.
Toute manœuvre du bouton-poussoir induit une information au niveau de la console

d'alarme du SNCC.
La liaison arrêt urgence/automate est réalisée à "manque".
NOTA :
Lorsque le nombre d'arrêt d'urgence est limité, l'animation des signalisations lumineuses
peut être réalisée à partir de sorties logiques de l'automate. Le mode d'animation est défini au
cas par cas avec l'accord de TOTAL.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
10. REARMEMENT DES LOGIQUES DE SECURITE
Chaque séquence logique de sécurité est configurée pour, après un déclenchement,

maintenir les actionneurs en position de sécurité, même si la cause du déclenchement a
disparu.
Le réarmement de la séquence logique en position enclenchée s'effectue globalement par un

ordre unique réalisé :
− Soit par un bouton-poussoir mécanique relié à une entrée de l'APS. Le bouton est
installé dans l'unité et judicieusement implanté par rapport aux actionneurs
concernés,
− Soit par un ordre SOFTWARE, généré au niveau du SNCC et transmis à l'APS via
la liaison numérique.
Le choix du mode de réarmement est déterminé au cas par cas lors des réunions HAZOP.
La liaison bouton-poussoir/automate n'est pas redondante.

N.B :
Dans le cas des machines tournantes, l'obligation d'un réarmement n'existe pas
nécessairement, compte tenu de l'obligation d'intervenir manuellement pour en effectuer le
redémarrage.
11. RECEPTION APS
Les procédures de test seront établies par le fournisseur et soumises à l'agrément de

TOTAL au minimum 2 mois avant la date de la recette.
Le matériel sera réceptionné chez le fournisseur monté, configuré, et en état de marche.

Une première réception dite "matériel" sera réalisée.

L'ensemble des périphériques sera couplé avec automates.
La réception comprendra :
− l'inspection visuelle du matériel,

− la conformité de la réalisation selon les spécifications TOTAL,
− le test à 100 % des entrées / sorties,
− le test à 100 % des logigrammes,
− le test à 100 % de l'imagerie associée (matrices causes / effets),
− le test à 100 % du système de test des sécurités.
Pour la recette automate, il devra être implanté dans les locaux du fournisseur de l'application
le matériel et les configurations nécessaires au test des synoptiques matrices causes-effets.
Le prêt du matériel SNCC sera à la charge du fournisseur du SNCC.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
D'autre part, lors de la réception de la configuration du SNCC, il sera nécessaire d'installer
sur la plate-forme de recette une unité centrale d'automate couplée avec le SNCC pour tester
les équations de traitement d'alarmes.
Le prêt du matériel automates pour les tests SNCC est à la charge du fournisseur
d'automates : 3 mois de prêt d'une unité centrale et des cartes de liaison avec le SNCC.
Une assistance pour la mise en place et en service de ce couplage doit être incluse dans
l'offre (y compris les tests nécessaires à la validation de la communication et de ses
performances).
12. FORMATION
Le fournisseur de l'application a à sa charge la formation des automaticiens de la raffinerie

sur les principes de configuration de l'application, de sa maintenance et de la gestion des

modifications sur site.

Il est demandé une formation de 5 jours sur site pour un groupe de 10 personnes maximum.
Il est demandé en outre une formation de 2 jours destinée aux opérateurs. La formation sera
diffusée en 3 stages.
Les formations seront réalisées suivant un planning fixé par TOTAL.
13. ASSISTANCE AU DEMARRAGE
13.1. Mise en service des automates sur site
Le fournisseur de l'application est chargé de la mise sous tension des automates sur sites et
de la vérification que l'application est opérationnelle ainsi que la liaison SNCC.

Cette intervention est à réaliser lors de l'arrivée sur site des automates et du SNCC.
13.2. Démarrage des installations
Prévoir une assistance d'une personne sur site pendant la période de démarrage.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
14. MAINTENANCE / EVOLUTIONS LOGICIELLES
14.1. Pièces de rechange
Le vendeur devra indiquer les méthodes préconisées pour l'entretien de son matériel.
Le lot de pièces de rechange tiendra compte des conditions d'éloignement géographique de

l'application. Les délais d'approvisionnement les plus rapides sont de 24 heures.
Les pièces détachées seront incluses dans l'offre pour être installées sous tension dans une
armoire "automate".
Le nombre de pièces sera calculé par le fournisseur des automates à partir des MTBF à
fournir par le constructeur (prévoir au moins une pièce de chaque type).

Le constructeur doit s'engager par écrit à pallier toute rupture de stock dès lors que le client
remplit ses obligations ; approvisionnement des pièces de rechange recommandées et envoi

en réparation des pièces dans les délais convenus au fur et à mesure des pannes :
− Si les pièces de rechange en stock normal sont en nombre ≥ 2 :

réapprovisionnement sous 24 heures si celui-ci tombe à 0.
− Si les pièces de rechange en stock normal sont en nombre = 1 :
réapprovisionnement sous 24 heures si celui-ci tombe à 0 et si une pièce en service
tombe en panne.
14.2. Contrat de maintenance
Des contrats de maintenance couvrant l'ensemble du matériel livré seront proposés par le
fournisseur.
La raffinerie prendra en charge la maintenance de premier niveau : remplacement des cartes

défectueuses et relance des processeurs.
14.3. Contrat de mise à niveau
Mise à niveau des matériels et logiciels pendant toute la durée de vie du système : le
fournisseur s'engage à faire toutes les adaptations matérielles nécessaires et mises à niveau
logicielles consécutives à des défauts de conception pouvant entraîner un fonctionnement
anormal du système.
Pendant une durée minimale de 3 ans, après livraison du matériel sur site, le fournisseur
s'engage à mettre en place gratuitement l'ensemble des améliorations logicielles. Si ces
modifications ne sont pas compatibles avec les matériels installés sur le site concerné, le
fournisseur indiquera ses conditions de prix pour la mise en place des améliorations
matérielles qui seraient alors décidées par le client.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
15. DOCUMENTATION
Trois jeux complets de la documentation technique dans sa dernière révision doivent être
fournis avec le système.
LISTE DES DOCUMENTS ET CONTENU
Manuel d'installation et de maintenance :
− théorie et architecture,
− configuration,
− système d'entrées / sorties,
− installation,
− raccordements,
− diagnostics,
− maintenance.
Manuel de programmation :
− création base de données,

− programmation,
− documentation commentée,
− émulation,
− chargement / sauvegarde.
Architecture des systèmes à tolérance de pannes :
− concepts,
− rappel de fiabilité / disponibilité.
Schémas d'alimentations et puissances requises

Procédure de gestion et de modification de l'application :
− modifications automates,
− mise à jour SER,
− mise à jour système de test.
Procédure d'assurance qualité
Procédure de tests et données de fiabilité (calculs de MTBF des composants et systèmes)
Documents commerciaux
Essais de sécurité :
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
Le fournisseur est chargé d'établir, en français, les procédures de test des sécurités
destinées aux exploitants.
Manuel opératoire :
Le manuel opératoire, destiné aux opérateurs, indiquera les différentes manœuvres pour
accéder aux fonctions du système (SER, tests, inhibition) ainsi que l'explication des alarmes
"défauts automates" et la conduite à tenir.
16. DIVERS
16.1. Modifications en cours de projet

L'offre du fournisseur de l'automate indiquera le prix de toutes les pièces élémentaires

(cartes entrées / sorties / unités de traitement…) en Francs.

Le quantitatif du matériel décrit par le fournisseur est susceptible d'évoluer en cours de

réalisation du projet : ajout de cartes ou changement de type de cartes.
Les ajouts seront tarifés sur la base des prix en francs indiqués dans la proposition du
fournisseur.
Les cartes non utilisées (ou échangées) seront reprises sur la même base de prix.
Ces prix seront garantis jusqu'à la date de démarrage des unités.
Le coût de l'application sera réactualisé en fin de projet proportionnellement au quantitatif

d'entrées / sorties installées sur la base de l'offre retenue.
16.2. Réserves APS

Le système doit comprendre les réserves suivantes :

−
5 % de réserves installées de cartes d'entrées / sorties par unité,

− la possibilité d'étendre de 25 % supplémentaires les entrées / sorties du système
sans ajout de racks, alimentations, armoires,
− la réserve de capacité de traitement correspondant à ces 30 % de réserves (5 % +
25 %).
16.3. Après-vente
Le fournisseur de l'automate a à sa charge sans limitation de durée toutes les corrections

nécessaires pour corriger des erreurs dues à la configuration des logigrammes, des
échanges avec le SNCC, des bases de données et du système de gestion des bipasses.
WORD 6 - K1006b
R0 02/99
92800 PUTEAUX
DOCUMENT

R
16.4. Sauvegardes
La sauvegarde de la configuration des automates sera fournie en 3 exemplaires. Les moyens

pour charger les automates à partir de ces sauvegardes seront obligatoirement fournis avec
le système.
16.5. Langue – Projet APS
La formation automate sera faite dans la langue du site concerné.
Les réunions techniques ainsi que les comptes-rendus et les documents préparatoires
seront en français pour les applications destinées aux pays francophones, en anglais dans
les autres cas.
La documentation opératoire et les procédures de gestion / modification seront en français

pour les pays francophones, ou dans la langue du site concerné.

La documentation technique sera de préférence en français pour les pays francophones ou

dans la langue du site concerné. L'anglais sera cependant toléré.


WORD 6 - K1006b
Direction Raffinage Europe Spécification DRE K1006 A 1 - 1/25
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
MATRICES DE SECURITÉ SYSTEME DE TEST DES SECURITES
TABLE DES MATIERES
1. MATRICES DE SÉCURITÉ............................................................................................... 2
2. SYNOPTIQUES D’ARRÊT D’URGENCE ............................................................................ 6
3. TESTS DES SECURITES, INHIBITION DES CAPTEURS, SHUNT DES SORTIES................ 8

3.1. ...................................................................................................................................... 8
3.2. ...................................................................................................................................... 9
3.3. ...................................................................................................................................... 9
3.4. HISTORISATION DES ACTIONS................................................................................................. 9

3.5. INHIBITION DES CAPTEURS ....................................................................................................10
3.6. SHUNT DES ÉLECTROVANNES ...............................................................................................10

3.7. SHUNT DES MACHINES.........................................................................................................10
3.8. FORÇAGE DES ÉLECTROVANNES AU DÉCLENCHEMENT.................................................................10
4. FONCTIONS HISTORIQUES ...........................................................................................11
5. FONCTION PREMIER DEFAUT .......................................................................................12
6. VERRINES INSTALLEES SUR LE PUPITRE DE COMMANDE...........................................12
7. SYSTEME DE TEST : POSE ET DEPOSE D'UN BIPASSE ................................................13

7.1. PRINCIPES DE RÉALISATION .................................................................................................13
7.2. MODE OPÉRATOIRE DU LOGICIEL DE TEST DES SÉCURITÉS .............................................................15

R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
L’interface opérateur du système de sécurité est réalisé par :
− le SNCC,
• fonction “alarmes” du SNCC,
• matrices de sécurités,
• vues d’arrêt d’urgence,
− des boutons poussoirs lumineux de commande d’arrêt d’urgence,
− des clés de bipasse de sécurités avec verrines de recopie de position,
− le système de test des sécurités qui permet :
• d’inhiber un capteur,
• de shunter un actionneur,
• de forcer une électrovanne au déclenchement,

− le système d’historisation des événements (SER),
− des verrines placées sur le pupitre opérateur pour signaler certains défauts :
• capteur inhibé,
• actionneur shunté,
• présence d’un forçage,
• défaut automate.
La présente spécification décrit :

− les matrices de sécurité,
− les vues d'arrêt d'urgence,
− le système de test des sécurités.

1. MATRICES DE SÉCURITÉ
Les matrices de sécurité permettent de visualiser en dynamique l’état des logigrammes de

sécurité.
Une matrice est composée de lignes et de colonnes.

− les colonnes correspondent aux causes de déclenchement,
− les lignes correspondent aux actionneurs (électrovannes ou machines).
Ce document est la propriété de TOTAL RAFFINAGE DISTRIBUTION S.A. This document is the property of TOTAL RAFFINAGE DISTRIBUTION S.A.
Il ne pourra être copié ni divulgué sans son autorisation. It shall not be reproduced or disclosed without its authorisation.
Chaque révision annule et remplace l'émission précédente. Each new issue cancels and replaces the previous one.
Les modifications sont signalées par l'indice de révision. Modifications are indicated by issue number.
R
DOCUMENT
92800 PUTEAUX
Direction Raffinage Europe
TOTAL RAFFINAGE DISTRIBUTION

R0 02/99
ANNEXE 1
Document N°
Exemple "matrice de sécurité"

Spécification DRE K1006
Page

A 1 - 3/25
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
Description d’une colonne (voir schéma)
Champ 1 Inhibition du capteur

- couleur blanche : capteur inhibé,
- couleur fond : capteur en service.
Champ 2 Nom de la variable “cause du déclenchement”

- 12 caractères,
- fond bleu si variable en défaut.
Champ 3 Libellé de la variable (texte).

Champ 4 Couleur de la colonne (y compris partie supérieure horizontale),

- rouge si cause de déclenchement actif, sinon couleur fond.

La colonne s’arrête au rectangle 5
Champ 5 Rectangle présent si le capteur est muni d’un bipasse (clé sur pupitre de
commande),
- gris intermédiaire si capteur non bipassé,
- rouge si capteur bipassé.
Champ 6 Cause de déclenchement après traitement par le bipasse,

- rouge si cause déclenchement, sinon couleur de fond.
(Dans le cas où il n’existe pas de bipasse les champs 4 et 6 sont de même couleur).
Champ 7 Rectangle gris qui indique les actionneurs manoeuvrés par la cause de
déclenchement.
Description d’une ligne
- Ligne “électrovanne”
Champ 8 Cause de déclenchement

- rouge : existence d’une cause de déclenchement,
- couleur fond : absence cause de déclenchement.
Champ 9 Commande réarmement

- rectangle gris : existence d’une commande locale,
- rectangle bleu : existence d’un réarmement depuis le SNCC, un cliquage
sur ce rectangle provoque le réarmement.
Remarque : Il est inutile de réarmer si une cause de déclenchement existe (champ 8

orange).
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
Champ 10 Shunt de l'électrovanne.

- la lettre (F ou O) indique le sens de la vanne de sécurité (ferme par
manque d’air ou ouvre par manque d’air),
- la présence d’un carré blanc (fond de la lettre) signale la présence d’un
shunt sur la commande de l’électrovanne.
Champ 11 Texte : nom de l'électrovanne,

- couleur de fond : rouge si ordre de déclenchement sinon couleur fond.
Remarque Une électrovanne doit être réarmée si le champ 11 est rouge et

le champ 8 couleur de fond.
Champ 12 Libellé de l’actionneur

- Ligne “machine” (pompe ou compresseur)

Champs 7, 8, 10 : idem actionneur

- Il n’y a pas de réarmement pour les machines.
Champ 10 Carré blanc : présence d’un shunt sur la commande d’arrêt issue du
logigramme de sécurité (la commande arrêt opérateur reste toujours
opérationnelle).
Champ 13 Texte : repère et libellé de la machine,

Couleur de fond : rouge si ordre de déclenchement, sinon couleur de
fond.
- Ligne “Renvoi”
Cette ligne est utilisée quand une combinaison donnée de causes de déclenchements,
provoque le déclenchement d’un grand nombre d’actionneurs.
Elle a pour objet de simplifier les matrices.
Par exemple, dans une machine le “ OU ” des causes de déclenchement est réalisé. Le
résultat apparaît en tant que ligne (par exemple US - Unité 16).
Le résultat est ensuite utilisé comme cause de déclenchement (colonnes) d’autres matrices.
- Chaînage des matrices/appel des matrices
− la zone bouton inférieure des matrices permet :

R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
• le retour à la vue précédente,
• un défilement matrice précédente/matrice suivante,
• l'accès au synoptique “d’arrêt d’urgence”.
− la matrice est accessible :

• depuis une autre matrice (matrice suivante/précédente),
• depuis le synoptique d’arrêt d’urgence de l’unité (voir description de ce
synoptique),
• depuis une “ sécurité ” de la vue chronologique d’alarme :
. la sélection d’une ligne “ sécurité ” sur la vue chronologique d’alarme permet
de faire apparaître sur un autre écran la matrice où figure la cause de

déclenchement.
• depuis un synoptique “ menu ”.

2. SYNOPTIQUES D’ARRÊT D’URGENCE
L’objet du synoptique est de présenter le chaînage des arrêts d’urgence et des sécurités
principales.
Le synoptique se présente sous forme d’un logigramme simplifié (voir exemple).
* Entrées du logigramme
Les entrées sont représentées dans des rectangles dont le fond est rouge quand l’entrée est
active (déclenchement).
Les entrées peuvent provenir :

− de capteurs : exemple PSLL air instrument,
−
d’arrêt d’urgence “ hard ” (pupitre ou locaux),

− d’arrêt d’urgence “ SNCC ”;
Dans ce cas, le dessin du rectangle (bouton) permet d’identifier qu’une commande
est possible.
Le “ cliquage ” dans le rectangle fait apparaître un médaillon d’arrêt d’urgence.
Le médaillon indique les actions provoquées par l’arrêt d’urgence.
La commande d’arrêt est passée depuis le médaillon.
La commande se fait en 2 temps :

. sélection de la commande,
. confirmation ou annulation.
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
− d’une combinaison de capteurs. Le résultat de la combinaison doit être sans

ambiguïté :
. ex : - US - unité HDT (déclenchement HDT),
- sécurités K 101 A (présence d’une sécurité machine
déclenchant le K101 A).
Ce résultat est une ligne de type “ renvoi ” d’une matrice de sécurité.
Exemple "AU"


R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
Le cliquage dans le rectangle fait apparaître la matrice de sécurité où est élaborée cette
“ ligne de renvoi ”.
* Sorties du logigramme
− les sorties sont représentées par une légende placée dans un rectangle,
− le fond du rectangle est rouge quand la sortie est activée (déclenchement),
− le cliquage dans le rectangle fait apparaître :
• soit la matrice de sécurité dans laquelle les actions sont représentées,
• soit un médaillon décrivant les actions quand il s’agit de forçages dans le
SNCC.
* Animation des lignes du logigramme

Les lignes du logigramme passent en rouge dans la position “ déclenchement ”.

3. TESTS DES SECURITES, INHIBITION DES CAPTEURS, SHUNT DES SORTIES
Ces actions doivent pouvoir être réalisées par du personnel d’exploitation sans risquer
d’altérer la configuration, le paramétrage et le fonctionnement des automates de sécurité.
3.1.
L’application “ automates de sécurités ” doit inclure 3 niveaux d’environnement (accès

protégés par mots de passe).
3.1.1. Accès aux fonctionnalités “ Tests de sécurité ” :

− Inhibition des capteurs.

− Forçage des électrovannes au déclenchement.
Les opérations sont menées par du personnel d’exploitation (opérateurs) accompagné par
du personnel de maintenance (régleurs).
3.1.2. Shunt des sorties
− Permet d’éviter le déclenchement d’un actionneur par une sécurité.

− Cette fonctionnalité doit disposer d’une protection d’accès supérieure aux fonctions
“ tests des sécurités ”
Habilitation : personnel de maintenance.

R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
3.1.3. Accès aux configurations
Habilitation : personnel “ système ”.

Cette fonctionnalité est généralement disponible depuis les consoles maintenance.
3.2.
L’interface opérateur pour les fonctionnalités “ tests des sécurités ” et “ shunt des sorties ”
doit être convivial :
− accès aux commandes par menus déroulants :

• sélection du type d’opération,
exemple : pose ou dépose d’un bipasse,

pose ou dépose d’un shunt,
forçage d’une électrovanne.

− sélection de l’unité concernée,

−
choix du capteur inhibé ou de la sortie forcée :

• soit par un choix dans une liste,
• soit par l’appel du point depuis un clavier alphanumérique.
3.3.
Le dialogue “ test de sécurités ”doit être fiabilisé. Toutes les dispositions doivent être prises
pour que les variables manipulées dans les automates correspondent aux variables
interrogées (zones mémoires réservées tests de contrôle).
Ces dispositions sont particulièrement nécessaires quand les commandes sont passées
depuis un superviseur.
D’autre part, toute commande opérateur doit être confirmée : après demande initiale de
l’opérateur, le système répète la demande, affiche la valeur de la variable et demande
confirmation ou annulation.
3.4. Historisation des actions
Le système d’interface doit comprendre un synoptique “ vue générale ” qui indique par unité
ou groupe d’unités la présence :
− de capteurs inhibés,
− d' électrovannes shuntées,
− d’électrovannes forcées au déclenchement,
− de défauts de communication,
− de machines shuntées.
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
A partir de ce synoptique, il doit être possible d’accéder :
− à la liste des capteurs inhibés,
− à la liste des électrovannes shuntées,
− à la liste des machines shuntées.
− à la liste des électrovannes forcées,
Ces listes doivent pouvoir être imprimées.
Il doit être possible de sortir, par type d’information, un historique :
Exemple : pour une unité, chronologie des inhibitions/désinhibitions.

Les événements doivent être historisés au minimum sur une durée d’un mois.
3.5. Inhibition des capteurs

− Un capteur est inhibé :

• pour les logigrammes,
• pour les échanges vers le SNCC : désactivation de la source d’alarme.
− Une variable TOR doit être envoyée vers le SNCC pour donner l’information
“ capteur inhibé ”.
− Sur la console “ tests de sécurité ”, il doit y avoir accès à la mesure réelle du
capteur.
3.6. Shunt des électrovannes

− Le shunt d’une électrovanne empêche le déclenchement par une sécurité,

−
L’information de shunt doit être échangée vers le SNCC pour animer les matrices
de sécurité.
3.7. Shunt des machines
− Le shunt d’une machine empêche l’arrêt de la machine par une sécurité.

− La commande opérateur d’arrêt doit rester active, même si la machine est
“ shuntée ”.
− L’information remonte sur les matrices de sécurité.
3.8. Forçage des électrovannes au déclenchement

R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
− La procédure de test des sécurités doit inclure le test des électrovannes.

− Les électrovannes doivent être équipées d’un bipasse à clé permettant d’alimenter
directement la vanne de sécurité par le réseau air instrument,
− Une fois l'électrovanne bipassée, un opérateur envoie depuis la console “ Test des
sécurités ” un ordre de forçage au déclenchement et il doit être constaté localement
la mise à l’atmosphère du circuit électrovanne (présence d’un mano),
− L'accès aux commandes de forçage se fait sous le même environnement (codes
d'accès) que les réalisations d’inhibition capteur.
Les informations “ commandes de forçage ” ne remontent pas vers le SNCC.

Il sera disposé dans le bâtiment de la salle de contrôle des râteliers pour collecter
les clés de bipasse des électrovannes. Il y aura un râtelier par unité ou groupe
d’unités.
Toutes les clés d’un râtelier seront identiques. L’absence d’une clé du râtelier sera
signalée par le basculement d’un contact transmis à l’automate concerné pour

animer une verrine sur le pupitre de commande “ présence d’un forçage ”.
4. FONCTIONS HISTORIQUES
Les événements suivants doivent être stockés en historique sur disque dur :
− entrées TOR externe,

− causes de déclenchement issues de comparaison de seuils sur des mesures
analogiques,
− commande de déclenchement (sorties des mémoires logiques vers les
actionneurs),
−
entrées numériques du SNCC,

• commandes d’arrêt partiel,

• commandes de moteur,
• commandes de réarmement.
Les informations battantes doivent être éliminées : maintenir active l’information si la

fréquence d’apparition est supérieure à une valeur prédéterminée.
La durée de stockage d’archives doit être au minimum de 7 jours.

− Il doit être possible d’archiver le fichier d’historiques.
− La fonction historiques doit comporter une interface conviviale de restitution :
* restitution sous critères de tri :
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
. par variable,
. par unité ou groupes d’unités,
. pour les 2 dernières heures ou pour une tranche horaire déterminée.
La restitution doit pouvoir se faire sur écran et/ou sur imprimante.
Il doit être possible d’annuler l’impression d’un fichier demandé.
De préférence, l’interface historique doit se faire depuis un poste unique, même si

l’application comporte plusieurs automates.
La datation des informations doit être inférieure à 500 ms.

5. FONCTION PREMIER DEFAUT

Quand plusieurs variables peuvent déclencher un même équipement et qu’il peut y avoir
ambiguïté à déceler la cause première, le système de sécurité doit signaler “le premier
défaut”.
La détection du 1er défaut peut être réalisée :

− par une fonctionnalité spécifique de l’automate,
− par le programme d’application : mémoriser la cause quand elle apparaît et si le
déclenchement n’est pas encore présent.
La détection du 1er défaut conduit à associer une variable supplémentaire, par cause de
déclenchement. Comme la valeur de la variable du défaut lui-même, la valeur de la variable
"premier défaut" est fournie au SNCC.
* Réarmement du 1er défaut

− automatiquement quand l’équipement déclenché est remis en service,

−
par l’opérateur, depuis une commande de réarmement commune à toute une unité
et placée dans une vue de groupe d’alarmes de l’unité.
Les sources alarmes issues des variable qui ne seront pas détectées en “ premier défaut ”
seront masquées.
6. VERRINES INSTALLEES SUR LE PUPITRE DE COMMANDE
Le pupitre comportera les verrines suivantes :
− inhibition capteurs de sécurités : 1 verrine par unité ou groupe d’unités,

− shunt d’une sortie : 1 verrine par unité ou groupe d’unités,
− présence d’un forçage : 1 verrine par unité ou groupe d’unités,
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
− présence d’un forçage d’électrovanne ou absence d’une clé sur le râtelier concerné,
− défaut automate : 1 verrine par automate.
Ces verrines seront équipées de “ test lampe ” mais dépourvues de séquences d’alarmes.
7. SYSTEME DE TEST : POSE ET DEPOSE D'UN BIPASSE
7.1. Principes de réalisation

7.1.1. Les règles

Différentes règles ont été élaborées afin de sécuriser la transmission Modbus pour le
traitement des bipasses de maintenance :
− Tout d'abord, le temps pendant lequel la pose ou la dépose de bipasses va être

autorisée est limité dans le temps. Ainsi, une fenêtre de temps sera ouverte avant
toute opération.
− En-dehors de cette fenêtre de temps, toutes les variables (côté système de Test et
automate) doivent être à l'état bas.
− Il est formellement interdit de faire plus d'une action de pose ou de dépose à la fois.
− Si un problème de transmission est détecté pendant une opération de pose
(dépose), toutes les variables (côté test et automate) doivent être ré-initialisées,
ainsi que la fenêtre de temps.
− La méthode sécurisée de pose ou de dépose est la suivante :
Demande Bipasse
Fenêtre Temporelle
Tests Communication
Validation
Pose ou dépose
d'un seul bipasse
Chronogramme de pose ou dépose d'un bipasse sur automate à partir du système de

test
− Par le système de test, une demande de pose (dépose) de bipasse est envoyée, ce
qui provoque l'ouverture d'une fenêtre de temps.
− Le programme de l'automate renvoie un acquittement en spécifiant le numéro du
bipasse qu'il a reçu.
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
− Si l'acquittement correspond à l'ordre envoyé, alors une validation de pose (dépose)
est transmise du système de test vers l'automate.
− Si l'automate reçoit la validation lorsque la fenêtre de temps est ouverte, alors il y a
pose (dépose) effective du bipasse.
− Après toute opération, toutes les variables (côté système de test et automate)
doivent être ré-initialisées.
7.1.2. Méthode
Afin de respecter les règles énoncées précédemment, la méthode suivante a été élaborée :
−
Pour que la tâche de programmation de l'automate soit simplifiée, à un bipasse

donné, est associé un numéro compris entre 1 et 5000, identique pour les
opérations de pose et de dépose.

− Pour permettre au programme automate de différencier les opérations de pose et

de dépose, un traitement global pour tous les bipasses rajoute 5000 au numéro de
celui-ci lors d'une dépose.

− L'acquittement renvoyé par l'automate au système de test est le numéro qu'il a reçu
augmenté de 10 000.
− Des opérations de décodage de ces différents numéros sont faites au niveau de
l'automate et du système de test et restent transparentes pour le développeur.
7.1.3. Réalisation
La pose ou la dépose du bipasse est automatiquement gérée par le système de test : si le

bipasse est déposé et que l'opérateur appuie sur un bouton, c'est qu'il veut poser un bipasse,
et inversement. Le fait de valider cette demande enclenche une demande de pose ou dépose
de bipasse dans l'automate.
Les mesures de sécurité dans le système de test sont les suivantes :

− Accès aux fenêtres de bipasses sous couvert d'un mot de passe qui retombe après
un temps d'inactivité prédéfini.
− La fenêtre de confirmation de pose / dépose est ouverte durant un temps limité (30
secondes).
− Les boutons de bipasse ne sont actifs que lorsque :
• l'opérateur a entré son mot de passe,
• les variables automate et système de test du protocole de communication défini
sont retombées à l'état bas,
• la communication est correcte (status ok).
− L'opérateur ne se trouve pas en cours de validation d'un bipasse lorsqu'il veut agir
sur un autre.
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
− On s'interdit d'envoyer deux demandes de pose / dépose de bipasse à la fois à
l'automate.
− Si durant une validation le bipasse réel de l'automate change d'état, l'action de
l'opérateur ne changera pas, ce qui au pire aura comme résultante la confirmation
du bipasse réel. Par exemple, le bipasse du capteur Température Haute est posé,
l'opérateur veut le déposer : si ce bipasse se retrouve déposé par d'autre moyen
(déclenchement de tous les bipasses), le fait de le déposer à nouveau n'engendrera
qu'une confirmation.
− Une communication rompue ou défectueuse lors d'une demande de bipasse
engendre la remise à l'état bas de tous les paramètres de communication côté
automate et système de test.
− Toute tentative de pose / dépose de bipasse est enregistrée.
− Toute pose de bipasse est alarmée.

− Toute communication rompue ou défectueuse est alarmée.

7.1.4. Recommandations essentielles
Au niveau de l'automate :
− Il est impératif que chaque bipasse de maintenance ait un numéro unique afin de ne
pas poser ou déposer plusieurs d'entre eux en même temps.
− Il est également important que les numéros des bipasses de maintenance soient en
correspondance avec ceux définis dans le système de test. Tout comme pour les
alias des variables transmises.
− Pour éviter tout problème sur la fenêtre de temps, il est important de la déclarer en
lecture seule.
− Enfin, il est impératif de respecter l'ordre des différentes séquences du programme

automate qui a été proposé.
Au niveau du système de test :
Il est important que les numéros des bipasses ne soient pas redondants, et en
correspondance avec ceux définis dans le programme de l'automate. Il en est de même
avec les alias des variables transmises.
7.2. Mode opératoire du logiciel de test des sécurités
7.2.1. Fenêtre d'accueil
Au lancement du programme, la vue suivante s'affiche :

R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R

Les rectangles sont animés en rouge s'il y a des capteurs inhibés, des vannes forcées, des
shunts de vannes ou de pompes posés dans l'unité correspondante.
Cliquez sur l'un des rectangles si vous voulez avoir la liste des capteurs inhibés, des vannes
forcées ou shuntées, ou des pompes shuntées.
Un bouton permet d'accéder à l'historique des capteurs inhibés, vannes forcées ou

shuntées.
7.2.2. Procédure de log-in, log-out
LOG-IN :
1- Cliquez sur le bouton "LOG-IN ", ensuite entrez votre nom.

2- Cliquez sur le bouton "Mot de passe", ensuite entrez votre mot de passe.
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
Si le mot de passe est correct, le bouton "Accès tests" devient visible. Cliquez sur ce bouton
pour afficher la vue de "POSE / DEPOSE" bipasses.
Les boutons "Configuration" et "Echanges inter-automates" deviennent visibles si le niveau

d'accès de l'opérateur est supérieur à 9000 (voir Configuration des mots de passe).
LOG-OUT :
Cliquez sur le bouton "LOG-OUT".
Le système réalise automatiquement le LOG-OUT si aucune action (click de la souris, frappe

d'une touche au clavier) n'est détectée pendant un time-out configurable.


R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
7.2.3. Lancement et fonctionnement du logiciel "BYPASS"
Le programme fonctionne en tache de fond (fenêtre invisible) et s'affiche seulement si vous

l'appelez en cliquant sur le bouton "Choix Tag".

La fenêtre du programme BYPASS s'affiche :


R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
Cliquez sur le bouton "UNITES", pour avoir la liste des unités :

Choisissez l'unité en double-cliquant sur la ligne correspondante ou en cliquant une fois sur
la ligne et ensuite en appuyant sur OK.
Les listes des Tag se remplissent avec les Tag affectés à l'unité choisie.

Pour trouver un Tag dans une des listes :

− Faites dérouler les listes à l'aide des ascenseurs ou
− commencez à taper le nom du Tag dans le rectangle en haut de la liste. La liste se
positionnera au fur et à mesure sur le premier Tag correspondant aux caractères
tapés.
Pour envoyer un Tag :

− Choisissez le Tag en cliquant sur la ligne correspondante de la liste, ensuite cliquez
sur le bouton "ENVOI", en bas de la liste ou,
− Double-cliquez sur la ligne correspondante au Tag choisi,
− Le Tag sera envoyé et il sera affiché sur le premier bouton libre de la fenêtre.
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
7.2.4. Pose d'un bipasse, shunt ou forçage
Cliquez sur le rectangle "Position Bipasse" ou "Forcer au Déclenchement" ou "Shunt" de la

ligne correspondante au Tag désiré.
La POSE / DEPOSE d'un bipasse et le FORCAGE / LIBERATION d'une vanne peuvent être
effectués par les opérateurs ayant un niveau d'accès >= 1000. La POSE / DEPOSE d'un
shunt peut être effectuée par les opérateurs ayant un niveau d'accès >= 9000.


R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 1
Document N°
bipasse ou du shunt ou le FORCAGE / LIBERATION de la vanne.

Page
Une des fenêtres suivantes s'affiche, demandant la confirmation de la POSE / DEPOSE du

A 1 - 21/25
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R

Cette fenêtre reste ouverte pendant au maximum 30 secondes, après quoi, si l'opérateur n'a
pas appuyé sur "OUI" ou "NON", elle se referme automatiquement.
Si l'opérateur clique sur "OUI", un dialogue a lieu entre le système de test et l'automate pour
réaliser l'opération de "POSE / DEPOSE" du bipasse ou du shunt, "FORCAGE /
DEFORCAGE" de la vanne.
Les rectangles "Position bipasse", "Forcer au déclenchement", "Shunt" sont animés de la

manière suivante :
− rouge pour bipasse ou shunt posé, vanne forcée,

− bleu clair pour bipasse ou shunt déposé, vanne non forcée.
R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
Pour les capteurs analogiques, les rectangles "Vapeur capteur" sont animés en :
− bleu clair si le Tag n'est pas en alarme,
− jaune pour alarme haute,
− rouge pour alarme très haute.
Le bouton "Annuler" sert à annuler les affectations des boutons. Il n'a aucune incidence sur
les valeurs des Tag, bipasses, shunt et forçage dans les automates.
7.2.5. Configuration des mots de passe

En cliquant sur le bouton "Configuration", une boîte de dialogue s'affiche, permettant de

configurer les opérateurs, les mots de passe et leurs niveaux d'accès.
Un niveau d'accès supérieur à 9000 donne droit à la procédure de configuration. Pour un

premier accès, le nom de l'opérateur est "Operator" et le mot de passe associé est
"Wonderware".

R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
R
7.2.6. Inhibition / Libération des échanges inter-automates
Cliquez sur le bouton "Echanges inter-automates" dans la fenêtre d'accueil. La vue suivante
s'affiche :

Les rectangles sont animés en vert si les échanges sont autorisés et en rouge si les
échanges sont inhibés.
Si vous souhaitez inhiber les échanges d'un automate avec les autres :
Cliquez sur le bouton "Inhibition des échanges..." de l'automate concerné.

R0 02/99
92800 PUTEAUX
DOCUMENT
ANNEXE 1
La fenêtre suivante s'affiche, demandant la confirmation :


Cliquez sur "OUI" si vous voulez inhiber les échangeurs, ou sur "NON" pour annuler la
commande.
Si vous voulez autoriser les échanges d'un automate avec les autres :
Cliquez sur le bouton "Libération des échanges..." de l'automate concerné.
La fenêtre suivante s'affiche, demandant la confirmation :


Cliquez sur "OUI" si vous voulez libérer les échanges, ou sur "NON" pour annuler la
commande.
R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
CAPTEUR TOUT OU RIEN A MANQUE

Page
A 2 - 1/14
SCHEMAS TYPE DE TRAITEMENT DES ENTREES / SORTIES AUTOMATE

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
CAPTEUR TOUT OU RIEN A EMISSION

Page
A 2 - 2/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
ENTREE ANALOGIQUE LINEAIRE AVEC SECURITE BASSE

Page
A 2 - 3/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
ENTREE ANALOGIQUE LINEAIRE AVEC SECURITE HAUTE

Page
A 2 - 4/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
Page
ENTREE ANALOGIQUE QUADRATIQUE AVEC SECURITE BASSE

A 2 - 5/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
Page
A 2 - 6/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
Page
ENTREE ANALOGIQUE QUADRATIQUE AVEC SECURITE HAUTE

A 2 - 7/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
COMMANDE D’ELECTROVANNE SIMPLE A MANQUE

Page
A 2 - 8/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
COMMANDE DE DEUX ELECTROVANNES A MANQUE

Page
A 2 - 9/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
COMMANDE DE MARCHE/ARRET TURBINE

Page
A 2 - 10/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
COMMANDE D’ARRET DE POMPE SNCC PLUS SECURITE

Page
A 2 - 11/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
Page
COMMANDE D’ARRET DE POMPE SNCC PLUS SECURITE PLUS ARRET LOCAL

A 2 - 12/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
COMMANDE DE MARCHE/ARRET POMPE

Page
A 2 - 13/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
COMMANDE D’ELECTROVANNE SIMPLE A EMISSION

Page
A 2 - 14/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 2
Document N°
TRAITEMENT DU CHIEN DE GARDE

Page
A 2 - 15/14

R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 3
VANNE TOUT OU RIEN

Document N°
Page
BIPASSE PNEUMATIQUE DES ELECTROVANNES DES SECURITES

A 3 - 1/2
R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 3
Document N°
VANNE DE REGULATION AVEC ELECTROVANNE

Page

A 3 - 2/2
R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 3
VANNE TOUT OU RIEN

Document N°
Page

A 3 - 1/2
R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 3
Document N°
VANNE DE REGULATION AVEC ELECTROVANNE

Page

A 3 - 2/2
R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 4
Document N°
CELLULES ELECTRIQUES CLASSIQUES

Schéma arrêt seul par le système de conduite et/ou APS
Page
PRINCIPE DE COMMANDE DES MOTEURS ELECTRIQUES

A 4 - 1/5
R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 4
Document N°

Schéma marche/arrêt par le système de conduite et fonction de sécurité

Page

A 4 - 2/5
R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 4
Document N°

Schéma marche/arrêt par le système de conduite sans fonction de sécurité

Page

A 4 - 3/5
R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 4
Document N°
SNCC/API/cellule, et arrêt par fonction de sécurité

CELLULES ELECTRIQUES A COMMANDES NUMERIQUES

Schéma de commande marche/arrêt ou arrêt seul par liaisons numériques
Page

A 4 - 4/5
R
DOCUMENT
92800 PUTEAUX

R0 02/99
ANNEXE 4
Document N°
SNCC/API/cellule, sans arrêt par fonction de sécurité

CELLULES ELECTRIQUES A COMMANDES NUMERIQUES

Schéma de commande marche/arrêt ou arrêt seul par liaisons numériques
Page

A 4 - 5/5

Langue

Specification Generale Systeme de Securite Mise en Œuvre Par Aps Et SNCC

Transféré par

Informations du document

Titre original

Copyright

Formats disponibles

Partager ce document

Partager ou intégrer le document

Options de partage

Avez-vous trouvé ce document utile ?

Ce contenu est-il inapproprié ?

Droits d'auteur :

Formats disponibles

Specification Generale Systeme de Securite Mise en Œuvre Par Aps Et SNCC

Titre original :

Transféré par

Droits d'auteur :

Formats disponibles

TOTAL RAFFINAGE DISTRIBUTION Document N° Page

Direction Raffinage Europe Spécification DRE K1006 1/29

SPECIFICATION GENERALE SYSTEME DE SECURITÉ