Redondance d’automate industriel : 3 niveaux pour calibrer votre architecture
Dans les environnements industriels où l’arrêt de production n’est pas une option, la question de la haute disponibilité des systèmes de contrôle revient régulièrement. Chimie, pétrochimie, énergie, traitement des eaux : certains procédés ne tolèrent pas l’interruption, même brève, d’un automate. C’est là qu’intervient la redondance CPU, une architecture qui double les unités centrales de traitement pour assurer la continuité de fonctionnement en cas de défaillance matérielle.
Avant d’investir dans ce type de solution, il faut pourtant bien peser les enjeux. Un système redondant est plus coûteux, plus complexe à configurer et à maintenir. Il ne se justifie pas pour toutes les applications. Voici les éléments clés pour décider, et si la décision est prise, pour bien mettre en oeuvre votre projet.
Pourquoi mettre en place une redondance CPU ?
Le principe est simple : dans un système hot standby, deux CPU identiques fonctionnent en parallèle. L’une joue le rôle de maître (Primary) et exécute le programme ; l’autre, en réserve (Standby), est maintenue à jour en permanence via un canal de synchronisation dédié. Si le maître tombe en panne, la CPU de réserve prend le contrôle en quelques dizaines de millisecondes, sans interruption perceptible du processus.
CPU 410-5H (© siemens.com)
La justification économique est souvent rapide à établir. Il suffit d’estimer le coût d’un arrêt non planifié : perte de production, dégâts matériels, coûts de remise en route, voire impact environnemental ou réglementaire. Pour une ligne continue qui produit plusieurs tonnes par heure, quelques minutes d’arrêt peuvent largement dépasser le coût d’un système redondant.
Des normes comme l’IEC 61511 (systèmes instrumentés de sécurité) ou l’IEC 62443 (cybersécurité industrielle) viennent souvent renforcer l’exigence de disponibilité dans les secteurs chimique, pharmaceutique, pétrolier et énergétique.
Les solutions proposées par les principaux constructeurs
Toutes les grandes marques d’automates proposent aujourd’hui une offre de redondance CPU. Les architectures diffèrent dans les détails, mais le principe hot standby est partagé.
Siemens reste une référence avec le S7-400H et sa variante actuelle, la CPU 410-5H utilisée dans l’environnement PCS 7. La synchronisation entre les deux CPU s’effectue via des modules fibre optique dédiés. Le temps de basculement est typiquement inférieur à 100 ms. La configuration est gérée dans SIMATIC Manager ou TIA Portal avec un package logiciel spécifique.
Schneider Electric répond à ce besoin avec la gamme Modicon M580 Hot Standby (HSBY). Les deux UC échangent en continu des données de processus via un réseau Ethernet dédié. La commutation est annoncée à moins de 1 ms dans les configurations optimisées, et la plateforme s’intègre nativement à l’architecture EcoStruxure. La programmation s’effectue dans Unity Pro / EcoStruxure Control Expert.
Rockwell Automation propose la redondance via les contrôleurs ControlLogix avec le module de redondance 1756-RM2. Le système utilise EtherNet/IP pour la synchronisation entre les deux châssis et se configure dans Studio 5000 Logix Designer. Cette solution est particulièrement répandue dans les industries nord-américaines (automobile, agroalimentaire, oil & gas).
ABB couvre ce besoin avec la gamme AC500 et sa bibliothèque de haute disponibilité (HA-Library). La particularité de cette approche : elle repose sur des CPU standard de la gamme AC500, sans matériel spécifique dédié à la redondance. Cela en fait une solution plus accessible en termes de coût et de disponibilité des pièces de rechange, notamment pour les infrastructures d’eau, de traitement et de gestion d’énergie.
Redondance matérielle ou logicielle : quelle différence ?
La redondance matérielle implique deux CPU physiquement séparées qui se synchronisent via un bus dédié haute vitesse. Le basculement est quasi imperceptible, généralement en moins de 100 ms, et transparent pour le processus. C’est la solution recommandée pour les procédés continus sensibles aux variations de consigne (réacteurs chimiques, boucles PID rapides).
La redondance logicielle s’appuie sur deux automates standards communicant via Ethernet, avec une logique applicative qui gère le basculement. Les temps de commutation sont plus longs (de 200 ms à plusieurs secondes selon la charge réseau), mais le coût est significativement réduit. Pour des procédés à dynamique lente (traitement de l’eau, ventilation, gestion d’énergie), cette approche est souvent suffisante.
Un point à ne pas négliger : la redondance, quelle qu’elle soit, ne protège pas contre les erreurs logicielles. Si le programme contient un bug, les deux CPU exécuteront la même logique défectueuse simultanément. Les tests fonctionnels et la validation du code restent indispensables.
Les niveaux de redondance : calibrer selon la criticité
La redondance ne s’arrête pas à la CPU. Il existe plusieurs niveaux d’implémentation, à adapter selon la criticité réelle du procédé.
Niveau 1 – CPU seule : les deux processeurs sont doublés, mais les E/S restent en configuration simple. Adapté pour des procédés où la défaillance des entrées/sorties est gérable manuellement, mais où l’arrêt de l’automate est inacceptable.
Niveau 2 – CPU + périphérie déportée : les stations d’E/S déportées sont connectées en double anneau PROFINET (MRP) ou via des coupleurs redondants sur PROFIBUS ou EtherNet/IP. C’est la configuration la plus courante sur les sites de chimie fine ou de production continue.
Niveau 3 – Redondance totale : alimentation, réseau, CPU, périphérie, serveurs SCADA. Ce niveau est réservé aux infrastructures critiques (centrales, pipelines, stations de traitement d’eau potable). Certaines solutions permettent de séparer physiquement les deux armoires de plusieurs dizaines de kilomètres, ce qui protège également contre les sinistres locaux.
Limites et points de vigilance
Le surcoût d’une architecture redondante est réel. Selon le niveau d’implémentation et le constructeur, il faut prévoir de 40 à 80 % de coût supplémentaire par rapport à une architecture standard équivalente, matériel, licences, ingénierie et formation inclus. Ce chiffre doit être mis en regard du coût estimé d’un arrêt non planifié pour justifier l’investissement.
La maintenance en ligne des systèmes redondants est également plus exigeante. Le remplacement d’un module en cours de production demande de maîtriser les procédures de passage en mode non redondant, de remplacement à chaud, puis de resynchronisation. Sans formation adaptée, cette étape peut générer plus d’incidents qu’elle n’en évite.
Enfin, l’intégration d’une configuration redondante dans un projet existant est rarement transparente : rack spécifique, modules de communication dédiés, licences logicielles additionnelles. Mieux vaut anticiper cette exigence dès la phase de conception que tenter de l’ajouter après coup sur une architecture existante.
Conclusion
La redondance CPU est un outil fiable et éprouvé pour les procédés industriels où l’arrêt n’est pas tolérable. Siemens, Schneider Electric, Rockwell Automation, ABB et d’autres proposent tous des solutions matures et bien documentées. Le choix entre ces offres dépend avant tout de l’écosystème déjà en place sur le site, des compétences disponibles en interne et des exigences spécifiques du procédé en termes de temps de basculement.
Commencez par identifier les zones critiques de votre installation, estimez le coût d’un arrêt non planifié, et calibrez votre niveau de redondance en conséquence. Une redondance partielle, ciblée sur les noeuds les plus critiques, est souvent plus pertinente qu’une solution globale surdimensionnée.
