Un automate programmable industriel (API) standard exécute des instructions logiques. Un automate de sécurité, ou Safety PLC, fait de même, mais avec une obsession pour la fiabilité. Sa mission n'est pas seulement d'automatiser, mais de le faire sans jamais compromettre la sécurité des opérateurs et des machines. Dans une ligne d'impression, où des rouleaux tournent à grande vitesse et des presses appliquent des forces considérables, cette distinction est vitale.

La différence fondamentale réside dans l'architecture interne. Alors qu'un API standard utilise un seul processeur, un automate de sécurité est construit sur la redondance. Il possède typiquement deux processeurs qui fonctionnent en parallèle. Ils exécutent le même programme de sécurité, lisent les mêmes entrées (comme un bouton d'arrêt d'urgence ou une barrière immatérielle) et comparent leurs résultats en permanence.

Cette technique, appelée diagnostic de processeur croisé, est la pierre angulaire de sa fiabilité. Si à un instant $t$, les deux processeurs obtiennent un résultat différent, même pour un seul bit, le système conclut qu'une défaillance interne est survenue. Il déclenche alors un état sûr, généralement en coupant l'alimentation des actionneurs dangereux, comme les moteurs des rouleaux d'impression. Cette vérification constante garantit que le système ne peut pas continuer à fonctionner avec un défaut non détecté.

La redondance matérielle peut être implémentée de plusieurs manières, principalement selon deux architectures : 1oo2 (un sur deux) et 2oo2 (deux sur deux). Le choix dépend du niveau de sécurité et de disponibilité requis par l'application.

Pour une ligne d'imprimerie, l'architecture 1oo2 est souvent suffisante pour les fonctions de sécurité standards comme les capteurs de porte ou les arrêts d'urgence. La priorité est de stopper la machine dès qu'un risque est détecté.

Le fonctionnement d'un automate de sécurité est rythmé par un cycle de balayage spécifique. Ce n'est pas juste une simple boucle de lecture-exécution-écriture comme dans un API standard. Le cycle de sécurité inclut des étapes de vérification rigoureuses.

Avant d'exécuter la logique de sécurité, l'automate réalise une batterie de tests : il vérifie ses propres processeurs, sa mémoire et même le bon fonctionnement de ses modules d'entrées/sorties. Cette autovérification garantit l'intégrité du système avant chaque décision. Le temps total pour compléter ce cycle, de la détection d'un signal d'entrée (un opérateur franchit une barrière immatérielle) à l'action sur une sortie (l'arrêt d'un moteur), est appelé le temps de réponse de sécurité. Il doit être calculé et garanti pour s'assurer qu'une machine s'arrêtera avant qu'un accident ne puisse se produire.

Pour maintenir cette intégrité, les données sont strictement compartimentées. L'automate gère deux zones de mémoire distinctes : une mémoire standard et une mémoire sécurisée (Safety Memory).

1. Mémoire Standard : Utilisée pour le programme de contrôle non critique (gestion de la vitesse des rouleaux, recettes d'encre, etc.). Les données peuvent y être lues et écrites par le programme standard.
2. Mémoire Sécurisée : Contient le programme de sécurité et l'état des E/S de sécurité. Cette zone est protégée. Le programme standard peut généralement lire des informations de la zone de sécurité (par exemple, pour afficher un message "Arrêt d'urgence actif" sur un HMI), mais il ne peut en aucun cas y écrire. Seule la logique de sécurité peut modifier l'état des sorties de sécurité.

Cette séparation, couplée à une gestion spécifique de l'image de sécurité (la copie des états des E/S utilisée par le programme), empêche qu'un bug dans le code de contrôle standard puisse accidentellement désactiver une fonction de sécurité critique.

L'architecture d'un automate de sécurité est donc une combinaison de redondance matérielle, de diagnostics croisés incessants et d'une ségrégation stricte des données. Ces principes garantissent qu'en cas de défaillance, qu'elle soit matérielle ou logicielle, le système réagira toujours de la manière la plus sûre possible : en protégeant la vie humaine.