Mots clés
■ Luc HossenLopp
1, Didier Margraitte
1, isabelle BouLLery
2AREVA T&D
1, RTE
2Contrôle Commande Numérique de Postes : Pratiques actuelles et perspectives en terme de cycle de vie
Hardware, gestion de l’obsolescence,
Fonctions distribuées, ieC 61850
1. Introduction
Le contrôle commande numérique de postes électri- ques a émergé il y a 15 à 20 ans environ dans le domaine du Transport d’Electricité, ce qui correspond à la durée de vie typique pour un système conçu à partir de com- posants électroniques et de logiciels fonctionnant sur une base de PC.
Au regard de la gestion du cycle de vie de ces systè- mes, la première préoccupation est d’assurer la continuité de fonctionnement en exploitation. Ceci a été atteint par la capacité à localiser rapidement les défauts (dans le poste, ou à distance) en activant une permutation automatique vers un module redondant, ce type de dispositif faisant maintenant partie du standard sur la plupart des systèmes du marché1.
L’expérience a montré que d’autres aspects doivent être considérés, et cet article se focalise sur deux d’entre eux. Le premier porte sur la gestion de l’obsolescence du matériel et des composants logiciels de base : l’utilisation croissante de produits « sur étagère » réduit le coût initial, mais ce type de technologie présente un cycle de vie court.
Le second porte sur la distribution des fonctions, qui est l’essence même des systèmes de contrôle commande : les évolutions doivent être gérées de manière à maintenir la performance globale du système.
La gestion des ressources humaines est essentielle quand nous parlons de gestion du cycle de vie, partant du principe que de trois à cinq générations de personnel de- vront rester motivée pour travailler sur d’anciennes tech- nologies – ce qui n’est pas chose simple dans un monde en évolution rapide sur les technologies de l’information.
En ce qui concerne RTE, une première génération de système de contrôle commande numérique est en cours
1 Cet article est la traduction du rapport B5 202 présenté à la Session Plénière 2008 du CIGRE, publiée avec l’aimable autorisation du CIGRE
de déploiement, à travers le programme ELECTRE, sur le réseau. Le standard IEC 61850 offre aussi des perspec- tives intéressantes pour RTE pour la gestion du cycle de vie des systèmes de contrôle commande numérique. RTE envisage d’introduire des exigences s’appuyant sur la normalisation pour la spécification des tranches dans ses prochains appels d’offres. L’approche de RTE pour la ges- tion du cycle de vie des systèmes de contrôle commande numérique est précisée dans cet article.
2. Gestion de l’obsolescence
du Hardware et du logiciel de base (Perspective AREVA)
2.1. Le dilemme du cycle de vie
Les technologies utilisées dans les systèmes de contrôle commande modernes sont de plus en plus dérivées de cel- les de l’industrie informatique afin de pouvoir bénéficier de l’accroissement des performances et de la réduction des coûts d’achats. Comme ces technologies sont princi- palement utilisées dans des domaines en évolution rapide (Télécommunication, Informatique, etc.), leur cycle de vie décroît de manière très importante. Par exemple, de nouveaux microprocesseurs d’une même famille sortent sur le marché tous les 2 à 3 ans. La tendance pour le logi- ciel est la même, la figure 1 montre l’évolution du système d’exploitation Windows sur les 20 dernières années.
Un autre facteur d’influence est apparu durant les der- nières années, concernant la législation autour des com- posants électroniques. L’une de ces règlementations, la RoHS (Risk of Hazardous Substances), accélère l’obso- lescence des composants et des outils de fabrication (pro- cédés de soudure, particulièrement).
L’espérance de vie d’un poste électrique (40 ans mi- nimum) est le double ou le triple par rapport à celle des
produits électroniques et informatiques. Gérer le dilemme du cycle de vie des produits de contrôle commande est un défi pour les utilisateurs comme pour les fournisseurs : les changements rapides soulèvent des problèmes tels que la requalification des produits, la formation des opérateurs, la gestion des stocks de rechange. Etendre la durée de vie des composants du système implique des coûts substan- tiels tels que le maintien de la compétence, des outils de développement et de test, ainsi que des stocks.
Il n’y a pas encore de norme pour déterminer le meilleur compromis, probablement du fait que l’optimi- sation a priori du coût total de possession d’un système est encore une pratique récente, et parce que les services attendus dans ce domaine peuvent varier suivant les ob- jectifs et l’organisation de l’utilisateur. Par exemple, RTE a défini ses besoins pour chaque élément constitutif ou prestation des systèmes de contrôle commande numéri- que : 25 ans pour le Hardware, 15 ans pour les prestations d’ingénierie complémentaire, et 10 ans pour le logiciel.
D’autres compagnies ont choisi une durée globale de 15 ans pour toutes les catégories.
2.2. La détection de l’obsolescence
Attendre l’annonce de l’obsolescence effectuée par les fabricants de composants de base à leur client n’est pas suffisant pour détecter correctement les obsolescences à venir. Parmi les raisons, on peut noter le volume relative- ment faible de composants achetés pour des équipements de protection et contrôle commande, ainsi que les sources variées d’approvisionnement.
La manière la plus efficace de faire face à ce pro- blème est de construire un outil de surveillance proactive de l’obsolescence des composants. Chaque composant est renseigné dans une base de données, et une comparaison régulière est effectuée avec d’autres bases de données dé- diées au suivi de l’obsolescence. Il y a donc mutualisation des information des diverses sources.
Avec une base installée de plusieurs millions d’équi- pements électroniques (les plus anciens datant des années 1970), et un flux de réparation de l’ordre de 10 000 pro- duits par an, la détection et la gestion de l’obsolescence ont été automatisées par AREVA T&D. Parmi les points forts, nous pouvons relever l’utilisation d’outils sur internet pour la surveillance et la détection d’obsolescence, et une coor- dination renforcée avec les fournisseurs stratégiques.
2.3. Optimiser les stratégies face à l’obsolescence La stratégie à mettre en place pour gérer l’obsolescen- ce repose sur plusieurs critères :
• la taille de la base installée des produits concernés,
• la durée de vie résiduelle pour les équipements à maintenir,
• la nature du composant ou du sous-ensemble obsolè- te (les composants actifs ont généralement un impact plus significatif que les composants passifs),
• la préférence exprimée par l’utilisateur final, avec qui une communication démarre dès la détection de l’obsolescence.
Les principales alternatives sont :
1. Le remplacement des composants électroniques : Cette solution est applicable lorsqu’une autre source est toujours disponible pour le composant obsolète.
Dans ce cas, on remplace le composant soit par un autre composant « vivant », soit par un ensemble de composants offrant la fonction équivalente. Il convient de faire des tests de non-régression, pour pallier le fait que le composant précédent pouvait être utilisé dans des plages « aux limites », et que ces plages soient bien respectées avec la nouvelle solution. Une requalification complète doit parfois être envisagée.
2. La mise à niveau du produit en offrant une compati- bilité fonctionnelle ascendante :
Cette solution est particulièrement adaptée pour les systèmes de contrôle commande numérique de Figure 1. Exemple d’évolution rapide de technologie “sur étagère” : Windows.
postes. L’opération de mise à niveau est générale- ment plus lourde que le remplacement de compo- sants obsolètes, et porte sur une solution complète incluant le logiciel et le matériel.
3. La rénovation :
Cette option est préférée pour les équipements élec- tromécaniques quand on ne peut trouver de com- posants ou de pièces de remplacement, et qu’une mise à niveau n’est pas envisageable facilement.
Une attention particulière est portée sur la minimi- sation des impacts sur les interfaces (câblage, racks, armoires, etc.) et sur la réduction du temps d’indis- ponibilité lié à l’intervention. La figure 2 montre un exemple d’un rack de rénovation pour adapter un équipement électronique moderne dans la structure électromécanique antérieure.
4. La constitution de stocks stratégiques :
Quand il n’y a pas d’autres alternatives possibles, et qu’une obsolescence est déclarée, un stock dit
« stratégique » est mis en place. Pout constituer ce stock, plusieurs données sont considérées :
- L’historique des consommations.
- Les MTBF des composants ou sous-ensembles considérés, basés sur les statistiques réelles plutôt que sur des valeurs calculées.
- La durée de vie résiduelle des installations à maintenir.
Selon la nature des composants et la durée de stockage, des précautions peuvent être à prendre pour les conserver (protection sous vide par exemple)
3. Stratégies de Maintenance développées par RTE
Les attentes en terme de gestion du cycle de vie font partie de la contractualisation du système global de contrô- le commande numérique (CCN). Chaque fournisseur doit décrire sa stratégie pour la gestion de l’obsolescence du matériel et du logiciel. RTE demande également à ses fournisseurs un maintien de compétence sur l’ensemble des composants du système.
Cette demande de service inclut :
• La gestion de l’obsolescence du matériel,
• La gestion de l’obsolescence du logiciel,
• La capacité de pouvoir modifier ou corriger le maté- riel et le logiciel,
• La capacité de pouvoir ajouter de nouvelles fonc- tions au système (cela peut concerner aussi bien le matériel que le logiciel).
RTE demande que la base matérielle qualifiée à l’ori- gine reste disponible au moins pendant toute la période où les systèmes sont installés. Ensuite, RTE accepte, sous certaines conditions, que des composants soient rempla- cés par d’autres, ayant les mêmes fonctionnalités, sous réserve d’une approbation préalable.
RTE a adopté une organisation spécifique pour le suivi du comportement de ses systèmes de contrôle commande (conventionnels et numériques). Le Retour d’Expérience (REX) qui en résulte permet d’identifier des dysfonction- nements génériques ou le vieillissement des composants matériels. Ce REX est la base d’actions correctives géné- riques appliquées à l’ensemble des systèmes concernés.
Cette organisation a été spécialement adaptée pour les systèmes de contrôle commande numérique.
Sur la base du cycle de vie espéré pour les composants matériels du CCN, un stock de pièces de rechange a été défini avec les fournisseurs. Ce stock est périodiquement revu, en prenant en compte les résultats du retour d’expé- rience et du suivi décrit précédemment pour le comporte- ment des systèmes.
En ce qui concerne la norme CEI 61850 (standard de communication entre les équipements d’un système de contrôle commande numérique), RTE envisage d’inclure des exigences dans ses spécifications pour les CCN, vi- sant en particulier à faciliter l’intégration d’équipement tiers de protection. Cette interface devrait aussi faciliter le remplacement de ces équipements durant le cycle de vie des systèmes, si besoin était.
RTE considère que la formation fait partie intégrante du dispositif de maintenance. De ce fait, les besoins en formation de RTE pour l’ensemble du cycle de vie du CCN sont inclus dans les contrats de maintenance.
4. Gérer des fonctions distribuées
4.1. Introduction
Les fonctions distribuées sont caractérisées par le fait que plusieurs équipements contribuent à la réalisation d’une fonction : la figure 3 montre que N équipements (I1 à IN) fournissent des entrées, et que M équipements (O1 à OM) fournissent des sorties. Parmi les exemples d’application, Figure 2. Exemple de rénovation un ancien relais
électromécanique par un équipement numérique.
on peut citer les inter-verrouillages dans un poste électrique, ou, plus simplement, l’interface homme machine connecté aux équipements de protection ou de mesure.
En termes de gestion du cycle de vie, les fonctions distribuées peuvent être affectées par des évolutions asyn- chrones des différents équipements. Les évolutions sont liées aux changements des modules eux-mêmes (maté- riels, logiciels) ou du contexte dans lequel ils sont utili- sés (changement de configuration du poste électrique, nouvelles interfaces, etc.) et conduisent à de nouvelles configuration des bases de données. Par exemple, l’ajout d’une travée pourra éventuellement avoir un impact sur des automatismes distribués entre plusieurs équipements.
La vérification que les fonctions distribuées sont dans un mode sécurisé pendant les changements, et qu’elles deviennent totalement opérationnelles après plusieurs modifications asynchrones, est essentielle pour la disponi- bilité et la sécurité des systèmes.
Nous avons besoin de plusieurs mécanismes pour gérer correctement cette situation. Nous allons décrire brièvement deux d’entre eux : la gestion des versions et la gestion des interfaces.
4.2. La gestion des versions
Au niveau d’un équipement plusieurs paramètres de versions doivent être considérés : le logiciel et le matériel sont généralement bien compris et identifiés, les paramétra- ges et la configuration des bases de données le sont moins.
La base de données de configuration d’un système se réfère dans cet article aux informations statiques qui doivent être cohérentes entre les équipements, telles que les adresses des données échangées sur le réseau de communication ou la logique d’une fonction distribuée. Les paramètres se réfèrent aux informations qui sont utilisées localement par l’équipement, telles qu’un seuil de mesure.
Un système est constitué de plusieurs équipements, chacun d’entre eux étant défini par de multiples para- mètres de versions. La modification d’un paramètre de version dans un équipement peut avoir des conséquences sur le comportement d’autres équipements. Comprendre l’image globale des versions est essentiel, ceci est effec- tué par de l’expertise humaine et par des contrôles auto-
matiques :
• Identifier les différentes versions/paramètres du sys- tème proposé : ceci devient progressivement possible automatiquement, au moins pour les numéros de ver- sion des matériels et des logiciels ;
• Vérifier « a priori » la compatibilité entre les ver- sions : ceci reste un exercice humain, particulière- ment lorsque l’on intègre des produits de différents constructeurs ;
• Définir les tests à effectuer lors du passage d’une ver- sion à une autre : ceci est aussi un exercice humain ;
• Vérifier que les versions installées sur le système sont cohérentes : ceci est partiellement automatique, au moins lorsqu’on utilise des équipements prove- nant d’une même gamme d’un fournisseur.
4.3. Gestion des Interfaces
La facilité des tests sur site est un aspect important de la gestion du cycle de vie des systèmes à fonctions distribuées : reproduire une plateforme miroir complète peut être impossible, et isoler une fonction des autres peut nécessiter de régler de nouveau le système.
Les interfaces sont gérées par des entrées/sorties indi- viduelles et par groupes relatifs à une travée ou un équi- pement.
• Les fonctions de substitution et de forçage permet- tent de simuler les entrées, soit parce que ces entrées ne sont pas connectées, hors service, ou en vue d’ob- server les résultats sur le système ;
• Les fonctions de blocage et de tests permettent d’inhiber l’activation des sorties physiques, reflé- tant néanmoins le résultat du test de cette « pseudo- action » dans le système ;
• Les modes local/distance activent/désactivent le contrôle au niveau de la travée ou de l’équipement, le mode maintenance permet de garder en local les alarmes mais supprime leur communication vers les sites distants.
L’implémentation du protocole IEC 61850 permet en outre l’activation/désactivation des flux de données entre les équipements et l’activation/désactivation des nœuds logiques.
5. Perspectives
Deux évolutions vont affecter la gestion du cycle de vie des systèmes de contrôle commande dans le futur : le schéma d’information global et la gestion des accès aux équipements intelligents.
5.1. Le schéma global d’information
Les systèmes d’information d’une compagnie d’élec- tricité sont fragmentés aujourd’hui : les systèmes de Figure 3. Schéma de fonctions distribuées.
contrôle commande ne partagent généralement que quel- ques données avec les systèmes téléconduite du réseau et de gestion du patrimoine (adresses de télé-conduite prin- cipalement) ; les paramètres des équipements intelligents n’ont pas ou peu d’interfaces avec les paramètres du poste dans son ensemble ; il n’y a pas de lien avec le stock de pièces de rechange.
L’arrivée du protocole IEC 61850 et du CIM fait pro- gressivement changer cet état. Le premier bénéfice est d’éviter d’avoir à saisir les données plusieurs fois, ce qui est coûteux et comporte un risque d’erreur surtout en cas d’évolutions. La simplification des outils d’ingénierie est une autre attente importante, tant au niveau du poste que de la gestion globale du réseau.
Deux exemples de pratiques actuelles dans cette voie :
• L’harmonisation de la configuration effectuée par RTE, voir la figure 4. Le contrôle commande du poste et le Centre de Conduite partagent au mini- mum les adresses des informations (états, mesures, commandes, alarmes) qui sont transmises au travers du réseau de communication. RTE génère en phase d’Ingénièrie un fichier XML dénommé FCS (Fichier Client Site) pour définir, non seulement les adresses de communication (en utilisant le protocole de com- munication HNZ), mais aussi des informations telles que le texte associé aux alarmes qui peuvent surve- nir dans le poste (de manière à les rendre cohérentes avec celles du centre de conduite), et des paramé- trages de protections et automates afin de les rendre cohérentes avec les modèles de réseau) et l’interface avec le procédé.
• Un outil de paramétrage universel des relais de pro- tection, utilisant le standard IEC 61850 a été réalisé par Red Electrica (Espagne). Un groupe de travail
CIGRE a démontré que 30 % des défauts sur les équi- pements intelligents sont liés à des erreurs de paramé- trage. Cela est partiellement lié à la complexité éma- nant des interfaces utilisateurs différentes suivant les constructeurs, aux protocoles, etc. IEC 61850 permet d’homogénéiser l’accès à ces données, soit au travers d’une implémentation native dans les équipements, soit au travers d’un convertisseur de protocole.
5.2. Gestion des accès aux équipements intelligents (IED)
Un des problèmes actuels est la gestion des mots de passe pour accéder aux équipements intelligents (IED), pour leur paramétrage, leur contrôle ou l’administration des versions. Les mots de passe étant gérés par équipe- ment, cela signifie que l’opérateur est censé connaitre l’ensemble des mots de passe des équipements qu’il ex- ploite. Comme ce n’est pas réaliste, les mots de passe sont souvent les mêmes pour plusieurs équipements, et ils ne sont pas dépendants d’un opérateur donné. Il en résulte sécurité d’accès très limitée, alors que la flexibilité des équipements et la communication entre eux accroit le risque de mal-opération.
La cyber – sécurité associée aux technologies de com- munication rapides entre les postes et les centre de main- tenance est de nature à faciliter la gestion du cycle de vie des systèmes de contrôle commande. L’opérateur s’iden- tifie au travers de serveurs centraux d’authentification et dispose des privilèges associés à un rôle.
Il en résulte que plus d’acteurs seront capables d’ac- céder de manière sécurisée aux équipements intelligents (IED), et qu’ils peuvent mieux utiliser leurs informations.
Les opérations courantes et la maintenance corrective, initialement effectuée par les utilisateurs finaux, seront complémentées par des actions plus larges de gestions des Figure 4. Exemple de coordination de fichiers de configuration.
biens, des fournisseurs de produits et de services. Cela comprend la maintenance préventive, l’optimisation des versions, et la gestion de l’obsolescence.
6. Conclusion
L’optimisation du coût total de possession pour une performance donnée des systèmes de contrôle commande numérique est une demande croissante de la part des com- pagnies d’électricité. Cela s’exprime de plus en plus lors de la demande de nouveaux systèmes, mais s’applique aussi sur des installations déjà existantes.
Cet article a illustré quatre options applicables pour la gestion de l’obsolescence du matériel et du logiciel. Il est intéressant de noter qu’une des solutions mises en œuvre dans le secteur nucléaire par AREVA a été écartée pour des raisons de coût – l’émulation d’un vieux micro-processeur sur un circuit ASIC : la qualification dans l’industrie nu- cléaire est d’un ordre de grandeur supérieure à celui du do- maine du Transport et de la Distribution d’Electricité.
Des demandes spécifiques sont intégrées par RTE dans ses contrats de fourniture de systèmes de contrôle commande numérique, concernant la gestion de l’obso- lescence, la gestion des versions et le remplacement du matériel. La finalité de ces demandes est de fournir une garantie contractuelle sur les capacités des constructeurs à différents niveaux (ingénierie, remplacement du matériel,
remplacement du logiciel, maintenance corrective) pour une durée comprise entre 10 et 25 ans après la fourniture des systèmes.
Cet article a aussi traité de la gestion des fonctions distribuées. Il est probable que la gestion des versions et des interfaces va avoir une importance croissante dans le futur, et va conduire au développement de fonctions plus sophistiquées de gestion du patrimoine.
Quelques unes des technologies qui vont faciliter la gestion du cycle de vie dans le futur ont été présentées.
La norme IEC 61850 et la cyber-sécurité vont sûrement en devenir les pierres d’angle. Elles faciliteront la tâche, néanmoins elles ne remplaceront pas l’expertise humaine.
L e s a u t e u r s
Luc Hossenlopp, Diplomé ENSTA 1986, Master Paris IV 1987.
Est actuellement Directeur Marketing au sein d’AREVA T&D, en charge de l’automatisation des postes électriques. Il est membre du comité IEC TC 57 et CIGRE B5.
Didier Margraitte, Ingénieur SUPELEC 1987, Membre Senior SEE. A occupé différentes fonctions dans le domaine du contrôle commande et des protections chez AREVA T&D, actuellement Re- gional Vice President pour l’activité Service de AREVA T&D pour l’Europe du Sud et l’Afrique.
Isabelle Boullery, Ingénieur ENSIEG 1983. A occupé différentes fonctions dans le domaine du contrôle commande du réseau de transport d’électricité (RTE) , actuellement chef-adjoint du dépar- tement contrôle commande local au Centre National d’Expertise Réseau et chargée du pilotage stratégique du renouvellement du contrôle commande et de sa numérisation.
