Faire passer un arrêt d’urgence sur le câble des données paraissait irrecevable il y a vingt ans. Deux standards l’ont rendu banal — l’un sur le réseau, l’autre sur le dernier mètre — et ils ne font pas le même travail.
Deux standards, pas un seul
Une confusion fréquente mérite d’être levée d’emblée : CIP Safety ne circule pas sur IO-Link. Ce sont deux spécifications distinctes, éditées par deux organisations différentes, qui couvrent deux portions de l’installation.
- CIP Safety, édité par l’ODVA, est une extension du protocole CIP. Il porte la sécurité sur le réseau : EtherNet/IP, DeviceNet, Sercos.
- IO-Link Safety, édité par la communauté IO-Link, porte la sécurité sur le dernier mètre : entre un maître et les appareils branchés sur ses ports.
Ils ne se concurrencent pas, ils s’emboîtent. La communauté IO-Link publie d’ailleurs un document d’intégration d’IO-Link Safety dans les profils de communication de sécurité des bus de terrain — la chaîne complète va donc du contrôleur jusqu’au capteur, sans rupture.
CIP Safety : la sécurité sur le réseau
CIP Safety est certifié par le TÜV Rheinland pour les applications de sécurité fonctionnelle, et couvre selon la CEI 61508 le SIL 2 pour les risques modérés et le SIL 3 pour les applications critiques. Il fonctionne sur Ethernet 10/100 Mbit/s et 1 Gbit/s, sur fibre, et jusque sur liaison WiFi.
Le principe du canal noir
Le réseau porteur n’est pas sûr, et on ne cherche pas à le rendre sûr. On le traite comme un canal noir : un tuyau dont on se méfie par principe. Toute la sécurité est portée par le protocole, qui embarque assez de détection d’erreurs pour être transporté sur des réseaux de nature différente sans que l’intégrité des données de sécurité en soit dégradée. C’est exactement ce que certifie le TÜV Rheinland.
Conséquence rarement soulignée : puisque la couche applicative de sécurité ne dépend pas de l’intégrité des services CIP standard ni de la couche liaison, un matériel à voie unique suffit pour l’interface de communication. Aucune redondance matérielle n’est imposée sur le réseau.
Les six mécanismes
- Horodatage. Chaque donnée produite est marquée : un message trop vieux est rejeté.
- Identifiant de production. Il garantit que le message arrive chez le bon consommateur.
- CRC de sécurité. Chaque transfert sûr porte sa propre somme de contrôle, distincte de celle du réseau.
- Redondance des données et du CRC. Protection supplémentaire contre la corruption en transmission.
- Numéro de réseau de sécurité. Il identifie individuellement chaque chemin réseau, rendant chaque appareil unique.
- Propriété de la configuration. Un appareil tiers ne peut pas modifier la configuration de sécurité d’un autre.
Deux propriétés en découlent. La vérification se fait de bout en bout : c’est l’appareil destinataire qui confirme l’intégrité, ce qui permet de router un message de sécurité à travers commutateurs et routeurs standard. Et le protocole n’existe que dans les automates de sécurité et les appareils sûrs, ce qui empêche un appareil standard de se faire passer pour un appareil de sécurité.
IO-Link Safety : la sécurité jusqu’au capteur
IO-Link Safety applique le même raisonnement, à l’échelle du port. Il assure une communication sûre jusqu’à SIL 3 et PL e, également sur le principe du canal noir : les erreurs de transmission entre le maître et l’appareil sont détectées par sommes de contrôle, surveillance du temps et contrôle de séquence.
Sa particularité tient en une phrase : les données de sécurité et les données standard circulent en parallèle, tout en restant logiquement séparées. Un même câble, un même port, deux flux qui ne se mélangent jamais.
L’architecture repose sur un maître de sécurité — le FS-Master — dont chaque port accepte indifféremment un appareil sûr (FS-Device) ou un appareil standard. C’est le point important pour un concepteur : on ne dédie pas un maître à la sécurité, on mélange sur le même appareil ce qui doit l’être et ce qui ne le demande pas.
Côté appareils, la spécification prévoit notamment des concentrateurs sûrs et des appareils à sorties de commutation de sécurité.
Ce que proposent les fabricants
Sur CIP Safety, Rockwell Automation occupe naturellement le terrain — EtherNet/IP est son écosystème — avec les automates GuardLogix et leurs modules d’entrées/sorties sûres.
L’évolution la plus intéressante vient des fabricants d’E/S déportées, qui font converger dans un boîtier ce qui demandait plusieurs appareils. Le MVK Fusion CIP Safety de Murrelektronik en est l’exemple le plus net : un seul module IP67 réunit entrées et sorties sûres, signaux standard et IO-Link. Certifié catégorie 4 / PL e selon l’EN ISO 13849-1 et SIL 3 selon la CEI 61508, avec un port IO-Link classe A et un port classe B à sortie sûre permettant d’atteindre PL d sur un îlot de distribution. Le constructeur annonce que le nombre de modules de bus par sous-ensemble peut, au mieux, tomber à un seul. Le numéro de réseau de sécurité se transfère depuis l’outil d’ingénierie de l’automate, sans logiciel propriétaire ni recopie manuelle.
Sur IO-Link Safety, Pepperl+Fuchs, Phoenix Contact et ifm communiquent sur la technologie et référencent des maîtres et des appareils sûrs. Nous n’avons pas cherché à établir un état exhaustif du marché : l’offre bouge vite, et le bon réflexe reste de vérifier la disponibilité et les certifications au moment du projet, pas sur une page de blog.
Ce que cela apporte
- Un seul câblage. Sécurité et signaux ordinaires empruntent le même chemin. Paires dédiées et relais de sécurité disparaissent de l’armoire.
- Moins d’appareils. La fusion sécurité + standard + IO-Link réduit le nombre de modules à poser, alimenter et raccorder.
- Une chaîne continue. CIP Safety sur le réseau, IO-Link Safety sur le dernier mètre : la sécurité ne s’arrête plus au module déporté, elle va jusqu’au capteur.
- Une architecture routable. La vérification de bout en bout permet de traverser une infrastructure réseau standard.
- Des modifications rapides. Ajouter un organe de sécurité devient un branchement sur un port libre.
- Un diagnostic remonté. L’état de chaque appareil sûr est lisible depuis l’automate, sans mesure sur bornier.
Deux réserves, qu’il faut poser franchement : le protocole réseau découle de l’automate — on ne met pas du CIP Safety sur une machine pilotée en PROFINET — et aucune technologie ne dispense de l’analyse de risques, qui reste le travail qui engage.
BrEfLink est une marque de R-TECH SYSTEMES. Nous n’avons aucun lien commercial avec les fabricants cités. Les mécanismes de CIP Safety sont ceux décrits par l’ODVA, ceux d’IO-Link Safety par la communauté IO-Link ; les niveaux de performance et certifications sont ceux annoncés par les constructeurs.