GE Fanuc: la difficile économie de la préservation de la vérité des systèmes de contrôle hérités

Résumé

• GE Fanuc Automation est mieux évaluée à travers la tâche acceptée de la migration des contrôles hérités: inventorier l'état réel de l'usine, préserver la logique ladder et le comportement des opérateurs, résoudre les questions de firmware et de propriété du support, puis décider si une réutilisation étagée l'emporte sur un arrêt complet pour remplacement.
• Les archives publiques attestent d'une filiation depuis la coentreprise GE-FANUC de 1986, en passant par sa dissolution en 2009, GE Intelligent Platforms, puis l'acquisition ultérieure d'Intelligent Platforms par Emerson, tandis que FANUC a conservé son propre canal de support CNC. Cette filiation aide les clients à trouver du support, mais elle crée également des limites de responsabilité qui doivent être gérées explicitement.
• La documentation d'Emerson sur les PACSystems RX3i montre des chemins de migration qui peuvent réutiliser certains modules Series 90-30 et réduire le recâblage dans certains cas, mais les mêmes notes techniques décrivent également des différences de comportement, des instructions non supportées, des exigences de firmware et des besoins de renforcement de la sécurité qui font de la migration un projet de validation plutôt qu'un simple échange catalogue.
• La réutilisation peut être avantageuse commercialement lorsque l'on prend en compte les temps d'arrêt, le recâblage des armoires, la stratégie de pièces de rechange, la continuité opérateur et la recertification de sécurité. Elle perd lorsque la documentation est manquante, que les lacunes de firmware sont importantes, que les dépendances aux anciens IHM ou CNC ne peuvent être supportées, ou que l'usine a besoin d'une architecture moderne plus que de continuité.

La tâche n'est pas de se souvenir d'une marque

Le fait le plus important concernant GE Fanuc Automation Corporation n'est pas qu'il s'agissait autrefois d'un nom familier sur les racks d'automates, les commandes CNC et les logiciels d'usine. C'est que de nombreux actifs industriels vivent bien plus longtemps que les entreprises et les étiquettes de produits qui les ont initialement fournis. Une ligne d'embouteillage, une machine d'emballage, un skid de traitement des eaux, un four de traitement thermique, un centre d'usinage ou un banc d'essai peuvent rester économiquement utiles pendant vingt ou trente ans.

Son contrôleur peut être plus ancien que les personnes désormais chargées de le maintenir. L'usine sait peut-être encore comment le faire fonctionner parce que les électriciens, ingénieurs de contrôle et opérateurs locaux ont construit une culture de travail autour de ce panneau. Dans ce contexte, la marque sur le devant du module est secondaire. Ce qui importe, c'est de savoir si la vérité opérationnelle réelle du système de contrôle peut être préservée.

La vérité d'un système de contrôle est une chose pratique. C'est la relation entre les entrées, les sorties, les échelons de logique ladder, le temps de scrutation, l'état des modules, les écrans d'alarme, les habitudes de consigne, les paramètres de variateur, les étiquettes de câblage, les contournements non documentés, les recettes locales, et le sentiment de l'opérateur lorsqu'une machine ne sonne pas juste. Elle inclut le programme officiel mais s'y limite rarement. Une migration qui copie des fichiers sans comprendre le câblage de terrain peut échouer.

Un remplacement qui améliore la vitesse de traitement mais modifie les hypothèses d'exécution d'un échelon peut échouer. Un plan de support qui trouve des CPU de rechange mais ne peut pas récupérer un ancien projet IHM peut échouer. Une mise à jour de sécurité qui arrête la production parce que personne n'a testé le chemin du firmware peut échouer. Pour les actifs de l'ère GE Fanuc, la tâche de production acceptée n'est donc pas de célébrer une coentreprise défunte. Elle consiste à faire passer un système de contrôle industriel hérité à un état maintenu ou migré accepté.

La filiation publique des entreprises fixe le cadre. GE et FANUC ont annoncé en août 2009 qu'ils dissoudraient la coentreprise GE Fanuc Automation Corporation, FANUC renforçant son portefeuille CNC et GE poursuivant ses investissements dans l'automatisation industrielle, le contrôle de processus, les logiciels et l'informatique embarquée. L'annonce de la finalisation plus tard dans l'année indiquait que les sociétés opéreraient indépendamment sous les noms de GE Intelligent Platforms et FANUC LTD.

L'histoire propre de FANUC rapporte que la coentreprise avec General Electric a été résolue en 2009 et que les opérations FA de la coentreprise dans les Amériques ont été transférées à FANUC America. Emerson a ensuite annoncé en 2019, via un communiqué Business Wire repris publiquement, qu'elle avait finalisé l'achat d'Intelligent Platforms auprès de GE; Emerson a déclaré que l'acquisition ajoutait des technologies d'automates programmables pour le contrôle de machines et les applications discrètes.

Cette chaîne est importante car un client cherchant à préserver une cellule de l'ère GE Fanuc a souvent affaire à un actif dont l'identité s'est répartie entre plusieurs histoires d'entreprises: GE Fanuc comme fournisseur d'origine, GE Intelligent Platforms comme successeur après la scission pour de nombreuses lignes d'automatisation, Emerson comme dépositaire actuel des actifs PACSystems, et FANUC pour le service et les pièces CNC dans son propre domaine de produits.

La question de la migration est autant commerciale que technique. Une usine ne remplace pas un contrôleur parce qu'un numéro de modèle est ancien. Elle remplace ou modernise lorsque le risque de conserver le contrôleur dépasse le risque, le coût et les temps d'arrêt liés à son changement. Les systèmes de l'ère GE Fanuc sont embarrassants car ils fonctionnent souvent. Si un rack Series 90-30 a fait tourner la même cellule pendant des années, l'option la moins chère visible peut être de le laisser en place et d'acheter des pièces de rechange d'occasion.

Si la machine fabrique un produit critique, cependant, le coût caché est l'incertitude croissante autour d'une panne future. L'équipe peut-elle encore se connecter en ligne au contrôleur? Le programme actuel est-il sauvegardé? L'état des batteries et de la mémoire est-il compris? Des modules de remplacement sont-ils disponibles via un canal responsable? Le logiciel IHM fonctionne-t-il sur un système d'exploitation supporté? L'exposition réseau est-elle connue? Y a-t-il un sous-traitant retraité qui comprend la seule copie de la logique? Ces questions font du vieux contrôleur à la fois un actif commercial et un passif commercial.

La valeur réelle de GE Fanuc se révèle donc lorsque le client doit choisir entre continuité et renouvellement. Sa base installée a gagné la confiance parce qu'elle effectuait un travail industriel routinier: lire les entrées, commander les sorties, coordonner les états des machines, présenter les alarmes, contrôler le mouvement, collecter des données et permettre au personnel de maintenance de maintenir la production en marche. Sa faiblesse est que cette même routine accumulée devient fragile lorsque la propriété, le firmware, les outils logiciels et les connaissances de la main-d'œuvre évoluent.

La bonne migration ne commence pas par un catalogue de remplacement préféré. Elle commence par un inventaire de ce dont l'usine dépend déjà.

Ce que l'usine migre réellement

Une migration de contrôle hérité n'est pas une tâche unique. C'est une séquence de tâches de production répétées, chacune pouvant révéler si l'ancien parc de l'ère GE Fanuc est en ordre ou simplement chanceux. La première tâche est la découverte. Un ingénieur de contrôle doit parcourir le panneau, identifier les CPU, les racks, les alimentations, les modules d'E/S, les cartes réseau, les modules de communication, les terminaux IHM, les commandes CNC, les variateurs, les déports d'E/S et tout câblage non standard. La liste des pièces doit ensuite être rapprochée du programme réel et de la machine réelle.

Un schéma d'armoire peut montrer un module alors que le rack en contient un autre. Un emplacement libre peut ne pas être vraiment libre. Un cavalier peut incarner un changement passé qui n'a jamais atteint le jeu de plans. Le dossier d'exploitation de l'usine commence ici, pas dans une brochure de fournisseur.

La deuxième tâche est la récupération du programme. Pour un automate, cela signifie localiser le fichier de projet actuel, confirmer qu'il correspond au contrôleur en fonctionnement, préserver les commentaires s'ils existent, extraire la configuration matérielle et déterminer si le programme a été créé dans un outil plus ancien comme Logicmaster ou dans un environnement plus récent Machine Edition. Les anciens manuels GE Fanuc sont utiles car ils montrent jusqu'où la famille de produits s'étendait.

Le manuel d'installation et de matériel Series 90-30 décrit un système d'automate modulaire composé de CPU, platines de fond de rack, alimentations, E/S et options de communication. Le manuel de programmation Logicmaster 90 montre l'ancien environnement logiciel et les hypothèses d'un flux de travail de l'ère DOS. Ces documents ne prouvent pas qu'une usine particulière peut migrer facilement. Ils rappellent que le contrôleur est un système composé de matériel, de logiciel et de pratiques. Si une usine a le programme binaire mais pas les commentaires, une migration peut préserver le comportement tout en perdant la maintenabilité.

Si elle a les commentaires mais pas la version exacte en cours d'exécution, elle peut préserver la compréhension tout en risquant une inadéquation lors de la mise en service.

La troisième tâche est la préservation des E/S. C'est là que l'économie de la migration devient concrète. Remplacer un CPU peut sembler bon marché jusqu'à ce que l'armoire soit ouverte et que des centaines ou des milliers de câbles de terrain deviennent le véritable projet. La fiche technique actuelle des E/S PACSystems RX3i d'Emerson indique que le RX3i peut réutiliser des modules Series 90-30 sur des fonds de panier RX3i, afin que les utilisateurs puissent mettre à niveau un système d'E/S sans perturber les câbles ni acheter de nouvelles E/S.

Le même document indique que le RX3i peut prendre en charge de très petits systèmes ainsi que des systèmes jusqu'à 32 000 points d'E/S, et il présente la plateforme comme un chemin de migration depuis les Series 90-30, Series 90-70 et RX7i. C'est un argument de migration précieux, mais il a une limite: il ne s'applique que lorsque les modules existants, le câblage, les choix de fond de panier, les niveaux de firmware et les exigences de l'application correspondent au chemin supporté. Une usine ne peut pas traiter cette affirmation comme une garantie universelle.

La quatrième tâche est la validation du comportement. Les informations produit du CPU RX3i d'Emerson ne se contentent pas de vanter la compatibilité. Elles listent également des différences et des notes opérationnelles qui comptent dans une migration. Elles indiquent que les modules de comptage rapide Series 90-30 peuvent prendre jusqu'à 20 secondes après le premier cycle automate avant que des données d'E/S significatives soient disponibles.

Elles notent que l'exécution logique du RX3i est en rangée-majoritaire, similaire à la Series 90-30, mais différente de l'exécution en colonne-majoritaire de la Series 90-70, de sorte que certains échelons complexes peuvent s'exécuter différemment lors du passage de la Series 90-70. Elles notent des différences d'algorithmes PID, des demandes de service qui diffèrent ou ne sont plus supportées, l'indisponibilité du support IL et SFC, une instruction d'E/S DO convertie et la traduction des instructions de saut et d'étiquette non imbriquées.

Ce sont précisément les détails qui déterminent si une migration est un projet d'ingénierie ou une panne. Le client n'achète pas un contrôleur abstrait. Le client essaie de maintenir intactes les transitions d'état, la temporisation, les verrouillages et les attentes des opérateurs d'une machine.

La cinquième tâche est la continuité de l'IHM et de la supervision. Les actifs de contrôle de l'ère GE Fanuc incluent souvent des couches IHM ou SCADA liées à d'anciens tags, d'anciens systèmes d'exploitation, d'anciennes conventions d'alarme et d'anciennes hypothèses de sécurité. L'IHM est peut-être la partie que les opérateurs connaissent le mieux. C'est aussi peut-être la partie la moins documentée. Une migration d'automate qui rend l'écran opérateur incohérent peut augmenter le coût de supervision même si le nouveau contrôleur fonctionne.

Les opérateurs peuvent avoir besoin de réapprendre les noms d'alarme, les séquences d'acquittement, la saisie de recettes et les écrans de mode manuel. Les équipes de maintenance peuvent avoir besoin de réapprendre comment forcer des E/S, examiner les défauts et diagnostiquer les communications. Si une ligne migrée nécessite plus de supervision humaine par quart que l'ancienne ligne, l'économie nominale de matériel a été en partie consommée par la main-d'œuvre.

La sixième tâche est la stratégie de pièces de rechange. Une usine peut continuer à faire fonctionner du matériel de l'ère GE Fanuc si elle dispose d'un plan crédible de pièces de rechange et de réparation. Ce plan doit distinguer les pièces de rechange en stock, sous garantie et supportées par le fournisseur, des pièces d'occasion achetées sous la pression d'une urgence.

Les pages de support publiques de FANUC montrent comment cela peut fonctionner du côté CNC: FANUC America décrit le support technique, les pièces, le service sur site et les opérations de réparation; sa page de réparation de pièces CNC indique qu'elle répare les moteurs, variateurs, cartes, commandes et accessoires dans des installations agréées dans les Amériques et offre un support à vie pour les produits FANUC tant qu'ils sont utilisés. Cela ne se transfère pas automatiquement à chaque automate ou IHM GE Fanuc, et cela ne fait pas de GE Fanuc Automation un fournisseur actuel. Cela montre pourquoi la limite de produit est importante.

Une machine CNC avec une commande FANUC peut avoir un canal de support, tandis qu'une armoire d'automate portant la lignée GE Fanuc ou GE Intelligent Platforms peut en avoir un autre.

La filiation de propriété est une variable de maintenance

Les clients industriels disent souvent qu'ils n'aiment pas la dépendance envers un fournisseur, mais les systèmes de contrôle à longue durée de vie créent une dépendance plus subtile: la dépendance de filiation. Le nom du fournisseur d'origine peut disparaître, mais l'usine reste dépendante de celui qui hérite de suffisamment de documentation, de pièces, de connaissances techniques et de compatibilité logicielle pour maintenir l'actif en vie. L'histoire de GE Fanuc en est un exemple clair. La coentreprise avait du sens lorsque GE et FANUC voulaient coopérer autour des activités d'automates et de CNC.

En 2009, ils voulaient des avenirs différents. L'intérêt de FANUC penchait vers la CNC et l'automatisation d'usine. GE voulait continuer à investir dans les logiciels d'automatisation, le contrôle de processus et l'informatique embarquée. Emerson a ensuite voulu Intelligent Platforms parce que les automates, les PC industriels, les E/S et le matériel et logiciels associés comblaient une lacune dans sa couche de contrôle pour son portefeuille d'automatisation de processus, hybride et discrète.

Pour un responsable de maintenance, rien de tout cela n'est de l'histoire d'entreprise abstraite. Cela détermine qui appeler, à quelle documentation se fier, quel chemin logiciel est encore supporté et où obtenir un devis. Une étiquette GE Fanuc sur un module peut renvoyer à une ancienne coentreprise. Une conversation sur la migration PACSystems peut renvoyer à Emerson. Un problème de support CNC peut renvoyer à FANUC. Un problème d'IHM ou d'historien Proficy peut renvoyer à la lignée de produits GE Digital ou GE Vernova plutôt qu'au portefeuille d'automatisation discrète d'Emerson.

Traiter tous ces noms comme une seule entreprise continue créerait une fausse certitude. Les traiter comme totalement indépendants créerait une confusion inutile. La bonne posture est une gestion explicite des limites.

La gestion des limites commence par la nomenclature. Une usine doit identifier si chaque actif est un automate, un PAC, un déport d'E/S, une CNC, une IHM, un nœud SCADA, un historien, un PC industriel, un panneau opérateur, un module de mouvement ou un équipement réseau. Elle doit enregistrer la famille de produits, la version du firmware, l'outil logiciel, l'état de la sauvegarde et le propriétaire actuel du support. Le même panneau peut contenir un automate GE Fanuc, une CNC FANUC, un variateur tiers et un commutateur Ethernet moderne. Le plan de migration ne doit pas les réduire à une seule histoire de fournisseur.

Il doit attribuer à chaque composant un canal de support et un niveau de risque.

La conséquence commerciale est que la réutilisation peut être plus facile à justifier lorsque la filiation est claire. Les documents d'acquisition d'Emerson décrivaient Intelligent Platforms comme apportant un portefeuille de contrôle de machines comprenant des contrôleurs et E/S PACSystems, des contrôleurs et E/S RSTi, des PC industriels, VersaMax, la collecte de données de terrain et des interfaces opérateur.

Le communiqué public de finalisation indiquait que l'achat élargirait les capacités d'Emerson dans le contrôle de machines et les applications discrètes et qu'Intelligent Platforms comptait environ 650 employés et un chiffre d'affaires 2017 de 210 millions de dollars. Ces détails ne prouvent pas que chaque installation héritée bénéficie d'une couverture de support, mais ils montrent une logique commerciale continue autour de la couche de contrôle.

Un client disposant de matériel compatible PACSystems a un profil de risque différent d'un client dont le système dépend d'un ancien outil non supporté, d'une carte de mouvement rare, ou d'une modification unique d'un constructeur de machines.

La filiation peut également augmenter le coût de supervision pendant la transition. Si l'équipe locale ne sait pas quel fournisseur actuel est responsable de quel problème, chaque panne devient un exercice de coordination. Un arrêt machine peut nécessiter des appels à un intégrateur, au support Emerson, au support FANUC, à un revendeur de pièces d'occasion et à une équipe de sécurité informatique interne. Chaque transfert coûte du temps. Chaque transfert risque également un mauvais diagnostic. Un problème de firmware peut ressembler à un problème de câblage. Une inadéquation de tag IHM peut ressembler à une faute de logique automate.

Une modification de renforcement réseau peut ressembler à une défaillance du contrôleur. Plus la filiation de support est fragmentée, plus les registres d'actifs internes de l'usine doivent être rigoureux.

C'est pourquoi l'état accepté après migration est plus que « nouveau contrôleur installé ». Un état accepté signifie que la propriété, les sauvegardes, le firmware, les pièces de rechange, la validation de sécurité, la formation et les chemins d'escalade sont documentés. Cela signifie que le superviseur de production sait ce qui a changé. Cela signifie que la maintenance peut récupérer le programme. Cela signifie que les opérateurs peuvent exécuter les modes standard, manuel, de récupération de défaut et de nettoyage sans se fier uniquement à la mémoire.

Cela signifie que les achats savent si les pièces de rechange sont neuves, reconditionnées, autorisées, compatibles ou temporaires. Sans ces conditions, l'usine a peut-être réalisé un retrofit mais pas une migration.

L'attrait et les limites de la réutilisation étagée

La réutilisation étagée est l'argument le plus fort pour préserver les actifs de l'ère GE Fanuc lorsque la machine physique a encore une vie productive. Elle dit que l'usine ne doit pas remplacer un bon câblage de terrain, des E/S fonctionnelles et des procédures d'exploitation éprouvées simplement pour satisfaire un slogan de modernisation. Au lieu de cela, elle doit d'abord changer l'élément le plus risqué, valider le comportement et laisser les éléments moins risqués en place jusqu'à ce qu'ils deviennent la prochaine contrainte. Cela peut signifier remplacer un CPU tout en réutilisant des modules d'E/S sélectionnés.

Cela peut signifier faire passer une installation Series 90-70 vers le RX3i via un rack de conversion. Cela peut signifier préserver une IHM stable pendant la première panne et moderniser l'IHM plus tard. Cela peut signifier garder une machine CNC fonctionnelle sous support FANUC tout en changeant l'automate de la cellule environnante. Le thème commun est le séquencement des risques.

Les documents publics de migration d'Emerson soutiennent le concept. La fiche technique des E/S RX3i décrit la réutilisation des modules Series 90-30 sur des fonds de panier RX3i et présente la mise à niveau comme un moyen d'éviter de perturber les câbles ou d'acheter de nouvelles E/S. La page vidéo de migration d'Emerson décrit le problème historique des migrations nécessitant une toute nouvelle installation et un nouveau câblage, avec des usines parfois arrêtées pendant des jours ou des semaines, et positionne le RX3i comme une voie plus simple.

Le document sur le rack de conversion, axé sur les mises à niveau Series 90-70, indique que le rack peut réduire le risque de conversion, améliorer la connectivité, limiter l'impact sur le calendrier de production, réduire le recâblage de terrain et les modifications des panneaux de contrôle, et permettre un remplacement étagé par sections. Il précise même que les coûts de main-d'œuvre de mise à niveau peuvent être réduits de 50 % ou plus dans le contexte pertinent du rack de conversion.

Ce sont des affirmations significatives car la main-d'œuvre et les temps d'arrêt sont souvent plus importants que le matériel du contrôleur. Un CPU d'automate peut être un poste budgétaire gérable. Recâbler une armoire, vérifier chaque terminaison, revalider chaque point d'E/S, redessiner la documentation, retester les fonctions de sécurité, reformer les opérateurs et attendre une fenêtre de production peuvent dominer le projet. Si la réutilisation étagée réduit les modifications de câblage et préserve la continuité opérateur, elle peut abaisser à la fois le coût direct et le risque de calendrier.

C'est l'argument économique pour ne pas tout arracher.

Mais la réutilisation étagée n'est pas automatiquement la meilleure réponse. Elle peut aussi préserver une fragilité cachée. Réutiliser d'anciens modules d'E/S peut éviter le travail de câblage mais conserver une électronique vieillissante. Garder une ancienne IHM peut réduire la formation mais préserver un système d'exploitation non supporté. Conserver un ancien réseau peut maintenir la stabilité des communications mais bloquer le renforcement de la cybersécurité. Traduire une ancienne logique peut préserver le comportement mais rendre le nouveau système plus difficile à comprendre qu'une réécriture propre.

La méthode ne fonctionne que lorsque l'équipe sait quels risques elle choisit de reporter.

La décision doit être prise au niveau de la cellule de production. Une machine qui exécute une tâche auxiliaire non critique avec de nombreuses fenêtres d'arrêt peut justifier une migration partielle à faible coût et un kit de rechange modeste. Une ligne qui contraint toute une usine peut justifier un remplacement plus complet, une étape de simulation, du matériel de test en parallèle et un dossier de validation formel. Un processus réglementé peut nécessiter un contrôle des modifications documenté même pour un échange de contrôleur apparemment mineur.

Une machine avec des plans médiocres et un module de mouvement non supporté peut être plus sûre à reconcevoir qu'à préserver. La même base installée de l'ère GE Fanuc peut donc produire des réponses différentes selon les usines.

La question commerciale ne peut être répondue qu'après que l'usine a comptabilisé les coûts réels. La réutilisation et la migration étagée l'emportent sur le remplacement complet lorsqu'elles réduisent les temps d'arrêt, préservent le câblage validé, maintiennent la continuité opérateur et gardent le risque de support dans un plan documenté.

Le remplacement complet l'emporte lorsque l'ancienne architecture elle-même est le goulot d'étranglement, lorsque les composants non supportés dominent le risque, lorsque la recertification de sécurité est inévitable de toute façon, ou lorsque l'usine a besoin de capacités de données, de sécurité, de réseau et de maintenabilité que l'ancien système ne peut fournir sans couches maladroites. Le projet le moins cher est celui qui laisse l'usine avec une machine supportable, pas nécessairement celui qui achète le moins de pièces.

Les modes de défaillance qui décident du résultat

Le premier mode de défaillance est le contrôleur obsolète. L'obsolescence n'est pas seulement une étiquette d'âge. Elle signifie que l'usine ne peut plus compter sur un support normal, la disponibilité du firmware, des outils de programmation compatibles ou de nouvelles pièces de rechange. Un contrôleur peut rester fiable pendant des années tout en étant un risque commercial car la prochaine panne n'a pas de chemin de récupération prévisible. Si le seul CPU de rechange provient d'un marché de surplus et que personne ne l'a testé avec le programme en cours, l'usine n'a pas de pièce de rechange. Elle a un espoir.

Pour les systèmes de l'ère GE Fanuc, le contrôle pratique consiste à tester les pièces de rechange dans des conditions contrôlées, à enregistrer les révisions de firmware et de matériel, et à confirmer que l'environnement de programmation peut se connecter avant une panne.

Le deuxième mode de défaillance est la lacune de firmware. L'entrée NVD pour CVE-2019-13524 décrit un problème de GE PACSystems RX3i dans lequel certaines versions antérieures aux versions spécifiées pouvaient être mises en mode arrêt par des paquets spécialement manipulés, créant une condition de déni de service nécessitant une récupération manuelle en redémarrant le module CPU après avoir retiré la batterie ou le pack d'énergie. Le fait n'est pas que chaque système hérité soit exposé à cette vulnérabilité exacte. Le fait est que l'état du firmware fait partie du risque de production.

Une usine qui ne connaît pas les versions de firmware ne peut pas savoir si un avis de sécurité, une note produit ou une exigence de compatibilité s'applique. Une usine qui met à jour le firmware sans validation peut créer un risque de production différent. La migration doit donc inclure un inventaire du firmware, pas seulement un remplacement matériel.

Le troisième mode de défaillance est l'indisponibilité des pièces de rechange. Le matériel de l'ère GE Fanuc peut être disponible via des distributeurs, des ateliers de réparation ou des canaux de surplus, mais la disponibilité n'est pas la même chose que l'assurance de support. Une pièce de rechange avec le bon numéro de pièce peut avoir une révision différente. Une carte réparée peut nécessiter un rodage. Un module d'occasion peut arriver sans traçabilité. Un composant reconditionné peut être acceptable pour une machine non critique et inacceptable pour un processus critique.

Les pages de réparation CNC de FANUC montrent la valeur d'un chemin de réparation agréé avec des tests, un contrôle de série et des procédures d'usine. Là où ce type de chemin est absent, l'usine doit chiffrer explicitement l'incertitude.

Le quatrième mode de défaillance est une couche IHM ou SCADA non supportée. Les opérateurs n'interagissent pas directement avec la logique ladder; ils interagissent avec des écrans, des alarmes, des recettes et des procédures. Une usine de l'ère GE Fanuc peut avoir Proficy, CIMPLICITY, QuickPanel ou une autre couche IHM liée à d'anciens tags et à une ancienne sécurité. La CISA a publié des avis au fil des ans pour les produits GE Intelligent Platforms ou GE Digital CIMPLICITY, y compris des avis qui décrivent des risques de privilège, d'identifiant, d'exécution de code ou de configuration dans les versions affectées.

Encore une fois, la leçon n'est pas de généraliser un avis à toutes les installations. La leçon est que le logiciel de supervision a son propre cycle de vie. Une migration d'automate qui laisse une IHM non corrigée ou non supportée intacte peut résoudre un risque tout en en préservant un autre.

Le cinquième mode de défaillance est la logique ladder non documentée. Le programme en cours peut inclure des modifications apportées pendant les quarts de nuit, des neutralisations temporaires devenues permanentes, ou des ajustements de temporisation qui n'ont jamais été consignés dans un journal de modifications. Lorsque les commentaires sont manquants, l'équipe de migration doit déduire l'intention à partir des échelons, des noms d'E/S, du câblage du panneau et du comportement des opérateurs. Cela augmente le coût d'ingénierie et le risque qu'un programme apparemment équivalent se comporte différemment en cas de défaut.

Le coût n'est pas seulement le temps d'analyse. C'est la nécessité d'une mise en service plus supervisée, de plus d'essais de production et de plus de planification d'urgence.

Le sixième mode de défaillance est la panne de migration. Même un remplacement de contrôleur bien dimensionné peut échouer si l'usine sous-estime le travail physique. Les borniers peuvent ne pas convenir. L'espace dans l'armoire peut être plus restreint que ne le suggèrent les plans. La mise à la terre peut être mauvaise. Les câbles réseau peuvent ne pas être étiquetés. Un périphérique série peut dépendre d'un réglage que personne n'a enregistré. Une ligne peut devoir être redémarrée dans un état de matière particulier.

Les affirmations de réutilisation du rack de conversion et du RX3i d'Emerson sont précieuses lorsqu'elles réduisent le recâblage, mais elles n'éliminent pas le risque de mise en service. Le plan de panne doit inclure une procédure de retour en arrière, des pièces de test, une couverture opérateur et une règle de décision pour savoir quand s'arrêter.

Le septième mode de défaillance est la perte de propriété du fournisseur. C'est spécifique à l'histoire de GE Fanuc. Un client peut supposer que « GE Fanuc » signifie un seul canal de support, alors qu'en réalité, le problème pertinent peut relever d'Emerson, de FANUC, de GE Vernova, d'un constructeur de machines, d'un intégrateur système ou d'un atelier de réparation indépendant. La façon d'éviter cela est d'attribuer la propriété du support avant la panne. Chaque actif critique doit avoir un propriétaire d'escalade, et pas seulement un nom de fabricant.

Le huitième mode de défaillance est la charge de recertification de sécurité. De nombreux systèmes de contrôle se trouvent à proximité de protecteurs, d'arrêts d'urgence, de verrouillages, de gestion de brûleurs, de systèmes hydrauliques ou d'autres fonctions relatives à la sécurité. Une migration d'automate peut déclencher un examen de sécurité même si l'ancien système était accepté depuis des années. Si le système hérité utilisait une logique automate standard pour des fonctions qui seraient désormais gérées par un contrôleur de sécurité, la décision de modernisation devient plus importante.

La réutilisation peut encore être valable, mais seulement si l'usine distingue le contrôle de production de la validation de sécurité.

Le neuvième mode de défaillance est la reformation des opérateurs. Une migration techniquement réussie peut encore réduire la production si les opérateurs se méfient des nouveaux écrans ou des séquences de récupération de défaut. Cela est particulièrement vrai lorsque les anciennes machines reposent sur des connaissances tacites. Un chef de ligne peut savoir qu'une alarme suit une autre lors d'un redémarrage normal. Un nouvel IHM qui affiche les mêmes faits différemment peut ralentir la récupération. La continuité opérateur est donc un atout économique.

Préservez-la là où elle est bonne, mais ne préservez pas les écrans confus simplement parce qu'ils sont familiers.

Économie unitaire: là où l'argent se déplace vraiment

L'économie unitaire d'une migration de l'ère GE Fanuc est généralement dominée par les temps d'arrêt, la main-d'œuvre et le risque, et non par le prix nominal d'un contrôleur. Une pile de coûts simplifiée comporte six couches. La première est le matériel: CPU, racks, alimentations, modules d'E/S, adaptateurs réseau, borniers, panneaux IHM et kits de rechange. La deuxième est l'ingénierie: découverte, extraction de la logique, conversion, documentation, plans de test et examen de sécurité. La troisième est la main-d'œuvre d'intégration: travail sur panneau, câblage, modifications réseau, mappage IHM et vérifications des dispositifs de terrain.

La quatrième est la validation: essais à blanc, vérification des E/S, tests de séquence, tests d'alarme et essais de production. La cinquième est la formation: opérateurs, personnel de maintenance et superviseurs. La sixième est les temps d'arrêt et la perte de production.

La réutilisation étagée attaque le plus directement les couches trois et six. Si les E/S existantes peuvent être réutilisées et que le câblage de terrain reste intact, le projet peut éviter une grande partie du travail d'armoire et réduire les erreurs de mise en service. Si les opérateurs voient un comportement familier, le temps de formation diminue. Si le changement peut être étagé sur des arrêts plus courts, la perte de production diminue. Ce sont les conditions dans lesquelles la réutilisation l'emporte sur le remplacement.

Le remplacement complet attaque un problème différent. Il peut coûter plus cher au départ, mais il peut simplifier l'architecture future. Une nouvelle plateforme propre peut réduire le nombre d'outils hérités, diminuer la dépendance à des pièces de rechange rares, améliorer la posture de sécurité, standardiser les pratiques de programmation et faciliter l'accès aux données. Si l'usine prévoit un programme plus large de fabrication numérique, une migration en patchwork peut devenir une impasse.

La présentation générale des PACSystems d'Emerson met l'accent sur les données de périphérie, le contrôle déterministe et la séparation du contrôle automate/PAC des analyses ou du traitement cloud. Ce sont des capacités modernes, mais elles ne produisent de la valeur que si l'usine a une utilisation pour les données et une main-d'œuvre capable de maintenir l'architecture.

Le cas délicat est le milieu. Une usine peut dépenser assez pour une migration partielle afin d'éviter une crise, mais pas assez pour résoudre le risque de support. Elle peut conserver d'anciennes E/S, une ancienne IHM, d'anciens variateurs et une ancienne documentation tout en remplaçant le CPU. Cela peut être rationnel si la machine a une durée de vie restante courte ou si la première étape fait partie d'une feuille de route financée. C'est faible si l'usine déclare succès et s'arrête. Le risque reporté doit être visible sur le plan de maintenance, pas caché dans une diapositive de victoire.

Le jugement commercial dépend aussi du volume et de la marge. Une ligne à forte marge avec des engagements de livraison stricts peut justifier plus de discipline de migration car un seul arrêt est coûteux. Une machine à faible marge avec beaucoup de redondance peut justifier une stratégie de pièces de rechange d'occasion pendant un certain temps. Un constructeur de machines supportant de nombreuses unités installées peut valoriser un kit de migration standardisé car le premier effort d'ingénierie peut être réutilisé. Une usine unique avec une cellule inhabituelle peut constater que l'ingénierie sur mesure annule les économies de matériel.

La main-d'œuvre de support locale est la dernière variable économique. Les compétences de l'ère GE Fanuc sont inégalement réparties. Certaines régions ont encore des intégrateurs et du personnel de maintenance qui connaissent les Series 90, PACSystems, Proficy et les commandes FANUC. D'autres dépendent d'un petit nombre de spécialistes. Si le marché du travail local ne peut pas supporter l'ancienne plateforme, l'actif est plus risqué que ne le suggère son historique de pannes.

Inversement, si une usine possède de solides connaissances internes en GE Fanuc et PACSystems, une migration étagée peut être moins risquée que d'embaucher un nouvel intégrateur pour tout remplacer par une plateforme inconnue.

La sécurité n'est pas séparée de la migration

La sécurité est souvent traitée comme une surcouche informatique, mais la migration du contrôle hérité en fait une partie intégrante des opérations. Les avis publics pour PACSystems, VersaMax, les produits de marque Fanuc, CIMPLICITY et d'autres systèmes industriels montrent que les vulnérabilités peuvent affecter les postes de travail d'ingénierie, les communications des contrôleurs, les logiciels IHM et le comportement du firmware.

L'avis de juin 2024 du Centre canadien pour la cybersécurité, résumant les avis de la CISA, répertoriait Emerson PAC Machine Edition, PACSystem RXi, PACSystem RX3i, PACSystem RSTi-EP, PACSystem VersaMax et Emerson Fanuc VersaMax parmi les produits affectés pour cette période d'avis.

Un miroir public de l'avis Emerson PACSystem et Fanuc répertorie les produits affectés, notamment PAC Machine Edition, RXi, RX3i, RSTi-EP, VersaMax et Fanuc VersaMax, et renvoie aux sections du guide de déploiement sécurisé telles que la connexion sécurisée, l'authentification, la désactivation des services Ethernet et la protection du périmètre de sécurité physique.

Pour l'économie de la migration, la leçon clé est que les paramètres de sécurité peuvent modifier le modèle d'exploitation. Activer l'authentification sécurisée, désactiver des services, segmenter les réseaux, modifier le firmware ou remplacer les postes de travail d'ingénierie peuvent tous affecter la façon dont la maintenance se connecte à un contrôleur. Une usine peut découvrir que ses anciennes habitudes de dépannage reposaient sur un accès réseau large, des mots de passe partagés ou des logiciels non supportés. Corriger ces pratiques est une bonne chose, mais le faire pendant un arrêt précipité peut prolonger les temps d'arrêt.

Une migration mature sépare trois décisions: ce qui doit être corrigé avant la reconnexion, ce qui peut être atténué par l'architecture réseau, et ce qui doit attendre une mise à jour validée ultérieure.

La sécurité modifie également la valeur de la documentation. Une usine qui connaît chaque contrôleur, version de firmware et exposition réseau peut prendre des décisions proportionnées. Une usine qui ne connaît pas son inventaire de contrôle a tendance à choisir entre la correction panique et le déni. Ni l'un ni l'autre n'est bon pour la production. Les systèmes de l'ère GE Fanuc ont besoin de registres d'actifs car leur âge, leur filiation et leurs limites de support rendent les hypothèses dangereuses.

L'approche pratique n'est pas de prétendre que l'ancien égale non sécurisé ou que le nouveau égale sécurisé. Les nouveaux systèmes peuvent être mal configurés. Les anciens systèmes peuvent être isolés et bien gérés. La meilleure distinction est le risque connaissable contre le risque inconnaissable. Un contrôleur hérité avec des sauvegardes à jour, des pièces de rechange testées, un firmware documenté, une segmentation réseau et un canal de support attribué peut être acceptable. Un contrôleur moderne sans sauvegarde, sans contrôle des modifications et avec un accès d'ingénierie ouvert peut ne pas l'être.

La migration doit faire passer le système de l'inconnaissable au connaissable.

Limites de produits et substituts réalistes

Les clients de l'ère GE Fanuc ont plusieurs substituts, dont aucun n'est universel. Le premier est le maintien en place. Cela signifie garder l'ancien matériel en fonctionnement, stocker des pièces de rechange critiques, rafraîchir les sauvegardes, former le personnel local et limiter l'exposition réseau. Cela convient lorsque la machine est stable, le risque est faible, la disponibilité des pièces de rechange est acceptable et la durée de vie future est limitée. Cela ne convient pas lorsque les pannes augmentent, que la documentation est médiocre, que les connaissances de support disparaissent ou que l'exposition de sécurité est importante.

Le deuxième substitut est la migration étagée au sein de la famille successeur. Pour les actifs automate qui correspondent au chemin, cela peut signifier évoluer vers Emerson PACSystems RX3i, RSTi-EP, VersaMax ou des outils associés tout en préservant des parties de la structure d'E/S ou de logique existante. C'est le plus fort lorsque l'usine veut la continuité et dispose d'un chemin de compatibilité clair. Sa faiblesse est que la compatibilité ne supprime pas le besoin de validation. Les propres notes produit d'Emerson décrivent des différences de comportement et des considérations de firmware.

L'usine doit encore faire ses preuves sur le système migré sur sa machine.

Le troisième substitut est le remplacement complet de la plateforme par un autre fournisseur d'automatisation. Allen-Bradley/Rockwell, Siemens, Schneider Electric, Omron, Mitsubishi et d'autres fournisseurs peuvent être crédibles selon la géographie, les compétences de l'intégrateur, les normes de l'entreprise et les exigences de la machine. Le remplacement complet peut améliorer la standardisation et le support à long terme, mais il augmente généralement le coût de conversion. La logique ladder, les tags IHM, le câblage, les réseaux, les variateurs et les procédures opérateur peuvent tous nécessiter une traduction ou une reconception.

Pour une usine hautement standardisée utilisant déjà un autre fournisseur, le remplacement complet peut être rationnel. Pour une seule machine stable, cela peut être excessif.

Le quatrième substitut est le remplacement de la machine. Parfois, le système de contrôle n'est qu'un symptôme d'un actif vieillissant. Si l'usure mécanique, les protecteurs de sécurité, les limites de débit, la consommation d'énergie et les contraintes de changement de produit sont tous médiocres, remplacer uniquement le contrôleur peut préserver une machine qui devrait être mise au rebut. Cela est particulièrement pertinent lorsque la migration du contrôle nécessiterait de toute façon une refonte de la sécurité et des temps d'arrêt importants.

Le cinquième substitut est l'externalisation du support à un intégrateur spécialisé ou à un fournisseur de réparation. Cela peut être efficace lorsque l'usine manque de connaissances internes en GE Fanuc ou PACSystems, mais que la machine reste précieuse. Le risque est la dépendance envers un seul fournisseur. L'usine doit insister pour recevoir des plans à jour, des sauvegardes, des enregistrements de firmware et une formation plutôt que d'acheter une boîte noire permanente.

Le sixième substitut est le support spécifique CNC via les canaux FANUC lorsque l'actif est une CNC FANUC plutôt qu'un problème d'automate GE/Emerson. Les pages de support CNC de FANUC America décrivent l'aide technique, l'expédition de pièces d'urgence, les contrats de service, l'accès au portail pour les prix et la disponibilité, et la réparation de pièces. Ce n'est pas une raison pour traiter FANUC comme le propriétaire de chaque problème d'automatisation de marque GE Fanuc. C'est une raison de séparer les problèmes CNC des problèmes d'automate et d'IHM avant de choisir un chemin de migration.

La limite de produit n'est donc pas pointilleuse. Elle empêche les mauvaises décisions d'achat. Une entreprise peut avoir besoin d'Emerson pour une migration PACSystems, de FANUC pour les pièces CNC, d'un chemin GE Vernova ou GE Digital pour certains produits Proficy, et d'un intégrateur indépendant pour la logique du constructeur de machines qui les relie. Une usine disciplinée cartographie la limite avant la panne.

Le jugement

L'héritage installé de GE Fanuc Automation Corporation doit être jugé selon qu'il peut aider un client à préserver la vérité du système de contrôle à travers un état maintenu ou migré. À ce test, la réponse est conditionnelle mais pas dédaigneuse. La filiation n'a pas disparu dans le néant. Les archives publiques montrent une scission ordonnée en 2009, une infrastructure de support CNC FANUC continue, et l'acquisition ultérieure par Emerson du portefeuille d'automates et de contrôle de machines d'Intelligent Platforms.

Les documents PACSystems d'Emerson montrent de véritables concepts de migration autour du RX3i, de la réutilisation des E/S, des racks de conversion, des données de périphérie et du déploiement sécurisé. Les pages de support de FANUC montrent un modèle de service sérieux pour les produits CNC. Ces faits donnent un chemin à de nombreux clients.

Le chemin n'est pas une garantie. Les actifs de l'ère GE Fanuc peuvent échouer à cause de contrôleurs obsolètes, de lacunes de firmware, de pièces de rechange indisponibles, de couches IHM non supportées, de logique ladder non documentée, de pannes de migration, d'une propriété de support peu claire, de la charge de recertification de sécurité et de la reformation des opérateurs. La documentation publique qui soutient la migration contient également les avertissements qui rendent la validation nécessaire.

Les différences de comportement dans l'exécution de la logique, la gestion PID, les demandes de service, la disponibilité des modules et l'état du firmware ne sont pas des notes de bas de page. C'est le travail.

La réutilisation et la migration étagée l'emportent sur le remplacement complet lorsque l'usine dispose de bons enregistrements, d'un matériel compatible, d'une fenêtre d'arrêt contrôlée, d'un canal de support testé et d'opérateurs dont le flux de travail existant mérite d'être préservé. Le remplacement complet l'emporte sur la réutilisation lorsque l'ancienne architecture bloque la sécurité, la sûreté, les données, la supportabilité ou les besoins de production futurs. Le maintien en place n'est rationnel que lorsque l'usine peut prouver qu'elle dispose de sauvegardes, de pièces de rechange, de compétences et de contrôles d'exposition.

Le client le plus solide pour la continuité de l'ère GE Fanuc n'est pas l'usine qui aime les anciens équipements. C'est l'usine qui sait exactement ce que fait l'ancien équipement. Ce client peut utiliser délibérément les plateformes successeurs et les lignes de support, en payant pour la migration là où elle réduit le risque réel et en évitant le remplacement là où il crée un nouveau risque. Le client le plus faible est l'usine qui laisse tourner un rack familier parce qu'il n'a pas encore échoué. Pour cette usine, l'héritage GE Fanuc n'est pas un actif. C'est du travail différé.

Dans l'automatisation industrielle, la vérité d'un système se construit au fil des années de production. L'héritage de GE Fanuc n'a de valeur que si cette vérité peut être transportée vers l'avant sans prétendre que le monde des entreprises et de la technique qui l'entoure est resté immobile.