التحقق من نقل وحدة التحكم الاحتياطية بدون انقطاع وتكامل قفل نظام السلامة: ABB Symphony Plus AC800M وHIMA HIMatrix F30

متطلبات هندسة DCS المكررة والتحويل التلقائي

يستخدم ABB Symphony Plus وحدة تحكم AC800M PM866 في تكوين مكرر مع وصلة احتياطية ساخنة عبر CEX-Bus. تقوم وحدتا التحكم الأساسية والمكررة بمزامنة الذاكرة الداخلية كل 20 مللي ثانية عبر CEX-Bus. عند حدوث التحويل التلقائي، يجب على وحدة التحكم الاحتياطية تولي السيطرة دون حدوث تغير ملحوظ في المخرجات التناظرية أو حالات الأوامر الرقمية. تعرف ABB النقل بدون تغير (bumpless transfer) بأنه انحراف في المخرج أقل من 0.1% من النطاق خلال الانتقال المؤقت.

تعمل وحدات التحكم السلامة HIMA HIMatrix F30 بشكل مستقل عن طبقة BPCS في ABB Symphony Plus. ومع ذلك، تشترك كلا النظامين في وصلات أمان سلكية وتبادل بيانات الحالة عبر EtherNet/IP. تتطلب هندسة التكامل ألا يتسبب تحويل وحدة تحكم Symphony Plus في فقدان اتصال EtherNet/IP زائف يؤدي إلى تفعيل وظيفة أمان في HIMatrix F30. يجب على المهندسين التحقق من توقيت النقل بدون تغير ووقت استعادة اتصال EtherNet/IP كجزء من بروتوكولات اختبار القبول في المصنع والموقع.

إجراء قياس توقيت النقل بدون تغير

تحقق من أداء النقل بدون تغير باستخدام قياس مزود بأجهزة — لا تعتمد أبداً على ملاحظة المشغل. يستغرق التحويل التلقائي لوحدة التحكم AC800M PM866 حوالي 80–150 مللي ثانية حسب تحميل وحدة التحكم. خلال هذه الفترة، تحافظ وحدات المخرجات على آخر قيمة لها.

• الخطوة 1: قم بتوصيل راسم إشارة أو مسجل بيانات عالي السرعة بمخرج 4–20 مللي أمبير لوحدة المخرج التناظري AO890. اضبط معدل العينة على 1 كيلو هرتز كحد أدنى. قم بضبط الزناد على مؤشر عطل CEX-Bus LED أو علامة OPC لحالة التكرار REDUNDANCY STATUS في Symphony Plus Operations.
• الخطوة 2: في ABB Control Builder M، اضبط مخرج وحدة التحكم النشطة على قيمة مستقرة — 12.000 مللي أمبير (50% نقطة الضبط). ابدأ التحويل اليدوي باستخدام لوحة إدارة التكرار في Control Builder M. سجل ذروة انحراف مخرج AO890 ووقت الاسترداد على راسم الإشارة.
• الخطوة 3: النتيجة المقبولة: انحراف المخرج أقل من 0.5 مللي أمبير (±3% من النطاق 0–100%)، والاسترداد خلال 200 مللي ثانية. إذا تجاوز التغير 1.0 مللي أمبير، يحتوي برنامج وحدة التحكم على تسلسل إعادة تهيئة يعيد تعيين قيم المخرج عند بدء التشغيل. حدد وأزل جميع تعليمات الكتابة غير المشروطة للمخرج في دورة المسح الأولى للبرنامج.
• الخطوة 4: كرر الاختبار عند تحميل وحدة المعالجة المركزية 80%. يزيد الاستخدام العالي لوحدة المعالجة المركزية أثناء التحويل من زمن تثبيت المخرج إلى 200–300 مللي ثانية في بعض إصدارات البرنامج الثابت PM866. وثق أقصى تغير ملحوظ عند تحميل وحدة المعالجة المركزية المستهدف وقارنه بمتطلبات العملية.

استعادة اتصال EtherNet/IP أثناء التحويل

تتواصل HIMA HIMatrix F30 مع ABB Symphony Plus عبر EtherNet/IP Class 1 (الرسائل الضمنية). تعمل HIMatrix F30 كمحول EtherNet/IP؛ ويبدأ ماسح EtherNet/IP في Symphony Plus Control Builder M الاتصال. أثناء تحويل وحدة تحكم Symphony Plus، تنتهي جلسة ماسح EtherNet/IP وتُعاد إقامتها على وحدة التحكم الاحتياطية.

مهلة اتصال EtherNet/IP الافتراضية في HIMatrix F30 هي 500 مللي ثانية (5× RPI عند 100 مللي ثانية افتراضية). إذا تجاوز التحويل في Symphony Plus 500 مللي ثانية، تنتهي مهلة اتصال HIMatrix F30 وتنتقل بيانات الإدخال السلامي المرتبطة إلى حالة آمنة. قد يؤدي ذلك إلى تفعيل خاطئ لوظيفة أمان على أي SIF يستخدم بيانات EtherNet/IP كإدخال سماحي.

استراتيجية التخفيف: زيادة مهلة اتصال EtherNet/IP في HIMatrix F30 إلى 2000 مللي ثانية في تكوين SILworx (المحول → اتصال EIP → مضاعف المهلة = 20× RPI). تحقق من توثيق هذا التغيير في سجل التحقق من SIL — يتطلب البند 11.9.3 من IEC 61511 تقييمًا رسميًا لجميع التغييرات في معلمات البرمجيات المتعلقة بالسلامة. قلل استخدام وحدة المعالجة المركزية في Symphony Plus إلى أقل من 50% في الحالة المستقرة ليكتمل التحويل خلال 300 مللي ثانية، مما يوفر هامش أمان 6× مقابل مهلة 2000 مللي ثانية.

توصيل وصلات الأمان السلكية بين الأنظمة

تستخدم وحدات HIMatrix F30 F-DI (إدخال رقمي آمن) جهد 24 فولت تيار مستمر مع مدخلين مستقلين واختبار نبضي داخلي بتردد 1 هرتز. يتصل كل مدخل بجهاز ميداني منفصل. يجب أن يتطابق كلا القناتين خلال 200 مللي ثانية ليتم تسجيل الإدخال كصحيح.

خطأ شائع في التوصيل: يقوم المهندسون بتوصيل كلا قناتي F-DI بنفس طرف الجهاز الميداني بدلاً من جهات تتابع منفصلة. هذا التكوين أحادي القناة يلغي سلامة القناتين في HIMatrix F30 ويبطل ادعاء SIL 2. تشير تشخيصات HIMA SILworx إلى هذا كعطل اختلاف CH1/CH2 فقط عند حدوث فشل نقطة واحدة. لذلك، تحقق من استمرارية توصيل القناتين عبر اختبار سحب على كل نواة كابل عند التشغيل.

لوحدة الإدخال الرقمي DI820 في ABB Symphony Plus التي تستقبل حالة التوقف السلكية من HIMatrix F30 F-DO (إخراج رقمي آمن)، اضبط زمن فلترة الإدخال DI820 على 10 مللي ثانية. يمنع هذا تسجيل إشارة اختبار النبض الداخلي في HIMatrix F30 (1 هرتز، نبضة إيقاف 5 مللي ثانية) كإيقاف خاطئ في سجل أحداث Symphony Plus.

تكامل اختبار إثبات SIL 2 مع وضع صيانة DCS

• الخطوة 1: فعّل وضع الصيانة في Symphony Plus للحلقات المتأثرة. يحول هذا وحدات تحكم PID في BPCS إلى الوضع اليدوي مع تثبيت القيمة الأخيرة.
• الخطوة 2: أرسل أمر وضع الاختبار عبر EtherNet/IP من Symphony Plus إلى HIMatrix F30 (معامل SILworx: PROOF_TEST_MODE = 1).
• الخطوة 3: نفذ تسلسل اختبار الإثبات وفقًا لنموذج تقرير اختبار الإثبات في HIMA SILworx (القسم 6.3): تحقق من فتح مرحل التوقف خلال 150 مللي ثانية من الطلب المحاكى، تحقق من صحة منطق إعادة التعيين، تحقق من اكتشاف الاختلاف بين أجهزة الاستشعار المكررة. يجب تأكيد زمن استجابة وحدة HIMatrix F3 DIO مقابل مواصفات متطلبات SIL 2.
• الخطوة 4: اخرج من وضع PROOF_TEST_MODE وتأكد من عودة HIMatrix F30 إلى المراقبة العادية.
• الخطوة 5: أوقف وضع الصيانة في Symphony Plus وتحقق من انتقال وحدات تحكم PID إلى الوضع التلقائي دون تغير في المخرج. وثق جميع أزمنة الاستجابة كما هي وقارنها بمتطلبات SIL 2 (يجب أن يبقى PFDavg ضمن حدود مواصفات متطلبات السلامة المحددة).

الخلاصة ونصائح العمل

يتطلب دمج وحدات تحكم ABB Symphony Plus AC800M المكررة مع أنظمة السلامة HIMA HIMatrix F30 التحقق على ثلاثة مستويات: أداء النقل بدون تغير، توقيت استعادة اتصال EtherNet/IP، وسلامة توصيل مدخلات الأمان ذات القناتين. قِس النقل بدون تغير باستخدام مسجل بيانات 1 كيلو هرتز — الفحص البصري غير كافٍ. اضبط مهلة اتصال EtherNet/IP في HIMatrix F30 على 2000 مللي ثانية لتحمل التحويلات تحت الحمل. تحقق من توصيل القناتين F-DI فعليًا — أخطاء الاختلاف تظهر فقط عند فشل قناة واحدة أثناء الخدمة.

نسق إجراءات اختبار الإثبات مع وضع الصيانة في Symphony Plus للحفاظ على استمرارية التحكم في العملية أثناء اختبار وظائف السلامة وفق IEC 61511. وثق كل تغيير في المعلمات في سجل التحقق من SIL. إعداد مهلة اتصال 2000 مللي ثانية غير موثق وغير مقيم هو ثغرة في الامتثال سيكتشفها المراجعون — وقد يبطل ادعاء SIL 2 للحلقة السلامية بأكملها.

المؤلف: جيانغ بولون مهندس أتمتة صناعية لديه أكثر من 10 سنوات خبرة في PLC وDCS وأنظمة التحكم.