Валидиране на безпрекъснат трансфер на излишен контролер DCS и интеграция на SIS интерлок: ABB Symphony Plus AC800M и HIMA HIMatrix F30

Изисквания за излишна DCS архитектура и превключване

ABB Symphony Plus използва контролера AC800M PM866 в излишна конфигурация с CEX-Bus връзка за горещ резерв. Основният и резервният контролер синхронизират вътрешната памет на всеки 20 ms чрез CEX-Bus. При превключване резервният контролер трябва да поеме управлението без измеримо отклонение на аналоговите изходи или състоянията на цифровите команди. ABB дефинира безпроблемното превключване като отклонение на изхода по-малко от 0.1% от обхвата по време на преходния процес на превключване.

HIMA HIMatrix F30 защитните контролери работят независимо от слоя BPCS на ABB Symphony Plus. Въпреки това, и двете системи споделят твърдо свързани защитни блокировки и обменят статусни данни чрез EtherNet/IP. Интеграционната архитектура изисква превключването на контролера Symphony Plus да не предизвиква фалшива загуба на EtherNet/IP връзка, която да задейства защитна функция на HIMatrix F30. Инженерите трябва да валидират както времето за безпроблемно превключване, така и времето за възстановяване на EtherNet/IP връзката като част от протоколите за фабрично приемане и приемане на място.

Процедура за измерване на времето за безпроблемно превключване

Валидирайте представянето на безпроблемното превключване с инструментално измерване — никога не разчитайте само на наблюдение от оператор. Превключването на излишността на AC800M PM866 отнема приблизително 80–150 ms в зависимост от натоварването на контролера. По време на този период изходните модули задържат последната си стойност.

• Стъпка 1: Свържете осцилоскоп или високоскоростен регистратор на данни към 4–20 mA изхода на аналоговия изходен модул AO890. Задайте честота на пробите минимум 1 kHz. Конфигурирайте тригер на LED индикатора за грешка на CEX-Bus или на OPC таг REDUNDANCY STATUS в Symphony Plus Operations.
• Стъпка 2: В ABB Control Builder M задайте изхода на активния контролер на стабилна стойност — 12.000 mA (50% зададена стойност). Стартирайте ръчно превключване чрез панела за управление на излишността в Control Builder M. Запишете пика на отклонението на изхода AO890 и времето за възстановяване на осцилоскопа.
• Стъпка 3: Приемлив резултат: отклонение на изхода по-малко от 0.5 mA (±3% от обхвата за 0–100%), възстановяване в рамките на 200 ms. Ако изходът се отклони с повече от 1.0 mA, програмата на контролера съдържа последователност за повторно инициализиране, която нулира изходните стойности при стартиране. Идентифицирайте и премахнете всички безусловни инструкции за запис на изхода в първия цикъл на сканиране на програмата.
• Стъпка 4: Повторете теста при 80% натоварване на процесора. Високото използване на процесора при превключване увеличава времето за задържане на изхода до 200–300 ms при някои версии на фърмуера на PM866. Документирайте максималното наблюдавано отклонение при целевото натоварване на процесора и го сравнете с изискванията на процеса.

Възстановяване на EtherNet/IP връзка по време на превключване

HIMA HIMatrix F30 комуникира с ABB Symphony Plus чрез EtherNet/IP Клас 1 (имплицитно съобщение). HIMatrix F30 функционира като EtherNet/IP адаптер; EtherNet/IP скенерът на Symphony Plus Control Builder M инициира връзката. По време на превключване на контролера Symphony Plus сесията на EtherNet/IP скенера се прекъсва и възстановява на резервния контролер.

По подразбиране времето за изчакване на EtherNet/IP връзката на HIMatrix F30 е 500 ms (5× RPI при 100 ms по подразбиране). Ако превключването на Symphony Plus надвиши 500 ms, връзката на HIMatrix F30 изтича и свързаните защитни входни данни преминават в БЕЗОПАСНО състояние. Това може да задейства фалшива защитна функция на всяка SIF, която използва EtherNet/IP данни като разрешаващ вход.

Стратегия за смекчаване: увеличете времето за изчакване на EtherNet/IP връзката на HIMatrix F30 до 2000 ms в конфигурацията SILworx (Adapter → EIP Connection → Timeout Multiplier = 20× RPI). Потвърдете, че тази промяна е документирана в записа за SIL валидация — IEC 61511 Член 11.9.3 изисква всички промени в параметрите на защитния софтуер да бъдат формално оценени. Намалете използването на процесора на контролера Symphony Plus под 50% в стабилно състояние, за да завърши превключването в рамките на 300 ms, осигурявайки 6× защитна граница спрямо 2000 ms изчакване.

Твърдо свързано защитно блокиране между системите

HIMatrix F30 F-DI (Fail-safe Digital Input) модулите използват 24 VDC двуканален вход с вътрешно пулсово тестване на 1 Hz. Всеки входен канал е свързан към отделен терминал на полевото устройство. И двата канала трябва да съвпадат в рамките на 200 ms, за да се регистрира входът като TRUE.

Често срещана грешка при окабеляване: инженерите свързват и двата F-DI канала към един и същ полеви терминал вместо към отделни релета. Тази едноканална конфигурация нарушава двуканалната цялост на HIMatrix F30 и обезсилва SIL 2 претенцията. Диагностиката на HIMA SILworx отчита това като грешка CH1/CH2 само когато единичната точка на повреда се отвори. Затова проверявайте непрекъснатостта на двуканалното окабеляване с тест за издърпване на всяко ядро на кабела при пускане в експлоатация.

За цифровия входен модул DI820 на ABB Symphony Plus, който получава твърдо свързан статус на спиране от HIMatrix F30 F-DO (Fail-safe Digital Output), конфигурирайте времето на филтъра на входа DI820 на 10 ms. Това предотвратява регистрирането на вътрешния пулсов тестов сигнал на HIMatrix F30 (1 Hz, 5 ms изключен импулс) като фалшиво спиране в журнала на събитията на Symphony Plus.

Интеграция на SIL 2 доказателствен тест с режим на поддръжка на DCS

• Стъпка 1: Активирайте режим на поддръжка на Symphony Plus за засегнатите контролни вериги. Това превключва BPCS PID контролерите в Ръчен режим с задържане на последната стойност.
• Стъпка 2: Изпратете команда за тестов режим по EtherNet/IP от Symphony Plus към HIMatrix F30 (параметър SILworx: PROOF_TEST_MODE = 1).
• Стъпка 3: Изпълнете последователността на доказателствения тест според шаблона на доклада за доказателствен тест на HIMA SILworx (секция 6.3): проверете дали релето за спиране се отваря в рамките на 150 ms след симулирано изискване, проверете дали логиката за нулиране се изчиства правилно, проверете откриването на несъответствия между излишните сензори. Времето за реакция на HIMatrix F3 DIO модула трябва да бъде потвърдено спрямо изискванията за SIL 2.
• Стъпка 4: Излезте от PROOF_TEST_MODE и потвърдете, че HIMatrix F30 се връща към нормален мониторинг.
• Стъпка 5: Освободете режим на поддръжка на Symphony Plus и проверете дали PID контролерите се връщат в Автоматичен режим без отклонение на изхода. Документирайте всички измерени времена за реакция и ги сравнете с изискванията за SIL 2 (PFDavg трябва да остане в рамките на дефинираната граница на изискванията за безопасност).

Заключение и препоръки за действие

Интегрирането на излишни контролери ABB Symphony Plus AC800M с HIMA HIMatrix F30 защитни системи изисква валидиране на три нива: представяне на безпроблемното превключване, време за възстановяване на EtherNet/IP връзката и цялост на двуканалното окабеляване на защитните входове. Измервайте безпроблемното превключване с регистратор на данни с честота 1 kHz — визуалната проверка не е достатъчна. Задайте времето за изчакване на EtherNet/IP връзката на HIMatrix F30 на 2000 ms, за да преживее превключванията на контролера под натоварване. Проверявайте физически двуканалното окабеляване на F-DI — грешките в несъответствията се крият, докато не възникне едноканална повреда в експлоатация.

Координирайте процедурите за доказателствен тест с режима на поддръжка на Symphony Plus, за да поддържате непрекъснатост на управлението на процеса по време на тестване на защитните функции според IEC 61511. Документирайте всяка промяна на параметрите в записа за SIL валидация. Настройка на времето за изчакване на връзката от 2000 ms, която не е документирана и оценена, представлява пропуск в съответствието, който одиторите ще открият — и който може да обезсили претенцията за SIL 2 за цялата защитна верига.

Автор: Дзян Болун е инженер по индустриална автоматизация с над 10 години опит в PLC, DCS и системи за управление.