Оптимизация на превключването в горещ режим и времето за сканиране на Emerson DeltaV SIS

Защо горещият резерв е важен в SIS архитектурите

Системата за безопасност трябва да реагира в рамките на определения процесен времеви интервал за безопасност (PST). Emerson DeltaV SIS SLS 1508 логическият решаващ модул използва 1oo2D хардуерна архитектура, съчетаваща основен процесор с горещ резервен процесор. И двата процесора изпълняват идентична логика непрекъснато. Превключването става за по-малко от 100 ms, което отговаря на изискванията за наличност по IEC 61511 Клауза 11.9 за SIL 2 вериги.

Въпреки това, неправилната конфигурация води до нежелани превключвания, които нарушават контрола и задействат фалшиви аларми. Основната причина обикновено е неправилно настроен watchdog таймер или прекалено дълго време за сканиране. Несъответстващи интервали на heartbeat между Honeywell Safety Manager SC и DeltaV SIS в същия ESD шкаф могат да причинят фалшиви аларми за несъответствие на диагностика в рамките на седмици след пускане в експлоатация.

Архитектура за синхронизация с два процесора на SLS 1508

SLS 1508 съдържа два процесора: CPU-A (основен) и CPU-B (резервен). Те споделят синхронизационна шина с работна скорост 100 Mbps. При всеки цикъл на сканиране CPU-A записва своята I/O таблица в CPU-B. CPU-B сравнява получените данни със собствения си резултат от сканирането. Броячът за несъответствия се увеличава при всяко отклонение. Watchdog таймерът задейства превключване, когато броячът надвиши конфигурируемия праг.

Ключови параметри за проверка при пускане в експлоатация:

• Watchdog таймаут: по подразбиране 500 ms, минимум 200 ms за SIL 2 PST < 2 s
• Праг за несъответствие при синхронизация: по подразбиране 3 последователни несъответствия преди превключване
• CPU-B отместване на сканирането: не трябва да надвишава 10 ms спрямо CPU-A
• Интервал за проверка на контролна сума на паметта: на всеки 60 s за проверка на целостта на приложния код

Достъп до тези параметри има в DeltaV Explorer под Свойства на SLS контролера. Настройте watchdog на 400 ms, когато PST е 1.5 s. Това осигурява 1.1 s резерв след откриване на повреда преди крайният елемент да трябва да реагира.

Бюджет за време на сканиране и съответствие с IEC 61511

IEC 61511 Клауза 11.7.5 изисква времето за сканиране на логическия решаващ модул да е по-малко или равно на една десета от PST. За PST от 2 s максималното време за сканиране е 200 ms. DeltaV SIS обикновено работи с 100 ms за SIL 2 и 250 ms за SIL 1. Проверете реалното време за сканиране в DeltaV Diagnostics под Производителност на контролера.

• Стъпка 1: Отворете DeltaV Explorer. Отидете на SLS Controller → Свойства на модула → Статистика на сканирането.
• Стъпка 2: Запишете максималното време за сканиране за период от 24 часа. Включете пиковете при смяна на смени.
• Стъпка 3: Идентифицирайте функционални блокове, които консумират повече от 5 ms поотделно. Те са кандидати за разделяне.
• Стъпка 4: Преместете небезопасни логически блокове (например помощни за изчисляване на матрица причина-следствие) към DeltaV CHARM I/O контролер.
• Стъпка 5: Проверете отново времето за сканиране след преразпределението. Потвърдете, че остава под 180 ms с 10% резерв.

Процедура за изолиране на повреда при превключване: пет стъпки

Нежеланите превключвания генерират запис в DeltaV Event Chronicle с ниво на сериозност 10. Използвайте следната процедура за изолиране на основната причина:

• Стъпка 1: Експортирайте Event Chronicle за 30 минути преди превключването. Филтрирайте по източник SLS Controller. Потърсете увеличения на брояча за несъответствия и аларми за температура на CPU.
• Стъпка 2: Проверете напрежението на 24 VDC захранващата шина на SLS 1508 на клеми P1 и P2 на гръбната платка. Допустимият диапазон е 21.6–26.4 VDC. Напрежение под 22 VDC причинява грешки в синхронизационната шина.
• Стъпка 3: Проверете кабела на синхронизационната шина между двете CPU платки. DeltaV SIS използва собствена лентовидна връзка. Инспектирайте за огънати щифтове на конектора. Подменете, ако съпротивлението между щифт 1 и щифт 16 надвишава 5 Ω.
• Стъпка 4: Прегледайте дневника за несъответствия на I/O. Повтарящ се конкретен входен канал показва неизправно полево устройство или разхлабено свързване. Проверете за окисляване на съответния DIN релсов терминал.
• Стъпка 5: Потвърдете, че версията на фърмуера на двата процесора съвпада. Отидете на Свойства на SLS контролера → Диагностика → Версия на фърмуера. Несъвпадащи версии причиняват непрекъснати ниско ниво несъответствия с 1–2 на минута.

Влияние на удълженото време за сканиране върху PFDavg

Време за сканиране, което надвишава бюджета по IEC 61511, не предизвиква незабавно спиране. Въпреки това, то увеличава кредитa за диагностично покритие, използван в изчислението за верификация на SIL. Emerson оценява диагностичното покритие на SLS 1508 на 99% (DC = 0.99) само когато времето за сканиране е в рамките на зададената стойност. Ако времето за сканиране надвиши 200 ms за SIL 2 верига с годишен интервал за доказателствен тест (Ti = 8,760 ч) и λDU = 2×10⁻⁶/ч, PFDavg се повишава от 0.0088 до приблизително 0.0115 — надвишавайки горната граница за SIL 2 от 0.01.

Инсталациите на Honeywell Safety Manager SC често работят до DeltaV SIS в същия ESD шкаф. Safety Manager използва 200 ms цикъл по подразбиране. Уверете се, че двете системи споделят един и същ NTP източник на време — използвайте GPS-дициплиниран часовник с stratum 1 в OT мрежата. Времево изместване над 50 ms между двете SIS системи причинява неправилен ред на записите за последователност на събитията, смесвайки причините за и реакциите на крайния елемент.

Заключение и препоръки за действие

Emerson DeltaV SIS производителността на горещия резерв зависи от три фактора: синхронизация на watchdog таймера, спазване на бюджета за време на сканиране и цялост на синхронизационната шина. Започнете с 24-часова база за време на сканиране преди окончателно приемане. Потвърдете, че прагът за несъответствия и версията на фърмуера са идентични на двата процесора. Преразпределете функционалните блокове, ако натоварването на CPU надвишава 80%. Проверете 24 VDC захранването на клемите на гръбната платка. Тези стъпки защитават изчислението на SIL 2 PFDavg и предотвратяват нежелани превключвания в производството. Документирайте всяка промяна на параметрите с протоколи за състоянието преди и след според IEC 61511 Клауза 16.3.

Автор: Чен Хао е инженер по индустриална автоматизация с над 10 години опит в PLC, DCS и системи за управление.