Validación de Transferencia Sin Interrupciones del Controlador Redundante DCS e Integración del Interbloqueo SIS: ABB Symphony Plus AC800M y HIMA HIMatrix F30

Arquitectura Redundante de DCS y Requisitos de Cambio

ABB Symphony Plus utiliza el controlador AC800M PM866 en configuración redundante con un enlace en espera caliente CEX-Bus. Los controladores primario y redundante sincronizan la memoria interna cada 20 ms a través del CEX-Bus. Cuando ocurre un cambio, el controlador de respaldo debe asumir el control sin un salto medible en las salidas analógicas o en los estados de comandos digitales. ABB define la transferencia sin saltos como una desviación de salida menor al 0.1% del rango durante la transición del cambio.

Los controladores de seguridad HIMA HIMatrix F30 operan de forma independiente de la capa BPCS de ABB Symphony Plus. Sin embargo, ambos sistemas comparten enclavamientos de seguridad cableados y intercambian datos de estado vía EtherNet/IP. La arquitectura de integración requiere que un cambio de controlador Symphony Plus no genere una falsa pérdida de conexión EtherNet/IP que active una función de seguridad HIMatrix F30. Los ingenieros deben validar tanto el tiempo de transferencia sin saltos como el tiempo de recuperación de la conexión EtherNet/IP como parte de los protocolos de Prueba de Aceptación en Fábrica y Prueba de Aceptación en Sitio.

Procedimiento de Medición del Tiempo de Transferencia sin Saltos

Valide el desempeño de la transferencia sin saltos con medición instrumentada — nunca confíe solo en la observación del operador. El cambio de redundancia del AC800M PM866 toma aproximadamente entre 80 y 150 ms dependiendo de la carga del controlador. Durante este período, los módulos de salida mantienen su último valor.

• Paso 1: Conecte un osciloscopio o registrador de datos de alta velocidad a la salida 4–20 mA de un módulo de salida analógica AO890. Configure la tasa de muestreo a un mínimo de 1 kHz. Configure un disparador en el LED indicador de falla del CEX-Bus o en la etiqueta OPC REDUNDANCY STATUS en Symphony Plus Operations.
• Paso 2: En ABB Control Builder M, establezca la salida del controlador activo a un valor estable — 12.000 mA (50% del punto de consigna). Inicie un cambio manual usando el panel de gestión de redundancia de Control Builder M. Registre el pico de desviación de salida del AO890 y el tiempo de recuperación en el osciloscopio.
• Paso 3: Resultado aceptable: desviación de salida menor a 0.5 mA (±3% del rango para un rango 0–100%), recuperación dentro de 200 ms. Si la salida presenta un salto mayor a 1.0 mA, el programa del controlador contiene una secuencia de reinicialización que restablece los valores de salida al iniciar. Identifique y elimine todas las instrucciones incondicionales de escritura de salida en el primer ciclo de escaneo del programa.
• Paso 4: Repita la prueba con una carga de CPU del 80%. Una alta utilización de CPU durante el cambio incrementa el tiempo de retención de salida a 200–300 ms en algunas versiones de firmware PM866. Documente el máximo salto observado con la carga de CPU objetivo y compárelo con los requisitos del proceso.

Recuperación de Conexión EtherNet/IP Durante el Cambio

El HIMA HIMatrix F30 se comunica con ABB Symphony Plus vía EtherNet/IP Clase 1 (mensajería implícita). El HIMatrix F30 opera como adaptador EtherNet/IP; el escáner EtherNet/IP de Symphony Plus Control Builder M inicia la conexión. Durante un cambio de controlador Symphony Plus, la sesión del escáner EtherNet/IP termina y se restablece en el controlador de respaldo.

El tiempo de espera por defecto de conexión EtherNet/IP del HIMatrix F30 es de 500 ms (5× RPI a 100 ms por defecto). Si el cambio de Symphony Plus excede los 500 ms, la conexión HIMatrix F30 expira y transfiere los datos de entrada de seguridad asociados a un estado SEGURO. Esto puede activar una función de seguridad espuria en cualquier SIF que use datos EtherNet/IP como entrada permisiva.

Estrategia de mitigación: aumente el tiempo de espera de conexión EtherNet/IP del HIMatrix F30 a 2000 ms en la configuración SILworx (Adaptador → Conexión EIP → Multiplicador de Tiempo de Espera = 20× RPI). Verifique que este cambio esté documentado en el registro de validación SIL — la cláusula 11.9.3 de IEC 61511 requiere que todos los cambios en parámetros de software relacionados con seguridad sean evaluados formalmente. Reduzca la utilización de CPU del controlador Symphony Plus por debajo del 50% en estado estable para que el cambio se complete dentro de 300 ms, proporcionando un margen de seguridad de 6× contra el tiempo de espera de 2000 ms.

Cableado de Enclavamientos de Seguridad Cableados Entre Sistemas

Los módulos HIMatrix F30 F-DI (Entrada Digital a Prueba de Fallos) usan una entrada de doble canal de 24 VDC con prueba interna de pulso a 1 Hz. Cada canal de entrada se conecta a un terminal de dispositivo de campo separado. Ambos canales deben coincidir dentro de 200 ms para que la entrada se registre como VERDADERA.

Error común de cableado: los ingenieros conectan ambos canales F-DI al mismo terminal de campo en lugar de contactos de relé separados. Esta configuración de canal único anula la integridad de doble canal del HIMatrix F30 e invalida la certificación SIL 2. Los diagnósticos SILworx de HIMA señalan esto como una falla de discrepancia CH1/CH2 solo cuando el punto único de falla se abre. Por lo tanto, verifique la continuidad del cableado de doble canal con una prueba de tracción en cada núcleo del cable durante la puesta en marcha.

Para el módulo de entrada digital DI820 de ABB Symphony Plus que recibe estado de disparo cableado desde el HIMatrix F30 F-DO (Salida Digital a Prueba de Fallos), configure el tiempo de filtro de entrada DI820 a 10 ms. Esto evita que la señal de prueba interna de pulso del HIMatrix F30 (1 Hz, pulso OFF de 5 ms) se registre como un disparo falso en el registro de eventos de Symphony Plus.

Integración de Prueba de Comprobación SIL 2 con Modo de Mantenimiento DCS

• Paso 1: Active el Modo de Mantenimiento de Symphony Plus para los lazos de control afectados. Esto cambia los controladores PID BPCS a Manual con retención del último valor.
• Paso 2: Envíe un comando de modo de prueba EtherNet/IP desde Symphony Plus al HIMatrix F30 (parámetro SILworx: PROOF_TEST_MODE = 1).
• Paso 3: Ejecute la secuencia de prueba de comprobación según la plantilla del Informe de Prueba de Comprobación HIMA SILworx (sección 6.3): verifique que el relé de disparo se abra dentro de 150 ms de la demanda simulada, verifique que la lógica de reinicio se borre correctamente, verifique la detección de discrepancias entre sensores redundantes. El tiempo de respuesta del módulo HIMatrix F3 DIO debe confirmarse contra la especificación de requisitos SIL 2.
• Paso 4: Salga del PROOF_TEST_MODE y confirme que HIMatrix F30 vuelve a la monitorización normal.
• Paso 5: Desactive el Modo de Mantenimiento de Symphony Plus y verifique que los controladores PID vuelvan a Auto sin salto de salida. Documente todos los tiempos de respuesta encontrados y compárelos con los requisitos SIL 2 (PFDavg debe permanecer dentro del límite definido en la especificación de requisitos de seguridad).

Conclusión y Recomendaciones

Integrar los controladores redundantes ABB Symphony Plus AC800M con los sistemas de seguridad HIMA HIMatrix F30 requiere validación en tres niveles: desempeño de transferencia sin saltos, tiempo de recuperación de conexión EtherNet/IP e integridad del cableado de entrada de seguridad de doble canal. Mida la transferencia sin saltos con un registrador de datos a 1 kHz — la inspección visual no es suficiente. Configure el tiempo de espera de conexión EtherNet/IP del HIMatrix F30 a 2000 ms para soportar cambios de controlador bajo carga. Verifique físicamente el cableado de doble canal F-DI — las fallas de discrepancia permanecen ocultas hasta que ocurre una falla de canal único en servicio.

Coordine los procedimientos de prueba de comprobación con el Modo de Mantenimiento de Symphony Plus para mantener la continuidad del control de proceso durante las pruebas de funciones de seguridad IEC 61511. Documente cada cambio de parámetro en el registro de validación SIL. Un ajuste de tiempo de espera de conexión de 2000 ms que no esté documentado ni evaluado es una brecha de cumplimiento que los auditores detectarán — y que podría invalidar la certificación SIL 2 para todo el lazo de seguridad.

Autor: Jiang Bolun es un ingeniero de automatización industrial con más de 10 años de experiencia en PLC, DCS y sistemas de control.