Optimización del Tiempo de Conmutación en Espera Caliente y Escaneo del Emerson DeltaV SIS

Por qué es importante el modo de espera activo en las arquitecturas SIS

Un sistema instrumentado de seguridad debe responder dentro de su tiempo de seguridad de proceso definido (PST). El solucionador lógico Emerson DeltaV SIS SLS 1508 utiliza una arquitectura de hardware 1oo2D, emparejando un procesador principal con un procesador en espera activa. Ambos procesadores ejecutan lógica idéntica de forma continua. El cambio ocurre en menos de 100 ms, cumpliendo con los requisitos de disponibilidad de la cláusula 11.9 de la IEC 61511 para bucles SIL 2.

Sin embargo, una configuración deficiente conduce a cambios molestos que interrumpen el control y disparan alarmas espurias. La causa raíz suele ser un temporizador watchdog mal configurado o un tiempo de escaneo excesivo. Intervalos de latido desalineados entre un Honeywell Safety Manager SC y un DeltaV SIS en el mismo gabinete ESD pueden causar falsas alarmas de desajuste diagnóstico semanas después de la puesta en marcha.

Arquitectura de sincronización de doble procesador SLS 1508

El SLS 1508 contiene dos CPUs: CPU-A (principal) y CPU-B (en espera). Comparten un bus de sincronización que opera a 100 Mbps. En cada ciclo de escaneo, CPU-A escribe su tabla de E/S a CPU-B. CPU-B compara los datos recibidos con su propio resultado de escaneo. Un contador de desajustes se incrementa ante cualquier desviación. El watchdog activa un cambio cuando el contador supera el umbral configurable.

Parámetros clave para verificar durante la puesta en marcha:

• Tiempo de espera del watchdog: por defecto 500 ms, mínimo 200 ms para PST SIL 2 < 2 s
• Umbral de desajuste de sincronización: por defecto 3 desajustes consecutivos antes del cambio
• Desfase de escaneo de CPU-B: no debe superar los 10 ms respecto a CPU-A
• Intervalo de suma de verificación de memoria: cada 60 s para verificar la integridad del código de aplicación

Acceda a estos parámetros en DeltaV Explorer bajo Propiedades del Controlador SLS. Configure el watchdog a 400 ms cuando el PST sea 1.5 s. Esto proporciona un margen de 1.1 s después de la detección de falla antes de que el elemento final deba responder.

Presupuesto de tiempo de escaneo y cumplimiento de IEC 61511

La cláusula 11.7.5 de IEC 61511 requiere que el tiempo de escaneo del solucionador lógico sea menor o igual a una décima parte del PST. Para un PST de 2 s, el tiempo máximo de escaneo es 200 ms. El DeltaV SIS normalmente opera a 100 ms para SIL 2 y 250 ms para SIL 1. Verifique el tiempo real de escaneo en DeltaV Diagnostics bajo Rendimiento del Controlador.

• Paso 1: Abra DeltaV Explorer. Navegue a Controlador SLS → Propiedades del Módulo → Estadísticas de Escaneo.
• Paso 2: Registre el tiempo máximo de escaneo durante un período de 24 horas. Incluya picos en cambios de turno.
• Paso 3: Identifique bloques funcionales que consuman más de 5 ms individualmente. Estos son candidatos para separación.
• Paso 4: Mueva bloques lógicos no relacionados con seguridad (por ejemplo, auxiliares de cálculo de matriz causa-efecto) a un controlador DeltaV CHARM I/O.
• Paso 5: Verifique nuevamente el tiempo de escaneo tras la redistribución. Confirme que se mantenga por debajo de 180 ms con un margen del 10%.

Aislamiento de fallas en el cambio: procedimiento de cinco pasos

Los cambios molestos generan una entrada en el Cronista de Eventos DeltaV con nivel de severidad 10. Use el siguiente procedimiento para aislar la causa raíz:

• Paso 1: Exporte el Cronista de Eventos de los 30 minutos previos al cambio. Filtre por fuente Controlador SLS. Busque incrementos en el contador de desajustes y alarmas de temperatura de CPU.
• Paso 2: Verifique el voltaje de la línea de alimentación de 24 VDC en los terminales P1 y P2 del backplane del SLS 1508. El rango aceptable es 21.6–26.4 VDC. Voltajes por debajo de 22 VDC causan errores en el bus de sincronización.
• Paso 3: Verifique el cable del bus de sincronización entre las dos tarjetas CPU. DeltaV SIS usa un cable plano propietario. Inspeccione pines doblados en el conector de borde de la tarjeta. Reemplace si la resistencia entre el pin 1 y el pin 16 supera 5 Ω.
• Paso 4: Revise el registro de desajustes de E/S. Un canal de entrada específico que aparece repetidamente indica un dispositivo de campo defectuoso o una terminación suelta. Verifique el bloque terminal del riel DIN asociado por oxidación.
• Paso 5: Confirme que la revisión de firmware en ambas CPUs coincida. Navegue a Propiedades del Controlador SLS → Diagnósticos → Versión de Firmware. Versiones de firmware diferentes causan desajustes continuos de bajo nivel a 1–2 por minuto.

Impacto en PFDavg de tiempos de escaneo prolongados

Un tiempo de escaneo que exceda el presupuesto de IEC 61511 no provoca un disparo inmediato. Sin embargo, inflará el crédito de cobertura diagnóstica reclamado en el cálculo de verificación SIL. Emerson califica la cobertura diagnóstica del SLS 1508 en 99% (DC = 0.99) solo cuando el tiempo de escaneo se mantiene dentro del valor nominal. Si el tiempo de escaneo supera los 200 ms para un bucle SIL 2 con un intervalo de prueba de prueba de 1 año (Ti = 8,760 h) y λDU = 2×10⁻⁶/h, el PFDavg aumenta de 0.0088 a aproximadamente 0.0115 — superando el límite superior SIL 2 de 0.01.

Las instalaciones de Honeywell Safety Manager SC a menudo operan junto a DeltaV SIS en el mismo gabinete ESD. El Safety Manager usa un ciclo de tarea de 200 ms por defecto. Asegure que ambos sistemas compartan la misma fuente de tiempo NTP — use un reloj GPS disciplinado de estrato 1 en la red OT. Un desfase de tiempo superior a 50 ms entre los dos sistemas SIS causa que los registros de secuencia de eventos desordenen las causas iniciadoras y las respuestas del elemento final.

Conclusión y recomendaciones

El rendimiento en espera activa del Emerson DeltaV SIS depende de tres factores: alineación del temporizador watchdog, cumplimiento del presupuesto de tiempo de escaneo e integridad del bus de sincronización. Comience con una línea base de tiempo de escaneo de 24 horas antes de la aceptación final. Confirme que el umbral de desajuste y la revisión de firmware sean idénticos en ambas CPUs. Redistribuya bloques funcionales si la utilización de CPU supera el 80%. Valide la alimentación de 24 VDC en los terminales del backplane. Estos pasos protegen su cálculo PFDavg SIL 2 y previenen cambios molestos en producción. Documente cada cambio de parámetro con registros de estado inicial y final según la cláusula 16.3 de IEC 61511.

Autor: Chen Hao es un ingeniero de automatización industrial con más de 10 años de experiencia en PLC, DCS y sistemas de control.