Optimisation du basculement en veille chaude et du temps de balayage du SIS Emerson DeltaV

Pourquoi le mode de secours chaud est important dans les architectures SIS

Un système instrumenté de sécurité doit répondre dans son temps de sécurité de procédé (PST) défini. Le résolveur logique Emerson DeltaV SIS SLS 1508 utilise une architecture matérielle 1oo2D, associant un processeur principal à un processeur en secours chaud. Les deux processeurs exécutent en continu une logique identique. Le basculement s’effectue en moins de 100 ms, respectant les exigences de disponibilité de la clause 11.9 de la norme IEC 61511 pour les boucles SIL 2.

Cependant, une mauvaise configuration entraîne des basculements intempestifs qui perturbent le contrôle et déclenchent de fausses alarmes. La cause principale est généralement un temporisateur watchdog mal configuré ou un temps de balayage excessif. Des intervalles de battement de cœur mal alignés entre un Honeywell Safety Manager SC et un DeltaV SIS dans le même armoire ESD peuvent provoquer des alarmes de diagnostic erronées quelques semaines après la mise en service.

Architecture de synchronisation à double processeur SLS 1508

Le SLS 1508 contient deux CPU : CPU-A (principal) et CPU-B (secours). Ils partagent un bus de synchronisation fonctionnant à 100 Mbps. À chaque cycle de balayage, CPU-A écrit sa table d’E/S vers CPU-B. CPU-B compare les données reçues avec son propre résultat de balayage. Un compteur de discordance s’incrémente à chaque écart. Le watchdog déclenche un basculement lorsque le compteur dépasse le seuil configurable.

Paramètres clés à vérifier lors de la mise en service :

• Délai du watchdog : par défaut 500 ms, minimum 200 ms pour un PST SIL 2 < 2 s
• Seuil de discordance de synchronisation : par défaut 3 discordances consécutives avant basculement
• Décalage de balayage CPU-B : ne doit pas dépasser 10 ms par rapport à CPU-A
• Intervalle de somme de contrôle mémoire : toutes les 60 s pour vérifier l’intégrité du code applicatif

Accédez à ces paramètres dans DeltaV Explorer sous Propriétés du contrôleur SLS. Réglez le watchdog à 400 ms lorsque le PST est de 1,5 s. Cela offre une marge de 1,1 s après détection de défaut avant que l’élément final doive répondre.

Budget de temps de balayage et conformité IEC 61511

La clause 11.7.5 de l’IEC 61511 exige que le temps de balayage du résolveur logique soit inférieur ou égal à un dixième du PST. Pour un PST de 2 s, le temps de balayage maximal est de 200 ms. Le DeltaV SIS fonctionne typiquement à 100 ms pour SIL 2 et 250 ms pour SIL 1. Vérifiez le temps de balayage réel dans DeltaV Diagnostics sous Performance du contrôleur.

• Étape 1 : Ouvrez DeltaV Explorer. Naviguez vers Contrôleur SLS → Propriétés du module → Statistiques de balayage.
• Étape 2 : Enregistrez le temps de balayage maximal sur une période de 24 heures. Incluez les pics lors des changements d’équipe.
• Étape 3 : Identifiez les blocs fonctionnels consommant plus de 5 ms individuellement. Ce sont des candidats à la séparation.
• Étape 4 : Déplacez les blocs logiques non liés à la sécurité (par exemple, les aides au calcul de matrice cause-effet) vers un contrôleur DeltaV CHARM I/O à la place.
• Étape 5 : Vérifiez à nouveau le temps de balayage après redistribution. Confirmez qu’il reste en dessous de 180 ms avec une marge de 10 %.

Procédure d’isolation des défauts de basculement : procédure en cinq étapes

Les basculements intempestifs génèrent une entrée dans le journal d’événements DeltaV au niveau de gravité 10. Utilisez la procédure suivante pour isoler la cause racine :

• Étape 1 : Exportez le journal d’événements pour les 30 minutes précédant le basculement. Filtrez par source Contrôleur SLS. Recherchez les incréments du compteur de discordance et les alarmes de température CPU.
• Étape 2 : Vérifiez la tension de l’alimentation 24 VDC aux bornes P1 et P2 du backplane du SLS 1508. La plage acceptable est de 21,6 à 26,4 VDC. Une tension inférieure à 22 VDC provoque des erreurs sur le bus de synchronisation.
• Étape 3 : Vérifiez le câble du bus de synchronisation entre les deux cartes CPU. Le DeltaV SIS utilise un câble ruban propriétaire. Inspectez les broches pliées au connecteur de bord de carte. Remplacez si la résistance entre la broche 1 et la broche 16 dépasse 5 Ω.
• Étape 4 : Examinez le journal des discordances d’E/S. Un canal d’entrée spécifique apparaissant de manière répétée indique un dispositif de terrain défaillant ou une terminaison lâche. Vérifiez le bloc de bornes sur rail DIN associé pour oxydation.
• Étape 5 : Confirmez que la révision du firmware des deux CPU est identique. Naviguez vers Propriétés du contrôleur SLS → Diagnostics → Version du firmware. Des versions de firmware différentes provoquent des discordances continues de faible niveau à raison de 1–2 par minute.

Impact sur le PFDavg des temps de balayage prolongés

Un temps de balayage dépassant le budget IEC 61511 ne provoque pas un déclenchement immédiat. Cependant, il gonfle le crédit de couverture diagnostique revendiqué dans le calcul de vérification SIL. Emerson évalue la couverture diagnostique du SLS 1508 à 99 % (DC = 0,99) uniquement lorsque le temps de balayage reste dans la valeur nominale. Si le temps de balayage dépasse 200 ms pour une boucle SIL 2 avec un intervalle de test de preuve d’un an (Ti = 8 760 h) et λDU = 2×10⁻⁶/h, le PFDavg passe de 0,0088 à environ 0,0115 — dépassant la limite supérieure SIL 2 de 0,01.

Les installations Honeywell Safety Manager SC fonctionnent souvent à côté du DeltaV SIS dans la même armoire ESD. Le Safety Manager utilise par défaut un cycle de tâche de 200 ms. Assurez-vous que les deux systèmes partagent la même source de temps NTP — utilisez une horloge GPS disciplinée de stratum 1 sur le réseau OT. Un décalage temporel supérieur à 50 ms entre les deux systèmes SIS provoque un désordre dans les journaux de séquence d’événements entre causes initiatrices et réponses des éléments finaux.

Conclusion et conseils d’action

La performance du mode de secours chaud de Emerson DeltaV SIS dépend de trois facteurs : l’alignement du temporisateur watchdog, le respect du budget de temps de balayage et l’intégrité du bus de synchronisation. Commencez par une base de temps de balayage sur 24 heures avant l’acceptation finale. Confirmez que le seuil de discordance et la révision du firmware sont identiques sur les deux CPU. Redistribuez les blocs fonctionnels si l’utilisation CPU dépasse 80 %. Validez l’alimentation 24 VDC aux bornes du backplane. Ces étapes protègent votre calcul PFDavg SIL 2 et préviennent les basculements intempestifs en production. Documentez chaque modification de paramètre avec des enregistrements « tel que trouvé » et « tel que laissé » conformément à la clause 16.3 de l’IEC 61511.

Auteur : Chen Hao est un ingénieur en automatisation industrielle avec plus de 10 ans d’expérience en PLC, DCS et systèmes de contrôle.