Validacija prijenosa bez prekida za DCS redundantni upravljač i integracija SIS međuspoja: ABB Symphony Plus AC800M i HIMA HIMatrix F30

Redundantna DCS arhitektura i zahtjevi za prebacivanje

ABB Symphony Plus koristi AC800M PM866 kontroler u redundantnoj konfiguraciji s CEX-Bus hot-standby vezom. Primarni i redundantni kontroleri sinkroniziraju internu memoriju svakih 20 ms putem CEX-Bus-a. Kada dođe do prebacivanja, rezervni kontroler mora preuzeti kontrolu bez mjerljivog skoka izlaza na analognim izlazima ili digitalnim komandnim stanjima. ABB definira prijenos bez skoka kao odstupanje izlaza manje od 0,1% raspona tijekom prijelaznog razdoblja prebacivanja.

HIMA HIMatrix F30 sigurnosni kontroleri rade neovisno o ABB Symphony Plus BPCS sloju. Međutim, oba sustava dijele hardverske sigurnosne međuspojeve i razmjenjuju statusne podatke putem EtherNet/IP. Integracijska arhitektura zahtijeva da prebacivanje Symphony Plus kontrolera ne stvori lažni gubitak EtherNet/IP veze koji bi pokrenuo sigurnosnu funkciju HIMatrix F30. Inženjeri moraju potvrditi i vrijeme prijenosa bez skoka i vrijeme oporavka EtherNet/IP veze kao dio protokola za Factory Acceptance Test i Site Acceptance Test.

Postupak mjerenja vremena prijenosa bez skoka

Potvrdite izvedbu prijenosa bez skoka instrumentiranim mjerenjem — nikada se ne oslanjajte na opažanje operatera. Prebacivanje redundancije AC800M PM866 traje otprilike 80–150 ms, ovisno o opterećenju kontrolera. Tijekom tog razdoblja izlazni moduli zadržavaju svoju posljednju vrijednost.

• Korak 1: Spojite osciloskop ili brzi zapisivač podataka na 4–20 mA izlaz AO890 analognog izlaznog modula. Postavite brzinu uzorkovanja na najmanje 1 kHz. Konfigurirajte okidač na LED indikatoru kvara CEX-Bus-a ili na REDUNDANCY STATUS OPC oznaci u Symphony Plus Operations.
• Korak 2: U ABB Control Builder M postavite izlaz aktivnog kontrolera na stabilnu vrijednost — 12,000 mA (50% postavke). Pokrenite ručno prebacivanje koristeći panel za upravljanje redundancijom u Control Builder M. Zabilježite vršni odmak izlaza AO890 i vrijeme oporavka na osciloskopu.
• Korak 3: Prihvatljiv rezultat: odstupanje izlaza manje od 0,5 mA (±3% raspona za 0–100% opseg), oporavak unutar 200 ms. Ako izlaz skoči za više od 1,0 mA, program kontrolera sadrži sekvencu ponovne inicijalizacije koja resetira izlazne vrijednosti pri pokretanju. Identificirajte i uklonite sve bezuvjetne naredbe pisanja izlaza u prvom ciklusu skeniranja programa.
• Korak 4: Ponovite test pri 80% opterećenja CPU-a. Visoka iskorištenost CPU-a pri prebacivanju povećava vrijeme držanja izlaza na 200–300 ms u nekim verzijama PM866 firmware-a. Dokumentirajte maksimalni zabilježeni skok pri ciljnom opterećenju CPU-a i usporedite s procesnim zahtjevima.

Oporavak EtherNet/IP veze tijekom prebacivanja

HIMA HIMatrix F30 komunicira s ABB Symphony Plus putem EtherNet/IP Class 1 (implicitno slanje poruka). HIMatrix F30 djeluje kao EtherNet/IP adapter; EtherNet/IP skener u Symphony Plus Control Builder M inicira vezu. Tijekom prebacivanja Symphony Plus kontrolera, EtherNet/IP skener sesija se prekida i ponovno uspostavlja na rezervnom kontroleru.

Zadano vrijeme isteka EtherNet/IP veze HIMatrix F30 je 500 ms (5× RPI pri zadanoj vrijednosti 100 ms). Ako prebacivanje Symphony Plus traje duže od 500 ms, veza HIMatrix F30 istječe i pridruženi sigurnosni ulazni podaci prelaze u SIGURNO stanje. To može pokrenuti lažnu sigurnosnu funkciju na bilo kojem SIF-u koji koristi EtherNet/IP podatke kao dopuštajući ulaz.

Strategija ublažavanja: povećajte HIMatrix F30 vrijeme isteka EtherNet/IP veze na 2000 ms u SILworx konfiguraciji (Adapter → EIP Connection → Timeout Multiplier = 20× RPI). Potvrdite da je ova promjena dokumentirana u zapisu o SIL validaciji — IEC 61511 stavak 11.9.3 zahtijeva formalnu procjenu svih promjena sigurnosno relevantnih softverskih parametara. Smanjite iskorištenost CPU-a Symphony Plus kontrolera ispod 50% u stabilnom stanju kako bi se prebacivanje završilo unutar 300 ms, osiguravajući 6× sigurnosnu marginu u odnosu na 2000 ms timeout.

Ožičenje hardverskih sigurnosnih međuspojeva između sustava

HIMatrix F30 F-DI (Fail-safe Digital Input) moduli koriste 24 VDC dvo-kanalni ulaz s internim pulsnim testiranjem na 1 Hz. Svaki ulazni kanal spojen je na zasebnu terminalnu točku polja. Oba kanala moraju se slagati unutar 200 ms da bi se ulaz registrirao kao ISTINIT.

Česta pogreška u ožičenju: inženjeri spajaju oba F-DI kanala na isti terminal polja umjesto na zasebne kontakte releja. Ova konfiguracija s jednim kanalom poništava dvo-kanalnu integritetu HIMatrix F30 i poništava SIL 2 tvrdnju. HIMA SILworx dijagnostika označava ovo kao kvar neslaganja CH1/CH2 samo kada dođe do otvaranja jedne točke kvara. Stoga provjerite kontinuitet dvo-kanalnog ožičenja povlačenjem svakog kabela prilikom puštanja u rad.

Za ABB Symphony Plus DI820 digitalni ulazni modul koji prima hardverski status tripa od HIMatrix F30 F-DO (Fail-safe Digital Output), konfigurirajte vrijeme filtra ulaza DI820 na 10 ms. To sprječava da se interni pulsni test signal HIMatrix F30 (1 Hz, 5 ms OFF puls) registrira kao lažni trip u dnevniku događaja Symphony Plus.

Integracija SIL 2 dokaznog testa s DCS načinom održavanja

• Korak 1: Aktivirajte način održavanja Symphony Plus za pogođene upravljačke petlje. To prebacuje BPCS PID kontrolere u ručni način s držanjem posljednje vrijednosti.
• Korak 2: Pošaljite EtherNet/IP naredbu za testni način iz Symphony Plus na HIMatrix F30 (SILworx parametar: PROOF_TEST_MODE = 1).
• Korak 3: Izvedite sekvencu dokaznog testa prema predlošku HIMA SILworx Proof Test Report (odjeljak 6.3): potvrdite da se trip relej otvara unutar 150 ms od simuliranog zahtjeva, potvrdite ispravno čišćenje logike resetiranja, potvrdite otkrivanje neslaganja između redundantnih senzora. Vrijeme odziva HIMatrix F3 DIO modula mora biti potvrđeno u skladu sa zahtjevima SIL 2 specifikacije.
• Korak 4: Izađite iz PROOF_TEST_MODE i potvrdite da se HIMatrix F30 vraća u normalni nadzor.
• Korak 5: Isključite način održavanja Symphony Plus i provjerite da se PID kontroleri prebace natrag u Auto bez skoka izlaza. Dokumentirajte sva zabilježena vremena odziva i usporedite ih sa zahtjevima SIL 2 (PFDavg mora ostati unutar definirane granice sigurnosne specifikacije).

Zaključak i preporuke za djelovanje

Integracija ABB Symphony Plus AC800M redundantnih kontrolera sa HIMA HIMatrix F30 sigurnosnim sustavima zahtijeva potvrdu na tri razine: izvedba prijenosa bez skoka, vrijeme oporavka EtherNet/IP veze i integritet dvo-kanalnog ožičenja sigurnosnih ulaza. Mjerite prijenos bez skoka pomoću zapisivača podataka od 1 kHz — vizualni pregled nije dovoljan. Postavite vrijeme isteka EtherNet/IP veze HIMatrix F30 na 2000 ms kako bi preživjelo prebacivanja kontrolera pod opterećenjem. Fizički provjerite dvo-kanalno ožičenje F-DI — kvarovi neslaganja ostaju skriveni dok se ne dogodi kvar jednog kanala u radu.

Koordinirajte postupke dokaznog testa s načinom održavanja Symphony Plus kako biste održali kontinuitet upravljanja procesom tijekom testiranja sigurnosnih funkcija prema IEC 61511. Dokumentirajte svaku promjenu parametara u zapisu o SIL validaciji. Postavka vremena isteka veze od 2000 ms koja nije dokumentirana i procijenjena predstavlja neusklađenost koju će revizori otkriti — i koja može poništiti SIL 2 tvrdnju za cijelu sigurnosnu petlju.

Autor: Jiang Bolun je inženjer industrijske automatizacije s više od 10 godina iskustva u PLC, DCS i upravljačkim sustavima.