DCS redundáns vezérlő zökkenőmentes átvitelének érvényesítése és SIS zárolás integrációja: ABB Symphony Plus AC800M és HIMA HIMatrix F30

Redundáns DCS architektúra és átkapcsolási követelmények

Az ABB Symphony Plus az AC800M PM866 vezérlőt redundáns konfigurációban használja CEX-Bus forró tartalék kapcsolattal. Az elsődleges és a redundáns vezérlők 20 ms-onként szinkronizálják a belső memóriát a CEX-Bus-on keresztül. Átkapcsoláskor a tartalék vezérlőnek vezérlést kell átvennie anélkül, hogy mérhető kimeneti ugrás jelentkezne az analóg kimeneteken vagy a digitális parancsállapotokban. Az ABB a bumpless transfer-t úgy definiálja, mint az átkapcsolási átmenet során a kimeneti eltérés kevesebb, mint 0,1% a teljes tartományból.

A HIMA HIMatrix F30 biztonsági vezérlők függetlenül működnek az ABB Symphony Plus BPCS rétegtől. Mindkét rendszer azonban megosztja a vezetékes biztonsági zárlatokat és állapotadatokat cserél EtherNet/IP-n keresztül. Az integrációs architektúra megköveteli, hogy a Symphony Plus vezérlő átkapcsolása ne okozzon hamis EtherNet/IP kapcsolatvesztést, amely a HIMatrix F30 biztonsági funkcióját indítaná el. A mérnököknek validálniuk kell mind a bumpless transfer időzítését, mind az EtherNet/IP kapcsolat helyreállítási idejét a Gyári Átvételi Teszt és a Helyszíni Átvételi Teszt protokollok részeként.

Bumpless transfer időzítés mérési eljárás

A bumpless transfer teljesítményét műszeres méréssel kell validálni — soha ne csak kezelői megfigyelésre hagyatkozzon. Az AC800M PM866 redundancia átkapcsolás körülbelül 80–150 ms-ig tart a vezérlő terhelésétől függően. Ez idő alatt a kimeneti modulok megtartják az utolsó értéküket.

• 1. lépés: Csatlakoztasson oszcilloszkópot vagy nagysebességű adatgyűjtőt az AO890 analóg kimeneti modul 4–20 mA kimenetére. Állítsa a mintavételi frekvenciát legalább 1 kHz-re. Állítson be trigger-t a CEX-Bus hibajelző LED-jére vagy a REDUNDANCY STATUS OPC címkére a Symphony Plus Operations-ban.
• 2. lépés: Az ABB Control Builder M-ben állítsa az aktív vezérlő kimenetét stabil értékre — 12,000 mA (50% beállított pont). Indítson manuális átkapcsolást a Control Builder M redundancia kezelő paneljén. Rögzítse az AO890 kimeneti eltérés csúcsát és a helyreállási időt az oszcilloszkópon.
• 3. lépés: Elfogadható eredmény: kimeneti eltérés kevesebb, mint 0,5 mA (±3% tartomány 0–100% skálán), helyreállás 200 ms-on belül. Ha a kimenet több mint 1,0 mA-t ugrik, a vezérlő program tartalmaz egy újrainicializációs szekvenciát, amely az indításkor visszaállítja a kimeneti értékeket. Azonosítsa és távolítsa el az összes feltétel nélküli kimeneti írási utasítást a program első ciklusában.
• 4. lépés: Ismételje meg a tesztet 80%-os CPU terhelés mellett. Magas CPU kihasználtság átkapcsoláskor megnöveli a kimenet megtartási idejét 200–300 ms-ra néhány PM866 firmware verzió esetén. Dokumentálja a maximálisan megfigyelt ugrást a cél CPU terhelésnél, és hasonlítsa össze a folyamat követelményeivel.

EtherNet/IP kapcsolat helyreállítása átkapcsolás alatt

A HIMA HIMatrix F30 az ABB Symphony Plus-szal EtherNet/IP Class 1 (implicit üzenetküldés) protokollon kommunikál. A HIMatrix F30 az EtherNet/IP adapterként működik; a Symphony Plus Control Builder M EtherNet/IP szkenner kezdeményezi a kapcsolatot. Symphony Plus vezérlő átkapcsolásakor az EtherNet/IP szkenner munkamenet megszakad és újra létrejön a tartalék vezérlőn.

A HIMatrix F30 alapértelmezett EtherNet/IP kapcsolat időtúllépése 500 ms (5× RPI alapértelmezett 100 ms). Ha a Symphony Plus átkapcsolás meghaladja az 500 ms-ot, a HIMatrix F30 kapcsolat időtúllépést jelez, és az ehhez kapcsolódó biztonsági bemeneti adatokat BIZTONSÁGOS állapotba helyezi. Ez hamis biztonsági funkciót indíthat bármely olyan SIF-en, amely EtherNet/IP adatokat használ engedélyező bemenetként.

Enyhítési stratégia: növelje a HIMatrix F30 EtherNet/IP kapcsolat időtúllépését 2000 ms-ra a SILworx konfigurációban (Adapter → EIP Connection → Timeout Multiplier = 20× RPI). Ellenőrizze, hogy ez a változtatás dokumentálva legyen a SIL validációs jegyzőkönyvben — az IEC 61511 11.9.3 pontja előírja, hogy minden biztonsági szoftverparaméter változtatást formálisan értékelni kell. Csökkentse a Symphony Plus vezérlő CPU kihasználtságát 50% alá állandó állapotban, hogy az átkapcsolás 300 ms-on belül befejeződjön, így 6×-os biztonsági tartalékot biztosítva a 2000 ms időtúllépéssel szemben.

Vezetékes biztonsági zárlat bekötése a rendszerek között

A HIMatrix F30 F-DI (Fail-safe digitális bemenet) modulok 24 VDC kétcsatornás bemenetet használnak, belső impulzus teszteléssel 1 Hz-en. Minden bemeneti csatorna külön mezőeszköz terminálhoz csatlakozik. Mindkét csatornának 200 ms-on belül egyeznie kell, hogy a bemenet IGAZ-ként regisztrálódjon.

Gyakori bekötési hiba: a mérnökök mindkét F-DI csatornát ugyanahhoz a mezőterminálhoz kötik, ahelyett, hogy külön relé érintkezőket használnának. Ez az egycsatornás konfiguráció meghiúsítja a HIMatrix F30 kétcsatornás integritását, és érvényteleníti a SIL 2 minősítést. A HIMA SILworx diagnosztika csak akkor jelzi CH1/CH2 eltérés hibaként, ha az egyetlen hibapont megszakad. Ezért a kétcsatornás bekötés folytonosságát fizikai húzópróbával kell ellenőrizni az üzembe helyezéskor.

Az ABB Symphony Plus DI820 digitális bemeneti modul esetén, amely a HIMatrix F30 F-DO (Fail-safe digitális kimenet) vezetékes trip állapotát fogadja, állítsa be a DI820 bemeneti szűrőidejét 10 ms-re. Ez megakadályozza, hogy a HIMatrix F30 belső impulzus tesztje (1 Hz, 5 ms OFF impulzus) hamis tripként jelenjen meg a Symphony Plus eseménynaplóban.

SIL 2 bizonyító teszt integráció a DCS karbantartási móddal

• 1. lépés: Aktiválja a Symphony Plus karbantartási módot az érintett szabályozási hurkokhoz. Ez a BPCS PID szabályozókat Manuális módba kapcsolja, az utolsó érték megtartásával.
• 2. lépés: Küldjön EtherNet/IP teszt mód parancsot a Symphony Plus-ból a HIMatrix F30 felé (SILworx paraméter: PROOF_TEST_MODE = 1).
• 3. lépés: Hajtsa végre a bizonyító teszt szekvenciát a HIMA SILworx Proof Test Report sablonja szerint (6.3 szakasz): ellenőrizze, hogy a trip relé 150 ms-on belül nyit a szimulált igényre, ellenőrizze a reset logika helyes törlését, ellenőrizze az eltérés érzékelést a redundáns érzékelők között. A HIMatrix F3 DIO modul válaszidejét igazolni kell a SIL 2 követelmény specifikációval szemben.
• 4. lépés: Lépjen ki a PROOF_TEST_MODE-ból, és erősítse meg, hogy a HIMatrix F30 visszatér a normál felügyelethez.
• 5. lépés: Engedélyezze a Symphony Plus karbantartási módot, és ellenőrizze, hogy a PID szabályozók átváltanak Automatikus módba kimeneti ugrás nélkül. Dokumentálja az összes mért válaszidőt, és hasonlítsa össze a SIL 2 követelményekkel (a PFDavg-nek a meghatározott biztonsági követelmény határon belül kell maradnia).

Következtetés és javaslatok

Az ABB Symphony Plus AC800M redundáns vezérlők integrálása a HIMA HIMatrix F30 biztonsági rendszerekkel három szinten igényel validálást: bumpless transfer teljesítmény, EtherNet/IP kapcsolat helyreállítási idő és kétcsatornás biztonsági bemenet bekötési integritás. Mérje a bumpless transfer-t 1 kHz-es adatgyűjtővel — a vizuális ellenőrzés nem elegendő. Állítsa be a HIMatrix F30 EtherNet/IP kapcsolat időtúllépését 2000 ms-ra, hogy a vezérlő átkapcsolásokat terhelés alatt is túlélje. Fizikailag ellenőrizze a kétcsatornás F-DI bekötést — az eltérés hibák rejtve maradnak, amíg egycsatornás hiba nem lép fel üzem közben.

Koordinálja a bizonyító teszt eljárásokat a Symphony Plus karbantartási móddal, hogy fenntartsa a folyamatvezérlés folytonosságát az IEC 61511 biztonsági funkció tesztelése alatt. Dokumentáljon minden paraméterváltozást a SIL validációs jegyzőkönyvben. Egy dokumentálatlan és értékeltlen 2000 ms-os kapcsolat időtúllépés beállítás megfelelőségi hiányosság, amelyet az auditorok észre fognak venni — és amely érvénytelenítheti a teljes biztonsági kör SIL 2 minősítését.

Szerző: Jiang Bolun ipari automatizálási mérnök, több mint 10 éves tapasztalattal PLC, DCS és vezérlőrendszerek területén.