Ottimizzazione del Passaggio in Hot Standby e del Tempo di Scansione del SIS Emerson DeltaV

Perché il Hot Standby è Importante nelle Architetture SIS

Un sistema strumentato di sicurezza deve rispondere entro il tempo di sicurezza di processo definito (PST). Il logic solver Emerson DeltaV SIS SLS 1508 utilizza un’architettura hardware 1oo2D, abbinando un processore primario a un processore hot-standby. Entrambi i processori eseguono continuamente la stessa logica. Il passaggio avviene in meno di 100 ms, rispettando i requisiti di disponibilità della clausola 11.9 della IEC 61511 per i loop SIL 2.

Tuttavia, una configurazione errata porta a passaggi di controllo indesiderati che interrompono il controllo e attivano falsi allarmi. La causa principale è solitamente un timer watchdog mal configurato o un tempo di scansione eccessivo. Intervalli di heartbeat non allineati tra un Honeywell Safety Manager SC e un DeltaV SIS nello stesso armadio ESD possono causare falsi allarmi di mismatch diagnostico entro poche settimane dalla messa in servizio.

Architettura di Sincronizzazione Dual-Processor SLS 1508

Il SLS 1508 contiene due CPU: CPU-A (primaria) e CPU-B (standby). Condividono un bus di sincronizzazione che opera a 100 Mbps. Ad ogni ciclo di scansione, CPU-A scrive la sua tabella I/O su CPU-B. CPU-B confronta i dati ricevuti con il proprio risultato di scansione. Un contatore di mismatch si incrementa ad ogni deviazione. Il watchdog attiva il passaggio quando il contatore supera la soglia configurabile.

Parametri chiave da verificare durante la messa in servizio:

• Timeout watchdog: default 500 ms, minimo 200 ms per PST SIL 2 < 2 s
• Soglia mismatch sincronizzazione: default 3 mismatch consecutivi prima del passaggio
• Offset scansione CPU-B: non deve superare i 10 ms rispetto a CPU-A
• Intervallo checksum memoria: ogni 60 s per la verifica dell’integrità del codice applicativo

Accedi a questi parametri in DeltaV Explorer sotto Proprietà Controller SLS. Imposta il watchdog a 400 ms quando il PST è 1,5 s. Questo fornisce un margine di 1,1 s dopo il rilevamento del guasto prima che l’elemento finale debba rispondere.

Budget del Tempo di Scansione e Conformità IEC 61511

La clausola 11.7.5 della IEC 61511 richiede che il tempo di scansione del logic solver sia minore o uguale a un decimo del PST. Per un PST di 2 s, il tempo massimo di scansione è 200 ms. Il DeltaV SIS tipicamente opera a 100 ms per SIL 2 e 250 ms per SIL 1. Verifica il tempo di scansione effettivo in DeltaV Diagnostics sotto Prestazioni Controller.

• Passo 1: Apri DeltaV Explorer. Naviga su Controller SLS → Proprietà Modulo → Statistiche di Scansione.
• Passo 2: Registra il tempo massimo di scansione su un periodo di 24 ore. Includi i picchi durante i cambi turno.
• Passo 3: Identifica i blocchi funzione che consumano più di 5 ms singolarmente. Questi sono candidati alla separazione.
• Passo 4: Sposta i blocchi logici non di sicurezza (es. helper per il calcolo della matrice causa-effetto) su un controller I/O DeltaV CHARM.
• Passo 5: Ricontrolla il tempo di scansione dopo la redistribuzione. Conferma che rimanga sotto 180 ms con un margine del 10%.

Isolamento dei Guasti di Passaggio: Procedura in Cinque Passi

I passaggi di controllo indesiderati generano una voce nel DeltaV Event Chronicle con livello di gravità 10. Usa la seguente procedura per isolare la causa principale:

• Passo 1: Esporta l’Event Chronicle per i 30 minuti precedenti il passaggio. Filtra per sorgente Controller SLS. Cerca incrementi del contatore mismatch e allarmi temperatura CPU.
• Passo 2: Controlla la tensione della linea di alimentazione 24 VDC ai terminali P1 e P2 del backplane del SLS 1508. L’intervallo accettabile è 21,6–26,4 VDC. Tensioni inferiori a 22 VDC causano errori sul bus di sincronizzazione.
• Passo 3: Verifica il cavo del bus di sincronizzazione tra le due schede CPU. Il DeltaV SIS usa un cavo a nastro proprietario. Ispeziona per pin piegati sul connettore a bordo scheda. Sostituisci se la resistenza tra pin 1 e pin 16 supera 5 Ω.
• Passo 4: Rivedi il log dei mismatch I/O. Un canale di ingresso specifico che appare ripetutamente indica un dispositivo di campo guasto o una terminazione allentata. Controlla il blocco morsettiera DIN associato per ossidazione.
• Passo 5: Conferma che la revisione firmware di entrambe le CPU sia identica. Naviga su Proprietà Controller SLS → Diagnostica → Versione Firmware. Versioni firmware diverse causano mismatch continui a basso livello a 1–2 al minuto.

Impatto sul PFDavg di Tempi di Scansione Estesi

Un tempo di scansione superiore al budget IEC 61511 non causa un blocco immediato. Tuttavia, gonfia il credito di copertura diagnostica dichiarato nel calcolo di verifica SIL. Emerson valuta la copertura diagnostica del SLS 1508 al 99% (DC = 0,99) solo quando il tempo di scansione rimane entro il valore nominale. Se il tempo di scansione supera 200 ms per un loop SIL 2 con intervallo di test di prova annuale (Ti = 8.760 h) e λDU = 2×10⁻⁶/h, il PFDavg aumenta da 0,0088 a circa 0,0115 — superando il limite superiore SIL 2 di 0,01.

Le installazioni Honeywell Safety Manager SC spesso operano accanto a DeltaV SIS nello stesso armadio ESD. Il Safety Manager usa un ciclo di task di 200 ms di default. Assicurati che i due sistemi condividano la stessa sorgente oraria NTP — usa un orologio GPS disciplinato strato 1 sulla rete OT. Un offset temporale superiore a 50 ms tra i due sistemi SIS causa disallineamenti nei log di sequenza eventi tra cause iniziali e risposte degli elementi finali.

Conclusione e Consigli Operativi

Le prestazioni hot standby di Emerson DeltaV SIS dipendono da tre fattori: allineamento del timer watchdog, conformità al budget del tempo di scansione e integrità del bus di sincronizzazione. Inizia con una baseline di tempo di scansione di 24 ore prima dell’accettazione finale. Conferma che la soglia di mismatch e la revisione firmware siano identiche su entrambe le CPU. Redistribuisci i blocchi funzione se l’utilizzo CPU supera l’80%. Verifica l’alimentazione 24 VDC ai terminali del backplane. Questi passaggi proteggono il calcolo PFDavg SIL 2 e prevengono passaggi indesiderati in produzione. Documenta ogni modifica di parametro con registrazioni as-found e as-left secondo la clausola 16.3 della IEC 61511.

Autore: Chen Hao è un ingegnere di automazione industriale con oltre 10 anni di esperienza in PLC, DCS e sistemi di controllo.