DCS dublētā kontroliera beztraucējumu pārslēgšanās validācija un SIS bloķēšanas integrācija: ABB Symphony Plus AC800M un HIMA HIMatrix F30

Redundanta DCS arhitektūra un pārslēgšanās prasības

ABB Symphony Plus izmanto AC800M PM866 kontrolieri redundanta konfigurācijā ar CEX-Bus karstā rezerves saiti. Primārais un rezerves kontrolieri sinhronizē iekšējo atmiņu ik pēc 20 ms, izmantojot CEX-Bus. Pārslēgšanās gadījumā rezerves kontrolierim jāuzņemas vadība bez izmērāmas izvades traucējuma analogajās izejās vai digitālajos komandu stāvokļos. ABB definē beztraucējuma pārslēgšanos kā izvades novirzi mazāku par 0,1% no diapazona pārslēgšanās pārejas laikā.

HIMA HIMatrix F30 drošības kontrolieri darbojas neatkarīgi no ABB Symphony Plus BPCS slāņa. Tomēr abas sistēmas koplieto cietvadu drošības bloķējumus un apmainās ar statusa datiem, izmantojot EtherNet/IP. Integrācijas arhitektūra prasa, lai Symphony Plus kontroliera pārslēgšanās neradītu viltus EtherNet/IP savienojuma zudumu, kas aktivizētu HIMatrix F30 drošības funkciju. Inženieriem jāapstiprina gan beztraucējuma pārslēgšanās laiks, gan EtherNet/IP savienojuma atjaunošanas laiks kā daļa no rūpnīcas pieņemšanas un vietas pieņemšanas testu protokoliem.

Beztraucējuma pārslēgšanās laika mērīšanas procedūra

Apstipriniet beztraucējuma pārslēgšanās veiktspēju ar instrumentālu mērījumu — nekad nepaļaujieties tikai uz operatora novērojumu. AC800M PM866 redundances pārslēgšanās aizņem aptuveni 80–150 ms atkarībā no kontroliera slodzes. Šajā laikā izvades moduļi saglabā savu pēdējo vērtību.

• 1. solis: Pieslēdziet osciloskopu vai ātras datu reģistrēšanas ierīci pie 4–20 mA izejas AO890 analogā izvades modulī. Iestatiet paraugu ņemšanas ātrumu vismaz 1 kHz. Konfigurējiet trigeri uz CEX-Bus kļūdas indikatora LED vai REDUNDANCY STATUS OPC taga Symphony Plus Operations.
• 2. solis: ABB Control Builder M iestatiet aktīvā kontroliera izvadi uz stabilu vērtību — 12.000 mA (50% mērķa punkts). Sāciet manuālu pārslēgšanos, izmantojot Control Builder M redundances pārvaldības paneli. Ierakstiet AO890 izvades novirzes maksimumu un atjaunošanās laiku osciloskopā.
• 3. solis: Pieņemams rezultāts: izvades novirze mazāka par 0,5 mA (±3% diapazona 0–100% robežās), atjaunošanās laikā līdz 200 ms. Ja izvade pārsniedz 1,0 mA triecienu, kontroliera programmā ir atkārtotas inicializācijas secība, kas startēšanas laikā atiestata izvades vērtības. Identificējiet un noņemiet visas beznosacījuma izvades rakstīšanas instrukcijas programmas pirmajā skenēšanas ciklā.
• 4. solis: Veiciet testu atkārtoti ar 80% CPU slodzi. Augsta CPU noslodze pārslēgšanās laikā palielina izvades saglabāšanas laiku līdz 200–300 ms dažās PM866 programmaparatūras versijās. Dokumentējiet maksimālo novēroto triecienu pie mērķa CPU slodzes un salīdziniet ar procesa prasībām.

EtherNet/IP savienojuma atjaunošana pārslēgšanās laikā

HIMA HIMatrix F30 sazinās ar ABB Symphony Plus, izmantojot EtherNet/IP 1. klases (implicitā ziņojumapmaiņa). HIMatrix F30 darbojas kā EtherNet/IP adapteris; Symphony Plus Control Builder M EtherNet/IP skeneris uzsāk savienojumu. Symphony Plus kontroliera pārslēgšanās laikā EtherNet/IP skenera sesija tiek pārtraukta un atjaunota uz rezerves kontrolieri.

HIMatrix F30 EtherNet/IP savienojuma noklusējuma laika limits ir 500 ms (5× RPI pie 100 ms noklusējuma). Ja Symphony Plus pārslēgšanās pārsniedz 500 ms, HIMatrix F30 savienojums beidzas un saistītie drošības ieejas dati pāriet DROŠĀ stāvoklī. Tas var izraisīt viltus drošības funkciju jebkurā SIF, kas izmanto EtherNet/IP datus kā atļaujošu ieeju.

Novēršanas stratēģija: palieliniet HIMatrix F30 EtherNet/IP savienojuma laika limitu līdz 2000 ms SILworx konfigurācijā (Adapter → EIP Connection → Timeout Multiplier = 20× RPI). Pārliecinieties, ka šī izmaiņa ir dokumentēta SIL validācijas ierakstā — IEC 61511 11.9.3 pants prasa, lai visas izmaiņas drošības programmatūras parametros tiktu formāli novērtētas. Samaziniet Symphony Plus kontroliera CPU noslodzi zem 50% stabilā stāvoklī, lai pārslēgšanās notiktu 300 ms laikā, nodrošinot 6× drošības rezervi pret 2000 ms laika limitu.

Cietvadu drošības bloķējumu vadi starp sistēmām

HIMatrix F30 F-DI (drošības digitālā ieeja) moduļi izmanto 24 VDC divkanālu ieeju ar iekšēju impulsa testu 1 Hz frekvencē. Katrs ieejas kanāls ir pieslēgts atsevišķam lauka ierīces terminālim. Abi kanāliem jābūt vienisprātis 200 ms laikā, lai ieeja tiktu reģistrēta kā PATIESA.

Bieža vadu kļūda: inženieri abus F-DI kanālus pieslēdz pie viena lauka termināļa, nevis atsevišķiem releja kontaktiem. Šī vienkanālu konfigurācija apdraud HIMatrix F30 divkanālu integritāti un anulē SIL 2 prasību. HIMA SILworx diagnostika to atzīmē kā CH1/CH2 neatbilstības kļūdu tikai tad, kad vienkanāla kļūme notiek. Tāpēc pārbaudiet divkanālu vadu nepārtrauktību ar stiepšanas testu katrā kabeļa serdenī nodošanas laikā.

ABB Symphony Plus DI820 digitālās ieejas modulim, kas saņem cietvadu trieciena statusu no HIMatrix F30 F-DO (drošības digitālā izeja), iestatiet DI820 ieejas filtra laiku uz 10 ms. Tas novērš HIMatrix F30 iekšējā impulsa testa signāla (1 Hz, 5 ms izslēgšanas impulss) reģistrēšanu kā viltus triecienu Symphony Plus notikumu žurnālā.

SIL 2 pierādījuma testa integrācija ar DCS apkopes režīmu

• 1. solis: Aktivizējiet Symphony Plus apkopes režīmu attiecīgajiem vadības cilpām. Tas pārslēdz BPCS PID kontrolierus uz Manuālo režīmu ar pēdējās vērtības saglabāšanu.
• 2. solis: Nosūtiet EtherNet/IP testa režīma komandu no Symphony Plus uz HIMatrix F30 (SILworx parametrs: PROOF_TEST_MODE = 1).
• 3. solis: Veiciet pierādījuma testa secību saskaņā ar HIMA SILworx pierādījuma testa ziņojuma veidni (6.3. nodaļa): pārbaudiet, vai trieciena relejs atveras 150 ms laikā pēc simulētas prasības, pārbaudiet, vai atiestatīšanas loģika darbojas pareizi, pārbaudiet neatbilstību noteikšanu starp redundantiem sensoriem. HIMatrix F3 DIO modulis reakcijas laiks jāapstiprina pret SIL 2 prasību specifikāciju.
• 4. solis: Iziet no PROOF_TEST_MODE un apstipriniet, ka HIMatrix F30 atgriežas normālā uzraudzībā.
• 5. solis: Atbrīvojiet Symphony Plus apkopes režīmu un pārbaudiet, vai PID kontrolieri pārslēdzas atpakaļ uz Auto bez izvades trieciena. Dokumentējiet visus reālos reakcijas laikus un salīdziniet ar SIL 2 prasībām (PFDavg jāpaliek definētā drošības prasību specifikācijas robežās).

Nobeigums un rīcības ieteikumi

ABB Symphony Plus AC800M redundanto kontrolieru integrācija ar HIMA HIMatrix F30 drošības sistēmām prasa validāciju trīs līmeņos: beztraucējuma pārslēgšanās veiktspēja, EtherNet/IP savienojuma atjaunošanas laiks un divkanālu drošības ieejas vadu integritāte. Mēriet beztraucējuma pārslēgšanos ar 1 kHz datu reģistratoru — vizuāla pārbaude nav pietiekama. Iestatiet HIMatrix F30 EtherNet/IP savienojuma laika limitu uz 2000 ms, lai izturētu kontroliera pārslēgšanos slodzē. Pārbaudiet divkanālu F-DI vadu fizisko nepārtrauktību — neatbilstības kļūmes paliek neredzamas līdz vienkanāla kļūmei ekspluatācijā.

Saskaņojiet pierādījuma testa procedūras ar Symphony Plus apkopes režīmu, lai saglabātu procesa vadības nepārtrauktību IEC 61511 drošības funkciju testēšanas laikā. Dokumentējiet katru parametru izmaiņu SIL validācijas ierakstā. 2000 ms savienojuma laika limita iestatījums, kas nav dokumentēts un novērtēts, ir atbilstības trūkums, ko auditori atklās — un kas var anulēt SIL 2 prasību visai drošības cilpai.

Autors: Jiang Bolun ir rūpnieciskās automatizācijas inženieris ar vairāk nekā 10 gadu pieredzi PLC, DCS un vadības sistēmās.