Weryfikacja bezprzerwowego przełączania kontrolera nadmiarowego DCS oraz integracja blokad SIS: ABB Symphony Plus AC800M i HIMA HIMatrix F30

Redundantna architektura DCS i wymagania dotyczące przełączenia

ABB Symphony Plus wykorzystuje sterownik AC800M PM866 w konfiguracji redundantnej z łączem hot-standby CEX-Bus. Sterowniki podstawowy i redundantny synchronizują pamięć wewnętrzną co 20 ms za pomocą CEX-Bus. W przypadku przełączenia, zapasowy sterownik musi przejąć kontrolę bez zauważalnego skoku wyjścia na analogowych wyjściach lub stanach poleceń cyfrowych. ABB definiuje transfer bezskokowy jako odchylenie wyjścia mniejsze niż 0,1% zakresu podczas przejściowego okresu przełączenia.

Sterowniki bezpieczeństwa HIMA HIMatrix F30 działają niezależnie od warstwy BPCS ABB Symphony Plus. Jednak oba systemy współdzielą twardo okablowane blokady bezpieczeństwa i wymieniają dane statusowe przez EtherNet/IP. Architektura integracji wymaga, aby przełączenie sterownika Symphony Plus nie powodowało fałszywej utraty połączenia EtherNet/IP, która wyzwalałaby funkcję bezpieczeństwa HIMatrix F30. Inżynierowie muszą zweryfikować zarówno czas transferu bezskokowego, jak i czas odzyskiwania połączenia EtherNet/IP w ramach protokołów Factory Acceptance Test i Site Acceptance Test.

Procedura pomiaru czasu transferu bezskokowego

Zweryfikuj wydajność transferu bezskokowego za pomocą pomiarów instrumentowanych — nigdy nie polegaj na obserwacji operatora. Przełączenie redundancji AC800M PM866 trwa około 80–150 ms, w zależności od obciążenia sterownika. W tym czasie moduły wyjściowe utrzymują ostatnią wartość.

• Krok 1: Podłącz oscyloskop lub szybki rejestrator danych do wyjścia 4–20 mA modułu analogowego AO890. Ustaw częstotliwość próbkowania na minimum 1 kHz. Skonfiguruj wyzwalacz na diodzie LED wskaźnika błędu CEX-Bus lub na tagu OPC REDUNDANCY STATUS w Symphony Plus Operations.
• Krok 2: W ABB Control Builder M ustaw wyjście aktywnego sterownika na stabilną wartość — 12,000 mA (50% nastawy). Zainicjuj ręczne przełączenie za pomocą panelu zarządzania redundancją Control Builder M. Zarejestruj szczyt odchylenia wyjścia AO890 i czas powrotu na oscyloskopie.
• Krok 3: Akceptowalny wynik: odchylenie wyjścia mniejsze niż 0,5 mA (±3% zakresu dla 0–100%), powrót w ciągu 200 ms. Jeśli wyjście skacze o więcej niż 1,0 mA, program sterownika zawiera sekwencję re-inicjalizacji, która resetuje wartości wyjściowe przy starcie. Zidentyfikuj i usuń wszystkie bezwarunkowe instrukcje zapisu wyjścia w pierwszym cyklu skanowania programu.
• Krok 4: Powtórz test przy obciążeniu CPU na poziomie 80%. Wysokie wykorzystanie CPU podczas przełączenia wydłuża czas utrzymania wyjścia do 200–300 ms w niektórych wersjach firmware PM866. Udokumentuj maksymalny zaobserwowany skok przy docelowym obciążeniu CPU i porównaj z wymaganiami procesu.

Odzyskiwanie połączenia EtherNet/IP podczas przełączenia

HIMA HIMatrix F30 komunikuje się z ABB Symphony Plus przez EtherNet/IP klasy 1 (wiadomości niejawne). HIMatrix F30 działa jako adapter EtherNet/IP; skaner EtherNet/IP Control Builder M Symphony Plus inicjuje połączenie. Podczas przełączenia sterownika Symphony Plus sesja skanera EtherNet/IP jest przerywana i nawiązywana ponownie na zapasowym sterowniku.

Domyślny czas oczekiwania na połączenie EtherNet/IP w HIMatrix F30 wynosi 500 ms (5× RPI przy domyślnym 100 ms). Jeśli przełączenie Symphony Plus przekroczy 500 ms, połączenie HIMatrix F30 wygasa i przełącza powiązane dane wejściowe bezpieczeństwa do stanu BEZPIECZNY. Może to wywołać fałszywą funkcję bezpieczeństwa na dowolnym SIF, który używa danych EtherNet/IP jako wejścia warunkowego.

Strategia łagodzenia: zwiększ czas oczekiwania połączenia EtherNet/IP HIMatrix F30 do 2000 ms w konfiguracji SILworx (Adapter → EIP Connection → Timeout Multiplier = 20× RPI). Zweryfikuj, że ta zmiana jest udokumentowana w rejestrze walidacji SIL — IEC 61511 punkt 11.9.3 wymaga formalnej oceny wszystkich zmian parametrów oprogramowania związanych z bezpieczeństwem. Zmniejsz wykorzystanie CPU sterownika Symphony Plus poniżej 50% w stanie ustalonym, aby przełączenie zakończyło się w ciągu 300 ms, zapewniając 6-krotny margines bezpieczeństwa względem limitu 2000 ms.

Okablowanie twardo okablowanych blokad bezpieczeństwa między systemami

Moduły HIMatrix F30 F-DI (Fail-safe Digital Input) wykorzystują dwukanałowe wejście 24 VDC z wewnętrznym testem impulsowym 1 Hz. Każdy kanał wejściowy jest podłączony do osobnego zacisku urządzenia polowego. Oba kanały muszą się zgadzać w ciągu 200 ms, aby wejście zostało zarejestrowane jako PRAWDA.

Typowy błąd okablowania: inżynierowie podłączają oba kanały F-DI do tego samego zacisku urządzenia polowego zamiast do oddzielnych styków przekaźnika. Ta konfiguracja jednokanałowa niweczy integralność dwukanałową HIMatrix F30 i unieważnia deklarację SIL 2. Diagnostyka HIMA SILworx zgłasza to jako błąd rozbieżności CH1/CH2 tylko wtedy, gdy pojedynczy punkt awarii zostanie przerwany. Dlatego podczas uruchomienia zweryfikuj ciągłość okablowania dwukanałowego testem pociągnięcia każdego przewodu.

Dla modułu wejść cyfrowych DI820 ABB Symphony Plus odbierającego twardo okablowany status trip z HIMatrix F30 F-DO (Fail-safe Digital Output), skonfiguruj czas filtra wejścia DI820 na 10 ms. Zapobiega to rejestrowaniu sygnału testowego impulsu wewnętrznego HIMatrix F30 (1 Hz, impuls OFF 5 ms) jako fałszywego tripu w dzienniku zdarzeń Symphony Plus.

Integracja testu dowodowego SIL 2 z trybem konserwacji DCS

• Krok 1: Aktywuj tryb konserwacji Symphony Plus dla dotkniętych pętli sterowania. Przełącza to regulatory PID BPCS na tryb ręczny z utrzymaniem ostatniej wartości.
• Krok 2: Wyślij polecenie trybu testowego EtherNet/IP z Symphony Plus do HIMatrix F30 (parametr SILworx: PROOF_TEST_MODE = 1).
• Krok 3: Wykonaj sekwencję testu dowodowego zgodnie z szablonem raportu testu dowodowego HIMA SILworx (sekcja 6.3): zweryfikuj, że przekaźnik trip otwiera się w ciągu 150 ms od symulowanego żądania, zweryfikuj poprawne wyczyszczenie logiki resetu, zweryfikuj wykrywanie rozbieżności między redundantnymi czujnikami. Czas reakcji modułu HIMatrix F3 DIO musi być potwierdzony względem specyfikacji wymagań SIL 2.
• Krok 4: Wyjdź z trybu PROOF_TEST_MODE i potwierdź powrót HIMatrix F30 do normalnego monitorowania.
• Krok 5: Zwolnij tryb konserwacji Symphony Plus i zweryfikuj, że regulatory PID przełączają się z powrotem na Auto bez skoku wyjścia. Udokumentuj wszystkie zmierzone czasy reakcji i porównaj z wymaganiami SIL 2 (PFDavg musi pozostać w granicach określonych wymagań bezpieczeństwa).

Wnioski i zalecenia

Integracja redundantnych sterowników ABB Symphony Plus AC800M z systemami bezpieczeństwa HIMA HIMatrix F30 wymaga weryfikacji na trzech poziomach: wydajności transferu bezskokowego, czasu odzyskiwania połączenia EtherNet/IP oraz integralności okablowania dwukanałowego wejść bezpieczeństwa. Mierz transfer bezskokowy za pomocą rejestratora danych 1 kHz — inspekcja wzrokowa jest niewystarczająca. Ustaw czas oczekiwania połączenia EtherNet/IP HIMatrix F30 na 2000 ms, aby przetrwać przełączenia sterownika pod obciążeniem. Fizycznie zweryfikuj okablowanie dwukanałowe F-DI — błędy rozbieżności ujawniają się dopiero po awarii jednokanałowej w eksploatacji.

Koordynuj procedury testu dowodowego z trybem konserwacji Symphony Plus, aby utrzymać ciągłość sterowania procesem podczas testów funkcji bezpieczeństwa zgodnie z IEC 61511. Dokumentuj każdą zmianę parametru w rejestrze walidacji SIL. Ustawienie czasu oczekiwania połączenia na 2000 ms, które nie jest udokumentowane i ocenione, stanowi lukę w zgodności, którą audytorzy wykryją — i która może unieważnić deklarację SIL 2 dla całej pętli bezpieczeństwa.

Autor: Jiang Bolun jest inżynierem automatyki przemysłowej z ponad 10-letnim doświadczeniem w PLC, DCS i systemach sterowania.