Programowanie sterownika bezpieczeństwa HIMA PES: konfiguracja logiki failsafe z integracją Profibus PA

Praktyczny przewodnik inżynierski po konfiguracji HIMA Planar4 PES, projektowaniu funkcji bezpieczeństwa i integracji urządzeń obiektowych Profibus PA na potrzeby bezpieczeństwa procesowego w przemyśle chemicznym

Wprowadzenie

Programowalne systemy elektroniczne (PES) HIMA Planar4 są powszechnie stosowane w branżach procesowych o krytycznym znaczeniu dla bezpieczeństwa, w tym w przemyśle chemicznym, rafineryjnym i na platformach morskich. Architektura fail-safe firmy HIMA zapewnia, że awaria dowolnego pojedynczego komponentu skutkuje przejściem do określonego stanu bezpiecznego — jest to podstawowy wymóg norm IEC 61508 i IEC 61511. Niniejszy artykuł koncentruje się na praktycznych etapach inżynierskich konfiguracji funkcji bezpieczeństwa HIMA Planar4 oraz ich integracji z urządzeniami obiektowymi Profibus PA za pośrednictwem magistrali HIMA HIBC. Odbiorcami są między innymi inżynierowie aparatury kontrolno-pomiarowej, integratorzy systemów bezpieczeństwa oraz osoby odpowiedzialne za bezpieczeństwo zakładu, zajmujące się rozruchem i utrzymaniem SIS.

Zrozumienie architektury fail-safe HIMA

Systemy HIMA Planar4 wykorzystują architekturę dwukanałową, w której oba kanały nieustannie porównują wzajemnie swoje wyjścia. Gdy rozbieżność przekroczy zdefiniowany próg, system przechodzi do stanu bezpiecznego, jednocześnie odłączając zasilanie wszystkich kanałów wyjściowych. Ta zasada fail-safe obowiązuje we wszystkich generacjach PES firmy HIMA, w tym Planar4, Element i Impact. Moduł HIBC (HIMA Industrial Bus Controller) pełni funkcję bramy między sterownikiem bezpieczeństwa a urządzeniami obiektowymi Profibus PA, obsługując zarówno cyfrowe wejścia/wyjścia, jak i analogowe zmienne procesowe. Zrozumienie tej architektury jest niezbędne przed przystąpieniem do jakiegokolwiek zadania konfiguracyjnego.

Wymagania wstępne

• Sterownik HIMA Planar4 PES z modułem HIBC (HIBC-S, oprogramowanie układowe w wersji 3.2 lub nowszej)
• SIMATIC PDM lub oprogramowanie HIMA HIBC DTM do konfiguracji urządzeń Profibus PA
• Segment Profibus PA z iskrobezpiecznymi urządzeniami obiektowymi (np. przetwornikami ciśnienia, czujnikami temperatury)
• Sprzęgacz DP/PA do połączenia segmentów Profibus DP i PA
• Transformator separacyjny zapewniający izolację galwaniczną między modułem HIBC a obwodami obiektowymi
• Zatwierdzone dokumenty konfiguracyjne: specyfikacja wymagań bezpieczeństwa (SRS) oraz macierz przyczyn i skutków

Etapy konfiguracji

Etap 1: Zdefiniowanie funkcji bezpieczeństwa na podstawie macierzy przyczyn i skutków

Przeanalizuj specyfikację wymagań bezpieczeństwa (SRS) dla docelowej jednostki procesowej. Zidentyfikuj wszystkie funkcje oprzyrządowania bezpieczeństwa (SIF) wymagające ingerencji PES HIMA. Dla każdej SIF określ warunek wyzwalający (np. wysokie ciśnienie > 12 bar na PT-101), wymaganą reakcję bezpieczeństwa (np. zamknięcie ESDV-101) oraz wymagany poziom SIL. Udokumentuj te funkcje bezpieczeństwa w macierzy przyczyn i skutków przed uruchomieniem oprogramowania konfiguracyjnego HIMA. Pominięcie tego etapu jest najczęstszą przyczyną opóźnień projektowych i braków w funkcjach bezpieczeństwa podczas FAT (Factory Acceptance Testing).

Etap 2: Utworzenie projektu HIBC i import plików GSD

Otwórz narzędzie konfiguracyjne HIMA (HIMA SysStudio lub Impact Pro, zależnie od generacji sterownika). Utwórz nowy projekt i dodaj moduł HIBC do drzewa sprzętowego. Zaimportuj pliki GSD wszystkich urządzeń Profibus PA znajdujących się w segmencie. Bez prawidłowych plików GSD moduł HIBC nie może rozpoznać parametrów urządzeń. W przypadku przetworników ciśnienia Rosemount 3051S pracujących w sieci Profibus PA użyj pliku GSD EM_Rosemount_3051S_V2.gsd. Przypisz każdemu urządzeniu unikatowy adres Profibus (1–126). Sprawdź, czy całkowity prąd segmentu nie przekracza maksymalnego prądu magistrali określonego dla sprzęgacza DP/PA.

Etap 3: Konfiguracja logiki bezpieczeństwa z użyciem programowania FBD

HIMA Planar4 obsługuje programowanie w języku schematów bloków funkcyjnych (FBD) zgodnie z IEC 61131-3. Wstaw blok funkcyjny komparatora dla każdego kanału wejścia analogowego. Połącz kanał wejścia analogowego HIBC (np. PT-101_HIBC_CH1) z wejściem komparatora. Skonfiguruj komparator tak, aby generował wartość TRUE po przekroczeniu przez ciśnienie wartości progowej zadziałania. Połącz wyjście komparatora z blokiem zatrzasku (przerzutnikiem SR), aby utrzymać stan wyłączenia do momentu ręcznego resetu. Poprowadź wyjście Q zatrzasku do kanału wyjścia cyfrowego HIBC sterującego zaworem ESDV-101. Takie uporządkowane podejście zapewnia, że każda funkcja bezpieczeństwa ma przejrzysty i możliwy do przeprowadzenia audyt łańcuch logiczny od wejścia do elementu wykonawczego. Ponadto stosowanie standardowych bloków funkcji bezpieczeństwa HIMA (wstępnie zwalidowanych bibliotek) ogranicza nakład pracy związany z certyfikacją.

Etap 4: Konfiguracja cyklicznej wymiany danych Profibus PA

W konfiguracji modułu HIBC przypisz zmienne procesowe Profibus PA do wewnętrznych znaczników HIMA. Dla każdego przetwornika przypisz: PV (wartość podstawową, 4-bajtowy typ FLOAT) → znacznik AI HIMA; bajt stanu → znacznik diagnostyczny; drugorzędne zmienne HART (opcjonalne) → znacznik konserwacyjny. Ustaw czas cyklu Profibus zgodnie z wymaganiami dotyczącymi czasu reakcji SIL — zazwyczaj 100 ms dla zastosowań SIL 2 i 50 ms dla zastosowań SIL 3. Sprawdź, czy skonfigurowany czas aktualizacji wyjść cyfrowych mieści się w czasie reakcji bezpieczeństwa (SRT) określonym w SRS. Skonfiguruj zegar watchdog modułu HIBC: jeśli cykl Profibus zostanie przerwany na dłużej niż 500 ms, moduł HIBC powinien wywołać reakcję fail-safe i odłączyć zasilanie wszystkich wyjść.

Etap 5: Testy online i weryfikacja funkcji bezpieczeństwa

Pobierz konfigurację do sterownika HIMA. Przełącz sterownik w tryb TEST i przeprowadź systematyczną kontrolę pętli dla każdej funkcji bezpieczeństwa. Podaj skalibrowany sygnał ciśnienia do PT-101 za pomocą komunikatora HART lub kalibratora ciśnienia Fluke 718. Stopniowo zwiększaj ciśnienie aż do zadziałania HIMA. Sprawdź, czy ESDV-101 zamknie się w określonym czasie reakcji bezpieczeństwa (SRT). Zmierz rzeczywisty czas reakcji za pomocą oscyloskopu lub systemu akwizycji danych. Potwierdź, że zatrzask utrzymuje stan zadziałania po powrocie sygnału wejściowego do normalnego poziomu. Zresetuj zatrzask ręcznie i sprawdź, czy zawór ponownie się otworzy. Powtórz tę procedurę dla każdej SIF zdefiniowanej w SRS. Udokumentuj wszystkie wyniki testów w raporcie z testów funkcji bezpieczeństwa zgodnie z punktem 17 normy IEC 61511.

Typowe błędy konfiguracji

• Watchdog ustawiony na zbyt długi czas: Domyślne ustawienia watchdoga w oprogramowaniu układowym HIBC mogą przekraczać wartość SRT. Skonfiguruj ręcznie watchdog na wartość ≤ 50% SRT dla każdej SIF.
• Konflikt adresów Profibus: Dwa urządzenia o tym samym adresie Profibus powodują awarie komunikacji cyklicznej. Przed rozruchem użyj analizatora Profibus (np. Softing PBCN-2), aby wykryć konflikty adresów.
• Brak resetowania zatrzasku: Sprawdź warunek resetu w konfiguracji przerzutnika SR. Nieprawidłowo podłączone wejście resetu uniemożliwia reset operatora, powodując fałszywy stan „zablokowania w stanie zadziałania”.
• Niezgodność GSD: Użycie nieaktualnego pliku GSD może uniemożliwić modułowi HIBC odczyt niektórych parametrów, skutkując wartością PV = 0 lub nieprawidłowym stanem. Zawsze sprawdzaj, czy wersja GSD odpowiada wersji oprogramowania układowego urządzenia.

Podsumowanie i zalecenia dotyczące działań

Integracja HIMA Planar4 z Profibus PA zapewnia solidną, zgodną z normami platformę do zastosowań związanych z bezpieczeństwem procesowym. Pomyślny rozruch wymaga jednak ścisłego przestrzegania cyklu życia bezpieczeństwa określonego w IEC 61511. Po pierwsze, zawsze wyprowadzaj funkcje bezpieczeństwa z formalnej SRS i macierzy przyczyn i skutków przed uruchomieniem oprogramowania konfiguracyjnego. Po drugie, utrzymuj zwalidowaną bibliotekę plików GSD dla wszystkich urządzeń obiektowych. Po trzecie, ustawiaj zegary watchdog HIBC zachowawczo — limit czasu watchdoga wynoszący 500 ms jest na ogół zbyt długi dla zastosowań SIL 3. Na koniec przeprowadzaj kompleksowe testy online funkcji bezpieczeństwa obejmujące wszystkie SIF, w tym ścieżki ręcznej ingerencji, oraz przechowuj pełną dokumentację testów na potrzeby audytów regulacyjnych. Postępując zgodnie z tymi etapami, inżynierowie mogą z większą pewnością uruchamiać systemy bezpieczeństwa HIMA i ograniczać ryzyko zarówno opóźnień projektowych, jak i awarii funkcji bezpieczeństwa w obiekcie.