Synchronizacja czasu w całym zakładzie: strategie NTP, PTP i GPS dla systemów Yokogawa CENTUM VP oraz Bently Nevada 3500

Dlaczego znaczniki czasu decydują o powodzeniu lub porażce analizy awarii?

Każda rzetelna analiza awarii zaczyna się od sekwencji zdarzeń. Jednak taka sekwencja nie ma znaczenia, gdy zegary wskazują różne godziny. Analizowałem awarię turbiny parowej, podczas której trzy systemy różniły się o jedenaście sekund. Historian Yokogawa CENTUM VP zarejestrował jedną kolejność zdarzeń. System monitorowania maszyn Bently Nevada przedstawiał inną. Przekaźnik zabezpieczenia elektrycznego wskazywał trzecią. Spędziliśmy dwa dni, spierając się o przyczynę i skutek, zanim ktokolwiek sprawdził zegary. Dlatego synchronizację czasu należy traktować jako usługę o znaczeniu krytycznym dla bezpieczeństwa, a nie jako sprawę drugorzędną dla działu IT. Niewielkie przesunięcia zegarów między urządzeniami sprawiają, że dzienniki zdarzeń wprowadzają w błąd. Co gorsza, podważają zaufanie do całego systemu historian.

Jakie są zasady działania i ograniczenia protokołów NTP oraz SNTP?

Network Time Protocol to najprostsza i najczęściej stosowana metoda synchronizacji. Serwer nadrzędny przechowuje czas referencyjny, a urządzenia klienckie w regularnych odstępach proszą o aktualizacje. Serwer może pobierać czas z satelitów GPS lub źródeł internetowych. Dokładność NTP w dobrej sieci zakładowej sięga około 10 milisekund. SNTP, czyli uproszczona wersja protokołu, pomija obliczenia opóźnienia sieciowego. Osiąga jedynie około 50 milisekund i nadaje się do małych, niekrytycznych zastosowań. Poziom stratum opisuje odległość od źródła referencyjnego. Odbiornik GPS jest sprzętem stratum 0 zasilającym serwer stratum 1. Hierarchia w zakładzie powinna opierać się na tej samej kaskadzie. Ponadto należy utrzymywać hierarchię na możliwie niewielkiej głębokości. Każda dodatkowa warstwa stratum zwiększa błąd. Nigdy jednak nie synchronizuj systemu sterowania bezpośrednio z internetowym serwerem czasu. Taka ścieżka przekracza granicę bezpieczeństwa i wprowadza drgania czasowe, których nie można kontrolować.

• Krok 1: Zainstaluj odbiornik czasu GPS z anteną jako źródło stratum 0.
• Krok 2: Przeznacz jeden serwer na wewnętrzny nadrzędny serwer NTP stratum 1.
• Krok 3: Skonfiguruj wszystkie serwery DCS, sterowniki PLC i panele HMI wyłącznie jako klientów tego serwera nadrzędnego.
• Krok 4: Udokumentuj hierarchię stratum i zabroń korzystania z bezpośrednich internetowych źródeł czasu.

Jak PTP zapewnia dokładność poniżej jednej milisekundy w zastosowaniach krytycznych?

Precision Time Protocol, IEEE 1588, zapewnia dokładność zbliżoną do jednej milisekundy, a często znacznie lepszą. Serwer nadrzędny przesyła znaczniki czasu do urządzeń podrzędnych w sposób ciągły, zamiast czekać na żądania. Urządzenia podrzędne uwzględniają opóźnienie sieciowe i korygują swoje zegary, utrzymując pomijalne przesunięcie. Taka dokładność ma jednak swoją cenę. Potrzebne są przełączniki Ethernet obsługujące PTP i sprzętowe znakowanie czasu. Zwykłe przełączniki wprowadzają nieprzewidywalne opóźnienia kolejkowania, które obniżają dokładność PTP. W automatyce przemysłowej na tej podstawie zbudowano kilka profili. Sieci EtherNet/IP wykorzystują CIP Sync, profil IEEE 1588, do synchronizacji zegarów sterowników. Systemy Yokogawa synchronizują swoje domeny oraz moduły komunikacyjne magistrali obiektowej z nadrzędnymi serwerami synchronizowanymi względem GPS. Dlatego wybierz PTP, gdy dokładność sekwencji zdarzeń poniżej 10 milisekund ma znaczenie. Wybierz NTP do ogólnego znakowania danych SCADA i historian. Ostatecznie dobieraj protokół do zastosowania, a nie do obietnic marketingowych.

• Krok 1: Zidentyfikuj urządzenia, które rzeczywiście wymagają rozdzielczości zdarzeń poniżej 10 ms.
• Krok 2: W odpowiednich segmentach zastosuj przełączniki obsługujące PTP i sprzętowe znakowanie czasu.
• Krok 3: Wybierz jeden zegar grandmaster, odniesiony do GPS, dla całej domeny PTP.
• Krok 4: Po każdej zmianie w sieci sprawdź przesunięcia urządzeń podrzędnych względem grandmastera.

Jak zsynchronizować CENTUM VP i Bently Nevada 3500 z jednym zegarem?

Oto praktyczna architektura, która działa. Odbiornik GPS zasila dedykowany serwer czasu, tworząc serwer nadrzędny stratum 1. Domena Yokogawa CENTUM VP synchronizuje się z tym serwerem i rozprowadza czas do swoich stacji. Szafy Bently Nevada 3500 oraz ich monitory proximitor pobierają czas NTP z tego samego źródła za pośrednictwem modułów interfejsu szafy. Najpierw skonfiguruj adres IP serwera czasu w ustawieniach każdej szafy 3500. Następnie sprawdź przesunięcie zegara szafy w System 1 lub w oprogramowaniu konfiguracyjnym szafy. Ponadto co tydzień sprawdzaj zegary stacji CENTUM VP na ekranie stanu systemu. Zalecam przyjęcie zasady tolerancji: utrzymuj wszystkie urządzenia w odległości nie większej niż jedna sekunda od serwera nadrzędnego, a systemy ochrony maszyn w odległości nie większej niż 10 milisekund. Na koniec dodaj alarm dryfu czasu. Urządzenie, które po cichu przestaje się synchronizować, powinno wywoływać alarm, ponieważ jego znaczniki czasu będą stopniowo tracić wiarygodność aż do kolejnej analizy awarii.

• Krok 1: Skieruj serwer czasu CENTUM VP i każdą szafę 3500 do tego samego serwera NTP.
• Krok 2: Ustaw odstępy odpytywania na kilka minut i zachowaj ich spójność we wszystkich urządzeniach.
• Krok 3: Co tydzień rejestruj przesunięcie każdego urządzenia i analizuj jego trend jak zmiennej procesowej.
• Krok 4: Generuj alarm dla każdego urządzenia, którego przesunięcie przekracza 1 sekundę przez 24 godziny.
• Krok 5: Po każdej awarii eksportuj wszystkie dzienniki zdarzeń w czasie UTC przed przeliczeniem na czas lokalny.

Podsumowanie i zalecenia dotyczące działań

Synchronizacja czasu to niedrogie ubezpieczenie kosztownych analiz awarii. Najpierw oprzyj cały zakład na jednym serwerze nadrzędnym odniesionym do GPS i zbuduj udokumentowaną hierarchię stratum. Następnie używaj NTP do ogólnego znakowania danych, a PTP tam, gdzie rzeczywiście potrzebna jest rozdzielczość sekwencji poniżej 10 milisekund. Ponadto zsynchronizuj stacje Yokogawa CENTUM VP i szafy Bently Nevada 3500 z identycznym źródłem, nigdy z oddzielnymi serwerami. Pamiętaj jednak, że sam sprzęt niczego nie gwarantuje. Sprawdzaj przesunięcia po każdej zmianie w sieci i każdej wymianie przełącznika. Dlatego analizuj trendy przesunięć zegarów tak jak każdej innej krytycznej wielkości pomiarowej. Na koniec przeprowadzaj kwartalny audyt czasu. Podczas planowanego testu odłącz antenę GPS i obserwuj reakcję systemów. W dniu, w którym turbina ulegnie awarii, dzienniki zdarzeń przedstawią jedną historię — i będzie to prawdziwa historia.

Autor: Zhou Yiming jest inżynierem automatyki przemysłowej z ponad 10-letnim doświadczeniem w zakresie sterowników PLC, systemów DCS i systemów sterowania.