Validação de Transferência Sem Interrupção do Controlador Redundante DCS e Integração de Intertravamento SIS: ABB Symphony Plus AC800M e HIMA HIMatrix F30

Arquitetura Redundante de DCS e Requisitos de Troca

O ABB Symphony Plus utiliza o controlador AC800M PM866 em configuração redundante com um link hot-standby CEX-Bus. Os controladores primário e redundante sincronizam a memória interna a cada 20 ms via CEX-Bus. Quando ocorre uma troca, o controlador de backup deve assumir o controle sem causar qualquer oscilação mensurável nas saídas analógicas ou nos estados dos comandos digitais. A ABB define transferência sem oscilações como uma variação de saída inferior a 0,1% do intervalo durante o transiente da troca.

Os controladores de segurança HIMA HIMatrix F30 operam independentemente da camada BPCS do ABB Symphony Plus. No entanto, ambos os sistemas compartilham intertravamentos de segurança cabeados e trocam dados de status via EtherNet/IP. A arquitetura de integração exige que a troca do controlador Symphony Plus não cause uma falsa perda de conexão EtherNet/IP que dispare uma função de segurança do HIMatrix F30. Os engenheiros devem validar tanto o tempo de transferência sem oscilações quanto o tempo de recuperação da conexão EtherNet/IP como parte dos protocolos de Teste de Aceitação na Fábrica e Teste de Aceitação no Local.

Procedimento de Medição do Tempo de Transferência Sem Oscilações

Valide o desempenho da transferência sem oscilações com medição instrumentada — nunca confie apenas na observação do operador. A troca de redundância do AC800M PM866 leva aproximadamente 80–150 ms, dependendo da carga do controlador. Durante esse período, os módulos de saída mantêm seu último valor.

• Passo 1: Conecte um osciloscópio ou registrador de dados de alta velocidade à saída 4–20 mA de um módulo de saída analógica AO890. Configure a taxa de amostragem para no mínimo 1 kHz. Configure um gatilho no LED indicador de falha do CEX-Bus ou na tag OPC REDUNDANCY STATUS no Symphony Plus Operations.
• Passo 2: No ABB Control Builder M, defina a saída do controlador ativo para um valor estável — 12,000 mA (50% do ponto de ajuste). Inicie uma troca manual usando o painel de gerenciamento de redundância do Control Builder M. Registre o pico de desvio da saída AO890 e o tempo de recuperação no osciloscópio.
• Passo 3: Resultado aceitável: desvio de saída inferior a 0,5 mA (±3% do intervalo para uma faixa de 0–100%), recuperação em até 200 ms. Se a saída oscilar mais de 1,0 mA, o programa do controlador contém uma sequência de reinicialização que redefine os valores de saída na inicialização. Identifique e remova todas as instruções incondicionais de escrita de saída no primeiro ciclo de varredura do programa.
• Passo 4: Repita o teste com 80% de carga da CPU. Alta utilização da CPU na troca aumenta o tempo de manutenção da saída para 200–300 ms em algumas versões de firmware do PM866. Documente o pico máximo observado na carga alvo da CPU e compare com os requisitos do processo.

Recuperação da Conexão EtherNet/IP Durante a Troca

O HIMA HIMatrix F30 comunica-se com o ABB Symphony Plus via EtherNet/IP Classe 1 (mensagens implícitas). O HIMatrix F30 opera como adaptador EtherNet/IP; o scanner EtherNet/IP do Control Builder M do Symphony Plus inicia a conexão. Durante a troca do controlador Symphony Plus, a sessão do scanner EtherNet/IP é encerrada e restabelecida no controlador de backup.

O tempo limite padrão da conexão EtherNet/IP do HIMatrix F30 é 500 ms (5× RPI com padrão de 100 ms). Se a troca do Symphony Plus exceder 500 ms, a conexão do HIMatrix F30 expira e os dados de entrada de segurança associados transitam para um estado SEGURO. Isso pode disparar uma função de segurança falsa em qualquer SIF que utilize dados EtherNet/IP como entrada permissiva.

Estratégia de mitigação: aumente o tempo limite da conexão EtherNet/IP do HIMatrix F30 para 2000 ms na configuração SILworx (Adapter → EIP Connection → Timeout Multiplier = 20× RPI). Verifique se essa alteração está documentada no registro de validação SIL — a cláusula 11.9.3 da IEC 61511 exige que todas as alterações em parâmetros de software relacionados à segurança sejam formalmente avaliadas. Reduza a utilização da CPU do controlador Symphony Plus para menos de 50% em estado estável para que a troca seja concluída em até 300 ms, proporcionando uma margem de segurança de 6× contra o tempo limite de 2000 ms.

Fiação de Intertravamento de Segurança Cabeada Entre Sistemas

Os módulos HIMatrix F30 F-DI (Entrada Digital Fail-safe) utilizam uma entrada de canal duplo 24 VDC com teste interno de pulso a 1 Hz. Cada canal de entrada conecta-se a um terminal de dispositivo de campo separado. Ambos os canais devem concordar dentro de 200 ms para que a entrada seja registrada como VERDADEIRA.

Erro comum de fiação: engenheiros conectam ambos os canais F-DI ao mesmo terminal de campo em vez de contatos de relé separados. Essa configuração de canal único compromete a integridade de canal duplo do HIMatrix F30 e invalida a reivindicação SIL 2. O diagnóstico SILworx da HIMA sinaliza isso como uma falha de discrepância CH1/CH2 somente quando o ponto único de falha abre. Portanto, verifique a continuidade da fiação de canal duplo com um teste de tração em cada núcleo do cabo durante a comissionamento.

Para o módulo de entrada digital DI820 do ABB Symphony Plus que recebe status de disparo cabeado do HIMatrix F30 F-DO (Saída Digital Fail-safe), configure o tempo do filtro de entrada DI820 para 10 ms. Isso evita que o sinal de teste de pulso interno do HIMatrix F30 (1 Hz, pulso OFF de 5 ms) seja registrado como disparo falso no log de eventos do Symphony Plus.

Integração do Teste de Prova SIL 2 com o Modo de Manutenção do DCS

• Passo 1: Ative o Modo de Manutenção do Symphony Plus para os loops de controle afetados. Isso muda os controladores PID do BPCS para Manual com retenção do último valor.
• Passo 2: Envie um comando de modo de teste EtherNet/IP do Symphony Plus para o HIMatrix F30 (parâmetro SILworx: PROOF_TEST_MODE = 1).
• Passo 3: Execute a sequência de teste de prova conforme o modelo do Relatório de Teste de Prova HIMA SILworx (seção 6.3): verifique se o relé de disparo abre em até 150 ms após a demanda simulada, verifique se a lógica de reset limpa corretamente, verifique a detecção de discrepância entre sensores redundantes. O tempo de resposta do módulo HIMatrix F3 DIO deve ser confirmado conforme a especificação de requisito SIL 2.
• Passo 4: Saia do PROOF_TEST_MODE e confirme que o HIMatrix F30 retorna ao monitoramento normal.
• Passo 5: Libere o Modo de Manutenção do Symphony Plus e verifique se os controladores PID retornam para Auto sem oscilações na saída. Documente todos os tempos de resposta encontrados e compare com os requisitos SIL 2 (PFDavg deve permanecer dentro do limite definido na especificação de requisito de segurança).

Conclusão e Recomendações

Integrar os controladores redundantes ABB Symphony Plus AC800M com os sistemas de segurança HIMA HIMatrix F30 requer validação em três níveis: desempenho da transferência sem oscilações, tempo de recuperação da conexão EtherNet/IP e integridade da fiação de entrada de segurança de canal duplo. Meça a transferência sem oscilações com um registrador de dados de 1 kHz — inspeção visual é insuficiente. Configure o tempo limite da conexão EtherNet/IP do HIMatrix F30 para 2000 ms para suportar trocas de controlador sob carga. Verifique fisicamente a fiação de canal duplo F-DI — falhas de discrepância ficam ocultas até que uma falha de canal único ocorra em serviço.

Coordene os procedimentos de teste de prova com o Modo de Manutenção do Symphony Plus para manter a continuidade do controle do processo durante os testes das funções de segurança IEC 61511. Documente todas as alterações de parâmetros no registro de validação SIL. Uma configuração de tempo limite de conexão de 2000 ms que não esteja documentada e avaliada é uma falha de conformidade que os auditores identificarão — e que pode invalidar a reivindicação SIL 2 para todo o loop de segurança.

Autor: Jiang Bolun é engenheiro de automação industrial com mais de 10 anos de experiência em PLC, DCS e sistemas de controle.