Otimização do Tempo de Troca em Espera Quente e Varredura do Emerson DeltaV SIS

Por que o Hot Standby é Importante em Arquiteturas SIS

Um sistema instrumentado de segurança deve responder dentro do seu tempo de segurança de processo definido (PST). O Emerson DeltaV SIS SLS 1508 logic solver utiliza arquitetura de hardware 1oo2D, combinando um processador primário com um processador em hot standby. Ambos os processadores executam a mesma lógica continuamente. A troca ocorre em menos de 100 ms, atendendo aos requisitos de disponibilidade da IEC 61511 Cláusula 11.9 para loops SIL 2.

No entanto, uma configuração inadequada leva a trocas indesejadas que interrompem o controle e disparam alarmes falsos. A causa raiz geralmente é um temporizador watchdog mal configurado ou tempo de varredura excessivo. Intervalos de heartbeat desalinhados entre um Honeywell Safety Manager SC e um DeltaV SIS no mesmo gabinete ESD podem causar alarmes falsos de incompatibilidade diagnóstica semanas após a comissionamento.

Arquitetura de Sincronização Dual-Processor do SLS 1508

O SLS 1508 contém duas CPUs: CPU-A (primária) e CPU-B (standby). Elas compartilham um barramento de sincronização operando a 100 Mbps. A cada ciclo de varredura, a CPU-A escreve sua tabela de I/O para a CPU-B. A CPU-B compara os dados recebidos com seu próprio resultado de varredura. Um contador de incompatibilidade é incrementado a cada desvio. O watchdog aciona a troca quando o contador ultrapassa o limite configurável.

Parâmetros chave para verificar durante o comissionamento:

• Timeout do watchdog: padrão 500 ms, mínimo 200 ms para PST SIL 2 < 2 s
• Limite de incompatibilidade de sincronização: padrão 3 incompatibilidades consecutivas antes da troca
• Deslocamento de varredura da CPU-B: não deve exceder 10 ms em relação à CPU-A
• Intervalo de checksum de memória: a cada 60 s para verificação da integridade do código da aplicação

Acesse esses parâmetros no DeltaV Explorer em Propriedades do Controlador SLS. Configure o watchdog para 400 ms quando o PST for 1,5 s. Isso oferece uma margem de 1,1 s após a detecção da falha antes que o elemento final precise responder.

Orçamento de Tempo de Varredura e Conformidade com IEC 61511

A Cláusula 11.7.5 da IEC 61511 exige que o tempo de varredura do logic solver seja menor ou igual a um décimo do PST. Para um PST de 2 s, o tempo máximo de varredura é 200 ms. O DeltaV SIS normalmente opera em 100 ms para SIL 2 e 250 ms para SIL 1. Verifique o tempo real de varredura no DeltaV Diagnostics em Desempenho do Controlador.

• Passo 1: Abra o DeltaV Explorer. Navegue até Controlador SLS → Propriedades do Módulo → Estatísticas de Varredura.
• Passo 2: Registre o tempo máximo de varredura durante um período de 24 horas. Inclua picos em troca de turno.
• Passo 3: Identifique blocos funcionais que consomem mais de 5 ms individualmente. Estes são candidatos para separação.
• Passo 4: Mova blocos de lógica não relacionados à segurança (ex.: auxiliares de cálculo da matriz causa e efeito) para um controlador DeltaV CHARM I/O.
• Passo 5: Verifique novamente o tempo de varredura após redistribuição. Confirme que permanece abaixo de 180 ms com uma margem de 10%.

Isolamento de Falha de Troca: Procedimento em Cinco Passos

Trocas indesejadas geram uma entrada no DeltaV Event Chronicle com nível de severidade 10. Use o seguinte procedimento para isolar a causa raiz:

• Passo 1: Exporte o Event Chronicle dos 30 minutos anteriores à troca. Filtre pela fonte Controlador SLS. Procure incrementos no contador de incompatibilidade e alarmes de temperatura da CPU.
• Passo 2: Verifique a tensão da linha de alimentação 24 VDC nos terminais P1 e P2 do backplane do SLS 1508. Faixa aceitável é 21,6–26,4 VDC. Tensão abaixo de 22 VDC causa erros no barramento de sincronização.
• Passo 3: Verifique o cabo do barramento de sincronização entre as duas placas CPU. O DeltaV SIS usa um cabo flat proprietário. Inspecione pinos dobrados no conector da placa. Substitua se a resistência entre o pino 1 e o pino 16 exceder 5 Ω.
• Passo 4: Revise o log de incompatibilidade de I/O. Um canal de entrada específico aparecendo repetidamente indica dispositivo de campo com falha ou terminação solta. Verifique o bloco de terminais DIN associado quanto a oxidação.
• Passo 5: Confirme que a revisão do firmware em ambas as CPUs é idêntica. Navegue até Propriedades do Controlador SLS → Diagnósticos → Versão do Firmware. Versões de firmware diferentes causam incompatibilidades contínuas de baixo nível a 1–2 por minuto.

Impacto do PFDavg de Tempos de Varredura Estendidos

Um tempo de varredura que excede o orçamento da IEC 61511 não causa uma parada imediata. No entanto, ele inflaciona o crédito de cobertura diagnóstica reivindicado no cálculo de verificação SIL. A Emerson classifica a cobertura diagnóstica do SLS 1508 em 99% (DC = 0,99) somente quando o tempo de varredura permanece dentro do valor nominal. Se o tempo de varredura ultrapassar 200 ms para um loop SIL 2 com intervalo de teste de prova de 1 ano (Ti = 8.760 h) e λDU = 2×10⁻⁶/h, o PFDavg sobe de 0,0088 para aproximadamente 0,0115 — ultrapassando o limite superior SIL 2 de 0,01.

As instalações do Honeywell Safety Manager SC frequentemente operam ao lado do DeltaV SIS no mesmo gabinete ESD. O Safety Manager usa um ciclo de tarefa de 200 ms por padrão. Garanta que os dois sistemas compartilhem a mesma fonte de tempo NTP — use um relógio GPS disciplinado stratum 1 na rede OT. Um desvio de tempo acima de 50 ms entre os dois sistemas SIS causa desordem nos logs de sequência de eventos, invertendo causas iniciadoras e respostas do elemento final.

Conclusão e Recomendações de Ação

O desempenho do hot standby do Emerson DeltaV SIS depende de três fatores: alinhamento do temporizador watchdog, conformidade com o orçamento de tempo de varredura e integridade do barramento de sincronização. Comece com uma linha de base de tempo de varredura de 24 horas antes da aceitação final. Confirme que o limite de incompatibilidade e a revisão do firmware são idênticos em ambas as CPUs. Redistribua blocos funcionais se a utilização da CPU ultrapassar 80%. Valide a alimentação 24 VDC nos terminais do backplane. Esses passos protegem seu cálculo PFDavg SIL 2 e previnem trocas indesejadas na produção. Documente cada alteração de parâmetro com registros de estado inicial e final conforme a IEC 61511 Cláusula 16.3.

Autor: Chen Hao é engenheiro de automação industrial com mais de 10 anos de experiência em PLC, DCS e sistemas de controle.