Современные технологические предприятия требуют от платформ управления высокой надёжности и готовности, а также надёжной защиты. Системные интеграторы должны предельно тщательно оценивать архитектуры распределённых систем управления (DCS) и систем аварийного отключения (ESD).

Эта комплексная техническая оценка содержит основные инженерные требования, модели аппаратного резервирования, требования к корпусам и программные параметры для критически важных промышленных приложений.

Ключевые требования к архитектуре систем DCS и ESD

Надёжная архитектура технологического предприятия требует выделенного функционального оборудования для регулирования технологических процессов и выполнения функций безопасности. Гибридные решения управления часто ставят под угрозу долгосрочную эксплуатационную целостность. Поэтому инженеры должны предусматривать отдельные, специально разработанные аппаратные и программные среды для систем DCS и ESD.

Архитектура DCS должна использовать топологию на основе узлов, а не уязвимую сервероцентричную структуру, чтобы исключить единичные точки отказа. В свою очередь, система ESD должна работать независимо и иметь минимальный сертифицированный уровень SIL-3.

Кроме того, обе системы требуют аппаратного резервирования контроллеров, источников питания и коммуникационных сетей. Резервирование ввода/вывода остаётся необязательным для стандартных контуров DCS, однако системы ESD требуют строго обязательного резервирования каналов ввода/вывода.

Производительность контроллера, память и защита от воздействия окружающей среды

Высокоскоростное безударное переключение между активным и резервным процессорами обеспечивает непрерывность управления во время планового технического обслуживания или аппаратных отказов. Основной контроллер непрерывно синхронизирует данные с горячим резервным устройством, выполняя переход на резерв в течение 100 мс.

Кроме того, процессоры должны иметь объём памяти не менее 64 МБ для обработки сложной логики управления. Для работы в жёстких условиях промышленного объекта оборудование поставщика должно иметь антикоррозионное конформное покрытие класса G3, соответствующее стандарту ANSI/ISA S71.04-1985.

Расширенные диагностические процедуры непрерывно контролируют каналы объекта, системные модули и блоки питания. Кроме того, конструкция должна защищать функции безопасности от падений напряжения, переходных процессов в электропитании, повреждения памяти и обрывов линий.

Конфигурации аппаратных модулей ввода/вывода и стандарты заземления

Правильное распределение модулей ввода/вывода предотвращает перегрузку каналов и упрощает поиск неисправностей на объекте. Модули аналогового ввода и вывода (AI/AO) должны поддерживать не более 16 каналов на плату.

Аналогично, модули дискретного ввода и вывода (DI/DO) должны поддерживать не более 64 каналов в сочетании с клеммными платами на 32 канала.

Для обеспечения динамического отклика процесса время сканирования процессора DCS, включая все диагностические накладные расходы, должно составлять не более 100 мс. Для логики ESD время сканирования не должно превышать 100 мс для устройств с тройным модульным резервированием (TMR) или 250 мс для систем с четверным модульным резервированием (QMR).

Инженеры также должны организовать три отдельные изолированные сети заземления: изолированное заземление системы, изолированное заземление экранов кабелей и заземление корпуса шкафа панели.

Ограничения загрузки процессора, диагностика и промышленная сеть

Проектировщики системы должны обеспечивать максимальную загрузку ЦП не более 60% в периоды пиковых нагрузок установки. Системные интеграторы должны представить подробные расчёты загрузки ЦП на этапе выпуска рабочей документации.

Аппаратный сторожевой таймер непрерывно отслеживает состояние процессора и при обнаружении неисправностей ЦП, памяти или питания немедленно формирует аварийные сигналы.

Энергонезависимая память защищает критически важный код приложения. Если используется энергозависимая оперативная память, отдельный резервный аккумулятор должен обеспечивать сохранность данных не менее 30 дней. Система должна выдавать предупреждение о низком заряде аккумулятора как минимум за одну неделю до его полного разряда.

Для связи на установке системные шкафы должны включать промышленные управляемые коммутаторы Ethernet как минимум с двумя оптическими портами (FO).

Конструкция панелей, корпуса и характеристики шкафов

Инженеры должны размещать аппаратные средства управления в отдельно стоящих промышленных шкафах известных производителей, таких как Rittal, Eldon или Hoffman. Панели должны иметь двустворчатые двери спереди и сзади, а также возможность ввода кабелей снизу.

Системные шкафы должны иметь на передней стороне хорошо заметно расположенные блоки интерфейса узлов (NIU), обеспечивая при этом строгое физическое разделение силовых линий и низковольтной сигнальной проводки. Для всех цифровых выходов требуются промежуточные реле гальванической развязки.

Инженерное программное обеспечение, диагностика и резерв для расширения

Пакет программного обеспечения платформы управления предварительно устанавливается на выделенные инженерные рабочие станции и поставляется с физическими установочными носителями. Среда программирования должна поддерживать стандартные языки Ladder Logic и функциональных блоковых диаграмм (FBD) для настройки DCS и ESD.

Инженерам необходима возможность изменять прикладную логику онлайн без прерывания текущих технологических операций. Системное программное обеспечение должно вести неизменяемый журнал аудита, отслеживающий каждое изменение конфигурации, идентификатор пользователя и временную метку.

Наконец, проекты требуют интегрированного OPC-сервера, инструментов сквозной передачи HART, программного обеспечения для управления активами (AMS), интерфейса веб-сервера и синхронизации часов по GPS. Физическая поставка оборудования должна включать 20% полностью подключённых и установленных резервных модулей ввода-вывода.

Сценарий применения: модернизация системы безопасности морской газокомпрессорной установки

На морском газодобывающем объекте потребовалась модернизация современной системы безопасности для замены устаревшей релейной системы аварийного отключения и контура старой DCS.

Проблема: на объекте часто происходили ложные отключения из-за электрических помех в аналоговых полевых цепях. Кроме того, существующая платформа не обеспечивала надлежащего аппаратного разделения между контурами управления и защитными блокировками, подвергая предприятие эксплуатационным рискам.

Решение: инженеры внедрили резервированную DCS на основе узлов в сочетании с полностью независимой системой ESD с тройным модульным резервированием (TMR) и рейтингом SIL-3. Они установили платы с покрытием G3 в шкафах Rittal со степенью защиты IP52 и реализовали изолированные сети заземления сигналов для стоек модулей.

Результат: новая платформа с двойной архитектурой устранила ложные срабатывания, обеспечила переключение управления менее чем за 80 мс и удерживала загрузку ЦП ниже 42%. Теперь технический персонал предприятия безопасно выполняет онлайн-обновление логики с помощью средств ведения полного журнала аудита.

Об авторе

Лю Кан — ведущий специалист по промышленной автоматизации с 15-летним опытом проектирования, ввода в эксплуатацию и оценки платформ DCS, ESD, PLC и систем приборного контроля турбин (TSI). Он специализируется на отказоустойчивых архитектурах управления, проектах функциональной безопасности с рейтингом SIL и коммуникациях по полевой шине для предприятий тяжёлой промышленности в Азии и на Ближнем Востоке.