Фафурин В.А., Терюшов И.Н. Автоматизация технологических процессов и производств

Подождите немного. Документ загружается.

13. Логика работы системы loo2D

В норме для минимизации ложных срабатываний система рабо-

тает по схеме 2оо2. Если диагностика обнаруживает отказ, то отклю-

чает выходную цепь данного канала, и система продолжает работу по

схеме loolD. Система остается работоспособной, поскольку второй

канал поддерживает общую нагрузку на выходе. Каждый канал имеет

сторожевой таймер, который служит вторичным средством

отключения выходов. В данной архитектуре используется межпро-

цессорное взаимодействие каналов для сравнения входных данных,

результатов вычислений, и выходных данных.

Все системы с архитектурой 1oo2D аттестуются по категориям

RC6 и SIL3.

Из всех рассмотренных до сих пор систем только системы с ар-

хитектурой 1oo2D имеют законное право на восстановление в режиме

on-line. Однако необходимо помнить, что для соответствия всего

контура защиты требуемому классу необходимо учитывать не только

категорию PLC, но и надежность, и степень резервирования, и уро-

вень диагностики полевого оборудования.

Системы loo2D предоставляют исключительно высокий уровень

диагностики. Это фактически означает, что в применении

дублированных процессоров на модулях управления

непосредственной необходимости нет.

Тем не менее, системы с дублированными процессорами на

каждом управляющем модуле существуют (см. рис. 7.1.14).

14. Важный пример архитектуры loo2D (рис. 7.1.14)

Рис. 7.1.14

В очередной раз необходимо обратить внимание на то

обстоятельство, что наличие двух процессоров на одном управляющем

мо дуле не меняет архитектуру системы.

Но вокруг систем с удвоенным количеством процессоров на

каждом управляющем модуле образовано такое количество

недоразумений и мистификаций, что необходимо подробно

представить и логику работы, и место данной архитектуры в общем

ряду систем безопасности.

Главное недоразумение, которое связано с системами этого рода,

и на котором необходимо остановиться, заключается в следующем.

Архитектуру loo2D с дублированными процессорами на модулях

управления некоторые энтузиасты этих систем защиты смело

определяют как архитектуру 2оо4, и даже 2oo4D.

15. Архитектура loo2D - модификация 2*2 ("2оо4")

Так же, как и для архитектур looID, 2oo2 и 1оо2, существуют

модификации архитектур loo2D с дублированными процессорами в

каждом управляющем модуле (рис. 7.1.15).

Рис. 7.1.15

Центральная часть системы построена по принципу 2*2, то есть

каждый, из двух управляющих модулей содержит по 2 микропроцессора.

В случае расхождения в работе какой-либо пары микропроцессоров,

данный канал выключается из работы, и система продолжает работу по

одноканальной схеме loolD. Исходная конфигурация систем мы может

быть восстановлена в течение предопределенного интервала в

реальном времени. Если по каким-либо причинам замена дефектного

модуля не может быть произведена, то в течение предопределенного

интервала времени система имеет возможность произвести

программно-управляемый останов процесса.

Архитектуру loo2D с дублированными процессорами на моду-

лях управления некоторые энтузиасты этих систем защиты смело

определяют как архитектуру 2оо4, и далее 2oo4D.

Можно и так — чего мелочиться, однако все еще существуют и

профессиональные точки зрения.

Замечание 1

Подобные рассуждения затрагивают только центральную

часть системы - модули управления. Степень резервирования моду-

лей ввода-вывода и полевого оборудования обычно далее не упомина-

ется. А если и упоминается, то и шины ввода-вывода, и входные и

выходные модули сами авторы концепции 2оо4 определяют все же

как схемы с архитектурой 1оо2.

Внимательно посмотрим на схему рис. 7.1.15. На самом деле

центральная часть этой системы работает по принципу 2 *2:

Каждая пара процессоров находится на одном модуле, и на

выходы системы воздействует модуль, а не индивидуальный

процессор.

Необходимо помнить, что по определению:

Под каналом понимается элемент, или группа элементов,

способных самостоятельно выполнять предопределенную функцию.

Поэтому далее если бы центральная часть этой системы

действительно реализовала архитектуру 2оо4 (для чего требуется

разместить процессоры на четырех модулях управления),

общеизвестно, что итоговая конфигурация определяется наиболее

слабым звеном, в том числе и в архитектурном отношении, и далее в

этом случае система определялась бы как система 1оо2.

Замечание 2

Четверка в коде архитектуры подразумевает существование не

только схемы 2оо4, но и схем Зоо4, и 1оо4, но об этом благоразумно

не упоминается, поскольку архитектура "2оо4" по схемам деградации

Зоо4 и 1оо4 работать не может.

Замечание 3

Работа центральной части системы "2оо4" в случае отказа од-

ного из процессоров эквивалентна работе на одном канале по схеме

loolD, и в этом смысле полностью эквивалентна логике работы

системы loo2D при отказе одного из процессоров.

Сравнивая структуру отказов архитектур 2*2 ("2оо4"), 2ооЗ и

loo2D, мы видим, что стандартно все они имеют одинаковые схемы

деградации:

• 4-2-0 (останов процесса после второго обнаруженного отка-

за).

• 3-2-0 (останов процесса после второго обнаруженного отка-

за).

• 2-1-0 (останов процесса после второго обнаруженного отка-

за).

Причем все три представленные архитектуры могут находить-

ся в составе одной функции безопасности - едином контуре защиты:

• Архитектура 2ооЗ - в конфигурации датчиков,

• Архитектура 1оо2 - в конфигурации модулей ввода-вывода и

исполнительных механизмов,

• Архитектура loo2D ("2oo4") - в конфигурации управляющих

модулей.

Приведенные соображения не дают повода для сомнений:

Очевидно, что в конфигурации 2*2 реализована схема loo2D.

Пара микропроцессоров используется только для самодиагно-

стики модуля управления, и только пара синхронно работающих

микропроцессоров модуля управления формирует работоспособный

канал. Каждый из каналов работает по схеме loolD:

Канал отключается после первой же обнаруженной ошибки, и

управление выходом системы полностью переходит к оставшемуся в

работе каналу. Поэтому необходимо интерпретировать данную схему

как двухканальную схему loo2D, понимая под кодом D специфиче-

ский способ взаимной диагностики каналов и управления выходом

системы.

Системы Ioo2D по определению имеют лучшую архитектуру из

всех существующих, и не нуждаются ни в каких дополнительных

рекламных трюках:

Все модификации архитектуры loo2D аттестуются по категориям

RC6 и SIL3.

16. Классические архитектуры 2ооЗ

TMR - Triple Modular Redundancy — системы со специфической

архитектурой на базе трех "голосующих" в порядке А-В, А-С, В-С

процессоров. Как сказано в стандарте IEC 61508:

"This architecture consists of three channels connected in parallel

with a majority voting arrangement for the output signals, such that the

output state is not changed if only one channel gives a different result

which disagrees with the other two channels. It is assumed that any diag-

nostic testing would only report the faults found and would not change any

output states or change the output voting".

"Эта архитектура состоит из трех каналов, соединенных па-

раллельно, с голосованием по принципу большинства таким образом,

что состояние выхода не меняется, если только один канал дает

результат, отличный от двух других каналов.

Предполагается, что любое диагностическое тестирование

будет только извещать об обнаруженных сбоях, и tie будет изменять

состояния выходов, или изменять выходное голосование".

Коротко и ясно. Но следует обратить внимание на последнюю

сентенцию. Мы с ней уже встречались, когда приводили цитаты

стандарта IEC 61508 для систем с архитектурами 2оо2 и 1оо2, также

не имеющих признака диагностики D.

В отличие от архитектур 1оо2, 2оо2 и 2ооЗ, системы loo2D име-

ют принципиально иную логику взаимодействия диагностических и

управляющих цепей, чем простое сравнение состояния процессоров.

И даже оказавшись в одиночестве, одиночный канал системы 1oo2D

имеет право контролировать общий выход системы в течение предо-

пределенного интервала времени. Как мы уже подробно исследовали

в главе 1 "Постановка задач промышленной безопасности",

двухканальная работа архитектуры 2ооЗ полностью эквивалентна

одноканальной работе архитектуры loo2D по схеме looID. Поэтому

одноканальная работа архитектуры 2ооЗ по схеме lool на

взрывоопасных производствах невозможна - результат не

предсказуем, ведь ей не за кого голосовать.

Примеры классических систем типа 2ооЗ - Tricon фирмы Tri-

conex (Invensys), и August (Triguard) фирмы ABB. Архитектура этих

систем представлена на рис. 7.1.16. Расчеты показывают, что в целом

эта конфигурация даже с учетом влияния отказов общего порядка

имеет меньшую надежность в сравнении с конфигурацией loo2D. A

без учета влияния общих отказов вероятность всех типов отказа

архитектуры 2ооЗ в ТРИ РАЗА ВЫШЕ, чем архитектуры loo2D (см.

IEC 61508, Part 6, Annex В, Tables B.2-B.5, В10-В.13).

Рис. 7.1.16

Причем необходимо обратить самое пристальное внимание на

то, что эти расчеты МЭК относятся только к центральной части сис-

темы, изображенной на рис. 7.1.16, действительно имеющей тройное

модульное резервирование. Для модулей ввода-вывода ситуация

серьезней - все три сегмента (Legs А, В, С) находятся на ОДНОЙ

плате. Более того, все модули ввода-вывода используют мультиплек-

сирование по 8, 16, 32 и даже 64 точкам ввода-вывода.

Существуют модификации систем с архитектурой 2ооЗ, которые

имеют по 2 микропроцессора на каждом модуле управления, напри-

мер, системы Tricon и Trident. Если в выражение вероятности отказа

архитектуры 2ооЗ Р

2оо3

= (λ

подставить удвоенную частоту отказа

канала, то вероятность отказа архитектуры 2ооЗ ("4оо6") составит

4oo6

=[(2λ

(λ

2oo3

то есть возрастет в четыре раза.

Таким образом, главное соотношение вероятностей отказа

дублированных и троированных архитектур сохраняется и при

удвоении числа элементов в канале:

PFD

10o2

: PFD

2003

= PFD

2oo4

: PFD.

4oo6

.. =1:3

Соотношение вероятностей отказа архитектур 1оо2 и 2ооЗ,

"2оо4" и "4оо6" при прочих равных условиях составляет

(PFD

1002

: PFD

2oo3

): (PFD„

2oo4

„: PFD„

4oo6

„) =>(1: 3):(1

)=>

=>(1:3): (4:12)

To есть вероятность отказа трех центральных модулей

управления архитектуры 2ооЗ ("4оо6") с парой процессоров в каждом

модуле на порядок выше, чем для классической архитектуры 1оо2.

Представленная на рис. 16 архитектура - далеко не единственно

возможная для систем 2ооЗ. Существуют системы с полным фи-

зическим разделением на три самостоятельные подсистемы с ут-

роенным набором управляющих модулей и модулей ввода-вывода

(например, система GMR фирмы General Electric Fanuc, - см. рис

7.1.17). Системы этого типа состоят из:

• Трех самостоятельных PLC, выполняющих одну и ту же ло-

гическую программу,

• Выносных или удаленных блоков ввода-вывода, и

• Тройной шины обмена данными между выносными блоками и

PLC, и PLC между собой.

Рис. 7.1.17

Как видно из рисунка 7.25, архитектура 2ооЗ может использо-

ваться и для резервирования датчиков, определяющих

взрывоопасность процесса, и, как правило, на альтернативной основе.

Большие системы защиты могут потребовать большее количество

подсистем ввода-вывода. Например, система, представленная ниже

(рис. 7.1.18), имеет две подсистемы ввода-вывода для шести

независимых шин данных и восемнадцати контроллеров.

Рис. 7.1.18

Можно только догадываться, сколько это решение может

стоить.

На этой оптимистической ноте обзор главных архитектур систем

безопасности завершается. В нескольких следующих разделах при-

водится краткое, и по возможности максимально формальное описание

ярких представителей контроллеров для систем безопасности,

имеющих базовые архитектуры looID, loo2D и 2ооЗ:

• Системы Quadlog фирмы Siemens Energy & Automation.

• Контроллеры семейства ProSafe фирмы Yokogawa Electric.

• Семейство контроллеров фирмы HIMA.

• Контроллеры Tricon фирмы Triconex (Invensys Systems Inc.).

17. Системы семейства QUADLOG (Siemens

Energy&Automation)

Система критического управления и обеспечения безопасности

технологических процессов QUADLOG предназначена для создания

приложений, предъявляющих особенно высокие требования к надёж-

ности, отказоустойчивости и безопасности: системы

противоаварийной защиты (ПАЗ), системы пожаро- и

газобезопасности, системы управления критическими процессами.

Система QUADLOG может быть непосредственно

интегрирована с распределённой системой управления

технологическим процессом в составе АСУТП.

В отличие от обычных контроллеров и систем управления, в ар-

хитектуру QUADLOG на всех уровнях встроены аппаратные и про-

граммные механизмы, обеспечивающие безопасность, надёжность и

отказоустойчивость, которые необходимы в самых ответственных

приложениях.

Система QUADLOG неоднократно проходила независимую меж-

дународную сертификацию, подтвердившую её наивысший для про-

граммируемых электронных систем управления уровень безопасно-

сти. Аппаратура QUADLOG предназначена для многолетней безава-

рийной эксплуатации и эффективного решения критических задач

управления и защиты в самых жёстких производственных условиях.

Технологическая эффективность QUADLOG получила широкое

признание на промышленных предприятиях во всём мире. Техниче-

ские возможности QUADLOG подтверждены всеми ведущими меж-

дународными и многими национальными сертификационными орга-

нами:

•Сертификат TUV для систем обеспечения безопасности уровня

АК 6.

•Сертификат IEC 61508 для систем обеспечения интегрального

уровня

безопасности SIL3.

•Сертификат соответствия стандартам и требованиям СС.

•Аттестат FM для использования во взрывоопасных зонах

класса I, раздел 2.

•Аттестат CSA для использования во взрывоопасных зонах

класса I, раздел 2.