TRICONEX Tricon TMR 3604E digital udgangsmodul klar til afsendelse

Den TRICONEX 3604E er en højtydende, tredobbelt modulær redundant (TMR) digital udgangsmodul, der er designet til det Tricon sikkerhedsinstrumenterede system. Modulen 3604E styrer 16 ikke-fælles 24 Vdc-udgange med 2 A kontinuerlig strøm pr. kanal. Hver udgang understøttes af tre uafhængige målekredsløb, der udfører 2-ud-af-3 (2oo3)-hardwareafstemning, hvilket skjuler en enkelt kredsløbsfejl og forhindrer forkerte udløsninger. Indbyggede diagnostikfunktioner omfatter kontinuerlig selvtest, spændingsloopback, åbencirkuit- og kortslutningsdetektion samt LOAD/FUSE-alarm pr. kanal. Certificeret i henhold til IEC 61508 SIL 3 , den TRICONEX 3604E understøtter modulen varmskiftbar udskiftning, accepterer en bred feltforsyningssspænding (22–45 Vdc) og er kompatibel med flere valgmuligheder for eksterne afslutningspaneler (ETP). Den anvendes verden over i nødstopanlæg (ESD), brand- og gasovervågningsanlæg (F&G), brænderstyringsanlæg (BMS) og turbinestyringsanlæg inden for olie- og gasindustrien, petrokemisk industri, kraftværksdrift og farmaceutisk industri.

Nødstopsystemer (ESD) – styrer sikkerhedskritiske magnetventiler, afladningsventiler og nødblokeringsventiler i raffinaderier, LNG-anlæg, kemiske reaktorer og offshore-platforme

Brand- og gasbeskyttelse (F&G) – aktiverer sprinklerdelugeventiler, lyd-/synsalarme, ventilationsklapper og brandbekæmpelsesfrigivelseskredsløb ved gas- eller flammeopdagelse

Brænderstyringssystemer (BMS) – styrer flammesikkerhedsafbryderventiler, spülklapper, tændtransformatorer og hovedbrændstofafbrydereleer for kedel- og ovnsikkerhed

Turbinstyring og overspeed-beskyttelse – styrer overspeed-afbrydermagnetventiler, nødstopkredsløb, smøresystemafbrydelser og regulatoraktuatorer til gasturbiner og dampeturbiner

Højintegritets proceskontrol – driver kritiske slutelementer såsom motorstartere, kompressor-antisurgeventiler, pumpestopkredsløb og varmeapparatinterlocks

Farmaceutisk og bioteknologisk produktion – styrer sikkerhedsventiler til batchreaktorer, rengørings-i-stedet-kredsløb (CIP) og indeslutningsinterlocksystemer under SIL-3-certificeret sikkerhedslogik

Tripel modulær redundantstruktur (TMR) med 2 ud af 3 stemmeafgivning – tre uafhængige udgangskredsløb pr. kanal; enhver enkelt kredsfejl maskeres automatisk; de resterende to kredsløb opretholder korrekt udgangstilstand

IEC 61508 SIL 3-certificeret – godkendt af TÜV til sikkerhedsrelaterede funktioner op til den højeste integritetsniveau; egnet til de-energiser-til-udløsning (fail-safe) og energiser-til-aktivering-anvendelser

16 ikke-fælles (fuldstændigt isolerede) udgangskanaler – hver kanal har sin egen isolerede retur; ingen delt ledningsføring mellem punkter; eliminerer jordløkker og krydskanal-forstyrrelser

2 A kontinuerlig / 10 A spidsstrøm – direkte styringsmulighed for store magnetventiler, kontaktorer, relæer, alarmindikatorer og motorstartere uden eksterne mellemrelæer

Bred feltspændingsområde (22–45 Vdc) – accepterer nominelle 24 Vdc-forsyninger med stor tolerance; egnet til industrielle spændingssvingninger og lange kabellængder

1500 Vdc optogalvanisk isolation – kanal-til-kanal- og kanal-til-backplane-isolering forhindrer fejludbredelse og beskytter Tricon-processoren mod elektriske forstyrrelser fra felt-siden

Kontinuerlig online selvdiagnostik – spændingsloopback-kreds verificerer hver udgangsswitch uafhængigt af belastningens tilstedeværelse; registrerer åben kreds (ingen belastning), kortslutning til strøm/jord, overstrøm og sikringsfejl

Spændingsloopback og BELASTNING/SIKRING-alarm – aktiv tilbageslåning af den faktiske udgangsspænding; enhver afvigelse mellem kommanderet tilstand og målt spænding udløser en feltalarm uden behov for ekstern detektering

Mulighed for varmskift – online udskiftning af modul uden systemafbrydelse eller procesafbrydelse; reducerer vedligeholdelsesnedetid i aktive sikkerhedskritiske miljøer

Frontpanel-LED-indikatorer pr. kanal – visuel status for TIL (grøn), FRA (slukket), BELASTNING/SIKRING-fejl (ambar) og kanalfejl (rød); LED’er til GODKENDT, FEJL og AKTIV for modulets samlede helbred

Mekanisk nøgling og udkastningshåndtag – modulet er nøglet for at forhindre indførsel i en forkert chassisplads; udkastningshåndtag sikrer sikker placering og korrekt tilslutning til bagpladen

Kompatibelt med flere eksterne afslutningspaneler (ETP) – fungerer sammen med fællesafsluttede, grundlæggende, ikke-antændelige (farlige områder) og loop-back-afslutningspaneler til fleksibel felttilslutning

Forbedrede diagnosefunktioner i den udvidede "E"-version – i forhold til basismodellerne tilbyder 3604E avanceret overvåget fejldetektering, herunder overvågning af belastningssiden og forbedret dækningsgrad for diagnostik ved krævende sikkerhedsfunktioner

Tripliceret outputstyring med hardwareafstemning – hver af de 16 outputkanaler indeholder tre uafhængige solid-state-switchkredsløb (ét pr. TMR-sektion). Outputdata fra de tre hovedprocessorer sendes til modulet via den triplicerede I/O-bus. Modulets kvadruplerede outputafstemmer (2oo3) sammenligner de tre signaler; hvis to er enige, videregives denne værdi til feltet, hvilket skjuler én afvigende kreds.

Spændingsloopback-læsekontrol – en dedikeret analog-til-digital-konverter pr. kanal måler kontinuerligt den faktiske udgangsspænding ved feltterminalen. Den målte værdi sammenlignes med den kommanderede tilstand (TIL eller FRA). En afvigelse (f.eks. udgang kommanderet FRA, men spænding til stede, eller kommanderet TIL, men ingen spænding) udløser en LOAD/FUSE-alarm og tænder den tilsvarende LED.

Opdagelse af åben kreds (ingen belastning) – når udgangen kommanderes FRA, injiceres en lille diagnostisk strøm gennem feltkredsen. Hvis returstrømmen er under den minimale belastningstærskel (ca. 10 mA), rapporterer modulet en fejl på grund af åben kreds (manglende eller brudt belastning). Denne funktion verificerer integriteten af feltkablernes tilslutning uden at aktivere det endelige element.

Kortslutnings- og overstrømsbeskyttelse – udgangsstrømmen overvåges kontinuerligt. Hvis der registreres en vedvarende overstrømstilstand (kortslutning), låses udgangen fra, og fejlindekseren for kanalen aktiveres. Et ikke-udskifteligt smeltesikringslink giver absolut beskyttelse mod katastrofale fejl. En ekstern 2,5 A hurtigvirken-de sikring (på afslutningspanelet) tilbyder yderligere beskyttelse af feltkablingsforbindelserne.

Kontinuerlig selvdiagnostik – modulet udfører periodisk test af alle kritiske kredsløb: strømforsynings-spændinger, interne referencespændinger, udgangsafstemningslogikken, spændingsloopback-ADC’en og kommunikationsgrænsefladen til hovedprocessorerne. Enhver diagnosefejl aktiverer FAULT-LED’EN og rapporterer fejlen til applikationen via I/O-data-tabellen.

Drift under strøm (hot-swap) – når en 3604E fjernes fra et kørende chassi, registrerer hovedprocessorerne tabet og fortsætter med at fungere ved hjælp af de resterende fejlfrie moduler i slot’en (hvis en hot-spare er til stede). Når en erstatning 3604E indsættes, geninitialiserer og genopdrager systemet automatisk modulet og gendanner fuld 2oo3-afstemning uden behov for en strømcyklus.

Alarmrapportering pr. kanal – modulet leverer fire diskrete statusbits pr. kanal: TIL/FRA-status (fra applikationen), medianafstemt outputstatus (faktisk felttilstand), ledningsfejlstatus (åbent kredsløb eller kortslutning) og kanalens tilstand (fejl i slice). Disse er tilknyttet I/O-datastrukturen til brug i sikkerhedslogikken.

Kold start og initialisering ved tænding – ved tænding udfører modulet en komplet selvtest. Hvis testen bestås, venter modulet på konfiguration fra hovedprocessoren. Outputs forbliver deaktiverede, indtil processoren sender den aktive kørselskommando. FAULT RESET-knappen på hovedprocessoren nulstiller latched outputfejl, efter at en feltfejl er blevet rettet.

Fallback-/fejlsikret tilstand – hvis kommunikationen med hovedprocessoren går tabt, eller hvis en kritisk intern fejl opdages, deaktiverer modulet alle udgange (fejlsikret standardtilstand). Standardtilstanden kan tilsidesættes i modulets konfiguration for specifikke kanaler, hvor en deaktiveret tilstand ikke er den sikre betingelse.