ICS TRIPLEX Vertrauenswürdiges Sicherheitssystem Digital-Ausgabemodul T8461C Versandbereit

Die ICS TRIPLEX T8461C ist ein vertrauenswürdiges TMR-Digitalausgabemodul mit 24 Vdc / 48 Vdc, das 40 unabhängige Feldgeräte steuert. Jeder Ausgangskanal verwendet dreifach redundante Schaltungen mit einer 2-aus-3-(2oo3)-Hardware-Abstimmung, wodurch Einzelpunktausfälle ausgeschlossen werden. Die integrierte Diagnose umfasst eine automatische Leitungsüberwachung (Erkennung von Unterbrechungen / Kurzschlüssen), einen Überstromschutz ohne externe Sicherungen sowie die Aufzeichnung von Ereignisabläufen (SOE) mit einer Auflösung von 1 ms. Das T8461C unterstützt den Hot-Swap-Austausch über Companion-Slot- oder SmartSlot-Konfigurationen und ist vom TÜV nach IEC 61508 SIL 3 zertifiziert, wodurch es sich ideal für die anspruchsvollsten sicherheitsrelevanten Funktionen in Notabschaltungssystemen (ESD) und Brand- und Gaswarnsystemen (F&G) eignet.

Notabschaltungssysteme (ESD) – direkte Steuerung sicherheitskritischer Magnetventile, Druckentlastungsventile und Abschaltrelais in Raffinerien, LNG-Anlagen und chemischen Anlagen

Brand- und Gaswarnsystem (F&G) – Betätigung von Feuerlöschgeräten (Sprinkler, Regenwalzenventile), akustischen/visuellen Alarmen und Lüftungsklappen

Brennersteuerungssysteme (BMS) – Einspeisung von Flammensicherheits-Absperrventilen und Einleitung von Brenner-Spülzyklen in Kesseln und Öfen

Turbinensteuerung – Ansteuerung von Überschleunigungs-Auslösesolenoiden, Notstop-Schaltungen und Schmiersystem-Abschaltungen für Gasturbinen und Dampfturbinen

Prozesssteuerung mit hoher Integrität – Steuerung kritischer Stellglieder in Chargenreaktoren, Rohrleitungs-Blockventilen und Kompressor-Anti-Surge-Systemen

SmartSlot-/Companion-Slot-Konfigurationen – Bereitstellung einer 1oo1-nicht-redundanten, 1oo2-redundanten oder online austauschbaren Ausgangssteuerung innerhalb eines Trusted-I/O-Gehäuses

40 TMR-Ausgangskanäle – 40 vollständig dreifach-modular redundante digitale Ausgänge, jeweils mit sechselementarem abgestimmtem Schalterarray

IEC-61508-SIL-3-zertifiziert – Von der TÜV für sicherheitsbezogene Instrumentierungsfunktionen zugelassen mit Fehler-Toleranz beim Erstfehler und fehlersicherem Verhalten beim Zweitfehler

Wählbare Betriebsspannung von 24 Vdc oder 48 Vdc – pro Kanal softwarekonfigurierbare Ausgangsspannung (Bereich: 18–56 Vdc)

Automatische Leitungsüberwachung – Erkennung von Leerlauf und Kurzschluss pro Kanal; Lastlos-Fehler werden an die Anwendung gemeldet

Automatischer Überstromschutz – elektronische, pro Kanal wirkende Strombegrenzung und selbstverriegelnder Kurzschluss-Fehlerschutz – keine externen Sicherungen erforderlich

2500-V-Optogalvanische Trennung – zwischen Feldseite, Logikseite und Inter-Modul-Bus

Integrierte Ereignisabfolge (SOE) – Ereignisprotokollierung mit 1-ms-Auflösung für jede Änderung des Ausgangszustands

Hot-Swap-Fähigkeit – Online-Modulaustausch mithilfe eines dedizierten Companion-Slots (benachbart) oder SmartSlots (gemeinsamer Ersatzplatz)

Fünf isolierte Stromgruppen – Jede Gruppe aus acht Ausgängen verfügt über eine unabhängige Feldversorgung und -rückführung; die Gruppen sind mit 50 V verstärkt isoliert

Umfassende Online-Diagnose – Kontinuierlicher Selbsttest der Ausgangsschalter, Überwachung der Gatesteuermodulation, Erkennung von Feststecken-in-ein- bzw. Feststecken-in-aus-Zuständen

LED-Anzeigen auf der Frontplatte – Status pro Kanal (ein/aus, Leitungsfehler, Kanalfehler) sowie Modul-Status: funktionsfähig, aktiv, Standby, LEDs zur Statusanzeige

TMR-Fehlerbehandlung – Erster Fehler: fehlertolerant (System bleibt in Betrieb); zweiter Fehler: ausfallsicher (Ausgangsgruppe wird über den gruppenweisen Ausfallschutzschalter stromlos geschaltet)

Weit gefasster Temperaturbereich standard: 0 °C bis +60 °C; erweitert: –40 °C bis +70 °C (T8461C)

2-aus-3-Ausgangsabstimmung (2oo3) – drei unabhängige Prozessor-Slices (A, B, C) empfangen jeweils die Ausgabedaten vom vertrauenswürdigen TMR-Prozessor; ein Hardware-Voter wählt den Mehrheitswert aus. Falls ein Slice ausfällt oder abweicht, stellen die verbleibenden beiden Slices weiterhin eine korrekte Ausgabesteuerung sicher.

Sechselementige ausfallsichere Schaltertopologie – jeder Ausgangskanal ist als drei ausfallsichere Schalterpaare aufgebaut (ein Paar pro Slice). Jedes Paar besteht aus einem normalerweise geöffneten (N.O.) oberen Schalter (gesteuert durch seinen eigenen Slice) und einem normalerweise geschlossenen (N.C.) unteren Schalter (gesteuert durch den vorgelagerten Slice). Diese Anordnung stellt sicher, dass auch nach einem vollständigen Ausfall eines Slices die beiden verbleibenden Slices die Last weiterhin versorgen.

Diagnose der Gate-Spannungsmodulation – während die Ausgabe aktiviert ist, moduliert das Modul nacheinander die Gate-Spannung jedes Schalters und analysiert das resultierende kleine Wechselspannungssignal, um den Einschaltwiderstand, die Schwellenspannung und den Zustand des Schalters zu bestimmen. Der Laststrom wird nicht unterbrochen.

Automatische Leitungsfehlererkennung – Spannung und Strom werden kontinuierlich gemessen. Aktivierte Ausgänge melden einen Leerlauf (keine Last), einen Kurzschluss (Überstrom gesperrt) oder den Normalbetrieb. Bei deaktivierten Ausgängen kann optional eine Teilaktivierung (weniger als 2 V oder 100 mA) durchgeführt werden, um den Schleifenwiderstand zu messen; ein Kurzschluss (Widerstand < 40 Ω) wird erkannt und gemeldet.

Gruppensicherheitsschalter – Jede Leistungsgruppe (8 Kanäle) enthält einen dreifach parallelen Gruppensicherheitsschalter (je ein Schalter pro Slice). Wenn zwei oder mehr Slices erkennen, dass ein Ausgang nicht deaktiviert werden kann („hängt“ im eingeschalteten Zustand), kann jeder Slice seinen eigenen Gruppensicherheitsschalter sowie die der beiden anderen Slices öffnen. Werden zwei Slices aktiv, öffnet sich der letzte verbleibende Gruppensicherheitsschalter und schaltet damit die gesamte Gruppe ab.

Ereignisfolge (SOE) – Das Modul protokolliert jeden Zustandswechsel der Ausgänge (Ein → Aus, Aus → Ein) mit einer Auflösung von 1 ms. Bei Abfrage durch den TMR-Prozessor werden Zeitstempel und neuer Zustand hochgeladen und in das System-SOE-Protokoll (Sequence of Events) geschrieben.

Betriebsüberwachung – interne Spannungen (24-V-Backplane, 8-V-Slice-Versorgung, Feldversorgung pro Gruppe), Platinentemperaturen (HIU, FIU pro Gruppe) und Stromaufnahme werden kontinuierlich gemessen und über Housekeeping-Register (Rack 7) zu Diagnosezwecken gemeldet.

Aktiv-/Standby-Umschaltung – wenn eine sekundäre T8461C in einem Companion-Slot installiert ist, bildet der TMR-Prozessor das Standby-Modul aus. Bei einer Störungserkennung im aktiven Modul führt der Prozessor eine störungsfreie Umschaltung durch: Das Standby-Modul wird konfiguriert, dynamische Umschaltdaten (COD) werden übertragen, und das Standby-Modul geht ohne Unterbrechung der Ausgänge in den aktiven Zustand über.

Kaltstartverhalten – nach der Installation startet das Modul, wird vom Prozessor ausgebildet, und die Betriebs-LED leuchtet dann gelb. Die Ausgänge sind nicht aktiviert. Durch Drücken der Fehler-Reset-Taste des Prozessors wird das Modul in den aktiven Zustand versetzt (Betriebs-LED grün), und die Ausgänge folgen der Anwendungslogik.