TRICONEX Tricon TMR 3604E Digital-Ausgabemodul Versandbereit

Die TRICONEX 3604E ist ein hochdichtes digitales Ausgabemodul mit dreifacher Modularer Redundanz (TMR), das für das Tricon sicherheitsinstrumentierungssystem konzipiert ist. Das 3604E steuert 16 nicht gemeinsam geschaltete 24-Vdc-Ausgänge mit einer kontinuierlichen Stromstärke von 2 A pro Kanal. Jeder Ausgang wird von drei unabhängigen Messkreisen überwacht, die eine 2-aus-3-Hardware-Abstimmung (2oo3) durchführen, wodurch ein einzelner Schaltkreisfehler maskiert und Fehlauslösungen verhindert werden. Zu den internen Diagnosefunktionen zählen ein kontinuierlicher Selbsttest, Spannungs-Rückkopplung (Loopback), Erkennung von Unterbrechungen und Kurzschlüssen sowie kanalbezogene LOAD-/FUSE-Warnmeldungen. Zertifiziert nach IEC 61508 SIL 3 , die TRICONEX 3604E unterstützt es den Austausch unter Betrieb (Hot-Swap), akzeptiert eine breite Feldversorgungsspannung (22–45 Vdc) und ist mit mehreren Optionen für externe Abschlusspaneele (ETP) kompatibel. Es wird weltweit in Anwendungen für Notabschaltung (ESD), Brand- und Gasüberwachung (F&G), Brennermanagement (BMS) sowie Turbinensteuerung in den Branchen Öl & Gas, Petrochemie, Energieerzeugung und Pharmazie eingesetzt.

Notabschaltungssysteme (ESD-Systeme) – steuert sicherheitskritische Magnetventile, Entsorgungsventile und Notsperrventile in Raffinerien, LNG-Anlagen, chemischen Reaktoren und Offshore-Plattformen

Brand- und Gaswarnsystem (F&G) – aktiviert Sprinkler-Deluge-Ventile, akustische/visuelle Alarme, Lüftungsklappen und Feuerlöschfreigabeschaltungen bei Gas- oder Flammenerkennung

Brennersteuerungssysteme (BMS) – steuert flammensichere Absperrelemente, Spülklappen, Zündtransformatoren und zentrale Brennstoff-Auslöserelais für Kessel- und Ofensicherheit

Turbinensteuerung und Überschleunigungsschutz – betätigt Überschleunigungsauslöse-Magnetventile, Notstoppschaltungen, Schmiersystem-Abschaltungen und Regleraktuatoren für Gasturbinen und Dampfturbinen

Prozesssteuerung mit hoher Integrität – betreibt kritische Endelemente wie Motorstarter, Kompressor-Antisurge-Ventile, Pumpen-Stopschaltungen und Heizungsverriegelungen

Pharmazeutische und biotechnologische Fertigung – steuert Sicherheitsventile für Chargenreaktoren, Reinigungs-in-place-(CIP)-Schaltungen und Kontaminationsschutz-Verriegelungssysteme gemäß SIL-3-zertifizierter Sicherheitslogik

Dreifache modulare Redundanz (TMR) mit 2-aus-3-Abstimmung – drei unabhängige Ausgangskreise pro Kanal; jeder einzelne Kreisausfall wird automatisch maskiert; die verbleibenden beiden Kreise halten den korrekten Ausgangszustand auf

IEC-61508-SIL-3-zertifiziert – TÜV-zertifiziert für sicherheitsbezogene Instrumentierungsfunktionen bis zur höchsten Integritätsstufe; geeignet für de-energise-to-trip-Anwendungen (fehlersichere Abschaltung bei Spannungsverlust) sowie für energise-to-act-Anwendungen

16 nicht gemeinsam geschaltete (vollständig isolierte) Ausgangskanäle – jeder Kanal verfügt über eine eigene isolierte Rückleitung; keine gemeinsame Verkabelung zwischen Punkten; eliminiert Masse-Schleifen und Übersprechen zwischen Kanälen

2 A Dauerstrom / 10 A Spitzenstrom – direkte Ansteuerfähigkeit für große Magnetventile, Schütze, Relais, Alarmmelder und Motorstarter ohne externe Zwischenrelais

Weiter Feldspannungsbereich (22–45 Vdc) – akzeptiert nominelle 24-Vdc-Versorgungsspannungen mit großem Toleranzbereich; geeignet für industrielle Spannungsschwankungen und lange Kabelstrecken

1500 Vdc optogalvanische Isolation – Kanal-zu-Kanal- und Kanal-zur-Rückwand-Isolierung verhindert die Ausbreitung von Fehlern und schützt den Tricon-Prozessor vor elektrischen Störungen auf der Feldseite

Kontinuierliche Online-Selbstüberwachung – Spannungs-Rückkopplungsschaltung überprüft jeden Ausgangsschalter unabhängig vom Vorhandensein einer Last; erkennt Unterbrechung (keine Last), Kurzschluss gegen Versorgungsspannung/Masse, Überstrom und Sicherungsversagen

Spannungs-Rückkopplung und LOAD/FUSE-Alarm – aktives Rücklesen der tatsächlichen Ausgangsspannung; jede Abweichung zwischen dem vorgegebenen Zustand und der gemessenen Spannung löst einen Feldalarm aus, ohne dass externe Sensoren erforderlich sind

Hot-Swap-Fähigkeit – Online-Austausch des Moduls ohne Abschalten der Systemversorgung oder Unterbrechung des Prozesses; reduziert die Wartungsstillstandszeiten in aktiven sicherheitskritischen Umgebungen

LED-Anzeige pro Kanal an der Frontplatte – visuelle Statusanzeige für EIN (grün), AUS (aus), LOAD/FUSE-Fehler (gelb) und Kanalfehler (rot); LEDs für PASS, FAULT und ACTIVE zur Anzeige des allgemeinen Modulzustands

Mechanische Codierung und Auswerferhebel – Modul ist codiert, um die falsche Einsteckung in einen falschen Chassis-Slot zu verhindern; Auswerferhebel gewährleisten eine sichere Positionierung und die korrekte Verbindung mit der Rückwandplatine

Kompatibel mit mehreren externen Abschlusspanelen (ETPs) – funktioniert mit gemeinsamen, grundlegenden, nicht-zündfähigen (für explosionsgefährdete Bereiche) sowie Loop-back-Abschlusspanelen für flexible Feldverdrahtung

Erweiterte Diagnosefunktionen der „E“-Version – im Vergleich zu den Basismodellen bietet die 3604E erweiterte überwachte Fehlererkennung, einschließlich Lastseitenüberwachung und verbesserte Diagnoseabdeckung für anspruchsvolle Sicherheitsfunktionen

Dreifach ausgeführte Ausgangsansteuerung mit Hardware-Voting – jeder der 16 Ausgangskanäle enthält drei unabhängige Halbleiterschaltkreise (je einer pro TMR-Slice). Die Ausgangsdaten der drei Hauptprozessoren werden über den dreifach redundanten I/O-Bus an das Modul übertragen. Der vierfach redundante Ausgangsvoter des Moduls (2oo3) vergleicht die drei Signale; stimmen zwei überein, wird dieser Wert an die Feldgeräte weitergeleitet, wobei ein einzelner abweichender Schaltkreis maskiert wird.

Spannungs-Loopback-Rücklesungsverifikation – ein dedizierter Analog-Digital-Wandler pro Kanal misst kontinuierlich die tatsächliche Ausgangsspannung am Feldanschluss. Der gemessene Wert wird mit dem vorgegebenen Zustand (EIN oder AUS) verglichen. Bei einer Abweichung (z. B. Ausgang auf AUS gesetzt, aber Spannung vorhanden, oder auf EIN gesetzt, aber keine Spannung vorhanden) wird ein LOAD/FUSE-Alarm ausgelöst und die zugehörige LED leuchtet auf.

Leerlauf-(keine Last-)Erkennung – wenn der Ausgang auf AUS geschaltet wird, wird ein kleiner Diagnosestrom durch die Feldschaltung eingespeist. Falls der Rückstrom unterhalb der Mindestlastschwelle (ca. 10 mA) liegt, meldet das Modul einen Leerlauf-Fehler (fehlende oder unterbrochene Last). Diese Funktion überprüft die Integrität der Feldverdrahtung, ohne das Endelement zu aktivieren.

Kurzschluss- und Überstromschutz – Der Ausgangsstrom wird kontinuierlich überwacht. Wird eine anhaltende Überstrombedingung (Kurzschluss) erkannt, wird der Ausgang gesperrt und die Kanal-Fehleranzeige aktiviert. Eine nicht austauschbare Schmelzsicherung bietet absoluten Schutz vor katastrophalem Ausfall. Eine externe 2,5-A-Schnellsicherung (auf dem Anschlussfeld) bietet zusätzlichen Schutz für die Feldverdrahtung.

Kontinuierliche Selbstüberwachung – Das Modul testet periodisch alle kritischen Schaltungen: Versorgungsspannungen, interne Referenzspannungen, die Ausgangs-Abstimmungslogik, den Spannungs-Rückkopplungs-ADC sowie die Kommunikationsschnittstelle zu den Hauptprozessoren. Bei jedem Diagnosefehler leuchtet die FAULT-LED auf und der Fehlerzustand wird über die E/A-Datentabelle an die Anwendung gemeldet.

Hot-Swap-Betrieb – Wenn ein 3604E aus einem laufenden Chassis entfernt wird, erkennen die Hauptprozessoren den Ausfall und setzen den Betrieb mit den verbleibenden funktionsfähigen Modulen im Steckplatz fort (sofern ein Hot-Spare vorhanden ist). Bei einem Austausch 3604E eingeführt wird, initialisiert das System automatisch neu und bildet das Modul erneut ein, wodurch die vollständige 2oo3-Abstimmung ohne Stromzyklus wiederhergestellt wird.

Alarmmeldung pro Kanal – das Modul stellt vier diskrete Statusbits pro Kanal bereit: ON/OFF-Zustand (aus der Anwendung), median-gewählter Ausgangszustand (tatsächlicher Feldzustand), Leitungsfehlerstatus (Unterbrechung oder Kurzschluss) sowie Kanalintegrität (Slice-Fehler). Diese werden in die E/A-Datenstruktur eingebunden, um in der Sicherheitslogik verwendet zu werden.

Kaltstart und Initialisierung beim Einschalten – beim Einschalten führt das Modul einen vollständigen Selbsttest durch. Wird dieser bestanden, wartet das Modul auf die Konfiguration durch den Hauptprozessor. Die Ausgänge bleiben bis zum Empfang des aktiven Startbefehls durch den Prozessor stromlos. Die Taste FAULT RESET am Hauptprozessor löscht gespeicherte Ausgangsfehler nach Behebung eines Feldfehlers.

Fallback-/Fehlersicherheitszustand – Falls die Kommunikation mit dem Hauptprozessor unterbrochen wird oder ein kritischer interner Fehler erkannt wird, schaltet das Modul alle Ausgänge ab (ausfallsichere Standardfunktion). Der Standardzustand kann in der Modulkonfiguration für bestimmte Kanäle außer Kraft gesetzt werden, bei denen ein stromloser Zustand nicht die sichere Bedingung darstellt.