Module de sortie numérique du système de sécurité fiable ICS TRIPLEX T8461C prêt à expédier

La ICS TRIPLEX T8461C est un module de sortie numérique fiable TMR 24 Vcc / 48 Vcc qui pilote 40 dispositifs de terrain indépendants. Chaque canal de sortie utilise des circuits redondants triples avec vote matériel « 2 sur 3 » (2oo3), éliminant ainsi les points de défaillance uniques. Les diagnostics embarqués comprennent une surveillance automatique des lignes (détection de circuit ouvert / court-circuit), une protection contre les surintensités sans fusibles externes, et l’enregistrement d’une séquence d’événements (SOE) avec une résolution de 1 ms. Le T8461C prend en charge le remplacement à chaud via des configurations « Companion Slot » ou « SmartSlot » et est certifié TÜV selon la norme IEC 61508 SIL 3, ce qui le rend idéal pour les fonctions instrumentées de sécurité les plus exigeantes dans les systèmes d’arrêt d’urgence (ESD) et de protection incendie et gaz (F&G).

Systèmes d'arrêt d'urgence (ESD) – commande directe de vannes solénoïdes critiques pour la sécurité, de vannes de vidange et de relais d’arrêt d’urgence dans les raffineries, les usines de GNL et les installations chimiques

Protection incendie et gaz (F&G) – actionnement des équipements de lutte contre l'incendie (sprinklers, vannes à déluge), des alarmes sonores/visuelles et des volets de ventilation

Systèmes de gestion des brûleurs (BMS) – alimentation des vannes de sécurité anti-flamme et déclenchement des cycles de purge des brûleurs dans les chaudières et les fours

Contrôle des turbines – actionnement des électrovannes de coupure d'urgence en cas de survitesse, des circuits d'arrêt d'urgence et des coupures du système de lubrification pour les turbines à gaz et à vapeur

Contrôle de processus à haute intégrité – commande des actionneurs critiques dans les réacteurs discontinus, les vannes de sectionnement sur les canalisations et les systèmes anti-pompage des compresseurs

Configurations SmartSlot / Companion Slot – fourniture d'une commande de sortie non redondante 1oo1, redondante 1oo2 ou remplaçable en ligne au sein d'un châssis Trusted I/O

40 voies de sortie TMR – 40 sorties numériques entièrement redondantes à triple module, chacune dotée d'un réseau de commutation à six éléments soumis à un vote

Certifié IEC 61508 SIL 3 – agréé par le TÜV pour les fonctions instrumentées de sécurité, avec tolérance aux pannes au premier défaut et comportement « échec sécurisé » au deuxième défaut

Fonctionnement sélectionnable en 24 Vcc ou 48 Vcc – Tension de sortie par canal configurable par logiciel (plage de 18 à 56 Vcc)

Surveillance automatique de la ligne – Détection de circuit ouvert et de court-circuit par canal ; les défauts à vide sont signalés à l’application

Protection automatique contre les surintensités – Limitation électronique du courant par canal et protection auto-verrouillante contre les courts-circuits – aucune fusible externe requise

isolation opto-galvanique de 2500 V – Entre le côté champ, le côté logique et le bus inter-modules

Séquence d’événements embarquée (SOE) – Enregistrement des événements avec une résolution de 1 ms pour chaque changement d’état de sortie

Capacité de remplacement à chaud – remplacement de module en ligne à l’aide d’un emplacement dédié Companion Slot (adjacent) ou SmartSlot (emplacement de secours partagé)

Cinq groupes d’alimentation isolés – chaque groupe de huit sorties dispose d’une alimentation de champ et d’un retour indépendants ; les groupes sont isolés jusqu’à 50 V renforcé

Diagnostics complets en ligne – autotest continu des commutateurs de sortie, surveillance de la modulation de la porte, détection de blocage à l’état marche ou à l’état arrêt

Indicateurs LED sur le panneau avant – état par canal (marche/arrêt, défaut de ligne, défaut de canal), ainsi que voyants indiquant l’état du module (sain, actif, en veille, calibré)

Gestion des pannes TMR – première panne : tolérance aux pannes (le système continue de fonctionner) ; deuxième panne : sécurité intégrée (le groupe de sorties est désénergisé via l’interrupteur de sécurité intégrée du groupe)

Large plage de température plage de température standard : de 0 °C à +60 °C ; plage étendue : de –40 °C à +70 °C (T8461C)

vote de sortie 2-sur-3 (2oo3) – trois tranches de processeur indépendantes (A, B, C) reçoivent chacune les données de sortie du processeur fiable à redondance triple (TMR) ; un voteur matériel sélectionne la valeur majoritaire. Si l’une des tranches tombe en panne ou diverge, les deux tranches restantes assurent le contrôle correct de la sortie.

Topologie de commutateur à six éléments à sécurité intrinsèque – chaque canal de sortie est constitué de trois paires de commutateurs à sécurité intrinsèque (une paire par tranche). Chaque paire comprend un commutateur supérieur normalement ouvert (N.O.) (commandé par sa propre tranche) et un commutateur inférieur normalement fermé (N.C.) (commandé par la tranche amont). Cette disposition garantit qu’après la défaillance complète d’une tranche, les deux tranches restantes continuent d’alimenter la charge.

Diagnostic par modulation de la tension de grille – pendant que la sortie est sous tension, le module module la tension de grille de chaque commutateur (un à la fois) et analyse le petit signal alternatif résultant afin de déterminer la résistance à l’état passant, la tension seuil et l’état de santé du commutateur. Le courant de charge n’est pas interrompu.

Détection automatique des défauts sur la ligne – La tension et le courant sont mesurés en continu. Les sorties sous tension signalent un circuit ouvert (sans charge), un court-circuit (surintensité verrouillée) ou un fonctionnement normal. Les sorties hors tension peuvent éventuellement effectuer une excitation partielle (moins de 2 V ou 100 mA) afin de mesurer la résistance de la boucle ; un court-circuit (résistance < 40 Ω) est détecté et signalé.

Interrupteurs de sécurité par groupe – Chaque groupe d’alimentation (8 canaux) comprend un interrupteur de sécurité par groupe en triple parallèle (un par tranche). Si deux tranches ou plus détectent qu’une sortie ne peut pas être désactivée (coincée en position activée), n’importe quelle tranche peut commander son propre ISG ainsi que ceux des deux autres tranches pour les ouvrir. Si deux tranches agissent, le dernier ISG restant s’ouvre, désactivant ainsi l’ensemble du groupe.

Séquence des événements (SOE) – Le module horodatage chaque changement d’état des sorties (marche→arrêt, arrêt→marche) avec une résolution de 1 ms. Lorsqu’il est interrogé par le processeur TMR, l’horodatage et le nouvel état sont transférés et enregistrés dans le journal système SOE.

Surveillance de maintenance – les tensions internes (24 V pour le bus arrière, 8 V pour les alimentations des modules, alimentation de champ par groupe), les températures des cartes (HIU, FIU par groupe) et la consommation de courant sont mesurées en continu et signalées via les registres de télémétrie (baie 7) à des fins de diagnostic.

Changement actif / veille – lorsqu’un module T8461C secondaire est installé dans un emplacement compagnon, le processeur TMR forme le module en veille. En cas de détection d’une défaillance sur le module actif, le processeur effectue un basculement sans interruption : le module en veille est configuré, les données dynamiques de basculement (COD) sont transférées, et le module en veille devient actif sans interruption de la sortie.

Comportement au démarrage à froid – après installation, le module démarre, est formé par le processeur, puis la LED « Run » passe à l’orange. Les sorties ne sont pas sous tension. L’appui sur le bouton de réinitialisation des erreurs du processeur place le module en mode actif (LED « Run » verte) et les sorties suivent la logique applicative.