Module de sortie numérique TMR 3604E Tricon TRICONEX prêt à expédier

La TRICONEX 3604E est un module de sortie numérique à redondance triple (TMR) haute densité conçu pour le Tricon système d’instrumentation de sécurité. Le 3604E pilote 16 sorties 24 Vcc non communes avec un courant continu de 2 A par canal. Chaque sortie est dotée de trois circuits de mesure indépendants qui effectuent un vote matériel « deux sur trois » (2oo3), masquant ainsi une défaillance unique d’un circuit et empêchant les déclenchements intempestifs. Les diagnostics embarqués comprennent des auto-tests continus, une boucle de retour de tension, la détection de circuits ouverts et de courts-circuits, ainsi que des alarmes « CHARGE/FUSIBLE » par canal. Certifié conformément à IEC 61508 SIL 3 , le TRICONEX 3604E il prend en charge le remplacement à chaud, accepte une large plage de tension d’alimentation externe (22–45 Vcc) et est compatible avec plusieurs options de panneaux de raccordement externes (ETP). Il est déployé dans le monde entier dans des applications de coupure d’urgence (ESD), de détection incendie et de gaz (F&G), de gestion des brûleurs (BMS) et de commande de turbines, notamment dans les secteurs du pétrole et du gaz, de la pétrochimie, de la production d’énergie et de l’industrie pharmaceutique.

Systèmes d’arrêt d’urgence (ESD) – pilote des électrovannes critiques pour la sécurité, des électrovannes d’évacuation et des électrovannes d’urgence dans les raffineries, les usines de GNL, les réacteurs chimiques et les plates-formes offshore

Protection incendie et gaz (F&G) – alimente les électrovannes de système d’arrosage (deluge), les alarmes sonores/visuelles, les volets de ventilation et les circuits de déclenchement des systèmes de lutte contre l’incendie dès la détection de gaz ou de flamme

Systèmes de gestion des brûleurs (BMS) – commande les électrovannes de sécurité anti-flamme, les volets de purge, les transformateurs d’allumage et les relais maîtres de coupure du carburant pour la sécurité des chaudières et des fours

Contrôle des turbines et protection contre les survitesses – pilote les électroaimants de déclenchement en cas de survitesse, les circuits d’arrêt d’urgence, les coupures des systèmes de lubrification et les actionneurs de régulateur pour les turbines à gaz et à vapeur

Contrôle de processus à haute intégrité – commande des éléments finaux critiques tels que les démarreurs moteurs, les vannes anti-pompage des compresseurs, les circuits d’arrêt des pompes et les verrous des chauffages

Fabrication pharmaceutique et biotechnologique – commande les électrovannes de sécurité des réacteurs par lots, les circuits de nettoyage en place (CIP) et les systèmes de verrouillage de confinement conformément à une logique de sécurité certifiée SIL-3

Redondance modulaire triple (TMR) avec vote 2 sur 3 – trois circuits de sortie indépendants par canal ; toute défaillance d’un circuit unique est automatiquement masquée ; les deux circuits restants maintiennent l’état de sortie correct

Certifié IEC 61508 SIL 3 – homologué TÜV pour les fonctions instrumentées de sécurité jusqu’au niveau d’intégrité le plus élevé ; adapté aux applications « désexcitation pour déclenchement » (à sécurité intrinsèque) et « excitation pour action »

16 canaux de sortie non communs (entièrement isolés) – chaque canal dispose de sa propre borne de retour isolée ; aucune connexion partagée entre points ; élimine les boucles de masse et les interférences entre canaux

courant continu de 2 A / courant de pointe de 10 A – capacité de commande directe de grandes électrovannes, contacteurs, relais, indicateurs d’alarme et démarreurs de moteurs, sans relais intermédiaires externes

Plage étendue de tension d’alimentation sur le terrain (22 – 45 Vcc) – accepte des alimentations nominales de 24 Vcc avec une grande tolérance ; adapté aux fluctuations industrielles de tension et aux longues distances de câblage

isolation opto-galvanique de 1500 Vcc – isolation canal-par-canal et canal-vers-plateau arrière empêchant la propagation des défauts et protégeant le processeur Tricon contre les perturbations électriques provenant du côté champ

Autodiagnostic en continu en ligne – circuit de boucle de tension vérifiant indépendamment chaque commutateur de sortie, quelle que soit la présence ou non d’une charge ; détecte les circuits ouverts (absence de charge), les courts-circuits vers l’alimentation ou la masse, les surintensités et les défaillances de fusible

Boucle de tension et alarme CHARGE/FUSIBLE – lecture active de la tension de sortie réelle ; toute discordance entre l’état commandé et la tension mesurée déclenche une alarme côté champ sans nécessiter de détection externe

Capacité de remplacement à chaud – remplacement en ligne du module sans coupure d’alimentation du système ni interruption du processus ; réduit les temps d’arrêt liés à la maintenance dans des environnements critiques pour la sécurité en fonctionnement

Indicateurs DEL frontaux par canal – indication visuelle de l’état : ACTIF (vert), INACTIF (éteint), défaut CHARGE/FUSIBLE (ambre) et défaut canal (rouge) ; DEL PASSAGE, DÉFAILLANCE et ACTIF pour l’état général du module

Clavetage mécanique et leviers d’éjection – Le module est doté d’un système de clé pour empêcher son insertion dans un emplacement incorrect du châssis ; les leviers d’éjection garantissent un positionnement sécurisé et une connexion correcte au plan arrière

Compatible avec plusieurs panneaux de terminaison externes (ETP) – Fonctionne avec des panneaux de terminaison communs, basiques, non incendives (pour zones dangereuses) et à boucle fermée, offrant une grande souplesse pour le câblage sur site

Diagnostics version « E » améliorés – Par rapport aux modèles de base, la 3604E offre une détection supervisée avancée des défauts, y compris la surveillance du côté charge et une couverture diagnostique améliorée pour des fonctions de sécurité exigeantes

Commande triplicée des sorties avec vote matériel – Chacun des 16 canaux de sortie intègre trois circuits indépendants de commutation à semi-conducteurs (un par tranche TMR). Les données de sortie provenant des trois processeurs principaux sont transmises au module via le bus d’E/S triplicé. Le dispositif de vote quadruplé des sorties du module (2 sur 3) compare les trois signaux ; si deux d’entre eux concordent, cette valeur est transmise au terrain, masquant ainsi un circuit divergent unique.

Vérification en boucle fermée par lecture de retour de tension – un convertisseur analogique-numérique dédié par canal mesure en continu la tension de sortie réelle au niveau de la borne de champ. La valeur mesurée est comparée à l’état commandé (MARCHÉ ou ARRÊT). Une incohérence (par exemple, une sortie commandée à l’arrêt alors qu’une tension est présente, ou commandée à la marche alors qu’aucune tension n’est détectée) déclenche une alarme CHARGE/FUSIBLE et allume la LED correspondante.

Détection d’un circuit ouvert (sans charge) – lorsque la sortie est commandée à l’ARRÊT, un faible courant de diagnostic est injecté dans le circuit de champ. Si le courant de retour est inférieur au seuil minimal de charge (≈ 10 mA), le module signale une défaillance de circuit ouvert (charge absente ou défectueuse). Cette fonctionnalité vérifie l’intégrité du câblage de champ sans alimenter l’élément final.

Protection contre les courts-circuits et les surintensités – Le courant de sortie est surveillé en continu. En cas de surintensité prolongée (court-circuit) détectée, la sortie est verrouillée à l’état désactivé et l’indicateur de défaut du canal s’allume. Un lien fusible non remplaçable assure une protection absolue contre toute défaillance catastrophique. Un fusible externe rapide de 2,5 A (sur le panneau de raccordement) offre une protection supplémentaire des câblages sur site.

Autodiagnostic continu – Le module teste périodiquement tous les circuits critiques : les tensions d’alimentation, les tensions de référence internes, la logique de vote des sorties, le convertisseur analogique-numérique (CAN) de boucle de tension et l’interface de communication avec les processeurs principaux. Tout échec de diagnostic allume la LED DE DÉFAUT et signale la condition à l’application via la table de données E/S.

Fonctionnement à chaud (hot-swap) – Lorsqu’un 3604E est retiré d’un châssis en fonctionnement, les processeurs principaux détectent cette perte et poursuivent leur fonctionnement en utilisant les modules sains restants dans l’emplacement concerné (si un module de secours à chaud est présent). Lorsqu’un remplacement 3604E est inséré, le système réinitialise et rééduque automatiquement le module, restaurant ainsi le vote complet 2oo3 sans cycle d’alimentation.

Signalement des alarmes par canal – le module fournit quatre bits d’état discrets par canal : état ACTIF/INACTIF (provenant de l’application), état de sortie déterminé par vote médian (état réel du champ), état de défaut de ligne (circuit ouvert ou court-circuit) et état de santé du canal (défaut de tranche). Ces informations sont intégrées dans la structure de données E/S pour être utilisées dans la logique de sécurité.

Démarrage à froid et initialisation au démarrage – au démarrage, le module effectue un autotest complet. En cas de réussite, le module attend la configuration provenant du processeur principal. Les sorties restent désénergisées jusqu’à ce que le processeur envoie la commande d’exécution active. Le bouton RÉINITIALISATION DES DÉFAUTS situé sur le processeur principal efface les défauts de sortie verrouillés après qu’un défaut sur le terrain ait été réparé.

État de repli / état sécurisé – en cas de perte de communication avec le processeur principal ou de détection d’une défaillance interne critique, le module coupe l’alimentation de toutes les sorties (état par défaut sécurisé). Cet état par défaut peut être outrepassé dans la configuration du module pour des canaux spécifiques où l’état sans alimentation ne constitue pas la condition sécurisée.