Modulo di uscita digitale del sistema di sicurezza Trusted ICS TRIPLEX T8461C, pronto per la spedizione

Il ICS TRIPLEX T8461C è un modulo di uscita digitale Trusted TMR a 24 Vdc / 48 Vdc che comanda 40 dispositivi di campo indipendenti. Ogni canale di uscita utilizza circuiti triplicati con voto hardware 2-su-3 (2oo3), eliminando i singoli punti di guasto. Le diagnosi integrate includono il monitoraggio automatico delle linee (rilevamento di circuito aperto/cortocircuito), la protezione contro le sovracorrenti senza fusibili esterni e la registrazione degli eventi in sequenza (SOE) con risoluzione di 1 ms. Il T8461C supporta la sostituzione a caldo tramite configurazioni Companion Slot o SmartSlot ed è certificato TÜV secondo IEC 61508 SIL 3, rendendolo ideale per le funzioni strumentali di sicurezza più esigenti nei sistemi di arresto di emergenza (ESD) e di rilevamento incendio e gas (F&G).

Sistemi di arresto di emergenza (ESD) – comando diretto di valvole a solenoide critiche per la sicurezza, valvole di scarico e relè di arresto in raffinerie, impianti LNG e strutture chimiche

Protezione antincendio e gas (F&G) – attivazione di equipaggiamenti antincendio (sprinkler, valvole a diluvio), allarmi acustici/visivi e serrande di ventilazione

Sistemi di gestione bruciatori (BMS) – valvole di chiusura di sicurezza a fiamma attivate elettricamente e avvio dei cicli di spurgo del bruciatore in caldaie e forni

Controllo turbine – comando degli elettrovalvole di scatto per sovraspeed, dei circuiti di arresto di emergenza e degli interruttori dei sistemi di lubrificazione per turbine a gas e a vapore

Controllo di processo ad alta integrità – controllo di attuatori critici in reattori discontinui, valvole di intercettazione per tubazioni e sistemi anti-surge per compressori

Configurazioni SmartSlot / Companion Slot – fornitura di controllo d’uscita non ridondante 1oo1, ridondante 1oo2 o sostituibile in linea all’interno di un chassis Trusted I/O

40 canali d’uscita TMR – 40 uscite digitali completamente ridondanti tripli modulari, ciascuna dotata di un array di interruttori a sei elementi con votazione

Certificato IEC 61508 SIL 3 approvato da TÜV per funzioni strumentali di sicurezza con tolleranza ai guasti al primo guasto e comportamento a sicurezza intrinseca al secondo guasto

Funzionamento selezionabile a 24 Vcc o 48 Vcc – tensione d’uscita configurabile software per canale (intervallo 18–56 Vcc)

Monitoraggio automatico della linea – Rilevamento di circuito aperto e cortocircuito per canale; i guasti a vuoto vengono segnalati all'applicazione

Protezione automatica contro le sovracorrenti – Limitazione elettronica della corrente per canale e protezione autolanciata contro i cortocircuiti – non sono richiesti fusibili esterni

isolamento ottogalvanico da 2500 V – tra lato campo, lato logico e bus intermodulare

Sequenza degli eventi integrata (SOE) – Registrazione degli eventi con risoluzione di 1 ms per ogni variazione dello stato dell'uscita

Capacità di sostituzione a caldo – Sostituzione in linea del modulo mediante apposito slot Companion (adiacente) o SmartSlot (riserva condivisa)

Cinque gruppi di alimentazione isolati – ogni gruppo di otto uscite ha un'alimentazione e un ritorno di campo indipendenti; i gruppi sono isolati fino a 50 V con doppio isolamento

Diagnostica completa in tempo reale – autotest continuo degli interruttori di uscita, monitoraggio della modulazione del gate, rilevamento di condizioni di blocco su (stuck-on) o blocco giù (stuck-off)

Indicatori LED sul pannello frontale – stato per canale (on/off, guasto sulla linea, guasto sul canale), oltre a LED indicanti lo stato del modulo (sano, attivo, in standby, istruito)

Gestione dei guasti TMR – primo guasto: tolleranza ai guasti (il sistema continua a funzionare); secondo guasto: sicurezza intrinseca (il gruppo di uscita viene disalimentato tramite l'interruttore di sicurezza del gruppo)

Ampia gamma di temperature standard: da 0 °C a +60 °C; esteso: da –40 °C a +70 °C (T8461C)

votazione delle uscite 2-su-3 (2oo3) – tre sezioni indipendenti di processore (A, B, C) ricevono ciascuna i dati di uscita dal processore TMR affidabile; un votatore hardware seleziona il valore maggioritario. Se una sezione si guasta o fornisce un risultato divergente, le altre due sezioni mantengono il controllo corretto dell'uscita.

Topologia dell'interruttore di sicurezza a sei elementi – ogni canale di uscita è costituito da tre coppie di interruttori a sicurezza intrinseca (una coppia per slice). Ogni coppia comprende un interruttore superiore normalmente aperto (N.O.) (controllato dal proprio slice) e un interruttore inferiore normalmente chiuso (N.C.) (controllato dal slice a monte). Questa configurazione garantisce che, anche in caso di guasto completo di un intero slice, i due slice rimanenti continuino ad alimentare il carico.

Diagnostica della modulazione della tensione di gate – mentre l'uscita è alimentata, il modulo modula la tensione di gate di ciascun interruttore (uno alla volta) e analizza il corrispondente piccolo segnale alternato (AC) per determinare la resistenza in conduzione, la tensione di soglia e lo stato di salute dell'interruttore. La corrente di carico non viene interrotta.

Rilevamento automatico dei guasti sulla linea – Tensione e corrente vengono misurate in continuo. Gli output alimentati segnalano circuito aperto (nessun carico), cortocircuito (sovracorrente bloccata) o funzionamento normale. Gli output non alimentati eseguono opzionalmente una parziale alimentazione (inferiore a 2 V o 100 mA) per misurare la resistenza del circuito; viene rilevato e segnalato un cortocircuito (resistenza < 40 Ω).

Interruttori di sicurezza di gruppo – ogni gruppo di alimentazione (8 canali) include un interruttore di sicurezza di gruppo in triplice parallelo (uno per slice). Se due o più slice rilevano che un output non può essere disalimentato (bloccato in stato di accensione), qualsiasi slice può comandare l’apertura del proprio interruttore di sicurezza di gruppo (GFSS) e di quelli degli altri due slice. Se agiscono due slice, l’ultimo GFSS rimanente si apre, disalimentando l’intero gruppo.

Sequenza degli eventi (SOE) – il modulo registra con timestamp ogni variazione di stato dell’output (on→off, off→on) con risoluzione di 1 ms. Quando viene interrogato dal processore TMR, il timestamp e il nuovo stato vengono caricati e registrati nel log SOE del sistema.

Monitoraggio delle funzioni di manutenzione – le tensioni interne (24 V backplane, 8 V alimentazione slice, alimentazione di campo per gruppo), le temperature delle schede (HIU, FIU per gruppo) e il consumo di corrente vengono misurati continuamente e segnalati tramite i registri di housekeeping (Rack 7) ai fini diagnostici.

Cambio tra stato Attivo / Standby – quando una seconda unità T8461C è installata in uno slot Companion, il processore TMR istruisce il modulo in standby. Al rilevamento di un guasto nel modulo attivo, il processore esegue un cambio senza interruzione: il modulo in standby viene configurato, i dati dinamici di cambio (COD) vengono trasferiti e il modulo in standby diventa attivo senza interruzione dell’uscita.

Comportamento all’avvio a freddo – dopo l’installazione, il modulo si avvia, viene istruito dal processore e quindi il LED Run diventa ambra. Le uscite non sono eccitate. Premendo il pulsante di reset del guasto del processore, il modulo passa allo stato attivo (LED Run verde) e le uscite seguono la logica applicativa.