Modulo di uscita digitale TMR Tricon 3604E TRICONEX, pronto per la spedizione

Il TRICONEX 3604E è un modulo digitale di uscita ad alta densità con ridondanza tripla modulare (TMR), progettato per il Tricon sistema strumentale di sicurezza. Il 3604E comanda 16 uscite in corrente continua da 24 Vdc non condivise, con una corrente continua di 2 A per canale. Ogni uscita è supportata da tre circuiti di misura indipendenti che eseguono un voto hardware 2-su-3 (2oo3), mascherando un singolo guasto del circuito e prevenendo interventi falsi. Le diagnosi integrate includono autotest continuo, loopback della tensione, rilevamento di circuito aperto e cortocircuito, nonché allarmi per carico/fusibile su ogni canale. Certificato secondo IEC 61508 SIL 3 , il TRICONEX 3604E supporta la sostituzione a caldo, accetta un’ampia gamma di tensione di alimentazione esterna (22–45 Vdc) ed è compatibile con diverse opzioni di pannello di terminazione esterno (ETP). È impiegato in tutto il mondo in applicazioni di arresto di emergenza (ESD), rilevamento di incendio e gas (F&G), gestione bruciatori (BMS) e controllo turbine nei settori del petrolio e del gas, della petrolchimica, della generazione di energia e della farmaceutica.

Sistemi di arresto di emergenza (ESD) – comanda valvole a solenoide critiche per la sicurezza, valvole di scarico e valvole di blocco di emergenza in raffinerie, impianti LNG, reattori chimici e piattaforme offshore

Protezione antincendio e gas (F&G) – alimenta valvole a diluvio per impianti antincendio, allarmi acustici/visivi, serrande di ventilazione e circuiti di rilascio per sistemi di soppressione incendi in caso di rilevamento di gas o fiamma

Sistemi di gestione bruciatori (BMS) – controlla valvole di chiusura di sicurezza per fiamma, serrande di spurgo, trasformatori d’accensione e relè di interruzione carburante principale per la sicurezza di caldaie e forni

Controllo Turbina e Protezione da Sovravelocità – comanda solenoidi di scatto per sovravelocità, circuiti di arresto di emergenza, interruzioni del sistema di lubrificazione e attuatori del regolatore per turbine a gas e a vapore

Controllo di processo ad alta integrità – aziona elementi finali critici quali avviatori di motori, valvole anti-surriscaldamento per compressori, circuiti di arresto pompe e interblocchi riscaldatori

Produzione Farmaceutica e Biotecnologica – controlla valvole di sicurezza per reattori discontinui, circuiti di pulizia in posto (CIP) e sistemi di interblocco di contenimento secondo logica di sicurezza certificata SIL-3

Redondanza Modulare Tripla (TMR) con voto 2 su 3 – tre circuiti di uscita indipendenti per canale; qualsiasi guasto a un singolo circuito viene automaticamente mascherato; gli altri due circuiti mantengono lo stato di uscita corretto

Certificato IEC 61508 SIL 3 – approvato TÜV per funzioni strumentali di sicurezza fino al livello di integrità più elevato; adatto per applicazioni con disattivazione per attivazione dell’allarme (fail-safe) e con attivazione per azionamento

16 canali di uscita non comuni (totalmente isolati) – ogni canale dispone del proprio ritorno isolato; nessun cablaggio condiviso tra i punti; elimina i loop di terra e le interferenze tra canali

corrente continua di 2 A / corrente di picco di 10 A – capacità di pilotaggio diretto di grandi valvole a solenoide, contattori, relè, segnalatori di allarme e avviatori di motori, senza necessità di relè intermedi esterni

Ampia gamma di tensione di campo (22 – 45 Vcc) – accetta alimentazioni nominali a 24 Vcc con ampio margine di tolleranza; adatto alle fluttuazioni di tensione industriali e ai lunghi tratti di cavo

isolamento ottogalvanico da 1500 Vcc – L'isolamento tra canale e canale e tra canale e backplane impedisce la propagazione dei guasti e protegge il processore Tricon dalle perturbazioni elettriche provenienti dal lato campo

Autodiagnostica continua in linea – Il circuito di loopback tensione verifica ciascun interruttore di uscita indipendentemente dalla presenza del carico; rileva circuito aperto (nessun carico), cortocircuito verso l'alimentazione/terra, sovracorrente e guasto del fusibile

Loopback tensione e allarme CARICO/FUSIBILE – Lettura attiva della tensione effettiva di uscita; qualsiasi discrepanza tra lo stato comandato e la tensione misurata attiva un allarme sul campo senza richiedere sensori esterni

Capacità di sostituzione a caldo – Sostituzione online del modulo senza spegnimento del sistema né interruzione del processo; riduce i tempi di fermo per manutenzione negli ambienti operativi critici per la sicurezza

Indicatori LED frontali per canale – Stato visivo per ON (verde), OFF (spento), guasto CARICO/FUSIBILE (ambra) e guasto canale (rosso); LED PASS, FAULT e ACTIVE per indicare lo stato complessivo del modulo

Incastro meccanico e leve di espulsione – Il modulo è dotato di chiavetta per impedirne l'inserimento in uno slot del telaio errato; le leve di espulsione garantiscono un posizionamento sicuro e una corretta connessione alla backplane

Compatibile con più pannelli esterni di terminazione (ETP) – Funziona con pannelli di terminazione comuni, di base, non incendivi (per ambienti a rischio) e a loop-back, consentendo una cablaggio flessibile sul campo

Diagnostica avanzata versione «E» – Rispetto ai modelli base, il 3604E offre un rilevamento supervisionato dei guasti avanzato, inclusa la sorveglianza del lato carico e una copertura diagnostica migliorata per funzioni di sicurezza esigenti

Pilotaggio triplicato degli output con votazione hardware – Ciascuno dei 16 canali di uscita contiene tre circuiti indipendenti di interruttori a stato solido (uno per ogni sezione TMR). I dati di uscita provenienti dai tre processori principali vengono trasmessi al modulo tramite il bus I/O triplicato. Il sistema di votazione quadruplicato degli output del modulo (2 su 3) confronta i tre segnali; se due coincidono, tale valore viene inviato al campo, mascherando un singolo circuito divergente.

Verifica di lettura in retroazione mediante loopback di tensione – un convertitore analogico-digitale dedicato per canale misura continuamente la tensione di uscita effettiva al terminale di campo. Il valore misurato viene confrontato con lo stato comandato (ON o OFF). Una discrepanza (ad esempio, uscita comandata OFF ma tensione presente, oppure comandata ON ma tensione assente) blocca un allarme LOAD/FUSE e accende il LED corrispondente.

Rilevamento di circuito aperto (senza carico) – quando l'uscita è comandata OFF, una piccola corrente diagnostica viene iniettata nel circuito di campo. Se la corrente di ritorno è inferiore alla soglia minima di carico (≈ 10 mA), il modulo segnala un guasto di circuito aperto (carico mancante o interrotto). Questa funzione verifica l'integrità del cablaggio di campo senza alimentare l'elemento finale.

Protezione da cortocircuito e sovracorrente – La corrente in uscita viene monitorata continuamente. Se viene rilevata una condizione di sovracorrente prolungata (cortocircuito), l'uscita viene bloccata e viene attivato l'indicatore di guasto del canale. Un collegamento fusibile non sostituibile garantisce una protezione assoluta contro guasti catastrofici. Un fusibile esterno da 2,5 A ad azione rapida (sul pannello di terminazione) offre ulteriore protezione per il cablaggio sul campo.

Autodiagnostica continua – Il modulo esegue periodicamente test su tutti i circuiti critici: tensioni dell'alimentazione, tensioni di riferimento interne, logica di voto delle uscite, convertitore analogico-digitale (ADC) di loopback della tensione e interfaccia di comunicazione con i processori principali. Qualsiasi errore diagnostico accende il LED FAULT e segnala la condizione all'applicazione tramite la tabella dati di ingresso/uscita (I/O).

Funzionamento con sostituzione a caldo – quando un 3604E viene rimosso da un chassis in funzione, i processori principali rilevano la perdita e continuano a operare utilizzando i moduli sani rimanenti nello slot (se è presente un modulo di riserva a caldo). Quando viene inserito un ricambio 3604E viene inserito, il sistema si reinizializza e rieduca automaticamente il modulo, ripristinando la votazione completa 2 su 3 senza necessità di un ciclo di alimentazione.

Segnalazione degli allarmi per canale – il modulo fornisce quattro bit di stato discreti per canale: stato ON/OFF (proveniente dall'applicazione), stato dell'uscita con votazione mediana (condizione effettiva sul campo), stato di guasto sulla linea (circuito aperto o cortocircuito) e stato di salute del canale (guasto del modulo). Questi vengono mappati nella struttura dati di ingresso/uscita per essere utilizzati nella logica di sicurezza.

Avvio a freddo e inizializzazione all'accensione – all'accensione, il modulo esegue un'autotest completo. Se superato, il modulo attende la configurazione proveniente dal processore principale. Le uscite rimangono disinserite fino a quando il processore non invia il comando di avvio attivo. Il pulsante FAULT RESET sul processore principale cancella i guasti delle uscite memorizzati dopo che un guasto sul campo è stato risolto.

Stato di fallback / di sicurezza – se la comunicazione con il processore principale viene persa o se viene rilevato un guasto interno critico, il modulo disinserisce tutti gli output (stato predefinito a sicurezza intrinseca). Lo stato predefinito può essere sovrascritto nella configurazione del modulo per canali specifici in cui lo stato disinserito non rappresenta la condizione di sicurezza.