Módulo de Saída Digital TRICONEX Tricon TMR 3604E Pronto para Envio

O TRICONEX 3604E é um módulo digital de saída de alta densidade com redundância tripla modular (TMR), projetado para o Tricon sistema instrumentado de segurança. O 3604E aciona 16 saídas de 24 Vcc não compartilhadas, com corrente contínua de 2 A por canal. Cada saída é suportada por três circuitos independentes de medição que realizam uma votação de hardware 2-em-3 (2oo3), mascarando uma falha em um único circuito e evitando disparos indevidos. Os diagnósticos embutidos incluem autoteste contínuo, realimentação de tensão (voltage loopback), detecção de circuito aberto e curto-circuito, além de alarmes individuais por canal para CARGA/FUSÍVEL. Certificado conforme IEC 61508 SIL 3 , o TRICONEX 3604E suporta substituição sob carga (hot-swap), aceita uma ampla faixa de tensão de alimentação externa (22–45 Vcc) e é compatível com diversas opções de Painel de Terminação Externo (ETP). É empregado mundialmente em aplicações de desligamento de emergência (ESD), fogo e gás (F&G), gerenciamento de queimadores (BMS) e controle de turbinas nos setores de petróleo e gás, petroquímica, geração de energia e indústria farmacêutica.

Sistemas de Desligamento de Emergência (ESD) – aciona válvulas solenoides críticas para a segurança, válvulas de descarga e válvulas de bloqueio de emergência em refinarias, usinas de GNL, reatores químicos e plataformas offshore

Proteção contra Incêndio e Gases (F&G) – energiza válvulas de chuveiro automático (deluge), alarmes sonoros/visuais, dampers de ventilação e circuitos de liberação de sistemas de supressão de incêndio mediante detecção de gás ou chama

Sistemas de Gerenciamento de Queimadores (BMS) – controla válvulas de corte de segurança de chama, dampers de purga, transformadores de ignição e relés mestres de interrupção de combustível para segurança de caldeiras e fornos

Controle de Turbina e Proteção contra Sobrevelocidade – aciona solenoides de desligamento por sobrevelocidade, circuitos de parada de emergência, cortes do sistema de lubrificação e atuadores do regulador para turbinas a gás e a vapor

Controle de Processo de Alta Integridade – opera elementos finais críticos, tais como partidores de motores, válvulas anti-sobrecarga de compressores, circuitos de parada de bombas e intertravamentos de aquecedores

Fabricação Farmacêutica e Biotecnológica – controla válvulas de segurança de reatores em batelada, circuitos de limpeza in loco (CIP) e sistemas de intertravamento de contenção sob lógica de segurança classificada SIL-3

Redundância Modular Tripla (TMR) com votação 2oo3 – três circuitos de saída independentes por canal; qualquer falha em um único circuito é automaticamente mascarada; os dois circuitos restantes mantêm o estado de saída correto

Certificado IEC 61508 SIL 3 – aprovado pelo TÜV para funções instrumentadas de segurança até o nível mais elevado de integridade; adequado para aplicações com desenergização para atuação (falha-segura) e energização para atuação

16 canais de saída não compartilhados (totalmente isolados) – cada canal possui seu próprio retorno isolado; nenhuma fiação compartilhada entre pontos; elimina laços de terra e interferência entre canais

corrente contínua de 2 A / corrente de pico de 10 A – capacidade de acionamento direto de grandes válvulas solenoides, contatores, relés, indicadores de alarme e partidores de motores, sem necessidade de relés interpostos externos

Ampla faixa de tensão de campo (22 – 45 Vcc) – aceita fontes nominais de 24 Vcc com grande tolerância; adequado para flutuações industriais de energia e extensas distâncias de cabos

isolamento óptico-galvânico de 1500 Vcc – Isolamento entre canais e entre canal e backplane impede a propagação de falhas e protege o processador Tricon contra perturbações elétricas do lado de campo

Autodiagnóstico contínuo em tempo real – Circuito de realimentação de tensão verifica cada chave de saída independentemente da presença da carga; detecta circuito aberto (sem carga), curto-circuito à alimentação/terra, sobrecorrente e falha de fusível

Realimentação de tensão e alarme de CARGA/FUSÍVEL – Leitura ativa da tensão de saída real; qualquer discrepância entre o estado comandado e a tensão medida aciona um alarme de campo sem necessidade de sensores externos

Capacidade de troca a quente – Substituição online do módulo sem desligamento da alimentação do sistema ou interrupção do processo; reduz o tempo de inatividade para manutenção em ambientes críticos de segurança operacionais

Indicadores LED frontais por canal – Indicação visual para LIGADO (verde), DESLIGADO (apagado), falha de CARGA/FUSÍVEL (âmbar) e falha de canal (vermelho); LEDs PASS (aprovado), FAULT (falha) e ACTIVE (ativo) para indicar o estado geral do módulo

Codificação mecânica e alavancas de extração – o módulo é codificado para impedir sua inserção em um slot incorreto do chassi; alavancas de ejeção garantem encaixe seguro e conexão adequada com a placa-mãe

Compatível com múltiplos Painéis Externos de Terminação (ETPs) – funciona com painéis de terminação comuns, básicos, não incendiáveis (para locais perigosos) e de laço fechado (loop-back), permitindo fiação de campo flexível

Diagnósticos aprimorados da versão "E" – comparado aos modelos básicos, o 3604E oferece detecção avançada de falhas supervisionadas, incluindo monitoramento do lado da carga e cobertura diagnóstica aprimorada para funções de segurança exigentes

Acionamento triplicado de saída com votação por hardware – cada um dos 16 canais de saída contém três circuitos independentes de chaveamento estado-sólido (um por fatia TMR). Os dados de saída dos três processadores principais são transmitidos ao módulo por meio do barramento de E/S triplicado. O votador de saída quadruplicado do módulo (2oo3) compara os três sinais; se dois concordarem, esse valor é encaminhado ao campo, mascarando um único circuito divergente.

Verificação de leitura por realimentação em tensão (voltage loopback) – um conversor analógico-digital dedicado por canal mede continuamente a tensão de saída real no terminal de campo. O valor medido é comparado com o estado comandado (LIGADO ou DESLIGADO). Uma discrepância (por exemplo, saída comandada como DESLIGADA, mas com tensão presente, ou comandada como LIGADA, mas sem tensão) aciona um alarme de CARGA/FUSÍVEL e acende o LED correspondente.

Detecção de circuito aberto (sem carga) – quando a saída é comandada como DESLIGADA, uma pequena corrente de diagnóstico é injetada através do circuito de campo. Se a corrente de retorno for inferior ao limiar mínimo de carga (≈ 10 mA), o módulo relata uma falha de circuito aberto (carga ausente ou rompida). Esse recurso verifica a integridade da fiação de campo sem energizar o elemento final.

Proteção contra curto-circuito e sobrecorrente – A corrente de saída é monitorada continuamente. Se for detectada uma condição prolongada de sobrecorrente (curto-circuito), a saída é travada na posição desligada e o indicador de falha do canal é ativado. Um elo fusível não substituível oferece proteção absoluta contra falha catastrófica. Um fusível externo de 2,5 A de ação rápida (no painel de terminação) fornece proteção adicional para a fiação de campo.

Autodiagnóstico contínuo – O módulo testa periodicamente todos os circuitos críticos: tensões da fonte de alimentação, tensões de referência internas, lógica de votação das saídas, conversor analógico-digital (ADC) de realimentação de tensão e interface de comunicação com os processadores principais. Qualquer falha no diagnóstico acende o LED DE FALHA e relata a condição à aplicação por meio da tabela de dados de E/S.

Operação com troca a quente – quando um 3604E é removido de um chassi em operação, os processadores principais detectam a perda e continuam a operar utilizando os demais módulos saudáveis no respectivo slot (caso haja um módulo de reserva quente). Ao inserir um substituto 3604E é inserido, o sistema reinicializa e reeduca automaticamente o módulo, restaurando a votação completa 2oo3 sem necessidade de reinicialização de alimentação.

Relatório de alarme por canal – o módulo fornece quatro bits de status discretos por canal: estado LIGADO/DESLIGADO (proveniente da aplicação), estado de saída com votação mediana (condição real do campo), estado de falha na linha (circuito aberto ou curto-circuito) e estado de integridade do canal (falha no slice). Esses bits são mapeados na estrutura de dados de E/S para uso na lógica de segurança.

Inicialização em estado frio e na energização – na energização, o módulo executa um autoteste completo. Se aprovado, o módulo aguarda a configuração proveniente do processador principal. As saídas permanecem desenergizadas até que o processador envie o comando ativo de operação. O botão REINICIAR FALHA no processador principal limpa as falhas de saída travadas após a correção de uma falha no campo.

Estado de contingência / estado seguro – se a comunicação com o processador principal for perdida ou se for detectada uma falha interna crítica, o módulo desenergiza todas as saídas (estado padrão de falha segura). O estado padrão pode ser substituído na configuração do módulo para canais específicos nos quais o estado desenergizado não constitui a condição segura.