การเข้าใจ Honeywell FC-SCNT02: โมดูลตัวควบคุมหลักในสถาปัตยกรรม Safety Manager SC

ตัวควบคุม / สถาปัตยกรรม / การผสานรวม

ตัวควบคุมที่อยู่ใจกลางระบบความปลอดภัย

ฮันนี่เวลล์ FC-SCNT02 คือโมดูลตัวควบคุมความปลอดภัยรุ่น S300 สำหรับระบบ Safety Manager SC ความสำคัญของมันเกิดจากสามบทบาทที่เชื่อมโยงกัน ได้แก่ การทำหน้าที่เป็นชั้นควบคุมความปลอดภัยระหว่างอุปกรณ์รับส่งสัญญาณภาคสนาม (field I/O) กับการดำเนินการป้องกัน, การให้เส้นทางการแทนที่ตัวควบคุมที่เข้ากันได้สำหรับระบบที่ติดตั้งไว้แล้ว, และการรองรับการผสานรวมสถานีปลายทาง DNP3 บนเวอร์ชันที่สนับสนุน ความเข้าใจในบทบาทเหล่านี้ช่วยอธิบายว่าเหตุใดมันจึงเป็นองค์ประกอบหลักของสถาปัตยกรรม มากกว่าจะเป็นเพียงโมดูลหนึ่งในตู้ควบคุมเท่านั้น

ชั้นควบคุมเปลี่ยนข้อมูลจากภาคสนามให้กลายเป็นการตัดสินใจด้านความปลอดภัย

ผู้จัดการความปลอดภัย SC รวมโปรเซสเซอร์ S300 เข้ากับอินพุต/เอาต์พุตด้านความปลอดภัย (safety I/O) และสิ่งอำนวยความสะดวกสำหรับวิศวกรรม โดยในโครงสร้างนี้ หน่วยควบคุม FC-SCNT02 ทำหน้าที่อยู่ที่ชั้นควบคุม (controller layer) ส่วนอินเทอร์เฟซภาคสนาม (field interface) กับชั้นควบคุม (control layer) ทำหน้าที่แก้ปัญหาคนละประเภทกัน กล่าวคือ อินพุต/เอาต์พุตทำหน้าที่เชื่อมระบบเข้ากับสัญญาณต่าง ๆ ขณะที่ตรรกะที่ถูกกำหนดค่าไว้ (configured logic) จะเป็นตัวกำหนดว่าสัญญาณเหล่านั้นมีความสัมพันธ์อย่างไรกับการตอบสนองเพื่อความปลอดภัยที่จำเป็น นี่คือเหตุผลเชิงสถาปัตยกรรมที่ทำให้หน่วยควบคุมมีความสำคัญ

ให้ติดตามเส้นทางการหยุดระบบแบบแนวคิด (conceptual shutdown path) ดังนี้: สภาวะภาคสนามหนึ่งประการจะถูกส่งไปยังอินเทอร์เฟซอินพุตด้านความปลอดภัย จากนั้นตรรกะที่ถูกกำหนดค่าไว้จะประเมินสภาวะนั้น และสุดท้ายอินเทอร์เฟซเอาต์พุตจะสื่อสารการกระทำที่เกิดขึ้นไปยังองค์ประกอบสุดท้าย (final element) หน่วยควบคุมตั้งอยู่ที่ขั้นตอนการตัดสินใจบนเส้นทางนี้ ตัวอย่างเช่น แอปพลิเคชันการหยุดระบบแบบวิศวกรรม (engineered shutdown application) จำเป็นต้องเชื่อมโยงสภาวะอินพุตเข้ากับการตอบสนองเอาต์พุตที่เหมาะสม การรับสัญญาณเพียงอย่างเดียวไม่สามารถกำหนดความสัมพันธ์นั้นได้ ตัวอย่างนี้อธิบายหลักการแยกหน้าที่เชิงฟังก์ชัน (functional separation) ไม่ใช่โปรแกรมหรือการจัดวางสายไฟเฉพาะของ FC-SCNT02 แต่อย่างใด

มีสี่ชั้นซึ่งมีหน้าที่ต่างกัน

ตัวควบคุมหลักภายในระบบที่ทนต่อความผิดพลาด

ผู้จัดการระบบความปลอดภัย SC ใช้สถาปัตยกรรม QMR ที่มีความทนทานต่อข้อผิดพลาดหลายระดับ หรือแบบ 2oo4D ต้องเข้าใจ FC-SCNT02 ภายใต้การจัดวางระบบแบบนี้: ชั้นตัวควบคุมทำงานร่วมกับอุปกรณ์ I/O และแอปพลิเคชันที่กำหนดไว้ แทนที่จะทำหน้าที่ความปลอดภัยอย่างสมบูรณ์ด้วยตนเอง การที่ตัวควบคุมตั้งอยู่ตรงกลางของเส้นทางตรรกะ ทำให้การกำหนดค่าและประสิทธิภาพในการทำงานร่วมกันของตัวควบคุมมีผลโดยตรงต่อการออกแบบระบบทั้งหมด

ความแตกต่างนี้ยังมีความสำคัญต่อการอ้างสิทธิ์ในระดับ SIL ผู้จัดการระบบความปลอดภัย SC ได้รับการรับรองสำหรับการใช้งานสูงสุดถึงระดับ SIL 3 การเลือกตัวควบคุมระดับ SIL 3 เพียงอย่างเดียว ไม่ได้หมายความว่าฟังก์ชันความปลอดภัยที่ติดตั้งครบถ้วนแล้วจะมีความสมบูรณ์ตามมาตรฐาน แต่ต้องประเมินองค์ประกอบทั้งหมด ได้แก่ เซ็นเซอร์ ตรรกะ อุปกรณ์สุดท้าย และวงจรชีวิตของแอปพลิเคชัน เป็นห่วงโซ่ที่สมบูรณ์

วิศวกรรมเป็นกระบวนการเชื่อมโยงฮาร์ดแวร์ของตัวควบคุมเข้ากับพฤติกรรมที่ตั้งใจไว้

วัสดุ R212.1 ของ Honeywell ทำให้ Safety Builder แยกต่างหากจากตัวควบคุมและเฟิร์มแวร์ I/O นอกจากนี้ยังอธิบายเครื่องมือตรวจสอบ Cause & Effect ที่สั่งซื้อแยกต่างหาก ซึ่งเปรียบเทียบไดอะแกรมที่นำเข้ากับลอจิกที่โหลดไว้บนตัวควบคุมจริงหรือเสมือนจริง สิ่งนี้แสดงความแตกต่างระหว่างการมีโมดูลตัวควบคุมที่ถูกต้อง กับการตรวจสอบพฤติกรรมการใช้งานตามวัตถุประสงค์

เอกสารเวอร์ชัน R214.1 ที่เผยแพร่ภายหลังยังคงระบุซอฟต์แวร์สำหรับงานวิศวกรรมและเฟิร์มแวร์ตัวควบคุม/ไอโอว่าเป็นส่วนประกอบที่แยกจากกัน ดังนั้น การระบุเวอร์ชันปล่อยขั้นต่ำในอดีตจึงไม่ควรนำเสนอเป็นคำแนะนำสำหรับโครงการปัจจุบัน โปรดกำหนดชุดซอฟต์แวร์ที่รองรับสำหรับระบบจริงก่อนตัดสินใจว่าจะติดตั้งตัวควบคุมสำรองอย่างไร

เส้นทางการเปลี่ยนทดแทนที่รักษาความต่อเนื่องของระบบที่ติดตั้งแล้ว

FC-SCNT02 แทนที่ FC-SCNT01 ด้วยหน่วยความจำที่เพิ่มขึ้น Honeywell ระบุว่าเป็นตัวแทนทดแทนแบบ pin-to-pin ที่รองรับย้อนหลังได้เต็มที่ และมีฟังก์ชันควบคุมเหมือนกัน ทั้งยังสามารถทำงานร่วมกับ FC-SCNT01 ได้ในระบบควบคุม Safety Manager SC แบบสำรอง (redundant) ความสามารถเหล่านี้ทำให้ FC-SCNT02 มีความสำคัญอีกรูปแบบหนึ่ง นั่นคือ การให้เส้นทางการเปลี่ยนแปลงตัวควบคุมสำหรับระบบที่สร้างขึ้นรอบ FC-SCNT01 ความเข้ากันได้ของขาต่อ (pin compatibility) จัดการเรื่องการเชื่อมต่อฮาร์ดแวร์ ในขณะที่การจัดวางตัวควบคุมแบบผสม (mixed-controller arrangement) ที่มีเอกสารรองรับนั้นมีผลต่อการวางแผนบำรุงรักษาระบบแบบสำรอง อย่างไรก็ตาม ความสามารถทั้งสองประการนี้ไม่ได้ลดความจำเป็นในการตรวจสอบว่าการใช้งานจริงและเวอร์ชันซอฟต์แวร์ที่ใช้งานร่วมกันนั้นสอดคล้องกันหรือไม่

DNP3 ขยายการเข้าถึงข้อมูลระบบความปลอดภัย

การรองรับ DNP3 outstation ถูกแนะนำครั้งแรกใน R212 และต้องใช้ FC-SCNT02 Safety Manager SC ทำหน้าที่เป็น outstation ส่วนควบคุมแบบมาสเตอร์สามารถทำได้โดย Experion Server หรือ ControlEdge RTU คุณลักษณะนี้มีการอนุญาตใช้งานผ่าน Safety Builder ดังนั้น การมีเพียงคอนโทรลเลอร์ที่รองรับจึงไม่เพียงพอที่จะยืนยันว่าการติดตั้งนั้นพร้อมใช้งาน DNP3 แล้ว

สิ่งนี้ทำให้โมดูลมีบทบาทเกินกว่าการแทนที่แบบเข้ากันได้: FC-SCNT02 คือฮาร์ดแวร์คอนโทรลเลอร์ที่จำเป็นสำหรับความสามารถในการสื่อสารตามที่ระบุไว้ในเอกสาร ความแตกต่างนี้มีความสำคัญเชิงปฏิบัติ โครงการที่ต้องการรวม DNP3 outstation จำเป็นต้องพิจารณาทั้งคอนโทรลเลอร์ รุ่นซอฟต์แวร์ และใบอนุญาตใช้งานร่วมกัน R200.2 กำหนดขอบเขตการรองรับฮาร์ดแวร์ที่ระบุไว้ แต่ไม่ได้กำหนดความพร้อมใช้งานของ DNP3 การเพิ่มความจุหน่วยความจำเป็นการเปลี่ยนแปลงที่ระบุไว้ในเอกสาร อย่างไรก็ตาม ไม่มีการระบุค่าความจุเชิงตัวเลขหรือการปรับปรุงความเร็วในการประมวลผลที่เกิดขึ้น

เหตุใด FC-SCNT02 จึงเป็นโมดูลหลัก: เหตุผลเชิงสถาปัตยกรรมสามประการ

• ตำแหน่งการควบคุมด้านความปลอดภัย: มันทำหน้าที่อยู่ในชั้นตัวควบคุม (controller layer) บนเส้นทางจากข้อมูลภาคสนามไปยังการตอบสนองเชิงป้องกันที่ถูกกำหนดไว้
• ความต่อเนื่องของระบบหลังติดตั้ง: ความสามารถในการรองรับย้อนหลัง (backward compatibility) และตัวเลือกการแทนที่ FC-SCNT01 ที่ระบุไว้ในเอกสารสนับสนุนการวางแผนบำรุงรักษาและการย้ายระบบตัวควบคุม
• ความสามารถในการสื่อสาร: มันจัดหาฮาร์ดแวร์ตัวควบคุมที่จำเป็นสำหรับการทำงานของ DNP3 outstation เมื่อมีเวอร์ชันที่รองรับและใบอนุญาตที่เกี่ยวข้อง

ดังนั้น FC-SCNT02 จึงมีบทบาทสำคัญทั้งต่อสถาปัตยกรรมการปฏิบัติงานและต่อวัฏจักรชีวิตของระบบ Safety Manager SC ที่ติดตั้งแล้ว มันอยู่ในขั้นตอนตรรกะ (logic stage) ของห่วงโซ่ความปลอดภัย ให้เส้นทางที่ระบุไว้ในเอกสารสำหรับการอัปเกรดจากฮาร์ดแวร์ตัวควบคุมรุ่นก่อนหน้า และเปิดใช้งานตัวเลือกการสื่อสารที่ขึ้นอยู่กับเวอร์ชันที่ใช้งาน นี่คือการมีส่วนร่วมที่ชัดเจนแต่ละด้าน ไม่ใช่การอ้างว่าโมดูลเดียวสามารถให้ฟังก์ชันความปลอดภัยระดับ SIL 3 แบบครบวงจรได้ ความสำคัญของมันจะชัดเจนขึ้นก็ต่อเมื่อพิจารณาฮาร์ดแวร์ตัวควบคุม ไอโอภาคสนาม (field I/O) วิศวกรรมแอปพลิเคชัน และการผสานรวมระบบโดยรวมร่วมกัน

ผู้จัดการฝ่ายขาย: จิม เผ่ย

อีเมล [email protected]

วีแชท: ZXH18020776782

โทรศัพท์/วอทสัป: +86 18020776782