โมดูลเอาต์พุตแบบดิจิทัลสำหรับระบบความปลอดภัยที่เชื่อถือได้ของ ICS TRIPLEX รุ่น T8461C พร้อมจัดส่ง

The ICS TRIPLEX T8461C เป็นโมดูลเอาต์พุตแบบดิจิทัล 24 Vdc / 48 Vdc แบบ TMR ที่เชื่อถือได้ ซึ่งขับเคลื่อนอุปกรณ์ภาคสนามได้อย่างอิสระจำนวน 40 ช่อง แต่ละช่องเอาต์พุตใช้วงจรสำรองสามชุด (triple-redundant) พร้อมระบบการลงคะแนนเสียงฮาร์ดแวร์แบบ 2 จาก 3 (2oo3) เพื่อกำจัดจุดล้มเหลวเดี่ยว (single points of failure) การวินิจฉัยภายในตัวรวมถึงการตรวจสอบสายสัญญาณอัตโนมัติ (ตรวจจับภาวะสายขาดหรือลัดวงจร), การป้องกันกระแสเกินโดยไม่ต้องใช้ฟิวส์ภายนอก และการบันทึกลำดับเหตุการณ์ (Sequence of Events: SOE) ด้วยความแม่นยำ 1 มิลลิวินาที โมดูลนี้ T8461C รองรับการเปลี่ยนชิ้นส่วนขณะระบบกำลังทำงาน (hot-swap replacement) ผ่านช่องเสียบ Companion Slot หรือ SmartSlot และได้รับการรับรองจาก TÜV ตามมาตรฐาน IEC 61508 SIL 3 ทำให้เหมาะอย่างยิ่งสำหรับฟังก์ชันเครื่องมือความปลอดภัยที่เข้มงวดที่สุดในระบบหยุดฉุกเฉิน (Emergency Shutdown: ESD) และระบบป้องกันเพลิงและก๊าซ (Fire & Gas: F&G)

ระบบปิดฉุกเฉิน (ESD) – การควบคุมโดยตรงของวาล์วโซลินอยด์ วาล์วปล่อยแรงดัน (dump valves) และรีเลย์หยุดระบบ ซึ่งมีความสำคัญต่อความปลอดภัยในโรงกลั่นน้ำมัน โรงงานแอลเอ็นจี (LNG) และโรงงานเคมีภัณฑ์

ระบบป้องกันเพลิงและก๊าซ (Fire & Gas: F&G) – การสั่งงานอุปกรณ์ดับเพลิง (หัวจ่ายน้ำแบบสปริงเกอร์ วาล์วแบบฝนตกหนัก) สัญญาณเตือนเสียงและภาพ และแผ่นกั้นระบบระบายอากาศ

ระบบจัดการเตาเผา (Burner Management Systems: BMS) – การจ่ายไฟให้กับวาล์วตัดความปลอดภัยจากเปลวไฟ และการเริ่มต้นรอบการล้างเผาไหม้ (burner purge cycles) ของหม้อไอน้ำและเตาเผา

การควบคุมเทอร์บิน – การขับโซลินอยด์ตัดความเร็วเกิน (overspeed trip solenoids) วงจรหยุดฉุกเฉิน และระบบตัดการหล่อลื่นสำหรับเทอร์บินก๊าซและเทอร์บินไอน้ำ

การควบคุมกระบวนการที่มีความน่าเชื่อถือสูง – การควบคุมแอคทูเอเตอร์สำคัญในปฏิกรณ์แบบแบตช์ (batch reactors) วาล์วปิดท่อส่ง (pipeline block valves) และระบบป้องกันภาวะแอนตี้-เซิร์จ (anti-surge systems) ของคอมเพรสเซอร์

การกำหนดค่าช่องเสียบแบบสมาร์ทสลอต / คอมแพนเนียนสลอต (SmartSlot / Companion Slot Configurations) – การให้การควบคุมเอาต์พุตแบบไม่มีความซ้ำซ้อน (1oo1 non-redundant) แบบซ้ำซ้อน (1oo2 redundant) หรือแบบเปลี่ยนชิ้นส่วนได้ขณะใช้งาน (online replaceable) ภายในแชสซี Trusted I/O

ช่องสัญญาณเอาต์พุตแบบ TMR จำนวน 40 ช่อง – เอาต์พุตดิจิทัลแบบสามโมดูลซ้ำซ้อน (triple-modular redundant) ครบถ้วนจำนวน 40 ช่อง โดยแต่ละช่องมีอาร์เรย์สวิตช์แบบลงคะแนน (voted switch array) 6 องค์ประกอบ

รับรองตามมาตรฐาน IEC 61508 ระดับ SIL 3 – ผ่านการรับรองจาก TÜV สำหรับฟังก์ชันเครื่องมือความปลอดภัย (safety instrumented functions) ที่มีความสามารถในการทนต่อข้อผิดพลาดครั้งแรก (first-fault fault tolerance) และทำงานล้มเหลวอย่างปลอดภัยเมื่อเกิดข้อผิดพลาดครั้งที่สอง (second-fault fail-safe behaviour)

การเลือกใช้งานแรงดันไฟฟ้าได้ทั้งแบบ 24 Vdc หรือ 48 Vdc – แรงดันเอาต์พุตต่อช่องสามารถกำหนดค่าผ่านซอฟต์แวร์ได้ (ช่วง 18–56 Vdc)

การตรวจสอบสายสัญญาณอัตโนมัติ – การตรวจจับวงจรเปิดและวงจรลัดต่อช่อง; แจ้งข้อผิดพลาดเมื่อไม่มีโหลดไปยังแอปพลิเคชัน

การป้องกันกระแสเกินอัตโนมัติ – การจำกัดกระแสไฟฟ้าอิเล็กทรอนิกส์ต่อช่อง และระบบป้องกันข้อผิดพลาดจากวงจรลัดแบบล็อกตัวเอง (self-latching); ไม่จำเป็นต้องใช้ฟิวส์ภายนอก

ฉนวนกั้นแบบออปโต-กาลาวานิก 2500 V – ระหว่างด้านสนาม (field side), ด้านลอจิก (logic side) และบัสเชื่อมต่อบนโมดูล (Inter-Module Bus)

ระบบบันทึกลำดับเหตุการณ์ในตัว (Sequence of Events: SOE) – การบันทึกเหตุการณ์ด้วยความละเอียด 1 มิลลิวินาที สำหรับการเปลี่ยนสถานะของเอาต์พุตแต่ละช่อง

ความสามารถในการเปลี่ยนโมดูลขณะระบบกำลังทำงาน (Hot-swap) – การแทนที่โมดูลแบบออนไลน์โดยใช้ช่องเสียบ Companion Slot (ช่องที่อยู่ติดกัน) หรือ SmartSlot (ช่องสำรองร่วมกัน)

ห้ากลุ่มแหล่งจ่ายไฟที่แยกจากกัน – แต่ละกลุ่มที่มีเอาต์พุตแปดช่องมีแหล่งจ่ายไฟและสายคืนสัญญาณสำหรับวงจรภาคสนามเป็นอิสระต่อกัน; กลุ่มต่าง ๆ ถูกแยกฉนวนเพื่อความปลอดภัยระดับ 50 V (reinforced insulation)

การวินิจฉัยสถานะแบบออนไลน์อย่างครอบคลุม – การทดสอบตนเองอย่างต่อเนื่องของสวิตช์เอาต์พุต การตรวจสอบการปรับเปลี่ยนสัญญาณควบคุมเกต (gate modulation monitoring) และการตรวจจับภาวะสวิตช์ติดค้าง (stuck-on / stuck-off)

ไฟแสดงสถานะ LED บนแผงหน้า – สถานะของแต่ละช่อง (เปิด/ปิด, ข้อผิดพลาดของสายส่ง, ข้อผิดพลาดของช่อง) รวมถึงสถานะของโมดูล (ทำงานปกติ, พร้อมใช้งาน, พร้อมทำงานสำรอง, มีการเรียนรู้แล้ว) แสดงผ่านไฟ LED

การจัดการข้อผิดพลาดแบบ TMR (Triple Modular Redundancy) – ข้อผิดพลาดครั้งแรก: ระบบยังคงทำงานได้ตามปกติ (fault tolerant); ข้อผิดพลาดครั้งที่สอง: ระบบเข้าสู่โหมดปลอดภัย (fail-safe) โดยกลุ่มเอาต์พุตจะถูกตัดพลังงานผ่านสวิตช์ fail-safe ของกลุ่ม

ช่วงอุณหภูมิที่กว้าง อุณหภูมิในการใช้งานมาตรฐาน: 0 °C ถึง +60 °C; อุณหภูมิแบบขยาย: –40 °C ถึง +70 °C (รุ่น T8461C)

การลงคะแนนเสียงของเอาต์พุตแบบ 2-out-of-3 (2oo3) – ชิ้นส่วนโปรเซสเซอร์ที่แยกจากกันสามชุด (A, B, C) แต่ละชุดรับข้อมูลผลลัพธ์จากโปรเซสเซอร์ TMR ที่เชื่อถือได้; วงจรฮาร์ดแวร์ตัวเลือกค่าส่วนใหญ่ (voter) จะเลือกค่าที่ปรากฏมากที่สุด หากหนึ่งในชิ้นส่วนเกิดความผิดพลาดหรือเบี่ยงเบน ชิ้นส่วนที่เหลืออีกสองชุดจะยังคงควบคุมเอาต์พุตให้ถูกต้อง

โครงสร้างสวิตช์แบบปลอดภัยเมื่อเกิดความล้มเหลว 6 องค์ประกอบ – แต่ละช่องทางเอาต์พุตประกอบด้วยคู่สวิตช์แบบปลอดภัยเมื่อเกิดความล้มเหลวสามคู่ (คู่ละหนึ่งชุดตามชิ้นส่วนโปรเซสเซอร์แต่ละชุด) แต่ละคู่ประกอบด้วยสวิตช์ด้านบนแบบเปิดตามปกติ (N.O.) ซึ่งควบคุมโดยชิ้นส่วนโปรเซสเซอร์ของตนเอง และสวิตช์ด้านล่างแบบปิดตามปกติ (N.C.) ซึ่งควบคุมโดยชิ้นส่วนโปรเซสเซอร์ที่อยู่ก่อนหน้า (upstream slice) การจัดเรียงนี้ทำให้มั่นใจได้ว่า แม้หลังจากที่ชิ้นส่วนโปรเซสเซอร์หนึ่งชุดเกิดความล้มเหลวอย่างสมบูรณ์ ชิ้นส่วนที่เหลืออีกสองชุดยังคงสามารถจ่ายพลังงานให้โหลดได้อย่างต่อเนื่อง

การวินิจฉัยการปรับเปลี่ยนแรงดันที่ขั้วควบคุม (Gate Voltage Modulation Diagnostics) – ในขณะที่มีการจ่ายพลังงานที่เอาต์พุต โมดูลจะปรับเปลี่ยนแรงดันที่ขั้วควบคุม (gate voltage) ของแต่ละสวิตช์ทีละตัว และวิเคราะห์สัญญาณกระแสสลับ (AC) ขนาดเล็กที่เกิดขึ้น เพื่อกำหนดค่าความต้านทานขณะเปิด (on-resistance), แรงดันเกณฑ์ (threshold voltage) และสภาพโดยรวมของสวิตช์ โดยไม่หยุดการไหลของกระแสไฟฟ้าผ่านโหลด

การตรวจจับข้อบกพร่องของสายส่งอัตโนมัติ – วัดค่าแรงดันไฟฟ้าและกระแสไฟฟ้าอย่างต่อเนื่อง ขาส่งออกที่มีพลังงานจะรายงานสถานะเป็นวงจรเปิด (ไม่มีโหลด), วงจรลัดวงจร (กระแสเกินที่ถูกล็อกไว้) หรือสถานะปกติ ขาส่งออกที่ไม่มีพลังงานสามารถทำการจ่ายพลังงานบางส่วน (น้อยกว่า 2 V หรือ 100 mA) เพื่อวัดความต้านทานของวงจรได้ตามตัวเลือก; หากตรวจพบวงจรลัดวงจร (ความต้านทาน < 40 Ω) จะแจ้งเตือนและรายงานผล

สวิตช์ความปลอดภัยแบบล้มเหลวแบบกลุ่ม – แต่ละกลุ่มพลังงาน (8 ช่องทาง) ประกอบด้วยสวิตช์ความปลอดภัยแบบล้มเหลวแบบกลุ่มแบบขนานสามชุด (หนึ่งชุดต่อสไลซ์) หากสไลซ์สองชุดขึ้นไปตรวจพบว่าขาส่งออกไม่สามารถตัดพลังงานได้ (ติดค้างอยู่ในสถานะเปิด) สไลซ์ใดก็ตามสามารถสั่งให้สวิตช์ GFSS ของตนเองและของอีกสองสไลซ์ที่เหลือเปิดออกได้ หากมีสไลซ์สองชุดปฏิบัติการ สวิตช์ GFSS ที่เหลือเพียงชุดเดียวจะเปิดออก ทำให้กลุ่มทั้งหมดสูญเสียพลังงาน

ลำดับเหตุการณ์ (SOE) – โมดูลบันทึกเวลา (timestamp) ของการเปลี่ยนสถานะของแต่ละขาส่งออก (เปิด→ปิด, ปิด→เปิด) ด้วยความละเอียด 1 มิลลิวินาที เมื่อโปรเซสเซอร์ TMR ร้องขอข้อมูล ข้อมูล timestamp และสถานะใหม่จะถูกอัปโหลดและบันทึกลงในบันทึก SOE ของระบบ

การตรวจสอบการบำรุงรักษา – วัดแรงดันไฟฟ้าภายใน (24 V backplane, 8 V slice supplies, แหล่งจ่ายไฟสำหรับสนามต่อแต่ละกลุ่ม) อุณหภูมิของบอร์ด (HIU, FIU ต่อแต่ละกลุ่ม) และการใช้กระแสไฟฟ้าอย่างต่อเนื่อง และรายงานผ่านรีจิสเตอร์สำหรับการดูแลระบบ (Rack 7) เพื่อวัตถุประสงค์ในการวินิจฉัย

การเปลี่ยนสถานะระหว่างโหมดทำงาน / โหมดพร้อมใช้งาน – เมื่อมีการติดตั้ง T8461C ตัวที่สองไว้ในช่อง Companion Slot โปรเซสเซอร์แบบ TMR จะทำการฝึกอบรมโมดูลที่อยู่ในโหมดพร้อมใช้งาน จากนั้นเมื่อตรวจพบความผิดปกติในโมดูลที่กำลังทำงานอยู่ โปรเซสเซอร์จะดำเนินการเปลี่ยนสถานะแบบไม่หยุดชะงัก (bumpless changeover): กำหนดค่าโมดูลที่อยู่ในโหมดพร้อมใช้งาน ถ่ายโอนข้อมูลการเปลี่ยนสถานะแบบไดนามิก (COD) และทำให้โมดูลที่อยู่ในโหมดพร้อมใช้งานเข้าสู่โหมดทำงาน โดยไม่มีการหยุดชะงักของการส่งออกสัญญาณ

พฤติกรรมการเริ่มต้นระบบจากสภาวะเย็น (Cold start) – หลังการติดตั้ง โมดูลจะเริ่มทำงาน (boot) และได้รับการฝึกอบรมจากโปรเซสเซอร์ จากนั้นไฟแสดงสถานะ Run จะเปลี่ยนเป็นสีเหลือง สัญญาณเอาต์พุตยังไม่ถูกจ่ายไฟ หลังกดปุ่มรีเซ็ตข้อผิดพลาดของโปรเซสเซอร์ โมดูลจะเข้าสู่โหมดทำงาน (ไฟแสดงสถานะ Run เปลี่ยนเป็นสีเขียว) และสัญญาณเอาต์พุตจะปฏิบัติตามตรรกะของแอปพลิเคชัน