โมดูลเอาต์พุตแบบดิจิทัล TMR รุ่น 3604E ของ Tricon ของ TRICONEX พร้อมจัดส่ง

The TRICONEX 3604E เป็นโมดูลเอาต์พุตแบบดิจิทัลความหนาแน่นสูงที่ใช้ระบบสามชุดสำรองซ้ำ (Triple Modular Redundancy: TMR) ซึ่งออกแบบมาเพื่อใช้ใน Tricon ระบบเครื่องมือความปลอดภัย (safety instrumented system) โมดูลนี้ 3604E ขับเอาต์พุตแบบไม่ร่วมกัน (non-commoned) จำนวน 16 ช่อง ที่มีแรงดันไฟฟ้า 24 Vdc โดยแต่ละช่องสามารถจ่ายกระแสไฟฟ้าได้ต่อเนื่องสูงสุด 2 A แต่ละช่องเอาต์พุตมีวงจรวัดค่าอิสระสามชุด ซึ่งดำเนินการโหวตฮาร์ดแวร์แบบ 2 จาก 3 (2-out-of-3: 2oo3) เพื่อปิดบังข้อผิดพลาดของวงจรใดวงจรหนึ่ง และป้องกันการหยุดทำงานโดยไม่จำเป็น (false trips) การวินิจฉัยภายในตัวประกอบด้วยการทดสอบตนเองอย่างต่อเนื่อง (continuous self-test), การย้อนกลับแรงดัน (voltage loopback), การตรวจจับวงจรเปิด (open-circuit) และวงจรลัด (short-circuit) รวมถึงการแจ้งเตือนแบบแยกตามช่องเอาต์พุตสำหรับโหลด/ฟิวส์ (LOAD/FUSE alarms) ได้รับการรับรองตามมาตรฐาน IEC 61508 SIL 3 , การ TRICONEX 3604E รองรับการเปลี่ยนโมดูลขณะระบบยังทำงาน (hot-swap replacement) รับแรงดันไฟฟ้าจากแหล่งจ่ายภายนอกได้กว้าง (22–45 Vdc) และเข้ากันได้กับแผงต่อสายปลายทางภายนอก (External Termination Panel: ETP) หลายรุ่น โมดูลนี้ถูกนำไปใช้งานทั่วโลกในแอปพลิเคชันต่าง ๆ เช่น ระบบหยุดฉุกเฉิน (Emergency Shutdown: ESD), ระบบตรวจจับเพลิงและก๊าซ (Fire & Gas: F&G), ระบบจัดการเตาเผา (Burner Management System: BMS) และระบบควบคุมเทอร์ไบน์ ทั้งในอุตสาหกรรมน้ำมันและก๊าซ อุตสาหกรรมปิโตรเคมี การผลิตไฟฟ้า และอุตสาหกรรมยา

ระบบหยุดฉุกเฉิน (Emergency Shutdown: ESD) – ขับวาล์วโซลินอยด์ที่มีความสำคัญต่อความปลอดภัย วาล์วปล่อยแรงดัน (dump valves) และวาล์วปิดฉุกเฉิน (emergency block valves) ในการกลั่นน้ำมัน โรงงานแปรสภาพก๊าซธรรมชาติเหลว (LNG) ปฏิกิริยาเคมีในหม้อปฏิกรณ์ และแท่นขุดเจาะนอกชายฝั่ง

ระบบป้องกันเพลิงและก๊าซ (Fire & Gas: F&G) – จ่ายพลังงานให้กับวาล์วระบบฉีดน้ำดับเพลิงแบบเดลูจ (sprinkler deluge valves) สัญญาณเตือนเสียงและแสง ส่วนควบคุมการระบายอากาศ (ventilation dampers) และวงจรปล่อยระบบดับเพลิงเมื่อตรวจพบก๊าซหรือเปลวไฟ

ระบบจัดการเตาเผา (Burner Management Systems: BMS) – ควบคุมวาล์วตัดความปลอดภัยของเปลวไฟ (flame safety shut-off valves) แผ่นกั้นระบบล้าง (purge dampers) หม้อแปลงจุดระเบิด (ignition transformers) และรีเลย์ตัดเชื้อเพลิงหลัก (master fuel trip relays) เพื่อความปลอดภัยของหม้อไอน้ำและเตาเผา

การควบคุมเทอร์บินและการป้องกันความเร็วรอบเกิน – ขับโซลินอยด์ตัดความเร็วรอบเกิน (overspeed trip solenoids) วงจรหยุดฉุกเฉิน (emergency stop circuits) การตัดระบบหล่อลื่น (lubrication system cut-offs) และแอคทูเอเตอร์ของระบบควบคุมความเร็ว (governor actuators) สำหรับเทอร์บินก๊าซและเทอร์บินไอน้ำ

การควบคุมกระบวนการที่มีความน่าเชื่อถือสูง – ดำเนินการกับองค์ประกอบสุดท้ายที่สำคัญ เช่น สตาร์ทเตอร์มอเตอร์ วาล์วป้องกันการไหลย้อนกลับของคอมเพรสเซอร์ (compressor anti-surge valves) วงจรหยุดปั๊ม และระบบล็อกความปลอดภัยของเครื่องทำความร้อน (heater interlocks)

การผลิตยาและเทคโนโลยีชีวภาพ – ควบคุมวาล์วความปลอดภัยของหม้อปฏิกรณ์แบบแบตช์ (batch reactor safety valves) วงจรล้างภายใน (clean-in-place: CIP) และระบบล็อกการกักเก็บ (containment interlock systems) ภายใต้ตรรกะความปลอดภัยที่ได้รับการรับรองตามมาตรฐาน SIL-3

ความสำรองแบบโมดูลาร์สามชุด (Triple Modular Redundancy: TMR) พร้อมระบบลงคะแนนเสียงแบบ 2 จาก 3 (2oo3 voting) – มีวงจรเอาต์พุตอิสระสามวงจรต่อช่องทาง; หากเกิดความล้มเหลวของวงจรใดวงจรหนึ่ง จะถูกปิดบังโดยอัตโนมัติ; วงจรที่เหลือสองวงจรยังคงรักษาสถานะเอาต์พุตที่ถูกต้องไว้

รับรองตามมาตรฐาน IEC 61508 ระดับ SIL 3 – ผ่านการรับรองจาก TÜV สำหรับฟังก์ชันเครื่องมือด้านความปลอดภัย (safety instrumented functions) จนถึงระดับความสมบูรณ์สูงสุด; เหมาะสำหรับการใช้งานแบบตัดพลังงานเพื่อกระตุ้นการหยุดทำงาน (fail-safe) และการจ่ายพลังงานเพื่อกระตุ้นการทำงาน

16 ช่องทางเอาต์พุตแบบไม่เชื่อมร่วมกัน (แยกกันอย่างสมบูรณ์) – แต่ละช่องทางมีสายคืนสัญญาณ (return) ที่แยกกันอย่างสมบูรณ์; ไม่มีการใช้สายร่วมกันระหว่างจุดต่าง ๆ; ช่วยขจัดปัญหา ground loops และการรบกวนข้ามช่องทาง

กระแสต่อเนื่อง 2 A / กระแสพีค 10 A – สามารถขับโหลดโดยตรงได้สำหรับวาล์วโซลินอยด์ขนาดใหญ่ คอนแทคเตอร์ รีเลย์ เครื่องแจ้งเตือนสัญญาณเตือน (alarm annunciators) และสตาร์ทเตอร์มอเตอร์ โดยไม่จำเป็นต้องใช้รีเลย์กลาง (interposing relays) ภายนอก

ช่วงแรงดันไฟฟ้าภาคสนามกว้าง (22 – 45 Vdc) – รองรับแหล่งจ่ายไฟแบบ 24 Vdc ตามค่ามาตรฐาน พร้อมความทนทานต่อความแปรผันของแรงดันในระดับสูง; เหมาะสำหรับสภาพแรงดันไฟฟ้าอุตสาหกรรมที่ผันผวนและระยะเดินสายยาว

ฉนวนกันไฟฟ้าแบบออปโต-กาลาวานิก (opto-galvanic isolation) 1500 Vdc – การแยกสัญญาณระหว่างช่องสัญญาณกับช่องสัญญาณ และระหว่างช่องสัญญาณกับแผงหลัง (backplane) ป้องกันการแพร่กระจายของความผิดพลาด และปกป้องโปรเซสเซอร์ Tricon จากสัญญาณรบกวนทางไฟฟ้าจากฝั่งสนาม

การตรวจสอบตนเองแบบออนไลน์อย่างต่อเนื่อง – วงจรย้อนกลับแรงดัน (voltage loopback) ตรวจสอบสวิตช์เอาต์พุตแต่ละตัวอย่างอิสระจากสถานะการมีโหลด; ตรวจจับภาวะวงจรเปิด (ไม่มีโหลด), วงจรลัด (short-circuit) กับแหล่งจ่ายไฟ/กราวด์, กระแสเกินค่าที่กำหนด และความล้มเหลวของฟิวส์

การย้อนกลับแรงดัน (voltage loopback) และสัญญาณเตือน LOAD/FUSE – การอ่านค่าแรงดันเอาต์พุตจริงแบบแอคทีฟ (active read-back); หากมีความไม่สอดคล้องกันระหว่างสถานะที่สั่งงานและแรงดันที่วัดได้ จะกระตุ้นสัญญาณเตือนฝั่งสนามทันที โดยไม่จำเป็นต้องใช้อุปกรณ์ตรวจจับภายนอก

ความสามารถในการเปลี่ยนโมดูลขณะระบบกำลังทำงาน (Hot-swap) – การเปลี่ยนโมดูลขณะระบบกำลังทำงาน (online module replacement) โดยไม่ต้องปิดจ่ายไฟระบบหรือหยุดกระบวนการ; ลดเวลาหยุดเพื่อการบำรุงรักษาในสภาพแวดล้อมที่มีความสำคัญสูงต่อความปลอดภัย

ไฟแสดงสถานะ LED บนแผงหน้าสำหรับแต่ละช่องสัญญาณ – ไฟแสดงสถานะแบบมองเห็นได้: เปิด (สีเขียว), ปิด (ดับ), ข้อผิดพลาดของโหลด/ฟิวส์ (สีส้ม), และข้อผิดพลาดของช่องสัญญาณ (สีแดง); มีไฟ LED แสดงสถานะ PASS, FAULT และ ACTIVE เพื่อบ่งชี้สุขภาพโดยรวมของโมดูล

การจัดแนวเชิงกล (mechanical keying) และคันโยกปลดปล่อย (ejector levers) – โมดูลมีระบบล็อกเพื่อป้องกันการติดตั้งผิดช่องในแชสซี; คันโยกปลดปล่อย (ejector levers) ทำให้มั่นใจได้ว่าโมดูลถูกติดตั้งแน่นหนาและเชื่อมต่อกับแผงวงจรย้อนกลับ (backplane) อย่างถูกต้อง

รองรับการทำงานร่วมกับแผงต่อปลายทางภายนอก (External Termination Panels: ETPs) หลายแบบ – ทำงานร่วมกับแผงต่อปลายทางแบบรวม (commoned), แบบพื้นฐาน, แบบไม่ก่อให้เกิดประกายไฟ (non-incendive) สำหรับพื้นที่อันตราย (hazardous location) และแบบลูปแบ็ก (loop-back) เพื่อความยืดหยุ่นในการเดินสายภาคสนาม

การวินิจฉัยขั้นสูงเวอร์ชัน 'E' (Enhanced “E” version diagnostics) – เมื่อเปรียบเทียบกับรุ่นพื้นฐาน 3604E มีระบบตรวจจับข้อผิดพลาดแบบมีการควบคุม (supervised fault detection) ที่ก้าวหน้ากว่า รวมถึงการตรวจสอบด้านโหลด (load side monitoring) และการครอบคลุมการวินิจฉัยที่ดีขึ้นสำหรับฟังก์ชันความปลอดภัยที่เข้มงวด

การขับเอาต์พุตแบบไตรภาค (Triplicated output driving) พร้อมการลงคะแนนเสียงด้วยฮาร์ดแวร์ (hardware voting) – แต่ละช่องทางเอาต์พุต 16 ช่องประกอบด้วยวงจรสวิตช์สถานะของแข็ง (solid-state switch circuits) สามวงจรที่แยกจากกันอย่างอิสระ (หนึ่งวงจรต่อ TMR slice) ข้อมูลเอาต์พุตจากโปรเซสเซอร์หลักทั้งสามตัวจะถูกส่งไปยังโมดูลผ่านบัส I/O แบบไตรภาค (triplicated I/O bus) ตัวลงคะแนนเสียงสำหรับเอาต์พุตที่มีสี่ชุด (quadruplicated output voter) ของโมดูลใช้หลักการ 2 จาก 3 (2oo3) เพื่อเปรียบเทียบสัญญาณทั้งสามสัญญาณ หากสองสัญญาณตรงกัน ค่าดังกล่าวจะถูกส่งออกไปยังภาคสนาม โดยซ่อนข้อผิดพลาดของวงจรหนึ่งวงที่ให้ผลต่างออกไป

การตรวจสอบย้อนกลับแบบวงจรแรงดัน (Voltage loopback read-back verification) – ตัวแปลงสัญญาณอะนาล็อกเป็นดิจิทัลแบบเฉพาะสำหรับแต่ละช่องสัญญาณวัดแรงดันไฟฟ้าขาออกจริงที่ขั้วต่อภาคสนามอย่างต่อเนื่อง ค่าที่วัดได้จะถูกเปรียบเทียบกับสถานะที่สั่งการ (เปิดหรือปิด) หากเกิดความไม่สอดคล้องกัน (เช่น สั่งให้ขาออกอยู่ในสถานะปิดแต่มีแรงดันไฟฟ้าปรากฏ หรือสั่งให้เปิดแต่ไม่มีแรงดันไฟฟ้า) จะทำให้เกิดสัญญาณเตือนโหลด/ฟิวส์ (LOAD/FUSE) และไฟ LED ที่สอดคล้องกันจะสว่างขึ้น

การตรวจจับวงจรเปิด (ไม่มีโหลด) – เมื่อสั่งให้ขาออกอยู่ในสถานะปิด จะมีการฉีดกระแสตรวจสอบขนาดเล็กผ่านวงจรภาคสนาม หากกระแสที่ไหลกลับต่ำกว่าเกณฑ์ขั้นต่ำของโหลด (ประมาณ 10 มิลลิแอมแปร์) โมดูลจะรายงานข้อผิดพลาดวงจรเปิด (โหลดหายไปหรือขาด) คุณลักษณะนี้ใช้ยืนยันความสมบูรณ์ของการเดินสายภาคสนามโดยไม่ต้องจ่ายพลังงานให้กับองค์ประกอบสุดท้าย

การป้องกันวงจรลัดและกระแสเกิน – กระแสขาออกจะถูกตรวจสอบอย่างต่อเนื่อง หากตรวจพบภาวะกระแสเกินที่คงที่ (ลัดวงจร) ขาออกจะถูกล็อกให้ปิดลง และตัวบ่งชี้ข้อผิดพลาดของช่องสัญญาณจะเปิดใช้งาน ฟิวส์แบบเผาขาดที่ไม่สามารถเปลี่ยนได้ให้การป้องกันอย่างสมบูรณ์แบบจากการล้มเหลวอย่างรุนแรง ฟิวส์แบบเร็ว 2.5 A ภายนอก (ติดตั้งบนแผงขั้วต่อ) ให้การป้องกันเพิ่มเติมสำหรับสายเคเบิลในสนาม

การวินิจฉัยตนเองอย่างต่อเนื่อง – โมดูลจะทำการทดสอบวงจรสำคัญทั้งหมดเป็นระยะๆ ได้แก่ แรงดันไฟเลี้ยง แรงดันอ้างอิงภายใน ลอจิกการลงคะแนนผลขาออก แอนะล็อก-ดิจิทัลคอนเวอร์เตอร์ (ADC) สำหรับการนำแรงดันกลับมาตรวจสอบ และอินเทอร์เฟซการสื่อสารกับโปรเซสเซอร์หลัก ทุกกรณีที่การวินิจฉัยล้มเหลวจะทำให้ไฟแสดงสถานะข้อผิดพลาด (FAULT LED) ติดขึ้น และรายงานสถานะดังกล่าวไปยังแอปพลิเคชันผ่านตารางข้อมูล I/O

การดำเนินการแบบ Hot-swap – เมื่อ 3604E ถูกถอดออกจากแชสซีที่กำลังทำงานอยู่ โปรเซสเซอร์หลักจะตรวจจับการสูญเสียและยังคงดำเนินการต่อโดยใช้โมดูลที่ยังคงทำงานได้ตามปกติในสล็อตนั้น (หากมีโมดูลสำรองแบบพร้อมใช้งานทันที) 3604E เมื่อมีการแทรกเข้าไป ระบบจะเริ่มต้นใหม่และฝึกอบรมโมดูลอีกครั้งโดยอัตโนมัติ เพื่อคืนค่าโหมดการลงคะแนนแบบ 2oo3 อย่างสมบูรณ์ โดยไม่จำเป็นต้องปิด-เปิดไฟฟ้าใหม่

การแจ้งเตือนแบบแยกตามช่องสัญญาณ – โมดูลให้บิตสถานะแบบแยกจากกันจำนวนสี่บิตต่อช่องสัญญาณ ได้แก่ สถานะเปิด/ปิด (จากแอปพลิเคชัน) สถานะเอาต์พุตที่ผ่านการลงคะแนนแบบมีเดียน (เงื่อนไขจริงในภาคสนาม) สถานะข้อผิดพลาดของสายสัญญาณ (วงจรเปิดหรือวงจรลัด) และสถานะสุขภาพของช่องสัญญาณ (ข้อผิดพลาดของส่วนย่อย) บิตเหล่านี้ถูกแมปเข้าสู่โครงสร้างข้อมูล I/O เพื่อใช้งานในตรรกะความปลอดภัย

การเริ่มต้นแบบเย็นและการเริ่มต้นเมื่อจ่ายไฟ – เมื่อจ่ายไฟ โมดูลจะดำเนินการทดสอบตนเองอย่างสมบูรณ์ หากผ่านการทดสอบ โมดูลจะรอรับการกำหนดค่าจากโปรเซสเซอร์หลัก เอาต์พุตจะยังคงอยู่ในสถานะไม่มีพลังงานจนกว่าโปรเซสเซอร์จะส่งคำสั่งเริ่มทำงานอย่างแข็งแรง ปุ่ม FAULT RESET บนโปรเซสเซอร์หลักจะล้างสถานะข้อผิดพลาดของเอาต์พุตที่ถูกเก็บไว้หลังจากที่ซ่อมแซมข้อผิดพลาดในภาคสนามแล้ว

สถานะสำรอง / สถานะปลอดภัยเมื่อเกิดความล้มเหลว – หากสูญเสียการสื่อสารกับโปรเซสเซอร์หลัก หรือตรวจพบข้อผิดพลาดภายในที่รุนแรง โมดูลจะตัดพลังงานจากเอาต์พุตทั้งหมด (สถานะปลอดภัยโดยค่าเริ่มต้น) สถานะค่าเริ่มต้นนี้สามารถเปลี่ยนแปลงได้ในการกำหนดค่าโมดูลสำหรับช่องทางเฉพาะที่สถานะที่ไม่มีพลังงานไม่ใช่เงื่อนไขที่ปลอดภัย