Цифровий вихідний модуль системи безпеки ICS TRIPLEX Trusted T8461C, готовий до відправки

The ICS TRIPLEX T8461C є надійним цифровим вихідним модулем TMR на 24 В постійного струму / 48 В постійного струму, що керує 40 незалежними полевими пристроями. Кожен вихідний канал використовує трикратно резервовані схеми з апаратним голосуванням «2 із 3» (2oo3), що усуває окремі точки відмови. Вбудована діагностика включає автоматичний моніторинг лінії (виявлення обриву/короткого замикання), захист від перевантаження без зовнішніх запобіжників та реєстрацію послідовності подій (SOE) з точністю 1 мс. Модуль T8461C підтримує гарячу заміну через слоти Companion Slot або SmartSlot і сертифікований TÜV відповідно до IEC 61508 SIL 3, що робить його ідеальним для найвимогливіших функцій системи безпеки в системах аварійного відключення (ESD) та протипожежних і газових системах (F&G).

Системи аварійного відключення (ESD) — безпосереднє керування критичними для безпеки соленоїдними клапанами, клапанами скидання тиску та реле аварійного відключення на нафтопереробних заводах, LNG-заводах та хімічних підприємствах

Протипожежний та газовий захист (F&G) – вмикання протипожежного обладнання (спринклерів, зливних клапанів), звукових/світлових сигналів тривоги та заслінок вентиляції

Системи керування пальниками (BMS) – підведення живлення до клапанів аварійного відключення полум’я та запуск циклів продувки пальників у котлах і печах

Керування турбіною – керування соленоїдами аварійного відключення при перевищенні швидкості обертання, аварійними стоп-колами та вимиканням системи мащення для газових і парових турбін

Керування процесом з високою надійністю – керування критичними виконавчими пристроями в партійних реакторах, запірних клапанах трубопроводів та системах запобігання помпажу компресорів

Конфігурації слотів SmartSlot / Companion Slot – забезпечення нерезервованого керування 1oo1, резервованого керування 1oo2 або керування з можливістю заміни в режимі онлайн у шасі довірених вхідних/вихідних модулів (Trusted I/O)

40 каналів вихідного сигналу з технологією TMR – 40 повністю триплікованих модульних резервованих цифрових виходів, кожен із яких має комутаційний масив із шістьма елементами, що працюють за принципом голосування

Сертифіковано відповідно до IEC 61508, рівень SIL 3 – Сертифіковано TÜV щодо функцій безпеки з витривалістю до першої несправності та поведінкою «відмова в безпечний стан» при другій несправності

Вибір роботи від 24 В постійного струму або 48 В постійного струму – програмно налаштовувана вихідна напруга на канал (діапазон 18–56 В постійного струму)

Автоматичний моніторинг лінії – виявлення обриву та короткого замикання на кожному каналі; несправності при відсутності навантаження передаються в програмне забезпечення

Автоматичний захист від перевантаження струмом – електронне обмеження струму на кожному каналі та самозахоплювальний захист від аварійних режимів короткого замикання — зовнішні запобіжники не потрібні

опто-галванічна ізоляція 2500 В – між полевою стороною, логічною стороною та міжмодульною шиною

Вбудована послідовність подій (SOE) – реєстрація подій із роздільною здатністю 1 мс для кожної зміни стану виходу

Підтримка гарячої заміни – заміна модулів у режимі онлайн за допомогою спеціального слоту Companion (сусідній) або SmartSlot (спільний резервний)

П’ять ізольованих груп живлення – кожна група з восьми виходів має незалежне поле живлення та повернення; групи ізольовані до 50 В з підвищеною ізоляцією

Комплексна діагностика в режимі онлайн – безперервне самотестування вихідних перемикачів, моніторинг модуляції затвора, виявлення станів «залишився увімкненим» / «залишився вимкненим»

Світлодіодні індикатори на передній панелі – статус кожного каналу (увімкнено/вимкнено, аварія лінії, аварія каналу), а також світлодіодні індикатори стану модуля: «справний», «активний», «резервний», «навчений»

Обробка несправностей у системі TMR – при першій несправності система є стійкою до помилок (продовжує працювати); при другій несправності активується безпечний режим відмови (група виходів вимикається через перемикач безпечного режиму відмови групи)

Широкий діапазон температур – стандартний діапазон: від 0 °C до +60 °C; розширений діапазон: від –40 °C до +70 °C (T8461C)

голосування за виходом «два з трьох» (2oo3) — три незалежні процесорні сегменти (A, B, C), кожен із яких отримує вихідні дані від довіреного процесора TMR; апаратний голосувач вибирає значення, що має більшість. Якщо один із сегментів виходить із ладу або починає відрізнятися, два інших сегменти забезпечують правильне керування вихідним сигналом.

Шестиелементна безпекова комутаційна топологія — кожен вихідний канал побудований як три пари безпекових комутаторів (по одній парі на сегмент). Кожна пара складається з верхнього комутатора з нормальним замиканням (Н.З.) (керується власним сегментом) та нижнього комутатора з нормальним розмиканням (Н.Р.) (керується попереднім сегментом). Таке розташування забезпечує, що навіть після повної відмови одного сегменту два інші сегменти продовжують подавати живлення на навантаження.

Діагностика модуляції напруги затвора — коли вихід увімкнений, модуль по черзі модулює напругу затвора кожного комутатора й аналізує виниклий малий змінний струм, щоб визначити опір увімкнення, порогову напругу та стан комутатора. Струм навантаження не переривається.

Автоматичне виявлення несправностей лінії – напруга та струм вимірюються безперервно. Вихідні сигнали під напругою повідомляють про розімкнене коло (відсутність навантаження), коротке замикання (захоплення надструму) або нормальний стан. Для вихідних сигналів без напруги за бажанням виконується часткова подача напруги (менше 2 В або 100 мА) для вимірювання опору ланцюга; виявляється та повідомляється коротке замикання (опір < 40 Ом).

Групові аварійні вимикачі – кожна група живлення (8 каналів) включає три паралельно з’єднаних групових аварійних вимикачів (по одному на слайс). Якщо два або більше слайсів виявляють, що вихідний сигнал неможливо вимкнути («залишається увімкненим»), будь-який із слайсів може надіслати команду на відмикання свого власного ГАВ та ГАВ двох інших слайсів. Якщо діють два слайси, останній залишений ГАВ вімикається, вимикаючи всю групу.

Послідовність подій (SOE) – модуль фіксує часову мітку кожної зміни стану виходу (увімкнено→вимкнено, вимкнено→увімкнено) з роздільною здатністю 1 мс. Під час опитування процесором TMR часові мітки та нові стани завантажуються й записуються в системний журнал SOE.

Моніторинг службових функцій – внутрішні напруги (24 В на задній панелі, 8 В для живлення слайсів, живлення полів у розрахунку на групу), температури плат (HIU, FIU на групу) та споживаний струм постійно вимірюються й передаються через реєстри службової інформації (Стійка 7) з діагностичних цілей.

Перехід у режим «Активний / Резервний» – коли вторинний модуль T8461C встановлено в додатковий слот, процесор TMR навчає резервний модуль. Після виявлення несправності в активному модулі процесор виконує безперервний перехід: резервний модуль налаштовується, передаються дані динамічного переходу (COD), а резервний модуль стає активним без перерви в вихідному сигналі.

Поведінка при холодному запуску – після встановлення модуль завантажується, навчається від процесора, після чого світлодіод «Run» світиться жовтим кольором. Вихідні сигнали не активовані. Натискання кнопки скидання аварійного стану процесора переводить модуль у активний стан (світлодіод «Run» світиться зеленим кольором), і вихідні сигнали починають слідувати логіці програмного забезпечення.