Firma VIGRAN opracowała i wdrożyła ostatnio dla jednego ze swoich klientów rozwiązanie redundantnego systemu ESD opartego na kompaktowych sterownikach bezpieczeństwa HIMA HIMatrix.
Sterowniki HIMA HIMatrix są często wykorzystywane do realizacji pojedynczych funkcji bezpieczeństwa lub niewielkich systemów ESD. W przedstawionym rozwiązaniu zastosowano jednak dwa niezależne sterowniki bezpieczeństwa, realizujące równolegle tę samą logikę. Układ pracuje w architekturze 2oo2, w której zadziałanie funkcji bezpieczeństwa wymaga zgodnego działania obu kontrolerów. Dzięki temu pojedyncza awaria lub czasowe wyłączenie jednego z nich nie powoduje nieplanowanego zatrzymania instalacji.
Istotnym elementem rozwiązania jest również sposób doprowadzenia sygnałów obiektowych. Te same sygnały I/O są wprowadzane równolegle do obu sterowników, dzięki czemu każdy z nich dysponuje kompletem informacji niezbędnych do niezależnej realizacji logiki bezpieczeństwa. W przypadku sygnałów cyfrowych DI oraz DO równoległe połączenie może być realizowane bezpośrednio dzięki właściwościom zastosowanych wejść i wyjść. Dla sygnałów analogowych wykorzystywane są natomiast odpowiednie splittery sygnałowe, umożliwiające przekazanie tego samego pomiaru do dwóch niezależnych wejść analogowych. W efekcie oba sterowniki HIMA HIMatrix posiadają własne I/O i niezależnie przetwarzają te same sygnały obiektowe.
Redundancja obejmuje również komunikację z systemem nadrzędnym. Każdy sterownik posiada własną ścieżkę Ethernet i komunikuje się z DCS niezależnie. Sygnały z obu kontrolerów przekazywane są równolegle, a system nadrzędny może porównywać ich wartości i generować alarm w przypadku wykrycia rozbieżności.
Szczególnie interesującym elementem rozwiązania jest bezpośrednia komunikacja pomiędzy sterownikami HIMA HIMatrix z wykorzystaniem protokołu safeethernet (SIL3). Wykorzystano ją między innymi do synchronizacji poleceń operatorskich. Jeżeli wskutek awarii sieci lub elementu systemu nadrzędnego polecenie dotrze tylko do jednego kontrolera, może zostać przekazane do drugiego poprzez komunikację safeethernet. Pozwala to uniknąć sytuacji, w której dwa kanały redundantnego systemu pozostają w różnych stanach logicznych.
Dwa niezależne kontrolery dają również możliwość rozbudowanej diagnostyki. System nadrzędny może porównywać analogiczne sygnały pochodzące z obu sterowników i sygnalizować ich rozbieżność jeszcze zanim wpłynie ona na dostępność funkcji bezpieczeństwa. Dodatkowo interfejs przeznaczony do programowania i diagnostyki może zostać wydzielony od sieci wykorzystywanej do komunikacji procesowej, co ułatwia uporządkowanie architektury sieciowej i dostępu serwisowego.
Takie wykorzystanie sterowników HIMA HIMatrix pokazuje, że kompaktowy sterownik bezpieczeństwa nie musi oznaczać wyłącznie niewielkiego, pojedynczego układu. Zastosowanie dwóch kontrolerów pozwala stworzyć redundantną architekturę ESD z niezależnymi torami I/O, niezależnymi ścieżkami komunikacyjnymi, diagnostyką rozbieżności oraz mechanizmami synchronizacji pomiędzy kanałami.
Zastosowana architektura umożliwiła spełnienie wymagań dla funkcji bezpieczeństwa na poziomie SIL 3. Po zakończeniu implementacji i przeprowadzeniu wymaganych testów system został pomyślnie odebrany przez CLDT, co stanowi praktyczne potwierdzenie poprawności zastosowanego rozwiązania.
W aplikacjach o stosunkowo niewielkiej liczbie sygnałów rozwiązanie to może stanowić interesującą alternatywę dla znacznie większych systemów bezpieczeństwa, szczególnie tam, gdzie istotne są jednocześnie wysoki poziom nienaruszalności bezpieczeństwa (SIL), wysoka dostępność oraz ograniczenie nieplanowanych zatrzymań instalacji.