Помогите со ссылкой на нормативы

[Ryzhij]

Выручайте, коллеги!

Имеем ситуацию:
На компрессоре воздуха КИП установлены контроллер и панель оператора. Данные с контроллера также забираются и отображаются на экранах АРМ-ов РСУ цеха.
Панель оператора зависла.
Казалось бы, ничего особенного - под Windows же работает, хоть и под Windows CE.
Но! При этом компрессор встал. Встал "колом", даже не запустив вспомогательный маслонасос. Сие обстоятельство очень не понравилось технологам.
Попытки объяснить, что это "родимое пятно" применённой производителем архитектуры, что в ситуации, когда в паре "панель-контроллер" контроллер является инициатором связи (клиентом) любое нарушение связи с панелью воспринимается контроллером как неисправность периферии и ведёт к останову машины, всё это только ещё больше расстроило начальство.
Решили выставить претензию.

Вопрос:
Существуют ли какие-либо нормативы, где бы указывалось на недопустимость такого подхода, когда отказ элементов HMI приводит к нарушению работы агрегата?

Благодарю всех коллег, затративших своё время на ответ!

[alex-tec]

Существуют ли какие-либо нормативы, где бы указывалось на недопустимость такого подхода, когда отказ элементов HMI приводит к нарушению работы агрегата?

Боюсь, что именно такого норматива не существует. В данном случае нужно внимательно читать ТЗ на проектирование (поставку) данного оборудования, если там не прописано, то пытаться как-то договариваться с поставщиком.

[petr2off]

Какая то странно выполнененная реализация. Отказ HMI не должен менять состояние контроллера. Такое ощущение, что команды реализованы потенциальными сигналами, т.е. 1 - включить, 0 - выключить. Отпала HMI пошел 0 и контроллер получил команду ВЫКЛ.
Простите за нескромный вопрос, а алгоритмы управления для проекта были описаны ?

[Ryzhij]

Такое ощущение, что команды реализованы потенциальными сигналами, т.е. 1 - включить, 0 - выключить

Там связь по сети Ethernet/IP. "Ноль" и "единица" в этой ситуации весьма условное понятие.
Просто клиентом там контроллер, а не панель - отсюда и косяки.

Простите за нескромный вопрос, а алгоритмы управления для проекта были описаны ?

Не полностью. Формально существует тестовый документ, но вот исходников ни на панель, ни на контроллер нет.
Это моя неизбывная боль.
Некоторые недокументированные особенности программ и архитектуры вылезают до сих пор.

Отправлено спустя 5 минут 43 секунды:

Отказ HMI не должен менять состояние контроллера.

Вот этот тезис я и хотел бы подтвердить нормативом. Это возможно?
А то нутром чую, а обосновать не могу!

[Sergy6661]

Отказ HMI не должен менять состояние контроллера.

С чего это такое уверенное заявление? А почему бы и нет? Имеют право существовать оба варианта.
А вообще в подобных случаях сначала пишут официальное письмо производителю, а по результатам ответа(не ответа) катать претензию.

[petr2off]

С чего это такое уверенное заявление? А почему бы и нет? Имеют право существовать оба варианта.

Действительно, кто сказал что реактор РБМК-1000 не должен взрываться, имеет право существовать оба варианта.

[Looker]

Встал "колом", даже не запустив вспомогательный маслонасос.

При общении с производителем, на этом стоит особо акцентировать.

[Jackson]

я бы покопал нормативы на предмет требований к отказоустойчивости и в особенности поискал бы формулировки типа "единичный отказ" и "выход в безопасное состояние". Даже в 611131 заглянул бы на эту тему.

Суть в том, что единичный отказ (отказ одного элемента) не должен оказывать влияния на работоспособность объекта в целом. Тут важно понимать, что имеется в виду работоспособность не САУ, элемент которой отказал, а именно весь объект, то есть установка, частью которой является компрессор. Сдох HMI, значит компрессор должен продолжать работать без него с использованием резервных средств ЧМИ в объёме, достаточном для безопасной работы. Это отказоустойчивость.

Второй принцип заключается в том, что при не единичных отказах, когда оборудование неизбежно встанет или режим существенно изменится по сравнению со штатным рабочим, это оборудование должно быть переведено в состояние, не допускающее дальнейшее развитие аварии, то есть в этом случае резервный маслонасос должен запускаться автоматически при остановке основного или по падению давления в контуре. Это функция ПАЗ, а значит она должна работать независимо от работоспособности САУ, РСУ и в частности HMI. Это выход из строя в безопасное состояние.

Очевидно, что нарушены оба этих принципа. Осталось найти, где они описаны. В моих отраслях это упомянуто в отраслевых стандартах.

Разбирательство может быть долгим, поскольку поставщик компрессора может апеллировать к тому, что весь объект он не знает и какие средства резервирования на нем есть он не видит. Но даже в этом случае агрегат не должен продолжать уничтожать сам себя.

[Sergy6661]

Системы делятся на отказоустойчивые и отказобезопасные.
Так вот вторые и должны при любом виде отказа вываливаться в аварию, естественно с обеспечением безопасности собственно процесса аварийного останова, а также блокировать запуск установки при наличии активных аварий.

Действительно, кто сказал что реактор РБМК-1000 не должен взрываться, имеет право существовать оба варианта.

Вот для предотвращения взрыва и не запускаем установку, либо останавливаем при наличии аварий(в данном конкретном случае "Авария! Нет связи с HMI оператора"). Может там кнопка "Стоп компрессора" не "физическая", а экранная.
Кроме противоаварийных алгоритмов системы управления, должны быть и механические устройства безопасности(предохранительные клапана и пр).
А вообще при конфигурации ПЛК+1 панель HMI использовать ПЛК в качестве мастера это извращение.

[Ryzhij]

Может там кнопка "Стоп компрессора" не "физическая", а экранная.

Есть там и физическая кнопка тоже.

А вообще при конфигурации ПЛК+1 панель HMI использовать ПЛК в качестве мастера это извращение.

А я про что? Об том и речь!
Вот только извращения на этом не кончаются, а все замечания либо "заматываются", либо натыкаются на ехидное: "И чо? А где это запрещается?"

Отправлено спустя 14 минут 34 секунды:

Вот для предотвращения взрыва и не запускаем установку, либо останавливаем при наличии аварий(в данном конкретном случае "Авария! Нет связи с HMI оператора")

Так есть же связь с АРМ-ом РСУ, за которым оператор постоянно находится, в отличие от машиниста, который к машинам подходит лишь периодически. Отображайте аварии там, нахрена приравнивать отвалившееся HMI к "Аварийному Стопу"?

[Sergy6661]

Так есть же связь с АРМ-ом РСУ, за которым оператор постоянно находится, в отличие от машиниста, который к машинам подходит лишь периодически. Отображайте аварии там, нахрена приравнивать отвалившееся HMI к "Аварийному Стопу"?

ПЛК не Овен,часом?
Попадался мне исходник ПО компрессорной установки на ПЛК110+ панель какая-то, так там разработчик все настройки-уставки хранит в памяти панели и, соответственно, ПЛК- мастер и вот в этом случае при обрыве связи с панелью должен быть аварийный останов, т.к она типа часть мозга неотъемлимая. Разработчик на вопрос :- зачем такая фигня? отвечает типо ПЛК Овен при разряде аккумулятора теряют Retain и типа его так научили на каком-то программном семинаре Овена.

[Jackson]

Вот только извращения на этом не кончаются, а все замечания либо "заматываются", либо натыкаются на ехидное: "И чо? А где это запрещается?"

Деньги - лучший инструмент. Нерадивого поставщика просто посылают и находят другого, для поставок и для сервиса. Чтобы публика не забывала, что кто платит - тот и заказывает.

ПЛК Овен при разряде аккумулятора теряют Retain и типа его так научили на каком-то программном семинаре Овена.

Взрослый дяденька типа сам голову включить не смог когда учили...


Отправлено спустя 2 минуты 30 секунд:

Системы делятся на отказоустойчивые и отказобезопасные.

Нет. Любая система должна быть отказоустойчивой и отказобезопасной. И всё. Иначе зачем она нужна?

[Sergy6661]

Вот что-то по теме поста:
ГОСТ 24.104-85 п.1.5.5 :
1.5.5. Программное обеспечение АСУ должно быть построено таким образом, чтобы отсутствие отдельных данных не сказывалось на выполнении функций АСУ, при реализации которых эти данные не используются.

"Нет. Любая система должна быть отказоустойчивой и отказобезопасной. И всё. Иначе зачем она нужна?"
Требования к Fault Tolerance и Fault Safe системам частично противоречат друг другу, посему полный котопес не бывает.

[Ryzhij]

ПЛК не Овен,часом?

Нет, не Овен. Тут яркий пример того, как из хороших компонентов можно собрать дерьмовую систему.

Отправлено спустя 10 минут 29 секунд:

Вот что-то по теме поста:
ГОСТ 24.104-85 п.1.5.5 :
1.5.5. Программное обеспечение АСУ должно быть построено таким образом, чтобы отсутствие отдельных данных не сказывалось на выполнении функций АСУ, при реализации которых эти данные не используются.

Спасибо. Хорошая ссылка.
А этот ГОСТ в каком-либо ТР упомянут?
Иными словами, он обязателен к исполнению или носит рекомендательный характер?

[Jackson]

Спасибо. Хорошая ссылка.

это только софт. Увы, не совсем то. нужно искать требования к АСУ в целом. В топике сдох хард, а не софт.

Отправлено спустя 1 минуту 14 секунд:

Требования к Fault Tolerance и Fault Safe системам частично противоречат друг другу, посему полный котопес не бывает.

полный и не нужен, а в конкретном рассмотрении - очень даже бывает, если разработчик грамотный.

[alex45]

Этот ГОСТ только рекомендательный.

Отправлено спустя 1 минуту 11 секунд:
По теме поста - я думаю здесь можно применить пункт 20 статьи 11 ТР ТС 010/2011.

[Ryzhij]

В топике сдох хард, а не софт.

Сдох, точнее дал сбой, один хард (панель оператора), а софт в другом (в ПЛК)- дал команду на аварийный останов.
Так что, пуркуа бы и не па?

ТР ТС 01/2011

При чем тут ТР ТС 001/2011 Технический регламент Таможенного союза "О безопасности железнодорожного подвижного состава"?!
Что Вы имели ввиду?

[alex45]

Очепятка. Имелось ввиду ТР ТС 010/2011. Исправил.

[Ryzhij]

я думаю здесь можно применить пункт 20 статьи 11 ТР ТС 010/2011

Пардон муа за мой французский, но в 11-й статье ТР ТС 010/2011 всего 9 пунктов

[+] ТР ТС 010/2011 Статья 11. Порядок проведения сертификации машин и (или) оборудования

Статья 11. Порядок проведения сертификации машин и (или) оборудования

1. Сертификация машин и (или) оборудования, осуществляется по схемам:

Схема 1с для серийно выпускаемых машин и (или) оборудования включает следующие действия:

заявитель формирует комплект документов, указанных в пункте 10 статьи 8 и подает заявку на сертификацию в орган по сертификации;

орган по сертификации проводит отбор образцов у заявителя для проведения испытаний;

аккредитованная испытательная лаборатория (центр), включенная в Единый реестр органов по сертификации и испытательных лабораторий (центров) Таможенного союза (далее - аккредитованная испытательная лаборатория (центр)) проводит испытания образцов машин и (или) оборудования;

орган по сертификации проводит анализ состояния производства изготовителя и результатов проведенных испытаний образцов машин и (или) оборудования и при положительных результатах выдает заявителю сертификат соответствия;

орган по сертификации проводит инспекционный контроль за сертифицированными машинами и (или) оборудованием посредством испытаний образцов в аккредитованной испытательной лаборатории (центре) и (или) анализа состояния производства.

схема 3с для партии машин и (или) оборудования (единичного изделия) включает следующие действия:

заявитель формирует комплект документов, указанных в пункте 10 статьи 8 и подает заявку на сертификацию в орган по сертификации;

орган по сертификации или аккредитованная испытательная лаборатория (центр) проводит отбор образцов у заявителя для проведения испытаний;

аккредитованная испытательная лаборатория (центр), проводит испытания образцов машин и (или) оборудования;

орган по сертификации проводит анализ результатов испытаний образцов машин и (или) оборудования и при положительных результатах выдает заявителю сертификат соответствия;

схема 9с для партии машин и (или) оборудования ограниченного объема, предназначенной для оснащения предприятий на единой территории Таможенного союза, включает следующие действия:

заявитель формирует комплект документов, указанных в пункте 10 статьи 8 и подает заявку на сертификацию в орган по сертификации;

орган по сертификации проводит анализ представленного заявителем комплекта документов и при положительных результатах выдает заявителю сертификат соответствия.

Заявителем при сертификации по схемам 1с, 9с может быть зарегистрированное в соответствии с законодательством государства-члена Таможенного союза на его территории юридическое лицо или физическое лицо в качестве индивидуального предпринимателя, либо являющееся изготовителем, либо выполняющее функции иностранного изготовителя на основании договора с ним, в части обеспечения соответствия поставляемой продукции требованиям настоящего технического регламента и в части ответственности за несоответствие поставляемой продукции требованиям настоящего технического регламента Таможенного союза (лицо, выполняющее функции иностранного изготовителя).

Заявителем при сертификации по схеме 3с может быть зарегистрированное в соответствии с законодательством государства-члена Таможенного союза на его территории юридическое лицо или физическое лицо в качестве индивидуального предпринимателя, либо являющееся изготовителем или продавцом, либо выполняющее функции иностранного изготовителя на основании договора с ним, в части обеспечения соответствия поставляемой продукции требованиям настоящего технического регламента и в части ответственности за несоответствие поставляемой продукции требованиям настоящего технического регламента Таможенного союза (лицо, выполняющее функции иностранного изготовителя).

2. Заявитель может обратиться с заявкой на сертификацию в любой орган по сертификации, имеющий в области аккредитации машины и (или) оборудование, включенные в Перечень машин и оборудования, подлежащих подтверждению соответствия требованиям технического регламента Таможенного союза "О безопасности машин и оборудования" в форме сертификации, утверждаемый Комиссией Таможенного союза.

Заявка на проведение сертификации оформляется заявителем и должна содержать:

наименование и местонахождение заявителя;

наименование и местонахождение изготовителя;

сведения о машине и (или) оборудовании (ее составе) и ее идентифицирующие признаки (наименование, код по классификатору внешнеэкономической деятельности Таможенного союза, документ, по которому изготовлена машина и (или) оборудование (межгосударственный или национальный стандарт, стандарт предприятия, технические условия и т.п.), форма выпуска - серийное производство или партия, реквизиты договора (контракта) и т.п.);

используемый (ые) стандарт (ы), указанные в пункте 1 статьи 6 настоящего технического регламента;

схему сертификации.

3. Орган по сертификации рассматривает заявку и принимает решение о возможности проведения сертификации.

При положительном решении орган по сертификации заключает договор с заявителем о проведении работ по сертификации.

Орган по сертификации проводит работы согласно схеме сертификации, готовит решение и при положительном результате выдает заявителю сертификат соответствия.

4. В случае отрицательного результата сертификации орган по сертификации направляет заявителю мотивированное решение об отказе в выдаче сертификата соответствия.

5. Испытания типового образца (типовых образцов) или единичного изделия машины и (или) оборудования проводятся аккредитованной испытательной лабораторией (центром) по поручению органа по сертификации, которому выдается протокол испытаний.

6. Анализ состояния производства проводится органом по сертификации у изготовителя. Результаты анализа оформляются актом.

При наличии у изготовителя сертифицированной системы менеджмента качества производства или разработки и производства машин и (или) оборудования орган по сертификации оценивает возможность данной системы обеспечивать стабильный выпуск сертифицируемых машин и (или) оборудования, соответствующих требованиям настоящего технического регламента.

7. При положительных результатах проверок, предусмотренных схемой сертификации, орган по сертификации оформляет сертификат соответствия и выдает его заявителю.

Сертификат соответствия оформляется по единой форме, утвержденной решением Комиссии Таможенного союза.

Сведения о выданном сертификате соответствия орган по сертификации передает в Единый реестр выданных сертификатов соответствия и зарегистрированных деклараций о соответствии, оформленных по единой форме.

8. Срок действия сертификата соответствия устанавливается для выпускаемых машин и (или) оборудования серийного производства - не более 5 лет, для выпущенной партии срок не устанавливается.

9. Сертификат соответствия может иметь приложение, содержащее перечень конкретных изделий, на которые распространяется его действие.

Приложение оформляется, если:

требуется детализировать состав группы однородной продукции, выпускаемой заявителем и сертифицированным по одним и тем же требованиям;

требуется указать заводы-изготовители, входящие в более крупные объединения, имеющие единые условия производства продукции.

Видимо, речь о пункте 20 Приложения 1 "Основные требования безопасности машин и (или) оборудования"?

[+]

20. Управление системой машин и (или) оборудования должно исключать возникновение опасности в результате их совместного функционирования, а также в случае отказа какой-либо части.

Управление системой машин и (или) оборудования должно позволить персоналу при необходимости блокировать пуск системы, а также осуществлять ее остановку.

[alex45]

Да, да. Заработался совсем.

[Jackson]

Сдох, точнее дал сбой, один хард (панель оператора), а софт в другом (в ПЛК)- дал команду на аварийный останов.
Так что, пуркуа бы и не па?

Не па потому что "сдох хард" и "отсутствие неиспользуемых данных" - совсем разные вещи.

[Ryzhij]

Не па потому что "сдох хард" и "отсутствие неиспользуемых данных" - совсем разные вещи.

Пропали данные с панели, а сдохла она, патч-корд у неё выскочил или с неё питание сняли - вопрос космический))
Результат один - хард стоп.

[Jackson]

Пропали данные с панели, а сдохла она, патч-корд у неё выскочил или с неё питание сняли - вопрос космический))
Результат один - хард стоп.

Всё верно. Но почитайте цитату из стандарта. К ней не прикопаться. Эта фраза вообще ни о чём, так по большому счёту. Панель сдохла, контроллер не получил данные которые ему сейчас нужны, и весь компрессор сдох. Согласно цитате - всё логично и не придраться.
А почему эти данные оказались именно в панели - это неважно согласно этой формулировке.

Автор спросил норматив, согласно которому этого произойти не должно было. Пока ищем.

[petr2off]

Я у начальника поинтересовался, может он вспомнить чего нибуть из наследства СССР. Когда он уяснил суть проблемы - у него аж в зобу дыхание сперло. Он вспомнил изречение адмирала Макарова - что то типа "... можно придумать тысячу неработоспособных решений соответствующих всем инструкциям, но морской инженер обязан придумать работоспособное решение"...
Еще вспомнил кабачок 13 стульев, где там пан Гималайский не мог добыть справку, что он не верблюд.
Суть его спитча заключалась в том, что ублюдочных решений много и всех их запретить невозможно. Но есть базовые принципы построения АСУ ТП, которые не должны нарушатся. А ссылка на отсутствие документов - бессовестная демагогия, АСУ ТП делается для того, что бы заказчику стало удобно и безопасно эксплуатировать объект.

[alex-tec]

АСУ ТП делается для того,

этого нам с вами хотелось бы. Но в соответствии с сегодняшними реалиями всё делается в первую очередь для извлечения прибыли.