RA как система

[Wolkozha]

дублирую свой пост сюда:

d_miloserdov:
> В первую очередь- это большие трудозатраты при внедрении.
> Это факт.

Докажи :)
Тут fbd, там fbd. Из очевидных достоинств и ресурс для
снижения трудозатрат - алармы. В plantscape алармы, вбитые
в FBD не требовали дублирования в интерфейсе.
Впрочем светлые головы (в лице Вадика) обеспечили
интеграцию на уровне внешнего хранилища, откель и
программы создавались, и тэги в RSView выгружались.
Может у RA есть своё аналогичное решение - хз.

> Пока я видел недетерминированный Эзернет

Эзернет таки между контроллерами и станциями. Так что на
работу алгоритмов/ПАЗ это не влияет. Рассматривали
вопрос тянуть ли ControlNET до ЦУПа.
В итоге выбрали вариант с Ethernet. Но это наш выбор,
а не "интегратора".
Ты здешних споров на эту тему не видел :)
В конце концов два шланга проложенных по разным эстакадам,
MOXA и прочее-прочее. Фигли ещё надо?

> и СПАЗ на тех же средствах что и "РСУ".

Помоги с английским:
Therefore the ControlLogix-System is appropriate for the use in safety
relevant applications according up to and including SIL2 of IEC61508.
(TUV Report 968/EZ 135.00/02 2002-09-30)
Между прочим с модулем ENBT.

Mamleev Marat:
> Плюс большая часть внедрения была произведена силами инженеров с
> завода (причем за зарплату).

Это Вы про какой завод? :)

[Wolkozha]

Не SIL-2 а SIL-3!

Дык файло 2003 года, я же уже "вне темы".
Вряд ли люди на месте стоят - Андрея спроси про третий уровень. ;)

Нужна библиотека готовых блоков.

<Ctrl><C> - <Ctrl><V> - вот наша библиотека ;)
С учётом кривости монтажа и затейливости выдумок технологов - всего не предусмотришь.

[andrmur]

Сам контроллер ControlLogix и все модули в/в имеет сертификат SIL2.
Сам сертификат и все сопутствующие доки на:
http://www.rockwellautomation.com/produ ... index.html
там перечислены все номера моделей, входящие в сертификацию.

Но есть еще контроллер GuardLogix.
Это тот же самый ControlLogix, но у которого выделена отдельная область памяти для приложений, связанных с безопасностью. Этот контроллер сертифицирован на SIL3.

Сертификат и все документы по той же ссылке выше.

Кроме того, в компанию RA входит подразделение ICS Triplex (http://www.icstriplex.com/), которое выпускает специализированную СПАЗ под названием Trusted, основанную на технологии TMR (тройное резервирование) и HIFT (аппаратно реализованное резервирование).

Это единственный конкурент Triconex в классе троированных СПАЗ.

Причем, Triconex использует технологию SIFT (software implemented fault tolerance - программно реализованное резервирование).

[pike]

Но есть еще контроллер GuardLogix.
Это тот же самый ControlLogix, но у которого выделена отдельная область памяти для приложений, связанных с безопасностью. Этот контроллер сертифицирован на SIL3.

GuardLogix - это в первую очередь контроллер безопасности для машиностроения: станков, автоматических линий...

"You'll most likely encounter SIL requirements in applications that require safe and reliable control systems to safeguard people, property or the environment. Some common examples of these applications include:

Machinery safety
Stamping presses
Perimeter guarding
Emergency shutdown systems
IEC 61508 applications

...
Process safety is a complex environment with many different types of applications. GuardLogix at this time is primarily focused on machinery safe shutdown, where the safe state is off. But there are applications in process where this functionality is sufficient. In addition because the standard side of GuardLogix is SIL 2 rated, provided the rules for ControlLogix SIL 2 are followed, GuardLogix may be a good solution for some process customers."
Взято от сюда: http://www.ab.com/programmablecontrol/s ... tions.html
Но видимо RA пытается замахнуться и на кое-что другое.

[andrmur]

Для Димы Милосердова:

ICS Triplex была приобретена в прошлом году и до сих пор не имела прямого представительства в России.
Сейчас есть один человек в Москве и он не спец в этой теме :(

В России есть парочка инсталляций, сделанных иностранными фирмами.
Самая крупная инсталляция - компрессорная станция Береговая (Кубаньгазпром, Голубой Поток).

Для Pike:
нет никакого ограничения применять GuardLogix для непрерывных процессов, например, в нефтепереработке.
Логика аварийного останова ничем не отличается.

[pike]

Дмитрий, я к RA отношения не имею.

Для Pike:
нет никакого ограничения применять GuardLogix для непрерывных процессов, например, в нефтепереработке.
Логика аварийного останова ничем не отличается.

Вопрос не в логике, а готовых блоках, оттестированых решениях из которых набирается контур безопасности. Мне, например, не известны примеры применения Safety контроллеров ориентированых на машиностроение (а их производит тьма компаний и все с SIL3) в непрерывных процессах.

[Smirnoff]

А если использовать на срабатывание по аналоговым аварийным уставкам дискретные датчики,-предельного уровня, температуры, давления и т.п. , то вообще задача в лоб для GuardLogik. ;)

[Wolkozha]

Миша, <Ctrl><C> - <Ctrl><V> - это ваши наработки. Они кстати не сертифицированы, но это другой вопрос.
Другие заводы будут вынуждены изобретать свой велосипед.

Дим, ну зачем ерунду говоришь?

Другие заводы один фик будут свой велосипед рисовать, так как у них свой проектировщик со своими подходами.
Каждый объект - индивидуален. Ну может нечто схожее есть, но одинаковых - не найти. Отсюда однозначно - доработку напильником никто не отменял.

Сам контроллер ControlLogix и все модули в/в имеет сертификат SIL2.
Но есть еще контроллер GuardLogix.

о как.

нет никакого ограничения применять GuardLogix для непрерывных процессов, например, в нефтепереработке.
Логика аварийного останова ничем не отличается.

Эту мысль и CLx подтверждает: в мануалах страниц про ПИД меньше, чем про управление приводами, логикой и т.п.

[Wolkozha]

Миш, не ерунду :) когда есть большой набор типовых блоков заточеных под процесс- ты их используешь без всякой доработки и знаешь что ЭТО будет работать 100%.

Есть набор блоков, а есть алгоритм. Если я в супер дельта-ви/ханивеле вместо готового блока "или" выберу блок "и", а потом придёт пушной зверёк, то это не интегратор виноват, а аффтар.

То что мы делали - это сервис, необходимый нам, исходя из опыта работы с нашими установками и нашими технологами. Может есть такие райские страны, где все работают по букве ПБ, "но не в нашем районе" (с) "Кавказская пленница". Поэтому что бы не изобретать велосипед в два часа ночи, когда нужно нечто пускать - пусть лосипед будет inside forever. Тогда со стороны инженегра не надо ничего изобретать - ткнул куда разрешено и фсё.
Опять таки - как быть с проектами. Они каждый раз разные. В том плане, что на каждом заводе есть свой проектировщик (или как велит Политика - на тендере выясняется как его зовут), поэтому "вникать" надо в любом случае. Даже на одном заводе на разных установках - свои нюансы.

Даже из "типовых блоков заточеных под процесс", будь они четырежды сертифицированы, можно наворотить кашу - зависит от кривизны рук "повара". Риски на ноль не сведёшь, они были, есть и будут.
Человеческий фактор.

Про "иглу", Дим ну извини - это не серьёзно. С таким подходом, придётся на каждой новой установке ставить новую систему. Типа, а вдруг оди из N брендов да рухнет.
А почему тогда озвучен подход "два бренда", почему не "три бренда" ... ? Где та грань, на которой надо остановиться?

Ну и ЗИП - или два модуля на пять установок или десять модулей на то же количество установок - разница есть?

[Smirnoff]

Я так понимаю, вопрос с применимостью GuardLogix сводится, в частности, к наличию safety блоков в RSLogix 5000 с обработкой аналоговых сигналов из линейки ControlLogix и DeviceNet Safety I/O ?
Стало интересно, но, к сожалению, в лоб ничего не нашел, лучше непосредственно производителя спросить про резервирование и дублирование аналоговых каналов...

С уважением :)

[andrmur]

Я так понимаю, вопрос с применимостью GuardLogix сводится, в частности, к наличию safety блоков в RSLogix 5000 с обработкой аналоговых сигналов из линейки ControlLogix и DeviceNet Safety I/O ?
Стало интересно, но, к сожалению, в лоб ничего не нашел, лучше непосредственно производителя спросить про резервирование и дублирование аналоговых каналов...

С уважением :)

Именно так -- при создании СПАЗ, полностью соответствующей требованиям IEC 61511, необходимо брать сертифицированные аппаратные компоненты и использовать сертифицированные функциональные блоки.
для SIL2 можно полностью обойтись стандартными компонентами Clx, для SIL3 надо брать Guardlogix.

Дублирование блоков напрямую связано с SIL.
SIL3 в целом достигается и без резервирования в том случае, если каждый компонент в контуре безопасности имеет сертификат SIL3.
Напомню, что SIL относится ко всему контуру (датчик-контроллер-исполнительное устройство), и не имеет никакого смысла в отдельности для ПЛК.
Резервирование, как правило, не повышает SIL (безопасность), а повышает степень эксплуатационной готовности.

[Vadim Legenkin]

Дмитрий, я к RA отношения не имею.

Для Pike:
нет никакого ограничения применять GuardLogix для непрерывных процессов, например, в нефтепереработке.
Логика аварийного останова ничем не отличается.

Вопрос не в логике, а готовых блоках, оттестированых решениях из которых набирается контур безопасности. Мне, например, не известны примеры применения Safety контроллеров ориентированых на машиностроение (а их производит тьма компаний и все с SIL3) в непрерывных процессах.

Я могу привести примеры использования контроллеров AB в нефтегазе, реализующих те самые safety-функции, последние на моей практике: резервированные SLC-5/05, у которых для контуров, где проектировщиком заложен уровень безопасности SIL-1, входные аналоговые сигналы продублированы аппаратными блоками сравнения сигнала 4..20mA с заданной уставкой (trip amplifier), дискретные входные и выходные каналы продублированы релейными сборками с последовательным включением в цепь (отключение оборудования по низкому уровню сигнала при разрыве цепи) - в составе систем управления газовыми компрессорами, а также GuardPLC (предшественник GuardLogix) - не резервированный, но с аналоговыми контурами, продублированными аппаратными блоками аналогично предыдущему случаю - в составе системы управления бустерными нефтяными насосами.

До этого, на предыдущем месте работы, упоминание о котором для многих здесь присутствующих связано с фактом применения исключительно AB Controllogix в рамках одного НПЗ, пришлось поучаствовать в создании этакой многополюсной архитектуры safety-контуров, которую можно считать некоторой вариацией архитектуры 1oo2D: подсистемы РСУ и ПАЗ были реализованы на одинаковых резервированных CLX 1756-L6x, один аналоговый датчик заводился на не резервированный модуль в систему РСУ, а его дублер - в систему ПАЗ. Сигнал датчика из РСУ (который помимо всего прочего мог участвовать в регулировании) по резервированному межпроцессорному Controlnet передавался в подсистему ПАЗ вместе с диагностическим статусом исправности этого канала (также как сигнал датчика ПАЗ мог передаваться в контроллер РСУ и заменять РСУ-шный в контуре регулирования), далее в контроллере ПАЗ производился выбор - по какому из 2-х датчиков инициировать блокировку при необходимости. От утвержденной TUV конфигурации 1oo2D такую отличало отсутствие 72-часовой отсрочки на реализацию блокировки в случае диагностики отказа одного из каналов - сигнал признанного неисправным датчика просто переставал учитываться до восстановления нормальной диагностики, а при отказе обоих каналов блокировка вообще не срабатывала. Правильно ли это было сделано - можно обсудить на этом форуме... а вообще - веселое было время, достойное отдельного написания мемуаров в стиле "Как закалалась сталь", с некотором смещением фамилий и имен главных участников ;-)

На западе все-таки предпочитают не смешивать сигналы PCS и ESD-подсистем, предпочитая 4-полюсную архитектуру ESD с резервированием как процессорных модулей, так и модулей ввода вывода, и при необходимости и датчиков (например - 3 датчика в ESD с трипом по срабатыванию 2-х из 3-х и 4-й датчик в PCS, по которому реализовано регулирование, и на то есть свои стандарты.

Я так понимаю, вопрос с применимостью GuardLogix сводится, в частности, к наличию safety блоков в RSLogix 5000 с обработкой аналоговых сигналов из линейки ControlLogix и DeviceNet Safety I/O ?
Стало интересно, но, к сожалению, в лоб ничего не нашел, лучше непосредственно производителя спросить про резервирование и дублирование аналоговых каналов...

Вопрос здесь, наверное стоит ставить таким образом: позволяет ли GuardLogix реализовать полноценную 4-полюсную конфигурацию 1oo2D, так актуальную именно для непрерывных процессов (когда можно оперативно заменить или восстановить работоспособность неисправных компонентов без аварийной остановки оборудования) - может ли GuardLogix обеспечить резервирование не только процессорных модулей, но и модулей ввода-вывода?
Если архитектура GuardLogix предполагает совместную установку процессорных модулей 1756-LSP и 1756-L6xS в одной корзине, то возможно ли резервирование двух корзин с одинаковым набором модулей в каждой (как процессорных, так и модулей ввода-вывода - rack-to-rack redundancy)? :? :D

Вадим Легенкин.

[Vadim Legenkin]

Дублирование блоков напрямую связано с SIL.
SIL3 в целом достигается и без резервирования в том случае, если каждый компонент в контуре безопасности имеет сертификат SIL3.
Напомню, что SIL относится ко всему контуру (датчик-контроллер-исполнительное устройство), и не имеет никакого смысла в отдельности для ПЛК.
Резервирование, как правило, не повышает SIL (безопасность), а повышает степень эксплуатационной готовности.

Хорошо сказано... На нашем НПЗ, похоже, главной проблемой было не обеспечить функцию противоаварийной защиты процесса, а не позволить этой самой защите остановить процесс в случае отказа отказа каких-либо ее компонент...

Но у подобной однородной архитектуры (РСУ и ПАЗ на однотипном оборудовании) есть и неоспоримые преимущества - нет необходимости ставить третью промежуточную подсистему для обмена данными между ними, как это вынуждена делать Yokogawa, чтобы скрестить "ужа" и "ежа" в лице CentumCS и ProsafePLC.

[andrmur]

Дублирование блоков напрямую связано с SIL.

Млин, приходится опровергать самого себя!
Я хотел сказать, что Дублирование блоков напрямую НЕ связано с SIL.

[Vadim Legenkin]

Дублирование блоков напрямую связано с SIL.
SIL3 в целом достигается и без резервирования в том случае, если каждый компонент в контуре безопасности имеет сертификат SIL3.
Напомню, что SIL относится ко всему контуру (датчик-контроллер-исполнительное устройство), и не имеет никакого смысла в отдельности для ПЛК.
Резервирование, как правило, не повышает SIL (безопасность), а повышает степень эксплуатационной готовности.

Млин, приходится опровергать самого себя!
Я хотел сказать, что Дублирование блоков напрямую НЕ связано с SIL.

:)
Все же, следует заметить, что SIL3 требует использования как минимум 2-х датчиков для измерения одного технологического параметра по схеме 1oo2 (чаще - 2oo3) и наличия 2-х исполнительных механизмов, например - 2-х последовательно стоящих на одной линии клапанов.

Наверное, следует перефразировать: "Резервирование PLC напрямую не связано с SIL...", а также добавить: "... но является необходимым для применения PLC как системы ПАЗ в непрерывных процессах"?

[andrmur]

Все же, следует заметить, что SIL3 требует использования как минимум 2-х датчиков для измерения одного технологического параметра по схеме 1oo2 (чаще - 2oo3) и наличия 2-х исполнительных механизмов, например - 2-х последовательно стоящих на одной линии клапанов.

Вадим, такое утверждение неверно в общем случае, хотя в частном случае может быть верным.
IEC 61511 (см.таблицу 6 и требования пункта 11.4.4) требует, чтобы для SIL3 показатель Fault tolerance (отказоустойчивость) датчиков и исполнительных механизмов был не ниже 1.
Для обычных устройств в архитектуре 1oo2 отказоустойчивость = 1 означает дублирование.
Но в в архитектуре 2oo3 отказоустойчивость = 1 означает троирование!
А ведь можно найти на рынке необычные устройства, которые в одном корпусе имеют отказоустойчивость = 1 (например, датчик с дублированной электроникой или дублированным сенсором, или клапан с двойным соленоидом).

[Smirnoff]

from Vadim Legenkin
"Вопрос здесь, наверное стоит ставить таким образом: позволяет ли GuardLogix реализовать полноценную 4-полюсную конфигурацию 1oo2D, так актуальную именно для непрерывных процессов (когда можно оперативно заменить или восстановить работоспособность неисправных компонентов без аварийной остановки оборудования) - может ли GuardLogix обеспечить резервирование не только процессорных модулей, но и модулей ввода-вывода?
Если архитектура GuardLogix предполагает совместную установку процессорных модулей 1756-LSP и 1756-L6xS в одной корзине, то возможно ли резервирование двух корзин с одинаковым набором модулей в каждой (как процессорных, так и модулей ввода-вывода - rack-to-rack redundancy)?"

Есть ли на форумке представители AB?
Очень хотелось бы выслушать официальную точку зрения. :D

[andrmur]

Есть ли на форуме представители AB?
Очень хотелось бы выслушать официальную точку зрения. :D

Конечно, есть -- я ведь не скрываю места своей работы. ;)

Официальная точка зрения компании изложена в Safety Manual, ссылку на которое я давал ранее в этой теме.

Кроме того, еще раз хочу сказать, что SIL3 можно выполнить и без резервирования.
Резервирование в общем случае не поднимает уровень полноты безопасности, а лишь увеличивает степень эксплуатационной готовности.

guardlogix имеет архитектуру контроллера 1oo2, и ввода-вывода 1oo1.

более высокие архитектуры (2oo3) обеспечиваются другим продуктом компании Rockwell Automation, а именно контроллерами Trusted и AAdvance (http://www.icstriplex.com)

[Vadim Legenkin]

Все же, следует заметить, что SIL3 требует использования как минимум 2-х датчиков для измерения одного технологического параметра по схеме 1oo2 (чаще - 2oo3) и наличия 2-х исполнительных механизмов, например - 2-х последовательно стоящих на одной линии клапанов.

Вадим, такое утверждение неверно в общем случае, хотя в частном случае может быть верным.
IEC 61511 (см.таблицу 6 и требования пункта 11.4.4) требует, чтобы для SIL3 показатель Fault tolerance (отказоустойчивость) датчиков и исполнительных механизмов был не ниже 1.
Для обычных устройств в архитектуре 1oo2 отказоустойчивость = 1 означает дублирование.
Но в в архитектуре 2oo3 отказоустойчивость = 1 означает троирование!
А ведь можно найти на рынке необычные устройства, которые в одном корпусе имеют отказоустойчивость = 1 (например, датчик с дублированной электроникой или дублированным сенсором, или клапан с двойным соленоидом).

Однако, дублирование электроники и соленоидов не будет означать дублирование импульсных линий для датчиков и механической части для клапанов, тем самым не гарантируя такой же степени надежности, как в случае использования двух отдельных устройств.

[andrmur]

Однако, дублирование электроники и соленоидов не будет означать дублирование импульсных линий для датчиков и механической части для клапанов, тем самым не гарантируя такой же степени надежности, как в случае использования двух отдельных устройств.

Еще раз -- системы защиты не призваны обеспечить надежность!!! уже писал неоднократно! :evil:
Они призваны защитить здоровье и жизнь человека а также окружающую среду (что тоже есть косвенным образом здоровье человека).

Хрен с ним - с оборудованием! Еще раз купим, если сломается.

Поэтому, надежность не главное!
Безопасность важнее в миллион раз.

Другими словами, устройство может быть ненадежным и при этом безопасным.
Клапан может ломаться каждый день, и при этом он должен, ломаясь каждый раз, переходить в безопасное состояние (закрытое).

И тогда, с точки зрения международного сообщества вообще и МЭК в частности, такой клапан заслуживает присвоения ему медали категории SIL.

Что касается импульсных трубок и другого механического оборудования и металлоконструкций, то безопасность технологических процессов закладывается на стадии проектирования самой технологии.
На этой стадии технологи должны просчитывать, нужно ли им обеспечить средства пассивной защиты, и дублирование элементов. Если снизить риск аварии технологическими и механическими средствами не удается, то тогда риск далее снижают посредством электронных программируемых систем ПАЗ.

[pike]

Я могу привести примеры использования контроллеров AB в нефтегазе, реализующих те самые safety-функции, последние на моей практике: резервированные SLC-5/05, у которых для контуров, где проектировщиком заложен уровень безопасности SIL-1, входные аналоговые сигналы продублированы аппаратными блоками сравнения сигнала 4..20mA с заданной уставкой (trip amplifier), дискретные входные и выходные каналы продублированы релейными сборками с последовательным включением в цепь (отключение оборудования по низкому уровню сигнала при разрыве цепи) - в составе систем управления газовыми компрессорами, а также GuardPLC (предшественник GuardLogix) - не резервированный, но с аналоговыми контурами, продублированными аппаратными блоками аналогично предыдущему случаю - в составе системы управления бустерными нефтяными насосами.

GuardPLC использовался потому, что использовались в программе safety-инструкции (и если да то какие, из какой группы) или же по тому что у контроллера есть магическая бумажка с SILх и из любви к AB?

PS Вопрос без подвоха - самому приходилось "натягивать" оборудование на задачу и по политическим мотивам, и из необходимости стандартизации оборудования.

[Vadim Legenkin]

GuardPLC использовался потому, что использовались в программе safety-инструкции (и если да то какие, из какой группы) или же по тому что у контроллера есть магическая бумажка с SILх и из любви к AB?

PS Вопрос без подвоха - самому приходилось "натягивать" оборудование на задачу и по политическим мотивам, и из необходимости стандартизации оборудования.

И по политическим мотивам, и из необходимости стандартизации оборудования :D
Фирма-производитель насосов захотела перестраховаться и выделить safety-логику в отдельную подсистему на сертифицированном SIL контроллере, и поскольку на этапе проектирования были заложены определенные требования к однородности применяемых средств автоматизации: Yokogawa CS3000 на уровне PCS, Yokogawa ProsafePLC на уровне ESD и F&G и Allen-Bradley на уровне локальных UCP, то выбор был сделан в пользу GuardPLC.
Никаких специальных инструкций в логике safety-PLC не использовалось, поскольку проектировщик при всем этом даже не рассчитывал уровень SIL для safety-контуров :D

[ZhuravlevAI]

Кроме того, в компанию RA входит подразделение ICS Triplex (http://www.icstriplex.com/), которое выпускает специализированную СПАЗ под названием Trusted, основанную на технологии TMR (тройное резервирование) и HIFT (аппаратно реализованное резервирование).

Это единственный конкурент Triconex в классе троированных СПАЗ.

А вот и не правда Ваша. Ещё у GE есть система 2оо3. И ещё у кого-то, не помню кого. Найду - скажу.

[ZhuravlevAI]

Резервирование, как правило, не повышает SIL (безопасность), а повышает степень эксплуатационной готовности.

А как вам такое: по нашему ПБ09-540-03 п.6.3.10 "Надёжность систем ПАЗ обеспечивается аппаратурным резервированием различных типов (дублирование, троирование) ...", а по ГОСТ Р 61508 (читай IEC 61508) п.3.5.2. про полноту безопасности сказано так - данное определение фокусируется на надёжности систем, связанных с безопасность, при выполнении функций безопасности.

[Jackson]

Резервирование, как правило, не повышает SIL (безопасность), а повышает степень эксплуатационной готовности.

А как вам такое:

Так ведь все правильно. Пишут ведь:

ПБ09-540-03 п.6.3.10 "Надёжность систем ПАЗ обеспечивается аппаратурным резервированием различных типов (дублирование, троирование) ..."

Ключевое - нажежность системы ПАЗ, а не безопасность объекта в целом. От надежности ПАЗ безопасность объекта конечно улучшается, но только косвенно. Резервирование в системе повышает надежность системы, а как это отразится на всём объекте - это зависит и от системы и от объекта, может и никак не отразиться.

а по ГОСТ Р 61508 (читай IEC 61508) п.3.5.2. про полноту безопасности сказано так - данное определение фокусируется на надёжности систем, связанных с безопасностю, при выполнении функций безопасности.

Ровно то же самое, но более развернуто в части применения. Надежность при выполнении функций безопасности при резервировании увеличивается. Функции в рамках системы ПАЗ более надежно выполняются. А про надежность объекта - ни слова, и это правильно, потому как см.выше.

Господа, о чем спор? :)