Mereka bentuk redundansi kuasa dan komunikasi

Redundansi hanya bernilai apabila ia menghapuskan satu titik kegagalan yang munasabah tanpa mewujudkan kebergantungan baharu yang tersembunyi. Dalam sistem kawalan industri, menambah bekalan kuasa, pengawal, pelayan atau laluan rangkaian kedua tidak secara automatik menghasilkan ketersediaan yang lebih tinggi. Kedua-dua laluan mestilah cukup bebas antara satu sama lain, mod kegagalannya mesti difahami, dan tingkah laku peralihan mesti diuji dalam keadaan proses yang realistik.

Mulakan Dengan Fungsi Kawalan yang Diperlukan

Sebelum memilih perkakasan, tentukan perkara yang mesti terus berfungsi apabila sesuatu komponen gagal. Sesuatu proses mungkin memerlukan kawalan gelung tertutup tanpa gangguan, keterlihatan penggera yang berterusan, pemeliharaan data sejarah, atau sekadar pemberhentian terkawal. Ini ialah keperluan yang berbeza. Sepasang PLC berlebihan mungkin mengekalkan pelaksanaan logik tetapi masih kehilangan kawalan jika kedua-dua CPU bergantung pada satu penyesuai I/O jauh, satu bekalan kuasa medan, atau satu suis tanpa pengurusan.

Bina peta kebergantungan daripada kuasa masuk melalui pengagihan DC, pengawal, I/O, komunikasi, stesen pengendali, penyegerakan masa dan akses kejuruteraan. Tandakan setiap komponen yang dikongsi. Langkah ini sering mendedahkan bahawa titik kegagalan tunggal yang paling penting bukanlah pemproses, tetapi pemutus litar, blok terminal, penukar gentian, pelayan konfigurasi atau kotak simpang medan.

Merancang Redundansi Kuasa

Dua bekalan kuasa DC boleh disusun supaya mana-mana satu unit dapat menyokong beban yang diperlukan, tetapi outputnya tidak sepatutnya diparalelkan begitu sahaja melainkan dibenarkan oleh pengilang. Modul redundansi atau ORing mengasingkan sumber dan menghalang bekalan yang gagal daripada menjatuhkan bas yang sihat. Setiap laluan bekalan hendaklah mempunyai perlindungan huluan, saiz konduktor dan diagnostik yang sesuai.

Jurutera hendaklah mengira beban biasa, beban puncak, penurunan kadar akibat suhu dan margin pengembangan. Ujian reka bentuk yang berguna ialah menanggalkan mana-mana satu bekalan pada beban maksimum yang munasabah dan mengesahkan bahawa laluan yang tinggal kekal dalam kadar berterusannya. Jika kedua-dua bekalan berkongsi penyulang AC, pemutus sambungan atau titik panas yang sama dalam kepungan, susunan itu melindungi daripada kegagalan bekalan kuasa tetapi bukan daripada sumber sepunya atau kejadian persekitaran.

Peranti medan kritikal mungkin turut memerlukan bekalan 24 VDC berlebihan, namun bekalan dwi boleh mewujudkan laluan arus balik melalui sambungan sepunya I/O atau pelindung. Semak litar lengkap, termasuk bumi pelindung dan konduktor rujukan. Untuk alat ganti dan perancangan kabinet, koleksi Komponen Kuasa & Elektrik menyediakan titik permulaan yang praktikal, tetapi pemilihan akhir mesti mengikut manual peranti dan pengiraan projek.

Peralihan Kegagalan Pengawal dan I/O

Sistem pengawal berlebihan biasanya mengekalkan pemproses utama dan pemproses siap sedia. Pemproses siap sedia menerima keadaan, konfigurasi dan data aplikasi yang mencukupi untuk mengambil alih kawalan apabila unit aktif atau laluan komunikasinya gagal. Persoalan kejuruteraan yang penting bukanlah sama ada peralihan kegagalan wujud, tetapi keadaan apa yang disegerakkan dan perkara yang dialami oleh proses semasa peralihan.

Pemasa, langkah jujukan, jumlah terkumpul, nilai resipi, keadaan output dan sesi komunikasi mungkin tidak semuanya dipindahkan dengan cara yang sama. Perbezaan masa imbasan atau peranti luaran yang tidak disegerakkan boleh menghasilkan lonjakan walaupun pertukaran CPU berlaku dengan pantas. Tetapkan tingkah laku peralihan yang boleh diterima bagi setiap gelung dan jujukan kritikal. Untuk fungsi berkaitan pergerakan, pengurusan pembakar, kawalan turbin dan keselamatan, gunakan hanya seni bina yang disokong dan diperakui secara jelas untuk aplikasi tersebut.

I/O jauh memerlukan analisis berasingan. Dua pengawal yang disambungkan melalui satu penyesuai rangkaian masih berkongsi penyesuai itu. Sesetengah sistem menyokong penyesuai, media dan penguasa bas medan berlebihan; yang lain tidak. Dokumentasikan kerosakan yang boleh ditoleransi dan kerosakan yang memaksa pemberhentian selamat.

Redundansi Komunikasi Lebih Daripada Sekadar Gelang

Ketahanan rangkaian boleh menggunakan LAN bebas, pemulihan gelang, laluan selari atau redundansi khusus protokol. Pilihan tersebut mempengaruhi masa penumpuan, pengendalian bingkai pendua, konfigurasi suis dan keserasian peranti. Gelang mungkin pulih daripada satu kabel yang putus, tetapi tidak akan bertahan daripada suis yang gagal dan memutuskan beberapa peranti yang hanya mempunyai satu sambungan.

Laluan berasingan hendaklah mengelakkan dulang kabel, sumber kuasa dan kabinet suis yang sama apabila kejadian sepunya perlu ditoleransi. Tetapkan alamat pengurusan, sesentuh penggera dan dokumentasi topologi supaya juruteknik dapat membezakan rangkaian yang terjejas tetapi masih berjalan daripada rangkaian yang sihat. Koleksi Komunikasi & Rangkaian boleh membantu mengenal pasti kategori perkakasan, manakala seni bina mesti disahkan berdasarkan protokol yang dipilih dan panduan reka bentuk OEM.

Diagnostik Mesti Mendedahkan Operasi Terjejas

Sistem berlebihan boleh terus beroperasi selepas kegagalan pertama, yang menjadikan diagnostik yang jelas sangat penting. Jika loji tidak menyedari bahawa ia beroperasi menggunakan bekalan siap sedia atau satu laluan rangkaian sahaja, kerosakan kedua boleh menyebabkan gangguan. Bawa penggera redundansi ke HMI atau sistem penyelenggaraan, dengan perincian yang mencukupi untuk mengenal pasti saluran yang terjejas dan masa peralihan.

Petunjuk yang berguna termasuk sesentuh DC-OK bekalan kuasa, peranan pengawal dan keadaan penyegerakan, status laluan rangkaian, kesihatan replikasi pelayan serta pemilikan penyesuai I/O. Keutamaan penggera hendaklah mencerminkan keperluan tindakan: kehilangan redundansi mungkin tidak menghentikan pengeluaran serta-merta, tetapi sepatutnya mencetuskan tindakan pembetulan dengan segera.

Pentauliahan dan Ujian Bukti

Uji satu kegagalan pada satu masa dalam keadaan terkawal. Tanggalkan setiap bekalan kuasa, ganggu setiap laluan rangkaian, hentikan pengawal aktif, asingkan pelayan dan sahkan bahawa penggera, output, paparan pengendali serta pemulihan berfungsi seperti yang direka. Catat masa peralihan dan sebarang gangguan proses. Kemudian pulihkan elemen yang gagal dan sahkan penyegerakan semula tanpa peralihan kedua yang tidak disengajakan.

Ujian punca sepunya juga sama penting. Semak perkara yang berlaku apabila kabinet yang dikongsi kehilangan penyejukan, suis sepunya dimulakan semula, sumber masa hilang atau ketidakpadanan konfigurasi menghalang penyegerakan siap sedia. NIST SP 800-82 Rev. 3 menekankan bahawa ketahanan teknologi operasi bergantung pada pemahaman tentang kebergantungan sistem serta pengekalan operasi yang selamat dan boleh dipercayai; oleh itu, redundansi hendaklah dianggap sebagai sifat sistem yang diuji, bukan sekadar bilangan komponen.

Batas Penyelenggaraan

Peralatan berlebihan memerlukan pengurusan perubahan yang terkawal. Perisian tegar, konfigurasi dan perkakasan gantian mesti kekal serasi pada kedua-dua laluan. Prosedur penyelenggaraan hendaklah menyatakan unit yang aktif, cara mengasingkan unit siap sedia, cara mengesahkan penyegerakan dan masa sistem kembali kepada keadaan redundansi penuh.

Reka bentuk terbaik bukanlah reka bentuk yang mempunyai perkakasan pendua paling banyak. Reka bentuk terbaik ialah reka bentuk yang kerosakan yang boleh ditoleransinya dinyatakan dengan jelas, kebergantungan sepunyanya diminimumkan dan tingkah laku peralihan kegagalannya telah dibuktikan terhadap risiko proses sebenar.