การออกแบบระบบสำรองสำหรับพลังงานและการสื่อสาร

ความซ้ำซ้อนมีคุณค่าเฉพาะเมื่อช่วยกำจัดจุดล้มเหลวเดี่ยวที่มีความเป็นไปได้จริง โดยไม่สร้างการพึ่งพาใหม่ที่ซ่อนอยู่ ในระบบควบคุมอุตสาหกรรม การเพิ่มแหล่งจ่ายไฟ คอนโทรลเลอร์ เซิร์ฟเวอร์ หรือเส้นทางเครือข่ายชุดที่สอง ไม่ได้ทำให้ความพร้อมใช้งานสูงขึ้นโดยอัตโนมัติ เส้นทางทั้งสองต้องเป็นอิสระจากกันเพียงพอ ต้องเข้าใจรูปแบบความขัดข้อง และต้องทดสอบพฤติกรรมการสลับเส้นทางภายใต้สภาวะกระบวนการจริง

เริ่มจากฟังก์ชันควบคุมที่จำเป็น

ก่อนเลือกฮาร์ดแวร์ ให้กำหนดสิ่งที่ต้องทำงานต่อเมื่อชิ้นส่วนหนึ่งขัดข้อง กระบวนการหนึ่งอาจต้องการการควบคุมแบบวงปิดที่ไม่หยุดชะงัก การมองเห็นสัญญาณเตือนอย่างต่อเนื่อง การเก็บรักษาข้อมูลย้อนหลัง หรือเพียงการหยุดระบบอย่างมีการควบคุม ข้อกำหนดเหล่านี้แตกต่างกัน คู่ PLC สำรองอาจช่วยให้การประมวลผลลอจิกดำเนินต่อได้ แต่ยังสูญเสียการควบคุมหาก CPU ทั้งสองตัวพึ่งพาอะแดปเตอร์ I/O ระยะไกล แหล่งจ่ายไฟภาคสนาม หรือสวิตช์ที่ไม่มีการจัดการเพียงชุดเดียว

จัดทำแผนผังการพึ่งพาตั้งแต่ไฟฟ้าขาเข้า การจ่ายไฟ DC คอนโทรลเลอร์ I/O การสื่อสาร สถานีผู้ปฏิบัติงาน การซิงโครไนซ์เวลา ไปจนถึงการเข้าถึงทางวิศวกรรม ทำเครื่องหมายส่วนประกอบที่ใช้ร่วมกันทุกจุด การดำเนินการนี้มักเผยให้เห็นว่าจุดล้มเหลวเดี่ยวที่สำคัญที่สุดไม่ใช่โปรเซสเซอร์ แต่เป็นเซอร์กิตเบรกเกอร์ เทอร์มินัลบล็อก ตัวแปลงไฟเบอร์ เซิร์ฟเวอร์การกำหนดค่า หรือจุดต่อสายภาคสนาม

การออกแบบระบบจ่ายไฟสำรอง

สามารถจัดแหล่งจ่ายไฟ DC สองชุดให้แต่ละชุดรองรับโหลดที่จำเป็นได้ทั้งหมด แต่ไม่ควรต่อเอาต์พุตขนานกันโดยตรง เว้นแต่ผู้ผลิตจะอนุญาต โมดูลสำรองหรือโมดูล ORing จะแยกแหล่งจ่ายออกจากกันและป้องกันไม่ให้แหล่งจ่ายที่ขัดข้องดึงบัสที่ยังใช้งานได้ให้แรงดันตก แต่ละเส้นทางจ่ายไฟควรมีอุปกรณ์ป้องกันด้านต้นทาง ขนาดตัวนำ และระบบวินิจฉัยที่เหมาะสม

วิศวกรควรคำนวณโหลดปกติ โหลดสูงสุด การลดพิกัดตามอุณหภูมิ และเผื่อการขยายระบบ การทดสอบการออกแบบที่มีประโยชน์คือถอดแหล่งจ่ายใดแหล่งจ่ายหนึ่งออกที่โหลดสูงสุดที่คาดการณ์ได้ และยืนยันว่าเส้นทางที่เหลือยังอยู่ภายในพิกัดการทำงานต่อเนื่อง หากแหล่งจ่ายทั้งสองใช้ฟีด AC ดิสคอนเนกต์ หรือจุดร้อนภายในตู้เดียวกัน ระบบจะป้องกันได้เฉพาะกรณีแหล่งจ่ายไฟขัดข้อง แต่ไม่ป้องกันแหล่งกำเนิดร่วมกันหรือเหตุการณ์ด้านสภาพแวดล้อม

อุปกรณ์ภาคสนามที่สำคัญอาจต้องใช้ฟีด 24 VDC แบบสำรองด้วย แต่ฟีดคู่สามารถสร้างเส้นทางกระแสย้อนกลับผ่านคอมมอนของ I/O หรือชีลด์ได้ ให้ตรวจสอบวงจรทั้งหมด รวมถึงสายดินป้องกันและตัวนำอ้างอิง สำหรับชิ้นส่วนทดแทนและการวางแผนตู้ คอลเลกชัน ส่วนประกอบระบบไฟฟ้าและกำลัง เป็นจุดเริ่มต้นที่ใช้งานได้จริง แต่การเลือกขั้นสุดท้ายต้องเป็นไปตามคู่มืออุปกรณ์และการคำนวณของโครงการ

การสลับการทำงานของคอนโทรลเลอร์และ I/O

โดยปกติระบบคอนโทรลเลอร์สำรองจะมีโปรเซสเซอร์หลักและโปรเซสเซอร์สแตนด์บาย โปรเซสเซอร์สแตนด์บายจะได้รับสถานะ การกำหนดค่า และข้อมูลแอปพลิเคชันที่เพียงพอเพื่อเข้าควบคุมเมื่อหน่วยที่ทำงานอยู่หรือเส้นทางการสื่อสารขัดข้อง คำถามสำคัญทางวิศวกรรมไม่ใช่ว่ามีการสลับการทำงานหรือไม่ แต่คือสถานะใดถูกซิงโครไนซ์ และกระบวนการได้รับผลกระทบอย่างไรระหว่างการสลับ

ตัวตั้งเวลา ขั้นตอนลำดับ ค่าโททัลไลเซอร์ ค่าในสูตรการผลิต สถานะเอาต์พุต และเซสชันการสื่อสาร อาจไม่ได้ถ่ายโอนเหมือนกันทั้งหมด ความแตกต่างของเวลาสแกนหรืออุปกรณ์ภายนอกที่ไม่ซิงโครไนซ์อาจทำให้เกิดการกระชาก แม้การสลับ CPU จะทำได้รวดเร็ว ให้กำหนดพฤติกรรมการถ่ายโอนที่ยอมรับได้สำหรับลูปและลำดับที่สำคัญทุกส่วน สำหรับฟังก์ชันด้านการเคลื่อนไหว การจัดการหัวเผา การควบคุมกังหัน และฟังก์ชันที่เกี่ยวข้องกับความปลอดภัย ให้ใช้เฉพาะสถาปัตยกรรมที่รองรับและได้รับการรับรองอย่างชัดเจนสำหรับการใช้งานนั้น

I/O ระยะไกลจำเป็นต้องวิเคราะห์แยกต่างหาก คอนโทรลเลอร์คู่ที่เชื่อมต่อผ่านอะแดปเตอร์เครือข่ายเพียงตัวเดียวยังคงใช้อะแดปเตอร์ร่วมกัน ระบบบางประเภทรองรับอะแดปเตอร์ สื่อส่งสัญญาณ และมาสเตอร์ฟิลด์บัสแบบสำรอง แต่บางประเภทไม่รองรับ ให้จัดทำเอกสารว่าความขัดข้องใดที่ระบบรองรับ และความขัดข้องใดที่ทำให้ต้องหยุดระบบอย่างปลอดภัย

ความซ้ำซ้อนของการสื่อสารมีมากกว่าการใช้เครือข่ายวงแหวน

ความทนทานของเครือข่ายอาจใช้ LAN อิสระ การกู้คืนแบบวงแหวน เส้นทางขนาน หรือความซ้ำซ้อนเฉพาะโปรโตคอล ทางเลือกดังกล่าวส่งผลต่อเวลาบรรจบกลับ การจัดการเฟรมซ้ำ การกำหนดค่าสวิตช์ และความเข้ากันได้ของอุปกรณ์ เครือข่ายวงแหวนอาจกู้คืนจากสายเคเบิลขาดหนึ่งจุดได้ แต่จะไม่รอดจากสวิตช์ที่ขัดข้องและตัดการเชื่อมต่ออุปกรณ์ที่มีเส้นทางเชื่อมต่อเพียงทางเดียวหลายตัว

เส้นทางที่แยกจากกันควรหลีกเลี่ยงรางสายเคเบิล แหล่งจ่ายไฟ และตู้สวิตช์เดียวกัน เมื่อจำเป็นต้องรองรับเหตุการณ์ร่วมกัน กำหนดที่อยู่สำหรับการจัดการ หน้าสัมผัสสัญญาณเตือน และเอกสารโทโพโลยี เพื่อให้ช่างสามารถแยกแยะเครือข่ายที่ยังทำงานแต่มีความซ้ำซ้อนลดลงออกจากเครือข่ายที่สมบูรณ์ได้ คอลเลกชัน การสื่อสารและเครือข่าย ช่วยระบุหมวดหมู่ฮาร์ดแวร์ได้ ขณะที่ต้องตรวจสอบสถาปัตยกรรมให้สอดคล้องกับโปรโตคอลที่เลือกและแนวทางการออกแบบของ OEM

ระบบวินิจฉัยต้องแสดงการทำงานในสภาวะลดทอน

ระบบสำรองสามารถทำงานต่อได้หลังเกิดความขัดข้องครั้งแรก จึงจำเป็นต้องมีระบบวินิจฉัยที่ชัดเจน หากโรงงานไม่เคยทราบว่ากำลังทำงานด้วยแหล่งจ่ายสแตนด์บายหรือเส้นทางเครือข่ายเพียงเส้นเดียว ความขัดข้องครั้งที่สองอาจกลายเป็นเหตุให้ระบบหยุดทำงานได้ ส่งสัญญาณเตือนความซ้ำซ้อนเข้าสู่ HMI หรือระบบบำรุงรักษา พร้อมรายละเอียดเพียงพอที่จะระบุช่องสัญญาณที่ได้รับผลกระทบและเวลาที่เกิดการสลับ

ตัวบ่งชี้ที่มีประโยชน์ ได้แก่ หน้าสัมผัส DC-OK ของแหล่งจ่ายไฟ บทบาทและสถานะการซิงโครไนซ์ของคอนโทรลเลอร์ สถานะเส้นทางเครือข่าย สุขภาพการจำลองข้อมูลของเซิร์ฟเวอร์ และการเป็นเจ้าของอะแดปเตอร์ I/O ลำดับความสำคัญของสัญญาณเตือนควรสะท้อนความเร่งด่วน: การสูญเสียความซ้ำซ้อนอาจยังไม่หยุดการผลิตทันที แต่ควรเริ่มการแก้ไขอย่างรวดเร็ว

การทดสอบเดินระบบและการทดสอบพิสูจน์

ทดสอบความขัดข้องทีละรายการภายใต้สภาวะที่ควบคุมได้ ถอดฟีดไฟแต่ละเส้นทาง ตัดการเชื่อมต่อเครือข่ายแต่ละเส้นทาง หยุดคอนโทรลเลอร์ที่ทำงานอยู่ แยกเซิร์ฟเวอร์ออก และยืนยันให้แน่ใจว่าสัญญาณเตือน เอาต์พุต หน้าจอผู้ปฏิบัติงาน และการกู้คืนทำงานตามที่ออกแบบ บันทึกเวลาการสลับและการรบกวนกระบวนการที่เกิดขึ้น จากนั้นคืนองค์ประกอบที่ขัดข้องและตรวจสอบการซิงโครไนซ์ใหม่โดยไม่ให้เกิดการสลับครั้งที่สองโดยไม่ตั้งใจ

การทดสอบสาเหตุร่วมมีความสำคัญไม่แพ้กัน ตรวจสอบสิ่งที่จะเกิดขึ้นเมื่อตู้ร่วมสูญเสียการระบายความร้อน สวิตช์ร่วมถูกรีบูต แหล่งเวลาไม่พร้อมใช้งาน หรือความไม่ตรงกันของการกำหนดค่าทำให้การซิงโครไนซ์ของสแตนด์บายไม่สำเร็จ NIST SP 800-82 Rev. 3 เน้นว่าความทนทานของเทคโนโลยีปฏิบัติการขึ้นอยู่กับความเข้าใจการพึ่งพาระหว่างระบบและการรักษาการทำงานที่ปลอดภัยและเชื่อถือได้ ดังนั้นควรถือว่าความซ้ำซ้อนเป็นคุณสมบัติของระบบที่ผ่านการทดสอบแล้ว ไม่ใช่เพียงจำนวนชิ้นส่วน

ขอบเขตการบำรุงรักษา

อุปกรณ์สำรองจำเป็นต้องมีการจัดการการเปลี่ยนแปลงที่ควบคุมได้ เฟิร์มแวร์ การกำหนดค่า และฮาร์ดแวร์ทดแทนต้องเข้ากันได้กับทั้งสองเส้นทาง ขั้นตอนการบำรุงรักษาควรระบุว่าหน่วยใดกำลังทำงานอยู่ จะแยกสแตนด์บายอย่างไร จะยืนยันการซิงโครไนซ์อย่างไร และเมื่อใดระบบจึงกลับสู่สถานะที่มีความซ้ำซ้อนเต็มรูปแบบ

การออกแบบที่ดีที่สุดไม่ใช่การออกแบบที่มีฮาร์ดแวร์ซ้ำกันมากที่สุด แต่คือการออกแบบที่ระบุความขัดข้องที่รองรับไว้อย่างชัดเจน ลดการพึ่งพาร่วมกันให้น้อยที่สุด และพิสูจน์พฤติกรรมการสลับการทำงานกับความเสี่ยงจริงของกระบวนการแล้ว