Thiết kế hệ thống dự phòng nguồn điện và liên lạc

Dự phòng chỉ có giá trị khi loại bỏ một điểm lỗi đơn đáng tin cậy mà không tạo ra một phụ thuộc mới, tiềm ẩn. Trong hệ thống điều khiển công nghiệp, việc bổ sung bộ nguồn, bộ điều khiển, máy chủ hoặc đường truyền mạng thứ hai không tự động tạo ra tính sẵn sàng cao hơn. Hai đường này phải đủ độc lập, các chế độ lỗi của chúng phải được hiểu rõ và hành vi chuyển đổi phải được kiểm thử trong những điều kiện quy trình thực tế.

Bắt đầu với chức năng điều khiển cần thiết

Trước khi chọn phần cứng, hãy xác định những gì phải tiếp tục hoạt động khi một linh kiện bị lỗi. Một quy trình có thể cần điều khiển vòng kín không gián đoạn, tiếp tục hiển thị cảnh báo, bảo toàn dữ liệu lịch sử hoặc chỉ đơn giản là dừng có kiểm soát. Đây là những yêu cầu khác nhau. Một cặp PLC dự phòng có thể duy trì việc thực thi logic nhưng vẫn mất khả năng điều khiển nếu cả hai CPU đều phụ thuộc vào một bộ chuyển đổi I/O từ xa, một nguồn cấp cho thiết bị hiện trường hoặc một bộ chuyển mạch không quản lý.

Hãy lập sơ đồ phụ thuộc từ nguồn điện đầu vào qua phân phối DC, bộ điều khiển, I/O, truyền thông, trạm vận hành, đồng bộ thời gian và quyền truy cập kỹ thuật. Đánh dấu mọi thành phần dùng chung. Bài tập này thường cho thấy điểm lỗi đơn quan trọng nhất không phải là bộ xử lý mà là cầu dao, cầu đấu, bộ chuyển đổi cáp quang, máy chủ cấu hình hoặc hộp nối hiện trường.

Thiết kế dự phòng nguồn điện

Hai bộ nguồn DC có thể được bố trí để mỗi bộ đều có khả năng đáp ứng tải yêu cầu, nhưng không nên đấu song song đầu ra của chúng trừ khi nhà sản xuất cho phép. Các mô-đun dự phòng hoặc ORing sẽ cách ly các nguồn và ngăn một bộ nguồn bị lỗi làm sụt thanh cái đang hoạt động tốt. Mỗi đường cấp nguồn cần có bảo vệ đầu vào, tiết diện dây dẫn và chức năng chẩn đoán phù hợp.

Kỹ sư cần tính toán tải thông thường, tải đỉnh, mức giảm định tải theo nhiệt độ và phần dự phòng cho mở rộng. Một phép thử thiết kế hữu ích là ngắt một trong hai bộ nguồn ở mức tải tối đa có thể xảy ra và xác nhận rằng đường còn lại vẫn nằm trong giới hạn định mức liên tục. Nếu cả hai bộ nguồn dùng chung một tuyến cấp AC, thiết bị ngắt hoặc điểm nóng trong tủ, cấu hình này chỉ bảo vệ trước lỗi bộ nguồn chứ không bảo vệ trước lỗi nguồn chung hoặc sự cố môi trường.

Các thiết bị hiện trường quan trọng cũng có thể cần hai đường cấp 24 VDC dự phòng, nhưng hai đường cấp có thể tạo ra các đường hồi nguồn qua điểm chung I/O hoặc lớp giáp. Hãy xem xét toàn bộ mạch, bao gồm đất bảo vệ và dây dẫn tham chiếu. Để tìm linh kiện thay thế và lập kế hoạch tủ điện, bộ sưu tập Linh kiện nguồn điện & điện là điểm khởi đầu thiết thực, nhưng lựa chọn cuối cùng phải tuân theo hướng dẫn thiết bị và các phép tính của dự án.

Chuyển đổi dự phòng cho bộ điều khiển và I/O

Một hệ thống bộ điều khiển dự phòng thường duy trì một bộ xử lý chính và một bộ xử lý chờ. Bộ xử lý chờ nhận đủ trạng thái, cấu hình và dữ liệu ứng dụng để tiếp quản điều khiển khi thiết bị đang hoạt động hoặc đường truyền của nó bị lỗi. Câu hỏi kỹ thuật quan trọng không phải là có chức năng chuyển đổi hay không, mà là trạng thái nào được đồng bộ và quy trình sẽ trải qua điều gì trong quá trình chuyển đổi.

Bộ định thời, bước trình tự, bộ cộng dồn, giá trị công thức, trạng thái đầu ra và các phiên truyền thông có thể không chuyển đổi giống hệt nhau. Khác biệt về thời gian quét hoặc các thiết bị bên ngoài không được đồng bộ có thể gây ra hiện tượng giật, ngay cả khi việc chuyển đổi CPU diễn ra nhanh. Hãy xác định hành vi chuyển đổi chấp nhận được cho từng vòng điều khiển và trình tự quan trọng. Đối với điều khiển chuyển động, quản lý đầu đốt, điều khiển tua-bin và các chức năng liên quan đến an toàn, chỉ sử dụng những kiến trúc được hỗ trợ và chứng nhận rõ ràng cho ứng dụng đó.

I/O từ xa cần được phân tích riêng. Hai bộ điều khiển kết nối qua một bộ chuyển đổi mạng vẫn dùng chung bộ chuyển đổi đó. Một số hệ thống hỗ trợ bộ chuyển đổi, môi trường truyền dẫn và bộ chủ fieldbus dự phòng; một số khác thì không. Hãy lập tài liệu nêu rõ các lỗi nào được chấp nhận và lỗi nào buộc hệ thống phải dừng an toàn.

Dự phòng truyền thông không chỉ là một vòng mạng

Khả năng chống chịu của mạng có thể sử dụng các mạng LAN độc lập, cơ chế khôi phục vòng, các đường truyền song song hoặc cơ chế dự phòng dành riêng cho từng giao thức. Lựa chọn này ảnh hưởng đến thời gian hội tụ, xử lý khung trùng lặp, cấu hình bộ chuyển mạch và khả năng tương thích của thiết bị. Một vòng mạng có thể khôi phục sau khi đứt một đoạn cáp, nhưng sẽ không chịu được lỗi bộ chuyển mạch làm ngắt kết nối nhiều thiết bị chỉ có một đường kết nối.

Khi cần chịu được một sự kiện chung, các đường truyền riêng biệt nên tránh dùng chung máng cáp, nguồn điện và tủ bộ chuyển mạch. Hãy gán địa chỉ quản trị, tiếp điểm cảnh báo và tài liệu cấu trúc mạng để kỹ thuật viên có thể phân biệt một mạng đang hoạt động nhưng bị suy giảm với một mạng khỏe mạnh. Bộ sưu tập Truyền thông & Mạng có thể giúp xác định các nhóm phần cứng, trong khi kiến trúc phải được kiểm tra theo giao thức đã chọn và hướng dẫn thiết kế của OEM.

Chẩn đoán phải thể hiện trạng thái vận hành suy giảm

Một hệ thống dự phòng có thể tiếp tục hoạt động sau lỗi đầu tiên, vì vậy chẩn đoán rõ ràng là yếu tố thiết yếu. Nếu nhà máy không bao giờ nhận ra rằng hệ thống đang chạy bằng bộ nguồn chờ hoặc chỉ còn một đường mạng, lỗi thứ hai có thể trở thành sự cố mất hoạt động. Đưa các cảnh báo dự phòng vào HMI hoặc hệ thống bảo trì, với đủ chi tiết để xác định kênh bị ảnh hưởng và thời điểm chuyển đổi.

Các chỉ báo hữu ích gồm tiếp điểm DC-OK của bộ nguồn, vai trò và trạng thái đồng bộ của bộ điều khiển, trạng thái đường truyền mạng, tình trạng sao chép máy chủ và quyền sở hữu bộ chuyển đổi I/O. Mức độ ưu tiên của cảnh báo phải phản ánh tính cấp bách: mất dự phòng có thể chưa dừng sản xuất ngay lập tức, nhưng cần khởi động hành động khắc phục kịp thời.

Chạy thử và kiểm tra chứng minh

Hãy kiểm tra từng lỗi một trong những điều kiện được kiểm soát. Ngắt từng đường cấp nguồn, ngắt từng đường mạng, dừng bộ điều khiển đang hoạt động, cô lập một máy chủ và xác nhận rằng cảnh báo, đầu ra, màn hình vận hành và quá trình khôi phục hoạt động đúng thiết kế. Ghi lại thời gian chuyển đổi và mọi nhiễu loạn của quy trình. Sau đó khôi phục phần tử bị lỗi và xác minh việc đồng bộ lại mà không xảy ra lần chuyển đổi thứ hai ngoài ý muốn.

Các phép thử lỗi nguyên nhân chung cũng quan trọng không kém. Kiểm tra điều gì xảy ra khi tủ dùng chung mất làm mát, một bộ chuyển mạch chung được khởi động lại, nguồn thời gian biến mất hoặc sự không khớp cấu hình ngăn bộ chờ đồng bộ. NIST SP 800-82 Rev. 3 nhấn mạnh rằng khả năng chống chịu của công nghệ vận hành phụ thuộc vào việc hiểu các mối phụ thuộc của hệ thống và duy trì hoạt động an toàn, đáng tin cậy; do đó, dự phòng nên được xem là một thuộc tính của hệ thống đã được kiểm thử, không phải chỉ là số lượng linh kiện.

Ranh giới bảo trì

Thiết bị dự phòng cần quy trình quản lý thay đổi có kiểm soát. Firmware, cấu hình và phần cứng thay thế phải duy trì khả năng tương thích giữa cả hai đường. Quy trình bảo trì nên nêu rõ thiết bị nào đang hoạt động, cách cô lập thiết bị chờ, cách xác nhận đồng bộ và thời điểm hệ thống đã trở lại trạng thái dự phòng đầy đủ.

Thiết kế tốt nhất không phải là thiết kế có nhiều phần cứng được nhân đôi nhất. Đó là thiết kế trong đó các lỗi được chấp nhận được nêu rõ, các phụ thuộc chung được giảm thiểu và hành vi chuyển đổi đã được chứng minh dựa trên rủi ro thực tế của quy trình.