Invensys Triconex TMR Architecture

سیستم Triconex V10 که توسط Invensys Operations Management (اکنون بخشی از اشنایدر الکتریک) توسعه یافته است، یک کنترل‌کننده منطقی قابل برنامه‌ریزی سه‌گانه ماژولار اضافی (TMR) بسیار قابل اعتماد و در دسترس است که به طور گسترده در صنایع با الزامات ایمنی و قابلیت اطمینان بسیار بالا مانند انرژی هسته‌ای، پتروشیمی و تولید برق استفاده می‌شود. این سیستم برای پروژه ارتقاء سیستم حفاظت از فرآیند (PPS) در نیروگاه هسته‌ای Diablo Canyon شرکت گاز و الکتریک اقیانوس آرام (PG&E) انتخاب شد و جایگزین سیستم ایمنی Westinghouse Eagle 21 شد.

سیستم Triconex V10 از معماری Triple Modular Redundant (TMR) از طریق طراحی سخت‌افزار و نرم‌افزار اضافی استفاده می‌کند، که عملکرد مداوم و حفاظت قابل اعتماد را حتی در صورت بروز خطاهای یک یا چند نقطه تضمین می‌کند.

اصول اولیه معماری TMR

هسته سیستم Triconex معماری افزونگی مدولار سه گانه (TMR) آن است که تحمل خطا و قابلیت اطمینان سیستم را از طریق جداسازی فیزیکی، پردازش موازی و مکانیسم های رأی اکثریت به دست می آورد. کل سیستم شامل سه کانال پردازش کاملاً مستقل است که هر کدام شامل یک زنجیره پردازش سیگنال کامل است: از ورودی سیگنال سنسور، تبدیل آنالوگ/دیجیتال، اجرای منطق کنترل پردازنده اصلی تا درایو خروجی نهایی. این سه کانال هم از نظر فیزیکی و هم از نظر الکتریکی کاملاً ایزوله هستند و اطمینان حاصل می کنند که خرابی در هر یک از کانال ها بر عملکرد عادی دو کانال دیگر تأثیر نمی گذارد.

در ابتدای هر چرخه اسکن، سه ماژول پردازنده اصلی زمان را همگام می‌کنند و داده‌ها را از طریق گذرگاه سنکرون پرسرعت TriBus تبادل می‌کنند. خود TriBus نیز با افزونگی سه گانه طراحی شده است که شامل سه پیوند ارتباطی سریال مستقل است که هر کدام به طور خاص به یک کانال پردازنده اصلی سرویس می دهند. این طراحی تضمین می کند که حتی اگر یک پیوند TriBus از کار بیفتد، پیوندهای باقی مانده همچنان می توانند ارتباطات سیستم و عملکردهای همگام سازی را حفظ کنند. پس از همگام سازی، هر پردازنده اصلی شروع به خواندن داده های ورودی از کانال مربوطه خود می کند. برای سیگنال‌های ورودی دیجیتال، سیستم از مکانیزم رای‌گیری سخت‌افزاری استفاده می‌کند که در آن سه کانال به طور جداگانه یک سیگنال را می‌خوانند، سپس مقدار معتبر نهایی را از طریق رای اکثریت تعیین می‌کنند. این طراحی می تواند به طور خودکار از سیگنال های خطا ناشی از خرابی کانال یا تداخل خارجی محافظت کند.

برای سیگنال های ورودی آنالوگ، سیستم از یک الگوریتم انتخاب میانه برای پردازش استفاده می کند. سه کانال به طور جداگانه نمونه برداری کرده و تبدیل آنالوگ به دیجیتال را روی سیگنال آنالوگ انجام می دهند، سپس سه نتیجه تبدیل را با هم مقایسه کرده و مقدار میانه را به عنوان ورودی معتبر انتخاب کنید. این روش پردازش به طور موثر تداخل نویز را سرکوب می کند در حالی که از انحراف سیگنال ناشی از خرابی در یک کانال جلوگیری می کند. پس از رأی گیری یا انتخاب همه سیگنال های ورودی، یک جدول داده های ورودی ثابت برای سه پردازنده اصلی برای اجرای منطق کنترل تشکیل می شود.

اجرای برنامه کنترل کاملا مستقل و موازی در سه کانال است. هر پردازنده اصلی، بر اساس داده های ورودی ثابت، الگوریتم کنترلی یکسانی را اجرا می کند و نتایج خروجی را تولید می کند. داده‌های خروجی باید قبل از ارسال به ماژول‌های خروجی، فرآیند رأی‌گیری دیگری را طی کنند. هر پردازنده اصلی داده های خروجی خود را از طریق TriBus به دو پردازنده اصلی دیگر ارسال می کند و سه پردازنده داده های خروجی را با هم مقایسه می کنند و به آنها رأی می دهند. اگر داده‌های خروجی پردازنده با دو مورد دیگر سازگار نباشد، سیستم آن را به‌عنوان یک کانال معیوب علامت‌گذاری می‌کند، خروجی آن را ایزوله می‌کند و به دو کانال سالم باقی‌مانده اجازه می‌دهد تا عملکرد کنترل را ادامه دهند.

ماژول‌های خروجی نیز از یک طراحی اضافی سه گانه استفاده می‌کنند که هر نقطه خروجی توسط سه مدار خروجی مستقل هدایت می‌شود. ماژول های خروجی دارای عملکرد داخلی تشخیص خروجی رأی دهنده (OVD) هستند که می توانند به طور دوره ای آزمایش های اجباری را روی هر نقطه خروجی انجام دهند. سیستم به‌طور متوالی نقاط خروجی را به حالت‌های پرانرژی و بدون انرژی وادار می‌کند و تشخیص می‌دهد که آیا پاسخ خروجی طبیعی است یا خیر. این آزمایش را می توان در عرض 500 میکروثانیه تا 2 میلی ثانیه تکمیل کرد و از قابلیت اطمینان مدار خروجی اطمینان حاصل کرد. تمام تست‌های تشخیصی در حالت TMR انجام می‌شوند و پوشش تشخیص عیب 100٪ را تحت هر شرایط خرابی یک نقطه تضمین می‌کنند.

تحمل خطای سیستم از طریق چندین لایه مکانیسم های تشخیصی و حفاظتی به دست می آید. هر ماژول پردازنده اصلی مجهز به تشخیص حافظه مستقل، نظارت بر ساعت و تایمر نگهبان است. ماژول‌های ورودی/خروجی همچنین دارای پردازنده‌ها و مدارهای نگهبان برای نظارت بر اجرای سیستم‌افزار و وضعیت ارتباط هستند. همه سیستم های باس (TriBus، I/O Bus، Communication Bus) یک طراحی اضافی سه گانه را اتخاذ می کنند و عملکردهای نظارت مستمر یکپارچگی دارند. هنگامی که یک خطا تشخیص داده می شود، سیستم می تواند به طور خودکار قطعه معیوب را جدا کرده و از طریق چراغ های نشانگر و سیگنال های هشدار به اپراتورها اطلاع دهد. ماژول های معیوب را می توان در حالی که سیستم در حال اجرا است جایگزین کرد و امکان تعمیر آنلاین واقعی و به حداکثر رساندن در دسترس بودن سیستم را فراهم کرد.

ترکیب و توابع سیستم

معماری سخت افزاری سیستم Triconex V10 از طراحی مدولار برخوردار است که مقیاس پذیری و انعطاف پذیری خوبی را ارائه می دهد. هر مجموعه حفاظتی کامل از سه جزء اصلی تشکیل شده است: شاسی اصلی، شاسی انبساطی اولیه از راه دور مرتبط با ایمنی (Primary RXM)، و شاسی توسعه از راه دور غیرمرتبط با ایمنی (Remote RXM). این طراحی سلسله مراتبی قابلیت اطمینان عملکردهای مرتبط با ایمنی را تضمین می کند و در عین حال قابلیت های رابط را برای ارتباط با سیستم های غیر ایمنی فراهم می کند.

شاسی اصلی واحد پردازش اصلی کل سیستم است که دارای طراحی صنعتی ناهموار با ایمنی بالا در برابر تداخل و سازگاری با محیط است. در سمت چپ شاسی دو ماژول منبع تغذیه مستقل هستند که به صورت افزونگی پیکربندی شده اند. هر کدام به طور مستقل می توانند کل شاسی را تامین کنند. نیرو در امتداد مرکز صفحه پشتی از طریق ریل‌های قدرت دوگانه توزیع می‌شود، با هر ماژول برق از هر دو ریل از طریق تنظیم‌کننده‌های توان دوگانه، که قابلیت اطمینان سیستم قدرت را تضمین می‌کند. بلافاصله در مجاورت ماژول های قدرت، سه ماژول پردازنده اصلی 3008N (MP A، B، C) قرار دارند. این ماژول ها از ریزپردازنده های درجه ایمنی 32 بیتی استفاده می کنند که هر کدام شامل دو واحد پردازش است: یک پردازنده برنامه و یک کنترل کننده I/O و ارتباطات (IOCCOM). Application Processor مسئول اجرای سیستم عامل ETSX و اجرای برنامه کنترل است، در حالی که پردازنده IOCCOM گذرگاه I/O و گذرگاه ارتباطی را مدیریت می کند.

باقی مانده شاسی اصلی به شش اسلات منطقی برای نصب ماژول های مختلف ورودی/خروجی و ماژول های ارتباطی تقسیم شده است. هر شکاف منطقی دو موقعیت فیزیکی را فراهم می کند، یکی برای ماژول فعال و دیگری برای یک ماژول در حالت آماده به کار اختیاری. این طراحی امکان تعویض ماژول های معیوب را بدون وقفه در عملکرد سیستم فراهم می کند. اسلات ماژول ارتباطی اختصاصی است و موقعیت آماده به کار را ارائه نمی دهد. همه ماژول ها از طریق کانکتورهای پشتی دقیق به سیستم گذرگاه backplane متصل می شوند و یکپارچگی و قابلیت اطمینان سیگنال را تضمین می کنند.

شاسی توسعه از راه دور اولیه (Primary RXM) از طریق کابل های باس ورودی/خروجی سه گانه اضافی به شاسی اصلی متصل می شود و برای گسترش نقاط ورودی/خروجی مرتبط با ایمنی استفاده می شود. ساختار شاسی RXM مشابه شاسی اصلی است، اما ماژول های RXM در موقعیت های پردازنده اصلی نصب می شوند. این ماژول ها وظیفه مدیریت ارتباطات و انتقال داده ها بین شاسی توسعه و شاسی اصلی را بر عهده دارند. شاسی اصلی RXM معمولاً در نزدیکی شاسی اصلی نصب می‌شود و برای قرار دادن ماژول‌های ورودی/خروجی که مربوط به ایمنی هستند اما نیازی به قرار گرفتن در شاسی اصلی ندارند، استفاده می‌شود.

شاسی انبساط از راه دور غیرمرتبط با ایمنی (Remote RXM) از طریق فیبر نوری چند حالته به RXM اولیه متصل می شود و ایزوله الکتریکی و فیزیکی بین سیستم ایمنی و سیستم های غیرایمن را فراهم می کند. شاسی Remote RXM از ماژول های سری 4200 RXM استفاده می کند که سیگنال های گذرگاه ورودی/خروجی مسی را به سیگنال های نوری برای انتقال از طریق فیبر تبدیل می کند. هر کانال گذرگاه ورودی/خروجی (A, B, C) به یک جفت ماژول RXM 4200-4201 و دو فیبر (یک انتقال، یک دریافت) نیاز دارد که مجموعاً شش فیبر برای اتصال شاسی اصلی RXM و Remote RXM است. این طراحی عایق الکتریکی کامل را فراهم می کند، به طور موثر از حلقه های زمین و مسائل تداخل الکترومغناطیسی جلوگیری می کند، در حالی که یکپارچگی سیگنال را در فواصل طولانی تضمین می کند.

معماری اتوبوس سیستم از یک طراحی اضافی چند سطحی استفاده می کند. TriBus یک اتوبوس پرسرعت داخلی است که سه پردازنده اصلی را به هم متصل می کند و برای همگام سازی داده ها، بارگذاری برنامه و رای گیری متقابل استفاده می شود. I/O Bus یک گذرگاه سیستمی است که پردازنده‌های اصلی را به ماژول‌های I/O متصل می‌کند، با استفاده از یک پروتکل ارتباطی سریال master-slave با سرعت انتقال 375 کیلوبیت بر ثانیه. گذرگاه ارتباطی پردازنده های اصلی را با سرعت 2 مگابیت بر ثانیه به ماژول های ارتباطی متصل می کند و برای ارتباط با سیستم های خارجی استفاده می شود. همه اتوبوس ها سه گانه هستند، با هر اتوبوس مکانیزم های تشخیص خطا و جداسازی مستقل.

از نظر ارتباط و ایزوله، سیستم ضمانت های ایمنی دقیقی را ارائه می دهد. ماژول ارتباطی Tricon (TCM) تنها رابط ارتباطی است که برای کاربردهای ایمنی هسته‌ای تایید شده است و ایزوله الکتریکی و داده را ارائه می‌دهد. TCM از رسانه های فیبر نوری برای اتصال به شبکه های خارجی استفاده می کند و اطمینان حاصل می کند که خطاهای ارتباطی بر اجرای عملکردهای ایمنی تأثیر نمی گذارد. Maintenance Workstation (MWS) از طریق TCM با سیستم Tricon ارتباط برقرار می کند که برای نظارت بر وضعیت سیستم، مشاهده اطلاعات تشخیصی و انجام تغییرات پارامتر استفاده می شود. تمام ارتباطات با سیستم‌های غیرایمن تحت کنترل دسترسی و ممیزی امنیتی دقیق قرار می‌گیرد و اطمینان حاصل می‌شود که یکپارچگی سیستم ایمنی به خطر نمی‌افتد.

این سیستم طیف گسترده ای از ماژول های ورودی/خروجی، از جمله ورودی آنالوگ (AI)، خروجی آنالوگ (AO)، ورودی دیجیتال (DI) و خروجی دیجیتال (DO) را ارائه می دهد. هر ماژول ورودی/خروجی از طراحی سه گانه اضافی برخوردار است، با سه کانال کاملاً مستقل که هر کدام پردازنده و مدارهای تشخیصی خاص خود را دارند. ماژول های ورودی آنالوگ از انواع سیگنال های مختلف مانند 4-20 میلی آمپر، RTD و ترموکوپل پشتیبانی می کنند که دارای دقت بالا و ایمنی بالای نویز هستند. ماژول های خروجی دیجیتال از فناوری تشخیص خروجی رأی دهنده (OVD) استفاده می کنند که قادر به آزمایش دوره ای قابلیت اطمینان هر نقطه خروجی است. همه ماژول‌های ورودی/خروجی از قابلیت Hot-swapping پشتیبانی می‌کنند و امکان تعویض در حین کارکردن سیستم را فراهم می‌کنند و قابلیت نگهداری و در دسترس بودن سیستم را تا حد زیادی افزایش می‌دهند.

معماری نرم افزار

1. سیستم عامل و سیستم عامل

• سیستم عامل ETSX: بر روی Application Processor هر MP اجرا می شود و مسئول برنامه ریزی سیستم، مدیریت افزونگی و مدیریت خطا است.

• پردازنده IOCCOM: I/O و اتوبوس های ارتباطی را مدیریت می کند و داده ها را با MP از طریق RAM دو پورت (DPRAM) مبادله می کند.

2. نرم افزار کاربردی

• TriStation 1131: برای توسعه نرم افزارهای کاربردی مرتبط با ایمنی استفاده می شود که از هر دو زبان برنامه نویسی Function Block Diagram (FBD) و Structured Text (ST) پشتیبانی می کند.

• سطح یکپارچگی نرم افزار (SIL4): مطابق با استاندارد IEEE 1012-1998، مناسب برای سیستم های مرتبط با ایمنی هسته ای.

3. تعمیر و نگهداری آنلاین و توابع تست

• سوئیچ خارج از سرویس (OOS): به یک عملکرد حفاظتی خاص اجازه می دهد تا به طور موقت برای آزمایش یا اصلاح پارامتر بدون تأثیر بر سایر عملکردهای ایمنی از سرویس خارج شود.

• عملکرد Bypass: یک کانال را می توان از طریق سوئیچ های نرم افزاری یا سخت افزاری برای اهداف تعمیر و نگهداری یا آزمایش دور زد.

• تشخیص و هشدار: سیستم به طور مداوم وضعیت هر ماژول را نظارت می کند و اطلاعات دقیق خطا را از طریق MWS ارائه می دهد.

سناریوهای کاربردی و مزایا

1. سیستم حفاظت از فرآیند نیروگاه هسته ای (PPS)

• عملکرد: پارامترهای کارخانه (مانند دما، فشار، سطح آب و غیره) را تحت نظر دارد، آنها را با نقاط تنظیم مقایسه می‌کند و در صورت تجاوز از محدودیت‌ها، سیستم سفر راکتور (RTS) یا سیستم فعال‌سازی ویژگی‌های ایمنی مهندسی شده (ESFAS) را فعال می‌کند.

• جداسازی کانال: چهار مجموعه حفاظتی (I–IV) به ترتیب عملکردهای ایمنی مختلفی را انجام می‌دهند و از افزونگی و استقلال اطمینان می‌دهند.

2. مزایا و ویژگی ها

• قابلیت اطمینان بالا: معماری TMR هیچ نقطه ای از شکست را تضمین نمی کند.

• در دسترس بودن بالا: از تعمیر آنلاین و تعویض داغ ماژول پشتیبانی می کند.

• انعطاف پذیری: انواع مختلف ورودی/خروجی و پروتکل های ارتباطی را پشتیبانی می کند.

• ایمنی: مطابق با مقررات ایمنی هسته ای (به عنوان مثال، 10 CFR 50 ضمیمه B)، RG 1.152، و سایر الزامات.

• سهولت تعمیر و نگهداری: اطلاعات دقیق تشخیصی و قابلیت های نظارت از راه دور را ارائه می دهد.

مرجع:https://www.nrc.gov/docs/ML1131/ML11318A029.pdf