Sistem Triconex V10, yang dibangunkan oleh Pengurusan Operasi Invensys (kini sebahagian daripada Schneider Electric), ialah Pengawal Logik Boleh Aturcara (PLC) Triple Modular Redundant (TMR) yang sangat boleh dipercayai dan tersedia secara meluas dalam industri yang mempunyai keperluan keselamatan dan kebolehpercayaan yang sangat tinggi seperti kuasa nuklear, petrokimia dan penjanaan kuasa. Sistem ini dipilih untuk projek naik taraf Sistem Perlindungan Proses (PPS) di Loji Kuasa Nuklear Diablo Canyon Pacific Gas & Electric Company (PG&E), menggantikan sistem keselamatan Westinghouse Eagle 21 yang asal.
Sistem Triconex V10 menggunakan seni bina Triple Modular Redundant (TMR) melalui reka bentuk perkakasan dan perisian yang berlebihan, memastikan operasi berterusan dan perlindungan yang boleh dipercayai walaupun apabila kegagalan satu atau beberapa titik berlaku.
Prinsip Asas Seni Bina TMR
Teras sistem Triconex ialah seni bina Triple Modular Redundant (TMR), yang mencapai toleransi kesalahan yang sangat tinggi dan kebolehpercayaan sistem melalui pengasingan fizikal, pemprosesan selari dan mekanisme pengundian majoriti. Keseluruhan sistem terdiri daripada tiga saluran pemprosesan bebas sepenuhnya, setiap satu mengandungi rantai pemprosesan isyarat lengkap: daripada input isyarat sensor, penukaran analog/digital, pelaksanaan pemproses utama logik kawalan, hingga pemacu output akhir. Ketiga-tiga saluran ini diasingkan sepenuhnya dari segi fizikal dan elektrik, memastikan kegagalan dalam mana-mana satu saluran tidak menjejaskan operasi biasa dua saluran yang lain.
Pada permulaan setiap kitaran imbasan, tiga modul Pemproses Utama menyegerakkan masa dan bertukar data melalui bas segerak berkelajuan tinggi TriBus yang berdedikasi. TriBus sendiri juga direka bentuk dengan triple redundansi, yang mengandungi tiga pautan komunikasi bersiri bebas, setiap satu khusus menyediakan satu saluran Pemproses Utama. Reka bentuk ini memastikan bahawa walaupun satu pautan TriBus gagal, pautan yang tinggal masih boleh mengekalkan fungsi komunikasi dan penyegerakan sistem. Selepas penyegerakan, setiap Pemproses Utama mula membaca data input daripada saluran yang sepadan. Untuk isyarat input digital, sistem menggunakan mekanisme undian perkakasan di mana tiga saluran membaca isyarat yang sama secara berasingan, kemudian menentukan nilai sah akhir melalui undian majoriti. Reka bentuk ini secara automatik boleh melindungi isyarat ralat yang disebabkan oleh kegagalan saluran atau gangguan luaran.
Untuk isyarat input analog, sistem menggunakan algoritma pemilihan median untuk pemprosesan. Tiga saluran secara berasingan membuat sampel dan melakukan penukaran analog-ke-digital pada isyarat analog, kemudian bandingkan tiga hasil penukaran dan pilih nilai median sebagai input yang sah. Kaedah pemprosesan ini berkesan menyekat gangguan hingar sambil mengelakkan sisihan isyarat yang disebabkan oleh kegagalan dalam satu saluran. Selepas semua isyarat input diundi atau dipilih, jadual data input yang konsisten dibentuk untuk tiga Pemproses Utama untuk melaksanakan logik kawalan.
Pelaksanaan program kawalan adalah bebas sepenuhnya dan selari merentasi tiga saluran. Setiap Pemproses Utama, berdasarkan data input yang konsisten, melaksanakan algoritma kawalan yang sama dan menjana hasil output. Data output mesti melalui proses pengundian lain sebelum dihantar ke modul output. Setiap Pemproses Utama menghantar data outputnya kepada dua Pemproses Utama yang lain melalui TriBus, dan ketiga-tiga pemproses membandingkan silang dan mengundi pada data output. Jika data output pemproses tidak konsisten dengan dua yang lain, sistem menandakannya sebagai saluran yang rosak, mengasingkan outputnya dan membenarkan baki dua saluran yang sihat untuk terus melaksanakan fungsi kawalan.
Modul keluaran juga menggunakan reka bentuk lewah tiga kali ganda, dengan setiap titik keluaran didorong oleh tiga litar keluaran bebas. Modul output mempunyai fungsi Diagnostik Pengundi Keluaran (OVD) terbina dalam, yang mampu melakukan ujian paksa secara berkala pada setiap titik output. Sistem secara berurutan memaksa titik output ke keadaan bertenaga dan dinyahtenaga dan mengesan sama ada tindak balas output adalah normal. Ujian ini boleh diselesaikan dalam masa 500 mikrosaat hingga 2 milisaat, memastikan kebolehpercayaan litar keluaran. Semua ujian diagnostik dijalankan dalam mod TMR, menjamin liputan pengesanan kerosakan 100% di bawah mana-mana keadaan kegagalan titik tunggal.
Toleransi kesalahan sistem dicapai melalui pelbagai lapisan mekanisme diagnostik dan perlindungan. Setiap modul Pemproses Utama dilengkapi dengan pengesanan memori bebas, pemantauan jam dan pemasa pengawas. Modul I/O juga mempunyai pemproses sendiri dan litar pengawas untuk memantau pelaksanaan perisian tegar dan status komunikasi. Semua sistem bas (TriBus, Bas I/O, Bas Komunikasi) menggunakan reka bentuk berlebihan tiga kali ganda dan mempunyai fungsi pemantauan integriti berterusan. Apabila kerosakan dikesan, sistem boleh mengasingkan komponen yang rosak secara automatik dan memberitahu pengendali melalui lampu penunjuk dan isyarat penggera. Modul yang rosak boleh diganti semasa sistem berjalan, membolehkan pembaikan dalam talian yang benar dan memaksimumkan ketersediaan sistem.
Komposisi dan Fungsi Sistem
Seni bina perkakasan sistem Triconex V10 menggunakan reka bentuk modular, menawarkan kebolehskalaan dan fleksibiliti yang baik. Setiap Set Perlindungan yang lengkap terdiri daripada tiga komponen utama: Casis Utama, Casis Pengembangan Jauh Utama (RXM Utama) berkaitan keselamatan dan Casis Pengembangan Jauh yang tidak berkaitan dengan keselamatan (RXM Jauh). Reka bentuk hierarki ini memastikan kebolehpercayaan fungsi berkaitan keselamatan sambil menyediakan keupayaan antara muka untuk komunikasi dengan sistem bukan keselamatan.
Casis Utama ialah unit pemprosesan teras bagi keseluruhan sistem, menampilkan reka bentuk gred industri lasak dengan imuniti tinggi terhadap gangguan dan kebolehsuaian alam sekitar. Di bahagian paling kiri casis terdapat dua modul bekalan kuasa bebas yang dikonfigurasikan dalam redundansi; setiap satu boleh menjana kuasa keseluruhan casis secara bebas. Kuasa diagihkan di sepanjang bahagian tengah satah belakang melalui rel kuasa dwi, dengan setiap modul menarik kuasa dari kedua-dua rel melalui pengawal selia kuasa dwi, memastikan kebolehpercayaan sistem kuasa. Bersebelahan dengan modul kuasa adalah tiga modul Pemproses Utama 3008N (MP A, B, C). Modul ini menggunakan mikropemproses gred keselamatan 32-bit, setiap satu mengandungi dua unit pemprosesan: Pemproses Aplikasi dan Pengawal I/O & Komunikasi (IOCCOM). Pemproses Aplikasi bertanggungjawab untuk menjalankan sistem pengendalian ETSX dan melaksanakan aplikasi kawalan, manakala pemproses IOCCOM menguruskan Bas I/O dan Bas Komunikasi.
Baki Casis Utama dibahagikan kepada enam slot logik untuk memasang pelbagai modul I/O dan modul komunikasi. Setiap slot logik menyediakan dua kedudukan fizikal, satu untuk modul aktif dan satu lagi untuk modul siap sedia panas pilihan. Reka bentuk ini membolehkan penggantian modul yang rosak tanpa mengganggu operasi sistem. Slot modul komunikasi khusus dan tidak menyediakan kedudukan siap sedia panas. Semua modul bersambung ke sistem bas satah belakang melalui penyambung satah belakang ketepatan, memastikan integriti dan kebolehpercayaan isyarat.
Casis Pengembangan Jauh Utama (RXM Utama) berkaitan keselamatan disambungkan ke Casis Utama melalui kabel bas I/O tiga kali ganda lebihan dan digunakan untuk mengembangkan titik I/O berkaitan keselamatan. Struktur casis RXM adalah serupa dengan Casis Utama, tetapi modul RXM dipasang di kedudukan Pemproses Utama. Modul ini bertanggungjawab untuk menguruskan komunikasi dan penghantaran data antara casis pengembangan dan Casis Utama. Casis RXM Utama biasanya dipasang berhampiran Casis Utama dan digunakan untuk menampung modul I/O yang berkaitan keselamatan tetapi tidak perlu diletakkan di Casis Utama.
Casis Pengembangan Jauh (Remote RXM) yang tidak berkaitan dengan keselamatan disambungkan kepada RXM Utama melalui gentian optik berbilang mod, menyediakan pengasingan elektrik dan fizikal antara sistem keselamatan dan sistem bukan keselamatan. Casis RXM Jauh menggunakan modul RXM 4200-siri, yang menukar isyarat bas I/O berasaskan tembaga kepada isyarat optik untuk penghantaran melalui gentian. Setiap saluran bas I/O (A, B, C) memerlukan sepasang modul RXM 4200-4201 dan dua gentian (satu penghantaran, satu penerima), berjumlah enam gentian untuk menyambungkan casis RXM Utama dan RXM Jauh. Reka bentuk ini menyediakan pengasingan elektrik yang lengkap, berkesan menghalang gelung tanah dan isu gangguan elektromagnet, sambil memastikan integriti isyarat pada jarak jauh.
Seni bina bas sistem menggunakan reka bentuk berlebihan berbilang peringkat. TriBus ialah bas berkelajuan tinggi dalaman yang menghubungkan tiga Pemproses Utama, digunakan untuk penyegerakan data, pemuatan program dan undian silang. Bas I/O ialah bas sistem yang menyambungkan Pemproses Utama kepada modul I/O, menggunakan protokol komunikasi bersiri induk-hamba dengan kadar penghantaran 375 kbps. Bas Komunikasi menghubungkan Pemproses Utama kepada modul komunikasi pada kadar 2 Mbps dan digunakan untuk komunikasi dengan sistem luaran. Semua bas adalah triple-redundant, dengan setiap bas mempunyai mekanisme pengesanan kesalahan dan pengasingan bebas.
Dari segi komunikasi dan pengasingan, sistem menyediakan jaminan keselamatan yang ketat. Modul Komunikasi Tricon (TCM) ialah satu-satunya antara muka komunikasi yang diperakui untuk aplikasi keselamatan nuklear, menyediakan pengasingan elektrik dan data. TCM menggunakan media gentian optik untuk menyambung ke rangkaian luaran, memastikan ralat komunikasi tidak menjejaskan pelaksanaan fungsi keselamatan. Stesen Kerja Penyelenggaraan (MWS) berkomunikasi dengan sistem Tricon melalui TCM, digunakan untuk memantau status sistem, melihat maklumat diagnostik dan melakukan pengubahsuaian parameter. Semua komunikasi dengan sistem bukan keselamatan menjalani kawalan akses dan pengauditan keselamatan yang ketat, memastikan integriti sistem keselamatan tidak terjejas.
Sistem ini menawarkan pelbagai jenis modul I/O, termasuk Input Analog (AI), Output Analog (AO), Input Digital (DI) dan Output Digital (DO), antara lain. Setiap modul I/O menggunakan reka bentuk triple-redundant, dengan tiga saluran bebas sepenuhnya, setiap satu mempunyai pemproses dan litar diagnostik sendiri. Modul input analog menyokong pelbagai jenis isyarat seperti 4-20mA, RTD dan termokopel, menampilkan ketepatan tinggi dan imuniti hingar yang tinggi. Modul output digital menggunakan teknologi Diagnostik Pengundi Keluaran (OVD), yang mampu menguji kebolehpercayaan setiap titik output secara berkala. Semua modul I/O menyokong fungsi hot-swapping, membenarkan penggantian semasa sistem sedang berjalan, meningkatkan kebolehselenggaraan dan ketersediaan sistem.
Senibina Perisian
1. Sistem Pengendalian dan Perisian Tegar
Sistem Pengendalian ETSX: Berjalan pada Pemproses Aplikasi setiap MP, bertanggungjawab untuk penjadualan sistem, pengurusan redundansi dan pengendalian kerosakan.
Pemproses IOCCOM: Menguruskan Bas I/O dan Komunikasi, bertukar-tukar data dengan MP melalui Dwi-Port RAM (DPRAM).
2. Perisian Aplikasi
TriStation 1131: Digunakan untuk membangunkan perisian aplikasi berkaitan keselamatan, menyokong kedua-dua bahasa pengaturcaraan Rajah Blok Fungsi (FBD) dan Teks Berstruktur (ST).
Tahap Integriti Perisian (SIL4): Mematuhi piawaian IEEE 1012-1998, sesuai untuk sistem berkaitan keselamatan nuklear.
3. Fungsi Penyelenggaraan dan Pengujian Dalam Talian
Suis Out-of-Service (OOS): Membenarkan fungsi perlindungan khusus dikeluarkan sementara daripada perkhidmatan untuk ujian atau pengubahsuaian parameter tanpa menjejaskan fungsi keselamatan lain.
Fungsi Pintasan: Saluran boleh dipintas melalui suis perisian atau perkakasan untuk tujuan penyelenggaraan atau ujian.
Diagnostik dan Membimbangkan: Sistem sentiasa memantau status setiap modul dan menyediakan maklumat kerosakan terperinci melalui MWS.
Senario dan Kelebihan Aplikasi
1. Sistem Perlindungan Proses Loji Kuasa Nuklear (PPS)
Fungsi: Memantau parameter loji (seperti suhu, tekanan, paras air, dsb.), membandingkannya dengan titik set, dan mencetuskan Sistem Perjalanan Reaktor (RTS) atau Sistem Penggerak Ciri-ciri Keselamatan Kejuruteraan (ESFAS) jika melebihi had.
Pemisahan Saluran: Empat Set Perlindungan (I–IV) mengendalikan fungsi keselamatan yang berbeza masing-masing, memastikan lebihan dan kebebasan.
2. Kelebihan dan Ciri
Kebolehpercayaan Tinggi: Seni bina TMR memastikan tiada satu pun titik kegagalan.
Ketersediaan Tinggi: Menyokong pembaikan dalam talian dan pertukaran panas modul.
Fleksibiliti: Menyokong pelbagai jenis I/O dan protokol komunikasi.
Keselamatan: Mematuhi peraturan keselamatan nuklear (cth, 10 CFR 50 Lampiran B), RG 1.152, dan keperluan lain.
Kemudahan Penyelenggaraan: Menyediakan maklumat diagnostik terperinci dan keupayaan pemantauan jauh.
Rujukan：https://www.nrc.gov/docs/ML1131/ML11318A029.pdf
