Invensys Operations Management (şu anda Schneider Electric'in bir parçası) tarafından geliştirilen Triconex V10 sistemi, nükleer enerji, petrokimya ve enerji üretimi gibi son derece yüksek güvenlik ve güvenilirlik gereksinimlerine sahip endüstrilerde yaygın olarak kullanılan son derece güvenilir ve kullanılabilir Üçlü Modüler Yedekli (TMR) Programlanabilir Lojik Kontrolördür (PLC). Bu sistem, Pacific Gas & Electric Company'nin (PG&E) Diablo Canyon Nükleer Enerji Santrali'ndeki Proses Koruma Sistemi (PPS) yükseltme projesi için orijinal Westinghouse Eagle 21 güvenlik sisteminin yerine seçildi.
Triconex V10 sistemi, yedekli donanım ve yazılım tasarımı yoluyla Üçlü Modüler Yedekleme (TMR) mimarisini kullanır ve tek veya çoklu nokta arızaları meydana geldiğinde bile sürekli çalışma ve güvenilir koruma sağlar.
TMR Mimarisinin Temel Prensipleri
Triconex sisteminin temeli, fiziksel izolasyon, paralel işleme ve çoğunluk oylama mekanizmaları yoluyla son derece yüksek hata toleransı ve sistem güvenilirliği sağlayan Üçlü Modüler Yedekleme (TMR) mimarisidir. Sistemin tamamı, her biri eksiksiz bir sinyal işleme zinciri içeren üç tamamen bağımsız işleme kanalından oluşur: sensör sinyal girişinden, analog/dijital dönüştürmeye, kontrol mantığının ana işlemci tarafından yürütülmesine ve son çıkış sürücüsüne kadar. Bu üç kanal hem fiziksel hem de elektriksel olarak tamamen izole edilmiştir; böylece herhangi bir kanaldaki arızanın diğer iki kanalın normal çalışmasını etkilememesi sağlanır.
Her tarama döngüsünün başlangıcında, üç Ana İşlemci modülü, özel TriBus yüksek hızlı senkron veri yolu aracılığıyla zamanı senkronize eder ve veri alışverişinde bulunur. TriBus'un kendisi de, her biri özel olarak bir Ana İşlemci kanalına hizmet eden üç bağımsız seri iletişim bağlantısı içeren üçlü yedeklilik ile tasarlanmıştır. Bu tasarım, bir TriBus bağlantısı arızalansa bile geri kalan bağlantıların sistem iletişimini ve senkronizasyon fonksiyonlarını sürdürebilmesini sağlar. Senkronizasyondan sonra her Ana İşlemci, ilgili kanaldan giriş verilerini okumaya başlar. Dijital giriş sinyalleri için sistem, üç kanalın aynı sinyali ayrı ayrı okuduğu ve ardından çoğunluk oyuyla nihai geçerli değeri belirlediği bir donanım oylama mekanizması kullanıyor. Bu tasarım, kanal arızaları veya harici parazitlerden kaynaklanan hata sinyallerini otomatik olarak koruyabilir.
Analog giriş sinyallerini işlemek için sistem bir medyan seçim algoritması kullanır. Üç kanal ayrı ayrı numune alır ve analog sinyal üzerinde analogdan dijitale dönüşümü gerçekleştirir, ardından üç dönüşüm sonucunu karşılaştırır ve medyan değeri geçerli giriş olarak seçer. Bu işleme yöntemi, tek bir kanaldaki arızalardan kaynaklanan sinyal sapmalarını önlerken gürültü girişimini etkili bir şekilde bastırır. Tüm giriş sinyalleri oylandıktan veya seçildikten sonra, üç Ana İşlemcinin kontrol mantığını yürütmesi için tutarlı bir giriş veri tablosu oluşturulur.
Kontrol programının yürütülmesi üç kanal boyunca tamamen bağımsız ve paraleldir. Tutarlı giriş verilerine dayalı olarak her Ana İşlemci aynı kontrol algoritmasını yürütür ve çıktı sonuçları üretir. Çıkış verilerinin çıkış modüllerine gönderilmeden önce başka bir oylama sürecinden geçmesi gerekir. Her Ana İşlemci, çıkış verilerini TriBus aracılığıyla diğer iki Ana İşlemciye gönderir ve üç işlemci, çıkış verilerini çapraz karşılaştırır ve oylar. Bir işlemcinin çıkış verileri diğer ikisiyle tutarsızsa, sistem onu hatalı kanal olarak işaretler, çıkışını izole eder ve geri kalan iki sağlıklı kanalın kontrol işlevini yerine getirmeye devam etmesine izin verir.
Çıkış modülleri ayrıca, her bir çıkış noktasının üç bağımsız çıkış devresi tarafından çalıştırıldığı üçlü yedekli bir tasarımı benimser. Çıkış modülleri, her çıkış noktasında periyodik olarak zorunlu testler gerçekleştirebilen yerleşik Çıkış Seçmen Tanılama (OVD) işlevine sahiptir. Sistem, çıkış noktalarını sırayla enerjili ve enerjisiz durumlara zorlar ve çıkış tepkisinin normal olup olmadığını tespit eder. Bu test, çıkış devresinin güvenilirliğini sağlayarak 500 mikrosaniye ila 2 milisaniye arasında tamamlanabilir. Tüm teşhis testleri TMR modunda gerçekleştirilir ve herhangi bir tek nokta arıza koşulunda %100 arıza tespit kapsamı garanti edilir.
Sistemin hata toleransı, çok sayıda tanılama ve koruma mekanizması katmanı aracılığıyla sağlanır. Her Ana İşlemci modülü bağımsız bellek algılama, saat izleme ve izleme zamanlayıcılarıyla donatılmıştır. G/Ç modülleri ayrıca aygıt yazılımının yürütülmesini ve iletişim durumunu izlemek için kendi işlemcilerine ve izleme devrelerine sahiptir. Tüm veri yolu sistemleri (TriBus, I/O Bus, Communication Bus) üçlü yedekli tasarımı benimser ve sürekli bütünlük izleme işlevlerine sahiptir. Bir arıza tespit edildiğinde sistem, arızalı bileşeni otomatik olarak izole edebilir ve gösterge ışıkları ve alarm sinyalleriyle operatörleri bilgilendirebilir. Arızalı modüller sistem çalışırken değiştirilebilir, böylece gerçek çevrimiçi onarım sağlanır ve sistem kullanılabilirliği en üst düzeye çıkarılır.
Sistem Bileşimi ve İşlevleri
Triconex V10 sisteminin donanım mimarisi, iyi ölçeklenebilirlik ve esneklik sunan modüler bir tasarımı benimser. Her bir tam Koruma Seti üç ana bileşenden oluşur: Ana Kasa, güvenlikle ilgili Birincil Uzaktan Genişletme Kasası (Birincil RXM) ve güvenlikle ilgili olmayan Uzaktan Genişletme Kasası (Uzaktan RXM). Bu hiyerarşik tasarım, emniyetle ilgili fonksiyonların güvenilirliğini sağlarken emniyetle ilgili olmayan sistemlerle iletişim için arayüz yetenekleri sağlar.
Ana Şasi, tüm sistemin temel işlem birimi olup, parazitlere karşı yüksek bağışıklığa ve çevreye uyum sağlama özelliğine sahip sağlam, endüstriyel düzeyde bir tasarıma sahiptir. Kasanın en solunda yedekli olarak yapılandırılmış iki bağımsız güç kaynağı modülü bulunur; her biri bağımsız olarak tüm kasaya güç sağlayabilir. Güç, çift güç rayları aracılığıyla arka panelin merkezi boyunca dağıtılır; her modül, çift güç regülatörleri aracılığıyla her iki raydan da güç çeker ve böylece güç sistemi güvenilirliği sağlanır. Güç modüllerinin hemen yanında üç adet 3008N Ana İşlemci modülü (MP A, B, C) bulunur. Bu modüller, her biri iki işlem birimi içeren 32 bit güvenlik sınıfı mikroişlemciler kullanır: bir Uygulama İşlemcisi ve bir G/Ç ve İletişim Denetleyicisi (IOCCOM). Uygulama İşlemcisi, ETSX işletim sistemini çalıştırmaktan ve kontrol uygulamasını yürütmekten sorumludur; IOCCOM işlemcisi ise G/Ç Veriyolunu ve İletişim Veriyolunu yönetir.
Ana Kasanın geri kalanı, çeşitli G/Ç modüllerinin ve iletişim modüllerinin kurulumu için altı mantıksal yuvaya bölünmüştür. Her mantıksal yuva, biri aktif modül için, diğeri ise isteğe bağlı çalışır durumda bekleme modülü için olmak üzere iki fiziksel konum sağlar. Bu tasarım, sistemin çalışmasını kesintiye uğratmadan hatalı modüllerin değiştirilmesine olanak tanır. İletişim modülü yuvası özeldir ve otomatik bekleme konumu sağlamaz. Tüm modüller, hassas arka panel konnektörleri aracılığıyla arka panel veri yolu sistemine bağlanarak sinyal bütünlüğünü ve güvenilirliğini sağlar.
Güvenlikle ilgili Birincil Uzaktan Genişletme Şasisi (Birincil RXM), üç yedekli G/Ç veri yolu kabloları aracılığıyla Ana Kasaya bağlanır ve güvenlikle ilgili G/Ç noktalarını genişletmek için kullanılır. RXM kasasının yapısı Ana Kasaya benzer ancak RXM modülleri Ana İşlemci konumlarına takılır. Bu modüller genişletme kasası ile Ana Kasa arasındaki iletişim ve veri aktarımının yönetilmesinden sorumludur. Birincil RXM kasası genellikle Ana Kasanın yakınına kurulur ve güvenlikle ilgili olan ancak Ana Kasaya yerleştirilmesi gerekmeyen G/Ç modüllerini barındırmak için kullanılır.
Güvenlikle ilgili olmayan Uzaktan Genişletme Şasisi (Uzak RXM), çok modlu fiber optik aracılığıyla Birincil RXM'ye bağlanır ve güvenlik sistemi ile güvenlik dışı sistemler arasında elektriksel ve fiziksel izolasyon sağlar. Remote RXM kasası, bakır bazlı G/Ç veri yolu sinyallerini fiber üzerinden iletim için optik sinyallere dönüştüren 4200 serisi RXM modüllerini kullanır. Her bir G/Ç veri yolu kanalı (A, B, C), Birincil RXM ve Uzak RXM kasasını bağlamak için bir çift 4200-4201 RXM modülü ve iki fiber (bir iletim, bir alma) gerektirir; toplam altı fiber. Bu tasarım, uzun mesafelerde sinyal bütünlüğünü sağlarken toprak döngülerini ve elektromanyetik girişim sorunlarını etkili bir şekilde önleyerek tam elektriksel izolasyon sağlar.
Sistemin veri yolu mimarisi, çok seviyeli yedekli bir tasarım kullanır. TriBus, veri senkronizasyonu, program yükleme ve çapraz oylama için kullanılan, üç Ana İşlemciyi birbirine bağlayan dahili bir yüksek hızlı veri yoludur. G/Ç Veriyolu, 375 kbps iletim hızına sahip bir ana-bağımlı seri iletişim protokolü kullanarak Ana İşlemcileri G/Ç modüllerine bağlayan bir sistem veriyoludur. İletişim Veri Yolu, Ana İşlemcileri iletişim modüllerine 2 Mbps hızında bağlar ve harici sistemlerle iletişim için kullanılır. Tüm veri yolları üçlü yedeklidir ve her bir veri yolu bağımsız arıza tespit ve izolasyon mekanizmalarına sahiptir.
İletişim ve izolasyon açısından sistem sıkı güvenlik garantileri sağlar. Tricon İletişim Modülü (TCM), elektrik ve veri izolasyonu sağlayan, nükleer güvenlik uygulamaları için onaylanmış tek iletişim arayüzüdür. TCM, harici ağlara bağlanmak için fiber optik medyayı kullanarak iletişim hatalarının güvenlik fonksiyonlarının yürütülmesini etkilememesini sağlar. Bakım İş İstasyonu (MWS), sistem durumunu izlemek, teşhis bilgilerini görüntülemek ve parametre değişikliklerini gerçekleştirmek için kullanılan TCM aracılığıyla Tricon sistemiyle iletişim kurar. Güvenlik dışı sistemlerle olan tüm iletişimler sıkı erişim kontrolüne ve güvenlik denetimine tabi tutularak güvenlik sisteminin bütünlüğünün tehlikeye atılmaması sağlanır.
Sistem, diğerlerinin yanı sıra Analog Giriş (AI), Analog Çıkış (AO), Dijital Giriş (DI) ve Dijital Çıkış (DO) dahil olmak üzere zengin çeşitlilikte G/Ç modülleri sunar. Her bir I/O modülü, her biri kendi işlemcisine ve teşhis devrelerine sahip olan, tamamen bağımsız üç kanala sahip, üçlü yedekli bir tasarımı benimser. Analog giriş modülleri, yüksek hassasiyet ve yüksek gürültü bağışıklığına sahip, 4-20mA, RTD ve termokupl gibi çeşitli sinyal türlerini destekler. Dijital çıkış modülleri, her çıkış noktasının güvenilirliğini periyodik olarak test edebilen Çıkış Seçmen Tanılama (OVD) teknolojisini kullanır. Tüm G/Ç modülleri çalışırken değiştirme işlevini destekler, sistem çalışırken değiştirmeye olanak tanır, sistemin bakımını ve kullanılabilirliğini büyük ölçüde artırır.
Yazılım Mimarisi
1. İşletim Sistemi ve Firmware
ETSX İşletim Sistemi: Her MP'nin Uygulama İşlemcisinde çalışır ve sistem planlama, yedeklilik yönetimi ve hata işlemeden sorumludur.
IOCCOM İşlemci: Çift Bağlantı Noktalı RAM (DPRAM) aracılığıyla MP ile veri alışverişi yaparak G/Ç ve İletişim Veriyollarını yönetir.
2. Uygulama Yazılımı
TriStation 1131: Hem Fonksiyon Blok Şeması (FBD) hem de Yapılandırılmış Metin (ST) programlama dillerini destekleyen, güvenlikle ilgili uygulama yazılımı geliştirmek için kullanılır.
Yazılım Bütünlüğü Seviyesi (SIL4): IEEE 1012-1998 standardına uygundur, nükleer güvenlikle ilgili sistemlere uygundur.
3. Çevrimiçi Bakım ve Test İşlevleri
Hizmet Dışı (OOS) Anahtarı: Diğer güvenlik işlevlerini etkilemeden belirli bir koruma işlevinin test veya parametre değişikliği amacıyla geçici olarak hizmet dışı bırakılmasına olanak tanır.
Bypass Fonksiyonu: Bir kanal, bakım veya test amacıyla yazılım veya donanım anahtarları aracılığıyla bypass edilebilir.
Tanılama ve Alarm Verme: Sistem, her modülün durumunu sürekli olarak izler ve MWS aracılığıyla ayrıntılı arıza bilgisi sağlar.
Uygulama Senaryoları ve Avantajları
1. Nükleer Santral Proses Koruma Sistemi (PPS)
İşlev: Tesis parametrelerini (sıcaklık, basınç, su seviyesi vb.) izler, bunları ayar noktalarıyla karşılaştırır ve sınırlar aşıldığında Reaktör Açma Sistemini (RTS) veya Tasarlanmış Güvenlik Özellikleri Çalıştırma Sistemini (ESFAS) tetikler.
Kanal Ayırma: Dört Koruma Seti (I–IV) sırasıyla farklı güvenlik işlevlerini yöneterek yedeklilik ve bağımsızlık sağlar.
2. Avantajlar ve Özellikler
Yüksek Güvenilirlik: TMR mimarisi tek bir arıza noktasının oluşmamasını sağlar.
Yüksek Kullanılabilirlik: Çevrimiçi onarımı ve modül çalışırken değiştirmeyi destekler.
Esneklik: Çeşitli I/O türlerini ve iletişim protokollerini destekler.
Güvenlik: Nükleer güvenlik düzenlemelerine (örn. 10 CFR 50 Ek B), RG 1.152 ve diğer gereksinimlere uygundur.
Bakım Kolaylığı: Ayrıntılı teşhis bilgileri ve uzaktan izleme yetenekleri sağlar.
Referans: https://www.nrc.gov/docs/ML1131/ML11318A029.pdf
