1、TRICON安全控制系统TRICON 安全控制系统第一章 TRICON 系统概述11 系统专用术语SIS：是 Safety Instrumented System 的简称，中文的意思是安全仪表系统，它是 根据美国仪表学会（ISA）对安全控制系统的定义而得名的。安全仪表系统（SIS）也称为 紧急停车系统（ESD）、安全联锁系统（SIS）或仪表保护系统（IPS）。安全仪表系统（SIS）用于监视生产装置或独立单元的操作，如果生产过程超出安全 操作范围，可以使其进入安全状态，确保装置或独立单元具有一定的安全度。安全仪表系 统（SIS）不同于批量控制、顺序控制及过程控制的工艺联锁，当过程变量（温度、压力
2、、 流量、液位等）越限，机械设备故障，系统本身故障或能源中断时，安全仪表系统（SIS） 能自动（必要时可手动）地完成预先设定的动作，使操作人员、工艺装置处于安全状态。Tricon：是 一 种 具 有 高 水 平 冗 余 容 错 技 术 的 可 编 程 逻 辑 和 过 程 控 制 器 。容 错 技 术 ： 容 错 是 Tricon 控 制 器 最 重 要 的 特 性 ， 它 可 以 在 线 识 别 瞬 态 和 稳 态 的 故障 并 进 行 适 当 的 修 正 。 容 错 技 术 提 高 了 控 制 器 的 安 全 能 力 和 可 用 性 ， 使 过 程 得 到 控 制 。安 全Tricon 通过
3、三重模件冗余结构（TMR）提供容错能力。此系统由三个安全相同的系统 通道组成（电源模件除外，电源模件是双重冗余的）。每个系统通道独立地执行控制程序， 并与其它两个通道并行工作。硬件表决机制则对所有来自现场的数字式输入和输出进行表 决和诊断。模拟输入则进行取中值的处理。因为每一个分电路都是和其它两个是隔离的， 任一分电路内的任何一个故障都不会传递给其它两个分电路。 处理故障如果需要拆卸或更 换有故障的分电路模件都可以在线进行，而不中断过程控制。（在有热备卡件的情况下，并确认热备卡件处于工作状态，方可进行。）对于各个分电路、各模件和各功能电路都具有诊断功能，能够及时地检查到运行中的故障，并进行指示
4、或报警。诊断还可以把有关故障 的信息存储在系统变量内。在发现有故障时，操作员可以利用诊断信息以修改控制动作， 或者指导其维护过程。12 系统简介TRICON 系统是一种现代化的可编程逻辑与过程控制器，它提供了高水平的系统容错 能力，可作为石化生产装置的联锁保护系统，实现装置的紧急停车。对于 V9 型 TRICON 系统，有三种形式的机架：主机架、扩展机架和远程延伸机架，主 机架与扩展机架最多相距 30m，与远程延伸机架最多相距 2km。系统最多包含一个主机架、 八个扩展机架和六个远程延伸机架，支持总数多达 118 组输入输出模件或通讯模件，最 大点数为：2048 个数字输入点，1024 个数字
5、输出点，1024 个模拟输入点，512 个模拟输出 点和 80 个脉冲输入点。其通讯模件不仅可与 Modbus 装置和集散控制系统(DCS)连接，还能 通过点对点(PeertoPeer)或 8023 网络与外部主机相连接。TRICON 系统通过三重化冗余结构(TMR)实现容错能力，系统有三个完全相同的分支， 每一支都能独立地执行控制程序，并与其他两路并行工作，专用的软、硬件机制可对 IO 进行“三取二表决”。参见图 1 TRICON 控制器的三重化结构图。13图 1 TRICON 控制器的三重化结构图 Tricon 系统的特点提供三重模件冗余结构，三个完全相同的分电路各自独立地执行控制程度。
6、能耐受严酷的工业环境。能够现场安装，可以现场在线地进行模件的安装和修复工作而不需打乱现场接线。能支持多达 118 个 I/O 模件（模拟的和数字的）和选装的通讯模件，通讯模件可以与 Modbus 主机和从属机连接，或者和 Foxboro 与 Honeywell 分布控制系统（DCS）、其它在 Peer-to-Peer 网络内的各个 Tricon、以及在 TCP/IP 网络上的外部主机相连接。 可以支持位于远离主机架 12 公里（7.5 英里）以内的远程 I/O 模件。利用基于 WINDOWS NT 系统的编程软件完成控制程序的开发及调试。在输入和输出模件内备有智能功能，减轻主处理器的工作负荷。
7、每个 I/O 模件都有三个微处理器。输入模件的微处理器对输入进行过滤和修复，并诊断模件上的硬件故障。输出模件微处理器对输出数据的表决提供信息、通过输出端的反馈回路电压检查输 出状态的有效性、并能诊断现场线路的问题。提供全面的在线诊断，并具有修理能力。可以在 Tricon 正常运行时进行常规维护而不中断控制过程。第二章 TRICON 系统硬件及配置21 一个基本的 Tricon 控制系统由下列部件组成：ABCD各种模件容纳各种模件的机架 现场端子板编程工程师站。2.2 Tricon 模件Tricon 各种模件由封装在金属骨架内的电子元件所构成，可在线进行更换。每个槽位有一保护盖，当模件从机架上取
8、下时，也不暴露任何部分电路。 各模件上的“键”又可避免模件被插入到错误的槽内。Tricon 支持数字和模拟的输入与输出点，以及热电偶输入和多种通讯能力。 2.2 Tricon 机架有三种型式的机架：1、2、3、主机架主机架扩展机架 (与主机架的距离最远 30M）和远程机架 （与主机架的距离最远 12KM）A带有机架号的键开关B、C 冗余电源模件D、E、F 三个主处理器G 网络通讯模件（NCM），在 COM 槽内 H、I 空白J、K 数字输入模件，带热备L、M 空白N、O 数字输出模件，带热备P、Q 留空R 加强型智能通讯模件（EICM）S 空白下面是主机架的前视图。主机架可以支持下列模件：两个
9、电源模件三个主处理器通讯模件，例如 ICM、NCM、ACM 或者 SMMI/O 模件，带热备通讯模件（仅限于#2 扩展机架）每个机架具有不同的总线地址（1 到 15）；机架内的每个模件具有地址，由位置或槽位决定它的具体地址。主机架上有一个四位置的键开关，用以控制整个的 Tricon 系统。开关的设定为 RUN（运行）、PROGRAM（编程）、STOP（停止）和 REMOTE（远程）。 扩展机架A、B 冗余电源模件C、D 网络通讯模件，相邻槽口E、F 数字输入模件，带热备G、H 数字输入模件，带热备I、J数字输入模件，带热备扩展机架,前视图K、L 数字输入模件，带热备M、N 数字输入模件，带热备
10、O、P 数字输入模件，带热备Q、R 数字输入模件，带热备Tricon 系统的主机架安装主处理器模件以及最多六个 I/O 模件组。在机架内的各 I/O 模件通过三重的 RS-485 双向通讯口而连接。图中：Tricon 扩展机架#3扩展机架#4 到 14Tricon 扩展机架#15 号Tricon 扩 展机架#2Tricon 主机架（机架#1）TriStation（IBM PC 兼容）扩展机架（机架 2 到 15）每一个可以支持最多八个 I/O 组。扩展机架通过一个三重的 RS-485 双向通讯口而和主机架连接。可以用来连接一组主机架和扩展机架的标准缆的总长最多为 30 米（100 英尺）。图
11、1-1 V9 Tricon 系统的配置RS-485 扩展总线口的使用：图中：I/O 总线口 Tricon 机架，前视 I/O 总线连接OUTA支路 A 出口 OUTB支路 B 出口 OUTC支路 C 出口INA支路 A 入口 INB支路 B 入口 INC支路 C 入口2.3 Tricon 现场接线使用外部端子板 ETP 用来和现场的设备连接。另外 ETP 可以将电缆直接连接到 Tricon 背板顶部的 56 针的接头上。2.4 编程工程师站Tricon 系统通过称作 Tristation 的工程及维护用的工作站进行编程。Tristation 1131 的开发平台运行环境是 WINDOWS NT
12、4.0 或更新的操作系统。Tristation1131 支持三种遵循 IEC 1131-3 标准的编程语言：功能块语言，梯形图语言及结构文本语 言。Tristation 1131 用于以下的方面：开发和调试 Tricon 所执行的控制程序。诊断系统的状态。回路检测和现场设备维护时强制点。一旦某一控制程序被开发完成，装载操作可将程序安装入控制器内并校验其是否能正 确执行。2.5 主处理器模件Tricon 系统包含三个主处理器模件。每个模件控制系统的独立的一路，并与其它两个主处理器并行工作。每个主处理器上有一个专用的 I/O 通讯处理器，用以管理在主处理器和 I/O 模件之间交换的数据。一条三重
13、I/O 总线位于机架的背板上，机架间通过 I/O 总线电缆连接。#9000 或#9001。当每个输入模件被询问时，I/O 总线的相应的一支就把新的输入数据汇成表存入主处理器内，并存入存储器以备用于硬件表决。主处理器内的每一单个输入表通过 TriBus 传到其邻近的主处理器。在此传送过程中，完成硬件表决。TriBus 利用直接存储器存取可编程逻辑数据并对三个主处理器之间的数据进行同步、传送、表决、 以及比较。如果发现不一致，信号在两个表中是一致的，则对第三个表进行修正。每个主处理器把数据的必要的修正保持在当地存储器内。任何差异都被标识，并在扫描结束时被 Tricon 的内部故障分析器来判断某一模
14、件是否存在故障。主处理器把修正过的数据送入控制程序。32位的主微处理器和相邻的主处理器模件一起并行执行控制程序。主处理器模件接受双电源供电，电源母线排列在主机架内。一个电源或电源母线出现故障不会影响系统性能。Tricon 在没有外部电源的情况下，电池能完整地保持程序和保持性变量，至少可保持六个月。图中：（自上到下）模件已通过自诊断试验。模件有故障，需要更换模件正在执行用户自编写的控制程序。当模件正在重新熟悉过程中，此灯闪烁。发现有软错误。更换模件以避免硬失效。COM TX通过 COMM 总线传送数据。COM RX从 COMM 总线接收数据。IOC TX通过 I/O 总线传送数据。IOC RX从
15、 I/O 总线接收数据。历史/状态口 用于读取诊断信息2.6 总线系统及电源分配如图 1-4 所示，三条三重总线系统都蚀刻在机架背板上，三条总线为 TriBus、I/O 总线、及通讯总线。TriBus 完成下列三种功能：传输模拟的、诊断的、和通讯的数据 传输和表决数字输入数据对上次扫描的输出数据和控制程序存贮器进行数据比较并对不同之处进行标识 I/O 总线可使信息在 I/O 模件和主处理器之间传送，速率为 375K 波特。通讯总线在主处理器和通讯模件之间传输信息，其速率为 2 M 波特。Tricon 容错结构的一个重要特征是，每一个 MP 使用了同一个数据发送器将数据同时送给上游的和下游的主处
16、理器，这样保证了同样上游处理器和下游处理器接收相同的数据。图 1-4 Tricon 主机架背板图中：1、双重电源轨 2、电源端子条 3、#1 电源 4、#2 电源 5、I/O 终端用 ELCO 接头 6、公共总线 7、I/O 总线 8、主处理器 A、B、C 9、左 I/O 模件 标准逻辑槽口10、通讯模件 11、*左模件和右模件在任一特定时间内都作为有源的或热插的备件起 作用。2.7 各种模件数字输入模件 Tricon 提供两种基本类型的数字输入模件：TMR 和简易型。在 TMR 模件上，全部关键的信道都被 100%地三重化，以保证安全性和最大的利用率。在简易型模件上，只有那些保证安全运行所需
17、的信号通路部分才被三重化。简易型模件用于低成 本比最大利用率更重要的关键安全场合。2.7.1 TMR 数字输入模件每个数字输入模件内有三个相同的分电路路（A、B、C）。虽然三个分电路都装在同一模件内，但它们是完全相同隔离的，并独立运行。每个分电路可独立地对信号进行处理并在现场和 Tricon 之间采用光电隔离。（#3504E 型 64 点高密度数字输入模件是一个例外，它没有隔离。）一条分电路上的故障就不会扩散到另外的分电路。此外，每条支路含有一个 8 位微处理器（IOP），它处理与其相应的主处理器的通讯。三个输入分电路的每一个分电路可异步地检查输入端子板上的每点信号，以判别其状态并将值放在相应
18、的 A、B、C 输入表内。每个输入表都定期地经过 I/O 总线由位于相应的主处理器模件上的 I/O 通讯处理器进行询问。例如，主处理 A 通过 I/O 总线 A 询问输入表 A。带自测试的直流数字输入模件，能够检测“ON 粘住”（指模件测量回路无法检测到现场信号断开）的状态，这对安全系统是一个重要的特征。因为绝大数安全系统都是“去磁 跳闸”。2.7.2 简易型数字输入模件每个数字模件含有适用于三个相同的分电路（A、B、C）的智能控制电路。虽然这些分电路都装在同一模件内，它们是完全相互隔离的，而且完全独立地进行工作。一个支路上的故障不会传给另一个。每条支路含有一个 8 位微处理器（IOP），它处
19、理与其相应的主 处理器的通讯。三个输入分电路中的每一个独立地通过一组非三重化的信号调节器测量端子板上每一输入信号。每个分电路判别其状态并将值放在相应的 A、B、C 输入表内。每个输入表都定期地经过 I/O 总线由位于相应的主处理器模件上的 I/O 通讯处理器进行询问。例如，主处理 A 通过 I/O 总线 A 询问输入表 A。该模件具有专门的自测试电路，用不足 500 微秒的时间能检测“ON”粘住和“OFF”粘住故障。这是故障安全系统的必备特性，它必须能及时地检测出所以的故障，并在检测到有输入故障时，把测量输入值强制在安全状态。因为Tricon 更适合用于“去磁跳闸”系统，所以在输入电路中发现故
20、障时就能把各分电路的值 强制在“OFF”（ 去磁的）状态。2.7.3 数字输出模件数字输出模件有四种基本型式：监督型数字输出模件DC 电压数字输出模件AC 电压数字输出模件双通道 DC 数字输出模件每个数字输出模件都包含有三个完全相同的相互隔离的分电路。每一分电路含有一个IOP 微处理器，它从相应的主处理器上的 IOC 通讯处理器接收其输出表。所有的数字输出模件，除了双通道 DC 模件以外，都采用“四方输出表决器”，该电路对各个的输出信号在它们刚要被送至负载之前进行表决。这个表决电路以并行一串行通路为基础，它在分电路 A 和 B，或者分电路 B 和 C，或者分电路 A 和 C 的闭合时换句话说
21、就是，通过三取二输出表决通过。双通道数字输出模件则具有一个单个的串行通道，三取二的表决过程单独作 用于每一个开关。四方输出表决电路对于所有的关键信道给出多重冗余，保证了安全和最大的利用率。双通道输出模件给出刚刚足够的冗余度以保证安全运行。双重化模件更适合于低成本比最大利用率更重要的关键安全场合。每种数字输出模件均可对每点进行专门的输出表决器诊断（OVD）。一般而言，在 OVD执行过程中每一个点的状态被逐点保存在输出驱动器上。在模件上的反馈控制回路允许每个微处理器读出此点的输出值，以决定在输出电路内是否存在有潜在的故障。（对于那些任何跃变时间宽度都不能容忍的现场装置，在 AC 和 DC 电压数字
22、输出模件上的 OVD 都可以被 禁止）。监督型数字输出模件同时具有电压的和电流的反馈，具备在励磁和非励磁的工作状态下故障的完全覆盖。此外，监督型数字输出模件还能对回路进行连续校核，验证是否有现 场负载存在。现场负载丢失或线路短路时，在模件上有信号指示。DC 电压数数字输出模件是专门设计来控制那些现场设备可能长期地保持于一种状态。DC 电压数字输出模件的 OVD 诊断能确保完全的故障覆盖率，即使各点的被命令状态从不改变。在这种模件上，一般只在 OVD 执行期间输出信号发生跃变，但被保证低于 2 毫秒（标 准的是 500 微秒），并且对绝大多数现场设备是没有影响的。AC 电压数字输出模件上，采用
23、OVD 诊断出故障的开关将会使用权输出信号跃进变为最大半个 AC 周期的反状态，这种变化不会对现场设备造成影响。一旦故障被检测出来，模件就不再继续进行 OVD。在 AC 电压数字输出模件上的每个点都需要周期性的在 ON 在 OFF 状 态两者上循环，以保证 100%的故障覆盖率。2.7.4 模拟输入模件在模拟输入模件上，三个分电路的每个分电路异步地测量各输入信号并，把结果置入数值表内。三个输入表通过相应的 I/O 总线传送到其相应的主处理器模件。每个主处理器模件内的输入表通过 TBIBUS 而转送给相邻的主处理器，并进行取中值的选择，各主处理器内的输入表按中间值修正。在 TMR 模式中，中值数
24、据被应用于控制程序；而在双重化模件 中态中采用平均值。每个模拟输入模件通过多路转换器读取多个参考电压的方法自动进行校核。参考电压 可以确定增益和偏差，用来调整模数转换读数。模拟输入模件和端子板可以支持许多不同的模拟输入，这些模件可以是隔离的也可是非隔离的形式：05VDC、010VDC，420mA，热电偶（K、J、T、E 等型），以及热电阻 （RTD）。2.7.5 模拟输出模件模拟输出模件接受输出值的三个表，每个表从相应的主处理器获取。每一分电路有它自己的数模转换器（DAC）。其中一个分电路被选中，就可以驱动模拟输出。输出被连续不断地用每点的输入反馈回路校核使其达到正确性，每一点上的输入是被所有
25、三个微处理器同时读取。如果在工作的分电路发现有故障，该分电路即被宣布为故障支路，并选择别的分电路来驱动现场设备。这个“驱动分电路”的选定是分电路间轮换的，因此三条分电 路都得到测试。2.7.6 端子板对于 V9 Tricon 机架的现场布线，您可以使用 Triconex 供应的端子板组件，也可以用您自己的能和 Tricon 面板接头相匹配的电缆组件。现场端子板是一块电气的无源电路板， 现场布线可以很容易与该板连接。2.7.7 通讯模件利用本节所述的通讯模件，Tricon 可以和 Modbus 主机和从机，点对点网络通讯上的其它 Tricon，在 802.3 网络上运行的其它主机，以及 Hone
26、ywell 和 Foxboro 分布控制系统（DCS）连接。主处理器通过通讯总线向通讯模件传递数据。数据通常在每次扫描刷新一次； 旧数据不会保留两次扫描时间。增强型智能通讯模件（EICM）和外部设备进行 RS-232 和 RS-422 串行通讯，速度最高可到 19.2K 波特。这个 EICM 提供四个串行口，通过这些口可和 Modbus 主机、从属机、或主从机，或者 TriStation 接口连接。模件也可提供一个 Centronics 兼容的并行口。网络通讯模件（NCM）这种模件允许 Tricon 和其它 Tricon 通讯，或者通过 TCP/IP网络与外部主机通讯，速率可达 10Mbit/
27、秒。NCM 支持一定数量的 Triconex 协议和应用，也支持用户书写的应用，包括那些采用 TCP-IP/UDP-IP 协议的应用，如表 1-3 所示。安全管理模件（SMM）该模件用于 Tricon 控制器和 Honeywell 的通用控制网络（UCN）的接口， UNC 是 TDC-3000DCS 的三个主要网络中的一个。SMM 允许通用控制网络（UCN）将 Tricon 指定为它的一个安全节点，允许 Tricon 在整个 TDC-3000 环境内管理过程数据。Tricon 用 Honeywell 操作者所熟悉的显示格式发送数据别名和诊断信息。SMM 的 利用率取决于 Honeywell 的
28、用于 500 版和将来各版的计划。高速通道数据接口模件（HIM）通过高速通道和就地控制网络（LCN），该模件用于Tricon 控制器和 Honeywell 控制系统的接口， HIM也可通过数据高速路作为 Honeywell更老的控制系统的接口。HIM 使得 LCN 与数据高速路上的有更高的级别的计算机，操作站等设备与 Tricon 通讯。HIM 允许冗余的 BNC 接头直接和数据高速通道连接，并具有同样的 功能容量，最大可有四个外部高速通道地址（DHP）。先进的通讯模件（ACM）该模件用于 Tricon 控制器和 Foxboro 的智能化自动化（I/A）系列 DCS 之间的接口。ACM 允许
29、Foxboro 系统将 Tricon 指定为它的一个“安全节点”， 允许 Tricon 在整个 I/A DCS 环境内管理过程数据。Tricon 用 I/A 操作者所熟悉的型号#电源模件显示格式发送数据别名和诊断信息，ACM 支持一定数量的 Tricon 协议和应用以及用户自编 应用，包括 TCP/IP 及 UDP/IP 协议，见表 1-3。表 1-3 NCM 和 ACM 的协议和用途Troconex 协议NCMACMPeer-to-Peer时间同步TriStationTricon 系统存取应用（TSAA）用户编写的协议（非专用的）TCP-IP/TCP-UDPTriconex 应用DOS TC
30、P/IP 驱动接口SOESOE 记录器网络 DDE 服务器TriStation2.7.8 系统诊断与状态指示灯Tricon 具有全面的在线诊断能力。故障监控电路可以预先检测出可能发生的故障，此电路包括有 I/O 回路检测、事故自动制动定时器、电源丢失检测器等部件等。这使得Tricon 可以自行重新配置并根据各个模件和分电路的工作情况进行一定限度的自我修理。每个 Tricon 模件的报警都可激发系统的“完整”的报警。报警包括每个电源模件上的一对 NC/NO 继电器触点。任何故障时，包括系统电源的中断或“保险烧断”都可使激发 报警动作，从而提醒工厂的维护人员。每个模件的前面板上都有指示器（LED）
31、。它们指示出模件的状态或者可能与之相连接的外部系统的状态。通常显示的状态为 PASS（通过）、FAULT（故障）和 ACTIVE（工作）。 别的指示器依模件而不同。维护工作包括更换插入式的各模件。点亮了的故障指示器表示在该模件上发现有故障， 必须更换。指示器的控制电路和三条支路的每一条都是隔离的，而且是冗余的。2.7.9 电源模件型号V9 Tricon 机架上装有下列电源模件之一：8310120VAC/VDC831124VDC8312230VAC每层机架有两个电源模件，每一个电源都足以支持本层机架的全部电源需求。电源模件可以在线更换,并可视作热备。电源模件，把外部电压转换成适合各 Tricon 模件使用的
