AADvance và Trusted: kiến trúc hệ an toàn, số module bộ xử lý và I/O, mức SIL Rockwell công bố

AADvance và Trusted là hai nền tảng hệ an toàn công cụ (SIS) của Rockwell Automation, dùng cho dừng khẩn cấp (ESD), cháy và khí (F&G) và các nhiệm vụ tương tự. Cả hai đều được chứng nhận theo IEC 61508, nhưng cấu tạo khác nhau. Với AADvance, kỹ sư tự chọn lắp bao nhiêu module bộ xử lý và module I/O cho từng khu vực của nhà máy. Trusted thì xây quanh một bộ xử lý dự phòng ba (TMR, triple modular redundant). Bài này trình bày các kiến trúc trong safety manual của từng nền tảng, mức SIL mà Rockwell công bố cho từng kiến trúc, và các đường trao đổi dữ liệu với hệ điều khiển quá trình. Hai hệ này nằm ở đâu trong nhà máy: ICSS là gì. SIL có nghĩa gì với một chức năng an toàn: SIL là gì.

1. Hai nền tảng trong cùng một danh mục an toàn

Trang sản phẩm của Rockwell mô tả AADvance là SIS phân tán, mở rộng dần được, chịu lỗi (fault tolerant), ghép từ module bộ xử lý, module I/O và tấm đấu dây hiện trường (field termination assembly). Cấu hình đi từ fail-safe tới fault tolerant và TMR. Mỗi khu vực của nhà máy có thể dùng mức dự phòng module khác nhau, và các chức năng từ SIL 1 đến SIL 3 chạy chung một hệ. Trang này ghi AADvance được TÜV và exida chứng nhận theo IEC 61508.

Trang sản phẩm Trusted mô tả một SIS chịu lỗi xây quanh bộ điều khiển TMR: ba slice điều khiển biểu quyết theo đa số. Slice nào chạy khác hai slice còn lại sẽ bị phát hiện và báo ra. Trang này ghi Trusted được TÜV chứng nhận cho các ứng dụng theo IEC 61508:2010 và các tiêu chuẩn khác có liệt kê, như EN 54-2 và NFPA 72, và có nhắc tới partial stroke test cho van quan trọng.

Mức SIL mà Rockwell công bố cho một bộ điều khiển là khả năng của bộ điều khiển an toàn (logic solver). Riêng mức SIL này không quyết định SIL của một chức năng an toàn, vì SIL đó còn phụ thuộc cảm biến và thiết bị cuối (van, động cơ) trong vòng.

2. AADvance gồm những gì

Safety manual của bộ điều khiển AADvance (ICSTT-RM446S-EN-P, tháng 10/2024) mô tả bộ điều khiển là một logic solver kèm hệ I/O, thiết kế cho an toàn chức năng và điều khiển quan trọng. Bộ điều khiển chạy được cả chức năng an toàn lẫn chức năng thường (không phải chức năng an toàn) nhưng quan trọng với sản xuất (tr. 12–16):

• Module: module bộ xử lý lắp trên đế bộ xử lý, module I/O lắp trên đế I/O, và tấm đấu dây hiện trường; các bảng module ở chương 3 ghi bộ xử lý T9110 trên đế T9100, I/O trên đế T9300 và tấm đấu dây loại đơn (simplex), đôi (dual) và TMR (tr. 32–40). Module gắn trên thanh DIN trong tủ hoặc gắn thẳng lên tường, không cần quạt làm mát cưỡng bức (tr. 15).
• Phạm vi an toàn: thiết kế theo IEC 61508, cho ứng dụng tới SIL 3, cấu hình de-energize to trip (DTT, mất điện thì trip) và energize to action (ETA, cấp điện mới tác động), ở cả low demand và high demand.
• Chịu lỗi: dùng module đôi hoặc ba, với các kiểu biểu quyết manual gọi là 1oo1D, 1oo2D và 2oo3D (1 trong 1, 1 trong 2 và 2 trong 3, đều có chẩn đoán). Không có cấu hình ba module ngõ ra (TMR), nên ngõ ra tối đa là hai module.
• Ứng dụng manual liệt kê: điều khiển quá trình quan trọng, bảo vệ cháy và khí, điều khiển máy quay, quản lý đầu đốt (burner management), điều khiển lò hơi và lò nung, giám sát và điều khiển quá trình phân tán. Manual ghi hệ đặc biệt hợp với dừng khẩn cấp và phát hiện cháy khí.

Manual phân biệt hai mục tiêu (tr. 12–16). Cấu hình fail-safe đưa quá trình về trạng thái an toàn khi phát hiện lỗi nguy hiểm. Cấu hình fault tolerant giữ quá trình tiếp tục chạy mà không giảm mức toàn vẹn an toàn, với điều kiện lỗi được sửa trong thời gian sửa chữa (MTTR) đã dùng khi tính PFD.

3. Các kiến trúc AADvance và mức SIL Rockwell công bố

Chương 3 của safety manual liệt kê các kiến trúc. Các kiến trúc chính (tr. 31–39):

Những điểm trong cùng chương cần để ý trên một hệ đang chạy:

• Rockwell khuyên dùng các kiến trúc SIL 2 cho ứng dụng fail-safe, low demand (tr. 31). High demand cần tối thiểu hai module bộ xử lý (tr. 35), và mọi kiến trúc SIL 3 đều có ít nhất hai (tr. 35).
• Trong bảng cấu hình được chứng nhận, bộ xử lý T9110 ghi SIL 2 khi lắp hai module, SIL 3 khi lắp hai hoặc ba. Ngõ vào số và analog ghi SIL 3 với một, hai hoặc ba module. Ngõ ra ghi SIL 3 cho DTT với một hoặc hai module; với ETA là SIL 2 khi một module, SIL 3 khi hai module (tr. 39–40).
• Nếu bộ xử lý suy giảm xuống 1oo1D, module hỏng phải được thay trong MTTR đã giả định khi tính PFD. Nếu không, ứng dụng phải dừng các chức năng an toàn bị ảnh hưởng, trừ khi bản đặc tả yêu cầu an toàn (SRS) có quy định biện pháp bù (tr. 31, 36).
• ETA cần ít nhất hai nguồn điện độc lập, có giám sát nguồn và giám sát đường dây (tr. 49). Trạng thái fail-safe của mọi module AADvance là mất điện (de-energized) (tr. 50).

4. Trusted: bộ xử lý TMR và I/O

Safety manual của hệ Trusted TMR (ICSTT-RM459K-EN-P, tháng 11/2023) ghi hệ thống và chính manual đã được TÜV Rheinland đánh giá và chứng nhận theo IEC 61508 SIL 3 (tr. 13–15). Các điểm chính:

• Bộ xử lý: vi xử lý ba kênh bên trong, các mạch quan trọng có dự phòng bên trong (tr. 18). Bộ xử lý T8110B, T8110C và T8111C ghi là 2oo3, chứng nhận tới SIL 3, dùng một module hoặc một cặp active và standby (tr. 34).
• Chạy suy giảm: biểu quyết đi từ 2oo3D xuống 1oo2D rồi về trạng thái an toàn; manual gọi đây là kiến trúc 3-2-0 (tr. 16–17).
• Thay module khi đang chạy: mọi module đều tháo và thay được khi hệ đang chạy (tr. 27). Bộ xử lý và module giao tiếp được thay online qua slot kế bên (tr. 34). Để thay online, I/O mật độ cao có thể lắp thành cặp active và standby, đặt ở slot kế bên hoặc ở SmartSlot, nơi một vị trí dự phòng phục vụ nhiều module đang chạy (tr. 38–40).
• I/O: các module như T8403 biểu quyết 2oo3 ngay trong một module; module đôi như T8402 dùng 1oo2D. Cả hai đều ghi tới SIL 3 cho DTT; với energize to trip, manual chỉ chứng nhận khi đáp ứng các điều kiện ở mục energize to trip (tr. 35–36, 42).
• Ứng dụng manual nêu: dầu khí, lọc dầu, đường sắt đô thị và phát điện, cho các chức năng an toàn như phát hiện cháy khí và dừng khẩn cấp (tr. 18).

Bản giới thiệu sản phẩm Trusted (PROCES-PP014B-EN-E, tháng 10/2016) bổ sung điều khiển turbomachinery, quản lý đầu đốt và HIPPS vào các ứng dụng điển hình.

5. Công cụ lập trình

Safety manual AADvance áp dụng cho AADvance Workbench 1.4 và 2.1 và AADvance-Trusted SIS Workstation 2.00, thuộc system release 2.011 (tr. 4–5). Bộ điều khiển hỗ trợ đủ năm ngôn ngữ IEC 61131-3, và một chìa Program Enable tháo rời được dùng để khóa quyền truy cập chương trình (tr. 12–16). Với Trusted, manual nêu AADvance-Trusted SIS Workstation, hoặc bộ Trusted Toolset Suite đời cũ chạy trên PC dùng VMware (tr. 18–19).

6. Dữ liệu qua lại với hệ điều khiển quá trình

Trên AADvance, dữ liệu an toàn giữa các bộ điều khiển đi qua SNCP (Safety Network Control Protocol), giao thức mà manual ghi là được chứng nhận SIL 3, qua các variable binding; ngoài ra còn có peer-to-peer (tr. 41). Dữ liệu sang hệ ControlLogix có thể dùng CIP produce và consume qua EtherNet/IP, nhưng phần help của SIS Workstation 2.01 ghi CIP chỉ nên dùng cho dữ liệu không phục vụ an toàn (non-safety). Manual cũng liệt kê Modbus, HART và OPC (tr. 12–16). Với Trusted, bản giới thiệu sản phẩm liệt kê Modbus TCP/IP, Modbus RTU và EtherNet/IP tới các bộ điều khiển, cùng OPC DA và OPC A&E. Trang tường lửa (firewall) của SIS Workstation liệt kê các cổng, trong đó có TCP 502 cho Modbus slave, 44818 cho CIP, UDP 1123 và 1124 cho SNCP binding. Bảng đầy đủ các đường nối này có trong bài ICSS là gì.

SIL không phải là mức an ninh (security level) của IEC 62443. Cả hai safety manual đều có mục riêng về an ninh hệ thống; cách chia vùng mạng có trong bài IEC 62443: zone, conduit và mức an ninh.

7. Trạng thái vòng đời

Trên trang sản phẩm của Rockwell cho module bộ xử lý AADvance T9110, trạng thái vòng đời ghi Active (đọc ngày 14/11/2026). Với các mã hàng khác, kể cả module Trusted, chúng tôi kiểm từng mã trên trang sản phẩm của Rockwell trước khi báo giá phụ tùng hay mở rộng hệ.

Những gì TDL kiểm trước

Đây là cách làm của chính chúng tôi trên một hệ AADvance hoặc Trusted đang chạy:

• Mức SIL mục tiêu lấy từ đánh giá mối nguy và rủi ro của nhà máy và từ bản đặc tả yêu cầu an toàn (SRS). Chúng tôi xin cả hai tài liệu, rồi lập trình và thử nghiệm theo đó.
• Chúng tôi liệt kê kiến trúc đang lắp thực tế: số bộ xử lý, số module ngõ vào và ngõ ra mỗi nhóm, DTT hay ETA, rồi so với bảng kiến trúc trong đúng phiên bản safety manual áp dụng.
• Chúng tôi đọc chẩn đoán của bộ điều khiển để tìm bộ xử lý hay I/O đang chạy suy giảm, vì safety manual đặt giới hạn thời gian sửa cho module bị suy giảm.
• Chúng tôi backup project Workbench, SIS Workstation hoặc Toolset, thử khôi phục lại bản backup, và ghi lại phiên bản phần mềm và firmware.
• Chúng tôi liệt kê mọi đường nối sang hệ điều khiển quá trình, kiểm tra CIP chỉ mang dữ liệu không phục vụ an toàn, còn dữ liệu an toàn giữa các bộ điều khiển đi qua SNCP hoặc peer-to-peer.
• Chúng tôi kiểm trạng thái vòng đời của từng mã hàng trước khi lên kế hoạch phụ tùng hay sửa đổi.

TDL tiếp cận thế nào

TDL xây hệ an toàn công cụ cho các chức năng SIL 2 và SIL 3 trên AADvance và Trusted, gồm cả ESD và F&G (ICSS và hệ an toàn, AADvance và Trusted trong các dự án TDL). Với Vietsovpetro, chúng tôi cung cấp AADvance và tư vấn kỹ thuật cho hệ F&G SIL 3 của giàn nén khí trung tâm và ICSS giàn đầu giếng BK-20 và BK-21, và nâng cấp hệ F&G Sieger của giàn Riserblock lên AADvance với I/O chịu lỗi. Ở Trạm phân phối khí Phú Mỹ, chúng tôi thay hệ PLC-5 / HIMA bằng ICSS trên ControlLogix dự phòng và AADvance, sau đó lập trình AADvance và ControlLogix cho hệ van chặn đầu vào. Ở Nhà máy Nhiệt điện Thái Bình 2, chúng tôi tư vấn cho hệ ESD Trusted, gồm cả vận hành thử tại hiện trường theo tài liệu SAT.