ICSS (Integrated Control and Safety System — hệ điều khiển và an toàn tích hợp) là cách gọi trong dầu khí cho toàn bộ hệ tự động hoá của một giàn, trạm hay nhà máy: hệ điều khiển quá trình (PCS/BPCS), hệ an toàn công cụ (SIS, gồm dừng khẩn cấp ESD), hệ phát hiện cháy và khí (F&G), cùng trạm vận hành và historian dùng chung. NIST SP 800-82r3 (mục 2.3.7) mô tả ICSS là hệ an toàn có thể trao đổi dữ liệu với hệ điều khiển — từ một hãng dạng tất cả trong một, hoặc ghép sản phẩm nhiều hãng — nhưng phần an toàn vẫn phải đáp ứng IEC 61511. Nói gọn: chung giao diện và dữ liệu, tách riêng chức năng an toàn.
Các hệ con trong một ICSS
| Hệ con | Nhiệm vụ | Hoạt động khi nào | Thành phần chính |
|---|---|---|---|
| PCS / BPCS | Điều khiển quá trình: vòng PID, trình tự khởi động/dừng, khoá liên động vận hành | Liên tục | Bộ điều khiển quá trình, I/O, mạng điều khiển |
| SIS — ESD, PSD | Đưa quá trình về trạng thái an toàn khi vượt ngưỡng đã định | Khi có yêu cầu (quá trình vượt ngưỡng) | Mỗi chức năng an toàn (SIF) gồm cảm biến, bộ giải logic và phần tử chấp hành cuối như van |
| F&G | Phát hiện cháy và rò khí, báo động và kích hoạt hành động bảo vệ | Khi phát hiện cháy hoặc khí | Đầu dò, bộ điều khiển F&G, đầu ra báo động và chữa cháy |
| Trạm vận hành, trạm kỹ thuật | Giao diện cho người vận hành; cấu hình, lập trình, chẩn đoán | Liên tục | Máy chủ, client, màn hình console |
| Historian, SOE | Lưu dữ liệu quá trình và chuỗi sự kiện có dấu thời gian để phân tích sau sự cố | Liên tục | Máy chủ historian, máy chủ OPC |
NIST liệt kê ESD, dừng an toàn quá trình (PSS) và hệ cháy khí (FGS) là các loại hệ an toàn, trong đó SIS được biết đến nhiều nhất (mục 2.3.7). Tên gọi cụ thể (ESD, PSD, F&G, HIPPS) và chức năng nào thuộc SIS do từng dự án xác định qua phân tích an toàn.
Vì sao BPCS và SIS phải độc lập
- Để một lỗi không phá hai lớp bảo vệ. Theo NIST, SIS thường độc lập với BPCS để sự cố của hệ điều khiển không ảnh hưởng nghiêm trọng tới chức năng an toàn. Trước đây SIS thường đứng riêng hoàn toàn, tách vật lý và logic, không nối trực tiếp với BPCS.
- Vì tiêu chuẩn yêu cầu riêng cho SIS. IEC 61511-1 đặt yêu cầu cho SIS trong công nghiệp quá trình suốt vòng đời — từ đặc tả, thiết kế, lắp đặt, vận hành đến bảo trì — và là bản áp dụng cho ngành quá trình của IEC 61508. Ở Mỹ, ANSI/ISA-61511-1-2018 thuộc bộ ISA-84 là bản tương ứng của IEC 61511-1. ICSS gom dữ liệu về một chỗ, nhưng không miễn cho phần an toàn khỏi các yêu cầu này.
- Hệ quả thường gặp trong thiết kế: bộ điều khiển an toàn riêng; mạng an toàn tách khỏi mạng điều khiển và mạng thông tin (sơ đồ kiến trúc ICSS của Rockwell trong PROCES-BR003A, tr. 10, đặt hai mạng trên các switch khác nhau); dữ liệu chủ yếu đi một chiều từ SIS sang BPCS để hiển thị; mọi lệnh ghi vào SIS (reset, bypass) được giới hạn và quản lý theo quy trình. Mức độ tách cụ thể do phân tích an toàn của dự án quyết định.
Mức SIL và các giá trị an toàn phải do kỹ sư có thẩm quyền xác định theo IEC 61511 cho từng dự án.
Kiến trúc ICSS trên nền Rockwell
| Lớp | Sản phẩm Rockwell | Theo tài liệu hãng |
|---|---|---|
| Điều khiển quá trình | ControlLogix bộ điều khiển quá trình (1756-L8xEP) trong PlantPAx | Tasking mặc định và lệnh quá trình PlantPAx; dự phòng bộ điều khiển qua EtherNet/IP với module 1756-RM3 (PROCES-SG001X, tr. 37–39) |
| An toàn — phân tán, mở rộng dần | AADvance | Kiến trúc từ fail-safe đến fault tolerant và TMR, chọn mức dự phòng module khác nhau cho từng khu vực; cấu hình bằng AADvance Workbench; kết nối CIP tới PlantPAx |
| An toàn — TMR | Trusted | Ba lát điều khiển biểu quyết đa số, chỉ ra được nguồn lỗi; tới 40 kênh mỗi module I/O; hỗ trợ partial stroke test van |
| Giao diện vận hành | FactoryTalk View SE trong PlantPAx | Máy chủ PASS (màn hình, alarm, kết nối dữ liệu), trạm vận hành OWS cấp phép theo trạm (PROCES-SG001X, tr. 5–7, 21–28) |
| Historian | FactoryTalk Historian | Module 1756-HIST2G cho dưới 2.500 tag; trên mức đó dùng FactoryTalk Historian SE trên máy chủ quản lý thông tin (information management server) (PROCES-SG001X, tr. 31) |
| Mạng | EtherNet/IP | PlantPAx có kiến trúc tham chiếu PRP dự phòng và DLR vòng (PROCES-SG001X, tr. 16–17) |
Rockwell xếp AADvance và Trusted trong danh mục hệ an toàn công cụ, cùng với Logix SIS và ControlLogix cấu hình an toàn. Về ứng dụng, brochure hệ an toàn quá trình của Rockwell (PROCES-BR003A, tr. 4) liệt kê dừng khẩn cấp (ESD), cháy và khí (F&G), HIPPS và quản lý đầu đốt trong các ứng dụng điển hình của AADvance. Bản giới thiệu Trusted (PROCES-PP014B) liệt kê ESD, F&G, điều khiển turbomachinery, quản lý đầu đốt và HIPPS. Chứng nhận do hãng công bố (TÜV theo IEC 61508, kèm EN 54-2 và NFPA 72 liên quan tới thiết bị báo cháy) xem trên trang sản phẩm; chứng nhận của bộ giải logic không thay cho việc xác định mức SIL của từng chức năng an toàn.
Điểm tích hợp giữa SIS và hệ điều khiển chính
| Đường nối | Giao thức theo tài liệu hãng | Dùng cho |
|---|---|---|
| AADvance → ControlLogix / PlantPAx | CIP Produce & Consume trên EtherNet/IP (trợ giúp AADvance-Trusted SIS Workstation 2.01, "Use CIP over EtherNet/IP") | Trạng thái SIF, alarm, trạng thái bypass lên màn hình vận hành |
| AADvance → DCS/PLC hãng khác | Modbus TCP slave, cổng 502 (trợ giúp SIS Workstation 2.01, "Network Firewall") | Như trên, khi hệ chính không phải Logix |
| Trusted → hệ chính | Modbus TCP/IP, Modbus RTU, EtherNet/IP (PROCES-PP014B); tới 10 Modbus slave trên module T8151, có dịch vụ SOE qua Modbus (trợ giúp AADvance-Trusted SIS Workstation) | Dữ liệu trạng thái, chuỗi sự kiện |
| SIS → HMI, historian | OPC DA và OPC A&E (PD-T8030 Trusted OPC Server; với AADvance: OPC Portal Server, ICSTT-RM407E) | Tag, alarm và sự kiện SOE có dấu thời gian |
| SIS ↔ SIS | Mạng peer-to-peer an toàn (trợ giúp SIS Workstation 2.01, "Network Firewall") | Trao đổi tín hiệu an toàn giữa các bộ điều khiển an toàn |
| Đồng bộ thời gian | SNTP (trợ giúp SIS Workstation 2.01, "Network Firewall") | Dấu thời gian SOE khớp giữa các hệ |
Rockwell cũng mô tả hệ an toàn có thể đứng riêng và giao tiếp với DCS, PLC của các hãng lớn qua Modbus nối tiếp, Modbus TCP/IP hoặc EtherNet/IP, hoặc tích hợp vào PlantPAx thành ICSS (PROCES-BR003A, tr. 10). Khi đặt firewall giữa các vùng mạng, xem cổng cần mở cho hệ FactoryTalk và dịch vụ mạng công nghiệp và bảo mật OT; chọn dự phòng mạng: DLR hay PRP.
Chủ đầu tư nên đặc tả những gì
- Phạm vi và ranh giới: những hệ nào nằm trong ICSS (PCS, ESD, PSD, F&G), gói thiết bị nào có PLC riêng (máy nén, turbine, đóng gói) và nối vào ICSS bằng cách nào.
- Đầu vào an toàn: kết quả HAZOP, xác định SIL và đặc tả yêu cầu an toàn (SRS) — ai lập, ai duyệt. Nhà tích hợp làm theo SRS, không tự đặt mức SIL.
- Ma trận nhân quả (cause & effect) cho ESD và F&G, có số hiệu và phiên bản.
- Dự phòng mong muốn cho từng lớp: bộ điều khiển, I/O, nguồn, mạng, máy chủ.
- Danh sách giao tiếp: mỗi đường nối ghi giao thức, chiều dữ liệu, danh sách tag, chu kỳ cập nhật; yêu cầu độ phân giải SOE và nguồn thời gian chung.
- Giao diện vận hành: console dùng chung hay riêng cho F&G; alarm philosophy theo ISA-18.2, style guide theo ISA-101 — xem bài ISA-101 / ISA-18.2.
- Bảo mật và phân vùng mạng: mạng an toàn, mạng điều khiển, mạng thông tin; ai được ghi gì vào SIS.
- Thử nghiệm và bàn giao: FAT, SAT, tài liệu, đào tạo, phụ tùng, và kế hoạch vòng đời phần cứng — xem đánh giá vòng đời thiết bị.
TDL tích hợp hệ điều khiển và an toàn trên nền Rockwell: hệ ICSS và an toàn, tự động hoá dầu khí.
Câu hỏi thường gặp
ICSS khác DCS thế nào?
DCS là hệ điều khiển quá trình. ICSS gồm DCS (hoặc PCS trên PLC) cộng thêm SIS và F&G, chung giao diện vận hành và historian. Phần an toàn trong ICSS vẫn tách riêng về chức năng và phải đáp ứng IEC 61511.
Có dùng một bộ điều khiển cho cả điều khiển và an toàn được không?
NIST ghi nhận ICSS có thể là thiết bị tất cả trong một của một hãng, nhưng phần an toàn vẫn phải đáp ứng IEC 61511. Gộp hay tách là quyết định của phân tích an toàn dự án.
F&G có phải là SIS không?
Tuỳ dự án. NIST xếp hệ cháy khí là một loại hệ an toàn bên cạnh ESD; chức năng F&G nào được coi là chức năng an toàn công cụ do phân tích an toàn quyết định.
TDL có xác định mức SIL cho hệ của nhà máy không?
Không. Mức SIL và các giá trị an toàn phải do kỹ sư có thẩm quyền xác định theo IEC 61511 cho từng dự án. TDL thiết kế và tích hợp theo đặc tả yêu cầu an toàn do chủ đầu tư hoặc đơn vị được chỉ định cung cấp.
ICSS trên nền Rockwell gồm những sản phẩm nào?
Điều khiển quá trình dùng bộ điều khiển quá trình ControlLogix (1756-L8xEP) trong PlantPAx, giao diện vận hành là FactoryTalk View SE trong PlantPAx, historian là FactoryTalk Historian, và mạng là EtherNet/IP với kiến trúc tham chiếu PRP và DLR (PROCES-SG001X). Phần an toàn dùng AADvance (phân tán, mở rộng dần) hoặc Trusted (TMR), hai hệ Rockwell xếp trong danh mục hệ an toàn công cụ.
Nguồn
- Rockwell Automation, PROCES-BR003A-EN-P, Process Safety Solutions, 11/2015 — tr. 3, 4, 10
- Rockwell Automation, PROCES-SG001X-EN-P, PlantPAx Distributed Control System Selection Guide, System Release 5.50, 08/2026 — tr. 5–7, 16–17, 21–31, 37–39
- Rockwell Automation, PROCES-PP014B-EN-E, Trusted Safety System Triple Modular Redundant Controller, 10/2016
- Rockwell Automation, PD-T8030, Trusted OPC Server Package (Issue 24), 06/2016
- Rockwell Automation, ICSTT-RM407E-EN-P, AADvance Controller OPC Portal User Manual, 04/2018
- Rockwell Automation, Safety Instrumented Systems (trang danh mục)
- Rockwell Automation, AADvance Control System (trang sản phẩm)
- Rockwell Automation, Trusted fault tolerant SIS (trang sản phẩm)
- Rockwell Automation, AADvance-Trusted SIS Workstation 2.01 help, "Network Firewall"
- Rockwell Automation, AADvance-Trusted SIS Workstation 2.01 help, "Use CIP over EtherNet/IP"
- Rockwell Automation, AADvance-Trusted SIS Workstation 2.01 help, "Configure a Modbus Slave"
- NIST, SP 800-82r3, Guide to Operational Technology (OT) Security, 09/2023 — mục 2.3.7 Safety Systems
- IEC, IEC 61511-1:2016, Functional safety — Safety instrumented systems for the process industry sector, Part 1 (trang giới thiệu IEC Webstore)
- ISA, ISA-84 Series of Standards
- ISA, ANSI/ISA-18.2-2016
- ISA, ISA-101 Series
Đọc ngày 25/10/2026. Bài viết diễn giải, không trích nguyên văn; đọc tài liệu gốc trước khi thiết kế hoặc thao tác. Liên kết mở bản mới nhất trong thư viện tài liệu Rockwell; số trang ghi theo bản nêu trong bài.