3 sprawdzone sposoby, jak minimalizować koszty awarii systemu sterowania

Kontakt w sprawie artykułu: Piotr Adamczyk - 2018-07-02

Z tego artykułu dowiesz się:

Jakie są stosowane typy redundancji
Jakie są możliwości kontrolera CPE400
Do jakich aplikacji stosuje się dany typ redundancji
Poznasz różnice, wady i zalety typów redundancji

Brak uzasadnienia biznesowego dla inwestycji dodatkowych kilkunastu tysięcy złotych w tradycyjny system redundantny wymagało poszukiwania przez użytkowników końcowych innych alternatywnych rozwiązań, które w razie awarii układu sterowania zminimalizują wynikające z niego koszty.

Typy redundancji – co i gdzie się stosuje?

W zależności od typu obiektu i charakteru prowadzonego procesu, klienci stosują 3 typy redundancji: Cold, Warm oraz Hot. Pierwszy z nich (Cold) to nic innego jak zapasowa jednostka centralna na lokalnym magazynie u użytkownika, którą wykorzystuje się, gdy uszkodzeniu ulega jednostka główna. Wada takiego rozwiązania to zatrzymanie produkcji na czas usunięcia awarii. To jednak najbardziej ekonomiczna forma redundancji.

Drugi typ redundancji (Warm) to układ podwojonych jednostek centralnych, ale bez synchronizacji danych procesowych. Nadaje się do aplikacji, gdzie dopuszcza się pojawianie stanów nieustalonych w razie awarii. Układ taki wymaga zainwestowania środków w drugi kontroler.

Trzeci typ redundancji (Hot) to układ podwojonych jednostek centralnych z synchronizacją danych pomiędzy nimi. Taka architektura gwarantuje, że moment przełączenia pomiędzy kontrolerami jest niezauważalny z punktu widzenia procesu produkcyjnego. Ten model jest najdroższy, ale daje największe korzyści użytkownikowi.

	REDUNDANCJA COLD	REDUNDANCJA WARM	REDUNDANCJA HOT
Zasada funkcjonowania	Układ pracuje jako system sterowania Simplex (z jednym kontrolerem), Użytkownik na lokalnym magazynie posiada dodatkową zaprogramowaną jednostkę. W razie awarii wymienia się uszkodzoną jednostkę na nową.	Układ pracuje jako system redundantny, ale bez synchronizacji danych pomiędzy kontrolerami. W chwili awarii kontrolera głównego następuje automatyczne przełączenie na kontroler zapasowy.	Układ pracuje jako redundantny z pełną synchronizacją danych pomiędzy kontrolerami oraz monitorowaniem statusu pracy jednostek. W chwili awarii kontrolera głównego następuje automatyczne przełączanie na kontroler zapasowy z zagwarantowaniem bezuderzeniowości (brak występowania stanów nieustalonych) w chwili przełączenia sterowania.
Zalety	Niskie koszty redundancji (inwestycja tylko w dodatkową jednostkę centralną)	Automatyczne przełączenie na kontroler rezerwowy Relatywnie niskie koszty redundancji (koszty dodatkowego kontrolera) Brak zatrzymania produkcji na czas awarii	Bezuderzeniowe przełączenie na kontroler rezerwowy Nie występuje zatrzymanie pracy obiektu w chwili awarii Redundancja wielopoziomowa (moduły i magistrale komunikacyjne, jednostki centralne, zasilacze systemowe) Bardzo prosty serwis systemu Bardzo bogata diagnostyka on-line całego układu
Wady	Awaria powoduje zatrzymanie systemu sterowania na czas wymiany jednostki centralnej. Nowa jednostka nie wie, w jakim momencie doszło do uszkodzenia sterownika głównego. Brak danych procesowych z chwili awarii – nowa jednostka nie wie, w jakim momencie doszło do uszkodzenia sterownika głównego i jakie wartości procesowe były w rejestrach sterownika. Zaczyna pracować na wartościach zadanych podczas programowania. Konieczność podtrzymania pamięci RAM w jednostce (wymagana sprawna bateria) lub kopia programu w pamięci Flash. Występują stany nieustalone w chwili uruchomienia systemu na zapasowej jednostce centralnej.	Przełączenie na kontroler zapasowy powoduje powstanie stanów nieustalonych – jednostka zapasowa zaczyna sterować procesem na bazie danych, które sama wypracowała Jednostka rezerwowa nie wie, jakie dane miała jednostka główna w chwili awarii Układ zajmuje więcej miejsca w szafie sterującej	Wysokie koszty systemu – konieczność inwestowania w drugi kontroler oraz dedykowane moduły do synchronizacji danych procesowych oraz procesory dedykowane do redundancji Układ zajmuje więcej miejsca w szafie sterującej.
Do jakich aplikacji się nadaje	Aplikacje niekrytyczne, w których pojawiający się stan nieustalony nie powoduje dodatkowych awarii na obiekcie. Aplikacje, w których dopuszcza się krótkie wyłączenia systemu sterowania	Aplikacje wolno i szybkozmienne, których nie można zatrzymać, ale dopuszcza się wystąpienie stanów nieustalonych w chwili awarii	Aplikacje krytyczne wolno i szybkozmienne, których zatrzymanie jest niedopuszczalne z uwagi na bardzo duże koszty wynikające z nieplanowanego przestoju.
Koszty	Koszt inwestycji w dodatkową jednostkę centralną Koszty związane z zatrzymaniem produkcji w czasie awarii	Koszty inwestycji w dodatkowy system sterowania (bez modułów synchronizacji danych) Koszt zainstalowania większych szaf sterujących Koszt programowania systemu i zachowania w razie wystąpienia awarii	Koszty inwestycji w dodatkowy system sterowania oraz moduły synchronizacji danych Koszt zainstalowania większych szaf sterujących Koszt programowania systemu i zachowania w razie wystąpienia awarii

CPE400. System Hot-Standby w cenie Cold-Standby

Jak wspomniano wcześniej, systemy Hot-Standby wymagają dedykowanych jednostek centralnych, które mogą pracować w układzie redundancji. Najczęściej spotykana architektura to modułowy kontroler PAC, na kasecie którego montowane są kolejno: zasilacze systemowe, jednostki centralne, moduły synchronizacji danych oraz moduły komunikacyjne.

W celach redundancji taki kontroler należy podwoić i taka budowa systemu powoduje, że architektura systemu jest znacząco wyższa w porównaniu do tradycyjnych systemów Simplex. Z tego powodu systemy o architekturze Hot stosowane były wyłącznie w aplikacjach przemysłowych, gdzie inwestycję w taki system można było łatwo uzasadnić biznesowo. To powoduje, że systemy te stosowane są najczęściej w aplikacjach o znaczeniu krytycznym, a więc takich jak energetyka, wod-kan, petrochemia, chemia.

Nowy kontroler, który pojawił się w ofercie GE Automation&Controls o numerze katalogowym IC695CPE400 to rozwiązanie o budowie kompaktowej, a więc integrujące wszystkie niezbędne elementy do uruchomienia systemu: zasilacz, jednostkę centralną oraz moduły komunikacyjne.

Szereg zintegrowanych portów Ethernet (a jest ich aż 6 zorganizowanych w 4 niezależnych sieciach Ethernet) pozwala wykorzystać je w różnym celu: do komunikacji z układami wejść/wyjść, systemem SCADA, chmurą obliczeniową GE i w końcu w celu synchronizacji jednostek ze sobą. Ten ostatni element w połączeniu z obsługą komunikacji Profinet RING z MRP powoduje, że CPE400 może pracować w architekturze redundantnej klasy Hot-Standby Redundancy. I to, co istotne – znacząco ogranicza koszty inwestycyjne, co jak wspomnieliśmy wcześniej było sporą wadą takich układów HSR.

CPE400 jest zatem standardową jednostką centralną, która może pracować w systemach Simplex z możliwością rozbudowy do układu redundancji jednostek centralnych pracujących w gorącej rezerwacji. CPE400 to kontroler ze zintegrowanym PACengine, co oznacza pełną kompatybilność ze wszystkimi urządzeniami z oferty GE. Inwestycja w system redundancji oparty o CPE400 wymaga zatem zainwestowania tylko w dodatkową jednostkę centralną, jak w przypadku systemów Cold-Standby. Konieczne też będzie spięcie jednostek ze sobą przy pomocy wbudowanych interesów komunikacyjnych, które w tym przypadku pracują w redundancji. To znacząco ogranicza czas oraz koszty wdrożenia systemu.

Jak z systemu Simplex zrobić system Redundant?

Konfiguracja systemu redundancji w oparciu o CPE400 jest bardzo prosta. Wystarczą 3 kroki, aby z pracującego, pojedynczego systemu zrobić układ redundantny (zakładamy, że pojedynczy kontroler obsługuje układy I/O w oparciu o sieć Profinet).

Krok 1	W parametrach projektu należy zaznaczyć opcję Enable Redundancy na True. To spowoduje automatyczne utworzenie drugiej konfiguracji sprzętowej dla jednostki redundantnej. Warto ten krok wykonać nawet wtedy, gdy konfigurujemy system simplex. Pozwoli on na dodanie kontrolera redundantnego na ruchu w późniejszym czasie.
Krok 2	Kolejny krok to konfiguracja samej redundancji. Tutaj konieczne jest ustalenie listy zmiennych synchronizowanych (Transfer List) oraz konfiguracja trybu pracy kontrolera Profinet jako Manager w kontrolerze oraz jako Client w układach Profinet IO. Konieczne jest także zaznaczenie w układach Profinet IO, że będą pracowały w układzie redundancji – wystarczy w parametrach wybrać opcję HSB Redundancy. Należy mieć pewność, ze zastosowane układy IO mogą pracować w systemie sterowania o architekturze redundantnej. W ofercie GE taką możliwość dają RSTi-EP IO, VersaMax IO, RX3i IO oraz PAC8000 IO.
Krok 3	Kolejny krok to przekopiowanie konfiguracji sprzętowej oraz IO z kontrolera głównego do zapasowego. W tym celu w Proficy Machine Edition zaimplementowane są gotowe mechanizmy, które kopiują w sposób inteligentny konfigurację. Jedyna rzecz, którą będzie musiał zrobić programista, to ustawić adres IP jednostki zapasowej. I to tyle. Teraz konfigurację należy wgrać do obu kontrolerów oraz połączyć kontrolery ze sobą. Cała konfiguracja nie zajmie więcej niż 30 minut.

Jak programować system redundantny

W przypadku systemów redundancji od GE Automation&Controls nie ma znaczenia, czy konfigurujemy system simplex czy redundantny. Program sterujący tworzymy dokładnie tak samo, więc z punktu widzenia algorytmu do sterowania procesu nie ma to żadnego znaczenia. Indywidualnie należy tylko skonfigurować informacje diagnostyczne – tutaj każdy kontroler wypracowuje własną diagnostykę, która wykorzystywana jest w analizie bieżącego stanu oraz podczas przełączania kontrolera na zapasowy.

W bibliotece bloków funkcyjnych PME znajdziemy gotowe bloki funkcyjne, które dają zwrotną informację diagnostyczną dotyczącą wszystkich urządzeń pracujących na sieci Profinet – dzięki nim bardzo szybko możemy na systemie SCADA odwzorować architekturę naszego systemu i śledzić, jak pracuje. Komunikacja z systemem SCADA również nie stanowi żadnego problemu – a to za sprawą mechanizmu Redundant IP Address. Dzięki niemu system SCADA widzi układ redundantny jako pojedynczy kontroler i nie ma potrzeby konfiguracji dodatkowych driverów w celu obsługi systemu wysokiej dostępności – Redundant IP Address jest aktywny tylko w jednostce, która steruje procesem.

Ograniczenia CPE400 w stosunku do tradycyjnych systemów HSB

Zaletą a zarazem ograniczeniem w CPE400 może być kompaktowa konstrukcja, której nie można rozbudować. Jeśli w systemie musimy obsługiwać dodatkowe moduły komunikacyjne inne niż Ethernet, CPE400 może okazać się niewystarczający. Kolejnym ograniczeniem jest szybkość wykrywania uszkodzenia kontrolera głównego i przełączania na redundantny. W tradycyjnych systemach realizowane jest to w czasie jednego cyklu programu, a w CPE400 czas ten wynosi 300-400 ms. Wynika on z konieczności synchronizacji danych przy pomocy łącza Ethernet, która jest wolniejsza niż synchronizacja po światłowodzie.

Na czas przełączenia kontroli na kontroler zapasowy wyjścia zostają zamrożone, a kontroler redundantny przejmie kontroler nad systemem w sposób bezuderzeniowy. To adresuje CPE400 do systemów krytycznych, ale wolnozmiennych, a więc takich jak wod-kan, chemia, transport, hutnictwo, górnictwo. Ostatnim ograniczeniem ciężkim do osiągnięcia w większości aplikacji jest maksymalna ilość obsługiwanych węzłów Profinet IO – w CPE400 jest to 20 węzłów. Doświadczenie pokazuje, że nawet duże systemy ograniczają się do 10-15 węzłów Profinet IO.