ระบบประมวลผล TMR ที่เชื่อถือได้: การสร้างการควบคุมความปลอดภัยที่น่าเชื่อถือด้วยเทคโนโลยี ICS Triplex

อะไรคือ ระบบประมวลผล TMR ที่เชื่อถือได้ ?

ระบบประมวลผล TMR ที่เชื่อถือได้เป็นแพลตฟอร์มการประมวลผลหลักภายใน ICS TRIPLEX ระบบความปลอดภัยที่เชื่อถือได้ ซึ่งออกแบบมาเพื่อให้การควบคุม การตรวจสอบ และการจัดการข้อผิดพลาดที่เชื่อถือได้สำหรับแอปพลิเคชันอุตสาหกรรมที่มีความสำคัญสูง โดยทำหน้าที่เป็นตัวควบคุมหลักของระบบ ประมวลผลข้อมูลขาเข้าและขาออกที่แลกเปลี่ยนกับโมดูล I/O แบบอะนาล็อกและดิจิทัลผ่านบัสการสื่อสารระหว่างโมดูลแบบสามเท่า (TMR) ที่เชื่อถือได้

ต่างจากโปรเซสเซอร์ PLC แบบทั่วไป ระบบประมวลผล TMR ที่เชื่อถือได้ถูกออกแบบโดยเฉพาะสำหรับสภาพแวดล้อมที่ต้องการความปลอดภัยสูง ซึ่งการดำเนินงานอย่างต่อเนื่องและความพร้อมใช้งานสูงเป็นสิ่งจำเป็น อุตสาหกรรมต่างๆ เช่น น้ำมันและก๊าซ การผลิตไฟฟ้า การผลิตปิโตรเคมี และการผลิต ต่างพึ่งพาแพลตฟอร์มนี้เพื่อรักษาการดำเนินงานที่ปลอดภัยแม้ในกรณีที่เกิดข้อผิดพลาดของฮาร์ดแวร์

ด้วยการรวมฮาร์ดแวร์ที่มีความซ้ำซ้อน ระบบวินิจฉัยอัจฉริยะ และการรองรับการเขียนโปรแกรมตามมาตรฐาน IEC 61131-3 ระบบนี้ช่วยลดเวลาหยุดทำงานให้น้อยที่สุด ขณะเดียวกันก็รับประกันความสมบูรณ์ของกระบวนการในสภาพแวดล้อมอุตสาหกรรมที่มีความต้องการสูง

สถาปัตยกรรมของ ระบบประมวลผล TMR ที่เชื่อถือได้

หนึ่งในคุณลักษณะสำคัญของ ระบบประมวลผล TMR ที่เชื่อถือได้ คือสถาปัตยกรรมแบบสามเท่าที่มีความซ้ำซ้อน (Triple Modular Redundant) ซึ่ง โมดูลโปรเซสเซอร์ ประกอบด้วยส่วนประมวลผลอิสระสามส่วนที่ทำงานพร้อมกันแบบประสานจังหวะอย่างแม่นยำ (lock-step synchronization)

แต่ละโซนประมวลผลประกอบด้วย:

โปรเซสเซอร์ Motorola PowerPC

EPROM

DRAM

แฟลช ROM

NVRAM

อินพุต/เอาต์พุตแบบแมปหน่วยความจำ (Memory-mapped I/O)

วงจรตัดสินใจเฉพาะทาง (Dedicated voter circuits)

ตรรกะตรวจจับข้อผิดพลาด (Fault detection logic)

แทนที่จะอาศัยเพียงหนึ่งชุด CPU โปรเซสเซอร์ทั้งสามตัวประมวลผลโปรแกรมแอปพลิเคชันแบบเดียวกันพร้อมกันทั้งหมด ผลลัพธ์ของโปรเซสเซอร์แต่ละตัวจะถูกเปรียบเทียบอย่างต่อเนื่องโดยใช้กลไกการลงคะแนนเสียงแบบสองในสาม (2oo3) หากโปรเซสเซอร์ตัวใดตัวหนึ่งให้ผลลัพธ์ที่ไม่สอดคล้องกันเนื่องจากข้อบกพร่องของฮาร์ดแวร์หรือการรบกวนชั่วคราว โปรเซสเซอร์อีกสองตัวที่เหลือจะยังคงรักษาการดำเนินงานของระบบให้ถูกต้องไว้ได้ ขณะเดียวกันก็แยกส่วนที่ผิดพลาดออกจากระบบโดยอัตโนมัติ

การออกแบบนี้ช่วยเพิ่มความน่าเชื่อถือของระบบอย่างมาก เนื่องจากสามารถตรวจจับข้อบกพร่องที่เกิดขึ้นชั่วคราว ข้อบกพร่องที่เกิดซ้ำๆ และข้อบกพร่องถาวรได้โดยไม่ทำให้การดำเนินงานของโรงงานหยุดชะงัก

การสื่อสารระหว่าง โมดูลโปรเซสเซอร์ และแชสซีระยะไกลเกิดขึ้นผ่านโมดูลอินเทอร์เฟซที่เชื่อถือได้ (Trusted Interface Modules) หรือโมดูลอินเทอร์เฟซขยาย (Expander Interface Modules) ซึ่งช่วยให้สามารถสร้างสถาปัตยกรรมความปลอดภัยแบบกระจายที่ปรับขนาดได้สำหรับสถานที่อุตสาหกรรมขนาดใหญ่

คุณสมบัติสำคัญของ ระบบประมวลผล TMR ที่เชื่อถือได้

ระบบโปรเซสเซอร์ TMR ที่เชื่อถือได้ (Trusted TMR Processor System) รวมเทคโนโลยีหลายประเภทที่ช่วยยกระดับความสามารถในการใช้งาน การวินิจฉัย และความปลอดภัยในการปฏิบัติงาน

การสำรองข้อมูลแบบสามเท่า (Triple Modular Redundancy)

โปรเซสเซอร์สามตัวที่ทำงานแบบซิงโครไนซ์กัน โปรเซสเซอร์ ประมวลผลตรรกะเดียวกันอย่างต่อเนื่อง ทำให้สามารถปิดบังข้อผิดพลาดโดยอัตโนมัติผ่านกลไกการลงคะแนนเสียงแบบสองในสาม (2oo3)

ความทนทานต่อข้อผิดพลาดของฮาร์ดแวร์

สถาปัตยกรรมการทนต่อข้อผิดพลาดของฮาร์ดแวร์ (HIFT) ช่วยให้สามารถตอบสนองได้อย่างรวดเร็วมาก การตรวจจับข้อผิดพลาด โดยไม่พึ่งพาการวินิจฉัยด้วยซอฟต์แวร์เพียงอย่างเดียว

การจัดการข้อผิดพลาดอัตโนมัติ

The โปรเซสเซอร์ ระบุ แยก และจัดการข้อผิดพลาดของฮาร์ดแวร์โดยอัตโนมัติ พร้อมลดสัญญาณเตือนที่ไม่จำเป็นซึ่งอาจรบกวนผู้ปฏิบัติงาน

การเปลี่ยนโมดูลขณะระบบยังทำงานอยู่ (Hot Module Replacement)

สามารถเปลี่ยนโมดูลโปรเซสเซอร์ที่เสียหายได้โดยไม่ต้องโหลดโปรแกรมประยุกต์ใหม่ ช่วยให้เจ้าหน้าที่บำรุงรักษาลดการหยุดชะงักของการผลิตให้น้อยที่สุด

รองรับการเขียนโปรแกรมตามมาตรฐาน IEC 61131-3

วิศวกรสามารถพัฒนากลยุทธ์การควบคุมโดยใช้ภาษาโปรแกรมอุตสาหกรรมมาตรฐาน ทำให้การพัฒนาแอปพลิเคชันและการบำรุงรักษาในระยะยาวเป็นไปอย่างง่ายดาย

สร้าง การวินิจฉัย

ไฟแสดงสถานะบนแผงหน้า (Front-panel LED indicators) บันทึกประวัติเหตุการณ์ (event history logs) และอินเทอร์เฟซการวินิจฉัยแบบ RS232 ให้ข้อมูลโดยละเอียดสำหรับการแก้ไขปัญหาและการตรวจสอบระบบ

การใช้งานในอุตสาหกรรม

The ICS TRIPLEX แพลตฟอร์มที่เชื่อถือได้ได้รับการนำไปใช้อย่างแพร่หลายในอุตสาหกรรมที่ความปลอดภัยของกระบวนการไม่สามารถยอมให้ลดลงได้

การใช้งานทั่วไปรวมถึง:

ระบบปิดฉุกเฉิน (ESD)

ระบบตรวจจับเพลิงและก๊าซ

ระบบป้องกันกังหัน

ระบบจัดการเตาเผา

ระบบควบคุมความปลอดภัยของกระบวนการ (SIS)

การตรวจสอบกระบวนการสำคัญ

การควบคุมความปลอดภัยแบบครอบคลุมทั้งโรงงาน

แท่นขุดเจาะน้ำมันและก๊าซธรรมชาติในทะเล

โรงกลั่น

โรงงานแปรรูปเคมี

สถานที่ผลิตไฟฟ้า

ในแอปพลิเคชันเหล่านี้ แม้แต่ความล้มเหลวของคอนโทรลเลอร์เพียงช่วงสั้นๆ ก็อาจก่อให้เกิดความเสียหายต่ออุปกรณ์ สูญเสียการผลิต หรืออันตรายต่อความปลอดภัยได้ ซึ่ง ระบบประมวลผล TMR ที่เชื่อถือได้ ให้ความสามารถในการใช้งานได้สูงตามที่จำเป็น เพื่อรักษาการป้องกันอย่างต่อเนื่อง

หลักการทำงานของระบบโปรเซสเซอร์ TMR ที่เชื่อถือได้

เมื่อมีการจ่ายไฟ โปรเซสเซอร์จะดำเนินลำดับการเริ่มต้นอย่างละเอียดเพื่อยืนยันสภาพของทรัพยากรภายใน โดยจะทำการทดสอบหน่วยความจำ หน่วยประมวลผลทางคณิตศาสตร์ ตัวจับเวลา บัสการสื่อสาร และวงจรตรวจจับข้อผิดพลาด ก่อนที่ระบบจะเข้าสู่โหมดการปฏิบัติงานปกติ

ระหว่างการใช้งานจริง ข้อมูลที่ได้รับจากบัสการสื่อสารระหว่างโมดูลที่เชื่อถือได้จะถูกตรวจสอบอย่างต่อเนื่องโดยวงจรตรวจสอบแบบสามชุด (voter circuits) โดยแต่ละธุรกรรมข้อมูลจะผ่านการเปรียบเทียบแบบสองในสาม (two-out-of-three) เพื่อให้มั่นใจในความถูกต้องก่อนที่ข้อมูลจะถูกส่งไปยังหน่วยความจำของโปรเซสเซอร์

ทั้งสามตัวเลือก โปรเซสเซอร์ ดำเนินการโปรแกรมประยุกต์อย่างสมบูรณ์แบบในภาวะซิงโครไนซ์ที่แม่นยำ ตัวแปรกระบวนการ การคำนวณภายใน และคำสั่งโปรแกรมจะถูกเปรียบเทียบอย่างต่อเนื่องข้ามช่องทางของโปรเซสเซอร์แต่ละตัว เพื่อให้มั่นใจว่าความเบี่ยงเบนใดๆ จะถูกตรวจจับได้ทันที

จากนั้นข้อมูลขาออกจะถูกส่งไปยังโมดูลขาออก ซึ่งวงจรการลงคะแนนเสียงเพิ่มเติมจะตรวจสอบความสอดคล้องก่อนที่สัญญาณจะถูกส่งไปยังอุปกรณ์ภาคสนาม

หากโปรเซสเซอร์ตัวหนึ่งเริ่มสร้างข้อมูลที่ไม่สอดคล้องกัน โปรเซสเซอร์ที่เหลือจะยังคงทำงานต่อไปในโหมด 2oo3 ในขณะที่โปรเซสเซอร์ที่ผิดพลาดจะถูกแยกออก และเมื่อเป็นไปได้จะทำการซิงโครไนซ์ใหม่โดยอัตโนมัติ แนวทางนี้ช่วยให้ระบบสามารถดำเนินการต่อไปอย่างไม่หยุดชะงักแม้จะเกิดความล้มเหลวของฮาร์ดแวร์รายบุคคล

การตรวจจับข้อผิดพลาด การวินิจฉัย และการบำรุงรักษา

หนึ่งในข้อได้เปรียบที่สำคัญที่สุดของ ระบบประมวลผล TMR ที่เชื่อถือได้ คือความสามารถในการวินิจฉัยอย่างครอบคลุม

การทดสอบตัวเองแบบต่อเนื่อง

โปรเซสเซอร์จะทำการทดสอบฮาร์ดแวร์โดยอัตโนมัติเป็นระยะๆ สำหรับส่วนประกอบต่อไปนี้

ไมโครโปรเซสเซอร์

หน่วยจัดการหน่วยความจำ

วงจรนาฬิกา

บัสการสื่อสาร

ตรรกะการตรวจจับข้อผิดพลาด

การทดสอบเหล่านี้ถูกจัดกำหนดเวลาโดยระบบปฏิบัติการแบบเรียลไทม์ โดยไม่รบกวนฟังก์ชันการควบคุมปกติ

โหมดการบำรุงรักษา

โหมดบำรุงรักษาอนุญาตให้วิศวกรอัปเดตซอฟต์แวร์แอปพลิเคชันได้ ขณะยังคงความสามารถในการดำเนินงานส่วนใหญ่ไว้ สถานีงานด้านวิศวกรรมสามารถดาวน์โหลดโปรแกรมใหม่ ปรับเปลี่ยนตรรกะการควบคุม และดำเนินการเปลี่ยนแปลงการตั้งค่าได้อย่างมีประสิทธิภาพ

อินเตอร์เฟซสำหรับการวินิจฉัย

พอร์ตการวินิจฉัยแบบ RS232 แบบบูรณาการที่ทำงานที่ความเร็ว 19.2 กิโลบิตต่อวินาที ให้การสื่อสารโดยตรงกับซอฟต์แวร์ด้านวิศวกรรมสำหรับการกำหนดค่าระบบ การวิเคราะห์ข้อผิดพลาด และกิจกรรมการบำรุงรักษา ไฟแสดงสถานะ (LED) บนแผงหน้าช่วยให้การแก้ไขปัญหาเฉพาะหน้าทำได้ง่ายยิ่งขึ้น โดยแสดงสุขภาพของโปรเซสเซอร์และสถานะการทำงาน

บันทึกข้อผิดพลาด

ข้อผิดพลาดทุกครั้งที่ตรวจพบจะถูกบันทึกพร้อมกับเวลาที่เกิดขึ้นในประวัติข้อผิดพลาดของโปรเซสเซอร์ ข้อมูลนี้ช่วยสนับสนุนทีมบำรุงรักษาในการระบุปัญหาที่เกิดซ้ำและปรับปรุงความน่าเชื่อถือของระบบในระยะยาว

การจัดการข้อผิดพลาดและการกู้คืนระบบ

The ระบบประมวลผล TMR ที่เชื่อถือได้ ถูกออกแบบมาเพื่อตอบสนองอย่างชาญฉลาดต่อทั้งความล้มเหลวของฮาร์ดแวร์ระดับเล็กน้อยและระดับรุนแรง

หากเกิดความล้มเหลวของโปรเซสเซอร์ครั้งที่สองภายในโมดูลเดียวกัน โปรเซสเซอร์จะแยกตัวเองออกจากระบบส่วนที่เหลือโดยอัตโนมัติ เพื่อป้องกันไม่ให้เกิดการควบคุมที่ผิดพลาด อินเทอร์เฟซภายนอกจะกลับไปยังสถานะปลอดภัยที่กำหนดไว้ล่วงหน้า ในขณะที่ข้อมูลการวินิจฉัยยังคงถูกเก็บรักษาไว้ในหน่วยความจำแบบไม่ลบเลือน (non-volatile memory) ตามที่เป็นไปได้

ในการจัดโครงสร้างแบบทำงาน/สำรอง (active/standby) หากเกิดความล้มเหลวของส่วนหนึ่งของโปรเซสเซอร์ จะทำให้เกิดการเปลี่ยนไปใช้โปรเซสเซอร์สำรองโดยอัตโนมัติ ซึ่งช่วยให้การดำเนินงานไม่หยุดชะงัก ภายใต้เงื่อนไขของระบบที่เอื้ออำนวย

ในระหว่างที่แหล่งจ่ายไฟฟ้าเกิดการหยุดชะงัก สัญญาณเตือนล่วงหน้าจะกระตุ้นโหมดปิดไฟ (Power Off mode) ของโปรเซสเซอร์ ข้อมูลการปฏิบัติงานที่สำคัญ ประวัติความผิดปกติ แอปพลิเคชันของผู้ใช้ และข้อมูลสถานะของโรงงานจะยังคงถูกจัดเก็บอย่างปลอดภัยในหน่วยความจำแบบไม่ลบเลือน (non-volatile memory) ทำให้สามารถกู้คืนการทำงานได้อย่างรวดเร็วทันทีที่ไฟฟ้ากลับมาเป็นปกติ

บทสรุป

The ระบบประมวลผล TMR ที่เชื่อถือได้ เป็นหนึ่งในแพลตฟอร์มการประมวลผลด้านความปลอดภัยที่เชื่อถือได้มากที่สุดสำหรับระบบอัตโนมัติอุตสาหกรรมยุคใหม่ สำหรับองค์กรที่ใช้งานระบบความปลอดภัย ICS Triplex ระบบโปรเซสเซอร์ TMR ที่น่าเชื่อถือ (Trusted TMR Processor System) ให้พื้นฐานที่ผ่านการพิสูจน์แล้วสำหรับการปิดระบบฉุกเฉิน การป้องกันอัคคีภัยและก๊าซ ควบคุมเทอร์บิน และแอปพลิเคชันอื่นๆ ที่ต้องการความน่าเชื่อถือสูง ด้วยการรวมกันของระบบประมวลผลแบบซ้ำซ้อน การเขียนโปรแกรมตามมาตรฐาน และคุณสมบัติด้านการบำรุงรักษาขั้นสูง ทำให้สถานประกอบการอุตสาหกรรมสามารถเพิ่มประสิทธิภาพด้านความปลอดภัยในการดำเนินงานสูงสุด พร้อมลดเวลาหยุดทำงานและต้นทุนการบำรุงรักษา

คำถามที่ 1: Trusted TMR Processor System คืออะไร

A: Trusted TMR Processor System คือหน่วยประมวลผลกลางของระบบความปลอดภัย ICS TRIPLEX Trusted ซึ่งให้การควบคุม การตรวจสอบ และการสื่อสารที่เชื่อถือได้สำหรับแอปพลิเคชันอุตสาหกรรมที่เกี่ยวข้องกับความปลอดภัยอย่างยิ่ง

คำถามที่ 2: Trusted TMR Processor System รับประกันความสามารถในการทนต่อความผิดพลาดได้อย่างไร

A: ใช้ระบบความซ้ำซ้อนแบบสามชุด (Triple Modular Redundancy: TMR) ที่ประกอบด้วยโปรเซสเซอร์สามตัวที่ทำงานแบบซิงโครไนซ์กัน และกลไกการลงคะแนนเสียงแบบสองในสาม (two-out-of-three: 2oo3) เพื่อตรวจจับและแยกข้อผิดพลาดออกอย่างมีประสิทธิภาพ ขณะยังคงรักษาการดำเนินงานอย่างต่อเนื่อง

Q3: อุตสาหกรรมใดบ้างที่นิยมใช้ ระบบประมวลผล TMR ที่เชื่อถือได้ ?

A: ใช้กันอย่างแพร่หลายในอุตสาหกรรมน้ำมันและก๊าซ โรงผลิตไฟฟ้า การแปรรูปสารเคมี โรงงานปิโตรเคมี และอุตสาหกรรมอื่นๆ ที่ต้องการระบบควบคุมความปลอดภัยที่มีความน่าเชื่อถือสูง

Q4: คุณสมบัติหลักของระบบโปรเซสเซอร์ TMR ที่เชื่อถือได้คืออะไร

A: คุณสมบัติสำคัญ ได้แก่ ความสามารถในการทนต่อข้อผิดพลาดแบบ TMR สถาปัตยกรรม HIFT การเปลี่ยนโมดูลแบบร้อน (hot module replacement) การรองรับการเขียนโปรแกรมตามมาตรฐาน IEC 61131-3 การวินิจฉัยในตัว และการจัดการข้อผิดพลาดโดยอัตโนมัติ

Q5: ระบบโปรเซสเซอร์ TMR ที่เชื่อถือได้นี้สนับสนุนการบำรุงรักษาและการวินิจฉัยข้อขัดข้องอย่างไร

A: ระบบให้การทดสอบตนเองอย่างต่อเนื่อง บันทึกเหตุการณ์ข้อผิดพลาดพร้อมระบุเวลาอย่างแม่นยำ แสดงสถานะผ่านตัวบ่งชี้บนแผงหน้า และมีพอร์ตการวินิจฉัยแบบ RS232 เพื่อการตรวจสอบ การบำรุงรักษา และการวินิจฉัยข้อผิดพลาดอย่างมีประสิทธิภาพ

แหล่งที่มา

https://literature.rockwellautomation.com/idc/groups/literature/documents/rm/icstt-rm251_-en-p.pdf

(หากมีการละเมิดลิขสิทธิ์ใด ๆ โปรดติดต่อฉันเพื่อลบบทความนี้)