Redundancia y Disponibilidad

Utilizar la redundancia de hardware o de equipos es uno de los recursos más usados cuando se necesita tolerancia a fallos. Mayor tolerancia a fallas representa mayor disponibilidad de la planta y más seguridad operativa, siendo ambos aspectos importantes. La disponibilidad se relaciona directamente al tiempo de funcionamiento y à rentabilidad del negocio. La seguridad operativa se refiere a la preservación de los activos y de la vida de las personas cercanas al proceso.

El SYSTEM302 fue concebido teniendo en cuenta el tratamiento para la redundancia en varios niveles de sus componentes de hardware y software. O sea, es una arquitectura de sistema concebida para ser redundante. De esta manera, el System302 se viene consolidando como solución de sistema para mayor disponibilidad y seguridad de funcionamiento. En este artículo se resaltan algunos aspectos para presentar mejor la forma de tratarse la redundancia en el System302 y lo que se puede esperar de esto.

Redundancia Hot Standby

Los controladores DFI302 emplean la estrategia de redundancia Hot Standby. En esta estrategia, el controlador primario es lo que ejecuta todas las tareas y el controlador secundario es aquel que, continuadamente sincronizado con el primario, permanece listo para asumir todo el proceso si por ventura ocurra alguna falla en el controlador primario. El proceso de cambio de función de secundario al primario, ocurre sin sobresaltos y de manera automática, o sea, no requiere ninguna acción del operador de la planta.

Actualmente los controladores que soportan redundancia son: los DF62, DF63, DF73, DF75 e DF89.

Cambio de función de los controladores.

A través del cambio de función (conmutación o switch over) la redundancia de los controladores DFI302 puede detectar y compensar los diferentes tipos de fallas:

Fallas generales

• Falla de hardware.
• Falla de alimentación.
• Remoción del controlador de  la estante (rack).

Fallas de interfaz / mala conducción

• Cuando una de las interfaces del controlador primario falla.
• Falla de ambas interfaces Ethernet (falla de los cables o hardware).
• Falla de un canal H1 (DF62/DF63, falla de cable o hardware).
• Falla en la comunicación Modbus cuando funcionar como amo (DF62/ DF63, falla de cable o  hardware).

Redundancia de la red Ethernet de automatización

Los controladores DFI302 tienen dos puertas Ethernet (excepto el DF62) posibilitando una topología redundante (ver figura al lado). Si hay falla de algún elemento de red (cables o puertas Ethernet), esta será compensada por el cambio de camino de red o de puerta Ethernet y no por la conmutación de los controladores. Entonces, la redundancia de red cubre una falla de camino, sea un cable o una puerta Ethernet (del controlador, del cambio o de la estación de trabajo).

 

Figura

Arquitectura básica de redundancia para controladores DFI302 con dos puertas Ethernet

Funcionalidades abarcadas por la redundancia

Sea cualquiera El tipo de falla ocurrida, la redundancia en el sistema garantizará el funcionamiento sin sobresaltos de los siguientes aspectos del sistema:

• Supervisión por OPC;
• Operaciones solicitadas por las estaciones de trabajo (downloads de configuración y parameterización);
• Control discreto y control continuado;
• Control centralizado en los controladores (con bloques funcionales o FFB/Ladder);
• Control distribuido o parcialmente distribuido en el campo (lazos H1 entre equipos de campo y entre controlador y equipos de campo);
• Lazos HSE para integración de control entre diferentes pares de controladores;
• Acceso a tarjetas de entrada y salida convencionales (4 a 20 mA);
• Supervisión y control por Modbus (integración con sistemas legados);

Solo una falla es soportada a la vez, sea del controlador o de la red. O sea, en caso de falla, es necesario repararla para que el sistema pueda cubrir otra falla (redundancia disponible nuevamente).

Transparencia operativa

La redundancia en los configuradores Syscon y LogicView para FFB es una forma transparente al usuario, o sea, el par redundante representa un único equipo. Este es el concepto conocido por transparencia operativa de la redundancia. En la práctica, el configurador siempre estará conectado al controlador que esté como primario en el momento. Así, todas las acciones de download o configuración realizadas se destinarán al primario actual. El sincronismo implementado en el fimware de los controladores actualiza constantemente el secundario.

Definición automática de funciones durante la inicialización

Los controladores definen las funciones de Primario o Secundario de manera autónoma durante la inicialización, siendo desnecesaria cualquiera  acción o elección del usuario.

Diagnóstico especifico para Primario y Secundario vía SNMP       

Como complemento a la transparencia operativa, a través de SNMP (Simple Network Management Protocol) es posible accederse a atributos de diagnósticos específicos de cada controlador que forma el par redundante. Diferentes tipos de fallas, como las de interfaces de comunicación (fallas de Mala Condición),son indicadas mismo que ocurran en el controlador secundario permitiendo el mantenimiento proactivo de la redundancia. A través del SNMP OPC Server del System302 todas las informaciones de estatus y diagnóstico de redundancia están disponibles para presentarse en cualquier aplicativo de supervisión o IHM que sea cliente OPC.

Redundancia de canal de sincronismo

Los controladores DFI302 tienen por característica distinta la redundancia de canal de sincronismo, lo que significa más disponibilidad de la propia redundancia el equipo. El sincronismo entre los controladores ocurre por la puerta en serie sobretodo durante la inicialización. En condición de regime, el sincronismo se realiza a través de las puertas Ethernet, lo que garantiza mayor tasa de transferencia. En caso de falla de la comunicación en una puerta Ethernet, el sincronismo se establece por la otra puerta.

Facilidad de utilización

Los procedimientos para la fase de arranque, funcionamiento y mantenimiento son tan sencillas cuanto para sistemas no redundantes, ahorrando tiempo durante los principales casos de uso:

Arranque del sistema

Un solo download de configuración es suficiente para configurar el par de controladores. Toda la configuración recibida por el primario se transfiere para el secundario a través del canal de sincronismo.

Sustitución de un módulo controlador con falla

No es necesario hacer un nuevo download de configuración o la intervención del usuario. El nuevo controlador inserido es automáticamente reconocido, recibiendo toda la configuración y parameterización en línea del controlador en operación, a partir del canal de sincronismo redundante.

 Adicionar controladores redundantes a un sistema no redundante

Un sistema no redundante en operación puede tener controladores redundantes acrecentados posteriormente sin interrupción del proceso. El proceso de migración es simple, utilizando el mismo principio de la sustitución de un controlador con falla.

Actualizar la versión de firmware de los controladores sin interrupción

Es posible realizar la actualización de los controladores para agregar nuevas características sin interrumpir el proceso. El procedimiento consiste en actualizar el firmware de cada controlador a la vez, siempre aguardando el resultado de la actualización del sincronismo del firmware.

Para conocer en detalles los parámetros de estatus y diagnóstico de la redundancia, acceda a https://www.smar.com/es/producto/dfi302-plataforma-de-control-y-automatizacion-de-procesos y consulte el manual el usuario, sección ‘Adicionando redundancia a los controladores DEFI302 HSE.