Interrupteur de fin de course Bentley 3500/53 tr/min (interrupteur de survitesse) « Deux sur trois » (2003) Configuration logique de verrouillage

Cet article fournit un aperçu complet de la configuration logique de verrouillage Bentley 3500/53 (Over-Speed ​​Card) « 3-from-2 » (2003), couvrant tout, depuis l'architecture matérielle, la configuration logicielle, la logique de vote et le câblage des relais jusqu'au déclenchement et à la réinitialisation.

• 3 capteurs de vitesse indépendants : 3 capteurs à courants de Foucault ou magnétoélectriques montés sur le même disque d'engrenage, chacun indépendant physiquement, électriquement et de l'alimentation.
• Châssis 3500 (3500/05) + double alimentation redondante (3500/15) : Les alimentations redondantes sont obligatoires et doivent être conformes à l'API 670.
• Bus TMR du fond de panier : les trois cartes implémentent un mécanisme de vote au niveau matériel « deux sur trois » via le câblage du fond de panier, indépendant du logiciel ou du réseau.

Les trois cartes sont entièrement peer-to-peer, sans relation maître-esclave : chaque carte effectue une acquisition de données indépendante, un traitement indépendant et une sortie indépendante vers le relais de déclenchement. Une panne sur une seule carte ou sonde n'affecte pas le système dans son ensemble : le système se dégrade automatiquement vers une configuration « deux sur un » sans déclencher l'unité. Si deux cartes détectent simultanément une condition de survitesse → déclenchement brutal : Temps de réponse ≤ 30 ms.

• Logiciel de configuration de rack 3500 (v3.35+).
• Connexion : connectez le port série de l'ordinateur ou un adaptateur USB vers série au module RIM sur le rack ; réglez l’interrupteur à clé sur le mode Programme.
• Principe : La configuration des trois jeux de cartes doit être identique ; configurez d'abord la première carte, puis copiez de manière synchrone les paramètres sur les deux autres.

• Sélection des emplacements : sélectionnez 3 emplacements adjacents ; Type de module : sélectionnez 3500/53 Survitesse.
• Activation du canal : Canal → Actif.
• Type de capteur : Courant de Foucault : Proximité (200 mV/mil) ; Magnétique : Magnétique.
• Plage : 0 à 40 000 tr/min (en fonction de la vitesse nominale de l'unité, par exemple 3 000 tr/min).
• Paramètres d'engrenage : dents par tour (par exemple, 60), polarité (polarité du capteur).

En prenant comme exemple une vitesse nominale de 3 000 tr/min :

• Alerte : 103 % = 3 090 tr/min ; déclenche uniquement une alarme, ne déclenche pas l'unité.
• Danger (déclenchement en survitesse) : 110 % = 3 300 tr/min ; déclenche un vote de 2 sur 3, entraînant un déplacement forcé.
• Déclenchement (déclenchement forcé ultime) : 114 % = 3 420 tr/min ; le relais dur embarqué se déclenche immédiatement sans voter.
• Délai : 0 ms pour alerte, 0 ms pour déclenchement (pas de délai pour survitesse).

• Entrez dans l’interface Voting Logic et sélectionnez 2 sur 3.
• Définition logique : ≥2 cartes atteignent simultanément la consigne Danger → déclencher un déclenchement général.
• 1 panne de carte / alarme → automatiquement masquée, ne participe pas au vote.
• Il ne reste que 2 cartes normales → automatiquement rétrogradées à 1 sur 2.
• Paramètres de synchronisation : le mode de vote pour les 3 cartes doit être exactement le même ; le mélange de 2 sur 3 et de 1 sur 2 est interdit.

• Chaque unité 3500/53 fournit 4 canaux relais. Configurations clés :
• Relais d'alarme : s'active pendant une alerte, envoyant une alarme au DEH/DCS.
• Relais de danger (déclenchement) : s'active lors d'un événement « Danger » ; contacts secs (NO/NC), câblés à ETS / vanne à fermeture rapide.
• Statut du relais : normalement fermé (NC), ouvert pendant un déclenchement (NO), conçu pour la sécurité.

• Défaut capteur : Circuit ouvert / court-circuit / anomalie du signal → La carte correspondante contourne automatiquement le capteur et est exclue du vote.
• Défaut carte : CPU / alimentation / anomalie de communication → Cette carte est contournée, et les deux cartes restantes fonctionnent en mode 1oo2.
• Alarme de défaut : un signal de dérivation est envoyé au DEH pour alerter le personnel de maintenance ; le système ne se déclenche pas.

• 3 capteurs → Acquisition indépendante des données par 3 cartes → RPM Normal → Tous les relais « Danger » sont excités (NF fermé).
• Circuit de déclenchement : Contacts NF des relais « Danger » sur 3 cartes connectées en série → Circuit fermé → Huile de sécurité établie → L'unité fonctionne normalement.

• Une seule carte détecte une survitesse → Le relais Danger de cette carte s'ouvre.
• Une seule carte s'active → La condition 2oo3 n'est pas remplie → Le déclenchement général n'est pas déclenché → L'unité continue de fonctionner.
• Une alarme monocarte est envoyée au CCS à titre de rappel pour éviter les faux déclenchements.

• La deuxième carte détecte également une survitesse → La condition 2oo3 est remplie.
• Les relais « Danger » des deux cartes s'ouvrent simultanément → Le circuit série est interrompu → La pression d'huile de sécurité est relâchée → Les vannes de fermeture rapide / les vannes de vapeur principales se ferment.
• Temps de réponse de la chaîne complète ≤ 30 ms, largement supérieur à celui du PLC/DCS (200 à 500 ms).

Si une seule carte détecte ≥3 420 tr/min → le relais dur interne de la carte s'actionne directement, contournant le processus de vote pour forcer un déclenchement. Cela constitue la dernière ligne de défense contre une survitesse extrême (par exemple, un délestage incontrôlé).

• Relais de danger par carte : NC (normalement fermé), NO (normalement ouvert), COM (commun).
• Circuit deux sur trois : contacts NC de 3 cartes connectées en série → une extrémité connectée au 24 VDC, l'autre extrémité connectée à la bobine de déclenchement ETS / solénoïde de la vanne de fermeture rapide.
• Principe : Normalement fermé, s'ouvre lors du déclenchement, conformément au principe de sécurité.

• Câblé : contacts secs de déclenchement, contacts secs d'alarme, contacts secs de défaut de carte/dérivation.
• Communication : vitesse en temps réel, vitesse de pointe, cause du premier trajet, état de la carte.
• Depuis DEH/DCS Câblé : Réinitialiser le signal, tester le signal d'activation.
• Communication : État de fonctionnement de l'unité, consigne de vitesse.

1. Vitesse ≥ 3300 tr/min → Détecté par 2 cartes ou plus → Adopté par le vote de 2003.
2. Le relais « Danger » à 2 cartes s'ouvre → Le circuit câblé s'ouvre → L'électrovanne ETS s'active.
3. Décharge de pression d'huile de sécurité → Fermeture rapide de la vanne vapeur principale / vanne de régulation / vanne à fermeture rapide → Arrêt de l'unité.
4. Journal système 3500 : première carte de déclenchement, vitesse de pointe, temps d'action, cause du défaut.
5. DEH Interlock : verrouillages, décompression, vanne anti-surtension complètement ouverte, alarme contextuelle.

1. Confirmez l'arrêt de l'unité, la vitesse à 0 et le défaut résolu.
2. Réinitialisation matérielle locale : court-circuitez les bornes RST/COM sur le 3500/53 (réinitialisation indépendante pour chaque carte).
3. Après réinitialisation : le relais « Danger » est excité → le circuit dur est excité → l'huile de sécurité est rétablie → le démarrage est autorisé.
4. La réinitialisation du logiciel à distance est interdite : doit être effectuée localement pour éviter les réinitialisations accidentelles.

• Circuit ouvert à capteur unique : contournements de cartes correspondants → les deux cartes restantes déclenchent 1oo2 → pas de déclenchement.
• Défaillance matérielle d'une seule carte : Comme ci-dessus → Pas de déclenchement.
• Défaillance simultanée de deux sondes : condition 2oo3 remplie → Déclenchement.
• Interférence électromagnétique : Fausse alarme sur une seule carte → Bypass → Pas de déclenchement.

Le verrouillage 3500/53 « Trois entrées, deux sorties » est une solution de protection contre les survitesses redondante au niveau matériel, SIL 3, TMR. Grâce à l'acquisition de données indépendantes à partir de trois cartes, au vote matériel 2003 et au déclenchement direct câblé, il garantit l'absence de déclenchement sur un seul défaut, un déclenchement garanti sur un double défaut et une réponse au niveau de la milliseconde. Il est entièrement conforme aux normes API 670/612 et constitue la ligne de défense finale et robuste contre l'emballement des grands compresseurs/turbines.