Warum TMR-Sicherheitsdaten auf die DCS-HMI gehören
ICS Triplex-Trusted-Controller bieten dreifach modulredundanten Schutz für Turbinen, Verdichter und Prozesseinheiten. Bediener müssen den Auslösezustand und den Systemstatus sehen können, ohne die Sicherheitsfunktion zu beeinträchtigen. Honeywell Experion PKS kann diese Daten über eine schreibgeschützte Modbus-TCP-Verbindung anzeigen.
Erstens ist die Verbindung unidirektional vom SIS zum DCS. Zweitens kann das DCS keine Befehle an das Sicherheitssystem senden. Daher bleiben die Trennungsprinzipien gemäß IEC 61511 erfüllt, während sich das Situationsbewusstsein der Bediener verbessert.
Schritt 1: Sicherheits- und Steuerungsnetzwerke trennen
Platzieren Sie das ICS-Triplex-Trusted-Netzwerk in einem separaten VLAN vom Experion PKS. Verwenden Sie eine Firewall oder eine Datendiode, um den Datenverkehr in nur eine Richtung zu erzwingen. Ein typischer Netzwerkplan:
- Honeywell-Experion-PKS-Netzwerk: 10.10.1.0/24
- ICS-Triplex-Trusted-Netzwerk: 10.20.2.0/24
- Firewall-Regel: Nur TCP 502 von Trusted zu PKS zulassen
- Keine Route vom PKS- zum Trusted-Netzwerk
Deaktivieren Sie außerdem nicht benötigte Dienste auf dem Trusted-Kommunikationsmodul. Dadurch wird die Angriffsfläche reduziert. Protokollieren Sie abschließend alle Verbindungsversuche an der Firewall zur Sicherheitsüberprüfung.
Schritt 2: Trusted-Modbus-TCP-Server konfigurieren
Aktivieren Sie in der ICS-Triplex-Engineering-Workstation die Modbus-TCP-Schnittstelle auf dem Trusted-Kommunikationsmodul. Definieren Sie eine schreibgeschützte Registerzuordnung für die Anzeige im DCS. Zu den typischen Statusregistern gehören:
- 40001: Gesamtstatus „SIS betriebsbereit“
- 40002: Auslösezustand der Hauptturbine
- 40003: Auslösung des Überdrehzahlschutzes
- 40004: Auslösezustand der Vibrationsüberwachung
- 40005: Ursachecode der zuerst ausgelösten Abschaltung
- 40006: Status der Modulredundanz
Machen Sie jedoch niemals interne Logikvariablen verfügbar und erlauben Sie keinen Schreibzugriff. Ziel ist ausschließlich die Anzeige von Statusinformationen. Konfigurieren Sie den Server daher als schreibgeschützt und überprüfen Sie dies mit einem Paketmitschnitt.
Schritt 3: Modbus-Client in Experion PKS konfigurieren
Fügen Sie in Honeywell Control Builder einen Funktionsbaustein für einen Modbus-TCP-Client hinzu. Geben Sie die IP-Adresse des Trusted-Servers und den Port 502 ein. Verwenden Sie den Funktionscode 03, um Holding-Register abzufragen.
Schritt 1: Stellen Sie die Abfragefrequenz auf 1.000 ms ein. Schritt 2: Ordnen Sie jedes Register einem Experion-Steuerungsparameter oder HMI-Tag zu. Schritt 3: Fügen Sie einen Alarm für Kommunikationsfehler hinzu. Wenn die Verbindung ausfällt, müssen die Bediener sofort wissen, dass der SIS-Status möglicherweise veraltet ist.
Schritt 4: Bedieneranzeigen erstellen
Erstellen Sie in Experion HMIWeb eine eigene SIS-Statusanzeige. Verwenden Sie klare Farben und Symbole. Zeigen Sie die folgenden wichtigen Informationen an:
- Statusanzeige für „SIS betriebsbereit“ bzw. Fehlerstatus
- Abschaltungsübersicht mit Ursache der zuerst ausgelösten Abschaltung
- Status der Modulredundanz für jeden TMR-Kanal
- Status der Kommunikationsverbindung und Zeitpunkt der letzten Aktualisierung
Fügen Sie außerdem einen Hinweis hinzu, der die Bediener daran erinnert, dass alle SIS-Rücksetzungen und Überbrückungen an der Trusted-Engineering-Station durchgeführt werden müssen. Die DCS-Anzeige dient ausschließlich der Information. Prüfen Sie die Anzeige abschließend jährlich, um sicherzustellen, dass sie der aktuellen Sicherheitslogik entspricht.
Häufige Fehler, die Sie vermeiden sollten
- Den Sicherheitscontroller zu häufig abfragen und dadurch seine Echtzeitleistung beeinträchtigen.
- Diagnosevariablen verfügbar machen, die interne Abstimmungslogik offenlegen.
- Alarme für Kommunikationsfehler übersehen, sodass Bediener veralteten Daten vertrauen.
Beziehen Sie abschließend den zuständigen Ingenieur für funktionale Sicherheit in die Designprüfung ein. Jede SIS-DCS-Schnittstelle erfordert eine dokumentierte Begründung gemäß IEC 61511.
Fazit & Handlungsempfehlung
Die Integration von ICS Triplex Trusted in Honeywell Experion PKS über schreibgeschütztes Modbus TCP verbessert das Situationsbewusstsein der Bediener und bewahrt zugleich die Unabhängigkeit der Sicherheitsfunktionen. Trennen Sie die Netzwerke, machen Sie ausschließlich Statusregister verfügbar und fügen Sie Alarme für Kommunikationsfehler hinzu. Prüfen Sie das Design stets gemeinsam mit dem Team für funktionale Sicherheit und halten Sie die Dokumentation der Schnittstelle aktuell.