SIS 德国HIMA维护手册

第一章                     机房管理

第二章                     系统概述

第三章                     系统结构

第四章                     硬件构成

第五章                     系统软件

第六章         硬件的安装及更换步骤

第七章               常见故障及代码

一、机房管理

1.1   机柜室管里

应加强机柜室人员和设备管理。为保证系统运行在适当条件下，请遵守以下各项：

1）   密封所有可能引入灰尘、潮气和鼠害或其它有害昆虫的走线孔（坑）等；

2）  保证空调设备稳定运行，保证室温变化小于+5℃/h，避免由于温度、湿度急剧变化导致在系统设备上的凝露；

3）   现场与控制室合理隔离，避免现场灰尘进入控制室，同时控制室定时清扫，保持清洁。

4）进入机房、工程师室作业人员严格遵守各项规章制度，进出须换鞋或带鞋套，不得将污物、食品、饮料等带入机房；爱护机房、工程师室内设备，保持机房、工程师室整洁；进入机柜间应关闭手机。

5）过程控制计算机机柜间内禁止使用无线对讲设备。

6）技术组全面负责过程控制计算机的管理，各班组负责过程控制计算机机房、工程师室的日常卫生和日常维护工作。工程师室内计算机及网络设备的维修由技术组成员负责，班组配合。技术组成员在维修完设备后应做好设备规格化工作。

7）日光灯完好、灭火器按期检查、室内卫生整洁、操作台（柜）、主机外部、显示器、打印机等卫生清洁、打印机不缺纸、机柜内设备如机柜过滤网清洁、风扇完好，电话机、其他未明确但属于共有的设备等完好。

8）布线层的槽盒盖可以不盖，但应根据规格大小整洁地放置在地面上。布线层墙壁、电缆进线口应密封，无人时，电灯只保留一组常亮。

9）室内施工管理：本班的设备施工作业由本班完成，外委作业时由本班派人监护（包括分析、检修等工作涉及更改电源时）。施工结束后应做到工完料净场地清，负有管理责任的班组应及时向对方班组指出施工作业后的室内卫生等问题。

1.2  计算机资料管理

1.2.1  过程控制计算机系统软件和应用软件由专人保管，软、硬盘资料放置在防磁化金属柜中集中保管。

1.2.2  原版书面资料和电子版资料由仪表控制部资料室统一管理。

1.2.3  备份管理：对于停工检修装置或正常生产装置进行大技措、大改造时，需在装置自开工正常的一月内，做好软件备份并归档。控制系统的组态软件需二套备份，其中一套必须存放于资料室的防磁化柜中。对于改造或检修的装置，在改造或检修工程开始前必须做好计算机软件备份。

1.2.4  新装置的过程控制计算机硬件、系统软件在出厂前或投运前必须由用户和生产厂商共同进行测试并确认；过程控制计算机应用软件功能应由用户、工程承包商和生产厂商共同确认。确认资料由仪控部工程负责人交资料室存档；生产过程控制计算机系统软件版本升级后应由生产厂商和用户进行再确认，确认资料由仪控部配合负责人或实施人交资料室存档。

1.3  日常维护

过程控制计算机一般性检查和维护（以下简称一级维护）由各所管辖班组实施。

1.3.1  每日应检查过程控制计算机室的温度和湿度，并在一级维护本上记录。机房允许温度为15℃--30℃，湿度为40%--80%RH；每日的检查还包括：控制站、工程师室设备（包括控制器、I/O、机柜风扇、供电状态）的运行状态；操作站SOE（包括主机、显示器、机柜风扇、鼠标键盘）的运行状态；系统报警信息（包括网络、系统硬件、维护信息、系统报警）；机房的照明、空调运行状况。如有异常，要在一级维护记录本的“说明栏”中作详细记录并及时汇报。

1.3.2  班组系统管理员要切实履行控制系统日检工作，每个工作日应按规定的巡检时间，对机柜室、工程师室、操作室内的控制系统设备（包括ＤＣＳ、ＥＳＤ、ＩＴＣＣ、ＩＰＣ等）、供电设备（包括由仪控部管理的ＵＰＳ、２４ＶＤＣ电源）、联锁报警画面、气报仪二次表（如有安装的）进行运行状态检查，如发现异常或系统报警，应及时向班长或系统技术员汇报并协助系统技术员进行处理。检查机柜室、操作室内的空调设备，确保控制系统的运行环境符合要求。

1.3.3  检维修记录：班组所做的计算机检修或维护作业，应及时登记到一级维护本中。此外，应在一周内同时登记到设备MIS中的计算机检修记录中，MIS中的记录范围为：更换显示器、键盘、卡件、电缆、打印机、更换硬盘、驱动器等硬件；清洗过滤网；修改量程、更换通道等软件组态。其中，更换鼠标及计算机重启不要求做检修记录。班组其他人员做的相应作业，应及时告知班组系统管理员。配合部技术员作业的检修记录应由部系统技术员登记。

1.3.4  各班组人员未经许可不能以工程师或超级用户身份登录工程师站或其它系统设备，作业人员在修改组态后必须退出组态画面，工程师站（包括ESD、ITCC系统）在正常时应处于浏览方式。

1.3.5  保持过程控制计算机的机柜顶部、过滤网和室内地板清洁。

1.3.6  技术员应及时处理维护班组反映的问题，并对负责管辖的系统，应每月全面系统地检查一遍，确保控制系统正常运行。

1.3.7  做好过程控制计算机的配件订购计划。

1.4  计算机应急备件管理

1.4.1  为了快捷、便利更换备件，在仪控部管辖的主要机柜室设立“应急备件库”。

1.4.2  根据所在机柜室控制系统的配置，对主要I/O卡件类型，原则上每卡型储备1块。

1.4.3  “应急备件库”由系统组管理，每种部件在柜内固定位置存放，并标识名称和部件号。

1.4.4  建立“应急备件库”的台帐，详细记录备件使用情况，备件消耗后应及时补充。补充备件由维护班组从部仓库领出。

二、   概述
德国HIMA公司创建于1908年，是世界著名安全控制系统专业制造商。自1970年HIMA公司生产出世界上第一套TÜV认证的故障安全型控制系统HIMA-Planar-System起，HIMA公司一直处于安全控制领域的最前沿，致力于安全控制系统技术和产品的开发和应用，并在该领域保持世界领先地位。三十多年来HIMA公司生产的安全控制系统已有14,000多套投入使用，广泛分布于世界各地的炼油、化工、海上石油平台、长输管线、油气站等行业。HIMA公司生产的安全控制产品满足IEC61508和DIN19250等对安全控制的最高等级要求，并取得TÜV最高等级AK7/SIL4的认证。随着电子技术的发展，HIMA公司的安全控制系统已经发展到了第四代，1998年HIMA公司推出了CPU四重化结构（QMR）的安全控制系统H41q 和H51q，使安全控制技术又有了重大性突破，首次实现了安全控制系统无故障修复时间限制，该技术是目前世界上安全控制领域中最为先进和可靠的。
　　　　
1．安全控制系统技术的发展
　　 安全控制系统是专门用于危险场所（如：石油化工装置）联锁和紧急事故停车的控制系统。它和普通工艺过程控制的DCS和PLC的本质区别在于，其功能是在事故和故障状态下（包括装置事故和控制系统本身发生故障时），使装置能够安全停车，并处于安全状态下，从而避免灾难的发生，即避免对装置人员的伤害及对环境的影响等，因而安全控制系统本身必须是故障安全型（Fail to Safe）的，系统的硬件和软件的可靠性都要求很高。在国际安全标准IEC61508中，对安全等级及安全控制系统的要求具有详尽的规定。TÜV是目前世界上唯一的安全控制系统认证机构。
　　自1970年HIMA公司首先推出TÜV认证的故障安全型安全控制系统HIMA-Planar-System起，安全控制系统已有三十年的发展史。
　　2.HIMA安全控制系统的发展历史:
   1970年 HIMA推出的世界首例经TÜV认证的故障安全型控制系统HIMA-Planar-System投入使用。
　　1983年 HIMA推出世界首例故障安全型可编程电子控制系统（PES）用于安全控制。
　　1986年 HIMA推出世界首例经TÜV认证的可编程安全控制系统 H50投入使用，CPU结构型式为双冗余容错完全自诊断型，即1oo2D。
　　1991年 HIMA推出第二代经TÜV认证PES系统H51和H41系列产品.
　　八十年代末九十年代初，其它安全控制系统厂家陆续出现，所采用的技术一般为1oo2D或2oo3表决（TMR）技术，并将该技术沿用至今。
　　1997年 HIMA推出世界首例经TÜV认证的四重化（QMR）CPU结构的A型系统产品，即2oo4D。
　　1998年 HIMA推出第三代经TÜV认证PES系统H41q和H51q, 采用四重化（QMR）CPU结构, 即2oo4D。
　　　　　　

3.可编程（PES）安全控制系统的CPU结构
　　　目前世界上符合IEC-61508标准并获得TÜVAK6/SIL3等级认证的可编程安全控制系统有以下三种主流CPU结构：
　　1． 双重冗余容错完全自诊断结构，即1oo2D结构。
　　2． 三重化表决部分自诊断结构，即2oo3结构 ( TMR )。
　　3． 四重化冗余容错完全自诊断,即2oo4D结构（QMR）。
　　　　　　
　　以下为三种不同CPU结构的安全控制系统性能比较：
　　　　HIMA HIQuard 四重化自诊断 系统结构2oo4D (QMR)
　　　　Honeywell-FSC 双冗余自诊断 系统结构1oo2D
　　　　Triconex 三重化表决 系统结构 2oo3TMR
　　　　　　
4．HIMA的四重化结构（QMR）产品H41q和H51q
　　H41q和H51q的CPU结构为四重化结构（QMR），系统的中央处理单元共由四个微处理器构成。四个处理器同时工作，每二个微处理安装在一块CPU卡上。中央处理单元共有2块CPU卡，一块CPU卡即构成1oo2D结构。
　　　　　　
　　　　　　HIMA安全等级SIL AK6/SIL3 AK6/SIL3
　　　　　　HIMAAK6故障修复时间限制 无限制
　　　　　　HIMA带电插拨卡件件 能
　　　　　　HIMATÜV认证 有
　　　　　　HIMATÜV认证报告可提供给用户.
　　　　　　开放通信结构RS485 Profibus和以太网OPC

三、   系统结构

黑马CCR1、CCR2、CCR3的网络结构图如下：

四、   硬件构成

4.1    中央模件F8650X的结构

用于PES H51q-MS，HS，HRS 系统

达到TUV AK6/SIL3 的安全等级

技术数据：

◆􀂾 微处理器：2 个时钟同步的微处理器，每个微处理器的型号INTEL 386EX，32 位，

◆􀂾 时钟频率：25MHz

◆􀂾 每个处理器的内存（一个中央控制模块内有2 个微处理器）：

◆  操作系统：Flash-EPROM1MB

◆  用户程序：Flash-EPROM1MB

◆  数据内存：SRAM1MB

◆􀂾 通讯接口：2 个RS485 串行通讯口，电气隔离

◆􀂾 诊断显示：4 个字符的点阵显示窗和2 个LED 状态指示灯

◆􀂾 故障停车：安全相关的看门狗信号，24VDC 输出，最大500MA      电流，短路电流保护

◆    模块结构：两块欧洲标准的印刷电路板；一块用于诊断显示的印刷电路板

◆􀂾 安装空间：8TE

◆􀂾 操作电压：5V，2A

使用F8627X 的通讯连接

◆􀂾 中央模块与PDAT 的连接（ELOP II TCP）

◆􀂾 在一个以太网络内与其它的系统或设备通讯（安全以太网safeethernet, Modbus TCP）连接

中央模件的特殊功能：

◆􀂾 自学习：操作系统版本为BS41q/51q V7.0-8 (05.31)以上版本

◆􀂾 ELOP II TCP: 操作系统为BS41q/51q V7.0-8(05.31)以上版本

中央控制器的诊断信息显示：

◆􀂾 4 个字符的点阵显示窗

◆􀂾 2 个LED 状态指示灯，用于通用故障的指示（CUP 状态指示灯和可检测I/O 模块的状态指示灯）

◆􀂾 2 个拨动开关（<> 和 ）用于诊断信息的翻页浏览

◆􀂾 1 个按钮（ACK）用于对故障信息的复位

运行及维护注意事项：

◆􀂾 后备电池的使用寿命（没有供电）

- 25℃1000 天

- 60℃200 天

◆􀂾 在CPU 运行的情况下，推荐的更换期限为6 年，后者在诊断          显示窗显示BATI 的三个月内更换电池

◆   利用开关S1 的正确设置检查总线工作站的编码及传输速率

4.2    协处理器模件F8621A

在H51q-HRS PES的中央模件旁，最多可以安装3个协处理器模件，协处理器模件主要包括：

内部具有微处理器HD 64180，时钟频率为10MHz。主要功能如下：

◆􀂾 384KB 的静态内存，两块集成电路CMOS-RAM 和EPROM；电源              监视模块F7131上有电池后备的RAM

◆􀂾 两个半双工的RS 485 通讯接口，通讯接口之间电隔离。传输速率可由软件设定为300bps,600bps, 1200 bps, 2400 bps, 9600 bps, 19200 bps,38400 bps 或57600bps；也可接受通过中央处理单元CU 上拨码开关设定的数值。

◆􀂾 内部有双口内存（Dual Port RAM），用于对第二个中央处理模块的交互式访问。

安装空间：4TE

操作数据：5VDC:360mA

4.3    B5233：中央机架

包括如下部件：

一个5 个单元高的19 英寸中央机架K1412B（包括电缆走线槽、3 冷却风扇模件K9212、铰接安装用于标记的条形面板和21 模件安装槽位的底板Z1009）

背部还包括如下模件：

◆􀂗 3 个带解藕、带保险的24VDC 馈电模件Z6011

◆􀂗 1 个用于风扇组运行监视、保险监视的模件Z6018

◆􀂗 2 个用于提供看门狗(WD)信号电源电压的带解藕、带保险的模件Z6013

◆􀂗 2 个总线终端模件F7546(仅包含在B 5233-1 套件内)

◆􀂗 4 个总线终端模件F7546(仅包含在B 5233-2 套件内)

◆􀂗 1 条数据连接电缆BV7032(仅包含在B 5233-1 套件内)

包括以下模块：

◆􀂗 3 个F7126 24vdc/5vdc 电源模块，每个10A（PS1，PS2，PS3）

◆􀂗 1 个F7131 电源监视模块

◆􀂗 2 个F8650E 中央控制器模块（CU1，CU2）

可选模块（需要单独定货）

◆􀂗 6 个协处理通讯模块F8621A(CM11~CM13,CM21~CM23)

◆􀂗 10 个通讯模块（CM11~15,CM21~25）

中央套件B 5233对应于I/O 级的套件：

◆􀂾 I/O 子机架套件Ｂ9302（４个单元高，19 英寸机架）

◆􀂾 附加电源套件Ｂ9361 5VDC（５个单元高，19 英寸机架）

使用3 个F7126 电源模块时，即使其中１个F7126 电源模块故障的情况下，只要所有安装在Ｉ/O 子机架的所有I/O 模块及安装在中央机架的所有模块的最大消耗电流不超过18A时，系统仍然可以连续安全运行。

4.4  B9302:I/O机架

I/O 子机架，4 个单元高

套件B 9302 包括如下部件：

◆1 个4 个单元高的19 英寸中央机架FK1406I/O 子机架（包括电缆走线槽、铰接安装用于标记的条形面板）

◆1 个通讯联结模块F7553

◆1 条BV7032 数据电缆，长度由定货号决定。标准配置为B9302-0.5(带0.5 米长数据电缆)和B9302-1(带1 米长数据电缆)。可选数据电缆长度的套件型号为B9302-X，“X”代表数据电缆长度，单位为米。总线电缆的总长度最长为30 米。

◆1~4 个F7133 4-通道带保险及状态监视的电源分配模块，安装在18~21 槽位中。

机架K1406 的1~16 槽位用于安装I/O模块。

电源分配模块的保险状态监视在其内部连续切换。通过一个中性触点产生相应的故障状态信号。当某一槽位不需要安装电源分配模块时，可将其相应的故障触点通过跳线旁路。

4.5   F6217:8通道模拟量输入模件

用于0～20mA/4～20mA或0～5V/0～10V信号的输入

输入电压 0~5.5V

最大输入电压 7.5V

输入电流 0~22mA

最大输入电流 30 mA

被测量刷新 50ms

安全时间 450ms

输入阻抗 100kΩ

输入滤波器时间常数约10ms

基本误差 0.1% (25ºC 时)

操作误差 0.3% (0~60ºC 时)

和安全相关的误差极限 1%

电气强度对地200V

安装空间： 4TE

操作数据： 5VDC：80mA / 24VDC：50mA

模块内部有一个和安全相关的冗余处理器系统，因此所有的模块自检功能均在模块内部完成。主要自检过程如下：

◆􀀤 AD 转换器的线性化检测

◆􀀤 8 个通道之间的信息交换

◆􀀤 输入滤波器的功能检测

◆􀀤 I/O 总线的功能检测

◆􀀤 微控制器的自检

◆􀀤 内存的自检

PLUG电缆与现场变送器的连接（冗余和非冗余的连接等）

电压或电流输入的冗余连接

电压分配方式的冗余连接

冗余变送器的电压或电流输入的连接

未使用输入通道须跳线连接

4.6  F6705:2通道模拟量输出模件

输出：0/4~20mA,电气隔离

具有一体化关断功能

有源或无源输出方式

安全隔离，达到AK1... 6 /SIL 1 … 3 的安全等级

模块在运行过程中自动执行自检功能，主要自检过程如下：

◆􀃕 D/A 转化器的线性化

◆􀃕 输出通道间的信息交换

◆􀃕 安全关断功能

分辨率 12 位（4095 步）

基本误差 ≤0.2%（40μA），25ºC

操作误差 ≤0.4%

操作数据5VDC:85mA , 24VDC:130mA

电气强度 对地250V

有源输出电压UQ10~30V

安装空间 4TE

操作数据5VDC:85mA, 24VDC:130mA

冗余电流输出信号的连接方式

4.7   F3236:16通道数字量输入模件

16通道离散量输入模块

安全隔离(Safetyisolation)

安全相关的，应用于AK1~6 场合

模块在运行时全方位自动检测所有和安全相关的故障信息。主要检测过程包括：

---输入信号和Walking-Zero 进行信息交换

---滤波电容的功能检测

---模块的功能检测

不对电缆接头（Cable）上的LED 指示灯进行检测

输入： 1—信号，6mA(包括电缆接头)；或机械触点24V

切换时间： 典型地，8ms

操作数据：5VDC：120mA

24VDC：200mA

4.8   F3330:8通道数字量输出模件

每一通道可连接阻性或感性负载，负载功率最大为500mA(12W)

每一通道可直接连接信号灯，最大输出功率4W

具有一体化安全停车功能、安全隔离(Safety isolation)

当L-电源断开时，模块没有输出信号

安全相关的，用于AK1~6的安全场合

模块运行时，自动完成所有的自检功能。自检功能的基本过程:

◆    􀁺 将输出的信号读回。对0 信号的操作点的读回信号≤6.5V。在故障情况下，读回数值超过这一数值时，卡件将输出一个“0”信号，此时不进行自检测。

◆    􀁺 交换检测信号和cross-talking（walking-bit 检测）

输出500mA, 带短路保护电路

内部电压降 最大2V,在驱动500mA 负载的情况下

电流限制器的响应值： >550mA

允许的接线电阻 最大11Ω

低电压跳闸 在≤16V时

短路电流操作点0.75~1.5A

输出漏电流 最大350μA

输出复位时的输出电压 最大1.5V

检测信号持续时间 最大200μs

安装空间：4TE

操作数据：5VDC：110mA / 24VDC：180 mA +Load

注意事项：

1)如果在一个I/O 子机架中所有DO输出通道连接的负载均达到DO 通道的额定标称负载能力（0.5A）,则此I/O 机架中最多可以安装10 个F3330卡件。

2)可以并联使用，无需外接二极管

3)如果连接的负载为4W~10W 的信号灯，请参考下列简图

4.9    F8627X:以太网通讯模件

用于PES H41q/51q 系统

与ELOP II功能块-HK-COM-3 配合使用

总体描述：

采用F8627X 以太网通讯模块，H41q/51q 系统可以同时传送安全相关的安全以太网数据和非安全相关的OPC 协议数据。

从4.x 的操作系统开始，F8627X已经能够支持“MODBUS TCP” 和“ELOP IITCP”功能。ELOP II TCP 使得PADT(PC)及F865x 中央模块之间的快速的数据交换得以实现。

注：F8627X 具有F8627的所有功能，并且与其兼容。 对于F8627X 的新增的功能，只有F8627X 并且在V4. x 或更高版本的操作系统的支持下才能够实现。

通讯接口:

◆以太网接口，IEC 802.3 规程，10BaseT 或100BaseTX，RJ45口

◆高速串行通讯接口，使用BV 7053 电缆，通过RJ-12 接口将高速冗余（HSR）通讯模块连接

◆串行接口FB 不可用

技术参数

◆微处理器：摩托罗拉CPU MPC860T，32 位，集成RISC 通讯控制器。

◆操作电压及电流消耗：5V，1A

◆安装空间：3HU（高），4TU（宽）

ELOPII TCP 与中央模块的连接

通过PC， 用户通过F8627X与F8650x 中央模块建立ELOP II TCP 连接，建立此连接需要的具备的条件如下:

◆装有05.34 版本的操作系统的F865X 中央模块

◆ELOP II, 4.1 版本以上

◆装有4.x 以上版本的操作系统的F8627X 以太网模块

ELOPII TCP 与H41q/51q 的连接图

冗余的H41q/51q 控制器的ELOP II TCP 的连接

非冗余的H41q/51q 控制器的ELOP II TCP 的连接

通过冗余以太网的H41q/51q 的ELOP II TCP 的连接

通过两个网段的冗余连接

可能的PES 连接

两个PES 之间的连接

采用swithes 的冗余连接

5系统软件

·H51Q -HRS 的操作系统V7. 0-7

·编程软件ELOPⅡ – 这是一个经过TUV认证，满足SIL3应用要求的HIMA工业化软件包，它基于WINDOWS XP操作平台，可使用个人计算机对HIMA系统进行组态、监视、操作和文档管理、用户程序输入，且把它编译成机器码，这些工作可以在个人计算机上完成，而不需要连续PES。

ELOP II软件包符合IEC61131-3标准，提供标准功能块语言进行编程，可执行逻辑运算、PID、顺序控制等各种控制程序。ELOP II-WINDOWXP软件包的反向编译功能允许在线修改，下装程序而勿需进行下装后100%的逐点测试（此功能TUV认证）。

操作系统装在1MB的Flash - EPROM中。它连续周期性的处理用户程序。其顺序为:

·读输入信号

·运算逻辑功能

·写输出信号

并完成以下基本功能

·自诊断

·在运行期间检验I/O 卡件

·数据转移和数据比较

(2)应用软件(用户程序)

每套H51Q -HRS要完成的功能通过ELOP Ⅱ- XP

编程软件在用户程序中定义。ELOP Ⅱ- XP 的工作平台是WINDOWS- XP。

用户程序的生成是在ELOPⅡ- XP软件中应用PES

系统提供的标准库IEC61131- 3 中的各种功能块,首先生成用户功能块和程序类型,然后通过用户功能块的连接生成用户程序,每个PES下的用户程序应包含以下组态:

·建立一个新的组态(configuration)

·建立资源(Resource)

·建立全球变量(Globalvariables)

·用户库(Libraries)

·结构文件夹(Structuringfolders)

·连接(Connections)

·硬件资源分配

有两种装载方式:

Download:用这种方式装载时,H51Q - HRS 的所有输出全都复位,系统停止工作;

Reload:用这种方式可以把程序装到一个F8650X中,然后再送到冗余的另一个控制器中。一个F8650X 在非冗余状态下工作,系统不停止工作。

顺序事件记录站（SER站）

该站通过以太网与控制器相连，用于在线记录系统的各类报警及动作事件，并进行存储，可供查询、追溯、打印，分辨率为毫秒级，可以记录的数据量大于100,000条。SOE软件为WIZCON-LOGINE

6硬件的安装和更换步骤

6.1  安全切除（SafetySwitch-Off）的概念

 在安全相关的PESH51q-HRS的系统描述中，对发生故障时的停车方式作了说明。系统的响应是固定定义的，或者通过程序块在用户程序中对安全组停车加以定义，或者激活一个用于事故切除的系统变量来定义，也可借助于故障源特性中的I/O参数来定义。

在操作期间，当安全相关的模件出现故障时，反应如下：

故障位置   资源(Resource)中的I/O参数配置设置为：   系统反应  

输出模件单个错误（包括电压下降）   --仅显示--正常操作   模件切除①  

--正常操作及每组一个H8-STA-3程序块   安全组停车②  

--事故切除   切除相关的CPU的WD③  

输出模件中I/O总线或双重故障   --正常操作   切除相关连接模件的WD④  

--事故切除   切除相关的CPU的WD③  

中央模件(CU)或CU与连接模件间的I/O总线   与I/O参数无关   切除相关的CPU的WD③  

输入模件   与I/O参数无关   这个模件的所有输入为0信号操作  

与故障无关   与I/O参数无关，事故切除系统变量被激活   相关CU的WD被切除  

定义：

双重故障=在一个输出通道内和一个可测试输出模件的电子切除部件内的故障。

表中的缩写：

CU            中央模件

I/O总线        输入/输出总线

I/O机架        输入/输出机架

WD            看门狗信号

参数“仅显示”表示：

通过输出放大器的一体化停车切除，如果不可能，就通过连接模件切除I/O机架内的看门狗信号（仅限于系统H51q）,相关中央设备的看门狗信号不切断，这种参数设置只能达到RC3

参数“正常操作”表示：

反应与参数“仅显示”相同，如果必要，可以再切除相关中央设备的看门狗信号。从RC4开始需要这样设置参数，这是常用也是推荐参数

参数“事故切除”表示：

切除相关中央设备的看门狗信号，从而切除输出放大器。

①模件切切除

一个故障的、带一体化安全停车的可测试模件会自动切换到安全的失励状态。

②安全组停车

必要时可以在用户程序中这样定义安全组停车，即属于一个安全组的所有可测试输出模件与故障模件一起被切除。

在用户程序内，通过程序块H8-STA-3，最多可以将10个可测试输出模件分配给一个安全组。

③切除相关CPU的WD

在这种情况下，相关中央模件的WD初切除。

如果采用了带冗余中央模件和公共I/O总线的系统，那么输出模件就被分配给两个中央模件，在故障情况下，中央模件的两个看门狗信号都被切除，这表示所有的I/O模件都要被切除。

如果采用了带冗余中央模件和冗余I/O总线的系统，那么输出模件只与一个中央模件和一个I/O总线有关，在故障情况下，只有相关中央模件的WD被切除，这就意味着只有相关的I/O模件被切除。

④切除相关的连接模件

在这种情况下，相关连接模件的WD被切除，这表明与该连接模件相关的所有I/O模件将被切除。

6.2    卡件的插拨

● I/O模件：

拔出：1、拧开模件的螺丝。

     2、连同电缆插头一起拔出模件。

     3、卸下电缆插头。

插入：1、插入并固定不带电缆插头的模件。

     2、插入电缆插头并用螺丝固定。

     3、对于可测试模件，压下中央模件上的ACK键。

●  连接模件：

拔出：1、模件断电。（WD开关在“off”位置）

2、拧开模件的固定螺丝。

3、拔出模件。

4、确认连接模件的所属区域的通讯完全切断。

插入：1、设置模件上的解码开关符合I/O接口卡F7553的数据记录。

     2、插入并固定模件。

     3、模件接通。（WD开关在“on”位置）

     4、按CU上的ACK键直到“RUN”的信息显示。

注意：如果在模件还没有断电的情况下拔出，那么I/O所属区域的看门狗信号将关闭。结果是MS和HS系统将会报错停车。

l 中央模件：

拔出：1、拧开数据电缆插头的螺丝。

     2、抽出数据电缆。

     3、拧开模件的固定螺丝，并且完全拔出。

     4、利用拆卸焊把模件与总线板分开，然后拔出它。

     5、不要触及模件的元件！对于CMOS元件，请遵守ESD规则。

插入：1、按照技术参数的要求检查开关与跳线的设置。

     2、完全拔出面板的固定螺丝。

     3、将模件插入机架。

     4、固定螺丝。

     5、插入数据电缆并用螺丝固定。

注意：在冗余系统中新插入并且塞紧的中央模件必须是一样的操作系统版本。否则中央模件上将会出现错误信息，并且模件进入STOP状态。那么相应的操作系统必须下装。所以请注意操作系统手册上的信息。

l 带以太网通讯卡F8627X的中央模件：

拔出：1、拔出RJ45电缆。

     2、停止应用程序。

     3、拔出RJ12电缆。

     4、拔出属于坏的中央模件的F8627X卡。

     5、拔出坏的中央模件。

插入：1、找一块新的中央模件，并且按照技术参数的要求检查开关与跳线的设置。

     2、安装新的中央模件到卡槽上，不要按任何按钮，等待模件自学习直到显示RUN状态。

     3、插入F8627X卡。

     4、插入RJ12电缆。

     5、插入RJ45电缆。

l 电源：

拔出：1、检查电源F7126、F7130A和监视模件F7127、F7131的发光二极管（LED）。（LED亮表明模件正常，变暗表明模件有故障。要注意只能更换故障模件，否则PES会被切断。）

     2、如果LED不亮，检查24VDC供电。

     3、在拔出有故障的电源模件F7126，F7130A之前检查其它所有电源的输出电压，对于F7126，必要时应调至5.4V。

     4、拧开发生故障的电源的螺丝，拔出它。

插入：  1、插入电源用螺丝固定。

     2、检查输出电压，必要时应进行调整。

l 通讯与协处理器模件：

拔出：1、断开通讯电缆的连接。

     2、要点：在拧开固定螺丝之后，首先拔出相关的中央模件。（*****切记）

     3、拧开固定螺丝，拔出通讯模件。（以太网模件连同所连接的HSR电缆一起拔）

     4、对于以太网模件，拆下HSR电缆。

插入：1、按照技术参数的要求检查开关的设置。

     2、插入未接电缆的模件并加以固定。

     3、对于以太网模件，接上HSR电缆。

     4、连接通讯电缆。

     5、插入相关的中央电缆。

接地操作：

必要条件是接地状况必需良好，并有一个独立的地（如果可能），没有外部的电流流过它。

只允许负极（L-）接地，正极（L+）接地是不允许的，因为传感器线路中的任何接地故障都会导致该传感器超限。

在系统内，L-只能在一点接地，一般来说，L-直接在电源后面接地（例如在母排上），接地应该容易连接与断开，接地电阻必须<=4欧姆。

测试输入和输出的接地故障：

在测试外部电缆的绝缘电阻、短路和断路时，电缆的两端都必须断开，以避免过电压损坏模件。

在断开用于传感器和控制元件的连接后才进行接地故障测试，电源分配器上的连接器也必须断电，在控制元件上，负极必须分开。

如果负极用来接地，在测试接地故障时必须断开接地连接。这也适用于已有的接地故障测试设备的接地连接。

●更换后备电池的步骤

采用锂电池作为RAM的后备电池，建议每4年左右更换一次电池。

电源监视模件F7131：

电池：CR-1/2AA-CB，HIMA 部件号440000016

模件可以带电拔出，此时将触发系统的报警，中央模件的显示中将出现信息BATE（外部后备电池故障）。把旧电池焊开（先焊开正极，然后是负极），再焊上新电池，要注意极性是正确的，并且先焊上负极，再焊正极。

中央部件：F8650X

电池：CR2477N，HIMA 部件号440000018

可以带电拔出模件，对单通道系统，这会导致生产装置停车，在冗余系统中，系统的反应取决于组态。

协处理器模件F8621A：

这个模件可以作为选项安装在H51Q系统的中央机架内，它利用F7131电源监视模件的电池作为后备。

自学习装载：

   完全插入中央模件并且固定它。插上数据电缆，拧紧螺丝。注意：小心插头的位置。（例如：插头原来位于左边界面位置的就必须再插回到左边的位置，留意插头的标签。）

两种可能的情况：

1、新的中央模件是空的。那么自学习功能自动运行。（参考自学习运行顺序的描述）

2、新的中央模件不是空的，并且保持在“STOP”状态下。这时      就要手动删除使用的程序。删除完程序，通过按中央模件上的“ACK”键触发自学习功能。

自学习功能的运行顺序：

1、中央模件进入重新引导的指示：RAMT〉CHCK〉WAIT〉STOP

2、以“ERASEAPPLICATION”开始（如果中央模件已经空了，每次都会出现次提示）

3、以“LOADAPPLICATION”开始（应用程序从MONO CU传送到新插入的中央模件上）中央模件进入重新引导的指示：RAMT〉CHCK〉WAIT〉STOP〉INIT〉RUN

“自学习功能”是指在插入或重启中央模件后，没有应用程序的操作系统从冗余的中央模件上“学习”应用程序的能力。

因此在替换有缺陷的中央模件后，没有必要从PADT读取程序到新的中央模件中。新的中央模件插入并第一次启动操作系统后，程序已经自动从冗余中央模件读取过来。

1、系统必须有高的等级权限。

2、冗余的中央模件必须在MONO的状态。

3、应用程序必须是“Hresource”运行产生。

4、新中央模件的内存空间必须小于程序请求的数据大小。

5、新中央模件的对应应用程序的闪存要为空的。（参见删除程序章节）

6、操作系统的版本和循环冗余码校验要一致。

7、新中央模件安装的位置必须和冗余模件的位置一致。

如果所有这些前提都已经实现，应用程序就能从另一块中央模件上装载。然后操作系统重新启动，进入RUN模式。这时指示错误代码149，”Start-upafter self-education”。有些情况下会出现错误代码164”Flash memory foruser program not loaded”。

在装载过程中出现错误。例如：中央模件到中央模件的通讯存在问题，指示错误代码150“Self-educationaborted”。

如果一个空程序内存的中央模件被插到一个MONO运行状态的中央模件边上，并且如果其它指定的前提都已经实现，自学习功能就会立刻执行。

删除应用程序：

应用程序可以用中央模件面板前面的按钮删除。

前提：控制器在“RUN”或“STOP”状态。

然后向下按按钮八次，这样就进入删除选项，指示为“--〉”。

向右按按钮，进入准备删除状态，指示为“ERASEAPPLICATION”。

向右按按钮，向下按按钮并且按ACK，同时应用程序准备删除，指示为“STOP”。CPU的LED灯这时仍然亮。

如果向下按按钮，显示为“”意思是应用程序不再可用。

如果这些前提都符合，按ACK按钮重新启动操作系统，程序被删除，并且开始执行自学习功能。

F8651和F8653类型的中央模件，删除程序时指示“E001”。F8650和F8652类型的显示为从“*103”变大到“*1F3”，这里的“*”由旋转线组成。然后接着显示“ERASINGAPPLICATION”。

7 常见故障

7.1 中央设备中的故障

对于只有一个中央模件的PES，当中央模件发生故障时，基本上会引起PES停车。

当有冗余中央模件的PES发生故障时，未发生故障的设备会继续操作而不起跳车。运行的模件上诊断显示为MONO，故障中央模件的诊断显示为STOP。如果按下故障中央模件前面的按钮，就会显示故障的出错代码。

在与工程师站连接时，它可以显示已经发生的错误，这些值存贮在PES的RAM中，在进行错误分析时，这些值非常重要，应该通过“打印”或“输出”来保存它们。

如果更换中央模件，注意正确的开关位置和正确的操作系统版本（关于中央机架内模件插拔可参阅以上章节）。

如果在更换中央模件后要安装用户程序，在PES中有冗余中央模件时，应保证安装在正确的中央模件上，此外，现有用户程序与要安装的用户程序的代码版本一致。

7.2 I/O模件中的故障

在运行期间，与安全相关的输入/输出模件中的故障邮PES自动识别，在诊断显示屏中会显示出这些故障，批出I/O错误及故障位置。

如果输入/输出模件有线路监视功能，则对连接传感器与执行机构的线路也进行检查，故障将显示在诊断屏上，并附有故障通道的编号，此时应检查外部接线，但是模件不必要更换。

非安全相关输入/输出模件的通道故障会引起逻辑信号状态与电缆连接器上LED的信号状态差别，如果逻辑信号与LED显示不匹配，应该首先检查是控制元件的工作出了问题还是有线路干扰。

在操作期间可以插拔输入模件，关出输入/输出模件的插拔参阅上一章节。

7.3 协处理器与通讯故障

在协处理器模件或通讯模件出现故障时，为了避免冗余H51Q系统（两个中央模件）出故障，必须遵守以下步骤：

1、    拔出有关的中央部件

2、    拔出有问题的协处理器模件或通讯模件

3、    拔出所有的接口电缆，包括用于冗余的电缆

4、    用来作为替换模件上所有开关应设置为完全相同的位置

5、    插入所有接口电缆，包括用于冗余的电缆

6、    插入替换的协处理器或通讯模件

7、    插入相关的中央模件

7.4  Reload功能丧失的原因：

◆模件从机柜上被插入或者删除。

◆分配到下列类型属性的变量多于被删除的：HIPRO-N，HIPRO-S，BUSCOM，event，3964R。

◆BUSCOM的基本地址被改变。

◆系统变量被插入或者它们的分配被改变。

◆名字为HIPRO-S的变量被修正。

（Reload的功能若丧失，只能停车Download）

7.5 诊断显示

PES的诊断显示是在中央模件前部“IO”和“CPU”的两个LED上显示的，由四个包含文字和数字的指示组成。通过两个按钮可以从PES查询另外的信息。信息的性质将在下面介绍。一个按钮是选择下一个更高或更低的级别，另一个按钮是选择相同级别的信息。

诊断显示的总貌画面会在文档最后列出。

1、在运行操作时访问的信息（“CPU”和“IO”的LED没有点亮）

显示   解释   访问信息  

Text   Ex  

3V3!   ----   3.3V供应电压超出了可允许的限度      

BATI   ----   中央模件上的电压缓冲器电池RAM指示过低      

BOOT ID       CRC的导入部分   4*，2*  

BS41q/51q V7.0-8(06.04)   ----   操作系统的标志操作系统的译本（操作系统的版本）   4*  

BN   2   总线回路编号（BSN），在中央模件上设定（switch1到5）   1*,3*  

-   如果BSN设定的值不在可允许的范围内（0…31），则显示。  

ID   4   ID编号在中央模件上设定（switch1到7）   1*,3*，1*  

-   如果ID设定的值不在可允许的范围内（0…31），则显示。  

EPROM CRC       操作系统的CRC核实操作系统安全证书的值   4*，1*  

CB1CB2CB3       内部测试   5*6*7*  

CODE VERSION   AC34   编码形式   1*，1*  

C．TIME   0064   循环时间（ms）   1*，4*  

DATE   0212   日，月   1*，8*  

F   47   显示最后输入的历史，可以看到错误代码列表。（可能依赖错误代码）显示的运行错误：ZB/CU:CPUZB/CU:MEMORYZB/CU:REALTIME CLOCKZB/CU:COUPLING UNITZB/CU:CLOCKLOGIC OFFDISTURBANCE BLANKINGFATAL ERRORW-DOGCOUPLING UNIT/OTHERExtended-FCPOWER SUPPLY MONITORING对于内部诊断：扩展信息。   1*  1*           1*，2  

F197/188:POS   1403   最后一个有问题模件的位置（干扰消失）   1*  

FX220:POS   1403   IO模件类型F5220，F6220，F6221   2*  

      中央模件为空，没有包含应用程序      

IO:CODE   HHHHHHHH   没有正常的运转F5220/F6220/F6221显示：8位16进制编码   2*1*  

IO:LINE   HHHHHHHH   没有正常的运转F5220/F6220/F6221显示：8位16进制编码   2*2*  

IO:EXCP-POS   1403   通讯问题F5220/F6220/F6221，观察FX6220   2*3*  

IO:EXCEPTION   HHHHHHHH   同上，显示：8位16进制编码   2*4*  

K-IS   0120   更多内部测试的错误代码   2*  

K-SO   0034   更多内部测试的错误代码   3*  

KEY   0022   更多内部测试的错误代码   4*  

Configuration   HIMA   组态的名字   1*，2*  

MAX170-ERR   0013   更多内部测试的错误代码   5*  

MONO   ----   冗余中央模件的MONO操作      

RELOAD   ----   正在reload操作      

OSLD   *1A8   OS装载启动，在下装时显示n=0或1,x=0…F,y=5,6,7,8      

Program   PRO1   程序的名字   1*，1*  

Resource   PES-4   资源的名字   1*  

RUN   ----   PES在正常运行      

RUN-VERSION   3402   运行形式，在运行过程中产生的所有值   1*,2*  

SC1 up to SC 64   0012   安全关系通讯到1st系统（到64th系统）的值没有改变：没有数据   2*，2(-65)*,2*,2(-65)*, 1*  

SIO1   0012   CM上没有关于界面1的消息没有值改变：没有经过SS1的通讯   2*3*  

SIO2   0012   CM上没有关于界面2的消息没有值改变：没有经过SS2的通讯   2*，1*，2*， 1*，1*  

STOP       被工程师站停止，被操作系统停止      

TIME   1431313232.3   以小时/分计的时间以分/秒计的时间以秒/十分之一秒计的时间   1*，5*1*，6*1*，7*  

-->   -->   删除用户程序：同时按下++ACK，然后按ACK退出错误停止   8*1*++ACK  

ZB:EXCP-POS   1403   通讯问题F5220/F6220/F6221，观察中央模件   2*5*  

ZB:EXCEPTION   HHHHHHHH   同上，显示：8位16进制编码   2*6*  

F3349:POS   1101   F3349模件的位置   3*  

F3349:CODE   HHHHHHHH   F3349非正常运行显示：8位16进制编码   3*1*  

F3349:Info1   HHHHHHHH   F3349的额外信息显示：8位16进制编码   3*2*  

F3349:Info2   HHHHHHHH   F3349的额外信息显示：8位16进制编码   3*3*  

“”其中“*”是快速旋转的线组成的（| / — \）并且这是OS装载正常运行的标志。如果它停止，只有其中的一条线显示。

2、中心区域的错误（“CPU”的LED灯亮起）

显示   解释  

Text  

DEADEXCPNMIL   启动时发生严重的错误只有开或关是可用的如果没有通讯：替换模件  

RAMTCHCKWAIT   开启知道IO也开启后显示  

STOP   报错停止报错停止的原因，可以通过中央模件上的按钮一次，查看最后一次错误  

3、IO区域的错误（“IO”的LED灯亮起）

显示   解释  

1204   有问题的IO模件的位置04：IO所属区域的位置2：IO所属区域的编号1：卡槽或者I/O总线的编号  

1314/2/4   有问题的IO模件的通道号/2/4：有问题的通道编号14：IO所属区域的位置3：IO所属区域的编号1：卡槽或者I/O总线的编号  

14**   多于四个可测试的IO模件或者完全的IO所属区域存在问题4：IO所属区域的编号1：卡槽或者I/O总线的编号这不能够标出IO所属区域（连接电缆，I/O总线，电源，连接模件）的地址  

如果有几块I/O模件存在缺陷，所有的I/O包括I/O的通道这时是交替显示的。在有缺陷的模件更换或者错误已经被修复后，通过中央模件上的ACK刷新错误显示。然后I/O模件启动，通道再一次激活。

即使“I/O”显示灯亮起，也可以通过2个按钮选择查看其它的信息。如果20秒内没有新的信息请求，I/O的位置将重新显示。

4、错误代码列表

下面的列表包括了所有的消息和错误代码。这些错误代码解释了更多的细节对于系统管理员十分重要。

旧的错误代码会被新的错误代码覆盖，旧的错误代码可以通过ELOP ||的程序查看。如果中央模件下装新的project，中央模件被删除或重新下装，错误代码会被删除。

错误代码编号   解释，错误代码产生原因  

0   没有错误  

1-4   中央模件错误  

5   超过循环周期时间  

6-12   中央模件错误  

13   控制器启动时输出不给电例如：在一个被定义为输出模件的槽插入输入模件的情况。  

14   逻辑紧急中断  

15-16   中央模件错误  

17   不同的内存不能被定位  

18   允许的时间基数分歧  

19   中央模件错误  

20-21   另外一个中央模件时间延迟  

22   冗余失败  

23   恢复冗余（再一次）  

24-28   中央模件错误  

29-30   I/O机架的定义不存在，或者耦合模件错误。  

31-46   中央模件错误  

47   电源监视错误  

48-52   中央模件错误  

53   未知的I/O模件类型（ELOP ||里错误输入）  

54-87   中央模件错误  

88   存在的中央模件不是S类型（安全相关类型），但是它被用户程序请求访问  

89-92   中央模件错误  

93-94   用户程序的信号错误  

95-99   中央模件错误  

100   由于内存错误，完全初始化  

101   和其它中央模件不能够通讯，或者操作系统、应用程序版本不一致  

102   从其它中央模件收到的时间延迟：CM之间通讯等待的时间已经终止  

103-126   中央模件错误  

127   监视HIMA程序运行的块  

128-130   中央模件错误  

131   通过程序员单元启动（PADT[PC]）  

132   按下中央模件上的ACK后启动  

133   自检后启动  

134   打开电源开关后启动  

135   电源错误  

136-137   中央模件错误  

138   超过mono重新装载的时间  

139   Mono重新装载后，不同范围的版本或修正的新用户程序不相容  

140   中央模件错误  

141   用户程序的闪存EPROM被抹去，准备下装新的用户程序  

142   下载后PES停止  

143   第一次装载修正程序的中央模件一般操作启动  

144   Mono重新装载后通过一般操作启动  

145   已经下装完成的第二块中央模件重新装载后启动  

146   通过程序员单元热启动（PADT[PC]）  

147   存在的CM不是E类型的（extended  memory扩展内存）但是它被用户程序请求访问  

148   中央模件错误  

149   自学习后启动  

150   自学习失败  

152-160   中央模件故障  

162、163   中央模件故障  

164   用户程序没有装载到闪存上  

165-175   中央模件故障  

176-179   I/O子机架不存在或连接模件故障  

180、181   I/O电源故障  

182   连接模件故障  

183、184   I/O电源故障  

185   连接模件故障  

186   中央模件故障  

187   I/O子机架不存在或连接模件故障  

189   中央模件故障  

190   I/O子机架挂起  

191   F7553维修开关已按下  

192   连接模件故障  

193-196   中央模件故障  

198   中央模件故障  

199   事件缓冲初始化  

200   模件类型F3349  I/O错误  

201-208   F6213/14/15/16输入模件故障  

209-212   中央模件故障  

213   F5220，F6220或F6221输入模件故障  

214   中央模件故障  

215-216   F3235输入模件故障  

217-219   F3237/F3238输入模件故障  

220-222   F6705输出模件故障  

223-226   F3330/31/33/34/35/48或F3430输出模件故障  

227-228   F6127输入模件故障  

229   中央模件跟以太网通讯模件（F8625/26/27/28）出现通讯故障  

230-239   中央模件故障  

241-251   中央模件跟以太网通讯模件（F8625/26/27/28）出现通讯故障  

252   中央模件故障  

253   可以删除用户程序通过按中央模件面板上的按钮（错误代码显示是临时的）  

254   删除用户程序通过按中央模件面板上的按钮（正常后，错误代码可以在历史趋势中看到）  

255   中央模件故障