Лучшие практики проектирования ЧМИ для стальных силосов: что действительно работает на объекте

Грамотно спроектированный интерфейс ЧМИ для системы стальных силосов сокращает время реакции оператора на 40–60 % в нештатных ситуациях и уменьшает время пусконаладки как минимум на две недели. Разница между удобным интерфейсом и источником проблем сводится к трём вещам: соответствие компоновки экрана тому, как на самом деле думают операторы, фильтрация аварийных сигналов для обеспечения видимости критических и отображение запасов в виде массы, а не только уровня. Вот что мы узнали, создавая системы ЧМИ для силосных комплексов более чем в 30 странах.

Компоновка экрана и навигационная архитектура

Ментальная модель оператора против ментальной модели инженера

Инженеры проектируют ЧМИ на основе тегов оборудования. Операторы думают в процессах. Это рассогласование — коренная причина большинства отказов ЧМИ, которые я наблюдал.

На цементном терминале в Колумбии исходный интерфейс ЧМИ организовывал экраны по типу оборудования — все конвейеры на одной странице, все вентиляторы на другой, все клапаны на третьей. Операторы не могли проследить путь материала, не переключаясь между четырьмя экранами. Мы переструктурировали интерфейс по технологическим линиям: «Приём», «Хранение», «Отгрузка». На каждом экране отображались все объекты данного потока с цветовой индикацией статуса. Время обучения сократилось с трёх дней до четырёх часов.

Правило простое: организуйте экран исходя из того, что оператору нужно выполнить, а не из того, как оборудование названо на технологической схеме P&ID.

Мимик-диаграммы, которые действительно помогают

Мимик-диаграмма должна отвечать на три вопроса менее чем за две секунды: куда движется материал, что работает и есть ли аварийные сигналы. Если для интерпретации мимики нужна легенда — она уже не удалась.

Мы используем не более пяти статусных цветов. Работа = зелёный. Останов = серый. Аварийный сигнал = красный. Блокировка на техническое обслуживание = синий. Потеря связи = мигающий жёлтый. Всё. Я видел ЧМИ с 14 цветами, половина которых неотличима на 15-дюймовой панели при прямом солнечном свете. Операторы перестают их читать.

Для мимик-элементов, относящихся к силосу, отображайте силос в виде вертикального цилиндра с индикатором уровня заполнения слева. Добавьте цифровое отображение текущей массы в тоннах. Укажите статус входного и выходного клапана в верхней и нижней части. Если имеется система аэрации, показывайте давление воздуха и статус каждой зоны аэрационных подушек. На одном детализированном экране — один силос; не размещайте шесть силосов на одном обзорном экране и не ожидайте, что кто-то сможет разобрать цифры.

Глубина навигации — максимум три нажатия

ISA-101 определяет иерархию навигации, но практический предел — три клика от обзорного экрана до любого экрана с деталями. Обзор → Технологическая зона → Детали оборудования. Это всё.

Если оператору необходимо проверить производительность поворотного затвора под силосом № 3, путь должен быть следующим: Обзор завода → Зона отгрузки → Детали силоса 3. Не так: Обзор завода → Хранение → Силосный парк → Силос 3 → Разгрузочное оборудование → Поворотный затвор → Параметры.

Мы используем постоянную навигационную панель в верхней части каждого экрана с цепочками навигации (breadcrumbs). Панель отображает текущее количество аварийных сигналов, наивысший активный приоритет аварии и прямую ссылку на сводку аварийных сигналов. Оператор в стрессовой ситуации не ищет кнопки.

Управление аварийными сигналами для силосных систем

Проблема лавины аварийных сигналов, которую никто не решает

Во время события переполнения силоса можно наблюдать 40–60 аварийных сигналов за 90 секунд. Высокий уровень, уровень «высокий-высокий», работа питателя, работа конвейера, высокий перепад давления в пылеулавливающем фильтре, срабатывание предохранительного устройства давления, неисправность активатора бункера — всё это каскадно происходит от одной первопричины. Если каждый из этих сигналов поступает в баннер аварийных сигналов с одинаковым приоритетом, оператор видит шум, а не информацию.

Мы реализуем отложение и подавление аварийных сигналов на основе логики «причина — следствие». Когда срабатывает аварийный сигнал уровня «высокий-высокий» на силосе, система автоматически подавляет последующий сигнал «питатель работает при заполненном силосе» и сигнал «конвейер загружен». Это следствия, а не независимые неисправности. Оператор видит только первопричину и критически важные для безопасности аварийные сигналы.

Цель: не более 10 аварийных сигналов на оператора в час в стационарном режиме работы. При возмущении — не более 5 новых аварийных сигналов в первые 30 секунд. Если вы превышаете любое из этих значений, рационализация системы аварийных сигналов нуждается в доработке.

Приоритизация, отражающая реальный риск

Мы используем три уровня приоритета, а не пять. Критический (требуется немедленное действие — риск безопасности или повреждения оборудования), Срочный (действие требуется в течение 15 минут — отклонение технологического процесса), Информационный (немедленное действие не требуется — информационный характер). Это всё.

Для силосных систем к критическим аварийным сигналам относятся: уровень «высокий-высокий» (риск переполнения), срабатывание предохранительного устройства давления, срабатывание системы подавления взрыва пылеулавливающего фильтра, превышение порога структурных вибраций. К срочным аварийным сигналам относятся: высокий уровень, низкое давление аэрации, отклонение скорости питателя, обнаружение проскальзывания конвейера. К информационным аварийным сигналам относятся: напоминания о необходимости технического обслуживания, просроченная калибровка, индикаторы замены фильтров.

Вот где большинство проектных решений допускают ошибку: они делают всё срочным, потому что никто не хочет быть обвинённым в недооценке приоритета. Результат — усталость от аварийных сигналов. Операторы начинают полностью игнорировать баннер. Я видел заводы, где аварийный сирену отключали, потому что она «срабатывала слишком часто». Это не проблема оператора. Это проблема проектирования.

Дрожащие аварийные сигналы и настройки зоны нечувствительности

Аварийные сигналы уровня на силосах славятся дрожанием. Поверхность материала никогда не бывает ровной — она коническая во время заполнения, кратерообразная во время выгрузки и прыгающая во время аэрации. Аварийный сигнал высокого уровня, установленный на 85% с зоной нечувствительности 1%, будет дрожать каждый раз, когда силос на 3 000 тонн принимает грузовик весом 50 тонн.

Мы устанавливаем зоны нечувствительности в процентах от измеряемого диапазона, а не как фиксированное значение. Для сигналов уровня: зона нечувствительности 3–5%. Для сигналов давления: зона нечувствительности 5–8%. Для сигналов температуры: зона нечувствительности минимум 2°C. И мы задаём минимальное время повторного аварийного сигнала 60 секунд — если то же условие аварии срабатывает повторно в течение 60 секунд, оно не повторно анонсируется. Оно остаётся в баннере, но не мигает и не звучит снова.

На заводе по золе-уносу в Индии мы насчитали 1 200 дрожащих аварийных сигналов за одну 8-часовую смену до внедрения настроек зоны нечувствительности и времени повторного сигнала. После: 47 обоснованных аварийных сигналов. Тот же процесс, то же оборудование. Просто лучшая конфигурация аварийных сигналов.

Отображение уровня и управление запасами

Непрерывный против дискретного — показ того, что важно

Непрерывное измерение уровня (радар, радар с направляющей волной или 3D-сканеры уровня) должно быть на главном экране детализации силоса. Дискретные переключатели уровня (роторная лопасть, ёмкостные, вибрационные вилки) должны быть на экране конфигурации аварийных сигналов и в логике защитных блокировок — а не на основном дисплее оператора.

Оператору необходимо видеть: текущий уровень в процентах, текущую массу в тоннах и скорость изменения уровня (тонн в час). Последнее критически важно. Силос на 70%, который заполняется со скоростью 200 т/ч, имеет совершенно другую степень срочности, чем силос на 70%, который заполняется со скоростью 5 т/ч. Показывайте скорость. Всегда.

Для оценки массы мы используем таблицу геометрии силоса, хранящуюся в ПЛК — площадь поперечного сечения для каждого прироста высоты 0,5 метра, умноженную на насыпную плотность, введённую оператором. Насыпная плотность варьируется. Цемент плотностью 1,1 т/м³ — это не то же самое, что сырой цемент плотностью 1,5 т/м³. HMI должен позволять оператору корректировать насыпную плотность для каждого типа материала и должен отображать принятую плотность рядом с расчётом массы. В противном случае значение — это лишь догма, замаскированная под точность.

Оценка массы и отображение объёма

Некоторые клиенты настаивают на отображении объёма в кубических метрах. Я понимаю почему — это то, что уровнемер измеряет непосредственно. Но операторы мыслят не в кубических метрах. Они мыслят в загрузках самосвалов, в днях запаса, в оставшихся тоннах.

Мы отображаем оба значения, но масса — первична. Объём — вторичен и показывается более мелким шрифтом. Кроме того, мы добавляем расчёт «дней запаса» на основе текущей скорости расхода. Если в силосе находится 800 тонн клинкера, а печь потребляет 35 т/ч, на дисплее отображается «Осталось 91 час». Именно это значение предотвращает остановку производства.

На заводе по помолу шлака во Вьетнаме оператор наблюдал за процентным уровнем и не понял, что силос почти пуст, поскольку насыпная плотность изменилась после повышения влажности. Отображение массы сразу бы выявило это. Мы добавили его во время выходного останова. При следующей критической ситуации оператор увидел падение массы и переключился на резервный силос, имея в запасе шесть часов.

Компенсация геометрии силоса

Не все силосы являются цилиндрическими. Конические днища, секции бункеров, эксцентричные разгрузочные устройства — геометрия имеет значение для точности расчёта массы. Мы сохраняем полный профиль геометрии в ПЛК и используем линейную интерполяцию между точками измерения.

Для цементного силоса ёмкостью 5 000 тонн с коническим днищем под углом 60° нижние 4 метра силоса составляют лишь 12% от общего объёма, но 22% от диапазона измерения уровня. Если использовать простое приближение цилиндра, погрешность массы в нижней трети составляет 8–15%. Именно в этом диапазоне наиболее высок риск переполнения. Обеспечьте точность именно здесь.

Мы также учитываем угол естественного откоса при заполнении. Силос, заполняющийся сверху через центральный загрузочный патрубок, формирует конусообразную кучу — вершина выше среднего уровня. 3D-сканер уровня позволяет измерять профиль поверхности и рассчитывать истинный объём. Если вы используете одоточечный радар, применяйте поправочный коэффициент 0,92–0,95 для отображаемого уровня в процессе операций заполнения. Это не идеально, но это консервативный подход.

Управление потоком материала и выгрузкой

Визуализация системы аэрации

Системы аэрации на силосах для цемента и летучей золы — наиболее частая причина затруднений у операторов. Множественные зоны аэрационных подушек, последовательное управление по времени, уставки давления — если HMI не отображает реальную ситуацию, операторы переводят всё на ручное управление, и система становится очень дорогим украшением.

Мы отображаем каждую зону аэрации в виде сегмента на графике дна силоса. Активные зоны — зелёные. Неактивные зоны — серые. Текущее давление аэрации отображается в цифровом виде, а уставка — в виде целевой линии на небольшом тренде. Таймер последовательности — если он предусмотрен — показывает текущий шаг и время, оставшееся на данном шаге.

Критически важно: показывать расход воздуха, а не только давление. Зона может показывать давление 0,3 бар и нулевой расход, если аэрационная подушка засорена. Оператору необходимо видеть оба параметра. Мы используем измерение перепада давления на аэрационной подушке для определения расхода. Если перепад давления падает ниже 50 мбар при активной зоне, мы формируем предупредительную сигнализацию «засорение аэрационной подушки».

Индикация расхода и суммирование

Для гравиметрических систем выгрузки (кориолисовые расходомеры или конвейерные весы) HMI должен отображать мгновенный расход, суммарную массу текущей партии и целевой размер партии. Для объёмных систем (роторные затворы, шнековые питатели) отображается рассчитанный расход на основе скорости и калибровочного коэффициента — при этом калибровочная дата должна быть выведена на видное место.

Мы добавляем показатель «эффективность выгрузки»: фактическая масса выгруженного материала, делённая на теоретическую производительность за тот же период времени. Если роторный затвор с номинальной производительностью 150 т/ч в среднем выдаёт 110 т/ч, эффективность составляет 73%. Это число говорит оператору о наличии проблемы — износе ротора, образовании сводов выше по потоку или утечке воздуха — до того, как она перерастёт в кризис.

На проекте угольного силоса в Индонезии индикатор эффективности разгрузки выявил износ ротора за три недели до того, как это могло бы привести к снижению производительности завода. Эффективность снизилась с 88% до 71% за 10 дней. Служба технического обслуживания заменила ротор во время планового останова. Стоимость: $2,400. Незапланированная замена в процессе производства: $18,000 потерянной продукции плюс стоимость ротора.

Статус активатора и питателя бункера

Активаторы бункеров — бинарные устройства, они либо включены, либо выключены, — однако интерфейс HMI должен отображать амплитуду вибрации, если датчик доступен. Амплитуда ниже 60% от номинальной указывает на механическую неисправность: ослабление крепёжных болтов, износ пружин или налипание материала на стену силоса.

Для ленточных и пластинчатых питателей должны отображаться: скорость ленты, ток двигателя и статус обнаружения проскальзывания ленты. Проскальзывание ленты на питателе разгрузки силоса представляет пожарную опасность при работе с горючими материалами, такими как уголь или сыровая смесь. Тревога должна иметь критический приоритет, а не просто высокий.

Мы также отображаем метку времени и длительность «последней разгрузки». Если силос не разгружался более 72 часов, а материал чувствителен ко времени (например, горячий клинкер или влажная летучая зола), интерфейс HMI выводит предупреждение «старение материала». Это простой таймер, но он предотвращает множество проблем.

Блокировки безопасности и аварийные процедуры

Индикация защиты от переполнения

Блокировка по верхнему-верхнему уровню — важнейшая функция безопасности в любой силосной системе. Интерфейс HMI должен отображать: текущий уровень, уставку блокировки, статус блокировки (включена или обойдена) и состояние выхода (конвейер загрузки остановлен или нет).

Если блокировка обойдена — по любой причине — интерфейс HMI должен отображать постоянный, непропустимый баннер. Красный фон, белый текст, подтверждение не требуется. Мы используем полноэкранный баннер в верхней части каждой страницы с надписью «SILO 3 HIGH-HIGH LEVEL INTERLOCK BYPASSED», который остаётся на экране до снятия обхода. Без прокрутки, без таймаута, без скрытия за меню.

Стандарт EN 14491 требует, чтобы критически важные блокировки безопасности проверялись с установленной периодичностью. Мы добавляем поле «дата последней проверки» на экран отображения блокировки. Если проверка просрочена более чем на 30 дней, интерфейс HMI генерирует предупредительную тревогу. Это не является законодательным требованием в большинстве юрисдикций, но является хорошей практикой и защищает всех при визите инспектора.

Индикаторы риска пылевого взрыва

Для горючих материалов — уголь, летучая зола, оксид алюминия, определённые химические порошки — HMI должен отображать параметры риска пылевого взрыва. Концентрация пыли в подкупольном пространстве (при наличии измерения), концентрация CO (для угольных силосов) и уровень кислорода (при наличии систем инертизации).

ISO 15012 и EN 14491 определяют рамочные требования по предотвращению пылевых взрывов. HMI не обязан реализовывать логику безопасности — это задача ПЛК — но он должен отображать оператору, какие параметры фиксирует система безопасности. Если уровень CO в угольном силосе растёт, оператор должен видеть тренд, а не только аварийный сигнал. Тренд, при котором показатель поднимается с 20 ppm до 80 ppm за 4 часа, говорит о совершенно иной ситуации, чем скачок с 20 ppm до 80 ppm за 10 минут.

Мы отображаем тренды CO в скользящем окне 24 часа с порогами аварийных сигналов: 50 ppm (предупредительный) и 100 ppm (критический). Для контроля кислорода в инертных силосах на экране отображается текущий процент O₂ с критическим аварийным сигналом на уровне 8% — типичный порог, ниже которого поддержание горения невозможно.

Интеграция аварийного останова

На каждом экране детализации силоса предусмотрена кнопка аварийного останова. Она крупная, красная и расположена в одном и том же месте на всех экранах — нижний правый угол, минимальный размер 48×48 пикселей. Мышечная память имеет значение, когда кто-то кричит, а пыль видна невооружённым глазом.

Аварийная остановка должна запускать заранее определённую последовательность останова, а не просто отключать питание. Приточный конвейер останавливается, выгрузочный питатель останавливается, аэрация прекращается, пылеулавливающее устройство продолжает работу в течение 5 минут для удаления взвешенной пыли. HMI должен отображать последовательность останова поэтапно по мере её выполнения, чтобы оператор знал, что происходит и что будет дальше.

После аварийного останова HMI должен требовать ручного сброса перед запуском любого оборудования. На экране сброса отображается контрольный список: «Убедиться, что уровень заполнения силоса ниже 80%. Убедиться, что внутри силоса отсутствуют люди. Убедиться, что причина аварийного останова устранена. Подтвердить сброс.» Все три флажка должны быть отмечены, прежде чем кнопка сброса станет активной. Никаких обходных путей.

Регистрация данных, тренды и отчётность

Что регистрировать и с какой частотой

Регистрировать всё, что влияет на точность учёта запасов или безопасность. Уровень: каждые 10 секунд при загрузке или выгрузке, каждые 60 секунд в стационарном режиме. Масса: с тем же интервалом, что и уровень. Давление аэрации: каждые 5 секунд. Расход выгрузки: каждые 5 секунд. Аварийные события: каждое происшествие с отметкой времени с точностью до миллисекунды.

Не все параметры нужно регистрировать с одинаковой частотой. Силос ёмкостью 3000 тонн с опросом 50 тегов каждую секунду генерирует 4,3 миллиона точек данных в сутки. Хранение такого объёма обходится дорого, а извлечение данных занимает много времени. Используйте событийную регистрацию для стабильных состояний процесса и периодическую регистрацию для динамических операций.

Мы настраиваем историк на сжатие данных с помощью алгоритма «качающаяся дверь» (swing door) с зоной нечувствительности 0,5% для уровня и 1% для давления. Это, как правило, сокращает объём хранимых данных на 60–70% без потери значимой информации.

Отображение трендов, которое реально используют операторы

Операторы не используют тренды для любования данными. Они используют их, чтобы ответить на конкретные вопросы: «Почему уровень упал на 2 метра между полуночью и 6 часами утра?», «Давление аэрации стабильно или дрейфует?», «Когда последний раз работал питатель?»

Мы заранее настраиваем четыре стандартных тренда на каждом экране детализации силоса: уровень (24 часа), масса (24 часа), давление аэрации (4 часа) и расход выгрузки (4 часа). Операторы могут масштабировать и перемещать изображение, но представление по умолчанию даёт ответы на наиболее частые вопросы без каких-либо действий.

На тренде уровня мы накладываем уставки аварийных сигналов в виде горизонтальных линий. На тренде массы — целевой диапазон остатков на складе. На тренде давления аэрации — уставку и границы зоны нечувствительности. Контекст имеет значение. Тренд без ориентировочных линий — это просто кривая.

Отчёты по сверке остатков

Каждый управляющий предприятием хочет знать: совпадает ли учётный остаток с фактическим? Интерфейс HMI должен формировать ежедневный отчёт сверки, отображающий: остаток на начало периода, общее поступление, общую отгрузку, расчётный остаток на конец периода и отклонение между расчётным и фактическим остатком на конец периода.

Для хорошо откалиброванной системы отклонение должно быть менее 2%. Если оно стабильно превышает 5%, что-то не в порядке — дрейф измерения уровня, ошибка в допущении насыпной плотности или незарегистрированное перемещение материала. Отчёт выделяет любой день, когда отклонение превышает 3%, и любую неделю, когда кумулятивное отклонение превышает 2%.

На цементном терминале в ОАЭ отчёт сверки выявил отклонение в 4,7%, которое оказалось следствием негерметичного шиберного затвора. Во время отгрузки материал направлялся не в тот силос. Из-за утечки в сутки терялось 15 тонн материала, который поступал в силос без мониторинга. Отчёт окупил себя за первую неделю.

Тематическое исследование: переработка HMI терминала золы-уноса

Терминал золы-уноса в центральной части Китая — четыре силоса ёмкостью по 2 000 тонн, две линии приёма по железной дороге, три станции погрузки в автоцистерны — в среднем имел 12 внеплановых остановок в месяц. Коренная причина заключалась не в отказе оборудования, а в непонимании со стороны операторов.

Исходный HMI содержал 47 экранов, не имел единой структуры навигации и генерировал в среднем 180 аварийных сигналов за смену. Операторы тратили больше времени на подтверждение аварийных сигналов, чем на контроль технологического процесса. При проведении операции погрузки в автоцистерну оператору приходилось переходить через пять экранов для запуска последовательности, а ход погрузки отображался на шестом экране, который никто не вспоминал проверить.

Мы полностью переработали HMI с нуля. Сократили количество экранов до 12. Внедрили логику подавления аварийных сигналов, которая снизила их количество до 22 за смену. Создали единый экран «Погрузка в автоцистерну», на котором вся последовательность — выбор силоса, скорость погрузки, суммарный вес и положение автоцистерны — отображалась на одной странице. Добавили расчёт «дней запаса» для каждого силоса на основе текущей скорости отгрузки.

Результат: количество внеплановых остановок снизилось с 12 в месяц до 2. Время погрузки в автоцистерны сократилось на 18%, поскольку операторам больше не приходилось перемещаться по меню. Руководитель предприятия сообщил нам, что HMI окупила себя в первый же месяц. Общая стоимость проекта: $34 000, включая модификацию логики ПЛК, разработку HMI и пусконаладочные работы на объекте. Ежемесячная выручка предприятия составляет $1,2 млн. Сокращение времени простоя на 10% приносит экономию, превышающую стоимость проекта, каждый без исключения месяц.

Часто задаваемые вопросы

Какой рекомендуемый размер экрана для панели HMI силоса?

Для выделенной панели управления силосами минимальным размером является 15 дюймов. 19 дюймов — предпочтительнее. Для центрального диспетчерского пункта, где HMI-панель силосов размещается совместно с другими зонами предприятия, — 24 дюйма. Мы применяли 12-дюймовые панели на небольших установках, и они работают, но операторам приходится прокручивать экран чаще, чем следовало бы. Экранное пространство обходится дёшево по сравнению со временем оператора.

Должна ли HMI-панель связываться непосредственно с ПЛК или через OPC-сервер?

Всегда через OPC UA-сервер. Прямая связь с ПЛК привязывает HMI к конкретному производителю ПЛК и делает последующие модернизации болезненными. OPC UA обеспечивает независимость от поставщика, встроенные средства безопасности (соответствие IEC 62443) и возможность подключения дополнительных клиентов — таких как архив данных предприятия или мобильная панель мониторинга — без изменения конфигурации HMI. Разница в производительности для приложений силосов незначительна. Частота обновления 500 мс–1 с более чем достаточна для хранения сыпучих материалов.

Как часто следует выполнять резервное копирование HMI-приложения?

После каждого изменения. Не ежедневно, не еженедельно — после каждого единичного изменения. Мы ведём версионный контроль файла проекта HMI и храним его на сетевом диске с автоматическим резервным копированием. Каждая версия помечается датой, описанием изменения и фамилией инженера. Если что-то выйдет из строя в 2 часа ночи, необходимо точно знать, что именно изменилось и кто это изменил. «Вчера HMI работала исправно» — это не стратегия резервного копирования.