Bir paketleme makinesinin PLC’si arızalandığında makine durur, bakım ekibi müdahale eder ve üretim bir süre sonra kaldığı yerden devam eder. Can sıkıcıdır ama çoğu zaman telafi edilebilir. Bir su arıtma tesisinin, enerji santralinin, ilaç reaktörünün ya da sürekli çalışan bir kimya prosesinin kontrol sisteminde aynı arıza ise bambaşka sonuçlar doğurabilir: bozulan bir parti, çevreye zarar, şebekeden düşen bir santral veya güvenlik riski.

Bu tür uygulamalarda tek bir kontrolcünün arızası, tüm sistemin arızası olmamalıdır. Bunu sağlayan tasarım yaklaşımının adı redundancy, yani yedekliliktir. Bu yazıda PLC sistemlerinde redundancy’nin ne olduğunu, yedekli kontrol sistemlerinin nasıl çalıştığını, hangi katmanlarda uygulandığını ve sağladığı avantajları ele alıyoruz.

Redundancy (Yedeklilik) Nedir?

Redundancy, bir sistemin kritik bileşenlerinin iki (veya daha fazla) kopya hâlinde çalıştırılması ve bunlardan biri arızalandığında diğerinin görevi otomatik olarak devralmasıdır. Amaç, tek bir arıza noktasının (single point of failure) tüm sistemi durdurmasını önlemektir.

PLC sistemlerinde yedeklilik denince ilk akla gelen kontrolcü yedekliliğidir: Biri aktif (birincil), diğeri bekleme konumunda (ikincil) olan iki özdeş kontrolcü. Ancak gerçekten kesintisiz bir sistem, yalnızca kontrolcüyü değil; güç kaynaklarını, haberleşme ağını ve gerektiğinde I/O’yu da yedekli hâle getirmeyi gerektirir.

Yedekli Kontrol Sistemi Nasıl Çalışır?

Tipik bir yedekli kontrol sisteminde iki özdeş kontrolcü şasisi bulunur. Her iki şaside aynı kontrolcü, aynı haberleşme modülleri ve aynı yedeklilik modülü yer alır.

1. Birincil ve İkincil Kontrolcü

Normal işletmede birincil kontrolcü programı çalıştırır, I/O’yu okur ve çıkışları kontrol eder. İkincil kontrolcü aynı programa sahiptir, ancak çıkışları kontrol etmez; birincilin her adımını takip ederek hazır bekler.

2. Senkronizasyon (Crossloading)

İki kontrolcü arasında, genellikle fiber optik kabloyla bağlanan yedeklilik modülleri üzerinden sürekli veri aktarımı yapılır. Birincil kontrolcü, her program taramasında değişen verileri ikincil kontrolcüye aktarır. Böylece ikincil kontrolcü, birincilin durumunu güncel olarak bilir. Bu süreç, sistemin yanıt süresini bir miktar artırır; bu nedenle yedekli sistemlerde program yapısı ve görev zamanlaması bu ek yük dikkate alınarak tasarlanmalıdır.

3. Arıza Tespiti ve Geçiş (Switchover)

Birincil kontrolcüde, güç kaynağında, haberleşme modülünde veya şaside bir arıza tespit edildiğinde sistem otomatik olarak geçiş yapar. İkincil kontrolcü birincil rolüne geçer ve kontrolü devralır. İyi tasarlanmış bir sistemde bu geçiş kesintisizdir (bumpless): Çıkışlar ani değişim yapmaz, proses değişkenleri sıçramaz.

4. Onarım ve Yeniden Senkronizasyon

Arızalı birim değiştirildikten sonra, yeni ikincil kontrolcü otomatik olarak birincil kontrolcüyle senkronize olur ve sistem yeniden tam yedekli hâle gelir. Bu işlem proses durdurulmadan yapılabilir.

Hot, Warm ve Cold Standby

Yedekli sistemler, bekleme biriminin ne kadar hazır olduğuna göre üç temel gruba ayrılır:

Endüstriyel kontrolde “redundant PLC” denildiğinde çoğunlukla hot standby yapı kastedilir. Allen-Bradley ControlLogix platformu, yedeklilik modülleriyle bu tür bir hot standby mimarisini destekler.

Yedekliliğin Katmanları

Yalnızca kontrolcüyü yedekli yapmak, sistemin geri kalanındaki tek arıza noktalarını ortadan kaldırmaz. Kapsamlı bir yedeklilik tasarımı şu katmanları birlikte ele alır.

Kontrolcü Yedekliliği

Birincil ve ikincil kontrolcünün iki ayrı şaside çalıştığı yapıdır. Kontrolcü, kontrolcü şasisindeki güç kaynağı veya haberleşme modülü arızalarına karşı koruma sağlar.

Güç Kaynağı Yedekliliği

Her şasi kendi içinde yedekli güç kaynaklarıyla beslenebilir. Ayrıca iki şasinin farklı enerji kaynaklarından (örneğin farklı UPS’ler veya farklı dağıtım panoları) beslenmesi, ortak bir besleme arızasının iki kontrolcüyü birden durdurmasını önler.

Ağ Yedekliliği

Kontrolcü ile I/O, sürücüler ve operatör panelleri arasındaki haberleşme de tek bir kablo veya switch’e bağlı olmamalıdır. Bunun için yaygın yöntemler şunlardır:

• Cihaz düzeyinde halka (DLR – Device Level Ring): Cihazlar halka topolojisinde bağlanır. Halkadaki tek bir kablo koptuğunda trafik diğer yönden akmaya devam eder.
• Paralel yedekli protokol (PRP): Veri, birbirinden bağımsız iki ağ üzerinden aynı anda gönderilir. Ağlardan biri tamamen devre dışı kalsa bile iletişim kesintisiz sürer.
• Yedekli switch mimarileri: Yönetilebilir endüstriyel switch’ler ile kurulan halka veya çift yollu topolojiler.

Endüstriyel ağ yapıları ve protokoller hakkında daha fazla bilgi için endüstriyel haberleşme protokolleri rehberimize göz atabilirsiniz.

I/O Yedekliliği

En kritik ölçüm ve kontrol noktalarında I/O modülleri de yedekli hâle getirilebilir. Örneğin bir reaktör sıcaklığı iki ayrı sensörle ölçülüp iki ayrı I/O modülüne bağlanabilir; program, iki ölçümü karşılaştırarak hatalı olanı devre dışı bırakır. Bazı uygulamalarda üç sensörlü “2’den 3” (2oo3) oylama yapıları kullanılır.

Kullanılabilirlik Hesabı: Yedeklilik Ne Kazandırır?

Bir sistemin kullanılabilirliği (availability), çalışır durumda olduğu zamanın toplam zamana oranıdır ve kabaca şöyle hesaplanır:

A = MTBF / (MTBF + MTTR)

• MTBF: Arızalar arası ortalama süre
• MTTR: Ortalama onarım süresi

Örnek olarak kullanılabilirliği %99,95 olan tekil bir kontrol sistemi düşünelim. Bu sistem yılda ortalama:

8760 × (1 − 0,9995) ≈ 4,4 saat duruş yaşar.

Aynı kullanılabilirliğe sahip iki birimin paralel yedekli çalıştığı ideal bir sistemde, sistemin durması için iki birimin aynı anda arızalı olması gerekir:

A_yedekli = 1 − (1 − 0,9995)² ≈ %99,999975

Bu da yılda yalnızca birkaç saniyelik beklenen duruş süresi anlamına gelir.

Bu hesap idealize edilmiştir. Gerçek sistemlerde ortak nedenli arızalar (aynı anda iki şasiyi etkileyen bir enerji kesintisi, yazılım hatası, yanlış bakım müdahalesi), geçiş mekanizmasının kendi güvenilirliği ve onarım süresi sonucu etkiler. Yine de hesap, yedekliliğin neden kritik tesislerde vazgeçilmez olduğunu açıkça gösterir.

Uygulama Örnekleri

Yedekli kontrol mimarisinin en sık karşımıza çıktığı uygulamalar şunlardır:

• Su ve atık su tesisleri: Pompa istasyonları, arıtma prosesleri ve dozajlama sistemlerinde kontrol kaybı, şehir ölçeğinde hizmet kesintisine ve çevresel risklere yol açabilir.
• Enerji üretimi: Termik, hidroelektrik ve yenilenebilir enerji santrallerinde ünite kontrolü ile yardımcı sistemlerin kontrolü genellikle yedekli kurgulanır.
• Kimya ve petrokimya: Sürekli çalışan reaktörlerde ve kolonlarda planlanmamış bir duruş, ürün kaybının ötesinde ekipman ve güvenlik riski doğurur.
• İlaç ve gıda: Steril proseslerde ve uzun süreli parti üretimlerinde kontrol kaybı, tüm partinin imha edilmesi anlamına gelebilir.
• Tünel, metro ve altyapı sistemleri: Havalandırma, aydınlatma ve güvenlik sistemlerinin kesintisiz çalışması kamu güvenliği açısından kritiktir.
• Veri merkezleri: Soğutma ve enerji altyapısının kontrol sistemleri, sunucu altyapısı kadar kritik kabul edilir.

Bu uygulamaların ortak noktası, bir duruşun maliyetinin yedekli sistemin ek yatırımından çok daha yüksek olmasıdır. Yatırım kararı verilirken yedekli sistemin ek maliyeti, yıllık beklenen duruş süresi ve bir saatlik duruşun maliyeti yan yana konarak basit bir geri dönüş analizi yapılabilir.

Yedekli Kontrol Sistemlerinin Avantajları

Kesintisiz Üretim

En temel avantaj, kontrolcü veya ilgili donanım arızasında prosesin durmamasıdır. Sürekli proseslerde bir duruşun yeniden devreye alma süresi, ürün kaybı ve ekipman zorlanması da hesaba katıldığında maliyeti çok yüksek olabilir.

Planlı Bakım Esnekliği

Yedekli sistemlerde bazı bakım işlemleri proses çalışırken yapılabilir. Örneğin ikincil şasideki bir modül değiştirilebilir ya da belirli koşullar altında firmware güncellemeleri sırayla uygulanabilir. Bu, bakım için planlı duruş ihtiyacını azaltır. Bakım stratejileri hakkında kestirimci bakım ve otomasyon yazımız da faydalı bir kaynak olacaktır.

Güvenlik ve Çevre

Kimya, petrokimya ve enerji gibi sektörlerde kontrol kaybı, güvenlik ve çevre riskleri doğurabilir. Yedeklilik, bu riskleri azaltan önemli bir katmandır. Ancak burada önemli bir ayrım yapmak gerekir: Yedekli bir kontrol sistemi, emniyet sistemi (SIS) ile aynı şey değildir. Emniyet fonksiyonları, ilgili standartlara göre ayrıca tasarlanmalı ve doğrulanmalıdır.

Müşteri ve Mevzuat Gereksinimleri

Su idareleri, enerji iletim ve dağıtım şirketleri, ilaç üreticileri gibi pek çok işletme, şartnamelerinde yedekli kontrol mimarisini zorunlu tutar.

Yedekli Sistem Tasarımında Dikkat Edilmesi Gerekenler

• Tüm tek arıza noktalarını belirleyin: Kontrolcü yedekli olsa bile tek bir switch, tek bir güç beslemesi veya tek bir I/O kablosu sistemi durdurabilir.
• İki şasiyi fiziksel olarak ayırın: Mümkünse farklı panolarda, farklı enerji kaynaklarından beslenen ve farklı güzergâhlardan kablolanan yapılar kurun.
• Program yapısını yedekliliğe göre tasarlayın: Senkronizasyon yükünü azaltmak için görev zamanlamasını ve veri yapısını optimize edin.
• Geçişi test edin: Devreye alma sırasında ve periyodik olarak, kontrollü koşullarda geçiş testleri yapın ve proses değişkenlerinin davranışını kaydedin.
• Alarm yönetimini unutmayın: Yedekli sistem bir arızayı sessizce tolere eder. İkincil birimin arızalı olduğu ve sistemin artık yedekli çalışmadığı durumlar mutlaka operatöre bildirilmelidir.
• Firmware ve donanım uyumunu koruyun: Birincil ve ikincil şasideki kontrolcü, yedeklilik modülü ve haberleşme modüllerinin firmware sürümleri uyumlu olmalıdır. Uyumsuz sürümler, senkronizasyonun kurulmasını engelleyebilir ve sistem fark edilmeden yedeksiz çalışmaya devam edebilir. Değişiklik yönetimi prosedürü bu nedenle yedekli sistemlerde ayrıca önemlidir.
• Yedek parça ve dokümantasyon: Yedekli bir sistemde arızalı birimin hızla değiştirilmesi, sistemin tekrar tam korumaya dönmesi için kritiktir.

Sıkça Sorulan Sorular

Her PLC sistemi yedekli olmalı mı?

Hayır. Yedeklilik ek maliyet ve tasarım karmaşıklığı getirir. Bir duruşun maliyetinin ve riskinin yüksek olduğu sürekli proseslerde mantıklıdır. Tekil makinelerde çoğu zaman yedek parça stoğu ve hızlı müdahale yeterli olur.

Yedekli sistemde geçiş sırasında veri kaybolur mu?

Hot standby yapıda ikincil kontrolcü sürekli senkronize olduğu için veri kaybı minimum düzeydedir. Ancak senkronizasyonun hangi noktada yapıldığına bağlı olarak son tarama içindeki bazı değişiklikler tekrar işlenebilir. Program tasarımında bu durum dikkate alınmalıdır.

Yedekli sistemde iki kontrolcü aynı programı mı çalıştırır?

Evet. Birincil ve ikincil kontrolcüde aynı proje yüklüdür. Normal işletmede programı birincil kontrolcü yürütür ve çıkışları kontrol eder; ikincil kontrolcü ise senkronizasyon verileriyle güncel kalarak devralmaya hazır bekler. Program değişiklikleri de iki kontrolcüye tutarlı biçimde aktarılacak şekilde yönetilir.

Mevcut tekil bir sisteme sonradan yedeklilik eklenebilir mi?

Platform yedekliliği destekliyorsa eklenebilir; ancak ikinci bir şasi, yedeklilik modülleri, ağ altyapısının yeniden düzenlenmesi ve programın yedekliliğe uygun hâle getirilmesi gerekir. Bu nedenle kritik bir proses için yedeklilik ihtimali varsa, platform seçimi ve ağ mimarisi proje başında buna uygun yapılmalıdır.

Redundancy ile emniyet PLC’si aynı şey mi?

Değildir. Redundancy kullanılabilirliği artırır; emniyet PLC’leri ise tehlikeli bir durumda sistemi güvenli konuma getirmek için tasarlanır ve SIL/PL gibi emniyet seviyelerine göre sertifikalandırılır. İkisi birlikte kullanılabilir, ancak birbirinin yerine geçmez.

Kesintisiz Proses, Güvenilir Kontrol

PLC sistemlerinde redundancy, kritik proseslerin tek bir arıza yüzünden durmamasını sağlayan temel tasarım yaklaşımıdır. Kontrolcü, güç, ağ ve I/O katmanlarında doğru kurgulanmış bir yedeklilik yapısı; kesintisiz üretim, planlı bakım esnekliği ve daha yüksek işletme güvenliği sağlar.

AB Market Otomasyon olarak Allen-Bradley ControlLogix tabanlı yedekli kontrol mimarileri için gerekli PLC ürünleri, haberleşme modülleri ve endüstriyel switch çözümlerini sunuyoruz. Projenizin yedeklilik ihtiyacını birlikte değerlendirmek için bizimle iletişime geçebilirsiniz.