DCS系統(tǒng)冗余過程控制器切換時間測量方法淺析

吳勝華，田海波

（南京國電南自維美德自動化有限公司，南京 210061）

隨著分散控制系統(tǒng)（DCS）在火力發(fā)電站以及化工生產(chǎn)過程中的廣泛應(yīng)用和覆蓋面的不斷擴(kuò)展，故對其性能以及可靠性的要求顯得尤為重要。絕大多數(shù)火電廠為了設(shè)備的可靠運行，均采用的冗余控制器對現(xiàn)場設(shè)備進(jìn)行控制[1]，即當(dāng)主控制器運行出現(xiàn)問題時，從控制器能夠及時接管控制，從而保證現(xiàn)場被控設(shè)備的可靠安全運行[2]。采用冗余技術(shù)可以明顯提高系統(tǒng)可靠性，其可靠性的上升呈指數(shù)趨勢，如使用兩個可靠性為80%的子系統(tǒng)并聯(lián)為一個完整系統(tǒng)，則系統(tǒng)可靠性將上升至96%。

1 冗余定義及注意事項

IEEE 核電站安全系統(tǒng)標(biāo)準(zhǔn)委員會對冗余系統(tǒng)的定義為：一設(shè)備或系統(tǒng)與另一設(shè)備或系統(tǒng)的基本功能完全相同，它們不管其中一個運行還是故障，另一個都可以執(zhí)行要求的功能。這個定義并未涉及冗余系統(tǒng)中各個子系統(tǒng)的切換及切換時間問題，但在實際應(yīng)用場合中，冗余系統(tǒng)的這個問題卻是不得不認(rèn)真考慮的，因為它會影響整個系統(tǒng)功能的執(zhí)行，嚴(yán)重時甚至?xí)谷哂嘞到y(tǒng)達(dá)不到預(yù)期的目的。所有的備用式冗余結(jié)構(gòu)，都存在切換的瞬間輸出擾動的可能性，也就是雙機(jī)的輸出運算結(jié)果在切換前是不一致的，如果是開關(guān)量不一致，將導(dǎo)致閥門從開狀態(tài)跳動到關(guān)狀態(tài)，或從關(guān)狀態(tài)跳動到開狀態(tài)。如果是模擬量輸出不一致的程度較大，現(xiàn)場閥門的開關(guān)會發(fā)生明顯的波動[3]。

2 主流冗余實現(xiàn)方式

圖1 切換時間計算原理示意圖Fig.1 Switch time calculation schematic

圖2 測試硬件配置Fig.2 Test inghardware configuration

控制器的冗余有多種實現(xiàn)方式，為了保證切換時不發(fā)生上述擾動，目前主流廠家均采用雙機(jī)熱備模式。主從過程控制器之間通過專用網(wǎng)絡(luò)連接，此專用網(wǎng)絡(luò)既用來實現(xiàn)控制邏輯以及各種變量數(shù)據(jù)的同步，同時還傳遞主控制器正常工作的心跳信號[4]。主控制器將本站內(nèi)的控制邏輯通過專用冗余網(wǎng)絡(luò)拷貝到從控制器，從而使主從控制器內(nèi)運行的控制邏輯保持一致；主控制器每輪執(zhí)行控制邏輯前將所有的輸入變量數(shù)據(jù)通過專用冗余網(wǎng)絡(luò)拷貝到從控制器；主從控制器均使用此數(shù)據(jù)進(jìn)行本輪邏輯運算。主從控制器不僅同時運行相同的控制邏輯，并且還共享IO 總線。當(dāng)從控制器檢測并確定主控制器停止工作或宕機(jī)時，它必須馬上進(jìn)行接管[5]；主控制器工作時獨占IO 總線讀寫，此時從控制器是無法訪問IO 總線的，只有當(dāng)發(fā)生切換后才能取得對IO總線的控制權(quán)，同時需要啟動相關(guān)的通信服務(wù)來接管IO 總線。這種雙機(jī)熱備的切換時間很短，大約為毫秒級的數(shù)量級，中華人民共和國電力行業(yè)標(biāo)準(zhǔn)DL/T 261-2012《火力發(fā)電廠熱工自動化系統(tǒng)可靠性評估技術(shù)導(dǎo)則》中第6.2.1.2 條款 控制器性能配置中的控制器指標(biāo)應(yīng)滿足的第一條規(guī)定了：“冗余控制器切換時間不大于4ms[6]”。

上述說明表示，控制器的切換會使得控制回路出現(xiàn)短時間的中斷，這對火電廠的一些實時性要求較高的設(shè)備的控制會出現(xiàn)影響。所以對控制器的切換時間的測量顯得愈發(fā)重要，目前對不同控制系統(tǒng)控制器的切換時間的測量還沒有一個標(biāo)準(zhǔn)。因此，對于使用分散控制系統(tǒng)的火電站或者企業(yè)來說，急需一套簡單可靠的指導(dǎo)方法、設(shè)備來檢測此參數(shù)。

3 檢測原理分析

假定控制器的控制邏輯運行周期為T，則可搭建一個控制邏輯使控制器每個執(zhí)行周期翻轉(zhuǎn)輸出一個DO 信號，那么相鄰的一個上升沿和一個下降沿之間的時間間隔可認(rèn)為是控制器的一個控制周期。如圖1 所示，輸出方波的周期為Tout，則控制器的運行周期T= Tout/2。

當(dāng)控制器未發(fā)生切換時，控制器會周期性的輸出方波信號，兩個相鄰沿所記錄的時刻分別為T1 和T2，則T=T2-T1。

當(dāng)控制器發(fā)生切換時，假定切換時間為Ttakeover，則表示從控制器需要花費Ttakeover的時間長度來檢測并確定主控制器故障并執(zhí)行控制邏輯的接管，因為是熱備冗余模式，故從控制器將會從主控制器發(fā)生故障時的當(dāng)前邏輯繼續(xù)執(zhí)行，其表現(xiàn)結(jié)果是使控制器執(zhí)行控制邏輯的時間加長，同樣記錄下切換時兩個相鄰沿發(fā)生的具體時刻，分別為T1 和T2。此時，T1 和T2 之間的時間間隔將大于控制器的正常運行周期T，應(yīng)為T+ Ttakeover，故切換時間Ttakeover可通過在控制器執(zhí)行切換時記錄的T2 和T1 數(shù)據(jù)計算出來，Ttakeover=T2-T1-Tout/2。

4 實現(xiàn)方法簡介

按照上述原理分析，現(xiàn)采用如下方法來測量冗余控制器的切換時間。按圖2 所示搭建硬件測試平臺。冗余控制器需通過IO 通信網(wǎng)絡(luò)擴(kuò)展1 塊DO 模件和SOE 模件，控制器的模擬方波信號通過DO 模件的某一通道輸出，同時將此通道與SOE 模件的1 個輸入通道連接。通過SOE 模件來記錄相鄰沿的發(fā)生時刻，可達(dá)到1ms 的分辨率。

如圖3 所示，在冗余控制器內(nèi)搭建RS 觸發(fā)器輸出至具有額定執(zhí)行周期的的邏輯模塊，并將該模塊的前后輸出返回至RS 觸發(fā)器的復(fù)位和置位端，這樣可以通過調(diào)整控制器的執(zhí)行周期來輸出不同周期的方波信號。

采用某廠家分散控制系統(tǒng)進(jìn)行實際測試，實驗時采用圖2 的配置方式，設(shè)置方波的周期為500ms，當(dāng)控制器未發(fā)生切換時，根據(jù)SOE 記錄的事件時標(biāo)可計算出相鄰兩次事件的時間間隔為250ms（控制器的執(zhí)行周期）；當(dāng)發(fā)生切換時，同樣根據(jù)SOE 記錄的事件時標(biāo)可計算出冗余控制器切換時間Ttakeover，可進(jìn)行多次測量，驗證其正確性和準(zhǔn)確性。

圖3 控制器方波發(fā)生實現(xiàn)邏輯Fig.3 Controller square wave implementation logic

5 結(jié)論

首先，不同廠家的分散控制系統(tǒng)都自帶SOE 模件，因此本方法可廣泛應(yīng)用于各廠家的冗余控制器切換時間的測量；其次，SOE 模件事件記錄分辨率要求均為1ms，而冗余控制器的切換時間也為毫秒級，故通過此設(shè)備測量冗余控制器切換時間的精度可以達(dá)到1ms。本檢測方法在電廠DCS 系統(tǒng)每年的可靠性檢測中都被實際應(yīng)用，同時本測試方法已獲得國家發(fā)明專利授權(quán)。