吳勝華，田海波

（南京國電南自維美德自動(dòng)化有限公司，南京 210061）

隨著分散控制系統(tǒng)（DCS）在火力發(fā)電站以及化工生產(chǎn)過程中的廣泛應(yīng)用和覆蓋面的不斷擴(kuò)展，故對其性能以及可靠性的要求顯得尤為重要。絕大多數(shù)火電廠為了設(shè)備的可靠運(yùn)行，均采用的冗余控制器對現(xiàn)場設(shè)備進(jìn)行控制[1]，即當(dāng)主控制器運(yùn)行出現(xiàn)問題時(shí)，從控制器能夠及時(shí)接管控制，從而保證現(xiàn)場被控設(shè)備的可靠安全運(yùn)行[2]。采用冗余技術(shù)可以明顯提高系統(tǒng)可靠性，其可靠性的上升呈指數(shù)趨勢，如使用兩個(gè)可靠性為80%的子系統(tǒng)并聯(lián)為一個(gè)完整系統(tǒng)，則系統(tǒng)可靠性將上升至96%。

1 冗余定義及注意事項(xiàng)

IEEE 核電站安全系統(tǒng)標(biāo)準(zhǔn)委員會對冗余系統(tǒng)的定義為：一設(shè)備或系統(tǒng)與另一設(shè)備或系統(tǒng)的基本功能完全相同，它們不管其中一個(gè)運(yùn)行還是故障，另一個(gè)都可以執(zhí)行要求的功能。這個(gè)定義并未涉及冗余系統(tǒng)中各個(gè)子系統(tǒng)的切換及切換時(shí)間問題，但在實(shí)際應(yīng)用場合中，冗余系統(tǒng)的這個(gè)問題卻是不得不認(rèn)真考慮的，因?yàn)樗鼤绊懻麄€(gè)系統(tǒng)功能的執(zhí)行，嚴(yán)重時(shí)甚至?xí)谷哂嘞到y(tǒng)達(dá)不到預(yù)期的目的。所有的備用式冗余結(jié)構(gòu)，都存在切換的瞬間輸出擾動(dòng)的可能性，也就是雙機(jī)的輸出運(yùn)算結(jié)果在切換前是不一致的，如果是開關(guān)量不一致，將導(dǎo)致閥門從開狀態(tài)跳動(dòng)到關(guān)狀態(tài)，或從關(guān)狀態(tài)跳動(dòng)到開狀態(tài)。如果是模擬量輸出不一致的程度較大，現(xiàn)場閥門的開關(guān)會發(fā)生明顯的波動(dòng)[3]。

2 主流冗余實(shí)現(xiàn)方式

圖1 切換時(shí)間計(jì)算原理示意圖Fig.1 Switch time calculation schematic

圖2 測試硬件配置Fig.2 Test inghardware configuration

控制器的冗余有多種實(shí)現(xiàn)方式，為了保證切換時(shí)不發(fā)生上述擾動(dòng)，目前主流廠家均采用雙機(jī)熱備模式。主從過程控制器之間通過專用網(wǎng)絡(luò)連接，此專用網(wǎng)絡(luò)既用來實(shí)現(xiàn)控制邏輯以及各種變量數(shù)據(jù)的同步，同時(shí)還傳遞主控制器正常工作的心跳信號[4]。主控制器將本站內(nèi)的控制邏輯通過專用冗余網(wǎng)絡(luò)拷貝到從控制器，從而使主從控制器內(nèi)運(yùn)行的控制邏輯保持一致；主控制器每輪執(zhí)行控制邏輯前將所有的輸入變量數(shù)據(jù)通過專用冗余網(wǎng)絡(luò)拷貝到從控制器；主從控制器均使用此數(shù)據(jù)進(jìn)行本輪邏輯運(yùn)算。主從控制器不僅同時(shí)運(yùn)行相同的控制邏輯，并且還共享IO 總線。當(dāng)從控制器檢測并確定主控制器停止工作或宕機(jī)時(shí)，它必須馬上進(jìn)行接管[5]；主控制器工作時(shí)獨(dú)占IO 總線讀寫，此時(shí)從控制器是無法訪問IO 總線的，只有當(dāng)發(fā)生切換后才能取得對IO總線的控制權(quán)，同時(shí)需要啟動(dòng)相關(guān)的通信服務(wù)來接管IO 總線。這種雙機(jī)熱備的切換時(shí)間很短，大約為毫秒級的數(shù)量級，中華人民共和國電力行業(yè)標(biāo)準(zhǔn)DL/T 261-2012《火力發(fā)電廠熱工自動(dòng)化系統(tǒng)可靠性評估技術(shù)導(dǎo)則》中第6.2.1.2 條款 控制器性能配置中的控制器指標(biāo)應(yīng)滿足的第一條規(guī)定了：“冗余控制器切換時(shí)間不大于4ms[6]”。

上述說明表示，控制器的切換會使得控制回路出現(xiàn)短時(shí)間的中斷，這對火電廠的一些實(shí)時(shí)性要求較高的設(shè)備的控制會出現(xiàn)影響。所以對控制器的切換時(shí)間的測量顯得愈發(fā)重要，目前對不同控制系統(tǒng)控制器的切換時(shí)間的測量還沒有一個(gè)標(biāo)準(zhǔn)。因此，對于使用分散控制系統(tǒng)的火電站或者企業(yè)來說，急需一套簡單可靠的指導(dǎo)方法、設(shè)備來檢測此參數(shù)。

3 檢測原理分析

假定控制器的控制邏輯運(yùn)行周期為T，則可搭建一個(gè)控制邏輯使控制器每個(gè)執(zhí)行周期翻轉(zhuǎn)輸出一個(gè)DO 信號，那么相鄰的一個(gè)上升沿和一個(gè)下降沿之間的時(shí)間間隔可認(rèn)為是控制器的一個(gè)控制周期。如圖1 所示，輸出方波的周期為Tout，則控制器的運(yùn)行周期T= Tout/2。

當(dāng)控制器未發(fā)生切換時(shí)，控制器會周期性的輸出方波信號，兩個(gè)相鄰沿所記錄的時(shí)刻分別為T1 和T2，則T=T2-T1。

當(dāng)控制器發(fā)生切換時(shí)，假定切換時(shí)間為Ttakeover，則表示從控制器需要花費(fèi)Ttakeover的時(shí)間長度來檢測并確定主控制器故障并執(zhí)行控制邏輯的接管，因?yàn)槭菬醾淙哂嗄Ｊ?，故從控制器將會從主控制器發(fā)生故障時(shí)的當(dāng)前邏輯繼續(xù)執(zhí)行，其表現(xiàn)結(jié)果是使控制器執(zhí)行控制邏輯的時(shí)間加長，同樣記錄下切換時(shí)兩個(gè)相鄰沿發(fā)生的具體時(shí)刻，分別為T1 和T2。此時(shí)，T1 和T2 之間的時(shí)間間隔將大于控制器的正常運(yùn)行周期T，應(yīng)為T+ Ttakeover，故切換時(shí)間Ttakeover可通過在控制器執(zhí)行切換時(shí)記錄的T2 和T1 數(shù)據(jù)計(jì)算出來，Ttakeover=T2-T1-Tout/2。

4 實(shí)現(xiàn)方法簡介

按照上述原理分析，現(xiàn)采用如下方法來測量冗余控制器的切換時(shí)間。按圖2 所示搭建硬件測試平臺。冗余控制器需通過IO 通信網(wǎng)絡(luò)擴(kuò)展1 塊DO 模件和SOE 模件，控制器的模擬方波信號通過DO 模件的某一通道輸出，同時(shí)將此通道與SOE 模件的1 個(gè)輸入通道連接。通過SOE 模件來記錄相鄰沿的發(fā)生時(shí)刻，可達(dá)到1ms 的分辨率。

如圖3 所示，在冗余控制器內(nèi)搭建RS 觸發(fā)器輸出至具有額定執(zhí)行周期的的邏輯模塊，并將該模塊的前后輸出返回至RS 觸發(fā)器的復(fù)位和置位端，這樣可以通過調(diào)整控制器的執(zhí)行周期來輸出不同周期的方波信號。

采用某廠家分散控制系統(tǒng)進(jìn)行實(shí)際測試，實(shí)驗(yàn)時(shí)采用圖2 的配置方式，設(shè)置方波的周期為500ms，當(dāng)控制器未發(fā)生切換時(shí)，根據(jù)SOE 記錄的事件時(shí)標(biāo)可計(jì)算出相鄰兩次事件的時(shí)間間隔為250ms（控制器的執(zhí)行周期）；當(dāng)發(fā)生切換時(shí)，同樣根據(jù)SOE 記錄的事件時(shí)標(biāo)可計(jì)算出冗余控制器切換時(shí)間Ttakeover，可進(jìn)行多次測量，驗(yàn)證其正確性和準(zhǔn)確性。

圖3 控制器方波發(fā)生實(shí)現(xiàn)邏輯Fig.3 Controller square wave implementation logic

5 結(jié)論

首先，不同廠家的分散控制系統(tǒng)都自帶SOE 模件，因此本方法可廣泛應(yīng)用于各廠家的冗余控制器切換時(shí)間的測量；其次，SOE 模件事件記錄分辨率要求均為1ms，而冗余控制器的切換時(shí)間也為毫秒級，故通過此設(shè)備測量冗余控制器切換時(shí)間的精度可以達(dá)到1ms。本檢測方法在電廠DCS 系統(tǒng)每年的可靠性檢測中都被實(shí)際應(yīng)用，同時(shí)本測試方法已獲得國家發(fā)明專利授權(quán)。