吳勝華，田海波

（南京國電南自維美德自動化有限公司，南京 210061）

隨著分散控制系統(tǒng)（DCS）在火力發(fā)電站以及化工生產(chǎn)過程中的廣泛應(yīng)用和覆蓋面的不斷擴展，故對其性能以及可靠性的要求顯得尤為重要。絕大多數(shù)火電廠為了設(shè)備的可靠運行，均采用的冗余控制器對現(xiàn)場設(shè)備進行控制[1]，即當主控制器運行出現(xiàn)問題時，從控制器能夠及時接管控制，從而保證現(xiàn)場被控設(shè)備的可靠安全運行[2]。采用冗余技術(shù)可以明顯提高系統(tǒng)可靠性，其可靠性的上升呈指數(shù)趨勢，如使用兩個可靠性為80%的子系統(tǒng)并聯(lián)為一個完整系統(tǒng)，則系統(tǒng)可靠性將上升至96%。

1 冗余定義及注意事項

IEEE 核電站安全系統(tǒng)標準委員會對冗余系統(tǒng)的定義為：一設(shè)備或系統(tǒng)與另一設(shè)備或系統(tǒng)的基本功能完全相同，它們不管其中一個運行還是故障，另一個都可以執(zhí)行要求的功能。這個定義并未涉及冗余系統(tǒng)中各個子系統(tǒng)的切換及切換時間問題，但在實際應(yīng)用場合中，冗余系統(tǒng)的這個問題卻是不得不認真考慮的，因為它會影響整個系統(tǒng)功能的執(zhí)行，嚴重時甚至會使冗余系統(tǒng)達不到預(yù)期的目的。所有的備用式冗余結(jié)構(gòu)，都存在切換的瞬間輸出擾動的可能性，也就是雙機的輸出運算結(jié)果在切換前是不一致的，如果是開關(guān)量不一致，將導致閥門從開狀態(tài)跳動到關(guān)狀態(tài)，或從關(guān)狀態(tài)跳動到開狀態(tài)。如果是模擬量輸出不一致的程度較大，現(xiàn)場閥門的開關(guān)會發(fā)生明顯的波動[3]。

2 主流冗余實現(xiàn)方式

圖1 切換時間計算原理示意圖Fig.1 Switch time calculation schematic

圖2 測試硬件配置Fig.2 Test inghardware configuration

控制器的冗余有多種實現(xiàn)方式，為了保證切換時不發(fā)生上述擾動，目前主流廠家均采用雙機熱備模式。主從過程控制器之間通過專用網(wǎng)絡(luò)連接，此專用網(wǎng)絡(luò)既用來實現(xiàn)控制邏輯以及各種變量數(shù)據(jù)的同步，同時還傳遞主控制器正常工作的心跳信號[4]。主控制器將本站內(nèi)的控制邏輯通過專用冗余網(wǎng)絡(luò)拷貝到從控制器，從而使主從控制器內(nèi)運行的控制邏輯保持一致；主控制器每輪執(zhí)行控制邏輯前將所有的輸入變量數(shù)據(jù)通過專用冗余網(wǎng)絡(luò)拷貝到從控制器；主從控制器均使用此數(shù)據(jù)進行本輪邏輯運算。主從控制器不僅同時運行相同的控制邏輯，并且還共享IO 總線。當從控制器檢測并確定主控制器停止工作或宕機時，它必須馬上進行接管[5]；主控制器工作時獨占IO 總線讀寫，此時從控制器是無法訪問IO 總線的，只有當發(fā)生切換后才能取得對IO總線的控制權(quán)，同時需要啟動相關(guān)的通信服務(wù)來接管IO 總線。這種雙機熱備的切換時間很短，大約為毫秒級的數(shù)量級，中華人民共和國電力行業(yè)標準DL/T 261-2012《火力發(fā)電廠熱工自動化系統(tǒng)可靠性評估技術(shù)導則》中第6.2.1.2 條款 控制器性能配置中的控制器指標應(yīng)滿足的第一條規(guī)定了：“冗余控制器切換時間不大于4ms[6]”。

上述說明表示，控制器的切換會使得控制回路出現(xiàn)短時間的中斷，這對火電廠的一些實時性要求較高的設(shè)備的控制會出現(xiàn)影響。所以對控制器的切換時間的測量顯得愈發(fā)重要，目前對不同控制系統(tǒng)控制器的切換時間的測量還沒有一個標準。因此，對于使用分散控制系統(tǒng)的火電站或者企業(yè)來說，急需一套簡單可靠的指導方法、設(shè)備來檢測此參數(shù)。

3 檢測原理分析

假定控制器的控制邏輯運行周期為T，則可搭建一個控制邏輯使控制器每個執(zhí)行周期翻轉(zhuǎn)輸出一個DO 信號，那么相鄰的一個上升沿和一個下降沿之間的時間間隔可認為是控制器的一個控制周期。如圖1 所示，輸出方波的周期為Tout，則控制器的運行周期T= Tout/2。

當控制器未發(fā)生切換時，控制器會周期性的輸出方波信號，兩個相鄰沿所記錄的時刻分別為T1 和T2，則T=T2-T1。

當控制器發(fā)生切換時，假定切換時間為Ttakeover，則表示從控制器需要花費Ttakeover的時間長度來檢測并確定主控制器故障并執(zhí)行控制邏輯的接管，因為是熱備冗余模式，故從控制器將會從主控制器發(fā)生故障時的當前邏輯繼續(xù)執(zhí)行，其表現(xiàn)結(jié)果是使控制器執(zhí)行控制邏輯的時間加長，同樣記錄下切換時兩個相鄰沿發(fā)生的具體時刻，分別為T1 和T2。此時，T1 和T2 之間的時間間隔將大于控制器的正常運行周期T，應(yīng)為T+ Ttakeover，故切換時間Ttakeover可通過在控制器執(zhí)行切換時記錄的T2 和T1 數(shù)據(jù)計算出來，Ttakeover=T2-T1-Tout/2。

4 實現(xiàn)方法簡介

按照上述原理分析，現(xiàn)采用如下方法來測量冗余控制器的切換時間。按圖2 所示搭建硬件測試平臺。冗余控制器需通過IO 通信網(wǎng)絡(luò)擴展1 塊DO 模件和SOE 模件，控制器的模擬方波信號通過DO 模件的某一通道輸出，同時將此通道與SOE 模件的1 個輸入通道連接。通過SOE 模件來記錄相鄰沿的發(fā)生時刻，可達到1ms 的分辨率。

如圖3 所示，在冗余控制器內(nèi)搭建RS 觸發(fā)器輸出至具有額定執(zhí)行周期的的邏輯模塊，并將該模塊的前后輸出返回至RS 觸發(fā)器的復位和置位端，這樣可以通過調(diào)整控制器的執(zhí)行周期來輸出不同周期的方波信號。

采用某廠家分散控制系統(tǒng)進行實際測試，實驗時采用圖2 的配置方式，設(shè)置方波的周期為500ms，當控制器未發(fā)生切換時，根據(jù)SOE 記錄的事件時標可計算出相鄰兩次事件的時間間隔為250ms（控制器的執(zhí)行周期）；當發(fā)生切換時，同樣根據(jù)SOE 記錄的事件時標可計算出冗余控制器切換時間Ttakeover，可進行多次測量，驗證其正確性和準確性。

圖3 控制器方波發(fā)生實現(xiàn)邏輯Fig.3 Controller square wave implementation logic

5 結(jié)論

首先，不同廠家的分散控制系統(tǒng)都自帶SOE 模件，因此本方法可廣泛應(yīng)用于各廠家的冗余控制器切換時間的測量；其次，SOE 模件事件記錄分辨率要求均為1ms，而冗余控制器的切換時間也為毫秒級，故通過此設(shè)備測量冗余控制器切換時間的精度可以達到1ms。本檢測方法在電廠DCS 系統(tǒng)每年的可靠性檢測中都被實際應(yīng)用，同時本測試方法已獲得國家發(fā)明專利授權(quán)。