计算机控制系统的SDG 建模方法研究

谢俊徐亮

（国防科技大学信息系统与管理学院 湖南 长沙 410073）

0 引言

安全生产问题已是当前全世界所瞩目的焦点问题之一，过程控制系统的运行安全是其最重要和最基本的要求，也是设计时需要重点考虑的问题。针对计算机控制过程系统中的新特点，分析所潜在的危险，提出改进和控制措施，是提高过程系统运行安全水平的一个关键。

颜兆林[2]等人在传统的HAZOP分析基础上通过选择合适的参数，赋予引导词新的含义，将HAZOP方法运用于计算机过程控制系统进行分析，能发现系统运行过程中潜在的问题，提高系统运行的安全水平。但HAZOP分析方法不能揭示了复杂系统的变量间内在因果关系及影响；并且只考虑稳定局部变量而设计的控制系统往往会在故障发生时执行调节动作，可能掩盖揭示故障的测量偏差，因而会增加对控制过程中故障识别的复杂度。

符号有向图SDG是描述大规模复杂系统的一种有效方式，通过节点和有向支路表示了系统变量或局部之间的因果影响关系[3]。基于SDG的HAZOP方法是从系统的机制入手，以分析复杂系统内部变量之间的关系以及这种关系在危险发生时的传递作用为基础进行，特别适用于大型复杂过程工业的安全评价[4]。近年来，SDG安全评价与故障诊断方法在流程工业安全领域取得了较好的应用效果，已成为安全技术领域的核心技术之一。

1 计算机控制系统的SDG建模

SDG模型安全性分析的基础，灵活性和针对性较强，它在形式上看起来比较容易，只要画出节点和支路就是SDG模型，但是要使SDG模型能够符合客观规律，其中的每个节点、每条支路都需要慎重考虑，涉及到对过程的深入了解和实践经验[5]。

基于计算机过程系统的SDG的建模步骤与一般的SDG建模大致相同，其区别在于一般的过程系统考虑到计算机控制因素，忽略了计算机自身故障或者操作人员操作不当导致的计算机故障，从而可能引发的危险状况。因此，有必要在SDG-HAZOP模型中加入计算机的特点，形成新的建模方法。

根据以上分析，计算机过程系统的SDG-HAZOP建模过程具体可分为如下几个步骤：

（1）将计算机过程系统分为若干设备级单元。

工业过程千差万别，但都可以由一些常见的设备单元模块组成。比如:泵、热交换器、储罐、压缩机等。根据计算机过程系统的特点，则还要加入一些一般SDG-HAZOP模型没有的单元，如操作人员，输入设备，显示设备，通信链，计算机(处理器)，传感器，动作器等。

（2）对每一设备单元列出参数定义。

确定设备单元的重要参数，即是确定SDG模型的节点。对于一般化工工程的设备单元，主要有五种参数：温度、流量、物位、压力和组成。而针对计算机控制系统中设备项目的特点，其参数可确定如下：对传感器选取参数“监测信号”，通信链中的传输信号取两个参数“数据流”、“数据值”，处理器选取参数“计算”、“命令”、“处理结果”，动作器选取参数“动作”，显示设备选取参数“显示信号

（3）对每一设备单元列出各参数之间的“影响方程组”。

“影响方程组”是描述周边变量对某一过程变量的影响关系。就是将设备单元中的所有变量列在左侧，每一变量的右侧列出与之相关的变量，中间用指向左侧的箭头相连。右侧变量中与左侧变量为增量影响的，在变量前用“+”表示，减量影响的用“-”表示。若左侧某变量没有任何相关的变量，则说明该变量只与外部设备单元的变量相关，其右侧用0表示。因为变量之间的相互作用关系以方程组的形式表示，所以称为“影响方程组”。如下所示：

B2←+B4+B6-B5

上式的含义是，上式的含义是变量B4、B5、B6对变量B2有影响。以B4为例，表示B4与B2的关系是正作用，即B4增大会导致B2增大。

“影响方程组”由经验知识确定，确定影响方程组也就是确定支路状态，因为在影响方程右边的变量都将以SDG节点的形式在模型中画出。

由于计算机控制设备的参数存在特殊性，因此，定义“处理结果+”表示由于计算机处理器出现错误，计算得到的数据超过正常处理应得的数值，因而通过数据链传递给动作器错误的信号，执行错误的动作。同理，定义“处理结果-”、“处理结果0”分别为低于正常值和在正常范围内。以此类推，通信链的“数据值”、显示设备的“显示信号”等参数也可以做类似定义。

（4）建立设备单元SDG模型。

确定每一设备单元的非正常原因和不利后果。

设备单元模型以监测信号、数据流、数据值、计算、命令、动作和显示信号七种参数之间的相互作用关系建立，所以非正常原因也应根据导致这七种参数发生偏差的原因来确定。控制过程的危险从以下几个方面考虑：设备方面(破裂、变形等)；火灾；爆炸；中毒；环境污染。

（5）构建设备单元评价模型。

图1 过程控制系统实例

非正常原因作为初始节点，危险后果作为后果节点，并且只在出口节点上引入原因后果节点，即可得到设备单元的评价模型。

（6）对所建立的SDG进行简化修改。在这一步，要秉着“只与安全相关”的原则，将关系不大的节点、支路去除。另外，可以将一些非核心流程精减，以达到降低节点和相容通路的目的。

2 应用实例

根据上述理论，下文将以某计算机过程控制化工系统为例进行建模，给出一个更为直观的演示。

图1中，实线所连接部分为管道仪器系统，包括传输管道、催化剂储箱、催化剂阀门、反应器、冷却塔、冷却水阀门等，虚线所连部分为计算机控制系统。传动箱输送反应原料到反应器中进行反应，并运出化工反应成品；油位监测仪监测传送箱的润滑油油位，并将油位状态传送到计算机；为提高反应速度，有专用管道输送催化剂到反应器中；冷却塔中的回流冷却水带走反应所产生的热量，维持反应塔正常温度。为维持回流冷却水流量，且有专用管道往冷凝塔输送冷水；计算机通过控制催化剂阀门和冷水阀门来控制反应过程。如果冷却塔未及时将反应器中产生的热量带走，反应器温度不断升高，则压力将不断升高。当压力超出一定阈值，反应器上的减压阀将打开，将反应蒸汽排放空中，以防止反应器爆炸。

本例中存在的危险主要包括爆炸和环境污染两个方面。反应器压力过大且减压阀故障，将导致爆炸；反应器压力过大减压阀工作，则反应蒸汽将释放到环境中，造成污染。

根据计算机过程控制系统SDG建模规则首先要进行变量定义，与计算机控制系统相关的部分变量定义如下：

因为计算机处理控制的数据有三个方面，所以计算机A3要分为三个节点分别为：

与管道仪器系统相关的部分变量定义如下：

B1油位 B2反应器温度B3反应器压力 B4催化剂供给量B5回流冷却液流量 B6传送想输送原料速度

其次，是确定影响方程利用经验知识，确定变量之间的相互作用关系，得出影响方程组如下：

A2←+A1 D3←+A2 A4←+D2 A5←+A4 B4←+A5 B2←+B4+B6-B5 A7←+D3 A8←+A7 B5←+A8 B3←+B2 A12←+B3

最后，利用经验知识加入原因后果节点，建立SDG模型，如图2所示：

图2 某化工流程计算机过程控制SDG图

建立的SDG模型有两个图，是因为计算机控制的油位链路与具体反应过程链路在这个案例中没有直接的联系。

从图上我们不仅可以直观看出各个变量之间联系，还能看出故障的传递过程，这是普通HAZOP分析方法所不能表达的。同时，有了图形化的模型，安全性操作员对系统进行安全性定性定量分析更为方便。

3 结论

SDG-HAZOP方法针对系统的运行过程进行研究，不仅通过对系统的设备条目选择合适的偏差展开分析，更进一步的是揭示了系统运行过程中各变量之间的联系，能展现故障在系统运行中的传递过程，对提高系统运行的安全水平，进行深入安全性研究改进有极大帮助。在过程系统的SDG-HAZOP建模中引入新的参数、新的偏差，扩大了传统SDG-HAZOP的研究范围，因此本方法相较传统的SDG-HAZOP分析方法而言更为有效。本文实例分析仅限于系统层次，在更详细的层次上，如控制软件的运行过程，运用SDG-HAZOP同样可以发现别的安全分析方法很难辨识的安全隐患，揭示其故障传递过程，提高系统运行的安全水平。

［1］Shuanghua Yang,Paul W.H.Chung.Hazard analysis and support tool for computer controlled process[J].Journal of Loss Prevention in the Process Industries，1998，11：333-345.

［2］颜兆林，谢俊，冯静.过程控制系统的HAZOP分析[J].计算机工程，2012，38（4）：20-22.

［3］杨帆，萧德云.SDG建模及其应用的进展[J].控制理论与应用，2005，22(05)：767-774.

［4］李安峰，夏涛，张贝克.化工过程 SDG 建模方法[J].系统仿真学报，2003，15(10)：1364-1368.

［5］王琪.基于SDG-HAZOP的SIS研究[D].北京：北京化工大学，2009.

［6］D.C.Hendersho.Lessons Learned From Human Error Incidents in Process Plants[J].Process Safety and Environmental Protection,2006,84(B3):174－178.