DCS系统冗余过程控制器切换时间测量方法浅析

吴胜华，田海波

（南京国电南自维美德自动化有限公司，南京 210061）

随着分散控制系统（DCS）在火力发电站以及化工生产过程中的广泛应用和覆盖面的不断扩展，故对其性能以及可靠性的要求显得尤为重要。绝大多数火电厂为了设备的可靠运行，均采用的冗余控制器对现场设备进行控制[1]，即当主控制器运行出现问题时，从控制器能够及时接管控制，从而保证现场被控设备的可靠安全运行[2]。采用冗余技术可以明显提高系统可靠性，其可靠性的上升呈指数趋势，如使用两个可靠性为80%的子系统并联为一个完整系统，则系统可靠性将上升至96%。

1 冗余定义及注意事项

IEEE 核电站安全系统标准委员会对冗余系统的定义为：一设备或系统与另一设备或系统的基本功能完全相同，它们不管其中一个运行还是故障，另一个都可以执行要求的功能。这个定义并未涉及冗余系统中各个子系统的切换及切换时间问题，但在实际应用场合中，冗余系统的这个问题却是不得不认真考虑的，因为它会影响整个系统功能的执行，严重时甚至会使冗余系统达不到预期的目的。所有的备用式冗余结构，都存在切换的瞬间输出扰动的可能性，也就是双机的输出运算结果在切换前是不一致的，如果是开关量不一致，将导致阀门从开状态跳动到关状态，或从关状态跳动到开状态。如果是模拟量输出不一致的程度较大，现场阀门的开关会发生明显的波动[3]。

2 主流冗余实现方式

图1 切换时间计算原理示意图Fig.1 Switch time calculation schematic

图2 测试硬件配置Fig.2 Test inghardware configuration

控制器的冗余有多种实现方式，为了保证切换时不发生上述扰动，目前主流厂家均采用双机热备模式。主从过程控制器之间通过专用网络连接，此专用网络既用来实现控制逻辑以及各种变量数据的同步，同时还传递主控制器正常工作的心跳信号[4]。主控制器将本站内的控制逻辑通过专用冗余网络拷贝到从控制器，从而使主从控制器内运行的控制逻辑保持一致；主控制器每轮执行控制逻辑前将所有的输入变量数据通过专用冗余网络拷贝到从控制器；主从控制器均使用此数据进行本轮逻辑运算。主从控制器不仅同时运行相同的控制逻辑，并且还共享IO 总线。当从控制器检测并确定主控制器停止工作或宕机时，它必须马上进行接管[5]；主控制器工作时独占IO 总线读写，此时从控制器是无法访问IO 总线的，只有当发生切换后才能取得对IO总线的控制权，同时需要启动相关的通信服务来接管IO 总线。这种双机热备的切换时间很短，大约为毫秒级的数量级，中华人民共和国电力行业标准DL/T 261-2012《火力发电厂热工自动化系统可靠性评估技术导则》中第6.2.1.2 条款 控制器性能配置中的控制器指标应满足的第一条规定了：“冗余控制器切换时间不大于4ms[6]”。

上述说明表示，控制器的切换会使得控制回路出现短时间的中断，这对火电厂的一些实时性要求较高的设备的控制会出现影响。所以对控制器的切换时间的测量显得愈发重要，目前对不同控制系统控制器的切换时间的测量还没有一个标准。因此，对于使用分散控制系统的火电站或者企业来说，急需一套简单可靠的指导方法、设备来检测此参数。

3 检测原理分析

假定控制器的控制逻辑运行周期为T，则可搭建一个控制逻辑使控制器每个执行周期翻转输出一个DO 信号，那么相邻的一个上升沿和一个下降沿之间的时间间隔可认为是控制器的一个控制周期。如图1 所示，输出方波的周期为Tout，则控制器的运行周期T= Tout/2。

当控制器未发生切换时，控制器会周期性的输出方波信号，两个相邻沿所记录的时刻分别为T1 和T2，则T=T2-T1。

当控制器发生切换时，假定切换时间为Ttakeover，则表示从控制器需要花费Ttakeover的时间长度来检测并确定主控制器故障并执行控制逻辑的接管，因为是热备冗余模式，故从控制器将会从主控制器发生故障时的当前逻辑继续执行，其表现结果是使控制器执行控制逻辑的时间加长，同样记录下切换时两个相邻沿发生的具体时刻，分别为T1 和T2。此时，T1 和T2 之间的时间间隔将大于控制器的正常运行周期T，应为T+ Ttakeover，故切换时间Ttakeover可通过在控制器执行切换时记录的T2 和T1 数据计算出来，Ttakeover=T2-T1-Tout/2。

4 实现方法简介

按照上述原理分析，现采用如下方法来测量冗余控制器的切换时间。按图2 所示搭建硬件测试平台。冗余控制器需通过IO 通信网络扩展1 块DO 模件和SOE 模件，控制器的模拟方波信号通过DO 模件的某一通道输出，同时将此通道与SOE 模件的1 个输入通道连接。通过SOE 模件来记录相邻沿的发生时刻，可达到1ms 的分辨率。

如图3 所示，在冗余控制器内搭建RS 触发器输出至具有额定执行周期的的逻辑模块，并将该模块的前后输出返回至RS 触发器的复位和置位端，这样可以通过调整控制器的执行周期来输出不同周期的方波信号。

采用某厂家分散控制系统进行实际测试，实验时采用图2 的配置方式，设置方波的周期为500ms，当控制器未发生切换时，根据SOE 记录的事件时标可计算出相邻两次事件的时间间隔为250ms（控制器的执行周期）；当发生切换时，同样根据SOE 记录的事件时标可计算出冗余控制器切换时间Ttakeover，可进行多次测量，验证其正确性和准确性。

图3 控制器方波发生实现逻辑Fig.3 Controller square wave implementation logic

5 结论

首先，不同厂家的分散控制系统都自带SOE 模件，因此本方法可广泛应用于各厂家的冗余控制器切换时间的测量；其次，SOE 模件事件记录分辨率要求均为1ms，而冗余控制器的切换时间也为毫秒级，故通过此设备测量冗余控制器切换时间的精度可以达到1ms。本检测方法在电厂DCS 系统每年的可靠性检测中都被实际应用，同时本测试方法已获得国家发明专利授权。