Резервирование плк и устройств ввода-вывода
Большая доля отказов в СА приходится на ПО. Резервирование является практически единственным и широко используемым методом кординального повышения надежности СА. Оно позволяет создавать системы аварийной сигнализации, ПАЗ, автоматического пожаротушения, контроля и управления взрывоопасными технологическими блоками и другие, относящиеся к уровням безопасности SIL1...SIL3 по стандарту МЭК 61508-5, а также системы, в которых даже короткий простой ведет к большим финансовым потерям (системы распределения электроэнергии, непрерывные ТП). Резервирование позволяет создавать высоконадежные системы из типовых изделий широкого применения.
Составной частью систем с резервированием является подсистема автоматического контроля работоспособности и диагностики неисправностей.
Несмотря на существование большого разнообразия методов резервирования, в ПА получили распространение только 2:
горячее резервирование замещением (hot standby);
метод голосования (2ооЗ voting, 1оо2 voting и др.).
Реже используется теплый резерв (warm standby).
Целью резервирования может быть обеспечение:
безотказности
безопасности.
Для обеспечения безопасности достаточно снизить вероятность только опасных отказов, в то время как для обеспечения безотказности требуется обеспечить работоспособность системы при всевозможных отказах. Поэтому системы, связанные с безопасностью, получаются проще, чем отказоустойчивые системы при условии одинаковой наработки до отказа.
Общие принципы резервирования
В основе метода резервирования лежит очевидная идея замены отказавшего элемента исправным, находящемся в резерве. Однако реализация этой идеи часто становится достаточно сложной, если необходимо обеспечить минимальное время перехода на резерв и минимальную стоимость оборудования при заданной вероятности безотказной работы в течение определенного времени (наработки).
Для замены отказавшего элемента достаточно иметь резервный (запасной) элемент на складе. Однако продолжительность ручной замены составляет единицы часов, что для многих СА недопустимо долго. Сократить время вынужденного простоя позволяет применение контроллеров и модулей в/в с разъемными клеммными соединителями и с возможностью горячей замены при условии наличия развитой системы диагностики неисправности.
Для обеспечения возможности горячей замены необходимо предусмотреть:
защиту от статического электричества, которое может возникать на теле оператора, выполняющего замену устройства;
необходимую последовательность подачи напряжений питания и внешних сигналов (например, для этого используют разъемы с контактами разной длины и секвенсоры внутри устройства;
защиту системы от броска тока, вызванного зарядом емкостей подключаемого устройства (например, с помощью токоограничительных резисторов или отдельного источника питания);
защиту устройства от перенапряжения, короткого замыкания, переполюсовки, превышения напряжения питания, от ошибочного подключения;
программируемые устройства должны быть заранее запрограммированы, в сетевые устройства должен быть записан правильный адрес и предусмотрена подсистема автоматической регистрации нового и исключения старого устройства из сети;
в алгоритмах автоматического регулирования должен быть предусмотрен безударный режим смены контроллера или модулей в/в.
Если резервный элемент входит в состав системы, то она относится к резервированным системам с ручным замещением отказавшего элемента.
Рис. 8.1. Устройства с голосованием по схеме 2ооЗ (а) и по схеме 1оо2 (б)
Системы с голосованием. Основной отличительный признак - невозможность выделения в системе основных элементов и резервных, поскольку все они равноправны, работают одновременно и выполняют одну и ту же функцию. Выбор одного сигнала из нескольких осуществляется схемой голосования, которая в частном случае нечетного числа голосов называется мажоритарной схемой.
Системы с голосованием не требуют для своего функционирования контроля работоспособности элементов, но используют подсистему диагностики для сокращения времени восстановления отказавших элементов и снижения вероятности накопления скрытых неисправностей, которые со временем могут стать причиной отказа.
Принцип работы схемы голосования на примере резервирования датчиков (рис. 8.1,а). Вместо одного датчика используются 3 (например, 3 термопары), которые подсоединены к одному модулю ввода. В схему голосования поступают, соответственно, 3 значения измеряемой величины (например, 3 значения температуры Т1, Т2, Т3), из которых необходимо выбрать одно. Значения температуры располагаются в порядке возрастания: Т1< T2 < Т3, а на выход схемы голосования поступает значение, расположенное между двумя крайними (но не среднее арифметическое). Например, если в результате измерения получены значения 0.12; 39.5; 39.4°С, то используется только значение 39.4°С, остальные игнорируются.
Резервирование элементов с дискретными сигналами выполняется аналогично. Поскольку значениями дискретных сигналов являются логические «0» или «1», то в результате мажоритарного голосования выбирается то значение, которое принимают большинство сигналов. Например, при логических сигналах .A = 1, В = 1, С = 0 результатом голосования будет значение У = 1. Блок мажоритарного голосования реализует логическую функцию Y = АВ + ВС + СА.
Очевидно, что для работы мажоритарной схемы число «голосов» должно быть нечетным. Однако в системах безопасности возможно применение любого числа «голосов». Вместо недостающего голоса используется условие, что система считается работоспособной, если отказ является безопасным. Это позволяет использовать системы, в которых выбирается один голос из 2-х, и такие системы по стандарту МЭК 61508 обозначаются как 1оо2 (1 Out Of 2). Используются также системы 2оо2 (2 голоса из 2-х), 2ооЗ (2 голоса из 3-х), 2оо4 (2 голоса из х), Зоо4 (3 голоса из 4-х). Нерезервированные системы обозначаются как 1oo1. Если в резервированной системе имеется развитая подсистема диагностики неисправностей, то к обозначению добавляется буква «D», например loo2D.
Примером системы с голосованием вида 1oo2 может служить система охранной сигнализации двери, в которой используются 2 датчика А и В с целью взаимного резервирования (рис. 8.1,б). При отказе одного из датчиков (например, датчика В, когда вместо А = 1, В = 1 получаем А = 1, В = 0) система, пользуясь правилом большинства голосов, не может принять решение. Однако, если учесть, что ложное срабатывание охранной системы не приводит к опасной ситуации, а несрабатывание системы при наличии нарушителя является опасным отказом, очевидно, схема голосования должна считать, что достаточно одного голоса из 2-х, чтобы принять решение о подаче аварийного сигнала. Если сигналом срабатывания сигнализации является логическое значение «1», а сигналом отсутствия нарушителя является значение «0», то блок голосования реализует логическую функцию Y = А + В.
Если входными данными для голосования являются 2 аналоговых сигнала, то пользователь при программировании должен установить, какой сигнал из 2-х должен быть выбран системой в случае их несовпадения. Такой подход возможен только в системах безопасности.
Противоположная ситуация используется при голосовании вида 2оо2. Примером может быть система контроля герметичности люка при погружении подводной лодки. Если люк имеет 2 датчика, то сигнал готовности к погружению может появиться только при наличии подтверждения (А = 1, В = 1) от обоих датчиков одновременно (2-х из 2-х). Выход из строя одного датчика не должен позволить системе выработать сигнал готовности к погружению, чтобы опасная ситуация не возникла. Такой блок реализует логическую функцию Y = АВ.
Несмотря на высокую эффективность схем голосования с четным числом голосов, они имеют недостаток, состоящий в возможности ложного срабатывания. Хотя этот тип отказов и не является опасным, в некоторых случаях он приводит к значительному материальному ущербу. Для исключения ложного срабатывания можно использовать более дорогие системы с нечетным количеством голосов, которые снижают вероятность отказов обоих типов. Выбор наилучшей системы осуществляется на основании результатов экономических расчетов.
При отказе одного из элементов резервированной системы безопасности 2ооЗ ее уровень безопасности понижается и она может начать функционировать как система 1оо2. Если замена неисправного элемента не произведена и произошел второй отказ, то система переходит в режим без резервирования 1oo1, однако в этом режиме система не может находиться долго по требованиям безопасности. Очередность перехода от одной схемы резервирования к другой называется схемой деградации.
Система безопасности 2ооЗ может иметь 2-й вариант схемы деградации: 2ооЗ - 2оо2 - 1oo1 - 0. Здесь 0 обозначает состояние, когда система перестает функционировать (останавливается). Перед остановкой система должна перевести все свои выходы в безопасные состояния. Понятие безопасного состояния для каждой системы определяется при ее проектировании. Например, для систем аварийного отключения безопасными являются обесточенные состояния исполнительных механизмов, а для систем автоматического пожаротушения или аварийной вентиляции, наоборот, - состояния, при которых на исполнительные устройства подана энергия.
Схемы голосования широко используются в системах противоаварийной зашиты и сигнализации, где они имеют большое разнообразие. В системах же, не связанных с безопасностью, самая простая схема голосования: 2ооЗ (достаточно дорогая). Уникальное свойство систем с голосованием - непрерывность функционирования во время перехода на резерв, что является определяющим при принятии решения о выборе метода резервирования.
Р
езервирование
замещением.
Системы с горячим резервированием
замещением (Hot Standby) (рис. 8.2) содержат
подсистему контроля работоспособности
как основного, так и резервного элементов,
имеют блок переключения на резерв
(обычно переключение выполняется
программно), а также шины для синхронизации
между процессорами (последнее относится
только к резервированию процессоров).
Рис. 8.2. Дублирование модуля ввода методом замещения
Основным параметром систем с резервированием замещением является время переключения на резерв (обычно, выполняется в пределах одного или нескольких контроллерных циклов и занимает время от единиц миллисекунд до долей секунды).
Системы с более медленным переключением на резерв (от долей до единиц секунд) относят к системам с теплым резервом (Warm Standby). Конструктивное отличие теплого резервирования контроллеров от горячего заключается в отсутствии высокоскоростного канала синхронизации между процессорами, вместо него используется стандартная низкоскоростная промышленная сеть или другой последовательный канал обмена.
Для контроля работоспособности используются такие параметры и события, как, например, обрыв линии связи, короткое замыкание (к.з.), величина напряжения и тока питания, отсутствие связи, перегрев выходных каскадов модулей вывода, перегрузка по току, отсутствие нагрузки, выход сигналов заграницы динамического диапазона, срабатывание предохранителя, срабатывание блокировок и защит, целостность линий связи с модулями в/в, ошибка контрольной суммы, ошибка памяти, «зависание» процессора и т.п.
Перечень процедур контроля ПЛК приведен в ГОСТ Р 51841. Диагностическая информация должна выводиться на пульт оператора и одновременно может использоваться для переключения на резерв.
Для исключения ошибочного перехода на резерв по причине сбоя в системе контроля используют временной фильтр, который разрешает переключение только при условии, что состояние неисправности длится не менее установленного времени (например, 1...100 мс).
Общее и поэлементное резервирование. Резервированными могут быть отдельные элементы системы, их группы и вся система в целом. Поэлементное резервирование позволяет повысить отказоустойчивость в первую очередь наиболее важных или наименее надежных элементов, выбрать различную кратность резервирования для разных элементов системы и тем самым достичь максимального отношения надежности к цене.
Общее резервирование не требует анализа соотношений между надежностью отдельных элементов системы, исключает ошибки при расчете надежности и выборе различных схем резервирования, а также ошибки, вызванные плохой наглядностью архитектуры системы при поэлементном резервировании.
В случае общего резервирования достаточно 2-х отказов для отказа всей системы, если один из элементов расположен в основной системе, 2-й – в резервной. При поэлементном резервировании вероятность такого отказа существенно ниже, поскольку для его реализации необходимо, чтобы один из отказавших элементов был основным, второй - его резервом, что крайне маловероятно.