dcs-architecture-hardware-redundancy
Процессорный модуль (CPU) — ядро распределённой системы управления: для непрерывных процессов НПЗ требование к готовности резервированной пары контроллеров — не менее 99,99 % (простой до 53 минут в год). Рассматриваются архитектуры 1oo2 (Hot Standby) и 2oo3, механика безударного переключения, линейки вендоров, интерфейсы синхронизации и нормативные требования РФ. Подробнее на Metal-Asia. Ключевые направления: Гуанчжоу, Шанхай, Алматы.
Техническое описание и специфика применения на НПЗ
В иерархии ISA-95 процессорный модуль DCS занимает уровни 1–2: он циклически исполняет PID-контуры и блокировки с периодом сканирования 50–200 мс (для противосуржитарного регулирования компрессоров — до 20 мс). Останов CPU на установках АВТ, каталитического крекинга, риформинга переводит регулирующие клапаны в безопасное положение и ведёт к потере сотен тонн продукции в сутки.
Архитектуры резервирования по нотации МЭК 61508/61511:
- 1oo1 — одиночный контроллер; только вспомогательные объекты (ХВО, склады).
- 1oo2 (Hot Standby) — пара идентичных CPU: основной (Primary) исполняет программу и управляет вводом-выводом, резервный (Backup) непрерывно получает образ оперативной памяти и контекст задач по каналу синхронизации (Redundancy Link). Переключение безударное (bumpless transfer): выходы 4–20 мА удерживаются в последнем корректном состоянии, типовое время перехвата — до одного цикла сканирования.
- 2oo3 (TMR) — три канала с мажоритарным голосованием; на НПЗ типично для ПАЗ, а не для базовой DCS (BPCS).
Концепция распределённой системы управления требует дублирования всей цепочки: блоков питания 24 В с диодной развязкой, интерфейсов связи, сегментов контрольной сети и узлов ввода-вывода.
Международный технологический ландшафт и анализ брендов
Американские бренды. Emerson DeltaV: контроллеры серии PK (также SX, MD Plus) с резервированием 1:1 — резервный модуль автоматически принимает конфигурацию при установке в соседний слот. Honeywell Experion PKS: контроллер C300 с детерминированной средой CEE; избыточность добавлением второго идентичного модуля, сеть управления — отказоустойчивый FTE, минимальный цикл 20–50 мс (спецификация контроллеров Experion PKS C300 производства Honeywell). Rockwell PlantPAx: процессоры 1756-L8xE с горячим резервом в шасси ControlLogix — для пакетных OEM-узлов.
Европейские бренды. Siemens SIMATIC PCS 7 / PCS neo: резервируемые станции AS 410 с синхронизацией по оптике; плюс — единая среда CFC, минус — поставки в РФ по параллельному импорту. ABB System 800xA: контроллеры AC 800M, резервирование CPU поддерживают PM861/PM864/PM865/PM866 и PM891, пара связана каналом RCU Link, питание дублируется блоками SD83x с голосующим устройством SS823 на 20 А. Schneider Electric (EcoStruxure Foxboro DCS, FCP280) силён в установках замедленного коксования. Endress+Hauser, Vega и Wika процессорных модулей не выпускают — их преобразователи формируют полевой уровень.
Китайские бренды. Supcon ECS-700: резервируемые FCU711/FCU712, среда VisualField; поставляется в РФ. HollySys: платформы MACS-K и MACS V6 с резервированными CPU серии SM. Consen — отказоустойчивые системы (TSxPlus, троированная логика), Sinier и Hollyview — полевое и шкафное оборудование.
Архитектура интеграции, интерфейсы и шлюзы
Канал синхронизации пары CPU реализуется выделенным redundancy-кабелем либо дублированной линией ВОЛС; трафик включает образ памяти данных, состояние стеков задач и контрольные суммы конфигурации. Обрыв канала диагностируется за десятки миллисекунд как аварийное событие.
Контрольная сеть уровня 2 — дублированная топология: Honeywell FTE с двумя независимыми коммутаторами, Yokogawa Vnet/IP (дуплекс 1 Гбит/с), резервированная контрольная сеть Ethernet в DeltaV. Ввод-вывод — по резервированным шинам: PROFIBUS DP с двумя магистралями, ABB CEX-Bus с парой блоков BC810, Modbus TCP/RTU для пакетных поставок (компрессорные, азотные станции), HART v7 поверх каналов 4–20 мА для транзита диагностики в AMS/FDT. Обмен с уровнями 3–4 — через OPC UA на резервированных серверах с сегментацией VLAN. Питание шкафов — две линии 24 В от раздельных ИБП через диодные модули; типовой ток пары CPU с узлом ввода-вывода — 5–20 А.
Нормативная база и требования к импортозамещению в РФ/СНГ
Функциональная безопасность нормируется ГОСТ Р МЭК 61508/61511: резервированная DCS относится к базовой системе управления процессом (BPCS) и должна быть отделена от ПАЗ физически и логически. Интеграционная модель предприятия — ГОСТ Р МЭК 62264 (ISA-95).
Импортозамещение контроллеров обеспечивается включением в реестр российской промышленной продукции по ПП РФ № 719 (сведения — в ГИСП, реестре Минпромторга России) и в Единый реестр радиоэлектронной продукции по ПП РФ № 878. ПО верхнего уровня исполняется на Astra Linux Special Edition (сертификация ФСТЭК по 1-му классу защищённости, КИИ и АСУ ТП до 1-й категории) и РЕД ОС (приказы ФСТЭК № 17, 21, 239); СУБД архивов — Postgres Pro Certified. Отечественная аппаратная база — платформа «КРУГ-2000» с контроллерами СРВК TREI-5B из реестра российского ПО.
АСУ ТП НПЗ категорируется как значимый объект КИИ по ФЗ-187; меры защиты задают приказы ФСТЭК № 235 и № 239: сегментация сети, аудит действий администраторов. Взрывоопасные зоны требуют исполнения шкафов по ГОСТ 31610 (Ex), правила Ростехнадзора — резервирования аварийных цепей независимо от основного CPU.
Инженерные проблемы, риски эксплуатации и методы их решения
Расщепление пары (split-brain). Проблема: при обрыве канала синхронизации резервный CPU переходит в Primary, два контроллера одновременно управляют вводом-выводом с конфликтом выходов 4–20 мА. Субъект — инженер АСУ ТП. Локация — кроссовая КИПиА операторной. Решение: кворум-механизм через арбитрационный узел, контроль целостности redundancy-кабеля.
Потеря безударности после загрузки изменений. Проблема: при on-process загрузке контрольные суммы баз Primary и Backup расходятся, переключение занимает секунды вместо цикла 50 мс. Субъект — инженер-наладчик DCS. Локация — действующая установка риформинга. Решение: верификация checkpoint/restore после каждой загрузки, контроль бита готовности резерва.
Деградация буферной батареи памяти. Проблема: батарея резервного питания ОЗУ (SB821/SB822 в AC 800M) теряет ёмкость в шкафах УХЛ1 при −40…+55 °C; при пропадании 24 В теряются ретентивные данные и уставки. Субъект — инженер КИПиА. Локация — уличные шкафы КИП. Решение: контроль напряжения (порог около 3,0 В для литиевых элементов), замена раз в 3–5 лет.
ЭМС-наводки на канал резервирования. Проблема: коммутационные выбросы частотных приводов насосов (2–10 кГц, пики до сотен вольт) наводятся на медный redundancy-кабель и вызывают ложные переключения пары. Субъект — инженер по надёжности. Локация — эстакады с кабелями 380 В. Решение: перевод канала синхронизации на ВОЛС, раздельная трасса с разноской не менее 300 мм.
Рассинхронизация версий ПО пары. Проблема: обновление прошивки только одного CPU отключает горячий резерв из-за несовместимости структур данных. Субъект — администратор АСУ ТП. Локация — аппаратная. Решение: одновременное обновление пары в одном технологическом окне, аудит версий средствами вендора.
