SIS系統(tǒng)三重化與四重化的區(qū)別分析從PLC角度分析

1、常用安全PLC 的結(jié)構(gòu)和性能【 摘要 】 本文介紹了幾種常見的安全PLC 的結(jié)構(gòu)和性能，然后對各種安全PLC 的特性進(jìn)行了歸納和總結(jié)?！?關(guān)鍵詞 】安全N 選 X 系統(tǒng)三重冗余四重冗余Abstract : The article analyses several popular safety PLC s architecture and performance. Finally, summarize their features.Key word : Safety PLC XooNTMRQMR近幾十年來，多起工業(yè)事故發(fā)生的原因可以追溯到計算機(jī)系統(tǒng)的失效，引起了人員傷亡、設(shè)備損壞和環(huán)境污染。這些

2、信息也喚醒了國家和公眾對減少危險、建立安全工業(yè)流程的意識。為此，IEC 制定了新的安全國際標(biāo)準(zhǔn)：IEC 61508/ 61511 ，也已經(jīng)由工業(yè)組織合作制定完成，我國的相關(guān)標(biāo)準(zhǔn)也即將頒布。為了幫助讀者了解目前安全系統(tǒng)（SIS）使用安全PLC實現(xiàn)電氣/電子/可編程電子系統(tǒng)（E/E/PES ）功能的情況，就常見的幾種安全系統(tǒng)結(jié)構(gòu)進(jìn)行探討，希望能對今后的系統(tǒng)選擇有所借鑒和參考。1 PLC 是一個邏輯解算器一個安全系統(tǒng)的邏輯解算器是一種特殊類型的PLC ，它具有獨立的安全功能認(rèn)證，但也有繼電器邏輯或者固態(tài)邏輯的運(yùn)算能力。邏輯解算器從傳感器讀入信號，執(zhí)行事先編制好的程序或者事先設(shè)計好的功能，用于防止或者

3、減輕潛在的安全隱患，然后通過發(fā)送信號到執(zhí)行器或最終元件采取行動。邏輯解算器的設(shè)計有很多種，來滿足不同的市場需求、應(yīng)用和任務(wù)。我們下面將就比較典型的安全PLC 的結(jié)構(gòu)進(jìn)行探討。2安全PLC 的體系結(jié)構(gòu)當(dāng)你構(gòu)建一個安全系統(tǒng)時，可以有很多方式來安排安全系統(tǒng)部件。有些安排考慮的是對成功操作有效性的最大化。（可靠性或可用性）。有些安排考慮的是防止特殊失效的發(fā)生（失效安全，失效危險）。部件的不同安排可以從它們的體系結(jié)構(gòu)中看出來。這節(jié)內(nèi)容將介紹市場上幾款常見的可編程系統(tǒng)（ PES） 的體系結(jié)構(gòu)，了解它們的安全特性，以及在安全和關(guān)鍵控制的應(yīng)用。它們是已經(jīng)在實踐中存在的多種結(jié)構(gòu)的代表，真正現(xiàn)場使用的系統(tǒng)就是這些

4、結(jié)構(gòu)的不同組合。下面的內(nèi)容將用N 選 X （比如2選1） 的方式：XooN 來介紹系統(tǒng)。在每個類型中， X 代表需要執(zhí)行安全功能的通道數(shù)，而N 代表整個可用的通道數(shù)。. 1oo1 單通道系統(tǒng)單控制器帶有單個邏輯解算器和單個I/O 代表了一個最小化的系統(tǒng)，見下圖（圖1 ）。這個系統(tǒng)沒有提供冗余，也沒有失效模式保護(hù)。電子電路可以失效安全（輸出斷電，回路開路）或者失效危險（輸出粘連或給電，短路）。這種安排方式是典型的非安全常規(guī)PLC 系統(tǒng)結(jié)構(gòu)。圖 1： 1oo1 結(jié)構(gòu)安全 PLC 的輸入和常規(guī)PLC 的輸入接法也有區(qū)別，常規(guī)PLC 的輸入通常接傳感器的常開接點，而安全PLC 的輸入通常接的常閉接點，

5、用于提高輸入信號的快速性和可靠性。有些安全PLC 輸入還具有“三態(tài) ”功能，即“常開 ”、 “常閉 ”和 “斷線 ”三個狀態(tài)，而且通過“斷線 ”來診斷輸入傳感器的回路是否斷路，提高了輸入信號的可靠性。另外，有些安全PLC 的輸出和常規(guī)的PLC 的輸出也有區(qū)別。常規(guī)PLC 輸出信號之后，就和PLC 本身失去了關(guān)聯(lián)，也就是說輸出后，比如說“接通 ”外部繼電器，本身最后到底通沒通，PLC 并不知道，這是因為沒有外部設(shè)備的反饋所致。安全PLC具有所謂“線路檢測 ”功能，即周期性的對輸出回路發(fā)送短脈沖信號（毫秒級，并不讓用導(dǎo)通）來檢測回路是否斷線，從而提高了輸出信號的可靠性。 1oo2 雙通道系統(tǒng)兩個控

6、制器并行處理和連線可以把單個PLC 危險失效的影響降到最低為了可靠斷開系統(tǒng)，兩個輸出電路采用串行連接，以防止任何一個在危險的方式下失效，造成系統(tǒng)失效危險。1oo2 結(jié)構(gòu) （圖2） 常用于兩個獨立邏輯解算器、并各自帶有自己獨立I/O 的場合。系統(tǒng)提供了較低的失效可能性，但它增加了失效安全斷路的可能性。失效安全斷開率的增加，有助于提高流程系統(tǒng)的停車和機(jī)器系統(tǒng)的停機(jī)能力。圖 2： 1oo2 結(jié)構(gòu)這種結(jié)構(gòu)的輸入方式有兩種：一種為一個傳感器接到兩個輸入點上（可以使用同一個模塊的兩個點，也可以使用兩個模塊的兩個點，廠商推薦用戶最好采用不同機(jī)架上的兩個不同的兩個點）；一種為兩個傳感器或者一個的兩個接點接到兩

7、個輸入點，這樣可以進(jìn)一步提高輸入信號的可靠性（傳感器冗余）。圖中的結(jié)構(gòu)為兩個彼此獨立的系統(tǒng)，在輸出之前并沒有對輸入信號和運(yùn)算結(jié)果進(jìn)行表決，而有些系統(tǒng)對輸入信號和邏輯結(jié)果要進(jìn)行表決，然后輸出。1oo2 系統(tǒng)的表決機(jī)制也非常特別。當(dāng)兩個輸入都為“0”或 “1”信號時，自然沒有問題。但如果出現(xiàn)一個為 “0”、而一個為“1”，系統(tǒng)如何表決呢答案是：取安全的值做為表決的結(jié)果！那么何謂安全值答案是：要根據(jù)具體的應(yīng)用進(jìn)行設(shè)置。如果“0”為安全值，那么出現(xiàn)一個“0”和一個 “1 ”時，就選擇“0”，相當(dāng)進(jìn)行了一次3選 2的表決。下面再談?wù)勢敵龅慕泳€方式問題。一般來說也有兩種接法，被稱為：安全接法和冗余接法。所

8、謂安全接法指得是：輸出的兩個通道進(jìn)行串聯(lián)后再接執(zhí)行器，邏輯關(guān)系為 “與 ”，也就是說：一個通道為“0”，負(fù)載就不得電，這樣可以確保系統(tǒng)的安全性。所謂冗余接法指得是：輸出的兩個通道進(jìn)行并聯(lián)后再接執(zhí)行器，邏輯關(guān)系為“或 ”，也就是說：一個通道為“ 1 ”，負(fù)載就可以獲電，這樣可以提高系統(tǒng)的容錯能力。至于采用哪種接線要根據(jù)應(yīng)用的要求來決定。如果是安全性系統(tǒng)，建議采用安全接法。如果是高可用性系統(tǒng)，建議采用冗余接法。 1oo1D 雙通道系統(tǒng)這種結(jié)構(gòu)使用一個帶有診斷能力的單一控制器通道，和第二個診斷通道利用串行連接構(gòu)成輸出回路。典型的 1oo1D結(jié)構(gòu)見圖3。1oo1D的D”意思是診斷的含義，所以被稱為一選

9、一診斷系統(tǒng)，功能相當(dāng)于一種二選一系統(tǒng)。因為這種系統(tǒng)的造價相對低廉，所以這種系統(tǒng)在安全應(yīng)用中扮演了重要的角色。這種1oo1D 結(jié)構(gòu)由一個單一邏輯解算器和一個外部的監(jiān)視時鐘而構(gòu)成，定時器的輸出與邏輯解算器的輸出進(jìn)行串聯(lián)接線。在更先進(jìn)的系統(tǒng)中，內(nèi)置診斷控制一個獨立串聯(lián)輸出，當(dāng)系統(tǒng)檢測出失效時，它會強(qiáng)制系統(tǒng)處于斷開狀態(tài)。診斷功能把檢測到的一個危險失效轉(zhuǎn)變成一個安全失效。3： 1oo1D 結(jié)構(gòu)1oo2D結(jié)構(gòu)包含兩個獨立的電路通道。輸出電路可以使用不同類型的雙重開 關(guān)。比如固態(tài)開關(guān)提供了常規(guī)的控制器輸出，而另一個繼電器由內(nèi)部診斷控制，提供 了第二個常開接點。如果在輸出通道檢測到一個潛在的危險失效，觸點就會

10、斷開，使 輸出回路斷電，確保執(zhí)行器處于安全狀態(tài)。雙重電路通道可以使用不同類型的觸點實現(xiàn)1oo1D結(jié)構(gòu)，比如兩個常開點，或者一個常開點加一個常閉點等。后綴D”反映了系統(tǒng)在每個通道中，具有更廣泛和更細(xì)致的自診斷能力。第二個停機(jī)路徑，就是由這個自診斷系統(tǒng)，運(yùn)用高級的 依據(jù)參考”的 方法進(jìn)行系統(tǒng)診斷。下面是標(biāo)準(zhǔn)的1oo1D結(jié)構(gòu)的特性：單一；單一 I/O子系統(tǒng)，帶有保護(hù)輸出和 失效接通”和失效斷開”的診斷輸出選擇； 冗余電源；冗余通信總線；診斷率%。,2oo3三通道系統(tǒng)如果在一些的應(yīng)用中，根本不允許失效模式的出現(xiàn)，那么三選二系統(tǒng)是一種最牢 靠的選擇。當(dāng)要防止兩種失效模式的出現(xiàn)時，系統(tǒng)的結(jié)構(gòu)變的非常復(fù)雜。

11、一種既可以 容忍 安全”失效，又可以容忍 危險”失效的結(jié)構(gòu)設(shè)計就是三選二結(jié)構(gòu)（三個單元中選擇 兩個相同的結(jié)果用于安全功能，圖 4）。這種帶有三個控制器單元的結(jié)構(gòu)提供了即有安 全性又有高可用性的系統(tǒng)。這種系統(tǒng)被稱為TMR （三重模塊冗余）系統(tǒng)。每個控制器單元的輸出通道帶有兩個輸出點。把三個控制器各自的兩個輸出點連 接成 裳決”電路，用表決的結(jié)果來決定真正的輸出信號。輸出的結(jié)果取決于多數(shù)”的意見。當(dāng)一條電路中有兩個輸出點接通時，輸出負(fù)載將被激活。當(dāng)一條電路中有兩個 輸出點斷開時，輸出負(fù)載將被斷電。若濟(jì)屯斯圖4: 2oo3結(jié)構(gòu)在上圖的輸出接線中，沒有直接把三個輸出的接點簡單地串聯(lián)后，接到執(zhí)行器。如果

12、這樣接的話，那就是純粹的安全接法，而不考慮容錯問題了。圖中采用的是：兩兩輸 出接點先進(jìn)行串聯(lián)-安全接法， 然后把三種可能的串聯(lián)組合再并聯(lián)起來-冗余接法。所 以把這種系統(tǒng)稱為：兼顧了安全性和高可用性的系統(tǒng)一個 TMR 系統(tǒng)通常由三個同樣的CPU 組成，通常運(yùn)行同一個應(yīng)用程序（特殊情況下，有些系統(tǒng)故意要運(yùn)行不同的應(yīng)用程序，這里暫且不討論）。每個CPU 連接到同樣的輸入和輸出子系統(tǒng)。每個CPU 接受所有的輸出并執(zhí)行表決，決定量輸入和選擇中間量的模擬量輸入。每個輸入可以是一個傳感器、兩個傳感器或者三個，這取決于應(yīng)用的要求。每個掃描周期，每個輸入設(shè)備往CPU 傳送一次數(shù)據(jù)，因為傳感器是廣播方式傳送輸入數(shù)

13、據(jù)， 所以同樣的輸入傳給所有的CPU 。每個 CPU 接收了表決輸入數(shù)據(jù)以后，再執(zhí)行應(yīng)用程序。每個 CPU 是各自獨立地、非同步地運(yùn)行，并且不共享它們的輸入/ 輸出數(shù)據(jù)，從而避免了一個CPU 的錯誤數(shù)據(jù)影響其他CPU 的數(shù)據(jù)存儲器。每個CPU 執(zhí)行相同的應(yīng)用程序，處理輸入數(shù)據(jù)，然后建立新的輸出數(shù)據(jù)。通過輸出模塊和現(xiàn)場表決接線，把輸出數(shù)據(jù)傳送至輸出設(shè)備。保證一個TMR 系統(tǒng)可以正常運(yùn)行的另一個重要內(nèi)容是TMR 軟件。 TMR 軟件提供系統(tǒng)配置工具和系統(tǒng)軟件功能。還有專為TMR 應(yīng)用準(zhǔn)備的文件夾，TMR 系統(tǒng)軟件控制輸入表決、特殊的TMR 存儲器映射、診斷信息、周期性自檢、和PLC 子系統(tǒng)的其他操

14、作特性。 1oo2D 帶診斷的雙通道系統(tǒng)1oo2D 結(jié)構(gòu)有兩重的1oo1D 系統(tǒng)，并聯(lián)接線，并有額外的控制線路，提供了1oo2 安全功能。圖5 表示了 1oo2D 的結(jié)構(gòu)。1oo2D 設(shè)計成既能容忍安全失效，又能容忍危險失效的系統(tǒng)。基于診斷和結(jié)合2oo2 的可用性與1oo2 的安全性的執(zhí)行，它可以有效的進(jìn)行自我重新配置。這種結(jié)構(gòu)非常依賴診斷，因此不同廠商在具體實現(xiàn)時，有不同的解決方案?，F(xiàn)在，這種結(jié)構(gòu)取代了很多2oo3 系統(tǒng)，因為它降低了系統(tǒng)成本，并且在安全性和可用性的性能相差無幾。圖 5： 1oo2D 結(jié)構(gòu)1oo2D 結(jié)構(gòu)提供了完全的系統(tǒng)容錯，與1oo1D 系統(tǒng)提供了相同的基本特性，但增加了和

15、 I/O 系統(tǒng)的全部冗余。1oo2D 結(jié)構(gòu)提供了最高級別的安全性和可用性。為了實現(xiàn)全部的容錯，把基于1oo1D 的結(jié)構(gòu)進(jìn)行并聯(lián)，1oo2D 也被稱為“四重化 ”結(jié)構(gòu)。在檢測到第一個關(guān)鍵失效時，系統(tǒng)會走向（降級）1oo1D 模式，但不停機(jī)。這時可以對系統(tǒng)進(jìn)行在線維護(hù)，直到系統(tǒng)恢復(fù)成1oo2D 結(jié)構(gòu)。1oo2D 結(jié)構(gòu)減少了硬件的數(shù)量，特別是相對于標(biāo)準(zhǔn)的TMR 系統(tǒng)，同時提供了一個并行的帶有保護(hù)的輸出。系統(tǒng)的一方面在線診斷關(guān)鍵失效（輸入/處理器/輸出），另一方面維持控制和系統(tǒng)有效狀態(tài)。這種結(jié)構(gòu)的性能在安全可靠性和可用性兩方面，都要優(yōu)于常規(guī)的雙和TMR 系統(tǒng)。這種結(jié)構(gòu)還有規(guī)避外部公共因素影響的優(yōu)點。不

16、像其他安全系統(tǒng)，有些1oo2D 結(jié)構(gòu)的兩邊能夠安裝在不同機(jī)柜內(nèi)的不同機(jī)架上，使系統(tǒng)暴露于惡劣現(xiàn)場環(huán)境的可能性最小化，減少比如機(jī)柜溫度或者其他物理參數(shù)對系統(tǒng)的影響。 2oo4D 四重化系統(tǒng)為了在系統(tǒng)出現(xiàn)問題后，系統(tǒng)可以降級到1oo2D 的系統(tǒng)繼續(xù)運(yùn)行，一些廠商在市場上提供了一種稱為四重化的系統(tǒng)方案，有時被稱為QMR （四重冗余）。四重化系統(tǒng)，無論如何，實際的系統(tǒng)結(jié)構(gòu)是基于雙重化的輸入和輸出的結(jié)構(gòu)變化（每條腿上有兩個）。這種結(jié)構(gòu)確保了即使系統(tǒng)的一條腿由于錯誤或替換停機(jī)，整個系統(tǒng)還是完整的。比起1oo2D 或 2oo3 系統(tǒng)，感覺2oo4D 的系統(tǒng)可能更安全而且更可靠，實際上它們在運(yùn)行時，系統(tǒng)所提供

17、 的可用性和安全完整性等級是一樣的。圖 6 ： 2oo4D “ 四重化” 結(jié)構(gòu)與硬件相反，軟件永遠(yuǎn)不會降級。因此，當(dāng)使用軟件檢測硬件時，總是在誤動作發(fā)生之前就可以發(fā)現(xiàn)它們。QMR 安全系統(tǒng)使用軟件進(jìn)行自測試和自診斷，從現(xiàn)場至處理器。這使得QMR 安全系統(tǒng)比任何其他沒有使用自測試和自診斷的系統(tǒng)更加可靠，這其中包括2oo3 或者 2oo4 系統(tǒng)。除了具有系統(tǒng)內(nèi)部自測試和自診斷能力外，QMR 系統(tǒng)還有測試和診斷現(xiàn)場回路的能力。對于輸入和輸出，系統(tǒng)都具有回路監(jiān)視功能。一旦發(fā)現(xiàn)回路中出現(xiàn)短路和開路，就會生成報警。這種自動檢測和診斷方法減少了整個系統(tǒng)的維護(hù)和測試的費用。QMR 帶診斷系統(tǒng)具有處理多失效的能

18、力，因為它能夠發(fā)現(xiàn)和隔離系統(tǒng)中任何地方出現(xiàn)失效的能力。只要失效不是來自系統(tǒng)的同一個部分，它可以具有在多個失效產(chǎn)生時，不丟失任何安全功能的能力。結(jié)合2oo4D 的診斷技術(shù)，使得系統(tǒng)具有發(fā)現(xiàn)和隔離甚至沒有發(fā)生誤動作失效的能力。QMR 安全系統(tǒng)是第一個、并且目前是僅有的一個使用真正的雙容錯結(jié)構(gòu)。它是僅有的、具有當(dāng)兩個處理器都失效而能保持系統(tǒng)執(zhí)行安全功能到SIL3等級的安全系統(tǒng)。QMR系統(tǒng)能夠象一個單通道安全系統(tǒng)一樣，在完整性SIL3 等級下暢通無阻地運(yùn)行。QMR 安全系統(tǒng)的替換失效模塊是非常容易的，可以在線進(jìn)行，不需要熱備或者中間，不會影響安全裝置的流程。因為兩個通道獨立運(yùn)行，可以工作于一個通道而不減少整個系統(tǒng)的安全功能。另外，在線可以下載完整程序，而不會影響流程和減少系統(tǒng)的安全完整性。在改變到新的應(yīng)用程序前，系統(tǒng)會執(zhí)行一個檢查，并且把值進(jìn)行拷貝，確保安全和正確地連續(xù)運(yùn)行。3 系統(tǒng)體系結(jié)構(gòu)小結(jié)總之，從不同系統(tǒng)結(jié)構(gòu)角度來看安全性和可用