双重化和三重化控制系统在基本过程控制系统中应用的对比

双重化和三重化控制系统在基本过程控制系统中应用的对比摘要关于双重化系统和三重化系统优劣的比较的争论已经持续几年了，特别是使用在过程控制（不是安全控制）系统中。

在以往的量化比较方法中产生了一种狭窄的观点——控制和安全系统作为一个独立的硬件控制平台。

这样就不能说明许多实际问题，包括软件诊断的影响、现场设备的可靠度、以及保守控制策略的补偿。

在这篇文章中用一种综合的方法分析了双重化系统和三重化系统所带来的益处，在这一分析中包括了实际工厂环境的影响因素。

1、引言关于双重化系统和三重化系统优劣的比较的争论已经持续几年了，特别是使用在过程控制（非安全控制）系统中。

各种观点的支持者都坚持己见，但都片面性地关注于控制系统硬件部分的可靠性。

然而，这种忽略控制系统中其他设备的评价方法过于简化了对控制硬件定性定量评估的工作，这与控制设备在实际工厂环境中的应用情况是不一致的。

最根本的是这一方法不能说明一些实际存在的问题，包括软件诊断功能的影响、现场设备的可靠性以及退守控制策略的补偿作用。

一个关于控制系统的严格的、客观的、可靠的方法必须说明这些因素。

2、历史观点前面提到的忽视控制系统中其它设备的趋势的产生可以部分归结于一种对控制系统范围界定的过时观点，回顾生产过程安全分析的发展进程可以很好地说明这一点。

在80年代早期，德国标准VDE0801/A1建立了控制系统的界限，如对可编程逻辑控制器作为一个系统。

虽然它有助于开创过程控制工业的安全动作功能，但也狭隘地将控制系统的定义几乎全部集中在了PLC上。

在这一领域晚一些的努力定义了系统的边界，包括了现场设备例如传感器和最后的控制元件。

最近的标准〔包括ISA S84.01（1996），EN61508（2001），和IEC61511〕采用了这种更新的和更合适的系统边界定义。

事实上，它们包含了评估系统的适用性和效用的多个主题，例如系统的总体设计、操作和维护。

这种综合的评估方法比只关注于控制器的方法明显地更适合一些。

3、术语和定义不恰当地使用各种词语是共性的，并且很容易导致混淆和误解。

这一段提供了几个词语的描述，这样，在其他人的文章里这些词语出现时所指的意思也就清楚了。

设备和系统首要的任务是分清控制器和整个系统控制器：在整个控制系统中执行主要控制算法，除了现场设备。

这个词适用于PLC、DCS、单回路控制器（包括通用的专用的），和其它这类的回路控制设备。

控制系统：用于监视、控制或保护工厂机械和设备的设备总合。

这包括控制器、传感器和最终的执行单元。

可靠性这个词有很多质量和数量方面的定义，像可靠性和可用率。

对于这篇文章的主题，下面这些词将会被用到。

可用率：一个系统或设备被起用后正常工作的时间的百分数。

故障率：一个设备或系统在一段指定时间内的故障次数。

例如，每百万小时中的故障次数就是一个通用的测量单位。

平均到失效时间（MTTF）：设备或系统可靠性的另一个公用的检测指标，它代表了一种产品在发生失效前的平均运行时间。

平均修复时间（MTTR）：系统从检测到故障、完成修复到恢复生产过程所需的平均时间。

平均失效间隔时间（MTBF）：系统在二次失效之间的平均间隔时间（MTTF+MTTR）。

对双重化和三重化系统的平均失效间隔时间的考虑远比对单配置系统的要复杂，关于这一点的详细讨论将在本文的后面提到。

平均失效间隔时间是最通用的评估产品质量的指标。

系统的可用率：一个控制系统在具体的使用操作条件下满意和有效操作时间的百分数。

可靠性：一个设备或系统在一段给定的时间内、指定的条件下完成要求的功能的可能性。

故障避免、故障掩盖和容错“容错”被广泛用来描述一个控制器或一个控制系统的关于提高其可用性的属性。

为了有助于这个讨论，它将使与控制器和控制系统的故障有关的各种概念有一个严格的定义。

故障避免是控制器或控制系统在故障被阻止的情况下正常运行的能力。

当一个设备的故障率低的时候它的故障避免水平就提高。

故障避免是好的设计、在构架和封装中选用好的材料、以及整体制造的结果。

它还会受操作和维护的影响。

故障屏蔽是控制器或控制系统在出现故障时仍能正常工作的能力。

这通常需要一定水平的硬件冗余，但它不意味着故障检测。

让我们来想一下冗余电源供电的设备情况：一个电源可能失效了但设备仍能正常工作，即使这一故障没有被检测到。

当然，这种方式的问题是设备得不到维护，系统继续工作在比故障发生前可靠性下降的情况下。

容错是控制器或控制系统在出现故障时仍能正常工作同时又能查出故障的能力。

它需要一定的冗余，但软件冗余比硬件冗余能提供更好的冗余保护。

容错也包括故障检测能力。

容错包括三种不同的功能：故障检测—控制器或控制系统诊断确定是否发生了故障故障鉴别—确定故障来源故障隔离—控制器或控制系统重新组态以隔离故障，从而在发生故障时能继续工作从新组态可以建立在硬件冗余基础上或软件冗余的基础上。

我们来看一下一台发生故障的变送器的情况：控制器可以检测出故障并切换到来自另一台变送器的信号，或者用替代算法提供可接受的控制而不必使用已发生故障的变送器（软件冗余）。

双重化或三重化使用故障屏蔽技术而不使用容错技术是有重要差别的。

如前所述，简单的故障屏蔽会使系统在比发生故障前可靠性更差的状态下工作。

结构体系另一个混淆的主题在于控制器和控制系统的结构体系。

M—N（MooN）方式是描述控制器结构体系的通用方法，系统由“N”个独立通道组成，而在执行所要求的功能时必须有“M”个通道是可操作的。

使用这种方法来定义控制器结构体系的困难在于，有些控制器使用1oo3结构体系来达到最大化的可用率，同时在正常环境下使用2oo3投票方式进行错误鉴别和输出控制。

这样，M—N方式的定义变得不太准确。

因为双重化和三重化在结构体系方面最主要的差别是组成控制器的通道数，以及这些通道完全可用到完全失效的降级使用的方法，这些属性被用来描述不同的结构体系如下：2-1-0双重化结构：双重化到单系统，到完全失效的双通道控制器。

3-2-1-0三重化结构：三重化到双重化，到单系统到完全失效的三通道控制器。

3-2-0三重化结构：三重化到双重化到完全失效的三通道控制器。

注意，3-2-1-0和3-2-0式的控制器都是完全的三重化，因为它是硬件上完全的三重化。

而有些控制器使用带有三重化主处理器的双重化硬件或其它结构不是完全的三重化。

那些控制器的安全性能比我们这里描述的三重化控制器要低。

4、过程控制和安全系统虽然在这篇文章中，相比安全系统（SIS）更多地涉及到了基本过程控制系统（BPCS），但是两者应用的基本原理是相同的。

对每种控制系统来说，在进行双重化和三重化控制的数学分析之前，其相互间的区分特征是值得讨论的。

在BPCS中应用投票表决方式的原因是与安全系统中应用投票表决方式根本不同的。

在BPCS中，投票表决提供了错误鉴别和保证系统的重新配置，这种系统的重新配置是在完全的错误隔离方式下进行的以保证生产过程在任何时候都能正常进行。

在安全系统中，投票表决是用来触发一个控制动作，例如停机以保证工厂设备和人员安全。

降级使用在BPCS中的流行用法是容许控制系统运行在单配置下（2-1-0方式或3-2-1-0方式）。

而安全系统通常是要求系统从双配置工作直接到停机并决不容许系统在单配置下工作（3-2-0方式）。

这样，BPCS倾向于追求系统的最大可用率，而SIS倾向于安全保护动作如停车。

这也反映在了BPCS和SIS系统所采用的结构体系的配置上。

这些倾向性特征是区分BPCS 和SIS系统的强制性论点中的一个，因为SIS系统如果也用来做基本过程控制系统的化，其停车次数会明显上升。

5、故障率VS可用率对一些产品或系统进行评估需要考虑的基本问题是对故障这个词的定义。

所有综合产品和系统在其使用寿命周期中都会出现故障，不同的故障对一个正在运行的生产过程会带来有巨大的差异的影响。

这经常会导致在一个工厂中产生两种相对立的观点。

从维修的角度看，当故障发生时，控制系统的设备就需要维修了。

如果控制系统的组件失效需要修复，这个控制系统就被认为是失效了。

从操作员或工厂管理者的角度来看，故障通常意味着生产中断。

如果控制系统的组件发生故障，但控制系统继续维持生产过程的控制，那么这个控制系统就仍然是可用的。

换句话说，就是系统没有失效。

失效可分别归类于需维修故障和关键故障，在评估双重化系统和三重化系统时区分这两者是非常重要的。

在评价系统是否适用时，仅对系统的需维修的故障率进行单一测评是不够的。

所以，将单一设备的故障和故障率从系统故障和系统可用率中区分出来是必要的。

例如，一个系统有较低的故障率，但是在这个较低的故障率中的故障都与会导致工艺过程出现关键故障的设备有关，则控制系统整体的可用率就降低了。

相反地，一个系统也许有较相对高的设备故障率，但是其故障很少导致关键故障，则控制系统整体的可用率就较高。

虽然需维修的故障的成本不能忽视，但它相对于非计划停车所造成的成本通常是较低的。

所以，系统的可用率是评价整个控制系统综合系统的最基本的指标。

6、马尔科夫模型虽然双重化和三重化控制器的对比评估不是完成对控制系统整体可用率的唯一步骤，但它仍然是一个合适的起点。

马尔可夫模型是进行这种分析的被广泛接受的优化工具，图1、2、3为每种控制器布局提供了图形化的例子。

在每种模型中白色环形区代表了没有故障的状态。

浅灰色环形代表了模块发生故障的退化的状态。

深灰色代表控制器不能执行其任务的失效状态。

图中在各种状态之间传递的是故障事件和修复行为。

控制器模块会因检测到的或没检测到的故障而导致失效。

模块失效率定义如下：NλD = 检测到的模块故障率（非普通原因故障）NλU = 没检测到的模块故障率（非普通原因故障）NλU+D =总的模块故障率（非普通原因故障）βλ＝普通原因导致的故障　图1 2-1-0双重化控制器马尔科夫模型图2 3-2-1-0三重化控制器马尔科夫模型图3 3-2-0三重化控制器马尔科夫模型系数N 表示功能模块的个数，也就是可能发生故障的个数。

D N λ与U N λ之比取决于控制器表决或者诊断的范围。

修复率（Repair Rate ）的定义如下：MTTR µ=平均到修复时间（MTTR ），修复检测到的故障的平均时间TI µ=平均测试间隔（Mean Test Interval, MTI ），修复未检测到的故障的平均时间。

假设故障沿时间随机分布，MTI 大致是实际测试间隔的一半。

在接下来的讨论中，我们采用如下假设：控制器整个寿命周期中模块故障率是一个常数。

冗余模块的故障率相等。

修复工作是完全彻底的。

具备足够的人员避免修复延迟。

无论由于何种原因发生故障，每个模块只有一个MTTR （MTTR µ）。

对于每个模块，测试间隔（TI µ）都是常数并且相等。