Средства создания отказоустойчивых АСУ ТП     Надежность технических средств создания АСУ ТП повышается с каждым годом. Тем не менее, в ответственных применениях едва ли кто-нибудь рискнет создать систему, теряющую свою работоспособность при единичном отказе. Для создания отказоустойчивых систем используется аппаратная избыточность, но при выборе структуры аппаратной избыточности необходимо учитывать ряд принципиальных положений. Очень часто применение резервирования не повышает, а даже снижает надежность создаваемых систем. Ниже приведены термины, определения и краткий анализ типовых структур отказоустойчивых АСУ ТП. Термины и определения Отказоустойчивость – свойство сохранять работоспособность при появлении возможных неисправностей составных частей; Работоспособность – состояние, в котором АСУ ТП выполняет возложенные на нее задачи управления; Закон управления – представление реализуемых АСУ ТП задач управления. Закон управления есть система функций однозначно определяющих в произвольный момент времени необходимое состояние исполнительных элементов в зависимости от показаний датчиков состояния объекта управления и некоторой истории протекания технологического процесса и процесса управления им; В ответственных приложениях недопустимо неправильное (не в соответствии с законом) управление (например, управление, реализуемое отказавшим устройством даже ограниченное во времени (естественно, сопоставимое с требуемым быстродействием АСУ ТП). При этом не выдача в определенный момент на объект управления предусмотренного законом воздействия, равно как и выдача ложного относительно закона воздействия есть отказ АСУ ТП; Обеспечение отказоустойчивости неизбежно требует применения аппаратно-избыточных структур АСУ ТП. Предлагаемые рынком средства создания избыточных структур АСУ ТП Весь имеющийся (ограниченный по объему) рынок средств создания избыточных структур АСУ ТП основан на двух архитектурах: - дублирование с информационным переключением центров обработки информации; - тройное модульное резервирование с мажоритарной выборкой «два из трех» всего функционального тракта АСУ ТП. В дублированной архитектуре один контроллер является «ведущим», второй – «ведомым». Контроллеры выполняют одинаковую программу, измеряют общие сигналы датчиков и вырабатывают одинаковое воздействие на объект управления, но «ведомый» контроллер, «не мешает» «ведущему». В системе присутствует независимый арбитр, который отключает (в случае отказа) выходы «ведущего» контроллера и подключает выходы «ведомого». Совершенно очевидно, что безотказное функционирование реализуемо только в ограниченных разновидностях из многочисленных возможных типов неисправностей. К тому же при попытке использования такого решения не выполняются требование, изложенное выше (В ответственных приложениях недопустимо неправильное управление). Т.е. внедрение избыточности по рассматриваемому принципу, бесспорно, значимо повышает стоимость создаваемых АСУ ТП, но реально (и уж, во всяком случае, - гарантированно) не способствует повышению их надежности. При использования такого решения нельзя гарантировать сохранение работоспособности при появлении всех возможных неисправностей составных частей. Архитектура с тройным модульным резервированием использует три изолированные параллельные системы управления, объединенные в единую систему. Система, использует принцип мажоритарной выборки «два из трех». Сигналы датчиков разделяются и направляются по трем независимым и изолированным каналам к одному из трех главных процессоров. Выходные параметры направляются по трем различным каналам к выходным модулям, где вновь проводится мажоритарная выборка. Рассматриваемая архитектура действительно решает задачу обеспечения отказоустойчивости, но при условии: гарантированного сохранения синхронности работы каналов взаиморезервирования на протяжении всего технологического процесса как при полностью исправном состоянии, так и при появлении неисправностей; наличия средств разветвления входных сигналов состояния объекта управления на три канала и мажоритирования выходных команд воздействия на объект управления, эффективно работающих при наличии возможных неисправностей. Существуют два варианта обеспечения синхронности работы каналов взаиморезервирования: - построение абсолютно синхронной системы, когда все аппаратные средства работают в одной тактовой сетке; - обеспечение паллиативной синхронизации каналов системы, когда каналы взаиморезервирования работают асинхронно, но с позиции их воздействия на объект управления (т.е. с позиции реализации закона управления) с учетом конечности быстродействия АСУ ТП их действия абсолютно идентичны. Обеспечение синхронности по одной тактовой сетке предполагает невозможность использования предлагаемых рынком универсальных средств, что неизбежно приводит к значимому снижению эффективности (стоимость/надежность/сроки и т.п.) конструкторских решений, и необходимость создания абсолютно надежного непрерывно работающего генератора тактовых импульсов, что само по себе проблематично. Обеспечение паллиативной синхронности путем организации обмена информацией между асинхронно работающими каналами взаиморезервирования в условиях соизмеримости времени обработки и времени обмена информацией возможно только для очень специфических задач и объектов управления. Для разветвление входных сигналов необходимо: сохранять в условиях возможных отказов одних датчиков способность получать информацию всеми каналами взаиморезервирования от оставшихся исправных датчиков; при возможных отказах во входных цепях (от одного датчика) одного канала взаиморезервирования сохранять способность приема информации от датчика другими каналами. Вышеназванные требования должны выполняться как для дискретных, так и для аналоговых сигналов и команд. Что мы предлагаем Мы предлагаем комплект аппаратных средств создания действительно надежных систем, не имеющих слабых звеньев. Системы, созданные на наших технических средствах, свободны от выше отмеченных недостатков. Структура отказоустойчивой АСУ ТП представлена на рис.1. Особенностями представленной структуры являются: вся структура, за исключением средств разветвления и средств мажоритирования, укомплектована универсальными серийными устройствами массового рынка комплектующих. Выбор комплектующих определяется требованиями заказчика; каждое устройство структуры выполняет возложенную на него универсальную задачу автономно и осуществляет только широковещательную выдачу сформированной им информации, т.е. в структуре отсутствует взаимодействия «точка – точка»; в обеспечение функционирования отсутствует необходимость ретрансляции информации из одного однотипного канального устройства в другое; каждое интеллектуальное устройство структуры (интеллектуальные устройства КВВА, КВВВ, КВВС, все УВМ центра обработки информации и рабочих мест операторов) обладают всем (а не только канальным) объемом информации о состоянии объекта и процесса управления, что позволяет осуществлять каждым устройством мажоритирование информации и диагностирование других устройств; обеспечивается сохранение работоспособности АСУ ТП в целом не только при единичном отказе одного канала взаиморезервирования, но и при появлении по одному отказу в разных устройствах; имеется возможность сколь угодно глубокого резервирования машин управления (УВМ ЦОИ); имеется возможность построения АСУ ТП практически неограниченной размерности по объекту и задаче управления, по количеству и назначению включаемых в контур управления операторов; в рамках возможностей используемых комплектующих и внедренной избыточности достигается практически предельная пропускная способность (быстродействие) АСУ ТП; программное обеспечение построено на принципах, обеспечивающих его максимальную надежность. При разработке программного обеспечения отказались от использования весьма проблематичной по эффективности и надежности сетевой операционной системы. Основные особенности в системе нет не резервированных элементов; изменяемая глубина резервирования; средства для диагностики состояния аппаратуры и кабельной сети; возможность максимально использовать недорогое, универсальное, массово выпускаемое оборудование доступная стоимость отказоустойчивой системы управления. Возможные сферы применения автоматизация производств с непрерывным циклом; системы Противоаварийной Защиты— защита опасных производств в нефтепереработке, на нефтехимических и химических заводах и в других промышленных процессах; противопожарная безопасность. Состав комплекта устройства ввода/вывода; устройства передачи данных; управляющие машины; рабочие места операторов; система гарантированного питания. На базе такого комплекта создан комплекс автоматизированного управления подготовкой к пуску третьей ступени РКН "Зенит", эксплуатирующийся в настоящее время на космодроме "Байконур".