国产自主可控分散控制系统可靠性分析

司徒有功，张 雷，雷志伟

(1.大唐南京发电厂，江苏 南京 220046；2.中国大唐集团科学技术研究院有限公司华东电力试验研究院，安徽 合肥 230031)

0 引言

分散控制系统(Distributed Control System，DCS)作为发电厂过程控制的神经中枢，其系统性能的稳定性和可靠性直接关系到发电机组安全稳定运行。DCS在实际运行中经常发生一些控制器切换、通信网络切换、电源切换等问题，且随着DCS运行寿命的增长，系统响应实时性会相应下降。而通过DCS可靠性测试与分析可及时发现存在的安全隐患，保障机组长期安全、稳定运行。

近年来，随着DCS系统全国产化的发展，DCS控制系统从芯片、IO板卡，到操作系统、组态软件等，均实现了100 %国产化。通过对纯国产化的DCS系统开展可靠性测试和分析，可以检验其是否满足电力行业标准要求，以及是否能够保障机组安全、稳定运行。

DCS系统可靠性是DCS系统性能的主要评价指标之一，其可靠性测试一般只包括DCS系统本身，不包括接入系统的变送器、执行器等现场设备。DCS系统可靠性测试内容主要包括DCS系统冗余性能测试和DCS系统实时性测试。

1 DCS系统冗余性能测试

冗余性能测试，又称容错性能测试，即当系统出现死机、掉线、失电等故障后，备用的模件应自动投入工作，且在切换过程中不应出错或出现死机等情况，同时对DCS系统数据收发情况进行性能评价。冗余性能测试包括电源冗余测试、网络冗余测试和控制器冗余测试。

1.1 电源冗余测试

DCS系统电源设计有可靠的备用电源，备用电源的切换时间应小于5 ms，以保证控制器不发生初始化。某国产自主可控DCS系统的冗余电源配置有两路电源，分别为UPS不间断电源和厂用电，当一路电源失去后，切换至另一路电源供电，保障系统不发生重启，且数据不发生丢失。

1.1.1 测试方法

为检测两路电源的切换时间，以及切换过程中电源系统能否正常运行，设计了一套测试方法。

(1) 在两路电源转换前，接一路24 V DC电源至示波器(示波器最小采样精度为50 ms)，用于记录电源切换过程电压是否有跳变以及切换时间。

(2) 检查切换过程中，是否有控制器重启、操作员站等设备重启或死机。

(3) 同样方法进行反向切换测试。

1.1.2 测试结果

对某国产自主可控DCS系统的冗余电源进行切换测试，在模拟失去一路电源时，示波器记录了其切换过程时间。当从主路电源切换至辅路电源，以及从辅路电源切换至主路电源时，切换过程中示波器所记录的24 V DC电压未出现失电或突变现象，其冗余电源切换时间均小于5 ms，满足DL/T 774—2015《火力发电厂热工自动化系统检修运行维护规程》对冗余电源的要求，并且期间未发生控制器重启、掉线等现象。

1.2 控制器冗余测试

控制器是DCS的核心设备之一，负责控制逻辑的运算及输入/输出信号处理。DCS系统设计有冗余控制器，即当其中主控制器故障后，备用控制器应能够自动投入运行，并且不得出错、脱网或死机，控制输出不应产生扰动和突变，控制器应能双向无扰动切换，控制系统运行应无异常。

1.2.1 测试方法

为检测控制器切换过程中过程变量监视和状态观察是否异常，分别从系统状态观察、模拟量输出检查和开关量输出检查三个方面进行评估。AO信号斜坡输出模拟中，模拟量输出信号动态变化时长设置1～2 min，为切换测试留足时间，通过动态信号变化可以观测到AO信号是否发生一些短暂或微小的变化。

开关量信号输出(脉冲信号，其脉冲宽度与控制器周期相同，占空比50 %)模拟中，开关量输出信号动态变化时长同样设置1～2 min，通过动态信号变化检查开关量输出是否有影响，观察切换瞬间两台控制器周期进行融合的变化情况及估计控制器切换时间。控制器切换步骤如下。

(1) 触发模拟量输出AO动态斜坡信号及开关量输出DI连续信号两种信号。

(2) 模拟主控制器故障，待备用控制器投入运行后，恢复主控制器。

(3) 通过示波器记录模拟量输出和开关量输出信号的变化曲线。

(4) 按照同样方法进行反向切换测试。

1.2.2 测试结果

对某国产自主可控DCS系统进行控制器切换测试，被测控制器处理周期为200 ms。测试结果显示，在模拟主控制器故障时，示波器记录模拟量输出信号在切换时间内存在斜率突变的情况；切换过程中，模拟量输出信号出现了短暂的迟滞现象，持续时间大约78 ms；示波器记录开关量输出信号迟滞现象，切换时脉冲带宽变化至234 ms，比设定值200 ms长34 ms；同样，在模拟备用控制器故障时，模拟量输出信号短暂迟滞63 ms，开关量输出信号带宽延长了约37 ms。

1.3 网络冗余测试

DCS系统设计通过主辅两路冗余通信网络，在网络结构上的任一故障如交换机故障、主干链路断开等情况下，都可以保持网络通信正常，确保系统不出错或出现死机情况，且系统数据应无丢失。

1.3.1 测试方法

为检测通信网络切换过程中数据丢失情况，设计了以下测试方法。

(1) 在DCS系统中组态，在其中一控制器中设计如图2所示的开关量信号，通过上网通信的方式，传输至另一控制器开关量输出，如图1所示。

图1 网络切换逻辑设计

(2) 模拟运行的主路总线故障，待备用总线投入运行后恢复主路总线。

(3) 利用示波器观察信号变化情况。

(4) 同样方法进行反向切换测试。

1.3.2 测试结果

对某国产自主可控DCS系统进行通信网络冗余切换测试，被测控制器处理周期为200 ms。测试结果显示，当切除主路总线时，开关量输出信号连续，且未出现数据丢失现象；同样，当切除备用总线时，开关量输出也未出现数据丢失现象。

2 DCS系统实时性测试

DCS系统实时性反映了系统对状态快速变化的信号处理能力，针对开关量采集实时性进行测试，从控制器的DI通道输入数量一定的交替变化的逻辑信号0和1，控制器接收这些数据并统计数据个数是否与发送端相同，如若不同则说明存在数据丢包或处理延时等现象。

2.1 测试方法

(1) 在控制器中增加一个计数器功能块，功能块的输入端连接至被测DI通道。

(2) 通过信号发生器，给DI通道接入占空比为50 %的脉冲信号，个数为99，脉冲宽度等于当前控制器处理周期。

(3) 用示波器记录控制器接收信号情况，确认计数能正确累计输入脉冲的个数时，逐渐减少脉冲宽度，直到计数器出现丢失脉冲的现象，而之前能正确计数的最小脉冲宽度为该通道的采集实时性。

(4) 对控制器设置不同的处理周期，重复测试上述过程。

2.2 测试结果

(1) 200 ms控制器处理周期。将被测控制器的处理周期设置为200 ms，输入带宽为200 ms、占空比为50 %及脉冲个数为99的开关量输入信号。测试结果显示，控制器共接收到99个脉冲信号，未出现数据丢失现象，接收率为100 %。

(2) 100 ms控制器处理周期。将被测控制器的处理周期设置为100 ms，输入带宽为100 ms、占空比为50 %及脉冲个数为99的开关量输入信号。测试结果显示，控制器共接收到99个脉冲信号，未出现数据丢失现象，接收率为100 %。

(3) 50 ms控制器处理周期。将被测控制器的处理周期设置为50 ms，输入带宽为50 ms、占空比为50 %及脉冲个数为99的开关量输入信号。测试结果显示，控制器共接收到99个脉冲信号，未出现数据丢失现象，接收率为100 %。

(4) 25 ms控制器处理周期。将被测控制器的处理周期设置为25 ms，输入带宽为25 ms、占空比为50 %及脉冲个数为99的开关量输入信号。测试结果显示，控制器共接收到95个脉冲信号，丢失4个脉冲信号，丢失时长约为199.22 ms，接收率约为96 %。

(5) 10 ms控制器处理周期。将被测控制器的处理周期设置为10 ms，输入带宽为10 ms、占空比为50 %及脉冲个数为99的开关量输入信号。测试结果显示，控制器共接收到91个脉冲信号，丢失8个脉冲信号，丢失时长约为180 ms，接收率约为92 %。

3 测试分析

针对某国产自主可控分散控制系统进行可靠性测试，分别评估DCS系统冗余性能和DCS系统实时性两个方面。

(1) 电源冗余测试。从主路电源切换至辅路电源和从辅路电源切换至主路电源时，24 V DC电源均未出现失电现象，切换时间小于5 ms，满足DL/T 774—2015《火力发电厂热工自动化系统检修运行维护规程》要求。切换过程中，DCS所有控制器未发生重启、掉线等故障，DCS监视数据正常。

(2) 控制器冗余测试。模拟量输出信号和开关量输出信号均出现短暂的数据迟滞现象，迟滞时长大约在30～80 ms，但均未出现数据扰动或数据丢失现象。迟滞时间的产生主要是由于控制器切换时间(包括故障检测、判断等因素)造成，从测试结果来看，取迟滞时间最大值作为该国产自主可控DCS系统的控制器冗余切换时间，约为80 ms，仅比非纯国产DCS的控制器冗余切换时间稍长十几毫秒，相差不大，能够满足生产需求。

(3) 网络冗余测试。示波器记录的开关量输出信号连续，数据传输能够正常进行，说明网络在切换过程中，网络自恢复时间短，故障检测快速，能够满足电厂实际生产运行需求。

(4) DCS系统实时性测试。分别在控制器处理周期200 ms，100 ms，50 ms，25 ms和10 ms条件下开展开关量采集实时性测试。测试结果显示，在控制器处理周期为2 200 ms，100 ms，50 ms，25 ms和10 ms条件下均未出现数据丢失现象，当控制器处理周期设置为25 ms时，开始出现数据丢失现象，且随着控制器处理周期进一步减小，数据丢失率越高。这意味着当控制器处理周期越来越小时，控制器周期值存在不稳定波动，当信号采集正好处在不稳定周期中，会导致出现丢脉冲的现象。因此，该国产自主可控DCS系统能正确计数的最小脉冲宽度为50 ms，相较一般DCS系统的100～150 ms，该国产DCS系统的实时性更高，对系统状态快速变化的处理能力更强。

4 结论

通过对国产自主可控DCS系统冗余性能和实时性测试，对其可靠性和实时性进行评估，并与非纯国产DCS系统进行对比，结果表明国产自主可控DCS系统在控制器冗余方面略微逊色于非纯国产DCS系统，在开关量采集实时性方面优于纯国产DCS系统。通过测试和分析，证明该国产自主可控DCS系统满足电力行业规程和实际安全生产要求。