Фафурин В.А., Терюшов И.Н. Автоматизация технологических процессов и производств

Подождите немного. Документ загружается.

1. Безопасные ПЛК

Безопасные программируемые логические контроллеры

(ПЛК) - это техника специального назначения, которая используется

для обеспечения задач безопасности и критического управления в

системах автоматизации. Эти контроллеры являются центральным

компонентом систем безопасности, и предназначены для выявления

потенциально опасных технологических ситуаций, и предотвращения

их дальнейшего развития. В том случае, если подобная ситуация все-

таки возникает, система безопасности программируется таким

образом, чтобы автоматически перевести процесс в безопасное со-

стояние.

Существуют серьезные ограничения на использование ПЛК, в

особенности при временных ограничениях на восстановление рабо-

тоспособности после сбоя. ПЛК общего назначения, не имеющие

специального допуска на применение в системах защиты, не могут

использоваться в критичных по отношению к безопасности прило-

жениях.

Рассмотрим разницу между безопасным ПЛК и обычным, и за-

дадимся вопросом: почему обычные ПЛК не могут использоваться

для реализации функций защиты и критичного по отношению к

безопасности управления. Доктор William M. Goble, лидер независи-

мой группы экспертов Exida, чей авторитет котируется в профессио-

нальном мире уж никак не ниже пресловутого TUV, в статье "Con-

ventional PLC vs. Safety PLC", Exida, 2000, указывает на принципи-

альную разницу между обычными и безопасными ПЛК.

Безопасные программируемые логические контроллеры специ-

ально спроектированы для достижения двух важнейших целей:

• Обеспечение безотказности за счет достаточного уровня ре-

зервирования и, если отказа все же не удается избежать,

• Отказ должен сказываться на процессе только предсказуемым,

безопасным образом.

Для того чтобы наделить системы данным набором качеств,

предпринимается ряд специальных проектных решений. Безопасные

ПЛК имеют изощренную внутрисистемную аппаратную и программ-

ную диагностику, которая позволяет программно-техническому ком-

плексу с большой степенью достоверности определять собственную

нештатную работу:

• Безопасные ПЛК имеют специальные средства для проверки

правильности и надежности программного обеспечения.

• Безопасные ПЛК по определению используют резервирование,

которое позволяет поддерживать безопасность технологического

процесса даже при отказе части оборудования.

• Безопасные ПЛК имеют дополнительные средства защиты

операций чтения и записи по каналам связи.

Однако доктор Goble не упоминает о самом важном качестве

систем безопасности, ядро которых составляют безопасные ПЛК:

Системы, предназначенные для выполнения задач безопасности,

- это детерминированные системы, то есть такие системы, которые

должны обеспечивать реакцию на событие в течение известного

предопределенного интервала времени при любых обстоятельствах.

Все элементы системы - от сенсора до исполнительного меха-

низма - должны обеспечивать не абстрактное "математически" ожи-

даемое, а точно известное время реакции.

Сказанное означает, что детерминированная система должна об-

ладать значительной аппаратной и функциональной избыточностью

по всем компонентам системы: процессоры, память, шины данных,

количество каналов ввода-вывода, частота сканирования каналов и

программ, и т. д. Промышленные сети также должны подчиняться

этим требованиям:

Характеристикой промышленной сети должно быть

гарантированное время реакции на событие, а не средняя скорость

передачи.

Для недетерминированных систем собственные вычислительные

ресурсы и средства коммуникации могут внести непредсказуемые

задержки в силу различных внешних и внутренних причин:

• Обработка асинхронных прерываний извне.

• Отсутствие реальной многозадачности и неумение работать по

приоритетам.

• Ожидание освобождения общего ресурса (процессор, память,

драйвер...).

• Использование устройств с непредсказуемым временем реак-

ции (позиционирование жесткого диска) и тому подобное.

То, что недетерминированные системы не способны обеспечить

заданное время реакции даже при отсутствии внешних причин, на

своей шкуре испытано всеми пользователями Windows. Вам остается

только с изумлением наблюдать, как система - и модель, и воплоще-

ние абсолютной власти - живет своей внутренней и очень насыщенной

жизнью, которая к вам не имеет абсолютно никакого отношения. А

ваши действия ей только мешают, и воспринимаются не иначе, как

досадная необходимость чистить зубы. Воистину монумент беско-

нечному снобизму и авантюризму ее создателей. Но ради мирового

информационного захвата и не такое сделаешь.

Детерминированное, предсказуемое поведение системы нераз-

рывно связано с понятием жесткого реального времени. В жесткой

системе:

• Опоздания не допускаются ни при каких обстоятельствах.

• Опоздание считается катастрофическим сбоем.

• Цена опоздания очень велика.

Таким образом, системы безопасности в целом и безопасные

ПЛК в частности, должны обеспечивать гарантированное время

реакции на события. Это требование предполагает жесткий временной

цикл работы системы, рассчитанный на самую неблагоприятную

ситуацию по событиям.

Еще одним важным отличием безопасных ПЛК является незави-

симая сертификация этих систем третьими организациями на предмет

их соответствия требованиям безопасности и надежности по

международным стандартам.

Дополнительные требования предъявляются к проектированию,

изготовлению и тестированию данных ПЛК. Независимые эксперты

третьей стороны, такие как Exida, TUV или Корпорация совместной

инспекции производства, США (Factory Mutual Research Corporation -

FM), обеспечивают проверку качества разработки, конструкции и

заводских процедур тестирования безопасных ПЛК. Тщательный

анализ применяемых схемных решений и диагностического про-

граммного обеспечения, полное тестирование оборудования с искус-

ственным внесением всех мыслимых отказов позволяет определить и

выявить более 99% потенциально опасных отказов компонентов сис-

темы. Чтобы понять, каким образом может отказать каждый компо-

нент системы, как система способна выявить эти отказы, и как сис-

тема реагирует на отказы, при конструировании проводится анализ

режимов отказов, эффектов и диагностики отказов (Failure Modes,

Effects and Diagnostic Analysis - FMEDA). Эксперты FM, Exida или

TUV персонально выполняют процедуры тестирования отказов как

часть процесса сертификации.

При испытаниях системного программного обеспечения прово-

дится расширенный анализ и тестирование, включающее проверку

операционных систем реального времени, многозадачного взаимо-

действия и прерываний. Все критические данные сохраняются в ре-

зервной памяти и проверяются перед использованием на соответствие

спецификациям.

Для прикладного программного обеспечения ПЛК также разра-

ботаны международные стандарты (IEC 61131). Эти стандарты тре-

буют использования специальных приемов и средств программиро-

вания для снижения сложности при реализации алгоритмов. Во время

разработки прикладного программного обеспечения используются

дополнительные средства тестирования. Для проверки целостности

данных при тестировании также используется внесение ошибок в ис-

ходные данные. Спроектированное программное обеспечение и про-

веденное тестирование подробно документируются с тем, чтобы ин-

спекторы могли понять работу системы.

Безусловно, между обычными ПЛК и ПЛК, предназначенными

для решения задач безопасности, есть много общего. Например,

• И те, и другие могут опрашивать входы, производить вычис-

ления и выдавать управляющие воздействия,

• И те, и другие имеют модули ввода-вывода, которые позволяют

им интерпретировать ситуацию на процессе и воздействовать на

исполнительные элементы,

• И те, и другие имеют интерфейсное и сетевое оборудование.

Но существенным является другое:

• Обычные ПЛК изначально не спроектированы как отказо-

устойчивые и безопасные системы.

• Обычные ПЛК не гарантируют детерминированного поведе-

ния системы.

И в этом состоит фундаментальная разница.

Появление международных стандартов безопасности, опреде-

ляющих особые требования к проектированию, производству и кон-

кретной реализации безопасных ПЛК, связано с всё большим услож-

нением технологических процессов, и соответствующим увеличением

количества и масштабов аварий на производстве. Все, что способно

снизить уровень этих требований, рассматривается как проявление

легкомыслия и с профессиональной, и с социальной точки зрения, и с

позиции коммерческих интересов.

2. Структура отказов базовых архитектур систем

безопасности

Системы безопасности по своей природе являются пассивными.

Поэтому в режиме on-line выявить все виды отказов с помощью одной

внутрисистемной диагностики невозможно. Опасный отказ может

существовать абсолютно необнаруженным до тех пор, пока система

неактивна. Система безопасности может отказать одним из двух

способов:

Во-первых, она может вызвать или инициировать ложный, немо-

тивированный останов, и остановить производство, в то время как

фактически ничего опасного не произошло. Если выходные цепи

спроектированы таким образом, что в нормальных рабочих условиях

реле находятся под напряжением и контакты замкнуты, то в случае

отказа системы защиты электропитание с контактов снимается, и они

размыкаются, вызывая останов процесса. Некоторые люди называют

подобную ситуацию "безопасным" отказом.

Во-вторых, система защиты может отказать прямо противопо-

ложным способом, то есть НЕ выполнить функцию защиты, в то

время как это действительно требуется со стороны процесса. Приме-

ром подобной ситуации являются реле с залипшими контактами, ко-

торые не могут разомкнуться для правильного срабатывания блоки-

ровки, либо заклинивший исполнительный механизм отсекателя. По-

добные отказы называют опасными отказами.

3. Архитектура lool (рис. 7.1.1)

Рис. 7.1.1

Резервирование отсутствует, поэтому система lool имеет при-

сущую ей проблему общего порядка:

Если какой-либо из единичных элементов в цепи отказывает, то

и вся система перестает работать. Питание с реле снимается, вызывая

размыкание контактов, и происходит жесткий, программно-

неконтролируемый, физический ("безопасный") останов.

Прежде чем рассмотреть разницу между показателями надежно-

сти и безопасности одноканальной системы и системами более высо-

кого порядка, введем два определения:

1. Если входной сигнал не подвергается никакому анализу, то

любой дребезг контакта приводит к ложному сигналу на сра-

батывание блокировки. Обозначим вероятность ложного сра-

батывания для одноканальной системы в течение 1 года как Ps :

1001

= Р

2. Если выходные контакты залипли, возникает опасный отказ,

который можно выявить только после деблокировки и после

дующего тестирования. Либо, что самое неприятное, после

того, как блокировка в нужный момент не сработала.

Обозначим вероятность опасного отказа в течение одного го

да как p

1001

= Р

Примечание: Во всех последующих примерах предполагается,

что реле под нагрузкой имеют замкнутые контакты.

4. Архитектура 1оо2 (рис. 7.1.2)

Рис. 7.1.2

Данная конфигурация означает, что ложный останов произой-

дет в том случае, если контакты любого из двух последовательных

реле разомкнуться.

Поскольку по сравнению с системой lool данная система имеет

удвоенное количество оборудования, вероятность ложного сраба-

тывания удваивается, и составляет

1002

=2· Ps

Опасный отказ произойдет только в том случае, если оба канала

откажут одновременно. Для независимых событий вероятность отказа

обоих каналов одновременно будет определяться как квадрат ве-

роятности опасного отказа одноканальной системы:

РD

1002

Поскольку данная вероятность довольно мала, система 1оо2

обладает высокой степенью безопасности.Однако частота ложных

срабатываний по сравнению с одноканальной системой удваивается.

5. Архитектура 2оо2 (рис. 7.1.3)

Рис. 7.1.3

Система 2оо2 имеет два набора контактов, установленных па-

раллельно. Для того чтобы произошел ложный останов, оба канала

должны осуществить ложный останов одновременно. Поэтому для

независимых событий вероятность одновременного ложного сраба-

тывания обоих каналов определяется произведением вероятностей:

2002

= P s

P s =

Эта вероятность чрезвычайно мала, но вероятность

несрабатывания оказывается очень высокой:

Для опасного отказа достаточно, чтобы отказал один из двух

каналов. И поскольку данная система имеет удвоенное количеств»

оборудования, то вероятность опасного отказа (несрабатывания)

удваивается:

РD

2002

РD

Таким образом, как это ни парадоксально, но система 2оо2

уступает по безопасности одноканальной системе lool в два раза.

6. Архитектура 2оо3 (рис. 7.1.4)

Рис. 7.1.4

Система со специфической архитектурой на базе трех попарно

"голосующих" в порядке 1-2, 1-3, 2-3 элементов. Система считается

работоспособной, если результаты работы любых двух элементов

совпадают. В чистом виде (без общих отказов - Common Cause Fail-

ures, IEC 61508) вероятность всех типов отказа архитектуры 2ооЗ в

ТРИ РАЗА ВЫШЕ, чем для системы 1оо2. Это обстоятельство объ-

ясняется довольно просто:

Без учета перестановок существует только одно сочетание для

отказа системы 1оо2 - это комбинация (1-2). Дня системы 2ооЗ таких

сочетаний три:

(1-2), (1-3), (2-3)

С учетом перестановок оба набора сочетаний синхронно

удваиваются, соответственно удваивается и частота отказов, сохраняя

общее соотношение вероятностей отказа

1002

/ P

2003

=1/3

Расчеты показывают, что и в целом, то есть с учетом влияния

отказов общего порядка конфигурация 2ооЗ имеет меньшую

надежность в сравнении с архитектурой loo2D (см. IEC 61508, Part 6).

7. Основные архитектуры промышленных систем

безопасности. Архитектура loolD (рис. 7.1.5, рис. 7.1.6)

Рис. 7.1.5

В простейшем варианте в эту архитектуру добавляется дополни-

тельный электронный ключ, управляемый диагностической цепью. В

качестве средства диагностики выступает обычный сторожевой тай-

мер (Watchdog). В том случае, когда диагностика обнаруживает

опасный отказ, ключ может снять питание с выхода, преобразуя

опасный отказ в почти "безопасный". Суффикс "D" в данном случае

отражает расширенные возможности самодиагностики, внесенные в

канал. В стандартной конфигурации данная архитектура имеет до-

полнительные диагностические цепи и на модулях ввода-вывода:

Рис. 7.1.6

8. Архитектура loolD - расширенный вариант (рис. 7.1.7, рис.

7.1.8)