Принцип автономности нижних уровней АСУ ТП означает простую инженерную норму: технологический процесс должен оставаться под управлением даже тогда, когда SCADA, операторская станция, архивный сервер или облачный сервис временно недоступны.
Полевой уровень и локальное управление - датчики, исполнительные механизмы, модули ввода-вывода и программируемый логический контроллер - работают с объектом в реальном времени.
Именно ПЛК считывает сигналы, выполняет регулирование, пуск и останов агрегатов, блокировки и аварийное отключение, а верхние уровни дают визуализацию, диспетчерский контроль, архивирование и связь с MES.
Если контуры управления и защиты живут только на диспетчерском сервере, отказ сети или ПО сразу останавливает процесс. Если они реализованы в контроллере, насосная станция продолжает держать давление, резервуар не переполняется, а потеря связи с SCADA ограничивает наблюдение, но не отбирает само управление.
Принцип автономности нижних уровней звучит сухо, пока не представить простую картину: насосная станция ночью, диспетчерский компьютер завис, Ethernet-коммутатор мигает ошибкой, а давление в трубопроводе все равно должно оставаться в допустимых пределах. Если контур живет только на сервере, процесс останавливается вместе с Windows. Если контур живет в контроллере, станция продолжает работать, а диспетчер узнает об инциденте позже.
Именно в этом и состоит принцип независимости нижних уровней. Основные функции непосредственного управления технологическим процессом выполняются на полевом уровне и уровне локального управления. Датчики, исполнительные механизмы, модули ввода-вывода и программируемые контроллеры сохраняют способность контролировать объект даже тогда, когда связь с SCADA, операторской станцией, архивным сервером или облачным сервисом временно отсутствует.
Где живет реальное время
Иерархия автоматизации не придумана ради красивых схем. На нижних уровнях время измеряется миллисекундами. Контроллер читает датчики, считает ПИД-закон, выдает команды на частотный преобразователь, проверяет блокировки и при необходимости обесточивает агрегат. Верхние уровни живут в другом масштабе. Они рисуют мнемосхемы, пишут архив, считают KPI, передают сменные задания и разговаривают с MES и ERP.
Это распределение совпадает с привычной моделью ISA-95 и Purdue: физический процесс и базовое управление относятся к уровням 0 и 1, SCADA и HMI - к уровню 2, MES - к уровню 3, корпоративные системы - к уровню 4. Контроллер занимается непосредственным контролем. SCADA и MES занимаются надзором и производственными функциями.
Автономность не означает изоляцию. Она означает, что критические функции не зависят от постоянного наличия этой связи. Считывание сигналов, регулирование температуры, давления, расхода и уровня, пуск и останов агрегатов, последовательностные алгоритмы, блокировки, контроль допустимых режимов, аварийное отключение, поддержание безопасного состояния, диагностика на уровне контроллера и хранение заранее заданных уставок должны продолжаться при потере диспетчерского или корпоративного уровня.
Возьмем насосную станцию. ПЛК получает давление и уровень, включает и выключает насосы, следит за сухим ходом и реагирует на аварию независимо от того, видна ли схема на экране SCADA. Экран - это окно. Окно может разбиться. Насос от этого не должен останавливаться.
Что делают верхние уровни
SCADA, операторская станция, исторический сервер, MES и облачная платформа нужны. Они дают удобство наблюдения, централизованное управление, накопление данных и анализ. На них обычно лежат мнемосхемы, тренды, журналы, сигнализация, изменение уставок оператором, производственная статистика, показатели эффективности и интеграция с ERP.
Отказ этих функций осложняет работу персонала. Оператор теряет удобную картину, архив и часть диагностики. Исчезновение визуализации не должно автоматически означать потерю управления. Поэтому SCADA не должна быть единственным местом, где живут контуры регулирования, защиты и блокировки. Критические алгоритмы размещают в ПЛК, DCS, специализированных контроллерах или системах противоаварийной защиты. При обрыве связи контроллер продолжает локальную работу и при аварии переводит объект в безопасное состояние.
Попытка реализовать основные алгоритмы только на диспетчерском сервере создает зависимость процесса от сети, операционной системы и доступности серверной инфраструктуры. Тогда отказ сервера останавливает регулирование, обрыв сети лишает управления, перегрузка канала задерживает команды, защита не успевает сработать, последовательность нарушается, перезапуск ПО провоцирует аварию, а облачный разрыв распространяет отказ сразу на несколько участков.
Для аналитики потеря нескольких секунд или минут обычно не принципиальна. Для контура давления, скорости или положения такая задержка дает колебания, ухудшение качества или опасное отклонение параметра. SCADA должна наблюдать за уже работающим процессом и передавать операторские задания, а не быть обязательным посредником для каждого быстрого воздействия.
Сценарии потери связи
Отказ операторской станции убирает наблюдение и ручное воздействие с конкретного рабочего места, но контроллер продолжает цикл. Отказ SCADA-сервера сохраняет процесс под управлением ПЛК, хотя диспетчеризация и архив могут исчезнуть. Обрыв промышленной сети переводит контроллер в автономный режим по последним корректным уставкам или по заранее заданному резерву. Отказ архивного сервера не останавливает насос, но временно рвет историю.
Потеря облака не должна гасить локальную автоматику. Отказ коммутатора изолирует участок, и этот участок все равно обязан работать, если его контроллеры, модули ввода-вывода и исполнительные устройства исправны.
Резервирование серверов полезно. Оно не заменяет автономность. Даже два SCADA-сервера не делают процесс безопасным, если сам контур регулирования живет только на них.
Поведение при потере связи задают заранее, а не придумывают в момент аварии. Программа должна знать, какие уставки считаются действующими, как долго ими можно пользоваться и в каком состоянии окажется объект.
Возможны продолжение по последним подтвержденным уставкам, переход на локальные фиксированные значения, ограничение производительности, завершение текущего цикла, контролируемый останов, отключение отдельных механизмов, перевод в безопасное состояние, включение резервного контроллера или канала.
Автономность не означает «работать любой ценой». Вентиляция может продолжать держать температуру. Конвейер может закончить текущую операцию и встать в безопасном положении. Опасный химический процесс может немедленно прекратить подачу реагента и закрыть арматуру. Нижний уровень сам выбирает предусмотренный безопасный сценарий, не ожидая команды от облака.
Резервуар как учебный пример
Датчик уровня отдает значение в ПЛК. ПЛК управляет насосом через пускатель или преобразователь частоты. В норме SCADA показывает уровень, состояние насоса, аварии и тренд. Оператор меняет уставку или берет ручной режим.
Если связь рвется, контроллер все равно сравнивает уровень с уставкой, включает и отключает насос, ограничивает число повторных пусков, контролирует сухой ход, реагирует на переполнение, формирует локальные аварии и останавливает насос при опасном состоянии.
После восстановления связи SCADA заново читает актуальное состояние и, по возможности, события автономного периода. Восстановление не должно самопроизвольно запускать оборудование и внезапно менять параметры. Команды верхнего уровня проходят проверку и применяются по логике безопасности.
На стадии проектирования функции делят по критичности. Контуры регулирования живут в ПЛК. Аварийные блокировки не зависят от SCADA. Защитные отключения выполняют локальные цепи или специализированные системы. Уставки имеют допустимые диапазоны. При обрыве связи задано поведение объекта. Команды сверху проверяет контроллер. Критические сигналы не гоняют через необязательные промежуточные сервисы.
Сеть нужна для координации и наблюдения, но не как единственное условие работы защиты. Диагностика потери связи и качества данных обязательна. Восстановление соединения делают без опасных переходных процессов.
Потерю связи, недостоверные данные и полный отказ оборудования нельзя смешивать. Если SCADA молчит, контроллер может работать локально. Если отказал датчик, пропало питание привода или поврежден модуль ввода-вывода, программа распознает это состояние и выполняет защитный сценарий.
Зачем это надежности
Автономность сужает область распространения отказа. Повреждение сервера, сбой ПО, отказ коммутатора или недоступность облака не должны автоматически становиться отказом всей АСУ ТП. Каждый уровень делает свою работу и общается с соседними через определенные интерфейсы.
Отсюда практическая выгода для обслуживания. Сервер SCADA можно перезапустить или обновить, не останавливая технологическое оборудование. Аналитическую платформу можно временно выключить, не трогая контуры регулирования и защиты.
Автономность не отменяет резервирование, диагностику и регламент. Она ставит барьер между отказом информационной инфраструктуры и физическим процессом. В надежной системе отказ верхнего уровня ограничивает наблюдение, архивирование и удобство, но не отбирает контроль над объектом.
Верхние уровни расширяют возможности АСУ ТП, но не являются обязательным условием для базовых функций управления и безопасности. Потеря SCADA, MES, исторического сервера или облачного сервиса может временно уменьшить информированность оператора.
Полевой уровень и локальные контроллеры продолжают управлять процессом или переводят его в заранее определенное безопасное состояние. В этом и состоит принцип автономности как один из фундаментальных принципов построения отказоустойчивых АСУ ТП.
Учебное пособие "Автоматизирвоанные системы управления технолгогическими процессами": Часть 1 - Инженерная основа АСУ ТП (Pdf)
Андрей Повный