罗克韦尔产品经理王广野：做到真正的冗余I/O

罗克韦尔产品经理王广野：做到真正的冗余I/O

       “冗余”在控制领域是个很常见的话题，因为控制系统需要保持足够的稳定性，工程设计方案中经常会在PLC/PAC上做电源冗余，CPU冗余，当然还有I/O冗余。在关键性系统的拓扑中，甚至需要整套系统的全冗余方案。当然，随着自动化控制技术的成熟、相关控制系统产品的品质日趋完善，在冗余的必要性上，不同类型的终端用户也开始有不同的做法。在不少现场环境中，冗余的想法已经被淡化了。但我们在这里要讨论的是，当控制系统环境确实有冗余I/O需求时，工程师是否按要求做到了？而这种冗余方案的实施又是不是真正足够有效呢？

       做到真正的冗余I/O

       罗克韦尔自动化公司的集成架构产品经理王广野先生，在冗余I/O方面有着丰富的知识和实践经验。在他介绍罗克韦尔自动化1715系列冗余I/O产品（此产品荣获CEC2011年度最佳产品奖）的时候有一个提法，那就是“真正意义上的冗余I/O”。

　　这个提法的背景是在搭建I/O冗余环境时，我们通常只是将两块相同的I/0模块都连在通路上。理论上一旦一个模块停止工作，另一个将担负起它的全部工作。这样的方式看似简单、明确，但实际上它仍有缺陷。我们举一个例子：一个PLC控制信号输出，从相互冗余的两块I/O输出模块共同进入到远端的一个端子上，这个端子信号再出去，最终到达需要控制的一个阀门上。如果这个一个10毫安（4-20毫安之间）的控制信号，在输出控制时，两个I/O模块同时开始工作，每个模块输出5毫安，两者之和就是10毫安了。但问题的关键就出于此处，就是任意模块的理论输出是5毫安，但是实际上它输出的究竟是不是5毫安？没人知道！这是冗余，但算不上完美的冗余。

　　造成这种冗余缺陷的根本原因在于它的自诊断功能不够完备。对此，真正的冗余I/O是如何做到的呢？罗克韦尔自动化公司的集成架构产品经理王广野说：“我们这个冗余系统可以诊断I/O通道本身，假设我要求I/O模块输出5毫安电流信号，它没有输出，自诊断过程很快，系统立刻就会了解到这个模块有问题，并马上将这个模块的状态设定为故障状态。而且，这个故障模块仍能输出什么样的信号，系统自己也很清楚。比如此时故障模块只能输出4毫安电流信号，那么系统就要求冗余的另一块I/O模块的信号从5毫安变为6毫安；如果故障模块彻底没有任何信号输出了，那么，其互为冗余的I/O模块就实时地调整为输出10毫安。这样，在末端的输出信号就能始终保持正常的10毫安了。”

　　至于故障模块如何处理修复？王广野回答说：“这很方便，把故障模块的卡拔掉，换一个新的上去，一切又恢复如新。关键是在热插拔的过程中，系统能始终保持控制末端信号实时维持高准确性和高稳定性。”

       冗余强调对可用性的保障

　　这种所谓真正的冗余有什么实际效果上的好处吗？或者给用户带来什么样的效果？据王经理的介绍：一个炼化厂的炼油过程需要通过对炼油温度的控制实现对油品的分类，操作者在控制温度这一过程变量时，一旦突发I/O故障，而且此故障I/O仍能部分地维持工作状态，由于其仍处于正常工作状态，操作者对故障问题并不知情，这就会在工艺上产生扰动。比如I/O输出本来需要10毫安电流信号，但是故障输出突变为5毫安了。这5毫安的控制效果，和10毫安的控制效果会有明显差异：假设现场I/O输出信号是用来控制蒸汽阀门的，模拟量的控制信号因强度下降，造成蒸汽阀门打开，但打开程度却比预想小，因此造成蒸汽注入不足，随之工艺温度会有瞬间下降。因此影响油品炼化的质量。

　　即使系统发现问题，但如果在修正方式上只是简单地采取不断增加对回路的控制信号强度值，从而维持输出末端的信号的准确性。这样一来，在一个缓慢地积累过程后，在生产中就会造成某个波动的影响，从而对油品的质量造成长期性的影响。

　　另一个例子是压缩机，它在很多场合需要冗余I/O的控制，出现的问题也是一样的。压缩机中的压力建立起来需要一个过程。由于冗余I/O输出控制信号不稳定，很可能在瞬间迅速失去压力。然而，要想重新回到原压力要求指标，这需要较长的蓄能过程，生产也将因此造成损失。

　　所以，真正意义上的冗余I/O的核心优势是体现在工艺中的可用性上的，当然作为冗余，其安全上自然也应该是保障之一。虽然整体控制系统中设有多种安全保护措施，使得真正发生安全事故的几率极低，但据王广野经理的了解，因冗余I/O故障问题发生的安全事故虽属极个别，但还是存在的。