Резервирование ПЛК

[Demus]

Всем здравствуйте.
У нас возникла такая конфузная и и нтересная ситуация.
По проекту задумано резервирование контроллеров. То есть в щите стоят два ПЛК. Один находится в рабочем режиме, другой следит за ним, по лог 1 на одном из выходов, например.Как только первый выйдет из строя, включается второй.

Повесили щиты и решили заливать программы. Но не тут то было. Не работающий ПЛК сажает все свои выходы на минус, а т.к. его каждый вх и выход соединен с работающим, то понятное дело сажает и их. Т.е. оба становятся неработоспосбны.
Что сделать можно, чтобы воплотить светлую идею резервирования??? Есть мысли как-то гальванически развязать выходы...А у Вас какие мысли?
Подскажите как и чем можно сделать.
Сигналы у нас 220 В, 4-20мА, 2-10В, 24В, терморезисторы. ПЛК Delta DVP28SV. К нимм модул аналогового вх и вых,модули для измерения температуры.

[Никита]

Ситуация действительно конфузная ибо идея неверна с самого начала. Работать при взаиморезервировании должны оба, при этом обмениваясь информацией.
Вопрос раз - аналоговые выходы есть? Тогда лучше отказаться от идеи вообще, сбалансировать выходы в Вашем случае невозможно.
Вопрос два - переделать на нормальную схему можно? Единственное правильное решение (чревато скорей всего заменой процессорных модулей), все остальные советы - заплатки на презерватив.
Дискретные входы - проблем не вижу.
Входы 4-20 - последовательно через оба, если проходит по нагрузке. Нет - раздваивайте через вторичники.
Дискретные выходы - промежуточные реле, которые (особливо если ИЭК и подобные) в результате и станут самым ненадежным элементом в системе, сводя на нет всю затею.
Входы датчиков температуры - если высокоомные (500,1000) можно попробовать так же, 50 или 100 - только если четырехпроводка и то бабушка надвое. Лучше вторичник в 4-20.
А вообще ерунда это, может и правда отказаться вообще от идеи резерва?

[T_Vlad]

Основа горячего резервирования это работа обоих контроллеров в параллель. То есть оба принимают, обрабатывают и выдают информацию. Вот только на выход проходит информация от контроллера online. Контроллер standby отключен от выходов. Для этого есть стандартные схемы и соответствующие модули. В схеме обязательно присутствуют модули "зеркализации", выравнивающие базу контроллера standby, по контроллеру online. Это для безударного перехода.
В отношении входов/выходов. Если модули висят на модулях связи, которые независимо опрашивают входы/выходы, а контроллеры берут уже отцифрованную информацию (по своей шине данных) с модулей связи, то тоже нет проблем.
Если городить огород самому. Контроллер online ведёт обмен с каналами. Каналы контроллера standby закрыты программно (для дискретов взведены в соответствующие состояния). Аналоговые входы заводить через повторители (барьеры) с двухканальным выходом. Это нормальная схема. Можно соединить входы последовательно, через калиброванные сопротивления, пересчитав коды АЦП, но это колхоз. К тому же затрудняет замену входного модуля. Дискреты от разных контроллеров через реле. Для нормально замкнутого контакты последовательно, для НР - параллельно. Аналоговые выходы... Была такая проблема, даже думал(!!!). Увидел решение только в перекидывании выхода через контакты реле.

И ещё по колхозу. Если собираетесь контролировать один контроллер через выход другого, то возьмите хотя бы 2 канала и передавайте по ним какую то частоту. Если в течении какого то времени каналы (оба) не меняются - аларм.

[Jackson]

Аналоговые выходы... Была такая проблема, даже думал(!!!). Увидел решение только в перекидывании выхода через контакты реле.

И что при этом будет с установкой? :amazement:

[Marsel_M]

У нас на Ярославском НПЗ еще с 1994 года работают системы на Р-130 с перекидыванием аналоговых выходов. Аналоговые входы включены последовательно. Алгоритм организован именно по постоянному опросу основного контроллера. Переход с основного на резервный практически не заметен.

[Jackson]

У нас на Ярославском НПЗ еще с 1994 года работают системы на Р-130 с перекидыванием аналоговых выходов. Аналоговые входы включены последовательно. Алгоритм организован именно по постоянному опросу основного контроллера. Переход с основного на резервный практически не заметен.

Тут всё зависит от управляемой установки. Если у вас это проходит - ну здорово, что можно сказать....

[T_Vlad]

Тут всё зависит от управляемой установки. Если у вас это проходит - ну здорово, что можно сказать....

Вот вот... Поэтому и изменили схему. О переключении через реле только порассуждали.
Там тема была такая:- для антипомпажного регулирования нужны скорости, поэтому собрали схему с параллельным вводом выводом. Контроллеры переключаются штатно, а выходы аналоговых модулей (в каждой корзине свой) соединили через диоды. Я приехал на приёмку и показываю тестером, что такая схема не работает. Модуль остаётся в последнем достоверном состоянии, то есть ни когда заранее неизвестно, какие токи будут складываться.
В общем звонили в фирму ССС, в штаты. Там поздний вечер. Срочно запрашивали факс на допуск скана в 50мсек. После этого перешли на штатную тошибовскую схему. У них есть резервированные АО модули, но только с последовательным вводом/выводом.

Вопрос реле вполне работоспособный. Переход будет безударный. Время переключения реле в пределах скана. Вопрос в надёжности реле.
Была и такая идея - контролировать АОшные каналы (через AIшные) и программно минусовать (в рабочем контроллере) выход не рабочего контроллера.

[VADR]

У нас на Ярославском НПЗ еще с 1994 года работают системы на Р-130 с перекидыванием аналоговых выходов. Аналоговые входы включены последовательно. Алгоритм организован именно по постоянному опросу основного контроллера. Переход с основного на резервный практически не заметен.

Тут всё зависит от управляемой установки. Если у вас это проходит - ну здорово, что можно сказать....

Потенциальный плюс использования полевых шин в защитах :). Если шина допускает работу нескольких мастеров - намного проще перекинуть управление на другого мастера, не отключаясь от линии.

[T_Vlad]

Если шина допускает работу нескольких мастеров - намного проще перекинуть управление на другого мастера, не отключаясь от линии.

Мастер, это какой то контроллер, не важно какой.
Представим у вас 2 контроллера (мастера) а регулятор (клапан 4-20мА) один. Как подключить именно клапан?

[VADR]

Если шина допускает работу нескольких мастеров - намного проще перекинуть управление на другого мастера, не отключаясь от линии.

Мастер, это какой то контроллер, не важно какой.
Представим у вас 2 контроллера (мастера) а регулятор (клапан 4-20мА) один. Как подключить именно клапан?

Я имел в виду подключение поля не по 4..20 мА, а напрямую полевой шиной. Это просто как вариант построения схемы.

[T_Vlad]

Я имел в виду подключение поля не по 4..20 мА, а напрямую полевой шиной. Это просто как вариант построения схемы.

Про последовательный ввод/вывод я уже выше написал. Проблема в параллельном.

[Demus]

Ищем пока варианты решения...Как будут - отпишусь. Но и вы не забывайте) Идеи нужны.

[andrmur]

У нас на Ярославском НПЗ еще с 1994 года работают системы на Р-130 с перекидыванием аналоговых выходов. Аналоговые входы включены последовательно. Алгоритм организован именно по постоянному опросу основного контроллера. Переход с основного на резервный практически не заметен.

Тут всё зависит от управляемой установки. Если у вас это проходит - ну здорово, что можно сказать....

Евгений,
Вы удивитесь, но в уважаемой DCS, весьма известной в мировых кругах, резервирование AO происходит именно через релейный модуль, который скрыт внутри клеммного блока и переключается схемой диагностики на плате.

Другой, программный, способ я видел для системы, в которой не было аппаратно-реализованного резервирования.
Реализация, кстати, от английской инженерной фирмы, которая много вариантов перепробовала и остановилась на этом, как на надежном решении:
два модуля AO соединены параллельно через диод на нагрузку. Каждый модуль выдает по 50% от сигнала на управление. Последовательно с каждым модулем AO включен модуль AI для контроля силы тока. Программа в контроллере следит за состоянием каждого модуля и если один выходит из строя, то он программно выключается, а оставшийся модуль выдает 100% сигнала.

[Никита]

Контроль работоспособности через дискретный выход в режиме мигалки и ВЛ-54 на нем делал, работает лет пять уже, правда управление переключалось на панель с кнопками и лампочками. Вопрос-то не в переключении, а что делать с памятью контроллера - меркерами, интегралами ПИ(Д)-регуляторов и пр.

[Jackson]

Евгений,
Вы удивитесь, но в уважаемой DCS, весьма известной в мировых кругах, резервирование AO происходит именно через релейный модуль, который скрыт внутри клеммного блока и переключается схемой диагностики на плате.

Да нет, Андрей, я встречал такие схемы. Я просто отметил, что сначала надо посмотреть на установку, стерпит ли она такое переключение. Видел системы где применён контроль целостности цепей аналоговых входов (со стороны контроллера это - выход) управления, и такая коммутация, какой бы быстрой она ни была, будет поймана как обрыв и установка встанет. В этом смысле мне больше понравилась схема с двумя AO и двумя AI и диодом - сигнал непрерывный.

[Jackson]

Вопрос-то не в переключении, а что делать с памятью контроллера - меркерами, интегралами ПИ(Д)-регуляторов и пр.

Если в двух контроллерах крутится одинаковая программа с одинаковыми ПИДами, то остаётся как раз только один вопрос - в переключении, потому что маркеры и ПИДы будут идентичны в каждый момент времени

[Никита]

а есть еще вторая часть задачи- вернуть управление отремонтированному :)

[T_Vlad]

Евгений,
В этом смысле мне больше понравилась схема с двумя AO и двумя AI и диодом - сигнал непрерывный.

Я выше написал (про свой случай), что такой вариант тоже рассматривался. Вся проблема в том, что один модуль подключен к одному контроллеру, а второй к другому. После выхода из строя одного из контроллеров, его модуль останется в последнем достоверном значении, и ни какой программой его не сдвинуть в ноль.

[Jackson]

Евгений,
В этом смысле мне больше понравилась схема с двумя AO и двумя AI и диодом - сигнал непрерывный.

Я выше написал (про свой случай), что такой вариант тоже рассматривался. Вся проблема в том, что один модуль подключен к одному контроллеру, а второй к другому. После выхода из строя одного из контроллеров, его модуль останется в последнем достоверном значении, и ни какой программой его не сдвинуть в ноль.

Это как раз в некоторых ПЛК настраивается - выход неисправного при стоп-ошибке может уйти и в ноль или в заранее определённое значение. Например в TSX57 так и делается.
Однако Дима прав - проще, и главное надёжнее - заменить ПЛК на таковой с аппараттным резервированием. Есть и другой путь, более глобальный, к которому довольно часто прибегают: резервировать установку вместе с АСУ целиком, отказ АСУ считать отказом всей установки и запускать резервную. Если тех.процесс, конечно, позволяет. Если нет - применять аппаратно резервированный ПЛК (заводские решения). Коль уж идёт речь о резервировании ПЛК, причём горячем, значит установка дорогостоящая, а стало быть и решения можно применить в первую очередь надёжные, а потом уже цена.
А иначе, если уж совсем по уму, надо применять схему резервирования "два-из-трёх", то есть троирование а не дублирование. В случае дублирования если один из двух контроллеров даст сбой, то как Вы достоверно определите, какой именно ПЛК сработал неверно? :)

[Demus]

Делать нечего, поставили по несколько релюх на щит, они переключают аналоговые сигналы и датчики с одного на другой ПЛК. Решении о переключении на резервный будет принимать scada Trace Mode по пропадании связи с основным контроллером. Ну и при восстановлении связи обратно переключается. Как сделано резервирование в ТМ можете на ихнем форуме почитать, я там описал подробнее.

[Jackson]

м-да... что-то я не припомню ещё реализаций, когда верхний уровень управляет резервированием нижнего. То есть, случись что с верхним уровнем, и на нижнем всё накроется. М-да....

[abbat81]

На сколько мне известно Trace Mode имеет исполнительные модули с поддержкой резервирования отдельно, как для PC совместимых контроллеров, так и для АРМ оператора.Исполнительный модуль на резервном контроллере контролирует работоспособность основного и в случае необходимости принимает решение для переключения на резерв. Те же функции у исполнительных модулей верхнего уровня.

[Demus]

м-да... что-то я не припомню ещё реализаций, когда верхний уровень управляет резервированием нижнего. То есть, случись что с верхним уровнем, и на нижнем всё накроется. М-да....

B тем не менее случай когда выйдет из строя нижний уровень при неработоспособном верхнем менее вероятный чем оставить все без резервирования.

[abbat81]

м-да... что-то я не припомню ещё реализаций, когда верхний уровень управляет резервированием нижнего. То есть, случись что с верхним уровнем, и на нижнем всё накроется. М-да....

B тем не менее случай когда выйдет из строя нижний уровень при неработоспособном верхнем менее вероятный чем оставить все без резервирования.

Идеальный вариант когда верхний и нижний уровни управляют резервированием независимо друг от друга. Машины верхнего уровня контролируют работоспособность друг друга и наличие связи с нижним уровнем. Контроллеры нижнего уровня контролируют работоспособность друг друга.

[YPI]

Отчего так сложно накрутили. Есть ведь готовые решения вроде этого http://www.ab.com/en/epub/catalogs/1276 ... /tab5.html не уверен правда что по цене шоколадно выйдет но всеже на мой взгляд поприличней будет. Если резервировать только CPU, то можно в одной корзине воткнуть два модуля CPU в которых крутится одна программа. Один модуль получается вроде следящего и в случае возникновения Major Fault владение модулями ввода вывода передается резервному (сам непробовал, на курсах что-то подобное обсуждали). Конечно такой совет не поможет исправить уже собранную систему, но на будущее почему бы и нет...