1、DCS组态在线下载技术分析与设计裘坤, 刘志勇, 吴欣（浙江中控技术股份有限公司，浙江 杭州 310053）摘 要：针对集散控制系统（DCS）在运行期间需要对其组态数据与程序进行更改的需求，分析了 DCS 的组态下载的技术特点、难点和应用情形，提出了一种对工业现场无扰影响的组态在线下载的技术方法，包括系统架构、控制器、组态软件的设计实现的方法，并提出了一套 DCS 组态在线下载的应用操作原则。该方法和原则应用在 ECS-700 工业控制系统中，测试与应用的结果表明能够达到组态“无扰动”在线下载，确保了工业控制现场的安全要求。关键词：控制系统；DCS；组态下载；在线下载；无扰动；ECS-700A
2、nalysis and design of on-line downloading technique for distributed control system configuration QIU Kun, LIU Zhi-yong, WU Xin( Zhejiang SUPCON Technology Co, Ltd. Hangzhou, 310053, China )Abstract：Its common to perform the modification on data and programs of configuration during the continuous run
3、ning of distributed control system (DCS). By analysing the features and risks and the application conditions of downloading operation for DCS configuration, we describe an systematic technical design method to avoid the control disturbance during the on-line downloading of configuration, including t
4、he design method of system architecture, controller and configuration software. We also provide applicable operating guidance of the on-line downloading of configuration. ECS-700 distributed control system has applied the method and guidance , and it has been proved by testing and engineering practi
5、ce to be disturbance-free during the on-line downloading of configuration. Key words：control system; DCS; configuration downloading; on-line downloading; disturbance-free; ECS-7001. 概述以集散控制系统 DCS（Distributed Control System ）为代表的工业控制系统作为工业自动化领域中的核心装备系统，是自动化技术、计算机技术、网络通信技术相结合的产物，广泛应用于石化、化工等流程工业生产领域 1-
6、2。流程工业近年来的发展趋势是装置规模越来越大、工艺和控制越来越复杂，因而不可避免地在运行过程中需要对控制策略和参数进行重新配置、调整和优化。但是，流程工业的一个重要特点是连续性，其生产装置一旦启动就必须一直保持在线运行状态。这就要求工业控制系统在进行系统组态配置和控制程序的修改时不能够中断对被控装置的控制。在连续运行的工业现场中，任何控制阀门等输出设备的非预期的状态改变和动作都可能导致生产过程的意外中断或者导致生产产品品质的不合格，在高温、高压、易燃、易爆的生产场合下还可能导致危险的生产事故。早期的 DCS 使用者大多经历过在运行过程中进行组态下载导致的设备停车、工艺中断或生产事故，其中一些
7、工厂还为此采取了管理措施严格控制对组态的下载操作。因此，现代 DCS 要充分考虑到流程工业控制现场连续运行和可靠性、安全性的需求，支持控制系统组态的“无扰”在线下载，即在组态下载过程中、下载后对被控装置系统不产生不可预知的输出扰动。对于 DCS 使用者而言，则需要制定一套系统的操作管理措施，从而降低风险。本文在分析了 DCS 组态下载特点与要求的基础上，一方面从 DCS 设计者的角度对系统架构、组态软件、控制器各个方面提出了一种组态“无扰”在线下载的设计方法，另一方面从 DCS 使用者的应用角度上提出了系统性的操作注意事项和原则，为 DCS 系统设计和 DCS 系统使用都提供了有益的技术参考。
8、2. DCS 组态下载技术分析2.1 DCS 系统结构与组态集散控制系统（DCS）的基本组成如图 1 所示，包括控制层和管理层的各个节点设备。其中控制站、工程师站和操作站是系统的基本节点，分别完成系统的控制策略执行和输入输出、控制策略配置、系统运行监控操作 13。组态服务器 管理计算机操作站 操作站 工程师站 数据服务器控制器通信模块I / OI / OI / OI / OI / OI / OI / OI / O通信模块I / OI / OI / OI / O通信模块现场总线仪表管理计算机过程信息网过程控制网控制站控制站扩展 I / O 总线本地I/O总线图 1 DCS 系统基本组成控制站是负
9、责一个控制单元的现场控制部件的集合，包括处于核心地位的控制器、负责通信的通信模块、负责输入输出信号采集和处理的 I/O 模块。控制站中的这些部件的配置、其相互之间的交互关系，以及控制所需的位号、控制程序等配置信息，统称为控制组态（简称组态），是决定控制站所有运行行为的关键数据。控制组态由组态工程师在工程师站进行配置完成，并通过组态下载的操作从工程师站传输至控制站并在控制站中更新生效。而工程师站中的组态则通过组态服务器进行统一的版本管理。2.2 离线下载与在线下载按照组态下载操作对工业控制现场的影响，组态下载分为离线下载和在线下载两种。离线下载是指在控制站脱离实时监控状态时实施组态的下载过程。在
10、离线下载时，控制站往往对现场停止实时控制，生产装置被置为手动、旁路或停车状态。在离线下载结束后，需要对生产装置进行再启动或手自动切换等操作。执行离线下载时，组态软件将所有的控制组态内容传输至控制站。在组态数据校验正确的前提下，控制站会启动组态更新的过程，将原有的所有组态替换成新的组态并进行保存。在这过程中，所有的设备位号和控制变量需要重新装载初始值，控制站中的 I/O 模块会重新刷新组态，在组态更新完成之后，整个 DCS 控制站将按照初始值设置进行输出。因此，离线下载一般作为系统投运前的初始化组态下载，或者生产装置停车之后的再启动。当然，当控制系统发生异常情况时，用户也会选择离线下载对系统进行
11、初始化修复。在线下载是指在生产工艺流程平稳运行、控制站不脱离实时监控的情况下实施组态的下载过程。组态的在线下载是一种增量型的组态下载，是对现有组态进行修改的基础上进行的，因而对控制器的数据变化和对外输出有严格的要求，需要确保在组态下载的过程中以及组态更新前后对未修改的组态数据不发生影响，从而达到“只更新修改的数据”的目的。执行在线下载时，组态软件将识别出当前更改的组态内容并将这些更改内容传输至控制站。在对组态数据校验正确的前提下，控制站会启动组态在线更新的过程，仅将当前更改的变量数据和程序进行重新装载，未作更改的其它组态则不受任何影响，不会导致运行的中断。因此，在原理上 DCS 的在线下载技术
12、保障了其控制输出不会产生不可预期的扰动。2.3 在线下载的风险和难点宣称支持在线下载功能的 DCS 系统，往往会特别在系统操作说明书上警告用户：需在系统运行平稳时在线下载，而且应监控下载前后关键阀门和开关的变化。这表明 DCS 组态在线下载并不是个可以随意操作的行为。DCS 在线下载操作在各个层次上都有一定程度的风险，包括系统风险、环境风险、应用风险、操作风险，如表 1 所示。表 1 在线下载风险分析风险类别 风险来源 风险涉及方操作风险 组态误修改，不合理地执行组态下载。 DCS 用户应用风险 用户编写的控制逻辑关联复杂，更改涉及的影响范围很大，导致大部分控制输出产生扰动。 DCS 用户环境
13、风险主要是指组态软件所处的计算机、操作系统、网络等产生的危害，比如数据丢失或异常跳变、数据被非法篡改或伪造等。 DCS 供应商、工程实施方、DCS 用户系统风险 控制系统或组态软件本身设计缺陷导致，系统不支持在线下载或在线下载功能有限。 DCS 供应商综合上述风险，DCS 要实现真正的组态在线“无扰”下载，存在技术方面和管理方面的难点：第一，技术难点：由于 DCS 系统架构和功能的复杂性，各种内外部数据、程序、部件之间的交互存在一定的耦合性，使得对一部分组态的更改可能会影响其它其它部分，“牵一发而动全身”。因此，需要通过有效的技术措施，使 DCS 系统具备在线下载功能，从DCS 系统设计和实现
14、上确保其组态在线下载的安全性和可靠性。在 DCS 系统设计与开发中，应综合考虑系统整体结构以及各个部件的具体应用特点，找出在线下载的最小单元及其动态特征，并通过分析与重构，尽可能缩小和隔离其变更造成的影响，确保其影响范围可控与可观测。技术难点是 DCS 供应商必须解决的问题。第二，管理难点：由于组态下载是一个对控制系统的人工干预过程，因此任何人为的疏忽和过失都可能造成对现场的危害。因此，需要通过有效的管理措施，控制在修改组态操作和下载组态操作过程中可能出现的人为因素干扰，确保 DCS 系统的组态在线下载“万无一失”。DCS 供应商应当尽可能识别出对系统潜在的危险操作并对用户进行明确提示。另一方
15、面，DCS 用户则应根据具体现场应用的特点，定义正确的组态修改与下载规程、各种异常情况的预防措施以及应急预案。3. DCS 组态在线下载功能设计针对 DCS 系统实现组态在线“无扰”下载的技术难点，综合 DCS 系统的结构特点，需要从系统架构、控制器功能、组态软件这三大方面对 DCS 系统的组态下载功能进行设计。3.1 系统架构设计要做到组态的无扰在线下载，应在系统架构上做到各种部件、程序、数据的解耦，形成独立的在线下载单元，并构建相应的用户操作环境。在线下载单元是进行组态下载和更新的最小组态单位，例如一个程序组态、一块硬件模块组态等。用户对一个在线下载单元内的任何更改都会且仅会影响到该单元的
16、数据变化，组态下载时可仅仅将该单元进行下载并进行更新。在线下载的单元的选择实际上决定了组态在线下载对现场的“无扰动”能力。系统中的控制站的主要功能部件由三类基本元素组成： 硬件：系统中的物理硬件资源，对应于控制器、通信模块、I/O 模块等实际的物理硬件单元。每个物理硬件单元都具有自身的功能职责，相互间具有独立性，而且在实际的硬件维护操作中更改的往往都是单个硬件模块，因此每个物理硬件单元可作为一个在线下载单元。 位号：系统中的数据资源，包括 I/O 硬件位号、自定义位号、功能块位号。其中，每个 I/O 硬件位号对应 I/O 模块的一个输入/输出点，自定义位号对应控制器中的一个可操作内存点，功能块
17、位号对应用户程序的一个功能块实例数据。每个位号作为一个在线下载单元。 程序：系统中的算法资源，包括用户程序、功能块库。每个用户程序、功能块库作为一个在线下载单元。硬件、位号、程序组成了在线下载系统的基本架构，如图 2 所示。其中，程序使用位号作为其基本操作单元，位号使用硬件作为其基本数据来源和操作对象，各个系统元素具有独立功能、相互间接口单一，这样对其中任何一个系统元素的更改都能预知其影响情况，不会造成对其它未涉及元素的扰动。图 2 在线下载系统的基本架构3.2 控制器功能设计控制器是实现 DCS 在线下载的最终执行环节，在线下载系统的基本架构在控制器中表现为对各个系统元素的组态信息的组织方式
18、与更新管理功能。在控制器功能设计中，应从以下几个方面确保在线下载功能的达成：（1）系统中各个在线下载单元的组态具有空间独立性。控制器中可使用静态内存分配的方法分配每个组态单元的内存空间 4-5，对其中任一单元的增加、修改、删除等操作都不会引起其它单元的内存操作，确保了空间独立性。（2）在组态下载过程中，控制器应保持正常的运行。相对于 1 秒以下的控制周期，通过工业以太网进行的组态下载过程往往非常缓慢，通常是几十秒级或分钟级的，因此在组态下载未完成之前，控制器应当保持之前正常的运行状态，以防止现场在这段时间内发生失控。另一方面，控制器还要防范由于组态计算机的故障导致组态下载的异常，在新组态未完全
19、下载到控制器并校验正确之前，控制器还应按照之前的组态进行正常运行。控制器可以采用设置多级缓冲区 4的手段，防止下载异常的影响扩散至运行组态。（3）新旧组态的更新过程中，只更新需要更新的组态单元。组态下载完成后，控制器进行的新旧组态更新过程中，首先需要识别每个组态单元的版本信息和修改信息，从而能够做到“单点”更新 4。（4）新旧组态的快速更新。为了保证控制器中数据处理的完整性，组态更新期间不能执行控制运算，因此控制器中新旧组态的更新时间要尽可能短。控制器中的组态更新过程应在一个周期内完成。一旦具备了上述特征，控制器就具备了在线下载的能力，即在控制器处理环节，组态的下载与更新过程不会对现场造成非预
20、期的扰动影响。3.3 组态软件设计组态软件是用户组态的人机接口，也是实现在线下载的最为重要的中间执行环节。组态软件的设计要从技术因素和管理因素两方面进行在线下载的功能设计,具体有： 组态的版本管理功能。对每个经过编译、下载的组态建立版本信息，借助组态服务器和相应的组态检入、检出管理，确保修改的组态具有版本继承性，并在正确版本的组态上进行操作。 组态的增量编译功能。仅对用户操作过的、发生了更改的组态内容进行单独编译，单独改变组态内容，从编译环节确保了组态更改的局部影响性。 组态的增量下载功能。与增量编译相似，进对用户操作过的，发生了更改的组态内容进行下载，从组态下载操作环节确保了组态更改的局部影
21、响性。 组态下载历史追溯功能。组态软件对每次进行的组态下载操作都需要进行记录，包括下载的时间、装置、操作人员、版本、修改内容信息等。4. DCS 组态下载应用操作原则针对 DCS 系统实现组态在线“无扰”下载的管理难点，DCS 用户还需要制定并遵循一定的应用操作原则，以提高现场控制的安全性和可靠性。因为尽管 DCS 系统在自身技术上进行不断完善，从而达到理论上的在线下载能力，但对工程系统而言，还需要考虑到考虑具体的工程现场应用特点。虽然不同厂商的 DCS 系统的在线下载功能存在各种各样的设计机制、特点和约束条件，但表 2 列出的应用操作原则的建议具有一定的普适性。表 2 DCS 组态下载应用操
22、作原则的建议原则 解释/实例 应对风险维护良好的系统应用环境 下载前检查系统状态或诊断软件，确保系统不感染病毒、网络通畅。 环境风险事前预计和仿真，防止组态更改后必须进行离线下载在实施操作之前，检查系统操作手册中的说明，明确哪些操作是有约束条件的，明确在线下载的操作条件。在真正操作之前最好先进行仿真测试。应用风险谨慎使用组态拷贝尽量不要使用系统推荐方法之外的其它方法进行组态操作，例如对组态数据库进行文件覆盖式拷贝，而系统推荐的是组态导入和导出。操作风险系统风险根据操作目的，恰当的选择离线下载和在线下载一般建议：1. 当控制器发生软失效故障或运行结果不合逻辑时，选择离线下载可能恢复正常运行。2.
23、 当更改的组态内容很多，例如超过整个组态的1/3 时，选择离线下载是更稳妥的选择。操作风险系统风险控制程序的编写符合一定的编程规范例如：1. 尽量避免在单页程序中完成大量不相干的回路控制，保持单个程序的独立性。2. 程序具有可读性，程序逻辑清晰有利于分析在线下载的影响范围。应用风险做好风险预案尽管操作前做了大量的人为分析以及具备系统功能技术保障，但仍然可能会有未考虑到的关联逻辑影响某些输出发生变化，下载前后要监视关键阀门和开关的变化，并做好相关的异常处理准备。所有风险5. 产品应用根据本文提出的 DCS 组态在线下载技术分析和设计方法，对 DCS 系统的组态软件和控制器进行设计，形成了基于完整
24、的组态版本管理的、具有组态单点编译、单点在线无扰下载的 WebField 系列 ECS-700 控制系统。针对 ECS-700 组态下载的各种测试表明，其能够做到单点组态的无扰在线下载。本文提出的组态下载应用操作原则也被应用在 ECS-700 具体的工程操作中，已经在多个化工、石化、电力等多个应用现场实现了安全、可靠的在线下载功能。6. 结束语本文系统性地分析了 DCS 为代表的工业控制系统中的组态下载特点和在线下载的要求，从系统架构、控制器、组态软件三个方面提出了一种实现组态无扰在线下载的设计方法，并向 DCS 用户提供了一套规范操作的参考指南，从而从产品设计和工程应用两大方面，确保了工业现
25、场中对于组态维护操作的可靠性和安全性，降低了生产的风险，促进了工业现场的安全生产。参考文献1 刘志勇，黄文君，金建祥. 工业控制器跨平台特性设计J. 计算机工程, 2012.第 38 卷 第 14 期: 227-2282 王常力, 罗安. 分布式控制系统（DCS）设计与应用实例M. 北京: 电子工业出版社, 2004:22-35. 3 刘志勇. 工业控制器的关键技术研究与开发D. 杭州:浙江大学,20124 刘志勇，陈吉平，吴欣等. 在线单点数据的修改方法P. 专利号 ZL 200610127207.05 李华军，裘坤，吴欣. 基于控制系统实现在线更新数据的方法P. 专利号 ZL 200410074140.X基金项目：国家 863 计划项目（2012AA041105）资助作者简介：裘坤,1975 年出生，男，1997 年毕业于浙江大学电机系，获学士学位，高级工程师，主研方向：工业控制系统技术研究与设计开发（E-mail:)；刘志勇，男，工程师（E-mail:）；吴欣，男，工程师
