Резервирование DCS (горячее, холодное)

Резервирование — ключевая характеристика DCS и ответственных АСУ ТП. Задача — обеспечить непрерывность процесса при отказе любого компонента системы.

Виды резервирования по типу переключения

Горячий резерв (Hot standby)

Резервное оборудование постоянно работает параллельно с основным, синхронизируется с ним и мгновенно подхватывает управление при отказе.

• Время переключения: <100 мс (для ПЛК) — 1-5 с (для серверов)
• Применение: критичные непрерывные процессы (НПЗ, химия, электростанции)
• Примеры: Siemens S7-400H, Yokogawa CENTUM VP, Honeywell C300

Тёплый резерв (Warm standby)

Резервное оборудование включено, но не синхронизировано с основным. При отказе переключение занимает секунды-минуты (нужна загрузка состояния).

• Время переключения: 10 с — 1 мин
• Применение: процессы, допускающие кратковременные простои
• Примеры: виртуализированные SCADA-серверы на VMware

Холодный резерв (Cold standby)

Резервное оборудование выключено, хранится как ЗИП. При отказе — ручная замена, пуск, настройка.

• Время переключения: 15 мин — часы
• Применение: не критичные применения, стоимость горячего резерва неоправданно высока
• Примеры: резервный ПЛК на полке у дежурного инженера

TMR (Triple Modular Redundancy)

Три одинаковых канала работают параллельно, выход определяется голосованием «2 из 3». Если один канал даёт неверный результат — его голос игнорируется.

• Применение: системы противоаварийной защиты (SIS — Safety Instrumented Systems), критичная безопасность
• Примеры: Triconex (Schneider), Honeywell Safety Manager, HIMA HIMax, Yokogawa ProSafe-RS
• Сертификация: SIL 3 (функциональная безопасность)

Что резервируется в DCS

1. Процессоры (CPU)

Два идентичных процессора: Primary и Secondary. Соединены по высокоскоростной линии синхронизации (SYNC bus). При отказе Primary — Secondary за 50-100 мс подхватывает управление.

Примеры: Siemens S7-400H (sync fiber optic), Emerson DeltaV Primary/Backup Controller.

2. Модули УСО (I/O)

Дублированные входные/выходные модули. Датчики подключаются к обоим модулям (параллельно). При отказе одного — второй продолжает работу.

Варианты:

• Дублированные модули (простое резервирование)
• TMR модули — три модуля для сигналов безопасности

3. Промышленные сети

Кольцевая топология с резервированием (Media Redundancy Protocol — MRP, Parallel Redundancy Protocol — PRP, High-availability Seamless Redundancy — HSR).

При обрыве кабеля в кольце — трафик пойдёт обратным путём, переключение <10 мс.

4. Операторские серверы

• SCADA Primary + Standby — репликация базы в реальном времени
• Historian cluster — несколько серверов архива с распределёнными данными
• Терминальные серверы — несколько Microsoft RDS в кластере

5. Питание

• Два источника питания (из разных вводов энергоснабжения)
• UPS (не менее 15 минут, лучше 1 час)
• Дизель-генератор (для длительных отключений >1 часа)

Типовая архитектура резервированного DCS

Экономика резервирования

• Удвоение стоимости основного оборудования (ПЛК, УСО, серверы)
• Усложнение инжиниринга — настройка sync, тестирование переключений
• Усложнение эксплуатации — обучение персонала

Правило: стоимость часа простоя × вероятность отказа × время ремонта > стоимость резервирования → резервируем. Для НПЗ час простоя = 10-50 млн руб → резервирование окупается многократно.

Проверка резервирования

Нужны регулярные учения:

• Отключение Primary CPU — проверка переключения
• Обрыв сетевого кабеля — проверка MRP
• Отключение одного ввода питания — проверка UPS и АВР

Если учения не проводятся, резервирование может оказаться неработоспособным в реальной аварии (это одна из частых причин крупных аварий — «резерв был, но не сработал»).