Controller Redundancy (Điều khiển dự phòng)
Trong nhiều trường hợp, sự khôn ngoan thông thường cho chúng ta biết rằng nếu một cái tốt thì hai cái tốt hơn. Khái niệm này mở rộng cho việc thiết kế các hệ thống tự động hóa công nghiệp. Mặc dù các bộ điều khiển logic lập trình công nghiệp (PLC) rất đáng tin cậy, nhưng chúng là cũng có thể trở thành điểm lỗi đơn lẻ do một lỗi nhỏ bất kì trên bo mạch, cũng như các sự cố bên ngoài với nguồn hoặc mạng. Đối với các ứng dụng quan trọng, các nhà thiết kế phải xem xét cách giải quyết vấn đề này, thường bằng cách triển khai dự phòng thứ cấp hoặc PLC dự phòng.
Một cuộc thảo luận tổng quát hơn và bao trùm hơn là làm thế nào để đạt được tính khả dụng cao (high availability – HA) cho các nền tảng tự động hóa công nghiệp. Cung cấp một hệ thống HA đòi hỏi phải loại bỏ càng nhiều điểm lỗi đơn lẻ càng tốt. Dự phòng, có thể là các hệ thống song song hoặc nhiều hệ thống có thể thay thế cho các hệ thống bị lỗi, là một chiến lược chính cho các thiết kế HA. Và nếu việc dự phòng có thể được thực hiện một cách dễ dàng và hiệu quả về chi phí trong khi vẫn duy trì mức hiệu suất cần thiết, thì nó sẽ trở nên hữu ích và mong muốn cho nhiều ứng dụng tự động hóa máy móc hơn nữa. Trong khi mục tiêu chính của dự phòng thường là tính khả dụng liên tục, nhiều người dùng dựa vào dự phòng để giúp họ thực hiện bảo trì trong giờ hoạt động theo lịch trình thông thường mà không ảnh hưởng đến sản xuất.
Người ta thường cho rằng tất cả các giải pháp dự phòng tự động hóa trong nhà máy đều mang lại những lợi ích như nhau, nhưng khi kiểm tra các chi tiết sẽ sớm thấy rõ rằng tất cả các giải pháp đều không giống nhau. Đối với bộ điều khiển và hệ thống điều khiển được sử dụng cho tự động hóa nhà máy và máy móc, việc chú ý đến các chi tiết triển khai dự phòng bộ điều khiển là rất quan trọng để hiểu được hiệu quả của chúng.
Tất cả các bộ điều khiển công nghiệp dự phòng không hoạt động hoàn toàn giống nhau. Có nhiều lựa chọn thiết kế triển khai ảnh hưởng đến hiệu suất, thời gian và khả năng hỗ trợ của các giải pháp bộ điều khiển dự phòng và người dùng cuối phải cân nhắc cẩn thận các chi tiết này trước khi cam kết triển khai.
Tính cạnh tranh của hệ thống dự phòng công nghiệp
Dự phòng ở tất cả các cấp độ tự động hóa được chứng minh bằng lợi tức đầu tư (return on investment – ROI). Người dùng phải nhận ra bất kỳ chi phí nào của thiết bị, thiết lập, vận hành và bảo trì so với lợi ích của tính sẵn sàng hoạt động, tính linh hoạt của việc lập lịch bảo trì và chẩn đoán tốt hơn (hình 1).
Các hệ thống dự phòng thường được ưu tiên hơn các hệ thống không dự phòng (simplex), với một số lưu ý. Một số triển khai dư thừa làm tăng độ phức tạp, làm tăng chi phí thiết kế, phần cứng và hoạt động vượt quá những gì được chứng minh. Ngoài ra, một số phương pháp dự phòng ảnh hưởng đến các khía cạnh khác nhau của hiệu suất và do đó không phù hợp.
Khi xem xét một giải pháp dự phòng cho bất kỳ ứng dụng nào, nhiều lĩnh vực tự động hóa phải được đánh giá trong mối quan hệ với nhau để đảm bảo hiệu suất mong đợi sẽ được phân phối:
- power distribution
- instrumentation
- fieldbus networks
- industrial controller
- on-site PCs
- information technology (IT) networks
- cloud connectivity
- cloud computing.
Các thiết bị dự phòng được cấp nguồn từ một mạch nối tắt duy nhất không có độ tin cậy tốt nhất. Các công cụ dự phòng cung cấp nhiều dữ liệu hơn nhưng đặt ra câu hỏi tín hiệu nào là chính xác. Fieldbus và mạng CNTT trong cấu hình vòng (ring) là một lựa chọn dự phòng tốt, nếu các nhà thiết kế định tuyến cáp cẩn thận để một điểm đứt vật lý chỉ mở vòng ở một vị trí. Nhiều tài nguyên đám mây có các tính năng dự phòng, nhưng kết nối kém có thể ảnh hưởng đến chúng.
Bài viết này tập trung vào các yếu tố dự phòng HA cho bộ điều khiển công nghiệp, chẳng hạn như PLC và Edge Controller. Các bộ điều khiển này tương tác theo một số cách với các thiết bị khác, kết nối:
- xuống các thiết bị và dụng cụ hiện trường cấp thấp hơn
- lên đến giao diện người-máy cấp cao hơn (HMI) và hệ thống điều khiển giám sát và thu thập dữ liệu (SCADA)
- ngang với các bộ điều khiển ngang hàng khác.
Do chi phí và sự phức tạp,hệ thống dự phòng trong tự động hóa công nghiệp phần lớn chỉ được dành cho các quy trình quan trọng nhất trong những năm qua. Tuy nhiên, những tiến bộ với phần cứng, phần mềm và mạng đã làm cho việc kết hợp dự phòng bộ điều khiển vào các ứng dụng tự động hóa của máy móc trở nên thực tế hơn nhiều.
Kiến trúc dự phòng bộ điều khiển cơ bản
Các kiến trúc dự phòng của bộ điều khiển để cung cấp HA thường liên quan đến các bộ điều khiển được ghép nối, mặc dù có thể có nhiều bộ điều khiển hơn cho các ứng dụng quan trọng nhất.
Một bộ điều khiển là thiết bị chính (hay thiết bị hoạt động), trong khi bộ điều khiển kia là thiết bị phụ (hay thiết bị dự phòng). Thông thường, những vai trò này có thể được hoán đổi theo ý muốn.
Bộ điều khiển chính vận hành đầu vào / đầu ra (I / O) và nó thực hiện các tác vụ giao tiếp và logic điều khiển. I / O vật lý và các thiết bị thông minh khác được bố trí trên một hoặc nhiều vòng mạng fieldbus để cả hai bộ xử lý truy cập (hình 2).
Ngoài ra, bộ điều khiển chính phải liên tục cập nhật hoặc phản chiếu chính nó với bộ điều khiển thứ cấp về trạng thái I / O, giá trị bộ nhớ và bất kỳ thay đổi chương trình nào, vì vậy bộ điều khiển thứ cấp sẵn sàng đảm nhận điều khiển liền mạch nếu cần (hình 3).
Trong trường hợp xảy ra lỗi lớn – chẳng hạn như mất điện, đứt cáp, lỗi giá đỡ hoặc lỗi bộ xử lý – bộ điều khiển chính chuyển sang bộ điều khiển thứ cấp, bộ điều khiển này sẽ tiếp tục hoạt động liền mạch. Hành động này được gọi là chuyển đổi hoặc chuyển đổi dự phòng.
Kiến trúc thích hợp nhất cho bộ chuyển mạch là chế độ chờ nóng (hot standby), nơi bộ điều khiển chính liên tục đồng bộ hóa với bộ điều khiển thứ cấp được cấp nguồn, có thể tiếp quản bất cứ lúc nào. Tuy nhiên, lượng thời gian cần thiết để chuyển đổi dự phòng và liệu nó có đủ nhanh cho ứng dụng đang sử dụng hay không là điều rất quan trọng. Một số kế hoạch có thể mất một chút thời gian, trong khi những kế hoạch khác có thể được hoàn thành trong một lần quét logic thực thi điều khiển duy nhất, khiến chúng trở nên hiệu quả khi chuyển đổi dự phòng.
Một sơ đồ khác được gọi là chế độ chờ ấm (warm standby) cho biết rằng bộ điều khiển phụ có thể được cài đặt, cấp nguồn hoặc ít nhất là tải trước, nhưng có thể không được đồng bộ hóa và có thể yêu cầu sự can thiệp của người dùng để bắt đầu chuyển đổi. Điều này gây ra độ trễ đáng kể và chỉ có thể chấp nhận được đối với các hệ thống đơn giản hơn. Ví dụ, nếu một dây chuyền sản xuất có nhiều máy song song, việc mất một dây chuyền trong thời gian ngắn có thể không làm suy yếu.
Sơ đồ dự phòng hiệu suất thấp nhất, mặc dù có lẽ là tình huống thực tế điển hình nhất, là một bộ điều khiển dự phòng trên kệ kho, đòi hỏi nỗ lực đáng kể của kỹ thuật viên để truy cập, cài đặt và tải. Điều này đôi khi được gọi là chế độ chờ lạnh (cold standby).
Một số lưu ý chính khi thiết kế hệ thống dự phòng
Người dùng cuối điều tra HA và dự phòng bộ điều khiển phải đảm bảo rằng bất kỳ giải pháp nào giải quyết thỏa đáng bốn lĩnh vực chính:
- bộ chuyển mạch xác định ( deterministic switchover)
- vị trí lắp đặt bộ điều khiển đa dạng về mặt địa lý
- khả năng nâng cấp các bản sửa đổi phần cứng và phần sụn mà không cần thời gian chết
- giao tiếp bảo mật (secure native communications).
Chuyển mạch xác định: Bộ chuyển mạch xác định đảm bảo rằng việc chuyển đổi từ bộ điều khiển chính bị lỗi sang bộ điều khiển phụ khả dụng không chỉ xảy ra trong thời gian xác định tối đa mà còn diễn ra liền mạch.
Đa dạng địa lý cho bộ điều khiển: Nhiều ứng dụng, đặc biệt là các ứng dụng trên tàu và phương tiện, hoặc cho các trang web rất lớn, cung cấp độ tin cậy được cải thiện nếu chúng định vị từng thành viên của cặp bộ điều khiển dự phòng càng xa nhau càng tốt. Với sự sắp xếp này, sự cố vật lý (như hỏa hoạn hoặc lũ lụt) tại một vị trí bộ điều khiển ít có khả năng ảnh hưởng đến vị trí bộ điều khiển khác.
Nâng cấp mà không cần thời gian chết: Người dùng cần thực hiện định kỳ nâng cấp cấp hệ thống, chẳng hạn như thay đổi phần cứng hoặc cập nhật phần sụn. Bất kỳ cái gọi là hệ thống dự phòng nào không thể cập nhật nếu không tắt máy đều không thực sự thừa.
Giao tiếp bảo mật: Bảo mật có liên quan một phần đến mục nâng cấp trước đó, vì gần như chắc chắn rằng các hệ thống sẽ cần cập nhật chương trình cơ sở định kỳ để giải quyết các vấn đề an ninh mạng. Hệ điều hành và thư viện phần mềm rất phức tạp; chức năng kiểm soát và truyền thông được mở rộng hơn; và vòng đời của hệ thống dự kiến từ 10 đến 20 năm. Hệ thống điều khiển dự phòng có thể an toàn trên không gian mạng hơn hệ thống simplex, nhưng nó phải dựa vào giao tiếp gốc an toàn để bảo vệ chống lại các cuộc tấn công từ bên ngoài.
Hàm ý trong thế giới thực
Một chuyển đổi dự phòng thành công không bao giờ có thể quá nhanh. Trong khi một số quy trình có thể chịu được sự gián đoạn hoặc tình trạng “giữ trạng thái cuối cùng” trong vài giây hoặc lâu hơn, nhiều máy phải chuyển đổi dự phòng trong vòng mili giây để duy trì hoạt động có thể chấp nhận được. Các ứng dụng để quản lý, sao lưu và phân phối điện là những ví dụ điển hình yêu cầu chuyển đổi dự phòng nhanh chóng.
Sau đây là một số cách thành công mà các công nghệ và triển khai dự phòng cụ thể có thể đáp ứng các yêu cầu chính và cũng có một số cách mà chúng thường không làm được như vậy.
Đồng bộ hóa (Synchronization)
Các triển khai dự phòng tối ưu đồng bộ hóa hoàn toàn tất cả dữ liệu và bộ nhớ I / O mỗi lần quét (hình 4). Tuy nhiên, nhiều nền tảng PLC cố gắng đồng bộ hóa theo ngoại lệ nhằm cố gắng tối ưu hóa hiệu suất hoạt động bình thường với chi phí phân bổ đủ tài nguyên để xử lý đúng sự kiện trong trường hợp xấu nhất. Cách tiếp cận này có thể dẫn đến hiệu suất thay đổi khi chuyển đổi dự phòng và thậm chí các vấn đề lỗi phân tầng nghiêm trọng hơn do quá nhiều dữ liệu thay đổi cùng một lúc. Một số PLC phải giới hạn số lượng bộ nhớ có thể sử dụng lên đến một nửa để thực hiện các chức năng đồng bộ hóa.
Tương tự, việc giải quyết logic PLC sơ cấp và thứ cấp nên được thực hiện trong bước khóa đồng bộ để chuyển đổi dự phòng nhanh chóng, nhất quán và đáng tin cậy. Việc vận hành các PLC dự phòng không đồng bộ có thể dẫn đến hành vi ứng dụng không mong muốn và những ứng dụng yêu cầu sắp xếp chương trình đặc biệt để nhóm I / O để xử lý dễ dàng có thể khó định cấu hình.
Để có hiệu suất tốt nhất, việc đồng bộ hóa nên được thực hiện qua mạng chuyên dụng. Một số chương trình cố gắng sử dụng mạng I / O cho tác vụ đồng bộ và do đó ảnh hưởng đến hiệu suất cho cả hai chức năng. Một mạng đồng bộ chuyên dụng có thể sử dụng cáp đồng, nhưng cáp quang thường cung cấp băng thông cao và khả năng chống nhiễu điện. Nó cũng có thể mở rộng khoảng cách lớn cho các ứng dụng mà các bộ điều khiển được cài đặt cách xa nhau.
Đồng bộ hóa hoàn toàn chắc chắn là rất quan trọng để kiểm soát I / O mạnh mẽ, nhưng nó cũng đóng một vai trò nhất định đối với các hệ thống giám sát. Nó cho phép HMI và SCADA tiếp tục liên lạc với ít hoặc không bị gián đoạn trong quá trình chuyển đổi dự phòng. Một số sơ đồ dự phòng PLC có “thời gian mù HMI” trong quá trình chuyển đổi dự phòng, trong đó hệ thống giám sát không thể đọc / ghi dữ liệu thẻ PLC, một cách tiếp cận kém hơn.
Giao tiếp
Đối với các hệ thống dự phòng, bản thân các mạng I / O riêng biệt là các vòng, cả hai đều mang lại tính sẵn sàng cao và do đó mỗi bộ điều khiển của cặp dự phòng có thể tương tác với tất cả các thiết bị. Các trường này, chẳng hạn như PROFINET, nên có sẵn trong hệ sinh thái PLC hoặc bộ điều khiển biên vì dựa vào cổng kết nối sẽ tạo ra một điểm lỗi bổ sung.
Giao thức truyền thông từ các PLC dự phòng đến các hệ thống cấp cao hơn cũng rất quan trọng. OPC UA đã nổi lên là lựa chọn ưu tiên trong vai trò này vì một số lý do:
- Redundancy provisions: OPC UA bao gồm hai loại dự phòng trong đặc điểm kỹ thuật
- Industrial capability: OPC UA có thể mở rộng và kết hợp các tính năng để ngữ cảnh hóa dữ liệu, làm cho nó trở thành ngôn ngữ chung để giao tiếp giữa tất cả các loại thiết bị công nghiệp.
- Security: OPC UA cung cấp bảo mật dưới dạng mã hóa và xác thực để giúp bảo vệ các hệ thống công nghiệp khỏi các ảnh hưởng từ bên ngoài.
Tuy nhiên, một số PLC không hỗ trợ OPC UA trong các hệ thống dự phòng và do đó thiếu những lợi ích này.
Bảo trì
Đó là việc thử nghiệm với một cấu hình dư thừa khi chạy thử và việc triển khai một cấu hình cho lĩnh vực mà nó cần chạy không ngừng trong nhiều thập kỷ. Thực tế, các bộ phận đôi khi cần thay thế, kết nối không thành công và phải nâng cấp firmware.
Điểm cuối cùng quan trọng hơn bao giờ hết. Trong những năm qua, nhiều PLC đã được lắp đặt và không bao giờ được nâng cấp nữa miễn là chúng vẫn hoạt động, một cách tiếp cận khả thi vì chúng phần lớn là các hệ thống tự động hóa độc lập. Tuy nhiên, các PLC ngày nay được kết nối mạng rất nhiều với các hệ thống bên ngoài, khiến chúng phải đối mặt với các mối đe dọa an ninh mạng. Nâng cấp firmware định kỳ là cần thiết hơn bao giờ hết để cập nhật hệ thống và cải thiện an ninh mạng của chúng cũng như cung cấp các tính năng khác.
Nền tảng PLC dự phòng dễ bảo trì nhất nếu phiên bản phần cứng, chương trình cơ sở và phần mềm không được yêu cầu cụ thể để phù hợp. Thật không may, nhiều triển khai PLC dự phòng yêu cầu kết hợp chính xác, thậm chí đến mức cần tắt hệ thống để thực hiện nâng cấp firmware hoặc trong trường hợp xấu nhất, kích hoạt tắt hệ thống khi xảy ra lỗi.
Kết hợp dự phòng bộ điều khiển phù hợp
Như với bất kỳ nỗ lực nào, chi phí thiết kế, mua sắm, thực hiện và hỗ trợ giải pháp dự phòng phải được tính toán. Chắc chắn, một bộ điều khiển thứ hai là cần thiết, mặc dù điều này thường được tính vào công việc như một phụ tùng thay thế. Bộ điều khiển dự phòng yêu cầu nguồn điện bổ sung, card mạng, hệ thống cáp — và thậm chí toàn bộ bảng điều khiển trong một số trường hợp. Các nỗ lực thiết kế và lắp đặt có thể leo thang.
Ngoài những chi phí tương đối đơn giản này, người dùng cần phải xem xét các tác động đến phần mềm, cấp phép và lao động cấu hình. Một số triển khai yêu cầu lập phiên bản phần mềm chuyên dụng, chi phí cấp phép bổ sung và thực hành lập trình cẩn thận để hoạt động. Các hệ thống khác có thể chỉ yêu cầu một vài cú nhấp chuột cấu hình để thêm dự phòng bất kỳ lúc nào, ngay cả sau khi hệ thống simplex đã được triển khai (hình 5).
Nhiều nhà cung cấp cung cấp khả năng dự phòng HA cơ bản bằng cách chỉ thêm một bộ điều khiển nữa, trong đó chỉ những thay đổi được đồng bộ hóa và có thể có thời gian chuyển đổi dự phòng không xác định. Đây là trường hợp của nhiều loại PLC cơ bản và bộ điều khiển biên. Một số lược đồ dự phòng có thể đặt ra các giới hạn về số lượng I / O, thiết bị trường hoặc số lượng thẻ.
Một hẹ thống mạnh mẽ hơn khi kết hợp các đặc điểm sau:
- Bộ điều khiển sơ cấp và thứ cấp.
- Mỗi bộ điều khiển có tủ rack hoặc vị trí riêng của nó, với một thẻ giao tiếp đồng bộ hóa chuyên dụng sử dụng sợi quang, cho phép đặt các tủ rack cách xa nhau đến 10 km.
- Mỗi tủ rack được cấp nguồn với một UPS độc lập hoặc bộ cấp nguồn HA khác, để cung cấp sự đa dạng về nguồn điện.
- Hoàn thành đồng bộ hóa bộ nhớ chính đến phụ mỗi lần quét, cung cấp khả năng chuyển đổi dự phòng xác định và tránh thời gian mù của HMI.
- Có thể chấp nhận được một số giới hạn về số lượng field device, nhưng bộ nhớ đầy và số lượng I / O vẫn phải khả dụng.
- Có ring-based fieldbus sử dụng riêng cho I / O, chẳng hạn như PROFINET.
- Có secure OPC UA để kết nối với các hệ thống HMI và SCADA cấp cao hơn.
- Check-box cho phép dự phòng, không cần lập trình PLC hoặc HMI đặc biệt.
- Khả năng người dùng trộn và kết hợp các phiên bản phần cứng, phần mềm và firmware theo ý muốn và thực hiện nâng cấp khi cần thiết (mặc dù luôn khuyến nghị duy trì các phiên bản nhất quán). Điều quan trọng là có một danh sách đồng bộ hóa dữ liệu phù hợp trên cả hai bộ điều khiển.
Các giải pháp PLC dự phòng như được mô tả trong các gạch đầu dòng ở trên có sẵn và là cách tốt nhất để cung cấp HA thực cho các nền tảng tự động hóa công nghiệp. Tuy nhiên, không phải tất cả các giải pháp đều có những khả năng này, vì vậy người mua phải cẩn thận.
Dự phòng toàn diện là một thực tế
Dự phòng bộ điều khiển công nghiệp đã có sẵn trong nhiều năm, nhưng chi phí và độ phức tạp chỉ dành riêng cho các ứng dụng đòi hỏi khắt khe nhất. Dự phòng bộ điều khiển giờ đây có thể được thực hiện đơn giản và hiệu quả về chi phí, làm cho nó khả thi và thực tế cho nhiều ứng dụng tự động hóa nhà máy và điều khiển máy móc.
Nhưng chỉ lựa chọn những sản phẩm có khả năng thừa là chưa đủ, vì có nhiều chi tiết thực hiện có thể làm xói mòn hiệu quả. Các lược đồ chuyển đổi dự phòng không xác định và truyền thông không an toàn không phù hợp với nhiều ứng dụng. Đặc biệt, nếu một hệ thống dự phòng phải dừng trong bất kỳ khoảng thời gian nào để nâng cấp các ứng dụng, phần cứng hoặc phần sụn của người dùng, thì lời hứa của HA sẽ bị phá vỡ.
Khi người dùng hiểu chi tiết và chiến lược thiết kế dự phòng bộ điều khiển quan trọng, họ có thể đưa ra quyết định sáng suốt và lựa chọn phần cứng, phần mềm và công nghệ mạng PLC để vượt qua những thách thức này và mang lại trải nghiệm dự phòng bộ điều khiển HA toàn diện. Với đầu tư phần cứng bổ sung tối thiểu, đôi khi gần tương đương với số lượng phụ tùng sẽ được đặt hàng, người dùng cuối có thể chọn và dễ dàng cấu hình nền tảng dự phòng bộ điều khiển có hiệu suất tốt nhất có thể.