高可用厂级监控信息系统设计和应用

张 雄 肖 平 郭赉佳 于 魁

1(艾默生控制系统(上海)有限公司 上海 201206) 2(皖能合肥发电有限公司 安徽 合肥 230041) 3(上海漕泾热电有限责任公司 上海 201507)

1997年电力规划设计总院提出在火力发电厂建设厂级监控信息系统(Supervisor Information System,SIS)[1]。2000年国家颁布了火力发电厂设计技术规程(DL5000-2000,大火规)[2]。2004年后，随着火力发电厂基建工程进入高速发展期，SIS也顺势得到了快速发展，国内涌现出一批SIS集成商，不少SIS厂家也开发了自主知识产权的实时数据库产品。SIS在远程设备状态监视、性能分析、综合报表和辅助决策等方面发挥了重要作用，帮助电厂里的技术和管理人员提高了工作效率，使电厂数字化和信息化水平上了一个台阶。

但是SIS的定位一直存在争议[3-4]，争议的核心问题有两个：(1) 第一个问题是SIS网络结构是否合理，是否有必要把SIS的安全等级提高到接近控制系统的安全等级，从而造成系统复杂性和系统投资的增加[5-6]。根据2005年颁布的电力二次系统安全防护规定，SIS的安全等级高于管理信息系统(Management Information System,MIS)(安全四区)，低于分散控制系统(Distributed Control System,DCS)(安全一区)，SIS实时数据库服务器要分别部署于安全二区和三区，其中二区部署双机热备实时数据库服务器共享磁盘阵列，三区部署镜像实时数据库服务器，二区和三区之间设置正向物理隔离装置(网闸)。(2) 第二个问题是将各种高级优化功能模块划入SIS是否合适，如吹灰优化、负荷优化分配、故障预警和故障诊断等。由于DCS和SIS之间有网闸，使得SIS里的高级应用模块只能以开环指导系统方式运行，无法与DCS的控制指令结合做闭环控制，限制了这些高级应用模块发挥更大的作用。

鉴于传统SIS存在的不足，近年来一些新建电厂在DCS招标时就将DCS和SIS功能进行了优化规划，老电厂则根据自己的实际情况对老的SIS进行了升级改造，例如：2016年华电土右电厂在新建机组DCS招标中考虑了吹灰优化、锅炉燃烧优化等高级应用模块；
2018年利港电厂将SIS里的故障诊断预警功能迁移到DCS中；
2018年华能上安电厂在SIS系统改造招标文件中明确要求取消安全二区，数据直接进入安全三区里的实时数据库[8]。2019年侯子良[7]提出ICS概念(智能DCS)，该文的核心观点是将SIS里的高级优化功能模块下移到DCS，即在DCS里实现基于高级优化功能模块的闭环优化控制。

本文针对某电厂SIS改造项目，对传统SIS网络结构方面存在的问题进行了总结，提出了新的并联交叉网络结构，并对其可靠性进行了深入的分析。

传统SIS系统网络架构如图1所示。通信接口机上的数据采集程序从DCS或PLC系统读取数据，将数据以UDP协议发送到正向隔离装置，正向隔离装置采用数据摆渡机制将接收到的数据发送到二区的实时数据库服务器，二区实时数据库服务器再将数据发送到正向隔离装置外侧的镜像实时数据库服务器。Web服务器从镜像实时数据库服务器获取数据并对外发布数据。MIS里的客户端机器只能访问镜像实时数据库服务器或Web服务器，不能直接访问二区里的实时数据库服务器。

SIS总体上是一种串联冗余的架构，只是二区实时数据库服务器采用双机热备并列冗余配置。这种SIS架构存下面五个问题：(1) 双机热备共享磁盘阵列方案使得系统复杂不好维护，如果磁盘阵列损坏则整个SIS系统无法使用，不方便做系统级备份；
(2) 大部分SIS的二区实时数据库服务器里的历史数据无法自动同步到三区镜像服务器，除非通过人工操作将二区实时数据库里的历史数据拷贝恢复到三区实时数据库中；
(3) 实时数据从二区服务器同步到三区服务器会产生一定时间的延迟，使得SIS只能完成一些简单的现场事故分析，对时间敏感度高的事故分析还得依靠DCS；
(4) 镜像服务器、Web服务器、接口机等设备没有冗余配置，任何一个节点故障都会影响整个SIS；
(5) 由于二区和三区有网闸，SIS管理员无法用办公电脑对二区的实时数据库服务器进行远程管理。

2.1 改进的SIS设计说明

改进的SIS采用并列交叉冗余的网络架构，如图2所示。与传统SIS相比，改进的SIS有三点改进：(1) 取消安全二区，数据直接进入三区实时数据库服务器；
(2) 所有服务器和网络设备都冗余配置；
(3) 相互冗余的Web服务器、实时数据库服务器、交换机、防火墙、网闸和接口机都可以进行交叉连接。

改进的SIS网络架构的优点体现在以下三个方面：(1) 减少了一个实时数据库服务器和磁盘阵列，增加了一个Web服务器、若干网络设备和接口机，硬件成本与老SIS基本相当；
(2) A、B两列服务器和网络设备分别构成可独立工作的SIS子系统，可靠性明显高于传统SIS；
(3) 通过交叉连接，使得相同设备可以互相替换，进一步提高系统的可用性。

改进的SIS里的A、B列设备冗余方式有两种。一种是双主模式，即除了防火墙与MIS交换机的连接不一样外，A列Web服务器和实时数据库服务器朝MIS侧的配置完全一样，包括IP地址和端口等。如果防火墙路由器A与MIS交换机相连，则防火墙路由器B与MIS交换机断开；
反之，如果防火墙路由器B与MIS交换机相连，则防火墙路由器A与MIS交换机断开。办公网里的SIS客户端电脑只能连接A列或B列的Web服务器和实时数据库服务器。只有当其中一列出现故障时，才将另一列设备整体切换成在线状态。这种模式的优点是未与MIS交换机相连的Web服务器和实时数据库服务器的安全性高，不存在被黑客和病毒攻击的可能性，缺点是需要手工切换防火墙路由器与MIS交换机的网线。另一种是主备模式，即A列和B列设备配置不同的IP地址，两列设备可以同时工作，办公网里的客户端电脑根据不同的IP地址访问不同的Web服务器和实时数据库服务器。这种模式的优点是A、B列设备同时工作，无须人工切换。缺点是客户端电脑要分别用两个不同的IP来访问A列或B列的服务器，系统的安全性不如双主模式。

SIS的性能计算模块和报表统计模块需要用到一些人工输入的数据，这些数据一般是由电厂人员在Web界面输入，数据保存在Web服务器里的关系数据库中。如果SIS是主备模式则有两种选择，一是在人机界面分别往Web服务器A和Web服务器B输入数据，二是只往主Web服务器写数据，将主Web服务器里的数据同步到备用Web服务器。如果是双主模式，则只能采用第二种方法。

2.2 并联交叉硬件接线和软件参数配置

如果A列和B列子系统里各有一个设备出现故障，则A列和B列子系统都不能正常工作。只要A列和B列的故障设备不是互为冗余的设备，就可以用交叉连接法将A列和B列的非故障设备组态成一个能正常工作的系统。交叉连接涉及硬接线的切换、网络参数配置和应用软件参数配置的切换。可以交叉连接的设备分6种情况，不同的交叉连接对应不同的硬件接线、网络配置和应用软件配置，具体如下：

1) 接口机与正向隔离装置交叉连接。

接口机上配置双网卡，一个接隔离装置A，一个接隔离装置B。隔离装置采用珠海鸿瑞公司的HRwall-85M-II型正向隔离器，该设备有双输入双输出硬接线接口，可以在软件里定义多条通信链路，可以用UDP协议进行数据通信，可以用TCP/IP协议进行单向文件传输。主备模式和双主模式采用相同的硬接线、网络参数配置和软件配置。

硬件接线方法：每个DCS或PLC系统配两个接口机，每个接口机多配两个网卡专门用来往实时数据库发送数据。例如：一个DCS系统对应两个接口机1A和1B，每个接口机上的两个网卡分别接正向隔离器1A和1B。

网络参数配置：接口机1A上的两个网卡和接口机1B上的两个网卡分别配置不同的IP地址，保留网卡原始的Mac地址，将IP地址和Mac地址配置在隔离装置的通信链路中。

应用软件配置：接口机1A和接口机1B上分别运行2个数据采集软件，分别将数据发送给实时数据库服务器1A和1B。

2) 正向隔离装置与SIS系统交换机交叉连接。

主备模式和双主模式采用相同的硬接线法，即正向隔离器的两个输出接口分别接SIS交换机1A和1B。切换交换机时，无须更改硬接线。

3) SIS交换机1与实时数据库服务器交叉连接。

主备模式和双主模式采用相同的硬接线和软件配置。

硬接线法：SIS交换机1A和1B分别接实时数据库服务器1A和1B。切换实时数据库时，无须更改硬接线。

网络参数配置：实时数据库服务器1A和1B各有4块网卡，同一台服务器上的网卡1和网卡2绑定成一个虚拟网卡1(两块绑定的网卡共享虚拟网卡的IP地址)，服务器1A和1B的虚拟网卡配置不同的IP地址。利用Mac地址修改软件将服务器1B上的两块网卡的Mac地址改成和服务器1A上的两块网卡的Mac地址一样。这样接口机、隔离装置、交换机和实时数据服务器之间的硬件接线和网络参数配置都不用修改。每一个隔离装置里配置4条通信链路，例如接口机1A里的4条通信链接分别为：接口机1A(网卡1)与实时数据库1A(网卡1)、接口机1A(网卡2)与实时数据库1B(网卡1)、接口机1B(网卡1)与实时数据库1A(网卡2)、接口机1B(网卡2)与实时数据库1B(网卡2)。

应用软件配置：每一个接口机上运行2个数据采集程序，分别向实时数据库1A和1B发送数据。

4) 实时数据库服务器、SIS交换机2与Web服务器交叉连接。

主备模式和双主模式采用不同的硬接线和软件配置，分别说明如下：

(1) 主备模式。

硬接线法：实时数据库服务器1A上的网卡3和网卡4分别接SIS交换机1A和1B。实时数据库服务器1B上的网卡3和网卡4分别接SIS交换机2A和2B。Web服务器1A接SIS交换机2A，Web服务器1B接SIS交换机2B。

网络参数配置：实时数据库服务器1A上的网卡3和网卡4绑定成虚拟网卡2。实时数据库服务器1B也同样配置。实时数据库服务器1A和1B上的虚拟网卡2的IP地址设成不一样的地址。

应用软件配置：正常情况下，Web服务器1A从实时数据库1A采集数据，Web服务器1B从实时数据库1B采集数据。如果Web服务器1A和实时数据库1B故障，则可以通过修改Web服务器1B里的软件配置，将数据采集从实时数据库1B切换到实时数据库1A。用同样的办法可以将Web服务器1A与实时数据库1B配成通信模式。

(2) 双主模式。

硬接线法：实时数据库服务器1A上的网卡3与SIS交换机1A相连，网卡4与SIS交换机2B断开。实时数据库服务器1B上的网卡3与SIS交换机2B相连，网卡4与交换机2A断开。Web服务器1A与SIS交换机2A相连，Web服务器2B与SIS交换机2B相连。如果Web服务器1A和实时数据库服务器1B同时故障，只要把实时数据库服务器1B上的网卡3与SIS交换机2A断开，把实时数据库服务器1A上的网卡4与SIS交换机2B连接，这样Web服务器1B就可以从实时数据数据库服务器1A获取数据。

网络参数配置：实时数据库服务器1A上的网卡3和网卡4绑定成虚拟网卡2。实时数据库服务器1B也同样配置。实时数据库服务器1A和1B上的虚拟网卡2的IP地址设成一样的地址。

应用软件配置：正常情况下，Web服务器1A上的应用软件从实时数据库1A采集数据，Web服务器1B上的应用软件从实时数据库1B采集数据。如果Web服务器1A和实时数据库1B交叉连接的话，不需要更改应用软件配置。

5) 防火墙路由器与SIS系统交换机2交叉连接。

主备模式和双主模式采用相同的硬接连，防火墙路由1A与SIS交换机2A连接，防火墙路由1B与SIS交换机2B连接。

如果防火墙路由1A和SIS交换机2B同时故障，则将防火墙路由1B和SIS交换机2A进行交叉连接。如果是主备模式，防火墙路由与MIS交换机的连接不用改变。如果是双主模式，则要断开防火墙路由1A与MIS交换机的连接，将防火墙路由1B与MIS交换机连上。

6) MIS交换机与防火墙路由器交叉连接。

主备模式下，防火墙路由器1A和1B同时接在MIS交换机上，配置不同的路由表。

双主模式下，只有防火墙路由1A与MIS交换机相连，防火墙路由1B与MIS交换机断开，路由1A与1B配置完全相同的路由表。当1A出现故障时，将路由1A与MIS交换机断开，将1B与MIS交换机相连。

2.3 服务器和网络设备状态监视方法

要实现SIS的高可用性，需要对服务器和网络设备的运行状态进行实时监测，当设备出现故障时监测系统能及时将异常报警显示在SIS中。对于网闸外侧(即MIS侧)的所有服务器和网络设备来说，有很多开源或商用的网络监测软件可用，也可以根据SNMP简单网络管理协议开发监视软件，本文不赘述。但是常规方法无法监视物理隔离装置另一侧的硬件和软件健康状态，即SIS管理员无法在办公电脑上(即SIS客户端电厂)直接监视接口机硬件和接口通信软件的运行状态。本文利用实时数据库里的模拟量点作为特征点来间接判断接口机和通信软件的状态，具体办法如下：选择变化比较频繁且变化幅度比较大的模拟量点作为特征点，例如锅炉炉膛负压测点。如果特征点过去一分钟的平均值不等于该测点的实时值，说明这个特征点是正常的(用1表示)，否则认为这个特征点是异常的(用0表示)。根据多个特征点的状态组合可以判断网闸、接口机和通信软件的运行情况，如图3和图4所示，其中“√”表示软件或硬件设备处于正常状态，“×”表示软件或硬件设备处于故障状态。实时数据库A里取2个特征点P1和P3，P1的输入数据来自接口机A里的数据采集程序1，P3的输入数据来自接口机B里的数据采集程序1。实时数据库B里取2个特征点P2和P4，P2的输入数据来自接口机A里的数据采集程序2，P4的输入数据来自接口机B里的数据采集程序2。特征点P1-P4的状态组合有16种，组合1表示所有硬件和软件都是正常的，组合2-7和组合12-15说明只有一个硬件设备或软件有问题，其他的特征点组合无法用来判断某一个硬件设备或软件是否问题，但是可以用来锁定故障设备和软件的范围。本文人为规定了两个故障排查优先级规则，优先级由符号“√×”和“×√”表示，“×√”表示优先怀疑的对象，“√×”表示排除掉“×√”对象后剩余值得怀疑的对象。

(1) 如果一个硬件设备上有两个通信软件，且特征点的故障与这两个通信软件都相关，则优先认定是硬件故障，排除硬件故障后，再继续排查软件故障，如组合10、11、16。

(2) 如果一个硬件设备上有两个通信软件，且特征点的故障只与其中一个通信软件有关，则优先认定通信软件故障，排除软件故障后，再继续排查硬件故障，如组合8、9。

在不增加任何硬件设备的情况下，只要把相关设备进行交叉连接就能大大提高系统的可靠性，本文用概率分析法对交叉冗余连接网络的可靠性进行量化分析。假设单列系统包含的主要设备数量为m，则并列冗余系统有2×m个设备，例如A列设备包括接口机1A、网闸1A、交换机1A、实时数据库服务器1A、WEB服务器1A、交换机2A、防火墙路由1A，B列设备也由同样的设备组成。设单个设备的故障概率为Pf，故障设备数量为n，根据概率论，得到以下计算结果。

3.1 串联网络设备故障组合数和故障率

设串联网络由m个设备组成，其中有n个设备出现故障的组合数和故障率计算方法如下,结果如图5所示。

串联系统不能正常运行的组合数为：

C1(m,n)=Csn∈[1,m]

C1(m,n)=0n=0

串联系统能正常运行的组合数为：

C2(m,n)=Cs-C1n∈[0,m]

n个设备同时出现故障的概率为：

n个设备同时出现故障时系统可正常工作的概率为：

P2(m,n)=P1(m,n)×C2(m,n)/Cs

3.2 并列冗余网络设备故障组合数和故障率

设并联网络由2列设备组成，每列有m个设备，总共2×m个设备，其中n个设备出现故障的组合数和故障率计算方法如下，结果如图6所示。

并列不交叉冗余网络，系统不能正常运行的组合数为：

C3(m,n)=0n=0

并列不交叉冗余网络，系统能正常运行的组合数为：

C4(m,n)=Cp-C3(m,n)n∈[0,2m]

并列交叉冗余网络，系统不能正常运行的组合总数：

C5(m,n)=0n=0

并列交叉冗余网络，系统能正常运行的组合总数：

C6(m,n)=Cp-C5(m,n)n∈[0,2m]

n个设备同时出现故障的概率为：

最多n个设备同时出现故障的概率分布为：

从图8可以看出，对于新建SIS，单个设备的故障率很低时，有80%概率不会有设备出现故障。随着SIS使用年限的增长，单台设备的故障率不断增加，第2年80%概率至少会坏1台设备，第4年有80%概率至少会坏3台设备，第6年有80%概率至少会坏4台设备，第8年有80%概率至少会坏5台设备，第10年有80%概率至少会坏7台设备。

对于并列不交叉冗余网络，系统能正常工作的概率

P5(m,n)=P3(m,n)×C4(m,n)/Cpn∈[0,2m]

对于并列交叉冗余网络连接，系统能正常工作的概率

P6(m,n)=P3(m,n)×C6(m,n)/Cpn×[0,2m]

至少几台设备故障时，系统可正常工作概率结果见图9、图10。

3.3 SIS可用率计算

SIS的可用率是不同数量设备故障情况下的系统可正常工作的概率的期望值。根据概率计算公式E(X)=∑xP(X=x),其中x表示n个设备故障时的概率，P(X=x)表示n个设备故障时系统仍能正常工作的概率，可针对不同的SIS网络架构推导出期望值计算公式。

串联SIS可正常工作的概率：

P(X=x)=C2(m,n)/Cs

并联不交叉SIS可正常工作概率：

P(X=x)=C4(m,n)/Cp

并联交叉SIS可正常工作概率：

P(X=x)=C6(m,n)/Cp

根据上述期望值计算公式，得到计算结果如表1和图11所示。

表1 三种网络架构的SIS可用率对比

SIS是电厂里广泛使用的厂级监控信息系统，在不增加硬件投资的情况下，将传统的串联结构SIS改成并联结构可以提高SIS的可靠性。在并联结构的SIS基础上，通过软件配置将不交叉的并联网络结构配置成并联交叉的网络结构，可以进一步提高SIS的可靠性。特别是随着SIS使用年限的增长，单个设备出现故障的概率逐年增加，交叉冗余SIS网络的可靠性明显高于不交叉的SIS网络。由于交叉冗余配置无需额外投入，因此在工程中很有实用价值，值得推广。

猜你喜欢 网卡交换机接线 面向未来网络的白盒交换机体系综述网络安全与数据管理(2022年3期)2022-05-23浅析铁路客车车下分线箱接线板的接线方式铁道运营技术(2021年4期)2021-11-08联网全靠它　认识笔记本的无线网卡电脑爱好者(2021年4期)2021-02-27局域网交换机管理IP的规划与配置方案的探讨数码世界(2020年11期)2020-11-23分析220kV变电站电气一次主接线设计中国电气工程学报(2019年20期)2019-09-10基于地铁交换机电源设计思考电子制作(2019年24期)2019-02-23浅谈交换机CAN基本配置科学与财富(2016年24期)2017-03-29220kV变电站电气主接线的设计及探讨山东工业技术(2016年15期)2016-12-01挑战Killer网卡Realtek网游专用Dragon网卡电脑爱好者(2015年15期)2015-09-10浅议电力系统的电气接线方式数字化用户(2014年18期)2014-11-25

推荐访问:厂级 信息系统 可用