Резервирование ПЛК (1oo2, 2oo3)

Резервирование ПЛК — комплекс мер по обеспечению непрерывной работы при отказе одного или нескольких компонентов. В критически важных процессах недопустима ни секунда простоя (нефтегаз, атомная энергетика, медицина) — резервирование обеспечивает требуемую доступность (99,9–99,999%).

Основные схемы (нотация MooN)

Нотация M out of N — «M из N должны работать правильно для корректного выхода»:

1oo1 (одиночный, без резерва)

• Один ПЛК
• Отказ ПЛК = отказ системы
• Применяется для некритичных применений
• Доступность 99–99,5%

1oo2 (горячий резерв, hot standby)

• Два ПЛК: активный (primary) и резервный (secondary)
• Secondary синхронно получает входы, но не управляет выходами
• При отказе primary — secondary за 100–500 мс переключается на управление
• Применяется в ответственных системах: котельные, насосные крупных сетей, автоматика ИТП больниц
• Доступность 99,99%

2oo2 (голосование двух)

• Два ПЛК работают параллельно
• Выход активен только если ОБА согласны
• Защита от ложных срабатываний
• При отказе одного ПЛК система останавливается (fail-safe)
• Применяется в системах безопасности где недопустимо ложное срабатывание

2oo3 (мажоритарное голосование)

• Три ПЛК работают параллельно
• Выход активен если согласны 2 из 3
• При отказе одного ПЛК система продолжает работу
• Защита и от ложных срабатываний, и от простоев
• Применяется в СИС высоких уровней SIL 2-3 (ПАЗ)
• Доступность 99,999%

1oo3, 2oo4 — специализированные схемы

• Более высокие уровни резервирования для ядерной отрасли, авиации
• Редко в автоматике зданий

Что резервируется

Полное резервирование

• CPU (контроллеры) — несколько ПЛК
• Источник питания — два БП с автопереключением (АВР)
• Коммуникации — два независимых канала (ПЛК-ПЛК, ПЛК-HMI, ПЛК-SCADA)
• Удалённые I/O — через два разных сетевых пути (Profinet MRP, EtherNet/IP DLR)
• Датчики — для критичных параметров (2 из 2, 2 из 3 с медианой)

Частичное резервирование

• Только CPU (бюджетный вариант)
• Только датчики по критичным параметрам
• Применяется где полное резервирование избыточно

Как работает горячий резерв 1oo2

1. Активный ПЛК — выполняет программу, управляет выходами
2. Резервный ПЛК — получает те же входы, выполняет ту же программу, но не управляет выходами (выходы в hi-Z)
3. Синхронизация — активный передаёт резервному своё внутреннее состояние (переменные, таймеры, PID I-состояние) каждый цикл или по изменению
4. Контроль здоровья — резервный мониторит активного (heartbeat по отдельной шине)
5. Переключение — при потере heartbeat или команде оператора резервный становится активным и перехватывает управление

Типовые реализации

Siemens S7-1500R/H

• R (Redundant) — Soft Redundancy, переключение 300–500 мс
• H (High-availability) — Full Redundancy, переключение <50 мс
• Специальный backplane с двумя CPU, двумя Profinet-портами

Rockwell ControlLogix Redundancy

• Два CPU с модулем 1756-RM
• Переключение <50 мс (bumpless)
• Поддержка 2oo3 через GuardLogix

Beckhoff TwinCAT HMI with Redundancy

• Два CX-контроллера синхронизируются через EtherCAT Redundancy
• Переключение одного цикла (1–10 мс)

CODESYS Redundancy

• Пакет расширений от 3S-Smart Software
• Для ОВЕН ПЛК не поддерживается, нужно внешние решения

Специализированные Safety PLC

• HIMA, Siemens S7-400H, Rockwell GuardLogix
• Полная интеграция резервирования и safety-функций

Применение в автоматике РУБИКОНа

• Критичные ИТП (больницы, объекты экстренной помощи) — 1oo2 резерв
• Крупные котельные — 1oo2 для автоматики котлов
• Газоснабжение — 2oo3 с SIS по IEC 61511
• Автоматика противопожарных систем — 1oo2 с обязательной защитой safety-функций

Экономика резервирования

Удорожание на 70–150% от базовой стоимости. Оправдано когда:

• Простой стоит дороже оборудования (производство, энергетика)
• Отказ приводит к опасности для людей (газ, аммиак, химия)
• Регламенты требуют (атомная, авиация, медицинское обеспечение)

Для 90% стандартных применений РУБИКОНа (ИТП жилых домов, ПВУ бизнес-центров) — резервирование не нужно, достаточно одиночного ПЛК + качественная автоматика АВР на питании.