再论现场总线控制系统的应用及困惑
现场总线技术就是将微处理器植入现场测量、控制仪表中，使它们各自都有了数字计算和数字通信能力，采用可进行简单连线的双绞线等作为总线，把多个测量、控制仪表连接成网络系统。按公开、规范的通信协议，在位于现场的多台数字化测量、控制仪表之间及现场仪表与控制计算机之间，实现数字传输与信息交换，形成各种适应生产装置实际需要的现场总线控制系统FCS（Fieldbus control system）。
 
现场总线控制系统在技术上具有许多特点：具有系统的开放性；互可操作性与互用性；现场设备的智能化与功能自治性；系统结构的高度分散性；对现场环境的适应性。由于FCS在技术上的特点，因此体现出许多优越性：节省硬件数量与投资；节省安装、维护费用；用户具有高度的系统集成主动权；提高了系统的准确性与可靠性。鉴于FCS的种种优越性，我们在2001年装置控制系统更新改造中毅然选择了FCS。
一、问题的提出
装置采用FCS的初衷，是将大型空分装置及其所属相关工艺装置原来Foxboro SPEC200组装仪表更新改造成FCS，这是继CETEM、CETEM-CS、TDC3000 TPS等多套大型DCS系统在我厂所属50万吨/年大化肥、甲醇、丁醇、辛醇等化工装置改造、运行成功的基础上进行的。计划改造规模：现场总线型AI 92点、AO 91点及其常规点AI、DI、DO近千点。但令人遗憾的是：实际只完成计划改造规模的1/2不到，对于过程反应激烈的工艺装置的改造计划实难被各方认可而流产，其中的困惑和无奈是多方面的，但FCS自身的许多缺陷难逃干系。为此，笔者撰写了《现场总线控制系统的应用及困惑》一文，文章发表后立即引起了各方强烈的反响，特别是工具书《工程自动化设计应用手册》一书的转载发行，更引来许多学者教授的关注。在此，笔者重笔将FCS后期出现的问题和处理方法写出，同时进一步阐明自己的观点，以答复各方的关注和疑问。
二、故障实例
1．现场总线卡两次损坏
2004年9月5日，操作人员反映空分装置的一个生产单元的多块仪表突然失灵，经仪表维修人员紧急排查发现：一块现场总线卡上的故障（Error）“红灯”亮起，该卡所带的两个通道（Port1、Port2）即两个现场总线网络段（Fieldbus network segments）的全部信息处于故障状态，近20台现场变送器、调节阀信息及人—机对话全部中断，使该装置的一个生产单元的相关仪表全部处于失控状态。手足无措的仪表维修人员紧急向厂商技术支持求助，要求技术支持提供处理方法的同时，要对该装置生产的安全提供承诺，但得到的回答都是“不保证”或“不敢肯定”的答复。该控制系统现场总线卡故障这已是第二次，它是一个月前大修期间刚换上的新备件卡，且无论如何也不能软恢复的硬件故障。见图，现场总线控制系统的基本构成。
2．现场总线接线箱进雨水
2003年9月12日雨后，操作人员发现数台仪表、阀门的数据同时回零，接报后的仪表维修人员根据出问题的区域，果断确认是某条总线段出现了故障。认真排查了现场总线卡、总线电源等都没有发现问题。当打开现场总线接线箱FJB（Field Junction Box）时发现内部渗有水滴。问题十分明确：是现场总线接线箱渗进雨水，造成这条现场总线主干电缆线上的某点接地或短路，致使这条总线主干电缆所带数台仪表、阀门的数据全部回零。
FCS的应用指南中要求用户，现场总线双绞线不能接地、短路、开路是用户必须“绝对”遵守的准则。为了防止类似事故的再次发生，根据厂商的建议和推荐，我们利用2004年8月装置大修的机会，将厂商提供的普通型总线集线器全部拆除，换上了具有防接地、短路、开路保护功能的MTL Megablock系列被动型现场总线式集线器（Passive hubs for fieldbus networks）。据资料介绍，该系列被动型现场总线式集线器具有较强的接地、短路、开路保护功能，可以及时将故障点从回路中切除，防止故障的进一步扩大并保证其他无故障回路的正常运行。资料没有介绍是利用硬的方法还是软的方法检测出故障点并及时切除该故障点的，其准确性、可靠性如何，有待于时间和现场实际运行的考验。
3．信息流阻塞
“数据刷新太慢了，而且越急越上不来”，这是操作人员对总线控制系统不时发出的报怨。为了满足工艺控制的基本要求，利用检修的机会我们作了两项调整工作：一是将重要控制点调出总线控制系统，并进一步调整并削减了每条总线段上的挂载量，原则上每条总线段要少于6台现场仪表；二是将重要点的逻辑扫描时间由系统默认的500ms调整到100ms，但这已是FCS给用户选择的极限扫描速度。
4．软件版本升级
针对操作界面的死锁；控制器时间程序系统的吃内存，造成控制器内存不够而死锁等软件缺陷和漏洞。我们利用2004年8月装置大修的机会，与厂商签订合同将软件版本进行升级，厂商保证升级后的版本软件不存在安全、使用方面的缺陷和漏洞。但令人遗憾的是：由于控制器硬件的限制，系统软件不能采用最新版本进行升级。
5．数字式定位器死机
2003年11月7日，操作人员从其他工艺参数判断某调节阀自行关闭，检查操作画面却无任何异常信息报出。经仪表维护人员现场检查确认是总线定位器DVC5010F失灵无输出，致气动薄膜调节阀失气全关。进一步检查组态窗口发现定位器内部AO块返回PID的信号在线显红色报错，但系统诊断无错。从控制室手操输出100%，定位器输出仍然为0%，在资源管理器（EXPLORER）中调出通信模件看到定位器仍无输出，重新识别也不认，只好更换新的定位器。以上故障出现过两次，都更换了定位器。
2003年3月6日，总线定位器DVC5010F也是突然失灵，但重新STAND BY再ON LINE故障自动解除，显然这是软件故障；还有一次现场总线定位器DVC5010F的反馈杆自行脱落，DVC5010F并无察觉，控制系统并无报错，操作人员通过其他参数确定其阀门动作异常，仪表维修人员跑到现场才找出真正故障原因。FCS投用至今，已有多台数字式定位器或因死机频繁或因硬损坏被换下。由于总线数字式定位器软故障的叠加，其综合故障、坏损率要远高于常规数字型定位器。
三、相关链接
2004年10月，我厂完成了目前国内最大的一套丁辛醇装置的建设并如期投产，其丁辛醇产品综合能耗、质量达到当今世界先进水平。耐人寻味的是：专利和过程工艺包提供商著名的英国戴维过程技术有限公司DPT（Davy Process Technology）与我方签订的技术协议中，除中外双方设计所遵循的规程规范外，特别强调“装置DCS/ESD控制系统采用硬连线（4～20mA）方式，不推荐使用总线控制系统”。我们多次求证其原因都没有获得正面答复，最终在工程设计审查会上由一位DPT资深自控专家道出了其中原由。原来，DPT公司曾经总包了美国一个大型化工装置，部分装置采用了总线控制系统，装置开工试车过程中，由于总线控制系统通信速度慢等原因不被客户认可，被迫修改设计而延误了合同工期，这是该工程公司承揽的众多工程中最大的一次败笔。之后，凡该公司提供工艺包或工程总成，都不推荐使用总线控制系统。
之所以链接这段信息，不是刻意用它去证明什么，因为它也是笔者一段经历，也是笔者作为用户自控总代表在丁辛醇项目的设计审查、设备订货谈判所要遵循的准则之一。当然，这也是一个鲜活的案例，需要我们反复体味。
四、关键
现场总线技术自20世纪80年代产生以来，一直受到人们的极大关注，被誉为自控领域的一场新的革命。进入90年代以后，FCS一度成为人们研究的热点，各种型号的现场总线产品不断涌现。随着FCS在生产现场的实际应用，暴露的问题越来越多，引起了各使用方的质疑和抨击，FCS的产品也受到市场无情的阻击。FCS如此叫好不叫座，究竟问题出在那里？笔者站在一个使用者的角度与传统的DCS控制系统比较、分析后认为：
1．危险集中
随着石油化工工业的迅猛发展，装置规模越来越大型化、连续化，加之化工过程具有易燃、易爆、高温、高压、有毒、有害、有腐蚀的特点，生产控制系统稍有闪失将会酿成灾难性事故，造成生产、设备、人员、环境等方面不可挽回的重大损失。因此，对大型石化生产装置的控制系统而言，其安全性、可靠性是压倒一切的重要和必要，即使一旦控制系统出现故障或损坏（任何控制系统不可能不出现故障或损坏）也要保证其受影响的控制点要尽可能的少、受波及的生产面要尽可能的窄。这样，坏点被切除后生产人员可根据相关工艺参数维持安全生产；维修人员对个体坏点的处理就比较宽松、容易，当然也就安全。
FCS如何设置的呢？一套双重化的控制器带若干现场总线卡，每个现场总线卡（防爆现场要经过隔离栅）带两条通往生产现场的双绞线干线，每条通往现场的双绞线干线段（Segment）拖动现场多台（每条干线电缆拖动总线仪表数量最多为16台）总线型变送器、阀门定位器等。一条双绞线干线既是多台测量变送器或调节阀的供电母线，也是上下传输信号的母线，无疑一条双绞线干线带动的是一个生产区域或生产单元的多块测量仪表和调节阀。这条现场总线干线的任何闪失，都将殃及这条双绞线干线上的全部节点。对于连续化生产的石油化工生产装置来讲，一个生产区域或生产单元的多个测点、多个调节阀突然同时失控，连相关参考工艺数据都