野王,日本xxxx片免费观看,丁香五月婷婷亚洲,六月丁香婷婷大团结

會員中心
加入VIP
微信

客服微信網(wǎng)站公眾號

　煤礦　化工　建筑
　機械　電力　冶金
　消防　交通　特種

　論壇　活動　視頻
　問答　投稿　 MSDS
　簽到　超市　招聘

導航：安全管理網(wǎng)>> 安全論文>> 綜合安全論文>>正文

過程工業(yè)控制系統(tǒng)及其軟件的功能安全

文檔作者：彭瑜文檔來源：上海工業(yè)自動化儀表研究院		點擊數(shù)：	更新時間： 2021年06月06日
下載地址：點擊這里	文件大?。?702.64 KB 共8頁	文檔格式： PDF	下載點數(shù)： 1 點（VIP免費）

內容預覽 [文件共8頁]

本文件共8頁，如需編輯使用，請下載。

注：預覽效果可能會出現(xiàn)部分文字亂碼（如口口口）、內容顯示不全等問題，下載是正常的。

	文件大小：702.64 KB 共8頁文件格式：PDF 下載點數(shù)：1 點（VIP會員免費）

下一篇：工業(yè)控制系統(tǒng)信息安全研究綜述

上一篇：工業(yè)控制軟件功能安全的實現(xiàn)方法和評估

文本預覽

僅提取頁面文字內容，供快速閱讀使用。

專冢分析
彭瑜， 男， 中國自動化學會理事，
中國自動化學會儀表和裝置專業(yè)委
員會常務委員， 中國自動化學會專
家咨詢委員會委員，上海市自動化
學會常務理事，中國儀器儀表學會
專家委員會委員，PLCopen國際組織
中國委員會主席。長期從事現(xiàn)場設
備的無線通信等方面的研究。
從實現(xiàn)過程功能安全要求的基本規(guī)范IEC 61511所給出過程工
業(yè)中工廠安全保護防災結構體系(見圖1)，可以清晰地看出安全
儀表控制系統(tǒng)SIS是過程工業(yè)預防災害和減災的兩個重要環(huán)節(jié)，確
保安全儀表系統(tǒng)的功能安全則是預防和減災的一種基礎保證。本
文希望從功能安全的基本概念出發(fā)討論怎么才能切實實現(xiàn)控制系
統(tǒng)的概念安全。
4 0
圖1工廠安全保護防災結構體系
自動化博覽2010年12~-]：lJ
上海工業(yè)自動化儀表研究院彭瑜
l 控制系統(tǒng)功能安全的國際標準
IEC 61508／GB 20438《電子／電氣／可編程電子安全相關系統(tǒng)的
功能安全》是一個宏標準，規(guī)范了滿足安全相關系統(tǒng)功能安全的
基本要求和規(guī)則。通過應用嚴格的系統(tǒng)性的過程，以可追溯性、
關鍵性分析、驗證(vermcation)和確認(validation)的程序為重點，
來評估是否滿足功能安全的標準要求。IEC6 l 508標準的一個重
要突破就是制訂了一整套完整的開發(fā)程序和一系列的技術措施，
通過嚴格的質量管理與全生命周期的程序控制，達到實現(xiàn)避免故
障、排除故障及一定程度上容許故障的目的。
IEC 61508共有8個部分，即：
· IEC 61508—0：功能安全SHIEC 61508；
· IEC 61508—1：一般要求；
· IEC 61508—2：電氣／電子／可編程電子安全相關系統(tǒng)的要
求；
· IEC 61508—3：軟件要求；
· IEC 61508—4：定義和縮略語；
· IEC 61508—5：確定安全完整性等級的方法示例；
· IEC 61508—6：IEC 61508—2~nIEC 61508—3的應用指南；
· IEC 61508—7：技術和措施概述。
在不同應用領域更細化和具體實現(xiàn)功能安全，又開發(fā)了進一
步的規(guī)范，如：
· 實現(xiàn)機械功能安全要求的基本規(guī)范IEC 62061；
· 實現(xiàn)過程功能安全要求的基本規(guī)范IEC 61511；
· 實現(xiàn)核電功能安全要求的基本規(guī)范IEC 61513；
· 實現(xiàn)醫(yī)療設備的功能安全要求的基本規(guī)范IEC 60601；
· 實現(xiàn)鐵道運輸安全的規(guī)范EN 50128；
2 控制系統(tǒng)功能安全的基本概念
安全系統(tǒng)的關鍵性分多個層次：
· 安全關鍵(safety—critica1)系統(tǒng)：單個缺陷或失效會造成危
險的故障，如核電站原子反應堆的停堆系統(tǒng)。
· 安全相關(safety—relevant)系統(tǒng)：單個缺陷或失效與第二
個缺陷或失效會造成危險的故障，如石化行業(yè)的安全儀表系統(tǒng)。
· 非安全相關(interference—free)系統(tǒng)：即使多個缺陷或失
效也不致造成危險的故障。
對安全要求最高的安全關鍵系統(tǒng)，必然為實現(xiàn)其安全要求而
最耗費時間、成本最高，認證的過程和程序最復雜。對安全的要
求相對較低的安全相關系統(tǒng)，以及對安全要求更低的非安全相關
系統(tǒng)，相應在時間、成本和認證所耗費的努力逐級遞減。
在IEC 61 508的標準中，對石化和化工行業(yè)廣泛應用的安全
相關系統(tǒng)有著嚴格的定義和要求：
· 必須在受控裝置Eucll~近風險或危險狀態(tài)情況下，能執(zhí)
行所要求的安全功能，使EUC達到或保持安全狀態(tài)；
· 依靠安全相關系統(tǒng)本身，或與其它E／E／PE安全相關系
統(tǒng)、其它技術的安全相關系統(tǒng)或外部風險降低設施共同作用，達
到所要求的安全功能必需的安全完整性。例如圖2所示的一個化工
廠常見的加熱攪拌系統(tǒng)，除了用圓圈標出的是一個安全儀表系統(tǒng)
(SIS)而外，安全閥就是使用機械保護的安全系統(tǒng)，它們配合使
用達到必需的安全完整性。
這將安全相關系統(tǒng)在工廠預防和減災中的作用明確規(guī)定如
下：首先，由安全相關系統(tǒng)與外部風險降低設施共同作用，使受
控設備達到必要的風險降低量，以滿足所要求的允許風險。其
次，安全相關系統(tǒng)是在接受命令時，采取適當?shù)捻樞騽幼鞣乐?
EUC進入危險狀態(tài)。一旦安全相關系統(tǒng)失效，也屬于導致危險或
危害的事件。第三，即使還有其他的具備安全功能的系統(tǒng)，但所
指定的安全相關系統(tǒng)僅靠其本身的能力(而非其他系統(tǒng))就能達
到所要求的允許風險。第四，安全相關系統(tǒng)一般分為安全控制系
統(tǒng)和安全防護系統(tǒng)，并且具有兩種操作模式。
從安全相關系統(tǒng)的構成來看， 它可以是EUC控制系統(tǒng)的一個
組成部分，也可用傳感器和／或執(zhí)行器與EUC接口，即可通過實現(xiàn)
EUC控制系統(tǒng)中的安全功能(也可能通過分開的和獨立的附加系
統(tǒng))達到要求的安全完整性等級，或者利用分離的、獨立、專門
的安全相關系統(tǒng)實現(xiàn)安全功能。
這就明確告訴我們，安全相關系統(tǒng)的功能可能包括：用于防
止危險事件發(fā)生，即安全相關系統(tǒng)一旦執(zhí)行其安全功能，則不致
發(fā)生有危險事件；用來減輕危險事件的影響， 即通過減輕后果降
低風險?；蛘咄瑫r具有上述的組合功能。
人也可作為安全相關系統(tǒng)的一部分，例如，人可以接收來自
可編程電子裝置的信息，岸通過該裝置按接收信息要求執(zhí)行安全
動作。
安全相關系統(tǒng)包括執(zhí)行安全功能所需的全部硬件、軟件以及
支持服務(如電源、傳感器和其它輸入裝置、執(zhí)行器和其它輸出
裝置也包括任安全相關系統(tǒng)中)。
安全相關系統(tǒng)的技術基礎范圍可以十分廣泛，包括電氣、電
子、可編程電子、液壓和氣動等。
圖2 SIS~n安全閥配合使用的化工加熱攪拌系統(tǒng)的P&amp;amp;ID
由于在工廠安全保護防災的體系結構中對不同的裝置、系
統(tǒng)，甚至系統(tǒng)內的各個子系統(tǒng)或部件的安全要求常常有很大差
異，因此，1EC61508標準允許對一個系統(tǒng)的子系統(tǒng)和部件進行獨
立的評估。所以，我們在談論功能安全時要嚴格區(qū)分所指的對象
是系統(tǒng)，還是構成系統(tǒng)的部件或子系統(tǒng)。
3 控制系統(tǒng)的安全完整性及其等級
安全完整性是指在規(guī)定的條件下、規(guī)定的時間內，安全相關
系統(tǒng)成功地實現(xiàn)所要求的安全功能的概率。眾所周知，控制系統(tǒng)
由構成其系統(tǒng)的各種硬件(控制系統(tǒng)裝置、現(xiàn)場儀表、通信網(wǎng)絡
等等)以及執(zhí)行控制要求和功能的軟件綜合而成，因此控制系統(tǒng)
的安全完整性由硬件的安全完整性和系統(tǒng)的安全完整性組成。硬
件安全完整性是在危險失效模式中對應于安全相關系統(tǒng)安全完整
性的硬件隨機失效的那一部分，一般可以通過所要求的硬件安全
功能失效率予以量化；而系統(tǒng)安全完整性則是指在危險失效模式
中對應于安全相關系統(tǒng)安全完整性的系統(tǒng)失效的部分(包括軟件
失效)?？刂剖c避免失效涉及設計、操作模式等諸多環(huán)節(jié)。
顯然，硬件隨機失效和系統(tǒng)失效的機制不同，控制失效的方法也
不同(見圖3)。
可以通過改變設計、生產(chǎn)過程、揉作
模式、操作指令或其他影響因子，
來消除原因確定的失效，
避免失效
控制失效
圖3 控制系統(tǒng)失效機理
估算由于隨機硬
件失效造成的每
個安全功能的失
效概率
2010．~12月刊自動l匕博覽 4 1
專家分析
在安全相關系統(tǒng)中，安全完整性的要求用4個離散的等級予
以劃分，H~SIL4，SIL3，SIL2~SIL1。安全完整性的等級越高的
安全相關系統(tǒng)，其執(zhí)行所要求的安全功能的概率也越高。
根據(jù)安全相關系統(tǒng)的使用方式、所要求發(fā)生的頻率，可分
為低要求操作模式和高要求(或連續(xù))操作模式。低要求操作
模式對應于每年發(fā)生風險的次數(shù)多于等于1次的安全相關系統(tǒng)；
高要求(或連續(xù))操作模式對應于每年發(fā)生風險的次數(shù)少于1
次的安全相關系統(tǒng)。表1是IEC 61 5081／GB／T 20438規(guī)定的低要
求操作模式下的安全完整性的目標失效概率和目標風險降低因
子，表2是高要求(或連續(xù))操作模式的安全完整性的目標失效
概率。
SIL3被認為是單個可編程系統(tǒng)中可達到的風險降低的最高等
級。
表1低要求操作模式下的安全完整性的目標失效概率和
目標風險降低因子
安全完整性等級 目標平均失效概率 目標風險降低因子
(SIL)
4 >10～一<10。 >10000— 100000
3 10。一<10一 >1000一 10000
2 l0一一<10’ >100——~1000
1 蘭10～一<10一 >l0一Sl00
表2 高要求(或連續(xù))操作模式的安全完整性的
目標失效概率(每小時)
安全完整性等級 目標平均失效概率 平均發(fā)生1次失效的
(SIL) (每小時) 年數(shù)
4 1O 一<10。 l1400～ 114000
3 >10一一<10 1140一l1400
2 >10～一<10一 l14— 1140
l >10一一<10。 11．4一l14
4 安全系統(tǒng)的多樣性(diversity)原則
安全系統(tǒng)可以采取多樣性原則克服可能發(fā)生的故障，或設計
分析中存在的不確定性。多樣性是指用不同方法執(zhí)行所要求同一
功能。例如：可用不同的物理方法或不同的設計途徑來達到多樣
性。
多樣性分為：① 信號多樣性；② 功能多樣性；③ 設備多樣
性；④ 軟件多樣性(如指令運算的多樣性) ；⑤ 人員多樣性等
等。其中較為常用和有效的是信號多樣性和功能多樣性。
對所采用的多樣性措施是否適當應加以論證。為了保證能切
實執(zhí)行多樣性，對設備的多樣性或儀表控制系統(tǒng)的軟件多樣性所
進行的論證，必須擴展到這些設備的硬件、軟件部件，如實時操
作系統(tǒng)RTOS。
圖4是s7—400F運用指令運算的多樣性和時間冗余來提高安
全功能的可靠性。操作數(shù)A、B在CPU1進行“與”運算，結果
4 2 自勛化搏筧2010年12月刊
為C； A、B經(jīng)過編碼變成字A、B，在CPU2中做“或”運算，
結果為D=／C。在比較器中進行比較運算，僅當D≠／C時輸出停
機信號。
Time redundancy Time
圖4 運用指令運算的多樣性和時間冗余來提高安全功能的可靠性
再如某核電站的緊急停堆系統(tǒng)由兩個完全獨立的系統(tǒng)構成。
其安全控制系統(tǒng)由不同的供應商提供。一個停堆控制系統(tǒng)采用安
全PLC系統(tǒng)，由3個獨立的3機冗余表決的分系統(tǒng)(D、E、F)組
成(見圖5)。每個分系統(tǒng)都具備停堆功能，但其停堆輸出還要
送給3取2的繼電器硬邏輯進行表決，最終給出停堆信號。該安全
PLC系統(tǒng)硬件平臺配有操作系統(tǒng)，運用符合工業(yè)控制編程語言的
國際標準IEC 61131-3所規(guī)范的功能塊圖語言(FBD)編制應用軟
件。這套停堆控制系統(tǒng)采用了綜合法(Integrated Approach)設
計。
值得注意的是，為了實現(xiàn)安全系統(tǒng)的機理多樣性，還設置
了另一套完全不同機理的停堆系統(tǒng)，通過將有害的中子吸收劑
(poison)注入反應堆中的慢化劑(moderator)的方法進行停堆
控制。這一停堆控制系統(tǒng)采用沒有操作系統(tǒng)的工控機硬件平臺，
安全控制軟件運用高安全的具有子集的MODULA一2語言編寫。這
一套系統(tǒng)使用的是另一種設計方法一合理設計流程法(rational
design process)，用確定離子室記錄的功率信號的合理性來檢查
異常差錯信息。由此可見，在要求極高的安全關鍵系統(tǒng)中充分運
用了多樣性的原則，有：機理的多樣性、設計方法的多樣性 設
備的多樣性、編程語言的多樣性，這樣就從系統(tǒng)的層面上把同時
發(fā)生差錯的概率降至盡可能的小。
通道E
通道F
— — — — — — — — —
I
f藤
圖5 采用3套3機冗余表決的安全PLC系統(tǒng)構成的停堆控制系統(tǒng)
5 重視處理假事件
各種安全系統(tǒng)(包括緊急停車系統(tǒng)ESD)如果對假事件作
出響應，造成非計劃停車，不但要付出高昂代價，而且在大多數(shù)
信停 參Ir¨ L- 一瑟
或 j 一巫襲= 蕃
情況下具有危險性。大量的假報警還會導致操作人員產(chǎn)生矛盾心
理，以至于對危險的真報警都不予理會，或者反映很慢。
產(chǎn)生假事件的原因： ① 現(xiàn)場設備的硬件故障，如壓力開
關、電磁閥的線圈或常閉觸點存在高電阻，PLC的I／O模塊有
故障，現(xiàn)場設備中電子器件有故障，熱電偶斷偶，熱電阻斷線
等，這些明顯的設備故障都會引發(fā)假事件。② 一些公用故障如
電源、氣源故障也會引發(fā)假事件。③ 缺乏維護，不及時對工作
有缺陷的儀表、傳感器進行測試、校驗，是引發(fā)假事件的重要
原因。
下面討論信號多樣性問題?？匆粋€用3個浮球液位開關測量
液位的簡單例子(圖6)。我們可以有4種配置。采用單信號、雙
信號還是三信號更有利于安全和可靠的平衡呢?概括地說：采用
單機(單信號)系統(tǒng)不安全且不可靠，在故障安全(假事件)或
危險方面存在50／50的概率；采用雙機(雙信號)系統(tǒng)配置為二
取一(1002)，可能較安全，但存在高的假故障率；雙機(雙信
號)系統(tǒng)配置為二取二(2002)， 由假事件引起的故障率較低，
但安全性差；三機(三信號)冗余系統(tǒng)為三取二(2003)，提供
可以接受的安全與可靠的平衡。
■
—
— #—-一——— —f r 1一珊一一
— — O ) 一
2oo3
三取二
圖6 用3個浮球液位開關測量液位可能的配置
顯然，sIS／ESD不能選擇單機(單信號)系統(tǒng)。選用雙機
(雙信號)系統(tǒng)，在一定程度上可達到安全和可用性。二取一
(1002)安全性較好，但可靠性及假事件的影響大；二取二
(2002)可靠性較好，安全性卻較差。即使雙機(雙信號)系統(tǒng)
具有很好的自診斷性能，可以確定采用哪個通道或處理器故障，
將壞的通道或處理器剔除，但這時雙機系統(tǒng)降格為單機系統(tǒng)。三
取二(2003)獨特的優(yōu)點是不考慮哪個通道發(fā)生故障，是怎么發(fā)
生故障的；也不完全依靠自診斷來確定哪個通道投用。其亮點在
于它僅要求所接收到的信息。三取二表明，若有一個信號不同于
另外兩個信號，立即報警，而這兩個信號相同的通道處于安全工
作狀態(tài)。
從圖6所示的例子可知，如果流程要求用于液位測量的儀表
每年只能發(fā)生1次故障，而且每半年對浮球開關進行一次維護測
試，那么對于不同的浮球液位開關配置，因故障造成危險的年概
率如表3所示。
表3 浮球液位開關不同配置的因故障造成危險的概率
儀表信號配置 故障危險概率 假事件故障概率 故障危險概率
(每半年維修1次)
1ool 1／10 1／10 1／2O
1002 1／100 1／5 1／1600
2002 1／5 1／100 l／20
2003 1／33 1／33 1／534
f] 軟件的可靠性難以精確量化
軟件可靠性的基本問題是：① 軟件不受物理故障的影響。隨
著硬件元器件的可靠性越來越高，并可以采用冗余技術，因而安
全問題的矛盾集中到了軟件，以至于今天我們看到大多數(shù)的系統(tǒng)
失效源自軟件。失效常常由于一些非明顯的事件組合造成，而不
是由于機械應力超過一定程度造成。而這些非明顯因素往往事先
沒有估計到，所以在軟件的編制中考慮不到。② 軟件是由人來設
計的，軟件的設計不可能面面俱到，總有些因素在設計時沒有考
慮到，因此，設計的缺陷導致軟件的故障。③ 數(shù)字系統(tǒng)本質上是
非連續(xù)的，所以輸入對輸出的映射一定是不連續(xù)的。④ 軟件建立
在模型化和測試的基礎上，這些工作都是人在做的。人難免犯錯
誤，所以影響軟件的可信度。
因為以上這些不可避免的問題，可以得出軟件的可靠性難
以精確量化的結論。另外，從趨勢上講，軟件和人為因素導致失
效、事故和停機的比例越來越高。因為現(xiàn)在對軟件的依賴越來越
高，軟件變得越來越復雜，因而難以控制。人犯錯誤不可避免。
硬件失效可能是系統(tǒng)失效的原因，系統(tǒng)的失效會引起軟件的失
效。有鑒于此，要保證工業(yè)控制軟件的功能安全就不得不依賴于
對軟件進行嚴格的驗證和確認。
7 工業(yè)控制軟件的功能安全概念和方法
IEC 61508—1規(guī)定了整體安全生命周期的16個階段，包括：概
念，整體范圍定義，危險和風險分析，整體安全要求，安全要求分
配，整體操作和維護計劃編制，整體安全確認計劃編制，整體安裝
和試運行計劃編制，E／E／PE安全相關系統(tǒng)：實現(xiàn)，其他技術安全相
關系統(tǒng)：實現(xiàn)，外部風險降低設施：實現(xiàn)，整體安裝和試運行，
整體安全確認，整體操作維護和修理，整體修改和改型，停用及處
理。與軟件相關的是第9階段“E／E／PE安全相關系統(tǒng)：實現(xiàn)”
在IEC61508—3中詳細地規(guī)定了執(zhí)行安全功能的軟件如何滿足
功能安全的要求。它規(guī)范的工控軟件的功能安全問題包括以下方
面：軟件質量管理系統(tǒng)，軟件安全生命周期要求，軟件功能安全
評估。它給出的是在軟件的安全生命周期的各個階段應該滿足什
么要求，以及如何來驗證工控軟件達到了功能安全的標準。IEC
61 508—3的突出貢獻在于制訂了一整套完整的開發(fā)程序和一系列
技術措施，通過嚴格的質量管理與全生命周期的控制程序，實現(xiàn)
避免故障、檢測故障和排除故障，以及容許存在故障，從而保證
201O年12Pl~~l 自動化博覽 4 3
二
⑨
～
A ～ B AB

類和編排：頂級屬性、中間屬性和基本屬性，如圖9所示。
麟
I
l l l
一《 謄囊囊嘲瑚 眭毒點量
I《鋤 攔鰱罐脯‘ 辯?鍵懿 瓣 雕醣蹙贛舞性， 攘 縫 I(掘 。對庠孵蘑獯薯lI譙》
I
箍虢毫性
《煎lt 旃森轡憋分配的最甜、化)
I
《 語謄專囂桀l戤
(知 特蹙軟肋韻愛咖化)
圖9 軟件安全的三級架構屬性
軟件的可靠性屬性是在所規(guī)定的條件下軟件的可預測、且恒
定一致的性能。由于軟件的可靠性屬性旨在減少在軟件開發(fā)實現(xiàn)
期間可能被導入源代碼而造成誤操作的故障，所以此頂級屬性對
安全來說是很重要的。
軟件的魯棒性是在異常條件或事件下，安全系統(tǒng)的軟件以一
種可接受的方式進行操作的能力。由于它加強了軟件處理例外情
況、從內部故障中恢復，以及阻止因異常環(huán)境而致使故障傳播的
能力，因此此頂級屬性也很重要。
軟件的可追溯性表現(xiàn)為：① 對源代碼和所引用的程序庫部件
的源頭進行檢查和識別；② 通過對開發(fā)過程的可行性進行檢查，
來驗證已執(zhí)行的代碼在其開發(fā)過程中是否按規(guī)范的方法完成其實
現(xiàn)；③ 審視代碼與高一級的設計文檔相關聯(lián)的能力。此屬性之所
以重要是因為這將便于對軟件進行驗證和認證(V&amp;amp;V)，這是軟
件質量保證的另一方面。
軟件的可維護性是在軟件交付使用后若需對源代碼做改動
時，導致將故障引入的可能性減少的必要手段。此屬性之所以對安
全來說很重要，是因為在對軟件進是因為在對軟件進行適應、校正
或完善期間可以盡量減少可能發(fā)生的誤操作的故障。
根據(jù)IEEE所給出的規(guī)定，軟件可靠性是在軟件編制、調試和
執(zhí)行運行全過程的環(huán)境下，既可以是在所定義的時間間隔內和所定
義的條件下成功執(zhí)行的幾率，也可以是按照命令成功操作的幾率。
軟件執(zhí)行完成是其對于系統(tǒng)存貯器和程序邏輯恰當行為的結果。這
0 移
J
I l I
霄貯窯瞎 用的 蓖曩I性I l 控利流雕霹蕷赫性 Il l 時 擎的簿擷潮瞧
l I l l
一結構最大化
一控制流復雜性的最小化I
一變量的初始化 L 盡可能少用任壘
一子程序的進入點和}J_；l=_】譴用
點只有一個
一不用賦值語句
一界面歧義齲小化
一采用數(shù)據(jù)鍵入
一準確度、耪度進行記錄
一捧定優(yōu)先綴
一避免執(zhí){}子程序產(chǎn)生的
狀態(tài)變化
一將求值與賦值瞞開
一動態(tài)綁定最小化
一
- - ●
圖10 可靠性的中間屬性
意味著軟件所產(chǎn)生的適時輸出是編程人員對所使用的語言結構和運
行期間環(huán)境特性理解的函數(shù)。因此可靠性的中間屬性包括：存貯空
間利用可預測性(軟件不致造成處理器會向非預期的或不允許存貯
空間進行存取的高概率)；控制流可預測性(處理器按編程員預期
的順序執(zhí)行指令的高概率)；時序可預測性(軟件在所定義的運行
環(huán)境下滿足響應時間和處理能力約束的高概率)；數(shù)學結果或邏輯
結果可預測性(軟件在所定義的運行環(huán)境下產(chǎn)生編程員所預期結果
的高概率)。詳見圖10。
所謂軟件魯棒性是指在異?；蚱渌丛A計的情況下軟件繼
續(xù)執(zhí)行的能力。魯棒性的同義詞是耐久性(survivability)。對安
全系統(tǒng)而言魯棒性之所以重要是因為在一個意外或偏離額定工況
時會發(fā)生未曾預料的事件，在這樣的情況下軟件持續(xù)的對系統(tǒng)監(jiān)
控和控制的能力仍能有效作用。軟件魯棒性的中間屬性和基礎屬
性見圖11。
圖1 l軟件魯棒性的中間屬性和基礎屬性
軟件的可追溯性是指與軟件設計相比較，安全軟件的那些支
持其正確性和完整性驗證的屬性?？勺匪菪缘幕A屬性有：可讀
性(這也是可維護性的屬性)，內嵌函數(shù)的可控的使用，編譯庫
的可控使用。
軟件的可維護性是為了有效減少在對軟件進行修改時可能引
入的差錯。會影響安全的與可維護性有關的中間屬性(見圖12)
包括：可讀性一便于項目人員對軟件的理解的軟件屬性；數(shù)據(jù)的
抽象一對于那些代碼被劃分和模塊化的區(qū)域，這樣做可以使在修
改軟件時意想不到的副作用和次生的影響減至最??；函數(shù)的內聚
性一對代碼中的軟件元素給予設計水平的函數(shù)適當?shù)拇尜A地址；
可移植性一避免一種語言的非標準函數(shù)對安全的重大威脅；可塑
性一將可能修改的代碼區(qū)與軟件代碼的其余部分隔離開。
糍讀性 賺|抽豢l l函數(shù) 舅酣蟲
遵照認證導則廣全局搴 用
使用專業(yè)變量I 得越少越好
名 一接I3盡可
加注釋和內部 能簡單
文檔
控制進程的大小
運用單目
的函數(shù)
運用單目
的變蕭
編程最好不用多種語言
編程結構要請晰
相關元素盡可能集中，切忌分散
圖12 可維護性有關的中間屬性
隔離非標準結構
2010年12,EJ刊自動化博覽 4 5
專家分析
】0編程語言實現(xiàn)軟件功能安全的方法
在NRC的NUREG／CR 6463 Rev．1完整版本中給出了將9種編
程語言(Ada，Ada95，C／C++，Pascal，PL／M，IEC61131-3規(guī)定
的梯形圖、順序功能圖、結構化文本和功能塊圖)用于安全系統(tǒng)
時，應該關注它們特定的存在問題和如何加以克服注意點。譬
如，對于C語言來說，是其指針的初始化問題；對于IEC 61131-3
所規(guī)范的編程語言，則應關注其時序、正常運行的監(jiān)控，以及故
障處理等問題。
從頂級屬性中的可靠性、中級屬性中的可預測性的控制流
和基礎屬性中的在使用前變量的初始化這三方面導出對指針初始
化的指導原則。所有的變量和指針在使用前都應該初始化。C語
言支持通過說明來指定初始值的方式進行初始化，但并不要求所
有的對象(指變量、數(shù)據(jù)結構或數(shù)組)進行初始化。在若干情況
下，一個對象的初始化不僅要為對象的存貯地址指定一個特定的
位的組合值，而且還要采取特殊的動作來為對象的生命(例如為
對象賦予對應的源)進行平滑初始化。在c十+中，可能要考慮任
意相關數(shù)據(jù)作為對象，并提供構造數(shù)據(jù)組一個實例的工具。這樣
便會以系統(tǒng)的方式破壞數(shù)據(jù)組當前的實例。
考慮到上述情況，必須對初始化提出以下導則：① 不要對超
出其說明范圍的變量自動使用指針。存貯在指針的值對一個自動
變量會包含超出其函數(shù)范圍的無用輸入。② 指針的初始化，初始
化問題也會在指針中發(fā)生。在安全系統(tǒng)中所有C語言中的指針變
量，其初值都應該為null；所有c++中的指針變量，其初值都應該
為0。在被使用之前，指針應對一個有效值予以測試。當一個指針
被定義時，它沒有一個地址與其相關聯(lián)。使用一個未初始化的指
針，會造成重寫未曾預想到的指針的存貯地址。錯誤地重寫存貯
內容會引起嚴重的問題，包括對系統(tǒng)的崩潰。③ 要確保每一個指
針的說明間接的運算符都是存在的。每個指針都應該有一個間接
運算符( )。
IEC 61131-3所定義的5種語言除指令表語言(IL)與匯編語
言相似外，其它語言都納入了NRC關于編程語言的導則中。對
這些語言特定的指導原則源于魯棒性頂級屬性和異常處理的中間
屬性。應該專注于在機組緊急停車時PLC的行為。通常此時所有
的輸出均應切斷，但往往并非總是如此。一般PLC系統(tǒng)總是設計
成在緊急停車時系統(tǒng)處于故障安全狀態(tài)。某些PLC在遇到這樣的
情況時具有處理器能自動停止主梯形圖程序的執(zhí)行，轉而執(zhí)行
“故障程序” 的子程序。這使系統(tǒng)的設計者可以決定采取適當
的動作，包括以一種安全的方式讓系統(tǒng)停下來。問題在于：IEC
61 13 1-3規(guī)范中未涉及到允許PLC系統(tǒng)本身包含有某種預先設計
好的硬件故障程序，當檢測到一定范圍的故障條件時便會自動執(zhí)
行。不過，IEC 61131—3允許建立非周期的任務，通過觸發(fā)適當?shù)?
內部診斷信息來執(zhí)行處理特定類型的出錯(I／O故障時降級運行模
4 6 自勛化博筧2010年12月刊
式、向操作員見面報警等)。
對于PLC系統(tǒng)，在編程的設計階段就應在程序結構中考慮故
障程序問題。這時必須遵從如下原則：① 完整性故障程序不能依
賴于檢測到程序崩潰的所有特例，因此遇到PLC的主要故障時要
有針對附加措施的安全保證。② 可觀察性故障程序要有狀態(tài)記錄
和報警的能力。故障程序應顯性執(zhí)行，不被掩蓋。③ 真實性檢查
在啟動故障程序的情況下有可能將可以反映原來條件的程序存貯
內容、數(shù)據(jù)文件或UO狀態(tài)破壞，因此故障程序應保證在執(zhí)行故障
處理前將這些環(huán)境加以保存，以便事后分析。④ 在故障程序不起
作用時的故障安全特性萬一PLC系統(tǒng)的故障處理程序不起作用，
系統(tǒng)設計仍要保證安全狀態(tài)的后備措施。
PLC系統(tǒng)一般以指定的位和字的形式提供對應用程序的正常
運行狀況的監(jiān)控，這些信息包括特定任務的執(zhí)行時間、I／O~1]新
信息、I／0操作狀態(tài)信息、電池狀態(tài)信息和其它用來確定PLC正常
運行狀態(tài)的信息。遺憾的是IEC 61131-3規(guī)范中對這些信息的典型
值、范圍和類型并未做出規(guī)定。而安全系統(tǒng)恰恰應該具備這些信
息，作為判斷其是否運行正常的檢查和是否需要異常處理的不可
或缺的部分。
在IEC 61131．3的規(guī)范關于“任務”這節(jié)中，闡述了制造廠
應向用戶提供所有任務執(zhí)行的信息的最低要求。關鍵在于由于這
一問題的分類落在出錯檢查，而未能在規(guī)范中描述，于是我們也
得不到這些任務執(zhí)行時在運行時應以何種形式接受檢查的規(guī)定。
另外，許多PLC~I]類似的符合IEC 61131-3的系統(tǒng)一般只給出每次
執(zhí)行所有任務的周期(即所謂的掃描周期)，卻忽略了單個任務
執(zhí)行周期信息和標志的提供。如果因為安全原因需要在執(zhí)行某個
任務超時N次時必須緊急停車，在PLC現(xiàn)有的能力下是無能為力
的。為了解決這個問題，必須讓應用程序能夠對單個任務執(zhí)行其
超時的檢測，并給出單任務超時的標志，這樣才能做出適當?shù)姆?
應。對于安全關鍵系統(tǒng)，監(jiān)控任務超時的問題尤其要緊。必須在
程序開發(fā)的檢查階段關注。
¨ 在安全系統(tǒng)中推薦采用的編程語言
在IEC 61508—7的附錄C．4．5中給出了適合用于安全系統(tǒng)的軟
件編制推薦的語言(見表4)，表中列舉了24種編程語言，其中適
用于安全系統(tǒng)的軟件編制的語言共9種，它們是：屬于全可變語
言FvL有5種(具有子集的ADA，具有子集的MODULA一2，具有
子集的Pascal，具有子集的FORTRAN77，具有子集和編程標準并
使用靜態(tài)分析工具的C) ；屬于有限可變語言Ll VL有4種(具有定
義的語言子集的梯形圖，具有定義的語言子集的功能塊圖，具有
定義的語言子集的結構化文本，具有定義的語言子集的順序功能
圖)。
>>>>>>>>>>>>下轉50頁
案例推介
場調試中最初軟件工程師設置的采樣時間全為1s，死區(qū)為0，這樣
文件很大。環(huán)保檢查時要求調出一個月的相關歷史數(shù)據(jù)，在歷史
站調出1個月的趨勢圖的時間很長，甚至長達幾個小時，讓核查人
員無法忍受。經(jīng)過優(yōu)化以后，采用本文前面的辦法，歷史數(shù)據(jù)文
件容量減小為原來的l％以下，調出同樣時間段的數(shù)據(jù)的時間減少
到1-2分鐘，這個時間應能接受。
在調試現(xiàn)場要檢驗參數(shù)設置優(yōu)化后的效果，是否只有等待1
個月的時間，等一個月的歷史數(shù)據(jù)形成后才能驗證調出時間?答
案是否定的，采用好的辦法，可以在半個小時內檢驗調出1個月歷
史趨勢記錄的時間：
(1)iFix的歷史記錄參數(shù)優(yōu)化后，重新啟動軟件，24小時后
得到1X的數(shù)據(jù)文件；
(2)拷貝并復$r130個這樣的文件；
(3)逐個修改文件名，即修改文件的生成時間。
這樣快速地得到了1個月歷史記錄數(shù)據(jù)，數(shù)據(jù)是重復的，每
天相同 用于來測試參數(shù)優(yōu)化后歷史數(shù)據(jù)的調出時間是合適和可
行的，可以調出重復的3O天或更多天的數(shù)據(jù)。我們在做文件復制
前，應將已經(jīng)生成的歷史數(shù)據(jù)做好備份，以便事后恢復。這個方
法只能用于試驗，生產(chǎn)運行中不能對歷史數(shù)據(jù)做修改和拷貝，如
果有操作也將被記錄。對脫硫裝置這樣的環(huán)保設施，如果數(shù)據(jù)作
假，查實后將會受到環(huán)保部門的嚴厲懲罰。
6 結束語
GE iFIX作為優(yōu)秀的SCADA軟件，適合于多數(shù)的工業(yè)自動
化生產(chǎn)過程控制。對項目中具體參數(shù)的歷史記錄應按工藝過程
的條件和要求，設置采取合理的參數(shù)， 實現(xiàn)歷史記錄數(shù)據(jù)的有
效和優(yōu)化。如果企業(yè)對歷史數(shù)據(jù)記錄的要求更高，如毫秒級采
樣，數(shù)據(jù)量大(全廠級，幾萬點)，則應采用Proficy Historian
(iHistorian作為企業(yè)級實時歷史數(shù)據(jù)庫平臺，可以極高的速度
采集、歸檔并發(fā)布海量實時的現(xiàn)場過程信息 )或其它的專用數(shù)
據(jù)庫軟件。
參考文獻：
【1]基于ADO技術的iFix歷史報表的設計與實現(xiàn)[j]．自動化信息，2010．8．
[2]iFIX躲控軟件在煙草制絲線的集成應用(7~．)[EB／OL]．http：／／www．zgznh
corn／article show asp?articleid=580810，2010—06·09
『31 Proficy HMI SCADA—iFix4 0電子
[4]曲曉俊，馬彩iFIX組態(tài)軟件中通用趨勢曲線的設計與實現(xiàn)[J]．工 控制
計算機，2009(22)3
[5]iHistorian在電廠廠級實時躲視系統(tǒng)中的解決方案[EB／OL]http：／／sbg1．
jdzj．corn／Article／200809／2008092417294o_l2514．html，2008—09—24．
5 o 自動 匕{等筧2010年12月刊
<<<<<<<<<<<<上接46頁
表4 IEC 61508—7推薦的適用于安全系統(tǒng)的軟件編制的語言
編程語言 SIL1 SIL2 SIL3 SIL4
ADA HR HR R R
具有子集的ADA HR HR HR HR
MoDULA一2 HR HR R R
具有子集的MODULA-2 HR HR HR HR
Pascal HR HR R R
具有子集的Pascal HR HR HR HR
FoRTRAN77 R R R R
具有子集的FORTRAN77 HR HR HR HR
C語言 R NR NR
具有子集和編程標準并使用靜態(tài)分析工 HR HR HR HR
具的C語言
PL／M R NR NR
具有子集和編程標準的PL／M HR R R R
匯編語言 R R
具有子集和編碼標準的匯編語言 R R R R
梯形圖語言 R R R R
具有專門定義的語言子集的梯形圖語言 HR HR HR HR
功能塊圖語言 R R R R
具有專門定義的語言子集的功能塊圖語 HR HR HR HR
言
結構化文本語言 R R R R
具有專門定義的語言子集的結構化文本 HR HR HR HR
語言
順序功能圖 R R R R
具有專門定義的語言子集的順序功能圖 HR HR HR HR
語言
指令表語言 R NR NR
具有專門定義的語言子集的指令表語言 HR R R R
表4中R為推薦，HR為強烈推薦。
PLCopen[~際組織與專業(yè)從事安全認證的權威機構TOV一
起定義了在IEC 61 13 1-3的環(huán)境下涉及機械安全的規(guī)范((Safety
Software Technical Specification))。其中僅規(guī)定了兩種具有定義子
集的語言(功能塊圖語言FBDff~梯形圖語言LD)可用于機械安全
系統(tǒng)。
參考文獻：
? IEC 61508 Functional Safety ofElectrical／Electronic／Programming
Electronic Safety·Related systems Part 0-Part 7
『22 JIEC 6151l Functional Safety— SafetyInstrumented Systemsforthe
Process Industr Sector．
[3]MindaZhao(AECL，加拿大原子能公司)．Nuclear Safety—Critical
Software V&amp;amp;V Technology．
[4]M．Hecht，R．Brill Review Guideline for Software Written in High Level
Programming Land au s Used in Safety Systems．
[5]PLCopen．Safety Software Technical Specification．

網(wǎng)友評論 more

綜合安全論文最新內容

05-04

服務器虛擬化安全措施…

04-23

風險社會與風險治理

04-23

風險投資的風險防范及…

03-25

試論危巖穩(wěn)定性評價與…

03-23

安全文化助力核電企業(yè)…

03-20

云計算安全防護技術探…

03-20

云計算安全性探討

03-20

云計算下網(wǎng)絡安全技術…

綜合安全論文熱點內容

265832

淺談如何做好安全生…

139936

淺析安全生產(chǎn)管理措…

93803

淺析安全生產(chǎn)管理的…

65119

淺談安全生產(chǎn)監(jiān)督管理

64539

淺析安全生產(chǎn)事故頻…

55214

網(wǎng)絡安全存在的問題…

49209

淺析安全生產(chǎn)監(jiān)管工…

35552

淺談安全生產(chǎn)風險管…

相關內容

戶式輻射冷暖一體化系統(tǒng)工…

電力系統(tǒng)管理及其信息交換…

泛在物聯(lián)應用智能家居系…

信息系統(tǒng)總體控制規(guī)范第1…

基于導航衛(wèi)星的陸地定向系…

創(chuàng)想安科網(wǎng)站簡介會員服務廣告服務業(yè)務合作提交需求會員中心在線投稿版權聲明友情鏈接聯(lián)系我們