攻击电网电力可靠性问题：控制系统冗余问题

美国电网停电事故愈发频繁。某研究机构数据显示，2011 至 2021 年，美国停电次数较前一个十年（2000-2010 年）增长了 64%。这一增长主要归因于极端天气事件的频发与加剧。

除此之外，美国电网的大部分基础设施建于数十年前，设备老化导致故障易发性增加，同时电力需求持续攀升也加剧了这一问题。人口增长、交通工具与建筑电气化，以及人工智能（AI）的能源消耗，均给电网带来更大压力，进一步提高了停电概率。

最后，电网正从大型集中式发电厂向多样化、分布式且发电稳定性较低的能源转型，这一过程推动了电网及其支撑系统的重建，但目前重建工作尚未完成，最终效果仍存在不确定性。

上述情况对流程工业而言无疑是坏消息。停电会给这类行业造成严重影响，包括生产线停工、物料损耗、供应链中断，甚至引发安全隐患，进而导致经济损失、设备损坏，乃至威胁员工安全。

因此，减轻工业过程控制系统中非计划停电的影响，对保障安全、产品质量及系统完整性至关重要。

工程师可采取哪些措施减轻停电影响？

系统弹性由多种因素共同决定。一套完善的非计划停电缓解策略，除了配备发电机、电池等供电保护设备外，还应包含数据保留策略、自动恢复机制及故障转移规划。

其中，部署工业自动化系统冗余是最有效的方法之一。尽管这也是在硬件或电源故障时维持系统可用性成本最高的方式，但通过周密规划，可实现性价比最大化。

通过部署备用控制系统实现无缝故障转移，能够确保过程控制与操作员监控不中断。这需要投入冗余可编程逻辑控制器（PLC）或可编程自动化控制器（PAC），或配置带有冗余电源和现场 I/O 模块的热备用控制器，同时建议搭建双以太网环网。（注：该方案可能超出多数企业的承受能力，但对于高附加值产品生产，或对启动、重启流程有特殊严苛要求的场景，具有重要应用价值。）

实现 PLC 冗余的几种方案

为基于 PLC 的过程系统配置冗余，并非必须完全复制硬件，但硬件冗余是最直接、最可靠的方法。根据所需的可靠性等级、成本预算及可接受的复杂度，PLC 系统冗余主要有三种实现方式：

1. 全硬件冗余（又称热备用或同步冗余）

部署两台完全相同的 PLC（同一品牌、型号及固件版本），并行运行。其中一台作为主控制器，另一台为热备用控制器。全硬件冗余的核心特点是内存与 I/O 实时同步，且主控制器故障时可自动切换。通常还会配套冗余电源、网络接口及 I/O 模块。

• 优势：可用性高、故障转移速度快；对生产过程影响极小

• 劣势：硬件与软件许可双重冗余，成本高昂

2. 部分冗余（资源共享或切换）

仅对控制器进行冗余配置，部分组件（如 I/O 机架、人机界面）通过切换逻辑共享或连接。例如，单个 I/O 模块可连接两台 PLC，通过切换继电器或软件控制的切换逻辑实现冗余。

• 优势：相比全冗余成本更低；一定程度提升容错能力

• 劣势：管理复杂度更高；恢复时间较长；共享组件（如 I/O）仍可能成为单点故障

3. 软件冗余或高级监控冗余

在监控系统（如 SCADA、DCS）或更高层级的分布式控制系统中通过软件实现冗余逻辑。利用心跳检测、看门狗定时器，或通过 SCADA / 外部系统监控，由 PLC 触发切换流程。

• 优势：灵活性强；可复用现有 IT 基础设施

• 劣势：确定性较差；依赖网络状态与 SCADA 系统性能

PLC 冗余等级的选择取决于工艺的关键程度。对于化工、发电等高危应用，优先选择全硬件冗余；对于非关键系统或预算有限的场景，部分冗余或软件冗余也能提供合理的容错能力。

实现 PAC 冗余的几种方案

PAC 系统冗余设计同样无需完全复制硬件，其冗余等级与方式取决于系统关键程度、性能要求及成本承受能力。与 PLC 相比，PAC 具备更强的灵活性与集成能力，因此冗余策略也更为精细：

1. 全硬件冗余（控制器 + I/O）

配置两台完全相同的 PAC，同时冗余 I/O、电源及通信接口。两台控制器运行相同程序，一台为主控，一台为同步备用。该方案广泛应用于水处理、制药、电力等关键基础设施。典型产品包括艾伦 - 布拉德利 ControlLogix 冗余系统、西门子 S7-400H。

• 优势：故障转移速度快（亚秒级）；系统可用性高

• 劣势：全冗余配置，成本最高

2. 部分硬件冗余

仅冗余 PAC 控制器，I/O 模块采用共享或多路复用方式。通过冗余 CPU 搭配共享 I/O 机架，由切换逻辑决定激活哪台 CPU。适用于 I/O 冗余成本过高或安装空间受限的场景。

• 优势：成本与弹性平衡

• 劣势：共享 I/O 可能成为单点故障

3. 网络冗余 + 分布式控制

通过冗余工业以太网（如 EtherNet/IP、PROFINET）或环网协议（如 MRP、HSR、PRP），实现 PAC 分布式部署。基于分布式控制架构，单台 PAC 故障不会导致整个系统瘫痪。该方案依托冗余网关、双网卡及环网拓扑实现。

• 优势：模块化设计，可扩展性强；故障隔离性好

• 劣势：系统复杂度高；不适用于对控制周期要求严格的闭环控制冗余

4. 虚拟冗余 / PAC 虚拟化

在工业 PC 或虚拟机管理程序上通过虚拟化技术实现 PAC 功能，并配置冗余故障转移。PAC 软件（如 SoftLogix、Codesys）运行于虚拟环境，支持虚拟机级别的故障转移。广泛应用于 PAC 软件定义的现代混合控制系统。

优势：灵活性与可扩展性强；备份与快照操作便捷

劣势：依赖虚拟机管理程序 / IT 基础设施的稳定性

5. 监控 / SCADA 级冗余

在 SCADA 或 MES 层实现冗余，而非 PAC 本身。PAC 控制器可能不具备冗余能力，但监控系统可接管控制逻辑或绕过故障节点重新路由。

• 优势：纯软件实现，成本较低

• 劣势：响应速度慢；不适用于快速控制回路

双以太网环网如何提升系统弹性？

网络弹性同样至关重要。作为许多控制系统的核心组成部分，为以太网环网增加冗余是一项高性价比的投资。双以太网环网通过构建两个反向旋转的以太网环，形成冗余容错网络拓扑，可在工业或关键系统中实现弹性保障与快速故障转移，广泛应用于工业以太网、变电站自动化及关键基础设施领域。

搭建双以太网环网的步骤如下：

1. 明确网络需求：评估网络的核心要求，如恢复时间（通常 < 50ms）、高可靠性及确定性通信能力。

2. 选择环网冗余协议：选择支持双环架构的协议，主流协议包括：

• HSR（高可用性无缝冗余）：IEC 62439-3 标准，通过双环发送重复帧实现冗余。

• PRP（并行冗余协议）：IEC 62439-3 标准，可与 HSR 配合使用或独立部署。

• MSTP/RSTP 环网耦合：基于传统生成树协议的冗余方案。

• MRP（介质冗余协议）：IEC 62439-2 标准，针对环网拓扑优化，效率高于 RSTP（见图）。

采用 MRP 协议的冗余以太网环网该图为基于 MRP（介质冗余协议，IEC 62439-2）的冗余以太网环网通用配置，是环网拓扑的可选方案之一。

3. 选择硬件设备：选用支持以下特性的管理型工业以太网交换机：

• 双环冗余功能

• 快速故障转移（通常≤20-50ms）

• 协议支持（HSR、MRP 等）

主流供应商包括赫斯曼（Hirschmann）、摩莎（Moxa）、西门子、思科（工业以太网交换机系列）。

4. 网络拓扑设计：构建两个独立的物理环网（顺时针与逆时针），每个设备或交换机通过两个端口分别连接至两个环网（双网卡或双端口交换机）。

5. 单连接设备接入：对于单端口设备，可通过 冗余盒（Redbox）接入双环网。Redbox 可将单端口设备连接至冗余环网，充当无双连接节点的 “代理”，使其具备双连接冗余能力。

6. 协议配置：在每台交换机上配置选定的冗余协议，按需指定环网管理器 / 监控器，并验证心跳间隔、帧复制、延迟时间等参数。

7. 冗余测试：通过模拟线缆或端口故障，验证环网 A 与环网 B 之间的自动切换功能，同时监测恢复时间与网络连续性。

额外优化建议

为进一步提升系统弹性，可采取以下措施：

• 交换机间长距离连接优先采用光纤。

• 为每台交换机配置独立电源。

• 通过 SNMP 或网络管理系统（NMS）实现实时监控。

• 规范线缆标识，完善拓扑文档。

• 对于长距离线缆传输，可考虑采用重定时器（Retimer）技术提升信号完整性。