说明：本文同步发布于个人博客。
晚上公司大讲堂介绍炼化企业的工业控制系统，从仪表、DCS/SIS、APC 到 RTO，补齐了知识缺角。
仪表
仪表是用于测量、收集温度、压力、液位、流量、振动等工艺数据。与互联网通用的 HTTP 协议不同，仪表的通讯协议一般是 Modbus、PROFIBUS、HART 协议，不同协议的设备通讯需要转换。
为什么要关注通讯协议，万物互联的大趋势下，各个设备的数据通讯无疑是基础。更简单地说，当智能工厂要采购硬件时，了解硬件的关键参数可减少项目的潜在风险点。
DCS/SIS
1-DCS 系统
DCS 系统，中文为集散控制系统，集中显示、分散控制，是当下最主流的工业控制系统。DCS 基于仪表数据，利用 PID 等控制模型通过调节阀控制装置。
DCS 系统组成为「三站一线」，即工程师站、操作员站、现场操作站、系统网络。
现场操作站是 DCS 系统的核心，位于现场，用于「分散控制」，外形为机柜。
工程师站和操作员站外形与普通电脑一样，只不过内部的软件和控制权限不同，位于中央控制室。除了外操定时外出巡检，大部分工艺人员就是在中控室的大屏上监控装置运行情况。
PID 控制模型是 DCS 的一个程序，就是通过一个包含P、I、D 三个参数的函数控制调阀。为了说明什么是 PID 控制，可以看一个 漏水水缸控制液位 的例子。控制水位的方式无非是两种，控制流入和流出。
- 控制流入：用不同加水工具，如盆、碗、桶。工具不同，速率不同。加水工具大小就是比例系数 P
- 控制流入：一次性加水速度太快，旁边再放个漏斗慢慢加水。漏斗时间就是积分时间 I
- 控制流出：加水太多后，给水缸凿空加快流出，水漏出快慢时间就是微分时间 D
所以 PID 整定就是要找到最佳的 P、I、D 三个参数。值得注意的是，装置不是一成不变的。比如，因为反应器催化剂的效率带来反应速率变化，阀门腐蚀会带来开度变化。为了保证 PID 的准确性，需定期进行 PID 整定。
DCS 系统的常用厂家有霍尼韦尔、横河、浙江中控、和利时等。
2-SIS 系统
SIS 系统是安全仪表系统，与 DCS 系统独立，用于意外情况下的装置超限安全停车。特点有：
- 含检测、执行单位
- 卡件通过安全认证，可热插拔
- 不采用现场总线通讯
- 冗余容错结构，通常使用 3 取 2 表决器
对于安全要求严格的单位，现在要求所有的装置必须上 SIS 系统。
APC
APC 是先进控制技术，简称先控，基于 DCS 系统之上。
PID 是单回路控制的，是控制目标在一个值，属于点控制，而 APC 可以多变量调节，控制目标在一个最佳的上下限之间，属于范围控制。
APC 的关键技术为模型预估、稳态优化、动态控制，通过优化，降低运行成本。但 APC 与 PID 一样，不是一劳永逸的，他的生命周期为 4 年左右，两三年之后会慢慢不准，最后操作人员就不再投用 APC。改变这一问题的方法就是 APC 运维，定期维护。
APC 厂家有 Aspen DMC、霍尼韦尔、Rockwell P8、浙江中控 APC SUITE、华东理工大学自主研发等。
RTO
如果说 APC 是汽车的定速巡航系统，那么 RTO 就是汽车的无人驾驶系统。APC 的目标是人为设定，RTO 基于最大效益自动计算。
实时优化技术 RTO 必须基于 APC，它有一个安全机制，就是优化过程必须处于 APC 上下限之间，如果超出其上下限，优化结果不执行。RTO 的关键技术是基于严格机理模型，涉及反应动力学、热力学等，不像当下最火热的神经网络算法，通过输入、输出模拟得到一个黑盒模型。
说起模型，其实不用觉得太深奥，有些模型就是一两条公式而已。
RTO 计算的数据源并非直接来自于 DCS，因为这样数据量太大，通常是通过实时数据库压缩后再计算的。最为著名是实时数据库就是美国 OSI 家的 PI，霍尼韦尔、Aspen、浙江中控也有相应产品。
RTO 投用初期，最常出现的就是不收敛的问题，原因很多，可能是仪表故障、装置波动大、不符合 APC 控制要求。
现有的 RTO 厂家有霍尼韦尔、Aspen、浙江中控等。
APC 和 RTO 对于装置的效益是显著的，根据装置规模的不同，能降低上百万到上千万的成本。但是，它同样需要定期维护，就像我们生了小孩，生完只是第一步，还需要花时间和精力慢慢养大。
从时间纬度上看 DCS、APC、RTO的区别：
- DCS：秒级
- APC：分钟级
- RTO：小时级
工控网络安全
理想状态的工控网络拓扑图如下：
DCS 层的工控机连接 IP 和安装软件采用白名单机制，USB 口封禁。DCS 层、工控中间层和经营办公层之间均加防火墙。有些企业的经营管理层跳过工控中间层，通过 Modbus 协议直接取 DCS 层的数据，不需要实时数据库系统，短时间内可以降低成本，但存在一定安全隐患，黑客可以通过跳板直接攻破，而且对于长期的数据应用不利。
为什么如此注重工控网络的安全？
一位信息中心的领导曾说，由于国外的技术比较强，我们采购了很多工业上的软硬件，但是我们并不知道它有没有后门，那么怎么办？物理隔绝是最好最无奈的做法。如果在战争情况下，掌握国家工业命脉的能源企业的工控装置被黑，相当于断了粮草。袁绍和曹操的官渡之战中，决胜的关键在于袁绍的粮草被烧，曹操打赢了那场以少胜多的战役。
2019.6.29 更新：工控系统的复杂性
工控机系统多种多样，有 Linux、嵌入式系统等，各个设备采用的物联网协议也各不相同，不仅设备间通讯是问题，运维也是。就比如之前做过的 LED 屏统一显示装置安全时间的项目，理想状态是我有一个系统，记录每套装置的安全运行时间，各个 LED 大屏获取这个服务，搞定全厂几十个 LED 屏的安全运行时间的显示。然而，并没有这么简单，每个 LED 屏厂家不同，数据接口不同，要一一定制接口，实施难度太大，最后用管理手段解决技术问题，每个屏由各部门专人维护。
拓展阅读：工控安全标准溯源与入坑指引。等保定级对于做项目人来说是件烦心事，项目中一旦涉及到外网连接，等保要求马上变高了，项目过程控制和文档要求也变复杂了。