基于控制安全的东林煤矿主要通风机监控系统改造

程玉龙

（1.瓦斯灾害监控与应急技术国家重点实验室，重庆 400037；2.中煤科工集团重庆研究院有限公司，重庆 400037）

随着数字化矿山建设技术的不断成熟发展，矿山对自动化子系统的建设，有了新的需求与变化。单独建设自动控制系统的场景逐步转化为综合自动化平台的建设。从生产实践看，建设一般涉及多个厂商：自动化子系统的建设厂家、综合平台的厂家。如何在多个厂家，不同系统之间保障数据的安全可靠的传输、子系统控制命令的安全有效的下发，成为新的课题。通过合理配置子系统与平台之间的数据交换架构及控制方式，可以使系统数据传输稳定、工作可靠，进而提高生产监控的安全性[1-4]。

1 矿井主要通风机监控系统控制方式

东林煤矿位于重庆市万盛经济开发区，其主要通风机站配置对旋轴流通风机，采用地下翻板式风门，串电抗器直启电控柜。需要建设主要通风机监控系统，对参数进行监测，同时实现无人值守的控制功能。

根据现场实际需要，主要通风机监控系统需要多种控制方式，大体可分为4 种工作模式，控制模式需求如图1。

图1 控制模式需求Fig.1 Requirement of control mode

1）就地控制。需要提供途径，在风机房现场实现对主要通风机及其附属设施进行控制操作。就地控制需要具有最高的优先级。

2）现场的集中控制。现场的PLC 监控柜需要提供人机接口，实现现场的集中控制功能。

3）上位机操作。系统需要提供上位机的人机接口。数据经过环网传输，操作员可通过上位机完成对主要通风机及其附属设施的控制工作。

4）自动化平台操作。后期计划建设综合自动化管控平台，系统需要为第三方软件的远程监控提供接口[5-6]。

2 系统设计

2.1 控制模式

系统的控制功能采取分级设计。根据现场的具体需要，设置有3 种控制模式[7-10]：①就地控制模式：PLC 监控系统关闭控制功能，仅提供监测功能，PLC开放的控制点位清除外部发来的任何命令，不执行动作；②集中控制模式：操作集中在现场PLC 监控柜的触摸屏上，现场的值班员通过操作触摸屏，执行对应的控制；③远程控制模式：系统接受调度室上位机下发的命令，执行对应的操作。

因为涉及控制功能，而且是多个位置如本地、远程、第三方平台都可以控制现场设备，必须对各控制接口进行有效的监督，理清控制来源的脉络，确保主通风机的正常运行，安全，稳定。也就是需要在各人机接口进行闭锁逻辑设计。

闭锁逻辑设计主要包括2 方面：①系统内部的闭锁：包括触摸屏、上位机之间的闭锁逻辑；②主要通风机监控系统对第三方平台处理数据的操作方式进行管理，纳入闭锁管理范围。

控制模式层次如图2。

图2 控制模式层次Fig.2 levels of control mode

系统采用分级管理方式。分为4 个控制级别：现场手动、现场触摸屏集中控制、上位机远程控制、第三方平台远程控制。其中现场手动操作具有最高权限，现场集中控制通过触摸屏操作执行，权限次之。而第三方平台则应分配最低的控制权限，不能直接连接PLC，必须通过上位机提供的通道进行控制。之所以不采用第三方平台直接连接PLC 的点位进行控制的方式，是因为一旦开放PLC 的接口给第三方平台，PLC 内部所有的点，均暴露于外，这样有2 个重大的安全隐患：①无法有效的监管控制命令来自何方，现场的控制点动作，在PLC 中无法分辨控制命令的来源，对控制操作的记录无从谈起；②外部程序下发的控制命令可以直接动作于输出继电器点位，绕过PLC 的工艺逻辑流程，完全不受系统的闭锁、保护，势必会给系统的安全运行带来极大的隐患。

具体设计如下：

1）根据就地优先原则，操作模式的设置在现场触摸屏上进行操作。现场的系统人机接口，就是触摸屏，其使用条件是现场人员在值班、执行检修等流程操作，而且现场正常状态只有值班操作人员方可进入，使用环境较为单一，操作安全有保障。因此，将现场触摸屏设计为控制核心，拥有高于远程控制、第三方平台的控制权限是比较合理的。只有触摸屏中才允许更改系统的控制模式，上位机软件、第三方平台中不允许更改控制模式，只能检测到控制模式状态。

2）在上位机的人机界面中，只有当检测到现场PLC 监控柜工作于远程控制模式时，才使能控制按钮，而且，使用控制按钮必须先登录用户名及密码获得对应的控制权限才可以下发控制命令，系统同时记录当前下发的操作命令、操作时间、用户名，便于系统的安全管理。

3）在就地控制模式，PLC 监控柜仅提供监测功能，执行对各工况参数的实时监测，显示，存储。由于前述的闭锁设计，系统的人机接口：触摸屏和上位机均不提供操作途径。

4）对于其他信息系统集成平台等接入，由于无法控制、预知第三方的人机接口，PLC 系统内部设计了逻辑闭锁：当操作模式不正确时，即使第三方平台向PLC 提供的控制点位下发了控制命令，PLC 内部的逻辑也会直接清除控制命令，不执行动作。从而提高了系统的可靠性。

2.2 PLC 的安全级别

PLC 的访问安全，主要是保障只有触摸屏能控制PLC，组态软件必须通过密码访问PLC，从而使得对PLC 的控制始终处于监管之下。

西门子1200 系列PLC 的CPU 中提供了4 种安全级别：

1）完全访问。组态软件和编程软件可以任意访问PLC，不需要任何密码。

2）读访问。编程软件需要密码才可以读取PLC，人机界面可以任意访问。

3）HMI 访问。只有人机界面可以访问PLC，编程软件，组态软件不能访问PLC。

4）不能访问。组态软件、编程软件、人机界面，都不能访问PLC，必须输入对应级别密码才能访问PLC。

本系统中，需要将PLC 的CPU 安全级别选择为HMI 访问，即现场触摸屏可以访问PLC，而组态软件需要密码登录PLC 才能访问。但也不能选择“不能访问”级别，因为部分触摸屏的编辑软件不支持输入密码连接PLC。

此外，许多组态软件可以通过CPU 模块中的PUT/GET 通信机制访问PLC，因此亦需将其关闭。

2.3 PLC 流程

主要通风机控制流程如图3。

图3 主要通风机控制流程Fig.3 Main fan control logic

与常见的双绞车控制风门不同，现场的2 个地下翻板风门由1 台风门绞车控制，钢丝绳两端分别接在2 个翻板风门上，绞车转动时，张紧端将风门向上拉开，松弛端的风门则受重力自然下垂，关闭风硐。按矿方控制逻辑，一键启动通风机，一键停止通风机，是检修时操作，因此设计中不纳入风门的控制，在一键倒机流程中，则对风门进行控制。

程序设计需要遵循3 个原则：

1）流程模块化。所有的流程，应采用模块化设计，各设备的流程如电机分合闸、风门切换等集中于各子模块中，复杂的流程中，不断调用下一级的模块，而不可将所有条件都在复杂流程中排列执行。

2）不同控制点方式。对上位机控制、触摸屏控制，分为不同的控制点位，以备上位机记录。

3）控制点位闭锁。对不同设备下发的控制命令点位进行缓存，闭锁，对正常的控制命令，自动清除控制点位，上位机只下发1 次控制点位的置位即可，无需上位机对控制点位进行复位，避免发生时序不同导致误动作的隐患。同时不符合控制流程的控制点位会自动清除复位，而不执行动作。

2.4 上位机程序

上位机的程序设计中，应按如下原则设计：

1）人机访问闭锁。除了人员分级使用密码登录外，对不同的工况中，软件界面上的按钮，应具有闭锁功能，在工况不允许执行对应功能的条件下，应该使按钮失效，从而减小误操作的概率。

2）三方平台的闭锁。上位机为三方平台提供接口，将三方平台发来的控制点，进行判别，缓存，闭锁，自动清除控制点位，三方平台只发送1 次置位命令即可。不符合控制流程的控制命令直接复位，不向PLC 下发。

3）操作记录功能。不仅记录软件界面上各按钮的操作动作，同时记录PLC 中，不同的控制点位状态。只有完善记录，才能有效确定控制命令的来源，便于监管。

4）二次确认。对软件界面上的每一个按钮，都设置二次确认功能，提示操作人员是否确认，确认则执行命令；不确认，则不予下发命令。

2.5 触摸屏控制

触摸屏作为系统现场的人机界面，负责现场的集中控制，更改系统的操作模式，是现场的核心控制器。触摸屏控制逻辑如图4。

图4 触摸屏控制逻辑Fig.4 HMI control logic

触摸屏的逻辑功能如下：

1）就地模式。触摸屏只提供监测功能，屏蔽所有控制按钮，不提供执行控制操作的接口。

2）集中模式。触摸屏提供对应的控制菜单，操作人员可以执行现场设备的单点控制、一键启停、一键切换等操作，各操作按钮之间，需要设置闭锁关系，在流程控制执行时，单点控制失效。

3）远程模式。屏蔽除操作模式更换外所有控制按钮，触摸屏不提供执行控制操作的接口，只能由远端上位机执行控制。

4）防呆设计。在操作触摸屏执行控制操作前，需要输入1 次控制代码解锁控制界面，方可使用控制功能。控制界面解锁后，所有控制按钮不再提供二次确认。因为触摸屏操作的工作场景设定为检修等情况，人员均位于现场进行操控。若增加按钮二次确认，对紧急时刻的操作过于繁琐，反而不利于现场的处理，因此，不宜设置二次确认。同理，切换操作模式亦无需输入控制代码。

2.6 系统现场调试

对现场的各设备进行改造、布线、施工，按设计原则依次进行PLC 固件程序设计、触摸屏固件程序设计、上位机软件设计、联合调试，系统各监测参数正常，响应时间短，控制可靠，操作方式符合预期设计。试运行期间运行可靠，预留的第三方平台接口测试稳定。已交付现场正常生产使用。

3 结 语

1）智慧矿山的建设发展中，自动化子系统不再是一个个封闭系统，而是在局域网中互通互联，控制的安全性凸显，没有合理的数据以及控制的安全保障设计机制，会使各系统相互影响，形成安全隐患，因此在设计中必须对安全机制予以充分的考虑。

2）自动化子系统的控制安全不仅表现在网络、外部接口的数据交换中，同时还表现在具体的操作方式中。矿山生产实际环境中，生产自动化子系统的操作对人员有一定的要求，各人机接口采用防呆策略、闭锁设计可以有效减少人为因素造成的故障。

3）目前的系统设计中，对PLC 的访问安全通过不同的权限密码实现，面对今后各系统数据融合的发展趋势，需要对网络访问的控制做进一步加强的研究。