分布式控制系统（DCS）：越老越妖？还是越用越气？

DCS到底是个啥？不解释，只说感受

教科书上的定义我不啰嗦。对我而言，DCS就是那套让你又爱又恨，离了它生产线立刻瘫痪的玩意儿。它把控制任务分散到各个控制器，每个控制器管一片，再通过高速网络连起来。听起来很美。可是……分散控制也意味着故障点分散了。以前集中控制，坏了一个点你知道该找哪儿；现在一个网络交换机闪断，全厂报警。找吧，查日志，看拓扑，恨不得把线缆一根一根拔下来量。

不过话说回来，DCS的冗余设计确实救过我多次。控制器冗余、电源冗余、网络冗余——只要你舍得花钱。有一次电源模块莫名烧了，系统无缝切换到备用，操作员都没发现。那一刻我是真的服。所以说，DCS是好是坏，全看当初设计和舍得花的银子。

选型时的血泪史

我见过太多项目，选型阶段被销售忽悠得天花乱坠。什么“我们这个系统支持无限点”，“兼容所有协议”——放屁！实际用到一半，第三方设备Modbus通讯死活连不上，原来是网关授权的点位数限制，要额外买License，价格比硬件还贵。那时候项目进度催得紧，你只能咬牙交钱。所以❗永远别信口头承诺，协议兼容性、点位数、I/O扫描周期，这些必须写进合同附件，一个字都不能少。

问：DCS和PLC到底该选谁？是不是大系统才用DCS？答：这问题吵了二十多年了。简单说，如果你是一个连续工艺过程，比如炼油、化工，回路调节多，模拟量上千点，那必然是DCS。PLC擅长逻辑控制、运动控制，离散制造用得多。但如今界限模糊，高端PLC也能组态成看起来像DCS。不过我踩过的坑告诉你——对石化装置，甭管PLC厂商吹得多牛，50个PID回路以上请老老实实用DCS，注意是PID回路，不是I/O点数。PLC做连续控制的可靠性真的差一截，通讯和冗余机制是硬伤。

老系统升级：想死的心都有

我厂那套2005年投用的DCS，Win2000系统，厂家早停产了。备件？淘宝淘二手，跟赌石一样。想升级，厂家报价能买半个新系统，理由是“原机柜改线，风险极高”。确实，老旧DCS升级最大的拦路虎不是技术，是布线。原来成百上千的硬线接入，如果新系统控制器布局变了，那改线量……你只能整个装置停车，逐一校线，工期压死你。后来我们采用了一个折中方案：保留现场I/O柜和端子，只换主控和网络系统，但这也要求新旧I/O协议兼容，或者用网关。网关又是个坑，数据传输的时延、缓存机制，搞不好就丢报警。

问：老旧DCS升级时，如何确保工艺不中断？答：做梦吧，怎么可能完全不中断？除非你建一套平行系统切换，但那成本……实际只能计划性停车。关键是前期准备：图纸、线号、点位表必须核对到发指的地步。我们升级前半年，工程师每天下班后去机柜间对线，发现图纸错误率高达15%！而且还要和工艺部门反复推演停车方案，哪些回路必须带负荷调试，哪些可以离线测试。说实话，心理压力极大。有一次调试到凌晨，一个液位计信号死活不过来，查到是原来DCS柜内安全栅供电端子上有根跨接线——图纸上没有！这种隐藏地雷，你没经历过是想象不到的。

最新的实践：网络安全，必须提

这两年工业网络安全从“面子工程”变成“底线”。以前DCS物理隔离，被认为绝对安全，但现在要上MES，要数据采集，要远程诊断，网络开了口子。去年我们做等保测评，工程师的一句话让我后背发凉：“你们的OPC服务器，默认管理员账户居然是空密码？” 空密码！十几年就这么裸奔。赶紧整改，打补丁，上防火墙，做白名单。可DCS的Windows系统老旧，很多补丁不敢打，怕蓝屏。于是来个折衷：在控制网和管理网之间建立单向隔离网关，只许数据往外发，绝对不许反过来写指令。但安全厂商也说过，没有绝对的安全，只是提高攻击成本。

最近试用了一种基于机器学习的DCS异常监测，它能学习正常工况下控制器CPU负载、网络流量的模式，一旦出现偏离就报警。这东西有点意思，但误报率还是高，得慢慢调。

未来的DCS：架构变，但坑依旧在

大家都喊工业互联网，喊边缘计算。新DCS系统确实越来越开放，OPC UA、MQTT，这些往上一套，数据直上云端。看上去很美。可是，开放性带来的脆弱性，你准备好应对了吗？ 还有，当控制器都变成边缘节点，计算能力是强了，但实时性怎么保证？控制回路被延迟了几十几百毫秒，可能就振荡了。这些问题，厂商吹时往往避重就轻。

还有一种趋势叫“虚拟DCS”，把控制器软件跑在通用服务器上。省硬件钱，集中管理方便。但是，服务器当机呢？即使你做了虚拟化HA，实时性还是弱于专用控制器。所以，化学品裂解这种要命的地方，我暂时不敢碰虚拟化控制。

最后想说，DCS是工业的基石，但这个基石需要你亲手去摸、去改错、去擦屁股，才能磨得光滑。看再多书不如一次深夜抢修。好了，就聊到这吧，下次再扯别的。