1.1 控制器分配
安全可靠是组态设计的第一要求，控制系统组态配置应满足“优先级”、“分层分散”、“故障影响最小”、模件“冗余”、热控保护系统“独立性”五大原则。
DCS控制器采用工艺系统结合控制功能的分配方式，以“控制器故障时对系统功能影响最小”、“重要辅机或系统按A侧和B侧分设不同的控制器”和“控 制器输入输出(IO)点数量相对均衡”为原则。局部工艺系统的全部控制任务集中在同一个控制器内完成。（控制器分配方案参见附件）
1.2 IO分配
卡件和通道分配时以“IO卡件故障和分支故障影响相对最小”为原则，防止保护的拒动、误动和自动调节装置失灵。
1.2.1 I/O 信号配置
1）各主要控制系统的重要I/O信号，应冗余配置；
2）用于机组和主要辅机跳闸的输入信号，必须直接通过相应保护控制器的输入模件接入，不同系统间的重要联锁与控制信号应采用硬接线连接，并考虑冗余配置；
3）自动控制系统的控制指令不可通过通讯网络进行传输；
4）为保证重要监控信号在控制器故障时不会失去监视，应在不同控制器中配置大量程的DAS监视点，或配置硬接线后备监控设备，如炉膛压力、汽包水位等；
5）远程I/O信号应仅用于数据采集功能。
1.2.2 I/O 通道配置
1) 冗余信号分配到不同的IO卡件上，主保护 (如MFT)、重要辅机(如汽泵)保护和重要模拟量调节回路(如炉膛负压)的冗余信号分配在不同的分支。
2) 纵向组合设备的IO布置在同一块I/O卡件上。
3) 控制内容一样的控制器(A侧和B侧)的通道分配尽量一致。
4) 备用通道均匀分布在每一卡件上，便于今后加点和更换通道。
1.2.3 柜间线
1）DCS柜间接线的设计遵循“主重要保护均采用硬接线输入”的原则。MFT保护中DCS柜间接线设计2个常开信号，加上通信总线的信号后组成3取2逻辑。
2）通过柜间接线和通信总线信号的不一致判断逻辑，出现报警后很容易判断是柜间接线的问题还是通信总线的问题。
3）重要辅机保护中DCS柜间接线设计1个常开信号，加上通信总线信号后组成2取l逻辑。
4）模拟量控制系统中形成闭环回路的信号采用柜间接线，前馈信号通过通信总线传输。
1.3 控制器分区
OVATION控制器共有5个任务区，其中第l区扫描时间l000ms，第2区扫描时间100ms，第3、4、5区 的扫描时间由用户自定义。不同的扫描时间影响模拟量调节回路PID参数的整定、一些功能块(如 KEYBOARD)和模拟量调节回路手操面板增减按钮的参数设置，因此在逻辑组态前应确定扫描时间。控制器分区应合理分配，以免造成某个控制区负荷超高，可通过加大内存分配额来降低负荷，满足负荷率不大于40％的要求。
一块I/O卡上的所有点的IO task 号（处理周期号）必须相同，如果相关的控制逻辑在不同的控制区内执行，则要将该卡的IO点处理周期统一定义为最快的处理周期。
1.4组态设计可靠性
1）DCS可靠性设计的重点在于防止因DCS硬件故障和信号故障(包括断线)引起的保护误动和拒动。 OVATION的硬件故障包括控制器失电、控制器死机、 控制器脱网、IO卡件与控制器通讯故障、IO卡件或通道故障等几种类型，其中控制器失电和控制器死机是最严重的故障。
2）IO卡与控制器通讯超时后输出状态，最好设置为“Latch”状态，可以在IO builder中定义timeout action，这样在IO卡与控制器失去联系时IO输出可以保持在原来状态，防止误动，如果定义为Reset，输出将会回零。 FSS控制器送MFT继电器柜的跳闸命令，在控制器和DO卡件出现通讯故障时，选择输出“Reset”， 通过常闭触点的闭合，在FSS控制器故障的情况下实现自动停炉，确保机组安全。
3）模拟量故障解决办法针对用于保护的模拟量测点故障可能引起的保护误动，可采取增加速率和品质检测。a）模拟量信号变化率超过工艺参数可能变化的最大值，或者信号“坏质量”(通过质量功能块检测)，该测点保护切除，当测点恢复正常时，保护自动恢复。b）为了防止在保护自动恢复时引起保护误动，速率和品质检测回路只有在该测点小于保护定值时才能允许自动恢复保护。c）为了防止速率和品质检测回路由于扫描次序的原因引起工作不正常，源自模拟量信号的保护条件都有3 s或以上的延时，3s延时对工艺系统不会有影响。
4）防拒的设计 a)主重要保护均采用硬接线输入。b)通过DCS柜间接线实现的单点保护，在逻辑里采用硬接线信号和通信总线信号2取1的方法，防止卡件或通道故障引起的保护拒动。
1.5 画面组态
1）DCS组态工作往往时间紧、任务重，需要提前做好规划，画面组态在开始前需要完成对画面风格的确定，不同的项目对工艺流程画面的要求都不相同，但组态时一般都有一些相对固定的模板。
2）在项目实施过程中，必须先和用户把工艺流程的画面风格、设备状态 、管线 、管线内介质的颜色等都固定下来 ，可大大减少现场的工作量；
3）如果前期使用过其他 DCS厂家的系统 ，会对操作风格提出一定要求 ，应尽可能与原使用DCS系统的风格接近，使用户快速渡过由于产品厂家变化引起的操作习惯转变的不适应期。
2. 组态设计修改的安全注意事项2.1 组态设计修改制度
严格执行组态修改操作监护制度、一人操作、一人监护；
2.1 组态工具使用
1) 系统内只能由一个CB窗口对一个控制器进行组态，不允许多个CB窗口对一个控制器进行操作，在进行倒库操作时，所有的CB窗口应退出；（隐患：不当操作会导致修改紊乱，严重会造成控制器瘫痪）。
2) 系统内只能由一个CB窗口执行控制画面的编译功能，不允许多个CB窗口同时执行控制画面的编译功能，在进行批量编译画面前，所有的GB应退出编辑状态；（隐患：不当操作会导致系统紊乱）。
3)工程文件增减需在CB里操作，严禁直接在文件存储目录下进行修改；（隐患：不当操作，会导致工程文件紊乱，CB报错无法打开。）
4)组态期间IO变更很多，会导致数据库必须进行相应的修改，排卡清单需做好详细记录，可追溯性强，后期部分IO数据库修改适进行手动修改，防止批处理可能造成的不利影响；
5)在控制器负荷允许的情况下分区采用串行（serial）方式，每块卡上的IO点应组态在同一扫描区，用于保护的IO点应尽可能与逻辑组态在同一控制区；（隐患：不当配置会导致逻辑执行时间较长，同一块IO卡通道分区不一致会导致点发生震荡。）
6)RTD和TC卡件量程设置需单独进行，无法批量处理，卡件量程需放开；（隐患：卡件量程不注意可能导致温度测点显示受限）
7)SOE卡件设置需单独勾选enable shot；（隐患：不当设置控制器下装时会报错）
8)在现场通过MMI修改的算法参数，要及时通过Upload Tuning Parameter读到SAMA图中来，避免参数丢失；
9)组态期间会产生大量的废点，造成DDB超标，组态大体完成移交现场时最好能对数据库进行杀库处理，给以后的调试修改留出空间；
10)DCS系统在扫描组态时存在时序，时序排列的不同导致计算先后顺序的不同，新加入模块到模拟量控制组态中需考虑到时序对下装后参数的影响，要做好下装过程的安全措施。
2.2 数据备份
1）定期进行全数据库备份，专人负责、专人管理，备份目录和文件命名要有通用的规则（如按照时间），组态期间修改量大，应做到至少一天备份一次，重大操作如导库、系统配置情况下，需提前做好备份；
2）备份前的注意事项：确保在线运行参数和数据库中的参数一致（reconcile）、确保CB逻辑图中参数和数据库中的参数一致（upload）、确保系统配置都已下装并投用，确保备份文件的安全建议至少放到两台机器上或刻录成光盘单独放置，备份完成后要确认备份文件的完整性。
隐患：不及时备份，在系统损坏时，无法快速恢复
2.3 组态下装
1）做好DCS逻辑修改的记录工作，对DCS逻辑、组态做任何修改，均应做相应的文字记录，在做DCS逻辑修改工作前，对需要修改的控制器站进行点信息一致性检查，确认点信息完全一致，若检查有不一致处，应该能有逻辑修改的文字记录予以确认、辅证；
2）在CB软件中，修改逻辑必须及时保存编译，编译过程中若发生任何错误报告，必须予以一一取认，做到零错误下装；
3）下装前应做好充分的系统状态检查工作．如检查控制器的主备状态、报警信息．检查系统中的点强制、点报警情况做好记录，方便与下装后系统状态的比对工作。
4）在线下装，需做好充分的事故预想和准备工作，制定有效的安全措施，下装前将该控制器模件控制的所有主重要运行设备全部切就地运行（如运行许可），所有的通讯点进行隔离，并将与之对应控制模件有连锁关系点和不同控制器机柜的硬接线点强制，防止新旧逻辑在下装瞬间，或回到执行状态时的初始扭描过程中软件初始值引起失控状态值输出．导致设备误动。
5）按照OVATION系统的要术．遵循“先下主控．后下辐控”的原则对控制器下装后．建议进行以下方面检查：a）检查系统的状态，包括检查CRT上的1800系统状态与现场控制器运行状态是否对应，主备对应，无报警异常；b）进入“controller diagnostics”控制器诊断功能，观察控制器的运行情况，包括控制器各个任务区的负荷，IO信息，逻辑页信息等；检查有修改处的逻辑页，确认新的逻辑在正常运算；c）有选择性的检查有修改处的点信息，检查其点的版本信息，检查主重要设备的状态，如在主重要设备从就地切回到DCS控制状态前，检查该设备在DCS中的启动允许、停止允许、自动启、自动停等信号是否与当前运行状态符合。
3 OVATION控制器分区方式区别
1）并行(Parallel)方式能支持大量I/O点扫描，占用CPU资源少，控制器负荷相对较低，但扫描到的I/O值可能在下一周期才会用于逻辑计算；
2) 串行（serial）方式扫描到的I/O值能在同一回路周期内用于计算，运算快但多占CPU时间，控制器负荷会比运行在并行方式高（程度取决于该控制区内的I/O点数）。
