3. 故障安全策略设计原则

在污水处理厂里，仪表故障并不罕见：pH 探头结垢漂移、溶解氧电极膜片破损、超声波液位计被泡沫干扰、流量计空管报警、ORP 电极中毒……真正决定系统是否安全的，不是仪表本身有多可靠，而是当它失效时，控制系统和工艺能否被引导到一个已知的、可控的、不会造成二次伤害的状态。这就是故障安全策略要解决的问题。本节围绕五条核心设计原则展开：故障检测、故障响应、安全状态定义、冗余设计和失效导向安全，并说明它们如何在实际工程中落地。

一、故障检测：先让系统“知道自己坏了”

故障检测是全部策略的起点。没有可靠的检测，后续响应和安全状态都无从谈起。工程上通常把检测手段分为三类：自诊断（仪表自身的传感器断线、短路、膜片破损、光源老化等硬件诊断）、合理性判断（信号超量程、变化率异常、长时间“冻结”不变、与相邻测点矛盾）和工艺逻辑校验（如曝气开启时溶解氧不升反降、进水流量为零而液位持续上涨）。

以溶解氧（DO）控制为例，可设置如下判断条件（示例参数，需按现场整定）：测量值持续 10 min 低于 0.1 mg/L 且曝气机运行反馈为“运行”，判定为“疑似电极失效”；测量值在 5 min 内变化超过 8 mg/L，判定为“信号跳变”；测量值连续 30 min 波动小于 0.02 mg/L，判定为“信号冻结”。三类判据同时进入一个故障字，任一成立即置位。关键在于：检测逻辑要输出明确的故障标志与故障等级，而不是只在上位机画面上变个颜色。

二、故障响应与安全状态定义：先定义“安全”，再设计“响应”

安全状态不是一个抽象概念，而是针对每个测点、每个控制回路事先约定的具体工况。定义安全状态时要回答三个问题：该参数失效后，工艺允许的最坏情况是什么？哪个执行机构动作能避免这个最坏情况？动作后由谁来兜底？

例如：进水 pH 计失效时，安全状态是“停止加酸/加碱计量泵，切断自动加药，改为人工取样监测”，因为盲目按错误 pH 加药可能造成污泥中毒或出水超标；曝气池 DO 计失效时，安全状态是“曝气机切换为固定开度或固定频率运行，并保留最低溶解氧保障”，而不是简单停曝；出水在线 COD 仪失效时，安全状态是“保持现有工艺运行、启用备用采样与实验室比对，同时上报”，而不是直接关停排放。可见安全状态因对象而异，必须逐点定义并写入控制逻辑与操作规程。

三、冗余设计与失效导向安全：用结构换可靠性

冗余设计解决“单点故障即失效”的问题，常见形式有：硬件冗余（同一测点装两台仪表，如两套 pH 计、两套液位计）、解析冗余（用相关参数推算，如由曝气量、进水负荷和污泥浓度估算 DO 趋势）、时间冗余（多次采样投票、延时确认）和通道冗余（信号走两路 4–20 mA 或双总线）。冗余不是简单“多装一台”，而要配套偏差判断与主备切换逻辑：两表偏差超过设定阈值（如 pH 偏差 > 0.5）时，系统应报警并锁定为“保持”或“人工确认”，而不是自动选一个“看起来正常”的值继续闭环。

失效导向安全（Fail-Safe）则要求故障发生时系统默认进入安全侧。工程实现上要注意三点：一是信号侧，4–20 mA 回路断线时，控制系统应能识别“欠量程”并置故障，而不是把 0 mA 当作 0 值参与运算；二是执行侧，加药泵、阀门应设计为失电/失气时处于安全位置（如加酸阀失电关闭、曝气阀失电保持开度）；三是控制侧，自动回路在故障时应无扰切换到手动或固定输出，避免积分饱和造成恢复时的剧烈动作。

四、把原则落成可执行的配置

原则只有落到具体参数和逻辑上才有意义。下面给出一份针对“曝气池 DO 控制回路”的故障安全配置示例，参数为教学示例值，实际工程需结合仪表精度、工艺惯性和安全评估整定。

测点：DO-101（曝气池溶解氧）
检测判据：
  超量程      : < 0.05 或 > 15 mg/L，延时 30 s
  信号冻结    : 30 min 内波动 < 0.02 mg/L
  工艺矛盾    : 曝气机运行且阀门开度 > 30%，DO 持续 10 min < 0.1 mg/L
故障等级：
  轻微（单判据成立）→ 报警，闭环继续，记录趋势
  严重（两判据成立或偏差 > 1.5 mg/L）→ 切手动，输出保持最近 5 min 均值
  致命（断线/膜片破损自诊断）→ 切固定频率 35 Hz 曝气，锁定自动禁止
安全状态：
  曝气机固定频率运行，保证 DO 不低于 1.0 mg/L 的工艺底线
  每 2 h 人工便携仪比对，连续两次合格后申请恢复自动
冗余：
  双探头偏差 > 1.0 mg/L 持续 5 min → 判为“数据不可信”，进入严重等级
恢复条件：
  故障清除 + 人工确认 + 比对合格，三者同时满足才允许投自动

这份配置体现了几个容易被忽视的细节：故障等级要与响应强度匹配，轻微故障不必立刻切手动，否则会频繁扰动工艺；恢复条件必须包含人工确认，防止故障反复抖动导致自动回路频繁投切；冗余偏差判断要设延时，避免两表短暂不同步就误判。

五、常见误区与检查要点

实践中，故障安全策略最容易出问题的地方往往不是“没设计”，而是“设计得不完整”。典型误区包括：只做报警不做响应，操作员看到报警时工艺已经跑偏；把安全状态简单等同于“停机”，导致环保指标失控；冗余只装表不写切换逻辑，两表打架时系统无所适从；失效导向安全只考虑信号侧，忽略执行机构失电位置。设计完成后，建议用一张检查表逐项核对：每个关键测点是否有检测判据、是否有分级响应、安全状态是否明确到执行机构动作、冗余是否有偏差判断与切换规则、恢复是否有人工确认环节。只有这五项都闭合，故障安全策略才算真正落地，而不是停留在图纸上的原则。