回路的可用性建立在时间上
控制回路的稳定性由时间决定：传感器采样、控制器扫描、通信与输出更新各有一段时延，累计时延与抖动共同决定回路能否稳定运行。慢速过程控制通常容忍数百毫秒到秒级周期，快速过程与运动控制则需要毫秒级。理解这一点就能解释 OT 为什么对串联安全设备格外谨慎：任何插入链路的处理都会增加时延与抖动，而回路设计时往往并未预留这部分余量。
时延的构成
| 采样时延 | 传感器与输入模块的更新周期 |
|---|---|
| 扫描时延 | 控制器执行一个程序周期的耗时 |
| 通信时延 | 控制器与上位机之间的通信周期与链路传输时间 |
| 输出时延 | 输出模块刷新以及阀门、变频器等的执行响应 |
| 抖动 | 各环节时延的波动幅度，对稳定性的影响常大于平均时延 |
| 时间同步误差 | 跨设备时间戳不一致会干扰事后分析与时序判断 |
不同回路的量级参考
| 回路类型 | 常见周期量级 | 对时延敏感度 |
|---|---|---|
| 慢速过程控制 | 秒级 | 低 |
| 一般过程控制 | 百毫秒到秒级 | 中 |
| 快速过程与批量控制 | 数十毫秒 | 较高 |
| 运动控制与同步传动 | 毫秒及以下 | 高 |
| 安全联锁 | 毫秒到数十毫秒 | 很高 |
引入安全措施的评估步骤
- 先测基线：在不增加新设备的情况下记录回路时延与抖动的现状
- 再确认余量：与工艺工程师确认回路还能承受多少额外时延与抖动
- 带载测试：在测试环境把安全设备串入，测量时延、抖动与丢包
- 确定部署方式：串联、旁路还是只做镜像监测，取决于测试结果与业务要求
- 若必须串联，选择支持故障直通的设备并明确其失效模式与恢复时间
抖动往往比平均时延更危险：平均时延增加 1 毫秒通常还能运行，抖动从 0.5 毫秒放大到 10 毫秒则可能直接引起回路振荡。评估时应同时看最大值与分布，而不只看平均值；可接受的量级取决于工艺要求与设备手册。
在未确认失效模式的情况下串联安全设备，等于把安全设备变成新的单点故障源：设备断电或策略异常时链路中断，控制回路失联，后果可能比它原本要防范的风险更严重。