朱耿華（1980－）
男，浙江紹興人，（信息產(chǎn)業(yè)部電子第六研究所, 北京  100083）現(xiàn)就讀于信息產(chǎn)業(yè)部電子第六研究所，研究方向?yàn)橛?jì)算機(jī)工業(yè)過程控制。

摘要：本文首先介紹了自動(dòng)化系統(tǒng)中冗余技術(shù)的基本概念及常見體系結(jié)構(gòu)；分析了目前工業(yè)控制器冗余方案的流程和結(jié)構(gòu)；最后結(jié)合應(yīng)用給出了一種實(shí)現(xiàn)原型，該實(shí)現(xiàn)在控制系統(tǒng)中的應(yīng)用達(dá)到了很好的效果。

關(guān)鍵詞：工業(yè)控制器；冗余；可靠性；切換

Abstract:  Basic concept and common architecture of the redundant technique in the automatic system are introduced in this paper. The current redundant plan of industry controller has been analyzed. Finally a prototype according to application was put forward. This design achieves good effects in the application of the control system.

Key words: Industry controller; Redundancy; Reliability; Switch

    對(duì)于一個(gè)自動(dòng)化控制系統(tǒng)來說，可靠性和穩(wěn)定性是最首要的問題。特別是應(yīng)用于工業(yè)控制領(lǐng)域時(shí)，由于工業(yè)控制的對(duì)象和環(huán)境千差萬別；即使在同一個(gè)工廠中，隨著生產(chǎn)流程的推進(jìn)其工況也復(fù)雜多變；有些現(xiàn)場的環(huán)境過于惡劣，電磁干擾特別強(qiáng)烈；以及一些人為的因素，這些都會(huì)對(duì)控制系統(tǒng)產(chǎn)生影響，無法保證系統(tǒng)長時(shí)間的正常安全運(yùn)行。而由于系統(tǒng)故障或者系統(tǒng)崩潰而導(dǎo)致的生產(chǎn)停產(chǎn)甚至事故會(huì)造成極大重大的損失。因此，這就要求控制系統(tǒng)有極高的可靠性。

    與此同時(shí)，無限制的通過提高控制系統(tǒng)軟硬件本身的可靠性來滿足對(duì)可靠性的要求是不現(xiàn)實(shí)的，因?yàn)榭刂蒲b置本身的可靠性提高有一定的限度，并且會(huì)造成成本的急劇增加。

    所以，需要利用冗余技術(shù)來提高系統(tǒng)的可靠性。

1 冗余技術(shù)概述

    冗余技術(shù)就是通過配置多余的同等功能的部件，并通過一定的冗余邏輯使它們協(xié)調(diào)地同步運(yùn)行，使系統(tǒng)應(yīng)用功能的實(shí)現(xiàn)得到多重保證。冗余的目的是為了降低失效率，提高整個(gè)應(yīng)用系統(tǒng)的平均故障間隔時(shí)間。

    通常按照冗余的程度可分為1：1、1：N、K：N等多種冗余。在當(dāng)前元器件可靠性不斷提高的情況下，1：1的熱冗余顯得有效而又相對(duì)簡單、配置靈活且比較經(jīng)濟(jì)，因此，目前國內(nèi)外的過程控制系統(tǒng)中大多采用這種方式。

    一個(gè)簡單的1：1冗余系統(tǒng)如圖1所示。部件1和部件2是具有同等功能的部件，在冗余控制邏輯F的協(xié)調(diào)下并聯(lián)運(yùn)行，完成系統(tǒng)某項(xiàng)功能。而互為冗余兩個(gè)部件完成的功能與非冗余配置部件的功能對(duì)用戶而言應(yīng)當(dāng)是等同的，這就需要采用冗余控制邏輯F協(xié)調(diào)部件1和部件2。冗余控制邏輯F使兩個(gè)相同的部件1和部件2處于工作或者備用狀態(tài)，實(shí)現(xiàn)輸出功能和人機(jī)界面的單一性，而處于備用狀態(tài)的部件實(shí)時(shí)跟蹤工作狀態(tài)部件的控制信息，并且與工作狀態(tài)部件同步執(zhí)行，保持狀態(tài)的同步；當(dāng)工作狀態(tài)部件發(fā)生故障時(shí)，備用部件將瞬間無擾動(dòng)切換為工作狀態(tài)，接替控制功能。

圖1   1:1冗余系統(tǒng)圖

2 冗余工業(yè)控制器實(shí)現(xiàn)模型

    在工業(yè)過程控制系統(tǒng)中，冗余的對(duì)象可以是電源、網(wǎng)絡(luò)、工業(yè)控制器乃至整個(gè)控制系統(tǒng)?？刂葡到y(tǒng)的核心是工業(yè)控制器，它是現(xiàn)場設(shè)備和用戶界面之間的樞紐，承擔(dān)了絕大部分的控制任務(wù)。一旦工業(yè)控制器發(fā)生故障，那整個(gè)控制系統(tǒng)就無法工作。因此，設(shè)計(jì)一個(gè)高效可靠的控制器冗余方案是整個(gè)系統(tǒng)是否穩(wěn)定的關(guān)鍵。

    2.1 系統(tǒng)結(jié)構(gòu)圖

    在本冗余實(shí)現(xiàn)方案中，系統(tǒng)結(jié)構(gòu)圖如圖2所示。

    上位應(yīng)用軟件（組態(tài)軟件、服務(wù)器）是通過工業(yè)以太網(wǎng)與下位設(shè)備（工業(yè)控制器）通信。兩個(gè)冗余工業(yè)控制器之間通過冗余網(wǎng)絡(luò)通信進(jìn)行冗余、診斷等，保證數(shù)據(jù)和狀態(tài)的同步。同時(shí)，由硬件邏輯電路確定工業(yè)控制器的工作/備用分配、仲裁以及切換。

    兩個(gè)工業(yè)控制器上的軟硬件相同。一個(gè)作為工作控制器，另一個(gè)作為備用控制器。當(dāng)一個(gè)控制器被設(shè)置為工作狀態(tài)，另一個(gè)控制器必須為備用狀態(tài)。同樣，也不可能兩個(gè)控制器都為備用控制器。工作備用狀態(tài)可以互相切換。

    工作控制器和備用控制器都能接受現(xiàn)場設(shè)備數(shù)據(jù)，但輸出是由工作控制器控制的，即只有工作控制器才能將數(shù)據(jù)發(fā)送給現(xiàn)場設(shè)備。

圖2   體系結(jié)構(gòu)圖

    2.2 冗余功能模塊劃分

    通過圖2可以看到，工業(yè)控制器的實(shí)現(xiàn)主要在于工業(yè)控制器（工作）和工業(yè)控制器（備用）之間的冗余邏輯設(shè)計(jì)，而該冗余邏輯的關(guān)鍵在于保證工作/備用工業(yè)控制器之間的真正同步以及實(shí)現(xiàn)無擾切換。

    2.2.1冗余過程

    工業(yè)控制器之間的整個(gè)冗余過程如圖3所示。

    包括下面幾個(gè)步驟：

    （1）硬件邏輯電路根據(jù)工業(yè)控制器上電情況及硬件地址確定工作/備用分配。

    （2）工作控制器和備用控制器建立聯(lián)系并發(fā)送初始化信息及同步數(shù)據(jù)。

    （3）工作/備用控制器同步運(yùn)行，由心跳信號(hào)保證。

    （4）周期更新數(shù)據(jù)或按照需求更新數(shù)據(jù)。

    （5）當(dāng)心跳信號(hào)發(fā)生故障時(shí)實(shí)現(xiàn)無擾切換。

    （6）繼續(xù)步驟2-4。

圖3   冗余過程圖

    2.2.2工作/備用控制器的確定

    當(dāng)兩個(gè)工業(yè)控制器同時(shí)上電時(shí)，硬件地址小的工業(yè)控制器優(yōu)先成為工作控制器，另一臺(tái)控制器自動(dòng)成為備用控制器。

    對(duì)于非同時(shí)上電情況，先上電的工業(yè)控制器成為工作控制器，后上電的自動(dòng)成為備用控制器。

    2.2.3 數(shù)據(jù)的同步

    工業(yè)控制器（工作）和工業(yè)控制器（備用）之間采用獨(dú)立的網(wǎng)絡(luò)進(jìn)行控制器之間的數(shù)據(jù)同步。需要同步的信息包括控制器初始狀態(tài)、各種控制運(yùn)算中間狀態(tài)、輸出狀態(tài)、系統(tǒng)時(shí)鐘、故障診斷信息等，特別是帶有積分作用或時(shí)間效應(yīng)的信息單元，如累積、定時(shí)器、PID積分單元等。

    為了保證在工作/備用控制器之間數(shù)據(jù)同步的同時(shí)，不降低系統(tǒng)的實(shí)時(shí)性，對(duì)于由上位機(jī)設(shè)定或下裝產(chǎn)生的組態(tài)信息和靜態(tài)參數(shù)等，工作控制器通過給備用控制器發(fā)送初始化信息來保證工作/備用控制器之間的狀態(tài)一致。而對(duì)于具有時(shí)間累積特性的“動(dòng)態(tài)數(shù)據(jù)”，則必須進(jìn)行動(dòng)態(tài)的同步。工作控制器可以在每個(gè)運(yùn)行周期內(nèi)實(shí)時(shí)的將重要的動(dòng)態(tài)變量傳送給備用控制器，以保證備用控制器和工作控制器之間數(shù)據(jù)的一致性。

    2.2.4 運(yùn)行狀態(tài)的同步

    系統(tǒng)通過心跳信號(hào)來控制工作/備用控制器的狀態(tài)?？刂破髦g會(huì)交換健康信息，如果工作控制器有錯(cuò)誤，就會(huì)通知備用控制器，備用控制器就會(huì)承擔(dān)工作控制器的作用。如果備用控制器有錯(cuò)誤，工作控制器會(huì)單獨(dú)繼續(xù)運(yùn)行。

    同時(shí)，工作控制器也會(huì)對(duì)冗余網(wǎng)絡(luò)的通信狀況進(jìn)行驗(yàn)證。如果備用控制器從未收到冗余網(wǎng)絡(luò)上的任何信息，備用控制器就會(huì)試著確定故障原因，如有必要，承擔(dān)起控制的作用。如果工作控制器未從備用控制器收到有效的回復(fù)，工作控制器會(huì)獨(dú)立運(yùn)行，就好像沒有備用控制器一樣。

    當(dāng)工作控制器處于特殊狀態(tài)時(shí)，會(huì)通過冗余網(wǎng)絡(luò)通知備用控制器，并且發(fā)送相關(guān)數(shù)據(jù)。備用控制器收到從工作控制器發(fā)來的通知及相關(guān)數(shù)據(jù)后，使自身同樣處于該特殊的狀態(tài)，從而保證如果在這個(gè)時(shí)段發(fā)生切換時(shí)還能保證切換的無擾性。

    2.2.5冗余控制器切換機(jī)制

    工作/備用控制器冗余切換發(fā)生情況有：

    （1）工作控制器硬件故障（包括拔除工作控制器、工作控制器復(fù)位、工作控制器電源故障等）。

    （2）工作控制器軟件故障（可以由軟件設(shè)定）。

    （3）在系統(tǒng)調(diào)試和維護(hù)時(shí)，手動(dòng)進(jìn)行冗余切換。

    當(dāng)有主/從冗余切換需要發(fā)生時(shí)，由硬件電路具體實(shí)現(xiàn)切換，由數(shù)據(jù)同步和狀態(tài)同步來保證切換時(shí)的無擾性。

3 驗(yàn)證和總結(jié)

    經(jīng)過長時(shí)間的現(xiàn)場驗(yàn)證，事實(shí)證明了這個(gè)工業(yè)控制器冗余方案是可靠實(shí)用的，并且大大的提高了整個(gè)控制系統(tǒng)的穩(wěn)定性和可靠性。

    因此，從中可以總結(jié)出一套設(shè)計(jì)冗余系統(tǒng)的經(jīng)驗(yàn)和方法，為今后設(shè)計(jì)其他設(shè)備的冗余方案提供參考。

參考文獻(xiàn)：

    [1] 黃文君，金建祥，馮冬芹，.控制系統(tǒng)的冗余策略和實(shí)現(xiàn)準(zhǔn)則[J]．儀器儀表學(xué)報(bào)，2004，25(4).

    [2] 謝鯤，馮正進(jìn)，羅振軍.軟件冗余現(xiàn)場總線系統(tǒng)的研究[J].總線與網(wǎng)絡(luò),2003,(9).

    [3] 蔣濟(jì)友.冗余DCS開發(fā)方法.PLCopen專欄,2007,(8).