[发明专利]工业控制网络冗余容错系统

权利要求书

1.一种工业控制网络冗余容错系统，其特征在于，该工业控制网络冗余容错系统包含主控器冗余系统、从设备冗余系统、故障日志系统和上位机监控接口四个部分。

主控器冗余系统，由两个互为冗余的主控器以及它们所携带的控制网络组成；两个主控设备通过一块集线器与上级网络设备进行连接；两个主控器各自携带一片控制网络形成网络冗余或共享同一片控制网络；

从设备冗余系统，由一个主控器和一对从设备组成；在冗余的从设备与主控器所构成的网络中，由主控器监控当前线路通信情况，并从根据用户的配置，实时地选择最优的通讯路径进行通信；

故障日志系统：控制系统中的每个设备都运行有一套故障检测与日志系统，在设备发生故障时记录信息，并实时地更新当前设备所处的故障级别；

上位机监控接口，是一个为运行在监控计算机中的通信软件提供通信响应的报文服务程序；根据系统提供的访问接口，在系统运行过程中，上位机实时地读取系统的运行状态；在发生故障时，用户通过上位机查看相应设备的故障信息；并在需要时，用户能够通过相应的输入操作直接控制整个冗余系统的运行。

2.权利要求1所述的工业控制网络冗余容错系统，其特征还在于

主设备冗余系统中有IP、MAC完全一样的两块设备，一块为活动设备、另一块为备份设备，两块设备通过冗余通讯层来进行通信；冗余通讯层协议在TCP/IP协议栈中部署在MAC层协议之上，属于网络层协议；冗余通讯层协议报文在物理层的封装使用RFC894的MAC层协议报文头，源地址为冗余设备自身的MAC地址，目的地址使用全网段广播地址(FF:FF:FF:FF:FF:FF)；冗余层通讯报文，使用0x88BC作为MAC报文头type字段的值，同时从报文格式的设计上保留了很多与原有IP层兼容的字段；

冗余通讯层报文格式设计如下：

冗余层通讯报文依靠控制域和值域来区分报文的类别与用途；报文中的数据区是选的，根据报文类型的不同数据区长度不同或者为0。

主设备冗余系统在运行的过程中，对于不同的输入，系统会做出不同的响应以及相应的动作，这种特定的响应与动作的集合为一个状态；本发明将冗余系统运行过程中能出现的状态划分为7种：开始、启动、就绪、同步、运行、切换、出错，并通过一套状态机来控制这7种状态的变迁；对于这7种状态的具体描述，详见下表：

  状态项  动作描述  开始  开始状态，是冗余系统运行的最初状态；  此时冗余系统刚刚初始化数据初始化完毕，仅接收冗余设备上线声明报文；  启动  启动状态，冗余系统设备交换存在信息；  就绪  在就绪状态，参与冗余系统的两个设备已经确认了彼此的存在，此时通过命令报文通知  对方以为冗余系统的运行进行进一步的准备工作；  同步  同步状态下，系统首先判断参与冗余的两个设备状态是否一致；然后对需要保持一致的  用户变量区进行完全备份，以保证冗余系统在发生故障的时候能实现平滑的切换；  运行  在运行状态中，下位机功能块组态程序开始运行，冗余系统同步功能块的运行轮次，以  及进行故障检测、在线状态检测，如果发现故障则进行相应处理，或进入切换状态  切换  切换状态主要在冗余系统发生故障的时候进行数据结构的转换，错误报告，以及发送命  令报文以协调冗余系统中的两块设备进行切换；  出错  在冗余系统的运行过程中，因为某种未知原因导致状态机混乱，则系统转入出错状态；

状态机转换过程如下：

设备上电后首先扫描网络中是否存在与自己IP、MAC相同的活动设备；

如果没有扫描到活动设备则将自身设置为活动设备，并向网络中定时发送活动设备在线声明，并进入启动状态；

如果扫描到了活动设备，则将自身设置为备份设备，并向网络中定时发送备份设备在线声明，并进入启动状态；

当活动设备检测到备份设备上线后转移到就绪状态，并通知活动设备也转移到就绪状态；

备份设备确认就绪后，活动设备与备份设备一同转入同步状态，开始一致性检测与资源同步；

如果检测与同步过程出错则转移到错误状态进行错误处理；

同步完毕后活动设备与备份设备转入运行状态；

在运行过程中，活动设备定时发送心跳报文，备份设备定时检测活动设备的心跳报文；

如果活动设备运行过程中发生故障则转入切换状态；

在切换状态下，活动设备变为备份设备，备份设备变为活动设备，并自动重启状态机；冗余系统功能块同步启动之前，时钟首先要完成同步；

活动设备上线时，发送功能块组态程序同步启动请求报文，报文中封装了预期启动的时间戳；

备份设备接收报文，记录时间戳，并做出响应；

当共同约定的时刻到来的时候，两个设备同时启动运行程序，并计算当前功能块的时间片长度；

不同功能块的时间片长度都是预先定义好的；

当前功能块时间片超时，则开始运行下一个功能块；

从而达到冗余设备的同步运行。

主控设备与互为冗余的从设备对组成了从设备冗余系统；从设备冗余对又分为活动设备与备份设备；主控设备与从设备冗余对之间的通讯方式共有两种：串行通讯和ZigBee无线通讯；连接方式共有四种：主控设备与活动设备通过串口建立连接；主控设备与活动设备通过无线建立连接；主控设备与备份设备通过串口建立连接；主控设备与备份设备通过无线建立连接；这四种连接方式同时使用或使用其中的几种；

每一个主控设备能够管理多个从设备冗余对，并对这些冗余的从设备分别进行管理；主控设备在运行的过程中，会扫描所有冗余的从设备；查询该冗余系统都使用了那些选择的连接方式，并且选择的连接是否已经成功建立了通讯；主控设备会优先地选择当前选择连接中处于最高优先级的并可用的通讯连接方式。

故障日志系统记录当前运行模块运行过程中发生的所有识别故障或错误；故障日志系统采用链表式结构设计，日志信息储存在非易失性存储器中；日志系统中每条日志的信息需要包含：错误日志的索引值；错误出现次数；最后一次错误发生的时间戳；日志索引值，用于区别每条日志所属的故障类型，同时也用于方便的在日志系统中查找某个专门的故障；

本发明所设计的故障日志系统识别的故障共分四个级别；最高级别的故障为硬件类故障，此类故障会影响系统的性能或直接导致停机；其次是系统级别故障，此类故障会导致系统进入看门狗中断并重新启动；再次是软件级别故障，此类故障在不停止运行的情况下通过软件的方式进行修复；最低级别的是应用级别的错误，对系统功能影响很小；日志系统通过日志索引分别对上文的各级别故障加以编号；

本发明为故障日志系统设计了一个32位的时间表示法，用来表示故障发生时的：年、月、日、时、分、秒；位由低到高：年以2010年为基数占用6个位，共表示从2010到2074年共计64年；使用4位表示1年中的1到12月；使用5位来表示每个月的1到最多31号；使用5位来表示0到23小时；使用6位来表示0到59分钟；使用6位来表示0到59秒；

在本发明设计的故障日志系统中，存放在非易失性存储器中的不仅有日志信息，还有关于日志信息的索引结构，这个索引结构采用顺序结构存储，其内容包含：错误日志的索引；日志信息存放的地址指针。

故障日志系统的访问接口基于EPA协议制定；用户一次性地读取日志系统中所有的日志信息的索引；正响应报文中的内容为一张故障信息表，本发明所设计的故障信息表分为四个部分，每个部分在报文中所占的长度相同，即报文正文总长度的1/4；从报文开始到结束，故障级别的顺序由高到低；故障信息表中为每个级别的故障分配了一个部分，这个部分的每一个位分别代表该级别中一种识别的故障；负响应为标准的EPA负响应。

本发明提供了一个根据故障编号来查找日志信息的接口，该接口基于EPA协议制定；用户根据具体的日志编号来读取日志的详细内容；命令报文正文部分有两个字节，用来写入想要读取的日志的索引值；正响应报文返回三部分内容：日志索引值、故障出现次数、故障发生的最后一次时间；负响应为标准的EPA负响应。

状态访问命令采用EPA格式封装报文；主设备冗余系统状态访问正响应报文正文部分共计3个字节，具体内容如下表所示：

  数据类型  说明  Char  主控设备冗余系统角色  0：没有启动；1：活动设备；2：备份设备  Char  主控设备冗余系统状态机的值：  0：开始；1：启动；2：就绪；3：同步；4：运行；5：切换；-1：出错  Char  当前设备故障级别

从设备冗余系统主控设备状态访问通讯命令正响应报文正文部分共计3个字节，具体内容如下表所示。

  数据类型  说明  Char  冗余系统启动状态  Char  0～15号从设备冗余通讯启动情况  每个字节代表一个从设备，字节中每一位的含义如下：  bit 0：从设备冗余是否启动；bit 1：活动串口启动使能；bit 2：活动  无线启动使能；bit 3：备份串口启动使能；bit 4：备份无线启动使能；  bit 5～7：Reserved；  Char  0～15号从设备冗余通讯当前使用的通讯路径  每个字节代表一个从设备，字节值  0：未建立通讯；1：与活动设备串口进行通讯；2：与活动设备无线通讯  3：与备份设备串口进行通讯；4：与备份设备无线进行通讯；