[发明专利]一种控制器冗余及切换方法

说明书

技术领域

本发明属于工业自动控制技术领域，具体涉及分散控制系统（DCS）的控制器主备冗余及切换方法，适用于各类具有冗余配置的工业自动控制系统。

背景技术

在工业自动控制领域，由于通信故障和设备故障导致设备停机造成的代价极其昂贵，热备冗余是提高系统可靠性的最有效技术之一，如电源冗余、控制器冗余、网络冗余、服务器冗余等。

控制器的热备冗余由硬件和工程配置完全一致的两个控制器组成，控制器实现切换通常采用两种方式：1）通过冗余切换硬件电路；2）通过冗余通信通道交互信息来实现快速切换。在冗余切换逻辑的控制下，一个控制器运行在工作状态(主控制器)，另外一个运行在热备用状态(备控制器)。在任一时刻，只有主控制器承担接收遥控和遥调指令、控制输出及过程信息发布的工作，备控制器实时跟踪主控制器执行状态，当主控制器发生通信故障或硬件故障时，实现主备控制器的无扰动切换，从而提高系统的可靠性。

现有控制器冗余切换技术中，有三种实现方式应用较为广泛：1）复用主备控制器与监控系统（HMI）之间的以太网通道进行冗余信息的交互，该方法组网及配置相对简单，但主备切换的实时性较低，由于与HMI共网，使得主备机之间只能交互少量信息，不能严格保证无扰切换；2）使用专用的冗余通信通道（如HDLC、百兆以太网等），同时兼顾切换和同步功能，该方法主备切换的实时性较低，不能保证快速逻辑任务情况下的无扰切换，另一方面，当冗余通信通道故障时，系统将会出现控制器双主的情况，对系统运行造成致命影响；3）使用专用的主备切换电路，例如基于FPGA设计的同步互锁电路等，外部电路设计较复杂，故障率较高。

发明内容

本发明的目的是提供一种工业控制器主备机冗余及切换的实现方法，在主控制器通信故障或者硬件故障时，能够可靠的切换到备控制器，切换过程对系统无扰动，避免由于主控制器通信故障或者硬件故障造成控制系统停止运行，提高控制系统的可靠性。

本发明具体采用以下技术方案：一种控制器冗余及切换方法，其特征在于，所述方法包括以下步骤：

（1）主备控制器使用完全相同的硬件，通过控制器物理地址区分控制器A还是控制器B，奇地址为控制器A，偶地址为控制器B；

（2）在控制器A和控制器B之间设置硬件切换电路，所述切换电路由两对GPIO（通用输入输出）控制线组成，均可设置为输入或者输出型，每个IO控制线都自带上拉电阻，控制器A的四个IO依次设置为DO1、DI1、DO2、DI2,控制器B设置有与控制器A的上述四个IO对应连接的四个IO，依次为DI1、DO1、DI2、DO2；

（3）控制器A和/或控制器B分别实时检测本控制器的DI1和DI2电平状态，本控制器DI1上检测到低电平、脉冲信号、高电平三种状态分别表示对端控制器为备控制器、主控制器、断电状态，本控制器DI2上检测到低电平、脉冲信号、高电平三种状态分别表示对端控制器处于故障、正常、断电三种状态；

（4）主备控制器之间另通过一路专用的以太网进行数据通信，实现主备控制器之间信息和数据的交互，同时也作为硬件切换电路的备用方式，在硬件切换电路故障时承担主备仲裁的通道，数据通道交换的信息包含本机主/备、正常/故障、程序循环冗余校验CRC值、逻辑工程CRC值、配置CRC值等信息；

（5）根据步骤（3）和步骤（4）检测的控制器的主备状态以及控制器的故障、正常和断电状态，将控制器A和/或控制器B的运行状态总结为主机正常、主机故障、备机正常、备机故障、对端断电五种状态，对应0、1、2、3、4五种状态编码，控制器A和控制器B的状态编码组成一个二维状态矩阵；

（6）根据所述二维状态矩阵，通过状态机的方法实现主备的仲裁处理，主备控制器的切换遵守以下原则：正常状态的主控制器不能切换为故障状态的备用控制器；主控制器故障，而备控制器不可用，即断电或故障时，当前主控制器继续运行；主控制器故障，而备控制器正常，则将备控制器切换为主控制器；当控制器A和控制器B显示同时为备控制器并且都正常或者都故障时，则选择控制器A为主控制器；当控制器A和控制器B同时为主控制器并且都正常或者都故障时，则先进入当前主控制器状态的控制器继续为主控制器，另一个切换为备控制器。

（7）当本控制器为主控制器时，该控制器的DO1输出固定频率的脉冲信号，当本控制器为备控制器时，该控制器的DO1输出低电平；当本控制器运行正常时，该控制器的DO2输出固定频率的脉冲信号，本控制器故障时，该控制器的DO2输出低电平。

本发明还进一步包括但不限于以下优选技术方案：