CN100524124C

CN100524124C - 冗余监管控制系统及其冗余切换方法

Info

Publication number: CN100524124C
Application number: CNB2006101725085A
Authority: CN
Inventors: 竹原润; 泽田彰; 登古诚; 日下部宏之; 河野慎哉; 梅田裕二
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2005-12-27
Filing date: 2006-12-26
Publication date: 2009-08-05
Anticipated expiration: 2026-12-26
Also published as: DE102006061063A1; CN1991650A; JP4776374B2; US7613108B2; DE102006061063B4; JP2007180830A; US20070147232A1

Abstract

本发明的目的是提供一种冗余监管控制系统及其冗余切换方法。在冗余监管控制系统中，即使在多个位置处出现故障时，远端I/O设备也不太可能是不可访问的。因此增强了系统的可靠性。冗余监管控制系统包括在一对控制器的每个控制器中的多个第一环路接口单元；第二环路接口单元；以及通信电缆，每根电缆将多个第一环路接口单元和多个第二环路接口单元连接成圆环。冗余监管控制系统通过将控制器和远端I/O单元互相连接成多个环路网络而被配置。在通过使用在网络中接收的数据而检测环路网络中的异常的情况下，自动选择可执行正常接收的第一和第二环路接口单元。

Description

冗余监管控制系统及其冗余切换方法

相关申请的交叉引用

本申请要求2005年12月27日提交的在先日本专利申请No.2005-376256的优先权。该在先申请的整体内容在此并入作为参考。

技术领域

本发明涉及冗余监管控制系统及其冗余切换方法。当数据在组成该系统的多个控制器中的每一个与多个远端输入/输出装置中的每一个之间传输时，冗余监管控制系统切换在它们之间的传输路径。

背景技术

控制工厂等等的常规监管控制系统的框图在图1中示出。在这种结构中，控制器11和每个远端输入/输出(I/O)单元21通过利用例如按照IEC61158规定的、用在测量与控制仪器之间通信的数字网的现场总线113相互级联。通过这种方式来执行工厂的监管控制。

网络的这种连接方案引起以下的问题。在现场总线113断开或远端I/O单元21中的一个瘫痪的情况下，控制器11与远端I/O单元21断开连接。结果，在瘫痪位置的下行方向上所有的I/O单元21变为不可访问。

另外，有另一种连接方案，如图2所示，其中控制器12和远端I/O单元22以星形的一对多关系相连接。然而，在这种方案的情况下，除了由于瘫痪造成的连接断开的问题之外，还有可扩展性很差的问题。这是因为控制器12的接口总线114的数目必须与远端I/O单元22的数目一样多。

为了解决这些问题，有如图3所示的监管控制系统，它通过将现场总线115和环路接口(I/F)单元23a连接成环而构成。在这种连接方案中，在环中的现场总线115中只有一处断开的情况下，控制器13可以访问所有的远端I/O单元23。此外，在远端I/O单元23中只有一个瘫痪的情况下，控制器13可以访问所有其余的远端I/O单元23。因此，可以继续进行监管控制。

然而，在这种连接方案中，当在多个位置处出现故障时，这些故障包括在现场总线115中的电缆切断和远端I/O单元23的瘫痪，控制器3也不能访问位于远离每个故障位置的一端的远端I/O单元23。

另外，作为用于针对设备瘫痪的冗余式方案，常规上有双监管控制系统，如图4所示。

在这个方案中，由控制器14A、控制器14B和远端I/O单元24等构成的控制系统被做成双冗余的。双冗余系统中的一个被用作为工作系统，而双冗余系统中的另一个被用作为待机系统。在工作系统的远端I/O单元24出现瘫痪的情况下，通过从工作系统切换到待机系统可访问远端I/O单元24，因此系统可以继续进行控制。

然而，在这个双监管控制系统中，有控制暂时性中断的问题。这是因为即使在远端I/O单元24中只在一个位置处出现瘫痪时也不可避免地从工作系统切换到待机系统。

另外，有一种情况，其中在包括多个远端I/O单元24的两个系统中都出现故障。为了更精确起见，这种情况是在一个远端I/O单元24中属于一个系统的接口(I/F)单元24a中出现了一个故障，而在另一个远端I/O单元24中属于另一个系统的I/F单元24b中出现了另一个故障。这种情况造成另一个问题：即任意一个系统的远端I/O单元24都变为不可访问。

另一方面，在如图5所示的监管控制系统100中，在处理输入/输出设备(PI/O)61的双传输路径117和118被互相切换的情况下，从工作系统切换到待机系统逐个系统地进行，而不管故障的位置。也就是说，即使在一条数据传输路径的共用部分没有出现故障，其中每条路径分别连接多个控制器41时，整个系统也被切换。

例如，有一种情况，其中在任一个传输路径部分a和b中存在中断，每个部分位于来自PI/O 61的两个控制器41中的每个控制器的相应传输路径的主要线路(共用部分)之前，并且每个部分只涉及这些控制器41中的每一个。即使在这样的情况下，监管控制系统不能把握这种情况。因此，监管控制系统通过判断工作系统的整个传输路径117和118中的任一条路径出现异常，把工作数据传输路径切换到待机传输路径。

在这种情况下，虽然其他控制器41没有工作系统的传输路径117的故障，但工作传输路径117仍被切换到待机路径。另外，在切换传输路径的一种常规方法中，只有任一个系统被用作为工作系统。为此，在控制器41之一的工作系统的传输路径部分(该部分是出自共用部分)和另一个控制器41的待机系统的传输路径部分中同时出现中断的情况下，已经不可能与至少一个系统的控制器通信。

因此，来自至少一个控制器的输入数据丢失，同时，监管控制系统100把这个控制器作为瘫痪的对待。

为了解决上述的问题，有一种切换由远端PIO单元使用的数据传输路径的方法(例如参照日本专利申请公开文本No.Hei11(1999)-119802)。在这个方法中，当在位于从每个控制器41到每个双传输路径117和118、以及只涉及单个控制器41的部分中出现故障时，由PIO 61使用的传输路径互相有效地切换。因此，这个方法使得有可能构建高度可靠的系统。

在这个方法中，工作系统的传输路径通过使用用于逐个单元地控制输入和输出的控制装置的单元而被切换到待机系统的路径。

因此，已经公开了一种方法，其中由PIO 61使用的传输路径通过上述装置被有效地切换，并且这使得有可能构建高度可靠的系统。

另外，已经公开了一种方法，用于通过以下方式增强处理控制系统的可靠性。远端PIO的控制器本身被复用，因此远端PIO具有能够执行多任务操作的串行总线(例如，日本专利申请公布号No.2000-207373)。

然而，在如图4所示的双监管控制系统中，有一个问题：即在远端I/O单元24中任一个位置处出现的瘫痪不可避免地引起从工作系统到待机系统的切换，由此造成控制的暂时中断。

另外，还有另一个问题：在出现故障的情况下，如果在多个远端I/O单元24之一的I/F单元24a中出现一个故障，而在另一个远端I/O单元24的I/F单元24b中出现另一个故障，则任一个系统的远端I/O单元24变为不可访问。

另外，通过使用由日本专利申请公开文本No.Hei11(1999)-119802公开的PIO切换传输路径的方法具有以下问题。其中在作为主要线路的传输路径的任何部分中出现故障的情况下，来自与传输路径的主要线路断开连接的I/O单元的信号不是双工的。另外，在传输路径的双主要线路都具有故障的情况下，将不可能控制I/O设备。

此外，在日本专利申请公开文本No.2000-207373中公开的方法中，虽然增强了PIO的可靠性，但没有考虑连接控制器与PIO的传输路径的主要线路中的故障的问题，

发明内容

本发明的目的是提供一种能够增强系统可靠性的冗余监管控制系统及其冗余切换方法。在冗余监管控制系统中，即使在从远端输入/输出单元到控制器的传输路径中的多个位置处出现故障时，远端输入/输出单元也不太可能是不可访问的。

上述本发明的目的是通过一种冗余监管控制系统来实现的，该系统包括：在一对控制器中的每个控制器中的多个第一环路接口单元；在多个远端输入/输出单元的每一个中的多个第二环路接口单元；以及通信电缆，每根电缆将多个第一环路接口单元和多个第二环路接口单元连接成一个圆环。冗余监管控制系统通过将控制器和远端输入/输出单元互相连接成多个环路网络而被配置。冗余监管控制系统自动选择第一环路接口单元和第二环路接口单元，它们在从环路网络接收的数据中检测到异常的情况下能够执行正常接收。因此，在多个环路网络的各个部分不互相重叠的情况下，其中每个部分从一对控制器中的每个控制器开始，并且在故障的位置处结束，所述冗余监管控制系统能够进行连续的控制，而无需切换当前工作控制器的控制权限。

另外，为了实现以上目的，本发明的冗余监管控制系统如下工作。冗余监管控制系统收集关于在每个控制器与多个远端输入/输出单元中的每一个之间的通信是否正常进行的接收信息。然后，通过使用收集的接收信息来判断各个环路网络的连接状态。一对控制器中的每个控制器的控制权限根据环路网络的这些连接状态和对于每个远端输入/输出单元事先设定好的优先权判断表来设置。因此，在多个环路网络中的各个部分互相不重叠、每个部分从一对控制器中的每个控制器开始到发生故障的位置的情况下；或者在由于一对控制器的各个环路网络的分段的结果，环路网络在其中一对控制器中的每个控制器可以访问远端输入/输出单元的范围中彼此不同的情况下，根据来自预先设定的优先权判断表的信息来判断控制权限的切换。因此，有可能提供冗余监管控制系统，它在多个位置出现故障时能够通过避免将控制权限切换到可能的程度而执行连续的操作。

此外，冗余切换方法包括以下步骤：检测关于是否正常执行环路网络中输入数据和控制数据的接收的信息；根据这个接收信息选择能够执行接收的第一环路接口单元和第二环路接口单元；根据这个接收信息判断环路网络的连接状态；并且根据环路网络判断步骤的结果判断是否在这一对控制器之间切换控制权限。因此，有可能提供冗余监管控制系统如下工作的冗余切换方法。在环路网络判断步骤中，当判断出多个环路网络中的各个部分互相不重叠的情况下，其中每个部分从这一对控制器中的每个控制器开始，并且在发生故障的位置结束，控制可以继续进行，而无需在环路网络上切换控制权限。另外，由于在环路网络中的多个位置处出现故障，有这样的情况：其中判断在各个环路网络中的部分互相重叠，每个部分从这一对控制器的每个控制器开始，并且在发生故障的位置结束；以及其中由于多个控制器的各个环路网络的分段，环路网络在其中每个控制器可以访问远端输入/输出单元的范围中是彼此不同的。即使在这些情况下，根据在预先设置的优先权判断表中的信息，控制权限的切换可以尽量被避免。

附图说明

图1是使用现场总线的常规监管控制系统的框图。

图2是使用并行连接的常规监管控制系统的框图。

图3是使用环形连接的常规监管控制系统的框图。

图4是常规双监管控制系统的框图。

图5是另一种常规双监管控制系统的框图。

图6是本发明的双监管控制系统的框图。

图7是本发明的控制器的框图。

图8是本发明的远端输入/输出(I/O)单元的框图。

图9是说明本发明的双监管控制系统的环路网络的图。

图10是说明本发明的第一切换控制器和第二切换控制器的环路接口单元的选择操作的表。

图11是本发明的双监管控制系统的控制操作的流程图。

图12是用于说明当在环路网络的多个位置处出现故障时双监管控制系统的操作的图。

图13是用于说明当在环路网络的多个位置处出现故障时双监管控制系统的操作的图。

图14A和14B是用于说明当在环路网络的多个位置处出现故障时双监管控制系统的操作的表。

图15是用于说明当在环路网络中出现不可访问的位置时的控制操作的图。

具体实施方式

下面参照附图描述本发明的实施例的一个例子。

下面参照图6到12描述根据本发明的作为冗余监管控制系统的双监管控制系统。图6是例如在石油厂、化工厂等中使用的双监管控制系统的框图。

这种双监管控制控制系统包括一对控制器1A和1B(此后当总体上提到控制器时，被称为控制器1)、多个远端输入/输出(I/O)单元2-1到2-n(此后当总体上提到远端I/O单元时，被称为远端I/O单元2)、传输路径4a和传输路径4b。远端I/O单元2收集从由控制器1控制的对象5-1到5-n(此后当总体上提到控制对象时，被称为控制对象5)输出的测量信号，将测量信号输入到控制器1中，并输出控制输出到被控制的对象。每个传输路径4a和传输路径4b由互相连接控制器1与远端I/O单元2的通信电缆组成。

此外，这一对控制器1中的每个控制器包括一个双控制接口(I/F)单元3，它把具有控制权限的每个控制器1预先设置为工作系统或待机系统。

控制器1、远端I/O单元2、和传输路径4a和4b通过使(IEC611158标准的)现场总线形成环形双冗余而被连接在一起，现场总线是在测量与控制仪器之间的通信中使用的一种数字网络形式(此后，被连接成环形的每个网络将被称为环路网络)。

这种现场总线的通信访问可以是在这个环路拓扑中的主从方法、令牌传递方法、和CSMA/CD(具有冲突检测的载体传感多址)方法的任一种。环路网络被设置成允许在两个方向上通信。

另外，除了实际的输入数据或控制数据以外，一个识别符被加到在环路网络上传输的数据上。通过该识别符可以识别发送源和目的地址。

接着，描述每个单元的组成。如图7所示，这一对控制器1中的每个控制器包括一对第一环路接口(I/F)单元1a和第一环路接口(I/F)单元1b(此后，在附图中称为第一环路I/F单元)，第一切换控制器1c和第一数据分发器-选择器1d。第一环路I/F单元1a和1b分别被连接到传输路径4a和传输路径4b。第一切换控制器1c被连接到第一环路I/F单元1a和1b，并生成选择信号，用来根据代表由第一环路I/F单元1a和1b分别接收的数据是否被正常接收的接收信息，选择这一对第一环路I/F单元1a和1b中的一个。第一数据分发器-选择器1d被连接到第一切换控制器1c，获取从由第一切换控制器1c选择的第一环路I/F单元输出的输入数据，并把控制数据输出到第一环路I/F单元1a和1b。

这一对控制器1中的每个控制器还包括控制计算单元1e，它被连接到控制权限设置单元3a，将在后面描述。控制计算单元1e设置由控制权限设置单元3a确定的控制权限，并把控制数据输出到第一数据分发器-选择器1d，该控制数据基本来自第一数据分发器-选择器1d的输入数据来理解。

具体来说，第一数据分发器-选择器1d把相同的控制数据分别输出到两个系统的第一环路I/F单元1a和1b，该控制数据从控制计算单元1e输出。另外，对于分别来自两个系统的第一环路I/F单元1a和1b的输入数据，第一数据分发器-选择器1d选择两个系统的输入数据之一，该输入数据由第一切换控制器1c选择，以及把所选择的输入数据发送到控制计算单元1e。

另外，第一切换控制器1c被连接到第一环路I/F单元1a和1b，判断环路网络中的接收状态，并把接收状态发送到双控制I/F单元3的环路状态判断单元3b。

接着，通过参照图8描述远端I/O单元2的组成。远端I/O单元2由第二环路I/F单元2a、第二环路I/F单元2b、和第二切换控制器2c组成。第二环路I/F单元2a和2b以这样的方式分别被连接到相应的两个系统的传输路径4a和传输路径4b，以使得第二环路I/F单元2a和2b可以在两个方向上与相应的传输路径4a和4b通信。第二切换控制器2c被连接到第二环路I/F单元2a和2b。第二切换控制器2c生成一个选择信号，用来根据代表由第二环路I/F单元2a和2b通过各个传输路径4a和4b接收的数据是否被正常接收的接收信息，选择第二环路I/F单元2a和2b中的一个。

远端I/O单元2还由第二数据分发器-选择器2d和I/O单元2e组成。第二数据分发器-选择器2d被连接到第二切换控制器2c。而且，第二数据分发器-选择器2d的一端被连接到第二环路I/F单元2a和2b，而其另一端被连接到I/O单元2e。I/O单元2e被连接到所控制的对象5，把由所控制的对象5检测的输入数据发送到第二数据分发器-选择器2d，并且把从第二数据分发器-选择器2d输出的控制数据输出到所控制的对象5。

详细地说，第二数据分发器-选择器2d把从第二环路I/F单元2a和2b之一输出的控制数据发送到I/O单元2e，该控制数据由第二切换控制器2c的选择信号选择。另外，第二数据分发器-选择器2d把由I/O单元2e收集的输入数据发送到相应的两个系统的第二环路I/F单元2a和2b。

接着，通过再次参照图6描述双控制I/F单元3的组成。每个双控制I/F单元3由控制权限设置单元3a和环路状态判断单元3b组成。控制权限设置单元3a将一对双控制I/F单元3互相连接，以及互相接收有关在这一对控制器1中故障存在/不存在的信号。故障的存在/不存在通过这一对控制器1的自诊断被找到。另外，这一对控制权限设置单元3a互相切换控制器1的控制权限。这对环路状态判断单元3b通过使用先前设置的预定诊断方法而检查控制器1和远端I/O单元2的接收状态，经由第一切换控制器1c接收有关接收状态是否正常的接收信息，因此判断在环路网络中的接收状态。

当控制器1B被设置成待机状态时，虽然控制器1B收集输入数据并执行控制计算，但控制器1B没有把控制数据输出到远端I/O单元2。然而，这对环路状态判断单元3b被设置为互相周期性地通信，并监视它们自己的环路网络的各个远端I/O单元2是否正常工作。

这里，通过参照图9描述环路网络。作为网络组，有通过传输路径4a连接的环路网络LPa和通过传输路径4b连接的环路网络LPb的两条线，如图9的虚线所示。

例如，环路网络LPa通过把处在工作状态的控制器1A的第一环路I/F单元1a、处在待机状态的控制器1B的第一环路I/F单元1a、和各个远端I/O单元2-1到2-n的第二环路I/F单元2a互相连接成圆环(也称为环路或环)而被构建。

同样地，环路网络LPb通过把处在工作状态的控制器1A的第一环路I/F单元1b、处在待机状态的控制器1B的第一环路I/F单元1b、和各个远端I/O单元2-1到2-n的第二环路I/F单元2b互相连接成圆环而被构建。

控制器1A和1B不一定必须互相一个挨一个地设置在各个环路网络LPa和LPb上。因此，控制器1A和1B可以设置在环路网络的任何位置处。

接着，将描述这些环路网络的通信协议的配置。通过环路网络LPa和LPb的结构，接收的数据可能围绕网络LPa和LPb连续地循环。这种循环可以通过以下的方式被避免。具有控制权限的控制器1A起到主节点的作用，并且阻挡传输路径4a和4b中的一条。作为替代，控制器1A阻挡环路网络LPa和LPb之一上的任意位置。

另外，发送端可以在环路循环的两个方向上输出数据，接收端可以选择在两个方向上传送的数据之一。替换地，发送端可以在两个方向中的任一个方向上输出数据，并且在异常事件下以和上述方向相反的方向输出。

关于从故障恢复以及避免在环路网络LPa和LPb上的无限循环，可以为此使用横跨树协议。

另外，在现场总线中，传输频带由所有的远端I/O单元共享。由此，有出现竞争的可能性。然而，网络的资源需要通过增强总线传送能力或通过藉助于起到主节点作用的控制器1A调节数据传送时序而适当地分配。

否则，可以通过使用CSMA/CD方法或令牌传送(令牌循环)方法作为另外的方法而避免竞争。

随后，通过参照图10，将给出第一切换控制器1c和第二切换控制器2c用于选择环路网络LPa和LPb中的任一个的选择操作的说明。

在图10中，一个表格在最左面的第一列上显示了控制器1和远端I/O单元2，在第二列上显示了当前选择的环路I/F单元的各个接收状态，在第三列上显示了当前未选择的其它环路I/F单元的各个接收状态，并在最右面的第四列上显示了由第一切换控制器1c和第二切换控制器2c进行的选择判断操作。选择判断操作代表如何选择对应于各个环路I/F单元的正常/异常接收状态的每个组合的一个环路I/F单元。

例如，正如在关于控制器1的那一节中说明的，第一切换控制器1c在以下三种情况下保持选择状态：其中当前被选择的第一环路I/F单元1a的接收信息和当前未被选择的另一个第一环路I/F单元1b的接收信息都是正常的；其中当前被选择的第一环路I/F单元1a的接收信息和当前未被选择的另一个第一环路I/F单元1b的接收信息分别是正常和异常的；并且其中当前被选择的第一环路I/F单元1a的接收信息和当前未被选择的另一个第一环路I/F单元1b的接收信息都是异常的。

另一方面，在当前被选择的第一环路I/F单元1a的接收信息和当前未被选择的另一个第一环路I/F单元1b的接收信息分别是异常和正常的情况下，第一切换控制器1c输出一个选择信号，用于切换到当前未被选择的那个环路I/F单元1b。

同样地，例如，第二切换控制器2c在以下三种情况下保持选择状态：其中当前被选择的第二环路I/F单元2a的接收信息和当前未被选择的另一个第二环路I/F单元2b的接收信息都是正常的；其中当前被选择的第二环路I/F单元2a的接收信息和当前未被选择的另一个第二环路I/F单元2b的接收信息分别是正常和异常的；其中当前被选择的第二环路I/F单元2a的接收信息和当前未被选择的另一个第二环路I/F单元2b的接收信息都是异常的。

另一方面，在当前被选择的第二环路I/F单元2a的接收信息和当前未被选择的另一个第二环路I/F单元2b的接收信息分别是异常和正常的情况下，第二切换控制器2c输出一个选择信号，用于切换到当前未被选择的那个环路I/F单元2b。

下面参照图6和11描述按上述的方式配置的这个实施例的双监管控制系统的操作。

例如，首先，对控制器1执行控制权限的初始化。在这个初始化过程中，双控制I/F单元3的这对控制权限设置单元3a将这对控制器1的一个控制器设置为工作的控制器，并将另一个控制器设置为待机的控制器。更精确地，这对控制权限设置单元3a把早先在接通电源、启动和复位时完成启动的控制器1A设置为工作系统，而把另一个控制器1B设置为待机系统(S1)。

这里，在来自环路状态判断单元3b的输出是正常的情况下，环路网络LPa被设置为被选中。

在这种情况下，控制操作的启动通过从控制器1A按下的未示出的按钮被命令。由此，控制操作过程由工作系统的控制器1A启动。这个操作的细节将在后面描述(S2)。

接着，在检测接收信息的过程中(S3)，顺序检验在环路网络中第一环路I/F单元1a、第一环路I/F单元1b、每个第二环路I/F单元2a、和每个第二环路I/F单元2b中的接收信息是否正常(S4)。

当在接收状态中检测到异常时，接收信息通过第一切换控制器1c被传送到环路状态判断单元3b。当在没有异常时，控制操作按原状继续进行。

在检测接收信息的这个过程中(S4)，例如根据来自连接到两个环路网络的每个远端I/O单元2的接收数据是否正常进行判断。例如，这个判断是根据在周期的时间内接收是否存在，或在接收数据中是否存在错误而作出的。

通过检测异常性的这个过程，作出在传输路径4a和4b中是否出现中断以及在第一环路I/F单元1a、第一环路I/F单元1b、第二环路I/F单元2a、和每个第二环路I/F单元2b中是否出现瘫痪的判断。

然后，这对环路状态判断单元3b生成以后描述的、各个环路网络的接收状态表，并且判断故障位置和连接状态(S5)。这对环路状态判断单元3b还判断在两个环路网络LPa和LPb中从这对控制器到故障位置的各个部分是否互相重叠(S6)。这个判断过程的细节将在后面描述。

然后，如果这对环路状态判断单元3b判断出到故障位置的那些部分互相重叠，则这对环路状态判断单元3b还判断存在至少一个远端I/O单元2不能执行通信。随后，根据远端I/O单元2的预先设置的优先权判断表，做出对切换控制权限的必要性(或重新设置控制权限的必要性)的判断(S7)。

接着，将描述图11中每个处理步骤的细节。首先，描述在控制操作过程(S2)期间对输入数据和控制数据的处理操作。

再次在图6中，例如，由远端I/O单元2-2的I/O单元2e从所控制的对象5收集的输入数据作为来自数据分发器-选择器2d的相同信息被输出到第二环路I/F单元2a和第二环路I/F单元2b。

然后，第二环路I/F单元2a和第二环路I/F单元2b把同一个信息分别发送到双向传输路径4a和4b。

分别在两端与远端I/O单元2-2相邻的远端I/O单元2-1和远端I/O单元2-3把接收到的数据以与数据被接收的方向相反的方向发送到传输路径4a和4b。随后，同样地，远端I/O单元2-n以相同的方式发送数据。

然后，数据以类似的方式被发送到待机系统的控制器1B。这样，由远端I/O单元2-2的I/O单元2e收集的输入数据被发送到控制器1A。

远端I/O单元2-1到2-n的其余部分以类似的方式操作，并且把各个输入数据发送到控制器1。

在控制器1中，控制计算单元1e对于由远端I/O单元收集的每个输入数据执行算术处理。为了把算术处理的结果作为控制数据发送到每个远端I/O单元，数据分发器-选择器1d把相同的控制数据输出到第一环路I/F单元1a和第一环路I/F单元1b。

然后，第一环路I/F单元1a和第一环路I/F单元1b把相同的控制数据输出到双向传输路径4a和4b。

每个环路I/F单元2的第二环路I/F单元2a和第二环路I/F单元2b把这个控制数据以与控制数据被接收的方向相反的方向发送到传输路径4a和4b。同时，当远端I/O单元2接收本身寻址的数据时，第二环路I/F单元2a和2b把接收信息发送到第二切换控制器2c。然后，接收的数据通过数据分发器-选择器2d从所选择的第二环路I/F单元被发送到I/O单元2e。

这样，由当前工作的控制器1A对于所控制的对象5执行监管控制。

接着，参照图12到15，将给出判断环路状态的过程(S5到S6)和在用于传输路径4a和4b的通信电缆断开以及在这些环路网络的任意位置出现远端I/O单元2瘫痪的情况下重新设置控制权限的过程(S7)的细节的说明。

图12显示了在环路网络LPa中远端I/O单元2-1的第二环路I/F单元2a出现瘫痪和在环路网络LPb中出现传输路径4a的位置P1和P2的两处断开的情况。

在这种情况下，远端I/O单元2-2到2-n是通过由虚线表示的路由可访问的。同时，远端I/O单元2-1是通过从已瘫痪的环路I/F单元2a被切换到的第二环路I/F单元2b可访问的。

在传输路径4a和4b的通信电缆断开以及如在以上的情况下那样远端I/O单元2-1的第二环路I/F单元2a或2b中的一个位置处瘫痪的情况下，所有的远端I/O单元2都是从控制器1A可访问的。因此，可以执行控制而不用切换控制器1A的控制权限。

也就是说，当在单个环路网络中多个位置处出现多处通信电缆断开以及在多个远端I/O单元2的各个第二环路I/F单元2a和2b中出现多处瘫痪的情况下，位于远离控制器1A的故障位置的一侧的远端I/O单元2变为不可访问的。然而，当在环路网络LPa和LPb中的各个故障之间的部分互相不重叠的情况下，所有的远端I/O单元2是从控制器1A可访问的。这使得有可能连续地执行控制而不用切换控制器1A的控制权限。

然而，在两个环路网络LPa和LPb都具有异常的情况下，出现各种故障模式。下面通过参照图13和图14A到14B描述在这些情况下由双控制I/F单元3设置控制权限的过程。

图13显示了在双监管控制系统的环路网络LPa中的两个位置P1和P2以及在环路网络Lpb中的两个位置P3和P4处出现四处断开的状态。

图14A是由环路状态判断单元3b产生的环路状态判断表的例子。环路状态判断单元3b通过接收由控制器1A的第一切换控制器1c接收的接收信息而产生表格。同样地，图14B是由环路状态判断单元3b产生的环路状态判断表的例子。环路状态判断单元3b通过接收由控制器1B的第一切换控制器1c接收的接收信息而产生表格。

环路状态判断表通过以下方式产生。例如，保持激活的消息由每个远端I/O单元2周期地发送。然后，如果每个第一切换控制器1c在某个时间间隔或更长的时间内没有接收到保持激活的消息，则这被判断为异常。

此外，环路状态判断表可以在控制操作期间通过使用作为实际的输入数据和控制数据的发送数据被顺序地产生。

例如，这里假设了远端I/O单元2-2是传输信号的发送源的情况。在环路网络LPa中，在点P1和P2之间的部分中出现故障。为此，控制器1A不能在环路网络LPa中在预定的时间间隔内接收在顺时针方向F和在逆时针方向R来自远端I/O单元2-2的传输信号(在表中由“U”表示)。然而，在环路网络LPb中，控制器1A可以正常地接收在两个方向上的传输信号(在表中由“S”表示)。

通过把在每个发送源节点的这个接收信息中表示的、也与传输方向有关的正常/异常状态表格化，确定了故障的位置。例如，远端I/O单元2-1和2-2的接收状态分别是正常的和异常的。另外，I/O单元2-n的接收状态是正常的。因此，环路状态判断单元3b将这个环路网络LPa的以逆时针方向从远端I/O单元21开始并在远端I/O单元2-(n-1)到远端I/O单元2-2处结束的部分判断为不可访问的异常部分。结果，可以估计在两个位置P1和P2处有断裂。

另外，例如通过参照对于每个远端I/O单元2事先设置的优先权判断表，这个优先权判断表先前被存储在控制权限设置单元3a中，进行对切换控制权限的必要性的判断。换句话说，控制权限被切换到被列在优先权判断表中的远端I/O单元2可以与其通信的控制器1。

例如，在远端I/O单元2-2被列在优先权判断表中的情况下，不执行控制权限的切换。这是因为远端I/O单元2-2可以与控制器1A通信，如图14A所示。

然而，在远端I/O单元2-3事先被列在优先权判断表中的情况下，控制器1A通知控制器1B经由这对控制权限设置单元3a切换控制权限。代替这个优先权判断表，可以提供用于判断是否切换控制权限的条件。所述条件的一个例子是判断逻辑，它判断在可以与处在待机状态下的控制器1通信的远端I/O单元2的数目超过处在工作状态下的控制器1的数目的情况下切换控制权限。

因此，有可能通过以上述的方式判断故障模式而实现尽可能多地避免控制权限切换的双监管控制系统的操作。

即使在如上所述的结构中，存在需要切换控制权限的某些故障模式。例如，在相同的远端I/O单元2的第二环路I/F单元2a和2b同时瘫痪的情况下，这个远端I/O单元2变为不可访问的。

另外，如图15所示，在某些情况下，可能出现其中从控制器1A和1B各自可访问的范围是不同的故障模式。例如，如图15所示，控制器1A仅仅可以访问远端I/O单元2n，而控制器1B可以访问所有的远端I/O单元2。

在这种故障模式的情况下，可以访问所有远端I/O单元2的控制器从待机状态切换到工作状态。

工作系统的双控制I/F单元3的控制权限设置单元3a询问配对的系统(待机系统)的控制器1B的控制权限设置单元3a关于其当前的状态。然后，如果控制器1B本身瘫痪，则控制权限设置单元3a判断待机系统具有故障。因此，控制器1A单个地作为工作系统操作。

通过用这个结构对控制权限的切换做出判断，常规双监管控制控制系统在工作系统的控制器出现故障的情况下，执行从工作系统到待机系统的切换。在这种情况下，通过算术处理由工作系统收集的输入数据而得到的数据经由双控制I/F单元从工作系统持续地传送到待机系统，以便保持连续控制。

另一方面，根据本发明，工作的和待机的系统可以持续共享相同输入数据的信息，而不会带来经由双控制I/F单元给出和接收数据的麻烦。这带来了避免在双I/F单元中庞大的数据量传输的效果。而且，这带来了能够实现高速切换操作的效果，因为在数据经由双控制I/F单元传送时引起的延时被消除。

本发明完全不限于上述的实施例。环路网络及其传输路径可以由无线通信路径组成。另外，虽然在本说明中描述了具有双冗余结构的环路网络，但也可以采用具有三重冗余或四重冗余结构的环路网络。

此外，发送的数据的可靠性可以按以下的方式被增强。发送输入数据的第二数据分发器-选择器2d把序列号给予要被发送的输入数据。此后，做出关于在接收输入数据的第一环路I/F单元1a和第一环路I/F单元1b中的每一个的接收信息是否正常的判断。这时，首先把各个第一环路I/F单元的接收的顺序号互相进行比较。然后，如果任一个顺序号在一定的时间间隔内没有被更新，则判断具有未更新的顺序号的第一环路I/F单元的网络环路是异常的。另外，在两个网络环路都是正常的情况下，选择具有最新的顺序号的第一环路I/F单元的网络环路。因此，本发明可以通过增加不同的修改被实施而不背离本发明的精神。

Claims

1.一种冗余监管控制系统，包括：

一对控制器，每个控制器控制来自所控制的对象的输入数据，并根据输入数据输出控制数据；

多个远端输入/输出单元，用于收集来自所控制的对象的输入数据，把输入数据发送到这两个控制器，并把从当前执行控制的工作系统的控制器发送的控制数据输出到所控制的对象；

通信电缆，每条电缆把这对控制器和多个远端输入/输出单元连接成圆环；以及

一对冗余控制接口单元，用于互相监视这对控制器的异常状态，并设置控制权限，以允许这对控制器中的任一个控制器在工作状态下执行控制，而另一个控制器处在待机状态，以及该冗余控制接口单元被配置为

通过在由这对控制器、多个远端输入/输出单元和通信电缆组成的环路网络中在顺时针和逆时针这两个方向上按照预定的通信协议进行通信而控制所控制的对象，

其中这对控制器中的每个控制器包括：

多个第一环路接口单元，其在所述的两个方向上与配对的控制器和远端输入/输出单元传送输入数据和控制数据，并且判断输入数据是否被正常接收；

第一切换控制器，它根据各个第一环路接口单元的判断结果，从多个第一环路接口单元中选择一个能够执行正常接收的第一环路接口单元；

第一数据分发器-选择器，它接收从由第一切换控制器选择的第一环路接口单元输出的输入数据，并且在多个第一环路接口单元之间分发控制数据；以及

控制计算单元，它接收从第一数据分发器-选择器输出的输入数据，对输入数据执行算术处理，并且把算术处理的结果作为控制数据输出到第一数据分发器-选择器，以及

多个远端输入/输出单元中的每个远端输入/输出单元包括：

多个第二环路接口单元，其在所述的两个方向上与这对控制器传送输入数据和控制数据，并且判断控制数据是否被正常接收；

第二切换控制器，它根据第二环路接口单元的判断结果，从多个第二环路接口单元中选择一个能够执行正常接收的第二环路接口单元；

第二数据分发器-选择器，它输出从由第二切换控制器选择的第二环路接口单元输出的控制数据，并且在多个第二环路接口单元之间分发从所控制的对象收集的输入数据；以及

输入/输出单元，它把从第二数据分发器-选择器输出的控制数据发送到所控制的对象，并且把输入数据从所控制的对象发送到第二数据分发器-选择器，其中

当在多个第一环路接口单元和在多个第二环路接口单元中检测到接收故障时，在多个第一环路接口单元和在多个第二环路接口单元中自动地分别选择能够正常通信的第一环路接口单元和第二环路接口单元，由此在可传输的方向上执行传输；以及

在各个环路网络中的每个从这对控制器中的每个控制器开始并且在故障的位置处结束的部分不互相重叠时，控制能够继续进行，而不用切换控制权限。

2.按照权利要求1的冗余监管控制系统，其中每个冗余控制接口单元包括：

环路状态判断装置，它通过收集有关在控制器与多个远端输入/输出单元中的每个之间的通信是否被正常地执行的信息判断各个环路网络的连接状态；以及

控制权限设置装置，它根据来自环路状态判断装置的输出和对于每个远端输入/输出单元事先设置的优先权判断表在这对控制器的一个控制器中设置控制权限。

3.按照权利要求2的冗余监管控制系统，其中：

各个冗余控制接口单元的这对控制权限设置装置互相监视这对控制器本身的异常状态的自诊断的各个输出以及由这对环路状态判断装置分别生成的接收状态判断表，并由此设置控制权限。

4.按照权利要求2的冗余监管控制系统，其中：

每个远端输入/输出单元把消息和数据中的任一项循环发送到在可传送的循环方向上相应的控制器；以及

每个环路状态判断装置接收响应状态，将其中在每个环路网络中可以进行通信的连接状态表格化，并由此判断其中不能进行通信的部分。

5.按照权利要求2的冗余监管控制系统，其中：

在这对环路状态判断装置判断在多个环路网络中各个部分不互相重叠的情况下，这对控制权限设置装置使得控制操作继续进行，而不切换控制权限，其中每个部分从这对控制器中的每个控制器开始，到发生故障的位置结束；以及

在每个环路网络中的多个位置处出现故障并且这对环路状态判断装置判断各个环路网络的通信状态在每个控制器可以访问远端输入/输出单元的范围内彼此不同的情况下，这对控制权限设置装置根据在预先设置的优先权判断表中的信息再次设置控制权限。

6.按照权利要求1的冗余监管控制系统，其中第二切换控制器根据表示控制数据是否被第二环路接口单元正常接收的接收信息生成选择第二环路接口单元中任一个的选择信号。

7.用于冗余监管控制系统的冗余切换方法，所述系统包括：

一对控制器，每个控制器收集来自所控制的对象的输入数据，并根据输入数据输出控制数据；

多个远端输入/输出单元，用于收集来自所控制的对象的输入数据，把输入数据传送到这两个控制器，并把从当前执行控制的工作系统的控制器发送的控制数据输出到所控制的对象；

通信电缆，每条电缆将这对控制器和多个远端输入/输出单元连接成圆环；以及

其中这对控制器中的每个控制器包括：

多个远端输入/输出单元中的每个远端输入/输出单元包括：

输入/输出单元，它把从第二数据分发器-选择器输出的控制数据发送到所控制的对象，并且把输入数据从所控制的对象发送到第二数据分发器-选择器，

冗余切换方法包括以下步骤：

检测关于在环路网络中在接收机一侧是否正常接收输入数据和控制数据的接收信息；

根据接收信息为这对控制器中的每个控制器选择多个第一环路接口单元中的一个并为多个远端输入/输出单元中的每一个选择多个第二环路接口单元中的一个，所选的第一环路接口单元和第二环路接口单元能够执行接收；

根据接收信息判断环路网络的连接状态；以及

根据环路网络判断步骤的结果再次设置这对控制器中的每个控制器的控制权限，

其中在这对冗余控制接口单元中的一对环路状态判断装置判断在多个环路网络中各个部分不互相重叠的情况下，这对冗余控制接口单元中的一对控制权限设置装置使得控制操作继续进行，而不切换控制权限，其中每个部分从这对控制器的每个控制器开始，到故障的位置结束；以及

在每个环路网络中的多个位置处出现故障以及这对环路状态判断装置判断各个环路网络的通信状态在每个控制器可以访问远端输入/输出单元的范围内彼此不同的情况下，这对控制权限设置装置再次设置这对控制器中的一个控制器中的控制权限。