CN102483611A - 用于过程控制系统的冗余控制 - Google Patents

Abstract

过程控制系统(24)包括：主要控制装置(20a)，用于控制一次系统(26)的一次设备(22a)；以及备用控制装置(30a)，用于在第一控制装置(20a)的故障情况下控制一次设备(22a)。用于过程控制系统(24)、具体来说用于变电站自动化系统(10)的命令重定向装置(38)适合接收送往主要控制装置(20a)的控制命令，并且在主要控制装置(20a)的故障情况下将所述控制命令重定向到备用控制装置(30a)。

Description

用于过程控制系统的冗余控制

技术领域

本发明涉及过程控制系统，具体来说，涉及变电站自动化系统。更具体来说，本发明涉及用于这种过程控制系统的命令重定向装置、过程控制系统、包括重定向装置的SCADA系统、重定向装置的使用、用于一次系统的过程控制系统的方法、计算机可读介质和程序元件。

背景技术

高压和中压电力网中的变电站包括一次设备，例如电缆、线路、汇流条、开关、电力变压器和仪表变压器，它们一般设置在开关场和/或间隔中。经由过程控制系统、如变电站自动化系统以自动化方式来操作这种一次设备。过程控制系统或变电站自动化系统可包括二次装置或控制装置，其中智能电子装置(IED)可负责一次设备的保护、控制和监测。可将二次装置指配给分层级，即，站级、间隔级和过程级，后者通过所谓的过程接口与间隔级分隔。变电站自动化系统的站级可包括具有人机接口的操作员工作站以及连到网络控制中心的网关。间隔级上的智能电子装置也称作间隔单元或者保护IED，它们又可在间隔中和/或在站级经由主要用于交换命令和状态信息的间隔间或站总线相互连接。

过程级上的二次装置可包括用于电压(VT)、电流(CT)和气体密度测量的传感器、用于感测开关和变压器抽头变换器位置的接触探头和/或用于改变变压器抽头位置或者用于控制例如断路器或隔离开关等开关设备的致动器(I/O)。

由国际电工委员会(IEC)作为标准IEC 61850的一部分(标题为“变电站中的通信网络和系统”)引入了变电站的智能电子装置之间的通信的通信标准。

对于非时间关键消息，IEC 61850-8-1基于简化开放系统互连(OSI)协议栈来规定制造消息规范(MMS，ISO/IEC 9506)协议，其中具有分别在传输和网络层中的传输控制协议(TCP)和因特网协议(IP)以及作为物理介质的以太网。

对于时间关键消息、如跳闸命令，IEC 61850-8-1规定直接建立于通信栈的以太网链路层的面向通用的变电站事件(GOOSE)。对于在过程级的超时间关键信号、如测量模拟电压或电流，IEC 61850-9-2规定也直接建立于以太网链路层的取样值(SV)协议。

本发明可涉及使用IEC 61850标准的电力网操作的控制系统的领域。控制操作、例如闭合或断开一次开关可由变电站操作员通过站-SCADA系统来执行。这类命令可以不是直接发送给一次设备，而是发送给智能电子装置，智能电子装置执行关联控制功能(例如联锁检验)，并且然后运行操作(例如断开断路器)。典型变电站自动化架构可由用于控制操作的每个间隔一个IED来组成(参见图1)。

控制操作可使用IEC 61850-8-1协议来执行，表示站-SCADA系统与任何IED之间的通信基于MMS用于控制操作。控制操作可基于“操作前选择”(SBO)原则。操作员首先可发送选择他想要操作的一次设备的指令，并且然后发送实现/运行命令的第二命令。最后，命令的执行的确认可回送给操作员。由于SBO原则，控制可以是排他的，即，同时只有一个IED能够控制一次设备。因此，并且与保护功能相反，常规变电站自动化中的控制功能一般没有复制(参见图2)。保护功能由于安全原因而可以复制。在保护功能故障的情况下，冗余保护功能可接管故障保护功能的任务。

过去数十年已经广泛探索改进系统可靠性。一般来说，可存在四个主要形式的冗余度，它们可以是：(1)硬件冗余度，例如双重或三重冗余度，(2)信息冗余度，例如检错和纠错方法，(3)时间冗余度，包括瞬时故障检测方法，例如因特网逻辑，以及(4)软件冗余度，例如N版本编程。在变电站自动化的上下文中，冗余度的通常方式可基于硬件和热冗余度概念。另一种可能性可以是热备用冗余度概念。在热-热架构中，两个IED并行运行，而对于热-备用架构，在热IED出故障时使备用IED成为活动。两种方式可按常规通过将两个IED的输入端和输出端硬连线到相应CT/VT(传感器输入)和断路器致动器(I/O)来实现。

对软件虚拟化的技术进步可允许在同一装置上运行两个不同的软件系统，好像它是在两个不同的物理装置上运行一样。能够考虑将保护和控制功能性组合为一个物理装置，并且降低IED装置的数量，以便提供下行连至一次设备的更整洁的冗余链。为了充分利用这种新配置，控制功能可能也必须是冗余的(参见图3)。此外，典型热-热冗余度也许是不可能的，因为控制操作必须是排他的，即，它们不应当同时由两个不同IED来执行(SBO，参见以上所述)。因此，可能必须使用热-备用冗余架构。为此，对于冗余控制功能可考虑两种主要方式：

对于任何给定间隔，IED可以复制。站-SCADA系统可知道复制IED，并且首先可与原始IED进行交互，并且然后在故障情况下切换到复制IED。这个架构的主要缺点是需要修改SCADA系统，这会是很复杂的任务。

另一种方式可以是使复制IED每隔一定间隔检查原始IED的状态，并且在故障情况下模仿它，即用原始IED之一来代替它自己的IP地址。虽然这种方式对SCADA系统是透明的，但是它仍然要求在IED级进行模仿的复杂任务。此外，这个任务甚至在技术上对于在IED上运行的操作系统不是持久的，并且在原始IED没有释放其IP地址而“冻结”时甚至会是不可能的。

虽然冗余控制是可行的，但是上述主要方式可要求对站-SCADA系统或IED侧的复杂修改。

发明内容

本发明的一个目的是提供对过程控制系统的冗余控制，而无需对过程控制系统的装置的主要修改。

这个目的通过独立权利要求的主题来解决。本发明的示范实施例通过从属权利要求是显而易见的。

本发明的第一方面涉及过程控制系统、特别是变电站自动化系统的命令重定向装置。

按照本发明的一个实施例，过程控制系统包括：主要控制装置，用于控制一次系统的一次设备；备用控制装置，用于在第一控制装置的故障情况下控制一次设备，其中命令重定向装置适合接收送往主要控制装置的控制命令，并且在主要控制装置的故障情况下将所述控制命令重定向到备用控制装置。

通过这种命令重定向装置，可提供变电站自动化中的控制功能的透明冗余度。例如，可通过在站-SCADA系统的接口的一侧引入专用装置、即命令重定向装置，来提供对智能电子装置和站-SCADA系统的控制功能的透明冗余度。又可称作TCR(透明控制冗余度)装置的命令重定向装置一方面可连接到站-SCADA系统，而另一方面连接到站总线，并且在访问站总线时充当站-SCADA的代理。命令重定向装置可负责在故障情况下将站-SCADA控制命令重定向到另一智能电子装置，使得站-SCADA系统看起来始终与原始智能电子装置进行通信。

由于重定向装置，可避免对主要和备用控制装置、如智能电子装置或者过程控制系统、如站-SCADA系统的修改。因此，冗余控制可无需主要修改而在遗留系统中实现。

这种命令重定向装置可具有低复杂度，并且因此可以可靠并且节省成本地实现控制冗余度。此外，这种重定向装置可允许易于将二次设备功能性，即主要控制装置的功能性迁移到冗余控制方案、即备用控制装置，而无需修改任何现有硬件和/或软件系统。

命令重定向装置的益处可在于，冗余控制能够以低成本来实现，而没有对过程控制系统的其它组件的软件和/或硬件修改。

命令重定向装置可适合在主要控制装置的故障情况下将从过程控制系统到主要控制装置的通信切换到备用控制装置。例如，在主要控制装置有故障的情况下，过程控制系统的控制命令重定向到备用控制装置。过程控制系统无需知道备用控制装置，并且可以只向主要控制装置发送控制命令。

主要控制装置可以是智能电子装置，智能电子装置可编程为控制可以是中压或工业变电站的一次系统的一次设备、如开关。

按照本发明的一个实施例，命令重定向装置适合检测主要控制装置的故障。例如，每当命令重定向装置接收到控制命令时，命令重定向装置可检验主要控制装置是否正确操作。在检测到主要控制装置有故障的情况下，它可将控制命令重定向到备用控制装置。

按照本发明的一个实施例，控制命令包括主要控制装置的标识，其中对于重定向控制命令，命令重定向装置适合通过采用备用控制装置的标识替换主要控制装置的标识来修改控制命令。例如，控制命令可包含在从过程控制系统发送给主要控制装置的数据包中。命令重定向装置可从数据包中提取主要控制装置的标识，并且此后可检查主要控制装置是否正确工作或者以其它方式可知道主要控制装置正确工作。如果主要控制装置有故障，则命令重定向装置可采用备用控制装置的标识来替换主要控制装置的标识。

按照本发明的一个实施例，命令重定向装置适合通过向标识装置发送主要控制装置的标识来请求备用控制装置的标识，并且作为响应而从标识装置接收所请求备用标识。在这种情况下，命令重定向装置无需知道过程控制系统的哪一个装置是主要控制装置的备用控制装置。命令重定向装置仅必须提取主要控制装置的标识，并且能够向标识装置请求备用控制装置的标识，标识装置例如可以是存储过程控制系统的所有主要控制装置以及与其关联的过程控制系统的备用控制装置的列表的数据库。

命令重定向装置可以没有预先知道不同的备用系统或备用控制装置。而是当检测到故障时，命令重定向装置可向中心实体请求特定备用控制装置、如备用智能电子装置的地址或标识。这可对命令重定向装置增加灵活性，如果不同控制装置的地址发生变化，则会必须对命令重定向装置重新编程。

按照本发明的一个实施例，命令重定向装置具有用于连接到命令装置的第一通信接口，命令装置适合生成控制命令。例如，命令装置可以是过程控制系统的另一个装置。例如，它可以是站-SCADA系统的人机接口。

按照本发明的一个实施例，命令重定向装置适合从命令装置接收控制命令，其中，命令重定向装置具有用于经由数据网络连接到主要控制装置和备用控制装置的第二通信接口，命令重定向装置适合于向主要控制装置和备用控制装置传送控制命令。

换言之，命令重定向装置可连接以用于与命令装置进行通信，并且可连接以用于与主要控制装置和备用控制装置进行通信。命令重定向装置可位于命令装置与连接主要控制装置和备用控制装置的通信网络的交换机之间的通信路径中。

按照本发明的一个实施例，命令重定向装置可适合采用IEC61850、具体来说采用IEC 61850-8协议进行通信。通信可以是与命令装置和主要及备用控制装置进行。在这种情况下，命令重定向装置可与主要和备用控制装置及过程控制系统、具体来说与智能电子装置和SCADA系统的厂商无关。

按照本发明的一个实施例，命令重定向装置适合通过采用主要控制装置的标识替换确认消息中包含的备用控制装置的标识，来修改确认消息，其中确认消息确认控制命令的执行并且由备用控制装置传送。例如，主要控制装置可发送关于控制命令所请求的控制功能由连接到主要控制装置的一次设备已经运行的确认。但是，如果备用控制装置从主要控制装置接管了主要控制装置的功能，则备用控制装置可发送这个确认。在这种情况下，命令重定向装置可修改确认，使得接收确认消息的系统、如已经生成控制命令的命令装置无需知道备用控制装置已经运行该控制命令而不是主要控制装置。

按照本发明的一个实施例，主要控制装置适合通过向命令装置传送包含主要控制装置的标识的第一确认来确认控制命令的执行，其中备用控制装置适合通过向命令装置传送包含备用控制装置的标识的第二确认来确认控制命令的执行，命令重定向装置适合通过采用主要控制装置的标识替换备用控制装置的标识来修改备用控制装置的第二确认。传送确认可包括创建确认，并且将确认发送给已经创建控制命令的命令装置。

按照本发明的一个实施例，过程控制系统包括用于控制一次系统的另一个一次设备的另一个主要控制装置。主要控制装置可以是第一主要控制装置，并且过程控制系统可包括另一个第二主要控制装置。第一主要控制装置可控制第一一次设备，并且第二控制装置可控制一次系统的另一个第二一次设备。换言之，过程控制系统可包括至少两个主要控制装置。

按照本发明的一个实施例，备用控制装置适合于控制另一个第二一次设备。备用控制装置可以不仅控制第一一次设备，而且还可控制第二一次设备。在这种情况下，备用控制装置可以是第一和第二主要控制装置的备用控制装置。对于至少两个主要控制装置，可以仅存在一个备用控制装置。

按照本发明的一个实施例，命令重定向装置适合检测该另一个第二主要控制装置的故障，其中，如果检测到该另一个主要控制装置的故障，则命令重定向装置适合将该另一个主要控制装置的控制命令重定向到备用控制装置。

例如，过程控制系统的备用智能电子装置可组合为可集中所有间隔的控制功能的一个单一站范围的备用智能电子装置。在这种情况下，备用控制系统的成本可极大地降低。

本发明的另一方面涉及一次系统的过程控制系统。

按照本发明的一个实施例，过程控制系统包括上文和下文所述的命令重定向装置。

按照本发明的一个实施例，过程控制系统还包括用于生成一件一次设备的控制命令的命令装置。

按照本发明的一个实施例，过程控制系统包括：主要控制装置，用于控制一次系统的一次设备；以及备用控制装置，用于在第一控制装置的故障情况下控制一次设备。

按照本发明的一个实施例，过程控制系统还包括用于生成控制命令的命令装置。

按照本发明的一个实施例，过程控制系统包括另一个第二主要控制装置。

按照本发明的一个实施例，过程控制系统包括一个以上命令重定向装置。

按照本发明的一个实施例，过程控制系统还包括标识装置，标识装置适合在由命令重定向装置进行请求时从主要控制装置的标识提供备用控制装置的标识。

按照本发明的一个实施例，过程控制系统还包括数据网络。主要控制装置和备用控制装置连接到数据网络。控制命令可以是由数据网络所传送的数据包，主要控制装置可通过第一网络地址来标识，并且备用控制装置可通过第二网络地址来标识。此外，命令重定向装置可通过数据网络向主要控制装置和备用控制装置传送数据包。此外，命令重定向装置可通过数据网络从主要控制装置和备用控制装置向命令装置传送数据包。

按照本发明的一个实施例，过程控制系统还包括可以是第二主要控制装置的另一个主要控制装置。备用控制装置可配置成在由命令重定向装置检测到主要控制装置的故障时执行主要控制装置的控制功能性，而在由命令重定向装置检测到另一个主要控制装置的故障时执行另一个主要控制装置的控制功能性。例如，第二主要控制装置可具有不同一次设备的不同功能性(安全性、监测、控制)。备用控制装置可适合例如从数据库来下载主要控制装置和另一个主要控制装置的控制功能性，并且此后可适合执行相应主要控制装置的功能性。例如，在智能电子装置出故障的变电站自动化系统的情况下，空闲智能电子装置(备用控制装置)可从中心服务器来下载位于出故障智能电子装置中的控制功能，而不是预先下载功能。这个变体允许更大灵活性，并且可具有较低功率的智能电子装置，因为仅必须运行一组控制功能。

本发明的另一方面涉及一种SCADA系统。

按照本发明的一个实施例，SCADA系统包括上文和下文所述的命令重定向装置。SCADA系统可适合于生成控制命令。例如，SCADA系统包括控制室，人工操作员在其内部监测一次系统。控制命令可通过操作生成，操作员在SCADA系统的控制室中采用人机接口执行这些操作。

SCADA系统可以是过程控制系统的一部分，过程控制系统除了SCADA系统之外还可包括其它控制装置。

按照本发明的一个实施例，命令重定向装置可实现为SCADA系统的软件。例如，不是将命令重定向装置实现为物理装置，而是可将它实现为SCADA系统正在其上运行的操作系统的软件组件部分或模块。这可具有避免对过程控制系统或SCADA系统添加额外的硬件的优点。另一方面，它可以是它在其上运行的各操作系统和网络卡特定的。

本发明的另一方面涉及过程控制系统的命令重定向装置的使用。命令重定向装置可以是上文和下方所述的命令重定向装置。

本发明的另一方面涉及一次系统的过程控制系统的方法。

按照本发明的一个实施例，该方法包括下列步骤：向主要控制装置发送控制命令，主要控制装置适合于控制一次系统的一次设备；检测主要控制装置的故障；如果检测到主要控制装置的故障，则将主要控制装置的控制命令重定向到备用控制装置，备用装置适合于控制一次系统的一次设备。

按照本发明的一个实施例，该方法还包括下列步骤：如果主要控制装置正确工作，则在该主要控制装置上运行控制命令；如果主要控制装置有故障，则在备用控制装置上运行控制命令。

按照本发明的一个实施例，该方法还包括下列步骤：发送控制命令的执行的确认。

按照本发明的一个实施例，该方法还包括下列步骤：采用确认中的主要控制装置的标识来替换备用控制装置的标识。

本发明的另一方面涉及一种其中存储了一次系统的过程控制系统的计算机程序的计算机可读介质，计算机程序在由处理器运行时适合执行上文和下文所述的一次系统的过程控制系统的方法的步骤。

计算机可读介质可以是软盘、硬盘、CD、DVD、USB(通用串行总线)存储装置、RAM(随机存取存储器)、ROM(只读存储器)和EPROM(可擦可编程只读存储器)。计算机可读介质还可以是允许下载程序代码的数据通信网络、如因特网。

本发明的另一方面涉及一种用于一次系统的过程控制系统的程序元件，该程序元件在由处理器运行时适合执行上文和下文所述的一次系统的过程控制系统的方法的步骤。

例如，用于运行程序元件的处理器可以是命令重定向装置的处理器。例如，命令重定向装置可以是包括具有两个以太网连接的板的物理装置。板可以是FPGA(现场可编程门阵列)板。一个以太网连接可连接到过程控制系统、如SCADA系统，而另一个以太网连接可连接到站总线，主要控制装置和备用控制装置与该站总线连接。板还可包括：存储器，存储可通过VHDL(超高速集成电路硬件描述语言)来实现的程序元件；以及处理器，可适合运行程序元件。

通过参照以下所述实施例进行的说明，本发明的这些方面及其它方面将会显而易见。

附图说明

下文中参照附图示出的示范实施例更详细地说明本发明的主题。

图1示出变电站自动化系统的一个示范实施例。

图2示出变电站自动化系统的另一个示范实施例。

图3示出变电站自动化系统的另一个示范实施例。

图4示出按照本发明的一个示范实施例的变电站自动化系统。

图5示出按照本发明的一个示范实施例的过程控制系统。

图6示出按照本发明的一个示范实施例的过程监测系统的方法的流程图。

图7示出按照本发明的一个示范实施例的程序元件。

图8示出按照本发明的一个示范实施例的程序元件。

图9示出按照本发明的一个示范实施例的程序元件。

附图所使用的参考标号及其含意在参考标号的列表中以概括形式列示。大体上，附图中，相同部分提供有相同参考标号。

具体实施方式

图1示出具有连到SCADA系统14的接口12的变电站自动化系统10的示意图。站-SCADA系统14可运行于具有人机接口(HMI)的站级操作工作站(OWS)。在那里，人工操作员可监测变电站自动化系统10，并且可建议站-SCADA系统14生成变电站自动化系统10的控制命令。

接口12连接到数据总线16，数据总线16可使用IEC 61850标准来操作。数据总线16连接到包括第一间隔18a和第二间隔18b的多个间隔18a、18b、18c。间隔18a、18b、18c的每个包括正控制一次设备22a、22b、22c的主要控制装置20a、20b、20c，例如智能电子装置20a、20b、20c。例如，第一间隔18a包括用于控制第一一次设备22a的第一IED 20a，以及第二间隔18b包括用于控制第二一次设备22b的第二IED 20b。数据总线16连接到第一IED 20a、第二IED 20b和其它IED 20c。来自SCADA系统14的控制命令可作为数据总线16上的数据包通过数据总线16发送给IED 20a、20b、20c。在接收到控制命令之后，相应IED 20a、20b、20c运行关于一次设备22a、22b、22c的控制功能，一次设备22a、22b、22c例如可以是高功率开关或断路器，其可对控制命令进行反应而断开或闭合。在已经运行控制命令之后，相应IED 20a、20b、20c向SCADA系统14回送确认。为此，IED 20a、20b、20c预备确认，该确认是通过数据总线16所发送的、包含SCADA系统14的地址的数据包。

变电站自动化系统10的过程控制系统24可包括接口12、数据总线16和IED 20a、20b、20c。

由过程控制系统24和SCADA系统14控制的一次系统26可包括一次设备22a、22b、22c。

例如，一次系统26可以是配电系统，并且站-SCADA系统14可以是操作配电系统26的电力提供商的网络管理中心的一部分。

图1所示的变电站自动化系统对每个间隔18a、18b、18c具有一个用于执行相应一次设备22a、22b、22c的控制功能的IED 20a、20b、20c。

图2示出变电站自动化系统10的另一个实施例。在图2的变电站自动化系统10中，每个间隔18a、18b中存在保护装置28a、28b。间隔18a包括第一保护装置28a，以及间隔18b包括第二保护装置28b。保护装置28a、28b的每个分别连接到第一和第二一次设备22a、22b，并且能够与系统的其余部分无关地对保护级起作用。例如，保护装置28a、28b是连接到检测一次设备22a、22b的状态的传感器的智能电子装置。由传感器所生成并且由保护装置28a、28b所收集的数据可通过总线16发送给站-SCADA系统14。

图2的间隔18a、18b的每个还包括冗余保护装置30a、30b。即，第一间隔18a包括第一冗余保护装置30a，以及第二间隔18b包括第二冗余保护装置30b。在保护装置28a、28b的故障情况下，冗余保护装置30a、30b能够接管出故障的保护装置28a、28b的保护功能性。

在图2所示的变电站自动化系统中，IED 20a、20b的控制功能性没有复制，但是保护装置28a、28b的保护功能性由冗余保护装置30a、30b来复制。图2的变电站自动化系统10对每个间隔具有冗余保护功能和一个控制功能。

图2所示的智能电子装置20a、28a、30a、20b、28b、30b可以是不同的物理装置，其中的每个例如具有其自己的处理器。

此外，由于软件虚拟化，有可能在同一装置上运行不同的软件系统，好像它是在两个不同的物理装置上运行一样。

图3示出其中冗余保护和控制功能合并到一个IED的变电站自动化系统10的另一个实施例。

图3的间隔18a、18b的每个包括主要控制装置20a、20b和冗余主要控制装置32a、32b。主要控制装置20a、20b和备用控制装置32a、32b全部可以是智能电子装置。

主要控制装置20a、20b以及还有备用控制装置32a、32b连接到数据总线16。此外，第一间隔18a的第一主要控制装置20a和第一备用控制装置32a连接到第一一次设备22a，并且均适合于控制第一一次设备22a。类似地，间隔18b中的主要控制装置20b和备用控制装置32b适合控制一次设备22b。

在图3所示的变电站自动化系统10中，保护和控制功能合并到一个IED中。例如，主要控制装置20a或IED 20a具有保护模块34a和控制模块36a。备用控制装置32a或冗余IED 32a也具有保护模块34a和控制模块36a。类似地，IED 20b、32b具有保护模块34b和控制模块36b。由于控制装置20a、20b具有与备用控制装置32a、32b相同的功能性，所以位于各间隔中的装置的保护模块34a、34b和冗余保护模块36a、36b可具有相同的功能性，因为它们分别正控制相同的一次设备22a和22b。

但是，如果例如主要控制装置20a出故障，则连到SCADA系统14的接口12或者SCADA系统14本身必须知道第一控制装置20a已经出故障，并且须将其控制命令送往备用控制装置32a。

图4示出变电站自动化系统10的另一个实施例。图4所示的变电站自动化系统10与图3所示的变电站自动化系统10的不同之处在于耦合在接口12与数据总线16之间的命令重定向装置38。命令重定向装置38适合在用于控制和/或保护操作的主要控制装置20a、20b、20c与备用控制装置32a、32b、32c之间透明地切换。命令重定向装置38可以是连接在数据总线16(可以是站总线16)与SCADA系统14之间的物理装置。SCADA系统14和接口12可配置成使得它们仅知道主要IED 20a、20b、20c或主要控制装置20a、20b、20c。主要控制装置20a、20b、20c与备用控制装置32a、32b、32c之间的切换由命令重定向装置38进行。甚至在主要控制装置20a、20b、20c其中之一的故障情况下，SCADA系统14和接口12也无需知道备用控制装置32a、32b、32c。

命令重定向装置38的目标是监控主要控制装置20a、20b、20c的状态、即工作还是有故障，以便修改控制通信、即控制命令，因此站-SCADA系统14和接口12甚至在故障情况下也看起来是与相同的主要控制装置20a、20b、20c进行通信。

更准确来说，对于各主要控制装置20a、20b、20c，命令重定向装置38能够按照以下将针对间隔18a中的控制装置20a、32b所述的两种不同状态来建模。必须理解，相同或相似情况对于间隔18b和18c中的主要控制装置20b、20c、32b、32c也成立。

命令重定向装置38的第一状态是“正常”状态。在这种情况下，第一主要控制装置20a是有效的或者正确工作。在这种状态中，站-SCADA系统14通过用于控制操作的命令重定向装置38与第一主要控制装置20a进行通信，即，向主要控制装置20a发送控制命令。命令重定向装置38每隔一定间隔检查主要控制装置20a的有效性。

命令重定向装置38的第二状态是“有故障”状态。在这种状态中，主要控制装置20a停机或者已经出故障。在这种状态中，命令重定向装置38检测到主要控制装置20a的故障，并且在主控制装置20a出故障的情况下识别备用控制装置32a。当站-SCADA系统14发出控制命令时，控制命令的目标地址仍然是指向主要控制装置20a的地址。命令重定向装置38截取控制控制命令，并且将其重定向到备用控制装置32a。当备用控制装置32a回送命令执行的确认时，命令重定向装置38截取通过数据总线16所发送的数据包，并且按照主要控制装置20a对它进行修改。在这种状态中，站-SCADA系统14看起来是接收由主要控制装置20a所发送的确认。

在有故障状态期间，命令重定向装置38保持对主要控制装置20a进行试通，即，定期检查主要控制装置20a的故障，因此，例如在它由维护技术人员更换时，重定向能够停止，并且命令重定向装置38能够回到正常状态。

为了使控制装置20a、20b、20c的冗余度对站-SCADA系统14是透明的，只有重定向装置38a必须放置在SCADA系统14与间隔18a、18b、18c的控制装置之间的通信路径中。命令重定向装置38仅必须知道不同的控制装置20a、20b、20c，并且必须知道哪一个备用控制装置32a、32b、32c是相应主要控制装置20a、20b、20c的备用控制装置。由站-SCADA系统14或其它命令装置所发出和接收的所有控制命令均经过命令重定向装置38，使得如果它们必须被重定向到备用控制装置32a、32b、32c或者由这些控制装置32a、32b、32c其中之一发出，则它们能够由命令重定向装置38来修改。

也许有可能的是，如果主要控制装置20a、20b、20c其中之一就在它已经获取操作一次设备22a、22b、22c的权限之后出故障，则站-SCADA系统14或命令装置的操作员必须重新发出控制命令。在这种情况下，也许有可能的是，备用控制装置32a、32b、32c不能对它进行操作，因为它不能获取操作一次设备的权限。在这种情况下，必须第二次发送控制命令，使得备用控制装置能够获取操作一次设备的权限。

为了使命令重定向装置38的逻辑保持为简单，也许有可能的是，命令重定向装置不执行如以上所述的状态转移。例如，有可能的是，每次命令重定向装置38接收到控制命令时，它对相应主要控制装置20a、20b、20c进行试通，以便检查相应控制装置20a、20b、20c是否有故障，并且此后在需要时重定向该控制命令。在这个备选实施例中，命令重定向装置38可以是无状态装置。

图5示出用于控制一次系统26’的过程控制系统24’的另一个实施例。过程控制系统24’包括命令重定向装置38，并且可从命令装置40接收控制命令。例如，命令装置40可以是站-SCADA系统14，但是还可包括适合无需人工操作员的干预来生成控制命令的控制逻辑。

另一方面，命令重定向装置38连接到数据总线或数据网络16。

过程控制系统24’包括：第一主要控制装置20a，用于控制一次系统26’的第一一次设备22a；以及第二主要控制装置20b，用于控制一次系统26’的第二一次设备22b。主要控制装置20a和20b连接以用于与数据总线16进行通信。过程控制系统24’还包括备用控制装置32’，备用控制装置32’连接到数据总线16，并且适合控制第一一次设备22a和第二一次设备22b。在主要控制装置20a、20b其中之一出故障的情况下，备用控制装置32’可从主要控制装置20a、20b的每个来接管控制和保护功能性。为此，备用控制装置32’可例如经由数据总线16从数据库42下载相应控制模块34a、34b和相应保护模块36a、36b。对于与命令装置40的通信，命令重定向装置38包括第一接口44，以及对于与过程控制系统24’的其它组件、即主要控制装置20a、20b、备用控制装置32’和数据库42的通信，命令重定向装置38具有连接到数据总线16的第二接口46。第二接口可适合采用IEC 61850、具体来说采用IEC 61850-8协议进行通信。

命令重定向装置38还包括用于执行命令重定向装置38的功能性的控制逻辑48。例如，接口44和46可以是以太网卡，控制逻辑48可以是处理器，以及具有所存储程序代码的存储器，或控制逻辑48可以是FPGA 48。

数据库42还可以是标识装置42。例如，如果存在一个以上备用控制装置32’或者命令重定向装置38不知道备用装置32’的网络地址，则命令重定向装置38可向数据库42请求备用控制装置32’的地址。数据库42’中可存在查找表，并且命令重定向装置能够采用主要控制装置20a、20b其中之一的地址来请求备用控制装置32’的地址。

图6示出用于过程控制系统24、24’的方法。

在步骤S10，命令装置40、14向第一主要控制装置20a发送控制命令。

在步骤S12，命令重定向装置38通过第一接口44来接收控制命令。

在步骤S14，命令重定向装置38的控制逻辑48从控制命令中提取第一主要控制装置20a的地址(或者在控制命令发送给另一个主要控制装置的情况下，从另一个主要控制装置提取第一主要控制装置20a的地址)。

在步骤S16，命令重定向装置38对第一主要控制装置20a(或者相应的另一个主要控制装置)进行试通。为此，命令重定向装置38通过数据总线16发送具有第一主要控制装置20a的地址的试通命令。如果第一主要控制装置20a应答该试通命令，则命令重定向装置将其解释为主要控制装置20a正在工作。

在第一主要控制装置20a没有应答来自命令重定向装置38的试通命令时，在步骤S18，命令重定向装置向数据库42请求备用控制装置32’的标识或地址。

在步骤S20，命令重定向装置38采用备用控制装置32’的地址来替换第一主要控制装置20a的地址。另外，在步骤S20，命令重定向装置38可请求备用控制装置32’下载数据库42中存储的第一主要控制装置20a的控制和保护功能性。

此后，在两种情况下，无论第一主要控制装置20a是否出故障，命令重定向装置均经由第二接口46发送最终修改的控制命令。

在步骤S24，主要控制装置20a或者备用控制装置32’接收控制命令并且运行该控制命令。此后，主要控制装置20a或者备用控制装置32’向命令装置40回送控制命令的执行的确认。该确认由命令重定向装置38采用第二接口46来接收。控制逻辑48再次检查消息是来自主要控制装置20a、20b还是来自备用控制装置32’。在确认是来自备用控制装置32’的情况下，控制逻辑48采用主要控制装置20a、20b的相应地址来替换备用控制装置的地址，并且此后经由第一接口44向命令装置40发出最终修改的消息。

图7示出可由命令重定向装置38的控制逻辑48来运行的程序元件。具体来说，图7示出用于试通任务或试通步骤的命令重定向装置38的逻辑。命令重定向装置38定期地向主要控制装置20a、20b、20c发送心跳信号。对于图7的程序元件，假定了控制装置是IED 20a、20b、20c。

图7的程序元件包含对于过程控制系统24、24’的多个IED的每个IED并行运行的循环。IED的地址存储在列表“ListIEDS”中。

在循环期间，命令重定向装置38对IED“ied”进行试通，并且此后在预定义时间段“time_out”期间等待试通命令的应答。

如果命令重定向装置38在时间段“time_out”之后没有接收到试通命令的应答，则命令重定向装置设置重定向。在这种情况下，命令重定向装置38例如借助于数据库42来检索备用IED，并且将连接从具有地址“ied”的IED重定向到具有地址“ied_backup”的IED。命令重定向装置38对于IED“ied”处于“有故障”状态。

如果重定向装置38接收来自被试通IED“ied”的应答，则为具有地址“ied”的IED设置直接连接。命令重定向装置38对于IED“ied”处于“正常”状态

图8示出可由命令重定向装置38的控制逻辑48来运行的程序元件。图8表示正常状态和有故障状态中的控制命令的情况下的逻辑。当命令重定向装置38接收到包含控制命令“command”的数据包时，功能“sendToIED”被运行。

在命令重定向装置38处于有故障状态(“redirect＝＝true”)的情况下，控制命令“command”的目标地址或目标IP被修改。此后，在两种情况下，即有故障状态和该状态中，将命令转发到数据总线16。

图9示出可由命令重定向装置38的控制逻辑48来运行的另一个程序元件。图9表示命令重定向装置38的正常状态和有故障状态中的控制操作或控制命令的确认的情况下的逻辑。当命令重定向装置38接收到包含控制装置20a、20b、20c、30a、30b、30c、32’其中之一的控制操作的确认的数据包“confirmation”时，功能“sendToSCADA”被运行。如果命令重定向装置38处于有故障状态，则确认的源地址或源IP经过修改，即，备用控制装置的地址由相应主要控制装置的地址来替换。

此后，在两种状态中，确认经由接口44转发给命令装置40。

功能模块可分别实现为编程软件模块或过程；但是，本领域的技术人员将会理解，功能模块能够完全或部分通过硬件来实现。

虽然在附图和以上描述中详细说明和描述了本发明，但是这种说明和描述被认为是说明性或示范性而不是限制性的；本发明并不局限于所公开的实施例。通过研究附图、本公开和所附权利要求书，对所公开的实施例的其它变更是本领域的并且实施要求保护的本发明的技术人员可以理解和实施的。在权利要求书中，词语“包括”并不排除其它元件或步骤，以及不定冠词“一”、并不排除多个。单个处理器或控制器或者其它单元可完成权利要求书中所述的若干项的功能。在互不相同的从属权利要求中陈述某些量度的纯粹的事实并不表示这些量度的组合不能用于产生良好效果。权利要求书中的任何参考标号不应当理解为限制范围。

参考标号列表

10变电站自动化系统

12连到SCADA系统的接口

14 SCADA系统

16数据总线，数据网络

18a，18b，18c 间隔

20a，20b，20c IED(主要控制装置)

22a，22b，22c一次设备

24，24′过程控制系统

26，26′一次系统

28a，28b保护装置

30a，30b冗余保护装置

32a，32b，32c冗余IED(备用控制装置)

34a，34b保护模块

36a，36b冗余保护模块

38命令重定向装置

40命令装置

32′备用控制装置

42数据库

44第一接口

46第二接口

48控制逻辑

Claims (15)

1.一种用于过程控制系统(24)、具体用于变电站自动化系统(10)的命令重定向装置(38)，所述过程控制系统(24)包括：

主要控制装置(20a)，用于控制一次系统(26)的一次设备(22a)，

备用控制装置(30a)，用于在所述第一控制装置(20a)的故障情况下控制所述一次设备(22a)，

其中所述命令重定向装置(38)适合接收送往所述主要控制装置(20a)的控制命令，并且在所述主要控制装置(20a)的故障情况下将所述控制命令重定向到所述备用控制装置(30a)。

2.如权利要求1所述的命令重定向装置(38)，其中，所述命令重定向装置(38)适合检测所述主要控制装置(20a)的故障。

3.如权利要求1所述的命令重定向装置(38)，

其中，所述控制命令包括所述主要控制装置(20a)的标识，

对于重定向所述控制命令，所述命令重定向装置(38)适合通过采用所述备用控制装置(30a)的标识替换所述主要控制装置(20a)的标识，来修改所述控制命令。

4.如权利要求3所述的命令重定向装置(38)，

其中，所述命令重定向装置(38)适合通过向标识装置(42)发送所述主要控制装置(20a)的标识来请求所述备用控制装置(30a)的标识，并且作为响应而从所述标识装置接收所请求备用标识。

5.如权利要求1所述的命令重定向装置(38)，

其中，所述命令重定向装置(38)具有用于连接到命令装置(40)的第一通信接口(44)，所述命令装置(40)适合生成所述控制命令，

所述命令重定向装置(38)适合从所述命令装置(40)接收所述控制命令，

所述命令重定向装置(38)具有用于经由数据网络(16)连接到所述主要控制装置(20a)和所述备用控制装置(30a)的第二通信接口(46)，

所述命令重定向装置(38)适合于向所述主要控制装置(20a)和所述备用控制装置(30a)传送所述控制命令。

6.如权利要求1-5中的任一项所述的命令重定向装置(38)，

其中，所述命令重定向装置(38)适合通过采用所述主要控制装置(20a)的标识替换所述确认消息中包含的所述备用控制装置(30a)的标识，来修改确认消息，其中所述确认消息确认所述控制命令的执行并且由所述备用控制装置(30a)传送。

7.如权利要求1所述的命令重定向装置(38)，

其中，所述过程控制系统(24’)包括用于控制所述一次系统(26’)的另一个一次设备(22b)的另一个主要控制装置(20b)，

所述备用控制装置(32’)适合于控制所述另一个一次设备(22b)，

所述命令重定向装置(38)适合检测所述另一个主要控制装置(22b)的故障，

所述命令重定向装置(38)适合在检测到所述另一个主要控制装置(20b)的故障时，将所述另一个主要控制装置(20b)的控制命令重定向到所述备用控制装置(32’)。

8.一种用于一次系统(26)的过程控制系统(24)，包括：

命令装置(14)，用于生成一件一次设备(22a)的控制命令，

主要控制装置(20a)，用于控制所述一次系统(26)的所述一件一次设备(22a)，

备用控制装置(30a)，用于在所述第一控制装置(20a)的故障情况下控制所述一件一次系统设备(22a)，

如权利要求1至7中的任一项所述的命令重定向装置(38)。

9.如权利要求8所述的过程控制系统(24)，还包括：

数据网络(16)，

其中，所述主要控制装置(20a)和所述备用控制装置(30a)连接到所述数据网络(16)，

所述控制命令是由所述数据网络(16)所传送的数据包，

所述主要控制装置(20a)通过第一网络地址来标识，

所述备用控制装置(30a)通过第二网络地址来标识，

所述命令重定向装置(38)通过所述数据网络(16)向所述主要控制装置(20a)和所述备用控制装置(30a)传送所述数据包。

10.如权利要求8和9中任一项所述的过程控制系统(24’)，还包括：

另一个主要控制装置(20b)，

其中，所述备用控制装置(38)配置成在由所述命令重定向装置(38)检测到所述主要控制装置(20a)的故障时执行所述主要控制装置(20a)的控制功能性，而在由所述命令重定向装置(38)检测到所述另一个主要控制装置(20b)的故障时执行所述另一个主要控制装置(20b)的控制功能性。

11.一种SCADA系统(24)，包括：

如权利要求1至7中的任一项所述的命令重定向装置(38)，

其中，所述SCADA系统(24)适合于生成所述控制命令。

12.如权利要求1至7中的任一项所述的命令重定向装置(38)在过程控制系统(24)中的用途。

13.一种用于一次系统(26)的过程控制系统(24)的方法，所述方法包括下列步骤：

向主要控制装置(20a)发送控制命令，所述主要控制装置(20a)适合于控制所述一次系统(26)的一次设备(22a)；

检测所述主要控制装置(20a)的故障；

如果检测到所述主要控制装置(20a)的故障，则将所述主要控制装置(20a)的所述控制命令重定向到备用控制装置(30a)，所述备用控制装置(30a)适合于控制所述一次系统(26)的所述一次设备(22a)。

14.一种其中存储了一次系统的过程控制系统的计算机程序的计算机可读介质，所述计算机程序在由处理器运行时适合执行如权利要求13所述的方法的步骤。

15.一种用于一次系统的过程控制系统的程序元件，在由处理器运行时适合执行如权利要求13所述的方法的步骤。

Images