CN107942646A - 一种安全性独立主备切换设备及方法 - Google Patents

Abstract

本发明涉及一种安全性独立主备切换设备及方法，所述的切换设备包括机笼、单片机板卡S1、单片机板卡S2、继电器J1、继电器J2、S1电源和S2电源，所述的继电器J1和J2安装到机笼内部的背板上，所述单片机板卡S1和S2安装于机笼内部并分别连接继电器J1和J2，所述单片机板卡S1和S2分别连接外部子系统A和外部子系统B，所述的S1电源和S2电源分别连接单片机板卡S1和S2；所述的继电器J1和J2为安全互斥继电器，所述的单片机板卡S1采集继电器J1的状态并发送给外部子系统A，所述的单片机板卡S2采集继电器J2的状态并发送给外部子系统B。与现有技术相比，本发明具有安全、可靠和主备切换快速无缝等优点。

Description

一种安全性独立主备切换设备及方法

技术领域

本发明涉及轨道交通信号设备领域，尤其是涉及一种安全性独立主备切换设备及方法。

背景技术

在轨道交通信号设备领域中，目前广泛使用双套热备冗余技术来提升设备的可靠性。热备冗余的一般技术是保证互为热备的两套系统同时运行，其中一套设备作为主机保证当前的计算和通信功能；另外设备作为备机保证与主机的同步工作状态，但不进行计算决策及对外通信。当主机故障时通过主备切换软件或硬件将备机转为主机，保证整个系统的不间断继续运行。

根据实现方式的不同，目前已有的主备切换控制方式有如下几种：

软件控制型：由主备系设备的软件自主协商主备控制，但是软件运行在主备系设备上，主备系设备本身故障会导致软件异常，使得主备控制失效。

简单开关类型：由独立开关强制控制主备状态，将主备结果发送给系统，强制指定主机和备机。这种方式依赖于第三方的操作，实时性较差。

开关状态和软件控制结合型：这种方式将上述两种方式结合，既可以强制指定主备状态；也可以设置为自动状态，此时由软件控制主备系状态。这种方式仍不能排除软件原因导致的主备控制失效。

独立控制型：主备系设备本身完全不参与主备决策，仅在自身正常时向主备控制设备发出做主机的申请，由独立的主备控制设备来判决主备，并将判决的结果送回给互为热备的两套设备。这种方式一般由门电路或CPLD/FPGA组成，不能排除因硬件故障导致的判决结果异常，可能会出现双机同时做主或同时做备的状态。

目前比较好的方式是采用独立控制的方式，既不受主备系设备自身的影响，也有很好的实时性。但是本身安全性受限，不能排除因自身故障导致的双主机判决结果，继而影响整个系统的安全性。

经过检索，中国专利公开号为CN103793300B公开了一种双机热备系统中快速主备切换装置和主备切换方法，包括硬件互斥电路、过滤电路，以及位于第一核心模块上的第一软件协商模块和第一看门狗模块，位于第二核心模块上的第二软件协商模块和第二看门狗模块，解决了现有主备切换系统中软件死机不能及时发现的问题，主备切换过程中的对外“双主”呈现问题，以及主备协商过程中的对外“双备”呈现问题。但该装置对外通信的方式没有采用两路通道传输同样的数据的方法，存在通信故障的可能性，而且该装置发送至外部的消息不是NISAL码字，使得外部系统可能收到错误的判决信息。

发明内容

本发明的目的就是为了克服上述现有技术存在的缺陷而提供一种安全性独立主备切换设备及方法。

本发明的目的可以通过以下技术方案来实现：

一种安全性独立主备切换设备，分别与外部子系统A和外部子系统B连接，用于实现外部子系统A和外部子系统B的主备切换，所述的切换设备包括机笼、单片机板卡S1、单片机板卡S2、继电器J1、继电器J2、S1电源和S2电源，所述的继电器J1和J2安装到机笼内部的背板上，所述单片机板卡S1和S2安装于机笼内部并分别连接继电器J1和J2，所述单片机板卡S1和S2分别连接外部子系统A和外部子系统B，所述的S1电源和S2电源分别连接单片机板卡S1和S2；其特征在于，所述的继电器J1和J2为安全互斥继电器，所述的单片机板卡S1采集继电器J1的状态并发送给外部子系统A，所述的单片机板卡S2采集继电器J2的状态并发送给外部子系统B，所述的外部子系统A和外部子系统B得到的互斥的判决结果，从而避免出现判决出双主情况。

优选地，所述的S1电源和S2电源均为220VAC输入电源。

优选地，所述的继电器J1和J2达到安全互斥的连接方式为：所述的单片机板卡S1对继电器J1吸起的电信号接收端通过继电器J2的一个常闭触点连接到继电器J1的励磁端，所述的单片机板卡S2对继电器J2吸起的电信号接收端通过继电器J1的一个常闭触点连接到继电器J2的励磁端，所述的单片机板卡S1的FLASH的DR0地址位连接到继电器J1的常闭触点，所述的单片机板卡S1的FLASH的DR1地址位连接到继电器J1的常开触点，所述的单片机板卡S2的FLASH的DR0地址位连接到继电器J2的常闭触点，所述的单片机板卡S2的FLASH的DR1地址位连接到继电器J2的常开触点。

优选地，所述的继电器J1和J2均为固有安全-故障型继电器。

优选地，所述的主备切换设备还包括切换开关，所述的切换开关设于设备的前面板上，所述的切换开关分别连接单片机板卡S1和单片机板卡S2，所述的切换开关包括三种档位：自动判决状态档位、强制外部子系统A做主状态档位和强制外部子系统B做主状态档位。

优选地，所述的单片机板卡S1和单片机板卡S2发给外部子系统A和外部子系统B的判决消息是根据继电器J1和J2状态采集到的预存NISAL码字。

优选地，从所述的切换设备收到外部子系统A和外部子系统B的输入消息到发判决输出消息给外部子系统A和外部子系统B的时间间隔为150ms。

优选地，所述的单片机板卡S1和单片机板卡S2分别包括四个CAN接口和四个RS422接口，所述的单片机板卡S1和单片机板卡S2选择CAN接口或RS422接口与外部通信，所述的每种通信方式都有两路通道，所述的两路通道传输同样的数据，即使一路故障另一路仍能够使用。

优选地，8个接口包含在设备后部的4个DB9接口中，所述的每个DB9接口包括1路CAN接口和1路RS422接口。

一种采用所述的安全性独立主备切换设备的方法，包括以下步骤：

(1).当切换开关置于自动判决状态档位时：

(11)：外部子系统A和外部子系统B将请求信息发送至单片机板卡S1和单片机板卡S2，单片机板卡S1和单片机板卡S2内的输入管理模块F1接收请求信息；

(12)：输入管理模块F1将外部请求发送给主备切换模块F3，若输入管理模块F1没有收到外部请求则将宽恕时间发送给F3，若后续一直没有收到新的外部请求，则宽恕时间会不断累加并发送给主备切换模块F3，若有收到新的外部请求，则宽恕时间清零；

(13)：主备切换模块F3根据输入管理模块F1传来的申请发送控制继电器动作的命令，收到做主请求则控制吸起继电器、收到释放请求则控制释放继电器，若收到宽恕时间并判断大于阈值，则控制释放继电器，同时主备切换模块F3将收到的切换开关档位信息发送给输出管理模块F5。

(14)：继电器J1和继电器J2根据主备切换模块F3的控制命令进行动作；

(15)：状态采集模块F2通过继电器J1和继电器J2设置的FLASH地址位进行寻址，并采集FLASH内代表做主或做备的NISAL码字发送给输出管理模块F5。

(16)：输出管理模块F5从状态采集模块F2收到的NISAL码字以及从主备切换模块F3收到的档位信息一并发送给外部子系统A和外部子系统B；

(17)：外部子系统A和外部子系统B根据收到的判决结果来设置自身的主备状态；

(2).当切换开关置于强制外部子系统A做主状态档位时：

设备工作流程和自动判决时一样，但在步骤(13)时主备控制模块F3忽略外部请求和宽恕时间，单片机板卡S1直接控制继电器J1吸起、单片机板卡S2直接控制继电器J2释放；

(3).当切换开关置于强制外部子系统B做主状态档位时：

工作流程和自动判决时一样，但在步骤(13)时主备控制模块F3忽略外部请求和宽恕时间，单片机板卡S1直接控制继电器J1释放、单片机板卡S2直接控制继电器J2吸起。

与现有技术相比，本发明具有以下优点：

1、单片机板卡S1和S2可以选择CAN或RS422作为对外通信的方式，每种通信方式都有两路，两路通道传输同样的数据，即使一路故障另一路仍能够使用，提升了通信的可靠性。

2、由于安全互斥继电器的安全互斥的特性，外部子系统A和外部子系统B在同一时间采集到的继电器的状态必然是互斥的；S1和S2利用继电器的状态作为判断主备状态并发送互斥的判决结果给外部子系统A和B，从而避免出现判决出双主情况。

3、发给外部子系统A和B的消息是根据继电器状态采集到的预存NISAL码字。NISAL技术是ALSTOM通过国际权威机构认证的SIL4安全技术，使得从本设备发出的信息即使在传输过程中出现错误，也是可以被检测到的。外部子系统不会相应被检测出错误的判决信息，保证了判决的安全性。

4、从收到外部子系统的输入消息(请求或放弃请求)到发判决输出消息给外部系统的时间间隔为150ms。保证外部子系统的快速、无缝主备切换。

附图说明

图1为本发明的设备结构示意图；

图2为本发明的安全原理示意图；

图3为本发明的设备工作流程图。

具体实施方式

下面将对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明的一部分实施例，而不是全部实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动的前提下所获得的所有其他实施例，都应属于本发明保护的范围。

如图1所示，一种安全性独立主备切换设备，提供安全的主备切换控制功能，包括机笼、单片机板卡S1、单片机板卡S2、继电器J1、继电器J2、S1电源和S2电源，所述的继电器J1和J2安装到机笼内部的背板上，所述单片机板卡S1和S2安装于机笼内部并分别连接继电器J1和J2，所述单片机板卡S1和S2分别连接外部子系统A和外部子系统B，所述的S1电源和S2电源分别连接单片机板卡S1和S2；所述的继电器J1和J2为安全互斥继电器，所述的单片机板卡S1和S2采集继电器J1和J2的状态作为判断主备状态并发送互斥的判决结果给外部子系统A和B，从而避免出现判决出双主情况。

所述的S1电源和S2电源均为220VAC输入电源。

所述的主备切换设备还包括切换开关，所述的切换开关设于设备的前面板上，所述的切换开关分别连接单片机板卡S1和S2，所述的切换开关包括三种档位：自动判决状态档位、强制外部子系统A做主状态档位和强制外部子系统B做主状态档位。

所述的单片机板卡S1和S2发给外部子系统A和B的判决消息是根据继电器J1和J2状态采集到的预存NISAL码字。

从所述的设备收到外部子系统A和B的输入消息(请求或放弃请求)到发判决输出消息给外部子系统A和B的时间间隔为150ms。

所述的单片机板卡S1和S2分别包括四个CAN接口和四个RS422接口，所述的单片机板卡S1和S2可选择CAN接口或RS422接口与外部通信，所述的每种通信方式都有两路通道，所述的两路通道传输同样的数据，即使一路故障另一路仍能够使用。

所述的8个接口包含在设备后部的4个DB9接口中，所述的每个DB9接口包括1路CAN接口和1路RS422接口。

所述的继电器J1和J2达到安全互斥的连接方式为：所述的单片机板卡S1对继电器J1吸起的电信号Power1 12V通过继电器J2的一个常闭触点连接到继电器J1的励磁端，所述的单片机板卡S2对继电器J2吸起的电信号Power2 12V通过继电器J1的一个常闭触点连接到J2的励磁端，所述的单片机板卡S1的FLASH的DR0地址位连接到继电器J1的常闭触点，所述的单片机板卡S1的FLASH的DR1地址位连接到继电器J1的常开触点，所述的单片机板卡S2的FLASH的DR0地址位连接到继电器J2的常闭触点，所述的单片机板卡S2的FLASH的DR1地址位连接到继电器J2的常开触点。

所述的继电器J1和J2为固有安全-故障型继电器。

对应切换开关控制的三种工作状态，继电器J1和J2的工作原理：

当外部子系统A首先申请做主时，单片机板卡S1首先控制吸起继电器J1，单片机板卡S1控制Power1 12V通过继电器J2的常闭触点接入继电器J1励磁端，吸起继电器J1。此时继电器J1的常闭触点打开，Power2 12V到继电器J2励磁端的通路被切断，单片机板卡S2要求吸起继电器J2的操作无法真正吸起继电器J2，但只要外部子系统B持续申请做主，单片机板卡S2将保持Power2 12V的励磁输出。此时单片机板卡S1由继电器状态决定的DR0地址为“0”，DR1地址为“1”，即单片机板卡S1板FLASH寻址的最高两位被设为“01”，此区域FLASH内存放的是代表判决做主机的NISAL码字。对应单片机板卡S2板FLASH寻址的最高两位则被设为“10”，此区域FLASH内存放的是代表判决做备机的NISAL码字。两套码字将分别发送给外部子系统A和B，即A机做主机，B机做备机。

若单片机板卡S2仍持续收到外部子系统B的做主申请，单片机板卡S2将保持Power2 12V的励磁输出。当单片机板卡S1收到要求释放继电器或无法连接到外部子系统A时，单片机板卡S1不再输出Power1 12V，继电器J1被控制释放。Power2 12V连接到继电器J1的触点从断开状态变为闭合状态，Power2 12V的输出被送至继电器J2励磁端，继电器J2被吸起。此时Power1 12V连接到继电器J2上的触点被打开，在继电器J2被释放前，继电器J1无法再被励磁吸起。此时单片机板卡S2由继电器状态决定的DR0地址为“0”，DR1地址为“1”，即单片机板卡S2板FLASH寻址的最高两位被设为“01”，此区域FLASH内存放的是代表判决做主机的NISAL码字。对应单片机板卡S1板FLASH寻址的最高两位则被设为“10”，此区域FLASH内存放的是代表判决做备机的NISAL码字。两套码字将分别发送给外部子系统A和B，即A机做备机，B机做主机。

当外部子系统B首先申请做主时，单片机板卡S2首先控制吸起继电器J2，单片机板卡S2控制Power2 12V通过继电器J1的常闭触点接入继电器J2励磁端，吸起继电器J2。此时继电器J2的常闭触点打开，Power1 12V到继电器J1励磁端的通路被切断，单片机板卡S1要求吸起继电器J1的操作无法真正吸起继电器J1，但只要外部子系统A持续申请做主，单片机板卡S1将保持Power1 12V的励磁输出。此时单片机板卡S2由继电器状态决定的DR0地址为“0”，DR1地址为“1”，即单片机板卡S2板FLASH寻址的最高两位被设为“01”，此区域FLASH内存放的是代表判决做主机的NISAL码字。对应单片机板卡S1板FLASH寻址的最高两位则被设为“10”，此区域FLASH内存放的是代表判决做备机的NISAL码字。两套码字将分别发送给外部子系统A和B，即A机做备机，B机做主机。

若单片机板卡S1仍持续收到外部子系统A的做主申请，单片机板卡S1将保持Power1 12V的励磁输出。当单片机板卡S2收到要求释放继电器或无法连接到外部子系统B时，单片机板卡S2不再输出Power2 12V，继电器J2被控制释放。Power1 12V连接到继电器J2的触点从断开状态变为闭合状态，Power1 12V的输出被送至继电器J1励磁端，继电器J1被吸起。此时Power2 12V连接到继电器J1上的触点被打开，在继电器J1被释放前，继电器J2无法再被励磁吸起。此时单片机板卡S1由继电器状态决定的DR0地址为“0”，DR1地址为“1”，即单片机板卡S1板FLASH寻址的最高两位被设为“01”，此区域FLASH内存放的是代表判决做主机的NISAL码字。对应单片机板卡S2板FLASH寻址的最高两位则被设为“10”，此区域FLASH内存放的是代表判决做备机的NISAL码字。两套码字将分别发送给外部子系统A和B，即A机做主机，B机做备机。

当单片机板卡S1收到要求释放继电器或无法连接到外部子系统A且单片机板卡S2收到要求释放继电器或无法连接到外部子系统B时。单片机板卡S1不再输出Power1 12V，单片机板卡S2不再输出Power2 12V。继电器J1和J2均被释放。此时单片机板卡S1和S2的FLASH寻址的最高两位都是“10”，此区域FLASH内存放的是代表判决做备机的NISAL码字。此时向外部子系统A和B发送的信息都是做备机。

如图2所示，本发明的安全结构由切换开关、单片机板卡S1、单片机板卡S2、安全继电器J1、安全继电器J2组成。切换开关控制三种工作状态，外部子系统A和B分别将自身请求发给单片机板卡S1和S2，单片机板卡S1和S2分别控制继电器J1和J2，单片机板卡S1和S2将采集FLASH内的代表做主或做备的NISAL码字以及档位信息一并发送给外部子系统A和B。

如图3所示，对应切换开关控制的三种工作状态，本设备的工作流程包括以下步骤：

(1).当切换开关置于自动判决状态档位时(即切换开关送至单片机板卡S1和S2内主备切换模块F3的档位信息为自动判决)：

(11)：外部子系统A和B将请求信息发送至单片机板卡S1和S2，单片机板卡S1和S2内的输入管理模块F1接收请求信息。

(12)：输入管理模块F1将外部请求发送给主备切换模块F3。若F1没有收到外部请求则会将宽恕时间发送给F3，若后续一直没有收到新的外部请求，则宽恕时间会不断累加并发送给F3，若有收到新的外部请求，则宽恕时间清零。

(13)：主备切换模块F3根据输入管理模块F1传来的申请发送控制继电器动作的命令，收到做主请求则控制吸起继电器、收到释放请求则控制释放继电器。若收到宽恕时间并判断大于阈值(阈值为略大于外部子系统与输入管理模块F1通信间隔的一个时间值)，则控制释放继电器。同时主备切换模块F3还会将收到的切换开关档位信息发送给输出管理模块F5。

(14)：继电器J1和J2根据主备切换模块F3的控制命令进行动作。

(15)：状态采集模块F2通过继电器J1和J2设置的FLASH地址位进行寻址，并采集FLASH内的代表做主或做备的NISAL码字发送给输出管理模块F5。

(16)：输出管理模块F5将从状态采集模块F2收到的NISAL码字以及从主备切换模块F3收到的档位信息一并发送给外部子系统A和B。

(17)：外部子系统A和B根据收到的判决结果来设置自身的主备状态。

(2).当切换开关置于强制外部子系统A做主状态档位时(即切换开关送至主备切换模块F3的档位信息为外部子系统A做主)：

设备工作流程和自动判决时一样，但在步骤(23)时主备控制模块F3忽略外部请求和宽恕时间。单片机板卡S1直接控制继电器J1吸起、单片机板卡S2直接控制继电器J2释放。

(3).当切换开关置于强制外部子系统B做主状态档位时(即切换开关送至主备切换模块F3的档位信息为外部子系统B做主)：

工作流程和自动判决时一样，但在步骤(33)时主备控制模块F3忽略外部请求和宽恕时间。单片机板卡S1直接控制继电器J1释放、单片机板卡S2直接控制继电器J2吸起。

目前该设备已经应用于深圳有轨电车龙华线以及成都有轨电车IT大道线的信号系统中，在现场使用验证之后，证明完全能达到预定的设计需求，提供安全的主备切换控制功能。

以上所述，仅为本发明的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到各种等效的修改或替换，这些修改或替换都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求的保护范围为准。

Claims (10)

1.一种安全性独立主备切换设备，分别与外部子系统A和外部子系统B连接，用于实现外部子系统A和外部子系统B的主备切换，所述的切换设备包括机笼、单片机板卡S1、单片机板卡S2、继电器J1、继电器J2、S1电源和S2电源，所述的继电器J1和J2安装到机笼内部的背板上，所述单片机板卡S1和S2安装于机笼内部并分别连接继电器J1和J2，所述单片机板卡S1和S2分别连接外部子系统A和外部子系统B，所述的S1电源和S2电源分别连接单片机板卡S1和S2；其特征在于，所述的继电器J1和J2为安全互斥继电器，所述的单片机板卡S1采集继电器J1的状态并发送给外部子系统A，所述的单片机板卡S2采集继电器J2的状态并发送给外部子系统B，所述的外部子系统A和外部子系统B得到的互斥的判决结果，从而避免出现判决出双主情况。

2.根据权利要求1所述的一种安全性独立主备切换设备，其特征在于，所述的S1电源和S2电源均为220VAC输入电源。

3.根据权利要求1所述的一种安全性独立主备切换设备，其特征在于，所述的继电器J1和J2达到安全互斥的连接方式为：所述的单片机板卡S1对继电器J1吸起的电信号接收端通过继电器J2的一个常闭触点连接到继电器J1的励磁端，所述的单片机板卡S2对继电器J2吸起的电信号接收端通过继电器J1的一个常闭触点连接到继电器J2的励磁端，所述的单片机板卡S1的FLASH的DR0地址位连接到继电器J1的常闭触点，所述的单片机板卡S1的FLASH的DR1地址位连接到继电器J1的常开触点，所述的单片机板卡S2的FLASH的DR0地址位连接到继电器J2的常闭触点，所述的单片机板卡S2的FLASH的DR1地址位连接到继电器J2的常开触点。

4.根据权利要求3所述的一种安全性独立主备切换设备，其特征在于，所述的继电器J1和J2均为固有安全-故障型继电器。

5.根据权利要求1所述的一种安全性独立主备切换设备，其特征在于，所述的主备切换设备还包括切换开关，所述的切换开关设于设备的前面板上，所述的切换开关分别连接单片机板卡S1和单片机板卡S2，所述的切换开关包括三种档位：自动判决状态档位、强制外部子系统A做主状态档位和强制外部子系统B做主状态档位。

6.根据权利要求1所述的一种安全性独立主备切换设备，其特征在于，所述的单片机板卡S1和单片机板卡S2发给外部子系统A和外部子系统B的判决消息是根据继电器J1和J2状态采集到的预存NISAL码字。

7.根据权利要求1所述的一种安全性独立主备切换设备，其特征在于，从所述的切换设备收到外部子系统A和外部子系统B的输入消息到发判决输出消息给外部子系统A和外部子系统B的时间间隔为150ms。

8.根据权利要求1所述的一种安全性独立主备切换设备，其特征在于，所述的单片机板卡S1和单片机板卡S2分别包括四个CAN接口和四个RS422接口，所述的单片机板卡S1和单片机板卡S2选择CAN接口或RS422接口与外部通信，所述的每种通信方式都有两路通道，所述的两路通道传输同样的数据，即使一路故障另一路仍能够使用。

9.根据权利要求8所述的一种安全性独立主备切换设备，其特征在于，8个接口包含在设备后部的4个DB9接口中，所述的每个DB9接口包括1路CAN接口和1路RS422接口。

10.一种采用权利要求1-9所述的安全性独立主备切换设备的方法，其特征在于：包括以下步骤：

(1).当切换开关置于自动判决状态档位时：

(11)：外部子系统A和外部子系统B将请求信息发送至单片机板卡S1和单片机板卡S2，单片机板卡S1和单片机板卡S2内的输入管理模块F1接收请求信息；

(12)：输入管理模块F1将外部请求发送给主备切换模块F3，若输入管理模块F1没有收到外部请求则将宽恕时间发送给F3，若后续一直没有收到新的外部请求，则宽恕时间会不断累加并发送给主备切换模块F3，若有收到新的外部请求，则宽恕时间清零；

(13)：主备切换模块F3根据输入管理模块F1传来的申请发送控制继电器动作的命令，收到做主请求则控制吸起继电器、收到释放请求则控制释放继电器，若收到宽恕时间并判断大于阈值，则控制释放继电器，同时主备切换模块F3将收到的切换开关档位信息发送给输出管理模块F5。

(14)：继电器J1和继电器J2根据主备切换模块F3的控制命令进行动作；

(15)：状态采集模块F2通过继电器J1和继电器J2设置的FLASH地址位进行寻址，并采集FLASH内代表做主或做备的NISAL码字发送给输出管理模块F5。

(16)：输出管理模块F5从状态采集模块F2收到的NISAL码字以及从主备切换模块F3收到的档位信息一并发送给外部子系统A和外部子系统B；

(17)：外部子系统A和外部子系统B根据收到的判决结果来设置自身的主备状态；

(2).当切换开关置于强制外部子系统A做主状态档位时：

设备工作流程和自动判决时一样，但在步骤(13)时主备控制模块F3忽略外部请求和宽恕时间，单片机板卡S1直接控制继电器J1吸起、单片机板卡S2直接控制继电器J2释放；

(3).当切换开关置于强制外部子系统B做主状态档位时：

工作流程和自动判决时一样，但在步骤(13)时主备控制模块F3忽略外部请求和宽恕时间，单片机板卡S1直接控制继电器J1释放、单片机板卡S2直接控制继电器J2吸起。