CN112445127B - 主备控制器的冗余控制方法 - Google Patents

Abstract

本发明提供了一种主备控制器的冗余控制方法，在每个正常的同步周期，包括步骤：A、主控制器获取外部输入变量数据；备控制器从主控制器获得所述输入变量数据；B、主、备控制器分别将所述输入变量数据进行逻辑运算；C、对逻辑运算的结果进行一致性判断，并在判断为一致时将结果作为输出数据输出。本发明通过对主备控制器的逻辑同步和主备切换仲裁进行优化设计，保证主备控制器的一致性，降低主备控制器切换时造成的扰动，省去系统停机时间，保证控制系统的无间断稳定运行。

Description

主备控制器的冗余控制方法

技术领域

本发明涉及工业自动控制技术领域，特别涉及一种主备控制器的冗余控制方法。

背景技术

随着工业自动控制的发展，工控现场对控制系统的可靠性提出了更高的要求，于是出现了双机冗余技术，互为冗余的一对控制器，当主控制器故障时，备控制器可以第一时间代替其工作，以保证控制系统的可持续运行。

在冗余控制中，主、备控制器的输入变量数据来源均来自外部总线的外部输入变量数据，主、备控制器分别对这些数据进行逻辑运算、一致性判断，以及切换逻辑的判断等。由于输入变量数据均来自外部数据，当主、备控制器各自运算周期同步出现误差时，导致读取的外部数据产生时差，则可能主、备控制器分别读取到不同的数据，导致计算结果的不一致，造成控制系统发送故障，影响可靠性。因此需要给主备控制器增加有维持两者运行的同步机制，以降低主备控制器切换时造成的扰动，保证控制系统的无间断稳定运行。

发明内容

有鉴于此，本发明的主要目的在于提供一种主备控制器的冗余控制方法，通过使备控制器从主控制器获取输入变量数据，保证主备控制器读取到相同的输入变量数据，在正常运行的情况下输出相同的计算结果，从而保证主备控制器内数据的一致性，避免背景技术所提到的技术问题。

本发明采用的技术方案为，一种主备控制器的冗余控制方法，在每个正常的同步周期，包括步骤：

A、主控制器获取外部输入变量数据；备控制器从主控制器获得所述输入变量数据；

B、主、备控制器分别将所述输入变量数据进行逻辑运算；

C、对逻辑运算的结果进行一致性判断，并在判断为一致时将结果作为输出数据输出。

由上，本发明通过主控制器从外部获取输入变量数据，并把输入变量数据同步给备控制器，使主备控制器均对输入变量数据进行同步逻辑运算，并对逻辑运算的结果进行判断，判断一致时再输出数据，从而保证了主备控制器的一致性，防止主备控制器分别读取到不同的数据，导致计算结果的不一致，造成控制系统发送故障，影响系统的可靠性。

进一步改进，步骤A还包括：所述备控制器从主控制器获得所述输入变量数据失败时，备控制器获取外部输入变量数据，并启动切换仲裁逻辑步骤。

由上，通过仲裁逻辑可实现主备控制器的主备切换仲裁，主备控制器相互之间通过状态通信通道向对方传递自身状态信息，以供对方诊断自身的活跃性，当诊断到自身异常时，则变更状态信息并第一时间发送给对方，双方根据最新的状态信息和权重做出主备切换仲裁，并调整各自的主备状态，从而降低主备控制器切换时造成的扰动，省去系统停机时间，保证控制系统的无间断稳定运行。

其中，所述失败包括：备控制器在特定时间内未收到主控制器发送的所述输入变量数据。

由上，正常运行状态下，主控制器在接收到新的输入变量数据时，会同步至备控制器，当备控制器在特定时间内未收到时，则判定同步过程出现异常，此时可启动仲裁逻辑，进行主备切换仲裁。

其中，步骤B包括：

由主控制器向备控制器发送启动信号，且，主控制器将所述输入变量数据进行逻辑运算；

备控制器在收到所述启动信号后，将所述输入变量数据执行逻辑运算。

由上，启动信号作为备控制器执行逻辑运算的触发信号，主控制器在执行本周期内的逻辑运算前，需发送启动信号至备控制器，使备控制器同步进行逻辑运算，保证主备控制器逻辑运算的同步进行。

其中，步骤C所述对逻辑运算的结果进行一致性判断的步骤包括：

主控制器将逻辑运算结果相关数据发送给备控制器，由备控制器将该逻辑运算结果相关数据与自己的逻辑运算结果相关数据进行一致性判断。

其中，所述逻辑运算结果相关数据包括根据包括逻辑运算结果计算的数据校验值。

由上，同一个周期的逻辑运算结束后，主控制器将逻辑运算的数据校验值发送至备控制器，与备控制器的逻辑运算结果进行一致性判断，并反馈比较结果至主控制器。

其中，步骤C所述将结果输出的步骤包括：

由备控制器反馈给主控制器一致性信息后，由主控制器将结果输出。

由上，当备控制器判断主备控制器的逻辑运算结果一致时，主控制器将运算结果作为输出数据进行输出。

进一步改进，步骤C所述结果不一致时，还包括：

在执行下一周期的步骤B前，主控制器还将包括运算过程量的动态数据同步给备控制器，所述运算过程量用于所述逻辑运算。

由上，当备控制器进行一致性判断的结果不一致时，主控制器默认自己的运算结果为正确结果并进行输出，同时还可输出一报警信息，判定备控制器的逻辑运算出错，并在下一个新周期到来时，除了同步新的输入变量数据至备控制器，还会将包括全局变量数据和过程变量数据的运算过程量同步至备控制器。

进一步改进，在上电过程中或工程下装过程中还包括：

在执行步骤A前，主控制器向备控制器进行静态数据同步、动态数据同步的步骤；

所述静态数据包括逻辑工程文件、配置文件；

所述动态数据包括外部输入变量数据、运算过程量。

由上，在运行主备控制器的冗余控制之前，需要将预先设定的工程配置文件和逻辑运算工程文件等静态数据同步到主控制器，并由主控制器同步至备控制器，使主备控制器保持一致，然后再进行动态数据的同步，然后即可正常运行主备控制器的冗余控制。

进一步改进，还包括，主备控制器周期性传递自身状态信息，并在状态信息异常时启动切换仲裁逻辑步骤。

由上，主备控制器均处于运行正常情况下，主备控制器之间通过状态通信通道周期性传递自身状态信息，此信息类似心跳信号，以供对端机判定自身的活跃性，当诊断到自身异常时，则变更状态信息并第一时间发送给对端机，双方根据最新的状态信息和权重做出主备切换仲裁，并调整各自主备状态。

其中，所述仲裁逻辑依据至少下述之一进行主备切换仲裁：

关键任务运行状态、逻辑任务运行状态、与HMI通信状态、与IO通信状态、与其他控制站之间的通信状态、与对端机通信状态；

上述不同的状态可设置不同的用于主备切换仲裁判断的权值和/或优先级。

由上，状态信息权重主要用于互为冗余的主备控制器均有故障时，提供一种机制保证系统能做出主备切换仲裁，权重顺序可以根据具体系统和应用进行调整。

附图说明

图1为本发明主备控制器的冗余控制方法的流程图；

图2为本发明上电启动阶段主备控制器数据同步过程示意图；

图3为本发明工程下装阶段主备控制器数据同步过程示意图；

图4为本发明正常循环周期主备控制器数据同步过程示意图；

图5为本发明主备切换仲裁过程示意图；

图6为本发明正常循环周期主备控制器数据同步过程的一个实施例的示意图；

图7为本发明工程下装阶段主备控制器数据同步过程的一个实施例的示意图。

具体实施方式

下面参照图1～图6对本发明所述的主备控制器的冗余控制方法的具体实施方式进行详细说明。

本发明提供的主备控制器的冗余控制方法，应用于互为冗余的一对控制器，其中一个为主控制器(本机)，执行对外部数据的采集(即外部数据数据)和控制命令(为运算结果，属于输出数据的一种)的发送，另一个为备控制器(对端机)，接收主控制器同步过来的数据，该主备控制器之间设有高速数据通道以互相进行逻辑数据同步，还设有可靠的状态通信通道以相互进行状态信息的传递，主备控制器与IO的通信总线均通信连接。

如图1所示的主备控制器的冗余控制方法的流程图，当应用于上述主备控制器进行冗余控制时，包括以下步骤：

S100：上电启动或工程下装开始时，主控制器获取外部的静态数据和动态数据，备控制器从主控制器获得所述静态数据和动态数据；

本步骤为上电启动阶段或工程下装阶段开始时的步骤，为冗余控制进入正常循环周期前的步骤，是主备控制器正常同步逻辑运算前的准备阶段。

参见如图2所示的上电启动阶段主备控制器数据同步过程示意图，主备控制器上电启动中，需保证主备控制器之间静态数据的一致性，主控制器读取自身flash存储器上的静态数据，该静态数据包括逻辑工程文件和配置文件，然后接收到备控制器的静态数据同步请求时，将该静态数据同步至备控制器；

需要说明的是，主控制器通过总线或网络从外部获取静态数据后，会将静态数据存储于自身的存储器中，在每次正常上电启动阶段，将会读取自身存储器中的静态数据，若读取不到时，则会从外部重新获取静态数据；

除静态数据之外，主控制器也将动态数据同步至备控制器，动态数据包括输入变量数据、全局变量数据和过程变量数据。其中输入变量数据由主控制器通过总线从外部设备(IO等)获取，全局变量数据一般为系统属性变量和时钟计数变量等，过程变量数据为逻辑运算过程的中间变量。当主备控制器的同步工作完成，可执行步骤S200的逻辑运算。需要说明的是，在上电启动过程中，如果需要向外输出结果数据(例如处理后生成的运算数据、指令数据等)，则以主控制器所产生的要输出的结果数据为准进行输出。

参见如图3所示的工程下装阶段主备控制器数据同步过程示意图，当本主备控制器需要更换新的控制工程时(如升级、或版本更换等)，在新工程下装阶段中，也需保证主备控制器之间逻辑工程文件和配置文件的一致性，可以通过同时下装给主备控制器，或下装给其中一个控制器，然后通过主备控制器之间高速数据通道同步给对端机，本发明的优选实施例中，仍然选择将逻辑工程文件和配置文件下装到主控制器，然后再由主控制器同步至备控制器，以保证主备控制器的静态数据的一致；

上述静态数据的同步完成之后，主控制器会将获取的动态数据(输入变量数据和运算过程量数据)同步至备控制器，使主备控制器的工程下装的准备工作完成，可执行步骤S200的逻辑运算。后文将对图3所示的工程下装的过程进一步详细说明。

上述静态数据和动态数据中的运算过程量数据(全局变量数据、过程变量数据)，在上电启动阶段或工程下装阶段，均需要进行主备控制器之间的同步，以确保主备控制器数据的一致性。

需要说明的是，当备控制器在特定时间内未收到主控制器发送的静态数据和动态数据时，备控制器需要自行从外部中获取相关数据，并启动切换仲裁逻辑步骤。

S200：主、备控制器分别将所述输入变量数据进行逻辑运算；

参见如图4所示的正常循环周期主备控制器数据同步过程示意图，当该主备冗余控制处于正常循环周期阶段，在每个相同的循环周期起始时，由主控制器通过总线获取来自外部设备的输入变量数据，并将该输入变量数据同步至备控制器，以由主备控制器分别对输入变量数据执行逻辑运算。

S300：对主备控制器各自的逻辑运算的结果进行一致性判断，当判断为一致时，主控制器向外部输出结果数据，并返回步骤S200，进入下一个周期。

后文将对图4示出的正常循环周期主备控制器数据同步过程(即步骤S200-S300所述的步骤)进一步详细说明。

由上可以看出，本发明使备控制器从主控制器处获取外部的输入变量数据，并同步进行逻辑运算以及逻辑运算结果的一致性判定，保证主备控制器读取到相同的输入变量数据，从而保证主备控制器的一致性，避免背景技术中所提到的技术问题。

上述主要描述了本发明主备控制器之间的数据同步方法，下面对本发明的主备切换仲裁逻辑进行介绍。在上述上电启动阶段、工程下装阶段或者正常循环周期阶段，当备控制器在特定时间内未收到主控制器同步的数据(静态数据或动态数据)时，此时，备控制器加载从总线所获取的数据(静态数据和动态数据)，并启动切换仲裁逻辑步骤；并且，主备控制器之间也会通过状态通信通道周期性向对方传递自身状态信息，并在状态信息异常时启动切换仲裁逻辑。

其中，所述状态信息包括关键任务运行状态、逻辑任务运行状态、与HMI通信状态、与IO通信状态、与其他控制站之间的通信状态、与对端机通信状态等，该状态信息作为主备切换仲裁的依据，且该状态信息可根据具体系统自定义，本发明的实施例中，状态信息的权重如下：

与对端机通信>逻辑任务>与IO通信>与其他控制站通信>与HMI通信状态；另外，除了权重之外，各个状态信息还可以设置不同的优先级。

上述状态信息的权重主要用于互为冗余的主备控制器均有故障时，提供一种机制保证系统能做出主备切换仲裁，以上权重顺序仅为一般系统的建议顺序，可以根据具体系统和应用进行调整。

其中，主备控制器均处于运行正常情况下，主备控制器之间通过状态通信通道以周期加变化同步的方式传递自身状态信息，此信息类似心跳信号，以供对端机判定自身的活跃性；当诊断到自身状态信息发生变化时，则变更状态信息并第一时间发送给对端机，双方根据最新的状态信息和权重做出主备切换仲裁，并调整各自主备状态；上述主备控制器之间状态通信通道必须可靠，当多周期未获取到对端机状态信息时，则判定对端机运行异常，如果本机为主控制器，做备控制器异常告警，如果本机为备控制器，则通过状态通信通道、主备高速数据通道向对端机发送本机升主消息，然后升为主控制器，对端机则降为备控制器，完成主备切换。

本实施例中的主备切换仲裁模式支持单机模式、双主机模式、双备机模式，具体可根据具体系统进行选择，除此之外，主备切换仲裁过程中的检测未获取到对端机状态信息的次数，以及发送本机升主消息到本机执行升主动作的时间延迟，需要根据具体系统的时间承受力进行设定。

如图5示出了主备切换仲裁的一个具体的实施例，包括以下步骤：

S501-502：本机和对端机通过状态通信通道周期性传递自身状态信息，当任何一方诊断到自身状态信息发生变化时，首先判断对端机是否下线，若下线，执行步骤S503；若未下线，执行步骤S508；

S503-504：对于对端机下线的情况，复位切换锁定标志、网络连接状态标注及其他一些状态标志；

S505-507：判断本机角色，若本机为备控制器，则将备控制器切换为主控制器进行工作，并结束本次主备切换仲裁任务；若本机为主控制器，则作备控制器异常报警提示，并结束本次主备切换仲裁任务；

S508-511：对于对端机未下线的情况，判定当前心跳数据队列上是否有心跳数据包，若有心跳数据包，则读取心跳数据队列上的软心跳数据包，并更新对端机的分散处理单元(DPU)状态；若无心跳数据包，则查看对端机和本机的切换锁定状态，若有一方为锁定状态，则结束本次主备切换仲裁任务，否则执行步骤S512；

S512-513：对于本机和对端机均未锁定的情况，则依据算法计算自身的健康值及对端机的健康值，并根据双机状态执行后续步骤；

S514-516：若采用的为双备机模式，判断本机的IP状态大小值，若为小IP状态，则将本机切换为主控制器，并复位裁决标志，并结束本次主备切换仲裁任务，若本机为大IP状态，则无需切换，结束本次主备切换仲裁任务；

S517：若采用的为一主一备模式，则需判断本机的健康状态；

S518-521：当本机的健康状态差于对端机，若本机为主控制器，则发送切换指令，切换为备控制器，将原备控制器升主；若本机为备控制器，则作备控制器异常报警提示，并结束本次主备切换仲裁任务；

S522-525：当本机的健康状态好于对端机，若本机为备控制器，则接收切换指令，将备控制器切换为主控制器，并结束本次主备切换仲裁任务，若本机为主控制器，则作备控制器异常报警提示，并结束本次主备切换仲裁任务；

S526-530：若采用的为双主机模式，首先判断本机健康状态，若差于对端机，则将本机切换为备控制器，并结束本次主备切换仲裁任务；若等于对端机，则判断本机的IP状态大小值，若为小IP，则无需切换，并结束本次主备切换仲裁任务，若为大IP，则切换为备控制器，并结束本次主备切换仲裁任务；若好于对端机，则保持主机状态不变。

如图6示出了正常循环周期主备控制器数据同步过程的一个具体的实施例，包括以下步骤：

S601-602：一个周期起始时，由主控制器从总线读取自外部设备的输入变量数据存储至其缓冲区；

此时，备控制器等待数据并计时开始，若超时，则会从总线读取自外部设备的输入变量数据存储至其缓冲区，若未超时，则会在该计时时限截止期内，备控制器会收到后续步骤S605主控制器所发送的数据，并使计时复位；

S603-605：主控制器根据前一周期收到的来自备控制器的校验结果确定要同步到备控制器的数据，当所述校验结果为一致时，主控制器将所述输入变量数据发送至备控制器；当为不一致时，主控制器将全部动态数据，即全局变量、过程变量以及所述输入变量数据依次发送给备控制器；其中，全局变量数据、过程变量数据即为当前的运算过程量数据。

S606-607：由主控制器向备控制器发送启动信号，并且，主控制器将输入变量数据进行逻辑运算；

S608：备控制器在收到主控制器发送的启动信号后，也将输入变量数据执行逻辑运算；上述启动信号作为备控制器启动执行逻辑运算的触发信号，使得主备控制器的逻辑运算过程在同一个周期内执行。

S609：主控制器对输入变量数据执行逻辑运算完成后，计算逻辑运算结果的数据校验值，并发送给备控制器；

S610：备控制器将收到的该数据校验值与自己的由其逻辑运算结果计算的数据校验值进行一致性判断；

S611：备控制器反馈比较结果至主控制器，

S612-613：当逻辑运算结果的一致性判断为一致时，主控制器将逻辑运算的结果进行输出；不一致时，主控制器默认自己的逻辑运算的结果为正确结果，将该逻辑运算的结果进行输出，并发出主备运算结果不一致的告警信息；

然后，返回步骤S601，执行下一个周期。

值得说明的是，当一个或多个周期的逻辑运算结果的一致性判断均为不一致时，当判定主备控制器的冗余控制出现异常，当采取适当手段进行异常处理，具体可容纳异常周期次数可根据具体系统进行设定。

如图7示出了工程下装阶段主备控制器数据同步过程的一个具体的实施例，包括以下步骤：

S701：上电阶段，主控制器获取外部设备的工程所需文件，备控制器从主控制器获取所述工程所需文件；

主备控制器的工程所需文件同步完成后，即可进行后续动态数据的同步及逻辑运算的执行；

S702-705：新工程下装时，由外部设备释放新工程下装的信号给主控制器，此时主控制需要切换为锁定状态，并停止当前动态数据(热数据)的获取和同步；

S706：主控制器从外部设备下载新的工程文件，当下载完成时，发送下装完成的信号至备控制器；

S707-709：备控制器收到下装完成的信号后，切换为锁定状态，并从主控制器获取新的工程文件，同步完成后，发送同步完成应答信号至主控制器；

S710：主控制器接收到同步完成应答信号后，解除切换锁定状态，准备进入下一阶段的动态数据同步；

S711：备控制器启动，解除切换锁定状态，等待获取主控制器的动态数据。

以上所述仅为本发明的较佳实施例而已，并不用以限制本发明，凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (1)

1.一种主备控制器的冗余控制方法，其特征在于，在上电过程中或工程下装过程中，主控制器向备控制器进行静态数据同步、动态数据同步；所述静态数据包括逻辑工程文件、配置文件；所述动态数据包括外部输入变量数据、运算过程量；

在每个正常的同步周期，包括步骤：

A、主控制器获取外部输入变量数据；备控制器从主控制器获得所述输入变量数据，所述备控制器在特定时间内未收到主控制器发送的所述输入变量数据时，备控制器获取外部输入变量数据，并启动切换仲裁逻辑步骤；

B、由主控制器向备控制器发送启动信号，且，主控制器将所述输入变量数据进行逻辑运算；备控制器在收到所述启动信号后，将所述输入变量数据执行逻辑运算；

C、主控制器将逻辑运算结果相关数据发送给备控制器，由备控制器将该逻辑运算结果相关数据与自己的逻辑运算结果相关数据进行一致性判断，并在判断为一致时，由备控制器反馈给主控制器一致性信息后，由主控制器将结果作为输出数据输出；所述逻辑运算结果相关数据包括根据包括逻辑运算结果计算的数据校验值；

所述结果不一致时，主控制器默认自己的逻辑运算的结果为正确结果，将该逻辑运算的结果进行输出，并发出主备运算结果不一致的告警信息，并在执行下一周期的步骤B前，主控制器还将包括运算过程量的动态数据同步给备控制器，所述运算过程量用于所述逻辑运算；

主备控制器周期性传递自身状态信息，并在状态信息异常时启动切换仲裁逻辑步骤；所述仲裁逻辑依据至少下述之一进行主备切换仲裁：

关键任务运行状态、逻辑任务运行状态、与HMI通信状态、与IO通信状态、与其他控制站之间的通信状态、与对端机通信状态；

上述不同的状态可设置不同的用于主备切换仲裁判断的权值和/或优先级。

Images