CN112462596A

CN112462596A - 双控制器冗余切换方法、装置以及系统

Info

Publication number: CN112462596A
Application number: CN202011378688.9A
Authority: CN
Inventors: 杨银霞
Original assignee: Hangzhou Hollysys Automation Co Ltd
Current assignee: Hangzhou Hollysys Automation Co Ltd
Priority date: 2020-11-30
Filing date: 2020-11-30
Publication date: 2021-03-09

Abstract

本发明公开了一种双控制器冗余切换方法，双控制器包括本机和对方机，该方法包括：若本机达到状态切换条件，本机将当前的主控状态切换为待定状态；若本机和主控状态的对方机的工程数据和工程逻辑一致，则本机由待定状态切换为从控状态；若从控状态的本机在预设时间段内未接收到主控状态的对方机发送的工程数据，则本机为待定状态；若对方机为待定状态，则本机由从控状态切换为主控状态。本申请能够在一定程度上避免双控制器出现双主控和双从控的问题，保证了双控制器冗余切换过程中系统工作的稳定性，有利于双控制器的良好应用。本申请还提供了一种双控制器冗余切换装置、系统，具有上述有益效果。

Description

双控制器冗余切换方法、装置以及系统

技术领域

本发明涉及双控制器技术领域，特别是涉及一种双控制器冗余切换方法、装置以及系统。

背景技术

在计算机技术的广泛应用中，由硬件和软件集成的控制算法平台能够越来越多的应用于不同行业的自动化控制中。例如HOLLiAS MACS-K系统基于国际标准和行业规范进行设计，由K系列硬件和MACS V6软件组成，集成了各行业的先进控制算法平台，可根据不同行业的自动化控制需求，提供专业全面的一体化解决方案。K系列硬件采用全冗余、多重隔离、热分析、容错等可靠性设计技术，保证系统在复杂、恶劣的工业现场环境中能安全稳定地长期运行。

主控制器是控制算法平台正常运行的重要部件之一，为了保证整个系统的可靠性，主控制器可以采用双冗余配置。也即是配置有两个控制器，一个控制器处于工作状态(主机)，另一个控制器处于备用状态(从机)，当主机出现影响控制的故障时，从机切换成为主机。

发明内容

本发明的目的是提供一种双控制器冗余切换方法、装置以及系统，在一定程度上避免了双主控和双从控的问题。

为解决上述技术问题，本发明提供一种双控制器冗余切换方法，双控制器包括本机和对方机，所述方法包括：

当所述本机处于主控状态，所述对方机处于从控状态时，若所述本机达到状态切换条件，所述本机将当前的主控状态切换为待定状态；

当所述本机处于待定状态，所述对方机处于主控状态时，若所述本机和所述对方机的工程逻辑和工程数据均一致，则所述本机由待定状态切换为从控状态；

当所述本机处于从控状态，所述对方机处于主控状态时，若所述本机在预设时间段内未接收到所述对方机发送的工程数据，则所述本机由从控状态切换为待定状态；

当本机处于从控状态时，若所述对方机为待定状态时，所述本机由从控状态切换为主控状态。

可选地，还包括：

所述本机实时通过GPIO链路和所述对方机交互单机状态信息；

所述本机通过485链路和所述对方机交互传输状态机数据；其中，所述状态机数据包括冗余状态、诊断信息以及时间戳；

所述本机过以太网和所述对方机交互传输工程逻辑和工程数据。

可选地，判断所述本机和所述对方机的工程逻辑是否一致，包括：

所述本机接收所述对方机发送的探测包，其中所述探测包包括所述对方机所执行工程文件的工程ID；

判断所述本机和所述对方机的对应的工程ID是否相同。

可选地，处于主控状态的本机达到状态切换条件包括：

所述本机接收到人工切换指令、复位切换指令或者达到故障条件。

可选地，判断所述本机的故障等级是否达到故障切换条件的过程，包括：

所述本机进行故障自检诊断，并确定各项故障问题的第一故障等级；

所述本机实时采集所述对方机进行故障自检诊断，并确定所述对方机的各项故障问题的第二故障等级；

所述本机将所述第一故障等级和所述第二故障等级进行对比，判断所述第一故障等级是否大于所述第二故障等级，若是，则所述本机达到故障切换条件。

可选地，判断所述第一故障等级是否大于所述第二故障等级，包括：

确定所述本机的各项故障问题对应的第一故障等级中最高第一故障等级以及所述对方机的各项故障问题对应的第二故障等级中最高第二故障等级；

判断所述最高第一故障等级是否大于所述最高第二故障等级。

本申请还提供一种双控制器冗余切换装置，双控制器包括本机和对方机，所述本机包括：

第一切换模块，用于当所述本机处于主控状态，所述对方机处于从控状态时，若所述本机达到状态切换条件，所述本机将当前的主控状态切换为待定状态；

第二切换模块，用于当所述本机处于待定状态，所述对方机处于主控状态时，若所述本机和所述对方机的工程逻辑和工程数据均一致，则所述本机由待定状态切换为从控状态；

第三切换模块，用于当所述本机处于从控状态，所述对方机处于主控状态时，若所述本机在预设时间段内未接收到所述对方机发送的工程数据，则所述本机由从控状态切换为待定状态；当本机处于从控状态时，若所述对方机为待定状态时，所述本机由从控状态切换为主控状态。

可选地，所述第一切换模块包括故障判断单元，用于所述本机进行故障自检诊断，并确定各项故障问题的第一故障等级；所述本机实时采集所述对方机进行故障自检诊断，并确定所述对方机的各项故障问题的第二故障等级；所述本机将所述第一故障等级和所述第二故障等级进行对比，判断所述第一故障等级是否大于所述第二故障等级，若是，则所述本机达到故障切换条件。

本申请还提供一种双控制器冗余切换系统，包括两个控制器；

所述控制器用于执行如上任一项所述双控制器冗余切换方法的操作步骤。

可选地，两个所述控制器之间分别通过GPIO链路、485链路以及以太网三条链路相互通讯连接。

本发明所提供的双控制器冗余切换方法，双控制器包括本机和对方机，该方法包括：当本机处于主控状态，对方机处于从控状态时，若本机达到状态切换条件，本机将当前的主控状态切换为待定状态；当本机处于待定状态，对方机处于主控状态时，若本机和对方机的工程逻辑和工程数据均一致，则本机由待定状态切换为从控状态；当本机处于从控状态，对方机处于主控状态时，若本机在预设时间段内未接收到对方机发送的工程数据，则本机由从控状态切换为待定状态；当本机处于从控状态时，若对方机为待定状态时，本机由从控状态切换为主控状态。

本申请中考虑到在具有双控制器的系统中，两个控制器之间的通讯链路断开导致两个控制器全部切换为主控状态或从控状态，导致双主控或双从控的问题。为此本申请中在主控状态和从控状态之外，增加一种待定状态，且处于待定状态的控制器只能向从控状态切换而不能够向主控状态切换。当主控状态的控制器在达到切换条件时，先切换为待定状态，而待定状态的控制器只有在另一控制器为主控状态且能够相互交互数据确定待定状态的控制器和主控状态的工程逻辑以及工程数据一致时才能切换为从控状态，从而避免双从控的问题；而从控状态的控制器如果长时间接收不到主控状态的控制器发送的工程数据，就立即自动切换为待定状态，从而避免链路断裂导致双主控的问题。

综上所述，本申请中在双控制器的状态切换过程中，除了主控状态和从控状态之外还增加一种待定状态，能够在一定程度上避免双控制器之间出现双主控和双从控的问题，从而保证了双控制器冗余切换过程中系统工作的稳定性，有利于保证双控制器的良好应用。

本申请还提供了一种双控制器冗余切换装置、系统，具有上述有益效果。

附图说明

为了更清楚的说明本发明实施例或现有技术的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的双控制器冗余切换方法的流程示意图；

图2为本实施例提供的控制器状态切换的示意图；

图3为本申请实施例提供的判断故障切换条件的流程示意图；

图4为本发明实施例提供的双控制器冗余切换装置的结构框图。

具体实施方式

在常规的双控制器系统中，包括有一主控制器和一从控制器，两个控制器在运行过程中会不断进行故障自检，当主控制器检测到自身存在故障影响其工程任务的执行时，会自动切换为从机状态也即是变为从控制器，而原来的从控制器检测到原来的主控制器变为了从控制器，原来的从控制器也就自动由从机状态变为主机状态。

但在实际运行过程中，主控制器和从控制器之间会出现链路断开或者其他的一些意外状态，在主控制器和从控制器双方进行状态切换时，可能出现双主控或者双从控的状态。一旦出现双主控状态，两个控制器同时执行工程运行指令，会造成整个运行过程混乱，甚至产生严重错误。而出现双从控状态，两个控制器均不工作，也同样造成系统瘫痪。

为此，本申请中提供了一种在一定程度上能够避免双控制器出现双主控和双从控问题的技术方案。

为了使本技术领域的人员更好地理解本发明方案，下面结合附图和具体实施方式对本发明作进一步的详细说明。显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，图1为本申请实施例提供的双控制器冗余切换方法的流程示意图，本实施例中将双控制器系统中的两个控制器分为本机和对方机，该双控制器冗余切换方法的过程可以包括：

S11：当本机处于主控状态，对方机处于从控状态时，若本机达到状态切换条件，本机将当前的主控状态切换为待定状态。

本机实时判断是否达到切换条件。对于主从双控制器系统中，主从机切换的条件主要包括三个方面：第一是接收到人工切换指令；第二是接收到复位切换指令，第三是自检故障级别达到切换级别。

在双控制器的运行过程中，主控制器和从控制器之间会频繁通讯交互各自的状态信息，并各自对自身状态和对方状态进行自检，一旦达到切换条件，即可开始切换。

可以理解的是，当处于主控状态的本机达到切换条件时，处理本机会自动切换为待定状态之外，相应地，从控状态的对方机也会由从控状态切换为主控状态。

相对于双控制器传统的切换方式中，主控状态的控制器没有直接切换为从控状态，而是先切换了待定状态，在一定程度上避免了双从控的问题。

S12：当本机处于待定状态时，若本机和对方机的工程逻辑和工程数据均一致，则本机由待定状态切换为从控状态。

需要说明的是，对于待定状态的控制器，只能够和处于主控状态的控制器进行工程逻辑以及工程数据一致性的判断，若是对方机不是处于主控状态，则待定状态的本机就一直保持待定状态，避免本机和对方机均切换为从控状态，进而避免双从控的问题。

本实施例中所指的工程逻辑是作为主控制器控制运行工程业务逻辑，工程逻辑包括组态工具编辑的代码逻辑，以及数据配置强制和SOE表。但是进行两个控制器的工程逻辑一致性判断时，并不需要将代码逻辑，以及数据配置强制和SOE表进行对比，只需要对比工程ID即可。

在对比本机和对方机的工程逻辑是否一致时，本机和对方机可相互交互发送探测包，该探测包中包含有运行工程业务逻辑对应的工程ID，若是工程ID一致，则说明本机和对方机的工程逻辑一致，以便后续本机再次作为主控制器时，能够正常控制工程运行。

当本机的工程逻辑和处于主控状态的对方机的工程逻辑不一致时，在将本机的工程逻辑修改为和主控状态的对方机一致。

本申请中的工程数据是指工程运行过程中所形成的数据，该工程数据通过主控状态的对方机实时发送给本机，当本机的工程数据和对方机的工程数据不一致，则根据对方机的工程数据对本机工程数据进行更新，以实现两个控制器工程数据的一致性。

S13：当本机处于从控状态，对方机处于主控状态时，若本机在预设时间段内未接收到对方机发送的工程数据，则本机由从控状态切换为待定状态。

在一主一从的双控制器系统中，主控制器需要实时的向从控制器传输工程数据，以便对从控制器中的数据进行更新，保证主控制器和从控制器之间工程数据的一致性。

当主控制器和从控制器之间的链路断开或者其他原因导致两个控制器之间传输交互数据失败时，常规技术中从控制器会认为处于单机状态进而自动切换为主控制状态，也就容易造成双主控状态。

本实施例中在本机处于从控状态时，若是长时间未接收到处于主控状态的对方机输出的交互数据，并不切换为主控状态，而是切换为了待定状态，而处于待定状态的控制器，仅仅只有达到切换为从控状态的切换要求时，可以切换为从控状态，而不能切换为主控状态，从而避免了双主控的问题。

S14：当本机处于从控状态时，若对方机为待定状态，则本机由从控状态切换为主控状态。

可以理解的是，对于双控制器的系统中而言，本机和对方机的从冗余切换的运行程序而言，两个控制器是等同的两个控制器。因此，对于S14而言，也可以视为是和S11是相同的步骤，区别仅仅在于是将处于主控状态的控制器视为本机还是对方机。同理，因为从冗余切换的角度而言，两个控制器是等价的，上述S11至S14是以本机为主要运行主体为例进行说明的，对于对方机而言，其运行程序类似，对此不再重复赘述。

常规的双控制器一般只有两种状态，即主控状态和从控状态，本实施例中为双控制器增加了一种状态，即为待定状态。参考图2，图2为本实施例提供的控制器状态切换的示意图。图2中控制器由主控状态切换为待定状态的过程可以对应于上述S11，待定状态切换为从控状态对应于上述S2，从控状态切换为待定状态，则对应于上述S13，从控状态切换为主控状态，则对应于上述S14。

可以理解的是，对于S11、S12、S13以及S14并不存在必然的先后顺序，其程序具体运行哪一步骤完全取决于本机的当前状态，对此本申请中不详细说明。

相对于常规的双控制器的切换模式而言，本申请中新增了一个待定状态，当处于主控状态的控制器达到切换条件时，先切换为待定状态，避免出现双从控状态的问题；当处于从控状态的控制器无法和另一个处理器进行交互时，处于从控状态的控制器即可切换为待定状态，避免因为链路断开导致出现双主控的问题。

综上所述，本申请中在进行双控制器的冗余切换时，将双控制器原有的主控状态和从控状态两种状态变为主控状态、从控状态、待定状态这三种状态，那么在进行状态切换时，控制器即可存在主控状态和从控状态的中间过渡的待定状态，在一定程度上避免控制器直接在主控状态和从控状态两种状态切换出现双主控的问题，提高双控制器系统运行的稳定性。

如前所述，本申请中产生双主控的一个原因之一是因为两个控制器之间的链路断开。为此，在本申请的另一可选的实施例中，还可以进一步地包括：

本机实时通过GPIO链路和对方机交互单机状态信息；

本机通过485链路和对方机交互传输状态机数据；其中，状态机数据包括冗余状态、诊断信息以及时间戳；

本机过以太网和对方机交互传输工程数据。

本实施例中两个控制器之间实时通过三条不同的链路传输不同的数据。相对于现有技术中所有数据均通过以太网传输的方式，本实施例中数据传输安全性更高。其中，GPIO链路仅仅用于两个控制器检测双方的对方机是否存在。采用GPIO链路连接两个控制器，在一定程度上能够避免两个控制器均检测不到对方机的存在，而认为各自处于单机状态，而产生双主控的问题。

进一步地，本机还通过485链路和对方机进行状态机数据的传输，该状态机数据也就是本机向对方机输出的本机是处于主控状态还是从控状态或者是待定状态的数据，同理对方机向本机输出的也是对方机类似的状态数据。

此外，还通过以太网实现本机和对方机之间的工程数据的传输。相对于现有技术中既通过以太网传输状态机数据又通过工程数据的传输方式而言，本申请中采用两个不用的链路分别传输不同的数据，在一定程度上实现链路的冗余，保证了数据传输的稳定性。

基于上述任意实施例，在双控制器的状态切换时，故障自检时故障级别达到切换条件是控制器切换状态的原因之一。在本申请的另一可选地实施例中，如图3所示，图3为本申请实施例提供的判断故障切换条件的流程示意图，判断本机的故障等级是否达到故障切换条件这一流程可以包括：

S21：本机进行故障自检诊断，并确定各项故障问题的第一故障等级。

S22：本机实时采集对方机进行故障自检诊断，并确定对方机的各项故障问题的第二故障等级。

S23：本机将第一故障等级和第二故障等级进行对比，判断第一故障等级是否大于第二故障等级，若是，则本机达到故障切换条件。

在对比本机的第一故障等级和对方机的第二故障等级时，因为本机和对方机的故障都不是单一的，每个控制器都存在多项故障，每项故障对应一个故障级别。也即是说需要将多个第一故障等级和多个第二故障等级进行对比，为此，在本申请的一种可选地实施例中，可以包括：

确定本机的各项故障问题对应的第一故障等级中最高第一故障等级以及对方机的各项故障问题对应的第二故障等级中最高第二故障等级；

判断最高第一故障等级是否大于最高第二故障等级。

仅仅将第一故障等级和第二故障等级中最高的故障等级进行对比，这在很大程度上简化了故障等级判断的程序。

在现有技术中，对处于主控状态的控制和处于从控状态的控制器的故障检测，往往并不进行等级划分，而是以设定非常复杂的故障对比判定条件，例如对于主控制器，如果发生故障A没有发生故障B，与此同时，从控制器发生故障C但没有发生故障D，则将主控制器和从控制器的状态进行切换。类似的，当主控制器产生某一故障时，需要对其他故障甚至从控制器的多个故障发生状态综合考虑，列举可能出现的各种故障组合的形式，并设定切换标准。这种故障自检判断方式，需要工作人员实现将所有故障全部考虑全面，整个过程复杂而繁琐，且在实际运行过程中常常出现两个控制器出现的情况使得二者均不能作为主控制器使用，进而出现双从控的问题。

本实施例中本机在进行故障自检诊断时，对每项故障问题都按照等级进行划分；例如，控制器故障可以划分为5个等级，分别为：H(Health，全部正常)、N(Notice，有轻微异常)、W(Warning，有严重异常)、E(Error，有严重故障)、F(Fatal Error，有致命故障)；故障严重等级：H<N<W<E<F。故障等级判定原则如下表：

当主控制器中出现多项故障的故障等级中最高故障等级为E，而从控制器出现多项故障的故障等级中最高故障等级为W，则即是主控制器达到故障切换条件。

下面对本发明实施例提供的双控制器冗余切换装置进行介绍，下文描述的双控制器冗余切换装置与上文描述的双控制器冗余切方法可相互对应参照。

图4为本发明实施例提供的双控制器冗余切换装置的结构框图，双控制器包括本机和对方机，参照图4的双控制器冗余切换装置可以包括：

第一切换模块100，用于当所述本机处于主控状态，所述对方机处于从控状态时，若所述本机达到状态切换条件，所述本机将当前的主控状态切换为待定状态；

第二切换模块200，用于当所述本机处于待定状态，所述对方机处于主控状态时，若所述本机和所述对方机的工程逻辑和工程数据均一致，则所述本机由待定状态切换为从控状态；

第三切换模块300，用于当所述本机处于从控状态，所述对方机处于主控状态时，若所述本机在预设时间段内未接收到所述对方机发送的工程数据，则所述本机由从控状态切换为待定状态；当本机处于从控状态时，若所述对方机为待定状态时，所述本机由从控状态切换为主控状态。

在本申请的一种可选地实施例中，还包括链路模块，用于所述本机实时通过GPIO链路和所述对方机交互单机状态信息；所述本机通过485链路和所述对方机交互传输状态机数据；其中，所述状态机数据包括冗余状态、诊断信息以及时间戳；所述本机过以太网和所述对方机交互传输工程逻辑和工程数据。

在本申请的一种可选地实施例中，第二切换模块200，用于所述本机接收所述对方机发送的探测包，其中所述探测包包括所述对方机所执行工程文件的工程ID；判断所述本机和所述对方机的对应的工程ID是否相同，以判断所述本机和所述对方机的工程逻辑是否一致。

在本申请的一种可选地实施例中，第一切换模块100，用于所述本机接收到人工切换指令、复位切换指令或者达到故障条件时，确定处于主控状态的所述本机达到切换条件。

在本申请的一种可选地实施例中，第一切换模块100包括故障判断单元，用于所述本机进行故障自检诊断，并确定各项故障问题的第一故障等级；所述本机实时采集所述对方机进行故障自检诊断，并确定所述对方机的各项故障问题的第二故障等级；所述本机将所述第一故障等级和所述第二故障等级进行对比，判断所述第一故障等级是否大于所述第二故障等级，若是，则所述本机达到故障切换条件。

在本申请的一种可选地实施例中，故障判断单元用于确定所述本机的各项故障问题对应的第一故障等级中最高第一故障等级以及所述对方机的各项故障问题对应的第二故障等级中最高第二故障等级；判断所述最高第一故障等级是否大于所述最高第二故障等级。

本实施例的双控制器冗余切换装置用于实现前述的双控制器冗余切换方法，因此双控制器冗余切换装置中的具体实施方式可见前文中的双控制器冗余切换方法的实施例部分，其具体实施方式可以参照相应的各个部分实施例的描述，在此不再赘述。

本申请还提供了一种双控制器冗余切换系统的实施例，该系统包括两个控制器；

所述控制器用于执行如上任意实施例所述双控制器冗余切换方法的操作步骤，例如以其中一个控制器为本机控制器另一个为对方控制器，则该本机执行的步骤如下：

对于对方机而言，其本质上和本机并无区别，因此，对方机执行步骤和本机相同，在此不再赘述。

本申请中的双控制器通过增加一种切换状态有效避免了双主控和双从控的问题，保障了系统运行的稳定性。

进一步地，两个控制器之间分别通过GPIO链路、485链路以及以太网三条链路相互通讯连接。

GPIO链路用于交互单机状态信息；485链路用于传输冗余状态、诊断信息以及时间戳；以太网用于传输工程逻辑和工程数据。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。另外，本申请实施例提供的上述技术方案中与现有技术中对应技术方案实现原理一致的部分并未详细说明，以免过多赘述。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以对本发明进行若干改进和修饰，这些改进和修饰也落入本发明权利要求的保护范围内。

Claims

1.一种双控制器冗余切换方法，其特征在于，双控制器包括本机和对方机，所述方法包括：

当所述本机处于从控状态时，若所述对方机为待定状态时，所述本机由从控状态切换为主控状态。

2.如权利要求1所述的双控制器冗余切换方法，其特征在于，还包括：

所述本机实时通过GPIO链路和所述对方机交互单机状态信息；

所述本机通过以太网和所述对方机交互传输工程逻辑和工程数据。

3.如权利要求1所述的双控制器冗余切换方法，其特征在于，判断所述本机和所述对方机的工程逻辑是否一致，包括：

判断所述本机和所述对方机的对应的工程ID是否相同。

4.如权利要求1所述的双控制器冗余切换方法，其特征在于，处于主控状态的本机达到状态切换条件包括：

所述本机接收到人工切换指令、复位切换指令或者所述本机的故障等级达到故障切换条件。

5.如权利要求4所述的双控制器冗余切换方法，其特征在于，判断所述本机的故障等级是否达到故障切换条件的过程，包括：

6.如权利要求5所述的双控制器冗余切换方法，其特征在于，判断所述第一故障等级是否大于所述第二故障等级，包括：

7.一种双控制器冗余切换装置，其特征在于，双控制器包括本机和对方机，所述本机包括：

8.如权利要求7所述的双控制器冗余切换装置，其特征在于，所述第一切换模块包括故障判断单元，用于所述本机进行故障自检诊断，并确定各项故障问题的第一故障等级；所述本机实时采集所述对方机进行故障自检诊断，并确定所述对方机的各项故障问题的第二故障等级；所述本机将所述第一故障等级和所述第二故障等级进行对比，判断所述第一故障等级是否大于所述第二故障等级，若是，则所述本机达到故障切换条件。

9.一种双控制器冗余切换系统，其特征在于，包括两个控制器；

所述控制器用于执行如权利要求1至6任一项所述双控制器冗余切换方法的操作步骤。

10.如权利要求9所述的双控制器冗余切换系统，其特征在于，两个所述控制器之间分别通过GPIO链路、485链路以及以太网三条链路相互通讯连接。