WO2012009960A1 - 双通道热备系统及实现双通道热备的方法 - Google Patents

双通道热备系统及实现双通道热备的方法 Download PDF

Info

Publication number
WO2012009960A1
WO2012009960A1 PCT/CN2011/001187 CN2011001187W WO2012009960A1 WO 2012009960 A1 WO2012009960 A1 WO 2012009960A1 CN 2011001187 W CN2011001187 W CN 2011001187W WO 2012009960 A1 WO2012009960 A1 WO 2012009960A1
Authority
WO
WIPO (PCT)
Prior art keywords
hot standby
layer
working
application
channel
Prior art date
Application number
PCT/CN2011/001187
Other languages
English (en)
French (fr)
Inventor
唐涛
马连川
王悉
袁彬彬
Original Assignee
北京交通大学
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 北京交通大学 filed Critical 北京交通大学
Priority to US13/811,025 priority Critical patent/US8935565B2/en
Publication of WO2012009960A1 publication Critical patent/WO2012009960A1/zh

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F11/00—Error detection; Error correction; Monitoring
    • G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
    • G06F11/16—Error detection or correction of the data by redundancy in hardware
    • G06F11/20—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements
    • G06F11/202—Error detection or correction of the data by redundancy in hardware using active fault-masking, e.g. by switching out faulty elements or by switching in spare elements where processing functionality is redundant
    • G06F11/2023—Failover techniques
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L1/00—Arrangements for detecting or preventing errors in the information received
    • H04L1/22—Arrangements for detecting or preventing errors in the information received using redundant apparatus to increase reliability
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L1/00—Arrangements for detecting or preventing errors in the information received
    • H04L2001/0092—Error control systems characterised by the topology of the transmission link
    • H04L2001/0094—Bus

Definitions

  • the present invention relates to the field of industrial control technologies, and in particular, to a dual channel hot standby system and a method for implementing dual channel hot standby. Background technique
  • a switching unit In order to solve the problem of lack of third-party judgments, some systems have set up a switching unit to perform switching logic control through a simple logic circuit composed of a relay and a small-to-medium-scale digital integrated circuit, ensuring that only one channel is in a master state at any time.
  • the function of this switching unit is limited to the preset and switching of the "main” and “standby” states. It is impossible to control the synchronization status between the two channels. There is a blind spot in the monitoring of the dual channel status, and if the switching unit lacks redundancy. The remaining design, once the switching unit fails, will bring greater risks to the normal operation of the entire system. Summary of the invention
  • the technical problem to be solved by the present invention is as follows: Firstly, the state of "double master” or “double standby” occurs in the dual channel; secondly, the control cycle of the two channels is ensured to be synchronized; third, the fault response time is improved; To meet the real-time requirements of the entire dual-channel hot standby system; Fifth, to improve the reliability and availability of the system; and 6, to ensure seamless switching between the primary and backup states.
  • the present invention provides a dual-channel hot standby system, where the system includes a hot standby state management layer, an application processing layer, and a data communication layer.
  • the hot standby state management layer includes two hot standby management units.
  • the application processing layer includes two application processors, and the data communication layer includes two communication machines;
  • the hot standby state management layer is used to control setting and switching of the main and standby states of the two application processors, and monitoring data.
  • the working state of the communication layer and realizes the control cycle synchronization of the two channels of the system, wherein a hot standby management unit controls an application processor and constitutes a channel of the system;
  • the data communication layer is used to receive from the outside The data is forwarded to the application processing layer.
  • the hot standby state management layer, the application processing layer, and the data communication layer are all connected to the high speed communication bus.
  • the two hot standby management units are connected by an interlock/self-locking connection bus, and the interlock/self-locking connection bus is used to implement self-locking/interlocking logic, thereby selecting a normal working channel as a main state.
  • the two hot standby management units are connected by a synchronous connection bus, and the synchronous connection bus is used to transmit the synchronization signal of the current main channel to the current standby channel.
  • the hot standby state management layer adopts redundant hardware design; the two application processors are mutually redundant, and the two communication machines are also mutually redundant, which are used together for two channels; the high-speed communication bus uses redundant structure.
  • the present invention also provides a method for implementing dual-channel hot standby by using the above system.
  • the hot standby management layer controls the setting of the primary and backup states of the two application processors according to the following manner:
  • the hot standby management unit is applied to the corresponding application.
  • the processor sends a working mode code to notify the working mode, wherein the working mode code is divided into a working state and a non-working state, and the working state includes two modes: active and standby, and the non-working state includes power-on, fault, synchronization, and maintenance.
  • Four modes are possible to notify the working mode, wherein the working mode code is divided into a working state and a non-working state, and the working state includes two modes: active and standby, and the non-working state includes power-on, fault, synchronization, and maintenance.
  • the hot standby management layer controls the switching between the active and standby states of the two application processors as follows:
  • the two hot standby management units use a self-locking/interlocking logic to select a working channel as the primary state.
  • the two application processors receive the working mode code from the corresponding hot standby management unit, and execute the main state or standby state process according to the received working mode code, after completing the application processing flow,
  • the corresponding Hot Standby Management Unit reports its own working status, Hot Standby Management
  • the unit determines whether the working state of the two application processors is normal according to the working state information.
  • the hot standby management unit uses the self-locking/interlocking logic to implement the switching between the active and standby states, and the working abnormality is performed.
  • the application processor draws a redundancy policy to stop it.
  • the hot standby state management layer realizes the control cycle synchronization of the two channels as follows:
  • the hot standby state management layer outputs a synchronization signal to the two application processors, so that the two application processors are in the working state of the control cycle synchronization.
  • the method for synchronizing the control periods of the two channels in the hot standby state management layer is specifically as follows:
  • the hot standby management unit of the current main channel sends a synchronization signal from the synchronous connection bus between the two hot standby management units, and the current standby channel
  • the hot standby management unit receives the synchronization signal from the synchronous connection bus, thereby ensuring that the two hot standby management units are in a working state in which the control cycle is synchronized.
  • the hot standby management layer monitors the working status of the data communication layer as follows:
  • each communication machine When each communication machine works normally, it sends a periodic change level signal to the thermal backup management layer. Once the dynamic signal stops or an abnormality occurs, the hot standby management layer determines that the communication machine has an abnormality and puts the communication machine's The abnormal working status signal is sent to the two application processors of the application processing layer, so that the application processor selects the working communication output.
  • the data communication layer forwards the data from the outside to the application processing layer after receiving the data request sent by the application processing layer, and the data communication layer guarantees to the two by identifying the cycle number information in the data request sent by the application processing layer.
  • the present invention uses a hierarchical structure to design a dual-channel hot standby system, in which a switching unit (ie, a hot standby management unit) is used as a third-party decision device to control preset and switchover of the active and standby states, and
  • the switching unit uses a redundant hardware design method, and uses the self-locking/interlocking logic to select a normal working channel as the main state, thereby avoiding the "dual master" or "double standby” that occurs when the two channels judge each other. " status.
  • the switching unit can also output a synchronization signal, thereby ensuring the synchronization of the control cycles of the two channels, and monitoring the operating state of the dual channel in real time through the flow control code, thereby improving the fault response time.
  • Data exchange between the three-layer structure through a high-speed communication bus can meet the real-time requirements of the entire dual-channel hot standby system.
  • the hot standby management unit, high-speed communication bus, and communication unit all adopt redundant structure, which improves the reliability and usability of the entire system.
  • the application processor synchronizes according to the data sent by the application processor in the main mode in the synchronization mode before entering the standby mode; (2) making the two application processors in a cycle synchronized working state;
  • the data communication layer guarantees the consistency of the input data sent to the two application processors.
  • FIG. 1 is a hierarchical structural diagram of a dual channel hot standby system according to an embodiment of the present invention
  • FIG. 2 is a block diagram showing the principle of interlocking/self-locking logic in the method of the embodiment of the present invention
  • FIG. 3 is a diagram showing a mode of operation of an application processor in a method according to an embodiment of the present invention
  • FIG. 4 is a schematic diagram of a control panel defined in a system according to an embodiment of the present invention.
  • FIG. 5 is a schematic block diagram of a cycle control module in a system according to an embodiment of the present invention.
  • Fig. 6 is a flow chart showing a consistency control strategy used when a communication device transmits data in the system of the embodiment of the present invention. Detailed ways
  • Embodiments of the present invention provide a dual channel hot standby system and a method for implementing dual channel hot standby by using the system.
  • the layered design method is adopted to divide the dual-channel hot standby system into three levels: the hot standby state management layer, the application processing layer, and the data communication layer.
  • the system hierarchy diagram is shown in Figure 1.
  • the hot standby state management uses redundant hardware design, including two hot standby management units.
  • the hot standby management unit 1 monitors the working state of the application processor 1 and transmits a mode code to the application processor 1 to notify the working mode.
  • the hot standby management unit 2 controls the operating mode of the application processor 2.
  • the two hot standby management units use their own self-locking/interlocking logic to select a normal working channel as the main state, thus avoiding the "dual master" or "double standby” that occurs when the two channels judge each other. status.
  • the hot standby state management layer outputs a synchronization signal, so that the two application processors of the application layer are in a cycle synchronous working state.
  • the application processing layer consists of two application processors (dual machines). At the beginning of each control cycle, the working mode code is received from the corresponding hot standby management unit, and the flow of the main state or the standby state is executed according to the received working mode code. After the application process is completed, it reports its work status to the Hot Standby. Based on this information, the hot standby management unit determines whether the working state of the dual machine is normal. when When there is a problem with any application processor, the hot standby state management layer controls the dual-machine to complete the switching between the active and standby states, and adopts a redundancy strategy for the abnormally applicable application processor to stop working.
  • the data communication layer includes two communication machines, mainly performing the function of data forwarding, receiving data from the outside world, and forwarding to the two application processors of the application processing layer, and simultaneously outputting the operation result of the application processor in the main state to the outside.
  • the system sends.
  • the two communication machines work independently of each other to form a redundant configuration structure. When any one of the communication devices fails, the other one can still perform data forwarding for the dual-machine of the application processing layer.
  • the status of the two communication units is monitored by two hot standby management units in the hot standby management unit.
  • the communication machine works normally, it sends a periodic change level signal to the thermal backup management layer. Once the dynamic signal stops or an abnormality occurs, the thermal backup management layer determines that the communication machine has an abnormality and puts the status of the communication machine.
  • Two application processors sent to the application processing layer which facilitates the application processor to select the normal communication output.
  • a hot standby management unit of the hot standby management layer and an application processor of the application processing layer together form a channel of the hot standby system.
  • the two communication units of the data communication layer are redundant with each other and are used together for the two channels. Data exchange between the three-layer structure through a high-speed communication bus can meet the real-time requirements of the entire dual-channel hot standby system.
  • the hot standby management unit, high-speed communication bus, and communication unit all use redundant structures to improve the reliability and availability of the entire system.
  • the self-locking/interlocking logic between the two hot standby management units is divided into two completely identical parts, which are respectively located in two hot standby management units, which are respectively called self-locking/interlocking unit 1, interlocking/self-locking unit. 2.
  • the self-locking/interlocking connection bus is used to exchange the working mode codes judged by the two self-locking/interlocking units, thereby implementing self-locking/interlocking logic, and selecting a working channel as the main state.
  • the inputs for each interlock/self-locking unit include:
  • Interlock/self-lock unit address (1 or 2).
  • the output of each self-locking/interlocking unit is: The operating mode code for the application processor.
  • the self-locking/interlocking unit divides the working mode codes reported by the local application processor into a working state and a non-working state.
  • the working status includes two modes: primary and backup.
  • the non-working state includes four modes of power-on, fault, synchronization, and maintenance.
  • the conversion relationship between the various modes is shown in Figure 3.
  • the work done by the application processor in various working modes is as follows:
  • Power-on mode Complete power-on initialization and self-test
  • Synchronous mode The application processor in the synchronous mode requests synchronization data to the application processor in the main mode, and completes synchronization of its own state according to the data;
  • the self-locking/interlocking unit applies the mode information of the processor and the input information of the current cycle according to the saved last cycle, and determines the working mode of the dual channel according to the conversion relationship shown in FIG.
  • the self-locking/interlocking unit 1 reads the local address, and the local address is "1".
  • the output of the self-locking/interlocking unit is the primary state.
  • the self-locking/interlocking unit is redundantly designed to ensure its availability.
  • the system provides a control panel as shown in FIG. 4, which has the functions of displaying dual channel working states and realizing manual switching.
  • the top row of the panel is a status indicator that shows if the application processor and the communicator are powered and if they are working.
  • the lower row is a illuminated button, which represents the application processor 1 or the application processor 2 in the main mode when the application processor 1 or the indicator of the application processor 2 is lit.
  • the fault indicator lights up, it indicates that the corresponding application processor or the communication machine has failed. It is necessary to manually press the on-light indicator to re-power the corresponding device.
  • the control panel also provides a manual switching function.
  • pressing the application processor 1 or the application processor 2 work button can designate the corresponding application processor to enter the main mode, and the other application processor enters the standby mode.
  • the work buttons of the two application processors can be pressed simultaneously within a few seconds after the system is powered on, so that the entire system enters the maintenance mode, which is convenient for the operator to perform maintenance.
  • the switching action is seamless, and the primary and secondary devices need to be guaranteed.
  • the state between the channels is synchronized.
  • the application processing layer is also ensured between the two machines. State synchronization.
  • the application processing layer is in a working state of periodic synchronization
  • the data communication layer communication machine guarantees the consistency of the input data sent to the application processing layer duplex.
  • the cycle control module in the two hot standby management units is required to ensure seamless switching. Therefore, the cycle control module of the standby channel hot standby management unit is a periodic control module that unconditionally follows the hot standby management unit of the primary channel, that is, the cycle control module of the primary channel hot standby management unit and the cycle control module of the standby channel hot standby management unit. Synchronize.
  • a synchronous connection bus must be set between the cycle control modules in the two Hot Standby management units, but considering that the master and backup relationships of the two Hot Standby management units are changed, the synchronous connection bus can only be made by the current master.
  • the hot standby management unit of the channel is used as an output, and the current standby channel can only receive the synchronization signal sent by the synchronous connection bus. Therefore, the synchronous connection bus is responsible for transmitting the synchronization signal of the current main channel to the current standby channel.
  • the block diagram of the cycle control module is shown in Figure 5.
  • the counter in the cycle control module of the Hot Standby management unit is controlled by the synchronization signal, and the source of the synchronization signal has two sources: the cycle control module output of the local cycle control unit and the cycle control of the primary hot standby management unit. Module output.
  • the synchronization signal output by the cycle control module controls its own counter, and controls the counter in the periodic control module of the standby management unit of the standby channel through the synchronous connection bus.
  • a switch is set for the synchronization signal of the counter in the hot standby management unit cycle control module, and is responsible for controlling whether the cycle control module uses its own synchronization signal or the primary hot standby management unit according to the primary or standby state of the hot standby management unit.
  • the synchronization signal of the cycle control module is set at the same time.
  • the synchronous connection bus of the hot standby management unit cycle control module also needs to set a switch.
  • the hot standby management unit When the hot standby management unit is active, its cycle control module outputs a synchronization signal.
  • the hot standby management unit When the hot standby management unit is standby, its cycle control module inputs a synchronization signal. It is worth emphasizing that:
  • the cycle control module should use redundant design to ensure its availability. In most control systems, the moment of arrival of external input data is always random.
  • the output data is always processed at a fixed time. Since the dual-machine responsible for application processing in the hot standby system cannot be in an absolute synchronization state, the input data processed in a certain control cycle is inconsistent. This causes the two-machine state to be out of sync.
  • the advantage of setting up the data communication management layer is that the communication machine can guarantee the consistency of data sent to the application processing layer.
  • the application processor is required to send a data request to the communication device before the data input processing, and the data request message includes the cycle number information for the communication machine to make the judgment.
  • the flow of the communication machine to achieve data consistency is shown in Figure 6.
  • the invention provides a dual-channel hot standby system and a method for realizing dual-channel hot standby by using the system, which can avoid the state of "dual master” or “dual standby”; ensure synchronization of control cycles of two channels; Fault response time; Meet real-time requirements; Improve system reliability and availability; Ensure seamless switching between active and standby states, with industrial applicability.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Quality & Reliability (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Hardware Redundancy (AREA)

Description

双通道热备系统及实现双通道热备的方法 技术领域
本发明涉及工业控制技术领域， 特别涉及一种双通道热备系统及实现双 通道热备的方法。 背景技术
在铁路、 电力、 钢铁、 石化等工业控制领域中， 对控制系统的可用性和 可靠性有较高的要求。 双通道热备系统由于具有较高的可用性和可靠性， 同 时具备一定的容错能力， 便于操作人员进行维护， 被广泛地釆用。
为了保证双通道热备系统的可用性和可靠性， 设计过程中需要着重考虑 的问题包括： "主" 、 "备" 通道状态切换， "主" 、 "备" 通道之间状态 同步， "主" 、 "备" 通道的一致性校验等。
现有双通道热备的技术方案中， 多数系统在双通道之间设置心跳线， 依 靠软件分别判断对方的状态来实现 "主" 、 "备" 状态的预置和切换。 这种 方式缺少第三方监督， 当心跳线出现错误时， 可能导致 "备" 通道误升 "主" 通道， 产生双主状态， 影响信息传输与控制， 进入不安全状态。
为了解决缺少第三方判决的问题， 有的系统设置了切换单元， 通过继电 器、 中小规模数字集成电路组成的简单逻辑电路完成切换逻辑控制， 保证在 任意时刻，只有一个通道处于主状态。但是这种切换单元的功能仅限于"主"、 "备" 状态的预置和切换， 无法控制两个通道间的同步状态， 在对双通道状 态的监控中存在盲点， 同时如果切换单元缺少冗余设计， 一旦切换单元故障， 会给整个系统的正常运行带来更大的风险。 发明内容
本发明要解决的技术问题是： 其一， 避免双通道出现 "双主" 或者 "双 备" 的状态； 其二， 保证两个通道的控制周期同步； 其三， 提高故障反应时 间； 其四， 满足整个双通道热备系统对于实时性的要求； 其五， 提高系统的 可靠性和可用性； 其六， 保证主、 备状态的无缝切换。 为解决上述技术问题， 本发明提供了一种双通道热备系统， 所述系统包 括热备状态管理层、 应用处理层和数据通信层； 所述热备状态管理层包括两 个热备管理单元， 所述应用处理层包括两个应用处理机， 所述数据通信层包 括两个通信机； 所述热备状态管理层用于控制两个应用处理机主、 备状态的 设置和切换、 监控数据通信层的工作状态， 并实现系统的两个通道的控制周 期同步， 其中， 一个热备管理单元控制一个应用处理机， 并与其构成该系统 的一个通道； 所述数据通信层用于接收来自外界的数据， 并转发给所述应用 处理层。
其中， 所述热备状态管理层、 应用处理层和数据通信层均连接到高速通 信总线上。
其中， 两个热备管理单元之间通过互锁 /自锁连接总线连接， 所述互锁 / 自锁连接总线用于实现自锁 /互锁逻辑， 从而选择一个正常工作的通道作为主 状态。
其中， 两个热备管理单元之间通过同步连接总线连接， 所述同步连接总 线用于向当前备通道传递当前主通道的同步信号。
其中， 热备状态管理层采用冗余硬件设计； 两个应用处理机相互冗余， 两台通信机也相互冗余， 为两个通道共同使用； 高速通信总线釆用冗余结构。
本发明还提供了一种利用上述系统来实现双通道热备的方法， 所述热备 状态管理层按照如下方式控制两个应用处理机主、 备状态的设置： 热备管理 单元向对应的应用处理机发送工作模式码来通知其工作模式， 其中， 所述工 作模式码分为工作状态和非工作状态， 工作状态包括主、 备两种模式， 非工 作状态包括上电、 故障、 同步和维护四种模式。
其中， 所述热备状态管理层按照如下方式控制两个应用处理机主、 备状 态的切换： 两个热备管理单元之间釆用自锁 /互锁逻辑选择一个工作正常的通 道作为主状态； 并且，
在每个控制周期开始时， 两个应用处理机从对应的热备管理单元接收工 作模式码， 并根据接收到的工作模式码来执行主状态或者备状态的流程， 完 成应用处理流程后， 向对应的热备管理单元报告自己的工作状态， 热备管理 单元根据工作状态信息判断两个应用处理机的工作状态是否正常， 当任何一 个应用处理机工作异常时， 热备管理单元采用自锁 /互锁逻辑实现主、 备状态 的切换， 并对工作异常的应用处理机釆取冗余策略使其停止工作。
其中，所述热备状态管理层按照如下方式实现两个通道的控制周期同步: 热备状态管理层向两个应用处理机输出同步信号， 使两个应用处理机处于控 制周期同步的工作状态。
其中，所述热备状态管理层实现两个通道的控制周期同步的方式具体为： 当前主通道的热备管理单元从两个热备管理单元之间的同步连接总线发出同 步信号， 当前备通道的热备管理单元从同步连接总线接收该同步信号， 从而 保证两个热备管理单元处于控制周期同步的工作状态。
其中， 热备管理层按照如下方式监控数据通信层的工作状态：
每个通信机正常工作时， 向热备管理层发送周期变化的电平信号， 一旦 这种动态信号停止或者发生异常， 热备管理层判断出该通信机发生了异常， 并把该通信机的异常工作状态信号发送给应用处理层的两台应用处理机， 以 便于应用处理机选择工作正常的通信机输出。
其中， 数据通信层在接收到应用处理层发送的数据请求之后将来自外界 的数据转发给应用处理层， 并且数据通信层通过识别应用处理层发送的数据 请求中的周期号信息来保证给两个应用处理机发送的数据的一致性。
上述技术方案具有如下优点：本发明釆用分层结构设计双通道热备系统， 利用其中切换单元 （即热备管理单元）作为第三方判决设备来控制主、 备状 态的预置和切换， 而且切换单元釆用冗余硬件设计方法， 釆用自锁 /互锁逻辑 选择 1个工作正常的通道为主状态，从而避免了两个通道间互相进行判断时出 现的 "双主" 或者 "双备" 的状态。 同时， 切换单元还能够输出同步信号， 从而保证了两个通道的控制周期同步， 并通过流程控制码来实时监控双通道 的运行状态， 提高了故障反应时间。 三层结构之间通过高速通信总线来实现 数据的交换， 可以满足整个双通道热备系统对于实时性的要求。 热备管理单 元、 高速通信总线、 通信机均釆用了冗余结构， 提高了整个系统的可靠性和 可用性。 另外， 通过同时使用以下三种方式保证了主、 备状态的无缝切换： ( 1 )应用处理机在进入备模式之前， 在同步模式中根据处于主模式的应用处 理机发送的数据进行同步； （2 )使两个应用处理机处于周期同步的工作状态;
( 3 )数据通信层保证给两个应用处理机发送的输入数据的一致性。
附图说明
图 1是本发明实施例的双通道热备系统的层次结构图；
图 2是本发明实施例的方法中互锁 /自锁逻辑原理框图；
图 3是本发明实施例的方法中应用处理机工作模式转换图；
图 4是本发明实施例的系统中定义的控制面板示意图；
图 5是本发明实施例的系统中周期控制模块的原理框图；
图 6是本发明实施例的系统中通信机发送数据时所釆用的一致性控制策 略的流程。 具体实施方式
以下实施例用于说明本发明， 但不用来限制本发明的范围。
本发明实施例提供了一种双通道热备系统及利用该系统实现双通道热备 的方法。
采用分层设计方法， 将双通道热备系统分为了热备状态管理层、 应用处 理层和数据通信层三个层次结构。 系统层次结构图如图 1所示。
热备状态管理层釆用冗余硬件设计， 包括两个热备管理单元。 热备管理 单元 1监控应用处理机 1的工作状态，并向应用处理机 1发送模式码来通知工作 模式。 同理， 热备管理单元 2控制应用处理机 2的工作模式。 两个热备管理单 元之间釆用各自的自锁 /互锁逻辑选择 1个工作正常的通道为主状态， 从而避 免两个通道间互相判断时出现的 "双主" 或者 "双备" 的状态。 同时， 热备 状态管理层输出同步信号， 使应用层的两个应用处理机处于周期同步的工作 状态。
应用处理层包括两台应用处理机（双机）。 在每个控制周期开始时都会从 对应的热备管理单元接收工作模式码， 并根据接收到的工作模式码来执行主 状态或者备状态的流程。 完成应用处理流程后， 会向热备管理单元报告自己 的工作状态。 热备管理单元根据这些信息判断双机的工作状态是否正常。 当 任何一台应用处理机出现问题时， 热备状态管理层会控制双机完成主、 备状 态的切换， 对工作异常的应用处理机采取冗余策略使其停止工作。
数据通信层包括两台通信机， 主要完成数据转发的功能， 接收来自外界 的数据， 并转发给应用处理层的两台应用处理机， 同时将处于主状态的应用 处理机发出的运算结果向外部系统发送。 两台通信机相互独立工作， 构成冗 余的配置结构， 任何一台通信机发生故障时， 另外一台仍能为应用处理层的 双机完成数据转发工作。 两台通信机的状态受到热备管理层中两个热备管理 单元的共同监控。 通信机正常工作时， 会向热备管理层发送周期变化的电平 信号， 一旦这种动态信号停止或者发生了异常， 热备管理层会判断该通信机 发生了异常， 并把通信机的状态发送给应用处理层的两台应用处理机， 便于 应用处理机选择正常的通信机输出。
热备管理层的一个热备管理单元和应用处理层的一台应用处理机共同构 成热备系统的一个通道。 数据通信层的两台通信机相互冗余， 为两个通道共 同使用。 三层结构之间通过高速通信总线来实现数据的交换， 可以满足整个 双通道热备系统对于实时性的要求。 热备管理单元、 高速通信总线、 通信机 均釆用了冗余结构， 提高了整个系统的可靠性和可用性。
在双通道热备系统中， 可靠地实现主、 备通道状态切换是实现系统功能 的关键。 在本发明的具体方案中， 通过自锁 /互锁逻辑来实现两个通道工作模 式的管理。 互锁 /自锁逻辑原理框图如图 2所示。
两个热备管理单元之间的自锁 /互锁逻辑分成完全一致的两个部分， 分别 位于两个热备管理单元内， 分别称为自锁 /互锁单元 1、 互锁 /自锁单元 2。 自锁 /互锁连接总线用于交互两个自锁 /互锁单元判断得到的工作模式码，从而实现 自锁 /互锁逻辑， 选择一个正常工作的通道作为主状态。
每个互锁 /自锁单元的输入包括：
1 )本地应用处理机状态输入；
2 )本地自锁 /互锁单元的输出；
3 )对方自锁 /互锁单元的输出
4 ) 互锁 /自锁单元地址（1或 2 )。 每个自锁 /互锁单元的输出为： 给应用处理机的工作模式码。 自锁 /互锁单元将本地应用处理机报告的工作模式码分为工作状态和非 工作状态。 工作状态包括主和备两种模式。 非工作状态包括上电、 故障、 同 步和维护四种模式。 各种模式之间的转换关系如图 3所示。 应用处理机在各种 工作模式下完成的工作如下：
1 ) 上电模式： 完成上电初始化和自检；
2 ) 主模式： 完成正常的应用处理功能， 并向通信机发送输出数据；
3 )备模式： 完成正常的应用处理功能， 但不向通信机发送输出数据；
4 )同步模式： 处于同步模式的应用处理机向处于主模式的应用处理机请 求同步数据， 并根据这些数据完成对自身状态的同步；
5 ) 故障模式： 应用处理机运行出现问题， 停止工作；
6 )维护模式： 在此模式下， 可以对系统软件进行升级和维护。
自锁 /互锁单元根据保存的上个周期应用处理机的模式信息以及本周期 的输入信息， 根据图 3所示的转换关系， 判决出双通道的工作模式。 遇到互锁 争权情况时， 自锁 /互锁单元 1读取本地地址， 本地地址为 " 1" 自锁 /互锁单元 的输出为主状态。 自锁 /互锁单元为冗余设计， 保证其可用性。
为了便于对双通道热备系统的状态进行监控，本系统提供如图 4所示的控 制面板， 其具有显示双通道的工作状态和实现人工切换的功能。 面板的上方 一排为状态指示灯， 显示应用处理机和通信机是否上电以及是否处于工作状 态的信息。 下面一排为带灯按钮， 当应用处理机 1或者应用处理机 2工作的指 示灯点亮时分别代表应用处理机 1或者应用处理机 2处于主模式。 当故障指示 灯亮起时， 代表对应的应用处理机或者通信机发生了故障， 需要人工按压点 亮的指示灯使对应的设备重新上电。 控制面板还提供人工切换的功能， 当系 统正常工作时， 按压应用处理机 1或者应用处理机 2工作按钮可以指定对应的 应用处理机进入主模式， 另外一应用处理机进入备模式。 当需要对软件升级 或者进行人工维护时， 可以在系统上电后的若干秒内， 同时按压两个应用处 理机的工作按钮， 使整个系统进入维护模式， 便于操作人员进行维护。
为了保证发生主、 备状态切换时， 切换动作是无缝的， 需要保证主、 备 通道之间的状态同步。 除了保证应用处理机在进入备模式之前， 必须在同步 模式中根据处于主模式的应用处理机发送的数据进行同步之外， 在本方案中 还通过以下两种方式保证应用处理层双机之间的状态同步。
( 1 )应用处理层双机处于周期同步的工作状态；
( 2 ) 数据通信层通信机保证给应用处理层双机发送的输入数据的一致 性。
由于应用处理层双机是受热备管理层控制的， 因此需要两个热备管理单 元中的周期控制模块保证切换无缝。 这就要求备通道热备管理单元的周期控 制模块是无条件跟随主通道热备管理单元的周期控制模块， 即主通道热备管 理单元的周期控制模块要与备通道热备管理单元的周期控制模块同步。
这样， 必须在两个热备管理单元中的周期控制模块之间设置同步连接总 线， 但考虑到两个热备管理单元的主、 备关系是会变化的， 所以同步连接总 线只能由当前主通道的热备管理单元作为输出使用， 当前备通道只能接收同 步连接总线发来的同步信号。 因此， 同步连接总线负责向当前备通道传递当 前主通道的同步信号。 周期控制模块的原理框图如图 5所示。
从图 5可以看出，热备管理单元的周期控制模块中的计数器受控于同步信 号， 同步信号的来源有两个： 本地周期控制单元的周期控制模块输出和主热 备管理单元的周期控制模块输出。
当热备管理单元所在的通道为主通道时， 其周期控制模块输出的同步信 号控制自身的计数器， 并通过同步连接总线控制备通道的热备管理单元中周 期控制模块中的计数器。
所以， 对于热备管理单元周期控制模块中的计数器的同步信号要设置切 换开关， 负责根据热备管理单元主或备状态来控制周期控制模块是使用自身 的同步信号， 还是主热备管理单元的周期控制模块的同步信号。 同时热备管 理单元周期控制模块的同步连接总线也要设置切换开关。 当热备管理单元为 主时， 其周期控制模块输出同步信号， 当热备管理单元为备时， 其周期控制 模块输入同步信号。 值得强调的是： 周期控制模块应釆用冗余设计， 保证其 可用性。 在大多数控制系统中， 外部输入数据的到来时刻总是随机的。 对于周期 控制的系统来说， 总是在某一固定的时刻开始对输出的数据进行处理。 由于 热备系统中负责应用处理的双机不可能出于绝对的同步状态， 所以会造成某 一控制周期中处理的输入数据不一致。 从而造成双机状态的不同步。 设置数 据通信管理层的好处在于可以通过通信机来保证给应用处理层双机发送数据 的一致性。 为了实现这一功能， 需要应用处理机在进行数据输入处理之前， 向通信机发送数据请求， 数据请求报文中包括了周期号信息， 以便通信机进 行判断。 通信机实现发送数据一致性的流程如图 6所示。
在釆用了以上方法后， 可以保证主通道的运行状态和备通道的运行状态 是周期同步的。 在主、 备通道的一致性校验方法上， 釆用了无条件支持主通 道输出的方法， 在每个控制周期应用处理完毕后， 主通道会把自己的计算结 果发送给备通道， 备通道把主通道的计算结果与本地计算的结果进行比较， 如果出现了不一致的情况， 则判定备通道出现了问题， 是其转入故障模式。 工业实用性
本发明提供一种双通道热备系统及利用该系统实现双通道热备的方法， 该方案能够避免出现 "双主" 或者 "双备" 的状态； 保证两通道的控制周期 同步； 提高系统的故障反应时间； 满足实时性的要求； 提高系统的可靠性和 可用性； 保证了主、 备状态的无缝切换， 具有工业实用性。

Claims

权利要求书:
1、 一种双通道热备系统， 其特征在于， 所述系统包括热备状态管理层、 应用处理层和数据通信层； 所述热备状态管理层包括两个热备管理单元， 所 述应用处理层包括两个应用处理机， 所述数据通信层包括两个通信机； 所述 热备状态管理层用于控制两个应用处理机主、 备状态的设置和切换、 监控数 据通信层的工作状态， 并实现系统的两个通道的控制周期同步， 其中， 一个 热备管理单元控制一个应用处理机， 并与其构成该系统的一个通道； 所述数 据通信层用于接收来自外界的数据， 并转发给所述应用处理层。
2、 如权利要求 1所述的系统， 其特征在于， 所述热备状态管理层、 应用 处理层和数据通信层均连接到高速通信总线上。
3、 如权利要求 2所述的系统， 其特征在于， 两个热备管理单元之间通过 互锁 /自锁连接总线连接， 所述互锁 /自锁连接总线用于实现自锁 /互锁逻辑， 从而选择一个正常工作的通道作为主状态。
4、 如权利要求 1所述的系统， 其特征在于， 两个热备管理单元之间通过 同步连接总线连接， 所述同步连接总线用于向当前备通道传递当前主通道的 同步信号。
5、 如权利要求 3所述的系统， 其特征在于， 热备状态管理层釆用冗余硬 件设计； 两个应用处理机相互冗余， 两台通信机也相互冗余， 为两个通道共 同使用； 高速通信总线釆用冗余结构。
6、 一种利用权利要求 1〜5任一项所述的系统来实现双通道热备的方法， 其特征在于， 所述热备状态管理层按照如下方式控制两个应用处理机主、 备 状态的设置：
热备管理单元向对应的应用处理机发送工作模式码来通知其工作模式， 其中， 所述工作模式码分为工作状态和非工作状态， 工作状态包括主、 备两 种模式， 非工作状态包括上电、 故障、 同步和维护四种模式。
7、 如权利要求 6所述的方法， 其特征在于， 所述热备状态管理层按照如 下方式控制两个应用处理机主、 备状态的切换： 两个热备管理单元之间釆用自锁 /互锁逻辑选择一个工作正常的通道作 为主状态； 并且，
在每个控制周期开始时， 两个应用处理机从对应的热备管理单元接收工 作模式码， 并根据接收到的工作模式码来执行主状态或者备状态的流程， 完 成应用处理流程后， 向对应的热备管理单元报告自己的工作状态， 热备管理 单元根据工作状态信息判断两个应用处理机的工作状态是否正常， 当任何一 个应用处理机工作异常时， 热备管理单元釆用自锁 /互锁逻辑实现主、 备状态 的切换， 并对工作异常的应用处理机釆取冗余策略使其停止工作。
8、 如权利要求 6所述的方法， 其特征在于， 所述热备状态管理层按照如 下方式实现两个通道的控制周期同步：
热备状态管理层向两个应用处理机输出同步信号， 使两个应用处理机处 于控制周期同步的工作状态。
9、 如权利要求 8所述的方法， 其特征在于， 所述热备状态管理层实现两 个通道的控制周期同步的方式具体为：
当前主通道的热备管理单元从两个热备管理单元之间的同步连接总线发 出同步信号， 当前备通道的热备管理单元从同步连接总线接收该同步信号， 从而保证两个热备管理单元处于控制周期同步的工作状态。
10、 如权利要求 6所述的方法， 其特征在于， 热备管理层按照如下方式监 控数据通信层的工作状态：
每个通信机正常工作时， 向热备管理层发送周期变化的电平信号， 一旦 这种动态信号停止或者发生异常， 热备管理层判断出该通信机发生了异常， 并把该通信机的异常工作状态信号发送给应用处理层的两台应用处理机， 以 便于应用处理机选择工作正常的通信机输出。
11、 如权利要求 6所述的方法， 其特征在于， 数据通信层在接收到应用处 理层发送的数据请求之后将来自外界的数据转发给应用处理层， 并且数据通 信层通过识别应用处理层发送的数据请求中的周期号信息来保证给两个应用 处理机发送的数据的一致性。
PCT/CN2011/001187 2010-07-22 2011-07-20 双通道热备系统及实现双通道热备的方法 WO2012009960A1 (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US13/811,025 US8935565B2 (en) 2010-07-22 2011-07-20 Dual-channel hot standby system and method for carrying out dual-channel hot standby

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201010235370.5A CN101917283B (zh) 2010-07-22 2010-07-22 双通道热备系统及实现双通道热备的方法
CN201010235370.5 2010-07-22

Publications (1)

Publication Number Publication Date
WO2012009960A1 true WO2012009960A1 (zh) 2012-01-26

Family

ID=43324680

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2011/001187 WO2012009960A1 (zh) 2010-07-22 2011-07-20 双通道热备系统及实现双通道热备的方法

Country Status (3)

Country Link
US (1) US8935565B2 (zh)
CN (1) CN101917283B (zh)
WO (1) WO2012009960A1 (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115022159A (zh) * 2022-06-27 2022-09-06 汉中一零一航空电子设备有限公司 一种控制设备主控制器冗余备份系统及方法

Families Citing this family (17)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101917283B (zh) * 2010-07-22 2011-11-09 北京交大资产经营有限公司 双通道热备系统及实现双通道热备的方法
CN102684916B (zh) * 2012-04-26 2015-04-29 成都交大光芒科技股份有限公司 客运专线综合监控系统中冗余通信对象控制方法
CN103738366A (zh) * 2013-12-26 2014-04-23 北京交控科技有限公司 计算机系统
CN104267713B (zh) * 2014-09-01 2017-01-11 北京交通大学 双机热备结构的ato设备的故障检测和切换方法
CN104202122B (zh) * 2014-09-03 2018-02-06 国家电网公司 一种数据处理方法和装置
CN104360916B (zh) * 2014-11-20 2018-01-09 上海富欣智能交通控制有限公司 基于数据同步的主备同步方法
CN104571041B (zh) * 2014-12-31 2017-06-09 重庆川仪自动化股份有限公司 基于1:1控制器冗余的数据同步方法
CN104679510B (zh) * 2015-02-09 2018-04-20 北京交通大学 安全苛求系统的扩展uml类图模型的故障树生成方法
CN106033206A (zh) * 2015-03-16 2016-10-19 佛山市顺德区美的电热电器制造有限公司 用于烹饪器具的自检方法、自检系统和烹饪器具
CN106301823B (zh) * 2015-05-19 2020-12-18 中兴通讯股份有限公司 一种关键组件的故障告警方法、装置及大数据管理系统
CN105915375B (zh) * 2016-04-13 2019-06-07 北京交通大学 双机热备系统的主备状态管理方法
CN106550009B (zh) * 2016-09-20 2020-01-21 海能达通信股份有限公司 一种业务处理方法、系统及装置
CN107152919B (zh) * 2017-05-16 2019-05-07 千寻位置网络有限公司 基于热备数据中心的gnss形变监测系统及实现方法
CN107634855A (zh) * 2017-09-12 2018-01-26 天津津航计算技术研究所 一种嵌入式系统的双机热备方法
CN110688427B (zh) * 2019-09-11 2022-03-04 北京控制工程研究所 一种四机热备份实时系统的异步数据同步方法
CN110690998B (zh) * 2019-10-11 2021-12-21 湖南长城银河科技有限公司 一种基于bmc的主从设备管理方法
CN112394209B (zh) * 2020-11-13 2024-05-10 四川泛华航空仪表电器有限公司 一种带自锁保护的模拟信号余度切换系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1437326A (zh) * 2002-02-07 2003-08-20 华为技术有限公司 一种通讯设备中的主备倒换方法
CN101090308A (zh) * 2007-07-06 2007-12-19 华为技术有限公司 一种心跳通信方法与系统
CN101483540A (zh) * 2008-01-11 2009-07-15 上海博达数据通信有限公司 一种高端数据通信设备中的主备倒换方法
CN101917283A (zh) * 2010-07-22 2010-12-15 北京交通大学 双通道热备系统及实现双通道热备的方法

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6629263B1 (en) * 1998-11-10 2003-09-30 Hewlett-Packard Company Fault tolerant network element for a common channel signaling (CCS) system
US7051098B2 (en) * 2000-05-25 2006-05-23 United States Of America As Represented By The Secretary Of The Navy System for monitoring and reporting performance of hosts and applications and selectively configuring applications in a resource managed system
US6865591B1 (en) * 2000-06-30 2005-03-08 Intel Corporation Apparatus and method for building distributed fault-tolerant/high-availability computed applications
CA2495837A1 (en) * 2002-09-10 2004-03-25 Union Switch & Signal, Inc. Hot standby method and apparatus
US20050028028A1 (en) * 2003-07-29 2005-02-03 Jibbe Mahmoud K. Method for establishing a redundant array controller module in a storage array network
CN100459447C (zh) * 2005-06-30 2009-02-04 华为技术有限公司 一种配线连接设备实现主备倒换的方法
US7796501B2 (en) * 2007-12-12 2010-09-14 Ciena Corporation System and methods for redundant switch fabric and switch controller

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1437326A (zh) * 2002-02-07 2003-08-20 华为技术有限公司 一种通讯设备中的主备倒换方法
CN101090308A (zh) * 2007-07-06 2007-12-19 华为技术有限公司 一种心跳通信方法与系统
CN101483540A (zh) * 2008-01-11 2009-07-15 上海博达数据通信有限公司 一种高端数据通信设备中的主备倒换方法
CN101917283A (zh) * 2010-07-22 2010-12-15 北京交通大学 双通道热备系统及实现双通道热备的方法

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN115022159A (zh) * 2022-06-27 2022-09-06 汉中一零一航空电子设备有限公司 一种控制设备主控制器冗余备份系统及方法

Also Published As

Publication number Publication date
CN101917283A (zh) 2010-12-15
US8935565B2 (en) 2015-01-13
CN101917283B (zh) 2011-11-09
US20130179723A1 (en) 2013-07-11

Similar Documents

Publication Publication Date Title
WO2012009960A1 (zh) 双通道热备系统及实现双通道热备的方法
CN105187248B (zh) 一种冗余切换系统
CN102833468B (zh) 一种播出pgm主备输出一键式应急系统和方法
CN108153144A (zh) 一种dcs冗余控制器无扰切换方法
WO2017107665A1 (zh) 一种用于列车控制的安全计算机系统
CN101337552B (zh) 采用2x2取2架构的计轴系统
CN108551397B (zh) 网桥装置及应用以及多plc主站与多plc从站的通信控制方法
WO2009137988A1 (zh) 计算机联锁系统码位级冗余方法
CN103532753B (zh) 一种基于内存换页同步的双机热备方法
CN109507866A (zh) 一种基于网络地址漂移技术的双机冗余系统及方法
CN103647781A (zh) 一种基于设备冗余和网络冗余的混合冗余可编程控制系统
CN104268037A (zh) 热冗余联锁子系统及其主备切换方法
KR20150141316A (ko) 병렬운전 인버터 시스템의 pwm 동기화 장치
CN101594383A (zh) 一种双控制器存储系统的服务和控制器状态监控方法
CN107040403A (zh) 基于dds技术提高分布式系统可靠性的方法
CN102866690A (zh) 分散控制系统中冗余过程控制站之间冗余切换方法
CN108725521B (zh) 一种轨道交通主备控制中心热备冗余管理系统及方法
CN205377900U (zh) 一种列车tcn冗余网关系统
US20210046958A1 (en) Computer interlocking system and switching control method for the same, device, and storage medium
CN114594672A (zh) 控制系统及其控制方法、计算机可读存储介质
CN105550078B (zh) 一种主备自由切换1553b总线接口板
CN108363644B (zh) 分布式电传异步工作飞控计算机主备选择方法
CN114954576B (zh) 联锁系统中与无线闭塞中心通信时通信机的实现结构
WO2012000338A1 (zh) 一种单板实现主备倒换的方法及系统
CN114407975B (zh) 一种全电子联锁系统执行单元的热备方法及热备联锁系统

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 11809149

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 13811025

Country of ref document: US

122 Ep: pct application non-entry in european phase

Ref document number: 11809149

Country of ref document: EP

Kind code of ref document: A1