[发明专利]支持冗余切换功能的控制系统及方法

说明书

技术领域

本发明涉及冗余控制器技术领域，尤其涉及一种支持冗余切换功能的控制系统及方法。

背景技术

控制器通常为仪控系统的核心部件，其可靠性的高低直接关系到仪控系统乃至整个被控对象能否保持安全状态和正常运行。控制器主控功能故障将导致设备或整个生产过程的停止而严重影响经济效益。对于安全性有较高要求的应用场合(如核反应堆仪控系统、飞机/航天器机载控制系统等)，控制器主控功能故障可造成灾难性的后果。通过冗余的手段来提高控制器的可靠性受到广泛的关注，迄今主要有如下几个方面的思路：

(1)附加诊断专用硬件电路的冗余切换方案

此种方案在控制器主机和控制器从机间需额外添加专门用于诊断的硬件电路，该部分电路主要执行两大功能：监测控制器主机的心跳信号并对控制器主机是否故障进行判断。当判定控制器主机故障时控制完成切换操作。该方案实现切换的软件逻辑相对简单，但是需要额外附加硬件模块，而且该附加的硬件模块将成为整个控制器的单一故障点。

(2)基于单一心跳线的冗余切换方案

此类方案不添加专用于诊断的硬件电路，控制器主机是否故障的判定需要控制器从机进行判定。其基本原理可概述为：控制器主机和控制器从机间周期性地将关键数据进行同步。同时，控制器主机上依靠软件操控通信接口或I/O口向控制器从机发送心跳信号，控制器从机运行相应的心跳信号接收逻辑对主机的心跳信号进行监测和判定。当控制器从机检测到主机的心跳信号异常(一般表现为超时)时，控制器从机将自身切换为“主机”状态。此方法无需添加额外的专用硬件电路，但是此种方法在心跳信号通信链路故障时，容易造成控制器主机故障的误判，进而导致两个控制器均运行在“主机”状态，如此将造成对I/O操作的冲突。

(3)借用控制器外的网络和设备提供另一心跳信号的冗余切换方案。

大多数应用中控制器主机和控制器从机都将通过网络与上位机、工程师站等相连，控制器主机和控制器从机实际也通过这个网络连接在一起。此类方案利用这个通信链路新增一路心跳信号，并将两路心跳信号结合在一起判定控制器主控功能是否故障。基于此以尽可能避免对控制器主机是否丧失主控功能的误判。较之于(2)，此方案的优点很明显：能够更有效地避免错误判定为控制器主机主控功能故障。但是，此方案将过分依赖于主、从控制器以外的通信网络，如此将使得冗余控制器的冗余切换功能与外部网络、交换机的连接和运行状态耦合在一起，并且适用于无外部网络的场合。另外，所增添的心跳信号也将增加外部网络的通信负荷，并且外部网络的转发时延不方便控制，可能导致完成判定的操作滞后，不利于保障冗余切换的实时性。

发明内容

本发明旨在至少在一定程度上解决相关技术中的技术问题之一。

为此，本发明的第一个目的在于提出一种结构简单、可靠性高的支持冗余切换功能的控制系统。

为了实现上述目的，本发明实施例的支持冗余切换功能的控制系统，包括：控制器主机；控制器从机；第一通信模块，用于将由所述控制器主机所发送的心跳信号和同步数据传送至所述控制器从机；第二通信模块，用于将由所述控制器主机发送的从机故障查询帧和主动切换信号发送至所述控制器从机，以及将由所述控制器从机发送的心跳信号异常确认信号和从机故障应答帧传送至所述控制器主机。

根据本发明的支持冗余切换功能的控制系统，利用第一通信模块向控制器从机发送心跳信号和同步数据，并应用第二通信模块实现心跳信号的二次确认，以及支持控制器主机对控制器从机的从机故障查询和主动切换功能，便于控制器主机在部分故障的情形下进行主动切换，结构简单、可靠性高。

在一些示例中，所述控制器主机包括：心跳信号发送模块，用于向所述控制器从机发送所述心跳信号；数据同步模块，用于向所述控制器从机发送所述同步数据；心跳信号确认模块，用于向所述控制器从机发送应答帧，以确认所述控制器主机工作正常；从机状态查询模块，用于向所述控制器从机发送查询帧，以确认所述控制器从机是否故障；自检及故障诊断模块，用于对所述控制器主机的故障状态进行检测与诊断，以获取所述控制器主机的自检及故障诊断结果；主动切换模块，与所述自检及故障诊断模块相连，用于接收所述控制器主机的自检及故障诊断结果并向所述控制器从机发送主动切换指令，以及将所述控制器主机切换为从机状态。