[发明专利]基于功能安全的高完整性PLC控制器

摘要

本发明涉及一种基于功能安全的高完整性PLC控制器的体系结构及实现方法，具体公开一种安全完整性等级为SIL3的高完整性控制器。控制器模块支持冗余，支持各种低要求、高要求、连续操作模式。该控制器支持1oo1D和1oo2D两种表决结构，总体上采用双CPU实现，双CPU经过SIL3安全完整性等级认证。1oo1D表决中，控制器采用单CPU即可达到SIL3等级，另一个CPU用于实现控制器间安全通信，2个1oo1D的控制器能够实现冗余表决。硬件上，主要采用SIL3等级的双CPU和可编程逻辑器件的组合结构，通过可编程逻辑器件实现控制器内部双CPU及控制器同外部模块之间的通信。本发明符合SIL3功能安全完整性等级要求的控制器，能够满足关键控制系统和高安全要求系统中对功能安全完整性等级的高要求。

主权项

一种基于功能安全的高完整性PLC控制器，其特征在于：包括：‑CPU单元，包括两个SIL3等级的CPU，是高完整性PLC控制器的核心部分，双CPU分为主CPU和从CPU，双CPU通过双口RAM进行数据交互，能够实现1oo1D和1oo2D的通道表决，该单元的双CPU分别与各自的RAM电路、FLASH电路、通信等电路结合，完成逻辑的执行、数据的计算及以太网和功能安全背板的通信功能；‑存储单元，包括暂存电路和掉电非易失电路两部分，暂存电路包括动态随机存储电路、双口RAM，其中动态随机存储电路作为高完整性PLC控制器的内存使用，暂存控制器逻辑执行过程中的过程数据；双口RAM的功能基于可编程逻辑器件实现，双口RAM具有两个功能，分别为：作为双CPU通信的数据传输通道，进行数据的交互；背板通信过程中作为背板通信数据的缓存；掉电非易失电路包括磁性随机存储器和串行接口存储器电路两部分，磁性随机存储器电路主要用来存储高完整性PLC控制器运行操作系统时所需要的文件系统程序；串行接口存储器用来存储系统配置参数及系统运行中的关于背板通信速率、I\O模块的工作参数等关键；‑通信单元，包括基于网络冗余的双以太网电路和背板通信电路，通过安全通信协议完成高完整性PLC控制器逻辑的下装和系统数据的监控；背板通信电路，基于可编程逻辑器件实现高完整性PLC控制器与I\O间的功能安全背板通信，功能安全背板串行通信总线包括高速串行总线和低速串行总线，两种总线的物理层分别采用MLVDS和RS‑485方式实现，所有串行总线均支持冗余；‑背板检测单元，包括背板地址检测，确定高完整性PLC控制器所在背板槽号，该单元支持冗余，高完整性PLC控制器插入可靠性检测，检测控制器是否可靠插入背板；奇偶地址校验检测，进行地址奇偶校验；‑恒流驱动单元，为I\O模块的背板地址识别提供恒定电流源，保证地址识别的准确性，恒流源支持冗余，其使能分别由主CPU和从CPU控制，保证背板地址识别的可靠性，并且该设计能够保证高完整性PLC控制器降级使用时，不影响背板地址识别；‑电源单元，按照功能单元对电源电路进行设计和划分，主要分为CPU供电电路，可编程逻辑器件供电电路、以太网电路以及功能安全背板串行通信用的接口电路等电路，主CPU和从CPU及可编程逻辑器件间电源电路均独立设计，互不影响，降低控制器故障失效率；主CPU和从CPU供电电路应用带有SIL3安全完整性等级认证的多路电源管理控制器实现，保证该部分电路不会因为电源故障降低控制器的安全完整性等级；可编程逻辑器件、以太网及功能安全背板串行通信等外围电路的电源设计中，对电源进行了监控设计，通过主CPU和从CPU能够及时检测电源故障，保证控制器不会进入危险失效的状态；‑状态指示，作为高完整性PLC控制器运行状态的指示单元，能够显示控制器的当前状态。