模塊無擾冗余切換技術在DCS中的實現

李 蒙 史洪源 董偉杰 王 弢

(杭州和利時自動化有限公司，浙江 杭州 310018)

0 引言

高可靠性是過程控制系統的第一要求［1］。基于冗余技術的控制系統大大提高了系統的可靠性和可用性。冗余的DCS系統包括網絡冗余和模塊冗余。模塊冗余作為冗余DCS系統的重要組成部分［2］，包括控制站內控制器及各類I/O模塊的冗余，它可以確保任何一個模塊的故障都不影響系統的工作，確保現場設備正常運行。

傳統的模塊冗余在晶振等敏感元件故障或模塊熱插拔等邊界條件出現時［3］，冗余切換的鎖定電路工作不穩定［4］，經常出現切換不及時，鎖定電路短時失效造成的模塊雙主或雙從的現象。

基于FPGA設計的冗余模塊同步互鎖定電路能完全解決上述仲裁、切換的難題［5］，確保各類模塊切換對現場無任何擾動。

1 冗余模塊互鎖切換

1.1 冗余切換機制簡介

冗余模塊主從狀態由硬件確定。其中，兩個冗余槽位模塊中，以率先實現運行或建立通信的模塊為主模塊，另一模塊為從模塊。當拔掉主模塊時，從模塊切換為主，此時插入模塊不會影響主從切換。當主模塊出現故障時，根據故障優先級和冗余狀態來判斷主從是否進行切換［6］。冗余切換的實現機制如圖1所示。

圖1 硬件冗余切換原理Fig.1 Principle of hardware redundancy switching

在圖1所示的原理設計框圖中，定義兩個冗余模塊分別為模塊A和模塊B。當與非門A(B)輸出為0時，該模塊為主;輸出為1時，模塊為從。

圖1以模塊A為例，CPU根據緩沖器回讀的狀態判斷當前模塊工作在主機或從機，同時讀取濾波A1輸出的狀態來跟蹤模塊當前為單機工作還是雙機工作。根據上述內容決定是否輸出一定頻率的波形，從而使得模塊具備主從切換的條件。

脈沖定時功能塊在FPGA中實現，它的主要作用是檢測CPU輸出的脈沖。一旦檢測到邊沿，就啟動內部定時器，并同時輸出高電平。如果定時器溢出，則將輸出清零，直到下一個邊沿到來的時刻，輸出再次變高。該定時周期可通過寄存器設定，這樣只要CPU輸出的頻率高于設定值，則脈沖定時一直輸出高電平。這表明該模塊工作正常，可以做主從切換。

看門狗與電源監控功能塊具有電源監控和看門狗定時器功能，可監測電源及CPU運行。如果一切正常，則輸出高電平;如果上電、掉電或CPU工作異常，則輸出低電平，表明模塊復位。

上電檢測功能塊在FPGA內實現，電源監測輸出與脈沖定時輸出相與后作為該功能塊的輸入。當上電復位完成時，復位輸出變為高電平，此時CPU開始工作。當建立通信后，CPU輸出脈沖，脈沖定時輸出由低變高，則二者相與后將產生上升沿，將D觸發器的輸入鎖存至輸出端。

多選一選擇器功能塊在FPGA內實現。該功能主要作用是根據模塊工作狀態，選擇輸出0、1或脈沖檢測模塊的輸出接入與非門。多路選擇器的真值表如表1所示。

表1 多路選擇器真值表Tab.1 True value table of multiplexer

1.2 搶主機制

所有冗余模塊上電后率先完成初始化的模塊，將和上位機建立通信后成為主模塊，另一模塊則為從模塊。這就是上電搶主機制。上電搶主可分為以下兩個階段。

第一階段，若兩個模塊均上電復位，在復位電平有效期間，上電檢測功能塊工作，緩沖器不使能，模塊冗余輸出引腳狀態為高電平，模塊為從。對于輸出模塊，模塊冗余輸出引腳接入通道開關控制，用于控制輸出通道是否與現場相連。

第二階段，上述狀態一直持續到模塊A(B)完成通信功能建立后。此時，模塊A(B)中的CPU A(B)將輸出固定頻率的方波，并連接到對方模塊的脈沖定時器A(B)進行檢測。一旦檢測到輸入端有邊沿信號，脈沖定時器A(B)輸出高電平，此時緩沖器輸出使能，由多選一選擇器輸出脈沖定時器的檢測結果。由于兩個模塊采用不同的時鐘域，異步的電平傳輸方式可確保冗余模塊建立通信的時間不會同時發生，此時另一模塊仍為從，即光耦A2(B2)不導通，且由于每個模塊濾波A2(B2)均連接了上拉電阻，所以與非門A(B)另一輸入端為高電平。這樣率先建立通信的與非門A(B)輸出端為低電平，模塊成為主機。另外一個模塊光耦A2(B2)導通，與非門A(B)中的一個輸入端必為低電平，輸出端為高電平，狀態被鎖定為從機。

為避免模塊熱插拔或干擾信號對電路輸入引入不確定的邏輯狀態，從而導致模塊誤切換，每個模塊的濾波A1(B1)、濾波A2(B2)均外接了上拉電阻，并設計了軟件數字濾波功能。

1.3 冗余切換

冗余模塊工作后，兩個模塊的CPU A(B)均輸出方波信號，脈沖定時器A(B)均輸出高電平。此時，若主模塊通道故障、晶振停振、CPU損壞、DP通信鏈路離線，主模塊則依靠是否輸出脈沖波形來完成主從切換;若主模塊掉電，其依靠互鎖邏輯電平連接(光耦A2(B2)和與非門B(A)的連線)來完成主從切換。若模塊A(B)已進行了一次切換，則只有在主模塊掉電、晶振停振、CPU故障情況下，從模塊才會切換為主模塊;在主模塊通道故障、通信中斷時，已進行過切換的從模塊均不會切換為主。發生上述不同故障條件的具體切換機制如下所述。

假設模塊A為主，晶振停振，看門狗定時器產生復位波形。此時從模塊工作正常，則光耦B1導通，濾波A1輸入低電平。在模塊A復位過程中，復位輸入為0，雙機狀態為0，多選一選擇器A選擇低電平輸出接入與非門A。與非門輸出為高，光耦A2斷開，模塊B濾波B2輸出高電平。由于脈沖定時A由模塊A晶振提供時鐘信號，所以脈沖定時A可能輸出高或低電平，這樣模塊B濾波B1可能輸出低或高電平。但不論濾波B1輸出高或低電平，多選一選擇器選擇脈沖定時B輸出和與非門B輸入相連，此時模塊B工作正常，CPU B輸出脈沖，與非門B將輸出低電平，模塊B將切換為主。

假設模塊A為主，CPU A損壞或程序跑飛，CPU A無輸出脈沖，脈沖定時A的輸出為低。從模塊B工作正常，不論模塊A看門狗定時器是否產生復位信號，多選一選擇器A和與非門A1輸入相連的狀態始終為低電平，與非門A輸出為高，光耦A2斷開，模塊B濾波B2輸入高。由于模塊A的CPU A不輸出脈沖，所以光耦A1斷開，模塊B濾波B1輸出高電平;模塊B的CPU B輸出波形，脈沖定時B輸出為高。多選一選擇器B選擇脈沖定時B和與非門B輸入相連。此時與非門B輸出低，模塊B切換為主。

假設模塊A為主，模塊A掉電，光耦A1、A2均輸出為高阻，模塊B濾波B1、B2由于外接了上拉電阻將輸出為高電平。模塊B工作正常，則CPU B輸出脈沖，脈沖定時B輸出為高，多選一選擇器B選擇脈沖定時B和與非門B輸入相連，與非門B輸出低，模塊B切換為主。

假設模塊A為主，從模塊失電，光耦B1一直呈斷開狀態，濾波A1由于外接上拉電阻將輸出高電平，不論模塊A工作是否正常，多選一選擇器A輸出為高，與非門A輸出為低，模塊A仍為主。

假設模塊A為主，主模塊通道故障，則主模塊定時查詢從模塊工作狀態，若從模塊工作正常即濾波A1輸出為低，則主模塊CPU不輸出脈沖，脈沖定時器A輸出為低，與非門A輸出高，模塊A為從。光耦A2斷開，模塊B的濾波B2輸入高。同時，光耦A1斷開，濾波B1輸出高，多選一選擇器B選擇脈沖定時B和與非門B輸入相連，此時與非門B輸出低，模塊B切換為主。

2 FPGA實現及仿真

將脈沖定時和復位與切換邏輯在FPGA內部實現，分別進行搶主和主從切換功能以及時序仿真［7］。

模塊上電時，無波形輸出，當滿足一定條件時，CPU輸出脈沖波形至FPGA的MASTER_PULSE_IN，FPGA檢測到輸入脈沖，且模塊不處于復位狀態即RST為高電平，就將SET_MASTER_OUT輸出低電平，模塊為主。這樣，先滿足條件的模塊即為主模塊，同時鎖定另一模塊為從模塊，即完成搶主。經過一定延時(延遲長度軟件可設定)，FPGA的脈沖定時功能塊檢測到無波形輸出，將SET_MASTER_OUT信號由低變高，從而實現從模塊升主，主模塊降從。

3 冗余切換的驗證

基于上述冗余模塊切換機制開發了冗余I/O，其中，模擬量輸出模塊的測試結果如下。

①冗余電流輸出模塊帶750 Ω負載，組態輸出8.8 mA電流，插入和拔掉從模塊時，現場無任何擾動。

②冗余電流輸出模塊帶750 Ω負載，組態輸出8.8 mA電流，拔掉主模塊時，冗余模塊進行切換，切換時間約為4 ms，遠低于現場設備500 ms的最小動作時間，現場無任何擾動。如圖2所示。

圖2 拔掉主模塊測試波形Fig.2 The waveform of unplugging the master module

4 應用項目案例

工程項目對模塊冗余切換驗收的步驟如下:①組態輸入、輸出回路，輸出模塊與輸入模塊相連，通過界面的趨勢圖觀察模塊切換時是否發生變化;②外接繼電器、電磁閥，人為制造模塊切換，觀察現場設備是否動作;③使用示波器等測試儀器觀察輸出波形，根據波形擾動評估是否對現場設備造成影響。

以紅沿河百萬機組常規控制系統為例。該項目通過嚴格的內部測試驗證及第三方型式測試，1#機組已通過出廠驗收，其測試模塊冗余切換的結果如下。

①DCS主站包含模擬輸入(AI)、輸出(AO)2個模塊。其中AI模塊采集正弦波，并輸出到AO模塊，在AI或AO模塊切換時，其變化趨勢如圖3所示。圖3中靠上的波形是AO模塊輸出波形，靠下的波形是AI模塊采集波形。在整個趨勢圖繪制期間，各類模塊多次進行了冗余切換，均未造成趨勢圖中的波形變化。由此可判斷切換無擾動。

圖3 模塊切換趨勢狀態圖Fig.3 The trend of module switching

②外接功率繼電器(動作時間5 ms)、電磁閥(動作時間500 ms)，模塊切換時現場無任何擾動。

③使用示波器觀察AO模塊切換波形(如圖2所示)，擾動時間小于5 ms，遠低于電磁閥動作時間。

從上述案例可以看出，模塊冗余切換技術可以確保不影響現場設備的正常運行。

5 結束語

基于FPGA實現的模塊無擾冗余切換技術不但可實現在模塊失電、主CPU或晶振故障、其他板級和現場故障時模塊的無擾切換;還可以根據各類模塊的實際需求，靈活調節脈沖定時器的充、放電時間，從而達到控制模塊切換時間的目的。該技術已在2000多個工程項目中應用，性能優秀，可滿足各種現場需求。

［1］王常力，羅安.分布式控制系統設計與應用實例［M］.北京:電子工業出版社，2004:386－390.

［2］馮立，王良勇，錢曉龍.冗余控制系統的原理及性能優化［J］.儀器儀表學報，2003(S1):334－336.

［3］孫懷義.冗余設計技術與可靠性關系研究［J］.儀器儀表學報，2007(11):171－174.

［4］永田恭一.冗余方法和半導體電路［P］.中國，CN98124993.1999－07－14.

［5］黃文君，金建祥，馮冬芹，等.控制系統的冗余策略和實現準則［J］.儀器儀表學報，2004(4):545－548.

［6］尹征琦.雙模冗余系統及其自動切換控制邏輯［J］.電子技術，1997(4):5－8.

［7］趙雅興.FPGA原理、設計與應用［M］.天津:天津大學出版社，1999:56 －60，96，140 －144.