模塊無擾冗余切換技術(shù)在DCS中的實(shí)現(xiàn)

李 蒙 史洪源 董偉杰 王 弢

(杭州和利時自動化有限公司，浙江 杭州 310018)

0 引言

高可靠性是過程控制系統(tǒng)的第一要求［1］?；谌哂嗉夹g(shù)的控制系統(tǒng)大大提高了系統(tǒng)的可靠性和可用性。冗余的DCS系統(tǒng)包括網(wǎng)絡(luò)冗余和模塊冗余。模塊冗余作為冗余DCS系統(tǒng)的重要組成部分［2］，包括控制站內(nèi)控制器及各類I/O模塊的冗余，它可以確保任何一個模塊的故障都不影響系統(tǒng)的工作，確?，F(xiàn)場設(shè)備正常運(yùn)行。

傳統(tǒng)的模塊冗余在晶振等敏感元件故障或模塊熱插拔等邊界條件出現(xiàn)時［3］，冗余切換的鎖定電路工作不穩(wěn)定［4］，經(jīng)常出現(xiàn)切換不及時，鎖定電路短時失效造成的模塊雙主或雙從的現(xiàn)象。

基于FPGA設(shè)計(jì)的冗余模塊同步互鎖定電路能完全解決上述仲裁、切換的難題［5］，確保各類模塊切換對現(xiàn)場無任何擾動。

1 冗余模塊互鎖切換

1.1 冗余切換機(jī)制簡介

冗余模塊主從狀態(tài)由硬件確定。其中，兩個冗余槽位模塊中，以率先實(shí)現(xiàn)運(yùn)行或建立通信的模塊為主模塊，另一模塊為從模塊。當(dāng)拔掉主模塊時，從模塊切換為主，此時插入模塊不會影響主從切換。當(dāng)主模塊出現(xiàn)故障時，根據(jù)故障優(yōu)先級和冗余狀態(tài)來判斷主從是否進(jìn)行切換［6］。冗余切換的實(shí)現(xiàn)機(jī)制如圖1所示。

圖1 硬件冗余切換原理Fig.1 Principle of hardware redundancy switching

在圖1所示的原理設(shè)計(jì)框圖中，定義兩個冗余模塊分別為模塊A和模塊B。當(dāng)與非門A(B)輸出為0時，該模塊為主;輸出為1時，模塊為從。

圖1以模塊A為例，CPU根據(jù)緩沖器回讀的狀態(tài)判斷當(dāng)前模塊工作在主機(jī)或從機(jī)，同時讀取濾波A1輸出的狀態(tài)來跟蹤模塊當(dāng)前為單機(jī)工作還是雙機(jī)工作。根據(jù)上述內(nèi)容決定是否輸出一定頻率的波形，從而使得模塊具備主從切換的條件。

脈沖定時功能塊在FPGA中實(shí)現(xiàn)，它的主要作用是檢測CPU輸出的脈沖。一旦檢測到邊沿，就啟動內(nèi)部定時器，并同時輸出高電平。如果定時器溢出，則將輸出清零，直到下一個邊沿到來的時刻，輸出再次變高。該定時周期可通過寄存器設(shè)定，這樣只要CPU輸出的頻率高于設(shè)定值，則脈沖定時一直輸出高電平。這表明該模塊工作正常，可以做主從切換。

看門狗與電源監(jiān)控功能塊具有電源監(jiān)控和看門狗定時器功能，可監(jiān)測電源及CPU運(yùn)行。如果一切正常，則輸出高電平;如果上電、掉電或CPU工作異常，則輸出低電平，表明模塊復(fù)位。

上電檢測功能塊在FPGA內(nèi)實(shí)現(xiàn)，電源監(jiān)測輸出與脈沖定時輸出相與后作為該功能塊的輸入。當(dāng)上電復(fù)位完成時，復(fù)位輸出變?yōu)楦唠娖剑藭rCPU開始工作。當(dāng)建立通信后，CPU輸出脈沖，脈沖定時輸出由低變高，則二者相與后將產(chǎn)生上升沿，將D觸發(fā)器的輸入鎖存至輸出端。

多選一選擇器功能塊在FPGA內(nèi)實(shí)現(xiàn)。該功能主要作用是根據(jù)模塊工作狀態(tài)，選擇輸出0、1或脈沖檢測模塊的輸出接入與非門。多路選擇器的真值表如表1所示。

表1 多路選擇器真值表Tab.1 True value table of multiplexer

1.2 搶主機(jī)制

所有冗余模塊上電后率先完成初始化的模塊，將和上位機(jī)建立通信后成為主模塊，另一模塊則為從模塊。這就是上電搶主機(jī)制。上電搶主可分為以下兩個階段。

第一階段，若兩個模塊均上電復(fù)位，在復(fù)位電平有效期間，上電檢測功能塊工作，緩沖器不使能，模塊冗余輸出引腳狀態(tài)為高電平，模塊為從。對于輸出模塊，模塊冗余輸出引腳接入通道開關(guān)控制，用于控制輸出通道是否與現(xiàn)場相連。

第二階段，上述狀態(tài)一直持續(xù)到模塊A(B)完成通信功能建立后。此時，模塊A(B)中的CPU A(B)將輸出固定頻率的方波，并連接到對方模塊的脈沖定時器A(B)進(jìn)行檢測。一旦檢測到輸入端有邊沿信號，脈沖定時器A(B)輸出高電平，此時緩沖器輸出使能，由多選一選擇器輸出脈沖定時器的檢測結(jié)果。由于兩個模塊采用不同的時鐘域，異步的電平傳輸方式可確保冗余模塊建立通信的時間不會同時發(fā)生，此時另一模塊仍為從，即光耦A(yù)2(B2)不導(dǎo)通，且由于每個模塊濾波A2(B2)均連接了上拉電阻，所以與非門A(B)另一輸入端為高電平。這樣率先建立通信的與非門A(B)輸出端為低電平，模塊成為主機(jī)。另外一個模塊光耦A(yù)2(B2)導(dǎo)通，與非門A(B)中的一個輸入端必為低電平，輸出端為高電平，狀態(tài)被鎖定為從機(jī)。

為避免模塊熱插拔或干擾信號對電路輸入引入不確定的邏輯狀態(tài)，從而導(dǎo)致模塊誤切換，每個模塊的濾波A1(B1)、濾波A2(B2)均外接了上拉電阻，并設(shè)計(jì)了軟件數(shù)字濾波功能。

1.3 冗余切換

冗余模塊工作后，兩個模塊的CPU A(B)均輸出方波信號，脈沖定時器A(B)均輸出高電平。此時，若主模塊通道故障、晶振停振、CPU損壞、DP通信鏈路離線，主模塊則依靠是否輸出脈沖波形來完成主從切換;若主模塊掉電，其依靠互鎖邏輯電平連接(光耦A(yù)2(B2)和與非門B(A)的連線)來完成主從切換。若模塊A(B)已進(jìn)行了一次切換，則只有在主模塊掉電、晶振停振、CPU故障情況下，從模塊才會切換為主模塊;在主模塊通道故障、通信中斷時，已進(jìn)行過切換的從模塊均不會切換為主。發(fā)生上述不同故障條件的具體切換機(jī)制如下所述。

假設(shè)模塊A為主，晶振停振，看門狗定時器產(chǎn)生復(fù)位波形。此時從模塊工作正常，則光耦B1導(dǎo)通，濾波A1輸入低電平。在模塊A復(fù)位過程中，復(fù)位輸入為0，雙機(jī)狀態(tài)為0，多選一選擇器A選擇低電平輸出接入與非門A。與非門輸出為高，光耦A(yù)2斷開，模塊B濾波B2輸出高電平。由于脈沖定時A由模塊A晶振提供時鐘信號，所以脈沖定時A可能輸出高或低電平，這樣模塊B濾波B1可能輸出低或高電平。但不論濾波B1輸出高或低電平，多選一選擇器選擇脈沖定時B輸出和與非門B輸入相連，此時模塊B工作正常，CPU B輸出脈沖，與非門B將輸出低電平，模塊B將切換為主。

假設(shè)模塊A為主，CPU A損壞或程序跑飛，CPU A無輸出脈沖，脈沖定時A的輸出為低。從模塊B工作正常，不論模塊A看門狗定時器是否產(chǎn)生復(fù)位信號，多選一選擇器A和與非門A1輸入相連的狀態(tài)始終為低電平，與非門A輸出為高，光耦A(yù)2斷開，模塊B濾波B2輸入高。由于模塊A的CPU A不輸出脈沖，所以光耦A(yù)1斷開，模塊B濾波B1輸出高電平;模塊B的CPU B輸出波形，脈沖定時B輸出為高。多選一選擇器B選擇脈沖定時B和與非門B輸入相連。此時與非門B輸出低，模塊B切換為主。

假設(shè)模塊A為主，模塊A掉電，光耦A(yù)1、A2均輸出為高阻，模塊B濾波B1、B2由于外接了上拉電阻將輸出為高電平。模塊B工作正常，則CPU B輸出脈沖，脈沖定時B輸出為高，多選一選擇器B選擇脈沖定時B和與非門B輸入相連，與非門B輸出低，模塊B切換為主。

假設(shè)模塊A為主，從模塊失電，光耦B1一直呈斷開狀態(tài)，濾波A1由于外接上拉電阻將輸出高電平，不論模塊A工作是否正常，多選一選擇器A輸出為高，與非門A輸出為低，模塊A仍為主。

假設(shè)模塊A為主，主模塊通道故障，則主模塊定時查詢從模塊工作狀態(tài)，若從模塊工作正常即濾波A1輸出為低，則主模塊CPU不輸出脈沖，脈沖定時器A輸出為低，與非門A輸出高，模塊A為從。光耦A(yù)2斷開，模塊B的濾波B2輸入高。同時，光耦A(yù)1斷開，濾波B1輸出高，多選一選擇器B選擇脈沖定時B和與非門B輸入相連，此時與非門B輸出低，模塊B切換為主。

2 FPGA實(shí)現(xiàn)及仿真

將脈沖定時和復(fù)位與切換邏輯在FPGA內(nèi)部實(shí)現(xiàn)，分別進(jìn)行搶主和主從切換功能以及時序仿真［7］。

模塊上電時，無波形輸出，當(dāng)滿足一定條件時，CPU輸出脈沖波形至FPGA的MASTER_PULSE_IN，F(xiàn)PGA檢測到輸入脈沖，且模塊不處于復(fù)位狀態(tài)即RST為高電平，就將SET_MASTER_OUT輸出低電平，模塊為主。這樣，先滿足條件的模塊即為主模塊，同時鎖定另一模塊為從模塊，即完成搶主。經(jīng)過一定延時(延遲長度軟件可設(shè)定)，F(xiàn)PGA的脈沖定時功能塊檢測到無波形輸出，將SET_MASTER_OUT信號由低變高，從而實(shí)現(xiàn)從模塊升主，主模塊降從。

3 冗余切換的驗(yàn)證

基于上述冗余模塊切換機(jī)制開發(fā)了冗余I/O，其中，模擬量輸出模塊的測試結(jié)果如下。

①冗余電流輸出模塊帶750 Ω負(fù)載，組態(tài)輸出8.8 mA電流，插入和拔掉從模塊時，現(xiàn)場無任何擾動。

②冗余電流輸出模塊帶750 Ω負(fù)載，組態(tài)輸出8.8 mA電流，拔掉主模塊時，冗余模塊進(jìn)行切換，切換時間約為4 ms，遠(yuǎn)低于現(xiàn)場設(shè)備500 ms的最小動作時間，現(xiàn)場無任何擾動。如圖2所示。

圖2 拔掉主模塊測試波形Fig.2 The waveform of unplugging the master module

4 應(yīng)用項(xiàng)目案例

工程項(xiàng)目對模塊冗余切換驗(yàn)收的步驟如下:①組態(tài)輸入、輸出回路，輸出模塊與輸入模塊相連，通過界面的趨勢圖觀察模塊切換時是否發(fā)生變化;②外接繼電器、電磁閥，人為制造模塊切換，觀察現(xiàn)場設(shè)備是否動作;③使用示波器等測試儀器觀察輸出波形，根據(jù)波形擾動評估是否對現(xiàn)場設(shè)備造成影響。

以紅沿河百萬機(jī)組常規(guī)控制系統(tǒng)為例。該項(xiàng)目通過嚴(yán)格的內(nèi)部測試驗(yàn)證及第三方型式測試，1#機(jī)組已通過出廠驗(yàn)收，其測試模塊冗余切換的結(jié)果如下。

①DCS主站包含模擬輸入(AI)、輸出(AO)2個模塊。其中AI模塊采集正弦波，并輸出到AO模塊，在AI或AO模塊切換時，其變化趨勢如圖3所示。圖3中靠上的波形是AO模塊輸出波形，靠下的波形是AI模塊采集波形。在整個趨勢圖繪制期間，各類模塊多次進(jìn)行了冗余切換，均未造成趨勢圖中的波形變化。由此可判斷切換無擾動。

圖3 模塊切換趨勢狀態(tài)圖Fig.3 The trend of module switching

②外接功率繼電器(動作時間5 ms)、電磁閥(動作時間500 ms)，模塊切換時現(xiàn)場無任何擾動。

③使用示波器觀察AO模塊切換波形(如圖2所示)，擾動時間小于5 ms，遠(yuǎn)低于電磁閥動作時間。

從上述案例可以看出，模塊冗余切換技術(shù)可以確保不影響現(xiàn)場設(shè)備的正常運(yùn)行。

5 結(jié)束語

基于FPGA實(shí)現(xiàn)的模塊無擾冗余切換技術(shù)不但可實(shí)現(xiàn)在模塊失電、主CPU或晶振故障、其他板級和現(xiàn)場故障時模塊的無擾切換;還可以根據(jù)各類模塊的實(shí)際需求，靈活調(diào)節(jié)脈沖定時器的充、放電時間，從而達(dá)到控制模塊切換時間的目的。該技術(shù)已在2000多個工程項(xiàng)目中應(yīng)用，性能優(yōu)秀，可滿足各種現(xiàn)場需求。

［1］王常力，羅安.分布式控制系統(tǒng)設(shè)計(jì)與應(yīng)用實(shí)例［M］.北京:電子工業(yè)出版社，2004:386－390.

［2］馮立，王良勇，錢曉龍.冗余控制系統(tǒng)的原理及性能優(yōu)化［J］.儀器儀表學(xué)報(bào)，2003(S1):334－336.

［3］孫懷義.冗余設(shè)計(jì)技術(shù)與可靠性關(guān)系研究［J］.儀器儀表學(xué)報(bào)，2007(11):171－174.

［4］永田恭一.冗余方法和半導(dǎo)體電路［P］.中國，CN98124993.1999－07－14.

［5］黃文君，金建祥，馮冬芹，等.控制系統(tǒng)的冗余策略和實(shí)現(xiàn)準(zhǔn)則［J］.儀器儀表學(xué)報(bào)，2004(4):545－548.

［6］尹征琦.雙模冗余系統(tǒng)及其自動切換控制邏輯［J］.電子技術(shù)，1997(4):5－8.

［7］趙雅興.FPGA原理、設(shè)計(jì)與應(yīng)用［M］.天津:天津大學(xué)出版社，1999:56 －60，96，140 －144.