PLC熱備冗余的研究與設(shè)計

劉成俊，彭文才，趙 涌

（南瑞集團(tuán)公司（國網(wǎng)電力科學(xué)研究院），南京 211106）

可編程邏輯控制器PLC主要用于采集生產(chǎn)過程的信號，經(jīng)過邏輯處理及運算，對被控對象進(jìn)行調(diào)節(jié)和控制，實現(xiàn)高效優(yōu)質(zhì)運行。PLC硬件一般采用機(jī)架式模塊化結(jié)構(gòu)設(shè)計，機(jī)架用于安裝模塊并提供彼此間互聯(lián)的總線，模塊按功能設(shè)計，包括電源供應(yīng)、信息處理與運算、通訊、信號采集、控制輸出等。PLC軟件通常基于IEC61131-3標(biāo)準(zhǔn)提供梯形圖、結(jié)構(gòu)化文本等編程語言，并將PID等關(guān)鍵控制算法規(guī)范化、模塊化，使用方便，且有利于提高編程質(zhì)量。由于PLC硬件可配置、軟件可編程，軟硬件的靈活性充分滿足各種控制系統(tǒng)要求而被大量應(yīng)用。

工業(yè)領(lǐng)域中的電力、石油化工、鋼鐵冶煉、軌道交通等關(guān)系國計民生的生產(chǎn)過程都是長期不間斷運行，對作為其控制系統(tǒng)核心的PLC在穩(wěn)定性和可靠性方面提出了很高的要求。在PLC各個部件都經(jīng)過反復(fù)試驗確保穩(wěn)定性的前提下，采用冗余技術(shù)提高PLC可靠性是簡單而有效的方法。冗余會增加硬件投資和系統(tǒng)復(fù)雜度，因此，需要綜合考慮性能要求、重要程度，作出高效易行的冗余設(shè)計。

1 冗余與熱備

1.1 冗余

在滿足基本功能要求的設(shè)備之外，重復(fù)增加部分或全部設(shè)備，這配置多余設(shè)備的方式就是冗余。冗余分類方法很多，按冗余部件的數(shù)量比例分為1∶1、1∶n等多種冗余；按冗余部件的層次可分為元件級、模塊級和系統(tǒng)級冗余；按冗余部件的設(shè)計原理和實現(xiàn)方法是否相同，可分為同型冗余和異型冗余。

1.2 熱備

熱備即“熱備用”，是冗余部件的運行方式，主要相對“冷備用”而言?！袄鋫溆谩笔侵競溆迷O(shè)備平時不運行，當(dāng)運行的主設(shè)備出現(xiàn)故障時，需要人為去投入備用設(shè)備，退出主設(shè)備，隔離故障；“熱備用”是指備用設(shè)備與主設(shè)備同時運行，當(dāng)主設(shè)備出現(xiàn)故障時，系統(tǒng)自動投入備用設(shè)備，將故障設(shè)備轉(zhuǎn)為備用或退出[1]。熱備按照負(fù)載分擔(dān)情況分為2種模式，一種是online模式，主用和備用設(shè)備分擔(dān)不同的任務(wù)；一種是standby模式，主用設(shè)備運行全部任務(wù)，備用設(shè)備只監(jiān)測但不承擔(dān)運行任務(wù)，即主從熱備方式。

當(dāng)前，主流大中型PLC的冗余普遍針對關(guān)鍵部件采取1∶1基于模件級雙重化配置，實現(xiàn)雙機(jī)主從熱備運行。從而避免PLC單模塊故障引發(fā)停機(jī)等事故，同時方便系統(tǒng)在線維護(hù)、升級，提高系統(tǒng)平均無故障時間（MTBF），縮短平均故障修復(fù)時間（MTTR）[2]。

1.3 PLC熱備冗余主要過程

（1）確定雙機(jī)各自的主、從狀態(tài)；

（2）主機(jī)向從機(jī)實時備份同步數(shù)據(jù)信息；

（3）雙機(jī)分別進(jìn)行自診斷；

（4）條件滿足時進(jìn)行雙機(jī)主從切換。

2 PLC熱備冗余的關(guān)鍵技術(shù)

2.1 數(shù)據(jù)同步

運行過程中主機(jī)定時或按周期把實時數(shù)據(jù)信息備份到從機(jī)，以便主從切換后，采用相同的數(shù)據(jù)繼續(xù)運行，實現(xiàn)無擾動切換[3]。

2.2 故障自診斷

主、從機(jī)在運行過程中定期對自身硬件、關(guān)鍵任務(wù)的運行情況進(jìn)行檢測，依照設(shè)定的標(biāo)準(zhǔn)判斷是否出現(xiàn)故障，并給出診斷信息。故障自診斷為冗余設(shè)備的狀態(tài)轉(zhuǎn)換提供了判斷依據(jù)。

2.3 狀態(tài)轉(zhuǎn)換機(jī)制

冗余PLC出現(xiàn)主從熱備之外的異常狀態(tài)，根據(jù)設(shè)計的轉(zhuǎn)換機(jī)制，使系統(tǒng)轉(zhuǎn)入相對安全的狀態(tài)，將故障影響降到最低。

2.4 主從切換

主機(jī)關(guān)鍵任務(wù)發(fā)生故障，若從機(jī)自檢正常，通過主從切換，從機(jī)升級為主機(jī)，而故障設(shè)備降為備用或退出運行，并報警提示需要維護(hù)。

2.5 帶電插拔

系統(tǒng)運行時，帶電插拔更換機(jī)架上的故障模塊，不影響其它模塊正常工作，新更換的模塊自動加載運行。

3 PLC熱備冗余的設(shè)計

根據(jù)上述PLC熱備冗余的關(guān)鍵技術(shù)，結(jié)合主流通用PLC產(chǎn)品，選取典型的冗余模式，介紹其在體系架構(gòu)、電源、CPU模塊、通訊等方面的冗余設(shè)計，以及為方便冗余PLC在線升級維護(hù)而設(shè)計的主從文件拷貝功能。

3.1 冗余PLC的體系架構(gòu)

體系架構(gòu)上，冗余PLC對關(guān)鍵環(huán)節(jié)和薄弱環(huán)節(jié)采用雙重化配置，典型的冗余架構(gòu)如圖1所示。

圖1 冗余PLC典型體系架構(gòu)Fig.1 Typical construct of redundant PLC

主機(jī)架上的模塊負(fù)責(zé)信息處理、運算控制、通訊管理，集中了PLC的主要功能，因此主機(jī)架采用1∶1完全冗余配置。每個主機(jī)架與擴(kuò)展機(jī)架間的通訊采用雙通道冗余通訊總線，提高系統(tǒng)通訊可靠性。PLC的2塊CPU之間通過電纜互聯(lián)，實現(xiàn)主從數(shù)據(jù)實時同步備份。

PLC冗余也可設(shè)計成通過仲裁模塊或者專用熱備模塊實現(xiàn)，但這樣不僅增加了硬件投資，而且增加了故障隱患點和系統(tǒng)同步步驟。采取雙CPU間直接同步熱備，由CPU決定其所在機(jī)架的主從狀態(tài)，實現(xiàn)以機(jī)架為單位的系統(tǒng)級冗余，簡化軟硬件設(shè)計，節(jié)省投資，易于維護(hù)。

3.2 電源冗余

電源模塊是PLC機(jī)架上其它模塊正常工作的重要保障。單電源模塊工作，若其發(fā)生故障或供電不足，往往會導(dǎo)致整個PLC機(jī)架控制失效，影響生產(chǎn)過程[4]。PLC每個機(jī)架配置2塊冗余電源模塊，每塊電源都具備對整個機(jī)架供電的能力，正常工作時均衡分擔(dān)負(fù)載，每個電源都工作在輕負(fù)荷狀態(tài)，有利于電源長期穩(wěn)定工作。若其中一塊電源發(fā)生故障，其自動切斷輸出，并從系統(tǒng)中隔離，另一塊電源承擔(dān)起全部供電負(fù)荷。

3.3 通訊冗余

PLC的通訊功能可分為“對外”與“對內(nèi)”。“對外”是與外部其它現(xiàn)場設(shè)備通訊的串口，以及與工程師站等監(jiān)控系統(tǒng)通訊的以太網(wǎng)接口；“對內(nèi)”是與PLC自身擴(kuò)展機(jī)架通訊的總線接口。

PLC的CPU模塊可以集成串口和以太網(wǎng)接口，并可以通過專用串口通訊模塊、專用以太網(wǎng)通訊模塊擴(kuò)展更多的對外通訊接口。對外通訊的熱備狀態(tài)由CPU模塊決定。作為備用只能響應(yīng)外部通訊的讀數(shù)據(jù)請求，不接收寫數(shù)據(jù)報文。

與擴(kuò)展機(jī)架的I/O通訊采用雙總線冗余，由為主的通訊管理模塊來負(fù)責(zé)調(diào)度；為從的通訊管理模塊周期性地向為主的模塊發(fā)送“心跳”報文，告知自身運行狀態(tài)，以便主從切換時進(jìn)行判斷。主通訊管理模塊先分別通過2個總線通道對每個I/O模塊輪詢，并初始化I/O模塊通訊狀態(tài)管理表，若某個通道出現(xiàn)故障，則通過另一通道與相應(yīng)I/O模塊通訊，此后對故障通道周期性地檢測其是否修復(fù)，若雙通道都發(fā)生故障，則給出該I/O模塊通訊故障的報警。通訊過程中實時更新狀態(tài)管理表。冗余通訊的管理如圖2所示。

圖2 冗余通訊管理Fig.2 Management of redundant communication

3.4 I/O冗余

PLC根據(jù)控制需要，對重要測點可以在同類型的不同I/O模塊上實現(xiàn)冗余配置。其中開關(guān)量輸入和模擬量輸入可以多通道采集，由CPU模塊對多個測值邏輯表決或運算求平均值；若被控對象具備多個冗余信號的仲裁表決功能，輸出量通道也可冗余配置。

3.5 CPU冗余

CPU模塊作為PLC的核心，是熱備冗余設(shè)計的重點。PLC的冗余CPU采用相同的硬件、軟件設(shè)計，安裝無固定順序要求，同型號的模塊可自由互換。CPU模塊基于嵌入式實時操作系統(tǒng)將要實現(xiàn)的功能劃分為多個優(yōu)先級不同的任務(wù)。主CPU模塊啟動全部任務(wù)，獲取I/O信息、運算PLC程序、控制I/O輸出、進(jìn)行自診斷，并將實時數(shù)據(jù)通過互聯(lián)的以太網(wǎng)接口同步備份給從CPU模塊。從CPU模塊啟動部分任務(wù)，接收主CPU的同步信息并進(jìn)行應(yīng)答，不斷判斷是否需要主從切換，獲得控制權(quán)。

3.5.1 CPU間同步

PLC冗余CPU間同步基于專用以太網(wǎng)接口建立有連接通訊服務(wù)，該任務(wù)出錯將導(dǎo)致熱備無法正常進(jìn)行。同步的內(nèi)容可分為2類：一類是編程軟件聯(lián)機(jī)PLC時產(chǎn)生，主要包括PLC程序在線修改的部分、測點和變量強(qiáng)制值、對時等調(diào)試命令，從而確保主、從CPU程序版本和運行結(jié)果一致；另一類是周期產(chǎn)生的實時過程信息，主要包括主CPU的自診斷信息、PLC程序執(zhí)行情況記錄表、I/O模塊通訊管理表、過程值（涉及I/O測點、寄存器、定時器、計數(shù)器、變量、PID、掉電保持區(qū)、事件指針等），由主CPU每個程序執(zhí)行周期組織一次，并發(fā)送給從CPU，確保兩者數(shù)據(jù)同步。從CPU根據(jù)收到的同步信息更新自己的實時數(shù)據(jù)庫，并把本側(cè)自診斷信息發(fā)送給主CPU作為應(yīng)答報文。冗余CPU間同步如圖3所示。

圖3 冗余CPU間同步Fig.3 Synchronization between redundant CPU

主CPU發(fā)送完同步報文后，繼續(xù)運行其它任務(wù)，若發(fā)現(xiàn)致命故障，則主從切換，從CPU轉(zhuǎn)變成主CPU，繼續(xù)執(zhí)行PLC程序。在此間隙內(nèi)如果采集值發(fā)生變化，下一個PLC掃描周期將及時更新，針對重要的測點（如SOE）會產(chǎn)生帶時標(biāo)的事件保存在I/O模件中，待CPU獲取并確認(rèn)后才會清除，因此在細(xì)時間粒度不斷的PLC周期循環(huán)下，不會發(fā)生數(shù)據(jù)丟失或突變，主從切換對生產(chǎn)過程也是無擾動的。

3.5.2 故障檢測

PLC在CPU中創(chuàng)建高優(yōu)先級的系統(tǒng)自診斷任務(wù)，對關(guān)鍵任務(wù)進(jìn)行實時監(jiān)視。程序設(shè)計時根據(jù)每個任務(wù)的功能特點插入相應(yīng)的診斷節(jié)點，運行時產(chǎn)生診斷信息并自動記錄在任務(wù)控制塊中。自診斷任務(wù)綜合上述信息，若發(fā)現(xiàn)故障，則置位故障標(biāo)記、產(chǎn)生報警事件、點亮故障燈等。

3.5.3 狀態(tài)轉(zhuǎn)換

如圖4所示，首先，在PLC編程組態(tài)軟件中對冗余CPU模塊起始的主、從狀態(tài)確定機(jī)制進(jìn)行配置，可以指定某個CPU為主、或者自啟動快的為主等多種規(guī)則，避免出現(xiàn)同時為主的現(xiàn)象。正常運行時，根據(jù)雙CPU各自的診斷信息進(jìn)行判斷，若發(fā)生主CPU無法與所有I/O模塊互聯(lián)、PLC程序執(zhí)行出錯、對外通訊中斷等情況，且從CPU運行狀態(tài)優(yōu)于主CPU，則自動觸發(fā)一次主從切換。主、從CPU之間除了數(shù)據(jù)同步的以太網(wǎng)接口之外，還設(shè)計了信號互聯(lián)電纜，相互監(jiān)視對側(cè)的主備狀態(tài)、故障情況。這樣即使CPU間同步發(fā)生故障，也能根據(jù)互聯(lián)電纜上的信號，將系統(tǒng)引導(dǎo)至相對安全的穩(wěn)定狀態(tài)。

圖4 冗余CPU狀態(tài)轉(zhuǎn)換機(jī)制Fig.4 State mechanism of redundant CPU

除了可以CPU自動主從切換，還可以通過編程軟件聯(lián)機(jī)發(fā)命令或者CPU模件撥碼實現(xiàn)主從切換，方便調(diào)試、維護(hù)。同時，編程軟件提供支持主從切換功能的編程功能塊，用戶可以根據(jù)具體需求設(shè)計冗余狀態(tài)轉(zhuǎn)換，充分發(fā)揮PLC的靈活性。

3.5.4 主從文件拷貝

當(dāng)主CPU模塊發(fā)生故障，觸發(fā)主從切換后，該模塊變?yōu)閭溆脿顟B(tài)，并發(fā)出告警提示。維護(hù)人員及時將故障模塊退出，更換同型號的備件，但新CPU模塊沒有下載配置文件和PLC程序，不能真正成為熱備用。設(shè)計主從文件拷貝功能，只需在新CPU模塊上通過撥碼啟動，就會在主CPU模塊運行間隙把配置文件和PLC程序一一拷貝至新CPU，比較文件一致后加載運行，新CPU轉(zhuǎn)變?yōu)闊醾溆脿顟B(tài)，從而方便現(xiàn)場在線維護(hù)，快速排除故障。

4 結(jié)語

冗余PLC在國內(nèi)外眾多水電廠監(jiān)控、火電廠DCS、軌道交通等工程中應(yīng)用，需要長期穩(wěn)定運行，合理的熱備冗余設(shè)計尤為關(guān)鍵。本文介紹了熱備冗余原理，分析了PLC熱備冗余的關(guān)鍵技術(shù)，結(jié)合實例重點闡述了PLC冗余設(shè)計方案，為冗余PLC選型和類似產(chǎn)品開發(fā)提供參考。

[1]趙豫峰，張善從.一種雙機(jī)熱備的嵌入式計算機(jī)系統(tǒng)設(shè)計[J].國外電子測量技術(shù)，2013，32（5）：77-78.

[2]吳名歡，劉羽，張烈平.高可靠性網(wǎng)絡(luò)的研究與實現(xiàn)[J].計算機(jī)與信息技術(shù)，2008（Z1）：65-66.

[3]胡軍.基于Cortex-M3的控制器冗余設(shè)計[J].工業(yè)控制計算機(jī)，2012，25（6）：9-13.

[4]路通達(dá).ControlNet冗余控制系統(tǒng)的應(yīng)用[J].石油化工自動化，2012，48（5）：18-20.