CN101907879A - 工业控制网络冗余容错系统 - Google Patents

Abstract

本发明公开了一种工业控制网络冗余容错系统，属于工业控制领域。本发明所述的系统包含主控器冗余系统、从设备冗余系统、故障日志系统和上位机监控接口四个部分；主控器冗余系统由两个互为冗余的主控器组成，两个主控器各自携带一片控制网络形成网络冗余或共享同一片控制网络；从设备冗余系统由一个主控器和一对从设备组成，主控器监控当前线路通信情况并实时地选择最优的通讯路径；故障日志系统记录设备发生的故障信息；上位机监控接口为监控计算机提供通信响应，并通过处理输入操作控制冗余系统的运行。本发明所述的系统可自动同步两个冗余的控制网络中的资源；自动判断是否发生故障；故障时可以在三百毫秒内切换到备份的控制网络中继续运行。

Description

工业控制网络冗余容错系统

技术领域

本发明属于工业控制领域，提出了一种在需要高可靠性、高安全性的工业生产领域中，将设备同步、故障检测与自恢复、故障报告、设备热切换等功能集于一身的工业级冗余容错系统的设计方法。

背景技术

冗余技术是系统或设备获得高可靠性、高安全性和高生存能力的设计方法之一，是实现容错功能非常重要的手段。在重要的工业生产领域和中，采用冗余技术提高控制系统可靠性的做法越来越普遍。常规的冗余就是采用成倍增加元件的方式来参与控制，以期能够将因控制设备的意外而导致的停机降到最少。

一个冗余系统，不仅要求单纯的增加一倍元件、部件或者模块。而是需要具备可配置冗余系统参数、硬件结构支持冗余接线、网络结构支持冗余通讯、运行过程中能够动态备份与检测、对上级设备透明运行、可在线更换设备、发生故障时可以快速热切换等诸多能力。

目前大型工业生产中应用的冗余系统，均采用增加环网交换机的方式来实现控制网络通信线路的冗余。而，针对设备间的冗余，都是采用专用的组态软件来配合冗余设备实现资源的热备份与发生故障时进行的热切换。

现有的环网冗余方案仅能解决线路上的通信故障，并不能解决设备的故障；现有的设备冗余方案，又无法解决整个系统由于控制网络故障而产生的问题；

同时，现有的设备冗余方案需要专用的上位机软件配合才能使用。这种需要上位机配合的方式不仅操作复杂而且对上级结构不透明。对于那些对冗余技术并不太熟悉的工程师，这种方式极大地增加了部署应用时的复杂度。而且在系统应用过程中，整个冗余系统运行的细节都需要暴露给上层应用，不符合模块化、组件化的设计思想。

综上，当前没有一种完善的冗余系统，能够将网络冗余、设备冗余、自动管理与热切换等诸多特性结合到一起。

发明内容

为了解决上述问题，本发明提出了一种集多种冗余结构以及自动化故障管理与切换管理为一体的工业控制网络冗余容错系统。本发明所述的系统可在控制网络运行中自动同步两个冗余的控制网络中的资源，也能同时自动判断是否发生故障。如果发现故障，系统可以在三百毫秒的时间内自动、平滑地切换到备份的控制网络中去，以确保整个系统能够在发生故障后仍然能够正常平稳地运行。同时，系统还会记录下发生过的所有故障的详细信息，为系统的维护和修复提供依据。

本发明所述的工业控制网络冗余容错系统包含四个部分：主控器冗余系统、从设备冗余系统、故障日志系统和上位机监控接口。

主控器冗余系统，由两个互为冗余的主控器以及它们所携带的控制网络组成。两个主控设备通过一块集线器与上级网络设备进行连接。两个主控器可以各自携带一片控制网络形成网络冗余，也可共享同一片控制网络，使得切换后仍然能够正常使用这片控制网络中的其他资源。

从设备冗余系统，由一个主控器和一对从设备组成。在这个系统中的主控器最多可以携带16对从设备，每对从设备互为冗余。在冗余的从设备与主控器所构成的网络中，由主控器监控当前线路通信情况，并从根据用户的配置，实时地选择最优的通讯路径进行通信。

故障日志系统：控制系统中的每个设备都运行有一套故障检测与日志系统，在设备发生故障时记录故障发生的类型、日期、次数等信息，并实时地更新当前设备所处的故障级别。

上位机监控接口，是一个为运行在监控计算机中的通信软件提供通信响应的报文服务程序。根据系统提供的访问接口，在系统运行过程中，上位机可以实时地读取系统的运行状态。在发生故障时，用户可以通过上位机查看相应设备的故障信息。并在需要时，用户能够通过相应的输入操作直接控制整个冗余系统的运行。

本发明的有益效果是：

本发明的主控器冗余系统通过集线器接入以太网，并通过传输特定的报文来进行资源的同步和组态程序运行的同步。通过将主控设备连接到集线器后再接入以太网络的这种方式成功地解决了互为冗余的两个主控器因IP、MAC完全相同而引发的网络冲突。

从设备冗余对连接到主控器上，与主控器一同构成了从设备冗余系统。主控器与从设备对之间的连接媒体可以是485总线、MB+总线或者是Zigbee。这种多种媒体统一管理的方式有效地解决了不同网络媒体之间的冗余问题，使得应用更加灵活。

在这个由多个设备、多种冗余类型、多种通信媒体所构成的多级控制网络中，每个设备内部都运行有故障检测、处理与日志系统。同时主控设备还具有检测与之连接的控制网络是否发生故障的能力。通过系统对故障的分布式自动检测与处理，使用者只需要在使用之初对系统进行正确配置，在整个运行过程用户都不需要针对冗余功能进行任何特殊的操作，解决了目前行业中部署冗余系统复杂度高的问题，也使得从现有控制系统升级为冗余控制系统更加容易。

附图说明

图1是主设备冗余系统网络结构示意图。

图2是冗余通信层在协议栈中的部署图。

图3是主设备冗余系统状态机转换图。

图4是主设备冗余系统活动设备与备份设备运行过程协作图。

图5是功能块同步运行示意图。

图6是从设备冗余系统网络结构示意图。

图7是从设备冗余系统通讯路径示意图。

图8是主设备管理结构与从设备映射部署图。

图9是从设备冗余系统主控设备运行流程图。

图10是冗余系统在控制网络中的应用效果图。

具体实施方式

以下结合技术方案和附图详细叙述本发明的具体实施例。

(一)主设备冗余系统

在主设备冗余系统中有IP、MAC完全一样的两块设备，一块为活动设备、另一块为备份设备。

本发明设计了一种将两块地址完全相同的冗余主控设备通过HUB接入上级以太网络的连接方法，解决了以太网中设备地址冲突引发的问题。图1举例描述了主设备冗余系统的网络接入方式。

主控设备冗余系统中，两块设备通过由本发明的冗余通讯层来进行通信。在主设备冗余系统中，两个冗余设备间的所有通讯均通过这个冗余通讯层来进行。冗余通讯层协议在TCP/IP协议栈中部署在MAC层协议之上，属于网络层协议。

图2描述了冗余通讯层协议在协议栈中的部署图。

冗余通讯层协议报文在物理层的封装仍然使用RFC894的MAC层协议报文头，源地址填写冗余设备自身的MAC地址，目的地址使用全网段广播地址(FF.FF.FF.FF.FF.FF)。冗余层通讯报文，使用0x88BC作为MAC报文头type字段的值，同时从报文格式的设计上保留了很多与原有IP层兼容的字段，避免与同样使用0x88BC的EPA报文相冲突。

运行过程中当MAC层解析报文头时，发现type字段值为0x88BC，则将报文回调给工作在数据链路层的冗余层报文解析接口。

冗余通讯层报文格式设计如下：

报文中开始的6Byte数据与IP报文头中的结构相同。包括：4bit的版本号、4bit的首部长度、8bit保留位、16bit报文总长度和16bit的报文标识。

接下来的4个字节，分别是控制域和值域。冗余层通讯报文就是依靠这两项来区分报文的类别与用途。

报文中的数据区是可选的，根据报文类型的不同数据区长度不同或者为0。

主设备冗余系统在运行的过程中，对于不同的输入，系统会做出不同的响应以及相应的动作，这种特定的响应与动作的集合为一个状态。本发明将冗余系统运行过程中可能出现的状态划分为7种：开始、启动、就绪、同步、运行、切换、出错，并通过一套状态机来控制这7种状态的变迁。对于这7种状态的具体描述，详见下表：

状态项	动作描述
		开始	开始状态，是冗余系统运行的最初状态。此时冗余系统刚刚初始化数据初始化完毕，仅接收冗余设备上线声明报文；
启动	启动状态，冗余系统设备交换存在信息。
		就绪	在就绪状态，参与冗余系统的两个设备已经确认了彼此的存在，此时通过命令报文通知对方可以为冗余系统的运行进行进一步的准备工作。
同步	同步状态下，系统首先判断参与冗余的两个设备状态是否一致。然后对需要保持一致的用户变量区进行完全备份，以保证冗余系统在发生故障的时候能实现平滑的切换；
		运行	在运行状态中，下位机功能块组态程序开始运行，冗余系统同步功能块的运行轮次，以及进行故障检测、在线状态检测，如果发现故障则进行相应处理，或进入切换状态
切换	切换状态主要在冗余系统发生故障的时候进行数据结构的转换，错误报告，以及发送命令报文以协调冗余系统中的两块设备进行切换。
		出错	在冗余系统的运行过程中，因为某种未知原因导致状态机混乱，则系统转入出错状态。

状态机转换过程如下：

设备上电后首先扫描网络中是否存在与自己IP、MAC相同的活动设备；

如果没有扫描到活动设备则将自身设置为活动设备，并向网络中定时发送活动设备在线声明，并进入启动状态；

如果扫描到了活动设备，则将自身设置为备份设备，并向网络中定时发送备份设备在线声明，并进入启动状态；

当活动设备检测到备份设备上线后转移到就绪状态，并通知活动设备也转移到就绪状态；

备份设备确认就绪后，活动设备与备份设备一同转入同步状态，开始一致性检测与资源同步；

如果检测与同步过程出错则转移到错误状态进行错误处理；

同步完毕后活动设备与备份设备转入运行状态；

在运行过程中，活动设备定时发送心跳报文，备份设备定时检测活动设备的心跳报文；

如果活动设备运行过程中发生故障则转入切换状态；

在切换状态下，活动设备变为备份设备，备份设备变为活动设备，并自动重启状态机。

图3描述了状态机的转换过程。

在以太网冗余系统运行过程活动设备与备份设备之间共需要交换三种信息：

时钟同步信息。因为两个设备晶振的物理偏差必然存在，导致两个设备运行一段时间过后，系统时钟就需要重新同步；

状态同步信息。当活动设备因为上位机或者用户的操作，某个需要同步的寄存器状态发生了改变，则需要重新同步该状态；

健康报文。活动设备需要实时发送健康报文，当备份设备一段时间内检测不到活动设备的健康报文时，就会发送健康报文请求，如果仍没有反映，则认为活动设备已经离线，自动执行系统切换。

当活动设备运行过程中发现自身存在故障影响系统运行但却不影响通讯，则发送故障声明通知备份设备执行切换；

备份设备接收到声明并执行切换，同时通知活动设备停机。

图4描述了活动设备与备份设备在运行过程中的交互关系图。

为了实现备份设备与活动设备之间的平滑切换，本发明设计了一种通过将时钟同步与时间片划分相结合的算法，使活动设备与备份设备功能块组态程序能够同步运行，从而最大程度地保证了两块设备在运行过程中资源的一致性。

这种分时的功能块程序运行算法，将每个功能块的执行过程看作一个原子的过程。每个功能块都能在一个约定好的时刻启动执行，将功能块的执行和系统时钟对应了起来。同时通过IEEE1588的时钟同步算法，将两个模块的系统时钟同步，从而完成了两块设备功能块组态程序的同步运行。

在功能块组态程序启动同步之前，时钟首先要完成同步。

活动设备上线时，发送功能块组态程序同步启动请求报文，报文中封装了预期启动的时间戳；

备份设备接收报文，记录时间戳，并做出响应；

当共同约定的时刻到来的时候，两个设备同时启动运行程序，并计算当前功能块的时间片长度；

不同功能块的时间片长度都是预先定义好的；

当前功能块时间片超时，则开始运行下一个功能块；

图5描述了活动设备与备份设备功能块组态程序同步运行的过程。

(二)从设备冗余系统

上文描述的主控设备或主控设备冗余系统中的活动设备与互为冗余的从设备对组成了从设备冗余系统。从设备冗余对又分为活动设备与备份设备。本节中提到的活动设备如无特定说明均指从设备冗余对中的活动设备，备份设备如无特定说明均指从设备冗余对中的备份设备。图6举例描述了从设备冗余系统的结构。

本发明所设计的主控设备与从设备冗余对之间的通讯方式共有两种：串行通讯和ZigBee无线通讯。可选的连接方式共有四种：

主控设备与活动设备通过串口建立连接；

主控设备与活动设备通过无线建立连接；

主控设备与备份设备通过串口建立连接；

主控设备与备份设备通过无线建立连接。

这四种连接方式可以同时使用，也可以仅使用其中的几种。

图7给出了这四种通信方式的示意图。

在从设备冗余系统中，每一个主控设备最多可以管理16个从设备冗余对，并对这些冗余的从设备分别进行管理。主控设备为每一个从设备冗余对都维护一个管理结构体，在这个结构中包含了上文中描述的主控设备可以使用的四种连接方式的具体属性。

图8描述的是主控设备中这四种连接方式对应从设备的示意图。

主控设备在运行的过程中，会扫描16个从设备，查看是否启动了从设备冗余系统；

如果主控设备发现从设备启动了冗余系统，则查询该冗余系统都使用了那些可选择的连接方式，并且选择的连接是否已经成功建立了通讯。

主控设备针对四种连接方式提供了一个默认的优先级别，活动设备串口的优先级最高，其次是活动设备的无线端口，再次是备份设备的串口，最后是备份设备的无线端口。

主控设备会优先地选择当前可选择连接中处于最高优先级的通讯连接方式。

当处于最高优先级的通讯连接方式发生故障的时候，主控设备会寻找次一级的连接方式，并在之后的运行中不断地尝试恢复与较高通讯方式的连接。

图9描述了主控设备管理从设备冗余系统的执行流程。

同时从设备冗余对中的活动设备也会在运行过程中对自身进行故障诊断，当发现设备发生故障时，写入故障日志，进入故障处理。

(三)故障日志系统

本发明所设计的故障日志系统记录当前运行模块运行过程中发生的所有可识别故障或错误。为冗余系统的管理与切换判断提供依据。

故障日志系统采用链表式结构设计，日志信息储存在非易失性存储器中。日志系统中每条日志的信息需要包含：

错误日志的索引值

错误出现次数

最后一次错误发生的时间戳

日志索引值，用于区别每条日志所属的故障类型，同时也用于方便的在日志系统中查找某个专门的故障。

本发明所设计的故障日志系统可识别的故障共分四个级别。最高级别的故障为硬件类故障，此类故障会影响系统的性能或直接导致停机。其次是系统级别故障，此类故障会导致系统进入看门狗中断并重新启动。再次是软件级别故障，此类故障可以在不停止运行的情况下通过软件的方式进行修复。最低级别的是应用级别的错误，对系统功能影响很小。

日志系统通过日志索引分别对上文的各级别故障加以编号。

本发明设计的故障日志系统每条日志中记录了相同故障出现的次数，对于相同的故障只需增加故障的计数并更新最后一次发生时间即可。

本发明为故障日志系统设计了一个32位的时间表示法，用来表示故障发生时的：年、月、日、时、分、秒。位由低到高：年以2010年为基数占用6个位，共可表示从2010到2074年共计64年；使用4位表示1年中的1到12月；使用5位来表示每个月的1到最多31号；使用5位来表示0到23小时；使用6位来表示0到59分钟；使用6位来表示0到59秒。

在本发明设计的故障日志系统中，存放在非易失性存储器中的不仅有日志信息，还有关于日志信息的索引结构，这个索引结构采用顺序结构存储，其内容包含：

错误日志的索引；

日志信息存放的地址指针

这个顺序的结构可以使得对日志系统中日志的查找更加方便。

(四)上位机监控接口

1、故障信息访问接口

本发明设计了一组故障日志系统的访问接口，这些接口基于EPA协议制定。

用户可以一次性地读取日志系统中所有的日志信息的索引，通讯命令的EPA报文格式为：APPID＝15000；OBJID＝2。

正响应报文中的内容为一张故障信息表，本发明所设计的故障信息表分为四个部分，每个部分在报文中所占的长度相同，即报文正文总长度的1/4。从报文开始到结束，故障级别的顺序由高到低。根据上文对故障日志系统的描述，所有故障类型共分为四个级别，所以故障信息表中为每个级别的故障分配了一个部分，这个部分的每一个位分别代表该级别中一种可识别的故障。例如：

故障信息表的长度为16个字节，则每个故障级别占4个字节共计64位。假设故障信息表的开始四个字节内容为0x0000000C，则在这个64位的表中第2和第3两个位被置位，最开始的这个部分代表的是最高优先级的故障，所以这个信息表示日志系统中存在两条最高优先级的故障编号分别是0x0002和0x0003。

负响应为标准的EPA负响应。

本发明提供了一个根据故障编号来查找日志信息的接口，该接口基于EPA协议制定。

通过这个接口用户可以根据具体的日志编号来读取日志的详细内容，包括发生次数、发生时间。通讯命令的EPA报文格式为：APPID＝15000；OBJID＝3。命令报文正文部分有两个字节，用来写入想要读取的日志的索引值。

正响应报文返回三部分内容：日志索引值、故障出现次数、故障发生的最后一次时间。

负响应为标准的EPA负响应。

2、运行状态访问接口

本发明针对冗余系统的运行过程提供了一套状态访问接口，方便用户在需要的时候查询系统运行的状态。访问命令采用EPA格式封装报文。访问接口集合中包含：

主设备冗余系统状态访问通讯命令：APPID＝15000；OBJID＝4。

正响应报文正文部分共计3个字节，具体内容如下表所示：

数据类型	说明
		Char	主控设备冗余系统角色0：没有启动；1：活动设备；2：备份设备
Char	主控设备冗余系统状态机的值：0：开始；1：启动；2：就绪；3：同步；4：运行；5：切换；-1：出错
		Char	当前设备故障级别

从设备冗余系统主控设备状态访问通讯命令：APPID＝15000；OBJID＝5。正响应报文正文部分共计3个字节，具体内容如下表所示：

数据类型	说明
		Char	冗余系统启动状态
Char	0～15号从设备冗余通讯启动情况每个字节代表一个从设备，字节中每一位的含义如下：bit 0：从设备冗余是否启动；bit 1：活动串口启动使能；bit 2：活动无线启动使能；bit 3：备份串口启动使能；bit 4：备份无线启动使能；bit 5～7：Reserved。
		Char	0～15号从设备冗余通讯当前使用的通讯路径每个字节代表一个从设备，字节值0：未建立通讯；1：与活动设备串口进行通讯；2：与活动设备无线通讯3：与备份设备串口进行通讯；4：与备份设备无线进行通讯。

根据上文对整个控制网络的描述，附图10中给出了工业控制网络冗余容错系统在具体应用中的运行效果图。

以上所述，仅为本发明较佳的具体实施方式，但本发明的保护范围并不局限于此，任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，根据本发明的技术方案及其发明构思加以等同替换或改变，都应涵盖在本发明的保护范围之内。

Claims (2)

1.一种工业控制网络冗余容错系统，其特征在于，该工业控制网络冗余容错系统包含主控器冗余系统、从设备冗余系统、故障日志系统和上位机监控接口四个部分。

主控器冗余系统，由两个互为冗余的主控器以及它们所携带的控制网络组成；两个主控设备通过一块集线器与上级网络设备进行连接；两个主控器各自携带一片控制网络形成网络冗余或共享同一片控制网络；

从设备冗余系统，由一个主控器和一对从设备组成；在冗余的从设备与主控器所构成的网络中，由主控器监控当前线路通信情况，并从根据用户的配置，实时地选择最优的通讯路径进行通信；

故障日志系统：控制系统中的每个设备都运行有一套故障检测与日志系统，在设备发生故障时记录信息，并实时地更新当前设备所处的故障级别；

上位机监控接口，是一个为运行在监控计算机中的通信软件提供通信响应的报文服务程序；根据系统提供的访问接口，在系统运行过程中，上位机实时地读取系统的运行状态；在发生故障时，用户通过上位机查看相应设备的故障信息；并在需要时，用户能够通过相应的输入操作直接控制整个冗余系统的运行。

2.权利要求1所述的工业控制网络冗余容错系统，其特征还在于

主设备冗余系统中有IP、MAC完全一样的两块设备，一块为活动设备、另一块为备份设备，两块设备通过冗余通讯层来进行通信；冗余通讯层协议在TCP/IP协议栈中部署在MAC层协议之上，属于网络层协议；冗余通讯层协议报文在物理层的封装使用RFC894的MAC层协议报文头，源地址为冗余设备自身的MAC地址，目的地址使用全网段广播地址(FF:FF:FF:FF:FF:FF)；冗余层通讯报文，使用0x88BC作为MAC报文头type字段的值，同时从报文格式的设计上保留了很多与原有IP层兼容的字段；

冗余通讯层报文格式设计如下：

冗余层通讯报文依靠控制域和值域来区分报文的类别与用途；报文中的数据区是选的，根据报文类型的不同数据区长度不同或者为0。

主设备冗余系统在运行的过程中，对于不同的输入，系统会做出不同的响应以及相应的动作，这种特定的响应与动作的集合为一个状态；本发明将冗余系统运行过程中能出现的状态划分为7种：开始、启动、就绪、同步、运行、切换、出错，并通过一套状态机来控制这7种状态的变迁；对于这7种状态的具体描述，详见下表：

  状态项   动作描述 开始   开始状态，是冗余系统运行的最初状态；此时冗余系统刚刚初始化数据初始化完毕，仅接收冗余设备上线声明报文；   启动   启动状态，冗余系统设备交换存在信息； 就绪   在就绪状态，参与冗余系统的两个设备已经确认了彼此的存在，此时通过命令报文通知对方以为冗余系统的运行进行进一步的准备工作； 同步   同步状态下，系统首先判断参与冗余的两个设备状态是否一致；然后对需要保持一致的用户变量区进行完全备份，以保证冗余系统在发生故障的时候能实现平滑的切换； 运行   在运行状态中，下位机功能块组态程序开始运行，冗余系统同步功能块的运行轮次，以及进行故障检测、在线状态检测，如果发现故障则进行相应处理，或进入切换状态 切换   切换状态主要在冗余系统发生故障的时候进行数据结构的转换，错误报告，以及发送命令报文以协调冗余系统中的两块设备进行切换；   出错   在冗余系统的运行过程中，因为某种未知原因导致状态机混乱，则系统转入出错状态；

状态机转换过程如下：

设备上电后首先扫描网络中是否存在与自己IP、MAC相同的活动设备；

如果没有扫描到活动设备则将自身设置为活动设备，并向网络中定时发送活动设备在线声明，并进入启动状态；

如果扫描到了活动设备，则将自身设置为备份设备，并向网络中定时发送备份设备在线声明，并进入启动状态；

当活动设备检测到备份设备上线后转移到就绪状态，并通知活动设备也转移到就绪状态；

备份设备确认就绪后，活动设备与备份设备一同转入同步状态，开始一致性检测与资源同步；

如果检测与同步过程出错则转移到错误状态进行错误处理；

同步完毕后活动设备与备份设备转入运行状态；

在运行过程中，活动设备定时发送心跳报文，备份设备定时检测活动设备的心跳报文；

如果活动设备运行过程中发生故障则转入切换状态；

在切换状态下，活动设备变为备份设备，备份设备变为活动设备，并自动重启状态机；冗余系统功能块同步启动之前，时钟首先要完成同步；

活动设备上线时，发送功能块组态程序同步启动请求报文，报文中封装了预期启动的时间戳；

备份设备接收报文，记录时间戳，并做出响应；

当共同约定的时刻到来的时候，两个设备同时启动运行程序，并计算当前功能块的时间片长度；

不同功能块的时间片长度都是预先定义好的；

当前功能块时间片超时，则开始运行下一个功能块；

从而达到冗余设备的同步运行。

主控设备与互为冗余的从设备对组成了从设备冗余系统；从设备冗余对又分为活动设备与备份设备；主控设备与从设备冗余对之间的通讯方式共有两种：串行通讯和ZigBee无线通讯；连接方式共有四种：主控设备与活动设备通过串口建立连接；主控设备与活动设备通过无线建立连接；主控设备与备份设备通过串口建立连接；主控设备与备份设备通过无线建立连接；这四种连接方式同时使用或使用其中的几种；

每一个主控设备能够管理多个从设备冗余对，并对这些冗余的从设备分别进行管理；主控设备在运行的过程中，会扫描所有冗余的从设备；查询该冗余系统都使用了那些选择的连接方式，并且选择的连接是否已经成功建立了通讯；主控设备会优先地选择当前选择连接中处于最高优先级的并可用的通讯连接方式。

故障日志系统记录当前运行模块运行过程中发生的所有识别故障或错误；故障日志系统采用链表式结构设计，日志信息储存在非易失性存储器中；日志系统中每条日志的信息需要包含：错误日志的索引值；错误出现次数；最后一次错误发生的时间戳；日志索引值，用于区别每条日志所属的故障类型，同时也用于方便的在日志系统中查找某个专门的故障；

本发明所设计的故障日志系统识别的故障共分四个级别；最高级别的故障为硬件类故障，此类故障会影响系统的性能或直接导致停机；其次是系统级别故障，此类故障会导致系统进入看门狗中断并重新启动；再次是软件级别故障，此类故障在不停止运行的情况下通过软件的方式进行修复；最低级别的是应用级别的错误，对系统功能影响很小；日志系统通过日志索引分别对上文的各级别故障加以编号；

本发明为故障日志系统设计了一个32位的时间表示法，用来表示故障发生时的：年、月、日、时、分、秒；位由低到高：年以2010年为基数占用6个位，共表示从2010到2074年共计64年；使用4位表示1年中的1到12月；使用5位来表示每个月的1到最多31号；使用5位来表示0到23小时；使用6位来表示0到59分钟；使用6位来表示0到59秒；

在本发明设计的故障日志系统中，存放在非易失性存储器中的不仅有日志信息，还有关于日志信息的索引结构，这个索引结构采用顺序结构存储，其内容包含：错误日志的索引；日志信息存放的地址指针。

故障日志系统的访问接口基于EPA协议制定；用户一次性地读取日志系统中所有的日志信息的索引；正响应报文中的内容为一张故障信息表，本发明所设计的故障信息表分为四个部分，每个部分在报文中所占的长度相同，即报文正文总长度的1/4；从报文开始到结束，故障级别的顺序由高到低；故障信息表中为每个级别的故障分配了一个部分，这个部分的每一个位分别代表该级别中一种识别的故障；负响应为标准的EPA负响应。

本发明提供了一个根据故障编号来查找日志信息的接口，该接口基于EPA协议制定；用户根据具体的日志编号来读取日志的详细内容；命令报文正文部分有两个字节，用来写入想要读取的日志的索引值；正响应报文返回三部分内容：日志索引值、故障出现次数、故障发生的最后一次时间；负响应为标准的EPA负响应。

状态访问命令采用EPA格式封装报文；主设备冗余系统状态访问正响应报文正文部分共计3个字节，具体内容如下表所示：

  数据类型   说明   Char   主控设备冗余系统角色0：没有启动；1：活动设备；2：备份设备   Char   主控设备冗余系统状态机的值：0：开始；1：启动；2：就绪；3：同步；4：运行；5：切换；-1：出错   Char   当前设备故障级别

从设备冗余系统主控设备状态访问通讯命令正响应报文正文部分共计3个字节，具体内容如下表所示。

  数据类型   说明   Char   冗余系统启动状态   Char   0～15号从设备冗余通讯启动情况每个字节代表一个从设备，字节中每一位的含义如下：bit 0：从设备冗余是否启动；bit 1：活动串口启动使能；bit 2：活动无线启动使能；bit 3：备份串口启动使能；bit 4：备份无线启动使能；bit 5～7：Reserved；   Char   0～15号从设备冗余通讯当前使用的通讯路径每个字节代表一个从设备，字节值0：未建立通讯；1：与活动设备串口进行通讯；2：与活动设备无线通讯3：与备份设备串口进行通讯；4：与备份设备无线进行通讯；

Images