CN105974879A - 数字仪控系统中的冗余控制设备、系统及控制方法 - Google Patents

Abstract

本发明属于核电站中数字化仪控系统的技术领域，提供了一种数字仪控系统中带有冗余功能的控制设备、数字化仪控系统及控制设备主备冗余控制方法；控制设备包括：主控制装置和备用控制装置，主控制装置设置有第一控制器和第一CPLD；备用控制装置设置有第二控制器和与第二CPLD；第一控制器和第二控制器分别设置有故障判定单元，当第一控制器中的故障判定单元判断主控装置处于故障、且备用控制装置没有处于故障时，将故障状态结果输出至第一CPLD，第一CPLD将主控制装置设置为故障状态；第二CPLD获取第一CPLD为故障状态时，将第二CPLD设置为主状态，且备用控制装置升为主控制装置。使得整个控制设备的冗余仲裁速度更快、可靠性更好。

Description

数字仪控系统中的冗余控制设备、系统及控制方法

技术领域

本发明涉及一种核电站中数字化仪控系统，尤其涉及一种数字仪控系统中带有冗余功能的控制设备、数字仪控系统及其控制设备主备冗余控制方法。

背景技术

数字化仪控系统作为核电站关键设备，其主控制器实现复杂的运算和控制，因此控制器的冗余实现对提高整个数字化仪控系统的安全性和可靠性具有十分重要的意义。早期各行业的控制器主备冗余方案采用软件方式，具有冗余仲裁慢，切换扰动大的缺点，随着技术的发展，其它行业的控制器的主备冗余方案开始采用硬件逻辑实现。

例如，中国专利申请号为CN200810173676.5的中国专利公开了一种用于核电站数字化仪控系统的核心子系统中的主中央服务器与热备服务器构成的冗余装置，是一种基于计算机PCI-E总线的扩展卡，该装置包括对计算机接收到的数据进行解串和控制装置中产生的数据进行串化的转换桥接芯片组，转换后的数据存储在存储器中，控制装置产生和接收脉冲信号进行逻辑运算和控制，通过光耦和三极管外围电路完成输入输出的逻辑驱动，监视该装置切换状态，主热备计算机状态以及冗余服务器切换的双机切换装置间电缆连接状态的监视设备与控制装置连接；以达到安全可靠快速切换的目的。

但是发明人在实现本发明的过程中发现，专利CN200810173676.5中公开的技术方案中，仅仅从计算机PCI-E总线和接口电路进行改进，但是仅靠与计算机PCI-E总线连接的CPLD(英文全称Complex Programmable Logic Device，中文全称为复杂可编程逻辑器件)来实现冗余仲裁和切换，依然存在：1、单靠硬件执行冗余仲裁速度慢，结果不够可靠，所以易出现的双从或双主现象；2、单靠硬件在冗余切换过程中切换速度慢导致出现主备切换扰动大。

发明内容

为了解决现有技术中核电站中数字化仪控系统仅依靠冗余装置存在冗余速度慢、主备切换扰动大的技术问题，本发明提供了一种通过控制器和冗余装置结合来实现冗余仲裁速度快、无扰切换的数字仪控系统中带有冗余功能的控制设备、数字仪控系统及控制设备主备冗余控制方法。

为了实现上述目的，本发明提供的技术方案包括：

一方面，提供一种数字仪控系统中的控制设备，其特征在于，所述控制设备包括：

主控制装置和备用控制装置，所述主控制装置设置有第一控制器和与所述第一控制器通过总线连接的第一CPLD，所述备用控制装置设置有第二控制器和与所述第二控制器通过总线连接的第二CPLD；并且

所述第一控制器和第二控制器之间设置成可以相互交换数据信息，所述第一CPLD和所述第二CPLD设置成可以相互交换状态信号和运算信号；

其中，所述第一控制器和所述第二控制器分别设置有判断主控制装置、备用控制装置是否处于故障的故障判定单元，当所述第一控制器中的故障判定单元判断所述主控制装置处于故障时，并且所述备用控制装置没有处于故障状态时，将所述故障状态结果输出至所述第一CPLD，所述第一CPLD将所述主控制装置设置为故障状态；所述第二CPLD获取所述第一CPLD为故障状态时，将所述第二CPLD设置为主状态，并且所述备用控制装置升为主控制装置。

进一步地，所述第一控制器中的故障判定单元判断所述控制设备出现故障时，所述第一CPLD将所述主控装置设置为故障状态，并且所述第一控制器中的故障判定单元进一步所述故障的种类：如果为可恢复故障，则等待故障恢复；如果是不可恢复故障，则自动复位并且所述第一CPLD切换为备用状态，所述主控制装置降为备用控制装置。

进一步地，所述故障判定单元中预存储的故障种类包括：1)、不可恢复的硬件故障，所述第一控制器中的操作系统故障，第一控制器任务执行异常；2)、可恢复的通信链路故障。

进一步地，所述主控制装置和所述备用控制装置分别设置有与所述第一控制器、所述第二控制器连接的第一存储器、第二存储器，所述第一存储器和第二存储器中都设置有根据所述故障判定单元执行预定操作的冗余切换规则。

第二方面，本发明还提供一种数字仪控系统，其特征在于，所述系统包括：上述一种所述的控制设备，与所述控制设备连接的服务器，以及与所述控制设备连接的网卡。

第三方面，本发明还提供一种控制设备主备冗余控制方法，其特征在于，所述控制设备包括设置有第一控制器和第一CPLD的主控装置和设置有第二控制器和第二CPLD的备用控制装置，并且所述主控装置中的所述控制器和所述备用控制装置中的控制器分别设置有判断主控制装置、备用控制装置是否处于故障的故障判定单元；所述控制方法包括：

通过所述主控装置中的所述控制器判断所述主控制装置获取自身的故障信息和所述备用控制装置的故障信息；

如果所述主控装置出现异常，且所述备用控制装置没有故障信息，通知所述第一CPLD主控制装置处于故障状态；

所述备用控制装置中的第二CPLD获取所述第一CPLD的故障状态，将所述第二CPLD设置为主状态，并且所述备用控制装置升为主控制装置。

进一步地，所述主控设备中控制器的故障判定单元判断所述控制设备出现故障时，首先根据所述故障种类依照预定的冗余切换规则判断故障的种类；对于不可恢复的故障，控制装置执行自动复位操作；然再重新判断所述控制设备是否处于故障状态；并且所述第一CPLD切换为备用状态，所述主控制装置降为备用控制装置。

进一步地，所述故障判定单元中预存储的故障种类包括：1)、不可恢复的硬件故障，所述第一控制器中的操作系统故障，第一控制器任务执行异常，2)、可恢复的通信链路故障。

采用本发明提供的上述技术方案，至少可以获得以下有益效果中的一种：

1、本发明实施例提供的技术方案中，主控制装置设置有第一控制器、第一CPLD，备用控制装置中设置有第二控制器、第二CPLD，第一控制器先分析主控制装置和备用控制装置的故障信息通过冗余切换原则判定故障并设置故障，第二CPLD获取所述第一CPLD的故障状态，将所述第二CPLD设置为主状态，这样第二CPLD逻辑快速实现冗余状态机的变化，相对于现有技术中仅靠硬件CPLD来实现冗余切换不同，通过两个控制器、两个CPLD的配合，使得整个控制设备的冗余仲裁速度更快、可靠性更好，而且主控制装置和备用控制装置中的CPLD需要执行和交互的数据信息相对较少，所以整个控制设备的耦合性小。

2、控制器使用操作系统可以处理更复杂的情况以及更丰富的内容，CPLD逻辑速度更快，可以快速实现冗余状态机，两者配合能够让整个控制设备在最佳状态和无扰动状态下进行切换。

3、控制设备中的存储器设置有根据所述故障判定单元执行预定操作的冗余切换规则，所以控制设备和所述数字仪控系统可以在不同的应用场景，只需要在所述存储器中存储不同的预定冗余切换规则，通用性和便利性更好。

发明的其它特征和优点将在随后的说明书中阐述，并且，部分地从说明书变得显而易见，或者通过实施本发明的技术方案而了解。本发明的目的和其他优点可通过在说明书、权利要求书以及附图中所特别指出的结构和/或流程来实现和获得。

附图说明

图1为本发明实施例提供的一种数字仪控系统中的控制设备的结构示意图；

图2为本发明实施例提供的一种控制设备中控制设备主备冗余控制方法的流程图；

图3为本发明实施例提供的控制设备执行主备冗余仲裁转换的状态流程图。

具体实施方式

以下将结合附图及实施例来详细说明本发明的实施方式，借此对本发明如何应用技术手段来解决技术问题，并达成技术效果的实现过程能充分理解并据以实施。需要说明的是，这些具体的说明只是让本领域普通技术人员更加容易、清晰理解本发明，而非对本发明的限定性解释；并且只要不构成冲突，本发明中的各个实施例以及各实施例中的各个特征可以相互结合，所形成的技术方案均在本发明的保护范围之内。

另外，在附图的流程图示出的步骤可以在诸如一组控制器可执行指令的控制系统中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。

下面通过附图和具体实施例，对本发明的技术方案进行详细描述：

如图1所示，本发明实施例提供的一种数字仪控系统中的控制设备100包括：左侧主控装置110和右侧主控装置120，下文为了描述方便，默认系统初始化过程中将左侧主控装置110设置为主控制装置，右侧主控装置120设置为备用控制装置，二者通过之间间隔有一道背板130；左侧主控制装置110设置有第一控制器111和与第一控制器111通过总线118连接的第一CPLD(英文全称ComplexProgrammable Logic Device，中文全称为复杂可编程逻辑器件)112，右侧主控装置120(备用控制装置)也设置有相同的控制器和CPLD，为了更清楚的解释本发明实施例中的技术方案，称备用控制装置中的控制器和CPLD分别为第二控制器121和与第二控制器121通过总线128连接的第二CPLD 122；并且本发明实施例中上述第一CPLD112、第二CPLD122的具体硬件电路可以设置成与背景技术技术中的方案相同，所以在此不再重复描述；而第一控制器111和第二控制器121和背景技术中的控制器设置成不同，本实施例提供的第一控制器111和第二控制器121中都可以写入预定的操作系统，例如VxWorks操作系统(一种嵌入式实时操作系统)，本实施例中的控制器可以通过与控制器111和121连接的内存单元(例如Flash)写入预定的控制左侧主控制装置110和右侧主控装置120(备用控制装置)进行冗余切换规则(下文会有详细描述)的软件程序(下文中的“软件”指控制器执行该软件程序)。

需要说明的是，上述“主”和“备用”并非固定的，只是为了描述控制装置的状态，当其中一个为主控制装置时，另一个为从机或者成为“备用装置”，并非主控制装置只能位于左侧，备用控制装置只能位于右侧。

如图1所示，第一控制器111和第二控制器121之间设置成可以相互交换数据信息，而第一CPLD112和第二CPLD122设置成可以相互交换状态信号和运算信号；具体地，主控制装置包括与第一控制器(CPU)111通过MII总线117连接的物理层(Physical Layer，简称PHY)116和与物理层116连接的隔离组件115；备用控制装置包括与第二控制器(CPU)121通过MII总线127连接的物理层(Physical Layer，简称PHY)126和与物理层126连接的隔离组件125，隔离组件115和隔离组件125之间设置有数据通道180。而主控制装置中的第一CPLD112和备用控制装置中的第二CPLD122分别都连接有隔离组件113、114、123、124；隔离组件124和第一CPLD112之间设置有数据同步信号传输通道170，隔离组件114和第二CPLD122之间也设置有数据同步信号传输通道160；而且隔离组件113和第二CPLD112之间设置有信号传输通道140，隔离组件123和第一CPLD112之间也设置有信号传输通道150；这样第一CPLD112和第二CPLD122之间就可以相互传输数据，并且第一控制器111和第二控制器121可以除了获取与自己连接的CPLD硬件状态信息，还可以获取另外一个控制装置中CPLD硬件状态信息；这样设置的好处是，主控制器110和备用控制器120之间的主、从关系只是体现在对整个控制设备100的控制权，而二者的工作过程相同，这样其中主控制装置110出现故障时，备用控制装置120可以快速进入工作状态，对整个控制设备110的工作状态影响小。其中，上述每个隔离组件内部组成可以采用和现有技术相同的结构，在此不重复描述，上述每个物理层是计算机网络模型中最低的一层，为传输数据所需要的物理链路创建、维持、拆除，而提供具有机械的，电子的，功能的和规范的特性，即物理层确保原始的数据可在各种物理媒体上传输；物理层虽然处于最底层，却是整个开放系统的基础；物理层为设备之间的数据通信提供传输媒体及互连设备，为数据传输提供可靠的环境。

优选地，上述每个CPLD提供和对方CPLD的主要交互接口包括：

1)、主从指示信号，软件可以获取本机主从状态。

2)、故障设置信号，软件可以设置本机进入故障状态。

3)、Reserver复位设置信号，软件可以是指本机复位。

每个CPLD提供冗余控制器间的主要交互接口包括：

1)、主从指示信号，每个控制器相互可以获得对方的主从状态。

2)、状态指示信号，每个控制器可以互相获得对方故障、不在位等状态。

3)、同步结果指示信号，每个控制器可以互相获取对方冗余数据同步结果的状态。

并且上述主控制装置中设置有故障判断单元和冗余切换原则判定单元的第一控制器111和设置有冗余状态机逻辑的第一CPLD112；备用控制装置中设置有故障判断单元和冗余切换原则判定单元的第二控制器121和设置有冗余状态机逻辑的第二CPLD122。

第一控制器111通过数据通道180获取到备用控制装置121的故障信息；

第一控制器111使用主控制装置的故障信息和备用控制装置的故障信息，通过冗余切换判定原则决定设置第一CPLD112冗余状态机状态为故障；

如果主控装置出现异常，且所述备用控制装置没有故障信息，通知第一CPLD112主控制装置处于故障状态；第二CPLD122通过第一CPLD112获取原主控制装置110的状态，结合第一控制器121的故障判断单元，设置第二CPLD122为主状态，并将备用控制装置升为主控制装置；

第一CPLD112依据故障种类进一步判断：如果为不可恢复的故障，则系统自动复位，然后重复执行判断故障类型，最多三次复位。如果为可恢复故障，等待恢复条件，控制设备100按照备用控制装置的行为运行。

优选地，第一控制器111中的故障判定单元判断控制设备出现故障时，根据故障种类依照预定的冗余切换规则判断故障的种类，并决定是否设置故障状态。如果主控制装置为故障状态，备用控制装置升为主控制装置。

优选地，控制装置110对于不可恢复的故障，执行自动复位操作，并且自动复位次数预先设置为3次，如果3次复位仍然不能恢复正常状态，则控制设备100提示主控装置110处于故障状态。

优选地，当主控制装置为故障状态时，主控制装置对于可恢复的故障，按照备用控制装置的软件行为运行，并等待故障恢复。

优选地，故障判定单元中预存储的故障种类包括：1)、不可恢复的硬件故障、第一控制器111中的操作系统故障、第一控制器111任务执行异常，2)、可恢复的通信链路故障。硬件故障是指测出的所有硬件故障，包括晶振、电源、CPLD、网卡、FALSH存储器等控制上的关键器件损坏。通信连路故障包括通信链路发生中断，例如网线断开，交换机故障等。优选地，主控制装置和备用控制装置分别设置有第一控制器111、第二控制器连接的第一存储器、第二存储器，第一存储器和第二存储器中都设置有根据故障判定单元执行预定操作的冗余切换规则。

另一方面，本发明的实施例还提供一种数字仪控系统系统包括：上述的控制设备100，与控制设备连接的服务器，以及与控制设备连接的网卡。

第三方面，本发明还提供一种对上述控制设备进行主备冗余的控制方法，该控制方法包括：

通过主控装置中的第一控制器111获取的关于主控制装置自身的故障信息和备用控制装置的故障信息，判断主控制装置和备用控制装置是否处于异常；

如果主控装置出现异常，且备用控制装置没有故障信息，通知第一CPLD112主控制装置处于故障状态；

备用控制装置中的第二CPLD122获取第一CPLD112的故障状态，将第二CPLD112设置为主状态，并且备用控制装置升为主控制装置。

进一步地，主控设备100中主控装置中的第一控制器111的故障判定单元判断控制设备出现故障时，首先根据故障种类依照预定的冗余切换规则判断故障的种类；对于不可恢复的故障，主控制装置执行自动复位操作；然再重新判断控制设备100是否处于故障状态；并且第一CPLD112切换为备用状态，主控制装置降为备用控制。

下面结合图2中冗余状态机的变化，更具体地描述控制设备冗余切换的方法，该包括：

S201、物理点输入：控制设备100首先从与第一CPLD112、第二CPLD122连接的DI/AI(数字输入/模拟输入)板卡或者总线中获取相关数据；

S202、控制器从CPLD中获取主从状态(图1中的第一控制器111从第一CPLD112处获取状态信息，第二控制器121从第二CPLD122处获取状态信息)，即获取当前控制装置和对方控制装置的主从(主、备用)状态，在当前控制器获取到主机状态时，执行步骤S203；否则，在当前控制器获取到从机状态时，执行步骤S210；

S203、处理主机和从机故障信息，并依据前述切换原则执行切换，然后执行步骤S204；

S204、判断主控制装置是否处于故障，并结合前述故障种类判断单元的判断结果；如果确定控制装置处于故障状态，则执行步骤S208，否则，执行步骤S205；

S205、发送同步数据：将当前控制装置处理的数据发送至另一个控制装置，然后执行步骤S206；

S206、ICE代码运算：主控制装置中的CPLD(结合控制设备的状态，如果左侧主控制装置110为主控制装置，则为第一CPLD112，如果右侧主控制装置120为主控制装置，则为第二CPLD122)按照其内部的硬件逻辑执行逻辑运算；

S207、物理接点输出：通过与第一CPLD112、第二CPLD122连接的DI/AI(数字输入/模拟输入)板卡或者总线将控制装置处理的数据输出至外部，例如与控制设备100连接的服务器；然后重复执行S201，如此循环。

S208、判断当前CPLD冗余状态转换：即判断当前控制装置的故障是否为可恢复的故障，如果是，则执行步骤S210，否则，执行步骤S209；

S209、提示故障信息，这时候需要对控制设备进行维护或者维修；

S210、获取同步数据，并更新本地数据：即切换后的主控制装置需要更新控制设备100的数据。

如图3所示为本实施例提供的控制设备执行主备冗余仲裁转换的流程图，该冗余仲裁状态转换原则是控制设备100上电或者复位后，如果两主控制器同时上电，默认A机(左侧主控制器)具有优先成为主机的权利，B机(右侧主控制器)会等待一定时间，确保A机优先成为主机。但不是同时上电，谁先完成初始化，谁优先成为主机。初始化故障或者正常运行出现故障(S311)，则进入故障状态((S315)。故障状态如果恢复，可根据对方的状态进入主或者从状态，如果不可恢复，则复位(S310)，自动复位的次数累加不能超过3次，超过则一直处于故障状态。主机不能直接降为从机，先降为故障状态，再做处理；并且故障后，两个控制器会相互询问对方是否处于正常状态(S312、S313)。从机满足条件则可以直接升为主状态。如果出现双主异常，检查本机位置，如果是A机，直接升为主机，如果是B机则降为故障。

采用本发明提供的上述技术方案，至少可以获得以下有益效果中的一种：

1、本发明实施例提供的技术方案中，主控制装置设置有第一控制器、第一CPLD，备用控制装置中设置有第二控制器、第二CPLD，第一控制器先分析主控制装置和备用控制装置的故障信息通过冗余切换原则判定故障并设置故障，第二CPLD获取所述第一CPLD的故障状态，将所述第二CPLD设置为主状态，这样第二CPLD逻辑快速实现冗余状态机的变化，相对于现有技术中仅靠硬件CPLD来实现冗余切换不同，通过两个控制器、两个CPLD的配合，使得整个控制设备的冗余仲裁速度更快、可靠性更好，而且主控制装置和备用控制装置中的CPLD需要执行和交互的数据信息相对较少，所以整个控制设备的耦合性小。

2、控制器使用操作系统可以处理更复杂的情况，可以处理的更丰富的丰富，CPLD逻辑速度更快，可以快速实现冗余状态机，两者配合能够让整个控制设备在最佳状态和无扰动状态下进行切换。

3、控制设备中的存储器设置有根据故障判定单元执行预定操作的冗余切换规则，所以控制设备和数字仪控系统可以在不同的应用场景，只需要在存储器中存储不同的预定冗余切换规则，通用性和便利性更好。

最后需要说明的是，上述说明仅是本发明的最佳实施例而已，并非对本发明做任何形式上的限制。任何熟悉本领域的技术人员，在不脱离本发明技术方案范围内，都可利用上述揭示的做法和技术内容对本发明技术方案做出许多可能的变动和简单的替换等，这些都属于本发明技术方案保护的范围。

Claims (8)

1.一种数字仪控系统中的冗余控制设备，其特征在于，所述控制设备包括：

主控制装置和备用控制装置，所述主控制装置设置有第一控制器和与所述第一控制器通过总线连接的第一CPLD，所述备用控制装置设置有第二控制器和与所述第二控制器通过总线连接的第二CPLD；并且

所述第一控制器和第二控制器之间设置成可以相互交换数据信息，所述第一CPLD和所述第二CPLD设置成可以相互交换状态信号和运算信号；

其中，所述第一控制器和所述第二控制器分别设置有判断主控制装置、备用控制装置是否处于故障的故障判定单元，当所述第一控制器中的故障判定单元判断所述主控制装置处于故障时，并且所述备用控制装置没有处于故障状态时，将所述故障状态结果输出至所述第一CPLD，所述第一CPLD将所述主控制装置设置为故障状态；所述第二CPLD获取所述第一CPLD为故障状态时，将所述第二CPLD设置为主状态，并且所述备用控制装置升为主控制装置。

2.根据权利要求1所述的控制设备，其特征在于，所述第一控制器中的故障判定单元判断所述控制设备出现故障时，所述第一CPLD将所述主控装置设置为故障状态，并且所述第一控制器中的故障判定单元进一步所述故障的种类：如果为可恢复故障，则等待故障恢复；如果是不可恢复故障，则自动复位；并且所述第一CPLD切换为备用状态，所述主控制装置降为备用控制装置。

3.根据权利要求1或2所述的控制设备，其特征在于，所述故障判定单元中预存储的故障种类包括：1)、不可恢复的硬件故障，所述第一控制器中的操作系统故障，第一控制器任务执行异常；2)、可恢复的通信链路故障。

4.根据权利要求1所述的控制设备，其特征在于，所述主控制装置和所述备用控制装置分别设置有与所述第一控制器、所述第二控制器连接的第一存储器、第二存储器，所述第一存储器和第二存储器中都设置有根据所述故障判定单元执行预定操作的冗余切换规则。

5.一种数字仪控系统，其特征在于，所述系统包括：如权利要求1～4任意一种所述的控制设备，与所述控制设备连接的服务器，以及与所述控制设备连接的网卡。

6.一种冗余控制方法，其特征在于，所述控制设备包括设置有第一控制器、第一CPLD的主控装置和设置有第二控制器、第二CPLD的备用控制装置，并且所述主控装置中的所述控制器和所述备用控制装置中的控制器分别设置有判断主控制装置、备用控制装置是否处于故障的故障判定单元；所述控制方法包括：

通过所述主控装置中的所述控制器判断所述主控制装置获取自身的故障信息和所述备用控制装置的故障信息；

如果所述主控装置出现异常，且所述备用控制装置没有故障信息，通知所述第一CPLD主控制装置处于故障状态；

所述备用控制装置中的第二CPLD获取所述第一CPLD的故障状态，将所述第二CPLD设置为主状态，并且所述备用控制装置升为主控制装置。

7.根据权利要求6所述的控制方法，其特征在于，所述主控设备中控制器的故障判定单元判断所述控制设备出现故障时，首先根据所述故障种类依照预定的冗余切换规则判断故障的种类；对于不可恢复的故障，控制装置执行自动复位操作；然再重新判断所述控制设备是否处于故障状态；并且所述第一CPLD切换为备用状态，所述主控制装置降为备用控制装置。

8.根据权利要求6所述的控制方法，其特征在于，所述故障判定单元中预存储的故障种类包括：1)、不可恢复的硬件故障，所述第一控制器中的操作系统故障，第一控制器任务执行异常，2)、可恢复的通信链路故障。