保持原系统功能和性能的冗余架构控制系统和方法

专利名称：保持原系统功能和性能的冗余架构控制系统和方法
技术领域：
本发明属于冶金综合自动化工程领域，特别应用于控制平台的一套完整的基础自 动化解决方案，包括软件系统和硬件系统，尤其涉及一种保持原系统功能和性能的冗余架 构控制平台系统的设计方案。
背景技术：
目前冶金工业应用的控制平台已涉及冶金综合自动化工程的多个领域，实现了从 连铸、热轧、酸洗、冷轧、钢管到能源中心的钢铁企业全流程的自动化，形成自有的高端控制 技术，如轧机厚度控制技术(AGC)、板形测量与控制系统、板材可逆式轧机或冷热连轧机的 二级系统、层流冷却控制系统、冷连轧张力与厚度控制系统、酸洗轧机联合机组，尤其在酸 洗冷轧控制技术上独树一帜，在国内处于领先地位。但是目前使用的控制平台应用在酸洗轧机联合机组一段时间后，发现一些环境方 面的问题
酸洗流程导致空气中酸雾浓度要高于正常空气控制器需要散热通风，机箱无法完全 密闭，即使在控制室内，空气中酸雾也要比外界正常环境要强，因此，控制器的线路板和连 接件长期暴露在这种环境下，就会遭到一定程度的酸性腐蚀。工厂冷轧车间，对铁锈粉尘控制不好，导致粉尘较大，会影响一些接插件和连接件 的接触。为防止发生故障，保证控制系统正常工作，工厂定期对控制平台的硬件，包括控制 器、操作员站、I/O站，尤其是控制器，进行检修。整个检查周期为3个月一次，一次1天，每 次检修时系统整体需要停机。若使用过程中发现硬件故障时，换上备用件，也需要停机。这种定期检修和故障修理，系统整体停机对生产进度的影响还是比较大的。因此， 工厂对这种维修性停机有很强的改造需求。

发明内容
为克服现有技术的问题，本发明的目的是提出一种保持原系统功能和性能的冗余 架构控制系统和方法，本发明所述系统和方法进一步拓展控制平台的应用领域，使其能够 适应较为严酷和恶劣的应用环境。对原有系统进行改造，增加一套完全相同的硬件系统，使 硬件系统冗余，同时保持原控制平台的功能和用法，确保使用原平台的工程师，基本不需做 培训，就能使用改造后的系统。所述的系统保持原控制平台的性能，包括系统控制算法运算 和处理能力、通讯实时性，以及系统的可靠性和稳定性。所述系统控制系统定期维护时，整 个系统不用整体停机，生产仍然正常进行，提高控制系统的整体维护周期。所述系统和方法 完全达到对原控制平台的改造目标。本发明的目的是这样实现的一种保持原系统功能和性能的冗余架构控制系统， 包括控制器、HMI服务器、多个操作员站、多个I/O从站、互为主从的两个交换机、通讯网络、现场总线；所述的冗余架构控制系统，逻辑上是一套控制平台，物理上是两套控制平台 互为主从机，使整体硬件实现冗余；其中，
控制器冗余设有两台控制器，可在冗余架构下以主机/从机的模式工作，也可在单机 模式下工作，两台控制器之间设有专用数据同步链路；
HMI服务器冗余设有两台HMI服务器均能提供人机界面交互服务，可在冗余架构下以 主机/从机的模式工作，也可在单机模式下工作；
通讯网络冗余设有两套独立的以太网络，分属2个通讯网段； 现场总线冗余设有两套独立的现场总线； I/O从站冗余每个I/O从站设有两套互为主从的I/O卡件； 所述的HMI服务器中设置有HMI服务器Shell装置，所述的操作员站中设置有操作员 站Siell装置，所述的控制器中设置有控制器Siell装置，所述的HMI服务器Siell装置、操 作员站Shell装置通过通讯网络的两个通讯网段和两个交换机与控制器Shell装置连接， 所述的控制器通过两套现场总线与I/O从站连接。 一种使用上述系统的保持原系统功能和性能的冗余架构控制方法，所述的各个站 点启动和运行步骤如下
a.控制器启动、运行步骤
1)启动步骤:
操作系统启动，同时加载现场总线通讯程序；
控制器Shell程序启动；
现场总线通讯程序启动；
监控程序启动；
实时任务处理程序启动；
HMI通信程序启动；
同步程序启动；
2)运行步骤
控制器的运行，是一个不断地循环往复的处理过程，控制器Siell程序需处理四种数
据
I/O从站的采集、处理数据控制器Shell程序接收I/O从站的采集数据，判断是否为 主的I/O卡件发过来的，若是，允许其传输到总线通讯程序；否则，忽略该I/O从站的采集数 据，同时，接收总线通信程序发过来的I/O从站的采集数据，并将本控制器的主从状态封装 进处理数据中，发给I/O从站；
实时任务处理数据控制器Shell程序接收另一台控制器Shell程序发送的实时任务 处理数据，判断是否为主控制器发过来的，若是，允许其传输到同步程序；否则，忽略该实时 任务处理数据，同时，控制器Shell程序接收同步程序传输过来的实时任务处理数据，并将 本控制器的主从状态封装进该实时任务处理数据中，发给另一台控制器；
HMI设定、处理数据控制器Shell程序接收一台HMI服务器Shell程序发送的HMI设 定数据，判断是否为主HMI服务器发过来的，若是，允许其传输到HMI通讯接口 ；否则，忽略 该HMI设定数据，同时，控制器Shell程序接收HMI服务器传输过来的HMI设定数据，并将 本控制器的主从状态封装进该HMI处理数据中，发给两台HMI服务器；站点、现场总线和网络通讯的状态数据控制器Siell程序接收另一台控制器Siell发 送的状态数据，判断是否为主控制器发过来的，若是，允许其传输到监控程序；否则，忽略这 些状态数据，同时，控制器aiell程序接收监控程序发送的状态数据，并将本控制器的主从 状态封装进该状态数据中，发给另一台控制器；
b.HMI服务器启动、运行步骤
1)启动步骤:
操作系统启动，同时加载现场总线通讯程序； HMI服务器的Shell程序启动； 操作员站通讯接口和控制器通讯接口启动； HMI服务程序启动； HMI同步程序启动；
2)运行步骤
HMI服务器的运行，是一个事件驱动的后台服务程序，HMI服务器的HMI服务器Shell 程序需处理三种数据
HMI中间数据HMI服务器Shell程序接收另一台HMI服务器Siell程序发送的HMI中 间数据，判断是否为主控制器发过来的，若是，允许其传输到同步程序；否则，忽略该中间数 据，同时，HMI服务器的Siell程序接收HMI同步程序传输过来的HMI中间数据，并将本HMI 服务器的主从状态封装进该中间数据中，发给另一台HMI服务器；
与操作员站交互的HMI数据=HMI服务器Shell程序接收操作员站Shell程序发送的 HMI设定数据，直接将其传输到操作员站通讯接口，同时，HMI服务器Siell程序接收操作员 站通讯接口传输过来的HMI设定数据，并将本HMI服务器的主从状态封装进该数据中，发给 所有的操作员站；
与控制器交互的HMI数据HMI服务器Shell程序接收一台控制器Shell程序发送的 HMI处理数据，判断是否为主控制器发过来的，若是，允许其传输到控制器通讯接口 ；否则， 忽略该HMI处理数据，同时，HMI服务器Shell程序接收控制器通讯接口传输过来的HMI处 理数据，并将本HMI服务器的主从状态封装进该中间HMI处理数据中，发给两台控制器；
c.操作员站启动、运行步骤
1)启动步骤: 操作系统启动；
操作员站Siell程序启动； HMI画面服务接口启动； HMI画面显示程序启动；
2)运行步骤
HMI画面显示，是操作员站与整个冗余架构控制系统进行交互的接口，HMI处理数据定 时刷新，HMI画面显示信息会不断得到更新；
所述的操作员站Shell程序只处理一种数据
HMI处理数据操作员站Shell程序接收HMI服务器Shell程序发送的HMI处理数据， 判断是否为主HMI服务器发过来的，若是，允许其传输到HMI画面服务接口 ；否则，忽略该 HMI处理数据，同时，操作员站Shell程序接收HMI服务器传输过来的HMI处理数据，并将HMI设定数据发给HMI服务器。本发明与已有技术相比产生的有益效果是本发明在各个站点中增加的Shell装 置，使系统冗余后保持了与原系统完全一样的界面和操作方式，使用者完全感觉不到变化。 两套互为备份的系统安全可以单独正常运行，甚至对原系统进行冗余改造时，原系统还可 以正常运行，不受干扰。1、本发明从硬件、软件两方面保持了原控制平台功能、用法以及性能的目标，保持 了系统控制算法运算和处理能力、通讯实时性，以及系统的可靠性和稳定性；本发明在保 证稳定性的前提下，不断改进完善系统性能，最大限度地满足应用需要的原则，充分应用了 信号处理技术、网络通信技术、可靠的软件平台和软件设计技术和现场总线技术，采用了高 性能的微处理器和成熟的先进控制算法，使其具有高速可靠的数据输入输出、运算、过程控 制功能和联锁逻辑控制功能，能适应更广泛更复杂的应用要求，成为一个架构先进、结构灵 活、功能更加完善的新型开放控制系统平台。2、当本发明控制平台从冗余状态进入到单机工作状态定期维修时，可以一套控制 系统工作，而另一套控制系统进行维修，整个系统不用整体停机，延长了系统的整体维护周 期，使系统提高了生产效率，降低了整体生产成本。


下面结合附图和实施例对本发明作进一步说明。图1为现有的控制平台结构示意图2为本发明实施例一所述冗余架构的控制平台示意图； 图3为本发明控制平台的冗余软件架构示意图； 图4为本发明原控制平台中，控制器和HMI服务器之间的通讯； 图5为本发明Siell机制改造后控制器和HMI服务器之间的通讯； 图6为本发明控制器软件运行数据流图； 图7为本发明HMI服务器软件运行数据流图； 图8为本发明HMI画面显示软件运行数据流图。
具体实施例方式实施例一
冶金自动化工程中现有的自动控制平台，应用与冶金行业的各个领域，性能优良，运行 可靠，已经十分成熟，其基本组成如图1所示。系统有多个操作员站、HMI服务器，这些站点 通过通信网络和通讯网络中的交换机与控制器连接，控制器通过现场总线与多个I/O从站 连接。其中
控制站用于过程控制，实现物理位置、控制功能都相对分散的硬件设备。控制站中，以 高性能微处理器为核心，进行多种过程控制运算和数字逻辑运算，并能通过现场总线与各 个I/O从站交换信息，即获取I/O从站采集的现场数据，又通过I/O从站进行过程控制。操作员站具有实现工艺过程监视、操作、记录等功能，是以工业PC机为基础的人 机交互设备。由于有多个操作员站，所以各个操作员站配备完全一致的软硬件系统，互为备 用。操作员站配备了标准的操作台，使任何熟悉自己操作台的操作员，可以在另一个操作台上熟练的工作，而不会有任何生疏感。I/O从站为插接在工业现场的各种类型设备的数字终端的输入、输出接口板卡， 用于采集并输入过程变量，以及按照控制站的控制要求，输出过程变量。所述的数字终端可 以是工控计算机、单片机、可编程控制器等可以进行工业自动控制的数字化控制系统。现场 总线连接至少一个I/O板卡，构成控制站的远程I/O从站。应当说明是，本实施例使用了板 卡和卡件的概念，这两者是有区别的。卡件的实际意义是1/0的物理接口。因此，说到两 个卡件，可能是两个板卡上各有一个物理0/1接口，也可能是一个板卡上有两个物理I/O接 口，甚至可以认为是两套数字终端。现场总线用于完成控制站与所有连接在现场总线上的I/O从站的通讯。现场总 线可以是I^rofibus DP总线，或其他任何可以达到类似性能的总线系统。通信网络用于实现系统各个站点之间的相互通讯，将控制站、操作员站、构成 一个完整的分布式控制系统的通讯网络。通讯网络可以是基于TCP/IP协议的网络，如 10M/100Mbps的以太网，网络范围可以局域网或广域网，链路距离相对较长。也可以使用其 他类型的宽带、长距离链路。本实施例是一种保持原系统功能和性能的冗余架构控制系统，是对上述系统进行 的冗余改造形成的新系统，如图2所示。本实施例包括控制器、HMI服务器、多个操作员站、 多个I/O从站、互为主从的两个交换机、通讯网络、现场总线；所述的冗余架构控制系统，逻 辑上是一套控制平台，物理上是两套控制平台互为主从机，使整体硬件实现冗余。其中，
控制器冗余在原一台控制器的基础上再增加一条控制器，设为两台控制器，互为备 份，在冗余架构下以主机/从机的模式工作，一台控制器为主机时另一台为从机，或者相 反，没有特定的主机或从机，只是在实际操作时任选一台设为主机，而另一台则为从机，而 出现故障或其他原因，设置的主机不能正常工作时，则将原来的从机设置为主机。在一些情 况下也可在单机模式下工作。例如，一台控制器出现故障时，另一台控制器可以单独运行， 完全支持正常的工作。两台控制器之间设有专用数据同步链路，以便进行数据同步。在实 际系统运行中，系统中的数据在不断变化，因此必须不断的进行系统的数据更新，由于是冗 余系统，两套并行的系统中的数据必须完全一样，使两套系统的切换时不会对被控设备造 成任何差错，否则不能达到系统冗余的效果。两台控制器中的任何数据变化都必须通知另 一台控制器，近似于同时更新。为此专门设置了专用同步链路，使数据的快速更新不受到任 何其他因素的干扰。HMI服务器冗余设有两台HMI服务器均能提供人机界面交互服务，可在冗余架构 下以主机/从机的模式工作，也可在单机模式下工作。控制器冗余还不够，任何显示上的问 题也会给被控设备造成控制的失误，另外，一个完整的系统没有HMI也是不能很好工作的。 因此，HMI服务器冗余同样十分必要。通讯网络冗余设有两套独立的以太网络，分属2个通讯网段。长距离的通讯网络 十分容易出现故障，因此设置两套独立的以太网络。在实际应用中甚至将两套独立的通讯 网络布置在的不同的通道中，通过不同的路径连接在操作室中的操作员站、HMI服务器和在 现场的控制器。防止任何意外的物理断点。现场总线冗余设有两套独立的现场总线。在生产车间现场环境的恶劣是必然的， 因此，现场总线冗余更加必要。
I/O从站冗余每个I/O从站设有两套互为主从的I/O卡件。冗余的卡件可以是 两块板卡，也可以是一块板卡上的两个I/O接口，也可以是两套数字终端。由于有多个操作员站可以互为备份，所以操作员站没有主机和从机之分。操作员 站经过设置可以成为一个特殊的站点，称为工程师站。工程师站具有所有操作员站的功能， 除此之外还可以用于控制应用软件组态、系统监视、系统维护的工程设备，同时具有对过程 控制站控制应用软件的下载和上传功能。工程师站具有比普通操作员站更大的权限。本实施例的关键在于所述的HMI服务器中设置有HMI服务器Shell装置，所述的 操作员站中设置有操作员站Siell装置，所述的控制器中设置有控制器Siell装置，所述的 HMI服务器Sie 11装置、操作员站Sie 11装置通过通讯网络的两个通讯网段和两个交换机与 控制器Shell装置连接，所述的控制器通过两套现场总线与I/O从站连接。本实施例采用以Siell机制为核心，构建冗余的软件架构，包括原控制平台的软 件架构和冗余控制平台的软件架构，如图3所示。各个站点中的Siell装置成为控制器、HMI 服务器，操作员站彼此之间通讯的中转枢纽。而且控制器之间的同步、HMI服务器之间的同 步，以及整个平台的状态监控，均需借助Shell装置进行通讯，而在原控制平台中，控制器 与HMI服务器，HMI服务器与操作员站，均直接使用彼此的接口进行通讯。Shell机制的基本原理是不直接干涉原控制平台中各个站点(包括控制器、 HMI服务器以及操作员站)内部的软件运行，而是在各个站点软件的外部，建立一个壳(即 Siell)装置，由其控制内部软件的输入数据来源，以及输出数据的流向。现以控制器和HMI 服务器之间通讯为例，来理解Shell机制。原控制器和HMI服务器二者之间的通讯示意，如 图4所示。本实施例所述控制器和HMI服务器之间的通讯，如图5所示。对比图4和图5， 原控制器和HMI服务器的系统，被全部保留。采用Shell机制，只需修改原控制器和HMI服 务器通讯接口的访问地址和端口，不需要修改原有程序的通讯数据的处理、程序逻辑和结 构，使得原控制系统的运行与处理得以完整保存。因此，可以有效的保持原控制平台功能、 用法以及性能。控制器和HMI服务器上的Sie 11装置的处理逻辑基本相同收到对方的数据后，判 断对方是否为主，如为主机，则对数据放行，直接将数据透明地传输到对应的通讯程序；如 为从机，则忽略该数据，此信息就无法到达通讯程序。其它站点的Shell程序的工作方式与 其类似。另外，通过Siell机制，原控制平台内部的系统，被完整地保留下来，其处理数据、 逻辑和接口等，均未发生变化，确保原控制平台内部软件仍是一个独立的运行整体；同时， 它又将两套原控制平台有机地结合在一起，数据均能实时共享，使两套原控制平台互为热 备，相互协调，进一步提高系统的可靠性。因此，通过Siell机制，最大程度地实现了冗余架 构无缝的植入。本实施例还设置了监控机制，不断的检测系统是否正常工作。检查控制器、HMI服 务器和各I/O从站的状态，以及通讯网络和现场总线的连接状态一旦出现问题，或报警或 进行处理。本实施例还设置了同步机制，保证两套并行的系统数据的同步。本实施例还设置了网络通讯检测，采用心跳机制和ping相结合的方式检测网络 的物理连接状态。
应当说明的是本实施例中使用的平台和系统的概念。平台是系统的另一种称呼， 概念与系统基本相同，但平台更强调可扩展性，系统强调环境和范围平台是一种泛指的系 统，而系统则常指具有应用。系统和平台都包括硬件和软件。实施例二
本实施例是一种使用实施例一所述系统的保持原系统功能和性能的冗余架构控制方 法，所述的各个站点启动和运行步骤如下 a.控制器启动、运行步骤 1)启动步骤:
实时Linux操作系统启动加载实时Kernel和文件系统，运行所有设备驱动程序。控制器Shell程序启动为本控制器的现场总线通讯程序、监控程序、同步程序、 HMI通讯程序等，与另一台控制器、两台HMI服务器建立通讯通道。加载现场总线驱动，完成现场总线通讯的建立。监控程序启动，做好实时监控各个应用程序的准备。实时任务处理程序启动开始根据接收的数据，实时地进行控制算法运算并将运 算结果实时输出。HMI通信程序启动开始与HMI服务器通讯，实现人机界面信息的交换。同步程序启动开始(本身为主控制器时)向另一台从控制器同步控制算法的运算结果。2)运行步骤
控制器的运行，是一个不断地循环往复的处理过程，控制器Shell程序需处理四种数 据，数据流图如图6所示
I/O从站的采集、处理数据控制器Shell程序接收I/O从站的采集数据，判断是否为 主的I/O卡件发过来的，若是，允许其传输到现场总线通讯程序，由其传输给实时任务的控 制算法进行运算；否则，忽略该I/O从站的采集数据。同时，接收总线通信程序发过来的I/ 0从站的采集数据，并将本控制器的主从状态封装进处理数据中，发给I/O从站。实时任务处理数据控制器Shell程序接收另一台控制器Shell程序发送的实时 任务处理数据，判断是否为主控制器发过来的，若是，允许其传输到同步程序，由同步程序 同步到相应的控制算法中去；否则，忽略该实时任务处理数据。同时，控制器Siell程序接 收同步程序传输过来的实时任务处理数据，并将本控制器的主从状态封装进该实时任务处 理数据中，发给另一台控制器。HMI设定数据控制器Shell程序接收一台HMI服务器Shell程序发送的HMI设 定数据，判断是否为主HMI服务器发过来的，若是，允许其传输到HMI通讯接口，由其传输给 HMI服务程序，完成本HMI服务器对该HMI设定值的修改；否则，忽略该HMI设定数据。同 时，控制器Siell程序接收HMI服务器传输过来的HMI设定数据，并将本控制器的主从状态 封装进该HMI处理数据中，发给两台HMI服务器。站点、现场总线和通讯网络的状态数据控制器Siell程序接收另一台控制器 Shell发送的状态数据，判断是否为主控制器发过来的，若是，允许其传输到监控程序，监控 程序据此状态数据，判断并设置当前站点、现场总线和通讯网络的状态。否则，忽略这些状 态数据。同时，控制器Siell程序接收监控程序发送的状态数据，并将本控制器的主从状态封装进该状态数据中，发给另一台控制器。b. HMI服务器启动、运行步骤 1)启动步骤:
Window XP操作系统启动。HMI服务器的Shell程序启动为本服务器的操作员站通讯接口程序、控制器通讯 接口程序、HMI同步程序等，与另一台HMI服务器、多台操作员站、两台控制器建立通讯通 道。操作员站通讯接口程序启动做好与操作员站进行通讯的准备。控制器通讯接口程序启动做好与控制器进行通讯的准备。HMI服务程序启动开始提供人机界面信息交换的服务。HMI同步程序启动开始(本身为主HMI服务器时)向另一台从HMI服务器同步HMI 数据。2)运行步骤
HMI服务器的运行，是一个事件驱动的后台服务程序，HMI服务器的HMI服务器Shell 程序需处理三种数据，数据流图如图7所示
HMI中间数据HMI服务器Shell程序接收另一台HMI服务器Shell程序发送的HMI中 间数据，判断是否为主控制器发过来的，若是，允许其传输到同步程序；否则，忽略该中间数 据，同时，HMI服务器的Shell程序接收HMI同步程序传输过来的HMI中间数据，并将本HMI 服务器的主从状态封装进该中间数据中，发给另一台HMI服务器。与操作员站交互的HMI数据HMI服务器Shell程序接收操作员站Shell程序发 送的HMI设定数据，直接将其传输到操作员站通讯接口，同时，HMI服务器Shell程序接收 操作员站通讯接口传输过来的HMI设定数据，并将本HMI服务器的主从状态封装进该数据 中，发给所有的操作员站。与控制器交互的HMI数据HMI服务器Shell程序接收一台控制器Shell程序发送 的HMI处理数据，判断是否为主控制器发过来的，若是，允许其传输到控制器通讯接口 ；否 则，忽略该HMI处理数据，同时，HMI服务器Shell程序接收控制器通讯接口传输过来的HMI 处理数据，并将本HMI服务器的主从状态封装进该中间HMI处理数据中，发给两台控制器。 与操作员站交互的HMI数据将HMI数据处理并封装成HMI画面显示需要的数据格式。与 控制器交互的HMI数据将HMI数据处理并封装成适合于控制器运算需要的数据格式。C.操作员站启动、运行步骤 1)启动步骤:
Windows XP操作系统启动。工程师站或操作员站Shell程序启动为本站的HMI画面服务接口程序，与两台 HMI服务器建立通讯通道。HMI画面服务接口程序启动做好与HMI服务器进行通讯的准备。。HMI画面显示程序启动显示HMI操作画面。2)运行步骤
HMI画面显示，是操作员站与整个冗余架构控制系统进行交互的接口，HMI处理数据定 时刷新，HMI画面显示信息会不断得到更新。
所述的操作员站Siell程序只处理一种数据，数据流图如图8所示
HMI处理数据操作员站Shell程序接收HMI服务器Shell程序发送的HMI处理数据， 判断是否为主HMI服务器发过来的，若是，允许其传输到HMI画面服务接口 ；否则，忽略该 HMI处理数据，同时，操作员站Shell程序接收HMI服务器传输过来的HMI处理数据，并将 HMI设定数据发给HMI服务器。实施例三
本实施例是实施例二的改进，是实施例二所述监控程序的细化。所述的监控程序，是全 面管理整个冗余控制平台的站点状态管理和命令管理，监控程序的人机交互界面设置在一 个操作员站中。这个操作员站经过软件设置成为工程师站。工程师站有监管的权限，并显 示一些与管理有关的信息，其他与操作员站完全相同。因此，监控程序的运行要将一个操作 员站设置为工程师站。监控程序运行的流程步骤如下
a.检查控制器、HMI服务器和I/O从站站点的状态，包括主机、从机、单机工作、故障状 态，并将这些状态更新到工程师站对应画面上。b.检查各个网段的连接状态，以及每个I/O从站与控制器的现场总线连接状态， 并将这些状态更新到工程师站对应画面上。c.检查过程中，若发现站点状态，或网段以及现场总线连接状态出现故障，则对 应的站点或通讯连接马上转为故障状态，工程师站上对应画面即进行报警显示。d.检查过程中，若发现站点状态，或网段以及现场总线连接状态从故障状态变为 正常工作状态，则对应的站点或通讯连接自动转为正常工作状态，工程师站上对应画面的 报警显示即自动消失。e.查询工程师站的命令接口，解析该接口数据。若发现有新的主/从切换命令， 立刻执行对应的切换工作，并将执行的结果返回给工程师站。以上步骤依次，并往复循环执行。实施例四本实施例是实施例二、三的改进，是实施例二、三关于同步机制的细化。 本实施例所述的两套控制平台中设有同步机制，所述的同步机制包括两个层次
控制器层、HMI服务器层，均是主机向从机同步数据。所述的控制器层内的同步程序，按照是否存在时间累积效应，分为两部分 有时间累积效应的运算，每2个运算周期(即50ms)进行一次同步，用主控制器的控制
算法运算结果覆盖从控制器的控制算法运算结果。无时间累积效应的运算，每100个运算周期(即2. 5s)进行一次同步，用主控制器 的控制算法运算结果覆盖从控制器的控制算法运算结果。所述的HMI服务器层内的HMI同步程序，每100个运算周期(即2. 5s)进行一次同 步，用主HMI服务器的HMI数据覆盖从HMI服务器的HMI数据。实施例五
本实施例是对上述实施例的改进，是上述实施例所述监控程序的细化。本实施例所述 的监控程序对网络通讯的检测中，采用心跳机制和网络PING相结合的方法检测。所述的网络PING，应用在通讯网络IP层，以监测通讯网络的物理连接状态。网络 PING是最常用的数据通信网络的监测方式。心跳机制应用在控制器的专用同步链路，用以两个控制器相互监测工作状态。
心跳通过在两台互相通讯的PC机或服务器上，以建立一个共同维护的数据，来 确保在应用层的网络是正确连通的。实现方法为一台PC对心跳数据进行加1操作 ’另一 台PC收到后，先对这个值进行校验，确保是合法数据，然后判断改值是否为原来保存值加 1，若是说明，说明应用层网络连通正常，否则，说明丢失心跳，说明应用层网络连通异常。最后应说明的是，以上仅用以说明本发明的技术方案而非限制，尽管参照较佳布 置方案对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术 方案(比如各个Shell装置的连接方式、各个步骤的前后次序等)进行修改或者等同替换，而 不脱离本发明技术方案的精神和范围。
权利要求
1.一种保持原系统功能和性能的冗余架构控制系统，包括控制器、HMI服务器、多个 操作员站、多个I/O从站、互为主从的两个交换机、通讯网络、现场总线；所述的冗余架构 控制系统，逻辑上是一套控制平台，物理上是两套控制平台互为主从机，使整体硬件实现冗 余；其中，控制器冗余设有两台控制器，可在冗余架构下以主机/从机的模式工作，也可在单机 模式下工作，两台控制器之间设有专用数据同步链路；HMI服务器冗余设有两台HMI服务器均能提供人机界面交互服务，可在冗余架构下以 主机/从机的模式工作，也可在单机模式下工作；通讯网络冗余设有两套独立的以太网络，分属2个通讯网段； 现场总线冗余设有两套独立的现场总线； I/O从站冗余每个I/O从站设有两套互为主从的I/O卡件； 其特征在于，所述的HMI服务器中设置有HMI服务器Shell装置，所述的操作员站中 设置有操作员站Shell装置，所述的控制器中设置有控制器Shell装置，所述的HMI服务 器Shell装置、操作员站Shell装置通过通讯网络的两个通讯网段和两个交换机与控制器 Shell装置连接，所述的控制器通过两套现场总线与I/O从站连接。
2.一种使用权利要求1所述系统的保持原系统功能和性能的冗余架构控制方法，其特 征在于，所述的各个站点启动和运行步骤如下a.控制器启动、运行步骤1)启动步骤:操作系统启动，同时加载现场总线通讯程序；控制器Shell程序启动；现场总线通讯程序启动；监控程序启动；实时任务处理程序启动；HMI通信程序启动；同步程序启动；2)运行步骤控制器的运行，是一个不断地循环往复的处理过程，控制器Shell程序需处理四种数据I/O从站的采集、处理数据控制器Shell程序接收I/O从站的采集数据，判断是否为 主的I/O卡件发过来的，若是，允许其传输到总线通讯程序；否则，忽略该I/O从站的采集数 据，同时，接收总线通信程序发过来的I/O从站的采集数据，并将本控制器的主从状态封装 进处理数据中，发给I/O从站；实时任务处理数据控制器Shell程序接收另一台控制器Shell程序发送的实时任务 处理数据，判断是否为主控制器发过来的，若是，允许其传输到同步程序；否则，忽略该实时 任务处理数据，同时，控制器Shell程序接收同步程序传输过来的实时任务处理数据，并将 本控制器的主从状态封装进该实时任务处理数据中，发给另一台控制器；HMI设定、处理数据控制器Shell程序接收一台HMI服务器Shell程序发送的HMI设 定数据，判断是否为主HMI服务器发过来的，若是，允许其传输到HMI通讯接口 ；否则，忽略该HMI设定数据，同时，控制器Shell程序接收HMI服务器传输过来的HMI设定数据，并将 本控制器的主从状态封装进该HMI处理数据中，发给两台HMI服务器；站点、现场总线和网络通讯的状态数据控制器Shell程序接收另一台控制器Shell发 送的状态数据，判断是否为主控制器发过来的，若是，允许其传输到监控程序；否则，忽略这 些状态数据，同时，控制器Shell程序接收监控程序发送的状态数据，并将本控制器的主从 状态封装进该状态数据中，发给另一台控制器；b.HMI服务器启动、运行步骤1)启动步骤:操作系统启动，同时加载现场总线通讯程序； HMI服务器的Shell程序启动； 操作员站通讯接口和控制器通讯接口启动； HMI服务程序启动； HMI同步程序启动；2)运行步骤HMI服务器的运行，是一个事件驱动的后台服务程序，HMI服务器的HMI服务器Shell 程序需处理三种数据HMI中间数据HMI服务器Shell程序接收另一台HMI服务器Shell程序发送的HMI中 间数据，判断是否为主控制器发过来的，若是，允许其传输到同步程序；否则，忽略该中间数 据，同时，HMI服务器的Shell程序接收HMI同步程序传输过来的HMI中间数据，并将本HMI 服务器的主从状态封装进该中间数据中，发给另一台HMI服务器；与操作员站交互的HMI数据=HMI服务器Shell程序接收操作员站Shell程序发送的 HMI设定数据，直接将其传输到操作员站通讯接口，同时，HMI服务器She 11程序操作员站通 讯接口传输过来的HMI设定数据，并将本HMI服务器的主从状态封装进该数据中，发给所有 的操作员站；与控制器交互的HMI数据HMI服务器Shell程序接收一台控制器Shell程序发送的 HMI处理数据，判断是否为主控制器发过来的，若是，允许其传输到控制器通讯接口 ；否则， 忽略该HMI处理数据，同时，HMI服务器Shell程序接收控制器通讯接口传输过来的HMI处 理数据，并将本HMI服务器的主从状态封装进该中间HMI处理数据中，发给两台控制器；c.操作员站启动、运行步骤1)启动步骤: 操作系统启动；操作员站Shell程序启动； HMI画面服务接口启动； HMI画面显示程序启动；2)运行步骤HMI画面显示，是操作员站与整个冗余架构控制系统进行交互的接口，HMI处理数据定 时刷新，HMI画面显示信息会不断得到更新；所述的操作员站Shell程序只处理一种数据HMI处理数据操作员站Shell程序接收HMI服务器Shell程序发送的HMI处理数据，判断是否为主HMI服务器发过来的，若是，允许其传输到HMI画面服务接口 ；否则，忽略该 HMI处理数据，同时，操作员站Shell程序接收HMI服务器传输过来的HMI处理数据，并将 HMI设定数据发给HMI服务器。
3.根据权利要求2所述的方法，其特征在于，所述的监控程序，监控程序的运行要将一 个操作员站设置为工程师站，监控程序运行的流程步骤如下a.检查控制器、HMI服务器和I/O从站站点的状态，包括主机、从机、单机工作、故障状 态，并将这些状态更新到工程师站对应画面上；b.检查各个网段的连接状态，以及每个I/O从站与控制器的现场总线连接状态，并将 这些状态更新到工程师站对应画面上；c.检查过程中，若发现站点状态，或网段以及现场总线连接状态出现故障，则对应的 站点或通讯连接马上转为故障状态，工程师站上对应画面即进行报警显示；d.检查过程中，若发现站点状态，或网段以及现场总线连接状态从故障状态变为正常 工作状态，则对应的站点或通讯连接自动转为正常工作状态，工程师站上对应画面的报警 显示即自动消失；e.查询工程师站的命令接口，解析该接口数据；若发现有新的主/从切换命令，立刻 执行对应的切换工作，并将执行的结果返回给工程师站；以上步骤依次，并往复循环执行。
4.根据权利要求2或3所述的方法，其特征在于，所述的两套控制平台设有同步机制， 所述的同步机制包括两个层次控制器层、HMI服务器层，均是主机向从机同步数据；所述的控制器层内的同步程序，按照是否存在时间累积效应，分为两部分有时间累积效应的运算，每2个运算周期进行一次同步；无时间累积效应的运算，每100个运算周期进行一次同步；所述的HMI服务器层内的HMI同步程序，每100个运算周期进行一次同步。
5.根据权利要求4所述的方法，其特征在于，所述的监控程序，监控程序对网络通讯的 检测中，采用心跳机制和网络PING相结合的方法检测；所述的网络PING，应用在通讯网络 IP层，以监测通讯网络的物理连接状态；心跳机制应用在控制器的专用同步链路，用以两 个控制器相互监测工作状态。
全文摘要
本发明涉及一种保持原系统功能和性能的冗余架构控制系统和方法，包括控制器、HMI服务器、多个操作员站、多个I/O从站、交换机、通讯网络、现场总线；HMI服务器中设有HMI服务器Shell装置，操作员站中设有操作员站Shell装置，控制器中设有控制器Shell装置，HMI服务器Shell装置、操作员站Shell装置通过通讯网络的两个通讯网段和两个交换机与控制器Shell装置连接，控制器通过两套现场总线与I/O从站连接。本发明在各个站点中增加的Shell装置，使系统冗余后保持了与原系统完全一样的界面和操作方式，使用者完全感觉不到变化，两套互为备份的系统安全可以单独正常运行。
文档编号G05B19/418GK102122157SQ201010606779
公开日2011年7月13日 申请日期2010年12月27日 优先权日2010年12月27日
发明者付东海, 孟卓源, 张晋, 曹禹, 苟晓军 申请人:北京建龙重工集团有限公司