maxDNA分散控制系统I／O模件冗余实现机制

王丹麟，吴胜华，马伟东

（南京国电南自美卓控制系统有限公司，南京 210032）

maxDNA分散控制系统I／O模件冗余实现机制

王丹麟，吴胜华，马伟东

（南京国电南自美卓控制系统有限公司，南京 210032）

介绍了在maxDNA分散控制系统中，通过应用冗余I／O模件技术来提高系统可靠性的方法。针对不同的应用场合，maxDNA系统的I／O模件冗余配置有冗余I／O模件冗余和混合冗余两种方式，在混合冗余配置方式中有两种混合I／O切换模件Y-MODULE和I-MODULE，为非冗余I／O模件提供了不同的总线接入方式。使用中可根据现场的实际需求对maxDNA系统进行灵活的冗余配置，有效提高系统运行可靠性。

分散控制系统；冗余；I／O模件冗余

0 引言

高可靠性是分散控制系统的第一要求。冗余技术是计算机系统可靠性设计中常采用的一种技术，是提高计算机系统可靠性最有效的方法之一。为了达到高可靠性和低失效率相统一的目的，通常会在控制系统的设计和应用中采用冗余技术。在各种形式的冗余中，1∶1的部件级热冗余是一种有效、相对简单且配置灵活的冗余技术实现方式，如I／O模件冗余、电源冗余、主控制器冗余等。因此，目前国内外主流的过程控制系统中大多采用了这种方式。

maxDNA分散控制系统是一套面向全球电力工业和其他重要过程应用的、完全集成的控制系统，目前已在国内多个不同等级的电厂得到成功应用，并且已在江苏华电句容发电厂1 000MW超超临界火电机组稳定运行。该系统支持灵活的部件级冗余方式，本文将针对此系统的冗余I／O模件实现机制进行分析。

1 冗余配置架构

通常情况下，I／O模件冗余用于被测信号非常关键的场合。在maxDNA系统中，I／O模件冗余配置有两种级别：I／O模件冗余、混合冗余。

1.1 冗余I／O模件冗余方式

使用分散处理单元（DPU）和I／O模件冗余的方式需要使用支持冗余功能的I／O模件。在此方式中，使用1对冗余DPU和2组具有冗余功能的I／O模件，每对I／O冗余模件的通道测控设备的同一个测控点，2个DPU均配置1组相同的冗余I／O模件。激活状态的DPU与其下所带I／O模件通信并处理数据，备用的DPU通过冗余网线连接备份数据；当DPU切换控制权时，备用DPU激活，它将从自带的I／O模件中上传刷新数据后再进行控制操作，原先激活状态的DPU及其所带I／O模件转为备用。

如图1所示，在冗余I／O模件配置时，不同组DPU和I／O模件间的I／O总线是独立的，并使用独立的机架和电源供电，以保证2组中某一组DPU和I／O模件中一个部件的故障不会影响另一组的正常运行；2组I／O模件指定相同的I／O总线地址，相同的组态配置；在2组I／O总线间，使用I／O模件冗余电缆（I／O backup cable）连接，使模件对设备的测控切换更加迅速、可靠。

图1 冗余I／O模件冗余方式系统架构

实现冗余I／O系统所需最简配置如下：

（1）2个模件机架，每个带1组DPU+冗余I／O模件；

（2）1根I／O模件冗余电缆。

1.2 混合冗余方式

在工业控制现场，有时会出现部分设备测控点非常重要，必须使用冗余I／O模件配置，但部分控制设备无需冗余配置或无法冗余配置的情况，此时，maxDNA分散控制系统可通过混合冗余方式构建控制系统。混合冗余模式是在冗余I／O模件冗余方式基础上，同时可以支持非冗余I／O模件的接入。使用1对冗余DPU，一部分I／O模件是2组相同的具有冗余功能的I／O模件，另一部分是需共享的普通I／O模件。使用混合冗余I／O切换模件将共享的I／O总线连入激活的DPU，备用DPU仍通过冗余网线连接备份数据；当DPU切换控制权时，备份DPU激活，混合冗余I／O切换模件将共享的I／O总线切换至激活的DPU，而激活的PDU将从自带的I／O模件中上传刷新数据后再进行控制操作。混合冗余方式系统架构如图2所示。

图2 混合冗余方式系统架构

实现混合冗余系统所需最简配置如下：

（1）2个模件机架，每个带1组DPU+冗余I／O模件；1根I／O冗余电缆；

（2）1个模件机架，带1组共享的普通 I／O模件；

（3）1个混合冗余I／O切换模件（Y-MODULE或I-MODUE）。

maxDNA分散控制系统具备混合冗余的工作模式，既能满足重要场合对I／O模件冗余的要求，也可兼容I／O模件无法冗余的场合，使系统既可以灵活配置，又能同时拥有较高的可靠性、稳定性和低失效率，可在系统的可靠性、复杂度、设计难度及系统成本中找到良好的平衡点。

2 混合冗余I／O切换模件

2.1 Y-MODULE与I-MODULE

混合I／O切换模件用于冗余DPU需共享普通I／O模件情况下的总线切换。它自动持续监控I／O总线，避免失效的共享I／O总线接入DPU及其I／O总线。maxDNA分散控制系统有2种混合I／O切换模件：Y-MODULE和I-MODULE。

从功能上看，Y-MODULE相当于一个单刀双掷开关，I-MODULE相当于将Y-MODULE拆分成1对单刀单掷开关，如图3所示。

图3 冗余切换模件示意

2.2 Y-MODULE切换模式

如图4所示：冗余I／O部分的每个单组DPU、I／O的接线与不冗余的系统相同；配置2组完全相同的系统，DPU间连接冗余网线，需共享的普通I／O模件通过Y-MODULE分别连入2组系统。

图4 Y-MODULE系统接线图

工作时，激活状态的DPU通过I／O总线与自带的冗余I／O模件通信，Y-MODULE将共享的I／O模件接入运行的I／O总线；当激活状态的DPU故障时，备用DPU激活，Y-MODULE将共享的普通I／O模件切换至新的I／O总线。

但当普通I／O模件的部件故障导致其I／O总线或电源系统故障时，切换的同时也会将故障部分切换至新激活的DPU及I／O总线，导致无法正常运行。

2.3 I-MODULE切换模式

I-MODULE具有总线侦测功能，可以避免上述情况，其逻辑如图5所示。I-MOULE时刻检测冗余I／O总线和普通I／O总线的状态，总线或电源故障时，I-MODUE不会将故障部分接入运行总线。

图5 I-MODULE逻辑示意

冗余I／O部分的每个单组DPU、I／O的接线与不冗余的系统相同；配置2组完全相同的系统，DPU间连接冗余网线，需共享的普通I／O模件通过IMODULE分别连入2组系统。I-MODULE系统冗余切换如图6所示。

图6 I-MODULE系统冗余切换示意

如图6a所示，工作时，激活状态的DPU通过I／O总线与自带的冗余I／O模件通信，I-MODULE将共享的I／O模件接入运行的I／O总线。如图6b所示，当激活状态的DPU故障时，备用DPU激活，原本激活状态I／O总线上的I-MODULE将共享的I／O模件从总线上切除，而新激活I／O总线上的IMODULE检测共享I／O总线，如果仍有故障，共享I／O模件将不被接入新激活的冗余I／O总线，新激活的DPU仍会正常运行，但它只与自带的冗余I／O模件通信并交互数据。2个I-MODULE都会不停地检测共享I／O总线，直到检测共享I／O总线处于正常的状态，新激活I／O总线上的I-MODULE才会将共享I／O模件接入新激活的I／O总线。如图6c所示，共享I／O模件完成总线切换，由新激活的DPU主导控制，原先的DPU为备用，系统正常运行。

I-MODULE在使用中不可级联，单独使用时也可用于适当地扩展I／O总线；被控端的I／O总线最多可配置45个I／O模件；为提高总线负载能力，已内置终端电阻。

由于I-MODULE的总线监测功能能更好地提高系统的可靠性，避免部件级故障对系统可靠性的影响，建议系统中使用I-MODULE作为冗余切换模件。

3 结束语

本文对maxDNA分散控制系统冗余I／O模件的实现机制以及优缺点进行了详细分析，通过不同的冗余架构方式，可以满足各种工业控制现场的使用要求。用户可以根据自身的需要并结合本文的介绍内容选择合适的冗余I／O模件配置方式。

（本文责编：刘芳）

TP 273

：B

：1674-1951（2015）04-0022-03

王丹麟（1979—），女，江西萍乡人，高级工程师，从事分布式控制系统的研发工作（E-mail：danlin_w＠163.com）。

2014-09-30；

2015-02-09

吴胜华（1977—），男，湖北荆门人，高级工程师，工学硕士，从事分布式控制系统的研发工作（E-mail：shenghua-wu＠sac-metso.com）。

马伟东（1984—），男，内蒙古赤峰人，工程师，从事分布式控制系统的研发工作（E-mail：maweidongok＠126.com）。