李 蒙 史洪源 董偉杰 王 弢

(杭州和利時自動化有限公司，浙江 杭州 310018)

0 引言

高可靠性是過程控制系統(tǒng)的第一要求［1］?；谌哂嗉夹g的控制系統(tǒng)大大提高了系統(tǒng)的可靠性和可用性。冗余的DCS系統(tǒng)包括網(wǎng)絡冗余和模塊冗余。模塊冗余作為冗余DCS系統(tǒng)的重要組成部分［2］，包括控制站內(nèi)控制器及各類I/O模塊的冗余，它可以確保任何一個模塊的故障都不影響系統(tǒng)的工作，確?，F(xiàn)場設備正常運行。

傳統(tǒng)的模塊冗余在晶振等敏感元件故障或模塊熱插拔等邊界條件出現(xiàn)時［3］，冗余切換的鎖定電路工作不穩(wěn)定［4］，經(jīng)常出現(xiàn)切換不及時，鎖定電路短時失效造成的模塊雙主或雙從的現(xiàn)象。

基于FPGA設計的冗余模塊同步互鎖定電路能完全解決上述仲裁、切換的難題［5］，確保各類模塊切換對現(xiàn)場無任何擾動。

1 冗余模塊互鎖切換

1.1 冗余切換機制簡介

冗余模塊主從狀態(tài)由硬件確定。其中，兩個冗余槽位模塊中，以率先實現(xiàn)運行或建立通信的模塊為主模塊，另一模塊為從模塊。當拔掉主模塊時，從模塊切換為主，此時插入模塊不會影響主從切換。當主模塊出現(xiàn)故障時，根據(jù)故障優(yōu)先級和冗余狀態(tài)來判斷主從是否進行切換［6］。冗余切換的實現(xiàn)機制如圖1所示。

圖1 硬件冗余切換原理Fig.1 Principle of hardware redundancy switching

在圖1所示的原理設計框圖中，定義兩個冗余模塊分別為模塊A和模塊B。當與非門A(B)輸出為0時，該模塊為主;輸出為1時，模塊為從。

圖1以模塊A為例，CPU根據(jù)緩沖器回讀的狀態(tài)判斷當前模塊工作在主機或從機，同時讀取濾波A1輸出的狀態(tài)來跟蹤模塊當前為單機工作還是雙機工作。根據(jù)上述內(nèi)容決定是否輸出一定頻率的波形，從而使得模塊具備主從切換的條件。

脈沖定時功能塊在FPGA中實現(xiàn)，它的主要作用是檢測CPU輸出的脈沖。一旦檢測到邊沿，就啟動內(nèi)部定時器，并同時輸出高電平。如果定時器溢出，則將輸出清零，直到下一個邊沿到來的時刻，輸出再次變高。該定時周期可通過寄存器設定，這樣只要CPU輸出的頻率高于設定值，則脈沖定時一直輸出高電平。這表明該模塊工作正常，可以做主從切換。

看門狗與電源監(jiān)控功能塊具有電源監(jiān)控和看門狗定時器功能，可監(jiān)測電源及CPU運行。如果一切正常，則輸出高電平;如果上電、掉電或CPU工作異常，則輸出低電平，表明模塊復位。

上電檢測功能塊在FPGA內(nèi)實現(xiàn)，電源監(jiān)測輸出與脈沖定時輸出相與后作為該功能塊的輸入。當上電復位完成時，復位輸出變?yōu)楦唠娖?，此時CPU開始工作。當建立通信后，CPU輸出脈沖，脈沖定時輸出由低變高，則二者相與后將產(chǎn)生上升沿，將D觸發(fā)器的輸入鎖存至輸出端。

多選一選擇器功能塊在FPGA內(nèi)實現(xiàn)。該功能主要作用是根據(jù)模塊工作狀態(tài)，選擇輸出0、1或脈沖檢測模塊的輸出接入與非門。多路選擇器的真值表如表1所示。

表1 多路選擇器真值表Tab.1 True value table of multiplexer

1.2 搶主機制

所有冗余模塊上電后率先完成初始化的模塊，將和上位機建立通信后成為主模塊，另一模塊則為從模塊。這就是上電搶主機制。上電搶主可分為以下兩個階段。

第一階段，若兩個模塊均上電復位，在復位電平有效期間，上電檢測功能塊工作，緩沖器不使能，模塊冗余輸出引腳狀態(tài)為高電平，模塊為從。對于輸出模塊，模塊冗余輸出引腳接入通道開關控制，用于控制輸出通道是否與現(xiàn)場相連。

第二階段，上述狀態(tài)一直持續(xù)到模塊A(B)完成通信功能建立后。此時，模塊A(B)中的CPU A(B)將輸出固定頻率的方波，并連接到對方模塊的脈沖定時器A(B)進行檢測。一旦檢測到輸入端有邊沿信號，脈沖定時器A(B)輸出高電平，此時緩沖器輸出使能，由多選一選擇器輸出脈沖定時器的檢測結果。由于兩個模塊采用不同的時鐘域，異步的電平傳輸方式可確保冗余模塊建立通信的時間不會同時發(fā)生，此時另一模塊仍為從，即光耦A2(B2)不導通，且由于每個模塊濾波A2(B2)均連接了上拉電阻，所以與非門A(B)另一輸入端為高電平。這樣率先建立通信的與非門A(B)輸出端為低電平，模塊成為主機。另外一個模塊光耦A2(B2)導通，與非門A(B)中的一個輸入端必為低電平，輸出端為高電平，狀態(tài)被鎖定為從機。

為避免模塊熱插拔或干擾信號對電路輸入引入不確定的邏輯狀態(tài)，從而導致模塊誤切換，每個模塊的濾波A1(B1)、濾波A2(B2)均外接了上拉電阻，并設計了軟件數(shù)字濾波功能。

1.3 冗余切換

冗余模塊工作后，兩個模塊的CPU A(B)均輸出方波信號，脈沖定時器A(B)均輸出高電平。此時，若主模塊通道故障、晶振停振、CPU損壞、DP通信鏈路離線，主模塊則依靠是否輸出脈沖波形來完成主從切換;若主模塊掉電，其依靠互鎖邏輯電平連接(光耦A2(B2)和與非門B(A)的連線)來完成主從切換。若模塊A(B)已進行了一次切換，則只有在主模塊掉電、晶振停振、CPU故障情況下，從模塊才會切換為主模塊;在主模塊通道故障、通信中斷時，已進行過切換的從模塊均不會切換為主。發(fā)生上述不同故障條件的具體切換機制如下所述。

假設模塊A為主，晶振停振，看門狗定時器產(chǎn)生復位波形。此時從模塊工作正常，則光耦B1導通，濾波A1輸入低電平。在模塊A復位過程中，復位輸入為0，雙機狀態(tài)為0，多選一選擇器A選擇低電平輸出接入與非門A。與非門輸出為高，光耦A2斷開，模塊B濾波B2輸出高電平。由于脈沖定時A由模塊A晶振提供時鐘信號，所以脈沖定時A可能輸出高或低電平，這樣模塊B濾波B1可能輸出低或高電平。但不論濾波B1輸出高或低電平，多選一選擇器選擇脈沖定時B輸出和與非門B輸入相連，此時模塊B工作正常，CPU B輸出脈沖，與非門B將輸出低電平，模塊B將切換為主。

假設模塊A為主，CPU A損壞或程序跑飛，CPU A無輸出脈沖，脈沖定時A的輸出為低。從模塊B工作正常，不論模塊A看門狗定時器是否產(chǎn)生復位信號，多選一選擇器A和與非門A1輸入相連的狀態(tài)始終為低電平，與非門A輸出為高，光耦A2斷開，模塊B濾波B2輸入高。由于模塊A的CPU A不輸出脈沖，所以光耦A1斷開，模塊B濾波B1輸出高電平;模塊B的CPU B輸出波形，脈沖定時B輸出為高。多選一選擇器B選擇脈沖定時B和與非門B輸入相連。此時與非門B輸出低，模塊B切換為主。

假設模塊A為主，模塊A掉電，光耦A1、A2均輸出為高阻，模塊B濾波B1、B2由于外接了上拉電阻將輸出為高電平。模塊B工作正常，則CPU B輸出脈沖，脈沖定時B輸出為高，多選一選擇器B選擇脈沖定時B和與非門B輸入相連，與非門B輸出低，模塊B切換為主。

假設模塊A為主，從模塊失電，光耦B1一直呈斷開狀態(tài)，濾波A1由于外接上拉電阻將輸出高電平，不論模塊A工作是否正常，多選一選擇器A輸出為高，與非門A輸出為低，模塊A仍為主。

假設模塊A為主，主模塊通道故障，則主模塊定時查詢從模塊工作狀態(tài)，若從模塊工作正常即濾波A1輸出為低，則主模塊CPU不輸出脈沖，脈沖定時器A輸出為低，與非門A輸出高，模塊A為從。光耦A2斷開，模塊B的濾波B2輸入高。同時，光耦A1斷開，濾波B1輸出高，多選一選擇器B選擇脈沖定時B和與非門B輸入相連，此時與非門B輸出低，模塊B切換為主。

2 FPGA實現(xiàn)及仿真

將脈沖定時和復位與切換邏輯在FPGA內(nèi)部實現(xiàn)，分別進行搶主和主從切換功能以及時序仿真［7］。

模塊上電時，無波形輸出，當滿足一定條件時，CPU輸出脈沖波形至FPGA的MASTER_PULSE_IN，F(xiàn)PGA檢測到輸入脈沖，且模塊不處于復位狀態(tài)即RST為高電平，就將SET_MASTER_OUT輸出低電平，模塊為主。這樣，先滿足條件的模塊即為主模塊，同時鎖定另一模塊為從模塊，即完成搶主。經(jīng)過一定延時(延遲長度軟件可設定)，F(xiàn)PGA的脈沖定時功能塊檢測到無波形輸出，將SET_MASTER_OUT信號由低變高，從而實現(xiàn)從模塊升主，主模塊降從。

3 冗余切換的驗證

基于上述冗余模塊切換機制開發(fā)了冗余I/O，其中，模擬量輸出模塊的測試結果如下。

①冗余電流輸出模塊帶750 Ω負載，組態(tài)輸出8.8 mA電流，插入和拔掉從模塊時，現(xiàn)場無任何擾動。

②冗余電流輸出模塊帶750 Ω負載，組態(tài)輸出8.8 mA電流，拔掉主模塊時，冗余模塊進行切換，切換時間約為4 ms，遠低于現(xiàn)場設備500 ms的最小動作時間，現(xiàn)場無任何擾動。如圖2所示。

圖2 拔掉主模塊測試波形Fig.2 The waveform of unplugging the master module

4 應用項目案例

工程項目對模塊冗余切換驗收的步驟如下:①組態(tài)輸入、輸出回路，輸出模塊與輸入模塊相連，通過界面的趨勢圖觀察模塊切換時是否發(fā)生變化;②外接繼電器、電磁閥，人為制造模塊切換，觀察現(xiàn)場設備是否動作;③使用示波器等測試儀器觀察輸出波形，根據(jù)波形擾動評估是否對現(xiàn)場設備造成影響。

以紅沿河百萬機組常規(guī)控制系統(tǒng)為例。該項目通過嚴格的內(nèi)部測試驗證及第三方型式測試，1#機組已通過出廠驗收，其測試模塊冗余切換的結果如下。

①DCS主站包含模擬輸入(AI)、輸出(AO)2個模塊。其中AI模塊采集正弦波，并輸出到AO模塊，在AI或AO模塊切換時，其變化趨勢如圖3所示。圖3中靠上的波形是AO模塊輸出波形，靠下的波形是AI模塊采集波形。在整個趨勢圖繪制期間，各類模塊多次進行了冗余切換，均未造成趨勢圖中的波形變化。由此可判斷切換無擾動。

圖3 模塊切換趨勢狀態(tài)圖Fig.3 The trend of module switching

②外接功率繼電器(動作時間5 ms)、電磁閥(動作時間500 ms)，模塊切換時現(xiàn)場無任何擾動。

③使用示波器觀察AO模塊切換波形(如圖2所示)，擾動時間小于5 ms，遠低于電磁閥動作時間。

從上述案例可以看出，模塊冗余切換技術可以確保不影響現(xiàn)場設備的正常運行。

5 結束語

基于FPGA實現(xiàn)的模塊無擾冗余切換技術不但可實現(xiàn)在模塊失電、主CPU或晶振故障、其他板級和現(xiàn)場故障時模塊的無擾切換;還可以根據(jù)各類模塊的實際需求，靈活調(diào)節(jié)脈沖定時器的充、放電時間，從而達到控制模塊切換時間的目的。該技術已在2000多個工程項目中應用，性能優(yōu)秀，可滿足各種現(xiàn)場需求。

［1］王常力，羅安.分布式控制系統(tǒng)設計與應用實例［M］.北京:電子工業(yè)出版社，2004:386－390.

［2］馮立，王良勇，錢曉龍.冗余控制系統(tǒng)的原理及性能優(yōu)化［J］.儀器儀表學報，2003(S1):334－336.

［3］孫懷義.冗余設計技術與可靠性關系研究［J］.儀器儀表學報，2007(11):171－174.

［4］永田恭一.冗余方法和半導體電路［P］.中國，CN98124993.1999－07－14.

［5］黃文君，金建祥，馮冬芹，等.控制系統(tǒng)的冗余策略和實現(xiàn)準則［J］.儀器儀表學報，2004(4):545－548.

［6］尹征琦.雙模冗余系統(tǒng)及其自動切換控制邏輯［J］.電子技術，1997(4):5－8.

［7］趙雅興.FPGA原理、設計與應用［M］.天津:天津大學出版社，1999:56 －60，96，140 －144.