from:
http://bbs.cechinamag.com/

    高可靠性是過程控制系統(tǒng)的第一要求。冗余技術(shù)是計(jì)算機(jī)系統(tǒng)可靠性設(shè)計(jì)中常采用的一種技術(shù)，是提高計(jì)算機(jī)系統(tǒng)可靠性的最有效方法之一。為了達(dá)到高可靠性和低失效率相統(tǒng)一的目的，我們通常會(huì)在控制系統(tǒng)的設(shè)計(jì)和應(yīng)用中采用冗余技術(shù)。合理的冗余設(shè)計(jì)將大大提高系統(tǒng)的可靠性，但是同時(shí)也增加了系統(tǒng)的復(fù)雜度和設(shè)計(jì)的難度，應(yīng)用冗余配置的系統(tǒng)還增加了用戶投資。因此，如何合理而有效的進(jìn)行控制系統(tǒng)冗余設(shè)計(jì)，是值得研究的課題。

    1：冗余技術(shù)
    冗余技術(shù)概要：冗余技術(shù)就是增加多余的設(shè)備，以保證系統(tǒng)更加可靠、安全地工作。冗余的分類方法多種多樣，按照在系統(tǒng)中所處的位置，冗余可分為元件級(jí)、部件級(jí)和系統(tǒng)級(jí)；按照冗余的程度可分為1:1冗余、1:2冗余、1:n冗余等多種。在當(dāng)前元器件可靠性不斷提高的情況下，和其它形式的冗余方式相比，1:1的部件級(jí)熱冗余是一種有效而又相對(duì)簡(jiǎn)單、配置靈活的冗余技術(shù)實(shí)現(xiàn)方式，如I/O卡件冗余、電源冗余、主控制器冗余等。因此，目前國(guó)內(nèi)外主流的過程控制系統(tǒng)中大多采用了這種方式。當(dāng)然，在某些局部設(shè)計(jì)中也有采用元件級(jí)或多種冗余方式組合的成功范例。

    控制系統(tǒng)冗余設(shè)計(jì)的目的:系統(tǒng)運(yùn)行不受局部故障的影響，而且故障部件的維護(hù)對(duì)整個(gè)系統(tǒng)的功能實(shí)現(xiàn)沒有影響，并可以實(shí)現(xiàn)在線維護(hù)，使故障部件得到及時(shí)的修復(fù)。冗余設(shè)計(jì)會(huì)增加系統(tǒng)設(shè)計(jì)的難度，冗余配置會(huì)增加用戶系統(tǒng)的投資，但這種投資換來了系統(tǒng)的可靠性，它提高了整個(gè)用戶系統(tǒng)的平均無故障時(shí)間（MTBF），縮短了平均故障修復(fù)時(shí)間（MTTR），因此，應(yīng)用在重要場(chǎng)合的控制系統(tǒng)，冗余是非常必要的。

    二個(gè)部件組成的并聯(lián)系統(tǒng)（互為冗余）與單部件相比，平均無故障時(shí)間是原來的1.5倍。系統(tǒng)的可用性指標(biāo)可以用兩個(gè)參數(shù)進(jìn)行簡(jiǎn)單的描述，一個(gè)是平均無故障時(shí)間（MTBF），另一個(gè)是平均修復(fù)時(shí)間（MTBR）。系統(tǒng)的可用性可用下式表示：

系統(tǒng)可用性＝MTBF/(MTBF+MTBR)
當(dāng)可用性達(dá)到99.999%時(shí)，系統(tǒng)每年停止服務(wù)的時(shí)間只有6分鐘。

    2：控制系統(tǒng)冗余的關(guān)鍵技術(shù)
    冗余是一種高級(jí)的可靠性設(shè)計(jì)技術(shù)， 1:1熱冗余也就是所謂的雙重化，是其中一種有效的冗余方式，但它并不是兩個(gè)部件簡(jiǎn)單的并聯(lián)運(yùn)行，而是需要硬件、軟件、通訊等協(xié)同工作來實(shí)現(xiàn)。將互為冗余的兩個(gè)部件構(gòu)成一個(gè)有機(jī)的整體，通常包括以下多個(gè)技術(shù)要點(diǎn)：

    1）信息同步技術(shù)
    它是工作、備用部件之間實(shí)現(xiàn)無擾動(dòng)（Bumpless）切換技術(shù)的前提，只有按控制實(shí)時(shí)性要求進(jìn)行高速有效的信息同步，保證工作、備用部件步調(diào)一致地工作，才能實(shí)現(xiàn)冗余部件之間的無擾動(dòng)切換。

    在熱備用工作方式下，其中一塊處于工作狀態(tài)（工作卡），實(shí)現(xiàn)系統(tǒng)的數(shù)據(jù)采集、運(yùn)算、控制輸出、網(wǎng)絡(luò)通訊等功能；而另一塊處于備用狀態(tài)（備用卡），它實(shí)時(shí)跟蹤工作卡的內(nèi)部控制狀態(tài)（即狀態(tài)同步）。工作/備用卡件之間的正/負(fù)邏輯是互斥的，即一個(gè)為工作卡，另一個(gè)必定是備用卡；而且它們之間有冗余控制電路（又稱工作/備用控制電路）和信息通訊電路，以協(xié)調(diào)兩塊卡件同時(shí)而且有序地運(yùn)行，保證對(duì)外輸入輸出特性的同一性，即對(duì)于用戶使用而言，可以認(rèn)為只有一個(gè)部件。一般在設(shè)計(jì)中，工作、備用部件之間通過高速的冗余通訊通道（串行或并行）實(shí)現(xiàn)運(yùn)行狀態(tài)互檢和控制狀態(tài)的同步（如組態(tài)信息、輸出閥位、控制參數(shù)等）。

    2）故障檢測(cè)技術(shù)
    為了保證系統(tǒng)在出現(xiàn)故障時(shí)及時(shí)將冗余部分投入工作，必須有高精確的在線故障檢測(cè)技術(shù)，實(shí)現(xiàn)故障發(fā)現(xiàn)、故障定位、故障隔離和故障報(bào)警。故障檢測(cè)包括電源、微處理器、數(shù)據(jù)通訊鏈路、數(shù)據(jù)總線及I/O狀態(tài)等。其中故障診斷包括故障自診斷和故障互檢（工作、備用卡件之間的相互檢查）

    3） 故障仲裁技術(shù)和切換技術(shù)
    精確及時(shí)地發(fā)現(xiàn)故障后，還需要及時(shí)確定故障的部位、分析故障的嚴(yán)重性，依賴前文提到的冗余控制電路，對(duì)工作、備用故障狀態(tài)進(jìn)行分析、比較和仲裁，以判定是否需要進(jìn)行工作/備用之間的狀態(tài)切換�？刂茩�(quán)切換到冗余備用部件還必須保證快速、安全、無擾動(dòng)。當(dāng)處于工作狀態(tài)的部件出現(xiàn)故障（斷電、復(fù)位、軟件故障、硬件故障等）或者工作部件的故障較備用部件嚴(yán)重時(shí)，備用部件必須快速地?zé)o擾動(dòng)地接替工作部件的所有控制任務(wù)，對(duì)現(xiàn)場(chǎng)控制不造成任何影響。同時(shí)要求切換時(shí)間應(yīng)為毫秒級(jí)，甚至是微秒級(jí)，這樣就不會(huì)因?yàn)樵摬考�的故障而造成外部控制�?duì)象的失控或檢測(cè)信息失效等等。另外，還需要盡快通過網(wǎng)絡(luò)通訊或就地LED顯示進(jìn)行報(bào)警，通知用戶出現(xiàn)故障的部件和故障情況，以便進(jìn)行及時(shí)維護(hù)。

    4）熱插拔技術(shù)
    為了保證容錯(cuò)系統(tǒng)具有高可靠性，必須盡量減少系統(tǒng)的平均修復(fù)時(shí)間MTBR。要做到這一點(diǎn)，在設(shè)計(jì)上應(yīng)努力提高單元的獨(dú)立性、可修復(fù)性、故障可維護(hù)性。實(shí)現(xiàn)故障部件的在線維護(hù)和更換也是冗余技術(shù)的重要組成部分，它是實(shí)現(xiàn)控制系統(tǒng)故障部件快速修復(fù)技術(shù)的關(guān)鍵。部件的熱插拔功能可以在不中斷系統(tǒng)正�？刂乒δ艿那闆r下增加或更換組件，使系統(tǒng)平穩(wěn)地運(yùn)行。

    5）故障隔離技術(shù)
冗余設(shè)計(jì)時(shí)，必須考慮工作、備用部件之間的故障應(yīng)該做到盡可能互不影響或影響的概率相當(dāng)�。�0.01%），即可認(rèn)為故障是隔離的。這樣可以保證：處于備用狀態(tài)的部件發(fā)生故障時(shí)，不會(huì)影響冗余工作部件或其他關(guān)聯(lián)部件的正常運(yùn)行，保證冗余的有效性。

    3：冗余技術(shù)在控制系統(tǒng)中的應(yīng)用實(shí)現(xiàn)分析

    通過控制系統(tǒng)冗余原理與方法的具體分析可以看到，系統(tǒng)的可用性在很大程度上取決于那些MTBF值較低而能對(duì)系統(tǒng)正常運(yùn)行造成重大影響的部件，如主控制卡、網(wǎng)絡(luò)、電源、通訊轉(zhuǎn)發(fā)卡等。在系統(tǒng)設(shè)計(jì)中對(duì)關(guān)鍵部件進(jìn)行冗余設(shè)計(jì)，可以大大提高系統(tǒng)的可用性。
    下面以SUPCON JX-300X 為例分析冗余的實(shí)現(xiàn)方式。
    SUPCON JX-300X 型集散控制系統(tǒng)[1]的各個(gè)部件的冗余，實(shí)現(xiàn)了從電源、主控制器、過程控制網(wǎng)絡(luò)，直至I/O卡件的冗余。
    JX-300X型DCS采用全智能化、全數(shù)字化設(shè)計(jì)，在此基礎(chǔ)上成功地實(shí)現(xiàn)了卡件的熱插拔、故障診斷、信息同步等前文提到的各項(xiàng)技術(shù)。該系統(tǒng)采用典型控制系統(tǒng)三層模型，每個(gè)層次內(nèi)均可冗余配置，而層次之間采用全冗余連接。即整個(gè)系統(tǒng)內(nèi)以冗余過程控制網(wǎng)絡(luò)（SCnet）和冗余現(xiàn)場(chǎng)I/O總線(SBUS)為高可靠的連接通道，系統(tǒng)內(nèi)各個(gè)部件的運(yùn)行和部件之間點(diǎn)對(duì)點(diǎn)連接都可冗余。

根據(jù)控制系統(tǒng)內(nèi)各個(gè)部件功能定位的不同，采用了具體方式有所差別，具體策略為：

    1)主控制卡的冗余 
    主控制卡是整個(gè)系統(tǒng)的核心控制單元，完成系統(tǒng)的控制任務(wù)。而冗余技術(shù)各個(gè)設(shè)計(jì)要點(diǎn)在此得到充分應(yīng)用。互為冗余的兩塊主控制卡軟件、硬件完全一致，它們執(zhí)行同樣的系統(tǒng)軟件和應(yīng)用程序，在工作/備用冗余邏輯電路的控制下，其中一個(gè)運(yùn)行在工作狀態(tài)（工作卡），另外一個(gè)運(yùn)行在備用狀態(tài)（備用卡），如圖2所示。工作卡和備用卡之間具有公共的冗余邏輯控制電路和專用的高速對(duì)等冗余通訊通道，同時(shí)也可以通過I/O總線和過程控制網(wǎng)絡(luò)進(jìn)行信息交互或故障診測(cè)。互為冗余的主控制卡都能訪問I/O和過程控制網(wǎng)絡(luò)，備用模式下的主控制卡執(zhí)行診斷程序，監(jiān)視工作卡的狀態(tài)，通過周期查詢工作卡件中的數(shù)據(jù)存儲(chǔ)器，接受工作卡發(fā)送的實(shí)時(shí)控制運(yùn)行信息。備用處理器可隨時(shí)保存最新的控制數(shù)據(jù)，以保證工作/備用的無擾動(dòng)切換，但工作模式下的主控制卡起著控制、輸出、實(shí)時(shí)過程信息發(fā)布，等決定性的作用（具有發(fā)言權(quán)）。冗余技術(shù)的關(guān)鍵在于實(shí)現(xiàn)信息同步，而信息同步的最終目的是為了實(shí)現(xiàn)冗余部件之間無擾動(dòng)切換。我們把信息同步的方法分為“自然同步”和“強(qiáng)制同步”。
    互為冗余的兩個(gè)主控制卡作為一個(gè)整體與外界交換信息（網(wǎng)絡(luò)通訊、I/O通訊 ），共享進(jìn)入這個(gè)整體的輸入信息，這就是冗余部件的同一性（也可以稱為單一性）。對(duì)外輸出信息時(shí)工作卡掌握主動(dòng)權(quán)，代表這個(gè)整體發(fā)言，即冗余的協(xié)同性。通俗地講，兩個(gè)互為冗余的部件，對(duì)于用戶使用和外部控制對(duì)象而言，可被視為一個(gè)整體。
    為了保證互為冗余的兩個(gè)卡件具有平等獲取外部信息（I/O通訊、網(wǎng)絡(luò)通訊）的權(quán)利，冗余部件具有同樣的通訊接口，保證卡件內(nèi)輸入信息的一致。冗余的兩塊卡件有各自的通訊通路，只要保證相同的輸入信息在兩個(gè)通信通路上同時(shí)進(jìn)行傳輸，兩塊卡件就可以獲得相同的信息。這種憑借外部設(shè)備實(shí)現(xiàn)輸入信息的同步稱為“自然同步”。“自然同步”發(fā)生在冗余系統(tǒng)和外部設(shè)備之間。工作卡掌握主動(dòng)權(quán)，代表整體發(fā)言，并通過冗余通信將各種狀態(tài)信息傳送給備用卡，達(dá)到控制任務(wù)的同步，這就是“強(qiáng)制同步”�！皬�(qiáng)制同步”通過冗余通信使備用卡內(nèi)部控制狀態(tài)與工作卡保持一致，它發(fā)生在互為冗余的卡件之間。根據(jù)變量特性的不同，具體采用的同步方式也各不相同.
　　    2) 電源系統(tǒng)冗余。
    電源是整個(gè)控制系統(tǒng)得以正常工作的動(dòng)力源泉，一旦電源單元發(fā)生故障，往往會(huì)使整個(gè)控制系統(tǒng)的工作中斷，造成嚴(yán)重后果。要使控制系統(tǒng)能夠安全、可靠、長(zhǎng)期、穩(wěn)定地運(yùn)行，首先穩(wěn)定的供電必須得到保證。JX-300X型DCS采用可熱插拔的冗余電源，正常工作時(shí)，兩臺(tái)電源各輸出一半功率，從而使每一臺(tái)電源都工作在輕負(fù)載狀態(tài)，有利于電源穩(wěn)定工作。當(dāng)其中一臺(tái)發(fā)生故障，短時(shí)由另一臺(tái)接替其工作，并報(bào)警。設(shè)計(jì)為可熱插拔的冗余電源，這樣系統(tǒng)維護(hù)時(shí)可以在不影響系統(tǒng)正常運(yùn)行的情況下更換故障的電源。

    3) 網(wǎng)絡(luò)系統(tǒng)冗余。
    采用冗余網(wǎng)卡和冗余網(wǎng)絡(luò)接口。正常工作時(shí)，冗余的兩條數(shù)據(jù)高速通路同時(shí)并行運(yùn)行，自動(dòng)分?jǐn)偩W(wǎng)絡(luò)流量，并考慮了負(fù)載均衡的冗余設(shè)計(jì)，使系統(tǒng)網(wǎng)絡(luò)通信帶寬提高。當(dāng)其中一路故障（網(wǎng)卡損壞或出現(xiàn)線路故障）時(shí)，另一路自動(dòng)地承擔(dān)全部通信負(fù)載，保證通信的正常進(jìn)行。

    4)冷卻系統(tǒng)冗余。
    利用控制柜內(nèi)可自動(dòng)切換的冗余風(fēng)扇，對(duì)風(fēng)扇和機(jī)柜內(nèi)溫度進(jìn)行實(shí)時(shí)監(jiān)測(cè)，發(fā)現(xiàn)工作風(fēng)扇故障或柜內(nèi)溫度過高時(shí)都會(huì)自動(dòng)報(bào)警，并自動(dòng)啟動(dòng)備用風(fēng)扇。

    5) 信息冗余。
    除了硬件部件的冗余，JX-300X型DCS還采用了信息冗余技術(shù)，這也是提高系統(tǒng)可靠性的一個(gè)重要手段。信息冗余技術(shù)是指在通信過程中或存放組態(tài)信息（重要信息）時(shí)，利用增加的多余信息位提供檢錯(cuò)甚至糾錯(cuò)的能力。該系統(tǒng)中SBUS總線通訊和SCnet控制網(wǎng)絡(luò)都采用循環(huán)冗余碼校驗(yàn)(CRC)方法。而重要組態(tài)信息（如系統(tǒng)配置）在主控制卡內(nèi)的存放采用1：1冗余存放，使重要信息具備故障（出錯(cuò)）自我恢復(fù)能力，保證系統(tǒng)運(yùn)行過程中重要信息的安全性。

  通過對(duì)以上關(guān)鍵部件的冗余設(shè)計(jì)，可以保證系統(tǒng)具有很高的可用性。

MTBF,即平均無故障時(shí)間，英文全稱是“Mean Time Between Failure”。是衡量一個(gè)產(chǎn)品（尤其是電器產(chǎn)品）的可靠性指標(biāo)。單位為“小時(shí)”。它反映了產(chǎn)品的時(shí)間質(zhì)量，是體現(xiàn)產(chǎn)品在規(guī)定時(shí)間內(nèi)保持功能的一種能力。具體來說，是指相鄰兩次故障之間的平均工作時(shí)間，也稱為平均故障間隔。它僅適用于可維修產(chǎn)品。同時(shí)也規(guī)定產(chǎn)品在總的使用階段累計(jì)工作時(shí)間與故障次數(shù)的比值為MTBF。磁帶機(jī)產(chǎn)品的MTBF值不應(yīng)低于200000小時(shí)。

    通常，我們?cè)诋a(chǎn)品的手冊(cè)或包裝上能夠看到這個(gè)MTBF值，如8000小時(shí)，2萬小時(shí)，那么，MTBF的數(shù)值是怎樣算出來的呢，假設(shè)一臺(tái)電腦的MTBF為3萬小時(shí)，是不是把這臺(tái)電腦連續(xù)運(yùn)行3萬小時(shí)檢測(cè)出來的呢？答案是否定的，如果是那樣的話，我們有那么多產(chǎn)品要用幾十年都檢測(cè)不完的。其實(shí)，關(guān)于MTBF值的計(jì)算方法，目前最通用的權(quán)威性標(biāo)準(zhǔn)是MIL-HDBK-217、GJB/Z299B和Bellcore，分別用于軍工產(chǎn)品和民用產(chǎn)品。其中，MIL-HDBK-217是由美國(guó)國(guó)防部可靠性分析中心及Rome實(shí)驗(yàn)室提出并成為行業(yè)標(biāo)準(zhǔn)，專門用于軍工產(chǎn)品MTBF值計(jì)算，GJB/Z 299B是我國(guó)軍用標(biāo)準(zhǔn)；而Bellcore是由AT&T Bell 實(shí)驗(yàn)室提出并成為商用電子產(chǎn)品MTBF值計(jì)算的行業(yè)標(biāo)準(zhǔn)。

    MTBF計(jì)算中主要考慮的是產(chǎn)品中每個(gè)器件的失效率。但由于器件在不同的環(huán)境、不同的使用條件下其失效率會(huì)有很大的區(qū)別，例如，同一產(chǎn)品在不同的環(huán)境下，如在實(shí)驗(yàn)室和海洋平臺(tái)上，其可靠性值肯定是不同的；又如一個(gè)額定電壓為16V的電容在實(shí)際電壓為25V和5V下的失效率肯定是不同的。所以，在計(jì)算可靠性指標(biāo)時(shí)，必須考慮上述多種因素。所有上述這些因素，幾乎無法通過人工進(jìn)行計(jì)算，但借助于軟件如MTBFcal軟件和其龐大的參數(shù)庫，我們就能夠輕松的得出MTBF值。

    其實(shí)，MTBF值如何算出并不是我們所關(guān)心的問題，我們應(yīng)該把重點(diǎn)放在一個(gè)產(chǎn)品的MTBF的值到底有多少上，對(duì)于用戶來講，應(yīng)該選用MTBF值高的產(chǎn)品。

MTTR(mean time to repair
MTBR(mean time between repair