1冗余技术是集成过程控制系统的基础

    所谓“冗余”，是指“一个具有相同设备功能的备用系统”，当主设备出现故障时，冗余设备是可以立即使用的替代设备。
冗余设计的目的是确保下述五种故障发生时系统保持稳定可靠的运行。
第1种故障：CPU故障
第2种故障：控制层网络故障
第3种故障：信息层网络故障
第4种故障：主机硬件故障
第5种故障：软件故障

    罗克韦尔自动化的集成过程控制系统是一套全面集成的过程控制解决方案。集成架构作为一种技术框架,将车间现场不同的应用项目通过统一的控制、可视化和通信平台集成在一起。这样一来，所有的数据都能够在整个企业内进行无逢的传递。
冗余设计是集成过程控制系统的基础。

2 冗余设计
冗余设计包括硬件和软件两部分。

2．1 硬件冗余（图1）

 
图1 硬件冗余

2．1．1控制站冗余

    两个互为冗余的控制站配置必须完全相同（图1中的主/从机架），冗余功能是依靠双槽冗余模块1757-SRM实现。当主控制器失效时，从控制器在100ms内接替主控制器，主从控制器的同步对用户来说是完全透明的，冗余模块之间通过2根1米长的光缆（62.5/25μm多模光纤，SC连接）连接起来。

冗余功能的主要特性如下：
※同步透明性：控制器的同步不会引起任何可能的控制中断。
※切换透明性：主从控制器切换时，除了触发相应的报警或事件，不会对操作产生其他的影响，切换的时间可以忽略。
※可靠的存储：当进行同步数据传输时，只有主机架和从机架都收到相同的信息时，系统才确认数据传输成功。
※切换时数据连贯性：进行冗余切换时，输出保持不变，保证过程不发生扰动。
※完全不要用户编程，程序下载到主控制器。

冗余设计规则：
①一个冗余系统至少具有2个远程机架（2个节点）
②所有I/O模块必须放在远程机架，冗余机架上不能有I/O模块 
③每个冗余机架最多插2个1756-ENBT和3个1756-CNBR
④主/从1756-CNBR模块地址开关拨到同一地址，从机架地址在上电后自动分配
冗余功能的设置（图2）：
1757-SRM：Auto-Synchronization 自动同步设置为Always（保持）
Controller Properties：Redundancy 属性设置为Enabled（允许）
                

图2 冗余设置

2．1．2电源冗余

   图1中，每一个I/O远程机架配置一组1756-PAR2冗余电源（每组冗余电源由两个1756-PA75R电源模块，两根1756-CPR电缆和一个1756-PSCA适配器构成）。它们分别由两路不同的系统供电，当任一路供电系统故障时，另一路仍保持供电，因此可以确保I/O机架供电不间断。

2．1．3 控制层网络冗余

图3 冗余通道

    集成过程控制系统的控制层是ControlNet,它是罗克韦尔自动化NetLinx开放网络架构三层（EtherNet/IP、ControlNet、DeviceNet）网络之一,满足IEC61158国际工业现场总线标准。图1中1756-CNBR是ControlNet通信模块，它有两个冗余的网络通道：A通道和B通道（图3），使控制信息实现冗余。传送速率达5Mbps,传送介质是75Ω阻抗的1786-RG6同轴电缆，通过BNC连接器与ControlNet总线相连。注意：A、B通道不能交叉；冗余链路两边的介质必须相同。

2．1．4 信息层网络冗余

    集成过程控制系统的信息层是EtherNet/IP,图1中1756-ENBT是EtherNet/IP通信模块，通过工业以太网交换机将信息传送到上层监控管理中心。冗余功能通过光纤环网实现。

2．1．5 服务器冗余

    采用主/从服务器结构。当主服务器出现故障时，从服务器自动转为主服务器，提供与控制器/RTU的通信、数据采集等功能，并为其他操作站提供服务。主服务器定时将数据库中的所有数据信息传送到从服务器，以确保主/从服务器之间的完全同步。

2．2 软件冗余

    一个分布式HMI系统包括Server（服务器）组件和Client（客户机）组件。Client组件提供了系统操作员使用的接口，一般是动态更新的图形显示。这些图形显示描述了系统的当前状态，并且允许操作员监视和控制其操作。图形显示中的动态信息，包括动态图形、报警汇总、更新标签值以及实时和历史趋势，都是由HMI系统中的Server组件提供。

    为使操作员能够维护和控制整个系统，Server组件必须提供连续的信息。

    为此，在系统中安装了RSView Supervisory Edition人机界面软件（简称RSViewSE）。该软件可以提供三种类型的Server,每种类型均可通过标准的组态选项配置冗余：
FactoryTalk Directory Server（目录服务）
RSView SE Server（HMI服务）
Date Server（数据服务）

    软件冗余功能可以概括为：“在正确的时候，把正确的信息分配给正确的人”。

    “正确的时候”是指：系统运行时，如果与主计算机的连接中断，FactoryTalk会在30秒内自动将所有Clients切换到从计算机，当与主计算机的连接恢复时，系统会自动切换回主计算机—无须用户编程、客户端组态，也无须操作员介入，以确保在“正确的时间“及时将信息传送给客户。实现了信息传送的实时性。

    “正确的信息”是指：FactoryTalk Directory为所有信息提供可查询的映射，信息源还是存储在整个分布式系统中。这样既有数据集中管理的好处，又避免了整个系统使用单一数据库的风险。保证用户得到“正确的信息”。

    “正确的人”是指：RSViewSE利用Windows安全管理工具，管理用户权限，包括：确保唯一密码，自动退出系统，一段时间后改变密码等。RSViewSE为用户提供项目级的安全保障，对RSViewSE的命令、宏、数据库标签、画面等分别设置安全级别。从而实现将信息传送给“正确的人”。

3 应用实例

图4 网络拓扑图

    图4所示为开曼铝业（三门峡）氧化铝集成过程控制系统网络拓扑图。它是一个分布式控制系统。

    系统下设原料磨、石灰消化、溶出、沉降、种子过滤、蒸发、成品过滤、焙烧八个过程控制子系统（车间），每个车间均有一台工程师站EWS和2-3台操作员站OPS。车间内部工艺参数的数据采集、实时监控、数据处理等信息的传输由ControlNet控制网实现。整个氧化铝厂的主要生产操作由这八套子系统完成。

    控制系统的信息层采用EtherNet/IP工业以太网，通过光纤将上述八个车间的信息传送到全厂生产信息调度中心，该中心设有两台服务器SERVER1、SERVER2和两台操作站OPS1、OPS2，对全厂生产过程进行集中监视、控制和管理。

    整个控制系统共配置有35个CPU模块，650多个I/O模块，100多个通信模块，这些模块分别安装在近90个机架上，用于控制4000多点模拟量和9000多点开关量。
这个庞大的自动控制工程，如果因故障停止运行，每天经济损失高达100多万元人民币，如何保证氧化铝生产长期连续稳定运行，是摆在每一个设计、调试人员面前必须解决的基本课题。

    为此，开曼铝业氧化铝控制系统采用下列冗余设计，实现系统稳定运行要求。

3．1每个车间的控制系统均采用图1所示的冗余结构模式。

3．2 信息层网络故障借助交换机冗余和双光纤环网两个途径解决。

交换机冗余：

    图4中，每个车间的现场信息是通过两个冗余以太网交换机获取，例如溶出车间，左边的交换机接收来自一期、二期和二期扩建主机架上的1756-ENBT模块信息，右边的交换机接收来自一期、二期和二期扩建副机架上的1756-ENBT模块信息，这样做的好处是现场信息具有冗余功能。

双光纤环网：

全厂设有两条100M光纤以太网环网。
环网1：设有9个工业以太网光纤交换机，用于原料磨、石灰消化、溶出、沉降、分解、蒸发、成品和焙烧等8个车间的现场数据和冗余服务器（ServerS、Server2）进行数据交换。
环网2：设有7个工业以太网光纤交换机，并在原料磨、溶出、沉降、分解、蒸发和焙烧等6个主要车间各设一台操作员站OPS3，可以监视全厂其他车间的运行情况（只看不控）。

    环网1和环网2是两个独立的网络，他们之间只有一个通信通道，即信息只有通过服务器才可以进行交换。

3．3 服务器冗余：

    当主Server出现故障时，自动切换到从Server.当主Server再次可用时，它自动重新继续执行HMI Server的任务。从而保证Server组件向Client提供连续的信息，提高系统可访问性，确保用户监控到生产现场的运行情况，为他们做出重要的决策提供信息支持。

    以溶出车间为例：挂接在环网1上的工程师站EWS及操作员站OPS1、OPS2工作于单机模式，可以监视和操作本车间一期、二期和二期扩建所有设备，挂接在环网2上的操作员站OPS3工作于分布模式，在调度中心冗余服务器上进行操作权限设置，即可在溶出车间监视全厂其他车间的运行工况（但不可对其他车间的设备进行操作）。

4  结束语

①实现冗余的另一种方法是双CPU冗余[3]：在同一机架插2块CPU，两块CPU同时在系统中运行，一块运行于主控模式，另一块运行于热备份模式。当其中任一块CPU发生故障时另一块CPU立即监视到并发出报警，自动将正常的CPU投入主控模式。CPU的无扰切换，使系统一直受控，确保了安全。这就是软件冗余，其优点是系统成本低，缺点是需要用户编程，可靠性和规范性较差。本文介绍的硬件冗余虽然成本较高，但不需要用户编程，设计标准化，使用户可以腾出足够的精力去处理无法实现标准化的工作。

②1756/1757系统硬件模块的平均无故障时间（MTBF）在150万小时左右，并且获得了TUV的SIL2的认证。以每天24小时，每年365天计算，模块在171年内将不会失效，可靠性非常高，完全可以直接应用于大部分工程项目中。只有当系统一旦失效将会造成重大经济损失或产生人员伤亡的场合才采取相应的冗余措施。
③如果所有I/O模块可以全部插入一个远程机架，则第2个远程机架可以用1794-ACNR15替代，这样可以大大降低成本。

In the Rockwell automation integrated process control system redundant technology and application

Summary: Introduces the Rockwell automation integrated process control system redundancy design method and application example 
参考文献
[1]Allen-Bradley：ControlLogix 热备冗余系统用户手册
[2]Rockwell Automation: 工业白皮书：RSView Supervisory Edition应用系统中保证系统的有效性
[3]严敏：PLC的双CPU冗余控制实现，罗克韦尔自动化“A-B世界杯”集成架构产品应用论文集，P.78
[4] Rockwell Automation: FLEX I/O 和FLEX EX选型指南 1794和1797系列
潘芝渭：男，1947，高级工程师，宁波捷创技术有限公司，从事自动控制新品研发和设计
地址：浙江省宁波市贺丞新村5幢10号304室    E-mail:293246@nbip.net