[发明专利]一种用于全智能主控系统的安全控制冗余系统及冗余方法

权利要求书

1.一种用于全智能主控系统的安全控制冗余系统，其特征在于包括一组控制模板（2）及一组I/O模板（4），所述的控制模板（2）与I/O模板（4）通过CAN总线（3）通信，所述的控制模板（2）包括主控制模板（202）及分别设置在主控制模板（202）两侧的两个分控制模板（201），所述的主控制模板（202）与分控制模板（201）通过以太网（1）通信，所述的I/O模板（4）上设有一组I/O模块（5），每个I/O模块（5）上设有3个I/O采集通道（6）。

2.根据权利要求1所述的一种用于全智能主控系统的安全控制冗余系统，其特征在于所述的CAN总线（3）通信与以太网（1）通信均采取双冗余热备份结构，由双份网络协议控制器和双电缆构成两条网络。

3.根据权利要求1所述的一种用于全智能主控系统的安全控制冗余方法，其特征在于所述的主控制模板（202）、分控制模板（201）和I/O模板（4）均为独立的计算机系统，包括电源、CPU、内存、总线及接口逻辑。

4.一种用于全智能主控系统的安全控制冗余方法，其特征在于包括如下步骤：

1）控制系统上电，系统初始化完成后，主控制模板（202）按照各控制变量的采集周期，依次向各控制变量所在的I/O模板（4）发送轮询请求命令； 

2）I/O模板（4）接收到轮询请求命令后，读取该控制变量所对应的I/O模块（5）的采样值，I/O模板（5）读取与其连接的3个I/O采集通道（6）上的采样值后经过三取二表决方式得出最终采样值，并将其通过广播方式发送给主控制模板（202）和分控制模板（201）；

3）主控制模板（202）和两个分控制模板（201）同时接收到该采样值后进行任务同步，并进行相同的控制运算，得出各自的运算结果；

4）由主控制模板（202）读取分控制模板（201）的运算结果，将三个运算结果通过三取二表决方式得出最终运算值；

5）由主控制模板（202）将最终运算值发送给相应的I/O模板（4），并将最终运算值作为准确值发送给两个分控制模板（201）。

5.根据权利要求4所述的一种用于全智能主控系统的安全控制冗余方法，其特征在于所述的主控制模板（202）到I/O模板（4）、分控制模板（201）的通信模式均采用点对点方式，从I/O模板（4）到主控制模板（202）、分控制模板（201）的通信模式采用广播方式。

6.根据权利要求4所述的一种用于全智能主控系统的安全控制冗余方法，其特征在于所述的三取二表决方式基于少数服从多数的纠错原理，由软件按三取二的原则，以多数相同的输出作为该表决系统的正确输出。

7.根据权利要求4所述的一种用于全智能主控系统的安全控制冗余方法，其特征在于所述的I/O模板采集到的采样值包括数字量、模拟量和脉冲量。

8.根据权利要求4所述的一种用于全智能主控系统的安全控制冗余方法，其特征在于步骤4）中在表决过程中当其中一个控制模板运算结果与其他两个不一致时，则该控制模板发生故障，所述的故障分为瞬时故障，严重故障和永久故障。

9.根据权利要求8所述的一种用于全智能主控系统的安全控制冗余方法，其特征在于当控制模板出现严重故障时，系统对其降级重构，所述的降级重构是指由主控制模板将其上电重启；在该控制模板重新运行正常之前，系统由其他两个控制模板同时控制，系统对其断电重启后，若其工作正常则再对其升级重构，恢复其工作现场数据，系统恢复为三模冗余控制方式。

10.根据权利要求9所述的一种用于全智能主控系统的安全控制冗余方法，其特征在于所述升级重构是指发生严重故障的控制模板重启正常后，重新参与控制，使系统恢复三模冗余控制方式的过程，升级重构时由主控制模板对其发送工作现场数据，使3个控制模板状态同步，在升级重构过程中通过将工作现场数据组织成合适的数据帧和对工作现场数据区的有效管理，并且只在主控制模板执行控制任务的空闲时间传送工作现场数据，使重构过程中系统不必中断正常任务而连续工作。