嚴敏、楊陽、郭勝軍、于進、沈慶良、嚴海、魏良余、褚洪峰（上海船舶運輸科學研究所，200135）

摘要：本文介紹了在熔鹽爐自動系統中，采用Allen-Bradley ControlLogix雙CPU的PLC控制器，以軟件方式實現CPU冗余控制。這是一種花錢少、效果好的提高系統可靠性的有效手段。

關鍵詞：CPU冗余，ControlLogix，編程

PLC是現代工業的三大支柱之一，是可靠性高、應用非常廣泛的工業控制產品。在中大型模塊化的PLC產品中，CPU模塊（中央處理器）是PLC的中心。一些重大的工業生產線往往要求連續運行不能停頓，而可靠性再高的PLC也不能保證故障為零，因此，雙CPU的冗余控制是一種滿足連續生產要求、提高系統可用性的有效手段。下面以熔鹽爐自控系統為實例詳述雙CPU冗余控制的實現方法。

一、熔鹽爐自動系統綜述

熔鹽爐自控系統是一水硬鋁管道化溶出生產線上的重要環節，控制熔鹽的加熱和循環，用熔鹽的熱量去循環加熱鋁礦石漿。鋁礦石漿的加熱至關重要，影響最終產品—氧化鋁的質量和產量，因此，熔鹽的溫度控制和循環控制非常重要。

由于熔鹽爐系統在管道化工程中的重要性，同時考慮到熔鹽是一種活躍的化學品，在不同的溫度下有不同的形態，低溫下凝固，高溫下不穩定會發生化學反應，從而腐蝕管壁甚至于爆炸，所以安全、可靠、操作簡便和自動化管理是系統設計的關鍵，因此考慮用一套雙CPU冗余的PLC、兩套工控機、高質量的傳感器、變送器和執行機構來控制兩臺1200萬大卡的熔鹽爐、一臺鹽泵、一組鹽閥、一個熔鹽槽和其他相關設備，實現熔鹽的加熱和循環過程自動化、計算機操作、監控和管理的自動化控制。該系統如圖1所示。

控制器PLC、工控機(包括顯示器)、通訊網絡和電源及關鍵測試點等系統中的重要部件均采用冗余結構，兩套工控機和大屏幕顯示器組成的兩套監控操作管理臺并行運行；兩條冗余的ControlNet高速通訊網絡同時傳送數據；兩套直流電源同時向控制器PLC、變送器和開關量輸入模塊供電，關鍵測試點同時設置兩個傳感器測試數據。

冗余設計使系統關鍵部件的可靠性提高了一倍，而使系統的整體可靠性大大的提高。

二、雙CPU的PLC控制器

PLC控制器是系統控制的中心，采集系統的全部工況信號，實時控制相關的設備動作；同時監視生產過程參數和設備運行狀態，當危險工況出現時，及時發出聲光報警，當極限工況出現時，聯鎖保護設備，保障生產過程安全。為此，我們選擇了以產品可靠性高著稱的羅克韋爾自動化公司的新一代控制平臺：A-B ControlLogix系列，同時考慮采用雙CPU模塊冗余，進一步提高系統可靠性，避免因故障出現所引起的生產停頓或安全事故。

三、兩種雙CPU冗余方式的比較

ControlLogix提供有兩種CPU冗余解決方法，一種為純硬件冗余，另一種為軟件冗余。

硬件冗余的方法，是將兩個CPU模塊插在不同的兩個機架上，每個機架上除了CPU模塊，還要有通訊模塊CNBR、熱備模塊SRM和兩個熱備模塊間的連接光纜，如圖2所示。

軟件冗余，是將兩個CPU模塊插在同一個框架上，利用背板通訊，進行冗余控制，如圖3所示。

從以上可以看出，純硬件冗余的方式硬件投入較多，成本開支較大大。而軟件冗余，只需增加一塊CPU模塊，成本增加很少，因為一般像CPU這種PLC的心臟，廠家都會配有備件，用備件來實現冗余控制，既提高了系統的可靠性和可維護性（可做到在線維護，不影響生產線運行），又不會顯著增加成本開支。

單純從可靠性方面分析，純硬件的冗余較之軟件冗余并無優勢。因為增加了較多的部件、模塊，這些部件和模塊的故障，也會影響系統的可靠性。例如，當兩個熱備模塊之間的連接光纜出現故障，同樣會使冗余控制失效。而軟件冗余，只增加了一塊CPU模塊，而兩個CPU模塊的同時故障率幾乎為零。

純硬件冗余的優點之一，就是不需要軟件進行專門的編程，CPU的狀態監視和控制權的轉移是由兩個熱備模塊來完成的。而軟件冗余中兩個CPU模塊的狀態監視和控制權的轉移是通過軟件編程解決的。因此，軟件冗余編程相對比較復雜，工作量較大。

綜合考慮以上因素，本熔鹽爐自動系統采用軟件方式實現PLC的雙CPU冗余控制。兩塊CPU模塊同時在系統中運行，一塊運行于主控模式，另一塊運行于熱備份模式。當其中任一塊CPU發生故障時另一塊CPU立即監視到并發出報警，自動將正常的CPU投入主控模式。CPU的無擾動切換，使系統一直受控，確保了安全，同時，使管道化生產線一直處于正常運行的良好工況中。

四、軟件實現
CPU冗余控制的軟件實現編程主要從下面兩方面考慮：

1、控制權的裁決和轉移

塊CPU同時在線運行，一塊處于主控制模式，另一塊處于熱備模式。擁有主控制權的CPU具有輸出控制權，而熱備CPU同時采集數據和保持通訊連接，但輸出被禁止。

兩個CPU模塊互相監視對方的運行狀態和通訊情況，一旦發現對方故障，立即發出報警，通過ControlNet網，傳送給上位工控機，在操作管理臺上顯示報警。如果是主控CPU模塊故障，熱備CPU模塊自動獲得主控制權。控制權的裁決和轉移的軟件框圖如圖4所示。

2、兩塊CPU模塊的同步控制

由于熱備CPU隨時準備著，一旦主CPU故障，就立即獲取主控制權而成為主控CPU，因此，主CPU必須將自己的信息隨時傳遞給熱備CPU，而熱備CPU必須跟蹤主CPU的變化，與主CPU保持同步，這樣，在兩塊CPU模塊進行控制權的轉移時，實現無擾動切換。CPU模塊的同步控制程序框圖如圖5所示。

五、結束語
用A-B ControlLogix雙CPU的PLC控制器實現的熔鹽爐自動系統，已于2001年底開始成功運行于中國鋁業河南分公司，運行情況良好，滿足了一水硬鋁管道化溶出氧化鋁生產線的工藝要求。

我們的體會是，ControlLogix雙CPU冗余控制的軟件方式實現是一種經濟、有效的方法，它成本支出不大，卻能使系統的可靠性大大提高。

另外，雙CPU冗余控制時，如何利用Map命令，只將具有主控制權的CPU數據通過ControlNet網傳送給其他控制設備，是值得進一步研究的。

參考文獻：
[1] Allen-Bradley Logix5550 Controller User’s Guide 1756-6.5.12 SEP 1999

[2] Allen-Bradley Software Output Switching Publication 1756-AP001A-US-E-December 1999