容错控制系统培训

容错控制系统培训

2011年8月

3.1容错控制系统

3.1.1容错控制概述

3.1.2容错原是计算机系统设计技术中的一个概念，指当系统在遭受

到内部环节的局部故障或失效后，仍然可以继续正常运行的特

性。将此概念引入到控制系统中，产生了容错控制的概念。

3.1.3容错技术是指系统对故障的容忍技术，也就是指处于工作状态

的系统中一个或多个关键部分发生故障时，能自动检测与诊断,

并能采取相应措施保证系统维持其规定功能或保持其功能在

可接受的范围内的技术。如果在执行器、传感器、元部件或分

系统发生故障时，闭环控制系统仍然是稳定的，仍具有完成基

本功能的能力，并仍然具有较理想的动态特性，就称此闭环控

制系统为容错控制系统。

3.1.4容错控制分类

■根据不同的产品和客户需求，容错控制系统分类方式有多种，重点

介绍两种：

3.1.4.1按设计分类:被动容错控制、主动容错控制;

3.L4.2按实现分硬件容错、功能容错和软件容错。

3.L4.3按设计分类的容错控制

1被动容错控制介绍

被动容错控制是设计适当固定结构的控制器，该控制器除了考虑正常

工作状态的参数值以外，还要考虑在故障情况下的参数值。被动容错控制是

在故障发生前和发生后使用同样的控制策略，不进行调节。被动容错控制包

括：同时镇定，完整性控制，鲁棒性容错控制，即可靠控制等儿种类型。

2主动容错控制介绍

3.L4.4主动容错控制是在故障发生后需要重新调整控制器参数,也可能

改变控制器结构。主动容错控制包括:控制器重构,基于自适应控

制的主动容错控制,智能容错控制器设计的方法。

3.1.4.5按实现分类的容错控制

1硬件容错技术

容错控制系统中通常采用的余度技术，主要涉及硬件方面，是指对计

算机、传感器和执行机构进行硬件备份，如图3所示。在系统的一个或多个

关键部件失效时，通过监控系统检测及监控隔离故障元件，井采用完全相

同的备用元件来替代它们以维持系统的性能不变或略有降级（但在允许范围

之内）。硬件冗余技术虽然可以提高系统的可靠性，但增加了系统的备用部

件，提高了控制系统的成本，也增加了元件故障的概率。

图3简易三余度控制系统方框图

随着控制系统的规模日益增大，复杂性迅速提高，其结构也越来越复

杂，对数量庞大的系统单元全部采用硬件冗余有时是不可能的。随之产生了

基于解析余度的功能容错控制技术。

2功能容错技术

功能容错技术是基于控制系统不同部件的内在联系和功能上的冗余性，当

系统的某些部件失效时，用其余完好的部件部分甚至全部地承担起故障部

件所丧失的作用，以维持系统的性能在允许范围之内。重构容错控制是容错

控制的一种重要方法，它主要基于故障诊断技术，重新组合控制系统的结

构，以达到容错控制的目的。如图4所示，重构控制是针对系统的各种结构

损伤，充分利用系统的功能冗余来实现控制律的重构。重构控制实质上是减

少了传统余度控制中多重硬件冗余和软件冗余的方法，依托系统自身的功

能冗余，使系统性能在发生故障时能得以恢复或维持。以飞机控制系统为例,

当飞机某些舵面发生故障后，通过重构控制策略，将失效舵面的控制效果

分配给健全的舵面，以补偿失效舵面的影响，保证飞机安全飞行或着陆。

图4重构飞行控制系统的典型结构

3软件容错技术

(1)软件容错的目的是屏蔽软件故障，恢复因出错而影响程序运行进

程。这类系统对硬件瞬时干扰引起的故障也能起到一定的屏蔽作

用。软件容错的实现中需要硬件的保证和协同，如果软件容错配合

合理的硬件冗余，可以起到比各自独自考虑容错更好的作用。常用

的软件容错技术包括：多版本编程技术，恢复块技术等。

(2)多版本编程技术

多版本编程由V个实现相同功能的不同程序和一个管理程序组成，其

结果经相互比较(表决)后输出，这种比较或表决可以采用多数决定、一致决

定等方式。N个版本的程序产生的结果送管理程序中的比较向量，由管理程

序的比较状态指示器发出表决指令，然后决定输出运算结果还是输出报警。

图5多版本编程冗余基本结构

(2)恢复块技术

恢复块技术首先认为程序是由若干个可以独立定义的块来构成，每个

块都可以用一个根据同一需求说明设计的不同版本的备用块来替换，每个

版本的模块和接受测试及恢复结构一起构成一个恢复块结构。其基本工作

方式是:运行模块1,然后进行接收测试，如果通过测试便将输出结果给后

续程序块:否则，调用模块2,…直到调用模块N,在N个模块用完后仍未通

过测试，便进行出错处理。

随着容错控制系统的发展，现在软件部分在控制系统中的地位越来越

重要了，甚至很多时候是容错控制系统的核心。这样，控制系统的可靠性的

特性就由原来的硬件为主，逐渐转变为软硬件相结合，软硬件同等重要的

情况。

图6恢复块冗余基本结构

3.1.5容错控制特点

典型的容错控制系统一般由传感器、计算机和执行机构三大部分组成。

在各个部分分别采用硬件余度通过表决监控方式提高系统可靠性的同时，

通过容错计算机控制，可以采用复杂的重构控制策略，在不增加系统硬件

复杂性的前提下提高系统的可靠性。容错计算机的主要功能是:完成控制律

的计算、所有传感器和执行机构的监控和余度管理以及计算机自身的监控

和测试。

3.L5.1容错控制系统具有以下特点:

3.1.5.2系统的结构复杂

3.L5.3为了提高系统的可靠性,容错控制系统中无论是软件,还是硬件都

采用了余度备份的方法,同时,还存在热备份和冷备份等许多情况,

因此系统在结构上比实现相同功能的单通道系统复杂得多。

3.1.5.4此外,通过比较监控装置和余度管理策略,当检测隔离某故障元部

件后,系统结构会发生相应的变化,利用冗余元部件在余度降级情

况下继续维持其功能或保持其功能在可接受的范围内,这些相比

于传统的控制系统来说也较复杂。要对这样一个复杂结构的系统进

行故障诊断和可靠性分析,困难是显而易见的。

3.L5.5软硬件的相关性

3.1.6首先，软硬件之间的功能相关性。在控制系统中，软硬件所完

成的功能相互渗透。有些功能既可以由硬件来完成，也可以由

软件来完成。软件固化在硬件中实现实时控制功能和信号处理

功能，软硬件的接口己相当模糊，很难将软件和硬件严格区分

开来。虽然功能的分配必须将功能完整地分配给硬件或软件,

但其功能实现是由软硬件协同作用完成的。同时软件对硬件、

硬件对软件都有一定的要求，例如实时控制软件要求硬件有足

够快的运算速度和与之匹配的时序配置:硬件又要求软件以尽

量少的代码占用尽量少的硬件空间实现控制功能。因此必须协

调好硬件和软件之间的各种匹配关系，这种特点构成了软硬件

之间的功能相关性。

3.1.7其次，软硬件的故障相关性。由于软硬件在功能上的相互渗透,

软硬件在故障上必定存在一定的藕合关系。通常一个硬件（或软

件）的故障可以引发一系列其它的硬件或软件的故障，即产生

相关的多重故障。相关多重故障不仅可以发生在硬件内部、软

件内部、接口，也会在硬件、软件之间交替发生。有些情况下,

一个原因会造成多个故障，即共因故障；有些情况下，虽然某

些故障不至于立刻导致系统失效，但却加大了系统失效的趋

势；而有些故障的发生，却使另外一些故障没有了出现的机会。

在软件容错设计中，有些硬件故障可以用软件来弥补，称之为

允许硬件故障的软件设计；信息传输过程中可以用硬件或软件

来实现纠错。硬件在软件工作和不工作时都有可能发生故障,

软件的工作和维修活动会因硬件的故障而中断；而软件不工作

就不会发生故障。以上的软硬件之间的关系体现了软硬件的故

障相关性。

3.1.8容错控制应用

3.L8.1容错控制为提高复杂动态系统系统的可靠性提供一条新的途径,

可以看作是保证系统安全运行的最后一道防线,被广泛应用高可

靠要求的工业控制领域,现介绍几个应用系统。

3.L8.2冗余表决系统

3,1.8.3TRICONEX公司的TS3000三重冗余表决系统（TMR九是典型的

冗余容错控制系统,参见6.1.43节,被广泛应用发电厂、石化、冶

金等行业。

3.184容错服务器

1.工业控制系统有多种服务器：数据服务器、画面服务器等，这些服

务器对工业生产至关重要，因此，保证它们的可靠稳定运行，就需

要容错服务器的支持。主流应用的容错服务器有三类：服务器群集、

双机热备份和单机容错。它们各自所对应的容错级别是从低到高的,

也就是说服务器群集技术容错级别最低，而单机容错技术级别最

高。现重点介绍双机热备份和单机容错。

2.双机热备份

双机热备份技术是一种软硬件结合的较高容错应用方案。该方案是由

两台服务器系统和一个外接共享磁盘阵列柜（也可没有，而是在各自的服务

器中采取RAID卡）及相应的双机热备份软件组成。

在这个容错方案中，操作系统和应用程序安装在两台服务器的本地系

统盘匕整个网络系统的数据是通过磁盘阵列集中管理和数据备份的。数据

集中管理是通过双机热备份系统，将所有站点的数据直接从中央存储设备

读取和存储，并由专业人员进行管理，极大地保护了数据的安全性和保密

性。用户的数据存放在外接共享磁盘阵列中,在一台服务器出现故障时，备

机主动替代主机二作，保证网络服务不间断。

双机热备份系统采用“心跳”方法保证主系统与备用系统的联系。所

谓“心跳”，指的是主从系统之间相互按照一定的时间间隔发送通讯信号，

表明各自系统当前的运行状态。一旦“心跳”信号表明主机系统发生故障，或

者备用系统无法收到主机系统的“心跳”信号，则系统的高可用性管理软件

认为主机系统发生故障，主机停止工作，并将系统资源转移到备用系统上,

备用系统将替代主机发挥作用，以保证网络服务运行不间断。

双机热备份方案中，根据两台服务器的工作方式可以有三种不同的工

作模式，即：双机热备模式、双机互备模式和双机双工模式。

（1）双机热备模式：即active/standby方式，active服务器处于工作状

态；而standby服务器处于监控准备状态，服务器数据（包括数据库数据）

同时往两台或多台服务器写入，保证数据的即时同步。当active服务器出现

故障的时候，通过软件诊测或手工方式将standby机器激活，保证应用在短

时间内完全恢复正常使用。

（2）双机互备模式：指两个相对独立的应用在两台机器同时运行，但

彼此均设为备机，当某一台服务器出现故障时，另一台服务潜可以在拉时

间内将故障服务器的应用接管过来，从而保证了应用的持续性，但对服务

器的性能要求比较高，配置相对要好。

(3)双机双工模式：是目前cluster(群集)的一种形式，两台服务器均为

活动，同时运行相同的应用，保证整体的性能，也实现了负载均衡和互为备

份，需要利用磁盘柜存储技术(最好采用San方式)。WEB服务器或FTP服

务器等用此种方式比较多。

2.单机容错

3.1.8.5单机容错技术是在一台服务器实现高性能容错的。单机容错服务器

最大的优势就在于它能够自动分离故障模块,在不中断运行的情

况下,进行模块调换,对损坏的部件进行维护,并且在一切物理故

障消除后,系统会自动重新同步运行,从而有效的解决了客户的后

顾之忧。

3.1.8.6单机容错服务器是通过CPU时钟锁频,通过对系统中所有硬件的

备份、包括CPU、内存和UO总线等的冗余备份;通过系统内所有

冗余部件的同步运行,实现真正意义上的容错。系统任何部件的故

障都不会造成系统停顿和数据丢失e目前,很多容错系统是基于IA

架构的服务器,与Windows系统完全兼容,实现以前只有在RISC

系统上才能实现的容错。这种容错技术在IA服务器上的实现,将

IA服务器的可靠性提高到了99.999%,同时服务器的运行是不间断

的。

3.L8.7煤粉炉的容错控制系统

某130Uh煤粉炉的容错控制系统，如图7所示。