冗余PLC一切换就乱、就跳?先保住数据一致性,别只盯切换时间

一条水处理厂的自动加药线,用一对冗余 PLC 做双机热备。主 CPU 风扇故障掉线的那次,备机 80 毫秒就接管了,现场都觉得切得快、稳。可接管后,加药计量泵的输出指令突然从 42 个百分点掉到 17 个百分点,pH 串级控制回路在 6 秒内冲到 9.8,碱加过了头。当班紧急停线 40 分钟,那一槽水因 pH 超标作废,直接损失 30 多万,还连带后面两道工序待料 2 小时。事后复盘:切换时间 80 毫秒完全达标,问题在备机接管时拿到的还是 2 秒前的输出映像和累计流量。数据没同步上,切换再快也是带着旧账上岗,这就是冗余切换里最容易被忽略的"数据一致性"。

先把结论摆出来:切换抖不抖,看的是数据镜像不是切换动作

• 冗余切换的扰动,九成不来自倒机那几十毫秒,来自主备之间的数据与输出映像没对平:备机带着旧账上岗,执行机构先跳一下。
• 光看厂家标称的无扰动切换和平均切换时间没用,要测最坏情况下的数据龄。备机此刻内存里那张过程映像,比现场慢了多少毫秒。
• 默认冗余只镜像保持变量是坑:PID 输出、计数器累计值、模拟量输出保持区往往落在非保持区,不显式标记就会被丢,接管即跳变。
• 根治靠全量过程映像加输出保持区镜像,再配切换判据去抖和输出端缓动。只装冗余不选同步范围,等于买了双保险只扣了一半。

几个必须先说清的词

冗余 PLC(Redundant PLC) 是一对同型号 CPU 同时运行,一个在线(主),一个待命(备),主出问题时备在毫秒级顶上,让控制不中断。它分冷备、暖备、热备,热备才谈得上无扰动。

无扰动切换(Bumpless Transfer / Hitless Switchover) 是切换瞬间被控量不发生阶跃、执行机构不跳变,工艺过程感知不到控制权换过手。它靠的是切换前主备状态已经完全一致。

数据一致性(Data Consistency) 指切换时刻,备机内存里的所有过程变量、I/O 映像、保持变量、累计量、PID 内部状态,与主机的实时值偏差在允许范围内,接管后不会因账对不上产生跳变。

保持变量(Retentive Variable) 是掉电或切换后仍保留上次值的变量,通常靠 PLC 的保持区或专用存储实现。非保持变量每次上电或接管会回到初值,这是累计量和 PID 积分项最容易被丢的地方。

为什么切换快,现场还是乱

只同步了保持变量,没同步输出映像和当前 PID 输出

多数热备方案默认只把保持变量区在背板或光纤同步链上镜过去,而模拟量输出模块此刻该输出的那个值、PID 回路当前的输出百分比、串级副环的设定值,很多平台放在非保持的过程映像里。主机掉线前最后一帧输出是 42 个百分点,备机最后一次同步到的是 17 个百分点,也就是 2 秒前的旧值。一接管,备机就把 17 个百分点写给计量泵,泵的输出瞬间塌掉 25 个百分点,pH 一时拉不回来。常见误解:以为切换时间 80 毫秒就无扰动。切换动作快,不代表数据新,扰动来自数据龄,不来自切换耗时。

累计量、计数器在非保持区,一接管归零

流量计的累计流量、批处理的投料计数、运行时间统计,常被建在普通变量而非保持变量上。主机累计到 12850 升,备机同步到的可能是 12600 升,差 250 升看似不大。可一旦主机在投料中途掉线,备机接管后计数从 12600 接着走,这批次的已投量就少了 250 升,配方比例偏了,成品整批不符。更狠的是计数器在中途归零:某次掉线刚好落在计数回绕帧,备机拿到初值 0,当班以为首批投完,实际欠投,下游反应釜欠料结晶,清釜一天。

切换判据太灵,主备互抢成双主

冗余系统靠心跳和健康位判谁该在线。如果判据只看对端没回包,车间一个瞬时网络抖动,几十毫秒就让双方都以为对方死了,两个 CPU 同时认主,都往同一组输出写值。主机写 42 个百分点,备机写 17 个百分点,现场执行机构收到两路冲突指令,模拟量模块输出在两者之间乱抖,数字量触点来回弹。这种双主比单点故障更危险,因为它制造的是持续的现场混乱,不是一次切换。还得防切换抖动:抖一下主、抖一下备,执行机构在两种状态间反复跳,电机和阀门最怕这种。

I/O 映像不同步,接管即写错现场

PLC 实际读写的是 I/O 过程映像,不是物理点本身。主机这周期刷新了输出映像,还没同步给备机就掉线,备机的输出映像还停在上一周期。接管后备机按自己的旧映像把整张输出表重写到模块,那些本该变化的通道被写回旧值,现场状态瞬间回退一帧。对连续过程,一帧的回退就是一次小扰动。对顺序控制,一帧回退可能让步进位错位,设备误动作。

几种办法,按性价比排

常见问题

问:厂家标称无扰动切换,为什么我现场还跳?

答:标称的无扰动通常指切换动作本身不丢控制权,不保证你的全部过程数据都被同步。多数默认只镜保持变量,PID 输出、累计量、模拟量输出保持区落在非保持区就被丢。要确认冗余包是否同步过程映像和输出保持区,并把关键变量显式标保持,再实测切换前后的输出偏差。

问:切换时间几十毫秒,是不是越快越好?

答:不是。切换快只解决控制权不中断,解决不了数据对不平。真正该盯的是切换瞬间的数据龄,也就是备机映像比现场慢多少。数据龄超过一个控制周期,再快的切换也会跳。先把同步范围和周期配好,再谈切换时间。

问:累计量和计数器怎么防止接管归零?

答:把累计流量、批投料计数、运行时间这类量建在保持变量,并纳入冗余同步区。同时确认同步周期短于这些量变化一个单位的间隔。更要命的是中途归零,得在程序里给计数加初值校验,接管后比对主机最后一帧值,差太多就报警而不是默默接着走。

问:双主(两个 CPU 同时在线)怎么避免?

答:切换判据别只看对端无回包,加心跳连续丢失计数去抖,再加主备健康位互锁。网络抖动时双方都先保持原状态,等确认对端真死才接管。冗余链路本身也要独立,用专用同步光纤,别和工艺网络混跑,一抖两边都慌。

问:已经上了冗余,还要不要做切换演练?

答:必须做,而且要测最坏情况。很多冗余是上了就没敢切过,真故障时才发现同步范围没配全、输出跳了 25 个百分点。演练要记录切换前后各关键输出和累计量的偏差,数据龄超一个周期就先整改,别等停机那天才暴露。

落地的坑,验收时没人会主动讲

• 先确认冗余包到底同步了什么:过程映像、输出保持区、累计量、PID 输出是不是都在同步范围,别信无扰动三个字。
• 把 PID 输出、累计流量、批计数、计数器显式建成保持变量,并纳入同步区,逐变量核对,别漏了非保持区那几个。
• 测数据龄,不测平均切换时间:切换瞬间备机映像比现场慢多少毫秒,超一个控制周期就整改。
• 切换判据加去抖加主备互锁,冗余同步链用独立光纤,不和工艺网混跑,防双主和切换抖动。
• 输出端加断电保持加切换后斜坡,作为先止损的补偿,但记住它掩盖数据龄,不是根治。
• 模拟量输出模块选断电保持型,切换那一下不归零,给同步补数据留时间。
• 验收做切换演练:主 CPU 断电、拔同步线、网络抖动三种各跑一遍,记录各关键量偏差,数据龄超标先改再上线。
• 补偿不是根治:缓动和保持是止损,全量镜像加同步区配置加演练才是长治久安。每次改程序后重测一次数据龄。