КОМПЛЕКС РЕЗЕРВИРУЕМЫХ ПРОГРАММНО-АППАРАТНЫХ СРЕДСТВ АВТОМАТИЗАЦИИ КОНТРОЛЯ И УПРАВЛЕНИЯ

Изобретение относится к автоматике и вычислительной технике и может быть использовано в системах автоматизированного контроля и управления тепловыми и атомными электрическими станциями.

Известен комплекс программно-аппаратных средств автоматизации контроля и управления технологическими процессами, включающий общую шину данных (ОШД) и, по меньшей мере, один контроллер, содержащий модули ввода/вывода, для ввода и обработки сигналов от датчиков и вывода сигналов управления исполнительными механизмами, и процессорный модуль (ПМ) для управления модулями ввода/вывода и исполнительными механизмами посредством модулей ввода/вывода, при этом модули ввода/вывода и процессорные модули соединены системной шиной VME-bus. Патент РФ №2279117, МПК G05B 19/418, 2006 г. Недостатки комплекса: низкая отказоустойчивость и надежность, сложность конструкции контроллеров из-за использования многопроводной шины VME-bus.

Известен комплекс на базе контроллера в виде базового блока, содержащего модуль мастер с платой CPU в стандарте PC 104, и блока удаленного УСО, функциональные модули которого подключены к CPU базового блока по последовательной магистральной шине ST BUS, выполненной на базе интерфейса RS-485, причем базовые блоки связаны с компьютерами верхнего уровня по шине Ethernet. «Устройство программного управления TREI-5B-02». «Руководство по эксплуатации TREI1.421457.101-00.РЭ». 2008 г.Недостатки комплекса: низкая скорость передачи данных, низкая отказоустойчивость, отсутствие резервирования на уровне модулей.

Известен комплекс программно-аппаратных средств автоматизации контроля и управления, в котором модули ввода/вывода и процессорные модули подключены к общей шине данных, совмещающей в себе функции системных шин контроллеров, полевых шин и локальной сети, с возможностью образования единой сети устройств и формирования ими запросов и ответов. Комплекс дополнительно содержит модули управления, подключенные к общей шине данных, и рабочие станции и/или серверы, подключенные к общей шине данных для визуализации, архивирования и документирования данных, получаемых от модулей ввода/вывода, процессорных модулей и модулей управления. Общая шина данных на базе Ethernet выполнена резервированной.

Единый набор протоколов включает в себя протокол TCP/IP, и/или UDP/IP, и/или MODBUS, и/или BACnet. Патент Российской Федерации №2349949, МПК G05B 19/418, 2009 г.

Общая шина данных не обеспечивает защиты от отказов по общей причине: например, отказ одного процессорного модуля может привести к передаче ложных данных по общей шине в другие модули и вызвать их неправильную работу.

Известны резервированные системы автоматизации на базе программируемых контроллеров S7-400H и станций распределенного ввода/вывода ЕТ200М, в которых контроллеры подсоединены по кольцевой топологии к резервированной шине Idustrial Ethernet, для обмена данными между контроллерами и связи с верхним уровнем. Контроллеры резервируют и подключают к шине по одному каналу каждый. Станции ввода/вывода соединены с контроллером по резервированным шинам, предназначенным для обмена данными между контроллером и модулями ввода/вывода. К каждой шине подключен контроллер, выполняющий на шине функции мастера, и по два интерфейсных модуля в станциях ввода/вывода. Связь интерфейсного модуля с модулями ввода/вывода станции осуществлена по магистральным параллельным или последовательным шинам. «Каталог компоненты для комплексной автоматизации продукции фирмы SIEMENS». SIMATIC. 2007 г., с.24-25. Прототип. Недостатки прототипа: потеря управления на время задержки переключения контроллера на резерв, снижение отказоустойчивости комплекса.

Данное изобретение устраняет недостатки аналогов и прототипа.

Техническим результатом изобретения является повышение скорости сбора и обработки данных технологического процесса, повышение надежности и отказоустойчивости систем, исключение ошибок по общей причине в резервированных системах безопасности атомных станций, снижения стоимости аппаратных средств.

Сущность изобретения поясняется на фиг.1-4.

На фиг.1 схематично представлена структура комплекса с нерезервированной системой автоматизации, в которой: 1 - сетевые коммутаторы для соединения с системой верхнего уровня, 2_i - сетевые коммутаторы для соединения с процессорами автоматизации (ПА_i), где i - 1, 2,…n целое число, 3_i - процессоры автоматизации (ПА_i), 4 - шинная система EN, 5 - сетевой коммутатор шинной системы ENL, 6 - шинная система ENL, 7, - нерезервированные станции ввода-вывода (CBB_i), 8_1,2 - интерфейсные модули (ИМ), 9_i - модули связи с процессом или СП-модули.

На фиг.2 представлена схема подключения нерезервированных ПА_i к шине EN, выполненной в соответствии с основным режимом резервирования, где 2_i - сетевые коммутаторы для соединения процессорами автоматизации (ПА_i), i - 1, 2,…n (количество абонентских входов коммутатора), 3_i - процессоры автоматизации (ПА_i), 10 - коммутатор с функциями менеджера резервирования.

На фиг 3 схематично представлен нерезервированный и вариант станции ввода-вывода, где 7_i - нерезервированная станция ввода-вывода (CBB_i), 8_1,2 - интерфейсные модули (ИМ), 9_i - модули связи с процессом или СП-модули.

На фиг.4 схематично представлена многоканальная система безопасности, где 1 - сетевые коммутаторы для соединения с системой верхнего уровня, 2_i - сетевые коммутаторы для соединения с процессорами автоматизации (ПА_i), i - 1, 2,…n целое число, 3_i - процессоры автоматизации (ПА_i), 4 - шинная система EN, 5 - сетевой коммутатор шинной системы ENL.

На фиг.5 схематично представлена процедура передачи данных по шине ENL.

Комплекс программно-аппаратных средств управления технологическими процессами работает следующим образом.

Сбор данных технологического процесса, выдача управляющих воздействий, а также ряд стандартных функций, таких как фильтрация, индивидуальное управление, регулирование, реализуют в станциях ввода-вывода.

Интерфейсные модули станций ввода/вывода осуществляют прием по шинам ввода-вывода данных от модулей ввода/вывода для последующей передачи в процессоры автоматизации по шине ENL и передачу в модули ввода/вывода данных управления, принимаемых от процессоров автоматизации по шине ENL. Прием от модулей ввода/вывода и передача данных в модули ввода/вывода интерфейсные модули выполняют только при поступлении в интерфейсные модули соответствующих запросов от процессоров автоматизации.

Процессоры автоматизации выполняют прием данных от интерфейсных модулей по шине ENL, прием данных от других процессоров автоматизации по шинам EN и ENS, их обработку в соответствии с прикладными алгоритмами автоматизации и передачу данных и результатов обработки в интерфейсные модули по шине ENL и другие процессоры автоматизации по шинам EN и ENS.

Шина ENL предназначена для передачи данных в режиме полного дуплекса между процессором автоматизации и интерфейсными модулями, при этом процессор автоматизации является ведущим абонентом шины, имеющим право доступа к шине в любое время, а интерфейсные модули - ведомыми абонентами шины, передающими или принимающими данные только по запросу от процессора автоматизации.

Обмен данными с интерфейсными модулями по шине ENL и их обработку процессоры автоматизации выполняют циклически, при этом в начале цикла в фазе циклического обмена данными процессоры автоматизации производят передачу данных в интерфейсные модули, которые тут же передают поступившие данные в модули ввода/вывода, и прием данных от интерфейсных модулей, полученных ими от модулей ввода/вывода в конце предыдущего цикла. Интерфейсный модуль сразу после получения от процессора автоматизации телеграммы запроса приема данных или телеграммы с передаваемыми данными отправляет интерфейсному модулю телеграмму с ответными данными или телеграмму подтверждения получения данных. После завершения фазы обмена производится обработка данных. В начале цикла перед процедурой обмена циклическими данными процессоры автоматизации выдают в интерфейсные модули служебную телеграмму начала цикла для синхронизации работы интерфейсных модулей.

Время цикла, определяющее время реакции системы автоматизации, в значительной степени зависит от времени фазы обмена данными. С целью минимизации времени обмена данными по шине ENL 4, между процессором автоматизации 3, являющимся ведущим абонентом шины ("ведущий") и всеми интерфейсными модулями, являющимися ведомыми абонентами 5_i ("ведомые"), "ведущий" 3 сначала непрерывно передает запросы (данные) последовательно каждому "ведомому" 5_i, не ожидая от него поступления подтверждений или ответных данных в соответствии с временной диаграммой на фиг.10. "Ведущий" 3 одновременно с передачей принимает данные от "ведомых" 5_i, накапливаемые коммутатором в буфере и передаваемые им «ведущему» 3 в максимальном темпе. При этом передача всех телеграмм в данном цикле задерживается в коммутаторе только на время задержки первой, передаваемой "ведущим" 3 телеграммы, равное времени выдачи телеграммы на шину ENL 4. Прием ответных данных "ведущим" производится по шине ENL одновременно с передачей данных с задержкой в коммутаторе на время задержки первой ответной телеграммы. Длительность фазы обмена уменьшается до минимально возможной величины для шины на базе Industrial Ethernet за счет исключения времени ожидания "ведущим" 3 поступления ответных данных последовательно от каждого "ведомого" 5_i и времени задержки в коммутаторе доставки каждой телеграммы "ведомым" 5_i абонентам на время ее выдачи на шину ENL 4 "ведущим" 3. Анализ поступления всех ответов от "ведомых" 5_i "ведущий" 3 производит через время тайм-аута от начала передачи.

В режиме двукратного резервирования на уровне компонентов комплекса управление обменом данными по шинам EN, ENL и их обработку в соответствии с прикладными алгоритмами автоматизации выполняет один из резервированных процессоров автоматизации ("активный"), другой процессор ("резервный") находится в состоянии горячего резерва. По отдельным последовательным интерфейсам резервированные процессоры автоматизации получают информацию о работоспособности партнера. На основе оценки этой информации и результатов самоконтроля в соответствии с заданными критериями активный процессор автоматизации может быть переключен в состояние "резервного", а "резервный" в состояние активного.

Активный процессор автоматизации осуществляет обмен данными в режиме "запрос/ответ" только с одним из двух резервированных интерфейсных модулей ("активным") в каждой станции ввода/вывода путем обращения к нему по его адресу на шине ENL, второй модуль ("резервный") находится в режиме горячего резервирования и не участвует в обмене данными по шине ENL. Резервированные интерфейсные модули связаны друг с другом по отдельным последовательным интерфейсам, с помощью которых осуществляется опрос работоспособности партнера и переключение резерва.

По двум каналам шины ENL 4 каждого процессора автоматизации 3 проводят перекрестное подключение процессора автоматизации 3 к собственной шине ENL 4 через ее сетевой коммутатор и шине ENL 4 процессора автоматизации-партнера 3 через сетевой коммутатор этой шины. Таким образом, процессор автоматизации может выполнять обмен данными с любым из двух интерфейсных модулей в каждой станции ввода/вывода, который в данный момент выполняет функции "активного", в соответствии с его адресом на шине ENL. Ответные данные интерфейсный модуль передает по шине ENL в широковещательном режиме, т.е. всем абонентам на шине ENL, и через перекрестное подключение эти данные поступают так же в резервный процессор автоматизации. Таким образом, исключают дополнительную периодическую передачу текущих данных из активного процессора автоматизации 3_i в резервный процессор автоматизации 3_i. (процедуру обновления текущих данных), обеспечивая безударное переключение на резерв без потери данных при меньшей информационной нагрузке на активный процессор автоматизации. Передачу времязависимых результатов обработки данных из основного процессора автоматизации в резервный (выполнение процедуры обновления времязависимых данных) производят также через перекрестное подключение процессоров автоматизации к шине ENL. Таким образом обеспечивают безударное переключение на резерв, без введения для этого отдельного интерфейса.

Шина EN 2 построена на базе интерфейса Industrial Ethernet с кольцевым способом резервирования. Шина EN 2 в основном режиме резервирования, обеспечивающем сохранение работоспособности при любых однократных ошибках в сетевом оборудовании, выполнена в виде одной кольцевой шины из последовательно соединенных сетевых коммутаторов, ее используют для подключения нерезервированных и резервированных процессоров автоматизации, при этом нерезервированные процессоры автоматизации 3 (абоненты сети) подключены к шине EN 2 по двум абонентским каналам А и В - по каналу А к одному сетевому коммутатору, а по каналу В - к другому сетевому коммутатору, резервированные процессоры автоматизации подключены к шине по четырем каналам, а именно по каналам А и В каждого из двух процессоров к двум коммутаторам, причем оба процессора могут быть подключены к одним и тем же или разным парам сетевых коммутаторов. Передачу и прием данных производят только по одному каналу активного абонента.

Обнаружение отказов магистральных связей в кольцевой шине EN 2 и их восстановление осуществляет один из коммутаторов, назначаемый менеджером резервирования. Менеджер резервирования поддерживает кольцо разомкнутым и контролирует целостность кольца путем передачи диагностических сообщений с одного конца и приема их с другого конца разомкнутого кольца. При отсутствии сообщений на приемном конце в случае обрыва магистральной связи менеджер резервирования замыкает кольцо и тем самым восстанавливает магистральную цепь передачи данных. Абонентские каналы связи активных каналов контролируют средствами Ethernet и путем передачи абонентами диагностических сообщений с регистрацией отказов каналов и связанных с ними коммутаторов. Восстановление работоспособности шины при любых однократных отказах абонентских связей и коммутаторов выполняют с помощью двухканального подключения каждого абонента. При отказе активного абонентского канала связи или коммутатора, к которому абонент подключен по этому каналу, абонент переключают на другой резервный канал связи, подключенный к другому коммутатору. Переводят этот канал из резервного состояния в активное, а ранее активный канал переводят в резервный. Двухканальное подключение процессоров автоматизации в отличие от одноканального, которое использует прототип, исключает необходимость переключения на резервный абонент и потерю управления шиной и данных на время переключения при наиболее вероятных однократных отказах абонентских связей и сетевых коммутаторов. При отказе обоих каналов активного процессора автоматизации производят переключение на резервный абонент, подключенный к шине EN 2 по своим двум каналам. На каждом целевом сеансе связи производят также контроль работы абонентов-получателей, а также абонентов-отправителей и связей между ними при передаче каждой целевой телеграммы путем квитирования приема телеграммы абонентом-получателем. В случае отсутствия телеграммы квитирования от абонента-получателя на целевом сеансе связи при повторении передачи целевой телеграммы n раз и исправности канала абонента-передатчика регистрируют недоступность абонента-получателя и при последующих сеансах связи с данным абонентом передачу целевой телеграммы не повторяют, пока не восстановится связь с абонентом и не будет получена телеграмма квитирования, что позволяет уменьшить время сеансов связи с неисправным абонентом и загрузку шины.

Шина EN в режиме резервирования с повышенной отказоустойчивостью, обеспечивающем сохранение работоспособности при любых однократных и двукратных ошибках в сетевом оборудовании, выполнена в виде двух физически несвязанных кольцевых шин А и В последовательно соединенных сетевых коммутаторов (дублированное кольцо), ее используют только для подключения резервированных процессоров автоматизации, при этом каждый процессор автоматизации подключен к шинам по двум абонентским каналам А и В: по каналу А к сетевому коммутатору шины А, а по каналу В к сетевому коммутатору шины В, причем активный и резервный процессоры автоматизации подключены к разным коммутаторам шины А и шины В.

Контроль магистральных и абонентских связей в каждой из двух кольцевых шин производят так же, как в шине EN, с основным режимом резервирования.

Магистральные цепи передачи данных при отказе магистральных связей в каждой из двух кольцевых шин восстанавливают менеджеры резервирования.

Восстановление связей между абонентами при отказах абонентских связей и сетевых коммутаторов выполняют следующим образом. При отсутствии неисправностей в сетевом оборудовании каждый абонент передает адресованные телеграммы другим абонентам по одной активной на данном сеансе связи шине с квитированием их получения, а принимает от других абонентов по двум шинам. Широковещательные телеграммы без квитирования передают и принимают по двум шинам одновременно. При отказе одного из абонентских каналов, зарегистрированного средствами контроля абонентских связей, абонент инициирует процедуру обновления информации о состоянии каналов связи всех абонентов в каждом абоненте, для чего он посылает служебное широковещательное сообщение по другому каналу с указанием отказавшего канала, номера абонента, у которого отказал канал, и номера абонента-отправителя телеграммы, а все другие абоненты, получив телеграмму с одинаковым значением адреса абонента-отправителя и абонента, у которого отказал канал, транслируют эти телеграммы другим абонентам по обоим каналам, с указанием собственного адреса отправителя. Телеграммы с разными номерами абонента-отправителя и абонента с отказавшим каналом не транслируются. Полученная каждым активным абонентом информация передается резервному абоненту. Таким образом, в результате выполнения данной процедуры каждый абонент сети имеет информацию о текущем состоянии каналов связи других абонентов.

Перед каждым сеансом связи активный абонент-передатчик производит проверку исправности собственных каналов и каналов абонента-получателя в данном сеансе связи и производит передачу телеграммы по шине, каналы подключения к которой обоих абонентов (передатчика и приемника) исправны. При передаче телеграммы выполняют контроль доставки телеграммы получателю с помощью квитирования. В случае непоступления квитанции от абонента-получателя при повторении передачи телеграммы n раз абонент-отправитель считает, что абонент-получатель по данному каналу не доступен, отмечает его в таблице состояния как не доступный по данному каналу и выбирает для связи другой канал, если он исправен, переводя его в режим активного (ранее активный канал переводится в резервное состояние) на данном сеансе связи. В случае недоступности абонента получателя по обеим шинам, например вследствие его неисправности или временного отключения, при исправных каналах передатчика и приемника, или недоступности по одной шине при неисправности канала на другой шине соответствующие каналы или канал отмечают как недоступные, при этом переключения на резервного абонента не производят. При следующем обращении абонента-передатчика к недоступному абоненту и неполучении при этом квитанции от получателя передача телеграммы не повторяется. Таким образом, на каждом сеансе связи в зависимости от состояния каналов абонентов, участвующих в сеансе связи, абонент-передатчик назначает активный и резервный каналы связи, выбирая путь доставки телеграммы по шине А или В абоненту-получателю, который может принимать телеграммы по обеим шинам.

Если у абонента-передатчика оба канала неисправны или если неисправен один канал и при этом у абонента-получателя неисправен канал на другой шине, то абонент-передатчик переходит в состояние резервного, а ранее резервный абонент переходит в состояние активного, при этом новый активный абонент инициализирует процедуру обновления информации о состоянии каналов абонентов шины.

В связи с тем, что в процедуре обмена данными одна и та же телеграмма может передаваться несколько раз, то для того, чтобы повторные телеграммы не воспринимались абонентом-получателем как разные телеграммы, в них предусматриваются индивидуальные идентификаторы, независимо формируемые для данного абонента-получателя и абонента-приемника.

Станция ввода-вывода 7_i в нерезервированной конфигурации содержит один или два нерезервированных интерфейсных модуля 5_i и до 16 нерезервированных модулей ввода/вывода 6_i, каждый из которых по отдельным последовательным интерфейсам шины ввода-вывода 7_i с полнодуплексным режимом передачи данных подключен к обоим интерфейсным модулям 5_i., при этом интерфейсный модуль является единственным ведущим абонентом на шине ШВВ, модули ввода/вывода являются ведомыми абонентами, и принимают данные от интерфейсного модуля, и передают ответные данные на шину ШВВ только при поступлении запросов от интерфейсного модуля. Шина ввода/вывода с радикальным подключением модулей ввода/вывода по отдельным последовательным интерфейсам обеспечивает более высокую отказоустойчивость по сравнению с магистральными шинами, используемыми в аналогах и прототипе.

Станцию ввода/вывода в нерезервированной конфигурации с одним интерфейсным модулем подключают по нерезервированной шине ENL к нерезервированному процессору автоматизации. В начале цикла интерфейсный модуль принимает от процессора автоматизации данные или запросы на прием данных и передает подтверждения о приеме данных или ответные данные модулей ввода/вывода, подготовленные интерфейсным модулем на предыдущем цикле. Принятые от процессора автоматизации данные интерфейсный модуль передает в модули ввода/вывода станции ввода/вывода по последовательным интерфейсам шины ввода/вывода через буфера передачи типа FIFO с объемом, большим, чем максимальная длина передаваемых данных одного модуля ввода/вывода. В ответ на поступление данных модули ввода/вывода передают телеграммы подтверждения (квитирования) получения данных. Из буферов FIFO интерфейсный модуль передает данные по последовательным интерфейсам практически одновременно во все модули ввода/вывода станции, не дожидаясь поступления квитанций, анализ которых он производит после завершения передачи всех данных по тайм-ауту, что сокращает время передачи данных.

В конце цикла интерфейсный модуль выполняет сбор данных от модулей ввода/вывода для передачи их в процессор автоматизации в начале следующего цикла. Для этого интерфейсный модуль выдает через передающие буфера FIFO в модули ввода/вывода запросы на прием, в ответ на которые модули ввода/вывода одновременно передают запрашиваемые данные, которые поступают в буфера приема типа FIFO интерфейсного модуля с объемом, большим, чем максимальная длина принимаемых данных. Анализ принятых данных интерфейсный модуль производит после завершения приема данных от всех модулей ввода/вывода по тайм-ауту, что сокращает время передачи данных. Таким образом, обмен данными между интерфейсным модулем и всеми модулями ввода/вывода станции производится по последовательным интерфейсам шины ввода/вывода одновременно, что позволяет существенно сократить время обмена данными по сравнению с магистральными последовательными интерфейсами, применяемыми в аналогах.

Станция ввода-вывода 7_i в резервированной конфигурации содержит пару резервированных интерфейсных модулей 5_i и до 8 пар резервированных модулей ввода/вывода 6_i, каждый из которых по отдельным последовательным интерфейсам шины ввода-вывода 7_i подключен к обоим интерфейсным модулям 5_i., при этом интерфейсные модули связаны друг с другом по отдельным последовательным интерфейсам, а пары модулей ввода/вывода по двунаправленным сигнальным линиям, с помощью которых управляют резервированием модулей, т.е. переключением активного модуля в резервное состояние, а ранее резервного модуля в активное состояние на основе оценки работоспособности партнера и собственной работоспособности по результатам оперативного самоконтроля. Активный интерфейсный модуль запрашивает по последовательным интерфейсам собственной шины ШВВ данные от активных и резервных модулей ввода/вывода, которые поступают в активный интерфейсный модуль для передачи на следующем цикле из активного интерфейсного модуля в активный и резервный процессоры автоматизации. Резервный модуль, в свою очередь, в конце цикла опрашивает активные и резервные модули ввода/вывода по последовательным интерфейсам своей шины ввода/вывода, но не передает принятые данные в процессорные модули по шине ENL.

При отказе активного модуля ввода/вывода резервный модуль становится активным. Интерфейсный модуль определяет это при очередном опросе ранее активного модуля ввода/вывода. Информация, полученная от неисправного модуля, не является действительной, и интерфейсный модуль берет информацию, полученную от резервного модуля. Таким образом, выполняют безударное переключение резерва на уровне модулей ввода/вывода, не используя для этого процедуру обновления текущих данных модулей ввода/вывода и исключая потери данных. Обновление времязависимых результатов предварительной обработки модулей ввода/вывода производят на каждом цикле в интерфейсном модуле путем передачи их из области памяти, в которой сохраняются данные активных модулей ввода/вывода в область памяти резервных модулей.

При отказе активного интерфейсного модуля его переключают в резервное состояние, а резервный модуль в активное состояние. Процессор автоматизации определяет это при очередном опросе активного интерфейсного модуля в начале цикла и полученные от интерфейсного модуля данные не использует, т.к. они являются недействительными. В конце этого цикла резервный интерфейсный модуль выполняет очередной опрос модулей ввода/вывода и готовит данные для передачи процессору автоматизации на следующем цикле, в начале которого резервный интерфейсный модуль устанавливают в активное состояние. На следующем цикле процессор автоматизации по второму каналу шины ENL производит передачу данных в новый активный интерфейсный модуль и прием данных модулей ввода/вывода, подготовленных этим интерфейсным модулем на предыдущем цикле. Таким образом, минимизируются потери данных при переключении резерва на уровне интерфейсных модулей.

Данные управления активный интерфейсный модуль передает только в активные модули ввода/вывода. При отказе модуля ввода/вывода интерфейсный модуль передает данные управления в резервный модуль, который становится активным. При отказе интерфейсного модуля он блокирует передачу данных управления в модули ввода/вывода, процессор автоматизации определяет это при очередном опросе интерфейсных модулей и на следующем цикле передает эти данные в резервный интерфейсный модуль, который становится активным, и транслирует их в активные модули ввода/вывода.

Станцию ввода/вывода в нерезервированной конфигурации с двумя интерфейсными модулями могут подключать по двум нерезервированным шинам ENL к нерезервированным процессорам автоматизации. В этой конфигурации станции ввода/вывода возможен независимый доступ к модулям ввода/вывода 6, управления исполнительными механизмами из двух нерезервированных процессоров автоматизации 3 по отдельным нерезервированным шинам ENL 4, интерфейсным модулям 5_i и линиям шин ввода-вывода 7_i. Это может быть использовано в нерезервированной на уровне компонентов комплекса системе безопасности для независимого управления общей исполнительной арматурой со стороны системы безопасности и системы нормальной эксплуатации в соответствии с приоритетом, установленным в модулях ввода/вывода 6, и исключает какое-либо воздействие системы нормальной эксплуатации на работу системы безопасности.

Программно-технический комплекс дает возможность построения на его базе систем нормальной эксплуатации без резервирования и с двукратным резервированием на уровне компонентов комплекса, а также систем безопасности атомных станций, нерезервированных на уровне компонентов комплекса, но резервированных на уровне подсистем (каналов безопасности) и других объектов автоматизации.

В системе безопасности передача данных между процессорами автоматизации происходит по шинам ENS, обеспечивающим построение вычислительных и коммуникационных структур с высокой отказоустойчивостью. В системе безопасности выполняют также многократное резервирование на уровне подсистем - каналов безопасности, выполняющих одни и те же прикладные задачи, путем организации связей каждого канала безопасности с каждым другим каналом по отдельным шинам ENS по мажоритарному принципу и обработки принимаемых по этим шинам данных на прикладном уровне в процессорах автоматизации каналов безопасности в соответствии с выбранными правилами голосования. Шины ENS выполнены на базе интерфейса Industrial Ethernet с кольцевым способом резервирования, но при этом в отличие от шины EN процессоры автоматизации подсоединены к коммутаторам шины по одному каналу, а магистральные связи между коммутаторами шин, относящихся к каналам безопасности, блочному и резервному пульту управления, выполнены в виде оптоволоконных кабелей, что обеспечивает защиту от отказов по общим причинам, вызывающих физические воздействия на сопрягаемые компоненты.

Передачу данных по шинам ENS осуществляют с помощью телеграмм, индексируемых на прикладном уровне протоколов в соответствии с номерами каналов, по которым их передают. При приеме телеграмм абонент анализирует их на принадлежность к данному каналу и отбрасывает телеграммы, у которых индекс не совпадает с номером канала из-за возможной неисправности абонента-передатчика. Таким образом вводят защиту от отказов по общей причине, когда, например, абонент-передатчик в результате отказа формирует и передает по каналу телеграмму с индексом, относящимся к другому каналу, что может привести к ошибочному результату при голосовании и нарушению работы исправного абонента-приемника.

В прикладных протоколах шин ENS в процессорах автоматизации предусмотрены средства поочередного опроса приемных буферов каналов шин ENS, независимо от их заполнения. Таким образом, вводят дополнительную защиту от отказов по общей причине, когда, например, абонент-передатчик в результате отказа начинает передавать данные по каналу со слишком высокой скоростью, превышающей скорость обработки данных в приемнике, что при отсутствии средств защиты может привести к нарушению работы исправного абонента-приемника из-за потери телеграмм, принимаемых по другим каналам.