Schlüsselwörter: Doppelte Maschinenredundanz, Netzwerk, Server, Client I. Überblick In der Prozessindustrie stellen viele Prozessanlagen hohe Anforderungen an Systemsicherheit und Fehlertoleranz. Beispielsweise nutzen Leitwarten wichtiger Anlagen in der petrochemischen Industrie häufig doppelte oder dreifache Redundanz, um die Systemsicherheit zu gewährleisten. Aufgrund der Prozesskomplexität sind mehrere Mensch-Maschine-Überwachungsstationen erforderlich, um einen unterbrechungsfreien Systembetrieb sicherzustellen. Server, Client und Netzwerk der Überwachungsschicht müssen daher doppelt oder mehrfach redundant ausgelegt sein, um Systemsicherheit und -stabilität zu gewährleisten. Die Überwachungssoftware muss eine umfassende Redundanzlösung bieten. Derzeit verfügen in China nur wenige ausländische Softwareprogramme über umfassende Redundanzlösungen für die Überwachungskonfiguration. Einige inländische Softwareanbieter implementieren lediglich grundlegende Redundanzmethoden, sodass im Vergleich zu ausländischer Software hinsichtlich Datendurchsatz, Sicherheit und Fehlertoleranz noch Lücken bestehen. Aufbauend auf jahrelanger Anwendungserfahrung in der Prozessindustrie hat Beijing Sanwei Likong Technology Co., Ltd. die Likong® Monitoring-Konfigurationssoftware Version 5.0 entwickelt. Diese unterstützt verschiedene Redundanzmodi, darunter Geräte-, Steuerungsnetzwerk-, Server-, Managementnetzwerk- und Client-Redundanz. Sie verbessert den Datendurchsatz und die Netzwerkumschaltung signifikant und ist damit die erste inländische Konfigurationssoftware, die umfassende Unterstützung für Softwareredundanz und Fehlertoleranz bietet. Dadurch erreicht die Software eine Fehlertoleranz auf dem Niveau importierter Software und bietet ein wettbewerbsfähiges Produkt zur Steigerung des Lokalisierungsgrades der nationalen Anlagenindustrie. II. Redundanzmethoden der Monitoring-Software: Ein typisches von Likong unterstütztes Redundanzschema ist im folgenden Diagramm dargestellt: Im obigen Diagramm sind die Steuerstation, der Monitoring-Server, der Client und das Netzwerk des Gesamtsystems redundant konfiguriert. Die minimale Umschaltzeit zwischen Master- und Slave-Servern der Likong®-Software beträgt bis zu 2 Sekunden, was die Umschaltgeschwindigkeit erheblich verbessert. 2.1 Geräteredundanz Geräteredundanz erfordert im Allgemeinen eine redundante Konfiguration der Stromversorgung, der CPU und der Kommunikationsmodule der Leitwarte. Master- und Slave-Controller sind gleichzeitig an den Gerätebus angeschlossen, um die Datenkommunikation sicherzustellen. Dies ist ein gängiger Ansatz für Geräteredundanz bei den meisten SPS-Herstellern. Wenn die Überwachungssoftware des Host-Computers mit diesem System kommuniziert, muss sie berücksichtigen, dass beim Umschalten zwischen Master- und Slave-Controllern die Kommunikation der Überwachungssoftware synchron umgeschaltet werden muss, um sicherzustellen, dass Daten vom richtigen E/A-Gerät bezogen werden. Steuerung der Geräteredundanz (Abbildung 2): Im Normalbetrieb kommuniziert die ForceControl®-Software mit dem Master-Controller. Bei Beschädigung des Master-Geräts oder Kommunikationsausfall trennt die Software die Verbindung zum Master-Controller anhand der Gerätefehleranzeige, hält aber die Kommunikation mit dem Slave-Controller aufrecht, um ein rechtzeitiges Umschalten des Systems zu gewährleisten. Dadurch wird sichergestellt, dass der Host-Computer gleichzeitig mit dem Gerätewechsel umschaltet. 2.2 Serverredundanz der Überwachungsschicht In SCADA-Systemen bezieht sich die Dual-Maschinen-Redundanz im Allgemeinen auf die Serverredundanz der Überwachungsschicht. Serverredundanz ist ein weit verbreitetes Anwendungsmodell. Abhängig vom Umfang der Steuerung kann eine bestimmte Anzahl von Clients konfiguriert werden, um die Überwachungs- und Betriebsanforderungen der Bediener zu erfüllen. Kleine Steuerungssysteme benötigen in der Regel keine Clientkonfiguration. Serverredundanz (Abbildung 3): Sowohl die Master- als auch die Slave-Stationen der ForceControl®-Software können unabhängig voneinander mit dem Steuerungsnetzwerk und den Geräten kommunizieren. Im redundanten Hot-Standby-Modus kommunizieren im Normalbetrieb nur die Master- und die Steuerstation; die Slave-Station kommuniziert nicht mit der Steuerstation. Die Daten der Slave-Station werden über die Master-Station gesichert und synchronisiert. Fällt die Master-Station aus, übernimmt die Slave-Station deren Aufgaben. Nach der Wiederherstellung kann die Master-Station automatisch oder manuell in den Hot-Standby-Modus wechseln. Sind sowohl Master- als auch Slave-Station funktionsfähig, kann der Benutzer die Aufgaben manuell von der aktuellen Station auf die Hot-Standby-Station (die ursprüngliche Master-Station) über Steuerungsflags umschalten. 2.3 Clientredundanz der Überwachungsschicht: Die ForceControl®-Überwachungskonfigurationssoftware kann eine verteilte Netzwerkstruktur bilden. ForceControl-Knoten an verschiedenen Standorten können miteinander kommunizieren und als Server und Clients fungieren. Zu den Clients gehören Standard-C/S-Netzwerkclients und „Thin Clients“, d. h. B/S-Clients. Der ForceControl®-Softwareclient unterstützt Serverredundanz. Das bedeutet, dass der Client bei Ausfall des Master-Servers und Übernahme durch den Slave-Server automatisch auf diesen umschaltet. 2.4 Netzwerkredundanz der Steuerungsschicht: Die Netzwerkredundanz der Steuerungsschicht besteht in der Verbindung der ForceControl®-Software und der Steuerstation über zwei physische Verbindungen. Jeder Knoten im Steuerungsnetzwerk verfügt über zwei Netzwerkkarten, die in zwei Netzwerksegmenten konfiguriert werden können. Das Netzwerk ist in ein Master- und ein Slave-Netzwerk unterteilt. Normalerweise kommunizieren die ForceControl®-Software und die Steuerknoten über das Master-Netzwerk. Bei einer Unterbrechung des Master-Netzwerks schaltet die ForceControl®-Software nach einem Netzwerk-Timeout automatisch auf das Slave-Netzwerk um. Sobald das Master-Netzwerk wiederhergestellt ist, schaltet ForceControl automatisch zurück auf das Master-Netzwerk, und das System nimmt den Normalbetrieb wieder auf. 2.5 Netzwerkredundanz der Überwachungs- und Managementschicht: Server und Client der ForceControl®-Software kommunizieren über Ethernet in einer redundanten Netzwerkkonfiguration. Das Netzwerk kann aus zwei Netzwerksegmenten bestehen, und sowohl Server als auch Client verfügen über zwei Sätze von Netzwerkgeräten. Fällt ein Satz von Netzwerkgeräten aus, nutzt der ForceControl-Client den anderen Satz, um die Kommunikation mit dem Server fortzusetzen und so die kontinuierliche Überwachung der Netzwerkkommunikation sicherzustellen. 2.6 Server- und Netzwerkredundanz: Mehrfache Redundanz bedeutet, die bestehende Serverredundanz um Netzwerk- und Clientredundanz zu erweitern. Server und Clients können gleichzeitig im selben Netzwerksegment oder in zwei verschiedenen Netzwerksegmenten betrieben werden. Netzwerk- und Serverredundanz sind unabhängig, aber miteinander verbunden. Es ist möglich, nur Netzwerkredundanz, nur Serverredundanz oder beides zu verwenden. ForceControl bietet drei Redundanzkonfigurationen (einfache Netzwerkredundanz, einfache Serverredundanz und Netzwerk- + Serverredundanz), sodass Benutzer je nach Situation flexibel wählen können. Sind sowohl Netzwerk- als auch Serverredundanz vorhanden, hat die Serverredundanz Priorität. Das heißt, wenn die Masterstation eines Netzwerksegments ausfällt, wird zuerst auf die Slavestation desselben Segments umgeschaltet. Fällt auch die Slave-Station aus, wird die Kommunikation mit der Master-Station des redundanten Netzwerks aktiviert. III. Software-Datenverarbeitung: Die redundante Software muss sicherstellen, dass Echtzeitdaten gleichzeitig auf beiden Servern gespeichert und angezeigt werden. Fällt die Überwachungsstation aus, kann die Backup-Station deren Aufgaben übernehmen und die Bediener umgehend benachrichtigen, damit diese den Ausfall der Überwachungsstation beheben können. Sobald die Überwachungsstation wieder verfügbar ist, übernimmt sie automatisch die Aufgaben des Backup-Computers und stellt ihren ursprünglichen Betriebszustand wieder her. Im Betrieb der ForceControl®-Software ist die Master-Station aktiv, während sich die Slave-Station im Hot-Standby-Modus befindet. Master- und Slave-Station überwachen kontinuierlich den Status der jeweils anderen Station; diese Überwachung wird als „Heartbeat“ bezeichnet. Um eine unterbrechungsfreie Heartbeat-Überwachung zu gewährleisten, unterstützt ForceControl eine Multi-Netzwerk-Struktur. Das bedeutet, dass der „Heartbeat“ über mehrere Kommunikationsverbindungen zwischen Master- und Slave-Station erfasst werden kann, um die Datensicherung zu gewährleisten. Der Hot-Standby-Server sendet regelmäßig Datensynchronisierungsanfragen an den aktiven Server, der diese Anfragen beantwortet. Dadurch wird eine Synchronisierung von Echtzeit-, historischen und Alarmdaten zwischen den beiden Servern erreicht und gleichzeitig die Systemuhr synchronisiert. IV. Fazit: Die umfassende Redundanzlösung der ForceControl®-Software hat sich durch jahrelange kontinuierliche Anwendung und Weiterentwicklung in der Prozessindustrie in Hilfsanlagen der Erdöl-, Petrochemie- und Energiewirtschaft weit verbreitet. Sie findet breite Anwendung in Tanklagern, Kompressorsteuerungen und Gastransportsystemen der Petrochemie sowie in kombinierten Kraftwerken der Erdölindustrie. Viele dieser Projekte fließen in wichtige nationale Infrastrukturprojekte ein und tragen zur Verbesserung der nationalen Anlagenbauindustrie bei.