基于实时以太网的冗余控制装置、设备冗余系统和方法

摘要

本申请公开一种基于实时以太网的冗余控制装置、设备冗余系统和方法。所述系统包括第一控制设备、第二控制设备以及第一冗余控制装置、第二冗余控制装置，第一、第二冗余控制装置分别通过对第一、第二控制设备进行控制使其作为网络系统的主控设备或备用主控设备。其中，本发明采用随机数来选取主控设备，具体地，在设定的更换时刻分别生成第一控制设备的第一随机数和第二控制设备的第二随机数，后续两个冗余控制装置通过比较两个随机数的大小，来控制相应控制设备作为主控设备或备用主控设备。可见，本发明采用随机数选取主控设备，每个控制设备作为主控设备的概率均等，从而后续可对每个控制设备进行及时验证和及时的故障处理，消除了安全隐患。

说明书

技术领域

本发明属于工业控制和现场控制技术领域，尤其涉及一种基于实时以太 网的冗余控制装置、设备冗余系统和方法。

背景技术

随着列车高速化、自动化的发展，列车网络控制系统具有越来越重要的 意义。主控设备是列车网络控制系统的核心设备，其负责整个列车的逻辑控 制及其他车载设备的管理和监视工作，是整个列车的控制中心。

为保证列车能够安全可靠地运行，防止因主控设备失效引起整个列车网 络控制系统瘫痪，制定冗余方案对主控设备进行冗余十分必要。为此，一般 在列车网络控制系统中配置两个功能相同的控制设备互为冗余，同一时刻仅 选取一个控制设备起控制作用，称之为主控设备，而另一控制设备实时监视 主控设备，称之为备用主控设备，当主控设备失效后，备用主控设备能监视 到其故障，并立刻取代主控设备对列车及各车载设备进行控制。当前的冗余 方案中，主控设备的选取依据固定的配置而定，在主控设备能够正常工作的 情况下，每次正常运行都是采用已配置的主控设备进行列车控制及车载设备 的管理，备用主控设备会一直得不到启用，导致备用主控设备的控制功能正 常与否长时间得不到验证。

综上，当前的冗余方案无法在主控设备正常无故障时，对备用主控设备 的控制功能进行验证，导致无法及时发现备用主控设备的故障并及时处理， 进而在主控设备故障时，不能保证备用主控设备能够对列车进行正常控制， 存在较大的安全隐患。

发明内容

有鉴于此，本发明的目的在于提供一种基于实时以太网的冗余控制装置、 设备冗余系统和方法，以克服现有主控设备正常无故障时，备用主控设备一 直得不到启用，而导致备用主控设备的功能长时间得不到验证的问题。

为此，本发明公开如下技术方案：

一种基于实时以太网的冗余控制装置，用于对网络系统的第一控制设备 进行控制，以使所述第一控制设备成为所述网络系统的主控设备或备用主控 设备，所述网络系统包括第一控制设备、第二控制设备及其他设备，所述冗 余控制装置包括接收控制模块、判断模块、第一设置模块、第二设置模块、 第三设置模块、第四设置模块以及发送控制模块，其中：

所述接收控制模块，用于发出信息接收指令以接收所述第二控制设备的 第二冗余状态信息，所述第二冗余状态信息包括所述第二控制设备的第二随 机数、第二设备状态，所述第二设备状态包括主控状态和备用主控状态，所 述第二设备状态为主控状态或备用主控状态分别表征所述第二控制设备是主 控设备或备用主控设备；

所述判断模块，用于判断是否接收到第二冗余状态信息，并在判断结果 为是时，继续判断第二控制设备是否为主控设备，以及判断所述第一控制设 备预先生成的第一随机数是否大于所述第二随机数；其中，所述第一随机数 及所述第二随机数在每个设定的更换时刻重新生成；

所述第一设置模块，用于在判断结果为未接收到第二冗余状态信息时， 若所述第一控制设备的第一设备状态为主控状态，则不操作；若所述第一设 备状态为备用主控状态或空，则将所述第一设备状态设置为主控状态，并发 出第一触发指令以触发所述第一控制设备对所述网络系统进行控制；

所述第二设置模块，用于在判断结果为所述第二控制设备为主控设备且 所述第一随机数大于所述第二随机数时，将所述第一设备状态设置为主控状 态，并发出触发指令以触发所述第一控制设备对所述网络系统进行控制；

所述第三设置模块，用于在判断结果为所述第二控制设备为主控设备且 所述第一随机数不大于所述第二随机数时，若所述第一设备状态为主控状态， 则设置所述第一设备状态为备用主控状态，并发出停止指令以使所述第一控 制设备停止对网络系统进行控制；若所述第一设备状态为空，则设置所述第 一设备状态为备用主控状态；若所述第一设备状态为备用主控状态，则不操 作；

所述第四设置模块，用于在所述第二控制设备为备用主控设备且所述第 一随机数大于所述第二随机数时，不操作；

所述发送控制模块，用于发出信息发送指令以将所述第一随机数以及所 述第一设备状态作为所述第一控制设备的第一设备冗余信息发送出去。

上述装置，优选的，还包括：

设备检测模块，用于在所述第一控制设备启动过程中，检测所述第一控 制设备是否存在故障，并依据检测结果生成第一控制设备的故障信息。

上述装置，优选的，所述第一冗余状态信息还包括所述第一控制设备的 故障信息，所述第二冗余状态信息还包括所述第二控制设备的故障信息。

上述装置，优选的，还包括：

预警模块，用于在未接收到第二冗余状态信息时，继续判断第二控制设 备是否出现故障，并在其出现故障时，进行故障预警；以及用于在接收到第 二冗余状态信息时，对所述第二冗余状态信息中的故障信息进行分析，在所 述故障信息表征所述第二控制设备故障时，进行故障预警，并控制所述第一 控制设备作为主控设备。

一种基于实时以太网的设备冗余系统，包括所述第一控制设备、以上所 述的冗余控制装置，将所述两个冗余控制装置分别设定为第一冗余控制装置 和第二冗余控制装置；

所述第一冗余控制装置、第二冗余控制装置相互交互，且所述第一冗余 控制装置对所述第一控制设备进行控制，所述第二冗余控制装置对所述第二 控制设备进行控制，以使所述第一控制设备、第二控制设备互为冗余，作为 所述网络系统的主控设备或备用主控设备。

上述系统，优选的，还包括：

逻辑故障检测装置，用于在所述主控设备对所述网络系统进行控制的过 程中，检测所述主控设备的控制逻辑是否存在问题，在所述主控设备的控制 逻辑存在问题时，进行逻辑故障预警，并控制所述主控设备停止工作。

一种基于实时以太网的设备冗余方法，包括：

所述第一冗余控制装置接收所述第二控制设备的第二冗余状态信息；

所述第一冗余控制装置判断其是否接收到所述第二冗余状态信息；

在判断结果为未接收到第二冗余状态信息时，若所述第一控制设备的第 一设备状态为主控状态，则所述第一冗余控制装置不操作；若所述第一控制 设备的第一设备状态为备用主控状态或空，则所述第一冗余控制装置将所述 第一设备状态设置为主控状态，并发出触发指令以触发所述第一控制设备对 所述网络系统进行控制；

在判断结果为接收到第二冗余状态信息时，所述第一冗余控制装置继续 判断所述第二控制设备是否为主控设备，以及判断所述控制设备预先生成的 第一随机数是否大于所述第二随机数；

在判断结果为所述第二控制设备为主控设备且所述第一随机数大于所述 第二随机数时，所述第一冗余控制装置将所述第一设备状态设置为主控状态， 并发出触发指令以触发所述第一控制设备对所述网络系统进行控制；

在判断结果为所述第二控制设备为主控设备且所述第一随机数不大于所 述第二随机数时，若所述第一设备状态为主控状态，则所述第一冗余控制装 置设置所述第一设备状态为备用主控状态，并发出停止指令以使所述第一控 制设备停止对网络系统进行控制；若所述第一设备状态为空，则所述第一冗 余控制装置设置所述第一设备状态为备用主控状态；若所述第一设备状态为 备用主控状态，则所述第一冗余控制装置不操作；

在判断结果为所述第二控制设备为备用主控设备且所述第一随机数大于 所述第二随机数时，所述第一冗余控制装置不操作；

所述第一冗余控制装置发出信息发送指令以将所述第一随机数以及所述 第一设备状态作为所述第一控制设备的第一设备冗余信息发送出去。

上述方法，优选的，还包括：

在所述第一控制设备启动过程中，所述第一冗余控制装置检测所述第一 控制设备是否存在故障，并依据检测结果生成第一控制设备的故障信息。

上述方法，优选的，还包括：

在未接收到第二冗余状态信息时，所述第一冗余控制装置继续判断第二 控制设备是否出现故障，并在其出现故障时，进行故障预警；

在接收到第二冗余状态信息时，所述第一冗余控制装置对所述第二冗余 状态信息中的故障信息进行分析，并在所述故障信息表征所述第二控制设备 故障时，进行故障预警，并控制所述第一控制设备作为主控设备。

上述方法，优选的，还包括：

在主控设备对所述网络系统进行控制的过程中，逻辑故障检测装置检测 所述主控设备的控制逻辑是否存在问题，并在所述主控设备的控制逻辑存在 问题时，进行逻辑故障预警

综上，本发明实施例提供了一种基于实时以太网的冗余控制装置、设备 冗余系统和方法。所述设备冗余系统包括第一控制设备、第二控制设备以及 第一冗余控制装置、第二冗余控制装置，所述第一、第二冗余控制装置分别 通过对所述第一、第二控制设备进行控制使所述第一、第二控制设备作为网 络系统的主控设备或备用主控设备。其中，本发明采用随机数来选取主控设 备，具体地，在设定的更换时刻分别生成第一控制设备的第一随机数和第二 控制设备的第二随机数，后续两个冗余控制装置通过比较两个随机数的大小， 来控制相应控制设备作为主控设备或备用主控设备，例如，第一随机数较大 时，第一冗余控制装置则控制第一控制设备作为主控设备。可见，本发明在 每个设定的更换时刻(例如，控制设备每次启动时)可基于相应随机数的大 小重新选取主控设备。

可见，区别于现有依据固定配置选取主控设备的方式，本发明采用随机 数选取主控设备，每个控制设备作为主控设备的概率均等，从而后续可对每 个控制设备的控制功能进行及时验证和及时的故障处理，消除了安全隐患。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实 施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面 描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不 付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1是本发明实施例一公开的冗余控制装置的一种结构示意图；

图2是本发明实施例二公开的冗余控制装置的另一种结构示意图；

图3是本发明实施例三公开的设备冗余系统的一种结构示意图；

图4是现有基于MVB的列车网络控制系统的拓扑结构；

图5是本发明实施例三公开的基于实时以太网的列车网络控制系统的拓 扑结构；

图6是本发明实施例三公开的控制设备上电后的工作流程示意图；

图7是本发明实施例三公开的第一控制设备存在通信故障时的列车网络 控制系统拓扑结构；

图8是本发明实施例三公开的第一控制设备存在设备异常时的列车网络 控制系统拓扑结构；

图9是本发明实施例四公开的设备冗余系统的另一种结构示意图；

图10是本发明实施例四公开的第一控制设备的控制逻辑异常时的列车网 络控制系统拓扑结构；

图11是本发明实施例五公开的设备冗余方法的一种流程图；

图12是本发明实施例五公开的设备冗余方法的另一种流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行 清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而 不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做 出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

实施例一

本实施例一公开一种基于实时以太网的冗余控制装置，用于对网络系统 的第一控制设备进行控制，以使所述第一控制设备成为所述网络系统的主控 设备或备用主控设备，所述网络系统包括第一控制设备、第二控制设备及其 他设备。具体地，本发明实施例将冗余控制装置应用于列车网络控制系统中， 通过对列车网络控制系统(包含两个互为冗余的控制设备)中的相应控制设 备进行控制使其成为列车网络控制系统的主控设备或备用主控设备。

请参见图1，本实施例的冗余控制装置包括接收控制模块101、判断模块 102、第一设置模块103、第二设置模块104、第三设置模块105、第四设置模 块106以及发送控制模块107。

接收控制模块101，用于发出信息接收指令以接收所述第二控制设备的第 二冗余状态信息，所述第二冗余状态信息包括所述第二控制设备的第二随机 数、第二设备状态，所述第二设备状态包括主控状态和备用主控状态，所述 第二设备状态为主控状态或备用主控状态分别表征所述第二控制设备是主控 设备或备用主控设备。

判断模块102，用于判断是否接收到第二冗余状态信息，并在判断结果为 是时，继续判断第二控制设备是否为主控设备，以及判断所述第一控制设备 预先生成的第一随机数是否大于所述第二随机数。其中，所述第一随机数及 所述第二随机数在设定的更换时刻重新生成。

第一随机数和第二随机数分别表征第一控制设备和第二控制设备作为主 控设备的可能性大小，两个随机数可在每个设定的更换时刻重新生成，例如， 在两个控制设备每次启动时重新生成随机数，从而利用本发明，在每次启动 控制设备时，可实现为列车网络控制系统重新选取主控设备，两个控制设备 作为主控设备的概率相同。本实施例中，具体选取随机数较大的控制设备作 为主控设备，且两个随机数相同时，选择第二控制设备作为主控设备。

第一设置模块103，用于在判断结果为未接收到第二冗余状态信息时，若 所述第一控制设备的第一设备状态为主控状态，则不操作；若所述第一设备 状态为备用主控状态或空，则将所述第一设备状态设置为主控状态，并发出 第一触发指令以触发所述第一控制设备对所述网络系统进行控制。

未接收到第二冗余状态信息表征第二控制设备可能还未启动完成，或第 二控制设备出现故障，从而可判断此时列车网络控制系统中不存在主控设备， 因此，需控制第一控制设备作为主控设备以负责整个列车的逻辑控制及其他 车载设备的管理和监视工作。

第二设置模块104，用于在判断结果为所述第二控制设备为主控设备且所 述第一随机数大于所述第二随机数时，将所述第一设备状态设置为主控状态， 并发出触发指令以触发所述第一控制设备对所述网络系统进行控制。

在第二控制设备启动完成，而第一控制设备未启动完成时，第二控制设 备为列车网络控制系统中唯一的控制设备，此时，第二设备作为主控设备， 但当第一控制设备启动完成后，若第一控制设备的第一随机数大于第二控制 设备的第二随机数，则需将第一控制设备设置为主控设备，而后续第二控制 设备会切换作为列车网络控制系统的备用主控设备。

第三设置模块105，用于在判断结果为所述第二控制设备为主控设备且所 述第一随机数不大于所述第二随机数时，若所述第一设备状态为主控状态， 则设置所述第一设备状态为备用主控状态，并发出停止指令以使所述第一控 制设备停止对网络系统进行控制；若所述第一设备状态为空，则设置所述第 一设备状态为备用主控状态；若所述第一设备状态为备用主控状态，则不操 作。

第二控制设备为主控设备且第一随机数不大于第二随机数时，若第一设 备状态为主控状态，则表征第一控制设备的启动先于第二控制设备完成，因 此，在第二控制设备未启动完成时，第一控制设备暂时先作为主控设备，当 第二主控设备启动完成，由于其第二随机数不小于第一随机数，此时，需选 取第二控制设备作为主控设备，第一控制设备切换作为备用主控设备。

第二控制设备为主控设备且第一随机数不大于第二随机数时，若第一设 备状态为空，则表征第二控制设备的启动先于第一控制设备，待第一控制设 备启动后，列车网络控制系统中已存在主控设备(第二控制设备)，且主控 设备的随机数较大，此时，第一控制设备直接作为备用主控设备即可。

第二控制设备为主控设备且第一随机数不大于第二随机数时，若第一设 备状态为备用主控状态，则两个控制设备处于正常的主备状态，不需再对其 进行调整、控制。

第四设置模块106，用于在所述第二控制设备为备用主控设备且所述第一 随机数大于所述第二随机数时，不操作。

若第二控制设备为备用主控设备且所述第一随机数大于所述第二随机 数，则表征列车网络控制系统中已存在主控设备，即第一控制设备，因此， 此种情况下，两个控制设备处于正常的主备状态，不需再对其进行调整、控 制。

发送控制模块107，用于发出信息发送指令以将所述第一随机数以及所述 第一设备状态作为所述第一控制设备的第一设备冗余信息发送出去。

本实施例的冗余控制装置采用随机数对控制设备进行主备状态控制，实 现了列车网络控制系统中主控设备选取的随机性，进而可使两个控制设备具 有相同的作为主控设备的概率，克服了现有基于固定配置选取主控设备的弊 端，后续可在每个控制设备作为主控设备时，对其控制逻辑进行及时验证， 消除了安全隐患。

实施例二

本实施例二继续对实施例一的冗余控制装置进行拓展，请参见图2，该基 于实时以太网的冗余控制装置还包括设备检测模块108和预警模块109。

设备检测模块108，用于在所述第一控制设备启动过程中，检测所述第一 控制设备是否存在故障，并依据检测结果生成第一控制设备的故障信息。

其中，对第一控制设备检测得到的故障信息添加在第一控制设备的第一 冗余状态信息中，为后续控制设备的状态设置提供依据。相应地，第二冗余 状态信息同样扩充添加了第二控制设备的故障信息。设备检测模块108检测出 的故障信息具体为设备故障，例如控制设备的某器件出现异常等。

预警模块109，用于在未接收到第二冗余状态信息时，继续判断第二控制 设备是否出现故障，并在其出现故障时，进行故障预警；以及用于在接收到 第二冗余状态信息时，对所述第二冗余状态信息中的故障信息进行分析，并 在所述故障信息表征所述第二控制设备故障时，进行故障预警，并控制所述 第一控制设备作为主控设备。

上文提到，未接收到第二冗余状态信息可表征第二控制设备未启动完成 或第二控制设备故障，为及时发现故障并及时处理，本实施例在此种情况下 继续判断第二控制设备是否出现故障。

具体地，可预先设定冗余状态信息的通信周期，一般情况下，控制设备 启动耗时相对较小，若控制设备无故障，则仅会在控制设备未启动完成时所 处的通信周期暂时接收不到该控制设备的冗余状态信息，而如果长时间(例 如在下个通信周期)一直接收不到该控制设备的冗余状态信息，则表明该控 制设备出现故障。基于此，本实施例通过接收不到第二冗余状态信息的时长 来判断第二控制设备是否出现故障。由接收不到冗余状态信息而判断出的故 障多为通信链路故障，例如控制设备的物理连接断开等。

本实施例添加了对控制设备故障的预警，可方便相关人员及时发现故障， 并及时进行故障处理，同时为控制设备的状态控制提供了依据。

实施例三

本实施例三公开一种基于实时以太网的设备冗余系统，请参见图3，该系 统包括两个如实施例一或实施例二公开的冗余控制装置，分别设定为第一冗 余控制装置100和冗余控制装置200，还包括第一控制设备300、第二控制设备 400。

其中，第一冗余控制装置100、第二冗余控制装置200相互交互，且第一 冗余控制装置100对第一控制设备300进行控制，第二冗余控制装置200对 第二控制设备400进行控制，以使第一控制设备300、第二控制设备400互为 冗余，作为所述网络系统的主控设备或备用主控设备。

本发明的设备冗余系统采用随机数来选取主控设备，具体地，在设定的 更换时刻分别生成第一控制设备的第一随机数和第二控制设备的第二随机 数，后续两个冗余控制装置通过比较两个随机数的大小，来控制相应控制设 备作为主控设备或备用主控设备，例如，第一随机数较大时，第一冗余控制 装置则控制第一控制设备作为主控设备。可见，本发明在每个设定的更换时 刻(例如，控制设备每次启动时)可基于相应随机数的大小重新选取主控设 备。

综上，区别于现有依据固定配置选取主控设备的方式，本发明采用随机 数选取主控设备，每个控制设备作为主控设备的概率均等，从而后续可对每 个控制设备的控制功能进行及时验证和及时的故障处理，消除了安全隐患。

具体地，本实施例以列车网络控制系统作为应用场景对以上的设备冗余 系统进行说明。

首先对现有的列车网络控制系统进行介绍，现有技术中，如图4所示，列 车网络控制系统采用基于MVB(Multifunction Vehicle Bus，多功能车辆总线) 的总线式网络系统，总线式网络系统的特点是各个设备(包括控制设备和作 为从设备的车载设备)连接至同一总线上，同一时刻只能有一个设备发送数 据，基于此，列车网络控制系统的主控设备需担任两个角色：总线主和控制 主。总线主负责管理总线，向总线上发送携带目标从设备地址的MVB主帧， 从设备收到与自己地址相同的主帧后响应从帧，之后，该从设备即拥有向主 线发送数据的权限。备用主控设备不能发送MVB主帧，但是能监视总线上主 控设备发送的MVB主帧，当备用主控设备监视不到总线上的MVB主帧时，则 判定主控设备故障，继而备用主控设备接管总线成为主控设备。

为规避总线式网络系统中同一时刻只能有一个设备发送数据，需进行总 线控制的弊端，本发明采用基于实时以太网的列车网络控制系统。参见图5示 出的列车网络控制系统的拓扑结构，其中，两个控制设备——第一控制设备、 第二控制设备以及所有的车载设备通过以太网接口接入网络中，由于以太网 采用快速交换技术，则各个设备可以同时发送和接收数据。两个控制设备互 为冗余，一个作为主控设备，另一个作为备用主控设备，作为主控设备的控 制设备负责整个列车的逻辑控制及各个车载设备的管理工作。

为简化实现过程，本实施例将第一冗余控制装置100的功能整合于第一控 制设备中，将第二冗余控制装置200的功能整合于第二控制设备中，即第一控 制设备300、第二控制设备400在拥有各自的控制逻辑(实现列车控制及车载 设备管理)的基础上，还分别添加第一冗余控制装置100和第二冗余控制装置 200的控制功能，在此基础上，第一控制设备300、第二控制设备400通过相互 通信，交互各自的冗余状态数据实现对自身进行主、备状态控制。

基于实时以太网的列车网络控制系统中，各设备之间周期性交互的数据 称为过程数据，设备之间的过程数据通信采用列车实时数据传输协议，列车 实时数据传输协议里的过程数据具体由源IP(Internet Protocol，网络互连协议) 地址和数据标识ComID(Com identity，Com接口号)唯一标识。

为了实现自动协商和相互监视，两个控制设备将各自的冗余状态信息作 为过程数据进行周期性通信，其中，冗余状态信息的通信周期和ComID可以 根据需要通过配置来确定。具体地，冗余状态信息的内容请见表1：

表1

描述 字节大小 说明 数据头 2 固定值为0x55AA 序列号 2 范围0-0xffff，按周期累加1 主备设备状态 1 0x55表示主控设备，0xAA表示备用主控设备 故障标志 1 1为故障，0为正常 故障代码 1 自定义故障类型(例如：1物理连接断开，2控制程序出错) 随机数 4 由控制设备上电后随机产生，范围1-0xffffffff

基于以上描述，在列车网络控制系统(基于实时以太网)这一应用场景 中，请参见图6，本发明设备冗余系统中分别整合了相应冗余控制装置的两个 控制设备在上电后的工作流程如下：

S601：上电后，设备初始化、自检、并生成随机数。

每次上电，控制设备重新生成随机数，从而每次上电后设备冗余系统即 可依据两个控制设备的随机数大小重新为列车网络系统选取主控设备。

S602：接收冗余状态信息。

S603：依据接收的冗余状态信息判断列车网络控制系统中是否存在主控 设备，若判断结果为存在，则执行步骤S604；否则，执行步骤S605。

冗余状态信息中包含发送该冗余状态信息的控制设备的随机数、故障信 息以及设备的主、备状态等信息。

其中，若接收不到冗余状态信息，则当前网络中不存在主控设备，若接 收到冗余状态信息，且其中的故障信息显示设备故障，则表明另一控制设备 存在问题，则当前网络中同样不存在主控设备。

S604：将主控设备的随机数与自身随机数进行比较，判断自己的随机数 是否大于主控设备的随机数，若判断结果为是，则执行步骤S605；否则，执 行步骤S606。

若存在主控设备，则需比较主控设备的随机数与自身随机数的大小，若 自身随机数较大，则将自己设置为主控设备。

S605：设置自己为主控设备，并启用控制逻辑对列车及车载设备进行控 制。

S606：设置自己为备用主控设备。

S607：发送冗余状态信息。

具体地，假设第一控制设备300上电后产生的随机数比第二控制设备400 的随机数小，并且第一控制设备300先启动完成。则基于图6的流程，先启动 的第一控制设备300的工作流程如下：

第一步：初始化完成，生成一个随机数，自检后设备正常；

第二步：接收网络上的冗余状态信息，但此时收不到第二控制设备的冗 余状态信息(第二控制设备还没有启动)；

第三步：未收到冗余状态信息，则判定网络上没有主控设备，因此，将 自己设置为主控设备，启动自己的控制逻辑进行网络控制，并将自己的冗余 状态信息发送出去。

后启动的第二控制设备400的工作流程如下：

第一步：初始化完成，生成一个随机数，自检后设备正常；

第二步：接收网络上的冗余状态信息，此时可以收到来自第一控制设备 的冗余状态信息，并且依据收到的的冗余状态信息判定网络中存在主控设备， 即第一控制设备；

第三步：将第一控制设备的随机数和自己的随机数进行比较，发现自己 的随机数大；

第四步：将自己设置为主控设备，启动自己控制逻辑进行网络控制，并 且发送自己的冗余状态数据。

当第二控制设备400启动完成并将自身设置为主控设备后，第一控制设备 300在接下来的通信周期中接收到第二控制设备400的冗余状态数据时，会对 自身的设备状态进行调整，具体如下：

第一步：第一控制设备收到来自第二控制设备的冗余状态数据，发现网 络中存在主控设备，即第二控制设备；

第二步：比较第二控制设备随机数与自己的随机数的大小，发现第二控 制设备的随机数较大。

第三步：将自己设置为备用主控设备，停止对网络进行控制，并向网络 中发送新的冗余状态数据。

以上描述了两个控制设备均正常情况下的工作流程。接下来对控制设备 出现故障的情况进行描述。

1)假设第一控制设备通信故障

请参见图7，若第一控制设备存在通信故障，例如其通信线路断开，则第 一控制设备无法向网络中发送其冗余状态信息，第二控制设备会一直接收不 到(例如超过预设时长接收不到)其冗余状态信息，从而第二控制设备判定 网络中不存在主控设备，将自己设置为主控设备，同时判定第一控制设备出 现故障，并进行故障预警，提示技术人员进行故障处理。

现有技术中备用主控设备不发送MVB主帧，主控设备不能监视备用主控 设备的通信状况，进而不能对备用主控设备的通信故障进行及时报警，本发 明中无论主控设备还是备用主控设备出现通信故障，另一控制设备均能及时 发现其故障并及时报警，进一步消除了安全隐患。

2)假设第一控制设备存在设备异常(通信正常)

请参见图8，此种情况下，上电后第一控制设备在初始化自检的过程中检 出自身存在异常，会把自己设置为备用主控设备，并将检测所得的设备故障 信息通过冗余状态信息发送出去。第二控制设备接收到第一控制设备的冗余 状态信息后，判定网络中不存在主控设备，则将自身设置为主控设备，并对 第一控制设备的故障进行预警以使相关人员进行及时处理。

此种情况同样实现了对备用主控设备的故障进行预警，进一步克服了现 有基于MVB的列车网络控制系统中不能对备用主控设备进行预警的缺陷。

实施例四

本实施例四继续对实施例三的设备冗余系统进行优化，如图9所示，该 系统还包括逻辑故障检测装置500，该装置用于在所述主控设备对所述网络系 统进行控制的过程中，检测所述主控设备的控制逻辑是否存在问题，在所述 主控设备的控制逻辑存在问题时，进行逻辑故障预警，并控制主控设备停止 工作。

由实施例三中对现有基于MVB的列车网络控制系统的描述可知，现有冗 余方案中，两个控制设备控制主权的转移依据总线主权的切换而切换，即备 用主控设备在检测不到总线上的MVB主帧时接管总线成为主控设备，从而只 能检测到主控设备的通信故障，而不能检测到主控设备的控制逻辑故障(控 制逻辑故障时，依然能发出MVB主帧)，从而在主控设备的控制逻辑出现问 题时，其依然对列车及车载设备进行控制，存在较大的隐患。

基于此，本实施例的逻辑故障检测装置500在主控设备工作过程中，检测 主控设备的控制逻辑是否正常，具体可通过验证列车的运行状况及车载设备 的工作状态正常与否进行检测，若不正常，如图10所示，则逻辑故障检测装 置500对该故障进行预警，并控制主控设备停止工作，使其不上线运行以方便 检修。后续，当备用主控设备接收不到冗余状态信息时，会切换自身状态为 主控状态接管列车控制。

本实施例实现了控制设备的逻辑故障检测及预警。进一步保证了列车的 安全运行。

实施例五

本实施例五公开一种基于实时以太网的设备冗余方法，该方法与以上实 施例公开的基于实时以太网的设备冗余系统相对应。

相应于实施例三中设备冗余系统的结构，本实施例首先公开设备冗余方 法的一种流程，如图11所示，其包括如下步骤：

S1：第一冗余控制装置接收第二控制设备的第二冗余状态信息；

S2：第一冗余控制装置判断其是否接收到所述第二冗余状态信息；

S3：在判断结果为未接收到第二冗余状态信息时，若所述第一控制设备 的第一设备状态为主控状态，则所述第一冗余控制装置不操作；若所述第一 设备状态为备用主控状态或空，则所述第一冗余控制装置将所述第一设备状 态设置为主控状态，并发出触发指令以触发所述第一控制设备对所述网络系 统进行控制；

S4：在判断结果为接收到第二冗余状态信息时，所述第一冗余控制装置 继续判断所述第二控制设备是否为主控设备，以及判断所述控制设备预先生 成的第一随机数是否大于所述第二随机数；

S5：在判断结果为所述第二控制设备为主控设备且所述第一随机数大于 所述第二随机数时，所述第一冗余控制装置将所述第一设备状态设置为主控 状态，并发出触发指令以触发所述第一控制设备对所述网络系统进行控制；

S6：在判断结果为所述第二控制设备为主控设备且所述第一随机数不大 于所述第二随机数时，若所述第一设备状态为主控状态，则所述第一冗余控 制装置设置所述第一设备状态为备用主控状态，并发出停止指令以使所述第 一控制设备停止对网络系统进行控制；若所述第一设备状态为空，则所述第 一冗余控制装置设置所述第一设备状态为备用主控状态；若所述第一设备状 态为备用主控状态，则所述第一冗余控制装置不操作；

S7：在判断结果为所述第二控制设备为备用主控设备且所述第一随机数 大于所述第二随机数时，所述第一冗余控制装置不操作；

S8：所述第一冗余控制装置发出信息发送指令以将所述第一随机数以及 所述第一设备状态作为第一控制设备的第一设备冗余信息发送出去。

相应于实施例四，如图12所示，上述方法还包括：

S9：在主控设备对所述网络系统进行控制的过程中，逻辑故障检测装置 检测所述主控设备的控制逻辑是否存在问题，并在所述主控设备的控制逻辑 存在问题时，进行逻辑故障预警。

除此之外，上述方法还包括：

在所述第一控制设备启动过程中，所述第一冗余控制装置检测所述第一 控制设备是否存在故障，并依据检测结果生成相应的故障信息。

在未接收到第二冗余状态信息时，所述第一冗余控制装置继续判断第二 控制设备是否出现故障，并在其出现故障时，进行故障预警；

在接收到第二冗余状态信息时，所述第一冗余控制装置对所述第二冗余 状态信息中的故障信息进行分析，并在所述故障信息表征所述第二控制设备 故障时，进行故障预警。

对于本发明实施例五公开的基于实时以太网的设备冗余方法而言，由于 其与以上各实施例公开的基于实时以太网的设备冗余系统相对应，所以描述 的比较简单，相关相似之处请参见以上各实施例中基于实时以太网的设备冗 余系统部分的说明即可，此处不再详述。

综上所述，区别于现有依据固定配置选取主控设备的方式，本发明采用 随机数来选取主控设备，使每个控制设备作为主控设备的概率均等，从而后 续可对每个控制设备的控制功能进行及时验证和及时的故障处理，消除了安 全隐患。

需要说明的是，本说明书中的各个实施例均采用递进的方式描述，每个 实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似 的部分互相参见即可。

为了描述的方便，描述以上装置时以功能分为各种模块或单元分别描述。 当然，在实施本申请时可以把各模块、单元的功能在同一个或多个软件和/或 硬件中实现。

通过以上的实施方式的描述可知，本领域的技术人员可以清楚地了解到 本申请可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解， 本申请的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品 的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、 磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机， 服务器，或者网络设备等)执行本申请各个实施例或者实施例的某些部分所 述的方法。

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普 通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润 饰，这些改进和润饰也应视为本发明的保护范围。