量子猫的正确使用方法（SIS的双重化和三重化区别）

仪表小猪

一、TMR的技术原理

三重化TMR是采用2oo3的模式，如下图所示：

此结构由三个并联通道构成，其输出信号具有多数表决安排，这样如果仅有一个通道的输出状态不同时，输出状态不会因此而改变。

信号流程是：现场信号进入AI卡件（卡件一般为冗余设置，每个卡件里面又分为三个通道），然后进入三重化的CPU（三块CPU）进行运算并表决，然后输出到AO模块（卡件一般为冗余设置，每个卡件里面又分为三个通道），如下图所示：

在刚参加工作时SIS还没有大范围的使用，很多人的学习重点还是在表决电路上，去学习TMR是如何实现表决的。现在看来，从工程应用的角度上来说没有必要也没有意义，可自行忽略。

TMR结构的CPU降级模式为3-2-0：

（1）正常是3块CPU运行；

（2）当其中一块CPU发生故障时候剩余的2块CPU以1oo2的模式工作；

（3）当其中的两块CPU发生故障时则停机。

因TMR结构中IO模块内部也为三个独立的通道，也可参考上述3-2-0进行降级。

二、QMR的技术原理

四重化QMR是采用2oo4D的模式，本质是双重化1oo2D技术，处理器为4个。以HIMA系统为例，如下图所示，D是诊断的意思，diagnosis。

QMR是由冗余的IO卡件和冗余的CPU实现的（2个CPU），但是2个CPU里面又分了2个微处理器，CPU与CPU之间通过高速双口RAM（随机存取存储器，random access memory）实现通讯，如下图所示。

每个外形独立的CPU内部2个微处理器、冗余IO卡件之间进行1oo2D的表决，如下图所示：

单块CPU采用1oo2D的结构，避免了因为其中一块CPU出现故障后系统停机，单块CPU可以满足SIL3的要求，如下图所示。采用双1oo2D结构（即2oo4D结构），其容错功能使系统中任何一个部件发生故障，均不影响系统的正常运行。

单个IO卡件内部采用1oo1D机制，如下图所示。如果不带诊断功能，任何危险失效都会导致安全功能失效；诊断功能把检测到的一个危险失效转变成了一个安全失效，当系统检测出失效时，它会强制系统处于断开状态。

QMR的CPU降级模式为：4-2-0：

（1）正常情况下4个处理器2oo4D进行正常工作；

（2）当其中的1个CPU发生故障以后，另外一个CPU以1oo2D的模式工作；

（3）当两个CPU都发生故障后停机。

QMR的IO卡件降级模式为：2-1-0：

（1）正常情况下2个IO卡件1oo2D正常工作；

（2）当其中的1个IO卡件发生故障后，另一个IO卡件以1oo1D的模式工作。

三、TMR和QMR的选择

比较TMR和QMR要从多方面进行着手，不仅是考虑冗余、容错、安全型，还要考虑可用性等。

但是从目前多年市场应用和各个企业的发展看来，单独的去讨论TMR好还是QMR好没有什么意义，每个技术的支持者都用于良好的业绩和市场应用案例。我们清楚TMR和QMR各自的组成和特点即可。

尤其要注意的是，在设计过程中，编制（复制）0SIS技术规格书时没必要一定要CPU采用三重化TMR结构或四重化QMR结构，只要安全完整性等级SIL满足项目要求即可。

参考文献：

常用安全PLC的结构和性能----华镕