CN102306116B - 一种静态方式下三取二安全输出的表决结构及其表决方法 - Google Patents

Abstract

本发明公开了一种静态方式下三取二安全输出的表决结构，包括两个二极管和四个可控开关；可控开关两两串联后并联，利用三组静态控制信号分别控制三个可控开关，并利用其中两组静态控制信号或逻辑运算后控制另一个可控开关，实现了静态方式下三取二安全输出。本发明通过合理的串并联结构设计，简化的电路结构，进一步提升了结构的可靠性和安全性，成本较低。本发明还公开了该表决结构的表决方法，满足了故障-安全计算机系统对输出的可靠性和安全性要求的同时，使得整个结构工作起来更加简单高效。

Description

一种静态方式下三取二安全输出的表决结构及其表决方法

技术领域

本发明属于计算机系统故障保护技术领域，具体涉及一种静态方式下三取二安全输出的表决结构及其表决方法。

背景技术

可靠性和安全性是计算机系统在轨道交通、航空以及石化电力等领域关键监控系统的应用中最基本和最重要的性能要求。可靠性要求保证计算机系统能够长期无故障运行；但由于任何计算机系统不可能不出现故障，安全性要求则保证了系统在任何部分出现故障情况下都能导向安全，亦即系统故障产生的后果不会导致人员和财产的重大损失。故障-安全计算机系统就是针对这种应用而设计的；故障-安全计算机系统中保证其可靠性和安全性的关键部分之一是系统的安全输出模块。

故障-安全计算机系统的安全输出模块在硬件结构上分有热备模式、二乘二取二表决模式和三取二表决模式。单独的热备模式难以满足高可靠性和高安全性指标要求；二乘二取二表决模式和三取二表决模式各有特点，应用于不同要求的场合，二乘二取二表决模式在结构上和切换控制方面相对要复杂一些；三取二表决模式通过两两相互比较表决输出从而保证系统的安全性，同时由于采用的是容错方式，可以降级为二取二表决模式，使安全输出模块更加可靠。

安全输出模块在输出控制信号形式上分有静态和动态两种方式，动态方式输出的信号为动态脉冲，经动态/静态硬件转换电路转换为直流电压输出。

动态方式下的三取二表决模式结构具有自身的故障-安全特点，但电路结构复杂，器件多，制约了其可靠性，作为产品成本也相对较高。

发明内容

本发明提供了一种静态方式下三取二安全输出的表决结构及其表决方法，克服了现有技术的安全输出表决结构所存在的上述技术缺陷，在满足相同等级的安全性能外，具有更高的可靠性，电路结构简单，成本较低。

一种静态方式下三取二安全输出的表决结构，包括两个二极管和四个可控开关；其中，第一二极管的阳极与第一可控开关的控制端相连并接收外部设备提供的第一静态控制信号，第一可控开关的输入端与第二可控开关的输入端相连并接收外部设备提供电源电压信号，第二可控开关的控制端接收外部设备提供的第二静态控制信号，第一可控开关的输出端与第三可控开关的输入端相连，第二可控开关的输出端与第四可控开关的输入端相连，第一二极管的阴极与第二二极管的阴极和第四可控开关的控制端相连，第三可控开关的控制端与第二二极管的阳极相连并接收外部设备提供的第三静态控制信号，第三可控开关的输出端与第四可控开关的输出端相连并输出表决电压信号。

优选的技术方案中，所述的可控开关为固态继电器；其控制端与输入输出端分离，安全可靠性高。

优选的技术方案中，本发明的表决结构还包括三个光电耦合器，所述的光电耦合器接收所述的表决电压信号并输出回检信号；供三组静态控制信号回检，从而检测表决结构是否存在故障，以及时作出相应的安全举措。

一种静态方式下三取二安全输出的表决方法，包括如下步骤：

(1)获取第一静态控制信号、第二静态控制信号、第三静态控制信号和电源电压信号；对第一静态控制信号和第三静态控制信号进行或逻辑运算，得到静态逻辑控制信号；

(2)利用所述的第一静态控制信号和第二静态控制信号分别控制第一可控开关和第二可控开关的通断；

若第一静态控制信号和第二静态控制信号均为高电平，第一可控开关和第二可控开关均导通接收所述的电源电压信号，并输出电源电压信号；

若第一静态控制信号和第二静态控制信号均为零电平，第一可控开关和第二可控开关均关断并输出零电平信号；

若第一静态控制信号为零电平，第二静态控制信号为高电平，第一可控开关关断并输出零电平信号，第二可控开关导通接收所述的电源电压信号，并输出电源电压信号；

若第一静态控制信号为高电平，第二静态控制信号为零电平，第一可控开关导通接收所述的电源电压信号，并输出电源电压信号，第二可控开关关断并输出零电平信号；

(3)利用所述的第三静态控制信号和静态逻辑控制信号分别控制第三可控开关和第四可控开关的通断；

若第三静态控制信号和静态逻辑控制信号均为高电平，第三可控开关和第四可控开关均导通分别接收第一可控开关和第二可控开关输出的信号，并分别输出第一可控开关和第二可控开关输出的信号；

若第三静态控制信号和静态逻辑控制信号均为零电平，第三可控开关和第四可控开关均关断并输出零电平信号；

若第三静态控制信号为零电平，静态逻辑控制信号为高电平，第三可控开关关断并输出零电平信号，第四可控开关导通接收第二可控开关输出的信号，并输出第二可控开关输出的信号；

若第三静态控制信号为高电平，静态逻辑控制信号为零电平，第三可控开关导通接收第一可控开关输出的信号，并输出第一可控开关输出的信号，第四可控开关关断并输出零电平信号；

(4)对第三可控开关和第四可控开关输出的信号进行或逻辑运算，得到表决电压信号。

本发明的有益技术效果为：

(1)本发明静态方式下三取二安全输出的表决结构，在满足故障-安全计算机系统对输出的可靠性和安全性要求的同时，简化的电路结构，进一步提升了结构的可靠性，成本较低。

(2)本发明静态方式下三取二安全输出的表决结构，其合理的串并联结构设计，能够使电路在任一器件出现故障情况下(短路或开路)，不会产生相应的危险侧输出，提升了结构的安全性能。

(3)本发明静态方式下三取二安全输出的表决结构，通过回检电路能够检测出电路结构存在故障，为及时切断电源电压提供了可靠依据，使得整个结构的安全性更高。

(4)本发明静态方式下三取二安全输出的表决方法，满足了故障-安全计算机系统对输出的可靠性和安全性要求的同时，使得整个表决结构工作起来更加简单高效。

附图说明

图1为本发明表决结构的电路结构示意图。

图2为本发明表决结构在Markov模型下的状态转移图。

图3为传统动态方式下表决结构在Markov模型下的状态转移图。

图4为本发明表决结构在Markov模型下的可靠性曲线示意图。

图5为本发明表决结构在Markov模型下的安全度和危险侧曲线示意图。

图6为传统动态方式下表决结构在Markov模型下的可靠性曲线示意图。

具体实施方式

为了更为具体地描述本发明，下面结合附图及具体实施方式对本发明的表决结构及其表决方法进行详细说明。

如图1所示，一种静态方式下三取二安全输出的表决结构，包括两个二极管、四个固态继电器和三个光电耦合器；其中，第一二极管D₁的阳极与第一固态继电器SSR₁的控制端相连并接收外部设备提供的第一静态控制信号A，第一固态继电器SSR₁的输入端与第二固态继电器SSR₂的输入端相连并接收外部设备提供电源电压信号VDD，第二固态继电器SSR₂的控制端接收外部设备提供的第二静态控制信号B，第一固态继电器SSR₁的输出端与第三固态继电器SSR₃的输入端相连，第二固态继电器SSR₂的输出端与第四固态继电器SSR₄的输入端相连，第一二极管D₁的阴极与第二二极管D₂的阴极和第四固态继电器SSR₄的控制端相连，第三固态继电器SSR₃的控制端与第二二极管D₂的阳极相连并接收外部设备提供的第三静态控制信号C，第三固态继电器SSR₃的输出端与第四固态继电器SSR₄的输出端、第一光电耦合器O₁的输入端、第二光电耦合器O₂的输入端和第三光电耦合器O₃的输入端相连并输出表决电压信号V，第一光电耦合器O₁的输出端、第二光电耦合器O₂的输出端和第三光电耦合器O₃的输出端分别输出三组回检信号a、b、c。

本实施方式的表决结构的表决方法，包括如下步骤：

(1)获取第一静态控制信号A、第二静态控制信号B、第三静态控制信号C和电源电压信号VDD；对第一静态控制信号A和第三静态控制信号C进行或逻辑运算，得到静态逻辑控制信号E；

(2)利用第一静态控制信号A和第二静态控制信号B分别控制第一固态继电器SSR₁和第二固态继电器SSR₂的通断；

若第一静态控制信号A和第二静态控制信号B均为高电平1，第一固态继电器SSR₁和第二固态继电器SSR₂均导通接收电源电压信号VDD，并输出电源电压信号V₁＝V₂＝VDD；

若第一静态控制信号A和第二静态控制信号B均为零电平0，第一固态继电器SSR₁和第二固态继电器SSR₂均关断并输出零电平信号V₁＝V₂＝0；

若第一静态控制信号A为零电平0，第二静态控制信号B为高电平1，第一固态继电器SSR₁关断并输出零电平信号V₁＝0，第二固态继电器SSR₂导通接收电源电压信号VDD，并输出电源电压信号V₂＝VDD；

若第一静态控制信号A为高电平1，第二静态控制信号B为零电平0，第一固态继电器SSR₁导通接收电源电压信号VDD，并输出电源电压信号V₁＝VDD，第二固态继电器SSR₂关断并输出零电平信号V₂＝0；

(3)利用第三静态控制信号C和静态逻辑控制信号E分别控制第三固态继电器SSR₃和第四固态继电器SSR₄的通断；

若第三静态控制信号C和静态逻辑控制信号E均为高电平1，第三固态继电器SSR₃和第四固态继电器SSR₄均导通分别接收第一固态继电器SSR₁和第二固态继电器SSR₂输出的信号V₁、V₂，并分别输出第一固态继电器SSR₁和第二固态继电器SSR₂输出的信号V₃＝V₁、V₄＝V₂；

若第三静态控制信号C和静态逻辑控制信号E均为零电平0，第三固态继电器SSR₃和第四固态继电器SSR₄均关断并输出零电平信号V₃＝V₄＝0；

若第三静态控制信号C为零电平0，静态逻辑控制信号E为高电平1，第三固态继电器SSR₃关断并输出零电平信号V₃＝0，第四固态继电器SSR₄导通接收第二固态继电器SSR₂输出的信号V₂，并输出第二可控开关输出的信号V₄＝V₂；

若第三静态控制信号C为高电平1，静态逻辑控制信号E为零电平0，第三固态继电器SSR₃导通接收第一固态继电器SSR₁输出的信号V₁，并输出第一固态继电器SSR₁输出的信号V₃＝V₁，第四固态继电器SSR₄关断并输出零电平信号V₄＝0；

(4)对第三固态继电器SSR₃和第四固态继电器SSR₄输出的信号V₃、V₄进行或逻辑运算，得到表决电压信号V。

本实施方式与传统动态方式下的表决结构相比，在满足安全性要求条件下大大提高了相关可靠性指标，同时也大大降低三取二硬件表决结构的复杂性，减少成本。Markov模型法是一种主要针对系统或模块的可靠性、安全性等性能分析计算的方法，下面采用Markov模型对本实施方式和传统动态方式下的表决结构进行比较分析。首先假设：故障模型为指数模型e^-λt；故障检测率为c，不考虑修复；输出A＝B＝C＝1，不考虑输出本身错误。

本实施方式根据固态继电器厂方提供的技术参数，令λ_b＝λ_s＝3.4×10^-8，其中λ_b表示断路故障概率，λ_s表示短路故障概率，回检模块发生故障的概率λ_o＝6.8×10^-8，本实施方式的Markov模型的状态转移图如图2所示。

根据状态转移图，建立每个状态的常微分方程，进而根据每个状态的常微分方程求出：

可靠度R(t)＝P₁+P₂+P₃+P₅+P₆+P₇+P₈+P₉+P₁₀+P₁₁+P₁₂+P₁₃+P₁₄+P₁₅+P₁₆

安全度S(t)＝R(t)+P₁₇+P₁₈

危险侧概率D(t)＝P₁₉

上述三个参数的变化曲线如图4、5所示；对可靠性曲线进行积分可求得本实施方式平均故障间隔时间

小时；对危险侧随时间变化曲线求定积分之后再除以时间，得到可容忍危险侧故障率THR＝1.7×10^-11/小时，满足标准EN50129规定的SIL4(最高等级)为小于10^-8/小时～10^-9/小时。

传统动态方式下的表决结构，根据动态方式模块的技术参数，令其中“与”模块的失效率λ_A＝4.95×10^-7，“或”模块的失效率λ_O＝5.40×10^-7。传统动态方式的Markov模型状态转移图如图3所示。

根据状态转移图，建立每个状态的常微分方程，进而根据每个状态的常微分方程求出：

可靠度R(t)＝P₁+P₂+P₃+P₇

安全度S(t)＝1

危险侧概率D(t)＝0

其中可靠度的变化曲线如图6所示，对可靠性曲线进行积分求得动态方式的平均故障间隔时间 $\mathrm{MTTF}={\∫}_0^{\∞}R\left(t\right)\mathrm{dt}=1.12\×{10}^6$ 小时。

比较两个方式，本实施方式和传统动态方式的安全度都达到SIL4，而本实施方式的可靠度是传统动态方式的17.5倍。

Claims (4)

1.一种静态方式下三取二安全输出的表决结构，其特征在于：包括两个二极管和四个可控开关；其中，第一二极管的阳极与第一可控开关的控制端相连并接收外部设备提供的第一静态控制信号，第一可控开关的输入端与第二可控开关的输入端相连并接收外部设备提供电源电压信号，第二可控开关的控制端接收外部设备提供的第二静态控制信号，第一可控开关的输出端与第三可控开关的输入端相连，第二可控开关的输出端与第四可控开关的输入端相连，第一二极管的阴极与第二二极管的阴极和第四可控开关的控制端相连，第三可控开关的控制端与第二二极管的阳极相连并接收外部设备提供的第三静态控制信号，第三可控开关的输出端与第四可控开关的输出端相连并输出表决电压信号。

2.根据权利要求1所述的静态方式下三取二安全输出的表决结构，其特征在于：所述的可控开关为固态继电器。

3.根据权利要求1所述的静态方式下三取二安全输出的表决结构，其特征在于：还包括三个光电耦合器，所述的光电耦合器接收所述的表决电压信号并输出回检信号。

4.一种如权利要求1所述的表决结构的表决方法，包括如下步骤：

（1）获取第一静态控制信号、第二静态控制信号、第三静态控制信号和电源电压信号；对第一静态控制信号和第三静态控制信号进行或逻辑运算，得到静态逻辑控制信号；

（2）利用所述的第一静态控制信号和第二静态控制信号分别控制第一可控开关和第二可控开关的通断；

若第一静态控制信号和第二静态控制信号均为高电平，第一可控开关和第二可控开关均导通接收所述的电源电压信号，并输出电源电压信号；

若第一静态控制信号和第二静态控制信号均为零电平，第一可控开关和第二可控开关均关断并输出零电平信号；

若第一静态控制信号为零电平，第二静态控制信号为高电平，第一可控开关关断并输出零电平信号，第二可控开关导通接收所述的电源电压信号，并输出电源电压信号；

若第一静态控制信号为高电平，第二静态控制信号为零电平，第一可控开关导通接收所述的电源电压信号，并输出电源电压信号，第二可控开关关断并输出零电平信号；

（3）利用所述的第三静态控制信号和静态逻辑控制信号分别控制第三可控开关和第四可控开关的通断；

若第三静态控制信号和静态逻辑控制信号均为高电平，第三可控开关和第四可控开关均导通分别接收第一可控开关和第二可控开关输出的信号，并分别输出第一可控开关和第二可控开关输出的信号；

若第三静态控制信号和静态逻辑控制信号均为零电平，第三可控开关和第四可控开关均关断并输出零电平信号；

若第三静态控制信号为零电平，静态逻辑控制信号为高电平，第三可控开关关断并输出零电平信号，第四可控开关导通接收第二可控开关输出的信号，并输出第二可控开关输出的信号；

若第三静态控制信号为高电平，静态逻辑控制信号为零电平，第三可控开关导通接收第一可控开关输出的信号，并输出第一可控开关输出的信号，第四可控开关关断并输出零电平信号；

（4）对第三可控开关和第四可控开关输出的信号进行或逻辑运算，得到表决电压信号。

Images