CN103137227A - 核电站安全级dcs的软件共模故障检测系统及其控制方法 - Google Patents

Abstract

本发明公开核电站安全级DCS的软件共模故障检测系统，包括发送软件控制信号的软件控制系统和发送硬件控制信号的硬件控制系统，其中软件控制系统和硬件控制系统分别与接收信号进行二择一优选的优选卡连接，优选卡与被控设备连接，所述软件控制系统和硬件控制系统还分别与检测软件控制系统是否正确的共模故障检测模块连接，共模故障检测模块与优选卡连接。本发明首先对软件控制系统进行正确性判断，然后以此为基础对硬件控制信号进行正确性判断，从而保证优选卡的正确输出。共模故障检测模块能够实时检测软件控制系统，因此能够实时发现软件控制信号和硬件控制信号的故障，并即时切换。

Description

核电站安全级DCS的软件共模故障检测系统及其控制方法

技术领域

本发明涉及核电站领域，具体涉及一种核电站安全级DCS控制系统中，当软件和硬件控制共存时对软件控制进行共模故障检测的系统及其控制方法。

背景技术

核电厂安全级DCS软件由于单一故障的要求,需要在软件发生共模故障的时候及时检测并采取措施保证核电厂安全级DCS系统不会受到影响，这就需要一套硬件控制逻辑在软件失效后代替软件处理信号。根据核电厂安全级DCS仪控系统多样性和单一故障的要求，在设计基于计算机的DCS控制系统的同时，需要设计一套硬件控制系统，设计的目的是保证在软件控制系统发生故障的情况下，硬件控制系统还可以进行正常控制。但是硬件控制系统的存在，引出了以下2个难以解决的问题：

1在正常情况下，硬件控制系统和软件控制系统不能互相影响，也就是说多样性设计不能影响原有功能的正常使用。

2在软件发生共模故障的情况下，保证多样性设计能实时投用，能代替原有控制系统发挥作用。

在上述要求下，当前检测和处理核电厂安全级DCS软件共模故障的方法主要有以下2种：

1采取软件和硬件并行的方式防止共模；

这种方式是软件和硬件各有一套处理逻辑同时处理输入信号的数据，最终输出的信号通过信号选择器（优选卡）来进行优选。这种方法的优点是能够实时优选和处理两边的输出信号，缺点是硬件如果发生故障会影响到信号选择器的选择，最终使软件输出结果不可信，即硬件逻辑故障会影响到正常的软件逻辑控制的结果。

2采取硬件作为软件的备用方式防止共模；

这种方式是正常情况下执行软件处理逻辑，当软件发生共模故障后，人为手动切换至硬件逻辑控制。这种方法的优点是能够很好的隔离软件控制系统和硬件控制系统，满足单一故障。缺点是需要人为检测软件是否发生了共模，并且无法实时对软件共模故障进行处理。

发明内容

为解决现有技术中核电站安全级DCS控制系统中，当软硬件控制系统共存时一旦出现问题两者之间易互相影响的问题，本发明提供一种核电站安全级DCS软件共模故障检测系统及其控制方法，具体方案如下：核电站安全级DCS的软件共模故障检测系统，包括发送软件控制信号的软件控制系统和发送硬件控制信号的硬件控制系统，其中软件控制系统和硬件控制系统分别与接收信号进行二择一优选的优选卡连接，优选卡与被控设备连接，其特征在于，所述软件控制系统和硬件控制系统还分别与检测软件控制系统是否正确的共模故障检测模块连接，共模故障检测模块与优选卡连接。

优选为：所述共模故障检测模块包括发送模块和接收模块，其中发送模块接收软件控制系统的特定代码并发送到接收模块，接收模块同时接收软件控制系统、硬件控制系统和发送模块的信号并进行相应的逻辑处理，然后将结果发送到优选卡。

优选为：所述接收模块包括软件故障逻辑判断模块和硬件故障逻辑判断模块，其中软件故障逻辑判断模块接收软件控制系统的特定代码并对特定代码进行还原，再根据还原后的值与特定代码的原值进行逻辑判断，再将判断结果为正确的值输送到硬件故障逻辑判断模块；

硬件故障逻辑判断模块接收硬件控制信号和软件控制信号进行逻辑判断，再将逻辑判断的结果与软件故障逻辑判断模块的输送的值进行逻辑判断，然后输出相应结果。

优选为：所述的相应结果包括硬件控制信号和软件控制信号输出不一致且收到软件故障逻辑判断模块输送的值，此时硬件故障逻辑判断模块输出硬件故障的报警信号；以及

硬件控制信号和软件控制信号的输出结果一致且收到软件故障逻辑判断模块输送的值，此时硬件故障逻辑判断模块向优选卡输出正常信号。

优选为：所述硬件故障逻辑判断模块内包括多个针对不同被控设备的子判断模块，每个子判断模块针对一个相应的被控设备。

优选为：软件故障逻辑判断模块的判断结果不正确时，软件故障逻辑判断模块输出软件故障的报警信号同时将相应被控设备的控制方式切换到硬件手动控制模式。

本发明核电站安全级DCS软件共模故障检测系统的控制方法，包括如下步骤：

步骤1、将软件控制系统的软件控制信号和硬件控制系统的硬件控制信号同时发送到共模故障检测模块和优选卡；

步骤2、共模故障检测模块对软件控制系统的控制信号进行校验，并根据校验结果对软件控制系统和硬件控制系统的控制信号进行逻辑判断，再将判断结果发送到优选卡；

步骤3、优选卡根据共模故障检测模块发送的判断结果对软件控制系统和硬件控制系统的控制信号进行相应的优选后输出到被控设备。

优选为：所述步骤2中，共模故障检测模块包括发送模块和接收模块，其中发送模块向接收模块发送特定代码，接收模块接收特定代码和软件控制信号、硬件控制信号并做如下处理；

步骤201、通过对特定代码进行解码和检测来确定软件控制系统是否正确然后输出相应信息；

步骤202、对软件控制信号和硬件控制信号进行逻辑判断后再根据步骤201的输出结果确定相应输出到优选卡。

优选为：所述步骤201中的特定代码是周期性循环发送且每周期发送数值不同，接收模块在检验到连续三个周期内的特定代码有误时，判断当前软件控制系统故障并发出报警信号，否则将检验结果输入到接收模块；

优选为：所述步骤202中，接收模块判断软件控制信号和硬件控制信号不一致且收到软件控制系统正确的信号时，输出硬件控制信号故障的报警信号；

接收模块在软件控制信号和硬件控制信号一致且收到软件控制系统正确的信号时，向优选卡输出控制信号正常的信号。

本发明首先对软件控制系统进行正确性判断，然后以此为基础对硬件控制信号进行正确性判断，从而保证优选卡的正确输出。共模故障检测模块能够实时检测软件控制系统，因此能够实时发现软件控制信号和硬件控制信号的故障，并即时切换。在软件控制信号或硬件控制信号出现问题时，能够对优选卡输出相应的信息，避免优选卡对已经出现故障的信号再进行选择。

附图说明

图1本发明的结构示意图；

图2本发明中共模故障检测模块的发送模块的逻辑结构示意图；

图3本发明中共模故障检测模块的接收模块组成示意图；

图4图3中接收模块内硬件故障逻辑判断模块的逻辑判断示意图；

图5图3中接收模块内软件故障逻辑判断模块的逻辑判断示意图；

图6图3中接收模块内软件故障逻辑判断模块对特定代码进行校验的逻辑判断示意图；

图7本发明的控制方法流程示意图；

附图中标号说明：1-软件控制系统、2-硬件控制系统、3-共模故障检测模块、301-发送模块、302-接收模块、303-硬件故障逻辑判断模块、304-软件故障逻辑判断模块、305-子判断模块、4-优选卡、5-被控设备。

具体实施方式

如图1所示，本发明的核电站安全级DCS的软件共模故障检测系统，包括发送软件控制信号的软件控制系统1和发送硬件控制信号的硬件控制系统2，其中软件控制系统1和硬件控制系统2分别与接收信号进行二择一优选的优选卡4连接，优选卡4与被控设备5连接，软件控制系统1和硬件控制系统2还分别与检测软件控制系统1是否正确的共模故障检测模块3连接，共模故障检测模块3与优选卡4连接。

本发明在正常工作时，软件控制系统1和硬件控制系统2同时向优选卡4和共模故障检测模块3发送控制信号，优选卡4在对软件控制信号和硬件控制信号进行优选前，需要根据共模故障检测模块3的检测结果确定当前的软件控制信号和硬件控制信号是否正确，然后才进行二择一的优选输出。共模故障检测模块3首先对软件控制系统1的正确性进行校验，以确定软件控制系统的正确，然后再判断软件控制信号和硬件控制信号的输出是否一致。

在软件控制系统的校验结果为不正确的情况下，共模故障检测模块直接输出软件控制系统故障的报警信号，同时向优选卡输出相应信号，优选卡直接将硬件控制信号输出到被控设备。

在软件控制系统的校验结果为正确的情况下，如果软件控制信号和硬件控制信号输出不一致，表明硬件控制信号有故障，则在发出硬件硬件报警信号的同时向优选卡输出信息，优选卡直接输出软件控制信号到被控设备。

当软件控制系统的校验结果正确且软件控制信号和硬件控制信号输出一致时，表明一切正常，优选卡根据发送的信号做出正常处理后再将相关控制信号发送到被控设备。

本发明的共模故障检测模块3包括发送模块301和接收模块302，其中发送模块301接收软件控制系统1的特定代码并发送到接收模块302，接收模块302同时接收软件控制系统1、硬件控制系统2和发送模块301的信号并进行相应的逻辑处理，然后将结果发送到优选卡4。

如图3所示，其中接收模块302包括软件故障逻辑判断模块304和硬件故障逻辑判断模块303，其中软件故障逻辑判断模块304接收软件控制系统1的特定代码并对特定代码进行还原，将还原后的值与特定代码的原值进行逻辑判断，并将正确的判断结果输送到硬件故障逻辑判断模块303；硬件故障逻辑判断模块303接收硬件控制信号和软件控制信号并进行逻辑判断，再将逻辑判断的结果与软件故障逻辑判断模块304的判断结果进行逻辑判断，再输出相应结果。相应结果包括硬件控制信号和软件控制信号输出不一致且收到软件故障逻辑判断模块304发送的正确判断结果时，硬件故障逻辑判断模块303输出硬件故障的报警信号；当硬件控制信号和软件控制信号的输出结果一致且收到软件故障逻辑判断模块304发送的正确判断结果时，硬件故障逻辑判断模块303向优选卡4输出正常信号；如图3所示，本发明中硬件故障逻辑判断模块303内包括多个针对不同被控设备5的子判断模块305，每个子判断模块305针对一个相应的被控设备5。当软件故障逻辑判断模块304的判断结果不正确时，软件故障逻辑判断模块303输出软件故障的报警信号同时将相应被控设备5的控制方式切换到硬件手动控制模式。

实施例一：

如图1所示，共模故障检测模块的发送模块接收软件控制系统的特定代码，特定代码的组成如表一所示，其中A、B、C和D分别在控制平台的四个循环周期给出四种不同组合的数据，使用这四个数据与接收模块中生成的相应数据进行对比，来检测软件共模故障的发生，而E、F、G则是为了满足单一故障原则所使用的海明码效验位，这样做的目的是在接收模块接收数据时假如有一位数据出现了问题，那么也能得到及时的校正，而不影响接下来对软件共模故障的判断。

周期	A	B	C	D	E	F	G
								1	0	1	1	0	0	1	1
2	1	0	1	0	0	1	0
								3	1	0	0	1	1	0	0
4	0	1	0	1	1	0	1

如图5、6所示，接收模块接收由海明码编码的特定代码A、B、C、D、E、F、G七个信号后，直接进行解码和译码，最终得出真实发送值A1，B1，C1，D1，E1，F1，G1，图6中分别把A1，B1，C1，D1和接收模块按照发送模块自生成的A、B、C、D做了周期比对，最终得出如果3个周期信号比对不一致那么立即发出软件共模故障的报警信号，如果3个周期信号比对一致则认为软件共模故障解除或无故障。输出ALARM_SOFTWARE信号表示当前软件共模。

如图3、4所示，其中H_TX（例如H_T1）模块实现了硬件故障检测功能，每一个硬逻辑输入的控制信号都对应一个H_T(X)模块，这个模块用来检测在软件控制系统正常的情况下硬逻辑是否发生了故障。S_T为软件共模故障检测模块。图4中的HARDWARE_OP和SOFTWARE_OP输入信号是对同一个被控设备发送的硬件控制信号和软件控制信号，当软件没有发生共模故障时（ALARM_SOFTWARE为0时），并且在硬件手动控制（BUP控制）模式下时，对比软件控制信号输出和硬件控制信号输出，如果输出不同，那么输出报警（ALARM1_OP），表示硬件发生了故障。由于一块CPU上有多个硬逻辑控制信号输出至优选卡，所以每个硬逻辑控制信号都应对应一个图4所示的控制逻辑图，区别只是输入信号和输出信号不同，对输出的报警信号进行识别，就可以判断并指出硬件控制逻辑是否存在故障和故障部位。

本发明的软件共模故障检测技术首先阻止硬件逻辑参与控制设备，即在软件控制信号和硬件控制信号进入优选卡优选之前，先判断哪部分逻辑信号是否有问题，当软件发生共模时使用硬件控制信号进行控制，否则使用软件控制信号进行控制。在一般情况下，本发明采用软件进行控制，这时共模故障检测模块实时对硬件进行检测，这样就防止了硬件发生故障时对软件的影响。在软件发生共模故障时，发送模块发送的特定代码就会出现共模故障情况下的有规律的或无规律的跳变，这时接收模块自发生的信号与发送模块发出的信号进行比对，如果数据差异超过3个周期那么判断软件发生了共模故障，这样发送软件共模故障信号，使优选卡（PIF）选择硬件控制逻辑来控制，这样就很好的解决了软件共模故障引起的问题。

本发明的系统控制方法如下：

101、将软件控制系统的软件控制信号和硬件控制系统的硬件控制信号同时发送到共模故障检测模块和优选卡；

102、共模故障检测模块对软件控制系统的控制信号进行校验，并根据校验结果对软件控制系统和硬件控制系统的控制信号进行逻辑判断，再将判断结果发送到优选卡；

共模故障检测模块包括发送模块和接收模块，其中发送模块向接收模块发送特定代码，接收模块接收特定代码和软件控制信号、硬件控制信号并做如下处理；

201、通过对特定代码进行解码和检测来确定软件控制系统是否正确然后输出相应信息；

特定代码是周期性循环发送且每周期发送数值不同，接收模块在检验到连续三个周期内的特定代码有误时，判断当前软件控制系统故障并发出报警信号，否则将检验结果输入到接收模块；

202、对软件控制信号和硬件控制信号进行逻辑判断后再根据步骤201的输出结果确定相应输出到优选卡；

接收模块判断软件控制信号和硬件控制信号不一致且收到软件控制系统正确的信号时，输出硬件控制信号故障的报警信号；

接收模块在软件控制信号和硬件控制信号一致且收到软件控制系统正确的信号时，向优选卡输出控制信号正常的信号。

103、优选卡根据共模故障检测模块发送的判断结果对软件控制系统和硬件控制系统的控制信号进行相应的优选后输出到被控设备。

硬件故障逻辑判断模块首先对软件控制信号和硬件控制信号进行逻辑判断，再将判断结果与软件故障逻辑判断模块发送的解析结果进行逻辑判断，当软件控制信号和硬件控制信号的逻辑判断为异时且接收到软件故障逻辑判断模块的解析结果，表明硬件控制信号有故障，则发出硬件故障的报警信号，此时优选卡仅选择软件控制信号输出到被控设备；

当软件控制信号和硬件控制信号的逻辑判断为相同时且接收到软件故障逻辑判断模块的解析结果，表明软件控制信号和硬件控制信号都正常，则向优选卡发出正常信号，优选卡对软件控制信号和硬件控制信号进行优选后将结果输出到被控设备。

以上所述仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，虽然本发明已以较佳实施例揭露如上，然而并非用以限定本发明，任何熟悉本专利的技术人员在不脱离本发明技术方案范围内，当可利用上述提示的技术内容作出些许更动或修饰为等同变化的等效实施例，但凡是未脱离本发明技术方案的内容，依据本发明的技术实质对以上实施例所作的任何简单修改、等同变化与修饰，均仍属于本发明方案的范围内。

Claims (10)

1.核电站安全级DCS的软件共模故障检测系统，包括发送软件控制信号的软件控制系统（1）和发送硬件控制信号的硬件控制系统（2），其中软件控制系统（1）和硬件控制系统（2）分别与接收信号进行二择一优选的优选卡（4）连接，优选卡（4）与被控设备（5）连接，其特征在于，所述软件控制系统（1）和硬件控制系统（2）还分别与检测软件控制系统是否正确的共模故障检测模块（3）连接，共模故障检测模块（3）与优选卡（4）连接。 

2.如权利要求1所述的软件共模故障检测系统，其特征在于，所述共模故障检测模块（3）包括发送模块（301）和接收模块（302），其中发送模块（301）接收软件控制系统的特定代码并发送到接收模块（302），接收模块（302）同时接收软件控制系统（1）、硬件控制系统（2）和发送模块（301）的信号并进行相应的逻辑处理，然后将结果发送到优选卡（4）。 

3.如权利要求2所述的软件共模故障检测系统，其特征在于，所述接收模块（302）包括软件故障逻辑判断模块（304）和硬件故障逻辑判断模块（303），其中软件故障逻辑判断模块（304）接收软件控制系统（1）的特定代码并对特定代码进行还原，再根据还原后的值与特定代码的原值进行逻辑判断，再将判断结果为正确的值输送到硬件故障逻辑判断模块（303）； 

硬件故障逻辑判断模块（303）接收硬件控制信号和软件控制信号进行逻辑判断，再将逻辑判断的结果与软件故障逻辑判断模块（304）的输送的值进行逻辑判断，然后输出相应结果。 

4.如权利要求3所述的软件共模故障检测系统，其特征在于，所述的相应结果包括硬件控制信号和软件控制信号输出不一致且收到软件故障逻辑判断模块（304）输送的值，此时硬件故障逻辑判断模块（303）输出硬件故障的报警信号；以及 

硬件控制信号和软件控制信号的输出结果一致且收到软件故障逻辑判断模块（304）输送的值，此时硬件故障逻辑判断模块（303）向优选卡（4）输出正常信号。 

5.如权利要求3所述的软件共模故障检测系统，其特征在于，所述硬件故障逻辑判断模块（303）内包括多个针对不同被控设备的子判断模块（305），每个子判断模块（305）针对一个相应的被控设备（5）。 

6.如权利要求3所述的软件共模故障检测系统，其特征在于，软件故障逻辑判断模块（304）的判断结果不正确时，软件故障逻辑判断模块（304）输出软件故障的报警信号同时将相应被控设备（5）的控制方式切换到硬件手动控制模式。 

7.如权利要求1-6所述的软件共模故障检测系统的控制方法，其特征在于包括如下步骤： 

步骤1、将软件控制系统的软件控制信号和硬件控制系统的硬件控制信号同时发送到共模 故障检测模块和优选卡； 

步骤2、共模故障检测模块对软件控制系统的控制信号进行校验，并根据校验结果对软件控制系统和硬件控制系统的控制信号进行逻辑判断，再将判断结果发送到优选卡； 

步骤3、优选卡根据共模故障检测模块发送的判断结果对软件控制系统和硬件控制系统的控制信号进行相应的优选后输出到被控设备。 

8.如权利要求7所述的控制方法，其特征在于，所述步骤2中，共模故障检测模块包括发送模块和接收模块，其中发送模块向接收模块发送特定代码，接收模块接收特定代码和软件控制信号、硬件控制信号并做如下处理； 

步骤201、通过对特定代码进行解码和检测来确定软件控制系统是否正确然后输出相应信息； 

步骤202、对软件控制信号和硬件控制信号进行逻辑判断后再根据步骤201的输出结果确定相应输出到优选卡。 

9.如权利要求8所述的控制方法，其特征在于，所述步骤201中的特定代码是周期性循环发送且每周期发送数值不同，接收模块在检验到连续三个周期内的特定代码有误时，判断当前软件控制系统故障并发出报警信号，否则将检验结果输入到接收模块。 

10.如权利要求8所述的控制方法，其特征在于，所述步骤202中，接收模块判断软件控制信号和硬件控制信号不一致且收到软件控制系统正确的信号时，输出硬件控制信号故障的报警信号； 

接收模块在软件控制信号和硬件控制信号一致且收到软件控制系统正确的信号时，向优选卡输出控制信号正常的信号。 

Images