CN1063876C - 使用电源切断继电器的故障保险系统及其控制方法 - Google Patents

Abstract

使用电源切断继电器的故障保险系统及其控制方法。该系统包括CPU，提供或切断来自外部连接的电源装置的继电器驱动电源的电源切断继电器，继电器控制器，输出板，用于按照来自CPU的输出控制信号向下一电路提供或切断来自电源切断继电器的继电器驱动电源，逻辑电源，用于向CPU和继电器控制器分别提供逻辑电源对其进行启动，输出继电器，按照来自输出板的继电器驱动电源和控制信号接通或断开，提供或切断供给外部连接对象的外部连接对象驱动电源。

Description

使用电源切断继电器的故障保险系统及其控制方法

本发明涉及使用电源切断继电器的故障保险系统(failsafe system)及其控制方法，特别涉及一种改进的使用电源切断继电器的故障保险系统及其控制方法，当系统中发生故障时，它能够使用电源切断继电器切断供给外部连接的控制对象的电源。

如图1所示，现有的故障保险系统包括CPU(中央处理单元)10，用来输出操作继电器的控制信号，输出板20，用来接收来自CPU10的输出控制信号，并提供或切断供给继电器的外部供给的继电器驱动电源，逻辑电源1，用来启动CPU 10和输出板20，这通过向其提供逻辑电源实现，以及输出继电器30，它按照来自输出板20的继电器驱动电源而接通，向外部连接的对象例如铁路系统中的信号机、道岔机等提供外部输入的外部对象驱动电源。

图2说明图1的系统中的输出板。

现在参照这些附图说明现有的故障保险系统的操作。

如图1所示，当逻辑电压从外部供给CPU 10时，按照系统的操作状态输出高电平输出控制信号。当CPU 10输出高电平输出控制信号时，图2所示的输出板20的锁存器21在从外部输入复位信号以前保持高电平状态，并且当输入复位信号时向第一光耦合器22输出高电平信号。

此后，第一光耦合器22的光二极管(未示出)按照来自锁存器21的高电平输出控制信号导通，这样便产生光信号，并且光晶体管(未示出)接收该光信号，从而被导通，把接收的光信号转换成电信号，其数量正比于光信号的数量，并向输出电路23输出被这样转换的信号。

输出电路23按照从第一光耦合器22输出的电信号被驱动，并且根据电信号输出的继电器控制信号和继电器驱动电源被加到输出继电器30的线圈上。这样，输出继电器30接通。因此，外部连接对象驱动电源被加到外部连接对象(未示出)上，例如和输出继电器30的接点相连的信号机或道岔机，因而外部连接对象便按照这样提供的外部对象驱动电源进行驱动。

此外，来自输出电路23的继电器控制信号被反馈给输入电路24，并被送到第二光耦合器25，此后，第二光耦合器25的光二极管(未示出)导通，并按照来自输入电路34的信号产生光电荷。光晶体管(未示出)把光信号转变为电信号，其数量正比于光信号的数量，并向缓冲器26输出这样转换的信号。缓冲器26缓冲来自第二光耦合器25的电信号，暂时存储起来，并向CPU10输出该电信号。

此后，CPU 10读出来自缓冲器26的信号，并比较读出的信号和先前输出的输出控制信号。根据比较的结果，这些信号互不相同时，系统则判定为故障并输出低电平输出控制信号，从而撤销先前输出的高电平输出控制信号。

第一光耦合器22的光二极管(未示出)按照通过锁存器21来自CPU 10的低电平控制信号而截止，因而光晶体管(未示出)不再被驱动。因此，输出电路23不被驱动，从而使继电器驱动电源不会加到输出继电器30上。输出继电器30被切断电源，并且外部连接对象的电源被切断，从而阻止外部连接对象误动作。因此，实现了故障保险操作。

此时，如果在锁存器21中发生故障，则从CPU 10输出的输出控制信号不加于输出电路23。此外，如果在锁存器中没有故障，并且即使对其加上输出控制信号时，如果在输出电路23中有故障，例如在输出电路中存在短路，因为外部输入的继电器驱动电源总是供给输出继电器30，所以就可能发生例如撞车事故。为了避免这一问题，使用双重系统结构。

即，如果第一系统的输出板20有故障，并且输出电路23的内部元件也有问题，则第一系统被转换到第二系统(未示出)。第二系统的结构从CPU到输出板是和第一系统相同的。第二系统(未示出)的CPU使用内部连接的锁存器或输出电路控制该电路，使得输出板供给或切断输出继电器30的线圈装置的继电器驱动电源。

参照图3说明用于控制这种结构的系统的操作。

当CPU输出高电平输出控制信号时，输出板20控制输出继电器30，使得外部连接的电路驱动电源被加到外部连接对象(示未出)例如信号机、道岔机或地下铁路交通系统上。

CPU 10比较关于来自输出板20的继电器控制信号的对其反馈的响应信号和先前输出的输出控制信号。根据比较的结果，当信号相同时，则先前输出的控制信号就被继续输出，用来对系统进行正常操作。如果这两个信号彼此不同，则CPU 10输出一个控制信号，用来删除先前输出给输出板20的输出控制信号，然后把第一系统转换到第二系统，从而使系统稳定地操作。

然而，在常规的系统中，当输出板20的锁存器21中出现问题时，或者在输出电路23的内部元件中发生和硬件有关的故障例如短路时，虽然CPU10输出一个用于删除先前输出的高电平输出控制信号的低电平输出控制信号，但输出继电器30仍保持接通状态。在使用双重系统的情况下，由于电源总是供给外部连接单元，所以当在第二系统的输出板中出现故障时，可能在输出板的输出电路中发生短路问题。因此，通过简单地提供双重系统结构，不可能可靠地切断系统的电源供给。

因而，本发明的目的在于提供一种使用电源切断继电器的故障保险系统及其控制方法，从而克服现有技术中的上述缺点。

本发明的另一个目的在于，提供一种使用电源切断继电器的故障保险系统及其控制方法，它能够通过使用关键的电源切断继电器(vital power off relay)借助于切断从外部连接的电源装置向输出板的电源供应而精确可靠地切断输出继电器。

为达到上述目的，按照本发明的第一实施例，提供一种使用电源切断继电器的故障保险系统，该系统包括用于输出试验控制信号、继电器控制信号和用于试验或操作系统的输出控制信号的CPU(中央处理单元)，电源切断继电器，用于供给或切断来自外部连接电源单元的继电器驱动电源，用来向CPU输出信息并控制电源切断继电器的继电器控制器，所述信息相应于按照试验控制信号的内部开关元件或电源切断继电器的操作状态，输出板，用于按照来自CPU的输出控制信号向下一电路提供或切断来自电源切断继电器的继电器驱动电源，逻辑电源，用来通过提供逻辑电源分别启动CPU和继电器控制器，以及输出继电器，它按照来自输出板的控制信号和继电器驱动电源接通或切断，用来向外部连接的对象提供或切断外部连接对象驱动电源。

为实现上述目的，按照本发明的第一实施例，还提供一种改进的利用电源切断继电器的故障保险系统控制方法，包括以下步骤：比较来自输出板的输出控制信号和从输出板向输出继电器输出的控制信号；当信号相同时，按照先前输出的输出控制信号控制系统的操作；当信号不同时，向输出板输出一个控制信号用来取消向继电器控制器先前输出的输出控制信号和继电器控制信号，从而切断电源切断继电器，并通过电源切断继电器切断供给输出继电器的继电器驱动电源；向继电器控制器输出试验控制信号，读出关于从继电器控制器向电源切断继电器输出的控制信号的响应信号并判断继电器控制器和电源切断继电器的操作是否正常；以及当判定系统操作正常时，向继电器控制器输出控制信号用于取消继电器切断信号，当判定系统异常操作时，输出控制信号，用于取消向输出板输出的输出控制信号，从而切断输出继电器，并把第一系统转换到第二系统。

为实现上述目的，按照本发明第二实施例提供一种使用电源切断继电器的故障保险系统，包括CPU(中央处理单元)，用于输出控制信号例如试验控制信号、继电器控制信号和用于按照外部输入的逻辑电源和系统的操作状态试验或操作系统的第一第二输出控制信号，电源切断继电器，用于提供或切断来自外部连接电源单元的对其输入的继电器驱动电源，继电器控制器，用来根据来自CPU的试验控制信号输出相应于内部开关元件或电源切断继电器的操作状态的响应信号，并按照来自CPU的继电器控制信号控制电源切断继电器，辅助继电器，用于提供或切断通向下一电路的继电器驱动电源，该电源是通过电源切断继电器从外部连接电源单元提供的，辅助继电器控制器，用来使用继电器驱动电源控制辅助继电器，所述继电器驱动电源是按照来自CPU的第一输出控制信号通过电源切断继电器施加的，输出板，用于按照来自CPU的第二输出控制信号向下一电路提供继电器驱动电源，该电源是从外部连接电源单元通过电源切断继电器和辅助继电器施加的，逻辑电源，用于通过提供逻辑电源分别启动CPU和继电器控制器，以及输出继电器，用于按照通过输出板对其提供的继电器驱动电源对外部连接对象提供外部连接对象驱动电源。

为实现上述目的，按照本发明的第二实施例，还提供了一种改进的利用电源切断继电器的故障保险系统控制方法，包括以下步骤：比较分别向辅助继电器控制器输出的第一输出控制信号和从辅助继电器控制器向辅助继电器输出的信息；当比较的结果表明这些信号相同时，则进行下一步，当比较的结果表明这些信号不同时，则向辅助继电器控制器输出低电平的第一输出控制信号，用以取消先前输出的高电平的第一输出控制信号，并向继电器控制器输出继电器控制信号，用以切断电源切断继电器；比较向输出板输出的第二输出控制信号和从输出板向输出继电器输出的信息；当比较结果表明信号相同时，则按照第二输出控制信号控制该系统进行下一步操作，并且根据比较的结果判断是否只切断出现问题的输出板的电源或者切断所有输出板的电源；当根据判断切断所有输出板的电源时，向输出板分别输出控制信号，用来取消向输出板输出的第二输出控制信号，并向继电器控制器输出继电器控制信号，用于切断电源切断继电器，并切断来自输出板的输出；当根据判断只切断发生故障的输出板的电源时，则向相应的辅助继电器控制器输出控制信号，取消向输出板输出的第二输出控制信号，并向相应的辅助继电器控制器输出控制信号，用以切断相应的辅助继电器，从而切断对相应的输出板的电源供给，并把第一系统转换到第二系统；检查在转换步骤中转换的第二系统的相应的输出板是否正常工作；当检查结果表明系统工作正常时，则使用第二系统进行在第一系统中故障的输出控制操作，执行和第一系统相同的步骤，当判断系统工作不正常时，则向继电器控制器输出继电器控制信号，周以切断供给第一系统和第二系统的相应的电源切断继电器的电源供应，从而切断来自整个系统的输出；向继电器控制器输出试验控制信号，读出通过继电器控制器根据向电源切断继电器输出的控制信号对其反馈的响应信号，并判断继电器控制器和电源切断继电器是否正常工作；以及当判断系统工作正常时，向继电器控制器输出控制信号，用以取消继电器切断指令，当判断系统工作不正常时，则输出控制信号，用以取消分别向输出板输出的第二输出控制信号，并向继电器控制器输出继电器控制信号，用以切断电源切断继电器，这样便切断输出继电器，并把第一系统转换到第二系统。

从下面的说明中可以更清楚地看出本发明的其它优点、目的和特点。

从下面给出的说明和以说明的方式而不是以限制的方式给出的附图中会更充分地理解本发明，其中：

图1是说明常规的故障保险系统的方块图；

图2是图1的系统中输出板的方块图；

图3是常规的故障保险系统的控制流程图；

图4是按照本发明的使用电源切断继电器的故障保险系统的方块图；

图5是按照本发明的第一实施例的使用电源切断继电器的故障保险系统的详细方块图；

图6A是按照本发明的使用电源切断继电器的故障保险系统的控制过程的正常程序的流程图；

图6B是按照本发明的使用电源切断继电器的故障保险系统的控制过程的试验程序的流程图；

图7是按照本发明第二实施例的使用电源切断继电器的故障保险系统的方块图；以及

图8A-C是按照本发明的图7所示的系统控制过程的流程图。

如图4所示，按照本发明的使用电源切断继电器的故障保险系统包括：CPU(中央处理单元)100，用来输出试验控制信号、继电器控制信号和输出控制信号，用于对系统进行操作和试验，电源切断继电器300，用于提供或切断来自外部连接电源单元(未示出)的继电器驱动电源，继电器控制器200，用于按照来自CPU 100的试验控制信号和继电器控制信号向CPU 100输出关于内部开关元件或电源切断继电器300的操作状态的信息，从而控制电源切断继电器300，输出板400，用于按照CPU 100的输出控制信号通过电源切断继电器300向下一电路提供或切断来自外部连接电源单元的继电器驱动电源，以及按照继电器驱动电源和来自输出板400的控制信号接通或断开的输出继电器500，用于提供或切断外部连接对象的来自外部连接电源单元(未示出)的外部连接对象驱动电源。

如图5所示，继电器控制器200包括驱动信号发生单元210、试验输出单元220和试验输出单元230。

驱动信号发生单元210包括第一锁存器211，用于暂时存储用于按照来自CPU 100的继电器控制信号切断或驱动电源切断继电器300的继电器控制信号，第一光耦合器212，用于把来自第一锁存器211的控制信号转换成光信号并把转换所得的光信号变成电信号，以及驱动晶体管213，它按照来自第一光耦合器212的控制信号导通或截止，用于控制电源切断继电器300。

试验输出单元220包括第二锁存器221，用于暂时存储来自CPU 100的试验控制信号，以及第二光耦合器222，用于向驱动信号发生单元的驱动晶体管213输出来自第二锁存器221的信号。

试验输入单元230包括第三光耦合器231，用于把反馈的光信号转换成光信号，并把转换的光信号变成电信号，以及第一缓冲器232，用于缓冲来自第三光耦合器231的信号并向第一缓冲器232输出这样缓冲的信号。

如图5所示，输出板400包括第三锁存器410，用于在从外部输入复位信号以前锁存来自CPU 100输出控制信号，第四光耦合器420，用于转换来自第三锁存器410的信号成为光信号，并把转换的光信号变成电信号，输出电路430，用来按照来自第四光耦合器420的信号输出来自外部连接电源单元(未示出)的继电器驱动电源和控制信号，输入电路440，用于接收从输出电路430向继电器500输出的控制信号，第五光耦合器450，用于转换来自输入电路440的信号成为光信号，并把所得光信号变为电信号，以及第二缓冲器460，用于缓冲来自第五光耦合器450的信号，并向CPU 100输出被缓冲的信号。

其中输出电路430把通过电源切断继电器300从外部输入的继电器驱动电源按照和输出电路430相连的输出继电器500的操作状态或容易转换成和关于输出继电器500的预定电压或电流值相匹配的信号，然后向控制信号通路输出这样转换的信号。因此，输出电路430的内部元件的结构根据输出继电器500的操作状态或容量而不同。

下面参照附图说明按照本发明的使用电源切断继电器的故障保险系统的操作和效果。

如图4和图5所示，在逻辑电源从外部连接的逻辑电源2分别加于CPU100、继电器控制器200和输出板400的状态下，CPU 100向继电器控制器200输出继电器控制信号。

来自CPU 100的继电器控制信号被输入给继电器控制器200的驱动信号发生单元210，并且按照来自驱动信号发生单元210的输出，电源切断继电器300接通。此后，来自外部连接电源单元(未示出)的继电器驱动电源通过电源切断继电器300送到输出板400的输出电路430。

此外，输出电路430按照从CPU 100通过第三锁存器410和输出板400的第四光耦合器420提供的高电平输出控制信号被驱动。输出电路把来自电源切断继电器300的继电器驱动电源转换成预定的电压和电流值，或向输出继电器500输出高电平控制信号作为控制输出继电器500的信号。

此后，输出继电器500被接通，因而外部连接对象驱动电源被供给外部连接对象，例如信号机、道岔机或地铁控制系统(未示出)。

此时，输出板400的输出电路430向输出继电器500输出的控制信号信息被返馈回输出电路440，并通过第五光耦合器450被暂时存储在第二缓冲器460中。此后，CPU 100读出在第二缓冲器460中存储的信息，并比较读出的信息和向输出板400输出的输出控制信号，从而判断这些信号是否相同。

根据比较结果，如果信号相同，则CPU 100按照第一输出的输出控制信号控制系统的操作。如果信号互不相同，则向输出板400输出低电平控制信号，用以取消先前输出的输出控制信号，并同时向继电器控制器200输出继电器控制信号，用以切断电源切断继电器300的电源。

此后，输出板400的输出电路430按照来自CPU 100的低电平输出控制信号不被驱动。因此，在不驱动输出电路430时，输出继电器500被切断，并且外部连接对象驱动电源被切断。此外，通过电源切断继电器300来自CPU100的切断控制信号(低电平继电器控制信号)通过第一锁存器211和继电器控制器200的第一光耦合器212被输入给驱动晶体管213。因此，驱动晶体管213被截止，并且电源转换继电器300被切断。

因为继电器300的电源被切断，所以通过输出板400的输出电路430加于输出继电器500的继电器驱动电源被切断。因此，输出继电器500被切断，因而切断外部连接对象驱动电源。

如果比较的结果不同，则来自CPU 100的低电平输出控制信号首先切断输出板400，并且如果在输出板400的输出电路430中发生故障，则CPU 100控制系统，使输出低电平继电器控制信号，从而切断电源转换继电器300。

此外，如果故障发生在控制电源切断继电器300的继电器控制器200的驱动信号发生单元210中(例如由于第一锁存器211中的故障或外加电源中的短路引起的输出电平降低的现象)，则驱动晶体管213截止，因而电源切断继电器300被自动切断。然而，如果由于驱动晶体管213中的故障而在电路中发生短路，则电源切断继电器300的接点被熔化，因为电源切断继电器300总保持接通，所以不可能切断输出继电器500。

因此，驱动晶体管213和电源切断继电器300的操作状态应该随时被检查。即CPU 100通过第二锁存器221和试验输出单元220的第二光耦合器222向驱动晶体管213输出试验控制信号，借以截止驱动晶体管213。因此，电源切断继电器300被切断，并且按照电源切为继电器300的接点的通／断状态而发生的响应信号被反馈给试验输入单元230的第三光耦合器231并被输入给第一缓冲器232。

CPU 100读出响应信号，并检查在驱动晶体管213和电源切断继电器300中是否存在错误。

这里说明CPU 100检查在驱动晶体管213和电源切断继电器300中是否存在故障的操作。首先，当使用其接点最初为打开的(所谓接点“A”)继电器作为电源切断继电器300时，其电路结构使得在正常操作状态下，当CPU100输出高电平试验控制信号时，读出高电平响应信号，并且当实验控制信号不被输出时，则读出低电平响应信号。

此外，当使用其另一接点最初是闭合的(所谓接点“B”)接点继电器作为电源切断继电器300时，其结构和当使用最初是打开的继电器的结构相反。

在这些情况下，真值表如表1和表2所示。即CPU 100根据电路按表1或表2进行操作而比较试验信号和响应信号。

如表1和表2所示，根据比较结果，如果操作被判断为正常，则CPU 100输出高电平继电器控制信号，用于驱动电源切断继电器300，并且如果输出低电平继电器控制信号用于切断电源切断继电器300，则向第一锁存器211、第一光耦合器212以及继电器控制器200的驱动晶体管213分别输出取消电源切断继电器300的高电平控制信号。电源切断继电器300被正常操作，并通过输出板400向输出继电器500提供外部输入的继电器驱动电源。此后，电源被供给外部连接对象，因而对系统进行正常操作。

[表1]使用最初是打开的接点继电器的试验结果真值表

电源切断继电器和驱动TR		试验信号	响应信号	判断
					电源切断继电器	驱动TR
正常	正常				高	高	正常
正常	异常	高	低	异常
异常	正常	高	低	异常
异常	异常	高	低	异常

[表2]使用最初为闭合的继电器的试验结果真值表

电源切断继电器和驱动TR		试验信号	响应信号	判断
					电源切断继电器	驱动TR
正常	正常				高	低	正常
正常	异常	高	高	异常
异常	正常	高	高	异常
异常	异常	高	高	异常

此外，当根据比较结果CPU 100判断操作异常时，CPU 100则通过输出电路板400的第三锁存器410和第四光耦合器420输出低电平输出控制信号，用来取消来自输出电路430的高电平输出控制信号，并输出切断电源切断继电器300的继电器控制信号。

因为电源切断继电器300被切断，所以通过输出电路430加于输出继电器500的继电器驱动电源被切断。因此，输出继电器500被切断，外部连接对象驱动电源不被加到外部连接对象上，从而使外部连接对象成为安全操作状态。这里，表1和2所示的试验操作被事先在CPU 100中编程。此外，当系统正常操作时，试验操作被暂时地进行。

此外，在系统以双系统结构构成的情况下，当故障发生在第一系统的驱动元件中时，则在第一系统和第二系统之间的转换操作通过使用常规使用的转换电路或通过在第一和第二系统的CPU之间的通信自动进行。第二系统的操作和第一系统相同，从而使电源被供给或者不被供给外部连接对象。即从CPU到第一、第二系统的输出板的结构是相同的。第一、第二系统通过其CPU进行互联。如果故障发生在第一、第二系统之一中，则第一、第二系统之间的转换操作通过CPU自动进行。

现在参照图6A和6B说明CPU 100控制系统工作的操作。

当在步S11，CPU 100向输出板400输出输出控制信号时，则输出板400在步S12按照输出控制信号向输出继电器500输出高电平控制信号。

此时，在步S13和S14，CPU 100接收从输出板400向输出继电器500输出的控制信号，并比较接收的控制信号和先前输出的输出控制信号。

此后，如果比较表明信号相同，则CPU 100这样控制系统，使系统按照原来输出的输出控制信号连续地工作。如果信号不同，则CPU 100在步S15和S16向输出板输出低电平输出控制信号，用以取消高电平输出控制信号，并向继电器控制器200输出继电器控制信号，用以切断电源切断继电器300。

在步S17，输出板400切断外部输入的继电器驱动电源，继电器控制器200切断电源切断继电器300，从而使电源不被加到输出继电器500上，并使第一系统转换到第二系统。

此时，CPU 100向继电器控制器200输出试验控制信号，以便驱动电源切断继电器300并判断驱动晶体管213是否正常工作，并且CPU 100通过反馈电路读出试验控制信号。

在步S23和S24,CPU 100比较这样读出的响应信号和先前输出的试验控制信号，并判断系统是否按照表1表2所示的条件操作。如果比较结果表明系统操作正常，则在步S25 CPU 100输出高电平继电器控制信号，用以驱动电源切断继电器300，并向继电器控制器200输出继电器控制信号，用以取消在输出低电平继电器控制信号以便切断电源切断继电器300时输出的用于切断电源切断继电器300的信号。

此后，在步S26，继电器控制器200进行用于切断电源切断继电器300的切断信号取消操作，并这样控制系统，使得电源切断继电器300正常地供给继电器驱动电源。

此外，如果根据CPU 100的比较的结果判断系统操作异常，则在步S27，CPU 100向输出板400输出低电平输出控制信号，用以取消先前输出的高电平控制信号，并向继电器控制器200输出继电器控制信号，用来切断电源切断继电器300。

在步S28，电源切断继电器300切断外部输入的继电器驱动电源，因而不向输出继电器500提供电源，并在步S28把第一系统转换到第二系统。

此外，如果使用几个输出继电器500，通过只用一个输出板400便不可能进行电源供给或切断的操作。在这种情况下，可以并联几个输出板(未示出)。

如上所述，按照本发明的使用电源切断继电器的故障保险系统可应用于例如道岔机系统，其中要求故障系统防止严重事故。如果在该系统中发生故障，则通过使用关键的电源切断继电器控制向外部连接对象供电的输出继电器，进行可靠的操作，因而切断向其它元件的电源供给，这样便可以防止外部连接对象的误动作。

按照本发明的第二实施例的使用电源切断继电器的故障保险系统可应用于故障发生在继电器控制器和输出电路的晶体管中并因而不能控制该系统的情况。即按照本发明第二实施例的使用电源切断继电器的故障保险系统可应用于当只用一个输出板不能供电时而需要几个输出继电器的情况。

如图7所示，按照本发明第二实施例的使用电源切断继电器的故障保险系统包括CPU 100，用于输出控制信号，例如试验控制信号、继电器控制信号和用于试验或操作系统的第一、第二输出控制信号，电源切断继电器300，用于提供或切断从外部连接电源单元输入的继电器驱动电源，继电器控制器200，用于按照试验控制信号和来自CPU 100的继电器控制信号输出内部开关元件或电源切断继电器300的操作状态并控制电源切断继电器300，辅助继电器控制器600a到600n，用于按照来自CPU 100的第一输出控制信号通过使用经电源切断继电器300输入的继电器驱动电源控制下一个电路，辅助继电器700a到700n，用于按照辅助继电器控制器600a到600n的控制向下一电路提供通过电源切断继电器300从外部输入的继电器驱动电源，输出板400a到400n，用于按照来自辅助继电器700a到700n的继电器驱动电源和来自CPU 100的第二输出控制信号提供或切断对或从下一电路经电源切断继电器300和辅助继电器700从外部输入的继电器驱动电源，逻辑电源2，用于通过提供逻辑电源启动CPU 100、继电器控制器200、辅助继电器控制器600a到600n和输出板400a到400n，以及输出继电器500，用于按照来自输出板400a到400n的继电器驱动电源向外部连接对象提供外部连接对象驱动电源。

辅助继电器控制器600a到600n的内部结构和输出板400a到400n相同，并且辅助继电器控制器600、辅助继电器700和输出板400串联连接。根据输出继电器500的接点数量，上述结构可以多轮(multiple-tire)结构的形式构成。在第二实施例中，和第一实施例相同的元件和单元用相同的标号表示。

按照本发明第二实施例的系统被这样构成，使得相对于继电器故障，输出板可以更可靠地操作。

图4所示的系统的问题在于，当该系统被用于特定用途例如道岔机时，可能发生一种少见的情况，即，在继电器控制电路和输出电路的晶体管两者当中都同时发生故障，从而使得不可能对系统进行控制。

因此，为了更可靠地操作该系统，提供用来为每个输出板单独供电的辅助继电器和作为加于辅助继电器上的外部供给的电源的通路的电源切断继电器，从而使得从外部提供电源，并检查辅助继电器控制器的故障。下面详细说明上述的操作。

如图7所示，当从外部连接的逻辑电源向CPU 100、继电器控制器200、辅助继电器控制器600a到600n以及输出板400a到400n加上逻辑电源时，CPU 100向继电器控制器200输出继电器控制信号。

来自CPU 100的继电器控制信号输入到继电器控制器200的驱动信号发生单元(未示出)，按照该单元的输出信号，电源切断继电器300接通。此后，经电源切断继电器300的接通的接点输入的继电器驱动电源被输入到辅助继电器控制器600a到600n和辅助继电器700a到700n的输出电路。

此外，来自CPU 100的第一输出控制信号驱动锁存器、光耦合器和辅助继电器控制器600a到600n的输出电路(未示出)，并且辅助继电器控制器600a-600n的输出电路(未示出)把经电源切断继电器300提供的继电器驱动电源转换成预定的电压或电流值，并输出高电平控制信号，用于控制辅助继电器700a到700n。

辅助继电器700a到700n接通，经电源切断继电器300输入的继电器驱动电源分别被送给输出板400a到400n。

此时，当经辅助继电器控制器600a到600n的输出电路向辅助继电器700a到700n输出的相应于第一输出控制信号的第一响应信号经辅助继电器控制器600a到600n的输入电路(未示出)被反馈时，CPU 100比较先前输出的第一输出控制信号和第一响应信号，并判断信号是否相同。作为比较的结果若信号不同，则CPU 100向继电器控制器200输出低电平继电器控制信号，用以切断电源切断继电器300。

此后，来自CPU 100的用于切断电源切断继电器300的切断控制信号(低电平继电器控制信号)经第一锁存器和继电器控制器200的第一光耦合器(未示出)输入给驱动晶体管(未示出)。因此，驱动晶体管被截止，并且电源切断继电器300被切断。

因为电源切断继电器300被切断，所以供给辅助继电器700的继电器驱动电源被切断。因此，输出继电器500被切断并成为安全操作状态，外部连接对象驱动电源不被加到外部连接对象上。

此外，按照CPU 100比较的结果，辅助继电器700a到700n按照来自继电器控制器600a到600n的控制信号接通，并且通过辅助继电器700a到700n的接通的接点来自继电器300的继电器驱动电源分别提供给输出板400a到400n。

此后，输出板400a到400n被来自CPU 100的第二输出控制信号驱动，并且通过辅助继电器700a到700n提供的继电器驱动电源被内部输出电路(未示出)转换，用于控制输出继电器500的信号输出到输出继电器500。

此时，相对于来自输出板400a到400n的输出电路的控制信号的信息信号(第二响应信号)按照来自CPU 100的第二输出控制信号通过输入电路(未示出)反馈给CPU。CPU 100比较先前输出的第二输出控制信号和反馈的第二响应信号。按照比较的结果，当信号相同时，系统按照先前输出的第二输出控制信号进行控制操作。如果信号不同，则判定在输出板中发生了故障，然后确定是否只切断发生故障的输出板400a的电源。

如果判定必须切断全部输出板400a到400n的电源而不是只切断发生故障的输出板400a的电源，则CPU 100输出控制信号，用以取消向输出板400a到400n输出的第二输出控制信号，并向继电器控制器200输出继电器控制信号，用以切断电源切断继电器300的电源，从而使电源切断继电器300被切断，因而不再向系统提供电源。因此，第一系统被转换到第二系统，经这样转换的系统的操作和第一系统的相同。

此外，如果确定只切断发生故障的输出板400a的电源，则CPU 100输出控制信号，用以取消输出到输出板400a的第二输出控制信号，并向相应的辅助继电器控制器600a输出切断控制信号，用以切断供给相应的输出板400a的电源。此后，相应的辅助继电器控制器600a只切断相应的辅助继电器700a，相应的输出板400a的电源被切断，因而系统不再工作。

这里，CPU 100是否只切断发生故障的输出板的电源根据这些系统的CPU之间的通信确定，这些系统按多轮(multiple tire)结构构成，它们可以交换关于第一系统或第二系统的输出板的操作状态的信息，通过上述的信息交换作出所述规定。如果判断通过其间的通信认为第二系统的相应的输出板中没有问题，则第一系统的相应的输出板的电源被切断，如果由于在第二系统的相应的输出板中发生的故障而有问题，则切断第一系统的所有输出板的电源。

此后，没有发生故障的其余输出板400b到400n正常工作，并且第二系统被驱动。第二系统的CPU(未示出)检查相应的输出板是否正常操作。

如果相应的输出板正常工作，则第二系统的CPU输出关于第一系统的相应的输出板的第二输出控制信号并进行控制使得该系统完成第一系统的操作。如果输出板工作异常，则第一系统的CPU 100向第一系统的继电器控制器200输出继电器控制信号，用以切断电源切断继电器，并且第二系统的CPU向第二系统的继电器控制器(未示出)输出继电器控制信号，用以切断电源切断继电器。因此，第一和第二系统的继电器控制器分别完成切断操作，并切断来自所有系统的输出。

此外，如果故障发生在用于控制电源切断继电器300的继电器控制器200的驱动信号产生单元(未示出)，(例如，如果输出信号电平由于第一锁存器211中的故障而下降到低电平，或在外部电源中发生短路)，则驱动晶体管截止，并且电源切断继电器300自动被切断。然而，如果故障发生在驱动晶体管中，并在系统中发生短路，因为电源切断继电器总保持被切断状态，所以不可能切断输出继电器500。

因此，CPU 100检查关于驱动晶体管(未示出)和电源切断继电器300的操作状态。CPU 100检查关于驱动晶体管和电源切断继电器300的操作状态的过程和本发明第一实施例的相同。

按照检查结果，如果判断系统操作正常，则CPU 100输出高电平继电器控制信号，用以驱动电源切断继电器300。当先前已输出低电平继电器控制信号用以切断电源切断继电器300时，则CPU 100向继电器控制器200输出高电平控制信号用以取消低电平继电器控制信号。因此，继电器控制器200对系统进行控制，使得外部输入的继电器驱动电源通过输出板400输出给输出继电器500，这是因为电源切断继电器300正常操作。

按照检查结果，如果判断系统操作异常，则CPU 100向输出板400a到400n分别输出低电平第二输出控制信号，用以取消分别向输出板400a到400n输出的高电平第二输出控制信号，并输出继电器控制信号到继电器控制器200用以切断电源切断继电器300。

因为电源切断继电器300被切断，所以通过输出板400a到400n供给输出继电器500的继电器驱动电源被切断。因此，输出继电器500被切断，不再向外部连接装置提供外部连接装置驱动电源。因此，外部连接的装置具有稳定的操作状态，第一系统被转换到第二系统。上述的操作检查过程在系统正常工作时随时都在进行。

即，输出板400a到400n被来自CPU 100的第二输出控制信号驱动，并且提供给输出继电器500的继电器驱动电源按照输出到输出继电器500的控制信号的状态被切断。

具有输出电路的辅助继电器控制器600a到600n按照来自CPU 100的第一输出控制信号单独控制辅助继电器700a到700n，并且如果故障发生在输出板400a到400n中，则辅助继电器700a到700n首先被切断，这样便切断它的电源。

此外，如果故障发生在辅助继电器700a到700n中，并且接点不被打开，则CPU 100控制电源切断继电器300，并且供给输出板400a到400n的继电器驱动电源被切断。

当电源通过电源切断继电器300从外部供给系统时，可以获得所谓的三重效果，即，可以获得输出切断效果，当输出锁住操作失误时获得辅助继电器切断效果以及电源切断继电器切断效果。因此，可以实现精确而可靠的故障保险操作，从而防止由于外部连接对象误动作而危害人身安全。

参照图8A-C更详细地说明上述操作。

当CPU 100向辅助继电器控制器600a到600n分别输出第一输出控制信号时，辅助继电器控制器600a到600n在步S30和S31向辅助继电器700a到700n输出高电平控制信号。

此时，在步S32到S34中，CPU 100接收从辅助继电器控制器600a到600n向辅助继电器700a到700n输出的并通过辅助继电器700a到700n反馈的响应信号，并比较这样收到的信号和先前输出的第一输出控制信号。

根据比较的结果，如果信号彼此不同，则在步S315,CPU 100分别向辅助继电器控制器600a到600n输出低电平第一输出控制信号，用以取消高电平第一输出控制信号，并向继电器控制器200输出继电器控制信号，用以切断电源切断继电器300。

此后，辅助继电器控制器600a到600n控制辅助继电器700a到700n，并切断外部输入的继电器驱动电源。继电器控制器200切断电源切断继电器300。因此，电源不被供给输出继电器500，并把第一系统转换到第二系统。在步S30第二系统的CPU执行上述操作。

根据比较的结果，如果信号相同，则CPU 100结束比较操作，从而使系统按照先前输出的第一输出控制信号操作，并分别向输出板400a到400n输出第二输出控制信号。输出板400a到400n按照第二输出控制信号向输出继电器500输出高电平控制信号。此时在步S37到S41,CPU 100接收由输出板400a到400n向输出继电器500输出的高电平控制信号，并比较这样接收的信号和先前输出的第二输出控制信号。

按照比较结果，如果信号相同，则CPU 100结束比较步骤，从而使系统按照先前输出的输出控制信号操作。如果信号不同，则在步S42确定是只切断发生故障的输出板的电源还是切断全部输出板的电源。

根据判断的结果，如果需要切断全部输出板的电源，则在步S43到S45，CPU 100向输出板400a到400n分别输出用以取消第二输出控制信号的信号并向继电器切断控制器200输出继电器切断信号。因此，继电器控制器200切断电源切断继电器300，并且切断从输出板400a到400n的输出，把第一系统转换到第二系统。

此外，根据判断的结果，在步S46到S48，如果断定只有发生故障的输出板需要切断电源，则CPU 100输出低电平控制信号和以取消输出到输出板400a到400n的高电平控制信号，并输出用以切断供给相应的输出板400的电源的继电器切断信号。辅助继电器控制器600切断相应的辅助继电器700的电源，并切断来自相应的输出板400的输出。第一系统被转换到第二系统。

第二系统的CPU检查第二系统的相应的输出板是否正常工作。即，在步S49到S51中。CPU 100比较以和第一系统相同的方式输出给输出板的反馈信号和先前输出的控制信号。

此时，在步S52和S53，根据比较的结果，如果信号相同，则CPU 100在第二系统中执行在第一系统失误的输出指令，并以第一系统相同的方式执行检查步骤。根据比较的结果，如果信号不同，在步S54和S55第一系统的CPU向第一系统的继电器控制器输出切断信号，并向第二系统的继电器控制器输出切断信号。

此外，CPU 100向继电器控制器200暂时输出试验控制信号，用来分别检查继电器控制器200和电源切断继电器300的操作状态，然后执行和本发明第一实施例相同的步骤。根据检查的结果，如果系统工作正常，则CPU 100向继电器控制器200输出用以取消继电器切断信号的控制信号。此外，根据检查结果，如果系统操作异常，则CPU 100向继电器控制器200输出用以取消向输出板400输出的输出控制信号的控制信号，并向继电器控制器200输出用以切断电源切断继电器300的电控制信号，这样便切断输出继电器500，此后，第一系统被转换到第二系统。

因此，当电源从外部通过电源切断继电器300供给系统时，可以获得所谓的三得效果，即，可以获得输出切断效果，当输出锁住失误时可获得辅助继电器切断效果，和电源转换继电器切断效果。因此，可以实现精确而可靠的故障保险操作，阻止由于外部连接对象的误动作而危害人身安全。

如上所述，按照本发明的使用电源切断继电器的故障保险系统及其控制方法非常适用于要求故障保险的系统(例如道岔机，当其中发生故障时会引起重大事故)。因此，当在系统中发生故障时，可通过切断向外部连接对象供电的输出继电器从而切断外部连接对象的电源，便可以保护人身不受由于外部连接对象的误动作而受到伤害。

虽然为了说明本发明披露了本发明的最佳实施例，但本领域的技术人员应该理解，不脱离权利要求限定的本发明的精神和范围，可以作出各种改型、增加与替代。

Claims (8)

1．一种使用电源切断继电器的故障保险系统，包括一CPU(中央处理单元)、一输出板、一逻辑电源和一输出继电器，其特征在于，所述故障保险系统还包括一电源切断继电器和一继电器控制器，其中，

所述CPU用于输出试验控制信号、继电器控制信号和输出控制信号，以便对系统进行试验或操作；

所述电源切断继电器用来提供或切断来自外部连接的电源装置的继电器驱动电源：

所述继电器控制器用来按照来自CPU的试验控制信号和继电器控制信号向CPU输出相应于内部开关元件或电源切断继电器在的操作状态的信息并控制电源切断继电器；

所述输出板用来按照来自CPU的输出控制信号向下一电路提供或切断来自电源切断继电器的继电器驱动电源；

所述逻辑电源用来通过向CPU和继电器控制器分别提供逻辑电源对其进行启动；以及

所述输出继电器按照来自输出板的继电器驱动电源和控制信号进行接通或切断，以向外部连接对象提供或切断外部连接对象驱动电源。

2．如权利要求1所述的系统，还包括：

辅助继电器，用于通过电源切断继电器向下一个电路提供或切断来自外部连接电源装置的继电器驱动电源；和

辅助继电器控制器，用于按照来自CPU的第一输出控制信号使用通过电源切断继电器提供的继电器驱动电源控制辅助继电器。

3．如权利要求1所述的系统，其中所述继电器控制器包括：

驱动信号产生单元，用于按照来自CPU的用于切断电源切断继电器的继电器控制信号控制电源切断继电器；

试验输出单元，用来按照来自CPU的试验控制信号向驱动信号产生单元输出试验信号，以便判断电源切断继电器的操作状态；以及

试验输入单元，用来当试验信号从试验输出单元通过驱动信号产生单元输入到电源切断继电器时，读出关于系统的操作状态的响应信号，并向CPU输出读取的信号。

4．如权利要求3所述的系统，其中所述驱动信号产生单元包括：

第一锁存器，用于暂时存储来自CPU的用于切断继电器的继电器控制信号：

第一光耦合器，用来转换来自第一锁存器的控制信号成为光信号，并把所得的光信号转换成电信号；以及

驱动晶体管，它按照来自第一光耦合器的控制信号导通与截止，用于控制电源切断继电器。

5．如权利要求3所述的系统，其中所述试验输出单元包括：

第二锁存器，用于暂时存储来自CPU的试验控制信号；以及

第二光耦合器，用来转换来自第二锁存器的信号成为光信号，并把这样转换的光信号转换为电信号，并向驱动信号发生单元的驱动晶体管输出试验信号(电信号)。

6．如权利要求3所述的系统，其中所述试验输入单元包括：

第三光耦合器，用来当试验信号从试验输出单元通过驱动信号产生单元施加到电源切断继电器时，读出相应于系统的操作状态的响应信号，并把读出的信号转换成光信号，并把这样转换的光信号转换成电信号；以及

第一缓冲器，用来暂时存储来自第三光耦合器的信号并把该信号输出到CPU。

7．如权利要求1所述的系统，其中当根据外部连接对象的数量在系统中接通多个输出继电器时，只用一个输出板不可能完成供电或断电操作时，多个输出板并联连接。

8．一种使用电源切断继电器的故障保险系统的控制方法，包括比较来自输出板的输出控制信号和从输出板向输出继电器输出的控制信号的步骤，其特征在于，所述控制方法还包括以下步骤：

根据比较的结果，当输出信号相同时，按照先前输出的输出控制信号控制系统进行操作，当信号不同时，向输出板输出用以取消先前输出的输出控制信号的控制信号并向继电器控制器输出用以切断电源切断继电器的继电器控制信号，并通过电源切断继电器切断供给输出继电器的继电器驱动电源；

向继电器控制器输出试验控制信号，读出关于从继电器控制器向电源切断继电器输出的控制信号的响应信号，并判断继电器控制器和电源切断继电器是否正常工作；以及

根据判断的结果，当判定系统工作正常时，向继电器控制器输出用以取消继电器切断信号的控制信号，为判定系统工作异常时，输出用以取消向输出板输出的输出控制信号的控制信号，因而切断输出继电器，并把第一系统转换到第二系统。

Images