CN1069139A - 袖珍故障保险接口及包含该接口的表决模块 - Google Patents

Abstract

本发明的接口由一个包括奇数个倒向部件(2a， …，2n)的不稳多谐振荡器环型振荡器构成。倒向部 件的电源输入端(3，4)构成接口的功能输入端。一旦 输入信号之一不能正确提供，振荡器输出信号即成为 一个连续信号，而且该接口相对于可能在其内部发生 的所有故障具有高度故障保险性能。该接口能用于 作为一个表决模块的基础部件。

Description

本发明涉及一种袖珍故障保险接口。设计这种接口是为了用于高度故障保险系统中。

某些故障保险系统使用动态故障保险逻辑技术。在欧洲专利EP-385，885中描述的一种高度故障保险频率编码系统（strongly    fail    safe    frequency    coding    system）使这类系统的尺寸减小到可以接受的程度。然而，这类系统表现出的缺点是需要大量的部件，而且必须要对它进行定期离线（off-line）试验，以保证其高度故障保险性能。

本发明的目标是实现一种故障保险接口，它的尺寸比使用动态逻辑技术的系统小得多，这种接口还必须具有较小的功耗和较少的部件数量，而且最好是不利用定期离线试验来保证其同度故障保险性能。

这一目标是由下述事实来实现的：它由奇数个彼此串联的倒相部件构成，每个部件有一个输入端和一个输出端，最后一个倒相部件的输出端与第一个倒相部件的输入端相连，每个倒向部件含有第一和第二电源输入端，构成该接口的输入端，在这些输入端加上二进制逻辑接口输入信号，从而当这些倒向部件的所有第一电源输入端全被加上预先给定逻辑电平的信号而所有第二电源输入端全被加上与前一个信号互补（complementary）的逻辑电平信号时，在最后一个倒向部件的输出端将提供一个振荡信号，而在相反的情况下将提供一个连续的信号。

这样便得到了一个不稳多谐振荡器（astable    multivibrator）环型振荡器，它的电源输入端构成了功能接口（functional    interface）的输入端。一旦这些输入信号之一是不正确的，振荡器输出信号便立即成为连续信号。而且，该接口内部的任何故障均不会改变对应于振荡器非振荡状态的输出，也不会将这种输出改变成代表安全的状态。

振荡器的输出信号最好是在一个输出电路中整形。该输出电路包含一个变压器，其初级绕组与最后一个倒向部件的输出端相连，其次级绕组通过一个整流器电路与接口输出端相连。

将该接口配备一个在线（on-line）和离线试验装置可提高含有这类接口的系统的使用价值。

这种接口尤其适合于构成表决模块，用以提高一个设备（installation）的可靠性和使用价值。

根据本发明的一个发展成果，一个表决模块与至少二个独立的控制通道相连该模块含有至少一个根据本发明的接口。该接口的至少一个倒向部件的各电源输入端分别接收来自通道之一的数据信号以及来自另一通道的与其互补的数据信号。

每个控制通道提供一个二进制报告信号及其相对于1的补码（complement    to    1），当该通道处于正确运行状态时，这个报告信号具有前述预先给定的逻辑电平，而在该通道上检测出故障时则该报告信号处于其反码逻辑电平。一个通道的报告信号及其反码分别加到该接口的另一个倒向部件的第一和第二电源输入端。这样，只有当发出数据信号的一个或多个通道处于良好运行状态时，由接口传送的数据信号才能是有效的。同时，还可以提供重新组合的表决模块。

根据本发明的另一个发展成果，表决模块至少包含一个互补接口，它含有至少一个倒向部件在其电源输入端接受来自第一控制通道的互补数据信号，有一个倒向部件在其第一和第二电源输入端分别接收来源于第一通道的报告信号及其互补（反码）信号，还有一个倒向部件在其第二和第一电源输入端分别接收来自第二通道的报告信号及其互补（反码）信号，从而只在第一通道运转正常而第二通道发生故障时使数据信号有效。

由下文中对本发明实施例的描述将更清楚地显示出本发明的其他优点和特点，这些实施例只作为无限定条件的举例给出，并由附图表示出来。这些附图是：

图1以方框图形式表示出根据本发明的一种袖珍故障保险接口。

图2显示出图1中所示接口的一个倒向部件的一个具体实施例。

图3显示根据图1的一个接口与一个试验装置的组合。

图4表示一个接口，它伴有一个数据位，它是由能提供互补数据位的二个独立控制通道发生的。

图5以示意图形式显示由根据本发明的接口所构成的可重新组合的2/3表决模块。

根据图1的袖珍故障保险接口由一个不稳多谐振荡器环型振荡器组成，该振荡器由奇数个倒向部件2构成，在图中记为2a至2n。这些倒向部件彼此串联，最后一个倒向部件2n的输出端与第一个倒向部件2a的输入端相连。这类振荡器的频率很高。利用一个RC电路可以使这个振荡频率减小到予先设定的值。在图1所示的实施例中，在倒向部件2n的输出端和输入端之间串联一个电阻R1和一个电容C1，电阻R1和电容C1的公共接点与倒向部件2a的输入端相连。将一个RC电路连到振荡器倒向部件中任何奇数个倒向部件的端子之间也能获得同样的结果。

每个倒向部件2有二个电源输入端3和4。每个倒向部件2在其电源输入端接受逻辑接口输入信号，在倒向部件2a到2n的电源输入端3的输入信号分别为a3至n3，在相应的电源输入端4的输入信号分别为a4至n4。

接口输入信号是二进制逻辑信号。为了发生振荡，加到电源输入端3的所有信号a3至n3必须有相同的逻辑值，例如1，而加到电源输入端4的所有信号a4至n4的逻辑值必须是前一个逻辑值的反码，在此例中为0。只要输入信号之一不满足这些条件，相应的倒向部件便被关闭，于是不再发生振荡。

由图2表示的倒向部件2的具体实施例包含一个晶体管T1（例如MOS型的）及串联于电源输入端3和4之间的电阻元件R2。它们的公共接点与倒向器的输出端相连，而倒向器的输入端与该晶体管门相连。为了正确运行，倒向器2在其输入端3被加上逻辑信号1，而在其输入端4被加上互补逻辑信号0。如果在倒向器输入端存在一个逻辑信号1，则晶体管T1被接通，其输出切换到逻辑值0。另一方面，如果在倒向器输入端加逻辑信号0，则晶体管T1被断路，其输出切换到逻辑值1。

图1所示接口在其振荡器输出端有一个输出电路，用于对振荡器输出信号整形。当使用如图2所示的倒向器时，最好能将振荡器输出信号放大，因此输出电路含有一个整形电路11，它的输出端与放大器12的输入端相联，这个输出电路还包含一个脉冲变压器TR，它的初级绕组通过电容C2与放大器12的输出端相连，该电容的作用是完成变压器的退磁。整形电路11及放大器12（在图3和图4中未画出）被加以适当的电源电压，例如5V。变压器次级绕组的输出端所收集的信号被整流后提供了接口输出信号S。在图1中，利用二极管D1（与次级绕组串联）及电容C3（与接口输出端并联）实现整流。

在接口内部没有故障的情况下，当倒向部件输入端3上的逻辑输入信号为逻辑电平1而在其输入端4上为逻辑电平0时，振荡器处于运行状态，一个振荡信号加到变压器初级绕组的端子上。这个信号在变压器的次级上被整流，于是接口输出信号S为具有连续电压值，例如5V的高电平（逻辑电平1）。

另一方面，如果振荡器不运行，则在其输出端为一连续信号，这个连续信号被变压器变换成具有连续电压的低电平信号，即0V信号（逻辑电平为0）。

如果随意地指定接口输出信号S取0电平（即低电平连续电压）0为失效保护（safe）状态，而其1电平（即连续高电平）为非保护（unsafe）状态，那么可以表明，上述接口由于其设计而具有高度故障保险的特性，就是说，它是一个即使存在多处故障也能保持安全的系统。换句话说，不论加到接口上的是什么输入信号（在a3至n3及a4至n4端），在接口内部的单项故障使输出信号S的取值是：

-或者处于失效保护状态，即在0电平;

-或者处于与输入信号相对应的状态，即，如果信号a3至n3为电平1，信号a4至n4为电平0，则所处状态为电平1;如果信号a3至n3中有至少一个为电平0，或者信号a4至n4中有至少一个为电平1，则所处状态为电平0。

当接口内部出现第二个故障或出现多个故障时，情况也与上述相同。

该接口可以配有一个试验装置5（图3），用于检测接口内部的故障。为此目的，该试验装置与接口倒向部件的输入端3和4相连，并与接口输出信号S相连，该装置检测装置输入信号值之间的一致性及接口的输出信号值。由于接口中的故障不会改变该接口的运行状态，或导致失效保护状态（在上述举例中此状态信号S为低电平），试验装置检测导致失效保护状态的故障而其输出端应处于高电平，即当输入端a3至n3为1而输入端a4至n4为0。这种试验是在线进行的，即不影响接口的运行，在接口中检测到故障时由试验装置向适当的监视单元发出指示信号。这种类型的故障尽管不会危及系统的可靠性，却会使应由接口传送的数据不能被得到。用多个接口，每一个配有一个试验装置，则不仅使系统实现其可靠性，而且也保证了它的使用价值。

为了在输入端a3至n3保持0而在输入端a4至n4保持1并持续相当长时间的情况下也能检测出接口故障，接口装置被设计成可以定期进行离线试验。它同时在接口的输入端3加信号1而在输入端4加信号0，其预置的持续时间比二进制输入信号的持续时间短得多。如果输出信号S为0，则在接口内部无故障时便切换到状态1。离线试验的持续时间与一个信号位的正常持续时间相比是足够短的，由此造成的对信号S的任何修改都被位于接口后放的系统认为是一个扰动。另一方面，该试验装置检测到信号S切换到1，表明不存在故障。

加到接口上的数据可以由来自控制器、计算机或控制通道的输出数据构成。如果这种数据是二进制的双轨编码数据（double    rail    coded    data），即数据中每一位都伴随其反码（complement），则一个接口与每一个数据位相配合。在最小型实施例中，这个接口中含有单个倒向部件，它的输出端与输入端相连，在其电源输入端3接收有关的数据位，在其电源输入端4接收其反码。在实践中，这类控制通道含有一个监视器（watchdog，看门狗）电路，用于监测通道的功能部件中的任何故障。看门狗电路提供一个报告位C及其反码C。报告位及其反码再分别加到该接口的第二个倒向部件的输入端3和4，从而使控制通道提供的数据为有效或不使其为有效。由于该接口必须由奇数个倒向部件组成。可将第三个倒向部件的输入端3和4分别放在电平1和0。

提供双轨编码二进制数据的控制器、计算机或控制电路是复杂而且昂贵的。图4所表示的实施例利用二个标准的控制通道能实现与上述相同的结果。在该图中，二个控制通道6分别用A和B表示。通道A发出二进制数据A1，…Ak，…Am，加上一个报告位CA及其反码CA，代表该通道的正确运作。这个数据是以电压编码，例如以5V表示逻辑1，用OV表示逻辑0。通道B发出的二进制数据B1，…Bk，…Bm与通道A提供的数据互补（BK＝AK），再加上一个报告位CB及其反码CB。

具有三个倒向部2a、2b及2c的接口与通道A的每个数据位相配合。在图4中只画出了与数据位AK相配合的接口。位AK被加到第一倒向部件2a的输入端3，它的反码BK加到相应的输入端4。位CA和CA分别加到第二倒向部件2b的输入端3和4，位CB和CB分别加到第三倒向器2c的输入端3和4。这样，该接口构成一个2/2表决模块。如果没有接口内部故障迫使其输出为。而且如果Ak＝1，Bk＝0，CA＝CB＝1，CA＝CB＝0，则接口输出信号SK（AB）只处于电平1，也就是说，如果由通道A和B提供的K级（order    K）数据是一致的（2/2表决），而且如果它们的监视器（看门狗）没有故障又没有检测到影响通道功能部件的故障，则接口输出信号Sk（AB）只处于电平1。在所有其他情况下，输出Sk（AB）切换到电平0，或者说切换到故障保护电平，这些情况是：

-一旦通道之一的监视器指出在这一通道中出现了某种故障（CA或CB＝0），

-当一个故障影响到监视器之一（CA＝CA或CB＝CB），

-当两个通道提供的数据不具有一致性时（Ak＝Bk），

-如果数据Ak＝Bk＝0，

-如果接口有一个内部故障使其切换到故障保护状态而不令加到其输入端的数据如何。

图5是由一组根据本发明的袖珍故障保险接口构成的2/3表决模块。该模块与3个组此相同而又相互独立的控制通道6（分别记为D、E及F）。每个通道发出以电压编码的二进制数据，分别为D1、…Dk、…Dm、…E1、…Ek、…Em、F1、…Fk、…Fm、它们的相对于1的补码（反码）、一个报告位（分别为CD、CE及CF）及其相对于1的补码（反码）CD、CE、及CF（双轨编码）。

2/3表决模块有三个接口7，每个接口有三个图4所示类型的倒向部件。为了不使图件中的内容不必要地过多，每个接口只用若干个带有两个输入端（3和4）的方框表示，方框数目对应于所含倒向部件的数目，并以相同的参照代号2a、2b或2c表示相应的倒向部件，方框8代表输出电路。第一接口7的倒向部件2a在其输入端3接受信号Dk，在其输入端4接收信号Ek。倒向部件2b在其输入端3和4分别接收信号CD和CD，而倒向部件CE和CE在其输入端3和4分别接收信号CE和CE。所以该接口在位DK和EK之间构成2/2表决，这个数据由相应通道D和E的报告位判定为有效。这个接口的输出信号由Sk（DE）表示。类似地，第二接口7产生输出信号Sk（EF），对于位Ek和Fk之间的2/2表决，这两位是分别加到它的第一倒向部件2a的输入端3和4上的。这个数据由通道E和F判定为有效，它们的位CE和CE分别加到倒向部件2b的输入端3和4，位CF和CF分别加到倒向部件2c的输入端3和4。类似地，第三个接口7，根据其倒向器2a输入端3和4上的Fk和Dk位、倒向器2b输入端3和4上的CF和CF位以及倒向器2c输入端3和4上的CD和CD位，产生输出信号Sk（FD）。这三个接口的输出信号Sk（DE）、Sk（EF）及Sk（FD）被送到逻辑或（OR）电路9，它在其输出端提供了一个相对于K级（order    K）位的表决模块输出信号Sk。由三个接口及硬连接型（hard-wired    type）或（OR）电路（例如由简单的二极管或（OR）电路构成）组合而成的组合体构成了一个相对于由三个通道D、E、F提供的K级数据的2/3表决模块。

当通道之一出现的故障未被其监视器（看门狗）检测到时，该表决模块提供一个信号Sk，代表由两个未出故障的通道所提供的K级位之值。这样，例如假若Dk＝Ek＝1，Dk＝Ek＝0，但Fk＝0和Fk＝1，而CD＝CE＝CF＝1且CD＝CE＝CF＝0（通道F的故障未被其监视器检测到），接口7分别提供信号Sk（DE）＝1，Sk（EF）＝0及Sk（FD）＝0，而且输出信号Sk等于Sk（DE）＝1。rc    fp    go，vkjsDk＝Ek＝0，Dk＝Ek＝1，Fk＝1和Fk＝0，我们得到Sk（DE）＝Sk（EF）＝Sk（FD）＝0。

当通道之一出现故障且被其监视器检测到时，该表决模块自动重组成2/2表决模块。如果通道D的监视器检测到该通道的一个故障，位CD变为0而位CD变为逻辑电平1，迫使第一和第三接口的输出Sk（DE）和Sk（FD）变为0，而接收这些信号的倒向部件（分别为2b和2c）不再被提供正确信号。只有第二个接口正常运行，所提供的信号Sk（EF）相应于其余两个通道之间的2/2表决。

可以容易地检测到，如果通道E有一故障，只有产生信号Sk（FD）的接口正常运行，如果只是通道F有一故障，则只有产生信号Sk（DE）的接口占主要位置，构成2/2表决。

由图5表示的表决模块由三个互补袖珍故障保险接口组成，共有5级（stage）。每个接口与图1所示接口为同一类型，每个接口如前面一样用一个输出块8及代表它所包含的5个倒向部件的方框（各带有二个电源输入端3和4）来表示，这5个倒向部件方框与其他接口的相应倒向部件用相同的代号，均为2a、2b、2c、2d或2e。

每个接口10只针对一个测量通道所提供的数据。位Dk和Dk分别被加到第一个接口10的倒向部件2a的输入端3和4，第一接口10提供一个信号Sk（D）。类似地，位Ek和Ek分别被加到第二接口10的倒向部件2a的输入端3和4，而第二接口提供一个信号Sk（E）;wug    Fk和Fk分别被加到第三接口10的倒向部件2a的输入端3和4，而第三接口提供一个信号Sk（F）。当通道D正常运行，CD和CD分别被加到倒向部件2c的输入端3和4，而通道E和F的监视器检测到一个故障，此时只有第一接口10才是有效的。的确，此时CE和CE分别加到倒向部件2d的输入端3和4，而CF和CF分别加到倒向部件2e的输入端3和4。类似地，当通道E是正常运行的（CE和CF在2c的输入端3和4），而通道D（CD和CD在2c的输入端3和4）和通道F（CF和CF在2c的输入端3和4）的监视器已检测到一个故障，此时只有第二接口10带有输出Sk（E）是有效的。当通道F正确运行（CF和CF在2c的输入端3和4）而在通道D（CD和CD在2d的输入端3和4）和通道E（CE和CE在2e的输入端3和4）已检测到一个故障，则第三个接口10以其输出Sk（F）才是有效的。接口10中的每一个含有一个倒向部件2b，它的输入端3和4分别切换到5V和地，从而构成奇数个倒向部件。

由于存在互补的接口10，图5中的2/3表决模块当各通道之一出现故障时自动重组成2/2表决模块，当第二个通道有故意时，便只考虑剩余通道发出的数据。在这种情况下，系统的运行质量降低了，但这使整个组合体的可用性增加了。

可能希望表决模块能向位于该模块上线（upline）的一个监测装置指明该模块是以2/2表决或1/1表决方式运行。这可以利用任何适当的装置，借且轱个通道的报告位来实现。

由图4和图4所代表的表决模块并不顾及构成它们的一个或多个接口内部可能的故障。如果希望进一步增加组合体的可用性，可以使用一个与参考图3所描述的试验装置相同类型的试验装置。这个试验装置能检测出一个接口的故障并能提供用一个候补接口替换有故障接口的功能。这达到这一点，例如可以提供一个由一个倒向部件构成的候补接口，它可以直接地（或借助测量通道之一）被试验装置产生的故障信号来启动，使之进入运行状态。根据本发明的袖珍故障保险接口能以适当的方式实现，使得根据预定数量的判据来判定加在倒向部件之一上面的数据为有效。

一个接口的倒向部件的奇数个最好在3（完成读入一个数据项并判定其有效性）和一互（在最复杂的情况下）之间变化。

倒向部件组合能容易地被集成化。

Claims (10)

1、一个袖珍故障保险接口，其特点在于：包括奇数个(n)串联的倒向部件(2a，…，2n)，每个部件有一个输入端和一个输出端，其最后一个倒向部件(2n)的输出端与第一个倒向部件的输入端相连，每个倒向部件含有第一(3)和第二(4)电源输入端，构成接口输入端，在其上面加入二进制逻辑接口输入(a3至n3，a4至n4)，从而当倒向部件的全部第一电源输入端(3)被加上预选确定的逻辑电平(1)，而且在倒向部件的全部第二电源输入端(4)加上与前一个信号互补的逻辑电平(0)信号时，从最后一个倒向部件的输出端输出一个振荡信号，而在相反的情况下则提供一个连续信号。

2、根据权利要求1的接口，其特点在于：包括一个输出电路，该输出电路中有一变压器（TR），它的初级绕组与最后一个倒向部件（2n）的输出端相连，而其次级绕组通过一个整流电路（D1）与接口输出端（S）相连。

3、根据权利要求2的接口，其特点在于：有一个电容（C2），它与变压器（TR）的初级绕组串连到最后一个倒向部件（2n）上。

4、根据权利要求1的接口，其特点在于：包含一个RC电路（R1，C1），它并联于奇数个串联倒向部件的输入端和输出端之间。

5、根据权利要求1的接口，其特点在于：包括一个试验装置（5）与接口的输入端（3，4）及输出端（S）相连，从而检验接口的输入信号与输出信号之间的一致性，并且当这些信号出现不一致时提供一个接口故障信号。

6、根据权利要求5的接口，其特点在于：该试验装置周期性地向接口输入端发生试验信号，其预置的持续时间比一个二进制输入信号的持续时间短得多。

7、连接到至少两个控制通道（A，B;D，E，F）上的一种表决模块，其特点在于：包括至少一个根据权利要求1的接口（7），该接口中至少一个倒向部件（2a）的电源输入端（3，4）分别接收来自通道之一的数据信号（AK，DK，EK，FK）及来自另一通道（B;E，F，D）的补码数据信号（BK;EK，FK，DK）。

8、根据权利要求7的表决模块，其特点在于：每个控制通道提供一个二进制报告信号（CA，CB;CD，CE，CF）及其对于1的补码（即反码），当该通道正确运行时，这个报告信号为所述预定逻辑电平（1），而当在该通道中检测到故障时则为其互补逻辑电平（0），一个通道的报告信号及其与之互补的反码信号分别加到该接口的另一个倒向部件的第一（3）和第二（4）电源输入端。

9、根据权利要求8的表决模块，其特点在于：包括至少一个辅助接口（10），该辅助接口包括至少一个倒向部件（2a）在其电源输入端（3，4）接收来自第一控制电路（D;E;F）的互补数据信号（DK，DK;EK;EK;FK;FK），还包括一个倒向部件（2c）在其第一（3）和第二（4）电源输入端分别接收来源于第一通道的报告信号及其与之互补的反码信号，以及一个倒向部件）（2d，2e）在其第二（4）和第一（3）电源输入端分别接收来源于第二个通道的报告信号及其与之互补的反码信号，从而只有当第一通道正确运行而第二通道出现故障时才使数据信号生效。

10、根据权利要求7的表决模块，其特点在于一个倒向部件的第一（3）和第二（4）电源输入端不与一个控制通道的输出端相连，而是分别切换到所述预先确定的逻辑电平（1）及其与之互补的逻辑电平（0）。

Images