CN107589733B - 控制器诊断信号生成、故障保护及功能安全的方法、系统 - Google Patents

Abstract

一种控制器诊断信号生成、故障保护及功能安全的方法、系统，控制器在执行控制任务的同时执行诊断逻辑，生成脉冲串信号并作为诊断信号输出；故障保护装置对所述控制器输出的诊断信号进行检测，如确定所述控制器输出的诊断信号非脉冲串信号，生成故障保护信号。所述控制器控制和保护对象的安全保护回路根据所述故障保护信号执行保护动作，以实现所述对象的功能安全。本申请可以实现控制器功能安全，而且简单、通用、成本低。

Description

控制器诊断信号生成、故障保护及功能安全的方法、系统

技术领域

本发明涉及控制技术，更具体地，涉及控制器诊断信号生成、故障保护及功能安全的实现方法，以及相应的装置和系统。

背景技术

安全依赖于系统功能的情况称之为“功能安全”，安全相关系统在承担过程监控任务的同时，还承担了安全生产风险控制的任务，功能安全防止的是安全相关系统或设备的功能失效所导致的危险。

功能安全控制器是应用风险控制的系统、方法进行软硬件设计的一类专门控制器，技术要求高、产品少、价格昂贵。目前仍有相当多的工业应用场合，包括发电厂，由于集中监控和便于维护的需要，更多地采用安全相关控制系统与常规的分布式控制系统(DCS：Distributed Control System)或可编程逻辑控制器(PLC：Programmable LogicController)硬软件一体化的设计方案，没有用专门的功能安全控制器实现安全保护功能，提高安全保护系统可靠性的办法基本上都是单独配置冗余控制器。这会导致系统复杂并且增加成本，而且，在冗余的控制器都故障的极端情况下，不能有效地确保被保护设备处于安全状态。

PLC是一种采用一类可编程的存储器，用于其内部存储程序，执行逻辑运算、顺序控制、定时、计数与算术操作等面向用户的指令，并通过数字或模拟式输入/输出控制各种类型的机械或生产过程。

DCS在国内自控行业又称之为集散控制系统。是相对于集中式控制系统而言的一种新型计算机控制系统，它是在集中式控制系统的基础上发展、演变而来的。它是一个由过程控制级和过程监控级组成的以通信网络为纽带的多级计算机系统，综合了计算机，通信、显示和控制等4C技术，其基本思想是分散控制、集中操作、分级管理、配置灵活以及组态方便。

上述控制器已广泛应用地各种控制领域，这些控制器在运行过程中，控制器本身和其他外部元器件、外部输入信号和软件本身都可能发生故障，有时还会烧坏控制器，使整个控制系统瘫痪，造成极大的经济损失。

传统的控制器故障保护的基本原理是利用控制器逻辑或运算功能，把连续获得的被控过程的各种状态不断与所存储的理想状态进行比较，发现它们之间的差异，并检查差异是否在所允许的范围之内。若差异超出了该范围，则按事先设定的方式对该差异进行译码，最后以简单的或较完善的方式给出故障信息报警。但是，这种故障保护方式耗时长，不能及时发现故障而及时处理、避免危害。而且不具有通用性。

发明内容

有鉴于此，本发明实施例提供了一种控制器诊断信号的生成方法，包括：

控制器在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号；

所述控制器将所述预定的诊断信号输出。

可选地，

控制器在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号；

所述控制器将所述预定的诊断信号输出。

可选地，

所述诊断逻辑包括数字信号翻转逻辑，所述预定的诊断信号为脉冲串信号。

可选地，

所述脉冲串信号的占空比为1，脉冲宽度等于所述控制器的控制周期。

可选地，

所述脉冲串信号包括第一脉冲串信号；或者

所述脉冲串信号包括第一脉冲串信号，以及将所述第一脉冲串信号反相后得到的第二脉冲串信号。

可选地，

所述控制器将所述预定的诊断信号输出，采用以下一种或多种方式：

将所述脉冲串信号输出到硬件接口；

将所述脉冲串信号输出到通信网络接口。

可选地，

所述控制器将所述脉冲串信号输出到硬件接口之后，还包括：通过驱动电路将所述脉冲串信号转换为触点的通断信号，再将所述触点的通断信号输出到外部电路，所述触点的通断受所述脉冲串信号的电平控制。

可选地，

所述控制器是采用单控制器配置的控制系统中的一个控制器；或者

所述控制器为冗余控制系统中的冗余控制器，所述控制器将所述预定的诊断信号输出，包括：所述冗余控制系统中所有的冗余控制器将所述预定的诊断信号通过公共接口输出。

有鉴于此，本发明实施例还提供了一种控制器，包括：

处理模块，用于在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号；

接口模块，用于将所述预定的诊断信号输出。

可选地，

所述处理模块执行的诊断逻辑包括数字信号翻转逻辑，生成的所述预定的诊断信号为脉冲串信号。

可选地，

所述处理模块生成的所述脉冲串信号的占空比为1，脉冲宽度等于所述控制器的控制周期；其中，所述脉冲串信号包括第一脉冲串信号，或者包括第一脉冲串信号及将所述第一脉冲串信号反相后得到的第二脉冲串信号。

可选地，

所述接口模块将所述预定的诊断信号输出，采用以下一种或多种方式：将所述脉冲串信号输出到硬件接口；及，将所述脉冲串信号输出到通信网络接口。

可选地，

所述控制器还包括：驱动电路，用于将输出到硬件接口的所述脉冲串信号转换为触点的通断信号，再将所述触点的通断信号输出，其中，所述触点的通断受所述脉冲串信号的电平控制。

可选地，

所述控制器是采用单控制器配置的控制系统中的一个控制器；或者

所述控制器为冗余控制系统中的冗余控制器，所述冗余控制系统中所有的冗余控制器将所述预定的诊断信号通过公共接口输出。

上述方案提供了一种通用的控制器诊断信号生成方法和控制器，控制器正常时可以执行控制任务，生成预定的诊断信号，而控制器故障时不能正常执行控制任务，就不能生成预定的诊断信号，因此控制器输出的诊断信号可以用于控制器的故障判断。而通过执行数字信号翻转逻辑生成脉冲串信号作为诊断信号，即简单，又具有很高的可靠性，也便于检测。

有鉴于此，本发明实施例还提供了一种控制器故障保护方法，包括：

控制器在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号并输出；

所述故障保护装置对所述控制器输出的诊断信号进行检测，如确定所述控制器输出的诊断信号非所述预定的诊断信号，确定为控制器故障，生成故障保护信号。

可选地，

所述控制器是采用单控制器配置的控制系统中的一个控制器；或者

所述控制器为冗余控制系统中的冗余控制器，所述冗余控制系统中所有的冗余控制器通过公共的接口输出所述诊断信号。

可选地，

所述预定的诊断信号为脉冲串信号，所述脉冲串信号的高电平持续时间为T1，低电平持续时间为T2；

所述故障保护装置如确定所述控制器输出的诊断信号非所述预定的诊断信号，确定为控制器故障，生成故障保护信号，包括：如检测到所述控制器输出的诊断信号的高电平持续时间大于T1，或者检测到所述控制器输出的诊断信号的低电平持续时间大于T2，则生成故障保护信号。

可选地，

所述脉冲串信号的占空比为1，T1＝T2＝T，T为所述控制器的控制周期。

可选地，

所述控制器输出的诊断信号包括相位相反的第一脉冲串信号和第二脉冲串信号；或者

所述控制器输出的诊断信号包括第一脉冲串信号，所述故障保护装置通过将所述第一脉冲串信号反相，得到第二脉冲串信号。

可选地，

所述故障保护装置如检测到所述控制器输出的诊断信号的高电平持续时间大于T1，或者检测到所述控制器输出的诊断信号的低电平持续时间大于T2，则生成故障保护信号，包括：

将所述第一脉冲串信号转换为第一开关单元的通断信号，将所述第二脉冲串信号转换为第二开关单元的通断信号；其中，所述第一开关单元和第二开关单元的接通时间分别受所述第一脉冲串信号和第二脉冲串信号的高电平持续时间或低电平持续时间的控制；

在所述第一开关单元的接通时间达到预设的第一延时时间T1’时，触发第一延时动作单元动作，在所述第二开关单元的接通时间达到预设的第二延时时间T2’时，触发第二延时动作单元动作，T1’>T1，T2’>T2；

在所述第一延时动作单元和第二延时动作单元中有任何一个动作时，生成所述故障保护信号。

可选地，

所述故障保护装置为不同于所述控制器的另一控制器，所述另一控制器通过通信网络接口获取所述控制器输出的诊断信号，通过执行故障保护任务而实现所述故障保护装置的功能。

上述方案提供了一种通用的控制器故障保护方法，控制器正常时可以执行控制任务，生成预定的诊断信号，而控制器故障时不能正常执行控制任务，就不能生成预定的诊断信号，因此可以通过检测输出的诊断信号是否预定的诊断信号来判断控制器是否故障。

有鉴于此，本发明实施例还提供了一种控制器功能安全的实现方法，包括：

采用如上所述的控制器故障保护方法进行控制器故障保护，生成故障保护信号；

所述控制器控制和保护对象的安全保护回路根据所述故障保护信号执行保护动作，以实现所述对象的功能安全。

可选地，

所述保护动作包括以下一种或多种：

发出故障报警信号；

动作所述控制器所控制和保护设备的跳闸回路；

进行不同控制方式的切换；

进行不同控制逻辑的切换。

有鉴于此，本发明实施例还提供了一种控制器功能安全系统，包括：

控制器，用于在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号并输出；

故障保护装置，用于对所述诊断信号进行检测，如确定所述控制器输出的诊断信号非所述预定的诊断信号，确定为控制器故障，生成故障保护信号；

控制器控制和保护对象，用于根据所述故障保护信号执行保护动作，以实现所述对象的功能安全。

可选地，

控制器，用于在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号并输出；

故障保护装置，用于对所述诊断信号进行检测，如确定所述控制器输出的诊断信号非所述预定的诊断信号，确定为控制器故障，生成故障保护信号；

控制器控制和保护对象的安全保护回路，用于根据所述故障保护信号执行保护动作，以实现所述对象的功能安全。

可选地，

所述控制器执行的诊断逻辑为数字信号翻转逻辑，生成的所述预定的诊断信号为脉冲串信号；

所述故障保护装置如确定所述控制器输出的诊断信号非所述预定的诊断信号，确定为控制器故障，生成故障保护信号，包括：如判断所述诊断信号的高电平持续时间大于所述脉冲串信号的高电平持续时间T1，或者所述诊断信号的低电平持续时间大于所述脉冲串信号的低电平持续时间T2，则生成故障保护信号。

可选地，

所述控制器生成的预定的诊断信号包括相位相反的第一脉冲串信号和第二脉冲串信号；

所述控制器功能安全系统还包括：

第一驱动电路，用于将输入的所述第一脉冲串信号转换为第一开关单元的通断信号，所述第一开关单元的通断受所述第一脉冲串信号的电平控制；

第二驱动电路，用于将输入的所述第二脉冲串信号转换为第二开关单元的通断信号，所述第二开关单元的通断受所述第二脉冲串信号的电平控制；

所述第一驱动电路和第二驱动电路是所述控制器的输出驱动电路的一部分，或者是所述故障保护装置的一部分。

可选地，

所述控制器生成的预定的诊断信号包括第一脉冲串信号；

所述故障保护装置还包括：

第一驱动电路，将输入的所述第一脉冲串信号转换为第一开关单元的通断信号，所述第一开关单元的通断受所述第一脉冲串信号的电平控制；

反相电路，将输入的所述第一脉冲串信号反相后，输出为第二脉冲串信号；

第二驱动电路，将输入的所述第二脉冲串信号转换为第二开关单元的通断信号，所述第二开关单元的通断受所述第二脉冲串信号的电平控制。

可选地，

所述第一驱动电路包括第一驱动继电器，所述第一开关单元是所述第一驱动继电器的触点；

所述第二驱动电路包括第二驱动继电器，所述第二开关单元是所述第二驱动继电器的触点；

所述第一触点和第二触点的接通分别受所述第一脉冲串信号和第二脉冲串信号的高电平或低电平控制。

可选地，

所述故障保护装置包括：

第一检测电路，包括串联的第一开关单元和第一延时动作单元，所述第一开关单元的接通时间受所述第一脉冲串信号的高电平持续时间或低电平持续时间控制，所述第一延时动作单元在所述第一开关单元的接通时间达到预设的第一延时时间T1’时动作，T1’>T1；

第二检测电路，包括串联的第二开关单元和第二延时动作单元，所述第二开关单元的接通时间受所述第二脉冲串信号的高电平持续时间或低电平持续时间控制，所述第二延时动作单元在所述第二开关单元的接通时间达到预设的第二延时时间T2’时动作，T2’>T2；

信号生成电路，在检测到所述第一延时动作单元和所述第二延时动作单元中有任何一个动作时，生成故障保护信号。

可选地，

所述第一延时动作单元为第一延时继电器，所述第二延时动作单元为第二延时继电器。

可选地，

所述信号生成电路包括组成并联结构的所述第一延时继电器的常开触点和所述第二延时继电器的常开触点；或者

所述信号生成电路包括组成串联结构的所述第一延时继电器的常闭触点和所述第二延时继电器的常闭触点。

可选地，

所述信号生成电路还包括：与所述并联结构或串联结构串联的第三继电器，所述第三继电器的触点接入所述控制器控制和保护对象的安全保护回路，以实现所述对象的功能安全。

可选地，

所述控制器生成的所述预定的脉冲串信号的占空比为1，高电平持续时间T1和低电平持续时间T2均等于所述控制器的控制周期T。

可选地，

所述控制器是采用单控制器配置的控制系统中的一个控制器；或者

所述控制器为冗余控制系统中的冗余控制器，所述冗余控制系统中所有的冗余控制器通过公共的接口输出所述诊断信号。

可选地，

所述控制器控制和保护对象的安全保护回路根据所述故障保护信号执行的保护动作包括以下一种或多种：

发出故障报警信号；

动作所述控制器控制和保护对象的跳闸回路；

进行不同控制方式；

进行不同控制逻辑的切换。

上述方案可以实现控制器功能安全，通过对控制器执行控制任务时生成的诊断信号是否正常来生成故障保护信号，进而用于动作控制器控制和保护对象的保护回路如跳闸回路。可以实现控制器的功能安全，而且简单、通用、成本很低。

附图说明

图1是本发明实施例一控制器诊断信号生成方法的流程图；

图2是本发明实施例一控制器的模块图；

图3是本发明实施例二控制器故障保护方法的流程图；

图4是本发明实施例二控制器故障保护系统的架构图；

图5是本发明实施例二、三中故障诊断装置的模块图；

图6是本发明实施例四中控制器功能安全实现方法的流程图；

图7是本发明实施例四控制器功能安全系统的架构图；

图8是本发明示例中的诊断逻辑和反相逻辑的示意图；

图9是本发明示例中的第一继电器回路的示意图；

图10是本发明示例中的第二继电器回路的示意图；

图11是本发明示例中的第三继电器回路的示意图；

图12是本发明示例中的跳闸回路的示意图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明白，下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

需要说明的是，说明书和权利要求书及附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。

任何控制器的严重故障都最终表现为控制器不能正确有效地执行其被赋予的控制任务，控制器可以在执行控制任务的同时执行诊断逻辑(诊断逻辑由软件执行)，生成一个预定的诊断信号(即提供给外部用于诊断控制器故障的信号)如脉冲串信号并输出。因为控制任务和控制逻辑的执行处于相同的运行环境下，控制器不能正常执行控制任务时，也将不能正常执行诊断逻辑，此时诊断信号异常，不再是预定的诊断信号，因而通过控制器输出的该诊断信号就可以实现对控制器故障的检测，进而对控制器控制和保护的对象执行保护动作来实现控制器功能安全。

实施例一

本实施例提供一种控制器诊断信号的生成方法，本实施例的控制器可以是采用单控制器配置的控制系统中的一个控制器，也可以是冗余控制系统中的冗余控制器(冗余控制系统中的控制器均称为冗余控制器)。

如图1所示，本实施例方法包括：

步骤110，控制器在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号；

本实施例中，所述诊断逻辑包括数字信号翻转逻辑，所述预定的诊断信号为脉冲串信号。可选地，所述脉冲串信号的占空比为1，脉冲宽度等于所述控制器的控制周期。这种诊断信号方便控制器生成，并且在控制器故障而不能执行控制任务时，也就不能执行诊断逻辑，脉冲串信号将长时间停留在高电平或低电平上，而相应的故障保护装置只要检测到控制器输出的诊断信号有超过一个控制周期的时间停留在高电平或低电平上，就可以确认控制器故障，具有很高的实时性。

本实施例中，所述脉冲串信号包括第一脉冲串信号；或者，所述脉冲串信号包括第一脉冲串信号，以及将所述第一脉冲串信号反相后得到的第二脉冲串信号。对后者，控制器可以通过执行一个反相的逻辑，但该反相逻辑也可以在控制器的外部电路中实现，或通过其他方式实现。

步骤120，所述控制器将所述预定的诊断信号输出。

本实施例中，所述控制器将所述预定的诊断信号输出，采用以下一种或多种方式：将所述脉冲串信号输出到硬件接口；及，将所述脉冲串信号输出到通信网络接口。输出到通信网络接口后，其他控制器可以通过该通信网络接口获取到该输出的诊断信号，判断该控制器的状态而做相应的处理。

所述控制器将所述脉冲串信号输出到硬件接口之后，还可以通过驱动电路将所述脉冲串信号转换为触点的通断信号，再将所述触点的通断信号输出到外部电路，所述触点的通断受所述脉冲串信号的电平控制。在动电路采用驱动继电器时，对于常开触点，触点的接通受脉冲串信号的高电平控制，断开受脉冲串信号的低电平控制；而对于常闭触点，触点的接通受脉冲串信号的低电平控制，断开受脉冲串信号的高电平控制。本申请中，有时仅给出一种情况下的示例，但继电器电路的此类变换及类似的变换均应在本发明的保护范围之内。

如果上述控制器是冗余控制系统中的冗余控制器，所述控制器将所述预定的诊断信号输出，包括：所述冗余控制系统中所有的冗余控制器将所述预定的诊断信号通过公共接口输出。共接口可以是一个或多个，例如要输出两个脉冲串信号时，则需设置两个公共接口。

这样，就可以通过对该公共接口输出的诊断信号的检测，在检测到诊断信号异常时，判断所述冗余控制系统中所有的冗余控制器均发生故障而采用相应的保护措施。

本实施例还提供了一种控制器，如图2所示，包括：

处理模块10，用于在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号；

接口模块20，用于将所述预定的诊断信号输出。

可选地，

所述处理模块执行的诊断逻辑包括数字信号翻转逻辑，生成的所述预定的诊断信号为脉冲串信号。

可选地，

所述处理模块生成的所述脉冲串信号的占空比为1，脉冲宽度等于所述控制器的控制周期；其中，所述脉冲串信号包括第一脉冲串信号，或者包括第一脉冲串信号及将所述第一脉冲串信号反相后得到的第二脉冲串信号。

可选地，

所述接口模块将所述预定的诊断信号输出，采用以下一种或多种方式：将所述脉冲串信号输出到硬件接口；及，将所述脉冲串信号输出到通信网络接口。

可选地，

所述控制器还包括：驱动电路，用于将输出到硬件接口的所述脉冲串信号转换为触点的通断信号，再将所述触点的通断信号输出，其中，所述触点的通断受所述脉冲串信号的电平控制。

可选地，

所述控制器是采用单控制器配置的控制系统中的一个控制器；或者

所述控制器为冗余控制系统中的冗余控制器，所述冗余控制系统中所有的冗余控制器将所述预定的诊断信号通过公共接口输出。

本实施例控制器在执行控制任务的同时通过执行诊断逻辑，生成诊断信号，简单、通用，又具有很高的可靠性，也便于检测。

实施例二

本实施例提供一种控制器故障保护方法。与实施例一相同，本实施例的控制器可以是采用单控制器配置的控制系统中的一个控制器，也可以是冗余控制系统中的冗余控制器。

如图3所示，本实施例方法包括：

步骤210，控制器在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号并输出；

本实施例中，所述预定的诊断信号为脉冲串信号，所述脉冲串信号的高电平持续时间为T1，低电平持续时间为T2；可选地，所述脉冲串信号的占空比为1，T1＝T2＝T，T为所述控制器的控制周期。

本实施例中，所述控制器输出的诊断信号包括相位相反的第一脉冲串信号和第二脉冲串信号；或者，所述控制器输出的诊断信号包括第一脉冲串信号，此时，由所述故障保护装置将所述第一脉冲串信号反相，得到第二脉冲串信号。

实施例一中控制器生成所述预定的诊断信号的方法，均可以在本实施例中使用。特别地，如果控制器是冗余控制器，所述冗余控制系统中所有的冗余控制器均通过公共的接口输出所述诊断信号。

步骤220，故障保护装置对所述控制器输出的诊断信号进行检测，如确定所述控制器输出的诊断信号非所述预定的诊断信号，确定为控制器故障，生成故障保护信号。

本实施例中，所述故障保护装置如确定所述控制器输出的诊断信号非所述预定的诊断信号，确定为控制器故障，生成故障保护信号，包括：如检测到所述控制器输出的诊断信号的高电平持续时间大于T1，或者检测到所述控制器输出的诊断信号的低电平持续时间大于T2，表示输出的诊断信号非脉冲串信号，则生成故障保护信号。

在一个示例中，包括：

将所述第一脉冲串信号转换为第一开关单元的通断信号，将所述第二脉冲串信号转换为第二开关单元的通断信号；其中，所述第一开关单元和第二开关单元的接通时间分别受所述第一脉冲串信号和第二脉冲串信号的高电平持续时间或低电平持续时间的控制；

在所述第一开关单元的接通时间达到预设的第一延时时间T1’时，触发第一延时动作单元动作，在所述第二开关单元的接通时间达到预设的第二延时时间T2’时，触发第二延时动作单元动作，T1’>T1，T2’>T2；

在所述第一延时动作单元和第二延时动作单元中有任何一个动作时，生成所述故障保护信号。

需要说明的是，上述“所述第一开关单元和第二开关单元的接通时间分别受所述第一脉冲串信号和第二脉冲串信号的高电平持续时间或低电平持续时间的控制”，包括以下两种情况：

情况一：所述第一开关单元的接通时间受所述第一脉冲串信号的高电平持续时间控制(换言之，所述第一开关单元在所述第一脉冲串信号的高电平持续时间接通)，所述第二开关单元的接通时间受所述第二脉冲串信号的高电平持续时间控制；

情况二：所述第一开关单元的接通时间受所述第一脉冲串信号的低电平持续时间控制，所述第二开关单元的接通时间受所述第二脉冲串信号的低电平持续时间控制。

本实施例的以上的处理可以通过电路来实现。在另一实施例中，所述故障保护装置为不同于所述控制器的另一控制器，所述另一控制器可以通过通信网络接口获取所述控制器输出的诊断信号，通过执行故障保护任务而实现所述故障保护装置的功能。

本实施例还提供一种控制器故障保护系统，如图4所示，包括相互连接的控制器30和故障保护装置40，其中：

所述控制器30输出诊断信号，所述诊断信号正常时为脉冲串信号；

所述故障保护装置40对所述诊断信号进行检测，如判断所述诊断信号的高电平持续时间大于所述脉冲串信号的高电平持续时间T1，或者所述诊断信号的低电平持续时间大于所述脉冲串信号的低电平持续时间T2，则生成故障保护信号。

通过对诊断信号的高电平持续时间和T1，及诊断信号的低电平持续时间和T2的比较，如果诊断信号的高电平持续时间大于T1或者低电平持续时间大于T2，都说明该诊断信号不再是一个脉冲串信号，因此能够确定诊断信号异常而生成故障保护信号。

本实施例中，如图5所示，所述故障保护装置包括：

第一检测电路401，包括串联的第一开关单元和第一延时动作单元，所述第一开关单元的接通时间受所述第一脉冲串信号的高电平持续时间或低电平持续时间控制，所述第一延时动作单元在所述第一开关单元的接通时间达到预设的第一延时时间T1’时动作，T1’>T1；

第二检测电路402，包括串联的第二开关单元和第二延时动作单元，所述第二开关单元的接通时间受所述第二脉冲串信号的高电平持续时间或低电平持续时间控制，所述第二延时动作单元在所述第二开关单元的接通时间达到预设的第二延时时间T2’时动作，T2’>T2；

信号生成电路403，在检测到所述第一延时动作单元和所述第二延时动作单元中有任何一个动作时，生成故障保护信号。

本实施例中，所述脉冲串信号包括相位相反的第一脉冲串信号和第二脉冲串信号；

所述控制器故障保护系统还包括：

第一驱动电路404，将输入的所述第一脉冲串信号转换为第一开关单元的通断信号，所述第一开关单元的通断受所述第一脉冲串信号的电平控制；

第二驱动电路405，将输入的所述第二脉冲串信号转换为第二开关单元的通断信号，所述第二开关单元的通断受所述第二脉冲串信号的电平控制；

所述第一驱动电路和第二驱动电路是所述控制器的输出驱动电路的一部分，或者是所述故障保护装置的一部分。图5中用虚线框示出了第一驱动电路404和第二驱动电路405，说明这两个电路是可选的，因为也可以在控制器侧来实现。

在另一实施例中，所述脉冲串信号包括第一脉冲串信号；如图5所示，所述故障保护装置还包括：

第一驱动电路404，将输入的所述第一脉冲串信号转换为第一开关单元的通断信号，所述第一开关单元的通断受所述第一脉冲串信号的电平控制；

反相电路406，将输入的所述第一脉冲串信号反相后，输出为第二脉冲串信号；

第二驱动电路405，将输入的所述第二脉冲串信号转换为第二开关单元的通断信号，所述第二开关单元的通断受所述第二脉冲串信号的电平控制。

这种实现方式下控制器只输出一路脉冲串信号，需要故障保护装置来将其反相，得到与其相位相反的另一路脉冲串信号。反相电路是一种常见电路，可以采用模拟电路也可以采用数字电路，在此不再赘述。

本实施例中，

所述第一驱动电路包括第一驱动继电器，所述第一开关单元是所述第一驱动继电器的触点，文中称为第一触点；

所述第二驱动电路包括第二驱动继电器，所述第二开关单元是所述第二驱动继电器的触点，文中称为第二触点；

所述第一触点和第二触点的接通分别受所述第一脉冲串信号和第二脉冲串信号的高电平或低电平控制。

但本发明不局限于继电器这种方式，可以实现上述功能的电路均可以采用。

本实施例中，所述脉冲串信号的占空比为1，高电平持续时间T1和低电平持续时间T2均等于所述控制器的控制周期T。但本发明并不局限于此，如T1和T2也可以等于2T，但是，T1＝T2＝T时能够最快地发现故障。

本实施例中，所述第一延时动作单元为第一延时继电器，所述第二延时动作单元为第二延时继电器。但需要说明的是，可以实现延时动作功能的器件并不限于延时继电器，也可能采用分立元件或集成电路等方式实现，

本实施例中，所述信号生成电路包括组成并联结构的所述第一延时继电器的常开触点和所述第二延时继电器的常开触点；或者，所述信号生成电路包括组成串联结构的所述第一延时继电器的常闭触点和所述第二延时继电器的常闭触点。这样，在所述第一延时动作单元和所述第二延时动作单元中有任何一个动作时，就能够生成故障保护信号。

本实施例中，所述信号生成电路还包括：与所述并联结构或串联结构串联的第三继电器。该第三继电器的触点可以提供给外部电路，例如将第三继电器的触点接入所述控制器控制和保护对象的跳闸回路，用于触发所述跳闸回路动作，实现所述对象的功能安全。

在一个实施例中，上述控制器是采用单控制器配置的控制系统中的一个控制器。

在另一实施例中，该控制器可以是冗余控制系统中的冗余控制器，所述冗余控制系统中所有的冗余控制器通过公共的接口输出所述诊断信号。显示，这里的公共接口在控制器输出一个脉冲串信号时可以只需要有一个，而在控制器输出两个脉冲串信号时，则需要有两个。这样，当诊断到冗余控制器故障时，就可以确定所述冗余控制系统中所有的冗余控制器均发生了故障，而及时进行保护。

本实施例中，所述控制器是在执行控制任务的同时执行数字信号翻转逻辑，生成脉冲串信号并作为所述诊断信号输出。

本实施例提供了一种通用的控制器故障保护方法和系统，控制器正常时可以执行控制任务，生成预定的诊断信号，而控制器故障时不能正常执行控制任务，就不能生成预定的诊断信号，因此可以通过检测输出的诊断信号是否预定的诊断信号来判断控制器是否故障，方法简单、有效、成本低且具有通用性。

实施例三

本实施例提供一种故障保护装置，用于对正常为脉冲串信号的诊断信号进行诊断，其功能与实施例一中的故障保护装置一致，但本实施例主要是描述其本身的结构，如图5所示，该故障保护装置包括：

第一检测电路401，包括串联的第一开关单元和第一延时动作单元，所述第一延时动作单元在所述第一开关单元的接通时间达到预设的第一延时时间时动作；

第二检测电路402，包括串联的第二开关单元和第二延时动作单元，所述第二延时动作单元在所述第二开关单元的接通时间达到预设的第二延时间时动作；

信号生成电路403，在检测到所述第一延时动作单元和所述第二延时动作单元中有任何一个动作时，生成故障保护信号。

本实施例中，所述第一开关单元是控制器外部接口提供的第一触点；所述第二开关单元是所述控制器外部接口提供的第二触点。但在另一实施例中，上述两个触点在故障保护装置侧，具体地，有两种结构：

结构一：

所述故障保护装置还包括：

第一驱动电路，包括第一驱动继电器，所述第一开关单元是所述第一驱动继电器的触点，所述第一驱动继电器的输入端用于接收外部信号输入；

第二驱动电路，包括第二驱动继电器，所述第二开关单元是所述第二驱动继电器的触点，所述第一驱动继电器的输入端用于接收外部信号输入。

该结构可以将两个脉冲串信号转换为相应的触点通断信号。

结构二：

所述故障保护装置还包括：

第一驱动电路，包括第一驱动继电器，所述第一开关单元是所述第一驱动继电器的触点，所述第一驱动继电器的输入端用于接收外部信号输入；

反相电路，接收外部信号输入，将所述外部信号反相后输出；

第二驱动电路，包括第二驱动继电器，所述第二开关单元是所述第二驱动继电器的触点，所述第二驱动继电器的输入端与所述反相电路的输出端连接。

该结构可以在只有一个脉冲串信号输入时，通过反相电路生成另一个相位相反的脉冲串信号，再转换为两个触点的通断信号。

本实施例中，所述第一延时动作单元为第一延时继电器，所述第二延时动作单元为第二延时继电器。

本实施例中，

所述信号生成电路包括组成并联结构的所述第一延时继电器的常开触点和所述第二延时继电器的常开触点；或者

所述信号生成电路包括组成串联结构的所述第一延时继电器的常闭触点和所述第二延时继电器的常闭触点。

本实施例中，

所述信号生成电路还包括：与所述并联结构或串联结构串联的第三继电器。

本实施例中，

所述第一延时动作单元的第一延时时间等于所述第二延时动作单元的第二延时时间。

实施例四

本实施例提供一种控制器功能安全的实现方法，如图6所示，所述方法包括：

步骤310，控制器在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号并输出；

步骤320，故障保护装置对所述控制器输出的诊断信号进行检测，如确定所述控制器输出的诊断信号非所述预定的诊断信号，确定为控制器故障，生成故障保护信号；

上述步骤310和320执行的可以是实施例二中描述的控制器故障保护方法，这里不再赘述。

步骤330，所述控制器控制和保护对象的安全保护回路根据所述故障保护信号执行保护动作。

本实施例中，所述安全保护回路执行的保护动作可以包括以下一种或多种：

发出故障报警信号；

动作所述控制器所控制和保护设备的跳闸回路；

进行不同控制方式的切换；

进行不同控制逻辑的切换。

本实施例还提供一种控制器功能安全系统，如图7所示，包括：

控制器30，用于在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号并输出；

故障保护装置40，用于对所述诊断信号进行检测，如确定所述控制器输出的诊断信号非所述预定的诊断信号，确定为控制器故障，生成故障保护信号；

控制器控制和保护对象的安全保护回路50，用于根据所述故障保护信号执行保护动作，以实现所述对象的功能安全。

可选地，

所述控制器执行的诊断逻辑为数字信号翻转逻辑，生成的所述预定的诊断信号为脉冲串信号；

所述故障保护装置如确定所述控制器输出的诊断信号非所述预定的诊断信号，确定为控制器故障，生成故障保护信号，包括：如判断所述诊断信号的高电平持续时间大于所述脉冲串信号的高电平持续时间T1，或者所述诊断信号的低电平持续时间大于所述脉冲串信号的低电平持续时间T2，则生成故障保护信号。

可选地，

所述控制器生成的预定的诊断信号包括相位相反的第一脉冲串信号和第二脉冲串信号；

所述控制器功能安全系统还包括：

第一驱动电路，用于将输入的所述第一脉冲串信号转换为第一开关单元的通断信号，所述第一开关单元的通断受所述第一脉冲串信号的电平控制；

第二驱动电路，用于将输入的所述第二脉冲串信号转换为第二开关单元的通断信号，所述第二开关单元的通断受所述第二脉冲串信号的电平控制；

所述第一驱动电路和第二驱动电路是所述控制器的输出驱动电路的一部分，或者是所述故障保护装置的一部分。

可选地，

所述控制器生成的预定的诊断信号包括第一脉冲串信号；

所述故障保护装置还包括：

第一驱动电路，将输入的所述第一脉冲串信号转换为第一开关单元的通断信号，所述第一开关单元的通断受所述第一脉冲串信号的电平控制；

反相电路，将输入的所述第一脉冲串信号反相后，输出为第二脉冲串信号；

第二驱动电路，将输入的所述第二脉冲串信号转换为第二开关单元的通断信号，所述第二开关单元的通断受所述第二脉冲串信号的电平控制。

可选地，

所述第一驱动电路包括第一驱动继电器，所述第一开关单元是所述第一驱动继电器的触点；

所述第二驱动电路包括第二驱动继电器，所述第二开关单元是所述第二驱动继电器的触点；

所述第一触点和第二触点的接通分别受所述第一脉冲串信号和第二脉冲串信号的高电平或低电平控制。

可选地，

所述故障保护装置包括：

第一检测电路，包括串联的第一开关单元和第一延时动作单元，所述第一开关单元的接通时间受所述第一脉冲串信号的高电平持续时间或低电平持续时间控制，所述第一延时动作单元在所述第一开关单元的接通时间达到预设的第一延时时间T1’时动作，T1’>T1；

第二检测电路，包括串联的第二开关单元和第二延时动作单元，所述第二开关单元的接通时间受所述第二脉冲串信号的高电平持续时间或低电平持续时间控制，所述第二延时动作单元在所述第二开关单元的接通时间达到预设的第二延时时间T2’时动作，T2’>T2；

信号生成电路，在检测到所述第一延时动作单元和所述第二延时动作单元中有任何一个动作时，生成故障保护信号。

可选地，

所述第一延时动作单元为第一延时继电器，所述第二延时动作单元为第二延时继电器。

可选地，

所述信号生成电路包括组成并联结构的所述第一延时继电器的常开触点和所述第二延时继电器的常开触点；或者

所述信号生成电路包括组成串联结构的所述第一延时继电器的常闭触点和所述第二延时继电器的常闭触点。

可选地，

所述信号生成电路还包括：与所述并联结构或串联结构串联的第三继电器，所述第三继电器的触点接入所述控制器控制和保护对象的安全保护回路，以实现所述对象的功能安全。

可选地，

所述控制器生成的所述预定的脉冲串信号的占空比为1，高电平持续时间T1和低电平持续时间T2均等于所述控制器的控制周期T。

可选地，

所述控制器是采用单控制器配置的控制系统中的一个控制器；或者

所述控制器为冗余控制系统中的冗余控制器，所述冗余控制系统中所有的冗余控制器通过公共的接口输出所述诊断信号。

可选地，

所述控制器控制和保护对象的安全保护回路根据所述故障保护信号执行的保护动作包括以下一种或多种：

发出故障报警信号；

动作所述控制器控制和保护对象的跳闸回路；

进行不同控制方式；

进行不同控制逻辑的切换。

下面再用应用中的示例对本发明进行说明。

示例一

本示例涉及单个DCS/PLC控制器的故障保护和功能安全的实现，采用附加继电器回路生成故障保护信号，该故障保护信号可作用于控制器控制和保护设备的跳闸回路，实现功能安全的目的。

任何DCS/PLC控制器的严重故障都最终表现为控制器不能正确有效地执行其被赋予的控制任务，因此，监测控制任务是否被持续有效执行，可以有效诊断控制器的故障。

本示例中，在控制器正常的控制任务中加入数字信号翻转逻辑作为诊断逻辑，因而在执行控制任务的同时会执行诊断逻辑。该诊断逻辑用等价的逻辑电路表示如图8，即把数字输出信号取“非”后，将“N”(非门)的输出端信号引回到“N”输入端，又作为“N”的输入信号。输出端信号就不断发生由“1”到“0”、由“0”到”1”的翻转。这是一个简单到几乎永远都不会出错的逻辑，此逻辑作为诊断逻辑十分可靠。

实时控制任务都是按固定控制周期反复执行的，这一数字信号翻转逻辑执行的结果就是以控制周期为宽度、占空比为1的脉冲串信号，称为第一脉冲串信号。如图8所示，该第一脉冲串信号经驱动电路如驱动继电器可以转换为第一触点的通断信号，该第一触点通过控制器配备的开关量输出卡(本示例采用DO卡件)的通道引出，标记为DOPULSE1通道；同时，通过反相逻辑将所述第一脉冲串信号反相后得到与第一脉冲串信号相位相反的第二脉冲串信号，也经驱动电路转换为第二触点的通断信号，该第二触点通过DO卡件的另一通道引出，标记为DOPULSE2通道。

控制器的控制任务执行正常时，脉冲串信号正常形成，如果控制器控制任务因故障停止执行，控制器脉动信号将变为长时间为1或长时间为0，输出的诊断信号将不是脉冲串信号即信号异常。也即只要控制任务在正常执行，该数字信号翻转逻辑也一同正常执行。如控制任务停止执行，数字信号翻转逻辑就不会翻转。因而控制任务执行正常就代表控制器正常，反之亦然。

数字信号翻转逻辑是表示控制任务正常执行最直观的表现形式，可以作为一种通用方法，执行该诊断逻辑就可以得到DCS或PLC控制器故障的通用信息。

一个好的故障保护装置应满足：①电路可靠性高，无需借助于其它控制器等复杂电子器件，生成的故障保护信号可直接应用到设备保护回路，使设备动作到安全状态；②控制器脉动信号正常时，无保护动作(保护动作采用正逻辑时，保护信号状态为0；保护动作采用负逻辑时，保护信号状态为1)，控制器脉动信号异常时，有保护动作(保护动作采用正逻辑时，保护信号状态为1；保护动作采用负逻辑时，保护信号状态为0)。

以下以保护动作采用正逻辑为例进行说明。

本示例的故障保护装置采用继电器电路组成，只要继电器的电磁线圈和触点容量选择合适，其可靠性十分高，传统保护回路，包括高压电气保护回路都是由继电器构成的；

请参见图9至图11，图9是第一继电器回路，图10是第二继电器回路，在这两个回路中，DOPULSE1和DOPULSE2分别与一个延时继电器串接。本示例中，所述延时继电器的延时时间均大于控制器的控制周期，本示例设为控制器脉动信号的周期时间也即控制器控制周期的2倍。延时时间太长将影响保护动作的及时性，而较短的话易导致误发保护动作信号。实际延时时间可根据控制器的控制周期的确定性情况(即控制周期是否准确和稳定)进行适当调整。置设备于安全状态：

当控制器脉动信号正常时，2个延时继电器都不动作，无保护信号生成；当冗余控制器故障时，控制器脉动信号长时间将停留在1状态(高电平)或0状态(低电平)，如长时间(≥2个控制器周期)停留在1状态，直接与第一触点(DOPULSE1通道)相串联的第一延时继电器RONDLY1产生动作，触点闭合；如长时间(≥2个控制器周期)停留在0状态时，与第二触点(DOPULSE2通道)相串联的第二延时继电器RONDLY2动作，触点闭合。在图11的第三继电器回路中，将2个触点闭合信号相或，就产生控制器的故障保护信号。

从上文可知，只要控制器脉动信号超过设定的延时时间未向相反状态转换，控制器的故障保护信号将会产生。该故障保护信号可以用于控制第三继电器的通断，进而用该第三继电器的触点来触发被保护设备的跳闸回路动作，使设备切至安全状态，实现及时保护的目的，如图12所示。

除了使控制器保护设备跳闸外，上述故障保护信号还可以用于其他用途，例如，不同控制方式的切换，产生故障报警等。例如，在用DCS或PLC控制器执行基本控制功能，另一外部控制器执行一些复杂计算功能的系统中，外部控制器正常时，可以将复杂计算结果送到DCS，DCS还可以执行与该复杂计算相关的一些功能。但由于外部控制器可靠性不及DCS或PLC控制器高，这时可以将诊断逻辑放在外部控制器中、保护回路逻辑放在DCS或PLC控制器中，一旦外部控制器故障，DCS或PLC控制器就能从执行复杂计算相关的功能及时切回到基本控制功能。不同控制功能的切换，有时也是不同控制方式的切换，如监督控制方式需要一些复杂计算，当执行复杂计算的控制器故障时，就切换到直接控制方式。

示例二

与示例一不同的是，本示例的控制器是冗余控制系统中的冗余控制器。冗余的控制器的特点是2个互为冗余备用的控制器执行同样的控制任务，当正在执行控制任务的控制器故障时，将自动切换到它的备用控制器继续执行控制任务，一个控制器故障不影响控制任务和上述逻辑电路的执行，此时数字信号翻转逻辑照常执行，只有当所有冗余控制器都故障时，控制任务和上述数字信号翻转逻辑才停止执行。因而，对冗余控制系统来说，诊断逻辑停止执行就表示所有冗余控制器都故障，反之，诊断逻辑正常执行，输出预定的脉冲串信号，就表示至少有一个冗余控制器是正常的。

对于冗余控制器的故障保护，冗余控制器生成诊断信号的方式与普通控制器是相同的，但是，冗余控制系统中所有的冗余控制器应当将生成的预定的诊断信号通过公共接口输出，当生成一个脉冲串信号时，通过一个公共接口输出，生成两个脉冲串信号时，通过两个公共接口输出。故障保护装置的结构、故障保护和功能安全的相关处理是相同的。这里不再赘述。

上述本发明实施例序号仅仅为了描述，不代表实施例的优劣。通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明实施例的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端设备(可以是手机，计算机，服务器，或者网络设备等)执行本发明各个实施例所述的方法。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种控制器诊断信号的生成方法，包括：

控制器在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号；

所述控制器将所述预定的诊断信号输出给故障保护装置；

所述诊断逻辑包括数字信号翻转逻辑，所述预定的诊断信号为脉冲串信号；

所述脉冲串信号包括第一脉冲串信号；或者

所述脉冲串信号包括第一脉冲串信号，以及将所述第一脉冲串信号反相后得到的第二脉冲串信号；

所述故障保护装置当接收的只有第一脉冲串信号时，将所述第一脉冲串信号反相得到第二脉冲串信号；当第一延时动作单元或第二延时动作单元动作时，判断所述控制器故障；

其中，所述第一延时动作单元当第一脉冲串信号高电平持续时间超过第一延时时长时动作；所述第二延时动作单元当第二脉冲串信号高电平持续时间超过第二延时时长时动作；其中，所述第一、第二延时时长是大于所述控制器控制周期的值。

2.如权利要求1所述的方法，其特征在于：所述脉冲串信号的高电平持续时间为T1，低电平持续时间为T2，T1＝T2＝T，T为所述控制器的控制周期。

3.如权利要求1所述的方法，其特征在于：

所述控制器将所述预定的诊断信号输出，采用以下一种或多种方式：

将所述脉冲串信号输出到硬件接口；

将所述脉冲串信号输出到通信网络接口。

4.如权利要求3所述的方法，其特征在于：

所述控制器将所述脉冲串信号输出到硬件接口之后，还包括：通过驱动电路将所述脉冲串信号转换为触点的通断信号，再将所述触点的通断信号输出到外部电路，所述触点的通断受所述脉冲串信号的电平控制。

5.如权利要求1-4中任一所述的方法，其特征在于：

所述控制器是采用单控制器配置的控制系统中的一个控制器；或者

所述控制器为冗余控制系统中的冗余控制器，所述控制器将所述预定的诊断信号输出，包括：所述冗余控制系统中所有的冗余控制器将所述预定的诊断信号通过公共接口输出。

6.一种控制器，其特征在于，包括：

处理模块，用于在执行控制任务的同时执行诊断逻辑，生成预定的诊断信号；

接口模块，用于将所述预定的诊断信号输出给故障保护装置；

所述处理模块执行的诊断逻辑包括数字信号翻转逻辑，生成的所述预定的诊断信号为脉冲串信号；

其中，所述脉冲串信号包括第一脉冲串信号，或者包括第一脉冲串信号及将所述第一脉冲串信号反相后得到的第二脉冲串信号；

所述故障保护装置用于当接收的只有第一脉冲串信号时，将所述第一脉冲串信号反相得到第二脉冲串信号；当第一延时动作单元或第二延时动作单元动作时，判断所述控制器故障；

所述第一延时动作单元当第一脉冲串信号高电平持续时间超过第一延时时长时动作；所述第二延时动作单元当第二脉冲串信号高电平持续时间超过第二延时时长时动作；其中，所述第一、第二延时时长是大于所述控制器控制周期的值。

7.如权利要求6所述的控制器，其特征在于：

所述处理模块生成的所述脉冲串信号的的高电平持续时间为T1，低电平持续时间为T2，T1＝T2＝T，T为所述控制器的控制周期。

Images