CN110018663B - 故障安全型Fail-Safe地坑架车机控制系统 - Google Patents

Abstract

本发明涉及一种故障安全型Fail‑Safe地坑架车机控制系统。包括信号检测单元、信号采集单元、安全链路、评估处理单元和动作执行单元，信号检测单元采用Fail‑Safe型的三触点行程开关；信号采集单元采用Fail‑Safe型数字量输入模块；评估处理单元采用Fail‑Safe型可编程逻辑控制器F‑CPU；动作执行单元采用Fail‑Safe型数字量输出模块；Fail‑Safe型的三触点行程开关，其中一个常闭触点和一个常开触点采用异步接线方式接入Fail‑Safe型数字量输入模块中，另外一个常闭触点接入安全链路中，Fail‑Safe型数字量输入模块采用1oo2的异步信号接线方式，Fail‑Safe型数字量输出模块采用双线圈输出形式，安全链路包括两级三层。本发明极大的增强了安全型地坑架车机设备的安全性能，能够满足当前设备使用方对地坑架车机安全性能的要求。

Description

故障安全型Fail-Safe地坑架车机控制系统

技术领域

本发明涉及机车检修类升降设备技术领域，具体是一种故障安全型Fail-Safe地坑架车机控制系统。

背景技术

随着社会对设备使用人员的安全越来越重视，设备的安全性能要求越来越高，为解决这个问题，各种故障安全控制系统相继出现，同时也推出了各种故障安全控制模块，但是现有的故障安全控制系统无法满足设备使用方对设备安全性能的更高要求，并且无法达到保护人员及设备安全的目的。

发明内容

本发明旨在解决上述问题，从而提供一种能够提高设备安全性和稳定性的故障安全型Fail-Safe地坑架车机控制系统。

本发明解决所述问题，采用的技术方案是：

一种故障安全型Fail-Safe地坑架车机控制系统，包括信号检测单元、信号采集单元、安全链路、评估处理单元和动作执行单元，信号检测单元采用Fail-Safe型的三触点行程开关，两个触点为常闭，一个触点为常开；信号采集单元采用Fail-Safe型数字量输入模块；评估处理单元采用Fail-Safe型可编程逻辑控制器F-CPU；动作执行单元采用Fail-Safe型数字量输出模块；

信号检测单元中，采用Fail-Safe型的三触点行程开关，其中一个常闭触点和一个常开触点采用异步接线方式接入Fail-Safe型数字量输入模块中，另外一个常闭触点接入安全链路中；

信号采集单元中，Fail-Safe型数字量输入模块采用1oo2的异步信号接线方式，一旦出现短路、断路或其他异常状态，Fail-Safe型可编程逻辑控制器立即停止执行普通程序，并执行安全控制程序，使各动作执行机构处于安全状态；

动作执行单元中，Fail-Safe型数字量输出模块采用双线圈输出形式，主控制回路采用双接触器控制，在故障状态下能够有效保证升降电机动力电源的切断；

安全链路包括两级三层，急停安全链路共一条，为一级安全链路，能够切断普通输出控制电源及安全升降控制电源；升降安全链路每个地坑两条，为二级安全链路，能够切断其所在坑内安全升降控制电源。

采用上述技术方案的本发明，与现有技术相比，其突出的特点是：

控制系统的评估处理机构检测到其故障安全型信号处于故障状态，则控制系统立即进入故障安全控制流程；使得其相关执行机构处于安全状态；以达到保护人员及设备的安全的目的，提高了设备的安全性和稳定性，达到保护人员及设备安全的目的。

附图说明

图1 是本发明实施例结构系统流程图；

图2 是本发明实施例信号检测单元1oo2信号异步输入示意图；

图3 是本发明实施例故障安全型输出系统F-DO双线圈应用示意图；

图4 是本发明实施例动作执行单元主控制回路双线圈控制方式示意图；

图5 是本发明实施例急停链路和上升保护安全链路应用示意图；

图6 是本发明实施例急停链路和下降保护安全链路应用示意图；

图7 是本发明实施例安全链路结构示意图。

具体实施方式：

下面结合实施例对本发明作进一步说明，目的仅在于更好地理解本发明内容，因此，所举之例并不限制本发明的保护范围。

参见图1、图2、图3、图4、图5、图6、图7，一种故障安全型Fail-Safe地坑架车机控制系统，包括信号检测单元、信号采集单元、安全链路、评估处理单元和动作执行单元，信号检测单元采用Fail-Safe型的三触点行程开关，两个触点为常闭，一个触点为常开；信号采集单元采用Fail-Safe型数字量输入模块；评估处理单元采用Fail-Safe型可编程逻辑控制器F-CPU；动作执行单元采用Fail-Safe型数字量输出模块。

信号检测单元中，采用Fail-Safe型的三触点行程开关，其中一个常闭触点和一个常开触点采用异步接线方式接入Fail-Safe型数字量输入模块中，另外一个常闭触点接入安全链路中。

信号采集单元中，Fail-Safe型数字量输入模块采用1oo2的异步信号接线方式，一旦出现短路、断路或其他异常状态，Fail-Safe型可编程逻辑控制器立即停止执行普通程序，并执行安全控制程序，使各动作执行机构处于安全状态。

动作执行单元中，Fail-Safe型数字量输出模块采用双线圈输出形式，主控制回路采用双接触器控制，在故障状态下能够有效保证升降电机动力电源的切断。

安全链路包括两级三层，急停安全链路共一条，为一级安全链路，能够切断普通输出控制电源及安全升降控制电源；升降安全链路每个地坑两条，为二级安全链路，能够切断其所在坑内安全升降控制电源。

本系统包括信号检测单元、信号采集单元、安全链路、评估处理单元（CPU）以及动作执行单元，其组成单元符合ISO 13849-1标准中关于机械设备安全相关规定且其安全等级不低于PLd，在设备故障状态下，相应危险源应处于对设备及人员相对安全的一种状态，一旦控制系统的评估处理单元检测到其故障安全型信号处于故障状态，则控制系统立即进入故障安全控制流程，使得其相关执行机构处于安全状态，以达到保护人员及设备的安全的目的。

根据ISO 13849-1标准相关规定，要求对上述故障安全型Fail-Safe地坑架车机控制系统进行风险评估，并针对不同危险源采用危险规避措施，故障安全型Fail-Safe地坑架车机控制系统中危险源的确定、措施、评估等关键环节如下：

明确危险源包含上极限位、下极限位、螺母磨损、螺母脱开以及地坑内旋转电机等，对其状态监测应符合ISO 13849-1标准中关于PLe的规定。

针对确定的危险源采取预防措施：上极限位、下极限位、螺母磨损、螺母脱开等危险源监测开关要求使用符合ISO13849-1相关规定的行程开关；在人孔入坑盖板处增加符合ISO13849-1相关规定的监测开关，一旦监测到故障装填，地坑内危及人身安全的旋转设备立即处于安全状态；确定升降电机的安全状态为停止。

评估上述所采取措施能稳定可靠的降低危险源的发生概率到相关安全标准规定的范围(安全等级PLd)内。

符合ISO 13849-1标准中PLe安全等级的信号检测单元，要求带机械指令并采用1oo2信号异步输入方式，该输入方式使用1常开1常闭的冗余方式，无论信号处于0状态还是处于1状态，都能通过信号采集模块对其进行采集并评估，一旦评估结果为异常状态，则可使本系统立即进入故障状态，并执行相应安全控制流程。

信号采集单元为本系统中的故障安全型数字量输入单元，即F-DI，要求安全相关的信号能够实现冗余接入，即数字量输入单元必须具备冗余读取（每个输入信号占用2个通道并在同一扫描周期内读取2次）的能力，并将读取结果进行评估处理，信号冗余接入方式即可采用异步方式接入，也可采用同步方式接入。

安全链为本系统中必不可少的保护层级，本系统中共具备三条两级安全链路，即急停安全链路、上升保护安全链路以及下降保护安全链路，其中急停安全链路为一级安全链路，上升保护安全链路、下降保护安全链路并列为二级安全链路，上述安全链路将整个控制系统分为3个安全层级，在急停安全链路之上为信号安全层，其为各输入单元以及信号输出单元提供电源及安全防护，不受安全链路通断影响；在急停安全链路与升降安全链路之间为辅助输出安全层，其能够为辅助输出动作单元提供电源及安全防护影响，受到急停安全链路制约，只有急停链路正常情况下，辅助输出安全层方可正常执行动作；在升降安全链路之下为升降安全层，又分为上升安全层和下降安全层，受到急停安全链路及各自对应的升降安全链路影响；两级安全链路及三层安全层的设置符合EN1493标准的要求；安全链路结构参见图7。

评估处理单元，即PLC的CPU控制单元，该CPU即能够按照普通循环扫描方式处理正常控制程序，还能够在控制系统故障时运行安全程序；具备实时比较、冗余控制单元、双向（正反）运行比较特点。

动作执行单元包括Fail-Safe型数字量输出模块，符合13849-1标准PLe等级要求的双线圈输出执行器件，在主控制回路使用双线圈控制方式，能够稳定可靠的切断控制回路。

信号检测单元采用西门子公司带机械指令的行程开关，本身具有2个常闭触点和1个常开触点，其中1常闭触点及1常开触点接入Fail-Safe型数字量输入模块并提供1oo2异步信号，另外1常闭触点用于升降安全链路中，用于升降安全保护，采用此种接线方式的检测单元包括上极限位检测4S1、下极限位检测、螺母磨损检测4S3、螺母脱开检测4S4及人孔改版检测18S2等5种检测机构，其中上极限位检测及螺母磨损检测接入上升保护安全链路中，下极限位检测及螺母脱开检测接入下降保护安全链路中，参见图2、图5、图6。

急停保护开关采用西门子公司带机械指令的急停按钮，本身具有2个常闭触点和1个常开触点，其中1常闭触点及1常开触点接入Fail-Safe型数字量输入模块并提供1oo2异步信号；另外1常闭触点用于急停安全链路中，用于急停安全保护，参见图5、图6。

动作执行单元包括转向架上升19K1和19K2、转向架下降19K3和19K4、转向架架升柱电机1选择20K1、转向架架升柱电机2选择20K2、转向架架升柱电机3选择20K3和转向架架升柱电机4选择20K4，其中19K1、19K2、19K3、19K4采用双线圈输出控制，用于主控制回路，采用双线圈控制的主控制回路能够可靠的切断动力输出电路，一旦控制系统检测到其处于故障状态，能立即使安全输出控制点处于安全状态，如立即将升降控制点处于安全状态0，切断各个升降电机的动力电源，参见图3、图4。

本系统采用分部式故障安全控制系统，控制主站使用西门公司S7-1500F系列故障安全型可编程控制器，分布式故障安全控制从站使用ET200sp故障安全型远程模块，每个F-DI模块使用双通道异步模式采集信号，故障安全型输出信号采用F-DO模块直接驱动DC24V接触器的形式，此外，在上升、下降等控制主电路需采用双接触器串联控制方式，确保动作执行过程中的可靠性和安全性。

分布式故障安全型控制系统通讯方式采用区别于传统通讯方式的Profisafe，Profisafe通讯物理层与标准Profibus物理层共用，即两种通讯方式共用同一根通讯电缆，Profisafe通讯协议层以其独有的安全性及可靠性确保分布式故障安全系统在通讯方面达到相关安全标准的要求。

急停安全链路为整个控制系统的一级安全链路，能够确保所有执行机构动作处于安全状态（此设备中安全状态即为停止状态，0输出状态），在将系统内各个急停按钮信号通过1oo2异步接线方式输入F-DI模块的同时，使用急停模块单元采集所有急停按钮串联的导通状态，一旦任意一个急停按钮拍下，改变了急停模块单元所采集到的状态，则急停模块单元可有效切断整个控制系统F-DO模块电源，确保动作执行机构接触器有效断开，参见图5、图6；因此，急停安全链路中涉及到的所有急停按钮需采用2常闭触点(NC)+1常开触点(NO)模式；1NC+1NO将急停信号接入故障安全型输入系统F-DI中，PLC通过一些列评估后，得到正确的急停信息，一旦在评估过程中，PLC检测到输入信号存在问题，则会采取钝化措施;另外1NC接入急停安全链路中，一旦急停模块单元检测到急停安全链路中存在问题，则立即切断控制系统F-DO模块电源，急停安全链路逻辑为：急停模块单元检测到急停安全链路故障，则禁止设备动作，该逻辑通过控制电路实现，与软件无关，能够可靠、有效、安全的保证整个系统正常运行。

上升保护安全链路为单坑控制系统中的架车单元上升保护链路，在该链路中集中采集各升降柱的上极限位信息和螺母磨损信息，当任一升降柱的上极限位检测开关或螺母磨损检测开关动作后，都会切断设备上升控制电路，使得设备不能再上极限位置或螺母磨损触发时继续上升，从而保证设备上升过程中的可靠性和安全型，整个设备的上升保护链路每个架车单元包含1条，其作用仅对其所在的架车单元有效，参见图5。

下降保护链路为单坑控制系统中的架车单元下降保护链路，在该链路中集中采集各升降柱的下极限位信息和螺母脱开信息，当任一升降柱的下极限位检测开关或螺母脱开检测开关动作后，都会切断设备下降控制电路，使得设备不能再下极限位置或者螺母脱开触发时继续下降，从而保证设备下降过程中的可靠性和安全型，整个设备的下降保护链路每个架车单元包含1条，其作用仅对其所在的架车单元有效，参见图6。

人孔盖板状态检测通过1oo2异步接线方式接入F-DI模块中，人孔盖板检测状态逻辑为：故障安全型地坑架车机控制系统检测到某人孔盖板为打开状态（1状态），则该人孔盖板所在单坑架车单元禁止直行任何动作，通过增加该逻辑检测与判断，能够有效保护坑内维护作业人员的安全，提高整个控制系统的安全性能。

本发明通过信号检测单元、信号采集单元、安全链路、评估处理单元和动作执行单元，将故障安全的控制概念引入轨道交通检修领域地坑架车机的控制系统中，提升了整个设备的安全性及稳定性，并保持了该设备控制系统的技术先进性，极大的增强了安全型地坑架车机设备的安全性能，能够满足当前设备使用方对地坑架车机安全性能的要求，达到保护人员及设备安全的目的，同时拓展设备市场，具有很高的经济效益。

以上所述仅为本发明较佳可行的实施例而已，并非因此局限本发明的权利范围，凡运用本发明说明书及其附图内容所作的等效变化，均包含于本发明的权利范围之内。

Claims (1)

1.一种故障安全型Fail-Safe地坑架车机控制系统，包括信号检测单元、信号采集单元、安全链路、评估处理单元和动作执行单元，其特征在于：信号检测单元采用Fail-Safe型的三触点行程开关，两个触点为常闭，一个触点为常开；信号采集单元采用Fail-Safe型数字量输入模块；评估处理单元采用Fail-Safe型可编程逻辑控制器F-CPU；动作执行单元采用Fail-Safe型数字量输出模块；

信号检测单元中，采用Fail-Safe型的三触点行程开关，其中一个常闭触点和一个常开触点采用异步接线方式接入Fail-Safe型数字量输入模块中，另外一个常闭触点接入安全链路中；

信号采集单元中，Fail-Safe型数字量输入模块采用1oo2的异步信号接线方式，一旦出现短路、断路或其他异常状态，Fail-Safe型可编程逻辑控制器立即停止执行普通程序，并执行安全控制程序，使各动作执行机构处于安全状态；

动作执行单元中，Fail-Safe型数字量输出模块采用双线圈输出形式，主控制回路采用双接触器控制，在故障状态下能够有效保证升降电机动力电源的切断；

安全链路包括两级三层，急停安全链路共一条，为一级安全链路，能够切断普通输出控制电源及安全升降控制电源；升降安全链路每个地坑两条，为二级安全链路，能够切断其所在坑内安全升降控制电源；

其中：

信号检测单元采用带机械指令的行程开关，行程开关具有2个常闭触点和1个常开触点，其中1常闭触点及1常开触点接入Fail-Safe型数字量输入模块并提供1oo2异步信号，另外1常闭触点用于升降安全链路中，用于升降安全保护，采用此种接线方式的信号检测单元包括上极限位检测4S1、下极限位检测、螺母磨损检测4S3、螺母脱开检测4S4及人孔盖板检测18S2在内的5种检测机构，其中上极限位检测及螺母磨损检测接入上升保护安全链路中，下极限位检测及螺母脱开检测接入下降保护安全链路中，人孔盖板状态检测通过1oo2异步接线方式接入F-DI模块中，人孔盖板检测状态逻辑为：故障安全型地坑架车机控制系统检测到某人孔盖板为打开状态，则该人孔盖板所在单坑架车单元禁止直行任何动作，通过增加该逻辑检测与判断；

信号采集单元为故障安全型数字量输入单元，即F-DI，安全相关的信号能够实现冗余接入，即数字量输入单元具备每个输入信号占用2个通道并在同一扫描周期内读取2次的能力，并将读取结果进行评估处理，信号冗余接入方式采用异步方式接入，或采用同步方式接入；

动作执行单元包括转向架上升19K1和19K2、转向架下降19K3和19K4、转向架架升柱电机1选择20K1、转向架架升柱电机2选择20K2、转向架架升柱电机3选择20K3和转向架架升柱电机4选择20K4，其中19K1、19K2、19K3、19K4采用双线圈输出控制，用于主控制回路，采用双线圈控制的主控制回路能够可靠的切断动力输出电路，一旦控制系统检测到其处于故障状态，能立即使安全输出控制点处于安全状态，如立即将升降控制点处于安全状态0，切断各个升降电机的动力电源；

控制系统的两级三条层安全链路，包含急停安全链路、上升保护安全链路以及下降保护安全链路，其中急停安全链路为一级安全链路，上升保护安全链路、下降保护安全链路并列为二级安全链路，一级安全链路和二级安全链路将整个控制系统分为3个安全层级，在急停安全链路之上为信号安全层，其为各输入单元以及信号输出单元提供电源及安全防护，不受安全链路通断影响；在急停安全链路与升降安全链路之间为辅助输出安全层，其能够为辅助输出动作单元提供电源及安全防护影响，受到急停安全链路制约，只有急停链路正常情况下，辅助输出安全层方可正常执行动作；在升降安全链路之下为升降安全层，又分为上升安全层和下降安全层，受到急停安全链路及各自对应的升降安全链路影响；

急停安全链路为整个控制系统的一级安全链路，能够确保所有执行机构动作处于安全状态，设备的安全状态即为停止状态，0输出状态，在将系统内各个急停按钮信号通过1oo2异步接线方式输入F-DI模块的同时，使用急停模块单元采集所有急停按钮串联的导通状态，一旦任意一个急停按钮拍下，改变了急停模块单元所采集到的状态，则急停模块单元可有效切断整个控制系统F-DO模块电源，确保动作执行机构接触器有效断开；急停安全链路中涉及到的所有急停按钮需采用2常闭触点(NC)+1常开触点(NO)模式；1NC+1NO将急停信号接入故障安全型输入系统F-DI中，PLC通过一些列评估后，得到正确的急停信息，一旦在评估过程中，PLC检测到输入信号存在问题，则会采取钝化措施;另外1NC接入急停安全链路中，一旦急停模块单元检测到急停安全链路中存在问题，则立即切断控制系统F-DO模块电源，急停安全链路逻辑为：急停模块单元检测到急停安全链路故障，则禁止设备动作；

上升保护安全链路为控制系统中的架车单元上升保护链路，在该链路中集中采集各升降柱的上极限位信息和螺母磨损信息，当任一升降柱的上极限位检测开关或螺母磨损检测开关动作后，都会切断设备上升控制电路，使得设备不能再上极限位置或螺母磨损触发时继续上升，整个设备的上升保护链路每个架车单元包含1条，仅作用于其所在的架车单元；

下降保护链路为单坑控制系统中的架车单元下降保护链路，在该链路中集中采集各升降柱的下极限位信息和螺母脱开信息，当任一升降柱的下极限位检测开关或螺母脱开检测开关动作后，都会切断设备下降控制电路，使得设备不能再下极限位置或者螺母脱开触发时继续下降，从而保证设备下降过程中的可靠性和安全型，整个设备的下降保护链路每个架车单元包含1条，仅作用于其所在的架车单元。

Images