CN112147988A

CN112147988A - 一种危险失效的同步逻辑诊断方法

Info

Publication number: CN112147988A
Application number: CN202011101802.3A
Authority: CN
Inventors: 王学军; 李海明; 李岸然; 邵光成; 方阳阳; 张申申; 张传辉; 程慧杰; 房茂文; 盛春营; 郭廷善
Original assignee: Jining Keli Photoelectronic Industrial Co ltd
Current assignee: Jining Keli Photoelectronic Industrial Co ltd
Priority date: 2020-10-15
Filing date: 2020-10-15
Publication date: 2020-12-29

Abstract

一种危险失效的同步逻辑诊断方法，在安全控制器的逻辑解算系统的输入端和输出端并联上同步诊断检测逻辑系统；同步诊断检测逻辑系统的同步诊断逻辑控制器在安全控制系统的扫描时序周期内插入一个同步检测时序片段，在此片段内于逻辑解算系统的输入端注入一组危险信号，并同步地检测逻辑解算系统的输出信号是否为期望的故障输出值，来诊断检测逻辑解算系统是否存在危险失效，达到对逻辑解算系统危险失效的诊断目的。本发明仅通过在安全控制器的逻辑解算系统注入故障激励信号的诊断方式，就能检测出安全控制器的所有危险失效的故障，实现危险失效诊断的全覆盖。其逻辑实现方法简单，而简单的逻辑实现方法又意味着整体故障率的降低。

Description

一种危险失效的同步逻辑诊断方法

技术领域

本发明涉及一种危险失效的同步逻辑诊断方法，用于安全防护领域的控制设备的危险失效的诊断和识别。

背景技术

随着《中国制造2025》战略的推进和AI技术的不断进步，自动化生产线和物流领域的自动化设备越来越普及。在提高这些自动化设备的智能性的同时，对其安全防护的能力，即在其运行环境中对人身和其它设备的安全防护能力有更高的要求。只有达到国际安全标准并认证的产品，才能确保安全应用。

标准认为控制系统的风险，主要来自于危险失效，即不能使系统进入安全状态的失效，如：有危险信号输入系统时，系统不能正确响应，也不发出停车信号，使整个系统发生危险事件的风险大增。为降低风险，国际安全标准规定了对电气控制系统的危险失效诊断覆盖率要大于99%的要求。标准也推荐了一些失效分析和可靠性的技术方法。如：结构化方法、半形式化方法、形式化方法等。使用这些逻辑实现方法可以认为达到了故障自诊断覆盖率要求。但这些理论方法不仅实现比较复杂，必须有高性能CPU和软件辅助工具共同处理。这也是目前市场上的安全控制器均使用高性能CPU来实现的原因。

由于CPU是按顺序执行指令运行的，不能实现真正的并行工作。还需借助实时多任务操作系统的支持，才可以实现宏观上的并发执行。这使得整个控制系统更加庞大复杂，出现失效故障的概率也增加，而且认证的复杂性和难度更大。

发明内容

本发明的目的在于克服现有技术的不足，提出一种危险失效的同步逻辑诊断方法，简化诊断系统和复杂性，提高可靠性。

本发明采取的技术方案是：在安全控制器的逻辑解算系统的输入端和输出端并联上同步诊断检测逻辑系统；同步诊断检测逻辑系统的同步诊断逻辑控制器在安全控制系统的扫描时序周期内插入一个同步检测时序片段，在此片段内于逻辑解算系统的输入端注入一组危险信号，并同步地检测逻辑解算系统的输出信号是否为期望的故障输出值，来诊断检测逻辑解算系统是否存在危险失效，只有系统响应了危险信号的输入，逻辑解算输出能使控制系统进入安全保护状态的信号，证明解算系统没有危险失效的风险，否则诊断系统则输出危险故障报警信号，关停安全控制器，进入安全保护状态，达到对逻辑解算系统危险失效的诊断目的。

其危险失效的诊断覆盖原理是：安全控制器的传输信号i包含安全信号s集合和危险信号e集合：

i = {s，e} （1）

安全控制器的逻辑解算系统的逻辑解算传递函数为f（x），其解算输出为：

y = {f（x）| x∈i} （2）

对于安全控制器，其逻辑解算输出，具有确定的二元值域：

y = {Fs，Fe} （3）

即安全输出信号Fs和危险输出信号Fe。

安全控制器出现故障时，有两个失效模式：把安全信号s解算成危险输出Fe的失效模式Ms：

f（s）= Fe （3）

和把输入的危险信号e解算成安全输出Fs的失效模式Me：

f（e）= Fs （4）

显然，对公式（4）所描述的失效模式Me是不能容忍的，它使应用环境处于高危险风险状态，称之为危险失效。而失效模式Ms是可以容忍的，它还是使应用环境处于安全状态，称之为安全失效。

本发明通过注入危险信号e（用于诊断的模拟危险信号），并同步检测解算系统的输出信号是否是危险信号Fe的方法，能把所有的危险失效故障诊断检测出来，达到了危险失效故障诊断的全覆盖。

实现诊断方法的故障同步诊断逻辑架构为：外部输入传输信号i连接到信号开关耦合器的一路输入端，同步诊断控制器的诊断信号输出端输出的危险信号e（用于诊断的模拟危险信号）连接到信号开关耦合器的另一路输入端，同步诊断控制器的控制信号输出端输出的诊断控制信号d连接到开关耦合器的控制端，开关耦合器输出端连接到逻辑解算器的输入端，逻辑解算器的输出端一路连接信号比较器的一路输入端，逻辑解算器的输出端另一路输出信号f（i）；信号比较器的另一路输入端连接同步诊断控制器的解算输出信号Fe，内部同步解算f（e）= Fe，比较器的输出端连接同步诊断控制器的诊断信号输入端c；同步诊断控制的CBUS端连接安全控制器的指令总线，EBUS端连接安全控制器的故障总线。

同步诊断控制器通过CBUS获得安全控制器的扫描运算周期Ts时序，在周期Ts内插入诊断控制周期Td，在非诊断周期Ts - Td时，诊断控制器不输出控制信号d和危险信号e（模拟危险信号），信号开关耦合器把传输信号i（外部输入）连接到逻辑解算器的一路输入端，进行正常的逻辑解算f（i），这是安全控制器的逻辑运算常态；在诊断周期Td内，同步诊断控制器输出切换控制信号d和危险信号e（模拟危险信号），信号开关耦合器把危险信号e（模拟危险信号）切换到逻辑解算器的输入进行诊断解算f（e），比较器把逻辑解算器的解算信号f（e）和同步诊断控制器内部的同步解算信号值Fe｛f（e）= Fe｝进行比较，结果由比较器输出端输出至诊断控制器的诊断信号输入端c，如果比较的结果为期望的解算结果f（e）=Fe，则安全控制器的解算系统无危险失效故障；否则，安全控制器有危险失效故障，诊断控制器通过EBUS向安全控制器发出危险失效信号。

本发明的信号传输安全完整性的诊断原理：传输信号i传输可以看做是逻辑解算系统的特例，其传输路径的传递函数为

y = f（x）= x （5）

传输信号i传输的危险失效模式：不能把危险信号e正确传输到接收端，即为危险失效。在接收端同步检测接收的信号是否为e，即可诊断出信号传输的安全完整性。

控制器系统的安全状态：系统输出OFF，有错误警示并使系统死锁。在故障解除前，系统不会再启动的一种状态。

安全完整性：是指安全信号具有活性，能在完整的值域中变化，并保证正确性。对于二元安全信号（i ={s，e}）能正确地在安全值s和故障值e之间的转换，而不被钳位于某一值。

信号的传输安全完整性及其同步检测方法的逻辑架构为：传输信号i在传输起始端连接到信号开关耦合器的一路输入端，同步诊断控制器的诊断信号输出端输出的危险信号e（模拟危险信号）连接到信号开关耦合器的另一路输入端，同步诊断控制器的控制信号输出端输出的诊断控制信号d连接到开关耦合器的控制端，开关耦合器的输出端连接传输信号i的传输路径的传输起始端，传输路径的传输终点端一路连接信号比较器的一路输入端；传输路径的传输终点端另一路直接输出传输信号i；信号比较器的另一路输入端连接同步诊断控制器输出的危险信号e（模拟危险信号），比较器的输出端连接同步诊断控制器的诊断信号输入端c；同步诊断控制的CBUS端连接安全控制器的指令总线，EBUS端连接安全控制器的故障总线。

同步诊断控制器通过CBUS获得安全控制器的扫描运算周期Ts时序，在周期Ts内插入诊断控制周期Td，在非诊断周期Ts - Td时，诊断控制器不输出控制信号d和危险信号e，信号开关耦合器把传输信号i通过传输路径向后级传输，这是安全控制器的常态；在诊断周期Td内，同步诊断控制器输出切换控制信号d和危险信号e（模拟危险信号），信号开关耦合器把危险信号e（模拟危险信号）通过传输路径输入比较器与同步诊断控制器输出的危险信号e（模拟危险信号）进行比较，结果由比较器输出端输出至诊断控制器的诊断信号输入端c，如果比较的结果为期望的解算结果，则安全控制器的解算系统无危险失效故障；否则，安全控制器有危险失效故障，诊断控制器通过EBUS向安全控制器发出危险失效信号。

本发明的有益效果是：诊断系统仅通过在安全控制器的逻辑解算系统注入故障激励信号的诊断方式，就能检测出安全控制器的所有危险失效的故障，实现危险失效诊断的全覆盖。其逻辑实现方法简单，而简单的逻辑实现方法又意味着整体故障率的降低。本发明易于用FPGA等逻辑器件实现真正的并发执行逻辑，且FPGA已有国产自主知识产权的产品上市，安全控制器也能实现国产替代。

附图说明

图１是本发明故障同步诊断逻辑架构图。

图2是本发明故障诊断逻辑时序图。

图3是本发明信号传输安全完整性同步检测逻辑图。

图4是安全控制器的整体诊断结构框图。

具体实施方式

该危险失效的同步逻辑诊断方法，在安全控制器的逻辑解算系统的输入端和输出端并联上同步诊断检测逻辑系统；同步诊断检测逻辑系统的同步诊断逻辑控制器在安全控制系统的扫描时序周期内插入一个同步检测时序片段，在此片段内于逻辑解算系统的输入端注入一组危险信号，并同步地检测逻辑解算系统的输出信号是否为期望的故障输出值，来诊断检测逻辑解算系统是否存在危险失效，只有系统响应了危险信号的输入，逻辑解算输出能使控制系统进入安全保护状态的信号，证明解算系统没有危险失效的风险，否则诊断系统则输出危险故障报警信号，关停安全控制器，进入安全保护状态，达到对逻辑解算系统危险失效的诊断目的。

参照图1、图2，实现诊断方法的故障同步诊断逻辑架构为：外部输入传输信号i连接到信号开关耦合器K1的一路输入端1，同步诊断控制器的诊断信号输出端输出的危险信号e（用于诊断的模拟危险信号）连接到信号开关耦合器K1 的另一路输入端2，同步诊断控制器的控制信号输出端输出的诊断控制信号d连接到开关耦合器K1的控制端3，开关耦合器K1输出端4连接到逻辑解算器L1的输入端1，逻辑解算器L1的输出端2一路连接信号比较器C1的输入端1，逻辑解算器L1的输出端2另一路输出信号f（i）；信号比较器C1的另一路输入端2连接同步诊断控制器的解算输出信号Fe（内部同步解算f（e）= Fe），比较器C1的输出端3连接同步诊断控制器的诊断信号输入端c；同步诊断控制的CBUS端连接安全控制器的指令总线，EBUS端连接安全控制器的故障总线，同步诊断控制器在e端产生诊断信号集e（模拟危险信号），在d端产生诊断控制信号d。同步诊断控制器通过CBUS获得安全控制器的扫描运算周期Ts时序，在周期Ts内插入诊断控制周期Td，在非诊断周期Ts - Td时，诊断控制器不输出控制信号d和危险信号e（模拟危险信号），信号开关耦合器K1把传输信号i（外部输入）连接到逻辑解算器L1的一路输入端，进行正常的逻辑解算f（i），这是安全控制器的逻辑运算常态；在诊断周期Td内，同步诊断控制器输出切换控制信号d和危险信号e（模拟危险信号），信号开关耦合器K1把危险信号e（模拟危险信号）切换到逻辑解算器L1的输入进行诊断解算f（e），比较器C1把逻辑解算器L1的解算信号f（e）和同步诊断控制器内部的同步解算信号值Fe（f（e）= Fe）进行比较，结果由输出端3输出至诊断控制器的诊断信号输入端c，如果比较的结果为期望的解算结果f（e）=Fe，则安全控制器的解算系统无危险失效故障；否则，安全控制器有危险失效故障，诊断控制器通过EBUS向安全控制器发出危险失效信号。通过在安全控制器的逻辑解算系统的输入端注入危险信号e（模拟危险信号），并同步检测解算输出信号是否也输出危险信号Fe的方法，来达到诊断检测安全控制器危险失效的全覆盖。

参照图3、图2，图3是图1的变形，L1用信号的传输路径代替图1的解算系统f（x），比较信号e代替Fe（f（e）= e）。信号的传输安全完整性及其同步检测方法的逻辑架构为：传输信号i在传输起始端连接到信号开关耦合器K1的一路输入端1，同步诊断控制器的诊断信号输出端输出的危险信号e（模拟危险信号）连接到信号开关耦合器K1的另一路输入端2，同步诊断控制器的控制信号输出端输出的诊断控制信号d连接到开关耦合器K1的控制端3，开关耦合器K1的输出端4连接传输信号i的传输路径L1的传输起始端1，传输路径L1的传输终点端2一路连接信号比较器C1的一路输入端1；传输路径L1的传输终点端2另一路直接输出传输信号i；信号比较器C1的另一路输入端2连接同步诊断控制器输出的危险信号e（模拟危险信号），比较器C1的输出端3连接同步诊断控制器的诊断信号输入端c；同步诊断控制的CBUS端连接安全控制器的指令总线，EBUS端连接安全控制器的故障总线。参照图2，同步诊断控制器通过CBUS获得安全控制器的扫描运算周期Ts时序，在周期Ts内插入诊断控制周期Td，在非诊断周期Ts - Td时，诊断控制器不输出控制信号d和危险信号e（模拟危险信号），信号开关耦合器K1把传输信号i通过传输路径L1向后级传输，这是安全控制器的常态；在诊断周期Td内，同步诊断控制器输出切换控制信号d和危险信号e（模拟危险信号），信号开关耦合器K1把危险信号e（模拟危险信号）通过传输路径L1输入比较器C1与同步诊断控制器输出的危险信号e进行比较，结果由比较器C1输出端3输出至诊断控制器的诊断信号输入端c，如果比较的结果为期望的解算结果，则安全控制器的解算系统无危险失效故障；否则，安全控制器有危险失效故障，诊断控制器通过EBUS向安全控制器发出危险失效信号。通过使用在传输信号i传输起始端注入危险信号e（模拟危险信号），然后在传输信号i的接收端同步检测是否为期望的危险信号e的方法，诊断出传输信号i的传输安全完整性。

安全控制器的整体诊断结构框图如图4，由输入信号传输安全完整性诊断、逻辑解算的故障失效诊断和输出信号传输安全完整诊断组成。输入信号传输安全完整性诊断和输出信号传输安全完整性诊断由图3所示架构图完成，逻辑解算的故障失效诊断由图1所示架构图完成。

Claims

1.一种危险失效的同步逻辑诊断方法，其特征在于：在安全控制器的逻辑解算系统的输入端和输出端并联上同步诊断检测逻辑系统；同步诊断检测逻辑系统的同步诊断逻辑控制器在安全控制系统的扫描时序周期内插入一个同步检测时序片段，在此片段内于逻辑解算系统的输入端注入一组危险信号，并同步地检测逻辑解算系统的输出信号是否为期望的故障输出值，来诊断检测逻辑解算系统是否存在危险失效，只有系统响应了危险信号的输入，逻辑解算输出能使控制系统进入安全保护状态的信号，证明解算系统没有危险失效的风险，否则诊断系统则输出危险故障报警信号，关停安全控制器，进入安全保护状态，达到对逻辑解算系统危险失效的诊断目的。

2.根据权利要求1所述的一种危险失效的同步逻辑诊断方法，其特征在于实现诊断方法的故障同步诊断逻辑架构为：传输信号i连接到信号开关耦合器（K1）的一路输入端（1），同步诊断控制器的诊断信号输出端输出的危险信号e连接到信号开关耦合器（K1）的另一路输入端（2），同步诊断控制器的控制信号输出端输出的诊断控制信号d连接到开关耦合器（K1）的控制端（3），开关耦合器（K1）输出端（4）连接到逻辑解算器（L1）的输入端（1），逻辑解算器（L1）的输出端（2）一路连接信号比较器（C1）的输入端（1），逻辑解算器（L1）的输出端（2）另一路输出信号f（i）；信号比较器（C1）的另一路输入端（2）连接同步诊断控制器的解算输出信号Fe，比较器（C1）的输出端（3）连接同步诊断控制器的诊断信号输入端c；同步诊断控制的CBUS端连接安全控制器的指令总线，EBUS端连接安全控制器的故障总线。

3.根据权利要求2所述的一种危险失效的同步逻辑诊断方法，其特征在于：同步诊断控制器通过CBUS获得安全控制器的扫描运算周期Ts时序，在周期Ts内插入诊断控制周期Td，在非诊断周期Ts - Td时，诊断控制器不输出控制信号d和危险信号e，信号开关耦合器（K1）把传输信号i连接到逻辑解算器（L1）的一路输入端，进行正常的逻辑解算f（i），这是安全控制器的逻辑运算常态；在诊断周期Td内，同步诊断控制器输出切换控制信号d和危险信号e，信号开关耦合器（K1）把危险信号e切换到逻辑解算器（L1）的输入进行诊断解算f（e），比较器（C1）把逻辑解算器（L1）的解算信号f（e）和同步诊断控制器内部的同步解算信号值Fe进行比较，结果由比较器输出端输出至诊断控制器的诊断信号输入端c，如果比较的结果为期望的解算结果f（e）=Fe，则安全控制器的解算系统无危险失效故障；否则，安全控制器有危险失效故障，诊断控制器通过EBUS向安全控制器发出危险失效信号。

4.根据权利要求1所述的一种危险失效的同步逻辑诊断方法，其特征在于信号的传输安全完整性及其同步检测方法的逻辑架构为：传输信号i在传输起始端连接到信号开关耦合器（K1）的一路输入端（1），同步诊断控制器的诊断信号输出端输出的危险信号e连接到信号开关耦合器（K1）的另一路输入端（2），同步诊断控制器的控制信号输出端输出的诊断控制信号d连接到开关耦合器（K1）的控制端（3），开关耦合器（K1）的输出端（4）连接传输信号i的传输路径（L1）的传输起始端（1），传输路径（L1）的传输终点端（2）一路连接信号比较器（C1）的一路输入端（1）；传输路径（L1）的传输终点端（2）另一路直接输出传输信号i；信号比较器（C1）的另一路输入端（2）连接同步诊断控制器输出的危险信号e，比较器（C1）的输出端（3）连接同步诊断控制器的诊断信号输入端c；同步诊断控制的CBUS端连接安全控制器的指令总线，EBUS端连接安全控制器的故障总线。

5.根据权利要求4所述的一种危险失效的同步逻辑诊断方法，其特征在于：同步诊断控制器通过CBUS获得安全控制器的扫描运算周期Ts时序，在周期Ts内插入诊断控制周期Td，在非诊断周期Ts - Td时，诊断控制器不输出控制信号d和危险信号e，信号开关耦合器（K1）把传输信号i通过传输路径（L1）向后级传输，这是安全控制器的常态；在诊断周期Td内，同步诊断控制器输出切换控制信号d和危险信号e，信号开关耦合器（K1）把危险信号e通过传输路径（L1）输入比较器（C1）与同步诊断控制器输出的危险信号e进行比较，结果由比较器（C1）输出端（3）输出至诊断控制器的诊断信号输入端c，如果比较的结果为期望的解算结果，则安全控制器的解算系统无危险失效故障；否则，安全控制器有危险失效故障，诊断控制器通过EBUS向安全控制器发出危险失效信号。