CS260694B1

CS260694B1 - Connection for protection from control system's undesirable output

Info

Publication number: CS260694B1
Application number: CS87414A
Authority: CS
Inventors: Frantisek Mejta
Original assignee: Frantisek Mejta
Priority date: 1987-01-20
Filing date: 1987-01-20
Publication date: 1989-01-12
Also published as: CS41487A1

Abstract

Zapojení řeší technický problém zabránění vlivu nežádoucích výstupů řídicího systému, zejména mikropočítačového, na řízený proces. Podstata řešení spočívá v tom, že řídicí jednotka generuje pomocný signál v určitém místě hlavní části programu, který spouští znovuspouštěný monostabilní klopný obvod, jehož doba kyvu překrývá dobu trvání nejdelšího cyklu hlavní Části programu a je kratší než doba nutná k aktivaci vstupů řízeného procesu. Jestliže pomocný signál opětovně nespustí monostabilní klopný obvod v^době trvání jeho kyvu, pak po Jeho skončení jsou zablokovány výstupy řídicího systému a je proveden automatický restart. Pokud počet neúspěšných restartů převýší počet daný předvolbou čítače, pak jsou výstupní obvody řídicího systému zablokovány trvale a stav je signalizován. Zapojení je možno využít v aplikacích řídicích systémů, zejména mikropočítačových, pro řízení v reálném čase v průmyslu a v energetice.The wiring solves the technical problem of avoidance the influence of unwanted control outputs system, in particular microcomputer, to be controlled process. The essence of the solution lies in that the control unit generates an auxiliary signal at some point in the main part of the program which triggers re-triggered monostable flip-flop whose swing time overlaps the duration of the longest main cycle Parts of the program and is shorter than necessary to activate controlled process inputs. If the auxiliary signal does not start again monostable flip-flop in duration its swing, then after its end are blocked control system outputs and is automatic restart. If number unsuccessful reboots exceeds the number given counter presets, then output circuits control system blocked permanently and status is signaled. Wiring is possible use in control system applications, especially microcomputer, real-time control time in industry and energy.

Description

Vynález se týká zapojení pro ochranu proti nežádoucímu výstupu řídicího systému, zejména mikropočítačového, jehož účelem je jednak zamezení vlivu výstupních povelů směrem do řízeného procesu, které nejsou oprávněným produktem algoritmu řízení, a jednak zajištění automatického restartu systému při vzniku náhodných chyb v průběhu řešeni řídicí funkce.BACKGROUND OF THE INVENTION The invention relates to a circuitry for protection against unwanted output of a control system, in particular a microcomputer, the purpose of which is to avoid the influence of output commands towards the controlled process that are not a legitimate control algorithm product. .

V současné praxi se pro ochranu proti nežádoucímu výstupu řídicího systému využívá metody zálohováni jedním nebo i dvěma stejnými» popř. podobnými systémy. Nevýhodou jsou vysoké pořizovací náklady při splněni požadavku vysoké spolehlivosti.In the current practice, the back-up method using one or even two identical or alternatively back-up methods is used to protect the control system. similar systems. The disadvantage is the high purchase cost while meeting the requirement of high reliability.

Další metody využívají programového vybavení řídicí jednotky, □ejich nevýhodou je, že při poruše technického vybavení řídicí jednotky nemohou plnit svoji funkci. Přitom pravděpodobnost této poruchy může být jedna z nejčastějších příčin nežádoucích výstupů řídicího systému. Další velmi pravděpodobnou příčinou selhání řídicí jednotky jsou náhodné změny obsahu pamětí, registrů atd._zat již trvalého rázu nebo přechodného, nejčastěji způsobené rušivými vlivy prostředí, které mohou mít za následek nežádoucí výstupní povely řídicího systému.Other methods use the control unit software, the disadvantage of which is that they cannot perform their function if the control unit hardware fails. The probability of this failure can be one of the most common causes of unwanted outputs of the control system. Another very probable cause of failure of the control unit are random changes in the content of memory, registers, etc. already at _the permanent or temporary nature, most often caused by deceptive phenomena, which may result in undesirable output control system commands.

Tyto nevýhody podstatně zmirňuje zapojení pro ochranu proti nežádoucímu výstupu řídicího systému, jehož podstata spočívá v tom, že v řídícím systému jsou první výstupy řídicí jednotky spojené s prvními vstupy obvodů výstupu, druhý výstup řídící jednotky je připojen současně na druhý vstup obvodu logického součinu a na vstup prvního monostabilního klopného obvodu, jehož výstup je současně připojen na první vstup obvodu logického součinu, na vstup invertoru a na vstup druhého monostabilního klopného obvodu, jehož výstup je současně připojen na první vstup řídicí jednotky a na první vstup čítače, jehož druhý vstup je připojen na výstup obvodu logického součinu, výstup invertoru je připojen na první vstup druhého obvodu logického součtu, jehož výstup je připojen na druhý vstup obvodů výstupu, výstup čítače je připojen na první vstup prvního obvodu logického součtu, jehož výstup je připojen na první vstup klopného obvodu, jehož výstup je současně připojen na druhý vstup druhého obvodu logického součtu a k signalizační svorce, třetí výstup řídicí jednotky je připojen na druhý vstup prvního obvodu logického součtu, tčetí vstupy čítače jsouThese disadvantages are substantially mitigated by the wiring for protection against unwanted output of the control system, which consists in that in the control system the first outputs of the control unit are connected to the first inputs of the output circuits, the second output of the control unit is connected simultaneously to the second input of the input of the first monostable flip-flop whose output is simultaneously connected to the first input of the logic product circuit, to the input of the inverter and to the input of the second monostable flip-flop whose output is simultaneously connected to the first input of the control unit and to the first input of the counter whose second input is connected to the output of the logic product circuit, the inverter output is connected to the first input of the second logical total circuit whose output is connected to the second input of the output circuits, the counter output is connected to the first input of the first logical total circuit whose output is connected to and a first flip-flop input, the output of which is simultaneously connected to the second input of the second logical-sum circuit and to the signaling terminal, the third output of the control unit is connected to the second input of the first logical-sum circuit,

260 694 připojeny ke svorkám předvolby, druhý vstup klopného obvodu je připojen ke vstupní svorce.260 694 are connected to the preset terminals, the second flip-flop input is connected to the input terminal.

Výhodou zapojení podle vynálezu je, že lze omezit dobu trváni nežádoucího výstupního povelu řídicího systému tak, že navazující vstupy řízeného procesu nemohou reagovat. Řešení je ekonomicky výhodné a vyžaduje odpovídající koncepci skladby programového vybavení řídicí jednotky. Oe možné rozlišit selhání řídicího systému způsobené trvalou závadou na technickém vybavení od náhodných chyb a zajistit zablokování výstupních povelů se současnou signalizací poruchového stavu. Po nahodilých chybách řídicího systému lze automaticky obnovit správnou činnost.The advantage of the circuitry according to the invention is that the duration of the undesired output command of the control system can be reduced so that the downstream inputs of the controlled process cannot react. The solution is economically advantageous and requires a corresponding design concept of the control unit software. It is possible to distinguish the failure of the control system caused by a permanent failure of the hardware from accidental errors and to ensure the blocking of the output commands with the simultaneous signaling of the fault condition. Correct operation can be automatically restored after accidental control system errors.

Příklad zapojení pro ochranu proti nežádoucímu výstupu řídícího systému je znázorněn v blokovém schématu na v^resuj z nahot je patrno, že v řídicím systému 1 jsou první výstupy řídicí jednotky 2 spojené .s prvními vstupy obvodů 3 výstupu, druhý výstup řídicí jednotky 2 je připojen současně na druhý vstup obvodu 6 logického v součinu a na vstup prvního monostabilního klopného obvodu 4, jehož výstup je současně připojen na první vstup obvodu 6 logického součinu, na vstup invertoru 7 a na vstup druhého monostabilního klopného obvodu 5, jehož výstup je současně připojen na první vstup řídicí jednotky 2 a na první vstup čítače 8, jehož druhý vstup je připojen na výstup obvodu 6 logického součinu, výstup invertoru 7 je připojen na první vstup druhého obvodu 11 logického součtu, jehož výstup je připojen na druhý vstup obvodů 3 výstupu, výstup čítače 8 je připojen ňa první vstup prvního obvodu 9 logického součtu, jehož výstup je připojen na první vstup klopného obvodu 10, jehož výstup je současně připojen na druhý vstup druhého obvodu 11 logického součtu a k signalizační svorce 12, třetí výstup řídicí jednotky 2 je připojen na druhý vstup prvního obvodu 9 logického součtu, třetí vstupy čítače 8 jsou připojeny ke svorkám 14 předvolby, druhý vstup klopného obvodu 10 je připojen ke vstupní svorce 13.An example of wiring for protection against unwanted output of the control system is shown in the block diagram of the nude, it is seen that in the control system 1 the first outputs of the control unit 2 are connected to the first inputs of the output circuits 3; at the same time to the second input of the logic product 6 and to the input of the first monostable flip-flop 4, the output of which is simultaneously connected to the first input of the logic product 6, to the inverter 7 and to the second monostable flip-flop 5 the first input of the control unit 2 and the first input of the counter 8, the second input of which is connected to the output of the logic product circuit 6, the output of the inverter 7 is connected to the first input of the second logic sum circuit 11 counter 8 is connected to the first input of the first logic circuit 9 the output of which is connected to the first input of the flip-flop 10, the output of which is simultaneously connected to the second input of the second logical-sum circuit 11 and to the signal terminal 12, the third output of the control unit 2 is connected to the second input of the first logical-sum circuit 9; the counters 8 are connected to the preset terminals 14, the second input of the flip-flop 10 is connected to the input terminal 13.

Řídicí jednotka 2 je prvními výstupy spojena s prvními vstupy obvodů 3 výstupu, které zajišřují připojeni řídicího systému 1 do řízeného procesu. Druhý vstup obvodů 3 výstupu slouží k zablokování jejich vstupní informace na výstup do procesu, např. pomocí přerušení napájecího napětí výstupních reléThe control unit 2 is connected by the first outputs to the first inputs of the output circuits 3, which ensure the connection of the control system 1 to the controlled process. The second input of the output circuits 3 is used to block their input information to the process output, eg by interrupting the supply voltage of the output relays

260 694260 694

- 3 Na druhém výstupu řídicí jednotky 2 je generován impuls vždy po průchodu programu určitou adresou a spoušti prvni monostabilni klopný obvod 4. Program je zacyklen tak, že po proběhnutí všech instrukci je na poslední adrese skok na počáteční adresu hlavní části programu. První monostabilní klopný obvod 4 je znovuspouětěný, po příchodu dalšího spouštěcího impulsu během trváni pulsu na jeho výstupu začíná nová doba kyvu bez přerušeni logického stavu na jeho výstupu. Doba jeho kyvu je volena tak, aby s nejmenší možnou rezervou překryla dobu trvání nejdelšiho programového cyklu řídící jednotky 2. Destliže dojde k poruše technického vybaveni řídící jednotky 2, nebo z různých jiných vlivů např. k nežádoucímu zacyklení programu atd., pak program neprojde do stanovené doby adresou, kde je generován impuls pro spuštěni prvního monostabilního klopného obvodu 4, jeho výstup přejde do stavu logické nuly a spustí druhý monostabilní klopný obvod 5, na jehož výstupu je generován krátký impuls, který jednak napočítá čítač 8 a jednak je jím na prvním vstupu řídicí jednotky 2 proveden restart systému. Při prvním průchodu hlavni Části programu je první monostabilní klopný obvod 4 spuštěn spádovou hranou na svém vstupu, jestliže i druhý průchod hlavní částí programu je bez závady, pak generovaný impuls z druhého výstupu řídicí jednotky 2 projde obvodem 6 logického součinu na druhý vstup čítače 8 a nastaví jeho obsah podle předvolby na třetích vstupech. Stav předvolby čítače 8 je dán propojením svorek 14 předvolby a určuje počet povolených automatických restartů. Pokud příslušný počet neúspěšných restartů bude větší než předvolený stav čítače 8, pak impufc t jeho výstupu, který indikuje nulový stav, projde přes první obvod 9 logického součtu a nastaví výstup klopného obvodu 10 do stavu logické jedničky. Tímto stavem je zajištěna vnější signalizace poruchového stavu a současně jsou blokovány obvody J5 výstupu, které jsou dále blokovány výstupem prvního monostabilního klopného obvodu 4 v době povolených automatických restartů, tj. v době trváni inicializační části programového vybaveni řídicí jednotky 2. Stavu klopného obvodu 10 pro odblokování obvodů 3 výstupu lze dosáhnout stavem externího signálu, který je připojen přes vstupní svorku 13 na jeho druhý vstup. Výstupy obvodů 3 výstupu jsou připojeny na druhé vstupy řídicí jednotky 2, kteráAt the second output of the control unit 2, a pulse is generated each time the program passes a certain address and triggers the first monostable flip-flop 4. The program is cycled so that after all the instructions, the last address is a jump to the starting address of the main part. The first monostable flip-flop 4 is re-triggered, after the arrival of the next trigger pulse during the pulse duration at its output, a new oscillation time begins without interrupting the logical state at its output. Its swing time is chosen so that it overlaps with the smallest possible margin the duration of the longest program cycle of the control unit 2. If the hardware of the control unit 2 fails or due to various other influences eg unwanted looping of the program etc. defined by the address where the pulse for the first monostable flip-flop 4 is generated, its output goes to logic zero and triggers the second monostable flip-flop 5, which generates a short pulse that counts the counter 8 and is on the first input of control unit 2 system restart. During the first pass of the main part of the program, the first monostable flip-flop 4 is triggered by the downward edge at its input, if the second pass through the main part of the program is without fault, then the generated pulse from the second output of the control unit 2 passes through the logical sets its content according to the preference on the third inputs. The preset state of the counter 8 is determined by the interconnection of the preset terminals 14 and determines the number of allowed automatic restarts. If the corresponding number of unsuccessful restarts is greater than the preset state of the counter 8, then its output imperfection indicating the zero state passes through the first logic sum circuit 9 and sets the output of the flip-flop 10 to logic one. By this state, external fault condition signaling is provided and at the same time the output circuits J5 are blocked, which are further blocked by the output of the first monostable flip-flop 4 at the time of automatic restart enabled, i.e. during the initialization portion of the control unit 2 software. the unblocking of the output circuits 3 can be achieved by the state of an external signal which is connected via the input terminal 13 to its second input. The outputs of the output circuits 3 are connected to the second inputs of the control unit 2, which

260 694 je porovnává v testovací části programového vybavení s požadovaným stavem na jejích prvních výstupech. V případě zjištěného rozdílu je generován na třetím výstupu řídicí jednotky 2 logický signál, který přes první obvod 9 logického součtu nastaví klopný obvod 10 do stavu blokování obvodů 3 výstupu, rak je zajištěno postiženi závady v obvodech 3 výstupů. Nutnou podmínkou je, aby koncepce programového vybaveni splňovala uvedené předpoklady a doba cyklu řídicí jednotky nepřesáhla reakční dobu vstupů řízeného procesu.260 694 compares them in the test part of the software with the desired state on its first outputs. In the case of a detected difference, a logic signal is generated at the third output of the control unit 2, which, via the first logic sum circuit 9, sets the flip-flop 10 to the blocking state of the output circuits 3; A prerequisite is that the software concept meets the above prerequisites and that the cycle time of the control unit does not exceed the reaction time of the inputs of the controlled process.

Zapojeni je možné využit v aplikacích řídicích systémů, zejména mikropočítačových, které jsou určené pro řízení technologických procesů v reálném čase^ a hlavni část programového vybavení splňuje podmínku přípustné doby cyklu řídicí jednotky. Typické aplikace jsou v průmyslu a energetice v oblastech automatizace a chránění.The wiring can be used in applications of control systems, especially microcomputer systems, which are designed for real-time control of technological processes and the main part of the software fulfills the condition of permissible cycle time of the control unit. Typical applications are in industry and power engineering in the areas of automation and protection.

Claims

SCOPE OF THE INVENTION 260 694

Wiring for protection against unwanted output of the control system, characterized in that in the control system (X) the first outputs of the control unit (2) are connected to the first inputs of the output circuits (3), the second output of the control unit (2) is connected simultaneously a second logic product circuit (6) and a first monostable flip-flop (4) input which is simultaneously connected to a first logical product (6) input, an inverter input (7) and a second monostable flip-flop input (5) ), whose output is simultaneously connected to the first input of the control unit (2) and to the first input of the counter (8), whose second input is connected to the output of the logic product (6), the inverter output (7) is connected to the first input of the second circuit (11) a logical sum whose output is connected to the second input of the output circuits (3), the counter output (8) is connected to the first input of the first logical sum (9), its the output is connected to the first input of the flip-flop (10), the output of which is simultaneously connected to the second input of the second logic sum circuit (11) and to the signaling terminal (12), the third output of the control unit (2) is connected to the second input of the first circuit the third inputs of the counter (8) are connected to the preset terminals (14), the second input of the flip-flop (10) is connected to the input terminal (13).

2. The circuit according to claim 1, characterized in that the outputs of the output circuits (3) are connected to the second inputs of the control unit (2).