DE3714960A1 - Anordnung zur sicheren erfassung von prozesszustaenden innerhalb frei miteinander kuppelbarer einheiten und verfahren zur durchfuehrung - Google Patents

Description

Die Erfindung bezieht sich auf eine Anordnung zur sicheren Erfassung von Prozeßzuständen, wie sie im Oberbegriff des Anspruches 1 näher definiert ist.

Sicherheitstechnische Überwachung wird nach einem Grundprinzip der Steue­ rungstechnik im Ruhestromverfahren durchgeführt. Es wird dazu eine Melde­ stromschleife gebildet. Jegliche Stromunterbrechung ist als Störung zu deuten und läßt z. B. ein Relais abfallen, wodurch Meldung und ggf. Ab­ schaltung erfolgt.

Bei miteinander kuppelbaren Einheiten, wie sie z. B. durch Fahrzeuge ge­ geben sein können, führt man zur Gewährleistung der Sicherheit Melde­ schleifen durch alle Fahrzeuge hindurch. In Reihenschaltung können darin z. B. jeweils alle Notschalter oder Notbremsschalter oder Türverriege­ lungen oder Kupplungskontakte etc. in separaten Schleifen liegen. Ein­ speisung und Stromrücklauf erfolgt z. B. vom Führerstand aus. Wird einer dieser Prozeßschalter geöffnet, wird das Fahrzeug stillgesetzt.

Bei einem Fahrzeugverband, der variabel aus mehr oder weniger, z. T. auch verschiedenen Fahrzeugen, oft ohne Führerstand, zusammenstellbar ist, liegen bereits Einspeisungsprobleme vor, dies vor allem bei redundanten Systemen, wo ein Fahrzeug die Steuerfunktion eines anderen mit übernehmen soll und zum störungsfreien Verhalten des Gesamtsystems (Zuges) bei Aus­ fall eines Fahrzeuges alle Fahrzeugeinheiten parallel arbeiten.

Bei signaltechnisch sicheren Rechnersystemen muß die Funktion des Rechners durch ständige Tests zusätzlich überprüfbar und dazu vom Prozeß abkoppelbar sein. Dazu ist es bekannt, die Einspeisung einer durch mehrere Fahrzeuge hindurchgehenden Schleife nur von einem Rechner durchzuführen. Schaltet dieser den Prozeß ab, z. B. wegen On-Line Tests zur Üerprüfung, gibt es keine Prozeßinformation mehr. Haben die anderen Fahrzeuge auch bordeigene Rechner, werden die Meldungen auch der anderen Rechner zumindest gestört und die Datenerfassung behindert. Nachteilig ist auch, daß nur der ein­ speisende Rechner einen On-Line Test durchführen kann.

Zweck der Erfindung ist es, die geschilderten Mängel zu beheben. Dabei liegt die Aufgabe in einer sicheren Erfassung von sicherheitsrelevanten Prozeßzuständen bei durch mehrere Rechner verkoppelten Systemen ohne Be­ einflussung des Gesamtsystems bei Ausfall oder Abschalten eines Rechners. On-Line Tests sollen dabei ohne Unterbrechung der allgemeinen Datener­ fassung durchgeführt werden können. Bei Ausfall eines Rechners (bei Re­ dundanzbetrieb) muß durch unterbrechungsfreies Umschalten ein echter Parallelbetrieb erfolgen, bei dem wichtige Funktionen des ausfallbe­ hafteten Fahrzeuges zeitweilig von einem anderen Rechner übernommen werden können.

Diese Aufgabe wird nach der Erfindung gemäß den kennzeichnenden Merkmalen des Anspruches 1 gelöst. Weitere vorteilhafte Ausgestaltungen sind den Unteransprüchen entnehmbar.

Anhand schematischer Darstellungen wird die Erfindung im nachstehenden näher erläutert. Es zeigt

Fig. 1 einen Zugverband aus zwei Fahrzeugen,

Fig. 2 ein Funktionsschema.

Fig. 1 zeigt einen Fahrzeugverbamd mit zwei gekuppelten Einheiten, hier den Fahrzeugen I und II. Jedes Fahrzeug, das durch einen eigenen nicht näher dargestellten sicheren Bordrechner gesteuert wird, weist eine der Anzahl der zu überwachenden, d. h., zu erfassenden Prozesse entsprechende Anzahl von elektrisch getrennten Meldestromschleifen auf. Dargestellt ist der Übersichtlichkeit halber jedoch jeweils nur eine Meldestromschleife. Diese enthält als wesentliche Elemente eine vom Rechner R steuerbare zum Fahrzeugnetz potentialgetrennte Stromquelle 1 (bzw. 1′) mit niedrigem Innenwider­ stand (z. B. 15 mA bei max. 30 V), sowie zwei ebenfalls potentialge­ trennte Stromerfassungsglieder 2 und 3 (bzw. 2′, 3′) für die Über­ wachungsmeldungen an zwei separate Rechnerkanäle und . Ferner gehören zur jeweiligen fahrzeugeigenen Meldestromschleife noch Prozeß­ meldekontakte, hier z. B. die Notschaltkontakte 4, 5 (bzw. 4′, 5′ im anderen Fahrzeug).

Bei der mechanischen Fahrzeugkupplung werden die fahrzeugeigenen Melde­ stromschleifen elektrisch aufgetrennt und durch Umschaltung eine ge­ meinsame Meldestromschleife geschaffen. Die Anzahl der gekuppelten Fahrzeuge bestimmt letztlich die Größe der Meldestromschleife; wegen der reihengeschalteten Stromquellen (Spannungssummation) ist die Größe begrenzt.

Bei der Kupplung der dargestellten Fahrzeuge I und II erfolgt die nötige Umschaltung der Meldestromschleife durch nicht näher dargestellte Si­ gnalrelais (Kupplungsauswertung).

Diese Relais weisen zwangsgeführte Kontakte 6, 6′ auf, deren Schaltstellungen - jetzt geöffnet - sicher überwacht werden. Die entsprechenden Kontakte 6′′ und 6′′′ am Anfang und Ende des Fahrzeugverbandes sind zur Zeit geschlossen. Prinzipiell können hier natürlich auch direkte mechanische Schalter an den Kupplungen Ver­ wendung finden.

Im vorliegenden ergibt sich damit folgende Strommeldeschleife durch den Zugverband:

1+, 2, 3, 4, C, 1′, 2′, 3′, 4′, 6′′′, 5′, D, 5, 6′′, 1-.

Der Prozeß muß derart auf die Meldeschleife einwirken, daß das zu meldende Ereignis die Stromschleife signaltechnisch sicher unterbricht. Für die Ausführung der Meldekontakte sind folgende Varianten denkbar.

• 1. Entweder ein vom Prozeß zwangsöffnender Kontakt oder
• 2. zwei in Reihe geschaltete Kontakte, die unabhängig voneinander den Prozeß erfassen.

Die Funktion beider Kontakte muß dann innerhalb der Ausfalloffenbarungs­ zeit (AOZ) der Meldeeinrichtung überprüft werden. Zur Festlegung der Aus­ falloffenbarungszeit werden beide Kontakte und ihre Auslösemechanismen als eine Betrachtungseinheit gesehen. Hierbei wird als sicher angenommen, daß nach erfolgter Prüfung auf Funktion der beiden Einzelkontakte und ihrer Auslösemechanismen innerhalb der Ausfalloffenbarungszeit mindestens ein Kontakt bei Eintritt eines Prozeßereignisses die Stromschleife unter­ bricht.

Die Auswertung erfolgt jeweils durch die voneinander und gegenüber anderen Meldeschleifen unabhängigen Stromerfassungsglieder 2, 3 bzw. 2′, 3′. Vor­ teilhaft sind z. B. Optokoppler einsetzbar. Die Ausgangssignale der Strom­ erfassungsglieder gehen jeweils an die zugeordneten Rechnerkanäle und des bordeigenen sicheren Rechners. Dabei sind die Meldungen der Stromschleifen an die jeweiligen Rechner als Prozeßmeldungen nur gültig, wenn ein zwangsgeführtes Meldungsauswertungsrelais 7 (bzw. 7′) rechner­ gesteuert angezogen hat, d. h., der Ruhekontakt 7 a (bzw. 7′ a) geöffnet ist. Das Kommando zur Öffnung wird von Rechner zwar mit einem Signal "Meldungsaus­ wertung Ein" gegeben, die Stellung des Meldungsauswertungsrelais 7 muß jedoch überwacht werden. Das geschieht jeweils mit zwei separaten Strom­ schleifen über eigene zwangsgeführte Arbeitskontakte 7 b und 7 c (bzw. 7′ b und 7′ c). Die Notschaltkontakte 4, 5 (bzw. 4′, 5′) als Meldekontakte des Prozesses sind zweckmäßig als Zwangsöffner (VDE 0113) ausgebildet, d. h., sie öffnen zwangsweise abhängig vom Prozeß. Erfolgt dies, wird von den Stromer­ fassungsgliedern 2, 3 "0"-Signal über die Kanäle und dem Bord­ rechner mitgeteilt, der daraufhin z. B. die Bremsen auslöst.

Im Ruhezustand des Meldungsauswertungsrelais 7 bzw. nach einem Abschalten desselben ist der Kontakt 7 a geschlossen. Das bewirkt ein Kurzschließen und Bilden einer vom Prozeß unabhängigen Subschleife 8 (bzw. 8′) über der Stromquelle 1 und den Stromerfassungsgliedern 2, 3 (bzw. 1′ und 2′, 3′). In diesem Zustand werden On-Line Tests vorgenommen, für beide Fahr­ zeuge zu unterschiedlichen Zeiten. Eine Beeinträchtigung der Prozeßaus­ wertung im jeweils anderen Fahrzeug (hier z. B. II) findet dabei nicht statt. Durch rechnergesteuertes Zu- und Abschalten der Stromquelle 1 kann dabei die Funktion der sicheren Signalerfassung überprüft werden.

Im Rahmen der Rechner On-Line Tests werden auch die Eingaben für die sicheren Signale innerhalb der Ausfalloffenbarungszeit (AOZ) geprüft. Diese Prü­ fung umfaßt die Auswerteschaltung der Stromschleifen (Optokoppler) und die Datenpfade der Eingabekarten. Der Test erkennt stuck-at-1 (gefähr­ lich), stuck-at-0 (ungefährlich) und Mitzieheffekte zwischen zwei be­ liebigen Eingangsbits je eines Kanals. Während des Tests können keine Prozeßzustände abgefragt werden.

Mit Hilfe des Signals "Meldungsauswertung Ein" kann zwischen On-Line Test­ betrieb oder Prozeßerfassung gewählt werden. Die Überwachung der Ausführung des Befehls "Meldungsauswertung Ein", d. h., die Stellung dieses für die Sicherheit verantwortlichen Meldungsauswertungsrelais 7 (bzw. 7′) muß jedoch zusätzlich sicher überwacht werden. Dies geschieht über sichere Signaleingaben über Kontakt 7 b und Kontakt 7 c. Diese beiden Signale unterliegen einem besonderen On-Line-Test, der während der Prozeßer­ fassung durchgeführt wird.

Fig. 2 zeigt in einem Funktionsschema den Prozeß mit Ankopplung an den Rechner.

Über eine Rechner-Ausgabekarte III (es genügt ein Rechnerkanal oder ) für z. B. hier 24 Testausgaben (an Port 0 bis Port 23) werden die On-Line-Tests durchgeführt nach Abkopplung der verschiedenen Prozesse und Bildung von Subschleifen über die Schalter 7 a.

Wie hier für Anschluß 0 dargestellt, werden für alle Prozesse die ent­ sprechenden Stromquellen 1 nach einem überdeckenden Testmuster mit log. 1 angesteuert und die zugeordneten Stromerfassungsglieder 2, 3 müssen das Muster gleichzeitig und gleichwertig erfassen und an die beiden Eingabe­ karten IV, V für die beiden Rechnerkanäle und weitergeben, wo das Bit- Muster sicher wiedererkannt werden muß. Die Testausgaben (einkanalig) selbst sind nicht sicher. Sie speisen über die Stromquellen 1 in die Pro­ zeßmeldeschleifen ein und bilden mit den Prozessen Und-Verknüpfungen. Zur Abfrage der Prozeßzustände müssen die Testausgaben auf "1" stehen, d. h., die ersten 22 Anschlüsse (0 bis 21) müssen zur Einspeisung der Prozeß­ meldeschleifen eine "1" ausgeben. Darüber hinaus muß vom Rechner das nicht sichere Signal "Meldungsauswertung ein" zur Ansteuerung des Relais 7 (vgl. Fig. 1) ausgegeben werden. Darüber hinaus werden die beiden verblei­ benden Testanschlüsse (Port 22 und Port 23) mit einer besonderen Signal­ folge beschickt. Während die Anschlüsse 0 bis 21 während der Prozeßer­ fassung fest eine "1" ausgeben, erfolgt an Port 22 und Port 23 eine "1"- "0"-Wechselfolge mit einem Tastverhältnis 1 : 1 (künstliche Dynamisierung). Dabei sind Port 22 und Port 23 immer antivalent, d. h., wenn Anschluß 22 eine "1" ausgibt, gibt Anschluß 23 eine "0" aus und umgekehrt. Die Taktzeit kann zwischen einigen Millisekunden und mehreren Sekunden liegen. Wird der aus­ gegebene Wechseltakt, der bei Rückmeldung über die Kontakte 7 b und 7 c an den Eingaben des Rechners nicht mehr erkannt, so sind alle sicheren Ein­ gaben ungültig.

Durch die Erfindung kann auf einfache Weise eine sichere Prozeßer­ fassung gewährleistet werden.

Claims (7)

1. Anordnung zur sicheren Erfassung von Prozeßzuständen innerhalb frei miteinander kuppelbarer Einheiten, die jeweils von miteinander koppel­ baren Rechnern bedient werden, unter Anwendung von Strommeldeschlei­ fen und Prüftests, gekennzeichnet durch folgende Merkmale:

• - jede von n kuppelbaren Einheiten (hier z. B. I, II) bildet für jeden zu über­ wachenden Prozeß mit einer steuerbaren Stromquelle (1 bzw. 1′) so­ wie wenigstens zwei Stromerfassungsgliedern (2, 3 bzw. 2′, 3′) eine eigene interne Strommeldeschleife mit in Reihe liegenden vom Prozeß auslösbaren Prozeßkontakten (4, 5 bzw. 4′, 5′);
• - beim Kuppeln mehrerer solcher Einheiten (I + II) werden die internen Strommeldeschleifen dieser Einheiten elektrisch aufgetrennt und je­ weils für gleichartige Prozesse gemeinsame, alle Einheiten durch­ laufende Strommeldeschleifen gebildet,
• - jede der zu jeder Einheit gehörenden Stromquellen (1, 1′) einschließ­ lich ihrer Stromerfassungsglieder (2, 3; 2′, 3′) ist durch eine Sub­ schleife (8, 8′) überbrückbar, die für Testzwecke durch einen Schal­ ter aktivierbar ist, dessen Stellung sicherheitstechnisch durch be­ sondere Tests über zusätzliche stellungsabhängige Stromschleifen überwacht wird.

2. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Subschleife (z. B. 8) über den Ruhekontakt (7 a) eines zwangsgeführten Meldungsauswertungs-Relais (7) geführt wird, das von einem Rechnersi­ gnal "Meldungsauswertung Ein" ansteuerbar ist und damit die Subschleife (8) unterbricht, wobei zwei zwangsgeführte Arbeitskontakte (7 b, 7 c) des Meldungsauswertungs-Relais (7) geschlossen werden und über die damit gebildeten zusätzlichen Stromschleifen die besonderen Tests er­ folgen.

3. Verfahren zur Testdurchführung für eine Anordnung nach den Ansprüchen 1 oder 2, dadurch gekennzeichnet, daß die besonderen Tests als On-Line Tests während der Prozeßerfassung erfolgen, bei der neben der Einspeisung der Prozeßmeldeschleifen mit festem Dauersignal "1" (über Bit 0 bis 21) die zwei zusätzlichen Stromschleifen von je einem der nicht sicheren Ausgänge des Rechners (über Bit 22, 23) mit einer dynamisch abwechselnden "1"-"0"-Folge versorgt werden, die wiedererkannt werden muß.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß das Tastverhältnis der antivalenten Wechseltaktfolge 1 : 1 beträgt.

5. Verfahren nach Anspruch 3 oder 4, dadurch gekennzeichnet, daß die Taktzeit einstellbar ist und zwischen einigenMillisekunden und mehreren Sekunden liegt.

6. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß im Rahmen der On-Line Tests des Rechners in einer kuppelbaren Einheit (I bzw. II) periodisch die zugehörige Subschleife (8 bzw. 8′) aktiviert und damit diese Einheit aus der Prozeßerfassung herausgenommen wird, wobei über den verbleibenden Stromdurchgang über die Subschleife (8 bzw. 8′) mittels der steuerbaren Stromquelle (z.B. 1) die sicheren Signale innerhalb der Ausfalloffenbarungszeit prüfbar sind, ohne die Prozeßer­ fassung oder den On-Line-Test der weiteren gekuppelten Einheiten zu be­ einflussen.

7. Verfahren nach Anspruch 6, dadurch gekennzeichnet, daß die Prüfung der Stromerfassungsglieder (2, 3) einschließlich Auswerte­ schaltung und die Datenpfade der Eingabekarten (3) erfaßt.