DE3714960C2

DE3714960C2 -

Info

Publication number: DE3714960C2
Application number: DE3714960A
Authority: DE
Inventors: Klaus Ing.(Grad.) 1000 Berlin De Rapoen
Original assignee: Licentia Patent Verwaltungs GmbH
Current assignee: Alstom Transportation Germany GmbH
Priority date: 1987-04-30
Filing date: 1987-04-30
Publication date: 1990-06-07
Also published as: ES2007824A6; MX170980B; CH675563A5; CA1300251C; US4897640A; DE3714960A1

Description

Die Erfindung bezieht sich zunächst auf eine Anordnung zur signaltechnisch sicheren Erfassung von Prozeßzuständen, wie sie im Oberbegriff des Anspruches 1 näher definiert ist.

Sicherheitstechnische Überwachung wird allgemein nach einem Grundprinzip der Steuerungstechnik im Ruhestromverfahren durchgeführt. Es wird dazu eine Meldestromschleife gebildet. Jegliche Stromunterbrechung ist als Störung zu deuten und läßt z. B. ein Relais abfallen, wodurch Meldung und ggf. Abschaltung erfolgt.

Bei miteinander kuppelbaren Einheiten, wie sie z. B. durch Fahrzeuge gegeben sein können, führt man zur Gewährleistung der Sicherheit Meldeschleifen durch alle Fahrzeuge hindurch. In Reihenschaltung können darin z. B. jeweils alle Notschalter oder Notbremsschalter oder Türverriegelungen oder Kupplungskontakte etc. in separaten Schleifen liegen. Einspeisung und Stromrücklauf erfolgt z. B. vom Führerstand aus. Wird einer dieser Prozeßschalter geöffnet, wird das Fahrzeug stillgesetzt.

Bei einem Fahrzeugverband, der variabel aus mehr oder weniger, z. T. auch verschiedenen Fahrzeugen, oft ohne Führerstand, zusammenstellbar ist, liegen bereits Einspeisungsprobleme vor, dies vor allem bei redundanten Systemen, wo ein Fahrzeug die Steuerfunktion eines anderen mitübernehmen soll und zum störungsfreien Verhalten des Gesamtsystems (Zuges) bei Ausfall eines Fahrzeuges alle Fahrzeugeinheiten parallel arbeiten.

Bei einem bekannten System zur Sicherheitsüberwachung eines Zuges (DE-OS 32 09 157) werden zur signaltechnisch sicheren Erfassung von Prozeßzuständen innerhalb frei miteinander kuppelbarer Einheiten zwei getrennte Überwachungsleitungen für jede Überwachungsfunktion in besonderer Schaltung angewendet. Diese werden beim Kuppeln mehrerer solcher Einheiten elektrisch aufgetrennt und neu gebildet. Die im Zug vorhandenen Überwachungsleitungen werden zur Hälfte am Zuganfang und zur Hälfte am Zugende mit einer spannungsführenden gemeinsamen Stromversorgungsschleife verbunden. Es verbleibt bei einer einspeisenden Quelle an einem Zugende. Die Einspeisung aller Überwachungsleitungen erfolgt allerdings über beide Zugenden durch die den ganzen Zug durchlaufende besondere Stromversorgungsschleife. Jenachdem, wo eine Unterbrechung erfolgt, wird die Spannungsversorgung eines von zwei Relais unterbrochen. Ein über zwei in Reihe geschaltete Arbeitskontakte dieser Relais geführter Stromkreis signalisiert an eine übergeordnete, die Meldungen aller Überwachungsfunktionen entgegennehmende Fahrzeug-Funktionsüberwachung. Hiermit wird insbesondere mit weniger Schaltmitteln im Bereich der Fahrzeugkupplungen ausgekommen. Für Fahrzeugverbände mit rechnergesteuerten Einzelfahrzeugen ist das System nicht brauchbar.

Bei solchen ausgerüsteten Fahrzeugverbänden müssen die Rechner selbst signaltechnisch sicher sein, d. h. die Funktion des Rechners und seiner Signaleingaben muß durch ständige Tests zusätzlich überprüfbar und dazu auch noch vom Prozeß abkoppelbar sein.

Dazu ist schon versucht worden, die Einspeisung einer durch mehrere Fahrzeuge hindurchgehenden Schleife nur von einem Rechner durchzuführen. Schaltet sich dieser allerdings vom Prozeß ab, z. B. wegen On-Line-Tests zur Überprüfung, gibt es keine Prozeßinformation mehr. Haben die anderen Fahrzeuge auch bordeigene Rechner, werden die Meldungen auch der anderen Rechner zumindest gestört und die Datenerfassung behindert. Nachteilig ist auch, daß nur der einspeisende Rechner einen On-Line-Test durchführen kann.

Die Aufgabe der vorliegenden Erfindung liegt in einer sicheren Erfassung von sicherheitsrelevanten Prozeßzuständen bei durch mehrere Rechner verkoppelten Systemen ohne Beeinflussung des Gesamtsystems bei Ausfall oder Abschalten eines Rechners. On-Line-Tests sollen dabei ohne Unterbrechung der allgemeinen Datenerfassung durchgeführt werden können. Bei Ausfall eines Rechners (bei Redundanzbetrieb) muß durch unterbrechungsfreies Umschalten ein echter Parallelbetrieb erfolgen, bei dem wichtige Funktionen des ausfallbehafteten Fahrzeuges zeitweilig von einem anderen Rechner übernommen werden können.

Diese Aufgabe wird nach der Erfindung durch eine Anordnung gemäß den kennzeichnenden Merkmalen des Anspruches 1 gelöst. Weitere vorteilhafte Ausgestaltungen und Verfahren zum Betrieb sind den Unteransprüchen entnehmbar.

Anhand schematischer Darstellungen wird die Erfindung im nachstehenden näher erläutert. Es zeigt

Fig. 1 einen Zugverband aus zwei Fahrzeugen;

Fig. 2 ein Funktionsschema.

Fig. 1 zeigt einen Fahrzeugverband mit zwei gekuppelten Einheiten, hier den Fahrzeugen I und II. Jedes Fahrzeug, das durch einen eigenen nicht näher dargestellten sicheren Bordrechner R gesteuert wird, weist eine der Anzahl der zu überwachenden, d. h. zu erfassenden Prozesse entsprechende Anzahl von elektrisch getrennten Ruhestrom-Meldeschleifen auf. Dargestellt ist der Übersichtlichkeit halber jedoch nur eine Ruhestrom-Meldeschleife. Diese enthält als wesentliche Elemente jeweils eine vom Rechner R steuerbare, zum Fahrzeugnetz potentialgetrennte Stromquelle 1 (bzw. 1′) mit niedrigem Innenwiderstand (z. B. 15 mA bei max. 30 V) sowie zwei ebenfalls potentialgetrennte Stromerfassungsglieder 2 und 3 (bzw. 2′, 3′) für die Überwachungsmeldungen an zwei separate Rechnerkanäle und . Ferner gehören zur jeweiligen fahrzeugeigenen internen Ruhestrom-Meldeschleife noch Prozeßmeldekontakte, hier z. B. die Notschaltkontakte 4, 5 (bzw. 4′, 5′ im anderen Fahrzeug).

Beim mechanischen Fahrzeugkupplungsvorgang werden die internen Ruhestrom-Meldeschleifen elektrisch aufgetrennt und durch Umschaltung eine alle Einheiten durchlaufende gemeinsame Ruhestrom-Meldeschleife geschaffen. Die Anzahl der gekuppelten Fahrzeuge (Einheiten) bestimmt letztlich die Größe der Ruhestrom-Meldeschleife; wegen der reihengeschalteten Stromquellen (Spannungssummation) ist ihre Größe begrenzt.

Bei der mechanischen Kupplung der dargestellten Fahrzeuge I und II erfolgt die nötige Umschaltung der Ruhestrom-Meldeschleife durch nicht näher dargestellte Signalrelais (Kupplungsauswertung).

Diese Signalrelais weisen zwangsgeführte Kontakte 6, 6′ auf, deren Schaltstellungen - jetzt geöffnet - sicher überwacht werden. Die entsprechenden Kontakte 6′′ und 6′′′ am Anfang und Ende des Fahrzeugverbandes sind zur Zeit geschlossen. Prinzipiell können hier natürlich auch direkte mechanische Schalter an den Kupplungen Verwendung finden.

Im vorliegenden ergibt sich damit folgende gemeinsame Ruhestrom-Meldeschleife durch den Zugverband:

1 +, 2, 3, 4, C, 1′, 2′, 3′, 4′, 6′′′, 5′, D, 5, 6′′, 1 -.

Der Prozeß muß derart auf die Meldeschleife einwirken, daß das zu meldende Ereignis die Stromschleife signaltechnisch sicher unterbricht. Für die Ausführung der Prozeßkontakte sind folgende Varianten denkbar.

1. Entweder ein vom Prozeß zwangsöffnender Kontakt oder
2. zwei in Reihe geschaltete Kontakte, die unabhängig voneinander den Prozeß erfassen.

Im letzteren Fall muß die Funktion beider Kontakte innerhalb der sogenannten Ausfalloffenbarungszeit (AOZ) der Melde- oder Überwachungseinrichtung ständig überprüft werden. Zur Festlegung der Ausfalloffenbarungszeit werden beide Kontakte und ihre Auslösemechanismen als eine Betrachtungseinheit gesehen. Hierbei wird als sicher angenommen, daß nach erfolgter Prüfung auf Funktion der beiden Einzelkontakte und ihrer Auslösemechanismen innerhalb der Ausfalloffenbarungszeit mindestens ein Kontakt bei Eintritt eines Prozeßereignisses die Stromschleife unterbricht.

Die Auswertung erfolgt hier jeweils durch die voneinander und gegenüber anderen Ruhestrom-Meldeschleifen unabhängigen Stromerfassungsglieder 2, 3 bzw. 2′, 3′. Vorteilhaft sind z. B. Optokoppler einsetzbar. Die Ausgangssignale der Stromerfassungsglieder gehen jeweils an die zugeordneten Rechnerkanäle und des bordeigenen sicheren Rechners. Dabei werden die Meldungen der Ruhestrom-Meldeschleifen an die jeweiligen Rechner als Prozeßmeldungen nur als gültig erkannt, wenn ein zwangsgeführtes Meldungsauswertungsrelais 7 (bzw. 7′) rechnergesteuert angezogen hat, d. h. sein Ruhekontakt 7 a (bzw. 7′ a) geöffnet ist. Das Kommando zur Öffnung wird vom Rechner zwar mit einem Signal "Meldungsauswertung Ein" gegeben, die Stellung des Meldungsauswertungsrelais 7 muß jedoch überwacht werden. Das geschieht jeweils mit zwei separaten zusätzlichen Stromschleifen über eigene zwangsgeführte Arbeitskontakte 7 b und 7 c (bzw. 7′ b und 7′ c). Die Notschaltkontakte 4, 5 (bzw. 4′, 5′) als Meldekontakte des Prozesses sind zweckmäßig als Zwangsöffner (VDE 0113) ausgebildet, d. h. sie öffnen zwangsweise abhängig vom Prozeß. Erfolgt dies, wird von den Stromerfassungsgliedern 2, 3 "0"-Signal über die Kanäle und dem Bordrechner mitgeteilt, der daraufhin z. B. die Bremsen auslöst.

Im Ruhestand des Meldungsauswertungsrelais 7 bzw. nach einem Abschalten desselben ist der Ruhekontakt 7 a geschlossen. Das bewirkt ein Kurzschließen und Bilden einer vom Prozeß unabhängigen Subschleife 8 (bzw. 8′) über die Stromquelle 1 und die Stromerfassungsglieder 2, 3 (bzw. 1′ und 2′, 3′). In diesem Zustand werden On-Line-Tests vorgenommen, für beide Fahrzeuge zu unterschiedlichen Zeiten. Eine Beeinträchtigung der Prozeßauswertung im jeweils anderen Fahrzeug (hier z. B. II) findet dabei nicht statt. Durch rechnergesteuertes Zu- und Abschalten der Stromquelle 1 (Testprogramm) kann dabei die Funktion der sicheren Signalerfassung überprüft werden.

Im Rahmen der Rechner On-Line-Tests werden die Eingaben für die Signale innerhalb der Ausfalloffenbarungszeit (AOZ) mit geprüft. Diese Prüfung umfaßt die Auswerteschaltung der Stromschleifen (Optokoppler) und die Datenpfade der Eingabekarten. Der Test erkennt stuck-at-1 (gefährlich), stuck-at-0 (ungefährlich) und Mitzieheffekte zwischen zwei beliebigen Eingangsports je eines Kanals. Während des Tests können keine Prozeßzustände abgefragt werden.

Mit Hilfe des Signals "Meldungsauswertung Ein" kann zwischen On-Line-Testbetrieb oder Prozeßerfassung gewählt werden. Die Überwachung der Ausführung des Befehls "Meldungsauswertung Ein", d. h. die Stellung dieses für die signaltechnische Sicherheit verantwortlichen Meldungsauswertungsrelais 7 (bzw. 7′) muß jedoch zusätzlich sicher überwacht werden. Dies geschieht über besondere Signalfolgen über die Arbeitskontakte 7 b und 7 c. Diese Signalfolgen unterliegen einer besonderen Überwachung, die während der Prozeßerfassung durchgeführt wird.

Fig. 2 zeigt in einem Funktionsschema den Prozeß mit Ankopplung an den Rechner.

Über eine Rechner-Ausgabekarte III (für einen Rechnerkanal oder ) mit z. B. hier 24 Ausgaben (Port 0 bis Port 23) werden die verschiedenen Aufgaben der Steuerung, Überwachung und On-Line-Tests durchgeführt.

Bei Prozeßerfassung wird - wie hier nur für Port 0 dargestellt - die entsprechende Stromquelle 1 mit log. 1 angesteuert, und die jeweils zugeordneten Stromerfassungsglieder 2, 3 müssen das gleichzeitig und gleichwertig erfassen und an die beiden Eingabekarten IV, V für die beiden Rechnerkanäle 1 und 2 weitergeben, wo dieser Zustand sicher wiedererkannt werden muß. Zur Abfrage aller Prozeßzustände müssen somit alle Ausgaben auf "1" stehen, d. h. die ersten 22 Anschlüsse (Port 0 bis Port 21) müssen zur Einspeisung der Ruhestrom-Meldeschleifen eine "1" ausgeben. Darüberhinaus muß vom Rechner das nicht sichere Signal "Meldungsauswertung ein" zur Ansteuerung des Meldungsauswertungsrelais 7 (vgl. Fig. 1) ausgegeben werden. Weiterhin werden die beiden verbleibenden Anschlüsse (Port 22 und Port 23) mit einer besonderen Signalfolge beschickt. Während somit die Anschlüsse von Port 0 bis 21 während der Prozeßerfassung fest eine "1" ausgeben, erfolgt an Port 22 und Port 23 eine "1/0"-Wechselfolge mit einem Tastverhältnis 1 : 1 (künstliche Dynamisierung). Dabei sind Port 22 und Port 23 immer antivalent, d. h. wenn Port 22 eine "1" ausgibt, gibt Port 23 eine "0" aus und umgekehrt. Die Taktzeit kann zwischen einigen Millisekunden und mehreren Sekunden liegen. Wird der ausgegebene Wechseltakt, der bei Meldung über die Arbeitskontakte 7 b und 7 c an den Eingaben des Rechners (Eingabekarten IV, V) nicht mehr erkannt, so sind alle Prozeßmeldungen nicht mehr als sicher anzusehen und damit ungültig.

Andererseits kann über die Ports 0 bis 21 bei On-Line-Testbetrieb vom Rechner ein überdeckendes Test-Bitmuster gegeben werden, das die Stromerfassungsglieder 2, 3 erfassen und an die beiden Rechnerkanäle und weitergeben, wo das Muster wiedererkannt werden muß.

Claims

1. Anordnung zur signaltechnisch sicheren Erfassung von Prozeßzuständen innerhalb frei miteinander kuppelbarer Einheiten, die jeweils von miteinander koppelbaren Bordrechnern bedient werden, unter Anwendung von Ruhestrom-Meldeschleifen und Prüftests,
gekennzeichnet durch folgende Merkmale:

- je n kuppelbaren Einheiten (hier z. B. I, II) bildet für jede Zustandsüberwachung diverser Prozesse mittels einer steuerbaren Stromquelle (1 bzw. 1′) sowie wenigstens zwei Stromerfassungsgliedern (2, 3 bzw. 2′ 3′) eine eigene interne Ruhestrom-Meldeschleife mit in Reihe liegenden vom jeweiligen Prozeß auslösbaren Prozeßkontakten (4, 5 bzw. 4′, 5′);
- beim Kuppeln mehrerer solcher Einheiten (I+II) werden die internen Ruhestrom-Meldeschleifen dieser Einheiten elektrisch aufgetrennt und jeweils für gleichartige Prozesse alle Einheiten durchlaufende gemeinsame Ruhestrom-Meldeschleifen gebildet,
- jede der zu jeder Einheit gehörenden Stromquellen (1, 1′) einschließlich ihrer Stromerfassungsglieder (2, 3; 2′, 3′) ist durch eine Subschleife (8, 8′) überbrückbar, die für Testzwecke durch einen Schalter aktivierbar ist, wobei die signaltechnische Sicherheit zusätzlich durch eine Überwachung der Schaltstellung dieses Schalters durch den Bordrechner erzielt wird.

2. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Subschleife (z. B. 8) über den Ruhekontakt (7 a) eines zwangsgeführten Meldungsauswertungs-Relais (7) geführt wird, das von einem Rechnersignal "Meldungsauswertung Ein" ansteuerbar ist und damit die Subschleife (8) unterbricht, wobei zwei zwangsgeführte Arbeitskontakte (7 b, 7 c) des Meldungsauswertungs-Relais (7) geschlossen und zusätzliche Stromschleifen zum jeweiligen Bordrechner gebildet werden, über die die signaltechnisch sichere Überwachung des Meldungsauswertungsrelais (7) erfolgt.

3. Verfahren zum Betrieb einer Anordnung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß während der Prozeßerfassung bei geöffnetem Ruhekontakt (7 a) des Meldungs-Auswertungs-Relais (7), bei der eine Einspeisung in die Ruhestrom-Meldeschleifen durch Ansteuerung der Stromquellen (1) über einkanalige Rechner-Ausgaben (Ausgabekarte III, Port 0 bis Port 21) mit log. 1 erfolgt, aus zwei weiteren einkanaligen Rechnerausgaben (Ausgabekarte III, Port 22, Port 23), die über die beiden Arbeitskontakte (7 b, 7 c) des Meldungsauswertungs-Relais (7) zum zweikanaligen Rechnereingang (Eingabekarten IV, V) führen und so zwei zusätzliche Stromschleifen bilden, letztere jeweils mit dynamisch abwechselnden "1/0"-Signalfolgen versorgt werden, die vom Rechner für signaltechnisch sichere Prozeßmeldungen wiedererkannt werden müssen.

4. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß das Tastverhältnis der antivalenten Wechseltaktfolge 1 : 1 beträgt.

5. Verfahren nach Anspruch 3 oder 4, dadurch gekennzeichnet, daß die Taktzeit einstellbar ist und zwischen einigen Millisekunden und mehreren Sekunden liegt.

6. Verfahren nach Anspruch 3, dadurch gekennzeichnet, daß für On-Line-Tests des Rechners in einer kuppelbaren Einheit (z. B. I) periodisch die zugehörigen Subschleifen (8) aktiviert und damit diese Einheit zeitweilig aus der Prozeßerfassung herausgenommen wird und dann über den Stromdurchgang über die Subschleifen (8) mittels der durch Testmuster an den Rechnerausgaben (Ausgabekarte III) steuerbaren Stromquellen (1) die Rechnereingaben auf Sicherheit innerhalb der Ausfalloffenbarungszeit prüfbar sind, ohne die Prozeßerfassung oder On-Line-Tests der weiteren gekuppelten Einheiten zu beeinflussen.