DE3832800A1

DE3832800A1 - Anordnung zur signaltechnisch sicheren ueberwachung eines zweikanaligen sicheren rechners

Info

Publication number: DE3832800A1
Application number: DE19883832800
Authority: DE
Inventors: Lutz-Werner Schiwek; Tjabbe Kloppenburg
Original assignee: Licentia Patent Verwaltungs GmbH
Current assignee: Bombardier Transportation GmbH
Priority date: 1988-09-24
Filing date: 1988-09-24
Publication date: 1990-04-05
Also published as: DE3832800C2

Description

Die Erfindung bezieht sich auf eine Anordnung zur signaltechnisch si cheren Überwachung eines zweikanaligen sicheren Rechners, wie es im übrigen im Oberbegriff des Anspruches 1 näher definiert ist.

Dabei werden u.a. die Takt- oder Pollingsignale eines Rechners hin sichtlich einseitigen Ausbleibens oder Wegdriften überwacht. Bekannt ist es, zwei Taktsignale einkanalig mit sogenannten sicheren, d.h. failsafe-Bauelementen zu überwachen (z.B. DE-36 25 318 A1). In manchen Fällen werden für bestimmte sicherheitsrelevante Aufgaben z. Zt. derartige Schaltungen noch abgelehnt. So z.B. bei der Deutschen Bundesbahn.

Aufgabe der Erfindung ist es, hier ein Äquivalent unter Verwendung selbst nicht sicherer Bauelemente zu schaffen.

Diese Aufgabe wird gemäß den kennzeichnenden Merkmalen des Anspruchs gelöst. Vorteilhafte Ausgestaltungen und Weiterbildungen sind den Un teransprüchen entnehmbar.

Anhand eines schematischen Ausführungsbeispieles wird die Erfindung im nachstehenden näher erläutert.

Es zeigen:

Fig. 1 das Schaltungsschema für ein zweikanaliges Steuerteil zur sicheren Abschaltung und Überwachung,

Fig. 2a, 2b Schaltungen zu den Ausgabeports mit den zuge hörigen Kontakten der Prozeß-, Start- und Bypaß-Relais,

Fig. 2c zugehörige Rückmeldeschleifen,

Fig. 3 die Schaltung der Starteinrichtung,

Fig. 4a die Steuerschaltung der Bypaß-Relais,

Fig. 4b zugehörige Rückmeldeschleifen.

In Fig. 1 ist eine Schaltung eines zweikanaligen Steuerteils zur signaltechnisch sicheren Überwachung und Abschaltung nach der Erfin dung dargestellt. Es enthält zwei gleichartige Kanäle I und II, deren Eingänge jeweils durch zwei Optokoppler 1, 2 bzw. 3, 4 gebildet werden. Die entsprechenden Eingänge beider Kanäle sind über die Sendedioden der Optokoppler 1, 3 bzw. 2, 4 in Reihe geschaltet. Jedes der Takt- bzw. Polling-Periodensignale PPS 1 und PPS 2 von zwei Rechnerkanälen eines sicheren Rechners (nicht näher dargestellt) löst über Schalttransi storen 5, 6 im Rechnerport entsprechende Signale aus, die über beide Kanäle I und II geschleift werden. Der Stromverlauf ist dabei fol gender: Über Spannung +5V K 1, Sendedioden 1 und 3, sowie Schalttransi stor 5 an Masse bzw. sowie +5V K 2, Sendedioden 2 und 4, sowie Schalttransi stor 6 an Masse.

Da beide Kanäle I und II gleichartig aufgebaut sind, soll im folgen den die Funktion nur anhand des Kanals I dargestellt werden.

Über die Empfängertransistoren der Optokoppler 1 und 2 gelangen die Polling-Periodensignale als phasenverschobene, zeitversetzte Nadelim pulse auf zwei Monoflops 7, 8 und stoßen diese kanalbezogen mit fallen der Flanke an. Beide Monoflops 7, 8 haben gleiche Impulsdauer und ver längern die Nadelimpulse auf die Dauer der Polling-Periodensignale. Am Ausgang der Monoflops 7, 8 stehen damit bei ordnungsgemäßem Betrieb zwei antivalente, gegeneinander versetzte Signale an. Diese werden in einem nachgeschalteten Antivalenzvergleicher 9 auf Vorliegen von Anti valenz verglichen. Ist dies der Fall, wird ein logisch HIGH-Signal herausgegeben, das über ein ODER-Gatter 10 einen Schalttransistor 11 ansteuert, wodurch ein Prozeßrelais S 1 Spannung von einer durchge schalteten Betriebsspannung 24 V 1_H erhält und damit anzieht. Auf die genannte durchgeschaltete Betriebsspannung 24 V 1_H wird im nachstehenden noch Bezug genommen. Ein zusätzliches Monoflop ist mit 12 bezeichnet und dient zum Ausgleich eines eventuellen geringen Versatzes der Polling-Periodensignale, ohne daß gleich auf Fehler erkannt werden soll. Es liefert einen Nacnschiebeimpuls auf das ODER-Gatter 10 und wird mit der fallenden Flanke des Ausgangssignals von Antivalenzver gleicher 9 getriggert. Erst bei zu starker Verletzung der Antivalenz gibt es einen O-Einbruch am Ausgang des ODER-Gatters 10, der das Prozeßrelais S 1 abfallen läßt. Im Normalfall ist der Schalttransi stor 11 durchgesteuert, und das Prozeßrelais S 1 ist im angezogenen Zu stand. Entsprechendes gilt für Prozeßrelais S 2 im Kanal II. Jeder Ka nal ist weiterhin noch mit getrennter Spannungsversorgung ausgerüstet. Dieser ist jeweils ein Spannungsregler 13 zugeordnet, und eine Z-Dio de 14 bewirkt ein Ansprechen einer Sicherung 15, wenn der Regler 13 durch Kurzschluß defekt sein sollte. Ein Fehler im oberen Kanal I kann den unteren Kanal II nicht beeinflussen und umgekehrt (Unabhängigkeit der beiden Kanäle) .

Mit dem Anziehen der Prozeßrelais S 1, S 2 werden die zugehörigen zwangs geführten Kontakte s ₁₁ bis s ₁₄ bzw. s ₂₁ bis s ₂₄ für beide Kanäle mit je zwei Zweigen zu Ausgabeports A bis D aus den in den Fig. 2a und 2b gezeigten Schaltstellungen geführt. Die Kontakte sind nach Bundes bahnrichtlinie gezeichnet. So schalten die reihengeschalteten Arbeits kontakte s ₁₁, s ₂₁ die vor den Arbeitskontakten anstehende Spannung 24 V 1_V auf Port A und die Kontakte s ₁₂, s ₂₂ den Parallelzweig auf Prozeßausgabe-Port B.

Die Spannung 24 V 2_V wird zu den Prozeßausgabeports C und D für parallele oder serielle Ausgabe durchgeschaltet. Eine Prozeßausgabe ist in Fig. 2a hinter Port B angedeutet (gestrichelt). Es ist dort z.B. ein Relais 16 dargestellt, das von einem vorgeschalteten Transistor 17 be dient wird, der von einem Rechnerkanal angesteuert wird. Erkennbar ist, daß bei Abfall der Relais S 1 oder S 2 infolge eines Fehlers, die Span nungsversorgung von 24 V 1_V unterbrochen wird. Der Rechner kann dann zwar evtl. weiter fehlerhaft arbeiten, jedoch kann kein fehlerhaftes (und damit möglicherweise gefährliches) Anziehen des Relais 16 erfolgen, da die Betriebsenergie abgeschaltet ist. Die Steuerenergie des Rechners reicht zum Anziehen nicht aus. (Sicherer Zustand)

Die hinter den geschlossenen Kontakten z.B. s ₁₁, s ₂₂ abgreifbare durch geschaltete Spannung wird für Kanal 1 mit 24 V 1_H (H für hinten); die vor den genannten Kontakten anstehende Spannung mit 24 V 1_V (V für vorn) bezeichnet. Die Handhabung beider Spannungen ist wesentlich. Für Kanal 2 gilt entsprechend 24 V 2_H und 24 V 2_V.

Die Kontaktstellung der Relais S 1, S 2 wird jedem Kanal des sicheren Rechners über eine gesonderte Rückmeldeschleife RMK 1 und RMK 2 über 24 V 1_V, s ₁₅, s ₂₅ bzw. über 24 V 2_V, s ₁₆, s ₂₆ zurückgemeldet (vgl. Fig. 2c). Die Ruhe kontakte s ₁₅, s ₂₅ bzw. s ₁₆, s ₂₆ fungieren als Rückmeldekontakte für die Stellung der Prozeßrelais S 1, S 2.

Mit der durchgeschalteten Spannung 24 V 1_H bzw. mit 24 V 2_H sind - wie bereits eingangs beschrieben - die Prozeßrelais S 1 bzw. S 2 betreibbar. Das ist jedoch nur im sogenannten eingeschwungenen Zustand möglich, nicht jedoch aus der abgefallenen Stellung der Relais S 1, S 2 heraus, wenn die zugehörigen Kontakte noch nicht durchgeschaltet haben. Die Betriebsspannungen 24 V 1_V bzw. 24 V 2_V des Steuerteils (I/II) sind zu Beginn durch Arbeitskontakte x ₈ (Schließer) noch abgescnaltet. Zum Einschalten der Anordnung ist eine Starteinrichtung vgl. Fig. 3 notwendig, mit der über einen Taster T ein Startrelais X mit zwangsgeführten Kontakten über Ruhekontakte s ₁₇, s ₂₇ der abgefallenen Prozeßrelais S 1, S 2 zum Anziehen gebracht wird. Das Startrelais X schließt und der Kontakt x ₈ ermöglicnt damit eine Stromversorgung des elektronischen Steuerteils und der Prozeßrelais S 1 und S 2 über 24 V 1_V bzw. 24 V 2_V. Damit schließen die Kontakte s ₁₁, s ₂₁ bzw. s ₁₃, s ₂₃, und die Spannungen 24 V 1_V bzw. 24 V 2_V werden durchgeschal tet. Sie übernehmen damit die weitere Stromversorgung der Prozeßrelais und der übrigen Elektronik, auch nach einem Abfallen des Startrelais X. Mit dem Anziehen von Startrelais X und Loslassen des Tasters T hält sich das Relais zunächst selbst über Kontakt x ₁. Mit dem Anziehen der Prozeßrelais S 1, S 2 werden jedoch die Kontakte s ₁₇ und s ₂₇ geöffnet. Damit wird das Startrelais X spannungslos und von 24 V 1_V getrennt. Es soll aber noch eine gewisse Zeit erregt bleiben. Dazu dient der Kon densator C, der dann über Kontakt x ₂ einspeist. Der Widerstand R dient der Ladestrombegrenzung des Kondensators C bei abgefallenen Prozeß relais S 1, S 2. Mit dem endgültigen Abfall des Startrelais X öffnet auch Kontakt x ₈ wieder und sperrt die Stromversorgung der Betriebsspannung 24 V 1_V bzw. 24 V 2_V. Die erforderliche Spannung liegt jedoch inzwischen - wie erwähnt - als durchgeschaltete Spannung 24 V 1_H bzw 24 V 2_H an, so daß der Steuerteil (I/II) weiterhin mit Spannung versorgt bleibt und die Relais S 1 und S 2 nicht abfallen.

Weitere Kontakte des Startrelais X sind noch x ₃, x ₄, x ₅, x ₆ (vgl. Fig. 2a, 2b). Über diese Kontakte ist der Weg der Spannung 24 V 1_V und 24 V 2_V - bei angezogenem Startrelais X - zu den Prozeßausgaben A bis D zunächst noch abgeklemmt. Mit dem Abfall des Startrelais X neh men die Kontakte x ₃ bis x ₆ die dargestellten Stellungen ein, d.h. die Spannungen 24 V 1 und 24 V 2 werden bis zu den Prozeßausgaben, d.h. hier zu Schalttransistor 17 und Relais 16 komplett durchgeschaltet. Damit ist man im zuvor geschilderten eingeschwungenen Zustand. Wenn in die sem Betriebszustand ein Fehler auftritt, der das Prozeßrelais S 1 oder S 2 oder beide zum Absteuern bringt, dann wird über die jetzt fehlende durchgeschaltete Versorgungsspannung 24 V 1_H und 24 V 2_H den Prozeßausga ben (oder -eingaben) die Energie genommen. Weil die Steuerteile (I/II) dabei ebenfalls spannungslos werden ist auch die Beibehaltung des sicheren Fehlzustandes gegeben. Ein neuer Start der ganzen Einrichtung ist (nach Fehlerbeseitigung) erst durch Drücken der Starttaste T möglich. Die Schal tung kann sich auch durch Mehrfachreihenschaltung von Kontakten oder Bauteilausfällen, z.B. in den Steuereinrichtungen I/II, nicht selbst in einen gefährlichen Zustand durch erneutes Anziehen der Prozeßrelais S 1, S 2 bringen.

Beim Starten der Anordnung wird über die Starteinrichtung nacn Fig. 3 die Steuereinrich tung (I/II) mit Betriebsspannung 24 V 1 und 24 V 2 versorgt, und es kommen auch kurzfristig korrekte Pollingsignale PPS 1, PPS 2 vom sicheren Rechner, so daß die Prozeßrelais S 1 und S 2 anziehen. Das Startrelais X hält sich über die Energie des Kondensators C, und vom Rechner werden die Relaisstellungen über die Rückmeldeschleifen RMK 11 und RMK 21 nach Fig. 2c sowie RMK 12 und RMK 22 nach Fig. 4b überprüft. Die Prozeßrelais S 1 und S 2 müssen angezogen haben, und die Bypaßre lais BY 1 und BY 2 abgefallen sein. Eine Prozeßausgabe ist wegen der x-Kontakte (x ₃ bis x ₆; Fig. 2a und b) in den Prozeßstromkreisen in diesem Stadium nicht möglich. Die Abfallverzögerung für das Startre lais X gibt einen gewissen Zeitspielraum, in dem innerhalb einer Prüf routine vom Rechner bewußt falsche Pollingsignale abgegeben werden oder überhaupt fehlen und so ein kurzzeitiges Abfallen der Prozeßrelais bewirkbar ist, was wiederum über die Rückmeldeschleifen RMK 11 und RMK 21 vom Rechner überprüft wird (Fig. 2c). Auch die Bypaßrelais BY 1 und BY 2 müssen zu diesem Zeitpunkt abgefallen sein. Danach werden die Polling signale wieder ordnungsgemäß ausgegeben, wodurch die Prozeßrelais wie der anziehen. Nach Entladung des Kondensators C fällt das Startrelais X endgültig ab. Die Ruhekontakte x ₃ bis x ₆ werden geschlossen und die seriellen oder parallelen Ausgaben mit Spannung versorgt. In diesem sogenannten eingeschwungenen Zustand will man gegebenenfalls die Steuer einrichtung mit Prozeßrelais und Startrelais testen.

Den reihengeschalteten Kontakten der Prozeßrelais S 1, S 2 sind dazu Bypässe mit reihengeschalteten Arbeitskontakten der zwangsgesteuerten Bypaßrelais BY 1 und BY 2 direkt parallelgeschaltet (Fig. 2a, 2b). Diese Kontakte by 11 bis by 14 und by 21 bis by 24 werden durch die Bypaß relais BY 1 und BY 2 nach Fig. 4a über Optokoppler 20, 20′ und Transi storverstärker von Kanalports des Rechners angesteuert. Die Bypaßbil dung kann durch Rückmeldeschleifen RMK 12 und RMK 22 nach Fig. 4b vom Rechner erkannt werden. Danach werden,wie bereits geschildert, falsche Pollingsignale vom Rechner abgegeben und die Prozeßrelais S 1, S 2 kurz zum Abfallen und danach wieder zum Anziehen gebracht. Abfallen und An ziehen kann über die Rückmeldeschleifen RMK 11 und RMK 21 nach Fig. 2c wieder erkannt werden. Die Ruhekontakte by 15, by 25 sowie by 16, by 26 fungieren als Rückmeldekontakte für die Stellung der Bypaßrelais BY 1 und BY 2. Danach werden die Bypaßrelais wieder abgesteuert und die rich tige Arbeitsweise durch Rückmeldung (Fig. 4b) überwacht. Diese Prüfung kann innerhalb einer Rechnerroutine als Art On-line-Test auch während laufender Prozesse durchgeführt werden. Klemmende, nicht anziehende oder abfallende Relais werden sicher ermittelt.

Die Sicherheit der erfindungsgemäßen Anordnung ist durch folgende Schritte gewährleistet:

1. strikte, entkoppelte Zweikanaligkeit der Polling-Periodensignal überwachung,
2. unabhängige Ansteuerung der Prozeßrelais S 1 und S 2,
3. doppelte Abschaltung der Prozeßspannung (Betriebsspannung) durch Reihenschaltung der Prozeßkontakte (z.B. s ₁₁, s ₂₁) und damit Bei behaltung des sicheren Zustandes,
4. Rückmeldung der Zustände der Relais S 1, S 2, BY 1 und BY 2 an die Rechnerkanäle und Vergleich mit den Sollzuständen,
5. Verwendung zwangsgeführter Signalrelais,
6. Testbarkeit der Anordnung bei Start und während des Betriebes.

Claims

1. Anordnung zur signaltechnisch sicheren Überwachung eines zweika naligen sicheren Rechners gegen einseitiges Ausbleiben oder Weg driften der Taktsignale und zur sicheren Abschaltung der Spannungsversorgung der Ausgabe ports bei Verletzung der Kriterien unter ausschließlicher Verwen dung von selbst nicht sicheren Komponenten, dadurch gekennzeichnet, daß

- ein zweikanaliges Steuerteil (I/II) Verwendung findet, bei dem in jedem Kanal (I bzw. II) die Taktsignale (PPS 1, PPS 2) beider Recnnerkanäle auf Antivalenz überwacnt und im korrek ten Betriebsfall jeweils ein Schalter (11 bzw. 11′) ange steuert wird, der ein zugeordnetes Prozeßrelais mit zwangs geführten Kontakten (S 1 bzw. S 2) an eine Betriebsspannung (24 V 1 bzw. 24 V 2) legt,
- die Betriebsspannung für jeden Kanal des Steuerteils (I/II) je weils vor und hinter reihengeschalteten Arbeitskontakten (s ₁₁, s ₂₁ oder s ₁₂, s ₂₂ bzw. s ₁₃, s ₂₃ oder s ₁₄, s ₂₄) beider Prozeß relais (S 1, S 2) abgreifbar ist, wobei die hinter den Arbeits kontakten abgreifbare durchgeschaltete Spannung (24 V 1_H bzw. 24 V 2_H) direkt und die vor den Arbeitskontakten an stehende Spannung (24 V 1_V bzw. 24 V 2_V) über einen Arbeitskontakt (x ₈ bzw. x _8′) eines Startrelais (X) an das zugeordnete Prozeß relais (S 1 bzw. S 2) legbar ist,
- und die vor den Arbeitskontakten anstehende Betriebsspannung (24 V 1_V bzw. 24 V 2_V) für jeden Prozeß-Ausgabeport (z.B. B) über einen eigenen Zweig mit reihengeschalteten Arbeitskontakten (z.B. s ₁₁, s ₂₂) beider Prozeßrelais (S 1, S 2) sowie über einen zusätzlicnen Ruhekon takt (z.B. x ₄) des Startrelais (X) gelegt ist. (Fig. 1 und 2)

2. Anordnung nach Anspruch 1, dadurch gekennzeichnet,
daß die Starteinrichtung aus dem Startrelais (X) besteht,
daß über einen Taster (T) an die vor den Arbeitskontakten anstehende Betriebsspannung (z.B. 24 V 1_V) über Ruhekontakte (s ₁₇, s ₂₇) beider Prozeßrelais (S 1, S 2) legbar ist, wobei das Startrelais (X) sich über einen ersten Arbeitskontakt (x ₁) selbst hält und
daß eine Abfallverzögerung mit tels eines Kondensators (C) vorgesehen ist, der bei Abschalten der Betriebsspannung durch die Prozeßrelais (S 1, S 2) über einen zweiten Arbeitskontakt (x ₂) des Startrelais (X) für gewisse Zeit weiter ein speist. (Fig. 3)

3. Anordnung nach Anspruch 1 oder 2, dadurch gekennzeichnet,
daß jeder Kanal (z.B. I) des Steuerteils (I/II) eingangsseitig zwei Optokoppler (z.B. 1, 2), aufweist, von denen der eine (1) für die Taktsignale (PPS 1) des einen und der andere (2) für die Taktsignale (PPS 2) des anderen Rechnerkanals bestimmt ist,
daß über die Optokoppler (1, 2) zugeordnete Monoflops (7, 8) ge triggert werden, deren abbildende Signale an einen Antivalenzver gleicher (9) gelegt sind, der über ein ODER-Gatter (10) einen Transistorschalter (11) steuert, der das zugeordnete Prozeßrelais (S 1) an die vor den Arbeitskontakten anstehende Betriebsspannung (24 V 1_V) und/oder an die durchgeschaltete Betriebsspannung (24 V 1_H) hinter den Prozeßre laiskontakten (z.B. s ₁₁, s ₂₁) legt. (Fig. 1)

4. Anordnung nach den Ansprüchen 1 bis 3, dadurch gekennzeichnet, daß die Taktsignale (PPS 1, PPS 2) beider Rechnerkanäle jeweils über die in Reine geschalteten entsprechenden Optokoppler (1, 3 bzw. 2, 4) beider Kanäle des Steuerteils (I/II) geschleift werden. (Fig. 1)

5. Anordnung nach Anspruch 3, dadurch gekennzeichnet, daß zum Ausgleich kurzfristiger Nulleinbrüche des L-Signals des Antivalenzvergleichers (9), an dessen Ausgang ein weiteres mit abfallender Flanke triggerbares Monoflop (12) angeschlossen ist, dessen Ausgang über das ODER-Gatter (10) an den Transistorschal ter (11) führt. (Fig. 1)

6. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß innerhalb jedes Zweiges zu den Prozeßausgabeports (A, B, C, D) den reihegeschalteten Arbeitskontakten (z.B. s ₁₁, s ₂₁) der Pro zeßrelais (S 1, S 2) die Reihenschaltung zweier Arbeitskontakte (z.B. by ₁₁, by ₂₁) von zwei zwangsgefünrten Bypaß-Relais (BY 1, BY 2) ver schiedener Kanäle parallelgeschaltet ist. (Fig. 2a , 2b)

7. Anordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß jedes der Bypaß-Relais (BY 1 bzw. BY 2) an der durchgeschalteten Spannung (24 V 1_H bzw. 24 V 2_H) unter Zwischenschaltung eines Optokopp lers (20 bzw. 20′) liegt, der vom zugehörigen Rechnerkanal ansteuer bar ist. (Fig. 4a).

8. Anordnung nach Anspruch 7, dadurch gekennzeichnet, daß über an der vor den Arbeitskontakten anstehenden Betriebsspannung (24 V 1_V bzw. 24 V 2_V) liegende Rückmeldeschleifen beider Kanäle zum Rechner (RMK 12; RMK 22), in der jeweils in Reihe Ruhekontakte (b y ₁₅, by ₂₅ bzw. by ₁₆, by ₂₆) beider Bypaßrelais (BY 1, BY 2) liegen, eine Funktionsüberwachung der Bypaßrelais durchführbar ist (Fig. 4b).

9. Anordnung nach Anspruch 6, dadurch gekennzeichnet, daß über an der vor den Arbeitskontakten anstehenden Betriebsspannung (24 V 1_V bzw. 24 V 2_V) liegende Rückmeldeschleifen beider Kanäle zum Rechner (RMK 11; RMK 21), in der jeweils Ruhekontakte (s ₁₅, s ₂₅ bzw. s ₁₆, s ₂₆) beider Prozeßrelais (S 1, S 2) liegen, eine Funktionsüberwachung der Prozeß relais durchführbar ist (Fig. 2c).