DE3832800C2

DE3832800C2 -

Info

Publication number: DE3832800C2
Application number: DE19883832800
Authority: DE
Inventors: Lutz-Werner Schiwek; Tjabbe 1000 Berlin De Kloppenburg
Original assignee: Licentia Patent Verwaltungs GmbH
Current assignee: Bombardier Transportation GmbH
Priority date: 1988-09-24
Filing date: 1988-09-24
Publication date: 1991-01-03
Also published as: DE3832800A1

Description

Die Erfindung bezieht sich auf eine Anordnung zur signaltechnisch sicheren Überwachung eines zweikanaligen sicheren Rechners, wie sie im übrigen im Oberbegriff des Anspruches 1 näher definiert ist.

Takt- und Pollingsignale eines Rechners werden hinsichtlich Antivalenz, einseitigen Ausbleibens oder Wegdriftens überwacht.

Bekannt ist es, da zu eine antivalente Arbeitsweise zu verwenden und Überwachungsglieder mit Fail-Safe-Verhalten zu verwenden(Siemens-Zeitschrift 48, 1974, H. 7, S. 503 und 504).

Vorgeschlagen wurde auch schon eine Anordnung, bei der zeitversetzte Taktsignale zugeordnete Monoflopstufen triggern, die ihrerseits abbildende Signale definierter Impulslänge generieren, die über einen signaltechnisch sicheren Antivalenzvergleicher ein Ausgangssignal liefern, das von einem nachgeschalteten signaltechnisch sicheren RS-Speicher überwacht wird. (z. B. DE-36 25 318 A1).

In manchen Fällen werden vom Kunden für bestimmte sicherheitsrelevante Aufgaben derartige Schaltungen mit Failsafe-Bausteinen noch abgelehnt.

Aufgabe der Erfindung ist es, eine entsprechende Schaltung für sicherheitsrelevante Aufgaben unter Verwendung selbst nicht sicherer Bauelemente zu schaffen.

Diese Aufgabe wird gemäß den kennzeichnenden Merkmalen des Anspruchs 1 gelöst. Vorteilhafte Ausgestaltungen und Weiterbildungen sind den Unteransprüchen entnehmbar.

Anhand eines schematischen Ausführungsbeispieles wird die Erfindung im nachstehenden näher erläutert.

Es zeigen:

Fig. 1 das Schaltungsschema für ein zweikanaliges Steuerteil zur sicheren Abschaltung und Überwachung,

Fig. 2a, 2b Schaltungen zu den Ausgabeports mit den zuge hörigen Kontakten der Prozeß-, Start- und Bypaß-Relais,

Fig. 2c zugehörige Rückmeldeschleifen,

Fig. 3 die Schaltung der Starteinrichtung,

Fig. 4a die Steuerschaltung der Bypaß-Relais,

Fig. 4b zugehörige Rückmeldeschleifen.

In Fig. 1 ist eine Schaltung eines zweikanaligen Steuerteils zur signaltechnisch sicheren Überwachung und Abschaltung nach der Erfin dung dargestellt. Es enthält zwei gleichartige Kanäle I und II, deren Eingänge jeweils durch zwei Optokoppler 1, 2 bzw. 3, 4 gebildet werden. Die entsprechenden Eingänge beider Kanäle sind über die Sendedioden der Optokoppler 1, 3 bzw. 2, 4 in Reihe geschaltet. Jedes der Takt- bzw. Polling-Periodensignale PPS1 und PPS2 von zwei Rechnerkanälen eines sicheren Rechners (nicht näher dargestellt) löst über Schalttransi storen 5, 6 im Rechnerport entsprechende Signale aus, die über beide Kanäle I und II geschleift werden. Der Stromverlauf ist dabei fol gender: Über Spannung +5V K1, Sendedioden 1 und 3, sowie Schalttransi stor 5 an Masse bzw. sowie +5V K2, Sendedioden 2 und 4, sowie Schalttransi stor 6 an Masse.

Da beide Kanäle I und II gleichartig aufgebaut sind, soll im folgen den die Funktion nur anhand des Kanals I dargestellt werden.

Über die Empfängertransistoren der Optokoppler 1 und 2 gelangen die Polling-Periodensignale als phasenverschobene, zeitversetzte Nadelim pulse auf zwei Monoflops 7, 8 und stoßen diese kanalbezogen mit fallen der Flanke an. Beide Monoflops 7, 8 haben gleiche Impulsdauer und ver längern die Nadelimpulse auf die Dauer der Polling-Periodensignale. Am Ausgang der Monoflops 7, 8 stehen damit bei ordnungsgemäßem Betrieb zwei antivalente, gegeneinander versetzte Signale an. Diese werden in einem nachgeschalteten Antivalenzvergleicher 9 auf Vorliegen von Anti valenz verglichen. Ist dies der Fall, wird ein logisches HIGH-Signal herausgegeben, das über ein ODER-Gatter 10 einen Schalttransistor 11 ansteuert, wodurch ein Prozeßrelais S1 Spannung von einer durchge schalteten Betriebsspannung 24V1_H erhält und damit anzieht. Auf die genannte durchgeschaltete Betriebsspannung 24V1_H wird im nachstehenden noch Bezug genommen. Ein zusätzliches Monoflop ist mit 12 bezeichnet und dient zum Ausgleich eines eventuellen geringen Versatzes der Polling-Periodensignale, ohne daß gleich auf Fehler erkannt werden soll. Es liefert einen Nachschiebeimpuls auf das ODER-Gatter 10 und wird mit der fallenden Flanke des Ausgangssignals von Antivalenzver gleicher 9 getriggert. Erst bei zu starker Verletzung der Antivalenz gibt es einen 0-Einbruch am Ausgang des ODER-Gatters 10, der das Prozeßrelais S1 abfallen läßt. Im Normalfall ist der Schalttransi stor 11 durchgesteuert, und das Prozeßrelais S1 ist im angezogenen Zu stand. Entsprechendes gilt für Prozeßrelais S2 im Kanal II. Jeder Ka nal ist weiterhin noch mit getrennter Spannungsversorgung ausgerüstet. Dieser ist jeweils ein Spannungsregler 13 zugeordnet, und eine Z-Dio de 14 bewirkt ein Ansprechen einer Sicherung 15, wenn der Regler 13 durch Kurzschluß defekt sein sollte. Ein Fehler im oberen Kanal I kann den unteren Kanal II nicht beeinflussen und umgekehrt (Unabhängigkeit der beiden Kanäle) .

Mit dem Anziehen der Prozeßrelais S1, S2 werden die zugehörigen zwangs geführten Kontakte s₁₁ bis s₁₄ bzw. s₂₁ bis s₂₄ für beide Kanäle mit je zwei Zweigen zu Ausgabeports A bis D aus den in den Fig. 2a und 2b gezeigten Schaltstellungen geführt. Die Kontakte sind nach Bundes bahnrichtlinie gezeichnet. So schalten die reihengeschalteten Arbeits kontakte s₁₁, s₂₁ die vor den Arbeitskontakten anstehende Spannung 24V1_V auf Port A und die Kontakte s₁₂, s₂₂ den Parallelzweig auf Prozeßausgabe-Port B.

Die Spannung 24V2_V wird zu den Prozeßausgabeports C und D für parallele oder serielle Ausgabe durchgeschaltet. Eine Prozeßausgabe ist in Fig. 2a hinter Port B angedeutet (gestrichelt). Es ist dort z.B. ein Relais 16 dargestellt, das von einem vorgeschalteten Transistor 17 be dient wird, der von einem Rechnerkanal angesteuert wird. Erkennbar ist, daß bei Abfall der Relais S1 oder S2 infolge eines Fehlers, die Span nungsversorgung von 24V1_V unterbrochen wird. Der Rechner kann dann zwar evtl. weiter fehlerhaft arbeiten, jedoch kann kein fehlerhaftes (und damit möglicherweise gefährliches) Anziehen des Relais 16 erfolgen, da die Betriebsenergie abgeschaltet ist. Die Steuerenergie des Rechners reicht zum Anziehen nicht aus. (Sicherer Fehlzustand)

Die hinter den geschlossenen Kontakten z.B. s₁₁, s₂₂ abgreifbare durch geschaltete Spannung wird für Kanal 1 mit 24V1_H (H für hinten); die vor den genannten Kontakten anstehende Spannung mit 24V1_V (V für vorn) bezeichnet. Die Handhabung beider Spannungen ist wesentlich. Für Kanal 2 gilt entsprechend 24V2_H und 24V2_V.

Die Kontaktstellung der Relais S1, S2 wird jedem Kanal des sicheren Rechners über eine gesonderte Rückmeldeschleife RMK1 und RMK2 über 24V1_V, s₁₅, s₂₅ bzw. über 24V2_V, s₁₆, s₂₆ zurückgemeldet (vgl. Fig. 2c). Die Ruhe kontakte s₁₅, s₂₅ bzw. s₁₆, s₂₆ fungieren als Rückmeldekontakte für die Stellung der Prozeßrelais S1, S2.

Mit der durchgeschalteten Spannung 24V1_H bzw. mit 24V2_H sind - wie bereits eingangs beschrieben - die Prozeßrelais S1 bzw. S2 betreibbar. Das ist jedoch nur im sogenannten eingeschwungenen Zustand möglich, nicht jedoch aus der abgefallenen Stellung der Relais S1, S2 heraus, wenn die zugehörigen Kontakte noch nicht durchgeschaltet haben. Die Betriebsspannungen 24V1_V bzw. 24V2_V des Steuerteils (I/II) sind zu Beginn durch Arbeitskontakte x₇ bzw. x₈ (Schließer) noch abgeschaltet. Zum Einschalten der Anordnung ist eine Starteinrichtung vgl. Fig. 3 notwendig, mit der über einen Taster T ein Startrelais X mit zwangsgeführten Kontakten über Ruhekontakte s₁₇, s₂₇ der abgefallenen Prozeßrelais S1, S2 zum Anziehen gebracht wird. Das Startrelais X schließt und die Kontakte x₇ und x₈ ermöglichen damit eine Stromversorgung des elektronischen Steuerteils und der Prozeßrelais S1 und S2 über 24V1_V u. 24V2_V. Damit schließen die Kontakte s₁₁, s₂₁ bzw. s₁₃, s₂₃, und die Spannungen 24V1_V bzw. 24V2_V werden durchgeschal tet. Sie übernehmen damit die weitere Stromversorgung der Prozeßrelais und der übrigen Elektronik, auch nach einem Abfallen des Startrelais X. Mit dem Anziehen von Startrelais X und Loslassen des Tasters T hält sich das Relais zunächst selbst über Kontakt x₁. Mit dem Anziehen der Prozeßrelais S1, S2 werden jedoch die Kontakte s₁₇ und s₂₇ geöffnet. Damit wird das Startrelais X spannungslos und von 24V1_V getrennt. Es soll aber noch eine gewisse Zeit erregt bleiben. Dazu dient der Kon densator C, der dann über Kontakt x₂ einspeist. Der Widerstand R dient der Ladestrombegrenzung des Kondensators C bei abgefallenen Prozeß relais S1, S2. Mit dem endgültigen Abfall des Startrelais X öffnen auch die Kontakte x₇, x₈ wieder und sperren die Stromversorgung der Betriebsspannung 24V1_V bzw. 24V2_V. Die erforderliche Spannung liegt jedoch inzwischen - wie erwähnt - als durchgeschaltete Spannung 24V1_H bzw 24V2_H an, so daß der Steuerteil (I/II) weiterhin mit Spannung versorgt bleibt und die Relais S1 und S2 nicht abfallen.

Weitere Kontakte des Startrelais X sind noch x₃, x₄, x₅, x₆ (vgl. Fig. 2a, 2b). Über diese Kontakte ist der Weg der Spannung 24V1_V und 24V2_V - bei angezogenem Startrelais X - zu den Prozeßausgaben A bis D zunächst noch abgeklemmt. Mit dem Abfall des Startrelais X neh men die Kontakte x₃ bis x₆ die dargestellten Stellungen ein, d.h. die Spannungen 24V1 und 24V2 werden bis zu den Prozeßausgaben, d.h. hier zu Schalttransistor 17 und Relais 16 komplett durchgeschaltet. Damit ist man im zuvor geschilderten eingeschwungenen Zustand. Wenn in die sem Betriebszustand ein Fehler auftritt, der das Prozeßrelais S1 oder S2 oder beide zum Absteuern bringt, dann wird über die jetzt fehlende durchgeschaltete Versorgungsspannung 24V1_H und 24V2_H den Prozeßausga ben (oder -eingaben) die Energie genommen. Weil die Steuerteile (I/II) dabei ebenfalls spannungslos werden ist auch die Beibehaltung des sicheren Fehlzustandes gegeben. Ein neuer Start der ganzen Einrichtung ist (nach Fehlerbeseitigung) erst durch Drücken der Starttaste T möglich. Die Schal tung kann sich auch durch Mehrfachreihenschaltung von Kontakten oder Bauteilausfällen, z.B. in den Steuereinrichtungen I/II, nicht selbst in einen gefährlichen Zustand durch erneutes Anziehen der Prozeßrelais S1, S2 bringen.

Beim Starten der Anordnung wird über die Starteinrichtung nach Fig. 3 die Steuereinrich tung (I/II) mit Betriebsspannung 24V1 und 24V2 versorgt, und es kommen auch kurzfristig korrekte Pollingsignale PPS1, PPS2 vom sicheren Rechner, so daß die Prozeßrelais S1 und S2 anziehen. Das Startrelais X hält sich über die Energie des Kondensators C, und vom Rechner werden die Relaisstellungen über die Rückmeldeschleifen RMK11 und RMK21 nach Fig. 2c sowie RMK12 und RMK22 nach Fig. 4b überprüft. Die Prozeßrelais S1 und S2 müssen angezogen haben, und die Bypaßre lais BY1 und BY2 abgefallen sein. Eine Prozeßausgabe ist wegen der x-Kontakte (x₃ bis x₆; Fig. 2a und b) in den Prozeßstromkreisen in diesem Stadium nicht möglich. Die Abfallverzögerung für das Startre lais X gibt einen gewissen Zeitspielraum, in dem innerhalb einer Prüf routine vom Rechner bewußt falsche Pollingsignale abgegeben werden oder überhaupt fehlen und so ein kurzzeitiges Abfallen der Prozeßrelais bewirkbar ist, was wiederum über die Rückmeldeschleifen RMK11 und RMK21 vom Rechner überprüft wird (Fig. 2c). Auch die Bypaßrelais BY1 und BY2 müssen zu diesem Zeitpunkt abgefallen sein. Danach werden die Polling signale wieder ordnungsgemäß ausgegeben, wodurch die Prozeßrelais wie der anziehen. Nach Entladung des Kondensators C fällt das Startrelais X endgültig ab. Die Ruhekontakte x₃ bis x₆ werden geschlossen und die seriellen oder parallelen Ausgaben mit Spannung versorgt. In diesem sogenannten eingeschwungenen Zustand will man gegebenenfalls die Steuer einrichtung mit Prozeßrelais und Startrelais testen.

Den reihengeschalteten Kontakten der Prozeßrelais S1, S2 sind dazu Bypässe mit reihengeschalteten Arbeitskontakten der zwangsgesteuerten Bypaßrelais BY1 und BY2 direkt parallelgeschaltet (Fig. 2a, 2b). Diese Kontakte by11 bis by14 und by21 bis by24 werden durch die Bypaß relais BY1 und BY2 nach Fig. 4a über Optokoppler 20, 20′ und Transi storverstärker von Kanalports des Rechners angesteuert. Die Bypaßbil dung kann durch Rückmeldeschleifen RMK12 und RMK22 nach Fig. 4b vom Rechner erkannt werden. Danach werden,wie bereits geschildert, falsche Pollingsignale vom Rechner abgegeben und die Prozeßrelais S1, S2 kurz zum Abfallen und danach wieder zum Anziehen gebracht. Abfallen und An ziehen kann über die Rückmeldeschleifen RMK11 und RMK21 nach Fig. 2c wieder erkannt werden. Die Ruhekontakte by15, by25 sowie by16, by26 fungieren als Rückmeldekontakte für die Stellung der Bypaßrelais BY1 und BY2. Danach werden die Bypaßrelais wieder abgesteuert und die rich tige Arbeitsweise durch Rückmeldung (Fig. 4b) überwacht. Diese Prüfung kann innerhalb einer Rechnerroutine als Art On-line-Test auch während laufender Prozesse durchgeführt werden. Klemmende, nicht anziehende oder abfallende Relais werden sicher ermittelt.

Die Sicherheit der erfindungsgemäßen Anordnung ist durch folgende Schritte gewährleistet:

1. strikte, entkoppelte Zweikanaligkeit der Polling-Periodensignal überwachung,
2. unabhängige Ansteuerung der Prozeßrelais S1 und S2,
3. doppelte Abschaltung der Prozeßspannung (Betriebsspannung) durch Reihenschaltung der Prozeßkontakte (z.B. s₁₁, s₂₁) und damit Bei behaltung des sicheren Zustandes,
4. Rückmeldung der Zustände der Relais S1, S2, BY1 und BY2 an die Rechnerkanäle und Vergleich mit den Sollzuständen,
5. Verwendung zwangsgeführter Signalrelais,
6. Testbarkeit der Anordnung bei Start und während des Betriebes.

Claims

1. Anordnung zur signaltechnisch sicheren Überwachung eines zweikanaligen sicheren Rechners, bei dem die Taktsignale auf Antivalenz, einseitiges Ausbleiben oder Wegdriften überwacht und bei Verletzung der Überwachungskriterien ein sicheren Abschalten der Spannungsversorgung der Ausgabeports veranlaßt wird, dadurch gekennzeichnet, daß

- ein unter ausschließlicher Verwendung von selbst nicht sicheren Komponenten aufgebautes zweikanaliges Steuerteil (I/II) Verwendung findet, in dem durch die Taktsignale (PPS1, PPS2) beider Rechnerkanäle im korrekten Betriebsfall jeweils ein Transistorschalter (11 bzw. 11′) angesteuert wird, der ein zugeordnetes Prozeßrelais mit zwangsgeführten Kontakten (S1 bzw. S2) an eine Betriebsspannung (24V1 bzw. 24V2) legt,
- die Betriebsspannung für jeden Kanal des Steuerteils (I/II) jeweils vor und hinter reihengeschalteten Arbeitskontakten (s₁₁, s₂₁ oder s₂₂, bzw. s₁₃, s₂₃ oder s₁₄, s₂₄) beider Prozeßrelais (S1, S2) abgreifbar ist, wobei die hinter den Arbeitskontakten abgreifbare durchgeschaltete Spannung (24V1_H bzw. 24V2_H) direkt und die vor den Arbeitskontakten anstehende Spannung (24V1_V bzw. 24V2_V) über je einen Arbeitskontakt (x₇ bzw. x₈) eines Startrelais (X) an das zugeordnete Prozeßrelais (S1 bzw. S2) legbar ist,
- und die vor den Arbeitskontakten anstehende Betriebsspannung (24V1_V bzw. 24V2_V) für jeden Prozeß-Ausgabeport (z.B. B) über einen eigenen Zweig mit reihengeschalteten Arbeitskontakten (z.B. s₁₁, s₂₂) beider Prozeßrelais (S1, S2) sowie über einen zusätzlichen Ruhekontakt (z.B. x₄) des Startrelais (X) gelegt ist (Fig. 1 und 2).

2. Anordnung nach Anspruch 1, dadurch gekennzeichnet,
daß das Startrelais (X) einer Starteinrichtung über einen Taster (T) an die vor den Arbeitskontakten anstehende Betriebsspannung (z.B. 24V1_V) über Ruhekontakte (s₁₇, s₂₇) beider Prozeßrelais (S1, S2) anschließbar ist, wobei das Startrelais (X) sich über einen ersten Arbeitskontakt (x₁) selbst hält und daß eine Abfallverzögerung mittels eines Kondensators (C) vorgesehen ist, der bei Abschalten der Betriebsspannung durch die Prozeßrelais (S1, S2) über einen zweiten Arbeitskontakt (x₂) des Startrelais (X) für gewisse Zeit weiter einspeist (Fig. 3).

3. Anordnung nach Anspruch 1 oder 2, dadurch gekennzeichnet,
daß jeder Kanal (z.B. I) des Steuerteils (I/II) eingangsseitig zwei Optokoppler (z.B. 1, 2), aufweist, von denen der eine (1) für die Taktsignale (PPS1) des einen und der andere (2) für die Taktsignale (PPS2) des anderen Rechnerkanals bestimmt ist,
daß über die Optokoppler (1, 2) zugeordnete Monoflops (7, 8) getriggert werden, deren Ausgangssignale an einen Antivalenzvergleicher (9) gelegt sind, der über ein ODER-Gatter (10) den Transistorschalter (11) steuert, der das zugeordnete Prozeßrelais (S1) an die vor den Arbeitskontakten anstehende Betriebsspannung (24V1_V) und/oder an die durchgeschaltete Betriebsspannung (24V1_H) hinter den Prozeßre laiskontakten (z.B. s₁₁, s₂₁) legt (Fig. 1).

4. Anordnung nach den Ansprüchen 1 bis 3, dadurch gekennzeichnet, daß die Taktsignale (PPS1, PPS2) beider Rechnerkanäle jeweils über die in Reihe geschalteten entsprechenden Optokoppler (1, 3 bzw. 2, 4) beider Kanäle des Steuerteils (I/II) geschleift werden (Fig. 1).

5. Anordnung nach Anspruch 3, dadurch gekennzeichnet, daß zum Ausgleich kurzfristiger Nulleinbrüche des High-Signals des Antivalenzvergleichers (9), an dessen Ausgang ein weiteres mit abfallender Flanke triggerbares Monoflop (12) angeschlossen ist, dessen Ausgang über das ODER-Gatter (10) an den Transistorschal ter (11) führt (Fig. 1).

6. Anordnung nach Anspruch 1, dadurch gekennzeichnet, daß innerhalb jedes Zweiges zu den Prozeßausgabeports (A, B, C, D) den reihegeschalteten Arbeitskontakten (z.B. s₁₁, s₂₁) der Prozeßrelais (S1, S2) die Reihenschaltung zweier Arbeitskontakte (z.B. by₁₁, by₂₁) von zwei zwangsgeführten Bypaß-Relais (BY1, BY2) verschiedener Kanäle parallelgeschaltet ist (Fig. 2a, 2b).

7. Anordnung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß jedes der Bypaß-Relais (BY1 bzw. BY2) an der durchgeschalteten Spannung (24V1_H bzw. 24V2_H) unter Zwischenschaltung eines Optokopplers (20 bzw. 20′) liegt, der vom zugehörigen Rechnerkanal ansteuerbar ist (Fig. 4a).

8. Anordnung nach Anspruch 7, dadurch gekennzeichnet, daß über an der vor den Arbeitskontakten anstehenden Betriebsspannung (24V1_V bzw. 24V2_V) liegende Rückmeldeschleifen beider Kanäle zum Rechner (RMK12; RMK22), in der jeweils in Reihe Ruhekontakte (by₁₅, by₂₅ bzw. by₁₆, by₂₆) beider Bypaßrelais (BY1, BY2) liegen, eine Funktionsüberwachung der Bypaßrelais durchführbar ist (Fig. 4b).

9. Anordnung nach Anspruch 6, dadurch gekennzeichnet, daß über an der vor den Arbeitskontakten anstehenden Betriebsspannung (24V1_V bzw. 24V2_V) liegende Rückmeldeschleifen beider Kanäle zum Rechner (RMK11; RMK21), in der jeweils Ruhekontakte (s₁₅, s₂₅ bzw. s₁₆, s₂₆) beider Prozeßrelais (S1, S2) liegen, eine Funktionsüberwachung der Prozeßrelais durchführbar ist (Fig. 2c).