DE3921286A1

DE3921286A1 - Procedure for stable electronic process control systems - receiving demand and feedback signals to stabilise system along with fail safe circuit

Info

Publication number: DE3921286A1
Application number: DE19893921286
Authority: DE
Inventors: Hilmar Dr Ing Strenzke
Original assignee: Linde GmbH
Current assignee: Linde Material Handling GmbH
Priority date: 1989-06-29
Filing date: 1989-06-29
Publication date: 1991-01-03

Abstract

The process control system includes control commands (1), control control channel 82); control outputs (3), process (4), process output output signals (5), measurement device (10), feedback controller (9), bi-directional data bus (12), and switching signals (8). A back up channel (6) with a failsave device (7) is available. The process is made reliable using mathematic models of the characteristic of the control channel (2). Preferably, an additional internal process signal (11) and additional characteristic of the processes (4) allows further control by controller (9). Process could incline speed and steering commands in a hydraulocally controlled vehicle. USE - Hydrualic control systems, e.g. for vehicle hydrostatic drive.

Description

Die Erfindung betrifft ein Verfahren zum sicheren elektro nischen Steuern eines Prozesses, bei dem Steuerkommandos einem Steuerkanal zugeführt und in Steuerausgangsgrößen umgewandelt werden, mit denen der Prozeßausgangsgrößen erzeugende Prozeß beschickt wird, wobei bei Auftreten von fehlerhaften Steuerausgangsgrößen der Prozeß in Richtung auf einen sicheren Zustand gesteuert wird.The invention relates to a method for safe electro niche control of a process in which control commands fed to a control channel and in control output variables be converted with those of the process output variables generating process is loaded, with occurrence of faulty control outputs the process towards is controlled to a safe state.

Derartige Verfahren sind bekannt. So ist beispielsweise in dem Buch "Mikrocomputer in der Sicherheitstechnik" von H. Hölscher und J. Rader, Verlag TUV-Rheinland 1984, in Kapitel 7.3 ein Verfahren mit sogenannter zweikanaliger Struktur beschrieben, bei dem die Steuerkommandos zwei parallel zueinander angeordneten Steuerkanälen zugeführt werden, die an einen Fail-Safe-Vergleicher angeschlossen sind. Dieser Fail-Safe-Vergleicher vergleicht die Steuer ausgangsgrößen, das heißt die Rechenergebnisse der parallel arbeitenden Steuerkanäle. Eine wesentliche Abweichung der Steuerausgangsgrößen wird als Fehler erkannt. Diese Fehlererkennung wird dann dazu benutzt, um den Prozeß in einen sicheren Zustand, zumeist den Stillstand, zu steuern. Such methods are known. For example in the book "Microcomputers in Security Technology" by H. Hölscher and J. Rader, Verlag TUV-Rheinland 1984, in chapter 7.3 a procedure with so-called two-channel Structure described in which the control commands two Control channels arranged parallel to each other be connected to a fail-safe comparator are. This fail-safe comparator compares the tax output variables, that is, the calculation results of the parallel working control channels. A major deviation the control output variables is recognized as an error. These Error detection is then used to complete the process in a safe state, mostly at a standstill Taxes.

Der geschilderte Aufbau ist sicher und zuverlässig, doch gleichzeitig aufwendig und teuer, denn zum Ausführen der eigentlichen Steuerfunktion ist nur ein Steuerkanal not wendig. Hingegen verursachen der zweite Steuerkanal und der Fail-Safe-Vergleicher erhebliche Zusatzkosten.The structure described is safe and reliable, however at the same time complex and expensive, because to execute the The actual control function is only one control channel agile. In contrast, the second control channel and the fail-safe comparator has considerable additional costs.

Der vorliegenden Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren zum sicheren elektronischen Steuern eines Prozesses zur Verfügung zu stellen, das weniger Aufwand erfordert und preisgünstiger ist, wobei eine erhöhte Sicherheit erreicht werden soll.The present invention is therefore based on the object a method for the safe electronic control of a Process to provide the less effort requires and is cheaper, with an increased Security should be achieved.

Diese Aufgabe wird erfindungsgemäß dadurch gelöst, daß zumindest die sicherheitsrelevanten Steuerkommandos und Prozeßausgangsgrößen erfaßt und einer die mathematische Kenntnis vom Verhalten des Steuerkanals beinhaltenden Rückführungsüberwachungseinheit zugeführt werden, wobei bei nicht plausibel übereinstimmenden Steuerkommandos und Prozeßausgangsgrößen Abschaltsignale von der Rück führungsüberwachungseinheit erzeugt werden und der Prozeß in Richtung auf einen sicheren Zustand gesteuert wird.This object is achieved in that at least the security-relevant control commands and Process output variables recorded and one the mathematical Knowledge of the behavior of the control channel Return monitoring unit are supplied, wherein if the control commands do not match plausibly and process outputs shutdown signals from the back leadership monitoring unit are generated and the process is steered towards a safe state.

Es wird also überwacht, ob die mittels Steuerkommandos gewünschten Aktionen an den Prozeßausgangsgrößen tatsäch lich erfolgen. Liegt keine plausible Übereinstimmung vor, so wird der ungefährliche sichere Zustand angesteuert. Anstelle eines zweiten Steuerkanals und eines Fail-Safe- Vergleichers wird lediglich eine einzige Überwachungsein heit benötigt.So it is monitored whether the by means of control commands desired actions on the process output variables actually Lich done. If there is no plausible match, this is how the safe safe state is controlled. Instead of a second control channel and a fail-safe Comparator will only be a single monitor needed.

In einer vorteilhaften Weiterbildung des erfindungsgemäßen Verfahrens ist vorgesehen, daß zusätzlich interne Prozeß größen erfaßt und der zusätzliche mathematische Kenntnisse vom Verhalten des Prozesses beinhaltenden Rückführungs überwachungseinheit zugeführt und in die Plausibilitäts prüfung einbezogen werden. Dadurch wird zusätzliche Sicher heit gewonnen, denn nun werden neben Fehlern in der Steuerung auch Fehler im Prozeß miterfaßt. Durch eine Beschränkung auf die Überwachung der sicherheitsrelevanten Steuerkommandos und Prozeßausgangsgrößen bleibt der mathematische Aufwand trotzdem gering. Eine derartige Einheit kann daher leicht als Single-Chip-Mikrorechner ausgeführt werden.In an advantageous development of the invention The procedure provides for an additional internal process sizes and the additional mathematical knowledge feedback on the behavior of the process Monitoring unit fed and in the plausibility testing are included. This makes additional security won because now in addition to errors in the control also recorded errors in the process. By a limitation on the monitoring of safety-related control commands and process output variables remain the mathematical effort still low. Such a unit can therefore be easily be designed as a single-chip microcomputer.

Es erweist sich als vorteilhaft, ein derartiges Verfahren, für Fahrzeuge mit hydrostatischen Anlagen, insbesondere hydrostatischen Fahrantrieben anzuwenden, wobei die Fahr- und Lenkkommandos sowie die Fahrzeuggeschwindigkeit mit mindestens je einem Meßglied erfaßt werden. Die Antriebs steuerung eines hydrostatischen Getriebes ist als Prozeß mit einer einfachen mathematischen Gleichung hinsichtlich Antriebs- und Abtriebsdrehzahl beschreibbar und eignet sich daher sehr gut für das erfindungsgemäße Verfahren.It proves to be advantageous to use such a method for vehicles with hydrostatic systems, in particular to use hydrostatic travel drives, whereby the travel and steering commands as well as the vehicle speed at least one measuring element can be detected. The drive Control of a hydrostatic transmission is a process with a simple mathematical equation regarding Input and output speed can be written and is suitable is therefore very good for the method according to the invention.

Gemäß einer zusätzlichen Weiterausgestaltung kann das Fahrzeug mit einem hydrostatischen Raupenantrieb versehen sein und beide Kettengeschwindigkeiten von mindestens je einem Meßglied erfaßt werden.According to an additional refinement, this can Provide the vehicle with a hydrostatic caterpillar drive be and both chain speeds of at least one measuring element each can be detected.

Die Erfindung soll anhand der nachstehenden schematischen Figur in einem Ausführungsbeispiel dargestellt werden:The invention is illustrated by the following schematic Figure are shown in one embodiment:

Steuerkommandos 1 werden einem Steuerkanal 2 zugeführt und verrechnet. Als Ergebnis wird eine Steuerausgangs größe 3 zu dem zu steuernden Prozeß 4 geleitet. Der Prozeß 4 erzeugt Prozeßausgangsgrößen 5. Das Steuer kommando 1 kann beispielsweise die Stellung eines Geschwin digkeitsgebers eines mit einem hydrostatischen Getriebe ausgerüsteten Fahrzeuges sein, während die Prozeßausgangs größe 5 von der Fahrgeschwindigkeit des Fahrzeuges gebildet wird. Control commands 1 are fed to a control channel 2 and charged. As a result, a control output size 3 is passed to process 4 to be controlled. Process 4 generates process output variables 5 . The control command 1 can be, for example, the position of a speed transducer of a vehicle equipped with a hydrostatic transmission, while the process output size 5 is formed by the driving speed of the vehicle.

Der zu steuernde Prozeß besteht aus der den gewünschten Fahrgeschwindigkeiten zugeordneten Hubvolumenverstellungen von hydraulischen Axialkolbenpumpen und Axialkolbenmotoren, wobei die Hubvolumenverstellung über einen Steuerdruck erzielt wird, der durch elektro-magnetische Ventile beein flußbar ist. Die Steuerausgangsgröße könnte in diesem Fall also eine elektrische Spannung sein. Insoweit ent spricht dies dem Stand der Technik. Um fehlerhafte Steuer ausgangsgrößen 3 auszuschließen, ist es bekannt, parallel zum Steuerkanal 2 einen in der Figur gestricht dargestellten Steuerkanal 6 anzuordnen und diesem ebenfalls das Steuer kommando 1 zuzuführen. Zwischen den beiden Steuerkanälen 1 und 6 und den zu steuernden Prozeß 4 wird nun noch ein in der Figur ebenfalls gestricht dargestellter Fail-Safe- Vergleicher 7 angeordnet, der die beiden von den Steuer kanälen errechneten Steuerausgangsgrößen miteinander ver gleicht und im Falle, daß diese nicht übereinstimmen, eine Weiterleitung der Steuerausgangsgrößen verhindert und ein Signal abgibt, das ein Abschaltsignal für den sicheren Zustand des zu steuernden Prozesses 4 ist. Er findungsgemäß ist nun anstelle des Steuerkanals 6 und des Fail-Safe-Vergleichers 7 vorgesehen, das Steuerkommando 1 einer Rückführungsüberwachungseinheit 9 zuzuführen, der sowohl von Meßgliedern 10 die Prozeßausgangsgrößen 5 mit geteilt werden, als auch interne Prozeßgrößen 11. Die Rückführungsüberwachungseinheit 9 kann als Single-Chip- Mikroprozessor ausgeführt sein und besitzt die mathematische Kenntnis vom Verhalten des Steuerkanals 2 und vom Verhalten des Prozesses 4, so daß eine Plausibilitätsprüfung der verschiedenen Größen durchgeführt werden kann. Der Pfeil 12 symbolisiert einen zyklischen Datenaustausch zwischen dem Steuerkanal 2 und der Rückführungsüberwachungseinheit 9, wodurch sich ein Fail-Safe-Vergleicher erübrigt. Sofern die Prozeßausgangsgrößen 5 und internen Prozeßgrößen 11 nicht mit den Steuerkommandos 1 übereinstimmen, gibt die Rückführungsüberwachungseinheit 9 das bekannte Abschalt signal 8 ab, das den Prozeß 4 in einen sicheren Zustand bringt.The process to be controlled consists of the stroke volume adjustments of hydraulic axial piston pumps and axial piston motors assigned to the desired driving speeds, the stroke volume adjustment being achieved via a control pressure which can be influenced by electromagnetic valves. In this case, the control output variable could therefore be an electrical voltage. In this respect, this corresponds to the state of the art. In order to exclude faulty control output variables 3 , it is known to arrange a control channel 6 , shown in dashed lines in the figure, parallel to the control channel 2 and also to supply the control command 1 to it. Between the two control channels 1 and 6 and the process to be controlled 4 , a fail-safe comparator 7 , which is also shown in dashed lines in the figure, is now arranged, which compares the two control output variables calculated by the control channels with one another and in the event that they are not agree, a forwarding of the control output variables prevented and emits a signal that is a shutdown signal for the safe state of the process 4 to be controlled. According to the invention, instead of the control channel 6 and the fail-safe comparator 7 , the control command 1 is now fed to a feedback monitoring unit 9, to which the process output variables 5 are shared both by measuring elements 10 and internal process variables 11 . The feedback monitoring unit 9 can be designed as a single-chip microprocessor and has the mathematical knowledge of the behavior of the control channel 2 and of the behavior of the process 4 , so that a plausibility check of the various variables can be carried out. The arrow 12 symbolizes a cyclic data exchange between the control channel 2 and the feedback monitoring unit 9 , which makes a fail-safe comparator unnecessary. If the process output variables 5 and internal process variables 11 do not match the control commands 1 , the feedback monitoring unit 9 emits the known shutdown signal 8 , which brings the process 4 into a safe state.

Durch die Fehlererfassung von internen Prozeßgrößen ist es beispielsweise möglich, zu erkennen, daß ein Hydraulik schlauch im hydrostatischen Getriebe geplatzt ist oder ein Steuerventil klemmt.Due to the error detection of internal process variables it is possible, for example, to recognize that a hydraulic system hose in the hydrostatic transmission has burst or a control valve is stuck.

Letzteres kann dann der Fall sein, wenn die Spannung an einem elektro-magnetischen Ventil zwar dem vorgegebenen Steuerkommando "Beschleunigung" entspricht, aber die Prozeßausgangsgröße "Fahrzeuggeschwindigkeit" sich nicht ändert. Entspricht jedoch die Spannung nicht dem vorgegebenen Steuerkommando, so ist dies ein Zeichen dafür, daß ein Fehler in der Umsetzung des Steuerkommandos in die Steuerausgangsgröße vorliegt. In beiden Fällen wird über einen oder auch mehrere Abschaltwege der unge fährliche sichere Zustand herbeigeführt, beispielsweise in dem das Fahrzeug automatisch bis zum Stillstand abge bremst wird.The latter can be the case if the Voltage on an electro-magnetic valve is true corresponds to the given control command "acceleration", but the process output variable "vehicle speed" does not change. However, the tension does not match the specified control command, this is a sign for an error in the implementation of the control command is present in the control output variable. In both cases is switched off via one or more switch-off routes for the unsafe dangerous dangerous state brought about, for example in which the vehicle automatically moves to a standstill is braked.

Claims

1. A method for the safe control of a process in which control commands are supplied to a control channel and converted into control output variables with which the process output variable generating process is fed, the process being controlled in the direction of a safe state when faulty control output variables occur, characterized in that that at least the safety-relevant control commands ( 1 ) and process output variables ( 5 ) are recorded and fed to a feedback monitoring unit ( 9 ) containing the mathematical knowledge of the behavior of the control channel ( 2 ), with control commands ( 1 ) and process output variables ( 5 ) Shutdown signals ( 8 ) are generated by the feedback monitoring unit ( 9 ) and the process ( 4 ) is controlled in the direction of a safe state.

2. The method according to claim 1, characterized in that additional internal process variables ( 11 ) are acquired and the additional mathematical knowledge of the behavior of the process ( 4 ) including the return monitoring unit ( 9 ) is fed and included in the plausibility check.

3. Use of a method according to one of the preceding Claims on vehicles with hydrostatic systems, especially hydrostatic drives, the Driving and steering commands and vehicle speed with at least one measuring element each.

4. Application of a method according to claim 1 or 2 according to Claim 3, wherein the vehicle with a hydrostatic Track drive is provided and both chain speed speeds of at least one measuring element each.