DK142474B - At sikkerheds udgangskredsloeb til et binaersignaler afgivende dabehandlingsanlaeg - Google Patents

Description

14247Λ i

Opfindelsen angår et sikkerheds-udgangskredsløb til et binærsignaler afgivende databehandlingsanlæg under anvendelse af en forstærker med en udgangstransformer, hvis sekundærvikling via et ensretterkredsløb forsyner 5 en forbruger med fail-safe-signaler.

Indenfor mange tekniske områder indsættes der nu i stigende grad elektroniske indretninger til styring af automatiserede processer. Hertil hører navnlig sådanne indretninger, som i mellemtiden er blevet til almindelige 10 handelsvarer såsom procesdatamater og mikrodatamater.

Indenfor området jernbanesikringsteknik indsættes der særlige logiknetværk med specielle logiske koblinger, som er opbygget af passive og aktive komponenter, af hvis korrekte funktion togtrafikkens sikkerhed afhænger. Da 15 der dog må påregnes nogen defekter eller fejl i komponenterne bliver de logiske koblinger i almindelighed konstrueret på en sådan måde, at komponentfejl for så vidt angår jernbanesikringsteknikken i det højeste kan udvirke en hæmning af driften og ikke fremkalde nogen drifts-20 risiko. Heraf følger, at moderne databehandlingsanlæg, hvis koblinger ikke er blevet konstrueret under hensyntagen til de nævnte sikkerhedstekniske synspunkter, ikke uden videre kan benyttes indenfor tekniske områder med sikkerhedsansvar således som ved jernbaneanlæg.

25 Dette gælder tilsvarende overalt, hvor processer ved en forstyrrelse af de styrende indretninger skal overføres til en tilstand, som er ufarlig for mennesker og maskiner.

Nogle eksempler kan anskueliggøre dette princip 30 lidt mere. Styreanlæg indenfor den nukleare medicin kan være udformet på en sådan måde, at f.eks. bestrålingen afbrydes ved optræden af en defekt.

Ved styring af personvogne kan et sikkert radarstyret afstandsadvarselsanlæg eller én sikker styring af en 35 glidningsfri bremsning konstrueres på en sådan måde, at føreren bliver gjort opmærksom på en indtrædende defekt, før fejlen giver anledning til en fejlfunktion, som indskrænker køresikkerheden.

142474 2

Endvidere bør de ovennævnte sikkerhedsprincipper anvendes ved styring af lyskurve, kemiske storprocesser, valseværker, kraftværker og i forbindelse med overvågning af kernereaktorer.

5 Til den sikringstekniske afgivelse af binærsigna ler fra et elektronisk logiknetværk benyttes i almindelighed vekselspændingsforstærkere, som til styring af vilkårlige forbrugere, f.eks. relæer, afgiver deres energi over en transformer og en heraf fødet ensretter-10 kreds. Sådanne koblinger har den fordel, at vilkårlige fejl, navnlig en kortslutning i forstærkertransistorers koblestrækning, altid medfører en nedsættelse af udgangsspændingen, men aldrig fører til en udgangsspænding, som kunne tilkoble det styrede relæ på et ubelej-15 ligt tidspunkt og dermed afstedkomme et falskt signal eller en ikke ønsket processtyring. De forklarede udgangskredsløb indsættes med henblik på sikkerhedsteknik på en sådan måde, at deres udgangsspænding med værdien nul tilordnes de sikre og driftshæmmende udsagn.

20 Tysk offentliggørelsesskrift 2.113.546 beskriver en udgangsenhed til et logisk system, hvor elektriske forbrugere i et perifert anlæg styres over forskellige grænseflader mellem det perifere anlæg og logiknetværket ved hjælp af relæer. Her forudsættes det stiltiende, 25 at de signaler, der udgår fra det logiske system, ikke er fejlbehæftede, og at det kun drejer sig om at afgive disse signaler i overensstemmelse med de foroven beskrevne sikkerhedsprincipper ved tilvejebringelse af en galvanisk adskillelse imellem indgangs- og udgangskred-30 sen. Herved beherskes kun det kritiske fejltilfælde, hvor et af forstærkerelementerne udsættes for en kortslutning.

Den forklarede udgangsenhed kan imidlertid ikke anvendes umiddelbart i de tilfælde, hvor der til proces-35 styring af sikkerhedsmæssige årsager sker en fordobling af de processen styrende indretninger, f.eks. mikrodatamater, hvilket skyldes, at disse indretninger ikke er konstrueret efter det kendte fail-safe-princip og som 14247Λ 3 følge heraf kan afgive fejlbehæftede signaler.

Et sikkerhedskredsløb til udøvelse af logiske kombinationer med fail-safe-funktion er f.eks. kendt fra tysk fremlæggelsesskrift nr. 1.537.379. Ved hjælp af 5 dette sikkerhedskredsløb udformes væsentlige anlægsdele i to kanaler under anvendelse af specielle integrerede kredsløb, hvorved ensartede dataledninger ved korrekt drift til enhver tid fører antivalente signaler i form af firkantspændinger, hvis fasebeliggenhed fastlægger 10 de foreliggende logiske værdier "0" eller "1". Til hvert lager- og kombinationselement er der knyttet en anti-valens-overvågningsenhed.

En taktstrømforsyning til et sådant i to kanaler opbygget logiknetværk er udformet på en sådan måde, jf.

15 tysk patentskrift nr. 2.135.683, at den frakobles for videre drift, såfremt der ved et af de mange kombinerende og/eller oplagrende kobletrin optræder en forstyrret antivalens. Ved fejlfri drift danner taktgiveren sammen med logiknetværket en art selvholdende kreds, hvor-20 for opstarten kræver en startprocedure. Lager- og kombinationselementerne behøver ved sådanne anlæg ikke at være opbygget efter fail-safe-princippet, men det er en ulempe, at der kræves specialkomponenter, der ved omfangsrige logiknetværk i forhold til mikrodatamater kræ-25 ver forholdsvis megen plads.

Den opgave, der ligger til grund for opfindelsen, er at tilvejebringe et sikkerheds-udgangskredsløb af ovennævnte art til et dobbelt datamatanlæg, som f.eks. består af taktsynkrone i handelen værende mikrodatama-30 ter, der bearbejder ensartede informationer.

Denne opgave løses med et kredsløb af indledningsvis nævnte art, der ifølge opfindelsen er ejendommeligt ved, at et par dataledninger, der fører ensartede binærsignaler hidrørende fra to af en fælles taktstrømfor-35 syning taktsynkront styrede mikrodatamater, er forbundet til hvert sit som afgivekomponent tjenende kiptrin i et . første sæt af kiptrin, hvis udgange er forbundet til reset-indgange på kiptrin i et andet sæt af kiptrin, 142474 4 hvorhos det andet sæt af kiptrin forsynes med synkrone taktimpulser fra taktstrømforsyningen, og indgange i det første sæt af kiptrin er forbundet med en udgang i taktstrømforsyningen, som afgiver et grundindstillings-5 signal, og hvor en ved hjælp af testimpulser fra taktstrømforsyningen afspørgelig antivalens-overvågningsen-hed er forbundet til komplement-udgangen på det ene kiptrin i det andet sæt og til udgangen på det andet kiptrin i det andet sæt, hvilken overvågningsenhed til-10 bagesender testimpulserne både ved statiske og ved dynamiske antivalente signaler til opretholdelse af taktstrømforsyningen, og hvor forstærkeren er tilsluttet til mindst det ene kiptrin i det andet sæt af kiptrin.

Ved hjælp af det foreliggende sikkerheds-udgangs-15 kredsløb opnås der på fordelagtig måde en parvis sammenknytning af to dataledninger med ensartede binærsignaler, hvorved det ved forekommende fejl på enkel måde er sikret, at den videre signalafgivelse afbrydes, såsnart et binærsignal afviger fra to ved korrekt drift 20 ensartede binærsignaler. Det opbud, der pr. udgangskanal kræves til dette formål, er ringe. Til sikkerheds-udgangskredsløbet kræves der endvidere kun i handelen værende passive eller aktive komponenter.

En særlig fordel ved et på denne måde opbygget 25 sikkerheds-udgangskredsløb består endvidere i en kort og af datastrømmen uafhængig fejlindikeringstid.

Ved afgivelsen af binærsignaler med den logiske værdi "1" kan der til yderligere afkortning af fejl-indikeringstiden ved hjælp af det i mikrodatamaten ind-30 lagte program med jævne mellemrum tilvejebringes korte signalomkoblinger, således at der i nogle få mikrosekunder afgives værdien "0". Disse til testformål tilvejebragte kortvarige signalomkoblinger medfører imidlertid ikke nogen udkobling af forbrugerne på grund af 35 disses træghed. Således sker der ikke noget frafald af relæer, og signaler ændrer ikke deres signalbillede.

Hvis nu et af kiptrinnene som følge af en fejl ikke længere kan koble, fører dette til en antivalensforstyrrel- 5 142474 se, hvorved der automatisk sker en sikkerheds-udkobling.

Opfindelsen forklares nærmere nedenfor under henvisning til tegningen, som viser et udførelseseksempel 5 på et sikkerheds-udgangskredsløb ifølge opfindelsen.

Udførelseseksemplet, der i det væsentlige er illustreret ved hjælp af et blokdiagram indeholder to mikrodatamater MRl og MR2, der af sikkerhedsgrunde taktsynkront bearbejder de samme informationer. Af hen-10 syn til tegningens overskuelighed er indgangsledninger ikke vist. I forbindelse med udførelseseksemplet er det uden betydning, hvilke indretninger der skal styres ved hjælp af udgangssignalerne fra de to mikrodatamater; det væsentlige er kun, at der fra mikrodatamaterne, scan 15 ikke er konstrueret efter fail-safe-princippet, dog er fail-safe-signaler til rådighed.

Den taktsynkrone styring af de to mikrodatamater MRl og MR2 sker ved hjælp af en fælles taktstrømforsyning TG via ledninger Li og L2. For at kunne 20 holde tegningen så overskuelig som overhovedet muligt, knyttes der til hver af de to mikrodatamater MRl og MR2 kun en enkelt dataledning henholdsvis DL1 og DL2, over hvilke der afgives binærsignaler med enten den logiske værdi "0" eller "1". Ved korrekt drift 25 fører dataledningsparret DLl og DL2 altså konstant binærsignaler med samme logiske værdi svarende til en og samme information. De binærsignaler, der afgives over dataledningerne DLl og DL2 styrer indirekte en mod-taktforstærker bestående af to forstærkere Vi og V2 30 såvel som en udgangstransformer U, hvortil der er forbundet en ensretterkobling GLl og GL2 med en efterfølgende kondensator Cl. Til de to udgangsledninger L3 og L4 kan der f.eks. være forbundet et relæ, som tilkobles ved overensstemmende binærsignaler af den lo-35 giske værdi "1" fra dataledningerne DLl og DL2.

Som udgangselement for mikrodatamaten MRl er der i relation til dataledningen DLl tilvejebragt en D-flipflop Kl. Tilsvarende gælder for dataledningen 6 U2474 DL2, hvortil der er knyttet en D-flipflop K10. Dataledningerne henholdsvis DLl og DL2 er forbundet med hver sin D-indgang i henholdsvis D-flipfloppen Kl og D-flipfloppen K10. D-flipflopperne Kl og KlO's 5 taktindgange C er forbundet til hver sin mikrodatamat henholdsvis MR1 og MR2 over en styresignalled-ning henholdsvis SG1 og SG2. Det skal i parentes bemærkes, at ledningerne DLl og SGl henholdsvis DL2 og SG2 står i forbindelse med de tilhørende mikrodata-10 maters foreliggende ledningsskinner. De enkelte reset-indgange R for D-flipflopperne henholdsvis Kl og KlO er forbundet til taktstrømforsyningen TG over en ledning henholdsvis L5 og L6, hvorigennem der til given tid kan føres grundindstillingssignaler GLl og 15 GL2 med den logiske værdi "0" til tilbagestilling af den pågældende D-flipflop Kl eller KlO.

D-flipflopperne henholdsvis Kl og KlO's Q-ud-gange er forbundet med hver sin reset-indgang R i et andet sæt af D-flipflopper henholdsvis K2 og K20.

20 Herved opnås, at den foreliggende efterkoblede D-flip-flop K2 eller K20 ved tilbagestillet D-flipflop Kl eller KlO i det første sæt via den pågældende reset-indgang R ligeledes forbliver i tilbagestillet tilstand. Herved fører komplementudgangene Q i de to 25 D-flipflopper K2 og K20 et signal med den logiske værdi "1". I begge D-flipflopperne K2 og K20 er komplementudgangen Q forbundet med D-indgangen. D-flipfloppen K2's taktindgang C er via en taktledning TLG1 og den anden D-flipflop K20's taktindgang 30 C er via en anden taktledning TLG2 forbundet med den enlige taktstrømforsyning TG med henblik på flankestyring. Ved korrekt drift bliver de to D-flipflopper K2 og K20 herved fortløbende styret taktsynkront.

Til D-flipfloppen K2's komplementudgang Q er 35 endvidere indgangen af forstærkeren VI forbundet. Forstærkeren V2 er derimod forbundet til D-flipfloppen K20's Q-udgang. Følgelig optræder der ved korrekt drift ved indgangene af de to forstærkere VI og V2 7 U2 k7h statiske antivalente signaler, forudsat at der over dataledningerne DL1 og DL2 afgives et binærsignal med den logiske værdi "0". Ved afgivelse af et binærsignal med værdien "1" over hver af de nævnte dataledninger 5 optræder der ved forstærkerindgangene dynamiske antivalente signaler i form af to firkantspændinger, der indbyrdes er faseforskudt 180°, hvilke signaler af mod-taktforstærkeren kan forarbejdes til et udgangssignal på ledningerne L3 og L4.

10 En antivalens-overvågningsenhed AD, der ligesom forstærkerne VI og V2 er forbundet med udgangene af de to D-flipflopper K2 og K20, er således opbygget, at den kan tjene til melding af såvel statisk antivalente som dynamisk antivalente signaler, (jævnspænding-fir-15 kantspænding). I princippet indeholder antivalens-over-vågningsenheden AD en kobletransistor TR, hvis koblestrækning i serie med en arbejdsmodstand R er tilsluttet jævnstrømsgrenen i en brokoblet ensretter Dl, D2, D3 og D4. I denne antivalens-overvågningsenhed 20 AD påtrykkes kobletransistoren TR kun en forsyningsspænding i de tilfælde, hvor de to D-flipflopper R2 og K20 statisk befinder sig i samme kobletilstand lige fri for forstyrrelser, eller arbejder dynamisk og udviser ensartede tilstandsændringer. Over den til koble-25 transistoren TR's basiselektrode koblede ledning L7 ankommer der fra taktstrømforsyningen TG testimpulser TS til afspørgning af antivalens-overvågningsenheden AD. Kun ved forhåndenværende antivalens returneres de tilførte testimpulser TS over ledningen L8 til 30 taktstrømforsyningen TG, der som følge af dette forhold afgiver styresignaler over ledningerne LI og L2, L5 og L6, TLG1 og TLG2 indtil tidspunktet for den næste testimpuls TS.

Da der almindeligvis ikke, således som det er vist 35 på tegningen, kun udgår én men mange dataledninger fra mikrodatamaterne MRl og MR2, turde det uden videre være indlysende, at der i praksis også forefindes tilsvarende mange antivalens-overvågningsenheder. I dette 142474 8 tilfælde forbindes ledningen L8 ikke direkte til taktstrømforsyningen TG, men den fører til en anden anti-valens-overvågningsenhed. Således danner antivalens-overvågningsenhederne en serieforbindelse, hvorhos den 5 sidste antivalens-overvågningsenhed i rækken forbindes med taktstrømforsyningen TG.

Når der over ledningerne L5 henholdsvis L6 tilføres grundindstillingssignaler GLl og GL2 hver med den logiske værdi "0" tilbagestilles D-flipflop-10 perne Kl og K10 til overensstemmende begyndelsestilstande, som er væsentlige for sikkerheds-udgangskredsløbets opstart. I den nævnte begyndelsestilstand afgiver de to D-flipflopper Kl og K10 over hver deres Q-udgang et signal med den logiske værdi "O" til re-15 set-indgangen R i den efterfølgende D-flipflop henholdsvis K2 og K20, således at også disse to D-flipflopper K2 og K20 befinder sig i den tilbagestillede tilstand og forbliver der. Herved optræder der på D-flipfloppen K2rs komplementudgang Q et logisk 20 "1"-niveau, og på D-flipfloppen k20's Q-udgang et logisk ."0"-niveau. Antivalens-overvågningsenheden AD modtager således antivalente statiske signaler og overfører derfor en tilført testimpuls TS over ledningen L7. Da de to forstærkere VI og V2 endnu ikke mod-25 tager dynamiske styresignaler, forbliver spændingen på udgangsledningerne L3 og L4 nul ligesom før.

Efter at den til antivalens-overvågningsenheden AD tilførte første testimpuls TS er løbet tilbage til taktstrømforsyningen TG, tilendebringes indkob-30 lingsfasen med ophøret af grundindstillingssignalerne GLl og GL2. Såfremt der nu fra mikrodatamaterne MR1 og MR2 via deres dataledninger DL1 og DL2 afgives signaler af den logiske værdi "0" ændrer kobletilstanden sig ikke i det første og andet sæt D-flipflopper 35 henholdsvis Kl, KlO og K2, K20.

Såfremt dataledningerne DL1 og DL2 derimod fører binærsignaler af den logiske værdi "1" overtages denne værdi af den tilknyttede D-flipflop henholds- 9

U2A7A

vis Kl og K10. I dette tilfælde afgiver D-flipflopperne Kl og KlO's Q-udgange et "1"-niveau, hvorved de tilknyttede D-flipflopper henholdsvis K2 og K20 frigives. Dette medfører, at det logiske "1"-niveau, 5 der til det pågældende tidspunkt optræder på hver af flipf lopperne K2 og K20's komplementudgange (3, overtages af D-indgangen på taktstyret måde. Herefter optræder der på de pågældende Q-udgange i D-flipflopper- t ne K2 og K20 et logisk "0"-niveau. Ved den næste 10 taktimpuls, der modtages via taktledningen TLG1 henholdsvis TLG2, overtager D-indgangen på flipflopperne K2 henholdsvis K20 den logiske værdi "0", som afgives af den tilhørende Q-udgang. Det kan erkendes, at de to D-flipflopper K2 og K20 ved korrekt taktfor-15 syning til stadighed skifter frem og tilbage mellem de to mulige kobletilstande på taktstyret måde. Herved modtager forstærkerne VI og V2 dynamiske antivalen-te signaler, altså firkantspændinger, som er nødvendige til drift af modtaktforstærkeren. Herved er der på ud-20 gangsledningerne L3 og L4 den spænding til rådighed, som er nødvendig for tilkobling af et ikke vist relæ ifølge det binære "l"-signal, der optræder på dataledningerne DLl og DL2.

Såsnart der på de to dataledninger DLl og DL2 25 optræder et binært "0"-signal i stedet for et binært "l"-signal, tilbagestilles de to D-flipflopper K2 og K20 ved hjælp af de tilknyttede D-flipflopper henholdsvis Kl og KlO og forbliver i denne statiske kobletilstand. Herved er modtaktforstærkeren VI og V2 30 uvirksom, således at spændingen på ledningerne L3 og L4 forsvinder. På grund af de statiske antivalente signaler, der i denne situation stadig er til rådighed ved antivalens-overvågningsenheden AD, er denne ligesom før åben for testimpulserne TS, således at takt-35 strømforsyningen TG stadigvæk afgiver signaler.

Opfindelsen kan varieres på mange måder i forhold til det beskrevne udførelseseksempel.

I stedet for D-flipflopperne Kl, K2, KlO og

Claims (4)

142474 ίο K20 kan der anvendes andre kiptrin, som udøver den samme funktion. Grundindstillingssignalet GLl henholdsvis GL2 kan i form af et binært "l"-signal også tilføres hver 5 af flipflopperne Kl og KlO's set-indgange S. I dette tilfælde bortfalder tilslutningerne til flip-flopperne Kl og KlO's reset-indgange R, samtidig med at Q-udgangene nu benyttes i stedet for udgangene Q.

10 Endvidere kan udførelseseksemplet på fordelagtig måde også drives med kun én forstærker VI eller V2. I dette tilfælde bortfalder den ene primærvikling henholdsvis Ul eller U2 i udgangstransformeren U. Ved en anden udførelsesform er forstærkerne VI 15 og V2 ikke forbundet galvanisk med hver sin flipflop henholdsvis K2 og K20, men kun forbundet til den ene eller den anden flipflop henholdsvis K2 eller K20 over en transformer.

20 PATENTKRAV

1. Sikkerheds-udgangskredsløb til et binærsignaler afgivende databehandlingsanlæg under anvendelse af en forstærker med en udgangstransformer, hvis sekundærvikling via et ensretterkredsløb forsyner en forbruger med 25 fail-safe-signaler, kendetegnet ved, at et par dataledninger (DLl, DL2), der fører ensartede binærsignaler hidrørende fra to af en fælles taktstrømforsyning (TG) taktsynkront styrede mikrodatamater (MR1, MR2), er forbundet til hvert sit som afgivekompo-30 nent tjenende kiptrin i et første sæt af kiptrin (Kl, K10), hvis udgange (Q eller Q) er forbundet til reset-indgange (R) på kiptrin i et andet sæt af kiptrin (K2, K20), hvorhos det andet sæt af kiptrin (K2, K20) forsynes med synkrone taktimpulser fra taktstrømforsynin-35 gen (TG), og indgange (R eller S) i det første sæt af kiptrin (Kl, K10) er forbundet med en udgang i taktstrømforsyningen (TG), som afgiver et grundindstillingssignal (GLl, GL2), og hvor en ved hjælp af testimpulser