ITTO941086A1

ITTO941086A1 - Alimentatore elettrico di sicurezza per sistemi di controllo di macchi ne operatrici.

Info

Publication number: ITTO941086A1
Application number: IT94TO001086A
Authority: IT
Inventors: Silvano Ferro
Original assignee: Reer Spa
Priority date: 1994-12-29
Filing date: 1994-12-29
Publication date: 1996-06-29
Also published as: IT1268206B1; ITTO941086A0; EP0721081A1; US5644256A

Abstract

Un comparatore di segnali a sicurezza intrinseca è pilotato da due o più segnali d'ingresso provenienti da un sistema di controllo ed è atto a generare un segnale d'uscita alternato quando i suoi segnali di ingresso sono identici e a interrompere il segnale d'uscita quando i segnali d'ingresso deviano dall'identità, o quando uno dei componenti circuitali del comparatore si guasta, o quando la sua alimentazione continua si interrompe. Un amplificatore pilotato dal comparatore pilota a sua volta un trasformatore di separazione a cui è collegato un raddrizzatore/regolatore di tensione che alimenta il sistema di controllo. Preferibilmente un oscillatore, la cui uscita è collegata all'ingresso di detto amplificatore in comune coll'uscita del comparatore, è alimentato da un impulso di tensione generato da un circuito monostabile attivabile momentaneamente all'avviamento del sistema.

Description

DESCRIZIONE dell'Invenzione Industriale avente per titolo:

"Alimentatore elettrico di sicurezza per sistemi di controllo di macchine operatrici"

DESCRIZIONE

La presente invenzione ha per oggetto un alimentatore elettrico di sicurezza per sistemi di controllo di macchine operatrici e simili.

In molti settori di attività industriale esistono macchine o impianti in cui possono nascere condizioni di pericolo qualora sorga un guasto o disfunzione nei loro sistemi o circuiti di controllo. Esempi di tali situazioni sono per esempio le barriere fotoelettroniche di protezione di presse o simili, i sistemi di regolazione di turbine o di impianti nucleari, i sistemi dosatori di impianti chimici, ecc. In tutti questi casi si adottano sofisticati circuiti di controllo incorporanti accorgimenti quali Tautodiagnosi e la ridondanza dei circuiti, in particolare la loro duplicazione, allo scopo di evitare che un guasto del sistema di controllo possa causare conseguenze catastrofiche.

In molti casi i segnali di monitoraggio delle condizioni dell'apparato da controllare vengono elaborati in un circuito di controllo comprendente due canali sostanzialmente simili, spesso costituiti da rispettivi microprocessori che controllano in associazione vari attuatoli periferici, quali relè, valvole, luci di segnalazione, ecc. Detti canali inoltre sono realizzati in modo da generare ciascuno indipendentemente rispettivi segnali di monitoraggio che devono essere sempre identici, e in cui quindi ogni deviazione dall'identità è indice di una disfunzione interna che rende il circuito di controllo inaffidabile per l'ulteriore governo della macchina. Pertanto, una volta accertata la disfunzione, lo stesso circuito di controllo deve essere disattivato e la macchina deve essere fermata.

Per realizzare la disattivazione del circuito di controllo è noto di incorporare nell'alimentatore stesso del circuito un dispositivo, detto "watchdog", che riceve detti segnali di monitoraggio e li confronta continuamente, spegnendo l'alimentatore in caso di disuguaglianza dei segnali di monitoraggio, per disattivare con sicurezza il sistema di controllo. Come "watchdog" è stato proposto per esempio un multivibratore monostabile che deve essere continuamente retriggerato per mantenere attiva l'alimentazione. In questo modo la mancata retriggerazione del monostabile fa cadere immediatamente l'alimentazione al circuito di controllo, con conseguente caduta di relè e attuatori da esso controllati.

Tuttavia il sistema non risulta protetto da guasti che sorgano nel dispositivo "watchdog" stesso, per esemplo da un cortocircuito che porti,il "watchdog" a dare un'uscita costantemente alta

Scopo principale dell'invenzione è quindi di realizzare un alimentatore controllato da due o più segnali d'ingresso che abbia caratteristiche di sicurezza intrinseca, cioè che assicuri lo spegnimento dell'alimentatore non solo in caso di disuguaglianza dei suoi segnali d'ingresso, ma anche in caso di qualunque guasto interno proprio.

L'invenzione raggiunge il suddetto e altri scopi e vantaggi, quali risulteranno evidenti nel seguito, con un alimentatore controllato a sicurezza intrinseca per sistemi di controllo di macchine, caratterizzato dal fatto di comprendere:

un comparatore di segnali a sicurezza intrinseca pilotato da due o più segnali d'ingresso e atto a generare un segnale d'uscita alternato a frequenza prestabilita quando i suoi segnali d'ingresso sono identici e a interrompere detto segnale d'uscita quando detti segnali d'ingresso deviano dall'identità, o quando uno dei componenti circuitali del comparatore si guasta, o quando la sua alimentazione continua si interrompe;

un amplificatore pilotato da detto segnale d'uscita alternato. e pilotante a sua volta un trasformatore di separazione a cui è collegato un dispositivo raddrizzatore/regolatore di tensione per l'alimentazione di detti sistemi di controllo.

Si descriverà ora una realizzazione preferita dell'invenzione, data a titolo d'esempio non restrittivo, con riferimento ai disegni allegati, in cui:

la Fig. 1 è uno schema circuitale, parzialmente a blocchi, di un sistema di controllo di una barriera fotoelettronica, comprendente un alimentatore secondo una realizzazione preferita dell'invenzione;

la Fig. 2 è uno schema circuitale di un comparatore di sicurezza facente parte del sistema della Fig. 1;

la Fig. 3 è una raccolta di forme d'onda che compaiono nel funzionamento dei circuiti della Fig. 1.

Con riferimento alla Fig. 1, un comparatore COMP di segnali analogici a sicurezza intrinseca, descritto ulteriormente nel seguito, presenta due ingressi A e B per l'applicazione di due segnali prestabiliti, e un'uscita C collegata all'ingresso di un amplificatore AMP. L'amplificatore AMP alimenta, attraverso un trasformatore di separazione TR, un circuito raddrizzatore/regolatore convenzionale REG , atto a raddrizzare la tensione alternata ricevuta dal trasformatore TR e a regolarla per fornire una tensione d'alimentazione continua, per esempio a 5 V, a uh sistema di controllo elettronico comprendente tra l'altro due microprocessori μΡ1, μΡ2, ciascuno dei quali elabora segnali digitali di varia natura provenienti su linee multiple 11, 12 da fotosensori FS e dai loro circuiti di scansione FC , ed eventualmente da altri circuiti accessori non illustrati. I due microprocessori μΡ1, μΡ2 eseguono cicli di elaborazione simili, in modo per sé noto, e producono rispettivi segnali di abilitazione o di comando su linee d'uscita multiple Ul, U2, destinate a comandare attuatori, valvole, relè, luci spia, ecc. (non illustrati), sempre in modo noto.

Il comparatore analogico a sicurezza intrinseca COMP è preferibilmente del tipo descritto nella Domanda di Brevetto per Modello d'Utilità anteriore No. T092U000284, depositata il 3 die 1992, dal titolo "Dispositivo comparatore di segnali analogici a sicurezza intrinseca, particolarmente per barriere fotoelettroniche". Come illustrato nella Fig. 2, esso comprende due transistori bipolari identici T1 e T2, i cui emettitori, tramite rispettivi resistori R1 e R2 pure identici, sono collegati a uh resistere comune R3 che fa capo alla massa. Il collettore del transistore T1 fa capo a una tensione d'alimentazione positiva Va tramite un risonatore costituito da un induttore L1 e da un condensatore C1 in parallelo, menmtre il collettore del transistore T2 è collegato direttamente all'alimentazione. Inoltre il collettore del transistore T1 è accoppiato in reazione positiva alla base del transistore T2 attraverso un condensatore C2.

I segnali analogici da confrontare nel comparatore sono applicati a ingressi A e B , dai quali i segnalisono trasferiti alle basi dei due transistori T1 e T2 tramite reti resistive di adattamento R1I, R12, R13, R14 e rispettivamente R21, R22', R23, R24. Infine, un condensatore C3 è collegato fra la massa e la base del transistore T1, formando un filtro passa-basso col resistere R14. Il segnale d'uscita del comparatore è prelevato dal collettore del transistore T1 attraverso un filtro passa alto comprendente un condensatore C4 e un resistere R4.

In presenza di segnali identici sugli ingressi A e B del comparatore sopra descritto, i due transistori T1 e T2 vengono polarizzati in un identico stato di conduzione, e il circuito, grazie al risonatore LI, CI e alla reazione capacitiva C2, entra in oscillazione, e la frequenza generata compare sul terminale U come segnale d'uscita. Secondo l'invenzione, la frequenza generata è scelta preferibilmente pari a 50 kHz.

Si può vedere che l'oscillazione del circuito sopra descritto si mantiene al variare dei segnali d'ingresso, purché essi rimangano uguali. Si può vedere anche che le condizioni per l'oscillazione vengono a mancare se uno dei segnali d'ingresso scompare o comunque si riduce d'ampiezza in misura maggiore di una tolleranza prefissata rispetto all'altro, perché toglie la polarizzazione al suo transistore associato. Si può vedere infine che qualunque guasto o alterazione di qualsiasi componente del circuito causa pur esso l'immediato arresto dell'oscillazione. Per un'analisi più dettagliata del funzionamento del circuito nelle varie situazioni si fa riferimento alla suddetta domanda di brevetto anteriore della Richiedente.

Tornando ora alla Fig. 1, ciascuno dei microprocessori μΡ1, μΡ2 genera, tra l’altro, un rispettivo segnale o forma d'onda quadra V1 su un piedino d'uscita M1 e rispettivamente V2 su un piedino M2, mediante commutazione del piedino da 0 a 5 V e viceversa, effettuata in punti,cruciali del ciclo di programma. Il microprocessore μΡ2 esegue tali commutazioni in punti del ciclo identici a quelli del microprocessore μΡ1, ma con con andamento invertito, in modo che il segnale V2 (Fig. 3) generato sul piedino M2 sia negato rispetto al segnale V1 sul piedino M1. 1 due segnali V1 e V2 sono applicati ai due ingressi A e B del comparatore COMP, il primo direttamente, il secondo attraverso un inversore INV che lo nega, rendendolo identico al primo.

Qualunque guasto o disfunzione interna di uno dei microprocessori μΡ1 o μΡ2, sia esso nell'hardware o nel software, causerà variazioni nel ciclo di programma, che si rifletteranno in alterazioni nella commutazione del piedino d'uscita M1 o M2, rendendo diverse le forme d'onda V1 e V2. Non appena tale alterazione di un segnale rispetto all'altro si presenta agli ingressi del comparatore COMP, il comparatore rileva la discordanza e cessa di oscillare, togliendo l'energia d'alimentazione al raddrizzatore/ regolatore , e interrompendo quindi l'alimentazione elettrica ai microprocessori. Si noti che eventuali tensioni continue che rimangano presenti sul terminale C vengono sbarrate in definitiva dal trasformatore di separazione TR.

Sempre con riferimento alla Fig. 1, l'alimentatore di sicurezza secondo l'invenzione comprende ancora un oscillatore ausiliario OSC, la cui uscita è collegata all'ingresso dell'amplificatore AMP in comune con l'uscita del comparatore COMP. L'oscillatore OSC riceve la propria alimentazione da un circuito monostabile comprendente un condensatore C5 avente un’armatura collegata al nodo fra due diodi D1, D2 collegati il primo a massa e il secondo al piedino d'alimentazione di detto oscillatore, e l'armatura opposta collegata al collettore di un transistore T3. Il transistore T3 ha l'emettitore a massa, e il collettore collegato a una tensione negativa, per esempio -15 V, attraverso un resistere R7. La base del transistore T3 è collegata, tramite un resistere R8, a un gruppo a resistenza R9 e capacità C6 collegato fra detta tensione negativa e la massa.

La tensione negativa a -15 V è preferibilmente una delle due polarità, 15 V e -15 V, prodotte da un alimentatore generale ALIM dell'intero sistema di controllo, alimentato a sua volta dalla tensione di rete.

Quando l'alimentatore generale ALIM entra in funzione, a seguito della chiusura di un interruttore (non illustrato) di collegamento alla rete elettrica, il transistore T3 è inizialmente interdetto, perché il condensatore C6 assicura il mantenimento di una tensione sostanzialmente nulla sulla base del transistore. Simultaneamente, la tensione negativa -15 V viene applicata, tramite il resistere R7, all'armatura sinistra del condensatore C5, la cui armatura destra fa capo al potenziale di massa attraverso il diodo D1. Si accumula quindi una carica elettrica negativa sull'armatura sinistra, e una carica positiva sull'armatura destra. Il condensatore C6 progressivamente si carica, e il suo nodo col resistere R9 sale di tensione fino a raggiungere un valore tale da abilitare il transistore T3. L'armatura sinistra del condensatore C5 viene allora portata sostanzialmente a massa, e l'armatura destra è forzata a salire di tensione in senso positivo, senza poter essere ostacolata dall'elevato valore della resistenza inversa del diodo D1. La tensione positiva così sviluppata viene quindi applicata all'oscillatore OSC attraverso il diodo D2, che lavora in senso diretto e presenta quindi bassa resistenza. L'oscillatore OSC, cosi alimentato, entra in oscillazione e genera una tensione a frequenza di 50 kHz, che viene amplificata dall'amplificatore AMP a un livello di potenza adeguato e trasferita al raddrizzatore/regolatore REG, per essere convertita in tensione continua di 5 V per l’alimentazione dei microprocessori μΡ1, μΡ2 e/o di altri circuiti o dispositivi desiderati. Si noti che in questa prima fase l'uscita del comparatore COMP è nulla, perché i microprocessori μΡ1, μΡ2 non forniscono ancora alcun segnale di monitoraggio VA, VB, e l'ingresso A del comparatore è quindi nullo, mentre l'ingresso B è alto. Grazie al funzionamento dell'oscillatore OSC, i microprocessori vengono ora alimentati, e cominciano a eseguire i propri cicli di elaborazione.

Quando l'oscillatore OSC ha consumato tutta la carica immagazzinata sul condensatore C5, ovvero quando la tensione fornita dal condensatore non è più sufficiente a farlo funzionare, l'oscillatore si spegne, ma nel frattempo il comparatore COMP comincia a ricevere i segnali di monitoraggio VA, VB dai microprocessori μΡ1, μΡ2, e si sostituisce quindi all'oscillatore OSC per fornire all'amplificatore AMP l'energia di alimentazione dei microprocessori stessi.

Si può vedere che qualunque guasto del circuiti dell'alimentatore secondo l’invenzione, sia nei loro componenti interni, sia nell'alimentazione degli stessi, non può che dar luogo all'interruzione dell'alimentazione ai microprocessori. Si è già visto come qualunque guasto del comparatore COMP porti alla cessazione della sua oscillazione e quindi alla cessazione del segnale applicato all'amplificatore AMP. Qualora si verificasse un guasto nel comparatore o nell'amplificatore, tale da dar luogo alla presenza di una tensione continua all'uscita dell'amplificatore, il trasformatore TR impedisce che essa pervenga al raddrizzatore/ regolatore REG.

L'oscillatore OSC, progettato in modo da funzionare con alimentazione positiva, è alimentato momentaneamente da un circuito che, come si è visto, utilizza esclusivamente una tensione d'alimentazione negativa, e pertanto qualunque suo guasto potrà tutt'al più far pervenire all'oscillatore una tensione negativa, che non è in grado di farlo funzionare.

In conclusione, il circuito "watchdog" secondo l'invenzione, comprendente il circuito monostabile C5-C6-D1-D2-T3-R7-R8-R9, il comparatore COMP, l'oscillatore ausiliario OSC, l'amplificatore AMP, il trasformatore di separazione TR e il raddrizzatore/regolatore REG, assicura, sia nella fase d'accensione, sia nel funzionamento a regime dell'impianto, che non solo un'anomalia di funzionamento della barriera o dei circuiti di controllo, ma anche qualunque disfunzione del "watchdog" stesso, diano luogo inevitabilmente alla disattivazione dei circuiti di controllo.

Naturalmente l'alimentatore di sicurezza descritto può essere applicato non solo a una barriera fotoelettronica, come indicato a titolo d'esempio, ma a qualunque sistema di controllo in cui, secondo un criterio ben noto, si fa affidamento alla ridondanza o duplicazione di circuiti per produrre due segnali di monitoraggio che devono essere normalmente identici, e la cui discordanza sia quindi indicazione d'allarme. Anche i microprocessori sono stati indicati a titolo d'esempio, in quanto i segnali di monitoraggio possono essere anche di altra origine.

La realizzazione preferita descritta e illustrata è poi suscettibile di modifiche e varianti. Per esempio, la frequenza di 50 kHz, scelta per essere facilmente diseriminabile dalle frequenze di 100-120 Hz per lo più presenti nelle alimentazioni, può variare entro ampi limiti. Il circuito monostabile per l'alimentazione momentanea all'oscillatore ausiliario OSC potrebbe essere sostituito da un condensatore collegato a qualunque circuito che sia in grado di scaricare il condensatore commutandolo rispetto a massa, o in generale da qualunque altro dispositivo atto a fornire in modo sicuro un'alimentazione limitata nel tempo. Addirittura, lo stesso oscillatore OSC e il circuito monostabile associato, descritti come soluzione preferita per l'avviamento del sistema, potrebbero essere sostituiti da altre soluzioni, come l'applicazione momentanea di due segnali identici agli ingressi del comparatore COMP, per esempio due impulsi generati da un circuito monostabile simile a quello descritto, senza necessità di oscillatore ausiliario. In altre parole, IL concetto essenziale dell'invenzione è da vedersi nell'impiego di un comparatore a sicurezza intrinseca come generatore per alimentare la logica stessa che genera i segnali di monitoraggio, ovvero di mantenimento dell'alimentazione.

Claims

RIVENDICAZIONI 1. Alimentatore controllato a sicurezza intrinseca per sistemi di controllo di macchine, caratterizzato dal fatto di comprendere: un comparatore di segnali a sicurezza intrinseca pilotato da due o più segnali d'ingresso e atto a generare un segnale d'uscita alternato a frequenza prestabilita quando i suoi segnali d'ingresso sono identici e a interrompere detto segnale d'uscita quando detti segnali d'ingresso deviano dall'identità, o quando uno dei componenti circuitali del comparatore si guasta, o quando la sua alimentazione continua si interrompe; un amplificatore pilotato da detto segnale d'uscita alternato, e pilotante a sua volta un trasformatore di separazione a cui è collegato un dispositivo raddrizzatore/regolatore di tensione per l'alimentazione di detti sistemi di controllo.
2. Alimentatore secondo la rivendicazione 1, caratterizzato dal fatto che detto comparatore a sicurezza intrinseca è un comparatore secondo la Domanda di Brevetto per Modello d'utilità anteriore No. T092U000284, depositata il 3 die 1992, dal titolo "Dispositivo comparatore di segnali analogici a sicurezza intrinseca, particolarmente per barriere fotoelettroniche".
3. Alimentatore secondo la rivendicazione I o 2, caratterizzato dal fatto che la frequenza di detto segnale d'uscita alternato del comparatore a sicurezza intrinseca è di almeno 10 kHz.
4. Alimentatore secondo la rivendicazione 3, caratterizzato dal fatto che la frequenza di detto segnale d'uscita alternato del comparatore a sicurezza intrinseca è di circa 50 kHz.
5. Alimentatore secondo una delle rivendicazioni 1-4, caratterizzato dal fatto che comprende inoltre un oscillatore di frequenza sostanzialmente pari a quella del segnale d'uscita del comparatore, alimentato da un impulso di tensione generato da un circuito monostabile attivabile momentaneamente all'avviamento dell'alimentatore, e dal fatto che l'uscita dell'oscillatore è collegata all'ingresso di detto amplificatore in comune coll'uscita di detto comparatore di sicurezza.
6. Alimentatore secondo la rivendicazione 5, caratterizzato dal fatto che detto circuito monostabile comprende un condensatore con mezzi di carica alimentati da una sorgente di tensione di segno opposto a quello della tensione d'alimentazione richiesta per il funzionamento di detto oscillatore, e con mezzi di commutazione ritardati, per mettere a massa l'armatura caricata del condensatore collegando l'armatura opposta a detto oscillatore.
7. Alimentatore secondo la rivendicazione 6, caratterizzato dal fatto che detto condensatore ha un'armatura collegata al nodo fra due diodi collegati rispettivamente a massa e a detto oscillatore, e l'armatura opposta collegata in comune sia a una sorgente di tensione continua di segno opposto a quello della tensione d'alimentazione richiesta per detto oscillatore, sia a un interruttore verso massa, normalmente aperto, e atto a chiudersi con ritardo rispetto all'applicazione di tensione a detto condensatore.
8. Alimentatore secondo la rivendicazione 7, caratterizzato dal fatto che detto interruttore è un dispositivo elettronico avente un'armatura di comando collegato a detta sorgente di tensione opposta a quella di alimentazione dell'oscillatore tramite mezzi ritardatori a resistenza e capacità.