PL191990B1 - Urządzenie do weryfikacji komunikatów numerycznych, stosowane przede wszystkim w systemach do regulacji ruchu kolejowego - Google Patents

Abstract

1. Urzadzenie do weryfikacji komunikatów numerycznych, w którym kontroluje sie calkowi- ta identycznosc i stan dynamiczny dwóch sy- gnalów numerycznych wysylanych dwoma rów- noleglymi kanalami przetwarzania, przed opra- cowaniem, za pomoca wzmacniacza wyjscio- wego dwustanowego sygnalu bezpieczenstwa, zapewniajacego funkcjonowanie bloku wyko- nawczego, znamienne tym, ze zawiera ponad- to diodowy mostek Wheatstone'a (1), którego alternatywne wejscia (2 i 3) sa zasilane, odpo- wiednio, przez dwa komunikaty (A, B), wstepnie odwrócone jeden wzgledem drugiego, oraz którego ciagla przekatna zawiera oscylator (4), na którego wyjsciu (s) jest wytwarzany sygnal kontroli identycznosci komunikatów (A, B), przy czym ten sygnal steruje wzmacniaczem wyj- sciowym (6) za posrednictwem statycznego przekaznika (5). PL PL PL PL PL

Description

Opis wynalazku

Przedmiotem niniejszego wynalazku jest urządzenie do weryfikacji komunikatów numerycznych takie, w którym kontroluje się pełną tożsamość i stan dynamiczny dwóch komunikatów numerycznych wysłanych równolegle dwoma kanałami przetwarzania, przed opracowaniem za pomocą wzmacniacza wyjściowego, dwustronnego analogowego przeznaczonego do zapewnienia działania bloku wykonawczego.

We wszystkich systemach eksploatacyjnych, w przypadku awarii choćby nawet były one jedynie hipotetyczne, które mogą zagrażać bezpieczeństwu uzależnionych od nich osób, istnieje konieczność takiego zorganizowania systemu, który zagwarantuje, niezależnie od awarii i problemów, brak możliwości powstawania sytuacji niebezpiecznych, na które narażone byłyby osoby uzależnione od wspomnianego systemu.

W tym celu, przewidziane są odpowiednie systemy automatyczne zorganizowane w taki sposób, że dowolna awaria sprawia ustawienie systemu w stanie restrykcyjnym (na przykład zwolnienie aż do zatrzymania pojazdu), lub w stanie całkowitego bezpieczeństwa (na przykład odcięcie energii).

Jeśli w koncepcji samoistnego (wbudowanego) bezpieczeństwa („fail-safe”) powszechnie stosowanej w dziedzinie transportu kolejowego stosuje się tylko jeden kanał przetwarzania, nie można uzyskać pełnego zautomatyzowania na podstawie przetwarzania numerycznego, które może w tym przypadku zapewnić zwiększone, lecz nie całkowite bezpieczeństwo.

Tymczasem, moc obliczeniowa i zdolności przetwarzania systemów numerycznych są takie, że rozwiązanie o zwiększonym bezpieczeństwie jest coraz częściej wybierane, chociaż wymaga to zastosowania dwóch kanałów równoległego przetwarzania, z których wymaga się dokładnie identycznych wyników.

W tym celu, wykorzystuje się układ o samoistnych zabezpieczeniach, który składa się z układu decyzyjnego lub weryfikacyjnego, oraz który zapewnia funkcję iloczynu logicznego wyników z dwóch kanałów przetwarzania numerycznego. Po ocenie całkowitej identyczności i stanu dynamicznego dwóch komunikatów binarnych wysyłanych przez kanały przetwarzania numerycznego, wspomniany układ weryfikujący decyduje o emisji, lub jej braku, rozkazów dwustanowych w stronę jednego lub wielu bloków wykonawczych.

Należy zauważyć, że te komunikaty mają charakter rekurencyjny. Mówiąc inaczej, każdy z nich jest utworzony z sekwencji jednego lub wielu bajtów emitowanych szeregowo w sposób ciągły, bit po bicie. Ponadto, oprogramowanie kanału przetwarzania numerycznego jest tak zorganizowane, że komunikaty nie zawierają nigdy więcej niż kilka kolejnych bitów, na przykład trzech, o tej samej wartości binarnej, co pozwala na kontrolę ich stanu dynamicznego. Tak więc, w przypadku stwierdzenia „utrwalenia stanu”, jednoczesnego lub nie, komunikatów emitowanych dwoma kanałami przetwarzania, system powinien z założenia automatycznie przejść do stanu zabezpieczenia.

W bieżącym stanie techniki, pierwsza z dwóch funkcji weryfikacyjnych, odpowiedzialna za kontrolę identyczności komunikatów, wymaga układu takiego jak pokazano na fig. 1, zawierającego, dla dwóch komunikatów X i Y, przynajmniej dwa inwertery uzupełniające, dwie bramki logiczne AND i jedną bramkę logiczną OR. Jeśli chodzi o funkcję kontroli stanu dynamicznego komunikatów, wymagany jest układ podobny do tego z fig. 2, który zawiera przynajmniej trzy bramki logiczne AND i dwa układy czasowe.

Jak widać takie układy są jako takie bardzo proste, lecz ponieważ mają być zrealizowane z wbudowanymi zabezpieczeniami, wymagają dodatkowo wielu składników o znacznym stopniu skomplikowania, co jest istotne z punktu widzenia dostępnej powierzchni obwodu drukowanego.

Głównym celem niniejszego wynalazku jest usunięcie tej niedogodności, a w związku z tym również opracowanie urządzenia do weryfikacji komunikatów numerycznych wspomnianego typu.

Urządzenie do weryfikacji komunikatów numerycznych według wynalazku, w którym kontroluje się całkowitą identyczność i stan dynamiczny dwóch sygnałów numerycznych wysyłanych dwoma równoległymi kanałami przetwarzania, przed opracowaniem, za pomocą wzmacniacza wyjściowego dwustanowego sygnału bezpieczeństwa, zapewniającego funkcjonowanie bloku wykonawczego, charakteryzuje się tym, że zawiera ponadto diodowy mostek Wheatstone¢a, którego alternatywne wejścia są zasilane, odpowiednio, przez dwa komunikaty, wstępnie odwrócone jeden względem drugiego, oraz którego ciągła przekątna zawiera oscylator, na którego wyjściu jest wytwarzany sygnał kontroli identyczności komunikatów, przy czym ten sygnał steruje wzmacniaczem wyjściowym za pośrednictwem statycznego przekaźnik.

PL 191 990B1

Urządzenie może ponadto zawierać dwa układy zaniku zasilane, odpowiednio, przez dwa komunikaty numeryczne i pracujące przy przejściach zmian stanów tych komunikatów, przy czym te układy zaniku dostarczają za pośrednictwem bramki typu OR napięcie niezbędne dla zasilania przekaźnika statycznego.

Urządzenie może również zawierać system ładujący zawierający dwa inne układy zaniku, z których jeden jest zasilany przez sygnał sterujący ładowaniem otrzymywany z kanałów przetwarzania numerycznego, a drugi jest zasilany sygnałem samopodtrzymywania wysyłanym przez wzmacniacz wyjściowy, przy czym te dwa układy zaniku dostarczają, za pośrednictwem bramki typu OR, napięcie zasilania niezbędne dla działania oscylatora.

Oscylator mostka Wheatstone¢a korzystnie jest wyposażony w układ podtrzymujący sygnał w przypadku spadku wartości sygnału.

Dwa pierwsze układy zaniku mogą być połączone z alternatywnymi wejściami mostka Wheatstone¢a.

Korzystnie dwa komunikaty numeryczne są podawane do mostka Wheatstone¢a za pośrednictwem optoizolatorów.

Pierwszy optoizolator może być włączony pomiędzy oscylatorem i przekaźnikiem statycznym, a drugi optoizolator pomiędzy przekaźnikiem statycznym i wzmacniaczem wyjściowym.

Sygnał sterujący ładowaniem korzystnie jest przykładany do odpowiedniego układu zaniku za pośrednictwem optoizolatora.

Korzystnie, zastosowano układ podtrzymujący sygnał w przypadku spadku wartości sygnału, pracujący przy pierwszym określonym napięciu zasilania oscylatora.

Również korzystnie, zastosowano drugi układ podtrzymujący sygnał w przypadku spadku wartości sygnału pracujący przy drugim określonym napięciu zasilania przekaźnika statycznego.

Oscylator może funkcjonować jedynie, jeśli dwie informacje numeryczne są całkowicie, bit po bicie, identyczne, lub mówiąc precyzyjniej -uzupełniają się, co zapewnia całkowite bezpieczeństwo.

Urządzenie według wynalazku zawiera ponadto dwa układy zaniku zasilane, odpowiednio, przez dwa komunikaty numeryczne i pracujące w momencie zmian stanu komunikatów, te układy wyzwalające dostarczają, za pośrednictwem bramki OR, napięcie niezbędne do zasilania statycznego przekaźnika. Tak więc, przekaźnik statyczny może sterować funkcjonowaniem wzmacniacza wyjściowego jedynie wówczas, gdy dwa komunikaty numeryczne w obu kanałach przetwarzania są identyczne i nie są „utrwalone”. Zapewniony jest więc wyjątkowo wygodny sposób połączenia dwóch sterowań: kontroli identyczności i kontroli stanu dynamicznego dwóch komunikatów. Należy zauważyć, że zgodnie z wynalazkiem, te dwie funkcje kontrolne mogą być realizowane na powierzchni obwodu drukowanego, która jest kilkaset razy mniejsza od powierzchni obwodów znanych ze stanu techniki, przy zapewnieniu wszelkich zabezpieczeń. Urządzenie według wynalazku zawiera również system przekaźnikowy posiadający dwa inne układy zaniku, z których jeden jest zasilany przez przekaźnikowy sygnał sterujący z kanałów przetwarzania numerycznego, a drugi przez sygnał samopodtrzymywania ze wzmacniacza wyjściowego, przy tym te dwa układy czasowe dostarczają, za pośrednictwem bramki OR, napięcie zasilania niezbędne do działania oscylatora. W rezultacie uzyskuje się strukturę piramidy, w której każdy stopień pobiera energię dla siebie ze stopnia poprzedniego, co wyklucza wszelkie przypadkowe zasilanie układów strategicznych przez sygnały pasożytnicze lub zasilanie sieci. Fakt, że oscylator mostka Wheatstone¢a jest wyposażony w układ podtrzymujący, pozwala na akceptację niewielkiego rozsynchronizowania dwóch komunikatów numerycznych.

Dzięki temu, że dwa pierwsze układy zaniku są połączone z alternatywnymi wejściami mostka Wheatstone¢a, istnieje dodatkowa kontrola poziomu sygnałów wejściowych.

Przykład realizacji wynalazku zostanie opisany z nawiązaniem do rysunku, na którym: fig. 1 przedstawia schemat klasycznego układu pozwalającego na realizację kontroli identyczności dwóch komunikatów numerycznych; fig. 2 - schemat klasycznego układu pozwalający na realizację kontroli stanu dynamicznego dwóch komunikatów; fig. 3 - uproszczony schemat układu według wynalazku, pozwalającego na realizację kontroli identyczności komunikatów; fig. 4 - uproszczony schemat mnemotechniczny układu według wynalazku pozwalającego na kontrolę stanu dynamicznego komunikatów; fig. 5 -schemat układu ilustrujący zasadę działania układu zaniku; fig. 6 -wykres przebiegów sygnałów wyjaśniający działanie układu pokazanego na fig. 4; fig. 7 - schemat całegoukładu do weryfikacji według niniejszego wynalazku; fig. 8 - wykresy przebiegów sygnałów wyjaśniające działanie układu.

Schemat z fig. 3 przedstawia układ według wynalazku pozwalający na kontrolę identyczności dwóch komunikatów numerycznych A i B z dwóch kanałów (nie pokazanych) przetwarzania równole4

PL 191 990B1 głego. Ten układ składa się zasadniczo z diodowego mostka Wheatstone¢a 1, którego alternatywne wejścia 2 i 3 są zasilane, odpowiednio, przez komunikat A i komunikat B wstępnie odwrócony za pomocą dowolnego układu negującego do postaci B. Na ciągłej przekątnej mostka Wheatstone¢a 1 podłączony jest oscylator 4, którego sygnał wyjściowy ssteruje, za pośrednictwem przekaźnika statycznego 5, wzmacniaczem wyjściowym 6.

Dzięki takiemu umieszczeniu, oscylator 4 może pracować, a w związku z tym emitować sygnał wyjściowy sdo statycznego przekaźnika 5, jedynie jeśli dwa komunikaty numeryczne A i B są dokładnie identyczne, albo mówiąc dokładniej, jeśli poziomy dwóch komunikatów A i B¢ są dokładnie przeciwstawne, bit po bicie. Przekaźnik statyczny 5 zapewnia działanie wzmacniacza 6, który emituje na swym wyjściu analogowy dwustanowy sygnał bezpieczeństwa Sdo jednego lub wielu bloków wykonawczych, nie pokazanych, którym na przykład może być, w przypadku systemu regulacji ruchu kolejowego, przekaźnik bezpieczeństwa, który steruje sygnalizacją świetlną.

Oscylator 4znanego typu jest z korzyścią typu numerycznego i stanowi go na przykład układ RC związany z grupą inwerterów. Ponadto, ten oscylator jest wyposażony wukład podtrzymujący na spadku q1 pozwalający na zablokowanie przejść w czasie zmiany wartości binarnej bitów stanowiących komunikaty A i B, co zapewnia radzenie sobie z niewielkim rozsynchronizowaniem lub makrosynchronizacją pomiędzy komunikatami. Zagwarantowana jest dyspozycyjność urządzenia w rozsądnych granicach, bez konieczności współpracy z zegarem synchronizującym dwa kanały przetwarzania.

Należy również zauważyć, że układ do kontroli identyczności może być zrealizowany na powierzchni układu drukowanego, który jest około 900 razy mniejszy, niż klasyczny układ z wbudowanymi zabezpieczeniami. Pozwala to na montaż wielu sterowników bloków wykonawczych na tej samej karcie układu drukowanego o znormalizowanym formacie.

Nawiązując do fig. 4, przedstawiono układ według wynalazku przeznaczony do kontroli stanu dynamicznego komunikatów A i B. Ten układ stanowi, zasadniczo dwa układy zaniku CP1 i CP2, zaprojektowane w postaci pomp diodowych, zasilanych odpowiednio przez dwa komunikaty numeryczne A i B lub A i B Z korzyścią, dwa układy wyzwalające są połączone bezpośrednio z alternatywnymi wejściami 2 i 3 mostka Wheatstone¢a 1, w związku z czym są zasilane przez komunikaty A i B, co zapewnia dodatkową kontrolę poziomu sygnałów wejściowych.

Układy wyzwalające CP1 i CP2 wykorzystują przejścia odpowiadające zmianie stanu komunikatów A i B i są połączone z bramką OU1 (typu OR) dostarczającą, na podstawie napięcia v2, napięcie v3 niezbędne do zasilania statycznego przekaźnika 5, jak to zostanie później szczegółowo opisane. Układ podtrzymujący na spadku q3 jest również przewidziany do pracy przy napięciu v3 i ma za zadanie regulację dopuszczalnego czasu braku stanu dynamicznego komunikatów numerycznych A i B, po którym następuje wyłączenie urządzenia weryfikującego i wysłanie informacji bezpieczeństwa S do bloków wykonawczych, za pośrednictwem przekaźnika statycznego 5 sterującego wzmacniaczem wyjściowym 6. Przekaźnik statyczny 5 zapewnia więc funkcję połączenia dwóch kontroli - kontroli identyczności i stanu dynamicznego komunikatów A i B, oraznie może sterować działaniem wzmacniacza wyjściowego 6, gdy te dwa komunikaty nie są jednocześnie identyczne (mówiąc dokładniej dopełniają się), oraz gdy są „utrwalone”.

Zasada działania układu wyzwalającego zostanie opisana z nawiązaniem do fig. 5 i 6. Na schemacie z fig. 5 znajduje się przede wszystkim przekaźnik RL sterowany przez komunikaty A lub B, oraz połączony z zaciskami napięcia v2. Należy zauważyć obecnie, że w rzeczywistości rola układu RL była realizowana przez statyczny inwerter, który zostanie później bardziej szczegółowo opisany. W punkcie środkowym przekaźnika RL dołączony jest kondensator C1, który jest połączony, przez przeciwstawne diody D1i D2, odpowiednio z potencjałami +v2 i +v3. Do zacisków napięcia v3 podłączony jest kondensator filtrujący C, równolegle do układu roboczego tworzonego przez przekaźnik statyczny 5.

Ujemne przejścia komunikatów A lub Bf pokazane na fig. 6 pojedynczą strzałką, „uzbrajają” układ zaniku,to znaczy ładują kondensator C1 przez diodę D1. W przypadku przejść dodatnich komunikatów A lub B, zaznaczonych na fig, 6 podwójnymi strzałkami, powodują one przejście minusa kondensatora C1do +v2 tak, że występuje przekazanie energii z C1do kondensatora filtrującego C za pośrednictwem diody D2. Napięcie v3 niezbędne do działania przekaźnika statycznego 5 stopniowo zwiększa się na zaciskach kondensatora filtrującego C, jak to pokazano na fig. 6.

Należy zauważyć, że odwrócenie B względem A daje tę dodatkową zaletę, że umożliwia przemienne ładowanie napięcia do v3 przez układy zaniku CP1 i CP2.

PL 191 990B1

Jak widać, układy zaniku CP1 i CP2 wytwarzają na podstawie napięcia v2, używanego jako źródło energii, napięcie v3, którego potencjał jest większy niż v2, ponieważ minus v3 jest połączony z plusem v2. Unika się wówczas ryzyka przypadkowego dostarczenia zasilania, w wyniku upływów lub innych procesów, do układu bezpieczeństwa przez którekolwiek z zasilań bezpieczeństwa, co jest typowym problemem znanych układów elektronicznych z wbudowanymi zabezpieczeniami. W tym przypadku, istnieje możliwość upływów przede wszystkim pomiędzy +v3 i -v2, lecz wówczas napięcie układu roboczego 5 jest odwrócone, a w związku z tym nie jest w stanie aktywnym. Istnieje ponadto druga możliwość upływu pomiędzy +v2 i +v3, lecz wówczas napięcie v3 na zaciskach układu roboczego 5 stawałoby się zerowe, a w związku z tym również nieaktywne. Ponadto, gdy energia v3 przechodzi od v2, wszelki transfer energii v3 do v2 jest całkowicie niemożliwy.

Kompletny układ urządzenia do weryfikacji według niniejszego wynalazku jest pokazany na fig. 7.

Jak widać na fig. 7, w układzie występują przede wszystkim mostek Wheatstone¢a 1, oscylator 4 z układem podtrzymującym na spadku q1, oraz przekaźnik statyczny 5 sterujący wzmacniaczem wyjściowym 6. Występują również dwa układy zaniku CP1 i CP2 związane z bramką OU1 i układ podtrzymujący na spadku q3 wstawiony pomiędzy poziomy N3 i N4 napięcia v3.

Dwa komunikaty numeryczne A i B są przykładane do alternatywnych wejść mostka Wheatstone¢a 1 za pośrednictwem optoizolatorów, odpowiednio PH1 i PH2, oraz statycznych inwerterów, odpowiednio INV1 i INV2, wstawionych pomiędzy poziomy N2 i N3 napięcia v2. Optoizolatory zapewniają izolację galwaniczną sygnałów, natomiast inwertery regenerują poziomy sygnałów. Te inwertery pracują w zasadzie jako dwustanowe wzmacniacze poziomu, N2 lub N3 zasilania stanowionego przez napięcie v2, w rytmie zmian stanów sygnału wejściowego. Spełniają one również rolę układu RL, pokazanego na fig. 5, dla układów wyzwalających.

Zgodnie z wynalazkiem, urządzenie weryfikujące jest również wyposażone w system do w pełni statycznego ładowania, złożony zasadniczo z dwóch innych układów zaniku CP3 i CP4, połączonych z bramką OU2 (typu OR), której wyjście jest połączone z poziomem N3 napięcia v2. Sygnał sterujący ładowaniem C, utworzony przez długi sygnał, zasila układ wyzwalający CP3 za pośrednictwem optoizolatora PH3 i statycznego inwertera INV3, włączonych pomiędzy poziomy N1i N2 napięcia v1, stanowionego na przykład przez napięcie zasilania sieci lokalnej równe 24V. Układ wyzwalający CP4 jest zasilany na podstawie sygnału samopodtrzymywania wysyłanego przez wzmacniacz wyjściowy 6, za pośrednictwem bramki ET (typu AND), na drugie wejście której podawany jest sygnał sterujący ładowaniem C. Można zauważyć, że wzmacniacz wyjściowy 6 posiada, oprócz wyjścia z sygnałem bezpieczeństwa S, trzecie izolowane wyjście nazywane wyjściem ponownegoodczytu, przeznaczone dla dwóch kanałów przetwarzania numerycznego.

Napięcie v2, niezbędne do działania układów zaniku CP1 i CP2, jest również wytwarzane przez układy zaniku CP3 i CP4 na podstawie napięcia v1sieci lokalnej. Przewidziany jest ponadto układ podtrzymujący na spadku q2 pod napięciem v2, mający za zadanie regulację czasu niezbędnego, by energia dostarczona przez CP4 dzięki sygnałowi samopodtrzymywania zapewniła uzyskanie energii początkowej dostarczanej przez CP3 dzięki sygnałowi sterującemu ładowaniem C.

Należy podkreślić, że w układzie zaniku CP3 dioda D1 z fig. 5 jest zastąpiona przez zwykły opornik, co pozwala na dobór wedle życzenia czasu wybranego do sterowania ładowaniem. W efekcie, całość długiego sygnału ładowania C ładuje kondensator C1z fig. 5, a nie jedynie przednie zbocze tego sygnału.

Należałoby również zauważyć, że bramki OU1 lub OU2 odpowiadają w praktyce zwykłemu równoległemu zastosowaniu katod diod D2 pokazanych na fig. 5.

Uzyskuje się więc strukturę urządzenia przypominającą piramidę o różnych zasilaniach, w której każdy stopień pobiera energię ze stopnia poprzedniego, co pozwala na uniknięcie przypadkowego zasilenia strategicznego układu. Tak więc, napięcie v2, zawarte pomiędzy poziomami N2 i N3, uzyskuje swą energię z napięcia v1zawartego pomiędzy poziomami N1i N2, które jest napięciem zasilania sieci, a dzieje się to za pośrednictwem układów zaniku CP3 i CP4 sumowanych w bramce OU2. Napięcie v3, istniejące pomiędzy poziomami N3 i N4, pobiera swą energię z napięcia v2 za pośrednictwem układów zaniku CP1 i CP2, sumowanych przez bramkę OU1. To napięcie v3 tworzy informację bezpieczeństwa używaną przez przekaźnik statyczny 5 jako kontrola „zasileniowa”, przy tym wspomniany przekaźnik statyczny łączy funkcję koniunkcji identyczności informacji sterujących i kontroli stanu dynamicznego dwóch komunikatów numerycznych A i B.

Należy ponadto zauważyć, że układ pokazany na fig. 7 zawiera również dwa inne optoizolatory PH4 i PH5, wstawione, odpowiednio, pomiędzy oscylator 4 i przekaźnik statyczny 5, oraz między

PL 191 990B1 przekaźnik statyczny i wzmacniacz wyjściowy 6. Te optoizolatory pełnią rolę izolacji elektrycznej, pomiędzy v2 i v3dla PH4 oraz pomiędzy v3 i v1dla PH5. Upływy wejście/wyjście na optoizolatorach nie mają żadnego znaczenia poza tym, że poziomy N3 i N4 zbliżają się do N2, w wyniku czego następuje stopniowy zanik v3, a następnie v2, co powoduje wysłanie sygnału bezpieczeństwa Sdo bloków wykonawczych.

Zostanie teraz opisany przykład funkcjonowania urządzenia do weryfikacji według niniejszego wynalazku, z nawiązaniem przede wszystkim wykresu przebiegów sygnałów z fig. 8, na którym znajdują się dwa komunikaty numeryczne A i BI sygnał sterujący ładowaniem C, energia ładowania układu zaniku CP3, sygnał s wysyłany z oscylatora 4, oraz sygnały wysyłane ze wzmacniacza 6, czyli sygnał bezpieczeństwa S, sygnał ponownego odczytu i sygnał samopodtrzymywania.

W czasie, gdy urządzenie do weryfikacji jest wstrzymane, to znaczy w stanie bezpieczeństwa, napięcia v2 i v3 są zerowe, tak że poziomy N3 i N4 są na potencjale N2.

Sposób inicjalizacji systemu wyposażonego w opisywane urządzenie może odbywać się w poniżej opisany sposób.

Mikroprocesory lub inne układy z dwoma kanałami przetwarzania numerycznego przeprowadzają w sposób ciągły analizę informacji przychodzących na ich wejścia, oraz przeprowadzają zaplanowane auto-testy. Odpowiednie numeryczne rezultaty stanowią stan porównywany pomiędzy dwoma kanałami przetwarzania za pomocą wymiany rezultatów przekodowanych w celu uniknięcia przypadkowego przesunięcia jednego z rezultatów względem drugiego. Jeśli wynikowe informacje dla każdego z kanałów przetwarzania są identyczne, wówczas podejmowana jest wspólna decyzja przez mikroprocesory do wystartowania urządzenia weryfikującego.

W tym celu, sygnał sterujący ładowaniem C jest emitowany przez czas niezbędny do naładowania kondensatora C1 układu zaniku CP3. Należy zauważyć, że sygnał sterujący ładowaniem wyzwala jednocześnie sygnał samopodtrzymywania zasilający układ zaniku CP4, za pośrednictwem bramki ET (typu AN)dla przypadku, w którym powstałby pasożytniczy impuls podczas, gdy urządzenie do weryfikacji znajdowałoby się w stanie pracy, to znaczy w stanie „1”.

Mikroprocesory dwóch kanałów przetwarzania są tak zaprojektowane, by zapewniać uzgodnienie początku emisji serii dwóch sygnałów numerycznych A i B z wyzwoleniem sygnału ładowania C, w chwili t1. W tym momencie, wyzwolenie sygnału C powoduje przejście wyjścia inwertera INV3 do potencjału N2, w wyniku czego energia CP3 zgromadzona w czasie ładowania jest transferowana do poziomu N3. Napięcie v2 jest więc wówczas odpowiednio ustalone w taki sposób, że oscylator 4 może rozpocząć pracę, w chwili t2, przy założeniu że dwa komunikaty A i B są obecne i w pełni dopełniają się.

Pierwsze zmiany stanów komunikatów A i B powodują stopniowe ustalanie się napięcia v3 obecnego między poziomami N3 i N4, za pośrednictwem układów zaniku CP1 iCP2 oraz bramki OU1, jak to pokazano na fig. 6. Przekaźnik statyczny 5 jest wówczas zasilany i może sterować działaniem wzmacniacza wyjściowego 6.

Po okresie t3-t1 odpowiadającym niezbędnemu opóźnieniu do ustanowienia napięcia v3, sygnał samopodtrzymywania pojawia się na wyjściu wzmacniacza 6, jak również sygnał ponownego odczytu przeznaczony do kanałów przetwarzania numerycznego i sygnał bezpieczeństwa S przeznaczony dla bloków wykonawczych, jak to pokazano na fig. 8. Należy zauważyć, że wszystkie te sygnały są dwustanowymi sygnałami zmiennymi.

Początkowa energia przenoszona przez układ zaniku CP3 nie jest już wówczas dalej potrzebna i jest przenoszona przez sygnał samopodtrzymywania, dzięki układowi zaniku CP4, który odpowiada za jego przekazywanie.

Jeśliw tym momencie sygnał samopodtrzymywania zostanie przerwany w okresie niezgodnym z q2 i q3, poziomy N3 i N4 obniżą się i zestaw urządzenia do weryfikacji wstrzyma pracę w sposób nieodwracalny, w wyniku wyzerowania napięć v2 i v3.

Urządzenie do weryfikacji komunikatów numerycznych, które zostało właśnie opisane, jest szczególnie dostosowane do systemów automatycznego pilotowania pociągów i do kontroli ich przemieszczania się, aczkolwiek może również zostać użyte w dowolnej dziedzinie przemysłu, w której trzeba dostarczać dwustanowy sygnał bezpieczeństwa na podstawie wykrytego sygnału wejściowego, na przykład w celu zatrzymania z przyczyn bezpieczeństwa odpowiedniego urządzenia lub procesu przemysłowego.

Należy podkreślić, że takie urządzenie może być zrealizowane z wykorzystaniem bardzo niewielkiej powierzchni układu drukowanego. Na przykład, w praktycznej realizacji wykorzystującej technikę układów hybrydowych można umieścić takie urządzenie na powierzchni nie przekraczającej 3 cm².

Claims (10)

1. Urządzenie do weryfikacji komunikatów numerycznych, w którym kontroluje się całkowitą identyczność i stan dynamiczny dwóch sygnałów numerycznych wysyłanych dwoma równoległymi kanałami przetwarzania, przed opracowaniem, za pomocą wzmacniacza wyjściowego dwustanowego sygnału bezpieczeństwa, zapewniającego funkcjonowanie bloku wykonawczego, znamienne tym, że zawiera ponadto diodowy mostek Wheatstone¢a (1), którego alternatywne wejścia (2 i 3) są zasilane, odpowiednio, przez dwa komunikaty (A, B), wstępnie odwrócone jeden względem drugiego, oraz którego ciągła przekątna zawiera oscylator (4), na którego wyjściu (s) jest wytwarzany sygnał kontroli identyczności komunikatów (A, B), przy czym ten sygnał steruje wzmacniaczem wyjściowym (6) za pośrednictwem statycznego przekaźnika (5).

2. Urządzenie według zastrz. 1, znamienne tym, że zawiera ponadto dwa układy zaniku (CP1, CP2) zasilane, odpowiednio, przez dwa komunikaty numeryczne (A, B) i pracujące przy przejściach zmian stanów tych komunikatów, przy czym te układy zaniku (CP1, CP2) dostarczają za pośrednictwem bramki typu OR (OU1) napięcie (v3) niezbędne dla zasilania przekaźnika statycznego (5).

3. Urządzenie według zastrz. 2, znamienne tym, że zawiera ponadto system ładujący zawierający dwa inne układy zaniku (CP3, CP4), z których jeden (CP3) jest zasilany przez sygnał sterujący ładowaniem (C) otrzymywany z kanałów przetwarzania numerycznego, a drugi (CP4) jest zasilany sygnałem samopodtrzymywania wysyłanym przez wzmacniacz wyjściowy (6), przy czym te dwa układy zaniku (CP3, CP4) dostarczają, za pośrednictwem bramki typu OR (OU2), napięcie zasilania (v2) niezbędne dla działania oscylatora (4).

4. Urządzenie według zastrz. 1 albo 2, albo 3, znamienne tym, że oscylator (4) mostka Wheatstone¢a (1) jest wyposażony w układ (q1) podtrzymujący sygnał w przypadku spadku wartości sygnału.

5. Urządzenie według zastrz. 2, znamienne tym, że dwa pierwsze układy zaniku (CP1, CP2) są połączone z alternatywnymi wejściami (2, 3) mostka Wheatstone¢a (1).

6. Urządzenie według zastrz. 2 albo 3, albo 5, znamienne tym, że dwa komunikaty numeryczne (A, B) są podawane do mostka Wheatstone¢a (1) za pośrednictwem optoizolatorów (PH1, PH2).

7. Urządzenie według zastrz. od 2 albo 3, albo 5, znamienne tym, że pierwszy optoizolator (PH4) jest włączony pomiędzy oscylatorem (4) i przekaźnikiem statycznym (5), a drugi optoizolator (PH5) jest włączony pomiędzy przekaźnikiem statycznym (5) i wzmacniaczem wyjściowym (6).

8. Urządzenie według zastrz. 3, znamienne tym, że sygnał sterujący ładowaniem (C) jest przykładany do odpowiedniego układu zaniku (CP3) za pośrednictwem optoizolatora (PH3).

9. Urządzenie według zastrz. 3 albo 8, znamienne tym, że jest zaopatrzone w układ (q2) podtrzymujący sygnał w przypadku spadku wartości sygnału, pracujący przy napięciu zasilania (v2) oscylatora (4).

10. Urządzenie według zastrz. 2, znamienne tym, że jest zaopatrzone w układ (q3) podtrzymujący sygnał w przypadku spadku wartości sygnału, pracujący przy napięciu zasilania (v3) przekaźnika statycznego (5).