三模冗餘安全計算機中輸出的安全關斷方法及裝置的製作方法
2023-09-22 23:20:20
專利名稱：三模冗餘安全計算機中輸出的安全關斷方法及裝置的製作方法
技術領域：
本發明涉及三模冗餘安全計算機中輸出的安全關斷方法，為安全計算機安全輸出的控制系統、特別是列車運行控制、核電站控制等領域，也涉及磁懸浮列車的運行控制。
背景技術：
三模冗餘系統(Triple Modular Redundancy(TMR)，也稱三取二)是目前安全計算機系統中最常用的一種容錯技術。三模冗餘是指三個功能相同的模塊同時執行相同的操作，用三個模塊的輸出做大數表決，把多數相同的輸出作為該三模冗餘系統的正確輸出。該系統基於「少數服從多數」的糾錯原理，通常也被稱為三取二系統。
圖a為三模冗餘(TMR)系統原理框圖。圖中的M1、M2、M3是三個功能相同的工作模塊，V是一個輸出表決器。
正常情況下，三個模塊輸出的結果應完全相同，V將最終輸出這個結果，作為TMR系統的正確輸出。異常情況下，如果某一模塊出錯，其輸出將不同於其它兩個模塊的輸出，依據「少數服從多數」原則，V仍將輸出正確結果。因此，可以寫出輸出表決器的邏輯表達式F＝M1M2+M2M3+M1M3，根據該表達式不難設計出該表決器的一種邏輯電路，如圖b所示。
從上述邏輯圖可看出，在三模冗餘系統中，當同時有兩個模塊出錯，並產生相同的錯誤狀態，表決器V的輸出就會出現錯誤輸出。一般情況下，三模冗餘系統中的每個單獨模塊的可靠性都很高，因此，三個模塊中有兩個模塊同時出現瞬時錯誤的概率會非常小。但是，必須考慮錯誤累積的情況即一個模塊出現錯誤，如果系統不做任何處理，過一段時間另一個模塊也出現錯誤，這時表決器V得到的表決輸出將會是錯誤的輸出，或系統不能正常工作。這說明，如果三模表決系統中，一個模塊出現故障後，其輸出如果還保持原來的值或其它值，不管其正確與否，都可能導致系統輸出不安全。在安全等級較高的系統中，系統故障下的錯誤輸出可能會導致危險的操作，造成嚴重的人員傷亡或財產損失。因此在安全系統的設計中，應儘可能保證系統在故障情況下導向安全輸出。
鑑於以上情況，本發明提出了一種三模冗餘安全計算機輸出的安全關斷方法，使安全計算機系統在故障情況下其輸出導向安全側。
發明內容
本發明的目的是針對安全計算機安全輸出問題，提出一種三模冗餘安全計算機中輸出的安全關斷方法及裝置，保證三模冗餘系統的表決輸出即使在模塊出現錯誤的情況下也不會導向危險側。該方法強制將模塊出錯時的輸出設置為事先指定的安全值，同時該強制電路本身也是安全的，即出現故障時不會使系統的輸出導向危險側。
為實現上述目的，本發明通過下述技術方案實現的。
一種三模冗餘安全計算機中輸出的安全關斷方法，包括以下步驟；選擇安全計算機輸出安全側步驟；設定安全關斷條件步驟；安全關斷條件信號進行判斷步驟；控制模塊輸出安全關斷電路步驟。
確定系統故障時輸出應處於的狀態。對於控制系統，輸出的安全側可設定為能量釋放後的狀態。該狀態關係到輸出安全關斷電路的關斷邏輯。
利用三模冗餘安全計算機輸出的安全關斷條件信號進行判斷，按照相應原則決定是否關斷輸出，並通過直接控制模塊輸出安全關斷電路的供電電源來實現安全關斷輸出。
三模冗餘安全計算機的每個模塊輸出3組安全關斷的條件信號，判斷是否安全關斷採用「自身認為出錯則必須關斷，或者其它兩模塊認為出錯則必須關斷」的原則。
三模冗餘安全計算機通過直接控制模塊輸出安全關斷電路的供電電源，來實現安全關斷輸出，並採用串並結構或並串結構，提高關斷電路的安全性和可靠性。
三模冗餘安全計算機輸出的動態信號到電平信號的轉換，通過數字邏輯的計數器電路實現。
三模冗餘安全計算機中輸出的安全關斷方法及裝置的安全輸出電路採用圖6～9所示的方法。
本發明的有益效果；應用本發明，可在安全計算機出現故障的情況下，使安全計算機的輸出導向安全側，從而提高安全計算機的可靠性和安全性，避免安全計算機故障可能帶來的生命和財產的損失。同時，本發明也有較廣的應用範圍，可推廣到其它多模冗餘安全計算機中，提高輸出的安全性。
圖1為三模冗餘安全計算機的安全關斷方法的原理圖；圖1a為三模冗餘(TMR)系統原理框圖；圖1b三取二表決邏輯圖；圖2為安全關斷電路供電電源控制原理圖；
圖3為多個輸出安全關斷條件電平信號的合成方法；圖4為數字的動態信號到電平信號的轉換電路；圖5為模擬的動態信號到電平信號的轉換電路；圖6為安全輸出邏輯電路一；圖7為安全輸出邏輯電路二；圖8為安全輸出邏輯電路三；圖9為安全輸出邏輯電路四。
具體實施例方式
下面結合附圖和具體實施方式
對本發明作進一步的說明。
實施例1；(1)選擇輸出的安全側首先要確定系統故障時輸出應處於的狀態。對於控制系統，輸出的安全側可設定為能量釋放後的狀態。在三模冗餘系統中，選定接地(邏輯「0」)為輸出安全側。這個選擇非常重要，它關係到輸出安全關斷電路的關斷邏輯。也就是說，後述的輸出安全關斷電路是建立在邏輯「0」為輸出安全側這一前提條件之上。
(2)輸出安全關斷的條件在三模冗餘安全計算機中，為三個模塊均設置3組輸出安全關斷的條件信號，其中1組表示該模塊對自身工作狀態的判斷，另2組分別表示本模塊對其它兩組模塊工作狀態的判斷。這樣，共得到9組輸出安全關斷條件信號，即模塊M1輸出3組輸出安全關斷條件信號GDAA、GDAN、GDAC；模塊M2輸出3組輸出安全關斷條件信號GDBB、GDBA、GDBC；模塊M3輸出3組輸出安全關斷條件信號GDCC、GDCA、GDCN。
對於每個模塊，利用上述3組輸出安全關斷條件信號控制其安全關斷電路的供電電源。當該模塊故障時或其它兩個模塊認為其發生故障時，將會斷開其安全關斷電路的供電電源，其輸出導向安全的「0」電平。這樣，可以避免當該模塊故障時其輸出還維持錯誤的狀態，從而帶來安全隱患。
控制模塊安全關斷電路供電電源的邏輯表達式為GDXX(GDXY+GDXZ)，式中X、Y、Z分別代表A、B、C。該表達式的含義為如果該模塊認為自身出現錯誤，則必須關斷輸出；或者如果其它兩個模塊都認為本模塊出現錯誤，則也必須關斷輸出。
(3)安全關斷電路供電電源的結構在控制每個模塊輸出安全關斷電路的供電電源時，採用繼電器(光電、機械)器件來實現對供電電源的安全關斷。該繼電器設備可以採用串聯或串並結合的結構，一般情況下，多採用串並結構或並串結構，這樣該安全關斷電路的安全性和可靠性都有保證。當然，也可採用簡單的串連結構，此時安全關斷電路的安全性指標不會下降，但可靠性指標會下降。
(4)輸出安全關斷條件信號的選擇上述的9組輸出安全關斷條件信號，可以選擇常見的電平信號(TTL、CMOS等)。考慮可靠性和安全性，每組輸出安全關斷條件信號至少包括2個電平信號，一般來說，需要考慮信號線的多少對系統複雜性的影響，所以選擇每組輸出安全關斷條件信號包括2個或3個電平信號。當採用多個電平信號時，需要考慮如何把多個電平信號合成為1個模塊輸出安全關斷電路供電電源控制信號。一般情況下，當採用2個電平信號時，多採用二取二的方式進行比較，即只有當兩路電平信號都指示系統工作正常時，模塊才能輸出安全關斷電路供電電源；當採用3個電平信號時，多採用三取二的方式進行表決，即當有多數電平信號指示系統工作正常，模塊才能輸出安全關斷電路供電電源。
另外，由於數字電路失效時，會導致電平信號發生固「0」或固「1」的錯誤，但具體是「0」還是「1」並不固定，出現概率大致相當。因此，不管用「0」或者「1」來表示安全計算機系統故障都可能帶來安全隱患。但由於數字電路失效絕大多數時保持某固定電平，因此可以使用動態信號來代替上述的電平信號(TTL、CMOS等)，作為安全計算機系統工作正常的標誌。這裡，動態信號是指高低電平交替翻轉的信號，能夠和數字電路失效帶來的輸出信號固「0」或固「1」錯誤相區分，因此動態信號本身是安全的。
當然，動態信號本身不能直接控制繼電器之類的元件，無法利用動態信號直接關斷安全關斷信號的供電電源。因此必須進行動態信號到電平信號的轉換。動態信號到電平信號的轉換可以採用傳統的模擬方法，也可以採用數字電路轉換方法。其中，利用數字電路進行轉換，可靈活設定溢出時間，具有更高的靈活性。
(5)安全輸出邏輯電路安全輸出邏輯可以採用多種方式實現，但必須保證模塊正常工作時，輸出安全關斷電路供電電源正常，模塊輸出正常邏輯。一旦該模塊工作不正常，輸出安全關斷電路供電電源斷開，其輸出一定導向安全側0電平(接地)。
實施例2；圖1示範性地表示了三模冗餘安全計算機的安全關斷方法的原理，各部分框圖將在後續詳細介紹具體實施方式
。
控制每個模塊輸出的安全關斷電路供電電源控制的原理如圖2(a)(b)所示，該圖示範性地表示了輸出供電電源的安全關斷邏輯。被關斷部分使用繼電器(光電、機械)。安全關斷邏輯可採用串並結構或並串結構，這樣，系統的安全性和可靠性都有保證。同時，安全關斷邏輯也可簡化成圖2(c)所示的電路，此時安全性指標不會下降，但可靠性指標會下降。
圖3表示了多個輸出安全關斷條件信號合成為一個輸出安全關斷電路供電電源控制信號的方法。當每組輸出安全關斷條件信號為2個電平信號時，可採用並聯方式(「或」邏輯)合成為1個模塊輸出安全關斷電路供電電源控制信號，即只要有一路條件信號有效，則輸出控制信號有效，如圖3(a)所示；當每組輸出安全關斷條件信號為3個電平信號時，可採用3取2表決方式合成為1個模塊輸出安全關斷電路供電電源控制信號，即只有當多數條件信號有效時，輸出控制信號才有效，如圖3(b)所示。
安全計算機最主要的特性即故障導向安全，因此安全計算機中給出的故障診斷信號是具有安全側的動態信號邏輯。圖5給出了動態信號轉換為電平信號的模擬電路實現方法。其中，動態信號是高低電平交替翻轉的信號。圖中，DTOUTA1為動態信號輸入端，TJA1為電平信號輸出端。
當安全計算機工作狀態為正常時，DTOUTA1為動態翻轉的信號。當DTOUTA1處於低電平這一半周時，三極體N7發射極電壓為0，三極體截止，因此TJ01端為高電平。此時三極體N1的發射極正偏，三極體N1導通，三極體P1的發射極電壓約為0，三極體P1截止。三極體N1導通和三極體P1截止會使電源通過N1、E4、D29這一迴路對電容E4進行充電，使電容E4蓄能。同時，如果電容E5之前處於蓄能狀態，則該電容E5會通過後級的負載釋放能量。
當DTOUTA1處於高電平這一半周時，三極體N7發射極正偏，三極體N7導通，因此TJ01端為低電平。根據前述，此時電容E4蓄能，TJ02為高電平，因此三極體N1的發射極反偏，三極體N1截止，三極體P1的發射極正偏，三極體P1導通。三極體N1截止和三極體P1導通會使電容E4通過P1、E5、D28這一迴路對電容E5進行充電，使電容E5蓄能，同時電容E4釋放能量。
綜上，當DTOUTA1為動態翻轉的信號時，電路處於電容E4和E5交替充放電的狀態，從而使TJA1保持負電壓。而如果安全計算機工作異常，即輸入信號為固定電平信號時，或者電路中某個元件異常(短路或斷路)時，都不能使電容E4和E5交替充放電，從而輸出電平固定為0電平。
動態信號到電平信號的轉換也可以採用數字邏輯的方法來實現，如圖4所示。首先利用一個計數器進行計數，然後利用一個上升沿和下降沿提取電路，將動態信號的每一個上升沿和下降沿都轉換為一個短的脈衝信號，並作為計數器的異步復位信號。另外，利用一個簡單的與或邏輯和鎖存器，使電路在計數到一定數值時輸出低電平，其餘輸出高電平。正常情況下，動態信號保持翻轉，上升沿和下降沿提取電路將上升沿或下降沿統一變換為一個短的脈衝信號，即統一變換為一個下降沿。該下降沿對計數器進行異步復位，這樣計數器每隔一段時間就會被復位，計數值始終不會超過設定的溢出時間。當安全計算機出現異常時，即動態信號停止翻轉，這時計數器的異步復位始終無效，計數器就會一直向上計數，一旦計數器數值達到事先指定的數值後，與或邏輯電路就會向鎖存器輸出鎖存信號，使鎖存器輸出低電平。這樣，在動態信號無效時，電路輸出導向安全側-零電平，從而使輸出安全關斷電路供電電源被斷開，達到故障導向安全的目的。當動態信號恢復正常時，會產生一個下降沿對鎖存器進行置位，這樣電路又繼續在正常狀態下工作了。
該電路可以靈活設置動態信號翻轉的門限數值，即可設置多長時間沒有翻轉即認為該動態信號無效。通過對與或邏輯進行設計，可決定計數器計數到多少時產生鎖存信號。另外，利用該電路可以產生兩路輸出信號，並對兩路信號用二取二的原則進行比較，可提高該電路的安全性。產生兩路輸出信號時，可以對另一路動態信號取反後輸入到相同的動態信號轉換到電平信號的電路中，也可以使另一路的計數器向下計數，使電路具備雙軌輸出功能，同時也進一步提高電路的安全性。
安全輸出的邏輯採用以下四種電路都可以實現，如圖6所示；電阻R1接三極體N2基極，三極體N2集電極接電阻R2和電阻R3的一端，電阻R3的另一端接三極體P2基極，三極體P2發射極接電阻R2和受控電源；三極體P2集電極接電阻R4和輸出；三極體N2發射極接電阻R4的一端和地。
如圖7所示；輸入接光電耦合器UA的一端1，光電耦合器UA的一端2接電阻R5，光電耦合器UA的另一端16接受控電源；光電耦合器UA的另一端15接輸出和電阻R6，電阻R5和電阻R5的另一端接地。
如圖8所示；輸入接電阻R7後接三極體N3基極，三極體N3發射極接電阻R8和輸出；三極體N3集電極接受控電源；電阻R8的另一端接地。
如圖9所示；輸入接電阻R9後接三極體P3基極，三極體P3集電極接電阻R10和輸出；三極體P3發射極接受控電源；電阻R10的另一端接地。
它們共同的特點是當安全計算機正常工作時，輸出安全關斷電路供電電源正常，模塊輸出正常邏輯。一旦安全計算機工作異常，根據上述的實施方法，可導致輸出安全關斷電路供電電源斷開，這時輸出一定導向安全側-0電平(接地)。另外，由於這四個電路輸出安全關斷的方法都採用的是直接切斷供電電源，因此即使電路中的元件出現故障(不管出現短路或斷路的故障)，其輸出都將導向安全側-0電平，因此這四個電路本身也是故障安全的。
權利要求
1.一種三模冗餘安全計算機中輸出的安全關斷方法，其特徵在於包括以下步驟；選擇安全計算機輸出安全側步驟；設定安全關斷條件步驟；安全關斷條件信號進行判斷步驟；控制模塊輸出安全關斷電路步驟。
2.根據權利要求1所述的一種三模冗餘安全計算機輸出的安全關斷方法，其特徵在於安全關斷條件步驟，判斷是否安全關斷採用「自身認為出錯則必須關斷，或者其它兩模塊認為出錯則必須關斷」的方法。
3.根據權利要求1所述的一種三模冗餘安全計算機輸出的安全關斷方法，其特徵在於控制模塊輸出安全關斷電路步驟的控制模塊輸出安全關斷電路採用串並結構或並串結構，直接控制模塊輸出安全關斷電路的供電電源。
4.根據權利要求1所述的一種三模冗餘安全計算機輸出的安全關斷方法，其特徵在於控制模塊輸出安全關斷電路步驟的動態信號到電平信號的轉換，通過數字邏輯的計數器電路實現。
5.根據權利要求1所述的一種三模冗餘安全計算機輸出的安全關斷方法，其特徵在於控制模塊輸出安全關斷電路步驟為；首先利用一個計數器進行計數，然後利用一個上升沿和下降沿提取電路，將動態信號的每一個上升沿和下降沿都轉換為一個短的脈衝信號，並作為計數器的異步復位信號，另外，利用一個簡單的與或邏輯和鎖存器，使電路在計數到一定數值時輸出低電平，其餘輸出高電平，正常情況下，動態信號保持翻轉，上升沿和下降沿提取電路將上升沿或下降沿統一變換為一個短的脈衝信號，即統一變換為一個下降沿，該下降沿對計數器進行異步復位，這樣計數器每隔一段時間就會被復位，當安全計算機出現異常時，即動態信號停止翻轉，這時計數器的異步復位始終無效，計數器就會一直向上計數，一旦計數器數值達到事先指定的數值後，與或邏輯電路就會向鎖存器輸出鎖存信號，使鎖存器輸出低電平，這樣，在動態信號無效時，電路輸出導向安全側—零電平，使輸出安全關斷電路供電電源被斷開，當動態信號恢復正常時，產生一個下降沿對鎖存器進行置位。
6.根據權利要求1所述的一種三模冗餘安全計算機輸出的安全關斷方法，其特徵在於控制模塊輸出安全關斷電路步驟採用的電路為；電阻(R1)接三極體(N2)基極，三極體(N2)集電極接電阻(R2)和電阻(R3)的一端，電阻(R3)的另一端接三極體(P2)基極，三極體(P2)發射極接電阻(R2)和受控電源；三極體(P2)集電極接電阻(R4)和輸出；三極體(N2)發射極接電阻(R4)的一端和地。
7.根據權利要求1所述的一種三模冗餘安全計算機輸出的安全關斷方法，其特徵在於控制模塊輸出安全關斷電路步驟採用的電路為；輸入接光電耦合器(UA)的一端(1)，光電耦合器(UA)的一端(2)接電阻(R5)，光電耦合器(UA)的另一端(16)接受控電源；光電耦合器(UA)的另一端(15)接輸出和電阻(R6)，電阻(R5)和電阻(R5)的另一端接地。
8.根據權利要求1所述的一種三模冗餘安全計算機輸出的安全關斷方法，其特徵在於控制模塊輸出安全關斷電路步驟採用的電路為；輸入接電阻(R7)後接三極體(N3)基極，三極體(N3)發射極接電阻(R8)和輸出；三極體(N3)集電極接受控電源；電阻(R8)的另一端接地。
9.根據權利要求1所述的一種三模冗餘安全計算機輸出的安全關斷方法，其特徵在於控制模塊輸出安全關斷電路步驟採用的電路為；輸入接電阻(R9)後接三極體(P3)基極，三極體(P3)集電極接電阻(R10)和輸出；三極體(P3)發射極接受控電源；電阻(R10)的另一端接地。
全文摘要
本發明公開了一種三模冗餘安全計算機中輸出的安全關斷方法，本發明主要利用三模冗餘安全計算機輸出的安全關斷條件信號進行判斷，通過對多組安全關斷條件信號進行表決，判斷是否需要進行安全關斷。通過動態信號到電平信號的轉換電路，生成關斷信號，直接控制模塊輸出安全關斷電路的供電電源，來實現安全關斷輸出。該三模冗餘安全計算機輸出的安全關斷方法，本身也是安全的。
文檔編號G06F11/16GK101046678SQ20071006430
公開日2007年10月3日 申請日期2007年3月9日 優先權日2007年3月9日
發明者馬連川, 李開成, 袁磊 申請人:北京交通大學