基於二乘二取二安全冗餘系統的安全控制裝置及系統的製作方法
2023-06-14 04:11:56
專利名稱：基於二乘二取二安全冗餘系統的安全控制裝置及系統的製作方法
技術領域：
本發明涉及鐵路信號控制技術，尤其涉及基於二乘二取二安全冗餘系統的安全控制裝置及系統。
背景技術：
二乘二取二安全冗餘系統是用於實現鐵路信號控制的常用系統。鐵路信號控制系統是由兩套完全相同的安全控制系構成，二乘二取二安全冗餘系統是需要兩系中的CPU同步工作,方能保證正常運作。當前中國列車運行控制系統(Chinese Train ControlSystem,以下簡稱CTCS) 2級和CTCS3級列控中心的二乘二取二安全冗餘系統在實現二乘二取二的安全冗餘功能時，都是由兩個CPU各自獨立對本CPU的運算結果和對方CPU的運算結果進行軟體數據比較，若某一 CPU發現數據比較不一致，則該CPU停止對外輸出。執行CPU 輸出命令的設備只有在收到雙CPU提供的有效輸出命令後才會做出驅動反應，從而實現安全控制。現有的二乘二取二安全冗餘技術雖然在對CPU輸出結果的判斷上大大提高了安全性，可以較大程度上避免了由於單CPU運算故障造成的錯誤輸出，但由於比較只是在兩個CPU中通過軟體來實現，只要軟體比較通過，輸出命令就會被發出，一但命令發出後，該命令輸出就會被執行，若此時發現問題，CPU的軟體已經不可能再挽回發出的錯誤輸出命令，這樣錯誤的輸出命令若被執行後就有可能造成嚴重的不安全後果。另外，若在CPU輸出命令電路或執行設備上發生軟體不可控制的故障時，也有可能導致非CPU發出命令的錯誤執行，從而帶來嚴重安全隱患，使得該二乘二取二安全冗餘系統所提供的安全性降低，即該系統的可靠性較低。
發明內容
針對上述缺陷，本發明提供一種基於二乘二取二安全冗餘系統的安全控制裝置，連接於二乘二取二安全冗餘系統的兩個CPU與執行設備之間，包括第一比較模塊，用於獲取所述兩個CPU輸出的數據，若比較獲知所述兩個CPU輸出的數據一致，則生成第一驅動脈衝信號和第一控制脈衝信號；第二比較模塊，與所述第一比較模塊相同設置，且與所述第一比較模塊連接，以生成反向的第二驅動脈衝信號和第二控制脈衝信號；安全動態驅動模塊，分別與所述第一比較模塊和所述第二比較模塊連接，用於根據從所述第一比較模塊和所述第二比較模塊獲取的驅動脈衝信號生成驅動信號；雙繼電器輸出模塊，分別與所述第一比較模塊、所述第二比較模塊及所述安全動態驅動模塊連接，用於根據從所述第一比較模塊和所述第二比較模塊獲取的控制脈衝信號及從所述安全動態驅動模塊獲取的驅動信號生成用於支持執行設備進行工作的執行指示信號。根據本發明的另一方面，還提供了一種二乘二取二安全冗餘系統，包括相互連接的第一 CPU和第二 CPU，執行設備，以及分別連接所述第一 CPU、所述第二 CPU和所述執行設備的、本發明提供的安全控制裝置。根據本發明的基於二乘二取二安全冗餘系統的安全控制裝置和二乘二取二安全冗餘系統，由於能夠獨立於CPU對執行設備進行控制，即當發現存在故障或CPU發送錯誤數據時，能夠立即切斷執行設備的工作，避免了設備的誤動作，提高了安全性。
圖I為本發明基於二乘二取二安全冗餘系統的安全控制裝置的結構示意圖。圖2為本發明基於二乘二取二安全冗餘系統的安全控制裝置中安全動態驅動模塊的結構示意圖。圖3為利用開關延時保護單元對驅動脈衝信號進行整形前後的對照時序圖。
圖4為示出了雙繼電器輸出模塊與安全繼電器之間連接關係的示意圖。圖5為本發明二乘二取二安全冗餘系統的結構示意圖。
具體實施例方式為使本發明的目的、技術方案和優點更加清楚，下面將結合附圖，對本發明的技術方案進行清楚、完整地描述。圖I為本發明基於二乘二取二安全冗餘系統的安全控制裝置的結構示意圖。如圖I所示，安全控制裝置100設置在連接於二乘二取二安全冗餘系統的兩個CPU與執行設備之間，包括第一比較模塊10，用於獲取兩個CPU(如圖I中所示的第一 CPU，簡稱CPUl ;第二CPU,簡稱CPU2)輸出的數據，若比較獲知兩個CPU輸出的數據一致，則生成第一驅動脈衝信號和第一控制脈衝信號；其中，CPUl與CPU2相互連接，以獲取對方運算結果，並將自身運算結果與對方運算結果進行比較，當兩者運算結果相一致時，則向外發送輸出命令數據，該輸出命令數據用於啟動執行設備。第二比較模塊20，與第一比較模塊10相同設置，且與第一比較模塊10連接，以生成反向的第二驅動脈衝信號和第二控制脈衝信號； 其中，第一比較模塊10和第二比較模塊20均接收CPUl和CPU2發送的輸出命令數據，並當滿足以下兩個條件時認為系統處於安全控制狀態其一，能夠持續接收到CPUl和CPU2發送的輸出命令數據；其二，經比較獲知CPUl和CPU2發送的輸出命令數據一致。當第一比較模塊10和第二比較模塊20認為系統處於安全控制狀態時，對CPUl和CPU2的輸出命令數據所對應的執行設備發出能夠使其進入工作狀態的安全控制信號，包括驅動脈衝信號和控制脈衝信號；一旦CPUl和CPU2中的任何一個對它不連續發送數據或兩者發送來的數據比對不一致，則認為系統處於非安全控制狀態，停止對外的安全控制，即停止執行設備的工作。並且，第二比較模塊20與第一比較模塊10連接，以實現兩者之間的信息傳遞，用以協調工作，使得兩者對外輸出的驅動脈衝信號和控制脈衝信號始終保持反向。安全動態驅動模塊30，分別與第一比較模塊10和第二比較模塊20連接，用於根據從第一比較模塊10和第二比較模塊20獲取的驅動脈衝信號生成驅動信號；其中，安全動態驅動模塊30從第一比較模塊10和第二比較模塊20接收到兩路驅動脈衝信號，並對該兩路驅動脈衝信號進行「鑑相」，即判斷該兩路驅動脈衝信號的相位是否相反，若相反，則該安全動態驅動模塊30輸出驅動信號；若不相反，則不輸出。該驅動信號為具有一定功率的直流信號。雙繼電器輸出模塊40，分別與第一比較模塊10、第二比較模塊20及安全動態驅動模塊30連接，用於根據從第一比較模塊10和第二比較模塊20獲取的控制脈衝信號及從安全動態驅動模塊30獲取的驅動信號生成用於支持執行設備進行工作的執行指示信號。其中，雙繼電器輸出模塊40從安全動態驅動模塊30獲取驅動信號、從第一比較模塊10獲取一路控制驅動信號、並從第二比較模塊20獲取另一路控制驅動信號。在驅動信號及兩路控制驅動信號同時作用於雙繼電器輸出模塊40時，能夠向執行設備輸出執行指示信號。該執行設備能夠在該執行指示信號的驅動下工作，當雙繼電器輸出模塊40停止輸 出該執行指示信號時，執行設備便立即停止工作。根據上述實施例的基於二乘二取二安全冗餘系統的安全控制裝置，由於第一比較模塊和第二比較模塊需對兩個CPU輸出的數據進行檢驗和比較，並僅當經檢驗和比較獲知當前系統處於安全控制狀態時，才輸出驅動脈衝信號和控制脈衝信號；安全動態驅動模塊和雙繼電器輸出模塊對該驅動脈衝信號和控制脈衝信號進行檢驗和/或處理，使得僅當驅動脈衝信號和控制脈衝信號均正常時，才能夠輸出用於支持執行設備工作的執行指示信號，若任一信號發生異常，則不發送執行指示信號，使得執行設備立即停止工作。因此，利用這種安全控制裝置，當兩個CPU中的任意一個CPU在發出輸出命令數據後，若發現該命令可能存在問題或系統存在故障，則可以立即通知該安全控制裝置，從而切斷執行設備的工作，中斷錯誤命令的執行，避免了設備的誤動作，提高了安全性。進一步地，在上述實施例的基於二乘二取二安全冗餘系統的安全控制裝置中，第一比較模塊/第二比較模塊包括存儲單元，用於獲取並暫存兩個CPU輸出的數據；比較單元，與存儲單元連接，用於對經暫存後輸出的所述數據進行一致性校驗，並當校驗結果為一致時，生成第一 /第二驅動脈衝信號和第一 /第二控制脈衝信號。其中，存儲單元例如為先進先出雙口緩存器(First In First Out，以下簡稱FIFO),比較單元例如實現在現場可編程門陣列(Field Programmable Gate Array,以下簡稱FPGA)晶片內部。第一比較模塊中的存儲單元與CPUl連接，對其輸出的輸出命令數據進行FIFO暫存，該第一比較模塊從第二比較模塊中的存儲單元獲取CPU2輸出的輸出命令數據，即兩個比較模塊中的存儲單元分別用於對一個CPU的輸出進行暫存，並將暫存輸出後的數據同時提供至兩個比較模塊中的比較單元。兩個比較模塊中的FPGA相互連接，以協調工作，使得兩者對外輸出的驅動脈衝信號和控制脈衝信號始終保持反向。進一步地，在上述實施例的基於二乘二取二安全冗餘系統的安全控制裝置中，比較單元還與CPU連接，用於與CPU進行故障信息發送/接收。根據上述實施例的安全控制裝置，能夠實現比較單元與CPU之間的信息交換，使得比較單元能夠控制CPU對存儲單元的數據發送，例如當經比較單元判斷後，認為該系統處於非安全控制狀態而切斷執行設備的工作時，其將該安全控制裝置的工作狀態反饋給CPU，從而使得CPU停止發送數據；另外，當CPU獲知故障信息時，其可直接將故障信息發送給比較單元，而無需經FIFO的暫存，從而提高了響應效率。圖2為本發明基於二乘二取二安全冗餘系統的安全控制裝置中安全動態驅動模塊的結構示意圖。如圖2所示，在上述實施例的安全控制裝置中，安全動態驅動模塊可包括開關延時保護單元、電容充放電單元和光耦單元。下面對各單元進行詳細說明。開關延時保護單元，用於對從第一比較模塊(即FPGA1)和第二比較模塊(即FPGA2)接收的互為反向的第一驅動脈衝信號和第二驅動脈衝信號進行脈衝延時整形；其中，安全動態驅動模塊首先通過開關延時保護單元對兩個比較模塊輸出的互為返向的驅動脈衝信號進行延時整形，以防止兩路驅動脈衝信號同時出現高電平的情形。圖3為利用開關延時保護單元對驅動脈衝信號進行整形前後的對照時序圖。如圖3所示，通過 開關延時保護單元的延時整形處理，兩路驅動脈衝信號的高電平時間比原始驅動脈衝信號的高電平時間縮短了時間t，這樣兩路驅動脈衝信號的高電平時間和低電平的時間就相差了 2t，從而保障了該兩路驅動脈衝信號在高電平處的相異性。電容充放電單元，連接有外部電源，用於對第一驅動脈衝信號和所述第二驅動脈信號進行鑑相，並當判斷獲知兩者中僅一者為高電平時，生成所述驅動信號；其中，電容充放電模塊對兩路處理後的脈衝驅動信號進行「鑑相」，即判斷兩路脈衝驅動信號的相位(包括處於高電平或低電平，以及兩路信號是否相反)。只有兩路脈衝驅動信號在任一信號的高電平處相位相反，電容充放電模塊才輸出具有一定功率的直流信號驅動雙繼電器輸出模塊，該直流信號由電容充放電模塊中的放電電容的放電量達預定值時產生，該電容充放電模塊的外接24V電源並不能直接觸發驅動信號。光耦單元，設置在所述開關延時保護單元與所述電容充放電單元之間，用於將所述開關延時保護單元與所述電容充放電單元的所述外部電源隔離，即用於實現FPGA輸出的脈衝驅動信號與用於為電容充放電單元供電的24V電壓之間的相互隔離，以避免該24V電壓造成對開關延時保護單元的損壞。而且，該安全動態驅動模塊還可包括監測單元M，用於監測電容充放電單元，並將監測信號發送至比較單元，以使得比較單元根據監測信號判斷電容充放電單元是否發生故障，並當判斷獲知發生故障時，向CPU發送故障信息。其中，該監測單元M對於電容充放電單元中的充放電電晶體進行監測，並將監測結果發送至FPGA，若FPGA發現該監測結果連續數次(例如為三次)異常(即壓降值不在預定範圍內)，則停止輸出驅動脈衝信號，同時將故障信息上報給CPU。通過設置該監測單元M能夠及時發現充放電電晶體的隱含故障，提高了安全性。進一步地，上述實施例的基於二乘二取二安全冗餘系統的安全控制裝置與執行設備之間通過安全繼電器連接，相應地，雙繼電器輸出模塊生成的執行指示信號用於使安全繼電器的勵磁吸引，從而為執行設備提供工作電源供給。圖4為示出了雙繼電器輸出模塊與安全繼電器之間連接關係的示意圖。如圖4所示，雙繼電器輸出模塊由兩個繼電器和兩個電子開關構成。每個繼電器的線包與電子開關串聯後構成並聯結構，並與安全動態驅動模塊連接。該雙繼電器輸出模塊的輸出端由一個繼電器的常閉節點和另一個繼電器的常開節點相連構成對稱的並聯結構。其中，兩個電子開關在控制脈衝信號及驅動信號的作用下交替閉合/斷開，即實現了由控制脈衝信號和驅動信號控制兩個繼電器(即Jl和J2)的勵磁，並通過兩個繼電器的交替勵磁實現對安全繼電器(即J3)的勵磁，使得繼電器抬起，從而為執行設備提供工作電源供給。當雙繼電器輸出模塊中的兩個繼電器停止交替勵磁時，則安全繼電器J3落下,使執行設備失去工作電壓、停止工作。根據上述實施例的基於二乘二取二安全冗餘系統的安全控制裝置，由於該安全控制裝置以最終控制安全繼電器J3能否勵磁吸起來控制執行設備的工作電源供給，一旦安全控制裝置切斷執行設備的工作電源後，即使 CPU仍向執行設備傳送輸出命令數據，執行設備也無法執行命令，其使得在CPU在發出錯誤命令後或獲知執行設備出現故障等時，均能夠通過通知安全控制裝置來切斷執行設備的工作。提高了系統的安全性。並且，若在比較單元中預置一控制脈衝信號的變換周期(例如為2小時)，還可使得雙繼電器的狀態定時轉換，從而能夠檢測繼電器的接點是否發生粘連。根據本發明的另一方面，還提供了一種二乘二取二安全冗餘系統。圖5為本發明二乘二取二安全冗餘系統的結構示意圖。如圖5所示，該二乘二取二安全冗餘系統包括相互連接的兩個CPU，執行設備，以及分別連接兩個CPU和執行設備的、上述任一實施例的安全控制裝置。進一步地，該二乘二取二安全冗餘系統還可包括安全繼電器J3，其連接在安全控制裝置與執行設備之間。根據上述實施例的二乘二取二安全冗餘系統中，當安全控制裝置從BI數據線和B2數據線得到CPUl和CPU2發來的輸出命令數據後進行比對，當比對一致後，控制雙繼電器輸出模塊中的兩個繼電器Jl和J2的勵磁，繼電器Jl和J2的交替勵磁控制著安全繼電器J3的勵磁，而安全繼電器J3的接點是控制執行設備工作電源能否供給的條件。當安全繼電器J3落下，執行設備失去工作電壓將不能工作。因此，安全控制裝置以最終控制安全繼電器J3能否勵磁吸起來控制執行設備的工作電源供給，一但安全控制裝置通過安全繼電器J3切斷執行設備的工作電源後，即使Al通道和A2通道有輸出命令數據送給執行設備，該命令也不能最終被執行，這樣就防止了 CPUl或CPU2有錯誤發出的命令後也能通過安全控制裝置及時阻止錯誤命令的被執行。另一方面，假如執行設備或A1、A2通道發生故障，不受(PU的直接控制後，CPU可以通過BI數據線、B2數據線把該故障告訴安全控制裝置，通過安全控制裝置間接控制了執行設備的工作，阻止了有可能導致嚴重後果的錯誤輸出，實現系統的高安全性。最後應說明的是以上實施例僅用以說明本發明的技術方案，而非對其限制；儘管參照前述實施例對本發明進行了詳細的說明，本領域的普通技術人員應當理解其依然可以對前述各實施例所記載的技術方案進行修改，或者對其中部分技術特徵進行等同替換；而這些修改或者替換，並不使相應技術方案的本質脫離本發明各實施例技術方案的精神和範圍。
權利要求
1.一種基於二乘二取二安全冗餘系統的安全控制裝置，其特徵在於，連接於二乘二取二安全冗餘系統的兩個中央處理器CPU與執行設備之間，包括 第一比較模塊，用於獲取所述兩個CPU輸出的數據，若比較獲知所述兩個CPU輸出的數據一致，則生成第一驅動脈衝信號和第一控制脈衝信號； 第二比較模塊，與所述第一比較模塊相同設置，且與所述第一比較模塊連接，以生成反向的第二驅動脈衝信號和第二控制脈衝信號； 安全動態驅動模塊，分別與所述第一比較模塊和所述第二比較模塊連接，用於根據從所述第一比較模塊和所述第二比較模塊獲取的驅動脈衝信號生成驅動信號； 雙繼電器輸出模塊，分別與所述第一比較模塊、所述第二比較模塊及所述安全動態驅動模塊連接，用於根據從所述第一比較模塊和所述第二比較模塊獲取的控制脈衝信號及從所述安全動態驅動模塊獲取的驅動信號生成用於支持執行設備進行工作的執行指示信號。
2.根據權利要求I所述的基於二乘二取二安全冗餘系統的安全控制裝置，其特徵在於，所述第一/第二比較模塊包括 存儲單元，用於獲取並暫存所述兩個CPU輸出的數據； 比較單元，與所述存儲單元連接，用於對經暫存後輸出的所述數據進行一致性校驗，並當校驗結果為一致時，生成所述第一 /第二驅動脈衝信號和所述第一 /第二控制脈衝信號。
3.根據權利要求2所述的基於二乘二取二安全冗餘系統的安全控制裝置，其特徵在於，所述存儲單元為先進先出雙口存儲器。
4.根據權利要求2所述的基於二乘二取二安全冗餘系統的安全控制裝置，其特徵在於，所述比較單元還與所述CPU連接，用於與所述CPU進行故障信息發送和接收。
5.根據權利要求4所述的基於二乘二取二安全冗餘系統的安全控制裝置，其特徵在於，所述比較單元實現在現場可編程門陣列FPGA晶片內部。
6.根據權利要求I 5任一所述的基於二乘二取二安全冗餘系統的安全控制裝置，其特徵在於，所述安全動態驅動模塊包括 開關延時保護單元，用於對從所述第一比較模塊和所述第二比較模塊接收的互為反向的第一驅動脈衝信號和第二驅動脈衝信號進行脈衝延時整形； 電容充放電單元，連接有外部電源，用於對所述第一驅動脈衝信號和所述第二驅動脈衝信號進行鑑相，並當判斷獲知兩者中僅一者為高電平時，生成所述驅動信號； 光耦單元，設置在所述開關延時保護單元與所述電容充放電單元之間，用於將所述開關延時保護單元與所述電容充放電單元的所述外部電源隔離。
7.根據權利要求6所述的基於二乘二取二安全冗餘系統的安全控制裝置，其特徵在於，所述安全動態驅動模塊還包括 監測單元，用於監測所述電容充放電單元，並將監測信號發送至所述比較單元，以使得所述比較單元根據所述監測信號判斷所述電容充放電單元是否發生故障，並當判斷獲知發生故障時，向所述CPU發送所述故障信息。
8.根據權利要求I 5任一所述的基於二乘二取二安全冗餘系統的安全控制裝置，其特徵在於，所述安全控制裝置與所述執行設備之間通過安全繼電器連接，相應地，雙繼電器輸出模塊生成的所述執行指示信號用於使所述安全繼電器的勵磁吸起，從而為所述執行設備提供工作電源供給。
9.一種二乘二取二安全冗餘系統，其特徵在於，包括相互連接的第一 CPU和第二 CPU，執行設備，以及分別連接所述第一CPU、所述第二 CPU和所述執行設備的、根據權利要求I 8中任一所述的安全控制裝置。
10.根據權利要求9所述的二乘二取二安全冗餘系統，其特徵在於，還包括安全繼電器，連接在所述安全控制裝置與所述執行設備之間。
全文摘要
本發明提供基於二乘二取二安全冗餘系統的安全控制裝置及系統。該安全控制裝置連接於二乘二取二安全冗餘系統的兩個CPU與執行設備之間，包括兩個比較模塊，用於獲取兩個CPU輸出的數據，若比較獲知兩個CPU輸出的數據一致，則生成驅動脈衝信號和控制脈衝信號；安全動態驅動模塊，與比較模塊連接，用於根據從比較模塊獲取的驅動脈衝信號生成驅動信號；雙繼電器輸出模塊，分別與比較模塊及安全動態驅動模塊連接，用於根據從比較模塊獲取的控制脈衝信號及從安全動態驅動模塊獲取的驅動信號生成用於支持執行設備進行工作的執行指示信號。該安全控制裝置及二乘二取二安全冗餘系統實現了系統高安全性。
文檔編號G05B9/03GK102789166SQ201110125518
公開日2012年11月21日 申請日期2011年5月16日 優先權日2011年5月16日
發明者於健潔, 剛建雷, 唐世軍, 朱豔軍, 胡燕來, 趙陽, 韓安平 申請人:中國鐵道科學研究院通信信號研究所, 鐵道部運輸局