DE3209718A1

DE3209718A1 - Funktionssichere steuereinrichtung

Info

Publication number: DE3209718A1
Application number: DE19823209718
Authority: DE
Inventors: Gunther Dipl.-Ing. 8000 München Dreher; Georg Dipl.-Ing. Götz; Wolfram Dipl.-Ing. Pöttig; Alfred Dipl.-Ing. Schmidt; Hans Dipl.-Ing. Örley
Original assignee: MAN Maschinenfabrik Augsburg Nuernberg AG
Current assignee: MT Aerospace AG
Priority date: 1982-03-17
Filing date: 1982-03-17
Publication date: 1983-09-29
Also published as: IT1170331B; DE3209718C2; IT8347905A0

Description

Funktionssichere Steuereinrichtung
Die Erfindung bezieht sich auf eine funktionssichere Steuereinrichtung mit mindestens einem Funktionskanal.
Unter Steuereinrichtung werden Steuersysteme sowie Regelsysteme verstanden. Die Funktionssicherheit von derartigen Steuereinrichtungen hangt von der Funktionssicherheit von zahlreichen Bauelementen und deren Verknüpfungen, die die Steuereinrichtung bilden ab. Derartige Geräte sind daher mit einem Unsicherheitsfaktor behaftet, was in gewissen Anwendungsfällen in Kauf genommen werden kann.
Es gibt jedoch Anwendungen, wie in der Sicherheitstechnik im Verkehr, auf dem Atomenergiegebiet, bei denen der Ausfall der Steuereinrichtung schwere Konsequenzen haben kann.
Um den Sicherheitsfaktor zu erhöhen, hat man die Steuereinrichtung mit mehreren Funktionskanalen ausgebildet1 so daß bi Ausfall eines Kanals ein weiterer eingesclidiet werden kann, wobei oftmals zur erhöhten Sicherung drei oder mehr Funktionskanale verwendet werden müssen. Derartige Anlagen sind jedoch sehr kostspielig und gegebenenfalls platzaufwendig.
Der Erfindung liegt die Aufgabe zugrunde, eine Einrichtung der eingangs genannten Art zu schaffen, die fertigungstechnisch einen möglichst geringen Aufwand bedarf, jedoch eine hohe Sicherheit gewährleistet.
Die Aufgabe ist erfindungsgemäß gelöst durch zwei unabhängige Funktionskanale und einem dem Prozeß und die Funktion der Funktionskanale simulierenden dritten Kanal, die mit einer Oberwachungseinheit gekoppelt sind, wobei die Oberwachungseinheit die Fehler der drei Kanale erkennt, ortet und anzeigt und entsprechende Umschaltungen durchführt.
Hierbei werden nur zwei Funktionskanäle, d.h. Steuer-oder Regel systeme verwendet, wahrend alle weiteren für eine besondere Sicherheit notwendigen Funktionseinheiten durch eine intelligente Prozeßtechnik ersetzt werden, was zu einer wesentlichen Vereinfachung und Verbilligung der Anlage sowie einer Reduzierung des Raumbedarfes führt. Dieses Dreikanalsystem hat den weiteren Vorteil, daß die Oberwachungseinheit nicht nur Fehler erkennen kann, sondern durch Vergleich von zwei aus drei Kanalen auch entscheiden kann, welcher Kanal defekt ist. Die Verwendung von zwei Funktionskanalen erlaubt eine kontinuierliche Fortsetzung der Funktion der Steuereinrichtung, wenn einer der Funktionskanale ausfallt.
Signale, die durch Plausibilitatoder Simulation überprüfbar sind, müssen nur in den Funktionskanälen vorhanden sein. Der Aufbau der Funktionskanale ist dergestalt, daß systematische Fehler ausgeschlossen werden.
Gemaß einer Ausgestaltung der Erfindung sind die einzelnen Komponenten der Funktionskanale mit der Oberwachungseinheit in Betrieb prüfbar.
Hierdurch ist es möglich, die Anlage so zu programmieren, daß eine Umschaltung bzw. Abschaltung der Funktionskanäle nur bei bestimmten fehlerhaften Komponenten erfolgt und daß im übrigen nur eine Anzeige durch die Oberwachungseinheit ausgegeben wird.
Es ist vorteilhaft, wenn der dritte Kanal ebenfalls mit der Oberwachungseinrichtung prüfbar ist.
Hierbei laßt sich ein Selbsttest durchführen, indem gezielte Fehler in den dritten Kanal eingebaut werden, um damit zu prüfen, ob die Oberwachungseinheit entsprechend reagiert.
Hierbei kann die Überwachung sämtliche Meldewege dynamisch prüfen, und zwar durch Ausgabe von Prüfsignalen und den Empfang von Rückmeldungen über alle im Meldeweg beteiligten Funktionskomponenten, womit die Reaktion der Oberwachungseinheit aufgrund der einzelnen Meldesignale getestet wird.
Mit dem Erfindungsgegenstand wird die Funktionssicherheit einer Steuereinrichtung erhöht. Gleichzeitig kann sie durch akustische oder optische Alarmeinrichtungen einen auftauchenden Fehler signalisieren. Gemäß einer weiteren Ausgestaltung der Erfindung ist der Oberwachungseinheit zur Fehlerortung eine Anzeige zugeordnet, womit gleichzeitig eine Diagnose bzw. Lokalisierung des Fehlers angegeben wird, so daß eine rasche Behebung des Fehlers erfolgen kann.
Der dritte Kanal kann ein Mikrorechner sein, der analoge und/oder digitale Eingabe- und Ausgabeeinheiten hat. Er ist damit in der Lage, Signale aus den Funktionskanälen zu beobachten bzw. die Funktionskanäle, etwa durch Umkonfigurieren zu beeinflussen.
In gewissen Anwendungen besteht der dritte Kanal aus einem Sensor und einem Mikrorechner.
Das Mikrorechnerprogramm enthalt ein Abbild der dynamischen und statischen Eigenschaften der Funktionskanäle, es simuliert einzelne Abschnitte der Wirkungskette der Funktionskanäle.
Da die Funktionskanäle frei von systematischen Fehlern sind, muß der schwer zu führende Nachweis der Fehlerfreiheit der Mikrorechnerprogramme zur Simulation nicht durchgeführt werden.
Es ist ferner einefehlersichere Oberwachungseinheit vorgesehen, die das ordnungsgemäße Arbeiten des Mikrorechners überprüft und seinen Ausfall anzeigt, während die Funktionskanäle weiterhin ihre Aufgabe erfüllen.
Die Stromversorgung des dritten Kanal es ist vorzugsweise an einen Funktionskanal gekoppelt.
In der Zeichnung ist ein Ausführungsbeispiel gemäß der Erfindung schematisch dargestellt.
Die als Regel system ausgebildete Steuereinheit 10 besteht aus zwei Funktionskanälen 11 und 12, die eine Regelstrecke bzw. einen Prozeß 13 regeln, und einem dritten Kanal 14, der als Stimulator ausgebildet ist.
Die Funktionskanäle 11 und 12 enthalten jeweils einen Sensor 15 bzw. 16, die den Prozeßstand durch Signale S1 bzw. S3 messen und an jeweils einen Regler 17 bzw. 18 weitergeben, der den empfangenen Istwert init einem Sollwert vergleicht und entsprechende Steuersignale jeweils an ein Stellglied 19 bzw. 20 weitergibt.
Der dritte Kanal 14 enthält ebenfalls einen Sensor 21, der über Signale 2 den gleichen Prozeßzustand mißt und als analoge oder digitale Eingabe für einen Mikrorechner 22 abgibt, der eine Einheit 23 zur Nachbildung des Regel-Algorithmus und eine Simulation 24 für das Stellglied 19 bzw. 20 enthält. Die einzelnen Abschnitte der Wirkungskette der Funktionskanäle 11 und 12, d.h. deren dynamischen und statischen Eigenschaften werden von dem Mikroprozessor 22 zur Bildung des dritten Kanales 14 nachgebildet. Von allen Komponenten der jeweiligen Funktionskanäle 11 und 12 gehen über Meldewege 27 bzw. 28 Signale an eine Oberwachungseinheit 29. Die Oberwachungseinheit empfängt außerdem diesen Signalen entsprechende Signale, die vom Mikrorechner 22 berechnet und über einen Meldeweg 30 der Oberwachungseinheit geliefert werden.
Die Überwachungseinheit vergleicht die Meldungen aus den drei Kanälen und erkennt bei einem Unterschied von entsprechenden Signalen einen Fehler in einem der drei Kanäle.
Durch den Vergleich von drei Signalen erkennt die Oberwachungseinheit 29 außerdem durch das von zwei gleichen abweichenden Signalen den Ort des Fehlers, d.h. in welchem der drei Kanale 11, 12 bzw., 14 der Schaden aufgetreten ist.
Dementsprechend wird ein akustischer oder optischer Alarm 32 bzw. 33 angesteuert. Ober eine Anzeige 31 wird außerdem die Art und der Ort des aufgetretenen Fehlers angezeigt.
Die Oberwachungseinheit kann so programmiert werden, daß sie die Fehler selektiert und nur bei Auftreten bestimmter Fehler oder Fehlerkombinationen ein Schaltsignal 35 bzw. 36 an das Stellglied 19 bzw. 20 des defekten Kanales 11 bzw.
12 abgibt, wobei es entweder das fehlerhafte Stellwertsignal unterdrückt und ein fehlerfreies Stellwertsignal an die Regelstrecke 13 anschließt. Dabei läuft der Regelprozeß zumindest für eine gewisse Zeit ungestört weiter, während der defekte Kanal repariert werden kann.
Die Steuereinheit 10 wird von zwei Spannungsquellen U1 und U2 versorgt, wobei die Stromversorgung 37 des einen.
Funktionskanales 11 von einer Quelle U1 gespeist wird, wahrend die Stromversorgung 38 des dritten Kanal es und 39 des zweiten Funktionskanales 12 an die zweite Quelle U2 angeschlossen sind. Durch eine spezielle Ausführung der Ankopplung 40 der Oberwachungseinheit 29 an die Alarmeinrichtung 32 wird sichergestellt, daß der Ausfall der Quelle U2 durch die Alarmeinrichtung 32 zwangsläufig gemeldet wird.
Anstelle von einer dreifachen Sensorik 15, 16, 21 kann eine zweifache durch Plausibilität überprüfbare Sensorik V1 bzw. V2 verwendet werden.
Gemaß dem oben beschriebenen Ausführungsbeispiel stellen die beiden Funktionskanäle 11 und 12 jeweils ein Reglersystem dar. Die funktionssichere Steuereinheit 10 kann aber auch ebenso für Steuersysteme verwendet werden.
In diesem Fall sind die Signale S1 bis S3 nicht als Istwerte des Prozesses 13, sondern als unabhängige Steuergrößen anzusehen. Ferner treten anstelle der Regler 17 und 18 entsprechende Steuerelemente ein. Im übrigen bleibt die Einrichtung 10 bis auf die entsprechende Software-Anpassung unverändert.
Die Oberwachungseinheit 29 kann zumindest teilweise im Mikrorechner 22 eingeschlossen sein, wie es mit den gestrichelten Linien angedeutet ist.

Claims

Patentansprüche 1. Funktionssichere Steuereinheit (10) mit mindestens einem Funktionskanal, gekennzeichnet durch zwei unabhangige Funktionskanäle (11 bzw.

12) und einem den Prozeß und die Funktion der Funktionskanale simulierenden dritten Kanal (14), die mit einer Oberwachungseinheit (29) gekoppelt sind, die Fehler von Komponenten aus den drei Kanalen erkennt, ortet und anzeigt und die Schaltbefehle (35 bzw. 36) für die Funktionskanäle abgeben kann.
2. Einrichtung nach Anspruch 1, dadurch gekennzeichnet, daß alle einzelnen Komponenten der Funktionskanale (11, 12) mit der Oberwachungseinheit im Betrieb prüfbar sind.
3. Einrichtung nach Anspruch 1 oder 2, daß der dritte Kanal (14) mit der Oberwachungseinheit (29) prüfbar ist.
4. Einrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der dritte Kanal (14) ein Mikrorechner (22) ist, der analoge und/oder digitale Eingabe- und Ausgabeeinheiten enthalt.
5. Einrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Oberwachung (29) die Meldewege (27, 28, 30, 32, 33, 35, 36, 40, 41) dynamisch zu vorgegebenen Zeitpunkten testet.
6. Einrichtung nach Anspruch 4 oder 5, dadurch gekennzeichnet, daß die Funktionsfahigkeit des Mikrorechners durch ein Selbsttestprogramm überprüfbar ist und ein Ausfall fehlersicher angezeigt wird.
7. Einrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der Oberwachungseinheit (29) zur Fehlerortung eine Anzeige (31) zugeordnet ist.
8. Einrichtung nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß der dritte Kanal aus einem Sensor (21) und einem Mikrorechner (22) gebildet ist.
9. Einrichtung nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Stromversorgung (38) des dritten Kanal es (14) an die Stromversorgung (39) eines Funktionskanales (12) angekoppelt ist.