SK283059B6 - Mikroprocesorový bezpečnostný systém, hlavne na železničnú dopravu - Google Patents

Abstract

Mikroprocesorový bezpečnostný systém, hlavne na železničnú dopravu, ktorý v závislosti na vstupných dátach (DE) zo snímačov (CP) kontroluje a riadi akčné prvky (ACT), pozostáva najmenej z dvoch paralelne usporiadaných mikroprocesorov (P1, P2), z ktorých vstupy sú napojené cez analógovo-číslicový prevodník (A/N1) na výstup analógových vstupných dát (DE) snímačov (CP), a ktorých analógové výstupy (R1, R2) sú napojené na riadiaci mikroprocesor (P3), na porovnanie a overovanie výstupov (R1, R2), pričom riadiaci mikroprocesor (P3) je výstupom (S) prepojený s dynamickým kontrolórom (CD), ktorého výstup je napojený spojom (AG) na funkčné výstupy (si, sj) mikroprocesorov (P1, P2) na riadenie priechodu týchto funkčných výstupov (si, sj) a výstup riadiaceho mikroprocesora (P3) je spojom (AI) napojený na funkčné výstupy (si, sj) na vykonávanie korekcie na každom funkčnom výstupe (si, sj), pričom funkčné výstupy (si, sj) sú napojené na číslicovo-analógový prevodník (N/A) na vytvorenie analógových výstupných dát (DS) pre akčné prvky (ACT), kde výstup analógových výstupných dát (DS) číslicovo-analógového prevodníka (N/A) je spojom (RL) prepojený cez analógovo-číslicový prevodník (A/N2) na mikroprocesory (P1, P2) na porovnanie výstupných dát (DS) s numerickými pôvodne vypočítanými výsledkami.ŕ

Description

Oblasť techniky

Vynález sa týka mikroprocesorového bezpečnostného systému, určeného hlavne na železničnú dopravu, ktorý na základe informácií zo snímačov riadi a kontroluje akčné prvky.

Doterajší stav techniky

Všetky bezpečnostné smerovo zamerané systémy, hlavne v železničnej doprave, boli donedávna zostavené z prvkov a obvodov zodpovedajúcich normám tzv. vnútornej bezpečnosti.

Vnútorná bezpečnosť je založená na fyzikálnych zákonoch, napr. na príťažlivosti a na modele úplného zlyhania. Akékoľvek zlyhanie musí uviesť systém do „reštriktívneho“ stavu, čo znamená zúženie jeho operačnej činnosti. V železničných bezpečnostných systémoch má obvykle tento stav za následok zastavenie vlaku.

Po objave mikroprocesorov sa ich funkčné vlastnosti začali využívať i v bezpečnostných systémoch. Koncepcia týchto programových systémov využíva dva princípy. Jednak informačnú redundanciu kódovanej informácie, spočívajúcu na tom, že k funkčným informáciám sa pridajú dáta týkajúce sa kontroly, ktoré umožnia detekciu chýb a chybných funkcií systému, a jednak obvodové redundancie, spočívajúce na použití niekoľkých paralelne usporiadaných počítačov, ktorých hardvér a softvér umožňuje porovnanie výsledkov.

Technika kódovania informácie využíva iba jediný mikroprocesor, ktorý pracuje s redundantnými dátami, obsahujúcimi časť funkčnú a časť kódovú. Tým vzniká zdvojený algoritmus obsahujúci dve rôzne informácie. Výsledné potvrdenie algoritmu je zaslané kontrolórovi vnútorného istenia, k tzv. dynamickému kontrolórovi. Ak výsledok zodpovedá kódu, dynamický kontrolór ho potvrdí a uvoľní výstupom priechod k akčným prvkom. V opačnom prípade sú výstupy nepotvrdené a v dôsledku toho zablokované. Je treba poznamenať, to vo väčšine času prechádzajú bezpečnostné výstupy ako funkčné, potom sú znovu prečítané a sú porovnávané s hodnotami bezpečnostných nárokov.

Pravdepodobnosť nezistenia viac alebo menej významnej chyby záleží aj od kvality použitého kódovania, ale nevýhody spočívajú v časovo náročnom priebehu spracovania výsledkov a v ťažkom programovaní. Naopak je výhodné, že bezpečnostný systém nevyžaduje zvláštne technologické opatrenie, čo umožňuje použiť akýkoľvek priemyselný komerčný mikroprocesor. Technikou obvodovej redudancie sa istenie vykonáva najmenej dvoma paralelnými mikroprocesormi. Porovnanie a potvrdenie výstupov prebieha mimo nich a to buď ich vzájomným porovnávaním, alebo pomocou zariadenia, ktoré je súčasťou obvodu vnútornej kontroly. Softvér je aplikovaný na obidva mikroprocesory identicky alebo zámerne asymetricky.

Na dosiahnutie dobrej kvality istenia uvedenou technikou, tzv. bioprocesorom, je nutné vylúčiť ich zlyhanie vplyvom efektu vzájomného ovplyvňovania. Je nutné zabezpečiť nezávislosť obidvoch obvodov oddelenými zbernicami a zdvojením všetkých prvkov. Je tiež treba vylúčiť latentné poruchy, čo nevyhnutne vyžaduje pridruženie autotestov a testov krížových.

Problematickou môže byť aj synchronizácia mikroprocesorov a istenie potom spočíva na znalosti ich chovania. Naopak táto technika nie je zaťažená výpočtami, pretože informácie nie sú kódované.

Začlenenie komparátora a množstva príslušných obvodov do systému vlastnej bezpečnosti výrazne zvyšuje ich nákupnú cenu.

Podstata vynálezu

Uvedené nedostatky obidvoch uvedených techník, pri zachovaní výhod každej z nich, odstraňuje mikroprocesorový bezpečnostný systém, hlavne na železničnú dopravu, ktorý' v závislosti od vstupných dát zo snímačov kontroluje a riadi akčné prvky, podľa vynálezu, ktorého podstata spočíva v tom, že systém pozostáva z najmenej dvoch paralelne usporiadaných mikroprocesorov, ktorých vstupy sú napojené ccz analógovo-číslicový prevodník na výstup analógových vstupných dát snímačov, a ktorých analógové výstupy sú napojené na riadiaci mikroprocesor, na porovnanie a overovanie výstupov, pričom riadiaci mikroprocesor je výstupom prepojený s dynamickým kontrolórom, ktorého výstup je napojený spojom na funkčné výstupy mikroprocesorov na riadenie priechodu týchto funkčných výstupov a výstup riadiaceho mikroprocesora je spojom napojený na funkčné výstupy na vykonávanie korekcie na každom funkčnom výstupe, pričom funkčné výstupy sú napojené na číslicovo-analógový prevodník na vytvorenie analógových výstupných dát na akčné prvky, kde výstup analógových výstupných dát číslicovo-analógového prevodníka je spojom prepojený cez analógovo-číslicový prevodník na mikroprocesor na porovnanie výstupných dát s numerickými pôvodne vypočítanými výsledkami.

Vo výhodnom uskutočnení vynálezu je medzi obidva mikroproprocesory vložený oneskorovací obvod.

Podľa ďalšieho výhodného uskutočnenia jc systém vybavený obojsmernou typizovanou zbernicou na prechod informácie medzi jednotlivými mikroprocesormi.

Riadiaci mikroprocesor je podľa ešte iného výhodného uskutočnenia mikroprocesorom na porovnávanie výstupov mikroprocesorov a korekciu a kontrolu vzájomnej súvislosti líšiacich sa výstupov.

Riadiaci mikroprocesor môže ďalej byť aj mikroprocesorom na čiastočné utlmenie funkčných výstupov v prípade líšiacich sa výstupov.

Ďalšie výhodné uskutočnenie systému podľa vynálezu spočíva v tom, že systém je vybavený viac ako dvoma mikroprocesormi na istenie (n) mikroprocesorov z (p) mikroprocesorov. Vzhľadom na usporiadanie podľa vynálezu, pri ktorom sú kódované iba vstupné a výstupné dáta, pretože vnútorné kódovanie nemusí byť z dôvodu dvojitého spracovania uskutočňované, prebieha hodnotenie dát v prijateľnom čase. Je výhodné, že technické vybavenie nie je rozsiahle, čo vedie ku zníženiu celkových nákladov. Ako bude zrejmé z ďalšieho opisu, takýto systém sa ľahko vyhotoví a prispôsobí sa praxi.

Medzi obidva aplikované mikroprocesory je vhodné umiestniť oneskorovací obvod na vylúčenie vzájomného rušenia, napríklad elektromagnetickými vplyvmi. Bezpečnostný systém podľa vynálezu je vhodne vybavený obojsmernou typizovanou zbernicou, ktorou prechádza informácia medzi rôznymi mikroprocesormi, a ktorá umožní bezpečný prechod informácií, ktoré sú zaistené kódovaním a datovaním.

Prehľad obrázkov na výkresoch

Vynález bude bližšie objasnený pomocou výkresu, na ktorom znázorňuje obr. 1 schému funkcie bezpečnostného systému podľa vynálezu a obr. 2 schému stavby tohto systému.

Príklady uskutočnenia vynálezu

Všetky bezpečnostné systémy, nazývané tiež systémy kontroly a riadenia, reagujú na základe signálov zo snímačov a akčných prvkov. Prijímajú analógové signály, premieňajú ich na číslicové dáta, spracovávajú ich pomocou algoritmov a vytvárajú číslicové výstupy, ktoré sú premenené na analógové výstupy, umožňujúce ovládanie akčných prvkov.

Na obr. 1 je znázornené jedno alebo viac snímačov CP, z ktorých prichádzajú do systému vstupné analógové dáta DE. Tieto dáta DE sú ukladané a kódované v analógovo-číslicovom prevodníku A/Nl, aby potom boli prenesené na vstupy dvoch paralelne usporiadaných mikroprocesorov PI a P2, spracovávajúcich rovnakú aplikáciu. Samotná aplikácia nemusí byť kódovaná vzhľadom na zdvojenie spracovania. Naopak vstupné a výstupné dáta DE a DS sú kódované podľa typu mikroprocesorov PI, P2. V každom mikroprocesore PI, P2 sú dáta dekódované a spracované. Navyše, každý mikroprocesor PI, P2 vykonáva aplikáciu s istým časovým posunom, aby nedošlo k vzájomnému ovplyvňovaniu, napríklad elektromagnetickými poruchami. Výsledky spracované mikroprocesormi PI, P2 vo forme výstupov Rl, R2 sú, pred odoslaním na tretí mikroprocesor P3, na uvedených mikroprocesoroch PI, P2 kódované.

Tretí mikroprocesor P3, riadiaci mikroprocesor alebo riadiaci obvod, je vybavený softvérom na porovnanie výstupov Rl, R2 pri použití kódovacieho obvodu na dáta, kódované obidvoma mikroprocesormi PI a P2. Algoritmus riadiaceho mikroprocesora P3 spočíva v porovnaní hodnoty výstupov Rl a R2. Algoritmus riadiaceho mikroprocesora P3 spočíva v porovnaní hodnoty výstupov Rl a R2. Ak je výsledok porovnania bez nedostatkov, vyšle riadiaci mikroprocesor P3 signál S, potvrdzujúci svoju správnu funkciu, k dynamickému kontrolóru CD. Ten potom umožní prechod funkčných výstupov si a sj mikrocesora PI, P2 po spoji AG v mieste G. Je treba poznamenať, že skutočne využité sú výstupy iba jedného z mikroprocesorov PI, P2. V prípade rozdielnych výstupov Rl a R2 sú na spoji Al riadiacim obvodom inhibované príslušné výstupy v mieste

Číselné dáta funkčných výstupov sj a si sú potom v číslicovo-analógovom prevodníku N/A transformované na analógové výstupy, aby mohlo prísť k ovládaniu akčných prvkov ACT. Okrem toho výstupné dáta DS po transformácii v druhom analógovo-číslicovom prevodníku A/N2 sú znovu prečítané a porovnávané s numerickými dátami pôvodne vypočítanými, čo znázorňuje spoj RL. Tým sa vykonáva kontrola bezpečnej funkcie systému.

Obr. 2 schematicky znázorňuje stavbu bezpečnostného systému podľa vynálezu a je možné na ňom vysvetliť činnosť a výhody vynálezu.

Na obr. 2 sú znázornené tri mikroprocesory PI, P2, spojené štandardnou, typizovanou obojsmernou zbernicou B, ktorou prechádzajú všetky informácie medzi prvkami, tvoriacimi bezpečnostný systém. Zbernica B nevyžaduje zvláštne istenie, pretože predchádzajúce informácie sú zabezpečené kódovaním a dátovaním.

Ďalej je na obr. 2 znázornený prepínač vstupu a výstupu E/S, so vstupom vstupných dát DE a výstupom výstupných dát DS. Vstupné dáta DE musia mať jednotnú entitu, aby mikroprocesory PI a P2 spracovali rovnaký materiál. Vstupné dáta DE sú kódované vzhľadom na typ kódova cieho mikroprocesora a do mikroprocesorov PI a P2 prichádzajú cez pamäť s dvojitým výberom MDA, ktorá je spojená so zbernicou B. Počas celého prenosu (prepínač, zbernica, sériové spojenie) sú dáta ochránené kódovaním. Pri vstupe dát sú obidva mikroprocesory PI a P2 aktivované s určitým časovým posunom. Každý mikroprocesor PI, P2 prečíta v pamäti s dvojitým výberom MDA vstupné dáta DE a jednotlivo ich skontroluje. Ak ich vyhodnotí ako platné, sú v nekódovanej forme spracovávané. V záverečnej fáze aplikácie každý mikroprocesor PI, P2 spracuje svoje vstupy a pripraví výsledky, ktoré sú podľa typu mikroprocesora zakódované.

Príslušné výstupy Rl, R2 zaisťuje jeden z mikroprocesorov PI a P2 prostredníctvom prepínača vstupu/výstupu E/S a výstupy Rl a R2 sú k dispozícii riadiacemu obvodu, t. j. tretiemu riadiacemu mikroprocesoru P3 v pamäti s dvojitým výberom MDA v kódovanej dátovacej forme. Každý z mikroprocesorov PI a P2 vykonáva navyše autotesty, ktorých výsledky sú integrované k výstupom Rl a R2, ktoré odchádzajú do tretieho mikroprocesora P3.

Bezpečnosť stavby biprocesora spočíva hlavne v zabránení vzájomného ovplyvňovania medzi mikroprocesormi PI a P2. Vzhľadom na to, že porovnanie sa vykonáva na výstupoch Rl a R2 disponujú technici pomerne veľkou škálou možností pri výbere modulov mikroprocesorov PI, P2 a to od identických softvérov s identickými doskami až po dva rôzne softvéry na odlišných základoch.

Riadiaci obvod, mikroprocesor P3, prijíma výstupy Rl z mikroprocesora PI a výstupy R2 z mikroprocesora P2, vždy dva a dva porovnáva s využitím zodpovedajúcich operácií s kódovanými dátami podľa typu kódovacieho mikroprocesora. Funkcia porovnávania uvedeným softvérom umožňuje kontrolu zhody na výstupoch Rl, R2 a/alebo korekciu na každom výstupe Rl, R2. Technici majú teda veľkú voľnosť pri zostavovaní riadiaceho obvodu a môžu plánovať čiastočné obmedzenie výstupov, čo umožňuje opakovať radenie výstupov.

Softvér porovnávacieho riadiaceho obvodu, mikroprocesora P3 je nasadený na elektronickú dosku, ktorá môže byť rovnaká ako dosky biprocesorov. Ochrana porovnávacej íunkcie sa uskutočňuje kódovaním informácie. Platnosť funkcie je potvrdzovaná vyslaním signálu S k dynamickému kontrolóru CD. Signál S je výstupom riadiaceho obvodu a indikuje jeho správnu funkciu. Navyše je tento signál S doplnený tzv. posilňujúcou informáciou, ktorá sa mení v čase. Dynamický kontrolór CD bude z hľadiska vnútorného istenia vyhodnocovať jednako správne posilnenie signálu a jednako vlastný signál, čo umožni kontrolu riadiaceho obvodu.

Dynamický kontrolór CD teda riadi vyslanie výstupov prostredníctvom modulu A, ktorý je spojený so zbernicou B a vysiela jednotlivé výstupy v závislosti od informácií dodaných riadiacim obvodom.

Pokiaľ sa výstupy Rl a R2 čiastočne odlišujú, sú utlmené alebo obmedzené. V prípade nesprávnej funkcie riadiaceho obvodu sú všetky výstupy Rl, R2 obmedzené. Systém je možné vylepšiť redundanciou riadiaceho obvodu.

Bezpečnostný systém podľa vynálezu má veľkú operačnú pružnosť, uspokojuje bezpečnostné nároky a má zodpovedajúce časové dimenzie operácií a jeho zaobstarávacie náklady sú nižšie.

Uvedená stavba obvodu umožňuje rozšíriť systém podľa vynálezu na komplexnejšie štruktúry s viac ako dvoma mikroprocesormi. Softvér riadiaceho obvodu môže bez doplnkového vybavenia istiť softvér a mikroprocesorov PI, P2 z počtu p mikroprocesorov PI, P2. Teda n mikroprocesorov medzi p mikroprocesormi musí disponovať rovna3 kými výsledkami, aby výstupy boli potvrdené. V tomto prípade môže byť softvér riadiaceho mikroprocesora P3 vstavaný do niektorého z mikroprocesorov PI, P2.

Claims (6)

1. PATENTOVÉ NÁROKY

   1. Mikroprocesorový bezpečnostný systém, hlavne na železničnú dopravu, ktorý’ v závislosti od vstupných dát (DE) zo snímačov (CP) kontroluje a riadi akčné prvky (ACT), vyznačujúci sa tým, že pozostáva najmenej z dvoch paralelne usporiadaných mikroprocesorov (PI, P2), ktorých vstupy sú napojené cez analógovo-číslicový prevodník (A/Nl) na výstup analógových vstupných dát (DE) snímačov (CP) a ktorých analógové výstupy (Rl, R2) sú napojené na riadiaci mikroprocesor (P3), na porovnanie a overovanie výstupov (Rl, R2), pričom riadiaci mikroprocesor (P3) je výstupom (S) prepojený s dynamickým kontrolórom (CD), ktorého výstup je napojený spojom (AG) na funkčné výstupy (si, sj) mikroprocesorov (PI, P2) na riadenie priechodu týchto íúnkčných výstupov (si, sj) a výstup riadiaceho mikroprocesora (P3) je spojom (Al) napojený na funkčné výstupy (si, sj) na vykonávanie korekcie na každom funkčnom výstupy (si, sj), pričom funkčné výstupy (si, sj) sú napojené na číslicovo-analógový prevodník (N/A) na vytvorenie analógových výstupných dát (DS) na akčné prvky (ACT), kde výstup analógových výstupných dát (DS) čislicovo-analógového prevodníka (N/A) je spojom (RL) prepojený cez analógovo-číslicový prevodník (A/N2) na mikroprocesory (PI, P2) na porovnanie výstupných dát (DS) s numerickými pôvodne vypočítanými výsledkami.
2. 2. Mikroprocesorový bezpečnostný systém podľa nároku 1,vyznačujúci sa tým, že medzi obidva mikroprocesory (PI, P2) je vložený oneskorovací obvod.
3. 3. Mikroprocesorový bezpečnostný systém podľa nároku 1 alebo 2, vyznačujúci sa tým, že je vybavený obojsmernou zbernicou (B) na prechod informácie medzi jednotlivými mikroprocesormi (PI, P2, P3).
4. 4. Mikroprocesorový bezpečnostný systém podľa niektorého z nárokov 1 až 3, vyznačujúci sa t ý m , že riadiaci mikroprocesor (P3) je mikroprocesorom na porovnávanie výstupov (Rl, R2) mikroprocesorov (PI, P2) a korekciu a kontrolu vzájomnej súvislosti líšiacich sa výstupov (Rl, R2).
5. 5. Mikroprocesorový bezpečnostný systém podľa nároku 4, vyznačujúci sa tým, že riadiaci mikroprocesor (P3) je mikroprocesorom na čiastočné utlmenie funkčných výstupov (si, sj) v prípade líšiacich sa výstupov (R1.R2).
6. 6. Mikroprocesorový bezpečnostný systém podľa niektorého z nárokov 1 až 5, vyznačujúci sa t ý m , že je vybavený najmenej dvoma mikroprocesormi (PI, P2) a riadiacim mikroprocesorom (P3) na istenie (n) mikroprocesorov (PI, P2) z (p) mikroprocesorov (PI, P2).