Дублированная система управления

СОЮЗ СОВЕТСКИХСОЦИАЛИСТИЧЕСКИХРЕСПУБЛИК 0106 ИСАНИЕ ИЗОБРЕТЕНИЯ 1)2 сод ГОСУДАРСТВЕННЫЙ КОМИТЕТ СССРПО ДЕЛАМ ИЗОБРЕТЕНИЙ И ОТКРЫТИЙ К АВТОРСКОМУ СВИДЕТЕЛЬСТ(56) 1. Авторское свидетельство СССРР 128929, кл. 6 0611/00, 1959.2. Патент США 9 40335705,кл. 318/364, опублик. 1977.3. Авторское свидетельство СССРР 702379, кл. 6 06 В 19/18, 1978(54)(57) 1. ДУБЛИРОВАННАЯ СИСТЕМАУПРАВЛЕНИЯ, содержащая основноеи резервное управляющие устройствас подключенным к их сигнальным входам блоком датчиков, переключающийблок, ныход которого подключенк входу блока исполнительных органов, и пульт управления, выход которого подключен к первому сигнальному входу переключающего блока,о т л и ч а ю щ а я с я тем, что,с целью повышения надежности системы за счет сохранения непрерывности управляющей и информационной функцией при отказе основногоуправляющего устройства, она содержит генератор, индикатор, блок контроля и два блока задержки, каждыйиз которых включен между управляющим выходом основного и резервногоуправляющих устройств соответственно и соответствующим вторым сигнальным входом.переключаюцего блока,первый вход блока контроля подключен к контрольному выходу основногоуправляющего устройства, второйвход - кконтрольному Выходурезервного управляющего устройства,а третий вход - к выходу генератоН 05 К 10/00; С 05 В 9/03,Б 05 В 19/18 ра и контрольным входам основного и резервного управляющих устройств, первый выход - к первому упранляю-, щему входу переключающего блока, а второй выход - к второму управляющему входу переключающего блока и входу индикатора.2. Система по и. 1, о т л и ч а ю щ а я с я тем, что блок контроля содержит семь элементов совпадения, четыре триггера и два элемента НЕ, первые входы первого и второго элементов совпадения соединены с первым входом блока, а первые входы третьего и четвертого элементов совпадения соединены С Щ вторым входом блока, третий нх которого соединен с общей шиной и первыми входами первого и второго триггерон, пятого и шестого элемен- С тон совпадения, вторыми входами второго и третьего элементов совпадения и через элементы НЕ - с вторыми входами первого и четвертого элементов совпадения, выходы первого АР пятого второго, третьего четвертого ф",)и шестого элементов совпадения подключены соответственно к первому и ЬМ второму входам третьего триггера, ( вторым входам первого и второго триггеров и к первому и второму входам четвертого триггера, выходы ф первого и второго триггеров соединены соответственно с вторыми входами пятого и шестого элементов совпадения, а выход третьего триггера, являюцийся первым выходом блока, и выход четвертого триггера подключены к нходам седьмого элемента совпадения, выход которого соединен с вторым Выходом блокаИзобретение относится к техникеповышения эксплуатационной надежности электронного оборудонания,а именно к резервированию управляющих устройств, преимущестненно управляющих вычислительных машин и может быть использовано навтоматических и автоматизированных системах управления процессамии установками, н которых основноеуправляющее устройство задублировано резервным.Известны резервированные системы управления, содержащие основное и резервированное управляющиеустройства, выходы которых подключены к узлу функционального анализа, воздействующему на управляющий вход переключателя, коммутируемые входы которых соединены с ныходами управляющих устройств, а 0выход переключателя - с исполнительным органом 1 3 и ,"2 ,Однако эти системы управленияодновременно с выполнением основной задачи осуществляют функциональный анализ управляющих сигналов на соотнетствие заданному критерию, что позволяет выявить неработоспособное устройство и отключить его от управления, Применение таких систем управления целесообразно только для устройстви процессов, у которых ненелико количество управляемых координат,поскольку с увеличением их числавозрастает и время функциональногоанализа, а возникающее при этомзапаздывание отрицательно влияетна качество управления.Известна также резервированнаясистема управления сложными процессами и объектами с множествомканалов воздействия и сигналов обратной связи,Известная система упранлениясодержит основное и резервное упранляющие устройства с подключенным к их сигнальным входам блокомдатчиков, переключающий блок, выходкоторого подключен ко входу блокаисполнительных органов и пульт управления, выход которого подключен к первому сигнальному входу переключающего блока 133.Недостатком известной системыуправления является нарушение ееуправляющей и информационной функций при отказе основного управляющего устройства. Это нарушение возникает из-за того, что с моментапоявления неисправности до ее обнаружения и завершения передачи управления резервному упранляющему устройству, объект упранления находитсяпод воздействием отказавшего устройстваНарушение управляющей и,информационной функций системы уп-65 равления может произойти еще ипотому, что формирование сигнала"Отказ" осуществляет само оснонное управляющее устройство,а егоповреждения могут быть такими, чтоуказанный сигнал не будет сформирован. В этом случае объект управления остается подключенным кнеисправному устройству до техпор, пока по инициативе операторане будет осуществлен переход нарежим ручного упранления с использованием имеющегося в системе пульта.Цель изобретения - повышениенадежности системы за счет сохранения непрерывности управляющей иинформационной функций при отказеосновного управляющего устройства,который проявляется в потере работоспособности одного или нескольких блоков, входящих в его состав,а именно процессора, запоминающихблоков, блока ввода или блока вы -вода,Поставленная цель достигаетсятем, что дублированная система управления, содержащая оснонное и резервное управляющие устройства сподключенным к их сигнальным входам блоком датчиков, переключающий блок, выход которого. подключенк входу блока исполнительных органов, и пульт управления, выходкоторого подключен к первому сигнальнбму нходу переключающего блока,содержит генератор, индикатср, блокконтроля и два блока задержки,каждый из которых нключен междууправляющим выхОдом основного и резервного управляющих устройств соответственно и соответстнующим вторым сигнальным входом переключающего блока, первый вход блока контроля подключен к контрольному выходу основного управляющего устройства, второй вход - к контрольномувыходу резервного управляющего устройства, а третий вход - к выходугенератора и контрольным входамосновного и резервного управляющихустройств, первый выход - к первомуупранляющему входу переключающегоблока, а второй выход - к второму управляющему входу переключающего блока и входу индикатора.Кроме того, блок контроля содержит семь элементов совпадения, четыре триггера и два элемента НЕ,первые входы первого и второго элементов совпадения соединены с первымвходом блока, а первые входы третьего и четвертого элементов совпадения соединены с вторым входом блока, третий нход которого соединен собщей шиной и первыми входами первого и второго триггеров, пятого ишестого элементов совпадения, нто 1062906рыми входами второго и третьего элементов совпадения и через элементы НЕ - с вторыми входами первого и четвертого элементов совпадения, выходы первого, пятого, второго третьего четвертого и шестого элементов совпадения подключены соответственно к первому и второму входам третьего триггера, вторым входам первого и второго триггеров и к первому и второму входам четвертого триггера, выходы первого и второго триггеров соединены соответственно с вторыми входами пятого и шестого элементов совпадения, а выход третьего триггера, являющийся первым выходом блока, и выход четвертого триггера подключены к входам седьмого элемента совпадения выход которого соединен с вторым выходом блока.На фиг. 1 изображена блок-схема дублированной системы управления; на фиг. 2 - график взаиморасположения сигналов генератора, а также сигналов на. входе и выходе каждого из блоков задержки, на фиг. 3 структурная схема основного управляющего устройства;,на фиг. 4 структурная схема блока контроля, на фиг. 5 - 7 - графики сигналов, поясняющих работу блока контроля.Дублированная система (фиг. 1) содержит основное управляющее уст- . ройство 1, резервное управляющее устройство 2, блок 3 датчиков, блок 4 исполнительных органов, переключающий блок 5, пульт 6 управления, блоки 7 и 8 задержки, генератор периодических сигналов )9, индикатор 10 и блок 11 контроля.Основное управляющее устройство 1 имеет сигнальный вход 12, управляющий выход 13, контрольный вход 14 и контрольный выход 15.Резервное управляющее устройство 2 имеет сигнальный вход 16, управляющий выход 17, контрольный вход 18 и контрольный выход 19.Переключающий блок 5 располагает тремя коммутируемыми входами,20-22, а также двумя управляющими: первым 23 и вторым 24. У блока контроля имеется первый25, второй 26 и третий 27 входы,а также первый,28 и второй 29 вы-ходыНа фиг. 2 изображены сигнал 30генератора 9, управляющий сигнал 31,поступающий с выхода 13 устройства1 на вход блока 7 задержки, а такжесигнал 32 на выходе этого блокасигнал, воздействующий на входблока 8, и сигнал на его выходеполностью совпадают с сигналами 31и 32 соответственно . Сигналы 32и 31 смещены во времени . на ве 10 15 20 25 30 35 40 50 55 60 65 личину задержки г, реализуемую каждым из блоков 7 и 8, которая равна периоду следования сигналов 30.Управляющее устройство 1, схема которого изображена на фиг. 3, содержит процессор 33, оперативный запоминающий блок 34, буферныйзапоминающий блок 35, блок 36 ввода, блок 37 вывода, интерфейсныйблок 38 и контролер 39.Блок 11 контроля, схема которого приведена на фиг. 4, включаетпервый 40, второй 41, третий 42,четвертый 43, пятый 44, шестой 45и седьмой 46 элементы совпадения;первый 47, второй 48, третий 49 ичетвертый 50 триггеры, а такжеэлементы НЕ 51 и 52,На фиг. 5-7 как функция времени 1, изображены следующие сигналы: сигналы 30 генератора 9; контрольные сигналы 53, формируемыеустройством 1 на выходе 15(совпадают по форме и по времени с сигналами на выходе 19 устройства 2),сигналы 54 на выходе элемента 41совпадения; сигналы 55 на выходетриггера 47; сигнал 56 на выходеэлемента 44 совпадения; сигнал 57на выходе элемента 40 совпадения.Принцип работы дублированнойсистемы управления заключаетсяв том, что одинаковые управляющие сигналы, одновременно формируемые основньм и резервным управляющими устройствами, задерживаются в сигнальных цепях, подключеных к коммутируемым входампереключающего блока, а во времязадержки осуществляется контрольработоспособности управляющих устройств и при необходимости - переключение коммутируемых входовВыполнение рабочих программустройствами 1 и 2 сводится к формированию ими на своих выходах13 и 17 управляющих, а на выходах15 и 19 - контрольных сигналов,причем формирование контрольныхсигналов имеет приоритет передгенерацией управляющих,Устройства 1 и 2 вырабатываютуправляющие сигналы с учетом данных,. поступающих .от блока 3 датчиков, соединенного с входами 12и 16 этих устройств. Выработка управляющих сигналов устройствами1 и 2 выполняется синфазно, причемустройство 1 транслирует управляющие сигналы со своего .выхода 13на вход 20 блока 5 через блок 7задержки, а устройство 2 - со своеговыхода 17 на вход 21 блока 5 через.блок 8 задержки. В начале работыдублированной системы выход переключающего блока 5 соединен с коммутируемым входом 20.10 50 Для пояснения принципа работы дублированной системы управления на фиг, 2 представлено взаиморасположение сигнала 30 генератора 9, одного из управляющих сигналов 31, 55 воздействующего на блок 7 задержки, а также соответствующего ему сигнала 32 на выходе этого блока сигналы на входе и выходе блока 8 экви" валентны укаэанным ), 60Сигнал 30 имеет прямоугольную форму, существует в течение времени Т и генерируется с периодом , равным времени задержки, которое реализует каждый из блоков 7 и 8. 65 Контроль работоспособности упранляющих устройств 1 и 2 выполняютблок 11 контроля, анализируя контрольные сигналы этих устройств, которые поступают с выходов 15 и 19соответстненно на первый 25 и второй 26 нходы блока 11. Формирование контрольных сигналон осуществляется циклически, с периодом,равным периоду следования сигналов 30 генератора 9,При подтверждении работоспособности состояния управляющего устройства 1, что фиксируется заданной комбинацией бинарных сигналовна выходах 28 и 29 блока 11, подключенные к ним упранляющие входы23 и 24 блока 5 не возбуждаются, исопряжение выхода этого блока сосвоим входом 20 не нарушается. Благодаря этому на блок исполнительных 20органов 4 поступают сигналы, достоверность которых подтверждена контролем управляющего устройства 1,выполненным после формирования этихсигналов. Блок 4 исполнительных органов воздействует в свою очередьна объект управления, включаемыймежду этим блоком и блоком 3 датчиков.При выявлении отказа управляющего устройства 1 на выходах 28и 29 блока контроля возникает соответствующая комбчнация бинарныхсигналов, воспринимаемая управляющими входами 23 и 24 блока 5, В результате этого блок 5 переключаетсвой выход на коммутируемый вход21, после чего управление продолжает резервное устройство 2.В случае последующего отказа устройстна 2, выявляемого блоком 11контроля, последний должным образомвоздействует на входы 23 и 24 переключающего блока 5 и возбуждает индикатор 10, Блок 5 подключает приэтом свой выход к коммутируемому 45входу 22, образуя новый канал ноздейстния на объект управления, позволяющий оператору продолжить управление с помощью пульта 6. Время Т используется для контроля работоспособности устройстн1 и 2, а при необходимости и дляпередачи управления устройству 2.Из взаиморасположения сигналов30-32 видно, что пронерка работоспособности устройств 1 и 2 выполняется после того, как управляющиесигналы уже сформированы; но ещедо того, как они появляются на ныходе блоков 7 и 8 задержки и способны воздействовать на блок 4,а значит и на объект управления.При обнаружении отказа управляющего устройства 1 сигналы наныходе. блока 7 задержки рассматриваются как недостоверные, ав блок 4 транслируются заменяющие их достоверные сигналы свыхода блока 8 задержки.Процесс Формирования управляющих и контрольных сигналов управляющим устройством 1 поясняетсяс помощью структурной схемы нафиг, 3 структура и работа управляющего устройства 2 полностью эквивалентны структуре и работе унравляющего устройства 1).Первый сигнал, возникающий наныходе генератора 9 после его запуска воздействует на вход 14, проходит блок 36 ввода и интерфейсный блок 38, распознается процессором 33, после чего управляющееустройство 1 приступает к выполнению рабочей программы,Рабочая программа начинается с Формирования контрольного сигнала на выходе 15.Этот сигнал формируется каждый раз после того, как на вход 14 воздействует сигнал генератора 9. Блок 36 ввода транслирует эти сигналы через интерфейсный блок 38 в контроллер 39 и процессор 33. После этого контроллер 39 устанавливает буферный запоминающий блок 35 в режим накопления информации, поступающей в него с сигнального входа 12 через блок 36 ввода и интерфейсный блок 38. При этом процессор вырабатывает контрольный сигнал, используя данные из оперативного запоминающего блока 34 и адресует этот сигнал через интерфейсный блок 38 и блок 37 вывода на контрольный выход 15. Затем информация из буферного запоминающего блока 35, накопицшаяся тем во время формирования контрольного сигнала, передается в оперативный запоминающий блок 34, в который адресуются и данные, характеризующие сигналы, продолжающие воэдейстновать на нход 12. Эти сигналы преобразуются блоком Зб ввода 1 перевод из аналоговой Формы в дискретную, ко 106290610 15 25 30 35 40 45 50 55 60 65 20 При нормальной работе управляющегоустройства 1 (фиг. 4 и 5) сигнал 30, воздействуя своим переднимфронтом на вход триггера 47, переводит его из единичного состояния,в котором он находился до началаработы, в нулевое 1 график сигнала 55 ).Сигнал 30 генератора 9 воздействует также и на один из входов элемента 41 совпадения, Во время существования сигнала 30 на другойвход элемента 41 совпадения со стороны входа 25 поступает контрольный сигнал 53, благодаря чему высоким уровнем сигнала 54, возникающего на выходе этого элемента, триггер 47 переводится в исходное единичное состояние,Если после этого контрольный сигнал 53 прекращает действовать ранее,чем исчезнет сигнал 30, что свидетельствует о нормальной работе управляющего устройства 1, то сигнал56 на выходе элемента 44 совпадения дирование и т.п,) и через интерфейсный блок 38 и запоминающий блок 35 транслируются в оперативный запоминающий блок 34.Процессор 33, взаимодействуя с блоком 34, вырабатывает управляющую информацию, которая в закодированном виде через блок 38 передается в блок 37 вывода. Этот блок преобразует принятые данные в управляющие сигналы на своем выходе 13.Таким образом, управляющие устройства 1 и 2 с помощью рабочей программы, хранящейся в их запоминающих блоках, формируют на своих выходах управляющие и контрольные сигналы.При формировании контрольных сигналов управляющие устройства 1 и 2 используют все свои узлы. Следовательно, контрольные сигналы, параметры которых отвечают известным требованиям, свидетельствуют об исправной работе этих устройств.Контроль состояния управляющих устройств осуществляет блок 11 контроля. Работа этого блока поясняется с помощью схемы на фиг, 4 и графиков на фиг. 5-7.Вырабатываемые управляющими устройствами 1 и 2 контрольные сигналы 53, воздействуют на входы 25 и 26 блока 11 контроля. Частота этих сигналов, как было указано выше, совпадает с частотой сигналов 30 генератора 9, а скважность назначается такой, чтобы длительность сигнала 30 превышала длительность сигнала 53, и при этом последний должен существовать только во время существования сигнала 30.( элемент совпадения на низкие уровни ) остается в нулевом состоянии.В нулевом состоянии остается при этом и выход элемента 40 совпадения, поскольку поступающий на него сигнал 53 и интертированный сигнал 30 не находятся одновременно в единичном состоянии.Из сказанного следует, что если во время существования сигнала 30 на вход 25 воздействует сигнал 53 и его длительность меньше длительности сигнала 30, то триггер 49 не меняет своего исходного нулевого состояния. При этом на его выходе, который является и первым выходом 28 блока 11, остается сигнал низкого уровня, отображающий код "0", характеризующий работоспособное состояние устройства 1.На фиг. 6 представлены графики, отображающие состояние узлов блока 11 контроля в случае такого отказа управляющего устройства 1, при ко - тором контрольный сигнал 53 на его выходе 15 продолжает действовать или возникает ) на участке, где сигнал 30 исчезает. В этом случае после исчезновения сигнала 30 на оба входа элемента 40 совпадения как от элемента НЕ 51, так и со входа 25 поступают сигналы высокого уровня. Это определяет высокий уровень сигнала 57 (выход элемента 40 совпадения который воздействуя на триггер 49, перебрасывает его в единичное состояние, Фиксируемое на время дальнейшей работы. В силу этого на выходе 28 возникает сигнал высокого уровня, отображающий код "1", что свидетельствует о неисправности устройства 1.На Фиг. 7 представлены графики сигналов узлов блока 11 контроля при отказе управляющего устройства 1, который характерен отсутствием контрольного сигнала 53.В этом случае триггер 47, перебрасываемый в нулевое состояние передним фронтом сигнала 30 (график 55), остается в этом сосТоянии и впредь. Это объясняетсч тем, что отсутствие контрольного сигнала 53 на входе 25 предопределяет низкий уровень сигнала 54 на выходе схемы 41 совпадения. Следовательно, после окончания действия сигнала 30, элемент 44 совпадения на низкие уровни отреагирует изменением нулевого состояния своего выхода на единичное ( график 56 ).Благодаря этому триггер 49 будет переброшен в единичное состояние и на выходе 28 зафиксируется высокий уровень сигнала, соответствующий коду "1", обозначающему неисправность основного управляющего устройства 1.Аналогично работает и другая часть схемы блока 11 контроля, симметричная рассмотренной, которая проверяет резервное управляющее устройство 2 Состояние этого устройства отображает уровень сигнала на выходе триггера 50. Низкий уровень сигнала на выходе этого триггера свидетельствует о нормальной работе устройства 2, а высокий .об его отказе.Сигналы триггеров 50 и 49 воздействуют соответственно на второй и первый входы элемента 46 совпадения, выход которого представляет собой второй выход 29 блока 11.Следовательно, если на выходах 28 и 29 блока 11 контроля зафиксирован код "00",это означает, что управляющие устройства 1 и.2 работают нормально.Код "10" на выходах 28 и 29 свидетельствует об отказе управляющего устройства 1 при сохранении работоспособности управляющим устройством 2.В случае отказа обоих управляющихустройств 1 и 2 на выходах 28 и 29устанавливается код "11", При этомвозбуждается индикатор 10, оповещающий о необходимости продолженияуправления с помощью пульта 6.Блок 11, как существенно болеепростое устройство по сравнению сустройствами 1 и 2, обладает по отношению к ним повышенной надежностью, структура блока 11 допускаетрезервирование (например, троиро ванне ) каждого его узла. Укаэанныеобстоятельства допускают применениеэтого блока в качестве контрольного.Дублированная система управления обладает повыщенной надежностью.по сравнению с известной и сохраняет возможность использования пульта управления как аварийного блока,1062906 50Составитель И.ШаФир Р дактор Г.Волкова ТехредЖ.Кастелевич Корректор О.Тигор Заказ 10269/60 Тираж 845 Подписное ВНИИПИ Государственного комитета СССРпо делам изобретений и открытий113035, Москва, Ж, Раушская наб., д. 4/5Филиал "Цатент", г. Ужгород ул. Проектная, 4