СПОСОБ И УСТРОЙСТВО ЗАЩИТЫ МИКРОПРОЦЕССОРНЫХ СИСТЕМ ЖЕЛЕЗНОДОРОЖНОЙ АВТОМАТИКИ ОТ АППАРАТНЫХ И ПРОГРАММНЫХ НАРУШЕНИЙ В РАБОТЕ И УСТРОЙСТВО СРАВНЕНИЯ ПАРАФАЗНЫХ СИГНАЛОВ С ЗАЩИТОЙ ОТ ОПАСНЫХ ОТКАЗОВ
METHOD AND DEVICE FOR PROTECTING MICROPROCESSOR SYSTEMS OF RAILWAY AUTOMATIC EQUIPMENT FROM HARDWARE AND SOFTWARE DYSFUNCTION AND DEVICE FOR COMPARING PARAPHASE SIGNALS WITH PROTECTION FROM HAZARDOUS FAILURE

Изобретение относится к области железнодорожной автоматики, обеспечивающей безопасность движения на железнодорожном транспорте, и может использоваться в автоматизированных локомотивных или напольных системах управления, а также в качестве самостоятельного безопасного управляющего элемента.
Существуют способы повышения уровня защиты микропроцессорных систем железнодорожной автоматики от аппаратных и программных сбоев в работе и отказах (В.М.Абрамов и др. Характеристики надежности и функциональной безопасности структур железнодорожной автоматики. Вестник ВНИИЖТ, 2006, №1: http://www.css-rzd.ru/vestnik-vniizht/v2006-1/v6-10_2.htm; Шалягин Д.В., Шубинский И.Б. Надежность и безопасность железнодорожной автоматики и телемеханики. Автоматика, связь и информатика. 2005, №2, с.23-26).
В известных способах сравнивают данные продублированных микропроцессорных структур и отключают систему при обнаружении первого несовпадения данных. Схемы, реализующие способы, включают независимые микропроцессорные структуры, связанные с внешним устройством сравнения. Схемы обладают свойством несимметричности отказа за счет того, что две одинаковые независимые микропроцессорные структуры работают параллельно, по одному синхронно выполняемому алгоритму. Каждая микропроцессорная структура регулярно выдает на внешнее устройство сравнения результат, идентифицирующий процесс ее работы, задача которого при обнаружении первого несовпадения в работе двух микропроцессорных структур перевести работающее устройство в состояние отключения, называемое защитным.
Комплексное локомотивное устройство безопасности унифицированное (КЛУБ-У) (RU №2248899, МПК 7: B61L 25/04 - прототип) представляет собой открытую систему реального времени с модульной архитектурой, включающее микропроцессорную систему управления с устройством сравнения.
Безопасная составная часть - модуль системы КЛУБ-У - содержит два работающих синхронно микропроцессорных узла и элемент сравнения. Работа такой системы характеризуется тем, что при возникновении в любом из упомянутых микропроцессорных узлов первого отказа возникает неравенство сравниваемых сигналов, устройство сравнения переводит модуль в защитное состояние. Модуль переходит в это состояние и при первом отказе элемента сравнения.
Безопасность узла сравнения может быть реализована только в том случае, когда, за исключением пренебрежимого в вероятностном смысле множества, при любой неисправности исключено появление на выходе узла ложных управляющих сигналов. Узел сравнения при возникновении любого первого отказа должен отключиться или перейти в защитное состояние.
Устройство сравнения парафазных сигналов (В.В.Сапожников и др. Методы построения безопасных микроэлектронных систем железнодорожной автоматики. М., Транспорт, 1995, с.87 и 97, рис.3.8а, б - прототип) содержит RS-триггер, на входы R и S которого подаются парафазные сигналы. На выходе триггера установлены транзисторные ключи, попеременно воздействующие на первичные полуобмотки выходного трансформатора, к выходной обмотке которого подключены выпрямительный мост и нагрузка. Если сигнал на входе R противофазен сигналу на входе S, то через нагрузку протекает выпрямленный ток и формируется выходное напряжение. Если импульсы на входе R поступают в фазе с импульсами на входе S, т.е. парафазность сигналов нарушается, то триггер не переключается, через нагрузку не протекает ток и выходное напряжение на нагрузке оказывается равным нулю. Это же происходит, если импульсы на входе R отсутствуют.
Недостатком устройства являются отказы, трансформирующие триггер в самостоятельные транзисторные ключи и не прерывающие поступления импульсов через первичные полуобмотки трансформатора. Кроме того, сам по себе триггер не имеет элемента памяти, необходимого для реализации заявляемого способа.
Задачей заявляемой группы изобретений является повышение уровня надежности обеспечения защиты микропроцессорных систем железнодорожной автоматики от аппаратных и программных нарушений в работе при сокращении объема программно-аппаратных средств.
Решение задачи достигается тем, что в способе защиты микропроцессорных систем железнодорожной автоматики от аппаратных и программных нарушений в работе путем сигнатурного анализа для последующего формирования выходного управляющего сигнала, в отличие от прототипа выраженное сигнатурой количество импульсов сигнала, поступающего с тактового выхода микропроцессора, подсчитывают с помощью счетчика импульсов сигнала независимой логической схемы и выдают сигнал сигнатуры на схему сравнения, при этом на другой вход схемы сравнения выдают сигнал сигнатуры, вырабатываемый микропроцессором, причем один из сравниваемых сигналов сигнатур выдают на схему сравнения с задержкой таким образом, чтобы на ее выходе был образован сигнал, противофазный сигналу с тактового выхода микропроцессора, затем сигнал со схемы сравнения и сигнал с тактового выхода микропроцессора направляют в устройство сравнения парафазных сигналов для формирования выходного управляющего сигнала.
Устройство защиты микропроцессорных систем железнодорожной автоматики от аппаратных и программных нарушений в работе в отличие от прототипа, включающего микропроцессор, схему сравнения, безопасный и исполнительный элементы, для решения задачи содержит логическую схему со счетчиком импульсов сигнала, подключенную входом к тактовому выходу микропроцессора, а выходом - к одному из входов схемы сравнения, второй вход которой подключен к другому выходу микропроцессора, кроме того, безопасный элемент выполнен в виде устройства сравнения парафазных сигналов, три входа которого подключены, соответственно, к выходу схемы сравнения, тактовому выходу микропроцессора и к запуску, а выход - к исполнительному элементу.
Устройство сравнения парафазных сигналов с защитой от опасных отказов, применяемое для реализации способа, содержит два входа, на один из которых подается основная импульсная последовательность, а на другой - парафазная ей импульсная последовательность, транзисторная цепь и выход, связанный с источником питания. В отличие от прототипа устройство содержит входной элемент оптоэлектронной развязки с вспомогательным конденсатором питания, два элемента динамической перезарядки конденсаторов, выходной усилитель-преобразователь, вывод «Запуск» устройства и выходной вывод, причем вывод основной импульсной последовательности подключается к одному выводу первого резистора, второй вывод которого подключен к аноду светодиода первой оптронной развязки, катод которого подключен к клемме «земля», и коллектор фототранзистора которого подключен к катоду светодиода второй оптронной развязки, анод которого подключен к клемме «земля»; эмиттер фототранзистора первой оптронной развязки подключен к общей точке соединения вывода «Запуск», одной обкладке первого конденсатора, вторая обкладка которого подключена к клемме «земля»; коллектор транзистора второй оптронной развязки подключен к базе первого усиливающего транзистора, а эмиттер - к клемме «земля», база первого усиливающего транзистора подключена к одному выводу третьего резистора, второй вывод которого подключен к плюсу источника питания, коллектор первого усиливающего транзистора подключен к одному выводу пятого резистора, второй вывод которого также подключен к плюсу источника питания, а эмиттер первого усиливающего транзистора подключен к клемме «земля»; коллектор первого усиливающего транзистора соединен с одной обкладкой второго конденсатора, вторая обкладка которого соединена с катодом третьего выпрямительного диода, анод которого соединен с одной обкладкой третьего конденсатора, вторая обкладка которого соединена с коллектором второго усиливающего транзистора, к которому подсоединен первый вывод шестого резистора, второй вывод которого подключен к плюсу источника питания, а эмиттер усиливающего транзистора присоединен к клемме «земля»; второй входной вывод, на который поступает парафазная основная импульсная последовательность, подключен к одному выводу второго резистора, второй вывод которого подключен к аноду светодиода третьей оптронной развязки, катод которого присоединен к клемме «земля»; коллектор фототранзистора третьей оптронной развязки подключен к базе второго усиливающего транзистора и к одному выводу четвертого резистора, второй вывод которого присоединен к плюсу источника питания, а эмиттер фототранзистора третьей оптронной развязки подключен к клемме «земля»; катод третьего выпрямительного диода подключен к одному выводу седьмого резистора, другой вывод которого подключен к аноду светодиода четвертой оптронной развязки, а катод этого светодиода присоединен к аноду третьего выпрямительного диода, коллектор фототранзистора четвертой оптронной развязки подключен к базе третьего усиливающего транзистора и к одному выводу восьмого резистора, второй вывод которого присоединен к плюсу источника питания, коллектор третьего усиливающего транзистора присоединен к клемме «выход» и к одному выводу девятого резистора, второй вывод которого присоединен к плюсу источника питания, а эмиттер третьего усиливающего транзистора и эмиттер фототранзистора четвертой оптронной развязки присоединены к клемме «земля», катод третьего усиливающего транзистора присоединен также к одной обкладке четвертого конденсатора, вторая обкладка которого присоединена к катоду первого выпрямительного диода, анод которого присоединен к эмиттеру фототранзистора первой оптронной развязки; катод первого выпрямительного диода соединен с анодом второго выпрямительного диода, катод которого присоединен к клемме «земля».
Реализация решения задачи в заявляемой группе изобретений достигается за счет аппаратного диверситета, то есть с помощью различных цифровых узлов, позволяющих построить два выражения для одной динамической величины, - сигнатуры, выражающей количество импульсов, В отличие от прототипа в качестве выражения берется логическая функция не требующая идентичности узлов. Так, один из узлов может быть реализован в виде простой логической схемы, в состав которой входит счетчик импульсов сигнала; другим узлом является микропроцессор. Один из сравниваемых сигналов сигнатур выдают на схему сравнения с задержкой таким образом, чтобы на ее выходе был образован сигнал, противофазный сигналу с тактового выхода микропроцессора. Сигналы сигнатур с обоих узлов поступают на схему сравнения, образуя парафазность входного сигнала, поступающего от микропроцессора и контрольного сигнала со схемы сравнения. Устройство сравнения парафазных сигналов формирует выходной управляющий сигнал. При нарушении парафазности сигналов система переходит из рабочего состояния в защитное.
Реализация заявляемой группы изобретений позволит решить задачу обеспечения безопасности работы микропроцессорных систем железнодорожной автоматики от аппаратных и программных нарушений в работе при одном микропроцессоре с сохранением заданных качеств, в то время как в классической схеме безопасности требуются два микропроцессора. Аппаратные части, отвечающие за синхронизацию независимых узлов, выполненные на одном микропроцессоре, практически отсутствуют.
На фиг.1 приведена принципиальная схема устройства защиты микропроцессорных систем железнодорожной автоматики от аппаратных и программных нарушений в работе.
На фиг.2 - принципиальная схема устройства сравнения парафазных сигналов с защитой от опасных отказов.
Устройство защиты микропроцессорных систем железнодорожной автоматики от аппаратных и программных нарушений в работе содержит микропроцессор 1 с выходными каналами G и Y, схему сравнения 2, счетчик сигнальных импульсов 3 и устройство сравнения парафазных сигналов 4.
Устройство работает следующим образом. После подачи напряжения питания микропроцессор 1 начинает формировать на своем выходе G меандр фиксированной частоты. Счетчик импульсов 3 циклически подсчитывает количество исходящих сигнальных импульсов и в параллельном коде подает результат на схему сравнения 2. Это же количество импульсов подсчитывается микропроцессором и соответствующее ему число через канал Y также передается на схему сравнения 2 с задержкой, таким образом, чтобы на выходе схемы сравнения был образован «Контрольный сигнал», парафазный к сигналу с тактового выхода микропроцессора (G).
В случае, когда все элементы схемы исправны, исходный сигнал с тактового выхода микропроцессора G и сигнал со схемы сравнения «Контрольный сигнал» противофазные. «Контрольный сигнал» и сигнал G поступают на соответствующие входы устройства сравнения парафазных сигналов 4. Кроме того, устройство 4 содержит вход «Запуск», предназначенный для приведения его в действие путем кратковременной подачи на этот вход отрицательного напряжения. Устройство 4 выполнено по безопасной схеме и прекращает свою работу при возникновении любой своей внутренней аппаратной неисправности.
Программное обеспечение микропроцессора строится в соответствии с правилами построения безопасных элементов: нарушение работы, происходящее в микропроцессоре, вызывает нарушение в алгоритме подсчета количества импульсов выходного канала Y. В свою очередь, последнее нарушение изменяет правило чередования сигнальных импульсов на входах G и «Контрольного сигнала», тем самым образуя на выходе постоянный уровень сигнала, который приводит к тому, что сигнал управления (питания) исчезает с нагрузки.
Функция устройства сравнения парафазных сигналов 4 заключается в том, чтобы обеспечивать сигнал фиксированной частоты на своем выходе при правильном чередовании импульсов на входах G и «Контрольный сигнал». Последующими цепями этот сигнал усиливается и выпрямляется, образуя таким образом напряжение, которое, во-первых, может служить индикатором работоспособности микропроцессора, во-вторых, этим напряжением можно управлять различными исполнительными элементами (нагрузкой). При работе устройства в штатном режиме при исправных аппаратных и программных средств в устройстве сравнения парафазных сигналов 4 происходит генерация выходного переменного напряжения. При возникновении любой первой неисправности в схеме устройства парафазность сигналов нарушается и при ее пропадании на время, равное не более полупериода, устройство производит необратимый запрет генерации напряжения на выходе.
Устройство сравнения парафазных сигналов с защитой от опасных отказов 4 представляет собой замкнутую кольцевую схему, на входы которой подаются парафазные прямоугольные импульсы «G» и «Контрольный сигнал». Устройство содержит транзисторную цепь и выход, связанный с источником питания. В отличие от ближайшего аналога оно содержит входной элемент оптоэлектронной развязки с вспомогательным конденсатором питания, два элемента динамической перезарядки конденсаторов, выходной усилитель-преобразователь, вывод «Запуск» устройства и выходной вывод, причем вывод основной импульсной последовательности подключается к одному выводу первого резистора, второй вывод которого подключен к аноду светодиода первой оптронной развязки, катод которого подключен к клемме «земля», и коллектор фототранзистора которого подключен к катоду светодиода второй оптронной развязки, анод которого подключен к клемме «земля»; эмиттер фототранзистора первой оптронной развязки подключен к общей точке соединения вывода «Запуск», одной обкладке первого конденсатора, вторая обкладка которого подключена к клемме «земля»; коллектор транзистора второй оптронной развязки подключен к базе первого усиливающего транзистора, а эмиттер - к клемме «земля», база первого усиливающего транзистора подключена к одному выводу третьего резистора, второй вывод которого подключен к плюсу источника питания, коллектор первого усиливающего транзистора подключен к одному выводу пятого резистора, второй вывод которого также подключен к плюсу источника питания, а эмиттер первого усиливающего транзистора подключен к клемме «земля»; коллектор первого усиливающего транзистора соединен с одной обкладкой второго конденсатора, вторая обкладка которого соединена с катодом третьего выпрямительного диода, анод которого соединен с одной обкладкой третьего конденсатора, вторая обкладка которого соединена с коллектором второго усиливающего транзистора, к которому подсоединен первый вывод шестого резистора, второй вывод которого подключен к плюсу источника питания, а эмиттер усиливающего транзистора присоединен к клемме «земля»; второй входной вывод, на который поступает парафазная основной импульсная последовательность, подключен к одному выводу второго резистора, второй вывод которого подключен к аноду светодиода третьей оптронной развязки, катод которого присоединен к клемме «земля»; коллектор фототранзистора третьей оптронной развязки подключен к базе второго усиливающего транзистора и к одному выводу четвертого резистора, второй вывод которого присоединен к плюсу источника питания, а эмиттер фототранзистора третьей оптронной развязки подключен к клемме «земля»; катод третьего выпрямительного диода подключен к одному выводу седьмого резистора, другой вывод которого подключен к аноду светодиода четвертой оптронной развязки, а катод этого светодиода присоединен к аноду третьего выпрямительного диода, коллектор фототранзистора четвертой оптронной развязки подключен к базе третьего усиливающего транзистора и к одному выводу восьмого резистора, второй вывод которого присоединен к плюсу источника питания, коллектор третьего усиливающего транзистора присоединен к клемме «выход» и к одному выводу девятого резистора, второй вывод которого присоединен к плюсу источника питания, а эмиттер третьего усиливающего транзистора и эмиттер фототранзистора четвертой оптронной развязки присоединены к клемме «земля», катод третьего усиливающего транзистора присоединен также к одной обкладке четвертого конденсатора, вторая обкладка которого присоединена к катоду первого выпрямительного диода, анод которого присоединен к эмиттеру фототранзистора первой оптронной развязки; катод первого выпрямительного диода соединен с анодом второго выпрямительного диода, катод которого присоединен к клемме «земля».
Устройство работает следующим образом. Для приведения в действие устройства, находящегося в выключенном защитном состоянии, требуется подача на вход «Запуск» кратковременного импульса отрицательной полярности. Оптрон VU1 по цепи эмиттера получает питание и в полупериоды высокого HL-уровня входной последовательности G проводит ток, что включает оптрон VU2. При этом транзистор VT1 переключается в состояние отсечки, создается электрическая цепь для протекания тока через светодиод оптрона VU4: U1, R5, С2, R7, светодиод VU4, С3, переход «коллектор-эмиттер» VT2, точка нулевого потенциала схемы (земля). Транзистор VT2 в этот момент времени находится в состоянии насыщения, так как на входе подтверждения присутствует сигнал низкого уровня LL, и оптрон VU3 выключен.
В следующий полупериод входы G и «Контрольный сигнал» меняются ролями. На входе G присутствует LL-уровень, а на входе «Контрольный сигнал» - HL-уровень, то есть на входах выполняется условие парафазности. В этот момент транзистор VT1 оказывается в состоянии насыщения, транзистор VT2 - в состоянии отсечки, создается электрическая цепь для протекания тока через конденсаторы С3 и С2 в обратном направлении, перезаряжая их: U1, R6, С3, VD3, С2, VT1, земля. Таким образом, светодиод оптрона VU4 в каждый полупериод HL-уровня последовательности G получает питание, оптрон включается и приводит транзистор VT3 в состояние отсечки. В следующий полупериод, когда светодиод оптрона VU4 питания не получает, оптрон выключен и транзистор VT3 переходит в состояние насыщения, то есть транзистор VT3 периодически с частотой следования импульсов G и «Контрольный сигнал» включается и выключается, выдавая на выход прямоугольные импульсы, синфазные с последовательностью G. Одновременно создается цепь отрицательной подпитки конденсатора С1, необходимой для работы оптрона VU1. Действительно, в полупериод, когда транзистор VT3 находится в состоянии отсечки, конденсатор С4 заряжается до положительного напряжения по цепи U1, R9, С4, VD2, земля. Верхняя по схеме обкладка конденсатора С4 несет на себе положительный заряд, нижняя - отрицательный. В следующий полупериод, когда транзистор VT3 оказывается в состоянии насыщения, конденсатор С4 разряжается на конденсатор С1, инвертируя полярность, так как его верхняя обкладка (положительно заряженная) через открытый транзистор VT3 оказывается соединенной с нижней по схеме обкладкой конденсатора С1, а нижняя обкладка (отрицательно заряженная) через открытый диод VD1 - с верхней по схеме обкладкой конденсатора С1. Конденсатор С1 при нормальной работе схемы непрерывно заряжается отрицательным напряжением, что обеспечивает работу схемы. Отрицательное напряжение на входе «Запуск» при этом может быть снято, и его наличие или отсутствие на работу схемы влияния не оказывает.
Схема функционально безопасна, поскольку каждый первый отказ любого из ее элементов или нарушение связи между ними контролируются самой схемой и переводят ее в состояние защитного отказа, так как цепь подпитки оптрона VU1, представляющая собой положительную обратную связь с ее выхода на вход, разрушается, и схема прекращает работу. В случае сбоя, приводящего к нарушению парафазности, она также перестает работать, однако, в отличие от первого случая, ее функционирование может быть восстановлено подачей сигнала «Запуск». Например, пусть произошел пробой транзистора VT2. Цепь перезарядки, то есть динамический режим работы конденсаторов С2 и С3, нарушается, они заряжаются до постоянного напряжения, транзистор VT3 перестает переключаться, остается в состоянии насыщения, конденсатор С4 не инвертирует напряжение, на выходе G присутствует постоянное напряжение U1, и схема выключается. Наличие гальванических развязок за счет использования оптронов VU1-VU4 и динамический режим сравнения обеспечивают указанное выше свойство схемы.