DK148560B - Tokanalet databearbejdningskobling til jernbanesikringsformaal - Google Patents

Description

i 148560

Opfindelsen angår en tokanalet databearbejdningskobling til jernbanesikringsformål med to mikrodatamater, som bearbejder de samme data, og til hver af hvilke der for informationer, som skal sammenlignes, er knyttet 5 en komparator, hvilke komparatorer ved overensstemmende informationer afgiver et koblingssignal over hver sin udgang. Sådanne anlæg kaldes også 2v2-systemer.

De i jernbanesikringsvæsenet anvendte koblingsindretninger skal ofte overtage sikkerhedsansvar. Dette 10 gælder sporskifte- og signalanlæg, strækningsapparater til togpåvirkning eller indretninger på selve skinnekøretøjerne. Af denne årsag skal databearbejdningsanlæg, der i tiltagende grad også realiseres ved hjælp af mikrodatamater, arbejde efter anerkendte sikkerheds-15 principper, ved hvilke processen, altså togdriften, der skal styres, i tilfælde af eventuelt optrædende tekniske fejl overføres til en for mennesker ufarlig tilstand. Dette kan eksempelvis ske ved, at der til alle signaler, der anerkendes som farlige, efter den i mange 20 år indenfor jernbanesikringsområdet anerkendte sikkerhedsfilosofi, knyttes et højt signalniveau eller en vekselspænding, der ved en forstyrrelse af det pågældende databearbejdningsanlæg frakobles på alle udlæsningskanaler. Hertil kræves der imidlertid indretninger, som 25 erkender en fejlagtig databearbejdning så rettidigt, at de af et defekt databearbejdningsanlæg bestemte styrekommandoer ikke når frem til den styrede proces.

I et kendt databearbejdningsanlæg af den indledningsvis omhandlede art, jf. tysk offentliggørelses-30 skrift nr. 2 319 753, bliver der til forøgelse af totalanlæggets disponibilitet efter optræden af en fejl i et første af to databearbejdningsanlaKr koblet om til det andet databearbejdningsanlæg, der til stadighed arbejder med i paralleldrift, og om hvilket det antages, at det 35 ikke ligeledes blev defekt på det samme tidspunkt. I disse kendte 2v2-systemer kan det under anvendelse af et særligt koblingsteknisk opbud konstateres,hvilket af de to databearbejdningsanlæg der i et forstyrrelse s til fælde har le- 2 148560 veret et forkert resultat.

Med henblik på den nødvendige sikkerhed kan der· ikke ske nogen indskrænkning i den retning, at kun bestemte anlægsdele af et dubleret databearbejdningssy- 5 stem frakobles, fordi der hertil ikke er indeholdt nogen tilstrækkelig sikker fejlerkendelsesmekanisme. Det ville derfor heller ikke tjene noget formål at arbejde videre med kun én datamat, der sikkert er erkendt som intakt, fordi denne i mangel af en sikker fej lerkendelsesmeka-1 o nisme ved soloarbejde ville forårsage risici for mennesker og materiel.

Også USA-patentskrift nr. 4 096 990 beskriver et tokanalet databearbejdningsanlæg med to mikrodatamater, som bearbejder de samme data. Dette kendte databear- 15 bejdningsanlæg arbejder ligeledes efter 2v2-systemet.

Med henblik på, fra det tokanalede databearbejdningsanlæg at kunne afgive styresignaler og/eller ordrer til en proces, som skal styres, findes der udlæsningskomponenter. I dette databearbejdningsanlæg kan der ved fejl-20 agtig funktion over udlæsningskomponenterne optræde et uønsket signal, som bringer den proces, der skal styres, i fare.

USA-patentskrift nr. 4 270 168 beskriver detaljer ved et fejlsikkert multidatamatsystem med særligt test-25 udstyr. Dette testudstyr muliggør detektering af en fejlagtig arbejdende datamat og frakobling af denne.

Hvis der ialt kun findes to datamater, arbejder anlægget i tilfælde af fejl videre med kun én datamat. Dette er imidlertid af sikkerhedshensyn ikke tilstrækkeligt i 30 jernbanesikringsanlæg. Også i dette kendte multidatamatsystem kræves der et særligt koblingsteknisk opbud for i= fejltilfælde først at kunne detektere den defekte datamat.

Dansk fremlæggelsesskrift nr. 142 474 beskriver en

3C

sikkerheds-udlæsningskobling til et databearbejdningsanlæg, som indeholder to mikrodatamater. Det forudsættes, at de komponenter, der anvendes til udlæsningskoblingen, 3 148560 har egenskaber, som ikke fortabes. Denne forudsætning er imidlertid ved mere strenge sikkerhedsbetragtninger ikke altid opfyldt. Heraf resulterer en sandsynlighed for dobbeltfejl, som på ingen måde kan accepteres i jern-5 banesikringsanlæg, fordi dobbeltfejl under visse omstændigheder ikke kan konstateres.

Fra tysk fremlæggelsesskrift nr. 2 636 352 kendes et beskyttelsessystem, navnlig til en kernereaktor, som indeholder to datamater, som med samme program bearbej-10 der de samme informationer. Der findes en sammenligningsindretning, som afgiver et signal ved en afvigelse mellem de tilførte informationer, der skal sammenlignes.

Dette kendte system kræver imidlertid til opfyldelse af de høje sikkerhedsanfordringer, der stilles til kerne-15 reaktorer, en sikker komparator, som under alle tekniske omstændigheder aldrig afgiver et signal, som kunne indebære en fare for mennesker og materiel.

Opfindelsen tager derfor sigte på at forbedre en tokanalet databearbejdningskobling af den indlednings- ' 20 vis omhandlede art til anvendelse indenfor jernbanesikringsvæsenets område således, at det under anvendelse af ikke sikre komparatorer og undgåelse af specielle komponenter sikres, at der ved en konstateret signaluover-ensstemmelse mellem de to databearbejdningsanlæg med 25 sikkerhed ikke afgives signaler, som bringer processen i fare.

Ifølge opfindelsen løses opgaven ved, at der på udgangen på hver af de to komparatorer er tilsluttet et OG-led, på hvilket en anden indgang modtager en 30 taktimpuls, at der efter hvert af OG-leddene er indkoblet en separat impulsforstærker, hvoraf den ene modtager den til dens drift nødvendige energi fra en strømforsyningskilde, og den anden modtager sin energi fra transformatorudkoblede og ensrettede udgangssigna-35 ler fra den førstnævnte impulsforstærker, og at der mellem udgangene på en af de to mikrodatamater og de 148560 . 4 : signalerne optagende indretninger findes aktive udlæs ningskoblinger med transformatorsignaludkobling, hvis strømforsyning sker via transformator over den anden impulsforstærkers udgangskreds.

5 På fordelagtig måde kan hvert af de to OG-led med - henblik på forsyningen med en taktimpuls være forbundet ' med den tilknyttede mikrodatamats taktimpulsgiver. Den særlige fordel ved den tokanalede databearbejdningskobling ifølge opfindelsen ligger i den særlig enkle sam-10 menknytning af de to kanaler over strømforsyningen af impuls forstærkere/ således at der heller ikke som følge af komponentudfald i disse komponentgrupper på uønsket . - ' måde kan foregives en korrekt tilstand.

I en fordelagtig videreudvikling af opfindelsen 15 er udgangen på det ene og det andet OG-led hver især forbundet med en indgang på den tilknyttede mikrodatamat. Ved en sådan tilbageføring af impulser, som forefindes på udgangene af de to OG-led ved korrekt tilstand af koblingsindretningen som helhed, til den til-20 knyttede bearbejdningsenhed er det muligt fra tid til anden at foretage en kanalspecifik kontrol. Kontrolvarigheden skal i hvert enkelt tilfælde være kortere end . den korteste reaktionstid for indstillingsled i det af databearbejdningsanlægget styrede jernbaneanlæg.

25 . Et uåførelseseksempel ifølge opfindelsen er i. det følgende forklaret nærmere under henvisning til tegningen. Blokdiagrammet viser i sin venstre del to raik-- rodatamater MRl og MR2 i en tokanalet databearbejd ningskobling , som over indgangsledninger EN, der i 30 praksis er stedfortrædende for et stort antal indgangs-ledninger,· modtager alle de informationer, som er af vigtighed for styringen af et jernbanesikringsanlæg.

Ligeledes stedfortrædende for et stort antal ledninger --/= er der til mikrodatamaten MR2 tilsluttet en dataud-35 gangsledning DG, hvis informationer over to som data- 5 148560 udgang tjenende klemmer Kl og K2 står til rådighed for et indstillingselement i jernbanesikringsanlægget. Forskellige udgange på mikrodatamaten MRl er betegnet med 1L1, lL2-lLn og på mikrodatamaten MR2 med 5 2L1, 2L2-2Ln. Disse udgange kan føre mangfoldige sig naler, f.eks. data og/eller styreinformationer eller også adresser. Alle disse informationer er egnede til at blive sammenlignet parvist, således at en uoverensstemmelse mellem arbejdsmåderne for de to mikrodatama-10 ter MRl og MR2 kan konstateres så tidligt som muligt. Med henblik på fejlerkendelse er der til de to mikrodatamater MRl og MR2 knyttet to komparatorer VRl og VR2. De er begge forbundet med udgangene 1L1-lLn og 2Ll-2Ln på mikrodatamaterne MRl og MR2. Det 15 er væsentligt for det foreliggende 2v2-system, at der ved hjælp af komparatorerne VRl, VR2, der ikke ubetinget skal være opbygget af fejlsikre komponenter, afledes koblesignaler, som i fejltilfælde gør det muligt, at der med sikkerhed over klemmerne Kl og K2 ikke 20 afgives noget signal til det ikke viste indstillingselement, der skal styres. Således er der med hver af komparatorerne VRl henholdsvis VR2 forbundet et OG-led UDI henholdsvis UD2, som over en anden indgang El henholdsvis E2 og en styreledning IG1 25 henholdsvis IG2 er forbundet med den i den pågældende bearbejdningskanal forhåndenværende mikrodatamat MRl henholdsvis MR2. Over styreledningen IG1 henholdsvis IG2 når der taktimpulser frem til det tilknyttede OG-led UDI henholdsvis UD2 fra takt-30 impulsgiveren til den tilknyttede mikrodatamat MRl henholdsvis MR2; man kunne også forestille sig en fælles separat impulskilde. Som følge af denne koblingsforanstaltning opnås det, at der på udgangen af OG-leddet UDI henholdsvis UD2 altid optræder firkantformede 35 signaler, hvis komparatoren VRl henholdsvis VR2 har konstateret en korrekt tilstand, altså at der foreligger ensartede signaler fra begge mikrodatamater MRl og MR2. De da af OG-leddene UDI og UD2 afgivne fir- 6 148560 kantsignaler når frem til henholdsvis en første og en andén impulsforstærker IR1 og IR2. Impulsforstærkeren IRl er med hensyn til energiforsyningen tilsluttet en forhåndenværende spændingskilde. Dette er antydet 5 ved et i parenteser vist plustegn. Den anden impulsforstærker IR2 fødes ikke fra denne spændingskilde.

Her sker energitilførslen fra udgangskredsen på den korrekt arbejdende impulsforstærker IRl, der til det formål naturligvis skal aktiveres med firkantsignaler.

10 Med henblik på energiforsyningen findes der i impuls-forstærkeren IRl's udgangskreds en transformator Ul med en primærvikling Ull og en sekundærvikling U12.

Med den sidstnævnte er der forbundet en ensretterkobling GG1, som føder impulsforstærkeren IR2 samt 15 primærviklingen U21 på en i sidstnævnte forstærker IR21 s udgangskreds liggende transformator U2. Sekundærviklingen U22 på denne transformator føder endelig over en yderligere ensretterkobling GG2 en med dataudgangsledningen DG forbundet impulsforstærker IR3 20 samt primærviklingen U31 på en yderligere transformator U3, hvis sekundærvikling U32 er tilsluttet de dataudgangen udgørende klemmer Kl og K2. I praktisk drift findes der naturligvis væsentligt flere udgangsledninger svarende til dataudgangsledningen DG. I 25 det tilfælde skal der også anvendes et antal impulsforstærkere, der fortrinsvis forsynes med energi over ensretterkoblingen GG2.

Det er karakteristisk for den i det foranstående beskrevne tokanalede databearbejdningskobling, at af-30 giveisen af signaler ikke blot udebliver, hvis en af mikrodatamaterne MR1 henholdsvis MR2 arbejder fejlagtigt/ men også, hvis som følge af en fejl i kompara-toren VR1 henholdsvis VR2 det efter denne indkoblede OG-led UDI henholdsvis UD2 frakobles. Også 35 ved en fejl i de sidstnævnte OG-led eller i impulsforstærkerne IRl og IR2, som er indkoblet efter disse, udebliver nemlig den i fejltilfælde ikke ønskede dataafgivelse.

7 148560 Både på udgangen af OG-leddet UDI og p4 OG-led-det UD2 er der tilsluttet en ledning RLl henholdsvis RL2, som er forbundet med den tilhørende mikrodatamat MR1 henholdsvis MR2. Ved hjælp af en sådan 5 tilbageføring er det muligt fra tid til anden at kontrollere funktionsdygtigheden af komparatoren VRl henholdsvis VR2 og af OG-leddet UDI henholdsvis UD2 kanalspecifikt ved hjælp af tilsigtet uens afgivne data, således at det sikres, at den pågældende 10 komparator ved et i fejltilfælde optrædende antivalent signalpar virkelig ikke længere afgiver noget udgangssignal, således at den efterkoblede impulsforstærker IRl henholdsvis IR2 frakobles. KontroIvarigheden skal ved denne test være kortere end den korteste reaktions-15 tid for det over klemmerne Kl og K2 tilsluttede indstillingselement.

Som følge af den forklarede kontrol er det på fordelagtig måde muligt uafhængigt af driftsmæssige hændelser, altså uafhængigt af datastrømmen, fortløbende at 20 kontrollere den tokanalede databearbejdningskobling med hensyn til korrekt funktion med regelmæssige tidsmellemrum og således på et tidligt tidspunkt at opdage en første fejl i en af koblingsdelene VRl, VR2, UDI og UD2. Derefter kan der over en dataudvekslingsledning 25 DLG, som forbinder de to mikrodatamater MR1 og MR2, ske en sådan dataudveksling, at hele anlægget frakobles.

Dette er eksempelvis muligt ved, at de to komparatorer VRl og VR2 i henseende til deres indgangssignaler bringes i en fastlagt ulighedstilstand, som også opret-30 holdes, hvis begge mikrodatamater MRl og MR2 frakobles .

Hvis de to mikrodatamater MRl og MR2 over ledningerne RLl henholdsvis RL2 uden for kontrolintervallerne modtager ulighedssignaler, kan de overgå i en 35 defineret tilstand, f.eks. bearbejdningstilstand, som medindbefatter blokering af taktimpulserne over ledningerne IG1 henholdsvis IG2. Så længe mindst én af taktimpulserne udebliver over

Claims (2)

148560 en af ledningerne IG1 henholdsvis IG2 eller mindst 5 en af komparatorerne VR1 henholdsvis VR2 kontinuerligt signalerer "uens" og blokerer det efterkoblede OG-led UDI henholdsvis UD2, forbliver indgangen på den tilhørende impulsforstærker IRI henholdsvis IR2 vedvarende blokeret, hvorved ensretterkoblingen GG1 10 ikke længere forsynes med energi. Med sikkerhed gælder dette navnlig for ensretterkoblingen GG2.

1. Tokanalet databearbejdningskobling til jernbanesikringsformål med to mikrodatamater, som bearbejder de 15 samme data, og til hver af hvilke der for informationer, som skal sammenlignes, er knyttet en komparator, hvilke komparatorer ved overensstemmende informationer afgiver et koblingssignal over hver sin udgang, kendetegnet ved, at der på udgangen på hver af de to kompara-20 torer (VR1, VR2) er tilsluttet et OG-led (UDl,UD2), på hvilket en anden indgang (E1,E2) modtager en taktimpuls, at der efter hvert af OG-leddene (UD1,UD2) er indkoblet en separat impulsforstærker (IK1,IR2), hvoraf den ene (IR1) modtager den til dens 25 drift nødvendige energi fra en strømforsyningskilde (+), og den anden modtager sin energi fra transformatorud-koblede og ensrettede udgangssignaler fra den førstnævnte impulsforstærker (IR1), og at der mellem udgangene på en af de to mikrodatamater (MR2) og de sig-30 nalerne optagende indretninger findes aktive udlæsningskoblinger (IR3) med transformatorsignaludkobling (U3), hvis strømforsyning sker via transformator over den anden impulsforstærkers (IR2) udgangskreds.