БЛОК БЕЗОПАСНОСТИ С КОНТРОЛЕМ ДОСТОВЕРНОСТИ ВХОДНОЙ ИНФОРМАЦИИ Российский патент 2012 года по МПК G06F11/00 

Изобретение относится к области автоматики и может быть использовано во всех областях техники, в том числе в машиностроении, на рельсовом транспорте, в системах обеспечения безопасности и управления ответственными объектами энергетики, химической и атомной промышленности.

Специфика систем управления объектами критического приложения предполагает очень высокий уровень безопасности, что на практике достигается не всегда. Подтверждением этому является все возрастающее количество происшествий на объектах, включая крупные аварии, причинами которых во многих случаях называются отказы и сбои в системах управления. Все это указывает на необходимость специальных мер по повышению безопасности систем управления ответственных объектов, в том числе за счет использования и усовершенствования блоков безопасности, а также повышения достоверности входной информации этих блоков, то есть повышения достоверности команд управления и сигналов, которые транслируются через блок безопасности или генерируются им.

Известен блок безопасности, предупреждающий водителя о замедлении впереди идущего транспортного средства (СА 2663363, B60Q 1/44, 2009-10-22). Устройство содержит акселерометр, блок управления и стоп-сигнал. Недостатком данного устройства являются ограниченные функциональные возможности: оно не решает целый ряд задач безопасного управления транспортным средством в штатном режиме (например, блокировка дверей в процессе движения состава), а также при возникновении нештатной ситуации.

Более сложную структуру имеет блок раннего предупреждения аварийной ситуации, описанный в GB 1286251, G01S 13/78, 1972-08-23. Однако и его назначение ограничено предупреждением водителя о замедлении впереди идущего транспортного средства.

Интегрированный акселерометр используется в известном транспортном средстве для определения его скорости (US 2008150468, Н02Р 8/00, 2008-06-26). В данном случае акселерометр интегрирован в блок управления. Данное устройство не обеспечивает решения задач безопасного управления.

Известно также использование блока безопасности в виде электронной накладки, содержащей последовательно соединенные акселерометр, процессор, блок памяти, передатчик и антенну (GB 2436220, G01H 1/00, 2007-09-19). Акселерометр фиксирует удары и вибрацию, которые испытывает элемент конструкции, на котором закреплена наклейка, и эта информация после обработки и накопления передается с целью определения ресурса элемента конструкции. Пластина накладки является несущим элементом конструкции блока безопасности.

Данное устройство обеспечивает безопасное использование ответственных элементов конструкции транспортных средств, однако к его недостаткам следует отнести следующие:

- связь через радиоканал в ряде случаев (например, совместное воздействие импульсной электромагнитной помехи и ударной волны при взрыве) не является надежной;

- невозможность использования в штатном режиме в составе блока безопасности для управления и контроля за управляющими сигналами;

- невозможность работы в реальном масштабе времени вообще, поскольку данные о ресурсе формируются на достаточно большом интервале времени;

- невозможность распознать и, главное, отреагировать на возникновение нештатной ситуации.

Известно также устройство управления высокоскоростным поездом, выполняющее функции блока безопасности и содержащее четыре информационно-управляющие системы, каждая из которых содержит антенну спутниковой навигационной системы, приемник спутниковой навигационной системы, бортовую цифровую вычислительную машину, первое долговременное запоминающее устройство, трехосный акселерометр, адаптер последовательных интерфейсов, адаптер магистральных каналов информационного обмена, блок ввода-вывода, системную интерфейсную магистраль, устройство контроля исправности системы, реле отключения магистрального канала информационного обмена с системой управления движением (см. патент РФ №2238208, B61L 3/00, 20.10.2004). При этом к входу приемника спутниковой навигационной системы подключена антенна спутниковой навигационной системы, интерфейсный вход-выход приемника спутниковой навигационной системы соединен с первым входом-выходом адаптера последовательных интерфейсов, второй вход-выход которого является входом-выходом первого последовательного интерфейса, третий вход-выход адаптера последовательных интерфейсов является входом-выходом второго последовательного интерфейса, четвертый вход-выход адаптера последовательных интерфейсов является входом-выходом третьего последовательного интерфейса, пятый вход-выход адаптера последовательных интерфейсов является входом-выходом четвертого последовательного интерфейса, бортовая цифровая вычислительная машина, первое долговременное запоминающее устройство, адаптер последовательных интерфейсов, адаптер магистральных каналов информационного обмена, блок ввода-вывода и устройство контроля исправности системы соединены между собой посредством системной интерфейсной магистрали, магистральный канал информационного обмена от первого выхода адаптера магистральных каналов информационного обмена проходит через контакты реле отключения магистрального канала информационного обмена с системой управления движением и образует вход-выход второго магистрального канала информационного обмена, второй вход-выход адаптера магистральных каналов информационного обмена является входом-выходом третьего магистрального канала информационного обмена, третий вход-выход адаптера магистральных каналов информационного обмена является входом-выходом первого магистрального канала информационного обмена, первый, второй и третий входы блока ввода-вывода являются соответственно первым, вторым и третьим входами сигналов приемных катушек автоматической локомотивной сигнализации, первый, второй и третий выходы трехосного акселерометра соединены соответственно с четвертым, пятым и шестым входами блока ввода-вывода, седьмой и восьмой входы блока ввода-вывода являются соответственно первым и вторым входами сигналов первого импульсного датчика угловой скорости колеса, девятый и десятый входы блока ввода-вывода являются соответственно первым и вторым входами сигналов второго импульсного датчика угловой скорости колеса, одиннадцатый вход блока ввода-вывода является входом исправности дублирующей системы, выход устройства контроля исправности системы соединен с управляющим входом реле отключения магистрального канала информационного обмена с системой управления движением, выход сигнала состояния которого является выходом сигнала состояния реле отключения магистрального канала информационного обмена с системой управления движением, в головном и хвостовом вагонах установлены по две информационно-управляющие системы, в головном вагоне вход-выход второго последовательного интерфейса первой информационно-управляющей системы головного вагона соединен с входом-выходом второго последовательного интерфейса второй информационно-управляющей системы головного вагона, выход сигнала состояния реле отключения магистрального канала информационного обмена с системой управления движением первой информационно-управляющей системы головного вагона соединен с входом сигнала исправности дублирующей системы второй информационно-управляющей системы головного вагона, выход сигнала состояния реле отключения магистрального канала информационного обмена с системой управления движением второй информационно-управляющей системы головного вагона соединен с входом сигнала исправности дублирующей системы первой информационно-управляющей системы головного вагона, вход-выход третьего магистрального канала информационного обмена первой информационно-управляющей системы головного вагона соединен с входом-выходом третьего магистрального канала информационного обмена первой информационно-управляющей системы хвостового вагона, вход-выход третьего магистрального канала информационного обмена второй информационно-управляющей системы головного вагона соединен с входом-выходом третьего магистрального канала информационного обмена второй информационно-управляющей системы хвостового вагона, в хвостовом вагоне вход-выход второго последовательного интерфейса первой информационно-управляющей системы хвостового вагона соединен с входом-выходом второго последовательного интерфейса второй информационно-управляющей системы хвостового вагона, выход сигнала состояния реле отключения магистрального канала информационного обмена с системой управления движением первой информационно-управляющей системы хвостового вагона соединен с входом сигнала исправности дублирующей системы второй информационно-управляющей системы хвостового вагона, выход сигнала состояния реле отключения магистрального канала информационного обмена с системой управления движением второй информационно-управляющей системы хвостового вагона соединен с входом сигнала исправности дублирующей системы первой информационно-управляющей системы хвостового вагона.

В основном режиме работы бортового информационно-управляющего комплекса для управления движением поезда используются данные от трех информационно-управляющих систем (двух информационно-управляющих систем головного вагона и одной информационно-управляющей системы хвостового вагона). При этом используется мажоритарный режим: если данные (о местоположении поезда, его скорости и ускорении, а также данные о цвете огня светофора, полученного в результате декодирования сигналов автоматической локомотивной сигнализации), полученные от двух информационно-управляющих систем из трех совпадают, то они считаются достоверными. Если данные, полученные от третьей информационно-управляющей системы, отличаются на величину более установленного порога или не совпадает декодированный цвет огня светофора, то данные от этой информационно-управляющей системы, на данном такте работы игнорируются и информация об этом фиксируется.

Если рассмотреть описанный блок управления и безопасности с точки зрения его возможностей по обеспечению безопасности и оценке достоверности управленческой информации в нештатной ситуации, то при всей его конструктивной сложности окажется, что по трем основным факторам, действующим в реальном времени, а именно:

- внешнее электромагнитное излучение, проникающее в блок, несмотря на экранирование, и, с некоторой вероятностью, вызывающее сбой,

- вибрация, включающая ударные воздействия, к которым особенно чувствительны разъемные соединения и компоненты с паразитными пьезо- и тензоэффектами, также вызывающая сбои, например, в принимаемых данных и сигналах,

- помехи, вызванные нештатной работой окружающих устройств (например, блоков питания и мощных коммутирующих схем), поступающие непосредственно внутрь блока по плохо развязанным шинам и кабелям,

сигналы с датчиков или систем, а также команды управления, требующие верификации и проверки на безопасность (например, на уместность такой команды в текущем контенте сигналов с точки зрения безопасности), практически не защищены. В то же время при работе блоков и систем управления и безопасности предъявляются чрезвычайно высокие требования на выявление в реальном времени опасных отказов системы (т.е. в отличие от других отказов, приводящих к нежелательным и необратимым последствиям, иногда включающим неконтролируемое лавинообразное развитие процессов и пр.).

В частности, вероятность события ложного распознавания разрешительной команды может быть задана числом 10^-13, что чрезвычайно сложно для реализации в современных системах, несмотря на применяемые «экстенсивные» методы (дублирование, троирование и проч.).

Наиболее близким к предложенному является блок безопасности, включающий приемопередатчик, установленный на локомотиве (локомотив в данном случае является объектом управления), по меньшей мере, один приемопередатчик, удаленный от локомотива, причем этот приемопередатчик составляет часть системы связи, первую базу данных для хранения данных относительно множества схем связи, доступных системе связи, первое контрольно-измерительное устройство (блок) для определения параметра, указывающего на качество связи между приемопередатчиками, когда приемопередатчики работают по первой из доступных схем связи и формируют данные, указывающие на качество связи, вторую базу данных, которая устанавливает связь параметра, определенного контрольно-измерительным устройством, с ожидаемыми уровнями качества связи для каждой схемы связи, и процессор, осуществляющий связь с контрольно-измерительным устройством, с первой базой данных и со второй базой данных, для выбора, по меньшей мере, второй схемы связи, когда качество связи, обеспечиваемое первой схемой связи, не удовлетворительно для обеспечения того, чтобы командные данные надежно передавались локомотиву (см. патент РФ №2321954, H04L 1/00, 01.04.2003 г.).

Все сказанное выше о недостатках блока по патенту РФ №2238208 относится и к устройству по патенту РФ №2321954. Это устройство также обеспечивает только анализ качества связи и выбор наиболее защищенного в данный момент канала связи, но не защиту от помех, вызванных электромагнитным излучением, вибрацией или поступающим в блок по шинам и кабелям.

Таким образом, техническим результатом, ожидаемым от использования изобретения, является повышение эффективности работы блока безопасности за счет выявления мешающих факторов и исключения их возможного влияния на команды, транслируемые через блок безопасности или формируемые этим блоком.

Указанный результат достигается тем, что в блоке безопасности с контролем достоверности входной информации, содержащем последовательно соединенные контрольно-измерительный блок и процессор, контрольно-измерительный блок выполнен с возможностью регистрации импульсных помех, возникающих в результате воздействия на блок безопасности внешнего излучения, вибрации и ударов, а также коммутационных помех, возникающих на шинах питания или сигнальных шинах блока безопасности, а процессор выполнен с возможностью анализа влияния импульсных помех на сигналы управления объектом, поступающие на его вход с соответствующих входных шин блока безопасности, и формирования по результатам анализа более достоверных вторичных сигналов управления объектом, поступающих на соответствующие выходы блока безопасности.

При этом блок безопасности выполнен также с возможностью приема внешних информационных сигналов и учета их при анализе влияния импульсных помех на сигналы управления объектом.

На чертеже показан пример реализации блока безопасности (блок обведен пунктиром), в состав которого входят, например, три группы датчиков. Первая группа образована приемниками 1, 2 излучения (например, радиодиапазона и жесткого ионизирующего или нейтронного), вторая механическими датчиками 3, 4 (например, вибрации и ударных воздействий или углового ускорения) и третья - индуктивными датчиками 5, 6 на шине питания и сигнальном кабеле, в котором размещены все информационные входы блока безопасности.

Сигналы с выходов датчиков по группам поступают на входы соответствующих блоков обработки 7-9, выходы которых соединены с соответствующими входами процессора 10. Элементы 1-9 образуют контрольно-измерительный блок.

На фиг.1 показан также блок управления 11 транспортным средством или иным объектом со схемой контроля 12. Внешние информационные сигналы, а также выходы блока управления 11 и схемы контроля 12 поступают соответственно на входные шины 13-15 блока безопасности, выходные шины которого обозначены позицией 16.

Блок безопасности представляет собой защищенное (т.е. выполненное в прочном и экранированном корпусе) электронное устройство, в которое поступают различные сигналы с датчиков или систем, а также команды управления, требующие верификации и проверки на безопасность (например, на уместность такой команды в текущем контенте сигналов с точки зрения безопасности). При работе блока безопасности предъявляются чрезвычайно высокие требования на выявление в реальном времени опасных отказов системы (т.е. в отличие от других отказов, приводящих к нежелательным и необратимым последствиям, иногда включающим неконтролируемое лавинообразное развитие процессов). Например, вероятность события ложного распознавания разрешительной команды может быть задана числом 10^-13, что чрезвычайно сложно для реализации в современных системах, несмотря на применяемые «экстенсивные» методы (дублирование, троирование и проч). Предлагаемое техническое решение призвано дополнительно увеличить уровень безопасности таких устройств.

При этом делается предположение, что из факторов, влияющих в реальном времени (в отличие от других, работающих по накапливаемой дозе воздействия или влияющих на ресурс), отдельно следует выделить три:

- внешнее электромагнитное излучение, проникающее в блок, несмотря на экранирование, и с некоторой вероятностью вызывающее сбой;

- вибрация, включающая ударные воздействия, к которым особенно чувствительны разъемные соединения и компоненты с (паразитными) пьезо- и тензоэффектами, что также вызывает сбои, например, в принимаемых данных и сигналах;

- помехи, вызванные нештатной работой окружающих устройств (например, блоков питания и мощных коммутирующих схем), поступающие непосредственно внутрь блока по плохо развязанным шинам и кабелям.

Большинство остальных факторов - такие, как температура, радиация на низких уровнях и др. для проявления требуют определенного времени экспозиции и, тем самым, могут быть зарегистрированы и учтены заблаговременно, что невозможно для факторов реального времени.

Ввиду того, что речь идет о чрезвычайно низких вероятностях (когда все возможные меры по исключению влияния факторов уже приняты) и нестационарности процессов, представляется бессмысленным оценивать степень и механизм оказываемого влияния, тогда как детектирование наличия самого фактора выше определенного порогового уровня - целесообразным. Блок безопасности, как описано выше, содержит датчики по каждому из факторов, воздействующих в реальном времен (антенны с детекторными головками, катушки и проч. - по первому и третьему типу мешающих факторов; линейные акселерометры, а при необходимости и датчики углового ускорения - по фактору вибрации и механических воздействий), размещенные в корпусе блока или снаружи (например, непосредственно на корпусе), информация от которых поступает непосредственно в блок. При превышении пороговых уровней по одному или нескольким факторам воздействия в процессе выполнения конкретного цикла (такта, процедуры, операции и пр.) работы блока безопасности блоками обработки 7-9 вырабатывается признак (команда), указывающий на соответствующее снижение уровня достоверности транслируемой блоком безопасности команды или информации в данном цикле (такте) работы, что воспринимается или внешними системами, или процессором 10 как причина для выполнения специальных действий (операций) в соответствии с концепцией безопасности, реализуемой устройством (например, полный перезапуск или частичная перезагрузка соответствующих процессорных модулей, игнорирование «сбойной» входной информации, аннулирование результатов обработки данного такта или цикла работы).

Например, при нештатном ударе (ускорении) на выходе датчика 4 появляется сигнал значительной амплитуды. Длительность, форма и амплитуда этого сигнала анализируются в блоке обработки 8, который детектирует факт аварии (столкновение с препятствием на пути следования, действие взрывного устройства и т.п.). С выхода блока обработки 8 соответствующий сигнал поступает на вход процессора 10, позволяя ему моментально предпринять необходимые действия (генерировать команды торможения и т.п.), поскольку при ускорениях выше некоего порогового значения, если блок сохранил работоспособность (о чем должны свидетельствовать текущие данные внутренней диагностики блока безопасности или процессора 10), то рассчитывать на управление со стороны оператора или машиниста некоторое время не приходится, и все управление в первые секунды после удара должно определяться только автоматикой. Наличие основного датчика 4 - акселерометра в «сердце» системы безопасности служит гарантией его сохранности вместе с блоком безопасности.

При воздействии мощного электромагнитного импульса, регистрируемого, например, датчиком 1, выполненным в виде приемника электромагнитного излучения с антенной, размещенной вне корпуса блока безопасности, выходной сигнал датчика 1 анализируется в блоке обработки 7 (например, сопоставляется с уровнем излучения в предшествующие такты, с пороговым значением, с выходным сигналом датчика 2, чувствительного к излучению в другом диапазоне), и на вход процессора 10 поступает сигнал, по которому последний так изменяет алгоритм формирования команд управления объектом управления (транспортным средством), чтобы исключить выдачу ложной команды под воздействием сбоя, вызванного внешним электромагнитным полем, например, блокирует выполнение команды открытия дверей и т.п. То же происходит и при воздействии наводок по цепям питания, коммутационных помех, при наводках в сигнальных цепях: регистрация их датчиками 5, 6 третьей группы и сравнение выходного сигнала блока обработки 9 в процессоре 10 с выходными сигналами блоков обработки 7, 8 позволяет исключить сбои системы управления объектом при воздействии помех и этого вида.

Из изложенного ясно, что алгоритм работы процессора 10 может включать не только приостановку выдачи некоторых команд на время действия помех, о чем свидетельствует выходной сигнал одного или нескольких блоков обработки 7-9, но и совместный анализ их выходных сигналов с информацией об исправности блока управления 11, поступающей в процессор 10 с выхода схемы контроля 12, а также с данными, поступающими по шине 13, например, о температуре окружающей среды или иных воздействующих факторах, могущих влиять на анализ ситуации и, следовательно, алгоритм обработки сигналов управления в процессоре 10. Например, если в соответствии с информацией с выхода схемы контроля 12 блок управления 11 исправен, в случае воздействия вибрации (регистрируется датчиком 3 и блоком обработки 8) и отсутствия коммутационных помех (фиксируются датчиком 5 и блоком обработки 9) процессор 10 может транслировать входную команду «увеличить тормозное усилие» с шины 14 на выходную шину 16, а при наличии коммутационных помех приостановить выполнение данной команды и т.п.

Разумеется, специалисту в данной области не составит труда, руководствуясь вышеизложенным, предложить и разработать множество возможных вариантов реализации алгоритмов анализа ситуации и совместной обработки команд управления, сигналов внешней информации и выходных сигналов контрольно-измерительного блока и выбрать среди них те, что необходимы применительно к каждому конкретному случаю.

Таким образом, существо предложенного технического решения сводится к тому, что

- в корпусе блока безопасности размещают группы датчиков 1-6, реагирующих на быстрые изменения тех факторов окружающей среды, которые могут привести к сбою программы обработки информации в системе управления, сбою системы управления и формированию неверных команд (в рассмотренном примере это электромагнитные воздействия, механические и импульсные наводки),

- производят первичную обработку выходных сигналов датчиков 1-6 по группам с помощью соответствующих блоков обработки (которые, кстати, могут являться конструктивно частью процессора 10) 7-9, например, сравнивают с пороговыми значениями,

- в процессоре 10 осуществляют анализ ситуации с использованием выходных сигналов блоков обработки 7-9, сигналов внешней информации и выходного сигнала схемы контроля 12 и в соответствии с заданным алгоритмом управления в каждой конкретной ситуации производят передачу, изменение или блокировку команд управления, т.е. формирование вторичных команд управления в соответствии с заложенной в программу процессора 10 концепцией безопасности объекта, переводящей его в новое, безопасное состояние. Эта концепция безопасности объекта реализуется таким образом, что блок безопасности, получив информацию о запрещенном сочетании команд управления на внутренних шинах или о неисправности какой-либо подсистемы, а также о внешнем воздействии, доступными ему средствами приводит объект управления в одно из заранее заданных безопасных состояний. В случае неопределенности и своего рода информационного шума на входных информационных линиях блока безопасности для повышения достоверности принятия решения о переводе объекта в безопасное состояние предлагается дополнительно анализировать внешние факторы воздействия как возможные причины этих информационных сбоев в их корреляции (заранее заданных временных рамках, определяющихся временами циклов процессов в системе) с этими сбоями.

Все это обеспечивает повышение достоверности информации при принятии решения о выполнении функций безопасности. Таким образом, блок не просто анализирует сбойные команды и присутствующие при этом факторы воздействия, не только уточняет эти команды, например, генерируя им на замену какие-то вторичные. Система управления с такими кратковременными сбоями должна справляться самостоятельно. Блок безопасности реализует заложенную в памяти процессора 10 концепцию безопасности, реализуя тот или иной алгоритм в зависимости от результатов анализа возникшей нештатной ситуации.

Данный подход позволяет существенно повысить уровень безопасности устройств, работающих в сложных условиях эксплуатации.

Изобретение относится к энергетике, автоматике, машиностроению, транспорту и может использоваться в системах обеспечения безопасности и управления. В корпусе блока безопасности или в непосредственной периферии размещают группы датчиков, реагирующих на быстрые изменения тех факторов окружающей среды, которые могут привести к сбою программы обработки информации. В процессоре осуществляют анализ ситуации и в соответствии с заданным алгоритмом управления и обеспечения безопасности производят разрешение/блокирование команд управления или формирование вторичных команд управления. Техническим результатом является повышение эффективности работы блока безопасности за счет выявления мешающих факторов и исключения их возможного влияния на команды, транслируемые через блок безопасности или формируемые этим блоком. 1 з.п. ф-лы, 1 ил.

1. Блок безопасности с контролем достоверности входной информации, содержащий последовательно соединенные контрольно-измерительный блок и процессор, отличающийся тем, что контрольно-измерительный блок выполнен с возможностью регистрации импульсных помех, возникающих в результате воздействия на блок безопасности внешнего излучения, вибрации и ударов, а также коммутационных помех, возникающих на шинах питания или сигнальных шинах блока безопасности, а процессор выполнен с возможностью анализа влияния импульсных помех на сигналы управления объектом, поступающие на его вход с соответствующих входных шин блока безопасности и формирования по результатам анализа более достоверных вторичных сигналов управления объектом, поступающих на соответствующие выходы блока безопасности.

2. Блок безопасности по п.1, отличающийся тем, что он выполнен также с возможностью приема внешних информационных сигналов и учета их при анализе влияния импульсных помех на сигналы управления объектом.