[发明专利]一种智能化安全输出模块

说明书

一种智能化安全输出模块，包括两个相同且独立的子模块A和子模块B以及故障拒绝模块和二取二表决模块，子模块A包括第一逻辑处理模块和第一输出模块；子模块B包括第二逻辑处理模块和第二输出模块；第一逻辑处理模块和第二逻辑处理模块分别向第一输出模块和第二输出模块输出驱动信号，所述故障拒绝模块接收第一逻辑处理模块和第二处理模块输出的动态脉冲信号，所述的二取二表决模块的输入分别与第一输出模块和第二输出模块的输出连接。智能化的处理手段增强了系统驱动控制和故障检测的手段，缩短了故障拒绝的反应时间。独立的故障拒绝电路避免了输出模块软硬件故障时对整个系统的影响，确保了模块的故障安全导向。

技术领域

本发明涉及计算机安全及技术领域，具体涉及一种智能化安全输出模块。

背景技术

安全输出模块是安全计算机系统的重要组成部分，是系统输出控制指令的接口，是保证系统安全可靠运行的基础。安全输出模块设计实现时除要求具备高的可靠性、可用性和可维护性外，还要重点关注模块功能实现的安全性，模块功能的安全性是安全输出模块区别于非安全输出模块的主要特征。我们可以通过正确使用高品质的元件、合理规划系统的架构，使模块高度可靠而基本无需维护，但这样的模块仍不具备功能安全的特征，为符合功能安全的相关要求，模块还应具备有效的检测诊断机制，并且应能根据故障的性质采取相应的动作和响应，保证模块的故障安全。

非安全输出模块仅考虑输出驱动的时机和驱动能力，而不关心模块故障后的驱动状态，安全输出模块除必须考虑模块正常工作的状态外，还要确保模块故障时安全导向，如:模块故障后制动停车、切除牵引力等。

安全输出模块的实现通常需要满足三个方面的要求: 物理、功能、流程上的充分独立性；故障检测和拒绝机制的有效性；对包括错误保留在内的任何软、硬件静态故障具备良好的防护作用。安全输出模块设计实现的缺陷也通常表现在上述三个方面：各子项间存在物理上或电磁耦合连接，未进行有效防护而引入外部共模干扰；故障检测覆盖率不足，拒绝电路因自身失效无法保证系统有效导向安全侧；使用静态驱动的方式，对软硬件的静态故障不能进行有效防护等。

发明内容

针对上述问题，本发明提供一种智能化安全输出模块。

本发明的目的是以下述方式实现的：

一种智能化安全输出模块，包括两个相同且独立的子模块A和子模块B以及故障拒绝模块和二取二表决模块，子模块A包括第一逻辑处理模块和第一输出模块；子模块B包括第二逻辑处理模块和第二输出模块；所述第一逻辑处理模块与第二逻辑处理模块通过隔离的同步校核通道进行通信，并分别与控制层通信；第一逻辑处理模块和第二逻辑处理模块分别向第一输出模块和第二输出模块输出驱动信号，且分别对第一输出模块和第二输出模块输出的输出信号回检得到回检信号；所述故障拒绝模块接收第一逻辑处理模块和第二处理模块输出的动态脉冲信号，用于输出对第一输出模块和第二输出模块的电源控制；所述的二取二表决模块的输入分别与第一输出模块和第二输出模块的输出连接，二取二表决的输出与负载连接。

第一逻辑处理模块包括CPU-1子处理单元、及与其连接的第一通信驱动隔离模块、第一故障检测模块和第一输出信号驱动模块；第二逻辑处理模块包括CPU-2子处理单元、及与其

所述的第一通信驱动隔离模块和第二通信驱动隔离模块分别包括网络控制器和与网络控制器连接的网络变压器； CPU-1子处理单元、CPU-2子处理单元通过 RMII接口与网络控制器连接，网络控制器连接网络变压器；CPU-1子处理单元、CPU-2子处理单元通过网络变压器隔离后与控制层进行通信，接收控制层命令；同时CPU-1子处理单元和CPU-2子处理单元的CAN控制信号通过隔离CAN收发器隔离后，实现子模块间数据的校验及核对。

所述的第一故障检测模块、第二故障检测模块分别包括CPU自身检测和采用电源管理芯片对CPU 的IO供电电压、CPU核供电电压、时钟进行检测，采用LTC2991对电路电压电流进行监视，采用MAX31826芯片对温度进行检测，CPU自身检测包括RAM、FLASH、电压和时钟监视。