Zabezpečení spolehlivosti řízení pódiových stolů v Obecním domě v Praze

doc. Ing. Petr Noskievič, CSc.,
katedra ATŘ, VŠB-TU Ostrava-Poruba;
e-mail: petr.noskievic@vsb.cz

Zabezpečení spolehlivosti řízení pódiových stolů v Obecním domě v Praze

1. Úvod
Článek na konkrétním příkladu popisuje zajištění spolehlivosti řízení pódiových stolů, včetně podpůrné technologie, ve Smetanově síni v Obecním domě v Praze. Řídicí systém je založen na průmyslových počítačích PC a využívá hardwarové i softwarové metody zvyšující spolehlivost řídicího a vizualizačního softwaru.

2. Popis řešení
V roce 1996 bylo ve Smetanově síni Obecního domu v Praze v rámci celkové rekonstrukce instalováno nové pódium. Toto pódium je tvořeno osmnácti nůžkovými stoly (obr. 2), poháněnými elektrohydraulickými pohony. Poloha těchto stolů, včetně celkového ovládání příslušné hydraulické stanice, je řízena a vizualizována dvěma průmyslovými PC v provedení pracovní stanice [7]. První PC, označené jako PC1, je umístěno v prostorech pódia a slouží ke styku obsluhy s vizualizačním programem. Toto PC komunikuje s řídicím počítačem prostřednictvím standardního protokolu NetDDE přes Microsoft Network. Řídicí počítač je umístěn v hydraulické stanici v druhém suterénu Obecního domu. V tomto počítači jsou také umístěny I/O, komunikační a řídicí karty (obr. 4).

3. Použité zabezpečení
Zabezpečení systému technologie a řídicího počítače je řešeno na několika úrovních.

Výběr komponent obou použitých počítačů byl zvolen s ohledem na předcházející zkušenosti, dostupnost a délku servisu a v neposlední řadě bylo přihlédnuto k hodnotám střední doby mezi poruchami (MTBF) [8].

Pevné disky v obou počítačích jsou upevněny pomocí antivibračních lišt, rovněž všechny karty jsou antivibračně upevněny. Všechny konektory v PC jsou zajištěny proti samovolnému uvolnění. Při dodávce počítačů prodejcem byl také vyžadován protokol o způsobu jejich zahoření.

Vlivu působení elektromagnetického rušení je zamezeno umístěním obou PC mimo silové elektrorozvody a výkonové spínací prvky. Vhodné tepelné prostředí uvnitř PC je zabezpečeno sacími ventilátory s prachovými filtry a také použitím monitorů LCD, které mají ve srovnání s klasickými monitory podstatně nižší spotřebu a z toho plynoucí menší tepelné ztráty.

Binární vstupy i výstupy kart v řídicím PC jsou vedeny přes externí moduly s optoelektronickým oddělením.

Na spodní úrovni je k monitorování funkčnosti běhu řídicího programu použit obvod WDT, který je standardní součástí většiny průmyslových procesorových kart. Není-li obvod WDT v požadované době občerstven (nejčastěji prostým čtením na určitém portu), generuje zvolený systémový signál. Standardně to bývá NMI (nemaskovatelné přerušení) nebo reset.

První možností je tedy použít signál NMI s následným odskokem na příslušnou (poruchovou) obsluhu přerušení. Výhodou tohoto řešení by bylo uskutečnění řízeného odstavení ovládané technologie podle programu umístěného v obsluze přerušení. Slabým místem je však umístění adresy vektoru přerušení NMI a vlastního programového kódu obsluhy tohoto přerušení v paměti RAM, což přináší riziko přepsání těchto paměťových míst při zhroucení programu, popř. při hardwarové poruše paměťového subsystému počítače, procesoru apod.

Druhou možností je zvolit jako aktivační signál systémový reset. Tento způsob je výhodný tím, že je funkční i při poruše ostatních subsystémů IPC, jako je paměť, procesor, přerušení apod. Nedostatkem je nemožnost technologii tímto způsobem řízeně odstavit, protože řízené odstavení zpravidla požaduje provést instrukce podle programového kódu. Jestliže však bylo při výběru výstupních kart také přihlédnuto k tomu, zda reagují na signál reset nastavením svých binárních či analogových výstupů do stavů, které deaktivují akční členy, nastane neřízené odstavení ovládané technologie. Tento způsob přerušení nakonec byl vybrán i v této aplikaci. Při přerušení je odpojeno napájení ovládacích obvodů hydromotorů pódiových stolů, výstupy D/A převodníků, které představují akční veličinu řídicí elektroniky hydromotorů, jsou nastaveny na nulu, dále  se vypnou stykače motorů čerpadel hydraulické stanice a uzamkne se elektromagnetický zámek každého z osmnácti stolů.

Dalším jištěním je použití:

• koncových havarijních spínačů ohraničujících spodní, resp. horní povolenou polohu každého stolu – následkem jejich aktivace je řízené zastavení pohybujících se stolů,
• softwarových koncových spínačů, jejichž překročení je zamezeno v číslicových P regulátorech každého stolu,
• vhodné logické úrovně provozních a havarijních stavů, kdy se přerušení vodiče projeví jako aktivace havarijního stavu,
• zpětného čtení stavů některých výstupů prostřednictvím pomocných kontaktů stykačů.

Ochrana proti používání řídicího programu celé jevištní technologie neoprávněnou osobou je zajištěna systémem přístupových práv, který je součástí použitého vizualizačního programu InTouch. Přístupová práva jsou rozdělena do čtyř úrovní, lišících se povolenými funkcemi programu. Například uživateli s nejvyšší prioritou je umožněno také ovládat polohování stolu, je-li aktivován koncový havarijní spínač, což nemůže vykonávat běžná obsluha.

Systém přístupových práv dále hlídá nečinnost obsluhy delší, než je nastavená doba 10 minut, a po krátkém upozornění odhlásí aktuálního uživatele.

Program pro svou potřebu rozeznává tři stavy ovládané technologie. Jsou to:

• provozní stav, kdy jsou signály všech senzorů v optimálních hodnotách,
• varování, kdy stavy některých senzorů jsou mimo povolený stav, ale technologii ještě lze ovládat (může to být např. teplota oleje vyšší než normální, ale ještě nižší než maximální),
• porucha – v tomto stavu není možné technologii ovládat.

Porucha nastane např. při překročení maximální teploty oleje nebo uzavření kulového ventilu, při nepřipojení napájecího napětí elektroventilů hydromotorů apod. Systém zároveň obsluhu stále informuje o aktuálním stavu, včetně lokalizace případné poruchy a návodu k jejímu odstranění.

Nouzové ovládání technologie je také zajištěno při poruše počítače obsluhy v prostorech pódia. V tomto případě je možné řídit technologii z druhého řídicího počítače. Protože řídicí počítač je umístěn v hydraulické stanici v druhém suterénu Obecního domu, je při nouzovém řízení z bezpečnostních důvodů vyžadováno stálé stlačení bezpečnostního tlačítka („mrtvý muž“) na panelu počítače obsluhy v prostorech pódia druhou osobou dohlížející na stoly pódia. Uvolněním tohoto tlačítka během pohybu stolů, popř. také aktivací tlačítka „Central stop“, je okamžitě odstavena celé technologie.

Pro potřeby diagnostiky a analýzy vzniklých poruchových stavů jsou také veškeré mimoprovozní stavy spolu s časovým údajem a jménem obsluhy ukládány do speciálního souboru na disku. Vyhodnocením tohoto souboru lze pak zpětně vysledovat chování celé technologie, včetně jména operátora, za jehož obsluhy daná situace nastala. Tento soubor je však vytvářen pouze na počítači obsluhy v prostorech pódia, a ne na řídicím počítači. Důvodem byla snaha nezatěžovat diskovými operacemi časově vytížený řídicí počítač, na kterém běží DDE server, jenž zajišťuje veškeré řízení celé technologie.

4. Závěr
Správnost, spolehlivost a pohotovost navržené hardwarové koncepce, založené na použití IPC a softwarové dvouvrstvé koncepci popisovaného řídicího systému, potvrzuje téměř každodenní používání tohoto řídicího systému v Obecním domě v Praze od jeho uvedení do provozu v lednu roku 1997.