AT516652B1 - Formgebungsanlage - Google Patents

Abstract

Formgebungsanlage (1) oder Peripherievorrichtung für eine Formgebungsanlage (1), umfassend mindestens eine nicht sichere Steuervorrichtung (2), welche wenigstens einen Signaleingang (3) sowie wenigstens einen Signalausgang (4) zur nicht sicheren Steuerung von nicht sicherheitsrelevanten Aktuatoren (5) der Formgebungsanlage (1) oder Peripherievorrichtung aufweist, mindestens eine sichere Steuervorrichtung (6), welche wenigstens einen sicheren Signaleingang (7) sowie wenigstens einen sicheren Signalausgang (8) aufweist und in welcher ein Sicherheitsprogramm (9) abgelegt ist, das zur sicheren Steuerung von sicherheitsrelevanten Aktuatoren (11) der Formgebungsanlage (1) oder Peripherievorrichtung ausführbar ist, wobei das Sicherheitsprogramm (9) eine durch die sichere Steuervorrichtung (6) ausführbare, durch einen Compiler kompilierte Version eines Stromlaufplanes (19) ist.

Description

Beschreibung [0001] Die Erfindung betrifft eine Formgebungsanlage oder eine Peripherievorrichtung für eine Formgebungsanlage gemäß dem Oberbegriff von Anspruch 1.

[0002] In der Formgebungsanlagen- bzw. Spritzgießmaschinenindustrie wird die gesamte Steuerungsthematik bereits seit Jahren immer wichtiger. Vor allem haben die Komplexität der Steuerungen sowie die Anforderungen an die Benutzersicherheit immer weiter zugenommen. Zugleich soll aber die Bedienerfreundlichkeit nicht verschlechtert, sondern wenn möglich sogar verbessert werden.

[0003] Ein allgemeiner Bereich bei fast jeder Formgebungsanlage bzw. bei fast jedem Peripheriegerät für eine Formgebungsanlage ist die sogenannte nicht sichere Steuervorrichtung. Diese weist meist wenigstens einen Signaleingang sowie wenigstens einen Signalausgang zur nicht sicheren Steuerung von nicht sicherheitsrelevanten Aktuatoren der Formgebungsanlage. Derartige Aktuatoren können Spritzgießmaschinen, Sicherheitstüren, Förderanlagen, Handlingroboter, Einspritzaggregate, Vereinzelungsanlagen, Hubstationen, Dosieranlagen, Temperiergeräte, Werkzeugheizungen, usw. sein. In diesem Zusammenhang sei erläutert, dass „nicht sicher“ nicht bedeutet, dass diese „unsicher“ wären, vielmehr fällt dieser „nicht sicheren“ Steuervorrichtung eine geringere Bedeutung hinsichtlich der Sicherheitskriterien als den später noch erläuterten „sicheren“ Aktuatoren zu. Die nicht sichere Steuervorrichtung wird höchstens als bewährtes Bauteil gesehen und kann zusätzliche Sicherheitskriterien von sichererheitsrelevanten Aktuatoren durch eine implementierte Überwachungsfunktion erfüllen - man spricht in diesem Zusammenhang vom Diagnosedeckungsgrad - aber keinesfalls kann die nicht sichere Steuervorrichtung alleinig die Sicherheit von Aktuatoren im Sinne einschlägiger Normen bspw. EN ISO 13849-1 oder anwendbarer Maschinenrichtlinien RL2006/42/EG für die genannten Maschinen bzw. Anlagen gewährleisten. Anmerkung: Diese Normen sind also für sichere Steuervorrichtungen relevant und versuchen eine sichere Bedienung der genannten Maschinen bzw. Anlagen zu gewährleisten, während für nicht sichere Steuervorrichtungen nur elektromagnetische Vorschriften (EMV-Richtlinie RL2004/108/EG) bzw. die Niederspannungsrichtlinie RL2006/95EG in allgemeiner Form zur Anwendung kommen.

[0004] Zu diesem allgemeinen Bereich bei Formgebungsanlagen zählt auch eine Recheneinheit, auf welcher eine Benutzerschnittstelle (Benutzer-Interface = HMI) mit einer Visualisierungseinheit und einer Eingabevorrichtung zur Visualisierung von Signalen der mindestens einen nicht sicheren Steuervorrichtung und zur Eingabe von Parametern für die mindestens eine nicht sichere Steuervorrichtung konfiguriert ist. Anders ausgedrückt ist in oder an der Formgebungsanlage zumindest eine Bedienvorrichtung vorgesehen, über welche die normale Steuerung der Formgebungsanlage durch einen Bediener vor allem im Vollbetrieb der Formgebungsanlage erfolgt.

[0005] E in spezieller Bereich bei den Steuerungen für Formgebungsanlagen bzw. Peripheriegeräten für Formgebungsanlagen betrifft dabei die gesamte Installation, Inbetriebnahme und die Sicherheit. Das heißt, dass der Schritt vom Hersteller bis zum ersten Vollbetrieb der Formgebungsanlage möglichst einfach erfolgt und gleichzeitig alle sicherheitstechnischen Aspekte berücksichtigt werden.

[0006] In der Sicherheitstechnik gibt es dazu grundsätzlich zwei verschiedene Arten, wie sichergestellt wird, dass die gesamte Sicherheitsverschaltung der unterschiedlichen sicherheitsrelevanten Aktuatoren bzw. Sicherheitsmodulen (z. B. Antriebscontroller, Module mit digitalen und/oder analogen Aus-/Eingangssignalen, Sondermodule bspw. zur Zuhaltung und Anforderung einer Schutztür, unterschiedlichste Sensoren wie Dreh- oder Lagegeber, usw.) stimmt und allen Sicherheitsstandards entspricht. Einerseits gibt es hier die diskret zweikanalig aufgebaute Sicherheitstechnik und andererseits diversitär aufgebaute funktionale Sicherheitstechnik.

[0007] Nachteilig bei der diskret zweikanalig aufgebauten Sicherheitstechnik ist, dass ein sehr großer Aufwand für Verdrahtung und Kontaktvervielfältigung (bspw. NOT-HALT Kreise oder

Schutztürschaltkreise mittels Schützen zur Kontaktvervielfältigung) getrieben werden muss. Ein weiterer Nachteil ist die begrenzte Lebensdauer dieser Kontakte. Insbesondere bei unbekannten Kontaktbelastungen sind diese entsprechend frühzeitig auszutauschen.

[0008] Vor allem im Sonderanlagenbau trifft man aber bereits auf funktional aufgebaute Sicherheitstechnik, wobei diese mindestens eine sichere Steuervorrichtung (Safety-Master) umfasst, welche wenigstens einen sicheren Signaleingang sowie wenigstens einen sicheren Signalausgang aufweist und in welcher ein Sicherheitsprogramm abgelegt ist, das zur sicheren Steuerung mittels von einem Benutzer vorgebbarer Sicherheits-Parameter von sicherheitsrelevanten Aktuatoren (Safety-Slaves) der Formgebungsanlage oder Peripherievorrichtung ausführbar ist. Diese funktionale Sicherheit wird auch Functional Safety genannt, welche aber typischerweise in der Losgröße 1 oder zumindest bei sehr kleinen Losgrößen verwendet bzw. hergestellt wird. Dadurch ist meist ein Engineering vor Ort möglich und das von den Lieferanten der Functional Safety Komponenten entwickelte Tooling (Toolchain) für die Inbetriebnahme und Diagnose ist ausreichend.

[0009] Unter „Funktionaler Sicherheit“ wird eine moderne, diversitär aufgebaute Sicherheitssteuerung (kurz: sichere Steuervorrichtung bzw. sichere speicherprogrammierbare Steuerung (SSPS)) verstanden, welche mit den in der Anlage verteilten sicherheitsrelevanten Aktuatoren über eine signalübertragende Verbindungsvorrichtung (zum Beispiel ein, vorzugsweise sicheres, Bussystem) sicher kommuniziert. Dabei ist an dieser Verbindungsvorrichtung sowohl diese sichere Steuervorrichtung als auch die nicht sichere Steuervorrichtung angeschlossen. Die erwähnte „sichere Kommunikation“ ist durch verschiedene Prüfzusätze in Form von fortlaufenden Telegrammnummern, Checksummen, Timeouts etc. abgesichert und nachgewiesenermaßen sicher im Sinne der Normen für Spritzgießmaschinen bzw. Handlingsysteme (SILIN nach EN61508 oder Kategorie 4 und PLd bzw. PLe nach EN ISO 13489-1). Diese Angaben werden nach einer Risikobeurteilung für die vorliegende Anwendung allgemein als ausreichend empfunden. Die sichere Steuervorrichtung (SSPS) ist normalerweise in einem speziellen „Safety Engineering Tool“ des Herstellers programmierbar. Das von diesem Tool erzeugte Sicherheitsprogramm wird aus diesem Tool mit einer direkten Verbindung auf die sichere Steuervorrichtung (oder mittels eines an die sichere Steuervorrichtung anzuschließenden Speichermediums) gespeichert, verifiziert und zur Ausführung gebracht. In einem anschließenden Testlauf hat der Inbetriebnehmer (im Werk) bzw. der Servicetechniker (im Feld) die Sicherheitsfunktionen nachweislich zu überprüfen. Erst dadurch kann die Formgebungsanlage bzw. die Peripherievorrichtung zur Verwendung freigegeben werden.

[0010] Es ist auch möglich in einer Anlage mehrere eigenständige sichere Steuervorrichtungen zu verwenden, welche dann über definierbare Schnittstellen miteinander kommunizieren. Sinngemäß sind dann die einzelnen Teilaufgaben (bspw. Sicherheitsprogrammerstellung, Download, Verifikation, Tests, usw.) mehrfach oder automatisiert durchzuführen. Die eigentliche Erstellung des Sicherheitsprogrammes für die sichere Steuervorrichtung (SSPS) muss ein mit der Sicherheitstechnik betrauter Konstrukteur durchführen - in der „alten“ Welt der diskreten Sicherheitstechnik sind dies Elektrotechniker, welche die Sicherheitsschaltkreise definieren.

[0011] Diese Vorgehensweise über ein „Safety Engineering Tool“ ist aber für einen Serienmaschinenbauerwenig brauchbar. Insbesondere unterliegt das Verbinden des „Safety Engineering Tools“ mit der sicheren Steuervorrichtung in der Formgebungsanlage ebenso wie die Bedienung dieses meist komplexen Tools mit der Möglichkeit Änderungen durchzuführen für den breiten Einsatz durch Inbetriebnehmer/Servicetechniker einem großem Fehlerpotenzial bzw. es erfordert sehr viel Schulung beispielsweise bei einer weltweiten Ausrollung.

[0012] Im Serienmaschinenbau bei signifikant größeren Stückzahlen und insbesondere bei weltweitem Einsatz und damit verbundener Servicierung und Wartung durch dafür qualifizierte Personen ist auf besonders hohe Benutzer- und Diagnosefreundlichkeit Wert zu legen. Solche Serienanlagen sind typischerweise in einer modularen Bauweise erstellt, sodass es immer wieder zu der Anforderung kommt, die Anlage innerhalb definierter Grenzen zu verändern, beispielsweise Anlagenteile zu deaktivieren (aufgrund einer Störung) oder zu entfernen, weil diese an einer anderen Anlage benötigt werden. Während bei Verwendung diskreter Sicherheitstechnik eine Anlagenkomponente relativ einfach durch das Abstecken der Sicherheitsschnittstelle und das Anbringen eines die Sicherheitssignale überbrückenden Blindsteckers zu erledigen war, ist eine Lösung für Functional Safety Systeme (diversitäre Sicherheitstechnik) heute nur über zusätzliche elektromechanische Wahlschalter oder durch Einspielen eines neuen Sicherheitsprogrammes möglich. Beide Tätigkeiten sind sehr speziell und benötigen genaues Wissen der Sicherheitsdokumentation, sodass diese Tätigkeiten für nicht speziell ausgebildetes Personal nicht durchführbar sind. Insbesondere ist eine Verwendung der Standard-Toolchain für den Servicetechniker oder gar für den Kunden aufgrund der großen Komplexität i. A. unzumutbar. Auch ein Wahlschalter ist für einen nicht Elektriker oftmals kaum zugänglich, weil im Elektroschrank montiert, und weil sich die Dokumentation bestenfalls in einem Stromlaufplan an der Maschine befindet.

[0013] Stromlaufpläne sollen definitionsgemäß die ausgeschaltete, energielose Situation der Maschine oder Anlage darstellen. Stromlaufpläne gehören zu den funktionsbezogenen Dokumenten nach DIN EN 61082. Diese Pläne entstehen zu Beginn des Entwurfes einer Anlage oder Maschine und werden später auch für Reparaturen und Wartungen benötigt. Stromlaufpläne umfassen zwingend die elektrischen Sicherheitseinrichtungen.

[0014] Auch bei der funktionalen Sicherheitstechnik ist es zielführend die nicht mehr elektrische Sicherheitsschaltung im Stromlaufplan darzustellen, da es meist von der bereits geschulten Gruppe der Elektrokonstrukteure durchgeführt werden kann.

[0015] Stand der Technik ist, dass der Elektrokonstrukteur oder ein weiterer Konstrukteur eine weitere Darstellung dieser Sicherheitsschaltung im Engineering Tool des Lieferanten der Sicherheitssteuerung zum Konstruktionszeitpunkt anzufertigen hat. Dabei fallen diese beiden Darstellung meist nicht identisch aus. Deswegen ist auch eine weitere Bearbeitung fehleranfällig und stellt einen zusätzlichen Arbeitsaufwand dar. Weiters ist auch die Inbetriebnahme durch die beiden Darstellungen erschwert und für das Korrigieren von Fehlern sind mehrere Spezialisten notwendig, was wiederum sehr aufwändig.

[0016] Es gibt im Stand der Technik für die Selektion von Sicherheitsoptionen bislang keine programmatischen Eingriffsmöglichkeiten in die Funktion des Sicherheitsprogramms, die der Elektriker im Stromlaufplan definieren kann. D.h., es kann nicht auf fehlende Komponenten (z. B. Inbetriebnahme ohne Roboter) oder aber defekte Komponenten (z. B. Betrieb der Maschine ohne Roboter mit Maschinenschutzverdeck, wenn die Robotertüre defekt ist) reagiert werden. Weiter möchte man beispielsweise das Handbediengerät nur bei der Prozess-Setupphase dabei haben und dann wieder von der Formgebungsanlage entfernen können. Für diese und ähnliche Fälle wäre immer ein spezielles Sicherheitsprogramm vorzuhalten. Man erkennt schon, dass dies durchaus viele sein können. Auch die Auswahl von speziellen Konfigurationen über sichere Hardware-Wahlschalter ist problematisch und wenig benutzerfreundlich.

[0017] Die Aufgabe der vorliegenden Erfindung besteht daher darin, eine gegenüber dem Stand der Technik verbesserte Formgebungsanlage bzw. eine verbesserte Peripherievorrichtung für eine Formgebungsanlage und ein verbessertes Verfahren zu schaffen. Insbesondere sollen die angeführten Probleme möglichst behoben werden.

[0018] Dies wird durch eine Formgebungsanlage oder durch ein Peripheriegerät für eine Formgebungsanlage mit den Merkmalen von Anspruch 1 erreicht. Erfindungsgemäß ist demnach vorgesehen, dass das Sicherheitsprogramm eine durch die sichere Steuervorrichtung ausführbare, durch einen Compiler kompilierte Version eines Stromlaufplanes ist. Bevorzugte Ausführungsvarianten sind in den Unteransprüchen angegeben.

[0019] Um die kompilierte Version des Stromlaufplanes zu erzeugen, verwendet man idealerweise im Stromlaufplan dieselbe Bibliothek von Symbolen, welche das Engineering Tool des Lieferanten der sicheren Steuervorrichtung verwendet. Gleiches gilt auch für die jedem Symbol zugeordneten Sicherheits-Parameter. Im nächsten Schritte werden die einzelnen Symbole mit den zugeordneten Sicherheits-Parametern, den Verbindungen der Symbole untereinander und den Verbindungen zu den sicheren Signalein- und -ausgängen in einem strukturierten Datenformat (z.B. XML) exportiert. Im nächsten Schritt wird die im strukturierten Datenformat vorliegende Datei (z. B. XML-Datei) ins Engineering Tool importiert, wo der Kompiliervorgang durch einen Compiler des Engineering Tools initiiert wird. Nach Abschluss des Kompiliervorganges wird die kompilierte Version des Stromlaufplanes (z. B. mittels Software-Generatoren auf Skript-Basis oder durch manuelles Kopieren der Datei) als von der sicheren Steuervorrichtung ausführbares Sicherheitsprogramm, zum Beispiel durch einen Safety-Load er, abgelegt.

[0020] Bevorzugt kann dieses Ablegen über die nicht sichere Steuervorrichtung als Zwischenstation erfolgen, wobei meist gemeinsam mit der kompilierten Version des Stromlaufplanes die nicht sicheren Teilen von Programmen an die nicht sichere Steuervorrichtung übermittelt werden.

[0021] Mit anderen Worten ausgedrückt gelingt eine Verbesserung des Standes der Technik dadurch, dass die Sicherheitsverschaltung wie bisher der Elektrotechniker in seiner gewohnten Umgebung in einem ECAD Tool (electronic computer-aided design) durchführt. Diese Schaltung (Stromlaufplan) wird aus dem ECAD Tool durch geeignete Konvertierung (Kompilierung) in das Safety Engineering Tool importiert und (idealerweise per Knopfdruck) das notwendige Sicherheitsprogramm erstellt. Dieses wird nun über bestehende Automatismen der Softwareerstellung auf die gewünschte Anlage gebracht. Dazu wird die Anlagensoftware gemäß einem bevorzugten Ausführungsbeispiel um ein zusätzliches Tool in Form einer Ladevorrichtung (Safety-Load er genannt) erweitert, welches über einfache Dialoge die Sicherheitsprogramme auf Zulässigkeit überprüft, auswählt und auf die angeschlossene SSPS speichert bzw. diesen Vorgang verifiziert und danach zur Ausführung bringt. Dazu werden die bislang im Safety Engineering Tool enthaltenen Funktionen in den Safety-Loader extrahiert.

[0022] Der Safety-Loader wird weiter um Customizing-Funktionen erweitert. Dadurch wird der berechtigte Benutzer in die Lage versetzt, bestimmte vorbereitete Varianten des Sicherheitsprogramms zur Ausführung zu bringen. Eine solche Variante könnte den Betrieb der Maschine (ohne Roboter) ohne Roboterschutztür bei gleichzeitig geschlossener Maschinenverdeckung ermöglichen oder das Abstecken eines Handbediengeräts zulassen. Nun ist es vergleichsweise einfach Änderungen im Sicherheitsverhalten vorzunehmen - es muss nicht mehr ein neues Sicherheitsprogramm eingespielt werden, was zur Folge hätte, dass neuerlich alle Funktionen zu testen wären.

[0023] Natürlich bietet der auf der Anlage vorhandene Safety-Loader samt hinterlegtem Sicherheitsprogramm und gegebenenfalls weiteren Informationen aus der Sicherheitsprogrammerstellung die Möglichkeit weitere Funktionen zur Verfügung zu stellen. Eine naheliegende Erweiterung ist die Diagnose des Sicherheitsprogramms durch Anzeigen von (animierten) Signalzuständen in der Programmlogik, das Visualisieren von Fehlercodes etc. Dabei ist es ein Ziel die Programmlogik angelehnt an die vertraute Form aus dem ECAD darzustellen.

[0024] Gemäß einem bevorzugten Ausführungsbeispiel ist eine Recheneinheit vorgesehen, auf welcher eine Benutzerschnittstelle mit einer Visualisierungseinheit und einer Eingabevorrichtung zur Visualisierung von Signalen der mindestens einen nicht sicheren Steuervorrichtung und zur Eingabe von Parametern für die mindestens eine nicht sichere Steuervorrichtung konfiguriert ist. Weiters kann dabei vorgesehen sein, dass das Sicherheitsprogramm mittels von einem Benutzer über die Eingabevorrichtung der Benutzerschnittstelle der Recheneinheit vor-gebbarer Sicherheits-Parameter ausführbar ist. Hier kann vorgesehen sein, dass die Recheneinheit physikalisch identisch mit der nicht sicheren Steuervorrichtung ist.

[0025] Besonders bevorzugt ist vorgesehen sein, dass die Sicherheits-Parameter für das Sicherheitsprogramm der sicheren Steuervorrichtung über die Eingabevorrichtung der Benutzerschnittstelle der Recheneinheit eingebbar sind. Dadurch ist es nun möglich, über die an sich bereits vorhandene Eingabevorrichtung der Benutzerschnittstelle die sichere Steuervorrichtung zu betreiben und die entsprechenden Sicherheits-Parameter für die diversitär aufgebaute funktionale Sicherheitstechnik einzugeben. Das heißt, die Sicherheitsüberprüfung muss nicht mehr über ein separates, nur für die Inbetriebnahme aufwändig installiertes Sicherheitsprogramm erfolgen. Vielmehr ist bevorzugt vorgesehen, dass über die Eingabevorrichtung der Benutzerschnittelle der nicht sicheren Steuervorrichtung das Sicherheitsprogramm auf der sicheren Steuervorrichtung verifizierbar installierbar ist.

[0026] Besonders bevorzugt ist es nun über die „normale“ Benutzerschnittstelle (Bedienvorrichtung) mittels der Sicherheits-Parameter für das Sicherheitsprogramm der sicheren Steuervorrichtung möglich, die Anzahl und/oder Positionierung der sicherheitsrelevanten Aktuatoren oder das vorgegebene Sicherheitsniveau wenigstens eines sicherheitsrelevanten Aktuators auszuwählen.

[0027] Das Sicherheitsprogramm wird typischerweise - wie generell bei der diversitär aufgebauten funktionalen Sicherheitstechnik - ebenfalls modular aufgebaut. So ist es relativ einfach möglich den modularen Funktionsumfang abzubilden. Dies kann dazu genutzt werden, dass die zwischen den Funktionen vorhandenen Schnittstellen bei Entfernen einer Ausrüstungskomponente (Aktuator) auf genau definierte Signale gesetzt werden dürfen. Beispielsweise kann das „NOT-HALT“-Signal einer entfernten Schutztür auf okay gesetzt werden, während das „Umwehrung geschlossen“-Signal derselben entfernten Tür auf fehlerhaft gesetzt werden muss. Letztendlich ist dies genau jene Funktion welche im diskreten Fall der Bügelstecker übernommen hat.

[0028] Der nächste Schritt ist nun, dass man diesen virtuellen Bügelstecker (oder man könnte ihn auch als „Sicherheitsoption“ bezeichnen) am Anlagenbedienterminal (Eingabevorrichtung der Benutzerschnittstelle) aktivieren bzw. deaktivieren kann. Dadurch hat man den Vorteil, dass man die typischerweise vorhandene Infrastruktur in Form eines Benutzerzutrittstystems (Login), von Statusanzeigen und Fehlermeldungen zu Diagnosezwecken oder das Dokumentieren (Loggings) benutzen kann. Damit bleibt der Gedanke einer Single-Point-of-Operation auch für diese Servicetätigkeiten erhalten.

[0029] Eine weitere optionale Möglichkeit ist es, dass die Änderungen durch das Schalten von Sicherheitsoptionen auch gleich die entsprechenden Überprüfungsmaßnahmen einleiten, da es meist unumgänglich ist, die Funktionalitäten nach Änderungen an der Sicherheitstechnik zu verifizieren. Durch entsprechende Kenntnis der Signalwirkungen der Schnittstellen auf die Aktuatoren können geänderte Schnittstellensignale gezielt getestet werden. Es ist nicht notwendig alle Sicherheitsfunktionen der Gesamtanlage neuerlich zu überprüfen. So genügt es, jenen Schiebeschutz, welcher parallel zu der entfernten Schutztür den Zutritt zu einem Gefahrenbereich verhindert, zu prüfen und man muss nicht auch noch weitere Schutztüren überprüfen, welche bereits verifiziert wurden. Damit kann ein smartes System aufgebaut werden und der Bediener wird bei Änderungen interaktiv durch die notwendigen Verifikationen geführt (geführte Inbetriebnahme). Alle diese Tätigkeiten können wiederum mit den Daten des eingeloggten Benutzers dokumentiert werden.

[0030] Anders ausgedrückt sei nochmals allgemein ausgeführt, dass das Sicherheitsprogramm der sicheren Steuervorrichtung zugeordnet ist und auf dessen Laufzeitsystem zur Ausführung kommt und den Betrieb der sicherheitsrelevanten Aktuatoren in einer vordefinierten (oder auch teilweise einstellbaren) Weise durchführt. Die einzelnen sicherheitsrelevanten Aktuatoren (Sicherheitsprogrammelemente) sind miteinander über die signalübertragende Verbindungsvorrichtung verknüpft und kommunizieren über die sicheren Signalein- und -ausgänge. Für die Kommunikation werden Sicherheits-Parameter (z. B. Watchdogzeiten, sichere Geschwindigkeiten, usw.) verwendet. Das Sicherheitsprogramm verfügt auch über vorgegebene Konfigurationsmöglichkeiten, die durch einen Benutzer über die Benutzerschnittstelle auswählbar sind und eine Anpassung an eine variable Betriebssituation (= nicht ständig vorhandene Sicherheitsfunktion beispielsweise eine Umwehrungstür oder temporäre Einschränkung in Form von Arbeitsoder Sperrbereichen) der Aktuatoren bzw. der Formgebungsanlage darstellt.

[0031] Bevorzugt ist gemäß einem Ausführungsbeispiel vorgesehen, dass in der Benutzerschnittstelle der nicht sicheren Steuervorrichtung ein Diagnosetool für die mindestens eine sichere Steuervorrichtung implementiert ist.

[0032] Um die Übersichtlichkeit für einen Bediener garantieren zu können, ist bevorzugt vorgesehen, dass die Visualisierungseinheit der Benutzerschnittstelle zur Darstellung von Diagnosesignalen des Diagnosetools in Form eines Stromlaufplans konfiguriert ist. Für eine einfache und komfortable Bedienbarkeit ist hierzu bevorzugt vorgesehen, dass die Visualisierungseinheit der Benutzerschnittstelle zur Einzeldarstellung eines Blockes oder einer Gruppe von Blöcken des Elektroplans (Stromlaufplan) konfiguriert ist, wobei die Eingabevorrichtung der Benutzerschnittstelle zum Wechsel zwischen den Einzeldarstellungen entsprechend einer Signalflussrichtung des Stromlaufplans konfiguriert ist. Ein Block kann ein klassisches Schaltelement bzw. eine Funktion eines Sicherheitsprogramms sein. Auch die einzelnen sicherheitsrelevanten Aktuatoren können an den Stromlaufplan angelehnt über die Visualisierungseinheit dargestellt werden. Auch zwischen diesen dargestellten sicherheitsrelevanten Aktuatoren ist eine schrittweise Navigation (auch über mehrere Bildschirmseiten) entsprechend der Signalflussrichtung über eine einfache Benutzeraktion möglich. Es kann auch noch eine eigenständige Diagnosemöglichkeit für die Kommunikation zwischen dem Safety-Master und dem wenigstens einen Safety-Slave implementiert sein. Weiters kann eine Überblicksdarstellung auf einer Bildschirmseite vorhanden sein, wobei alle sicheren Steuervorrichtung (Safety-Master), alle sicherheitsrelevanten Aktuatoren (Safety-Slaves), das Sicherheitsprogramm und/oder die Benutzerkonfiguration angezeigt werden.

[0033] Eine weitere zukunftsweisende Funktion ist eine didaktisch unterstützte Inbetriebnahme des Sicherheitsprogramms. Dabei können die Logikzustände während der Inbetriebnahme überwacht werden und so können die getesteten bzw. die noch zu testenden Programmbereiche gekennzeichnet werden. Dazu ist das Diagnosetool bevorzugt konfiguriert, um eine mehrere Blöcke umfassende Signalverbindung des Stromlaufplans zu testen und bereits getestete Blöcke zu markieren. Auf diese Weise wird sichergestellt, dass alle Programmbereiche auch tatsächlich getestet werden (ähnlich in der Programmierung Codecoverage). Weiter soll diese Testphase automatisch protokolliert werden (Benutzer, Datum und Uhrzeit, getestete Funktion). Es werden nur die tatsächlich notwendigen Teilbereiche aus dem „Safety Engineering Tool“ mit den beschriebenen Erweiterungen in die Anlagensoftware integriert. Es wird bewusst auf intuitive Bedienung wertgelegt und auf nicht notwendige Funktionen (Änderungsmöglichkeit für das Sicherheitsprogramm) verzichtet. So ist die Komplexität auch für unbedarfte Bediener bzw. bei nur sporadischer Verwendung beherrschbar.

[0034] Besonders vorteilhaft ist es mit dem Diagnosetool nun möglich festzustellen, ob ein am mindestens einen sicheren Signaleingang der sicheren Steuervorrichtung vorliegendes Eingangssignal ein vorgegebenes Ausgangssignal über den wenigstens einen sicheren Signalausgang der sicheren Steuervorrichtung auslöst. Bisher konnte nur indirekt auf die Funktionsfähigkeit des Signals zurückgeschlossen werden, z. B dadurch, ob ein angesteuerter Motor tatsächlich ein- bzw. ausgeschaltet wurde. Jetzt erfolgt dies durch direktes Testen des Signalausgangs. Zusätzlich ist es bevorzugt möglich, dass das Diagnosetool den vollständigen Signalweg zwischen dem mindestens einen sicheren Signalausgang und dem mindestens einen sicheren Signaleingang überwacht.

[0035] Bezüglich der prinzipiellen Ausgestaltung der sicheren Steuervorrichtung sind zwei unterschiedliche Varianten möglich. Einerseits kann die mindestens eine sichere Steuervorrichtung als physikalisch von der nicht sicheren Steuervorrichtung gesonderter Bauteil vorliegen oder andererseits direkt in der nicht sicheren Steuervorrichtung implementiert sein. Grundsätzlich ist auch eine Mischform denkbar. Gemäß einem Ausführungsbeispiel kann vorgesehen sein, dass die auf der nicht sicheren Steuervorrichtung laufende Software in eine Hauptapplikation und eine als sichere Steuervorrichtung fungierende Serviceapplikation unterteilt ist, wobei das Umschalten zwischen beiden transparent erfolgt. Dabei kann die Konfiguration des Sicherheitsprogramms in der Hauptapplikation oder in der Serviceapplikation vorgenommen werden. Zusätzlich kann auch eine Möglichkeit zur Übertragung (=Download z. B. durch Safety-Loader) des mindestens einen Sicherheitsprogramms in die Safety-Master-Laufzeitumgebung und/oder die Prüfung des von der Safety-Master-Laufzeitumgebung ausgeführten Sicherheitsprogrammes auf Übereinstimmung (=Verifikation z. B. durch Safety-Loader) in der Hauptapplikation oder in der Serviceapplikation erfolgen.

[0036] Bezüglich der Konfigurationsmöglichkeiten seien im Folgenden zwei Beispiele angeführt: Wenn eine im Sicherheitsprogramm programmierte Umwehrungsschutztür nicht als Aktuator vorhanden ist, wird diese über die Konfigurationsmöglichkeiten in dem Sicherheitsprogramm durch Ersatzsignale beschrieben. Wenn eine im Sicherheitsprogramm programmierte Umwehrungsschutztür (nicht sicherheitsrelevanter Aktuator) sowie der diese Umwehrungsschutztür steuernde Safety-Slave (sicherheitsrelevanter Aktuator) nicht in der Formgebungsanlage vorhanden ist, werden beide über die Konfigurationsmöglichkeiten in dem Sicherheitsprogramm durch Ersatzsignale beschrieben.

[0037] Der Zugriff auf die sichere Steuervorrichtung wird bevorzugt nur über eine geeignete Autorisierungsvorrichtung gewährt. Dabei kann die Authentifizierung (Login) des Benutzers über die Eingabevorrichtung der nicht sicheren Steuervorrichtung erfolgen, wobei der Benutzer einen Benutzernamen und ein Passwort eingibt. Die Authentifizierung kann aber auch über eine geeignete Schnittstelle, wie beispielsweise einen RFID-Chip, eine Magnetkarte, eine Chipkarte, einen Transponder, ein optisches System, einen Barcode, einen QR-Code, usw. erfolgen. Es kann auch noch eine in der Benutzerschnittstelle implementierte zusätzliche Sicherheitsbarriere vorhanden sein, indem der Zugang zur sicheren Steuervorrichtung durch ein separates zusätzliches Passwort geschützt. Somit kann ein für den normalen Betrieb zuständiger Bediener keine Änderungen in der sicheren Steuervorrichtung und dessen Sicherheitsprogramm vornehmen.

[0038] Der interne Aufbau der sicheren Steuervorrichtung ist bevorzugt derart, dass die mindestens eine sichere Steuervorrichtung wenigstens einen Kern der Recheneinheit der nicht sicheren Steuervorrichtung verwendet, der über einen Bus mit dem wenigstens einen sicheren Signaleingang und dem wenigstens einen sicheren Signalausgang kommuniziert. Die sichere Steuervorrichtung kann aber auch auf einer komplett eigenständigen CPU laufen.

[0039] Für ein Nachprüfen bzw. ein Kontrollieren der gesamten sicherheitsrelevanten Vorgänge ist bevorzugt vorgesehen, dass eine über die Eingabevorrichtung der Benutzerschnittstelle der nicht sicheren Steuervorrichtung vorgenommene Eingabe von Sicherheits-Parametern für die sichere Steuervorrichtung in einer Protokolldatei hinterlegbar ist. Auch Änderungen am oder im Sicherheitsprogramm selber werden protokolliert. Überdies können Konfigurationsänderungen protokolliert werden.

[0040] Grundsätzlich können mehrere sichere Steuerungsvorrichtungen vorgesehen sein. Dabei ist es möglich, definierte Schnittstellensignale zyklisch zwischen jeweils einem Safety-Master und einem als Safety-Slave fungierenden zweiten Safety-Master auszutauschen.

[0041] Bezüglich der Inbetriebnahme und der damit verbunden Sicherheitsüberprüfung werden automatisierte Tests (geführte Safety-Inbetriebnahme) durchgeführt. Dabei kann bevorzugt vorgesehen sein, dass zusätzlich eine Unterstützung für die Durchführung von Funktionstests in Form eigener Bildschirminhalte vorgesehen ist. Insbesondere erfolgt dies durch eine abzuarbeitende Testliste, wobei die vorliegenden Testergebnisse und die noch offenen Testpunkte dargestellt werden. Weiters kann hierbei vorgesehen sein, dass die Reaktion auf die Benutzerinteraktion (Sensor auslösen oder Konfiguration ändern) automatisch überprüft wird und in das Testergebnis übernommen wird. Zudem kann vorgesehen sein, dass das Erfolgen der gewünschten Reaktion durch den Zustand eines oder mehrerer sicherheitsrelevanter Aktuatoren überprüft wird. Somit müssen nicht bei jedem NOTHALT die Motoren ein-/ausgeschaltet werden. Auch kann vorgesehen sein, dass die durchgeführten Tests und die damit verbundenen erkannten Änderungen der Signal- und Programmzustände zur Darstellung in Form einer Codecoverage-Ansicht einerseits und zur Überprüfung der Vollständigkeit des Tests genutzt wird. Für einen sicheren Betrieb ist vorgesehen, dass nur der eingeschränkte Betrieb der Anla-ge/Komponente mit reduzierten Betriebswerten zugelassen wird, solange nicht alle Tests erfolgreich durchgeführt wurden ^reduzierte Geschwindigkeit, kein AUTOMATIK Betrieb, usw.). Das heißt im Umkehrschluss, dass der uneingeschränkte Betrieb aller Aktuatoren der Formgebungsanlage erst nach vollständiger Durchführung aller Tests und durch einen protokollierten Bediener erlaubt wird. Als weitere Sicherheitsstufe kann vorgesehen sein, dass der Tausch von Bauteilen aus der Formgebungsanlage, welche durch geänderte Serien- oder Chargennum mern erkannt werden, das Wiederholen von Tests erfordert und wiederum den eingeschränkten Betrieb aktiviert.

[0042] Bezüglich der Recheneinheit kann gemäß einem Ausführungsbeispiel vorgesehen sein, dass die Benutzerschnittstelle über einen Remote-Zugang mit der Recheneinheit verbunden ist. Das bedeutet, dass der Bediener nicht ortsgebunden ist und somit eine Ferninstallation bzw. -Sicherheitsüberprüfung durchführen kann. Es kann vorgesehen sein, dass die Formgebungsanlage bzw. Peripherievorrichtung keine permanente Benutzerschnittstelle aufweist, sondern im Bedarfsfall angeschlossen wird.

[0043] Schutz wird auch begehrt für ein Verfahren mit den Merkmalen von Anspruch 20.

[0044] Weitere Einzelheiten und Vorteile der vorliegenden Erfindung werden anhand der Figurenbeschreibung unter Bezugnahme auf die in den Zeichnungen dargestellten Ausführungsbeispiele im Folgenden näher erläutert. Darin zeigen: [0045] Fig. 1 schematisch die wesentlichen steuerungstechnischen Bestandteile einer Form gebungsanlage, [0046] Fig. 2 schematisch einen Stromlaufplan und [0047] Fig. 3 ein Flussdiagramm mit der Kompilierung des Stromlaufplans.

[0048] Fig. 1 zeigt schematisch die wesentlichen steuerungstechnischen Bestandteile einer Formgebungsanlage 1 (z. B. Spritzgießanlage) bzw. eines Peripheriegeräts einer Formgebungsanlage 1. Wie an sich jede Formgebungsanlage 1 weist auch diese Formgebungsanlage 1 eine Recheneinheit 12 auf, welche die Basis einer Benutzerschnittstelle 13 (Bedienvorrichtung) bildet. Diese Benutzerschnittstelle 13 wiederum setzt sich aus der Visualisierungseinheit 14 (Bildschirm) und der Eingabevorrichtung 15 (Tastatur, Maus, usw.) zusammen. Gegebenenfalls können die Visualisierungseinheit 14 und die Eingabevorrichtung 15 als eine Baueinheit in Form eines Touchscreens ausgebildet sein. Über die Benutzerschnittstelle 13 und die Recheneinheit 12 werden von einem Bediener im Normalbetrieb die nicht sicherheitsrelevanten Aktuatoren 5 bewegt. Beispiele für solche nicht sicherheitsrelevanten Aktuatoren 5 sind Förderbänder, Einspritzaggregate, Türen, Handlingroboter, Auswerfer, Kernzüge, uvm. Für die Steuerung dieser Bewegungen ist die nicht sichere Steuervorrichtung 2 vorgesehen. Über die Eingabevorrichtung 15 der Benutzerschnittstelle 13 werden Parameter eingegeben bzw. ausgewählt und entsprechende Signale an die nicht sichere Steuervorrichtung 2 weitergeleitet. Von dieser werden wiederum entsprechende Signale über die signalübertragende Verbindungsvorrichtung 17 (Bussystem) und über den Signalausgang 4 ausgegeben und gelangen zu den nicht sicherheitsrelevanten Aktuatoren 5, wodurch diese entsprechend der Parameter bewegt werden. Eine Rückmeldung an die nicht sichere Steuervorrichtung 2 erfolgt über den Signaleingang 3. Soweit funktioniert auch eine bisher bekannte Steuerung einer Formgebungsanlage 1.

[0049] Nun gibt es, wie bereits erläutert, vor allem für die Inbetriebnahme einer neuen Formgebungsanlage 1 oder bei Hinzufügen oder Entfernen von nicht sicherheitsrelevanten Aktuatoren 5 zusätzliche vorgeschriebene Sicherheitsüberprüfungen, sodass nach erfolgreicher Überprüfung der Formgebungsanlage 1 der Vollbetrieb aufgenommen werden kann. Dabei hat sich in den letzten Jahren eine Vorgehensweise in Form einer sogenannten diversitären funktionalen Sicherheitstechnik immer mehr durchgesetzt. Dazu wird eine zusätzliche sichere Steuervorrichtung 6 (SSPS) verwendet, über welche die sicherheitsrelevanten Aktuatoren 11 der Formgebungsanlage 1 überprüft werden. Derartige sicherheitsrelevante Aktuatoren 11 sind beispielsweise Drives, IO-Module, Schutztürmodule, Sensoren, uvm. Mit einer derartigen sicheren Steuervorrichtung 6 überprüft ein Bediener die Funktionsfähigkeit, die Anzahl und das Sicherheitsniveau der vorhandenen bzw. notwendigen sicherheitsrelevanten Aktuatoren 11. Dabei ergeben sich aber bei der konkreten Anwendung diverse Problem hinsichtlich der Komplexität und vor allem hinsichtlich des zeitlichen Aufwands, vor allem wenn in modernen Formgebungsanlagen 1 relativ oft eine Umrüstung diverser Aktuatoren 5 erfolgt. Weitere Nachteile sind weiter oben bereits angeführt.

[0050] Um diese Nachteile zu beheben, ist vorgesehen, dass die sichere Steuervorrichtung 6 über die bereits vorhandene Recheneinheit 12 und deren Benutzerschnittstelle 13 bedienbar ist. Demnach werden über die Eingabevorrichtung 15 der Benutzerschnittstelle 12 Sicherheits-Parameter 10 eingegeben bzw. ausgewählt, wonach entsprechende Signale an die sichere Steuervorrichtung 6 weitergeleitet werden. In dieser sicheren Steuervorrichtung 6 ist ein Sicherheitsprogramm 9 abgelegt, das zur sicheren Steuerung der sicherheitsrelevanten Aktuatoren 11 mittels der vom Benutzer vorgegebenen bzw. ausgewählten Sicherheits-Parameter 10 ausführbar ist. Im Speziellen wird ein durch das Sicherheitsprogramm 9 erstelltes Ausgangssignal über den Signalausgang 8 und/oder über ein sicheres Busmodul 26 an den mindestens einen sicherheitsrelevanten Aktuator 11 übermittelt. Um eine Überprüfung durch die sichere Steuervorrichtung 6 überhaupt zu ermöglichen, erfolgt vom mindestens einen sicherheitsrelevanten Aktuator 11 eine Reaktion, welche in Form eines Eingangssignals über den Signaleingang 7 an die sichere Steuervorrichtung 6 übermittelt wird. Die sichere Steuervorrichtung 6 selbst kann zur Berechnung einen oder mehrere Kerne 20 aufweisen. Dieser mindestens eine Kern 20 ist mit dem Signalausgang 8 und dem Signaleingang 7 der sicheren Steuervorrichtung 6 verbunden. Es kann aber auch vorgesehen sein, dass die Recheneinheit 12 einen oder mehrere Kerne (CPUs) aufweist, wobei die nicht sichere Steuervorrichtung 2 und/oder die sichere Steuervorrichtung 6 auf einem oder mehreren dieser Kerne laufen.

[0051] Darüber hinaus ist in der sicheren Steuervorrichtung 6 und/oder in der Recheneinheit 12 - wie dargestellt - ein Diagnosetool 18 implementiert. Über dieses Diagnosetool 18 können, vorzugsweise nacheinander, die einzelnen sicherheitsrelevanten Aktuatoren 11 entlang der Signalflussrichtung auf ihre Funktionstüchtigkeit hin getestet werden. Um dies für einen Bediener auch nachvollziehbar zu gestalten, wird auf der Visualisierungseinheit 14 ein der Verschaltung der sicherheitsrelevanten Aktuatoren 11 entsprechender Stromlaufplan 19 dargestellt. Dieser besteht aus einzelnen Blöcken 23 oder aus Gruppen von Blöcken. Durch diese Anzeige eines Stromlaufplans 19 ist es auch auf schnelle Art möglich zu erfassen, welcher Block 23 bzw. welcher sicherheitsrelevante Aktuator 11 funktioniert. Dies kann durch ein entsprechende Markierung bzw. Hervorhebung dem Bediener signalisiert werden.

[0052] Zur weiteren Erhöhung der Sicherheit kann zudem eine Autorisierungsvorrichtung vorgesehen sein, über welche sich ein Bediener einloggt. Zur nachträglichen Überprüfung kann zusätzlich auch noch jede Eingabe über die Eingabevorrichtung 15 in einer Protokolldatei 22 hinterlegt werden.

[0053] Fig. 2 zeigt ein Beispiel eines an sich dem Fachmann bekannten Stromlaufplans 19, welcher hier auf drei Bildschirmseiten der Visualisierungseinheit 14 aufgeteilt ist.

[0054] Fig. 3 zeigt wie ausgehend vom in Fig. 2 dargestellten Stromlaufplan 19 eine kompilierte Version des Stromlaufplanes 19 erzeugt wird. In einem ersten Schritt wird eine Exportdatei 28 (hier XML-Datei) aus dem Stromlaufplan 19 erstellt, welche hier noch um Informationen 29 angereichert oder reduziert werden kann. Im nächsten Schritt wird die XML-Datei ins Engineering Tool 27 importiert, wo der Kompiliervorgang durch einen Compiler des Engineering Tools 27 initiiert wird. Nach Abschluss des Kompiliervorganges werden die kompilierte Version des Stromlaufplanes 19 und die Sicherheits-Parameter 10 mittels des Safety-Loaders 30 in der sicheren Steuervorrichtung 6 als von der sicheren Steuervorrichtung 6 ausführbares Sicherheitsprogramm 9 abgelegt. Wie aus den Fig. 2 und 3 ersichtlich, ist bei der Darstellung des Stromlaufplanes 19 eine hinterlegte Identifikation 31 der Formgebungsanlage 1 oder der Peripherievorrichtung für die Formgebungsanlage 1, vorzugsweise in Form einer Fabrikationsnummer, hinterlegt, sodass eine Verwechslung des Sicherheitsprogramms 9 verhindert werden kann.

[0055] Beim gezeigten Ausführungsbeispiel lässt sich durch die beschriebenen Ansätze wieder ein sehr ähnlicher Installations-Workflow wie bei der diskreten Sicherheitstechnik erreichen. Zusätzlichen Nutzen erhält man aber vor allem durch die einfache Bedienbarkeit über die Benutzerschnittstelle der nicht sicheren Steuervorrichtung. Weiters ist eine komfortable Diagnose und ein strukturierter Funktionstest möglich. Damit kann der Aufwand für die Konstruktion und

Inbetriebnahme von Sicherheitsfunktionen sogar reduziert werden. Dies ist insbesondere im Sondermaschinenbau und für komplexe Anlagen von großem Vorteil. Oftmals verschlingt gerade die Inbetriebnahme im konventionellen Fall sehr viel Zeit und ist schlecht planbar.

[0056] Beim gezeigten Ausführungsbeispiel kann die Sicherheitsfunktion weiterhin im ECAD erstellt werden und automatisch unter zu Hilfenahme des herstellerspezifischen Safety Engineering Tools und eines auf der Anlage integrierten Safety-Loaders auf die sichere Steuervorrichtung gebracht werden. Dieser Weg ist sowohl bei der hausinternen Inbetriebnahme als auch im Feld (Versand des Sicherheitsprogramms über Email etc.) äußerst effizient. Durch die Automatisierung der Schritte sowie zusätzliche Begleitmaßnahmen wie Eingabe von Sicherheits-Parametern, Diagnose, geführte Inbetriebnahme, Dokumentation entsteht ein optimierter Instal-lations-Workflow der effizienter als der diskrete Workflow ist und die Komplexität reduziert.

Claims (20)

1. Patentansprüche

   1. Formgebungsanlage (1) oder Peripherievorrichtung für eine Formgebungsanlage (1), umfassend: - mindestens eine nicht sichere Steuervorrichtung (2), welche wenigstens einen Signaleingang (3) sowie wenigstens einen Signalausgang (4) zur nicht sicheren Steuerung von nicht sicherheitsrelevanten Aktuatoren (5) der Formgebungsanlage (1) oder Peripherievorrichtung aufweist, - mindestens eine sichere Steuervorrichtung (6), welche wenigstens einen sicheren Signaleingang (7) sowie wenigstens einen sicheren Signalausgang (8) aufweist und in welcher ein Sicherheitsprogramm (9) abgelegt ist, das zur sicheren Steuerung von sicherheitsrelevanten Aktuatoren (11) der Formgebungsanlage (1) oder Peripherievorrichtung ausführbar ist, dadurch gekennzeichnet, dass das Sicherheitsprogramm (9) eine durch die sichere Steuervorrichtung (6) ausführbare, durch einen Compiler kompilierte Version eines Stromlaufplanes (19) ist.
2. 2. Formgebungsanlage oder Peripherievorrichtung nach Anspruch 1, gekennzeichnet durch mindestens eine signalübertragende Verbindungsvorrichtung (17), an welcher die mindestens eine nicht sichere Steuervorrichtung (2) und die mindestens eine sichere Steuervorrichtung (6) angeschlossen sind.
3. 3. Formgebungsanlage oder Peripherievorrichtung nach Anspruch 2, dadurch gekennzeichnet, dass die mindestens eine signalübertragende Verbindungsvorrichtung (17) als Bus, vorzugsweise als sicherer Bus, ausgebildet ist.
4. 4. Formgebungsanlage oder Peripherievorrichtung nach einem der Ansprüche 1 bis 3, gekennzeichnet durch eine Recheneinheit (12), auf welcher eine Benutzerschnittstelle (13) mit einer Visualisierungseinheit (14) und einer Eingabevorrichtung (15) zur Visualisierung von Signalen der mindestens einen nicht sicheren Steuervorrichtung (2) und zur Eingabe von Parametern für die mindestens eine nicht sichere Steuervorrichtung (2) konfiguriert ist.
5. 5. Formgebungsanlage oder Peripherievorrichtung nach Anspruch 4, dadurch gekennzeichnet, dass das Sicherheitsprogramm (9) mittels von einem Benutzer über die Eingabevorrichtung (15) der Benutzerschnittstelle (13) der Recheneinheit (12) vorgebbarer Sicherheits-Parameter (10) ausführbar ist.
6. 6. Formgebungsanlage oder Peripherievorrichtung nach Anspruch 5, dadurch gekennzeichnet, dass die Sicherheits-Parameter (10) für das Sicherheitsprogramm (9) der sicheren Steuervorrichtung (6) über die Eingabevorrichtung (15) der Benutzerschnittstelle (13) der Recheneinheit (12) eingebbar sind.
7. 7. Formgebungsanlage oder Peripherievorrichtung nach Anspruch 5 oder 6, dadurch gekennzeichnet, dass mittels der Sicherheits-Parameter (10) für das Sicherheitsprogramm (9) der sicheren Steuervorrichtung (6) - die Anzahl und/oder Positionierung der sicherheitsrelevanten Aktuatoren (11) oder - das vorgegebene Sicherheitsniveau wenigstens eines sicherheitsrelevanten Aktuators (11) auswählbar ist.
8. 8. Formgebungsanlage oder Peripherievorrichtung nach wenigstens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass über die Eingabevorrichtung (15) der Benutzerschnittelle (13) der nicht sicheren Steuervorrichtung (2) das Sicherheitsprogramm (9) auf der sicheren Steuervorrichtung (6) verifizierbar installierbar ist.
9. 9. Formgebungsanlage oder Peripherievorrichtung nach wenigstens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass in der Benutzerschnittstelle (13) der nicht sicheren Steuervorrichtung (2) oder in der sicheren Steuervorrichtung (6) ein Diagnosetool (18) für die mindestens eine sichere Steuervorrichtung (6) implementiert ist.
10. 10. Formgebungsanlage oder Peripherievorrichtung nach Anspruch 9, dadurch gekennzeichnet, dass die Visualisierungseinheit (14) der Benutzerschnittstelle (13) zur Darstellung von Diagnosesignalen des Diagnosetools (18) in Form des Stromlaufplans (19) konfiguriert ist.
11. 11. Formgebungsanlage oder Peripherievorrichtung nach Anspruch 10, dadurch gekennzeichnet, dass die Visualisierungseinheit (14) der Benutzerschnittstelle (13) zur Einzeldarstellung eines Blockes (23) oder einer Gruppe von Blöcken (23) des Stromlaufplans (19) konfiguriert ist, wobei die Eingabevorrichtung (15) der Benutzerschnittstelle (13) zum Wechsel zwischen den Einzeldarstellungen entsprechend einer Signalflussrichtung des Stromlaufplans (19) konfiguriert ist.
12. 12. Formgebungsanlage oder Peripherievorrichtung nach wenigstens einem der Ansprüche 9 bis 11, dadurch gekennzeichnet, dass das Diagnosetool (18) konfiguriert ist, eine mehrere Blöcke (23) umfassende Signalverbindung des Stromlaufplans (19) zu testen und bereits getestete Blöcke (23) zu markieren.
13. 13. Formgebungsanlage oder Peripherievorrichtung nach wenigstens einem der Ansprüche 9 bis 12, dadurch gekennzeichnet, dass das Diagnosetool (18) konfiguriert ist festzustellen, ob ein am mindestens einen sicheren Signaleingang (7) der sicheren Steuervorrichtung (6) vorliegendes Eingangssignal ein vorgegebenes Ausgangssignal über den wenigstens einen sicheren Signalausgang (8) der sicheren Steuervorrichtung (6) auslöst.
14. 14. Formgebungsanlage oder Peripherievorrichtung nach Anspruch 13, dadurch gekennzeichnet, dass das Diagnosetool (18) den vollständigen Signalweg zwischen dem mindestens einen sicheren Signalausgang (8) und dem mindestens einen sicheren Signaleingang (7) überwacht.
15. 15. Formgebungsanlage oder Peripherievorrichtung nach wenigstens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die mindestens eine sichere Steuervorrichtung (6) als physikalisch von der nicht sicheren Steuervorrichtung (2) gesonderter Bauteil vorliegt oder in der nicht sicheren Steuervorrichtung (2) implementiert ist.
16. 16. Formgebungsanlage oder Peripherievorrichtung nach wenigstens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die mindestens eine sichere Steuervorrichtung (6) über ein sicheres Busmodul (26) mit dem wenigstens einen sicheren Signaleingang (7) und/oder dem wenigstens einen sicheren Signalausgang (8) kommuniziert.
17. 17. Formgebungsanlage oder Peripherievorrichtung nach wenigstens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine über die Eingabevorrichtung (15) der Benutzerschnittstelle (13) der nicht sicheren Steuervorrichtung (2) vorgenommene Eingabe von Sicherheits-Parametern (10) für die sichere Steuervorrichtung (6) in einer Protokolldatei (22) hinterlegbar ist.
18. 18. Formgebungsanlage oder Peripherievorrichtung nach wenigstens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass über die Eingabevorrichtung (15) der Benutzerschnittstelle (13) der nicht sicheren Steuervorrichtung (2) die Eingabe von Sicherheits-Parametern (10) für die sichere Steuervorrichtung (6) auf Werte einschränkbar ist, welche bereits im Stromlaufplan mit einer vorgesehenen sicherheitskonformen Reaktion versehen wurden.
19. 19. Formgebungsanlage oder Peripherievorrichtung nach wenigstens einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass eine im Stromlaufplan (19) zusätzlich hinterlegte Identifikation der Formgebungsanlage (1) oder der Peripherievorrichtung für die Formgebungsanlage (1), vorzugsweise in Form einer Fabrikationsnummer, hinterlegt ist und in das von der sicheren Steuervorrichtung (6) ausführbare Sicherheitsprogramm (9) übernommen ist, sodass eine Verwechslung des Sicherheitsprogramms verhindert werden kann.
20. 20. Verfahren zum Betreiben einer Formgebungsanlage (1) oder einer Peripherievorrichtung für eine Formgebungsanlage (1), wobei - mindestens eine nicht sichere Steuervorrichtung (2), welche über Eingangs- und Ausgangssignale nicht sicherheitsrelevante Aktuatoren (5) der Formgebungsanlage (1) oder Peripherievorrichtung nicht sicher steuert, - mindestens eine sichere Steuervorrichtung (6), welche über Eingangs- und Ausgangssignale mittels eines Sicherheitsprogrammes (9) sicherheitsrelevante Aktuatoren (11) der Formgebungsanlage (1) oder Peripherievorrichtung sicher steuert, dadurch gekennzeichnet, dass die sichere Steuervorrichtung (6) über das Sicherheitsprogramm (9) eine durch einen Compiler kompilierte Version eines Stromlaufplanes (19) ausführt.