CN102025582B - 用于控制安全关键的过程的控制系统 - Google Patents

Abstract

本发明涉及通过通信网络(20)控制自动化设备中安全关键过程的控制系统(10)，通信网络(20)具有控制网络(20)上通信的通信主设备(22)和多个网络用户(12，14，16，18)，至少一些网络用户构造为分布式安全网络用户(16)且每一个都具有自己的控制安全相关应用的分布式安全控制器(17)，分布式安全网络用户(16)每一个都具有独特安全地址，分布式安全网络用户(16)执行对于其相关的安全功能和/或安全关联本身，分布式安全网络用户(16)防错地相互通信，它们各自执行与另一分布式安全网络用户(16)的自动的防错的点到点通信(36)，以便能够提供分布式安全网络用户(16)之间全局的安全功能。

Description

用于控制安全关键的过程的控制系统

技术领域

本发明涉及一种用于通过通信网络、尤其通过总线系统控制自动化设备中安全关键的(sicherheitskritisch)过程的控制系统。

背景技术

为了降低对人或环境的危险，尤其是在自动化设备中实现安全功能。对此的简单的例子在按下紧急停止按键后切断机器或者在人进入机器人的安全区的情况下(其中例如光电栅栏(Lichtschranke)中断或被监视机器人安全区的光点阵(Lichtgitter)采集到)或者被监视的入口门打开的情况下停止机器人。对于特别安全关键的过程，还可以必需的是，如果特定的安全功能被激活，则关闭复杂设备的更多部分或甚至整个设备。

为此使用防错的自动化系统。一般地，防错的自动化系统一方面实现实际的安全功能，例如紧急停止切换、双手切换(Zweihand-Schaltung)、操作模式选择开关等；另一方面，防错的自动化系统包括错误识别和错误控制措施，例如根据在标准中确定的机制(例如，根据IEC 61508，ISO 13849等)。这些机制原则上对于本领域技术人员是已知的。

在已知的设备中，根据设备的延伸以及根据自动化程度，使用连接分布式的输入/输出设备(E/A-Geraete)和控制器的通信系统。对于传输安全技术数据，这些网络由安全的网络协议支持。其中，安全数据或者经由并行的安全信号接线、或者集成地通过该通讯系统被传输。

对于集成的传输，所使用的信号流通常从中央安全技术出发，在该中央安全技术中，安全的输入信号被传输到安全控制器，在那里被处理(安全的应用)，然后被传送到相应的执行器。现在，例如在自动化装置的硬件和固件中、在网络(例如现场总线、以太网等)的基础设施组件中以及在数据传输期间由于外部影响，例如EMC干扰而可能出现错误。

例如，在DE 103 53 950 A1中描述了一种控制系统，其中用于控制安全关键的过程的控制单元不依赖于现场总线地例如连接到总线主设备(Busmaster)的多端口存储器接口。

在自动化技术中目前有两种趋势。一方面是控制功能的分布式设置，另一方面是将安全技术集成到控制和网络技术中。对于控制功能的分布式设置，其通常进一步转移到输出级。因此，例如在运行时在有限的范围内集成(非安全的)控制功能。

通过将安全技术集成到控制器和网络中，在应用过程中产生强烈的依赖性。这些依赖性导致系统更复杂的规划和编程。这在于安全技术的简便与自动化技术中生命周期所有阶段的操纵之间不期望的矛盾。这一方面导致在基于安全中继的传统硬布线的安全技术的过渡难以被接受，另一方面由于安全功能的所谓误触发而导致设备的错误使用和不足的可用性。

为了防错的自动化系统的简单操纵和可模块化，设备的所有安全功能被划分为小的一目了然的、可限于本地的、并且能简单验证的模块。这对应于在设备自动化中当今熟悉安全技术的人的方式。此外，因此可以更简单地进行设备改造和扩展，而不必再次附加验证已经被验证过的设备部件。此外，模块化和安全功能与标准功能的分离对应于现行安全标准的要求。

对于用户的另一优点在于这样一种可能性，即与网络无关且与控制器无关地构造分布式的安全模块。由此，这些安全模块不依赖于特定的控制器提供者。这意味着，它们在(由目标市场的非安全相关的规定决定地)必须更换标准控制器和/或网络时，在使用安全技术并且验证了安全模块的情况下可以保留。

尽管存在对限于本地的安全功能的可能的划分和分布式设置，但是此外还可以有设备范围的(anlagenweit)安全功能。因此，例如一单元中安全功能的触发也在相邻单元中有影响，如带来危险的运动的停止。

为了保证这样的设备范围的安全功能，分布式的安全模块或者通过上级的中央安全控制器来防错地协调，或者具有相互之间防错地通信的能力。与最初的简化目的相反，这两种附加技术导致在网络配置时更大的花费。

发明内容

因此，发明的任务在于提供一种用于控制安全关键的过程的控制系统，这个系统一方面支持两个、即限于本地的安全功能和设备范围的安全功能，并且另一方面简化网络配置并避免用户错误。

本发明的任务通过独立权利要求的主题来实现。本发明的有利扩展方案在从属权利要求中限定。

根据本发明，提供一种控制系统，用于通过通信网络控制自动化设备中安全关键的过程，该通信网络具有用于控制网络上非安全通信的尤其是非安全的通信主设备(Kommunikationsmaster)和多个网络用户。网络用户中包括至少一些所谓的安全数据输入对象(SDI对象)和/或安全数据输出对象(SDO对象)。SDI对象(安全数据输入)例如包括传感器，SDO对象(安全数据输出)例如包括执行器。

网络用户中的至少一些被构造为分布式的安全网络用户，并且每个都包括自己的用于控制与安全相关的应用的分布式安全控制器，例如安全逻辑模块形式的安全控制器，并且每个都具有独特的安全地址。分布式的安全网络用户执行对于其相关的安全功能和/或安全逻辑，并且相互防错地通信，其中其各自执行与后面的分布式安全网络用户的自动的防错的点对点通信。由此，可以提供分布式安全网络用户之间全局的(uebergreifend)、尤其是设备范围的安全功能，而不必需要中央安全控制器。

分布式的安全网络用户因此是在一定程度上选定的网络用户，其包含分布式的安全组件，这些安全组件通过与其各自的后接组件的自动的防错的点对点通信而形成具有限定的数据宽度的逻辑的软件母线(Software-Stromschiene)。分布式的安全组件或分布式的安全控制器例如是安全逻辑模块。借助于它们，自动地在分布式的安全网络用户之间建立设备范围的防错的通信。每个分布式的安全网络用户所具有的独特的安全地址用作为在自动建立点对点关系内的联网时各自的源地址和目标地址。为此，尤其是没有网络配置工具是必需的。用户可以例如仅仅通过设置该安全组件的安全地址来配置软件母线或防错的点对点通信。该独特的安全地址可以例如借助于DIP开关和/或借助于软件在分布式的安全网络用户中被确定。

根据本发明的一特别实施方式，分布式的安全网络用户与分配的(常规)SDI和/或SDO对象关联(verknuepfen)，并以这些分配的SDI和SDO对象分组为安全岛(Sicherheitsinseln)，这些SDI和/或SDO对象每一个都不具有自己的用于控制安全相关的应用的分布式安全控制器，其中每个安全岛具有至少一个分布式的安全网络用户，相应的没有自己的分布式安全控制器的SDI和SDO对象作为卫星连接到该分布式的安全网络用户。分布式的安全网络用户或其安全逻辑模块控制岛内部的防错的通信以及跨岛的防错的通信，以提供设备范围的安全功能。分布式的安全组件因而是附加配备有用于防错的横向通信(Querkommunikation)的装置的安全岛的逻辑模块。分布式的安全网络用户还可以自己被构造为具有附加的安全逻辑模块的SDI和/或SDO对象。因此，一方面在安全岛内进行SDI对象和SDO对象与防错的控制装置的防错的通信，并且另一方面，如果碰到设备范围的安全功能，则可以借助于防错的点对点通信可以连续地关闭整个设备。

因此，在配置各自安全岛的安全逻辑时对于用户还存在通过整个设备转发防错的信号的附加可能性。在这里能想到多种策略。例如，为每个安全岛提供自己的数据线，并且每个安全岛固定地占用软件母线的正好一条为其分配的数据线(独占写权限)，并且通过电平向其他安全岛(仅阅读权限)通知危险的设备状态。同样，在对设备范围的软件母线的各个信号的访问权限的情况下，其他策略也是可能的，从而例如能实现小的子环。

为了实现防错的点对点通信，尤其使用安全的通信协议。

如已经描述的那样，分布式的安全网络用户之间(岛)全局的或设备范围的防错的通信借助于防错的点对点通信自动地建立，而不使用网络配置工具。因此提到软件母线，其借助于在安全的逻辑模块之间自动建立的数据流而代替硬件技术构造的信号线路或叠加的用于防错的通信的安全控制器。软件母线表示智能安全模块(逻辑单元、支持网络的安全开关装置、安全控制器)之间自动生成的具有定义的数据宽度的数据流。其以多个安全的点对点通信关系的成行排列(Aneinanderreihung)的形式而实现。这些成行排列的点对点关系的建立可以在标准网络主设备(Standard-Netzwerkmaster)中自动地、且在不附加使用网络配置工具的情况下实现。软件母线从而使得能够实现多个安全的网络用户的简单的全局的或设备范围的安全通信。

换句话说，安全岛的分布式的安全网络用户相互之间设备范围防错地、尤其是经由防错的电报业务(Telegrammverkehr)进行通信，以便除了岛内的安全功能之外还能够提供设备范围的安全功能。为此，分布式的防错的逻辑模块自动地、在没有上级中央安全控制器的情况下通过逻辑软件母线机制联网。用于对多个安全岛(英文为“Safety-Inseln”)进行联网的软件母线方法可以例如在本申请人的所谓安全桥系统(SafetyBridge-System)中从步骤2开始被应用。

网络用户之间的非安全通信由尤其是非安全的通信主设备控制。通信网络尤其是总线系统，例如具有非安全的标准总线主设备(有时也被称为K主设备)的现场总线。没有自己的分布式安全控制器的SDI和/或SDO对象同样是网络或总线用户，所谓的K从设备。

为了自动形成逻辑的软件母线，防错的分布式网络或总线用户提供媒介，借助于该媒介例如在上级标准控制器中或在上级尤其是非安全的网络主设备或通信主设备中或者在其他网络基础设施组件中能够设置防错的分布式网络用户之间电报的自动路由。

由于电报的自动路由而可能产生的所有错误被端点中的安全协议识别出。

防错的电报业务的保障机制尤其仅在通信的防错的端点中进行(所谓的黑色通道原理：Black-Channel-Prinzip)。时间戳、冗余、校验和、序列号(laufende Nummern)、以及发送者和接收者标识是典型的错误识别措施。其主要用于保证电报的源与目的地的对应的唯一性以及识别标准通信网内的“错误指向”(黑色通道)。

黑色通道的原理源于标准网络及其基础设施组件中电报的任意错误，如替换、破坏，伪造。防错的通信协议的错误识别措施不是在标准网络中同样存在的错误识别措施的保证。

因此，本发明以有利的方式使得能够在不使用网络配置工具的情况下实现分布式的安全网络用户之间(岛)全局或设备范围的防错的通信的自动建立。此外，通过本发明可以简化应用程序并且避免使用者错误。

下面将借助于实施例参考附图更详细地介绍本发明。

附图说明

附图中：

图1示出了自主工作的独立安全岛的示意图，

图2示出了具有多个由软件母线串行地(in Reihe)联网的安全岛的另一实施方式的示意图，

图3示出了图2中软件母线内的点对点关系的示意图，

图4示出了分布式的安全网络用户LPSDO的内部结构的示意图，

图5示出了连接到软件母线的分布式的安全网络用户的示意图。

具体实施方式

参考图1说明自主工作的独立的安全岛1、2和可选的紧凑的安全小型控制器18的布置。

图1a)从网络角度示出了用于控制安全关键的过程的控制系统10。第一安全岛1包括3个SDI对象12和两个SDO对象14，第二安全岛包括三个SDI对象12，它们都没有分布式的安全逻辑模块。SDI和SDO对象12、14各自的数量应当被理解为是示例性的。

SDI对象设置安全相关的协议，该协议被分布式的安全网络用户LPSDO16的安全逻辑模块17(参见图4和5)处理，以便借助于SDO对象14触发安全相关的功能。分布式的安全网络用户LPSDO16所包括的安全逻辑模块17也可以被称为安全分析器。分布式的安全网络用户16执行应用程序，并且在这个例子中包括安全数据输出模块(LPSDO)。但是，分布式的安全逻辑模块也可以由具有安全数据输入模块或具有组合SDIO模块的网络用户具有。分布式的安全网络用户16的安全逻辑单元17转换(umsetzen)安全功能，并在可能的情况下切断设备部件。安全功能根据要求转换在岛内部和/或岛全局地安全相关的功能。

SDI和SDO对象12、14以及分布式的安全网络用户16分别作为网络用户在网络中联网，该网络由非安全的网络主设备或通信主设备22(所谓K主设备)控制。此外，安全小型控制器(Sicherheitskleinsteuerung)18也连接到该网络。在这个例子中，该网络被构造为总线系统20，使得网络主设备是总线主设备22。非安全的数据业务因此由总线主设备22控制，并且对象12、14、16、18是K从设备。总线系统20不承担任何安全相关的任务，而是仅仅作为传输介质工作。通过该方式，非安全的组件也可以连接到网络缆线。

图1b)从数据流角度示出了控制系统。逻辑的数据流24从SDI对象或输入模块12经由分布式的安全网络用户16的安全逻辑模块17到达SDO对象或输出模块14。

图1c)从装置角度示出了控制系统。在装置角度，安全岛1、2以及安全小型控制器18对于使用者而言在所谓的工程工具中显示(在那里，网络是不可见的)。在这个例子中，安全岛1代表具有机器紧急停机功能(Nothalt-Funktion)的安全的机器控制，安全岛2代表舱门监测。

图2涉及另一控制系统10的数据流视图，其中该控制系统具有多个分布式的安全网络用户16或安全岛1、2、3...j以及表示第n个网络用户的安全小型控制器18。安全岛1-3被明确显示，而点则暗示进一步的网络用户或安全岛。根据本发明，安全的分布式网络用户16或安全岛1-3以及安全小型控制器是总线用户。安全岛每一个都包括分布式的安全网络用户LPSDO16，其中多个SDI和/或SDO对象12、14作为卫星在逻辑上与LPSDO16关联。分布式的安全网络用户16借助于软件母线30串行地联网，以便执行岛全局或设备范围的安全功能(参见图4和5)。

参考图3，安全岛1的分布式的安全网络用户16形成与后一安全岛2的分布式的安全网络用户16的安全通信的主设备32(所谓的F主设备)，后一安全岛2的分布式的安全网络用户16对此作为从设备33(所谓的F从设备)。安全岛2的分布式的安全网络用户16又形成与后一安全岛3的分布式的安全网络用户16的安全通信的主设备34(所谓的F主设备)，后一安全岛3的分布式的安全网络用户16对此作为从设备35(所谓的F从设备)，以此类推。

为此，每个分布式的安全网络用户16都具有独特的安全地址，所谓的F地址。其在自动建立分布式的安全网络用户16之间点对点关系36内的联网时用作相应的源和目标地址。

参考图4说明分布式的安全网络用户LPSDO16的内部结构，该LPSDO16连接到软件母线30。示例性地只示出了软件母线30的一条线路38。但是也可以设置多条“软件线路”38，例如对于每个安全岛38设置一条自己的软件线路38。此外还显示了输入侧或输出侧的安全通信层FSss(F主机母线：F-Host Stromschiene)和PSTss(PROFI安全设备驱动器母线：PROFIsafeDeviceTreiberStromschiene)。

参照图4a)说明当时没有安全要求的逻辑模块17，而在图4b)中存在对逻辑模块17的安全要求。如果一个安全相关的全局错误情况发生，则安全相关的数据(例如紧急停止命令)从安全逻辑模块17然后经由点对点关系36的链连续地传输到后面的分布式安全网络用户16的后续安全逻辑模块。这些安全相关的数据可以然后自动地被同样连接到软件母线30的后续安全逻辑模块17分析，并且在可能的情况下在那里导致切断。安全相关数据的这个连续传输可以被解释为在错误情况(Fehlerfall)中“拉”软件母线的一条线路。这触发在其他分布式的安全网络用户16中的切断，其中对经由点对点关系传输的安全相关的数据的分析位于后面的负责相应安全逻辑模块17的分布式的安全网络用户16中。

参考图5说明控制系统，该系统包括具有安全地址(F地址)1、2、3...n的n个连接到软件母线30的分布式的安全网络用户16。

在F地址2的网络用户的安全逻辑模块17中识别出错误或安全要求。该逻辑模块17触发全局的或设备范围的安全功能，并似乎“拉”软件母线30的线路38，以便将该安全要求也传输给其他分布式的安全网络用户16。这样的“拉”线路在软件技术上在每个分布式的安全网络用户16的安全逻辑或逻辑模块17中被转换。分布式的安全的前一网络用户的进入的信号例如与自己的安全岛的状态逻辑地进行“与”关联。一旦识别出安全要求，到分布式的安全的后一网络用户的输出信号就被规定地拉到0。

换句话说，逻辑模块17链接在软件母线30上，并且自动地由提高的F地址串行地相互关联。软件母线30可以通过回路31环形地封闭。

根据本发明的用于控制安全关键的过程的控制系统10因此基于以下事实，即代替一个中央的安全控制器，分布式的安全逻辑模块17执行对于其相关的安全功能和关联。分布式的安全网络用户16的安全逻辑模块17自动地、并且在没有通信主设备22中的上级中央安全控制器或单独连接到总线20的中央安全控制装置的情况下借助于逻辑的软件母线30以限定的数据宽度联网。对于设备范围的安全功能，这些分布式的安全逻辑模块17防错地相互通信。分布式的安全网络用户16一方面监视安全岛1、2、3...内的防错的通信，并且另一方面执行与后一安全岛的其各自的后续者的防错的通信1-＞2、2-＞3等。在作为所谓黑色通道的部件的非安全通信主设备22中，标准电报在分布式的安全逻辑模块之间被相应地路由。例如，这采取特殊拷贝命令(Kopier-Befehlen)或拷贝构件(Kopier-Bausteinen)形式的应用程序。它们根据分布式的网络或总线用户的寻址和总线配置而被配置和/或参数化。但是，路由也可以在通信主设备22中例如通过处理路由表而实现。

在本发明的意义上，这个配置和/或参数化花费可以被明显减少，其中应用程序本身或者位于其下面的路由层分析包含在防错的通信协议中的媒介(信息)，并自动地将电报从源路由到相应的目标地址。这个链接的表的顺序可以自动地例如借助于模块的所设置的安全地址得到。为此，可以例如借助于DIP开关或借助于分布式的安全网络用户16的相应安全逻辑模块17中的软件确定安全地址。例如，非安全的通信主设备22如前所述可以生成路由表，该路由表被自动地加载到网络用户中。联网结构或拓扑结构也可以例如在网络变化时被动态改变。

分布式的安全网络用户16的安全逻辑模块的联网结构或通信网络20的拓扑结构于是尤其仅仅基于分布式的安全网络用户16的安全模块的所设置的安全地址而得到。

根据本发明的一特殊构造方式，通信网络20的联网结构或拓扑结构取决于所使用的自动关联算法。在这里，例如环形网络也是可能的。

控制系统的一个示例性应用是高架仓库的自动控制。

本领域技术人员能够清楚地理解，前面描述的实施方式应当被理解为是示例性的，并且本发明不限于此，而是可以以多种方式变化而不背离本发明。此外能够清楚地理解，即使特征与其他特征一起被描述，但是其也定义本发明的单独的主要组成部分，而不管其是在说明书、权利要求书、附图还是其他地方被公开的。

Claims (13)

1.一种控制系统(10)，用于通过通信网络(20)控制自动化设备中安全关键的过程，其中所述通信网络(20)具有通信主设备(22)和多个网络用户(12，14，16，18)，其中所述通信主设备用于控制所述网络(20)上的通信，

至少两个所述网络用户被构造为分布式的安全网络用户(16)，并且所述至少两个所述网络用户中每一个都具有自己的分布式安全控制器(17)，用于控制安全相关的应用，

所述分布式的安全网络用户(16)每一个都具有独特的安全地址，

所述分布式的安全网络用户(16)每一个都执行对于所述用户(16)相关的安全功能或安全关联本身，

所述分布式的安全网络用户(16)被分组为安全岛(1，2，3)，所述分布式的安全网络用户(16)之间的点对点通信(36)构造为基于从一个安全岛到另一安全岛的点对点关系(36)的链的防错的点对点通信(36)，其中在点对点关系中第一安全岛(1)的分布式的安全网络用户(16)形成主设备(32)，而在该链中跟随第一安全岛的安全岛(2)的分布式的安全网络用户(16)形成从设备(33)，在安全岛(1，2，3)之间的主设备从设备关系形成点对点关系的链，使得分布式的安全网络用户(16)成对地单独彼此连接，因此相互提供安全功能。

2.根据权利要求1所述的控制系统(10)，

其中所述分布式的安全网络用户(16)与所分配的安全数据输入对象和／或安全数据输出对象(12，14)关联，使得所述分布式的安全网络用户(16)以所分配的安全数据输入对象和／或安全数据输出对象(12，14)被分组为安全岛(1，2，3)，其中每个安全岛包括至少一个分布式的安全网络用户(16)，所述所分配的安全数据输入对象和／或安全数据输出对象(12，14)每一个都不具有自己的用于控制安全相关应用的分布式安全控制器。

3.根据权利要求2所述的控制系统(10)

其中所述分布式的安全网络用户(16)具有用于所述安全岛(1，2，3)内防错的横向通信的装置。

4.根据权利要求2或3所述的控制系统(10)，

其中提供岛全局的安全功能，其中所述安全岛(1，2，3)的所述分布式的安全网络用户(16)借助于防错的点对点通信(36)而岛全局防错地相互通信。

5.根据权利要求1、2或3所述的控制系统(10)，

其中借助于防错的点对点通信(36)自动地建立所述分布式的安全网络用户(16)之间设备范围的防错的通信。

6.根据权利要求1、2或3所述的控制系统(10)，其中，

(i)借助于所述分布式的安全网络用户之间通过防错的点对点通信(36)自动建立的数据流，软件母线(30)被构造为对硬件连接的替代，和／或

(ii)每个安全岛(1，2，3)占用所述软件母线(30)的正好一条数据线路(38)。

7.根据权利要求1、2或3所述的控制系统(10)，

其中为所述分布式的安全网络用户(16)之间防错的点对点通信(36)使用安全的通信协议。

8.根据权利要求7所述的控制系统(10)，

其中由应用程序自身或位于其下的路由层来

i)分析包含在防错的通信协议中的数据，以及

ii)将所述位于其下的路由层的电报自动地从源路由到相应的目标地址。

9.根据权利要求1、2或3所述的控制系统(10)，

其中所述安全地址能借助于开关和／或借助于所述分布式的安全网络用户(16)中的软件确定。

10.根据权利要求1、2或3所述的控制系统(10)，

其中在非安全的通信主设备(22)中路由所述分布式的安全网络用户(16)之间的标准电报。

11.根据权利要求10所述的控制系统(10)，

其中所述标准电报的路由由拷贝命令形式的应用程序执行，这些拷贝命令根据所述分布式的安全网络用户(16)的寻址而被配置和／或参数化。

12.根据权利要求10所述的控制系统(10)，

其中所述通信主设备(22)生成路由表，并且借助于所述路由表自动地将电报从源路由到目标地址。

13.根据权利要求1、2或3之一所述的控制系统(10)，

其中所述网络用户之间由非安全的通信主设备(22)控制的电报业务中的数据宽度对于所述分布式的安全网络用户(16)之间的所有点对点连接是相同的。

Images