CN102483620B - 用于控制自动化系统，特别是铁路系统的装置和方法 - Google Patents

Abstract

一种用于控制自动化系统、特别是铁路系统的装置，具有多个传感器(40)和执行器(38)。可编程的控制单元(12)执行用户程序，以便处理来自传感器(40)的输入数据，并且以便生成用于执行器(38)的控制指令。传感器(40)和执行器(38)连接在所述本地的输入/输出单元(14、16)上，所述本地的输入/输出单元与控制单元(12)通过通信网络(18)连接。控制单元(12)和输入/输出单元(14、16)交换数据电文(20、22、24)，以便传输输入数据和/或控制指令。所述装置具有本地的断开单元(32)，所述本地的断开单元以与输入数据和控制指令分离的方式与本地的输入/输出单元(14、16)耦联。控制单元(12)构成为将用于断开单元(32)的特殊的校验数据(54)集成到用于输入/输出单元(14)的数据电文(20、22)中。断开单元(32)构成为，依据特殊的校验数据(54)使输入/输出单元(14)不起作用。

Description

用于控制自动化系统，特别是铁路系统的装置和方法

技术领域

本发明涉及一种用于控制具有传感器和执行器的自动化系统，特别是铁路系统的装置，所述装置具有：用于执行用户程序的可编程的控制单元；本地的输入/输出单元，在所述输入/输出单元上连接有多个传感器和执行器；以及通信网络，所述通信网络连接控制单元和本地的输入/输出单元，其中，所述控制单元构成为，依据用户程序处理来自传感器的输入数据，以便生成用于执行器的控制指令，并且其中，控制单元和输入/输出单元构成为，通过通信网络交换数据电文，以便传输输入数据和控制指令。

此外，本发明涉及一种用于控制具有传感器和执行器的自动化系统，特别是铁路系统的方法，所述方法具有下述步骤：

-提供本地的输入/输出单元，在所述输入/输出单元上连接有多个传感器和执行器；

-提供用于处理传感器的输入数据和用于生成用于执行器的控制指令的控制单元；

-在控制单元和输入/输出单元之间通过通信网络交换数据电文，所述通信网络连接所述控制单元和本地的输入/输出单元，

其中，所述控制单元依据传感器的输入数据借助于数据电文控制所述执行器。

背景技术

通常从DE102007039154A1中已知一种这样的装置和这样的方法，其中，所述文献没有公开所述装置和方法的所有各个细节。

DE102007039154A1说明了一种用于铁路网络的所谓的安全系统，所述安全系统具有控制平面和待控制的场元件。作为示例提及电子信号站。这样的信号站在历史上是极度集中地构造的，并且因此任何小的改动对整个系统产生影响。这也适用于软件，在小的改动的情况下，所述软件必须与从控制平面直到场元件，例如道岔、行驶信号等等相匹配。为了使这样的安全系统的改造和改进变得容易，本文献提出一种模块结构，其中，所述控制平面构成为主机，其中，所述场元件构成为从机，并且其中，主机和从机通过通信网络相互连接。此外，从机应可通过控制器控制，所述控制器可通过对所有从机而言统一的通信接口连接到通信系统上。

DE102007039154A1对于所提出的实现形式假定，所述通信系统确保在主机和从机之间的不失真的且不可失真的传输。换句话说，所提出的解决方案需要在主机和从机之间的故障保护的通信系统。这导致主机和从机都具有用于故障保护的通信系统的特殊的通信接口。相对于以前的基于DE102007039154A1的安全系统，这样的实现形式带来在改造和改进的情况下灵活性方面的进步。但是，当想要改建已存在的铁路系统时，所提出的实现形式是不利的，因为所述实现形式基于特殊的，并且因此通常为专有的通信系统的应用。

在DE19742716A1中说明了一种具有控制单元和多个输入/输出单元的控制和数据传输系统。在所述控制单元和输入/输出单元中分别集成有与安全相关的组件，所述组件将待传输的输入和输出数据取反，并且相对于原始数据冗余地传输待传输的输入和输出数据。冗余的数据传输需要特别为其构成的并且因此专有的通信接口和相应地构成的输入/输出单元。因此，当想要改建已存在的铁路系统时，所述控制和数据传输系统也是不利的。

发明内容

在这个背景下，本发明的目的是，提出一种开始所述类型的装置和方法，所述装置和方法能够以低成本的方式实现具有与安全相关的组件的自动化系统的灵活的变动和改进。

根据本发明的一方面，所述目的通过根据本发明的用于控制具有传感器和执行器的自动化系统的装置得以实现，所述装置具有：用于执行用户程序的能够编程的控制单元；本地的输入/输出单元，多个所述传感器和执行器连接在所述本地的输入/输出单元上；以及通信网络，所述通信网络连接所述控制单元和所述本地的输入/输出单元，其中，所述控制单元构成为，依据所述用户程序处理来自所述传感器的输入数据，以便生成用于所述执行器的控制指令，并且其中，所述控制单元和所述输入/输出单元构成为，通过所述通信网络交换数据电文，以便传输所述输入数据和所述控制指令，所述装置具有本地的断开单元，所述本地的断开单元以与输入数据和控制指令分离的方式与本地的输入/输出单元耦联，其中，所述控制单元构成为，将用于断开单元的特有的校验数据集成到用于输入/输出单元的数据电文中，并且其中，所述断开单元构成为，依据特有的校验数据使输入/输出单元不起作用。

根据本发明的另一方面，所述目的通过根据本发明的用于控制具有所述传感器和执行器的自动化系统的方法得以实现，所述方法具有下述步骤：提供本地的输入/输出单元，多个所述传感器和执行器连接在所述本地的输入/输出单元上；提供控制单元，所述控制单元用于处理来自所述传感器的输入数据和用于生成用于所述执行器的控制指令；通过通信网络在所述控制单元和所述输入/输出单元之间交换数据电文，所述通信网络连接所述控制单元和所述本地的输入/输出单元，其中，所述数据电文包含所述输入数据和/或控制指令，其中，所述控制单元依据来自所述传感器的所述输入数据借助于所述控制指令控制所述执行器，其中，在所述输入/输出单元的区域中提供了本地的断开单元，所述本地的断开单元以与所述输入数据和控制指令分离的方式与本地的输入/输出单元耦联，其中，所述控制单元将用于断开单元的特有的校验数据集成到用于输入/输出单元的数据电文中，并且其中，所述断开单元依据特有的校验数据使输入/输出单元不起作用。

根据另一方面，提供一种用于在开始所述类型的装置中使用的断开单元，所述断开单元具有：用于连接在本地的输入/输出单元上的数据接口；用于处理特殊的校验数据的数据处理部分，所述校验数据能够以与输入数据和控制指令分离的方式通过数据接口提供；以及断开部分，所述断开部分构成为，依据特有的校验数据使输入/输出单元不起作用。

新的装置和新的方法使用附加的、本地的断开单元，所述本地的断开单元与本地的输入/输出单元耦联。但是，断开单元不包括在输入数据和控制指令的处理和传输中。有利的是，断开单元定位在输入/输出单元的区域中。断开单元通过定址在输入/输出单元上的数据电文获得特殊的校验数据，所述校验数据由(优选中央的)控制单元嵌入数据电文中。因此，断开单元能够借助于校验数据检查，耦联的输入/输出单元是否获得数据电文，所述数据电文实际上通过控制单元指向耦联的输入/输出单元。

在一个优选的实施例中，本地的断开单元与通信网络不直接连接，也就是说，本地的断开单元不具有用于连接到通信网络上的特有的接口。在这种情况下，本地的断开单元仅通过本地的输入/输出单元获得校验数据。但是，原则上可设想的是，本地的断开单元也附加地设有用于直接连接到通信网络上的通信接口，以便可实现在控制单元和本地的断开单元之间的直接通信，例如用于本地的断开单元从任意接入点到通信网络的远程维护。

但是，与断开单元如此可选地附加连接到通信网络上无关，断开单元特别是构成为，处理集成到数据电文中的校验数据，所述数据电文被发送给输入/输出单元。只有在相应的数据电文也实际到达耦联的输入/输出单元时，断开单元才获得所述校验数据。因此，所述断开单元能够监控，耦联的输入/输出单元是否获得定址在所述输入/输出单元上的数据电文。只有当断开单元获得正确的校验数据时，所述断开单元才准许所述输入/输出单元工作。如果缺少校验数据或所述校验数据与在断开单元中的预期不符，那么断开单元使耦联的输入/输出单元不起作用。因此，断开单元依据校验数据阻止控制单元对本地的输入/输出单元的访问。

校验数据与输入数据和控制指令无关，并且特别是确定用于断开单元。输入/输出单元不需要校验数据来判读控制指令。相应地，在优选的实施例中，校验数据不由输入/输出单元评估。相反，在优选的实施例中，输入/输出单元将校验数据“未读地”，也就是说，不判读所述数据地，转发给断开单元。反之，在优选的实施例中，例如在不具有断开单元的情况下处理和评估输入数据和控制指令，也就是说，断开单元不包括在输入数据和控制指令的处理和评估中。因此，断开单元和输入/输出单元的功能清楚地分开，并且彼此独立。

但是，断开单元借助于它的特殊的校验数据监控耦联的输入/输出单元仅执行实际确定用于耦联的输入/输出单元的控制指令。所述监控是耦联的主要目的。因此，断开单元以与输入数据和控制指令分离的方式耦联在输入/输出单元上，并且在优选的实施例中，输入数据和控制指令完全地绕过断开单元。

新的断开单元本身不能够确保输入/输出单元无误地运转，并且分别在正确的时间点上执行由控制单元提供的控制指令。但是，断开单元能够确保输入/输出单元不执行错误地接收的控制指令，例如所述控制指令定址在另一输入/输出单元上，并且所述控制指令由于在数据电文的地址段中的错误而被错误地接收。因此，断开单元负责排除错误，否则所述错误必须通过使用故障保护的通信网络来排除。换句话说，新的断开单元可实现标准通信网络的使用，所述标准通信网络本身不确保数据电文的无误的传输。

因此，新的装置和新的方法具有的优点是，它们能够在不具有专有的、故障保护的通信网络的情况下实现。因此，新的装置和新的方法优选包括通信网络，所述通信网络本身在根据IEC61508的SIL2、根据EN954的类别3或可比的要求的意义上不满足故障保护性。因此，本地的输入/输出单元能够构成有用于连接到任意的、无故障保护的通信网络上的标准接口。有利的是，输入/输出单元单信道地构成，并且所述输入/输出单元相应地基本上单信道地处理输入数据和控制指令。因此，新的装置和新的方法能够比在开始所述的DE102007039154A1中的装置和方法明显更低成本地实现。上述目的得以完全实现。

在本发明的一个优选的实施形式中，输入/输出单元构成为，通过应答电文签收由控制单元接收的数据电文中的每一个，所述数据电文包含用于输入/输出单元的控制指令，所述应答电文用信号通知控制指令的实际的执行。所述应答电文优选包含通过断开单元提供的其它校验数据，以便控制单元可实现应答电文的实际来源的冗余检查。

在所述实施形式中，对于每个发送给输入/输出单元的数据电文，控制单元从输入/输出单元获得执行确认，以至于控制单元能够与所使用的通信网络无关地监控输入/输出单元是否也实际执行了控制指令。此外，由于断开单元的集成在应答电文中的其它校验数据，控制单元能够监控所述应答电文来自“正确的”输入/输出单元，且例如不来自连接在通信网络上的其它输入/输出单元。因此，所述实施形式具有另一错误识别机构，所述错误识别机构操纵新的断开单元。

在另一实施形式中，输入/输出单元具有用于连接到通信网络和本地的数据接口上的网络接口，在所述网络接口上连接有断开单元，以便接收校验数据。在特别优选的实施形式中，本地的数据接口是标准串行接口，特别是RS485接口、RS422或RS232接口。

所述实施形式可实现本地的断开单元和输入/输出单元的非常简单和低成本的耦联。来自通信网络的定址在输入/输出单元上的全部数据电文必须首先经过网络接口。只是在经过网络接口后才进行包含在数据电文中的数据的分解，并且特别是将校验数据转发给断开单元。替代于此，在其它实施形式中，断开单元能够监听在网络接口处的数据电文，但是这不是在所有通信网络和网络接口中都毫无问题地是可能的。

在另一实施形式中，输入/输出单元具有多个用于连接执行器的端口，其中，断开单元构成为，依据校验数据使端口不起作用。在所述实施形式的一个特别优选的变形方案中，断开单元构成为，将输入/输出单元至少部分地不带电地接通，以便阻止将信号输出给执行器。在另一变形方案中，断开单元构成为，使用于连接传感器的端口也不起作用，并且特别是不带电地接通，以便能够以这种方式阻止在输入/输出单元中生成和发送看上去真实的应答电文或由控制单元期待的应答电文。

所述实施形式能够以非常简单和低成本的方式实现可靠地使输入/输出单元不起作用，这导致，当在通信中出现不安全的状态时，立即中断常规的控制流程。

在另一实施形式中，断开单元与输入/输出单元分开地设置。

在所述实施形式中，断开单元具有自己的仪器壳体，所述仪器壳体与输入/输出单元分开地设置。在所述实施形式中，所述断开单元和输入/输出单元当然也能够设置在一个共同的开关柜中或者类似的装置中。在所述实施形式中，断开单元仍然具有单独的壳体，所述壳体通过缆线，例如通过串行数据缆线，与输入/输出单元耦联，其中，断开单元的壳体和输入/输出单元的壳体都具有相应的插头或相应的插座。所述实施形式可实现非常低成本和通用的实现形式，因为所述断开单元能够非常简单地连接在几乎任意的输入/输出单元上。因此，新的装置和新的方法不仅在通信网络方面，而是也在本地输入/输出单元方面很大程度上与制造者和系统有关。

在另一实施形式中，断开单元多信道地构造，以便冗余地处理校验数据。

所述实施形式能够在处理校验数据时实现更高的故障保护性。因此，能够更可靠地排除由于错误地接收的数据电文而导致的不安全的控制操作。另一方面，所述实施形式具有的大的优点是，多信道式数据处理能够集中在新的断开单元中，这使得低成本的、无故障保护的输入/输出单元的使用变得容易。

在另一实施形式中，校验数据包含一个优选全球唯一的地址，所述地址明确地识别所述断开单元。

优选的全球唯一的地址例如能够如下实现，即，所述地址包含独特的、明确的制造者识别以及由制造者唯一地分配的仪器识别码。因为断开单元不需要直接连接到通信网络上，并且只要是与使用在通信网络中的通信协议无关，制造者就能够自由选择明确的地址，并且例如借助加密方法防止复制和以其他方式使用。在这里，除了在通信协议的范围中识别所述输入/输出单元的地址，优选使用断开单元的地址。输入/输出单元的地址典型地包含在数据电文的协议部分中，而断开单元的地址在有效载荷数据部分中传输。断开单元的单独的编址能够独立地并且除了输入/输出单元的地址外实现简单的和非常可靠的检查，数据电文是否从控制单元到达“正确的”输入/输出单元。因此，所述实施形式可实现在地址伪造方面特别高的故障保护性。

在另一实施形式中，控制单元构成为，将多个数据电文以限定的时间间隔发送给输入/输出单元，其中，断开单元构成为，监控时间间隔，并且依据于此使输入/输出单元不起作用。优选的是，断开单元构成为，当控制单元超过较长的时间没有将数据电文发送给输入/输出单元时，使输入/输出单元不起作用。较长的间期例如能够通过超过限定数量的时间间歇还未收到数据电文来辨别。

在所述实施形式中，断开单元不仅承担确保在通信网络上的正确的地址的任务。所述断开单元还附加地监控数据电文的有规律的和在时间上正确的接收。在所述实施形式的优选的变形方案中，也故障保护地进行所述监控，这能够通过断开单元的多信道式结构得以实现。所述实施形式具有的优点是，当与控制单元的通信连接断开或暂时中断时，输入/输出单元自动地不起作用。因此，所述实施形式可实现在通信网络的可用性方面更低的要求。所述实施形式例如使得使用互联网作为通信网络变得容易。另一方面，所述实施形式确保，输入/输出单元不能够在不与控制单元发生通信的“无控制的”间期内导致执行器的改变，并且因此系统状态不能由控制单元“不被发觉”地改变。此外，所述实施形式具有的优点是，控制单元能够通过控制单元使数据电文发送给输入/输出单元中断大于限定的时间间隔的间期导致输入/输出单元不起作用。对于这种情况，控制单元构成为，在整个所述时间段上中断数据电文的发送。

在另一实施形式中，校验数据包含代表数据电文的顺序的序号。

在所述实施形式中，断开单元能够可靠地识别数据电文的缺少或消失。所述实施形式有助于确保所接收的数据电文是最新的，因为当在更晚的时间点上在输入/输出单元处接收时，“卡”在通信网络中的数据电文能够被识别为这样的数据电文。借助于序号能够排除与较新的数据电文的混淆。新的装置和新的方法的故障保护性得以再次提高。

在另一实施形式中，校验数据包含校验和，所述校验和基本上表明校验数据本身的特征。

校验和，特别是具有所谓的CRC(循环冗余校验和)形式的校验和的使用结合通过通信网络传输数据电文本身是已知的。本实施形式使用实际上仅校验所述校验数据本身的校验和。换句话说，所述校验和与数据电文的其它数据内容无关或至少很大程度上无关。所述实施形式具有的优点是，断开单元能够借助于转发的校验数据独立地计算和检查所述校验和。可替代的是，原则上可设想使用在整个数据电文上计算的校验和。但是，所述替代方案具有的缺点是，用于本地检查校验和的断开单元必须了解数据电文的全部数据内容。具有仅涉及数据电文的对断开单元感兴趣的部分的特殊的校验和的优选的实施形式可实现数据电文的更快和更简单的监控。

在另一实施形式中，数据电文包含协议部分和有效载荷数据部分，其中，协议部分依据通信网络详细说明，并且其中，校验数据设置在有效载荷数据部分中。

数据电文的有效载荷数据部分在通信网络方面很大程度上未详细说明。所述有效载荷数据部分涉及数据电文的很大程度上自由提供给在网络上的各个通信参与者的部分。根据所使用的网络协议例如能够在有效载荷数据部分的长度方面存在限制。但是，在有效载荷数据部分中的内容对于通信网络的工作或数据电文的传输没有意义。

相反，协议部分包含用于在通信网络中传输数据电文所需要的全部信息。

这包括：发送者信息和/或地址信息，所述发送者信息和/或地址信息识别数据电文的发送者和/或地址；类型信息，所述类型信息详细说明数据电文的类型；关于数据电文的长度的长度信息；以及其它信息。

在所述实施形式中，校验信息至少基本上(优选完全地)设置在数据电文的有效载荷数据部分中。所述实施形式进一步有助于使得新的装置和新的方法与所使用的通信网络无关。因此，所述实施形式可实现更自由地使用已存在的通信网络结构。

在另一实施形式中，用户程序具有可变的第一程序部分和不变的第二程序部分，其中，第一程序部分依据输入数据确定控制指令，并且其中，第二程序部分将校验数据集成到数据电文中。

在所述实施形式的优选的变形方案中，第一程序部分与国际标准IEC61131兼容，也就是说，第一程序部分能够由用户借助于在IEC61131中详细说明的编程语言生成和改变。反之，第二程序部分很大程度上不再容许用户的访问。第二程序部分至少不能毫无困难地以与IEC61131兼容的编程语言改变。在一个特别优选的变形方案中，第二程序部分是操作系统的部分或控制单元的运行时间环境。但是可设想的是，用户能够在限定的界限内配置第二程序部分，例如以便读入断开单元的全球性唯一的地址。

所述实施形式具有的优点是，对于新的装置和新的方法的故障保护性而言意义重大的部分，即校验数据集成到数据电文中的部分，是不容许用户访问的。因此十分有效地防止了能够危害所述装置的故障保护性的编程错误。另一方面，用户能够集中精力在逻辑功能的编程上，所述逻辑功能用作生成用于执行器的控制指令。

显然，上面提及的和下面还将阐述的特征不仅能够以分别说明的组合应用，而是也能够以其它组合或独自地应用，而不会脱离本发明的范围。

附图说明

本发明的实施例在附图中示出并且在下述说明中详细阐述。附图中示出：

图1示出新的装置的实施例的简化视图；

图2示出数据电文的简化视图，所述数据电文使用在图1中的装置中；并且

图3更详细地示出图1中的装置。

具体实施方式

在图1中借助附图标记10示出新的装置的实施例的整体视图。在这里，所述装置10用于控制铁路系统，这是优选的应用。但是，新的装置和新的方法原则上也能够用于控制其它自动化系统，特别是实现安全性相关的控制功能的系统。

装置10包含控制单元12，在铁路系统中，所述控制单元通常构成为中央控制单元。但是，原则上也可以是分散的控制单元，所述分散的控制单元与其它中央控制单元和/或分散的控制单元(这里未示出)相关联地进行工作。在优选的实施例中，控制单元12是能够以编程语言中的一种进行编程的可编程逻辑控制器，在国际标准IEC61131中详细说明了所述控制单元。在优选的实施例中，控制单元12例如是根据欧洲标准EN61508的SIL3的真正安全的(故障保护的)控制单元或满足类似的安全要求的控制单元。如下面借助于图3更详细地示出的，在所述优选的实施例中，控制单元12构造成是多信道冗余的。这样的控制单元由申请者例如以品名提供。

此外，装置10具有一个或多个本地的输入/输出单元，其中，在图1中示例地绘出具有附图标记14和16的两个输入/输出单元。控制单元12和输入/输出单元14、16通过通信网络18连接，并且所述控制单元和输入/输出单元通过通信网络18交换数据电文20、22、24。典型的是，输入/输出单元在空间上远离控制单元12地设置。

通信网络18例如能够是“标准的”以太网络、“标准的”WLAN网络(无线局域网络)或互联网。在优选的实施例中，通信网络18是开放的通信网络，所述通信网络本身不具有SIL3的要求或在故障保护性上的类似的要求。在一个实施例中，通信网络18是所谓的Profinet网络，所述Profinet网络对于本领域的相关技术人员而言是已知的。

在所述实施例中，输入/输出单元14、16模块化地构造。所述输入/输出单元具有带有用于连接到通信网络18上的通信接口(见图3，附图标记92)的头模块26。所述头模块26接收在通信接口处的数据电文、提取有效载荷数据并且将所述有效载荷数据提供给其它模块。此外，头模块26从输入/输出单元的其它模块接收有效载荷数据，并且将所述有效载荷数据集成到数据电文中，所述数据电文作为应答电文24发送给控制单元12。

在这里，在头模块26上连接有具有数据接口30的接口模块28。在优选的实施例中，数据接口30是用于串行数据传输的标准数据接口，例如RS485接口、RS422接口或RS232接口。在所述数据接口30上连接有本地的断开单元32。

在这里示出的实施例中，分别提供用于连接传感器和/或执行器的端口的其它模块34、36串联在接口模块28上。在根据图1的实施例中，在模块36上连接有继电器38，所述继电器能够通过输入/输出单元14可选地通电。在优选的实施例中，继电器38用于转换铁路系统的道岔或行驶信号。

在这里，反馈触点40连接在模块34上，所述反馈触点与继电器38强制耦联。在这里，反馈触点40用作传感器，借助所述传感器能够回读继电器38的最新开关状态。

在所述装置工作时，控制单元12借助于本地的输入/输出单元14、16控制铁路系统的道岔和行驶信号。为此，控制单元12以有规律的时间间歇生成数据电文20、22，输出数据包含在所述数据电文中，所述输出数据代表用于继电器38的控制指令。在图1中示出两个这样的数据电文20、22。时间间隔以箭头42表明，借助所述时间间隔控制单元12将数据电文20、22发送给输入/输出单元14。

每个定址的输入/输出单元接收所述数据电文20、22，并且根据已收到的输出数据控制已连接的执行器/继电器38。此外，在这里，每个输入/输出单元构成为，借助于反馈触点40回读受控制的继电器38的开关状态。相应的开关状态作为具有应答电文24的输入数据发回给控制单元12上。以这种方式，控制单元12获得关于受控制的继电器38的实际状态的直接反馈。如果，回读的开关状态不相应于所委托的开关状态，那么生成错误报告(这里未示出)和/或开启应急程序，所述应急程序将装置10转到无风险状态下。

在图1中的视图由于清晰度原因被简化。在实践中，常常使用多个继电器38和/或其它执行器以及多个传感器，并且控制单元12构成为，借助于多个传感器信号实施可信度测试。此外，能够设有冗余的执行器，以便将装置10在发生错误时转到无危险性的状态下。

根据本发明的一个方面，控制单元12不仅生成用于控制执行器的输出数据或控制数据，而且还附加地生成校验数据，所述校验数据借助数据电文20、22传递给输入/输出单元14。校验数据从输入/输出单元14通过数据接口30传递给本地的断开单元32。如下面借助于图2和3详细阐述的，断开单元32借助于校验数据特别是检验已接收的数据电文20、22是否也实际定址在接收的输入/输出单元14上。如果这不是这种情况，或者借助于校验数据由断开单元32识别出另一通信错误，那么断开单元32使输入/输出单元14的模块34、36不起作用，以便以这种方式防止错误地控制执行器38，并且将错误报告附加地发给控制单元12。

在优选的实施例中，断开单元32将模块34、36与供电装置分开，如这在下面借助于图3进一步示出。

为了也在不起作用的状态下能够实现与控制单元12的通信，在优选的实施例中，仅模块34、36不起作用，所述模块设置在头模块26和接口模块28的下游。

图2更详细地示出数据电文20的实施例。所述数据电文20同样如其它数据电文22、24一样具有协议部分46，所述协议部分在这里特别是由在数据电文20的开始部分处的所谓的头48和在数据电文的结尾处的校验和50组成。头48能够包含地址信息，所述地址信息识别数据电文的发送者和/或接收者，如这例如从以太网数据电文中已知。在这里，有效载荷数据部分52设置在头48和校验和50之间。根据本发明的一个方面，所述有效载荷数据部分包含校验数据54以及输入数据56和控制指令58。根据数据电文是否从控制单元12发送给输入/输出单元或者相反，输入数据56和控制指令58也能够在数据电文20中交替地发送。换句话说，不强制必须的是，输入数据56和控制指令58同时包含在数据电文中。

输入数据56代表传感器40的实际状态。输出数据58代表用于执行器38的控制指令或额定状态。根据本发明的一个方面，校验数据54被集成到数据电文20、22、24中，以至于能够校验断开单元32和在优选的实施例中校验控制单元12，使得数据电文由“正确的”输入/输出单元接收。

在一个优选的实施例中，校验数据54包含全球唯一的地址，所述地址明确地识别断开单元32。在图2中，所述地址例如在校验数据V1中描述。

此外在这里，校验数据54包含在图2中以V2示出的序号。对于数据电文序列的每个数据电文而言，序号V2是增加的，以便能够校验所接收的电文是最新的。

此外在这里，校验数据54包含时间指示，所述时间指示例如代表数据电文的本地发送时间。在图2中借助V3示出本地发送时间。借助于时间指示，接收者能够检查所接收的数据电文的最新性。

最后，在优选的实施例中，校验数据54包含除了校验和50以外使用的校验和V4。校验和V4基本上表明校验数据54本身的特征，也就是说，所述校验和基本上借助于校验数据54计算。但是，原则上也可能的是，除了原本的校验数据54，在校验和V4的计算中还包括更多的位(Bit)，例如更长的位序列，并且因此可实现更高的错误识别可能性。

在其它实施例中，校验数据54能够包含代表断开指令的一个或多个位，所述断开指令导致输入/输出单元有针对性地不起作用。

图2示出数据电文20，所述数据电文由控制单元12发送给输入/输出单元14。所述数据电文包含校验数据54，所述校验数据从输入/输出单元转发给断开单元。但是，应答电文24原则上完全一样地构造。代替校验数据54，所述应答电文包含由断开单元32生成的并且传输给输入/输出单元的其它校验数据54’。在优选的实施例中，其它校验数据54’也包含全球唯一的地址V1、序号V2、时间指示V3和/或校验和V4。此外，校验数据54’能够包含代表断开单元的系统状态的一个或多个位，其中，所述系统状态特别是包含关于断开单元是否使输入/输出单元不起作用的信息。

图3更详细地示出装置10。如前面一样，相同的附图标记标识相同的元件。

在这里，控制单元12多信道冗余地构造。在一些实施例中，所述控制单元具有多个处理器62a、62b，所述处理器相互冗余地工作并且通过相互对比它们的处理结果相互检查。此外，所述控制单元12具有程序存储器64和用于连接到通信网络18上的网络接口66。在程序存储器64中存储有用户程序，所述用户程序在优选的实施例中包含第一程序部分68和第二程序部分70。在这里，第一程序部分68是可变的程序部分，其能够由用户借助于编程工具72改变。用户优选能够在编程工具72上以与IEC61131兼容的编程语言生成可变的程序部分68，并且将所述可变的程序部分加载到程序存储器64中。编程工具72能够是传统的PC，在所述PC上运行适宜的程序，以用于根据IEC61131生成用户程序。

在优选的实施例中，第二程序部分70是不变的程序部分，所述不变的程序部分不能或者至少不能毫无问题地由用户改变。在所述实施例中，第一可变的程序部分确定逻辑连接，借助所述逻辑连接处理传感器的输入数据，以便生成用于执行器的输出数据。与之相反，第二程序部分70将校验数据54集成到数据电文20、22中，而用户/程序员不必对在他的程序部分68中生成校验数据特别注意。程序部分70可以是控制单元12的操作系统的部分。但是也可能的是，程序部分70作为封装模块由用户加载到程序存储器64中。在优选的实施例中，用户虽然不能够改变不可变的程序部分70的功能，但是，用户能够设置各个参数，例如输入/输出单元14、16的全球唯一的地址V1。

在优选的实施例中，断开单元32同样多信道冗余地构成，如这借助于两个处理器74a、74b示出。此外，断开单元32具有存储器76，在这里，全球唯一的地址78以及操作程序(固件)存储在所述存储器中。优选的是，存储器76是非易失性存储器，例如内部的EEPROM(电可擦可编程只读存储器)或可更换的只读存储器，如芯片卡、SD卡、CF卡或类似的卡，所述卡能够可拆卸地插入适宜的保持件中，并且能够可选地取出。

此外，断开单元32具有接口82，所述接口在这里一方面包含用于与输入/输出单元耦联的数据接口。此外在这里，所述接口82包含用于控制两个继电器84、86的两个输出端，借助于所述两个输出端，断开单元32能够将模块34、36与供电装置88分开。在一个实施例中，用于驱动输入模块34和输出模块36的电流经由特殊的馈电模块90馈入输入/输出单元中，并且断开单元32将馈电模块90与供电装置88断开。

此外，输入/输出单元14具有带有网络接口的已述及的头模块26，所述网络接口在图3中以附图标记92标出。

继电器84、86与接口82共同形成断开单元32的断开部件，借助于所述断开部件，断开单元32能够使输入/输出单元14至少部分地不起作用。代替继电器84、86，也能够使用其它开关元件，例如接触器、晶体管和类似的器件。此外，开关元件84、86能够集成到断开单元32的壳体94中。

在优选的实施例中，断开单元32是封装的“独立”的仪器，其借助自己的仪器壳体94与输入/输出单元14分开地设置，并且通过接口缆线96与输入/输出单元耦联。在另一实施例中，断开单元32能够实现为无壳体的插入卡和/或输入/输出单元14的模块。在一些实施例中，断开单元32能够具有一个或多个其它输入端，以便连接故障保护的信号仪，例如紧急停机键。在这些情况下，断开单元32构成为，也依据操作故障保护的信号仪使所述已耦联的输入/输出单元14不起作用。

Claims (17)

1.用于控制具有传感器(40)和执行器(38)的自动化系统的装置，具有：用于执行用户程序(68、70)的能够编程的控制单元(12)；本地的输入/输出单元(14)，多个所述传感器(40)和执行器(38)连接在所述本地的输入/输出单元上；以及通信网络(18)，所述通信网络连接所述控制单元(12)和所述本地的输入/输出单元(14)，其中，所述控制单元(12)构成为，依据所述用户程序(68、70)处理来自所述传感器(40)的输入数据，以便生成用于所述执行器(38)的控制指令，并且其中，所述控制单元(12)和所述输入/输出单元(14)构成为，通过所述通信网络(18)交换数据电文(20、22、24)，以便传输所述输入数据和所述控制指令，

其特征在于本地的断开单元(32)，所述本地的断开单元以与所述输入数据和控制指令分离的方式与所述本地的输入/输出单元(14)耦联，其中，所述控制单元(12)构成为，将用于所述断开单元(32)的特殊的校验数据(54)集成到用于所述输入/输出单元(14)的所述数据电文(20、22)中，所述特殊的校验数据(54)与所述输入数据和控制指令无关并且确定用于断开单元(32)，所述断开单元(32)和所述输入/输出单元(14)的功能清楚地分开并且彼此独立，并且其中，所述断开单元(32)构成为，依据所述特殊的校验数据(54)使所述输入/输出单元(14)不起作用。

2.如权利要求1所述的装置，其特征在于，所述自动化系统是铁路系统。

3.如权利要求1或2所述的装置，其特征在于，所述输入/输出单元(14)构成为，通过应答电文(24)签收由所述控制单元(12)接收的数据电文(20、22)中的每一个，所述数据电文包含用于所述输入/输出单元(14)的控制指令，所述应答电文用信号通知控制指令的实际的执行。

4.如权利要求1或2所述的装置，其特征在于，所述输入/输出单元(14)具有用于连接到所述通信网络(18)上的网络接口(92)和本地的第一数据接口(30)，所述断开单元(32)连接在本地的所述第一数据接口上，以便接收所述校验数据(54)。

5.如权利要求4所述的装置，其特征在于，本地的所述第一数据接口(30)是标准串行接口。

6.如权利要求4所述的装置，其特征在于，所述输入/输出单元(14)具有用于连接所述执行器(38)的多个端口(36)，其中，所述断开单元(32)构成为，依据所述校验数据(54)使所述端口(36)不起作用。

7.如权利要求1或2所述的装置，其特征在于，所述断开单元(32)与所述输入/输出单元(14)分开地设置。

8.如权利要求1或2所述的装置，其特征在于，所述断开单元(32)多信道地构造，以便冗余地处理所述校验数据(54)。

9.如权利要求1或2所述的装置，其特征在于，所述校验数据(54)包含唯一的地址(V1)，所述地址明确地识别所述断开单元(32)。

10.如权利要求1或2所述的装置，其特征在于，所述控制单元(12)构成为，以限定的时间间隔(42)将多个数据电文(20、22)发送给所述输入/输出单元(14)，其中，所述断开单元(32)构成为，监控所述时间间隔(42)，并且依据于此使所述输入/输出单元不起作用。

11.如权利要求1或2所述的装置，其特征在于，所述校验数据(54)包含序号(V3)，所述序号代表所述数据电文(20、22)的顺序。

12.如权利要求1或2所述的装置，其特征在于，所述校验数据(54)包含校验和(V4)，所述校验和基本上表明所述校验数据(54)本身的特征。

13.如权利要求1或2所述的装置，其特征在于，所述数据电文(20、22、24)包含协议部分(46)和有效载荷数据部分(52)，其中，所述协议部分(46)依据所述通信网络(18)详细说明，并且其中，所述校验数据(54)设置在所述有效载荷数据部分(52)中。

14.如权利要求1或2所述的装置，其特征在于，所述用户程序(68、70)具有可变的第一程序部分(68)和不变的第二程序部分(70)，其中，所述第一程序部分(68)依据所述输入数据确定所述控制指令，并且其中，所述第二程序部分(70)将所述校验数据(54)集成到所述数据电文(20、22)中。

15.用于在如权利要求1到14中任一项所述的装置中使用的断开单元，具有：用于连接到本地的输入/输出单元(14)上的第二数据接口(82)；用于处理特殊的校验数据(54)的数据处理部件(74)，所述特殊的校验数据能够以与所述输入数据和控制指令分离的方式通过所述第一数据接口(30)提供；以及断开单元(84、86)，所述断开单元构成为，依据所述特殊的校验数据(54)使所述输入/输出单元(14)不起作用，所述特殊的校验数据(54)与所述输入数据和控制指令无关并且确定用于断开单元(32)，所述断开单元(32)和所述输入/输出单元(14)的功能清楚地分开并且彼此独立。

16.用于控制具有传感器(40)和执行器(38)的自动化系统的方法，具有下述步骤：

-提供本地的输入/输出单元(14)，多个所述传感器(40)和执行器(38)连接在本地的所述输入/输出单元(14)上；

-提供控制单元(12)，所述控制单元用于处理来自所述传感器(40)的输入数据和用于生成用于所述执行器(38)的控制指令；

-通过通信网络(18)在所述控制单元(12)和所述输入/输出单元(14)之间交换数据电文(20、22、24)，所述通信网络连接所述控制单元(12)和本地的所述输入/输出单元(14)，其中，所述数据电文(20、22、24)包含所述输入数据和/或控制指令，

其中，所述控制单元(12)依据来自所述传感器(40)的所述输入数据借助于所述控制指令控制所述执行器(38)，

其特征在于，在所述输入/输出单元(14)的区域中提供本地的断开单元(32)，所述本地的断开单元以与所述输入数据和控制指令分离的方式与本地的所述输入/输出单元(14)耦联，其中，所述控制单元(12)将用于所述断开单元(32)的特殊的校验数据(54)集成到用于所述输入/输出单元(14)的所述数据电文(20、22)中，所述特殊的校验数据(54)与所述输入数据和控制指令无关并且确定用于断开单元(32)，所述断开单元(32)和所述输入/输出单元(14)的功能清楚地分开并且彼此独立，并且其中，所述断开单元(32)依据所述特殊的校验数据(54)使所述输入/输出单元(14)不起作用。

17.如权利要求16所述的方法，其特征在于，所述自动化系统是铁路系统。