CN104169817B - 用于控制安全关键过程的控制装置及其参数化方法 - Google Patents

Abstract

本发明涉及一种在自动化系统中的用于控制工业制造过程的安全相关功能。本发明所基于的任务在于提供一种对这种自动化设备的安全相关装置的简单且安全的参数化。在此在接收到由通信主设备发送的开始信号后用于参数化的所有进一步的行动由逻辑模块来控制。

Description

用于控制安全关键过程的控制装置及其参数化方法

技术领域

总的来说，本发明涉及用于控制工业制造过程的自动化系统的技术领域。本发明尤其是涉及在这种自动化系统中的安全相关功能以及安全相关功能的参数化。

背景技术

DE 10 2009 042 354 A1公开了一种用于在自动化设备的通信网络中进行安全相关通信的方法和装置。在此基本思想在于，将设备的安全功能划分为小的、一目了然的、能局限于本地的且能简单验证的模块组。所述组在通信网络内构成或多或少自主的岛。尤其是设有一个非安全通信主设备和多个分布式模块作为网络用户。因此，各分布式模块与通信主设备借助通信网络联网，在此各分布式模块之间的通信在通信网络中通过电报实现。在此多个模块是安全模块，在这些安全模块之间传输安全相关的数据以及形成用于执行安全相关功能的模块逻辑组。为了一个逻辑组内的安全模块的通信，通信主设备具有路由表，在该路由表中保存各分布式安全模块之间的对应于安全相关功能的逻辑连接。通信主设备借助路由表受控地将数据从进行发送的安全模块自动路由到进行接收的安全模块，使得属于一个逻辑组的安全模块之间的通信分别通过两个点对点的连接进行、即从进行发送的安全模块到通信主设备以及进一步从通信主设备到进行接收的安全模块。该通信网络具有用于从各安全模块查询建立路由表所用的信息并且借助该信息建立路由表的装置。

此外，DE 10 2009 042 368 A1描述了一种用于借助非安全通信主设备和非安全通信网络控制安全关键过程的控制系统。网络用户中的至少一些网络用户包括安全数据输入对象(SDI对象)和/或安全数据输出对象(SDO对象)。SDI对象例如是安全相关的传感器，SDO对象例如是安全相关的执行器。在网络上连接有多个网络用户，其构造为分布式的安全网络用户并且与SDI或SDO对象不同分别具有自己的分布式安全控制装置。为此所述网络用户具有单义的、可设定的安全地址。

安全网络用户与SDI对象和/或SDO对象组成安全岛。借助该配置可受控地通过分布式安全控制装置不仅在安全网络用户和相配的SDI对象和SDO对象之间实现岛内部的通信而且也可在安全网络用户之间实现跨岛的安全相关通信。

发明内容

现在，本发明所基于的任务在于简单且安全地参数化这种自动化设备的安全相关装置或者说用于控制安全关键过程的控制系统。尤其是应提供一种尽可能简单的方法，该方法可借助尽可能提供给每个非安全控制装置和每个网络的媒介来参数化模块化的、分布式的且安全的自动化系统。

为了参数化网络用户，已知所谓的Profisafe规范的iPar-Server。在此规定，安全网络用户借助计算机(如PC)被参数化并且该参数化被留存并且附加地传输给iPar-Server。iPar-Server本身设计成非安全的并且例如可集成到网络中的非安全控制装置中。在电力开启后，安全网络用户借助其存储的参数化启动。当安全网络用户出故障时，则需要更换该用户。现在，新的安全用户不具有所需的参数化。用户将这点通知iPar-Server，iPar-Server随后向该用户传输所需的安全参数。为此安全参数必须包含自己的保护措施以防失真。

本发明可用于安全桥系统(SafetyBridge-System)，以便使安全逻辑模块和相配的安全网络用户参数化，所述安全桥系统又称为内联安全系统(INLINE-Safety-System)并且在上述文献DE 10 2009 042 354 A1和DE 10 2009 042 368 A1中被描述。可实现与各种不同的非安全控制装置和网络的集成。

安全桥系统的基础在于：非安全控制装置或者说非安全通信主设备借助经由任意网络的连接和复制命令而允许在具有安全的输入端和/或输出端的网络用户和逻辑模块之间交换具有安全E/A(输入/输出)数据的安全电报，所述逻辑模块处理安全E/A数据并且本身也可具有安全的输入端和/或输出端。因此在逻辑模块和每个配置给其的安全网络用户之间产生安全的点对点连接，在该点对点连接上双向传输安全电报。本发明尤其是适合用于安全桥系统的逻辑模块的参数化。

根据本发明提出一种用于控制在自动化设备中的安全关键过程的包括通信网络的控制装置以及一种可借此实施的参数化方法，其中，所述通信网络具有用于控制通信网络上的数据流的尤其是非安全的通信主设备和多个网络用户，

其中，所述网络用户中的至少一部分网络用户构造成安全网络用户并且具有作为另外的网络用户的、用于借助一组安全相关的网络用户控制与安全有关的应用的至少一个安全逻辑模块，并且，

逻辑模块和通信主设备构造用于实施下述步骤，以便使逻辑模块参数化：

－逻辑模块响应接收到的经由通信网络发送的开始命令而经由通信网络向通信主设备发送读取请求，

－通信主设备响应接收到的读取请求而向逻辑模块发送参数化数据。

因此，本发明的一个特点在于，在接收到由通信主设备发送的开始信号之后，所有进一步的行动由接收器、即逻辑模块控制。

附图说明

下面借助实施例并且参考附图详细说明本发明。在此在附图中相同的附图标记表示相同或相应的元件。附图如下：

图1为控制装置的连接示意图；

图2为通信主设备的E/A图；

图3为用于使逻辑模块参数化的流程图；

图4为具有多个逻辑模块的变型方案的连接示意图。

具体实施方式

图1示出根据本发明的具有通信网络4的控制装置1的连接示意图，所述控制装置除了控制自动化生产过程和监控过程外也设计用于控制在自动化设备中的安全关键过程。通信主设备2与多个网络用户5、12-18经由通信网络4连接。在本发明的扩展方案中，网络用户5、12-18经由点对点连接与通信主设备2通信。通过相应地对通信电报进行路由，通信主设备2在此在网络用户5、12-18之间建立逻辑连接。在图1中示例性示出几个逻辑连接21。通信主设备2因此用于控制通信网络4上的数据流。

虽然控制装置1用于控制安全关键过程、如在光栅被触发时使用机器的紧急停机功能，但通信主设备本身无需设计成安全的。

在图1所示的示例中，网络用户12、13、14、15、16、17、18中的一部分网络用户、即网络用户12、13、14构造为安全网络用户12、13、14。安全逻辑模块5也构成安全网络用户。在运行中，逻辑模块5经由点对点连接20并因此经由逻辑连接21而与安全网络用户12、13、14连接，以便控制安全关键过程。安全网络用户12、13、14在此尤其可以是输入模块和/或输出模块、如用于安全关键过程的传感器和执行器。

图1所示的实施例优选所基于的安全桥系统的基础在于，非安全控制装置、即非安全通信主设备2借助经由任意通信网络4的连接并且借助复制命令而允许在具有安全的输入端和/或输出端的网络用户和逻辑模块5之间交换具有安全E/A数据的安全电报，所述逻辑模块处理安全E/A数据并且本身也可具有安全的输入端和/或输出端。因此在逻辑模块5和每个配置给其的安全网络用户之间产生呈逻辑连接21形式的安全的点对点连接，在该点对点连接上双向传输安全电报。

网络用户12、13、14经由所述逻辑连接与逻辑模块组成一组安全相关的网络用户，以便控制与安全有关的应用。

现在，为了参数化逻辑模块5并也因此参数化与安全有关的应用，逻辑模块5响应经由通信网络4接收的开始命令而向通信主设备2发送读取请求。

在此尤其有利的是，通信主设备2构造用于经由通信网络4向逻辑模块5发送开始命令，以便开始参数化过程。由此可以以简单的方式在电力开启系统时为一个或多个这种逻辑模块开始参数化过程。

此外，通信主设备2构造用于响应接收到的读取请求而向逻辑模块5发送参数化数据。

为了传输参数化数据，在本发明的扩展方案中，现在在逻辑模块5上实施附加的非安全的输入和输出字节，通过所述字节借助简单的参数化协议将参数化信息从非安全控制装置或者说通信主设备2传输到逻辑模块5上。为此通信主设备2尤其是可构造用于将参数化数据在为其设置的逻辑通道中进行传输，该逻辑通道通过经由通信网络4发送的电报的预设数据区域代表。在图2所示的示例中设置参数通道40作为逻辑通道。

参数化数据尤其是可包含经由相应的点对点连接20或根据逻辑连接21而与逻辑模块5连接的网络用户12、13、14的类型以及网络用户12、13、14彼此间的关联、即应如何控制安全关键过程的方式。

根据本发明的一种扩展方案，参数化数据借助安全的参数化软件/编程软件生成，所述软件例如在计算机上运行。优选地，参数化数据至少部分地由逻辑模块和安全E/A网络用户的设备描述文件产生。在图1所示的示例中为此将计算机7、如PC连接到通信网络4上。在计算机7上处理安全的参数化软件/编程软件并且为安全E/A网络用户、在图1所示的实施例中即为网络用户12、13、14建立参数化数据。替换或附加地，计算机7例如也可借助图1中象征示出的虚线直接连接到通信主设备2上。

根据本发明的一种有利的实施方式，参数化数据被分成段并且作为数据块存储在非安全控制装置或者说通信主设备2中。通信主设备2通知逻辑模块5：存在具有参数化数据的数据块并且逻辑模块5应借助这些数据启动。根据本发明，现在用于参数化的所有进一步的行动由数据接收器、在此即逻辑模块5来控制。逻辑模块5识别参数化数据的结构并且传输呈参数读取请求(段、位移、长度)形式的数据请求。该请求被这样长地传输，直到非安全控制装置以参数读取响应(段、位移、长度、日期、时间)的形式回复所请求的数据。一般来说，在不限于实施例的情况下，根据本发明的该扩展方案，逻辑模块5构造用于识别应请求多少参数化数据并且向通信主设备2这样长地发送读取请求，直到获得所有参数化数据。此外有利的是，通信主设备2构造用于划分参数化数据并且在多个电报中依次发送这些参数化数据。由此取消对参数化数据范围的限制。相应的数据接收器(安全逻辑模块或安全E/A网络用户，如下面将说明的)总是这样长地发送读取请求，直到对应的读取响应到达该接收器。由此传输可经由任意网络和网络组合进行。

当逻辑模块5从非安全控制装置读取了所有所需的参数化数据时，则开始执行参数化关联。由逻辑模块5从非安全控制装置或者说通信主设备2读取的参数化数据也包含用于相配的安全E/A网络用户的参数、在图1所示的示例中即配置给逻辑模块5的安全网络用户12、13、14。

逻辑模块经由参数通道向相配的安全E/A网络用户12、13、14通知其参数化状态。接着，安全E/A网络用户、即网络用户12、13、14自身借助参数化协议经由参数通道从逻辑模块5读取其参数。

每个安全逻辑模块5和每个安全E/A网络用户转换到参数化状态中并且在其读取了所有所需的参数化数据后开始进行处理。

为了向E/A模块传输参数化数据，将用于安全电报的E/A区域扩展一个参数通道41，通过该参数通道，设备和通信参数从逻辑模块传输至相配的安全E/A网络用户。因此如图2所示，安全电报44包括用于安全消息的数据区域43和参数通道41。接下来，借助图3所示的流程图描述用于使逻辑模块5参数化的一种实施例。该流程图的时间轴从上向下延伸。

参数化过程开始于系统的电力开启。通信主设备2识别到可为逻辑模块5例如以数据块的形式提供参数化并且向逻辑模块5发送开始命令(Start_Command(ParameterReady))(步骤31)。此外，根据一种不局限于该实施例的扩展方案，逻辑模块5构造用于通过电力开启系统或概括地说初始化逻辑模块触发地和/或通过响应从通信主设备2接收的开始命令而首先向通信主设备2发送具有逻辑模块状态的电报作为诊断信息(步骤32，Diagnostic Message(Logikmodule STOP))。初始化也可包含逻辑模块5与通信网络4的连接。

在图3所示的示例中，在接收到诊断信息后，从通信主设备2向逻辑模块5发送开始命令(步骤33)。一般来说，在不局限于特别示出的实施例的情况下，为此通信主设备2可构造用于向逻辑模块5这样长地发送开始命令，直到通信主设备2获得读取请求。

作为对“参数准备”或概括地说对开始命令的回复，逻辑模块5开始读取参数(步骤34)、如段：1、位移：0、长度：2(命令“Parameter Read Request(1.0.2)”)。通信主设备2响应该读取请求而发送所请求的数据(步骤35)。步骤34、35重复直到参数化数据的最后字节被传输。

一般来说，在不局限于在图3中特别示出的实施例的情况下，在本发明的扩展方案中，逻辑模块5构造用于借助读取请求发送针对参数化数据特定部分的请求。与此相应，通信主设备2构造用于基于该请求发送参数化数据的所请求的部分。因此，非安全控制装置或者说通信主设备2为了实施根据本发明的协议而只须能够将呈参数[地址(段+位移)，长度]形式的各参数字节定址并将其复制到输出区域中。这是通常的情况并且因此可集成到各种控制装置中。参数化协议的宽度也可匹配非安全控制装置的一致性区域的宽度。协议的执行在图2中示意性示出。在通信主设备2中分为多个段48、49地存储参数集47。为清楚起见，以不同阴影线示出不同的段48、49。在图2中参数集47例如仅包括两个段48、49。当然也可存在更多段。

在输入侧由通信主设备2接收到的读取请求45被通信主设备2这样处理，使得从存储于通信主设备2中的参数集47的在读取请求45中规定的特定段48中读取一定数量的字节53，这些字节在段48中的位置通过同样在读取请求45中规定的位移50来确定。所述字节53随后以如上所述的参数读取响应消息46的形式在输出侧经由参数通道40传输给逻辑模块5。

根据本发明的另一种扩展方案，当所有参数化数据被传输后，逻辑模块5对所传输的数据进行一致性检验并且随后向通信主设备2发送诊断信息，步骤36。在无错误传输的情况下，逻辑模块5可进入运行并且作为诊断信息向通信主设备2发送相应的消息(在此：Diagnostic Message(Logikmodule RUN))。在有错误的情况下作为诊断信息可发送对应的错误消息。一种可能的错误例如是所传输数据缺乏一致性，其例如可因传输错误引起。一种简单的一致性检验是通过安全逻辑模块5对所接收的参数化数据进行的CRC检验。

即使在控制装置1运行中，也可在所发送的电报的预设数据区域中发送开始命令(步骤37)和诊断信息(步骤38)，所述诊断信息表示目前不通过逻辑模块5调用新的参数化数据和/或逻辑模块5处于运行中。

此外，本发明还可扩展以便使用不同的开始命令。

常见的开始命令用信号通知逻辑模块5：存在参数并且与此相应应开始上述处理以便使逻辑模块5参数化。如在图3的实施例中所说明的，随后由逻辑模块5控制地读取来自非安全控制装置或者说通信主设备2的完整项目的参数。接着对一致性进行安全检验(CRC、可信性)。当参数化数据无错误时，开始处理。否则由逻辑模块5生成错误信息作为诊断信息。

另一种可能性在于，通信主设备构造用于生成开始命令，该开始命令用信号通知存在参数标识符。在本发明的扩展方案中，逻辑模块在此可构造用于读取来自通信主设备2的参数标识符(数据头或CRC)并且用于安全比较该参数标识符与留存在逻辑模块中的参数。当参数标识符与所存储的数据的比较有利时，逻辑模块开始处理参数化数据，否则又优选生成错误信息并且发送给通信主设备2。

另一种可能性在于这样的开始命令，其用信号通知应在逻辑模块5中留存新的参数、尤其是完整的项目。

作为确认并且为了安全性检验，可在非安全控制装置上存储旧的、之前留存的参数集的参数标识符。然后，逻辑模块5首先从非安全控制装置读取旧的参数标识符(数据头或CRC)，该逻辑模块将其与留存的参数进行安全比较。当数据一致时，逻辑模块5删除其留存，否则，逻辑模块5发送错误信息。当数据一致时，借助逻辑模块的一个或多个读取请求从非安全控制装置读取新的参数。优选借助CRC或可信度测试来重新检验被读取的新的参数化数据的一致性。当参数化数据被逻辑模块5识别为无错误时，留存该参数化数据。否则再次发送错误信息。

可由通信主设备2发出的另一可能的开始命令是处理停止命令。在此逻辑模块可构造用于响应接收到的该开始命令而停止处理并且重新开始或者请求新的参数化数据。

在到目前为止所描述的本发明的实施方式中，通信主设备2构成用于逻辑模块5的参数化数据的数据源。现在，逻辑模块5也可在接收到参数化数据之后自身用作数据源。根据本发明的该扩展方案的第一种实施方式，在此逻辑模块5为相配的安全网络用户12、13、14提供用于其的参数化数据。

一旦安全逻辑模块从非安全控制装置读取了所有参数，则该安全逻辑模块经由参数通道向相配的安全网络用户12、13、14发出开始命令，即，为其提供参数。安全网络用户随后以上面所描述的方式从逻辑模块5读取其参数。因此，为了控制安全相关的应用而配置给逻辑模块5的安全网络用户12、13、14或至少一个所述相配的安全网络用户12、13、14构造用于响应接收到的由逻辑模块5经由通信网络4发送的开始命令而经由通信网络4向逻辑模块5发送读取请求。逻辑模块5自身构造用于响应接收到的读取请求而向相应的接收读取请求的安全网络用户12、13、14发送参数化数据。

安全逻辑模块5向网络用户发出的开始命令因此例如可包含下述消息：存在参数并且应开始处理。根据本发明的一种实施方式，作为由此触发的相配的安全E/A网络用户12、13、14的行动，从安全逻辑模块5读取参数(通信和设备参数)并且对一致性进行安全检验(CRC、可信性)。当检验无错误时，向参数化状态转换，开始处理安全E/A数据的传输。否则发送错误信息。

此外，开始命令也可包含应停止处理的指示。在此情况下，安全网络用户12、13、14可构造用于响应接收到的这种开始命令而向非参数化状态转换并且在逻辑模块5中借助读取请求要求传输安全的替换值。

本发明还具有下述优点：该参数化方法可分级地扩展。可为逻辑模块5配置另外的逻辑模块作为下级的E/A用户。于是，下级的逻辑模块可从上级的逻辑模块5中读取其参数(包括关联指示)。为使用者提供更多的安全E/A点以及处理能力。从使用者的角度看，只存在一个由上级逻辑模块代表的系统。

从上级逻辑模块5的读取尤其是可以与上面所描述的逻辑模块5从通信主设备2读取参数化数据相同的方式进行。

根据本发明的一种扩展方案，除逻辑模块5之外至少另一逻辑模块连接到通信网络4上，其中，第一逻辑模块根据本发明通过通信主设备的开始命令、逻辑模块的至少一个读取请求以及参数化数据从通信主设备2向逻辑模块5的传输而被参数化，并且所述另一逻辑模块以对应方式被参数化，即，在获得参数化数据后逻辑模块向所述另一逻辑模块发送开始命令，所述另一逻辑模块响应获得的开始命令而向第一逻辑模块发送读取请求，并且第一逻辑模块响应接收到的读取请求向所述另一逻辑模块传输参数化数据。为了实施该分级方法，通信主设备2附加地也向第一逻辑模块5传输用于所述另一逻辑模块的参数化数据。

图4的连接示意图示出一种用于此的实施例。除逻辑模块5之外，另一逻辑模块51连接到通信网络4上。所述另一逻辑模块51应与在此构造为安全的网络用户16、17一起控制另一安全相关的应用。因此，E/A网络用户16、17与所述另一逻辑模块51一起并且E/A网络用户12、13、14与第一逻辑模块5一起分别构成逻辑模块组以便执行安全相关功能。所述另一逻辑模块51与第一逻辑模块5经由逻辑连接22通信。经由该逻辑连接从逻辑模块5发送开始命令、通过所述另一逻辑模块51发送一个或多个读取请求以及从第一逻辑模块5向所述另一逻辑模块51传输参数化数据。然后可在下一步骤中，如上所述，经由逻辑连接21、23以对应方式使相应的相配的E/A网络用户12、13、14或16、17参数化。

如上面所描述并且如权利要求中所说明的，原则上本发明具有下述扩展可能性和优点：

协议的执行无需与传输周期同步地经由网络进行。如果协议无法及时在下一传输周期被执行，则可重新发送旧的协议数据。

参数化数据的读取顺序的控制可通过一个安全用户进行，如根据安全技术所需的。为了从安全逻辑模块向安全E/A网络用户、如根据图4的网络用户12、13、14、16、17和下级的逻辑模块传输参数化数据，只须略微扩展已经为了安全消息而存在的复制例程(如果有的话)。在图2中象征性示出复制例程并且以附图标记52来标识，借助所述复制例程由通信主设备2复制由E/A网络用户发送的和发送给E/A网络用户的数据。

参数化数据接收器决定传输的时刻。因此无需发送器受时间控制地询问接收器是否已经启动或发送器和接收器之间的连接是否已经存在。子系统借助可用的E/A用户自动启动。晚些时候接入的E/A网络用户可自动加入系统中。

本领域技术人员可以看出，本发明不局限于借助附图所示的实施例。而是，本发明可在所附权利要求的技术方案的范围内进行各种变型。在图3所示的示例中分别请求参数化数据的两个字节。但该长度可匹配在电报中提供的数据宽度。另外，字节数例如也可例如通过对应的读取请求在数据块从电报到电报的传输中发生变化。因此图3的实施例也已经规定：读取请求包含所需的字节数。

附图标记列表

1 控制装置

2 通信主设备

4 通信网络

5、51 安全逻辑模块

7 计算机

12－18 网络用户

20 点对点连接

21、22、23 逻辑连接

31－38 用于使逻辑模块5参数化的方法步骤

40、41 参数通道

43 用于安全消息的数据区域

44 安全电报

45 读取请求

47 参数集

48，49 段

53 读取的字节数

50 位移50

46 参数读取响应消息

52 复制例程

Claims (15)

1.一种用于控制在自动化设备中的安全关键过程的控制装置(1)，该控制装置包括通信网络(4)，所述通信网络(4)具有：

－用于控制通信网络(4)上的数据流的通信主设备(2)；

－多个网络用户(12、13、14、15、16、17、18)，其中，所述网络用户(12、13、14、15、16、17、18)中的至少一部分网络用户构造成安全网络用户(12、13、14)；和

－作为另外的网络用户的、用于借助一组安全相关的网络用户(12、13、14)控制与安全有关的应用的至少一个安全逻辑模块(5)，

其中，所述逻辑模块(5)和所述通信主设备(2)构造用于实施下述步骤，以便使所述逻辑模块(5)参数化：

－所述通信主设备(2)经由所述通信网络(4)向所述逻辑模块(5)发送开始命令，以便开始参数化过程，

－所述逻辑模块(5)响应接收到的经由所述通信网络(4)发送的所述开始命令而经由所述通信网络(4)向所述通信主设备(2)发送读取请求(45)，

－所述通信主设备(2)响应接收到的读取请求(45)而向所述逻辑模块(5)发送参数化数据。

2.根据权利要求1所述的控制装置(1)，其特征在于，所述逻辑模块(5)构造用于至少这样长地经由所述通信网络(4)依次在电报(44)中发送所述读取请求(45)，直到该逻辑模块从所述通信主设备(2)获得具有参数化数据的电报(44)。

3.根据权利要求2所述的控制装置，其特征在于，所述逻辑模块(5)构造用于识别需要请求多少参数化数据并且这样长地向所述通信主设备(2)发送所述读取请求(45)，直到获得所有参数化数据。

4.根据权利要求1至3之一所述的控制装置，其特征在于，所述通信主设备(2)构造用于在为参数化数据设置的逻辑通道(40)中传输所述参数化数据，所述逻辑通道通过经由所述通信网络(4)发送的电报(44)的预设数据区域表示。

5.根据权利要求1至3之一所述的控制装置，其特征在于，所述通信主设备(2)构造用于划分所述参数化数据并且在多个电报中依次发送所述参数化数据。

6.根据权利要求1至3之一所述的控制装置，其特征在于，所述逻辑模块(5)构造用于通过电力开启所述自动化设备或初始化所述逻辑模块(5)触发地和/或响应从所述通信主设备(2)接收的开始命令而向所述通信主设备(2)发送具有逻辑模块(5)状态的电报作为诊断信息。

7.根据权利要求1至3之一所述的控制装置，其特征在于，所述逻辑模块(5)构造用于借助所述读取请求(45)发送针对参数化数据特定部分的请求，并且所述通信主设备(2)构造用于基于该请求发送参数化数据的所请求的部分。

8.根据权利要求1至3之一所述的控制装置，其特征在于，所述通信主设备(2)构造用于生成开始命令，该开始命令用信号通知存在参数标识符，所述逻辑模块(5)构造用于读取来自所述通信主设备(2)的参数标识符并且用于安全地比较所述参数标识符与留存在所述逻辑模块中的参数。

9.根据权利要求1至3之一所述的控制装置，其特征在于，

－所述通信主设备(2)构造用于生成开始命令，该开始命令用信号通知需要在所述逻辑模块(5)中留存新的参数，

－在所述通信主设备(2)上存储旧的、之前留存的参数集的参数标识符，

－所述逻辑模块(5)构造用于首先读取来自所述通信主设备的该参数标识符，并且

－将所述参数标识符与留存的参数进行安全比较，

－当数据一致时，所述逻辑模块(5)删除其留存，

－否则，发送错误信息，

－当数据一致时，借助一个或多个读取请求(45)读取来自所述通信主设备(2)的新的参数，

－重新检验被读取的新的参数化数据的一致性，并且

－当所述参数化数据被所述逻辑模块(5)识别为无错误时，留存该参数化数据，

－否则发送错误信息。

10.根据权利要求1至3之一所述的控制装置，其特征在于，为了控制安全相关的应用而配置给所述逻辑模块(5)的所述安全网络用户(12、13、14)中的至少一个安全网络用户构造用于响应接收到的由所述逻辑模块(5)经由所述通信网络(4)发送的开始命令而经由所述通信网络(4)向所述逻辑模块(5)发送读取请求(45)，并且所述逻辑模块(5)构造用于响应接收到的读取请求(45)而向相应的接收了所述读取请求(45)的安全网络用户(12、13、14)发送参数化数据。

11.根据权利要求1至3之一所述的控制装置，其特征在于，

－除作为第一逻辑模块的所述逻辑模块(5)之外

－至少第二逻辑模块(51)连接到所述通信网络(4)上，

－所述第一逻辑模块通过所述通信主设备(2)的开始命令、所述第一逻辑模块的至少一个读取请求(45)以及所述参数化数据从所述通信主设备(2)向所述第一逻辑模块的传输而被参数化，

－所述通信主设备(2)附加地也向所述第一逻辑模块传输用于所述第二逻辑模块(51)的参数化数据，并且

－所述第二逻辑模块(51)以下述方式被参数化，即，在获得所述参数化数据后，所述第一逻辑模块向所述第二逻辑模块(51)发送开始命令，所述第二逻辑模块(51)响应获得的开始命令而向所述第一逻辑模块发送读取请求(45)，并且所述第一逻辑模块响应接收到的所述读取请求(45)而向所述第二逻辑模块(51)传输所述参数化数据。

12.根据权利要求1所述的控制装置，其特征在于，所述通信主设备(2)是非安全的通信主设备(2)。

13.根据权利要求9所述的控制装置，其特征在于，所述新的参数是完整的项目。

14.一种用于控制在自动化设备中的安全关键过程的控制装置(1)的参数化方法，该控制装置具有通信网络(4)，所述通信网络(4)具有

－用于控制该通信网络(4)上的数据流的通信主设备(2)；

－多个网络用户(12、13、14、15、16、17、18)，其中，所述网络用户(12、13、14、15、16、17、18)中的至少一部分网络用户构造成安全网络用户(12、13、14)；和

－作为另外的网络用户的、用于借助一组安全相关的网络用户(12、13、14)控制与安全有关的应用的至少一个安全逻辑模块(5)，

其中，所述逻辑模块(5)和所述通信主设备(2)实施下述步骤，以便使所述逻辑模块(5)参数化：

－所述通信主设备(2)经由所述通信网络(4)向所述逻辑模块(5)发送开始命令，以便开始参数化过程，

－所述逻辑模块(5)响应接收到的经由所述通信网络(4)发送的所述开始命令而经由所述通信网络(4)向所述通信主设备(2)发送读取请求(45)，

－所述通信主设备(2)响应接收到的所述读取请求而向所述逻辑模块(5)发送参数化数据。

15.根据权利要求14所述的参数化方法，其特征在于，所述通信主设备(2)是非安全的通信主设备。