DE10025085A1

DE10025085A1 - Modul zur Steuerung oder Regelung von sicherheitsrelevanten Vorgängen oder Abläufen für den Betrieb von Maschinen oder Anlagen

Info

Publication number: DE10025085A1
Application number: DE2000125085
Authority: DE
Inventors: Peter Wratil
Original assignee: Individual
Current assignee: Individual
Priority date: 2000-05-20
Filing date: 2000-05-20
Publication date: 2001-12-06

Abstract

Es wird ein elektronisches Modul (1) beschrieben, dass sich zur Steuerung oder Regelung von Maschinen oder Anlagen eignet. Das Modul ist intern fehlertolerant aufgebaut und damit in der Lage, mögliche Hard- oder Softwarefehler sicher zu erkennen und zu beherrschen. Die Funktion des Moduls wird über ein Programm vorgegeben, welches sich über eine serielle Schnittstelle (6) oder ein lokales Netzwerk (7) in das Modul laden lässt. Bei Verwaltung eines sicheren Datennetzes (8) können auch Daten oder Zustände von anderen Modulen (9, 10) ausgetauscht werden. Damit wird es mit diesem Modul möglich, sowohl lokale als auch globale Intelligenz - zusammen mit anderen Modulen - als Steuerungs- oder Regelungssystem zu entwickeln.

Description

Die Erfindung bezieht sich auf ein Modul zum Einsatz in Maschinen oder Anlagen, die über elektronische Einheiten gesteuert oder geregelt werden. Diese elektroni schen Einheiten sind zumeist speicherprogrammierbare Steuerungen oder Mikro rechner, die den Ablauf oder die Funktion der Maschine oder Anlage bestimmen.

Das in der Erfindung beschriebene Modul lässt sich an eine derartige elektronische Einheit anschließen (entweder über eine serielle Schnittstelle oder ein lokales Netz werk) und damit vor Ort in der Maschine oder in der Anlage auch dezentral anord nen.

Im Gegensatz zum heutigen Stand der Technik, kann das Modul jedoch auch selbst Intelligenz entwickeln und damit entweder zusätzlich zu der bereits genannten Steue rung Aufgaben übernehmen, oder sogar ganz ohne eine Steuerung auskommen und dann autark entweder alleine oder im Verbund mit anderen Modulen die gesamte Funktion der Maschine oder Anlage bestimmen.

Weiterhin unterscheidet sich das Modul vom Stand der Technik dadurch, dass es insbesondere für die Durchführung von Sicherheitsfunktionen oder für den Ablauf von sicheren Bewegungen konzipiert ist. Dabei besteht sowohl die Möglichkeit, die sichere Funktion vollkommen autark im Modul als Programm zu hinterlegen, als auch zusammen mit mehreren Modulen einen Sicherheitsverbund zu bilden. Diese Funkti on ist sowohl mit einer übergeordneten Steuerung (elektronische Einheit) als auch ohne dieselbe durch Verteilung der Intelligenz auf mehrere Module möglich.

In den Patentanmeldungen 198 57 683.8 wurde bereits ein Verfahren beschrieben, mit dem man an einem lokalen Netz sicherheitsgerichtete Einheiten betreiben kann. Die Anschaltung und die Technik zum Betrieb der peripheren Signale ist in dem Mo dul, das dieser Erfindung zu Grunde liegt, nahezu identisch aufgebaut. Ferner wird auch eine Schaltung (siehe Patentanmeldung 198 60 358.4) verwendet, die für die fehlertolerante Struktur im Modul sorgt. Diese (in der Regel 2kanalige Struktur) ist in der Lage, mögliche Fehler zu erkennen und hilft damit, das Modul und die gesamte Maschine oder Anlage in einen sicheren Zustand zu bringen. Wie aus der Patentan meldung 198 57 683.8 jedoch zu ersehen ist, benötigt man stets eine Überwa chungseinheit, die alle logischen Sicherheitsfunktionen überwacht.

Im Gegensatz zu den genannten Patentanmeldungen 198 57 683.8 kann das hier vorgestellte Modul selbst ein Programm enthalten und entweder autark als abge schlossene Einheit oder im Verbund verteilter Intelligenz zusammen mit anderen Modulen ein gesamtes Sicherheitssystem bilden. In dieser Funktion ist dann keine Überwachungseinheit oder eine übergeordnete elektronische Einheit mehr notwen dig.

Das Verfahren zur Verteilung eines gesamten Programms auf mehrere Module zum Erreichen verteilter Intelligenz ist im Prinzip in der Patentanmeldung 199 06 695.7 beschrieben. Dort wird ein Verfahren vorgestellt, mit dem man ein bereits bestehen des Programm derart verteilt, dass eine Steuerung oder eine übergeordnete Einheit nicht mehr notwendig ist. Das Verfahren geht jedoch davon aus, dass man über ei nen automatisch arbeitenden Compiler (Übersetzer) vor der Inbetriebnahme alle Programmteile für die Module erzeugt und dann die Kommunikationsbeziehungen für jedes Modul erhält. Auch das in diesem Patent vorgestellte Prinzip beruht auf der Verteilung von logisch zusammenhängenden Programmblöcken mit Ausrichtung auf physikalische Ein- oder Ausgänge. Im Gegensatz zu dem in der Patentanmeldung 198 57 683.8 vorgestellten Technik lässt sich jedes Programm zu beliebigen Zeiten und optimiert auf die zu erfüllende Sicherheitsfunktion in ein beliebiges Modul laden.

Damit hat diese Erfindung die Patentanmeldungen 199 06 695.7 als Basis. Es wer den jedoch die Techniken der verteilten Intelligenz auf das Gebiet der Sicher heitstechnik ausgedehnt und durch zusätzliche Architekturen derart erweitert, dass ein optimierbares Sicherheitsmodul entsteht, das sowohl autark Sicherheitsfunktio nen als auch im Verbund, auf der Basis verteilter Intelligenz, eine vollständige Si cherheitssteuerung darstellt.

Entsprechend der Patentansprüche ist das Modul intern 2kanalig aufgebaut. Diese 2Kanaligkeit ist zur Erfüllung von Sicherheitsfunktionen unbedingt notwendig, da man nur auf diese Weise eventuelle Ausfälle, Störungen oder sonstige Mängel aufdecken kann. Beide Einheiten vergleichen ihre Ein-, Ausgangsgrößen, Entscheidungen und Abläufe. Nur bei gegenseitiger Zustimmung erfolgt die Durchführung der Funktion. Für eine gehobene Sicherheitsanforderung wird jeder der beiden Kanäle auch noch durch unterschiedliche Hardware-Strukturen realisiert (Diversität). Gleiches gilt für das Betriebsprogramm (Software) innerhalb der beiden Verarbeitungslogiken. Bei einem diversitären Aufbau sind neben möglichen Ausfällen oder Störungen auch Fehler durch falsches oder mangelhaftes Design oder fehlerhafte Programmierung ausgeschlossen (siehe auch DIN V VDE 0801).

Die Erfindung erfüllt diese Anforderungen und ist auch entsprechend 2kanalig aufge baut. Wie in dem Bild (Fig. 1) zu sehen ist, enthält das System (1) 2 vollkommen unabhängige Verarbeitungseinheiten (Verarbeitungslogik 1 und Verarbeitungslogik 2, 3, 4). Sie bestehen entweder aus 2 Mikrorechnern oder ähnlichen Einheiten (z. B. FPGAs), die alle Funktionen entsprechend des Verarbeitungsprogramms aus dem Programmspeicher (11) durchführen. Der Programmspeicher wird entweder über die serielle Schnittstelle (6) oder über das angeschlossene Bussystem (8) mit dem Busanschluss (7) und dem Businterface (5) geladen. Die Art der Programmierung wird noch später beschrieben.

Die beiden Verarbeitungseinheiten (3, 4) verarbeiten entweder das Programm redun dant oder prüfen sich in ihren funktionellen Ergebnissen gegenseitig. Auf jeden Fall wird jede Operation nur dann durchgeführt, wenn sich beide Einheiten (3, 4) absolut einig sind, dass die Operation einwandfrei und richtig ist. Hierzu müssen sie sich vor der endgültigen Verarbeitung über den Zustand der berechneten Funktion unterhal ten. In der Regel kann dieser Datenaustausch über eine parallele oder serielle Schnittstelle zwischen den Verarbeitungseinheiten erfolgen (nicht eingezeichnet).

Die Prüfung der richtigen Funktion bezieht sich insbesondere auf die Ausgabe an die externe Peripherie (13). Mit diesem Signal kann eine Sicherheitsfunktion (Starten eines Antriebs, Senken einer Schneideeinrichtung, Bewegen eines Ventils, usw.) in itiiert werden. Da derartige Bewegungen im Fehlerfall zu Verletzungen oder sogar zu Tod von Personen führen können, dürfen sie nur bei absoluter Sicherheit erfolgen. Diese Sicherheit wird durch den redundanten Aufbau der bereits vorgestellten Verar beitungseinheiten (3, 4) erreicht. Natürlich enthält die Schaltung in der Praxis auch eine übergeordnete Überwachungseinheit (z. B. Watch Dog), der einen eventuellen Ausfall einer oder beider Einheiten (3, 4) kontrolliert. Ferner wird der Ausgang (13) oftmals noch mit einer elektromechanischen Schaltung (z. B. Relais) versorgt, so dass im bei einem Ausfall der elektronischen Ansteuerung auch noch eine sicher heitsgerichtete Abschaltung möglich ist. Diese Verfahren sind jedoch Stand der Technik und daher nicht Gegenstand der Erfindung.

Gleichfalls sind alle internen Zusatzeinrichtungen (wie der Programmspeicher, 11, der Parameterspeicher, 12) entweder doppelt ausgelegt, oder sie werden regelmäßig vollständig auf Richtigkeit überprüft. Das gilt auch für die Eingabe der Daten von der externen Peripherie. Hier lässt sich beispielsweise ein externer Kontakt (14) abfra gen, der über spezielle Signalpegel versorgt wird, die ihrerseits ein Signalmuster ent halten. Kurzschlüsse oder nicht erlaubte Verbindungen sind daher schnell erkennbar.

Vollkommen neu ist die Art der Programmverarbeitung im Modul (1) selbst, oder in einem Verbund von Modulen (1, 9, 10). Jedes dieser Module erhält ein Sicherheits programm, welches im Programmspeicher (11) abgelegt wird. Zusätzlich befindet sich im Parameterspeicher (12) ein Datensatz, der die Funktion des Moduls (1) vor schreibt (z. B. Reaktionszeit, Teilnehmeradresse, Konfiguration des gesamten Bussy stems, Zustand anderer Teilnehmer, usw.). Wenn das Modul selbst innerhalb einer Sicherheitsfunktion lokal alle Ein- und Ausgabegrößen für die vollständige Verarbei tung von der angeschlossenen Peripherie (z. B. 13, 14) erhält, so kann die Sicher heitsfunktion ohne das Hinzufügen zusätzlicher Daten ausgeführt werden. Sofern jedoch zur vollständiger Berechnung noch weitere Größen fehlen, werden aus schließlich diese über das Bussystem (8) angefordert. Die weiteren Module (9, 10) senden dann die gewünschten Größen und erhalten ebenfalls alle Daten, so dass sie selbst ihre Funktion erfüllen können.

Durch dieses Verfahren können an einem Bussystem (8) sowohl autarke Sicher heitsmodule (mit lokaler Sicherheitsfunktion) als auch vernetzte Sicherheitsmodule entstehen, die gemeinsam zu einer komplexen Sicherheitsfunktion beitragen. Im letzteren Fall entsteht ein Sicherheitsverbund mit verteilter Intelligenz.

Das Bild (Fig. 2) zeigt, wie sich der interne Ablauf zur Verarbeitung im Rahmen ei ner verteilten Sicherheitsfunktion gestaltet. Jedes Modul (1) erhält ein Programm, das sich nach den angeschlossenen Ausgängen innerhalb des Moduls orientiert. Die notwendige logische Funktion des Ausgangs (7) wird im Programmspeicher abgelegt und von den beiden Verarbeitungseinheiten durchgeführt. Wenn alle notwendigen Eingangsgrößen (zur Kalkulation der geforderten Ausgangsgröße) bereits intern zur Verfügung stehen (über die interne Ein- und Ausgabeeinheit im Modul, 6), so gelingt die autarke Verarbeitung der Sicherheitsfunktion.

In dem Fall, dass man zur Erfüllung der gewünschten Sicherheitsfunktion externe Eingangsgrößen braucht (z. B. von den Modulen 2 und 3), so werden diese Daten (5) entweder zyklisch oder auf Anforderung über das Bussystem (4) übertragen. Es ver steht sich von selbst, dass die Datenübertragung ebenfalls gesichert erfolgen muss, damit man eine Datenverfälschung ausschließen kann.

Jede übertragene Eingangsfunktion legt das Modul (1) in einem Datenspeicher (Pa rameterspeicher) ab. Dabei wird sowohl der aktuelle Inhalt als auch die Zeit (oder ein entsprechender Zeitwert) festgehalten (8,10). Der Zeitwert wird durch eine Uhr oder einen Timer (9) zusätzlich zum Datum (8) als Information hinzugefügt (10).

Mit den Inhalten aus dem Parameterspeicher kann nun die Verarbeitungslogik (oder beide Einheiten) die gewünschte Funktion (7) erfüllen und den angeschlossenen Ausgang über die Peripherieeinheit (6) bedienen.

Da in der Sicherheitstechnik jeder Ablauf mit einer festen Reaktionszeit erfolgen muss, enthält jedes Datum (eines externen Moduls 2, 3) auch die aktuelle Zeit der Ablage oder der Versendung. Wenn es innerhalb der gewünschten Reaktionszeit nicht gelingt, ein neues Datum zu der entsprechenden Einheit zu übertragen, so wird von dem Modul (1, 2,3) ein sicherer Zustand eingeleitet. Dieser besteht in der Regel darin, den Ausgang zu deaktivieren.

Durch diese Maßnahme wird gewährleistet, dass bei einem Defekt einer externen Einheit oder bei Ausfall des Bussystems, stets ein sicherer Zustand erreicht wird. Das Verfahren hat zudem noch den Vorteil, dass nur diejenigen Daten über den Bus übertragen werden, die nicht in den Einheiten selbst vorliegen. Die Datenrate und die damit verbundene Auslastung des Bussystems (4) können somit gering gehalten werden.

Zur Verteilung der programmierbaren Funktionen wird ein Übersetzer (Compiler) be nötigt, der die logischen Pfade entsprechend der gewünschten Ausgangsfunktion berechnet. Hierdurch entstehen Programmteile, die sich in jedes Modul herunterla den lassen. Das Verfahren der Blockbildung und der Dezentralisierung ist bereits in der Norm IEC 1131-3 beschrieben und kann bei der Programmierung des hier vorge stellten System der verteilten Sicherheit angewendet werden.

BEZUGSZEICHENLISTE

Abb.

1

Modul

2

kanalige fehlertolerante Struktur (eventuell mit redundanter Hard- und diver sitärer Software)

3

Verarbeitungslogik (Kanal

1

)

4

Verarbeitungslogik (Kanal

2

)

5

Interface (zur Kommunikation mit einem lokalen Netz oder einer seriellen Schnittstelle)

6

Serielle Schnittstelle (Option)

7

Anschluss an ein lokales Netzwerk

8

Lokales Netzwerk

9

Weiteres Modul am Netzwerk

10

Weiteres Modul am Netzwerk

11

Programmspeicher zur Ablage des Programms (zur Erfüllung der Sicherheits funktion)

12

Parameterspeicher (zur Ablage der Konfiguration, Diagnose, Status und der Zustände im Modul und im Netzwerk)

13

Ein- oder Ausgabekanal zur Steuerung oder Regelung

14

Beispiel eines Anschlusses extern verdrahteter Sicherheitseinheiten

Abb.

2

Legende:

1

Modul

2

Weiteres Modul

3

Weiteres Modul

4

Datenübertragung über lokales Netzwerk

5

Datum, Ein- oder Ausgangswert von fremden Modul

6

Ein- und Ausgabeeinheit im eigenen Modul

7

Logik zur Berechnung der Daten und Ausgabefunktion

8

Dateninhalt (im Speicher) von externem Modul

9

Interne Uhr

10

Zeitwert bei Dateneingang vom Netzwerk

Claims

1. Modul (Fig. 1: 1) zur Steuerung oder Regelung von sicherheitsrelevanten Vorgän gen oder Abläufen für den Betrieb von Maschinen oder Anlagen, dadurch ge kennzeichnet, dass das Modul (Fig. 1: 1) aus einer fehlertoleraten oder einer ver gleichbaren 2kanaligen Struktur (Fig. 1: 2) besteht, die eine redundante Hardware (Fig. 1: 3, 4) und eine diversitäre Software enthält, die in dem Modul (Fig. 1: 1) hinterlegt wird, damit sowohl Bauteilaufälle oder Störungen als auch systemati sche Fehler erkannt und sicher beherrscht werden, sowie Ein- und Ausgabeka näle zur Verfügung stellt (Fig. 1: 13), damit der sichere Betrieb externer Geräte ermöglicht wird, deren Funktion oder Ablauf durch eine Programm vorgegeben wird, das sich im Programmspeicher (Fig. 1: 11) befindet, das sich mittels einer seriellen Schnittstelle (Fig. 1: 6) oder eines lokalen Netzes (Fig. 1: 7) über ein In terface (Fig. 1: 5) in das Modul (Fig. 1: 1) laden lässt, damit das Modul sowohl lo kale Intelligenz als programmierbare autarke Einheit, als auch globale Intelligenz im Zusammenwirken mit anderen ähnlich oder identisch aufgebauten Modulen (Fig. 1: 9, 10) über ein geeignetes Netzwerk (Fig. 1: 8) oder einen Datenübertra gungskanal entwickeln kann.

2. Modul nach dem Anspruch 1, dadurch gekennzeichnet, dass die Programmierung über Standardsprachen möglich ist, die den sicheren Ablauf und die Funktion von Maschinen oder Anlagen beschreiben oder darstellen, und dass dieses Pro gramm in einem Programmspeicher (Fig. 1: 11) hinterlegt wird.

3. Modul nach den Ansprüchen 1 und 2, dadurch gekennzeichnet, dass ein komple xes Sicherheitsprogramm für eine Maschine oder Anlage sich derart aufteilen oder gliedern lässt, dass sich Teile in mehrere Module unterbringen lassen und damit das gesamte Gefüge eine vollständiges Sicherheitssystem darstellt.

4. Modul nach den Ansprüchen 1 bis 3, dadurch gekennzeichnet, dass sich Zustän de, Daten, Ein- und Ausgangswerte von anderen Modulen übertragen lassen, damit man gesicherte Funktionen auch bei Überwindung größerer Distanzen oder unter Verwendung zahlreicher peripherer Größen erreichen kann.

5. Modul nach den Ansprüchen 1 bis 4, dadurch gekennzeichnet, dass Status- und Diagnosefunktionen zur Verfügung gestellt werden, die in einem Parameterspei cher liegen (Fig. 1: 12), damit man über den Ablauf oder die Funktion der Maschi ne oder Anlage weiträumig informiert ist.

6. Modul nach den Ansprüchen 1 bis 5, dadurch gekennzeichnet, dass eine laufen de interne Kontrolle durchgeführt wird, damit mögliche Fehler in der angeschlos senen Peripherie als auch im Modul selbst erkannt und übermittelt werden.

7. Modul nach den Ansprüchen 1 bis 6, dadurch gekennzeichnet, dass sich das Programm zur Erfüllung der Sicherheit auch nachträglich oder sogar während des Betriebs laden lässt, und in den Programmspeicher (Fig. 1: 11) gelangt.

8. Modul nach den Ansprüchen 1 bis 7, dadurch gekennzeichnet, dass ein interner Parameterspeicher (Fig. 1: 12) existiert, dessen Inhalt für die Funktion, die Ar beitsweise und den Zustand aller internen Größen, sowie die Ein- und Ausgänge verantwortlich ist.

9. Modul nach den Ansprüchen 1 bis 8, dadurch gekennzeichnet, dass die Ein- und Ausgänge auch verdrahtete Sicherheitsvorrichtungen (Fig. 1: 14) betreiben kön nen und die entsprechenden Testmuster zur Fehlererkennung von Drahtbrüchen oder Kurzschlüssen zur Verfügung stellen können.

10. Modul nach den Ansprüchen 1 bis 9, dadurch gekennzeichnet, dass der Daten transport (Fig. 2: 4) zusätzlicher Ein- und Ausgabegrößen fremder Module über ein Uhr (Fig. 2: 9) überwacht wird. Hierdurch wird das Modul in einen sicheren Zustand geschaltet, wenn über einen definierbaren Zeitraum keine Antwort einer, für die interne Funktion des jeweiligen Moduls notwendige, Größe übertragen wird. Hierdurch ist eine sicherheitsgerichtete Kontrolle des gesamtes Netzwerkes gegeben.

11. Modul nach den Ansprüchen 1 bis 10, dadurch gekennzeichnet, dass die Daten, Ein- oder Ausgangsgrößen fremder Module über ein sicherheitsgerichtes Daten netz oder ein lokales Netzwerk (Fig. 2: 4) mit Sicherheitsarchitektur übertragen werden.