DE10053763C2 - Feldbussystem zum Steuern von sicherheitskritischen Prozessen sowie Busanschaltmodul zur Verwendung in einem solchen Feldbussystem - Google Patents

Description

Die vorliegende Erfindung betrifft ein Feldbussystem zum Steu­ ern von sicherheitskritischen Prozessen, mit einem Übertra­ gungsmedium und mit einer Vielzahl von Busteilnehmern, die mit dem Übertragungsmedium verbunden sind, wobei die Busteilnehmer zur Kommunikation miteinander Bustelegramme über das Übertra­ gungsmedium versenden können, ferner mit einem definierten Kom­ munikationsprotokoll, das Regeln für das Versenden und Empfan­ gen von Bustelegrammen vorgibt.

Die Erfindung betrifft des weiteren ein Busanschaltmodul zur Verwendung in einem solchen Feldbussystem, mit einer Schnitt­ stelle zur Verbindung mit einem Übertragungsmedium und mit ei­ ner Kommunikationseinheit, in der ein Kommunikationsprotokoll implementiert ist.

Ein derartiges Feldbussystem sowie ein entsprechendes Busan­ schaltmodul sind beispielsweise aus dem Artikel "Von der siche­ ren Steuerung zum sicheren Bus", erschienen in der DE- Zeitschrift mpa 4-1999 bekannt.

Bei einem Feldbussystem handelt es sich um eine Vorrichtung zur Datenkommunikation, bei der die einzelnen Busteilnehmer an ein gemeinsames Übertragungsmedium angeschlossen sind. Die Bus­ teilnehmer können miteinander kommunizieren, indem sie nach festgelegten Regeln auf das gemeinsames Übertragungsmedium zu­ greifen. Dabei werden Nachrichten zwischen den Busteilnehmern in Form von sogenannten Bustelegrammen versendet. Die Summe der festgelegten Regeln, beispielsweise die Vergabe von Prioritäten zur Vermeidung von Sendekonflikten oder die Art der Adressie­ rung von Busnachrichten, schlägt sich in dem definierten Kommu­ nikationsprotokoll nieder. Jeder Busteilnehmer verfügt über ein Busanschaltmodul, in dem die zur Durchführung der Kommunikation erforderlichen Regeln implementiert sind. Bekannte Feldbussy­ steme sind der sogenannte CAN-Bus, der sogenannte Profibus und der sogenannte Interbus.

Feldbussysteme besitzen aufgrund des gemeinsamen Übertragungs­ mediums den Vorteil, daß eine Vielzahl von Busteilnehmern mit einem vergleichsweise geringen Verkabelungsaufwand miteinander verbunden werden können. Dies spart Zeit und Geld bei der Installation und ermöglicht zudem eine sehr flexible Anpassung der Installation an neue Anforderungen.

In der eingangs genannten DE-Zeitschrift ist ein Feldbussystem beschrieben, das im Gegensatz zu den gerade genannten, allge­ mein bekannten Feldbussystemen auch zum Steuern von sicher­ heitskritischen Prozessen verwendet werden kann. Darunter wird im folgenden ein Prozeß verstanden, von dem bei Auftreten eines Fehlers eine nicht akzeptable Gefahr für Menschen oder materi­ elle Güter ausgeht. Beispiele für derartige Prozesse sind die Auswertung bzw. Überwachung von Not-Aus-Schaltern, Zwei-Hand- Steuerungen, Schutztüren oder Lichtschranken. Die bei der Steuerung von derartigen Prozessen verwendeten Anlagen und Ge­ räte benötigen in zahlreichen Ländern eine besondere Zulassung von Seiten der jeweils zuständigen Aufsichtsbehörden. Als Kri­ terien für eine Zulassung werden beispielsweise die europäische Norm EN 954-1 oder die deutsche Norm DIN 19 250 zugrunde ge­ legt. Geräte und Anlagen, die zumindest die Kategorie 3 der eu­ ropäischen Norm EN 954-1 erfüllen, werden im folgenden als "sicher" bezeichnet.

Das aus der eingangs genannten DE-Zeitschrift bekannte Feldbus­ system erfüllt sogar die Anforderungen der höchsten Sicher­ heitskategorie 4 der europäischen Norm EN 954-1. Es ist damit zum Steuern von sicherheitskritischen Prozessen geeignet. Gleichzeitig besitzt das System den Vorteil, daß eine Vielzahl sicherer Geräte, beispielsweise eine sichere Steuereinheit, si­ chere Ein-/Ausgabegeräte sowie Lichtschranken mit einem gerin­ gen Verkabelungsaufwand zu einer komplexen, sicheren Steue­ rungsanlage verbunden werden können. Ein gewisser Verkabelungs­ aufwand verbleibt jedoch, da aus Gründen der Fehlersicherheit ausschließlich leitungsgebundene Übertragungsmedien, d. h. elek­ trische und/oder optische Kabel, zum Einsatz kommen.

Aus der US 5,793,963 bzw. der DE 199 29 804 A1 sind Steuerungs­ systeme bekannt, bei denen Feldbusse mit einer drahtlosen Funk­ übertragung verwendet werden. Besondere Sicherungsmaßnahmen für die Funkübertragung sind dabei jedoch nicht vorgesehen.

Aus der EP 0 549 235 A1 bzw. der WO 99/07113 sind drahtlose Netzwerke bekannt, bei denen eine Vielzahl von Teilnehmern drahtlos miteinander kommunizieren können. Das aus der WO 99/07113 bekannte Netzwerk kann dabei auch zur Steuerung von Komponenten in Hausbereichen, beispielsweise HIFI-Komponenten oder als Alarmsystem verwendet werden. Um das drahtlose Netz­ werk gegenüber anderen, gleichartigen Netzwerken zu identifi­ zieren, beinhaltet das verwendete Kommunikationsprotokoll eine Netzwerk-individuelle Kennung.

Es ist hiervon ausgehend eine Aufgabe der vorliegenden Erfin­ dung, ein sicheres Feldbussystem der eingangs genannten Art an­ zugeben, bei dem der Verkabelungsaufwand noch weiter reduziert werden kann, und das ferner eine einfache und kostengünstige Integration von Busteilnehmern ermöglicht. Es ist darüber hin­ aus Aufgabe der vorliegenden Erfindung, ein entsprechendes Bus­ anschaltmodul anzugeben.

Diese Aufgabe wird bei dem eingangs genannten Feldbussystem da­ durch gelöst, daß das Übertragungsmedium einen Funkkanal auf weist und daß das Kommunikationsprotokoll eine individuelle Sy­ stemkennung beinhaltet, die zumindest mit jedem über den Funk­ kanal versendeten Bustelegramm verbunden ist, wobei jeder Bus­ teilnehmer ein wechselbares Speichermedium aufweist, auf dem die Systemkennung nicht-flüchtig abgespeichert ist.

Alternativ wird diese Aufgabe mit einem Feldbussystem der ge­ nannten Art gelöst, bei dem das Übertragungsmedium ferner eine Leitungsverbindung aufweist, die mit dem Funkkanal über einen Signalwandler verbunden ist, wobei der Signalwandler ein wech­ selbares Speichermedium aufweist, auf dem die Systemkennung nicht-flüchtig abgespeichert ist.

Die Aufgabe wird des weiteren durch ein Busanschaltmodul der eingangs genannten Art gelöst, bei dem die genannte Schnitt­ stelle eine Funkschnittstelle ist, bei dem das implementierte Kommunikationsprotokoll eine individuelle Systemkennung bein­ haltet, die mit einem zu versendenden Bustelegramm verbunden ist, und bei dem eine weitere Schnittstelle für ein wechselba­ res Speichermedium vorgesehen ist, auf dem die individuelle Sy­ stemkennung nicht-flüchtig abgespeichert ist.

Das erfindungsgemäße Feldbussystem beinhaltet einen Funkkanal als Übertragungsmedium. Infolgedessen können die einzelnen Bu­ steilnehmer drahtlos miteinander kommunizieren, wodurch der Verkabelungsaufwand deutlich reduziert wird. Darüber hinaus be­ inhaltet das zu dem Feldbussystem gehörende Kommunikationspro­ tokoll eine zusätzliche individuelle Systemkennung, die das Feldbussystem als Ganzes eindeutig gegenüber anderen, auch typgleichen Feldbussystemen identifiziert. Die Systemkennung ist einerseits individuell einstellbar, so daß man zwei ver­ schiedenen Feldbussystemen unterschiedliche individuelle Sy­ stemkennungen zuweisen kann. Andererseits ist die individuelle Systemkennung einem definierten Feldbussystem eindeutig und fest zugeordnet, so daß sich die zu diesem Feldbussystem gehö­ renden Bustelegramme von denen eines anderen Feldbussystems un­ terscheiden lassen. Damit ist eine Verwechslung von Bustele­ grammen zwischen typgleichen Feldbussystemen fehlersicher aus­ zuschließen. Das erfindungsgemäße Feldbussystem ist infolgedes­ sen trotz der Verwendung eines "offenen" und daher unsicheren Funkkanals ein sicheres System, das gegenüber einstreuenden fremden Bustelegrammen "abgeschottet" ist. Infolgedessen kann das erfindungsgemäße Feldbussystem bei einem geringeren Verka­ belungsaufwand dieselbe hohe Fehlersicherheit aufweisen, wie das eingangs genannte Feldbussystem. Es kann daher ebenso wie dieses als sicheres Feldbussystem, das zum Steuern von sicher­ heitskritischen Prozessen geeignet ist, ausgelegt werden.

Das erfindungsgemäße Busanschaltmodul beinhaltet sowohl die er­ forderliche Schnittstelle für die Kommunikation über den Funk­ kanal als auch die individuelle Systemkennung, mit der ein über den Funkkanal zu versendendes Bustelegramm verbunden wird. Mit einem solchen Busanschaltmodul kann das erfindungsgemäße Feld­ bussystem daher sehr einfach aufgebaut werden, wobei im übrigen auf bereits bestehende und bekannte Bustechnologien zurückge­ griffen werden kann.

In einer Alternative der Erfindung beinhaltet das Feldbussystem einen Signalwandler, der einen leitungsgebundenen Teil des Übertragungsmediums mit dem Funkkanal verbindet. Alternativ hierzu sind die Busteilnehmer in einer anderen Ausgestaltung direkt mit dem Funkkanal verbunden. Entweder der Signalwandler oder die Busteilnehmer besitzen jedoch in beiden Fällen ein wechselbares Speichermedium, auf dem die Systemkennung nicht- flüchtig abgespeichert ist. Bevorzugt ist dieses wechselbare Speichermedium eine Chipkarte. Diese Maßnahme besitzt den Vor­ teil, daß die individuelle Systemkennung dem Signalwandler bzw. dem Busteilnehmer sehr einfach und trotzdem fehlersicher zuge­ wiesen werden kann. Ebenso ist der Austausch eines defekten Signalwandlers bzw. Busteilnehmers einfach und kostengünstig möglich. Dementsprechend einfach und kostengünstig ist die In­ tegration von Busteilnehmern in das Feldbussystem. Bevorzugt ist auf dem wechselbaren Speichermedium außer der Systemkennung auch eine ihr zugeordnete Prüfsumme abgespeichert, was eine be­ sonders fehlersichere Zuordnung der Systemkennung ermöglicht.

Die genannte Aufgabe ist daher vollständig gelöst.

In einer bevorzugten Ausgestaltung der Erfindung ist die indi­ viduelle Systemkennung in sich redundant.

In dieser Ausgestaltung der Erfindung beinhaltet die individu­ elle Systemkennung zumindest zwei zueinander redundante Teilbe­ standteile, die gemeinsam gesendet bzw. empfangen werden müs­ sen, um eine wirksame Identifikation des zugehörigen Bustele­ gramms zu ermöglichen. Die Bestandteile können beispielsweise zwei Datenwerte sein, die in einem definierten Zusammenhang zu­ einander stehen. Bevorzugt ist der eine Datenwert dabei eine aus dem anderen abgeleitete Prüfsumme, beispielsweise eine CRC- Prüfsumme (Cyclic Redundancy Check). Die Maßnahme besitzt den Vorteil, daß die individuelle Systemkennung eine erhöhte Eigen­ sicherheit beinhaltet, aufgrund der die Fehlersicherheit des Gesamtsystems nochmals verbessert ist.

In einer weiteren Ausgestaltung der Erfindung beinhaltet die individuelle Systemkennung ein definiertes Frequenzsignal, das mit dem Bustelegramm über den Funkkanal übertragen wird.

In dieser Ausgestaltung der Erfindung ist zumindest ein Teil der individuellen Systemkennung im Frequenzbereich realisiert. Dies ist bei der Übertragung des Bustelegramms über den Funkka­ nal besonders einfach möglich, indem dem zu übertragenden Nach­ richtenspektrum ein zusätzlicher, individuell bestimmter "Ton" hinzugefügt wird. Die Maßnahme besitzt den Vorteil, daß die Sy­ stemkennung unabhängig von dem zu übertragenden Bustelegramm realisiert ist. Damit ist die Systemkennung unabhängig von et­ waigen Datenfehlern, die das zu übertragende Bustelegramm be­ einflussen können. Infolgedessen kann auch ein fehlerhaft über­ tragenes Bustelegramm dem betroffenen Feldbussystem stets ein­ deutig zugeordnet werden.

In einer weiteren Ausgestaltung der Erfindung beinhaltet die individuelle Systemkennung einen Datenwert, der als Bestandteil des Bustelegramms versendet wird.

In dieser Ausgestaltung der Erfindung wird die individuelle Sy­ stemkennung als Datenwert der eigentlich zu übertragenden Bus­ nachricht hinzugefügt. Dies kann einerseits innerhalb eines Da­ tenrahmens geschehen, der von dem Bustelegramm bereitgestellt wird. Bevorzugt wird die individuelle Systemkennung jedoch "außen" an den bestehenden Datenrahmen angefügt, da in diesem Fall der Datenrahmen selbst nicht verändert werden muß. Die in­ dividuelle Systemkennung kann daher sehr einfach auch bei älte­ ren Kommunikationsprotokollen ergänzt werden. In beiden Fällen kann die individuelle Systemkennung mit Hilfe an sich bekannter Maßnahmen software-technisch erzeugt werden, was eine sehr ko­ stengünstige und flexible Möglichkeit darstellt.

In einer weiteren Ausgestaltung der zuvor genannten Maßnahme ist der Datenwert eigenständig gegen Datenfehler abgesichert.

Diese Maßnahme besitzt den Vorteil, daß die individuelle Sy­ stemkennung unabhängig von Datensicherungsmaßnahmen ist, die das Kommunikationsprotokoll standardmäßig vorsieht. Hierdurch ist es möglich, die individuelle Systemkennung auch bei einem Feldbussystem zu implementieren, das bisher keine solche Sy­ stemkennung vorsieht. Dabei kann das ursprüngliche Kommunikati­ onsprotokoll des Feldbussystems an sich unverändert bleiben, es wird nur durch das Hinzufügen der individuellen Systemkennung ergänzt. Die Absicherung gegen Datenfehler erfolgt bevorzugt mittels einer CRC-Prüfsumme oder einer vergleichbaren Prüfsumme, die zusätzlich zu bereits vorhandenen Prüfsummen erzeugt wird.

In einer weiteren Ausgestaltung der Erfindung weist das Über­ tragungsmedium ferner eine Leitungsverbindung auf, die mit dem Funkkanal über einen Signalwandler verbunden ist.

In dieser Ausgestaltung besitzt das erfindungsgemäße Feldbussy­ stem sowohl leitungsgebundene als auch drahtlose Übertragungs­ wege. Die Maßnahme besitzt den Vorteil, daß das erfindungsgemä­ ße Feldbussystem jeweils optimal an vorhandene Umgebungen ange­ paßt werden kann. Beispielsweise kann in räumlichen Bereichen mit besonders starker elektromagnetischer Störstrahlung ein leitungsgebundener Teil installiert werden, während gleichzei­ tig größere Übertragungsstrecken in anderen Bereichen drahtlos überbrückt werden. Auch kann mit einem leitungsgebundenen Über­ tragungsmedium zumindest nach derzeitigem Stand der Technik bei vergleichbaren Kosten eine höhere Übertragungsgeschwindigkeit erreicht werden. Das erfindungsgemäße Feldbussystem profitiert damit jeweils von den Vorteilen der unterschiedlichen Übertra­ gungsmedien.

In einer weiteren Ausgestaltung der zuvor genannten Maßnahme weist der Signalwandler eine erste Sicherungsstufe auf, die ein über den Funkkanal zu versendendes Bustelegramm mit der System­ kennung verbindet.

Die Maßnahme besitzt den Vorteil, daß die Busteilnehmer in dem leitungsgebundenen Teil des Feldbussystems von der Aufgabe, ein zu versendendes Bustelegramm mit der Systemkennung zu versehen, befreit sind. Dies erhöht deren Verarbeitungsgeschwindigkeit.

Zudem kann ein bereits bestehendes leitungsgebundenes Feldbus­ system auf diese Weise sehr kostengünstig um drahtlose Übertra­ gungsabschnitte ergänzt werden.

In einer weiteren Ausgestaltung weist der Signalwandler eine zweite Sicherungsstufe auf, die die Systemkennung eines über den Funkkanal empfangenen Bustelegramms überprüft.

In dieser Ausgestaltung übernimmt der Signalwandler auch die zweite Teilaufgabe, die mit der individuellen Systemkennung verbunden ist, nämlich deren Überprüfung beim Empfangen eines Bustelegramms. Damit können die Busteilnehmer in dem leitungs­ gebundenen Teil des Feldbussystems vollständig von den Aufgaben entlastet werden, die mit der Systemkennung verbunden sind. Der leitungsgebundene Teil des erfindungsgemäßen Feldbussystems kann daher grundsätzlich jedes bekannte Feldbussystem sein, das mit Hilfe des Signalwandlers um die drahtlosen Übertragungswege ergänzt wird. Darüber hinaus besitzt die Maßnahme den Vorteil, daß die Kommunikation in dem leitungsgebundenen Teil des Feld­ bussystems ohne die Systemkennung erfolgen kann, was eine höhe­ re Übertragungsgeschwindigkeit in diesem Bereich ermöglicht.

In einer weiteren Ausgestaltung weist der Signalwandler eine Filterstufe auf, die über den Funkkanal zu versendende Bustele­ gramme selektiert.

In dieser Ausgestaltung besitzt der Signalwandler die Fähig­ keit, nur diejenigen Bustelegramme über den Funkkanal zu über­ tragen, die für Busteilnehmer "auf der anderen Seite" des Funk­ kanals bestimmt sind. Bustelegramme, deren Adressaten nicht auf der anderen Seite des Funkkanals sitzen, werden nicht übertragen. Die Maßnahme besitzt den Vorteil, daß der Funkkanal von unnötigen Bustelegrammen entlastet wird, was eine insgesamt hö­ here Übertragungsgeschwindigkeit ermöglicht.

Es versteht sich, daß die vorstehend genannten und die nach­ stehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.

Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert. Es zeigen:

Fig. 1 ein erstes Ausführungsbeispiel der Erfindung, bei dem zwei typgleiche erfindungsgemäße Feldbussysteme räumlich benachbart zueinander angeordnet sind, und

Fig. 2 ein zweites Ausführungsbeispiel eines erfindungsge­ mäßen Feldbussystems.

In Fig. 1 sind zwei erfindungsgemäße Feldbussysteme in ihrer Gesamtheit mit den Bezugsziffern 10 bzw. 12 bezeichnet.

Jedes der beiden Feldbussysteme 10, 12 beinhaltet als Übertra­ gungsmedium einen Funkkanal 14 bzw. 16. Beispielhaft sind zu jedem Feldbussystem 10, 12 jeweils drei Busteilnehmer darge­ stellt, die mit den Bezugsziffern 18, 20, 22 bzw. 24, 26, 28 bezeichnet sind. Jeder der Busteilnehmer 18 bis 28 besitzt ein Busanschaltmodul 30 mit einer Antenne 32, die eine Schnittstel­ le zu den Funkkanälen 14 bzw. 16 bildet. Des weiteren weist je­ des Busanschaltmodul 30 eine Kommunikationseinheit 34 auf, in der ein Kommunikationsprotokoll implementiert ist. Schließlich beinhaltet jedes Busanschaltmodul 30 einen Kartenleser zum Aus­ lesen einer Chipkarte 36.

Auf den Chipkarten 36 ist jeweils ein individueller Datenwert sowie eine zugehörige Prüfsumme abgespeichert. Beide sind Bestandteil einer individuellen Systemkennung, die den Bussyste­ men 10 bzw. 12, genauer gesagt den jeweils zugehörigen Busteil­ nehmern 18 bis 22 bzw. 24 bis 28, zugeordnet sind.

Im Fall des Bussystems 10 ist der Datenwert schematisch mit der Bezugsziffer 38 und die Prüfsumme mit der Bezugsziffer 40 be­ zeichnet (stellvertretend für alle anderen Busteilnehmer beim Busteilnehmer 22 bezeichnet). Sämtlichen Busteilnehmern 18 bis 22 des Bussystems 10 sind der gleiche Datenwert 38 und die gleiche Prüfsumme 40 zugeordnet. Dies bedeutet, daß die Chip­ karten 36 bei allen Busteilnehmern 18 bis 22 gleich sind. Bei­ spielshaft sei hier angenommen, daß der Datenwert 38 bei allen Busteilnehmern 18 bis 22 "0815" ist.

Im Fall des Bussystems 12 ist der Datenwert schematisch mit der Bezugsziffer 42 und die Prüfsumme mit der Bezugsziffer 44 be­ zeichnet (stellvertretend für alle anderen Busteilnehmer beim Busteilnehmer 26 bezeichnet). Sämtlichen Busteilnehmern 24 bis 28 sind der gleiche Datenwert 42 und die gleiche Prüfsumme 44 zugeordnet. Beispielsweise lautet der Datenwert 42 hier für al­ le Busteilnehmer "4711".

Die Busteilnehmer 18 bis 28 sind hier jeweils sichere Busteil­ nehmer, und sie dienen zum Steuern sicherheitskritischer Pro­ zesse, wie beispielsweise der Überwachung von Not-Aus-Schaltern an einer komplexen Maschinenanlage. Dabei ist das Feldbussy­ stem 10 einer ersten Maschinenanlage (nicht dargestellt) zuge­ ordnet, während das Feldbussystem 12 einer zweiten, davon unab­ hängigen Maschinenanlage (ebenfalls nicht dargestellt) zugeord­ net ist. Die Maschinenanlagen sind beispielsweise nebeneinander angeordnete Fertigungsstraßen in einer gemeinsamen Produktions­ halle.

Die Busteilnehmer 18 bis 22 bzw. 24 bis 28 jedes Feldbussy­ stems 10, 12 kommunizieren miteinander über die Funkkanäle 14, 16. Dabei versendet der Busteilnehmer 18 in der in Fig. 1 dar­ gestellten Situation ein Bustelegramm 46, das von den Busteil­ nehmern 20 und 22 empfangen und ausgewertet werden kann. Das Bustelegramm 46 ist in dem dargestellten Ausführungsbeispiel am Ende seines Datenrahmens um den Datenwert 38 ("0815") sowie die Prüfsumme 40 ergänzt. Darüber hinaus erzeugt das Busanschaltmo­ dul 30 in dem hier gezeigten Ausführungsbeispiel ein definier­ tes Frequenzsignal 48, das gleichzeitig mit dem Bustelegramm 46 über den Funkkanal 14 übertragen wird. Das Frequenzsignal 48 bildet gemeinsam mit dem Datenwert 38 und der Prüfsumme 40 die individuelle Systemkennung des Feldbussystems 10, und es ermög­ licht somit eine in sich redundante Überprüfung jedes empfange­ nen Bustelegramms 46 darauf hin, ob dieses zum Feldbussystem 10 gehört.

In vergleichbarer Weise versendet der Busteilnehmer 26 des Feldbussystems 12 in der in Fig. 1 dargestellten Situation ein zweites Bustelegramm 50, an das der Datenwert 42 ("4711") und dessen Prüfsumme 44 angehängt sind. Ferner erzeugt das Busan­ schaltmodul 30 des Busteilnehmers 26 ein zweites Frequenzsi­ gnal 52, das sich von dem ersten Frequenzsignal 48 des Feldbus­ systems 10 unterscheidet. Das Frequenzsignal 52 bildet gemein­ sam mit dem Datenwert 42 und der Prüfsumme 44 die individuelle Systemkennung, die dem Feldbussystem 12 zugeordnet ist.

Wie bei Funkkanälen unvermeidlich, erreicht das von dem Bus­ teilnehmer 18 gesendete Funksignal auch den in räumlicher Nähe dazu angeordneten Busteilnehmer 24, was durch den Pfeil 54 schematisch angedeutet ist. Aufgrund der unterschiedlichen Sy­ stemkennungen, insbesondere der unterschiedlichen Datenwerte "0815" und "4711" sowie der unterschiedlichen Frequenzssignale 48 und 52, erkennt das Busanschaltmodul 30 des Busteilneh­ mers 24 jedoch, daß das empfangene Bustelegramm zu einem ande­ ren Feldbussystem, nämlich dem Feldbussystem 10, gehört. Das gemäß Pfeil 54 empfangene Bustelegramm wird daher in dem Bus­ teilnehmer 24 ignoriert. Dadurch ist auch bei den typgleichen Feldbussystemen 10 und 12, bei denen die Bustelegramme 46, 50 an sich aufgrund der identischen Kommunikationsprotokolle aus­ tauschbar sind, eine gegenseitige Beeinflussung ausgeschlossen.

Handelt es sich bei dem Bustelegramm 46 beispielsweise um einen Einschaltbefehl für die zugeordnete Maschinenanlage, so läßt dieser Einschaltbefehl die dem Feldbussystem 12 zugeordnete Ma­ schinenanlage unberührt. Die Feldbussysteme 10 bzw. 12 weisen daher die erforderliche Sicherheit zum Steuern sicherheitskri­ tischer Prozesse auf.

In einer bevorzugten Variante dieses Ausführungsbeispiels ar­ beiten die beiden Feldbussysteme 10 und 12 bei der Funkübertra­ gung mit unterschiedlichen Trägerfrequenzen. Die Trägerfrequen­ zen können dabei gleichzeitig die Funktion der unterschiedli­ chen Frequenzsignale 48, 52 beinhalten. Alternativ hierzu sind die unterschiedlichen Frequenzsignale 48, 52 jedoch nochmals eigene Signale, die auf die unterschiedlichen Trägerfrequenzen aufmoduliert sind. Einen ordnungsgemäßen Betrieb vorausgesetzt, kann das Feldbussystem 12 in beiden Fällen ein Bustelegramm 46 des Feldbussystems 10 gar nicht empfangen. Gleiches gilt umge­ kehrt. Sollte sich jedoch aufgrund eines Fehlers ein Bus­ telegramm trotzdem "verirren", beispielsweise aufgrund einer fehlerhaften Frequenzverschiebung oder aufgrund einer unbeab­ sichtigten Fehleinstellung der Trägerfrequenz nach einer War­ tungsmaßnahme, würde das fälschlicherweise empfangene Bustele­ gramm infolge der oben beschriebenen Maßnahmen ignoriert. Zu­ sätzlich wird in diesem bevorzugten Ausführungsbeispiel dann das gesamte Feldbussystem, das das falsche Bustelegramm empfan­ gen hat, in einen sicheren Fehlerzustand versetzt, beispiels­ weise abgeschaltet. Dadurch wird der aufgetretene Fehler signa­ lisiert und es wird eine sicherheitskritische Situation vermie­ den.

In Fig. 2 ist ein erfindungsgemäßes Feldbussystem in seiner Ge­ samtheit mit der Bezugsziffer 60 bezeichnet.

Das Feldbussystem 60 beinhaltet als Übertragungsmedium einen Funkkanal 62. Darüber hinaus besitzt es zwei Leitungsverbindun­ gen 64, 66, an die jeweils eine Vielzahl von Busteilnehmern 68, 70, 72, 74, 76 angeschlossen sind. Beispielsweise sind die Bus­ teilnehmer 68 und 70 jeweils Lichtschranken, die über ein ent­ sprechendes Busanschaltmodul (hier nicht dargestellt) verfügen. Der Busteilnehmer 72 ist ein sicheres E/A-Gerät, der Busteil­ nehmer 74 ist eine sichere Steuereinheit und der Busteilneh­ mer 76 wiederum ein sicheres E/A-Gerät. Sowohl die sichere Steuereinheit 74 als auch die E/A-Geräte verfügen über hier nicht dargestellte Busanschaltmodule. Das E/A-Gerät 72 ist über Ein- bzw. Ausgänge mit einem ersten sicherheitskritischen Pro­ zeß 78 und das E/A-Gerät 76 mit einem zweiten sicherheitskriti­ schen Prozeß 80 verbunden. Beispielsweise handelt es sich dabei um die Abschaltung von Teilbereichen einer komplexen Maschinen­ anlage, wobei die erfolgte Abschaltung über die Eingänge der E/A-Geräte 72, 76 an die sichere Steuereinheit 74 gemeldet wird.

Die Busteilnehmer 68 bis 72 sind über die Leitungsverbindung 64 zu einem ersten leitungsgebundenen Teilsystem 82 verbunden. Die Busteilnehmer 74, 76 sind über die Leitungsverbindung 66 zu ei­ nem zweiten leitungsgebundenen Teilsystem 84 verbunden. Die Teilsysteme 82, 84 sind für sich genommen leitungsgebundene Feldbussysteme der aus der eingangs genannten DE-Zeitschrift bekannten Art.

Mit den Bezugsziffern 86 bzw. 88 ist jeweils ein Signalwandler bezeichnet, der die Leitungsverbindungen 64, 66 mit dem Funkka­ nal 62 verbindet. Damit werden gleichzeitig die beiden Teilsy­ steme 82, 84 miteinander verbunden.

Jeder der beiden Signalwandler 86 besitzt ein Funkmodul 90, das Bustelegramme 92 über den Funkkanal 62 übertragen bzw. empfan­ gen kann. Die Funkmodule 90 sind an sich bekannte Standardmodu­ le, die für sich allein genommen nicht die erforderliche Feh­ lersicherheit im Sinne der europäischen Norm EN 954-1 aufwei­ sen.

Des weiteren besitzt jeder Signalwandler 86, 88 eine erste Si­ cherungsstufe 94, eine zweite Sicherungsstufe 96, eine Filter­ stufe 98 sowie eine Chipkarte 100.

In der ersten Sicherungsstufe 94 wird ein über den Funkkanal 62 zu versendendes Bustelegramm 92 mit einer individuellen Systemkennung 102 sowie einer zugehörigen Prüfsumme 104 versehen. Die Systemkennung 102 entnimmt die erste Sicherungsstufe 94 dabei der Chipkarte 100. Anschließend wird das gekennzeichnete Buste­ legramm an das Funkmodul 90 und von dort über den Funkkanal 62 übertragen. Die zweite Sicherungsstufe 96 überprüft beim Emp­ fangen des gekennzeichneten Bustelegramms 92 die angefügte Sy­ stemkennung 102 sowie deren Prüfsumme 104 darauf hin, ob das Bustelegramm 92 tatsächlich zu dem Feldbussystem 60 gehört. Nur wenn dies der Fall ist, wird das Bustelegramm 92 weiter verar­ beitet. Anderenfalls wird das Bustelegramm 92 verworfen. Damit wird verhindert, daß ein fremdes Bustelegramm zu einem der Bus­ teilnehmer 68 bis 76 weitergeleitet wird.

Die Filterstufe 98 selektiert Bustelegramme 92 dahingehend, ob sie an einen Empfänger auf der jeweils anderen Seite des Funk­ kanals 62 adressiert sind. Nur wenn dies der Fall ist, leitet die Filterstufe 98 das Bustelegramm 92 an die erste Sicherungs­ stufe 94 bzw. das Funkmodul 90 weiter. Auf diese Weise wird der Funkkanal 62 von unnötigem Telegrammverkehr entlastet.

In einem weiteren Ausführungsbeispiel wird das Bustelegramm 92 nur mit der Systemkennung 102, alternativ nur mit der Prüfsumme 104, ergänzt. Auch damit ist bereits eine eindeutige Identifi­ zierung der Bustelegramme auf der Empfängerseite möglich. In weiteren Ausführungsbeispielen wird als Systemkennung nur ein Frequenzsignal entsprechend dem ersten Ausführungsbeispiel ver­ wendet.

Claims (10)

1. Feldbussystem zum Steuern von sicherheitskritischen Pro­ zessen, mit einem Übertragungsmedium (14; 16) und mit ei­ ner Vielzahl von Busteilnehmern (18, 20, 22; 24, 26, 28), die mit dem Übertragungsmedium (14; 16) verbunden sind, wobei die Busteilnehmer (18, 20, 22; 24, 26, 28) zur Kom­ munikation miteinander Bustelegramme (46; 50) über das Übertragungsmedium (14; 16) versenden können, ferner mit einem definierten Kommunikationsprotokoll (34), das Regeln für das Versenden und Empfangen von Bustelegrammen (46; 50) vorgibt, dadurch gekennzeichnet, daß das Übertragungs­ medium einen Funkkanal (14; 16) aufweist und daß das Kom­ munikationsprotokoll (34) eine individuelle Systemkennung (38, 40, 48; 42, 44, 52) beinhaltet, die zumindest mit je­ dem über den Funkkanal (14; 16) versendeten Bustelegramm (46; 50) verbunden ist, wobei jeder Busteilnehmer ein wechselbares Speichermedium (36) aufweist, auf dem die Sy­ stemkennung (38, 40, 48; 42, 44, 52) nicht-flüchtig abge­ speichert ist.

2. Feldbussystem nach Anspruch 1, dadurch gekennzeichnet, daß die individuelle Systemkennung (38, 40, 48; 42, 44, 52) in sich redundant ist.

3. Feldbussystem nach Anspruch 1 oder 2, dadurch gekennzeich­ net, daß die individuelle Systemkennung ein definiertes Frequenzsignal (48; 52) beinhaltet, das mit dem Bustele­ gramm (46; 50) über den Funkkanal (14; 16) übertragen wird.

4. Feldbussystem nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die individuelle Systemkennung einen Datenwert (38; 42) beinhaltet, der als Bestandteil des Bustelegramms (46; 50) versendet wird.

5. Feldbussystem nach Anspruch 4, dadurch gekennzeichnet, daß der Datenwert (38; 42) eigenständig gegen Datenfehler ab­ gesichert ist.

6. Feldbussystem zum Steuern von sicherheitskritischen Pro­ zessen (78, 80), mit einem Übertragungsmedium (62, 64, 66) und mit einer Vielzahl von Busteilnehmern (68-76), die mit dem Übertragungsmedium (62, 64, 66) verbunden sind, wobei die Busteilnehmer (68-76) zur Kommunikation mit­ einander Bustelegramme (92) über das Übertragungsmedium (62, 64, 66) versenden können, ferner mit einem definier­ ten Kommunikationsprotokoll, das Regeln für das Versenden und Empfangen von Bustelegrammen (92) vorgibt, dadurch ge­ kennzeichnet, daß das Übertragungsmedium einen Funkkanal (62) aufweist und daß das Kommunikationsprotokoll eine in­ dividuelle Systemkennung (102) beinhaltet, die zumindest mit jedem über den Funkkanal (62) versendeten Bustelegramm (92) verbunden ist, daß das Übertragungsmedium ferner eine Leitungsverbindung (64, 66) aufweist, die mit dem Funkka­ nal (62) über einen Signalwandler (86, 88) verbunden ist, und daß der Signalwandler (86, 88) ein wechselbares Speichermedium (100) aufweist, auf dem die Systemkennung (102) nicht-flüchtig abgespeichert ist.

7. Feldbussystem nach Anspruch 6, dadurch gekennzeichnet, daß der Signalwandler (86, 88) eine erste Sicherungsstufe (94) aufweist, die ein über den Funkkanal (62) zu versendendes Bustelegramm (92) mit der Systemkennung (102) verbindet.

8. Feldbussystem nach Anspruch 6 oder 7, dadurch gekennzeich­ net, daß der Signalwandler (86, 88) eine zweite Siche­ rungsstufe (96) aufweist, die die Systemkennung (102) ei­ nes über den Funkkanal (62) empfangenen Bustelegramms (92) überprüft.

9. Feldbussystem nach einem der Ansprüche 6 bis 8, dadurch gekennzeichnet, daß der Signalwandler (86, 88) eine Fil­ terstufe (98) aufweist, die über den Funkkanal (62) zu versendende Bustelegramme (92) selektiert.

10. Busanschaltmodul zur Verwendung in einem Feldbussystem nach einem der Ansprüche 1 bis 9, mit einer ersten Schnittstelle (32) zur Verbindung mit einem Übertragungs­ medium (14; 16; 62) und mit einer Kommunikationseinheit (34), in der ein Kommunikationsprotokoll implementiert ist, dadurch gekennzeichnet, daß die erste Schnittstelle (32) eine Funkschnittstelle ist, daß das implementierte Kommunikationsprotokoll eine individuelle Systemkennung (38, 40, 48; 42, 44, 52; 102) beinhaltet, die mit einem zu versendenden Bustelegramm (46; 50; 92) verbunden ist, und daß das Busanschaltmodul ferner eine zweite Schnittstelle für ein wechselbares Speichermedium (36; 100) aufweist, auf dem die individuelle Systemkennung (38, 40, 48; 42, 44, 52; 102) nicht-flüchtig abgespeichert ist.