DE10108962A1 - Verfahren und Vorrichtung zum Programmieren einer Sicherheitssteuerung - Google Patents

Abstract

Die vorliegende Erfindung betrifft ein Verfahren zum Programmieren einer Sicherheitssteuerung, mit den Schritten: DOLLAR A - Festlegen von logischen Verknüpfungen zwischen Eingangssignalen der Sicherheitssteuerung und DOLLAR A - Zuordnen von Verknüpfungsprodukten (M4, M5) zu Ausgangssignalen der Sicherheitssteuerung. DOLLAR A Dabei erfolgt das Festlegen der Verknüpfungen und das Zuordnen anhand vordefinierter funktionsspezifischer Programmodule (62-72, 76-80), die aus einer Menge (60) derartiger Programmodule ausgewählt werden. Die Erfindung ist dadurch gekennzeichnet, daß jedes ausgewählte Programmodul (76, 78, 70) eindeutig einer definierten Funktionsgruppe (54, 56, 58) zugeordnet wird, wobei eine erste Funktionsgruppe (54) Programmodule (76) enthält, die Eingangssignale der Sicherheitssteuerung aufnehmen und in Abhängigkeit davon erste Zwischengrößen (M1, M2, M3) bereitstellen, wobei eine zweite Funktionsgruppe (56) Programmodule (78) enthält, die die ersten Zwischengrößen (M1, M2, M3) logisch miteinander verknüpfen und in Abhängigkeit davon zweite Zwischengrößen (M4, M5) bereitstellen, und wobei eine dritte Funktionsgruppe (58) Programmodule (80) enthält, die die zweiten Zwischengrößen (M4, M5) den Ausgangssignalen der Sicherheitssteuerung zuordnen. Die Erfindung betrifft ferner eine entsprechende Vorrichtung sowie entsprechende Computerprogramme.

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Program­ mieren einer Sicherheitssteuerung, mit den Schritten:

• - Festlegen von logischen Verknüpfungen zwischen Eingangs­ signalen der Sicherheitssteuerung und
• - Zuordnen von Verknüpfungsprodukten zu Ausgangssignalen der Sicherheitssteuerung,

wobei das Festlegen der Verknüpfungen und das Zuordnen anhand vordefinierter funktionsspezifischer Programmodule erfolgt, die aus einer Menge derartiger Programmodule ausgewählt werden.

Die Erfindung betrifft des weiteren eine Vorrichtung zum Pro­ grammieren einer Sicherheitssteuerung, mit ersten Mitteln zum Auswählen und Parametrieren vordefinierter funktionsspezifi­ scher Programmodule, mit deren Hilfe logische Verknüpfungen zwischen Eingangssignalen der Sicherheitssteuerung festgelegt und Verknüpfungsprodukte zu Ausgangssignalen der Sicherheits­ steuerung zugeordnet werden können.

Ein Verfahren und eine Vorrichtung der genannten Art sind aus der WO 98/44399 bekannt.

Eine Sicherheitssteuerung im Sinne der vorliegenden Erfindung ist ein Gerät oder eine Vorrichtung, das bzw. die von Sensoren gelieferte Eingangssignale aufnimmt und daraus durch logische Verknüpfungen und unter Umständen weitere Signal- oder Daten­ verarbeitungsschritte Ausgangssignale erzeugt. Die Ausgangs­ signale können dann Aktuatoren zugeführt werden, die dann in Abhängigkeit von den Eingangssignalen gezielte Aktionen oder Reaktionen in der Umgebung bewirken. Ein bevorzugtes Anwen­ dungsgebiet für derartige Sicherheitssteuerungen ist im Bereich der Maschinensicherheit die Überwachung von Not-Aus-Tastern, Zwei-Hand-Steuerungen, Schutztüren oder Lichtgittern. Derartige Sensoren werden verwendet, um beispielsweise eine Maschine, von der im Betrieb eine Gefahr für Menschen oder materielle Güter ausgeht, abzusichern. Beim Öffnen der Schutztür oder beim Betä­ tigen des Not-Aus-Tasters wird jeweils ein Signal erzeugt, das der Sicherheitssteuerung als Eingangssignal zugeführt ist. In Reaktion darauf schaltet die Sicherheitssteuerung dann bei­ spielsweise mit Hilfe eines Aktuators den gefahrbringenden Teil der Maschine ab.

Charakteristisch an einer Sicherheitssteuerung ist im Gegensatz zu einer "normalen" Steuerung, daß die Sicherheitssteuerung selbst dann, wenn bei ihr oder einem mit ihr verbundenen Gerät eine Fehlfunktion auftritt, stets einen sicheren Zustand der gefahrbringenden Anlage oder Maschine gewährleisten muß. Daher werden bei Sicherheitssteuerungen extrem hohe Anforderungen an die eigene Fehlersicherheit gestellt, was einen erheblichen Aufwand bei der Entwicklung und Herstellung zur Folge hat. In der Regel benötigen Sicherheitssteuerungen vor ihrer Verwendung eine besondere Zulassung durch zuständige Aufsichtsbehörden, wie beispielsweise in Deutschland durch die Berufsgenossen­ schaften oder den TÜV. Die Sicherheitssteuerung muß dabei vor­ gegebene Sicherheitsstandards einhalten, die beispielsweise in der europäischen Norm EN 954-1 niedergelegt sind. Im folgenden wird daher unter einer Sicherheitssteuerung ein Gerät bzw. eine Vorrichtung verstanden, die zumindest die Sicherheitskategorie 3 der genannten europäischen Norm erfüllt.

Eine programmierbare Sicherheitssteuerung bietet dem Anwender die Möglichkeit, die logischen Verknüpfungen und gegebenenfalls weiteren Signal- oder Datenverarbeitungsschritte mit Hilfe einer Software, dem sogenannten Anwenderprogramm, seinen Be­ dürfnissen entsprechend individuell festzulegen. Daraus resul­ tiert eine große Flexibilität im Vergleich zu früheren Lösun­ gen, bei denen die logischen Verknüpfungen durch eine definier­ te Verdrahtung zwischen verschiedenen Sicherheitsbausteinen er­ zeugt wurden. Ein Problem bei der Programmierung einer Sicher­ heitssteuerung besteht jedoch darin, daß das zu erstellende An­ wenderprogramm selbst ein sicherheitskritisches Element ist, da ein Fehler in dem Anwenderprogramm eine unkontrollierte Situa­ tion und damit einen gefährlichen Zustand bei der überwachten Maschine oder Anlage hervorrufen kann. Hinzu kommt, daß das Anwenderprogramm bei der Überwachung einer großen Maschinenanlage mit vielen Sicherheitseinrichtungen sehr komplex und unüber­ sichtlich werden kann, was die Gewährleistung der erforderli­ chen Fehlersicherheit erheblich erschwert. Dabei können folgen­ schwere Fehler in dem Anwenderprogramm nicht nur durch mensch­ liches Versagen bei der Programmierung, sondern auch durch nicht-fehlersichere Programmierhilfsmittel verursacht werden. Wenn beispielsweise das Anwenderprogramm für die Sicherheits­ steuerung mit Hilfe eines nicht-fehlersicheren, handelsüblichen Personal Computers (PC) erstellt wird, könnten Speicherfehler des PC unbemerkt zu einer folgenschweren Verfälschung des An­ wenderprogramms führen.

In der eingangs genannten WO 98/44399 ist ein Verfahren be­ schrieben, wie mit einem handelsüblichen PC ein sicherheits­ gerichtetes Steuerungssystem, d. h. eine Sicherheitssteuerung, programmiert werden kann. Dazu sind in der Sicherheitssteuerung funktionsspezifische Programmodule in Form von sogenannten Software-Makros abgelegt. Zur Erstellung des Anwenderprogramms erzeugt der Anwender mit Hilfe des PCs Programmodul-Funktions­ aufrufe, die anschließend an die Sicherheitssteuerung übertra­ gen werden. Mit Hilfe der Programmodul-Funktionsaufrufe werden die benötigten Programmodule in der Sicherheitssteuerung aufge­ rufen und zu dem eigentlichen Anwenderprogramm zusammenge­ stellt. Das Programmiergerät, d. h. der PC, dient lediglich da­ zu, die benötigten Programmodule auszuwählen und zusammenzu­ stellen. Die Programmodule selbst können so nicht verändert werden, und somit kann der PC auch keinen Einfluß darauf aus­ üben.

Das bekannte Verfahren vereinfacht die Programmierung einer Si­ cherheitssteuerung. Zudem wird eine gewisse Sicherheit zusätz­ lich dadurch erreicht, daß die an die Sicherheitssteuerung übertragenen Programmodul-Funktionsaufrufe in das Programmier­ gerät zurückgelesen werden und dort vom Anwender rückbestätigt werden müssen. Das bekannte Verfahren ist jedoch im Hinblick auf die Fehlersicherheit beim Erstellen eines Anwenderprogramms noch nicht optimal.

Es ist daher eine Aufgabe der vorliegenden Erfindung, ein Ver­ fahren und eine Vorrichtung der eingangs genannten Art weiter­ zubilden, um eine noch höhere Fehlersicherheit beim Programmie­ ren der Sicherheitssteuerung zu erreichen.

Diese Aufgabe wird bei dem eingangs genannten Verfahren dadurch gelöst, daß jedes ausgewählte Programmodul eindeutig einer de­ finierten Funktionsgruppe zugeordnet wird, wobei eine erste Funktionsgruppe Programmodule enthält, die Eingangssignale der Sicherheitssteuerung aufnehmen und in Abhängigkeit davon erste Zwischengrößen bereitstellen, wobei eine zweite Funktionsgruppe Programmodule enthält, die die ersten Zwischengrößen logisch miteinander verknüpfen und in Abhängigkeit davon zweite Zwi­ schengrößen bereitstellen, und wobei eine dritte Funktions­ gruppe Programmodule enthält, die die zweiten Zwischengrößen den Ausgangssignalen der Sicherheitssteuerung zuordnen.

Die Aufgabe wird bei einer Vorrichtung der eingangs genannten Art dadurch gelöst, daß weitere Mittel vorhanden sind, die ein ausgewähltes Programmodul eindeutig einer entsprechend defi­ nierten Funktionsgruppe zuordnen.

Die hiernach zwingende Zuordnung eines ausgewählten Programmo­ duls zu einer der definierten Funktionsgruppen bewirkt eine sehr übersichtliche und strukturierte Programmierung der Si­ cherheitssteuerung. Dies hat zur Folge, daß Fehlermöglichkeiten beim Programmieren reduziert werden. Bei einer unstrukturierten Programmierung ist es beispielsweise möglich, daß unerkannte Rückwirkungen zwischen verschiedenen Teilen des erzeugten An­ wenderprogramms gebildet werden. Solche Rückwirkungen können zu Laufzeitproblemen oder sogar zu "Schwingungen" führen, die ei­ nen instabilen und gefährlichen Zustand zur Folge haben. Diese Fehlerquellen werden durch die hier vorgeschlagene, erzwungene Strukturierung beim Programmieren erheblich reduziert, wenn nicht gar vollständig vermieden. Des weiteren vereinfacht sich aufgrund der übersichtlichen und einheitlichen Struktur auch eine Plausibilitätsprüfung des erstellten Anwenderprogramms. Bspw. ist nunmehr leichter und damit auch zuverlässiger zu überprüfen, ob ein Programmodul aus der ersten Funktionsgruppe nur über eine eindeutige Zwischengröße einem Logikmodul aus der zweiten Funktionsgruppe zugewiesen ist.

Darüber hinaus läßt sich ein erfindungsgemäß strukturiertes Programm leichter warten, d. h. nachträglich verändern oder er­ weitern, wodurch Fehlerquellen auch bei derartigen Tätigkeiten reduziert sind. Ferner führt die vorgegebene Struktur auch beim Programmieren selbst zu einer größeren Übersichtlichkeit, wo­ durch die Gefahr menschlicher Fehler, wie beispielsweise das Vergessen einzelner erforderlicher Verknüpfungen, ebenfalls re­ duziert wird.

Das Programmieren wird durch die Aufgliederung in die definier­ ten Funktionsgruppen insgesamt übersichtlicher und damit sogar auch komfortabler. Gleichzeitig kann ein großer Vorteil des be­ kannten Verfahrens, daß nämlich der Programmierer beim Erstel­ len des Anwenderprogramms nur noch auf vorgefertigte Programmo­ dule zurückgreift, in vollem Umfang beibehalten werden. Das An­ wenderprogramm wird dabei ausschließlich aus überprüften, feh­ lersicheren Programmodulen zusammengestellt, was Fehlerquellen ebenfalls reduziert.

In einer bevorzugten Ausgestaltung der Erfindung wird jedes Programmodul genau einer von insgesamt drei definierten Funkti­ onsgruppen zugeordnet.

In dieser Ausgestaltung ist die Struktur beim Programmieren in exakt drei Ebenen aufgeteilt. Dies entspricht der natürlichen Grundstruktur der zu erstellenden Anwenderprogramme, bei denen zunächst Eingangssignale aufgenommen werden (erste Ebene), an­ schließend die aufgenommenen Signale verarbeitet werden (zweite Ebene) und schließlich die Verarbeitungsergebnisse nach außen abgegeben werden, um Aktionen auszulösen (dritte Ebene). In dieser Ausgestaltung ist die Programmierstruktur daher optimal an die Gegebenheiten angepaßt und daher besonders einfach und übersichtlich. Die Gefahr von Fehlern beim Programmieren ist daher noch weiter reduziert.

In einer weiteren Ausgestaltung der Erfindung wertet jedes Pro­ grammodul der ersten Funktionsgruppe eine definierte Signal­ quelle fehlersicher aus.

Definierte Signalquellen in diesem Sinne sind beispielsweise Not-Aus-Taster, Schutztüren und jegliche anderen Sensoren, die sicherheitsrelevante Signale liefern. Die Programmodule der ersten Funktionsgruppe werten diese Sensoren eigenständig aus und liefern daher als erste Zwischengröße eine fehlersichere Infor­ mation darüber, in welchem Zustand sich der entsprechende Sen­ sor befindet. Die Maßnahme besitzt den Vorteil, daß die erste Zwischengröße eine "physikalische" Bedeutung besitzt, die für den Programmierer des Anwenderprogramms sehr gut nachvollzieh­ bar ist. Daher wird die Struktur beim Programmieren besonders anschaulich, wodurch Fehlerquellen weiter verringert sind.

In einer weiteren Ausgestaltung der Erfindung wird beim Auswäh­ len eines jeden Programmoduls ein Programmodul-Funktionsaufruf generiert und in einer Ablauftabelle abgespeichert.

Diese Ausgestaltung der Erfindung ermöglicht es, vorbereitete und zertifizierte Programmodule stationär in der Sicherheits­ steuerung abzulegen. Das vom Programmierer mit Hilfe seines Programmiergerätes erstellte Anwenderprogramm kann sich dann auf eine Aneinanderreihung von Programmodul-Funktionsaufrufen beschränken. Ein solches Anwenderprogramm benötigt vergleichs­ weise wenig Speicherplatz und kann somit einfach und schnell an die Sicherheitssteuerung übertragen werden. Es kann auch leich­ ter überprüft werden. Zudem sind die Programmodule als wesent­ liche sicherheitskritische Elemente dem Zugriff des Programmie­ rers entzogen. Insgesamt wird hierdurch sowohl der Komfort als auch die Fehlersicherheit beim Programmieren weiter verbessert.

In einer weiteren Ausgestaltung der zuvor genannten Maßnahme werden die Programmodul-Funktionsaufrufe nach den Funktions­ gruppen getrennt in der Ablauftabelle gespeichert.

Diese Maßnahme besitzt den Vorteil, daß sich die erfindungs­ gemäße Struktur nicht nur beim Programmieren selbst, sondern auch in dem dabei erzeugten Anwenderprogramm niederschlägt. In­ folge dessen beinhaltet das erzeugte Anwenderprogramm selbst weniger Fehlerquellen, wodurch die Fehlersicherheit weiter ver­ bessert ist.

In einer weiteren Ausgestaltung der zuvor genannten Maßnahme werden die Programmodul-Funktionsaufrufe in der Reihenfolge der Funktionsgruppen abgespeichert.

In dieser Ausgestaltung werden somit zunächst sämtliche Pro­ grammodul-Funktionsaufrufe der ersten Funktionsgruppe, an­ schließend die der zweiten und zuletzt die der dritten Funkti­ onsgruppe abgespeichert. Die Maßnahme besitzt den Vorteil, daß die Reihenfolge der Programmodul-Funktionsaufrufe bereits bei der Erstellung des Anwenderprogramms einen optimalen zeitlichen Ablauf implementiert, der die Fehlersicherheit weiter erhöht.

In einer weiteren Ausgestaltung der Erfindung werden die Pro­ grammodule mittels graphischer Symbole auf einer graphischen Benutzeroberfläche dargestellt.

Aufgrund dieser Maßnahme ist es möglich, den eigentlichen Vor­ gang des Programmierens besonders anschaulich und übersichtlich zu gestalten, wodurch Fehlerquellen aufgrund menschlichen Ver­ sagens oder Flüchtigkeit erheblich reduziert werden. Die Feh­ lersicherheit wird nochmals erheblich gesteigert.

In einer weiteren Ausgestaltung der zuvor genannten Maßnahme werden die Programmodule mittels einer Drag & Drop-Funktion ausgewählt.

Eine Drag & Drop-Funktion ist an sich bereits von graphischen Benutzeroberflächen handelsüblicher PCs bekannt. Hierbei wird ein Element mit einem Eingabegerät, beispielsweise mit Hilfe einer sogenannten Maus, markiert und sodann mit Hilfe des Ein­ gabegerätes an eine gewünschte Stelle verschoben oder kopiert. Eine solche Art der Auswahl ist für den Programmierer sehr ein­ fach und komfortabel. Infolgedessen sind Fehlbedienungen und sich daraus ergebende Fehlerquellen beim Programmieren weiter erheblich reduziert.

In einer weiteren Ausgestaltung der Erfindung werden auch die Funktionsgruppen mittels graphischer Symbole auf einer graphi­ schen Benutzeroberfläche dargestellt.

Auch mit dieser Maßnahme wird die Anschaulichkeit und Über­ sichtlichkeit beim Programmieren erheblich verbessert, da dem Programmierer die erfindungsgemäße Struktur unmittelbar visua­ lisiert wird. Die Gefahr von Fehlern ist aufgrund der damit un­ mittelbar möglichen optischen Kontrolle weiter reduziert.

In einer weiteren Ausgestaltung des erfindungsgemäßen Verfah­ rens wird die Darstellung eines ausgewählten Programmoduls auf der Benutzeroberfläche aus einem abgespeicherten, zugehörigen Programmodul-Funktionsaufruf generiert. Die entsprechende er­ findungsgemäße Vorrichtung weist daher einen Speicher zum Ab­ speichern eines Programmodul-Funktionsaufrufs in Abhängigkeit von einem ausgewählten Programmodul sowie eine Anzeigeeinheit auf, die in Abhängigkeit von dem abgespeicherten Programmodul- Funktionsaufruf eine Darstellung des ausgewählten Programmoduls generiert.

In dieser Ausgestaltung der Erfindung wird ein ausgewähltes Programmodul auf der Benutzeroberfläche erst nach einem Umweg visualisiert. Zunächst wird der zugehörige Programmodul- Funktionsaufruf abgespeichert, und zwar in dem Format, in dem er später der Sicherheitssteuerung zugeführt wird. Erst an­ schließend wird die Darstellung des ausgewählten Programmoduls aus dem abgespeicherten Programmodul-Funktionsaufruf generiert. Der Programmierer erhält daher stets eine Visualisierung der tatsächlich abgespeicherten Programmodul-Funktionsaufrufe und kann somit unmittelbar erkennen, ob die Abspeicherung mit sei­ ner Vorgabe übereinstimmt. Die Kontrolle der abgespeicherten Programmodul-Funktionsaufrufe erfolgt hier somit direkt bei der Auswahl, wodurch Fehler beim Programmieren nochmals erheblich reduziert sind. Zudem können weitere Kontrollen der abgespei­ cherten Programmodul-Funktionsaufrufe entfallen, wodurch die Programmierung bei einer hohen Fehlersicherheit insgesamt sehr einfach und komfortabel möglich ist.

Darüber hinaus besitzt die Maßnahme den Vorteil, daß der Pro­ grammierer das erstellte Anwenderprogramm sehr einfach gra­ phisch dokumentieren kann. Daher ist die spätere Pflege des An­ wenderprogramms sehr einfacher und fehlersicher möglich.

Es versteht sich, daß die vorstehend genannten und die nach­ stehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.

Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert. Es zeigen:

Fig. 1 eine schematische Darstellung einer erfindungsgemä­ ßen Vorrichtung in Verbindung mit einer zu program­ mierenden Sicherheitssteuerung und

Fig. 2 eine vereinfachte Darstellung einer graphischen Be­ nutzeroberfläche zum Programmieren einer Sicher­ heitssteuerung.

In Fig. 1 ist eine erfindungsgemäße Vorrichtung in ihrer Ge­ samtheit mit der Bezugsziffer 10 bezeichnet.

Die Vorrichtung 10 beinhaltet einen herkömmlichen PC 12 mit einem Monitor 14, auf dem ein Computerprogramm 16 ausgeführt wird. Das Computerprogramm 16 ermöglicht die Erstellung eines Anwenderprogramms für eine Sicherheitssteuerung. Es wird in der Fachterminologie daher häufig auch als Programmiertool bezeich­ net.

Die zu programmierende Sicherheitssteuerung ist in Fig. 1 mit der Bezugsziffer 18 bezeichnet. Sie ist zweikanalig-redundant aufgebaut, um die erforderliche Fehlersicherheit zum Steuern sicherheitskritischer Prozesse zu erreichen. Stellvertretend für den zweikanaligen Aufbau sind in Fig. 1 zwei voneinander getrennte Prozessoren 20, 22 dargestellt, die über eine bidirektionale Kommunikationsschnittstelle 24 miteinander in Ver­ bindung stehen, um sich gegenseitig kontrollieren und Daten austauschen zu können. Bevorzugt sind die beiden Kanäle der Sicherheitssteuerung 18 und die beiden Prozessoren 20, 22 di­ versitär, d. h. verschieden voneinander aufgebaut, um systemati­ sche Fehler weitgehend auszuschließen.

Mit der Bezugsziffer 26 ist eine Ein-/Ausgabeeinheit bezeich­ net, die mit jedem der beiden Prozessoren 20, 22 in Verbindung steht. Die Ein-/Ausgabeeinheit nimmt Eingangssignale 28 von ex­ ternen Sensoren 30 auf und leitet diese in einem angepaßten Da­ tenformat an jeden der beiden Prozessoren 20, 22 weiter. Ferner erzeugt die Ein-/Ausgabeeinheit in Abhängigkeit von den Prozes­ soren 20, 22 Ausgangssignale 32, mit denen Aktuatoren 34 ange­ steuert werden. Bei den Sensoren 30 handelt es sich beispiels­ weise um Not-Aus-Taster, Zwei-Hand-Steuerungen, Schutztüren, Drehzahlüberwachungsgeräte oder andere Sensoren zur Aufnahme sicherheitsrelevanter Parameter. Die Aktuatoren 34 sind bei­ spielsweise sogenannte Schütze, mit denen die Stromversorgung eines Antriebes oder einer kompletten Maschine abgeschaltet werden kann.

Mit der Bezugsziffer 36 ist eine Chipkarte bezeichnet, auf der ein Anwenderprogramm 38 abgespeichert wird. Das Anwender­ programm 38 wird mit Hilfe der Vorrichtung 10 erstellt, und es legt die von der Sicherheitssteuerung 18 durchzuführenden Steuerungsaufgaben fest. Die Verwendung einer Chipkarte 36 als Speichermedium ermöglicht dabei einen einfachen Austausch des Anwenderprogramms 38 auch ohne direkten Anschluß an die Vor­ richtung 10. Alternativ hierzu kann das Anwenderprogramm 38 auch in einem fest in der Sicherheitssteuerung 18 eingebauten Speicher, beispielsweise einem EEPROM, abgespeichert sein.

Das Computerprogramm 16 stellt auf dem Monitor 14 des PCs 12 eine nachfolgend näher erläuterte Benutzeroberfläche bereit. Die Benutzeroberfläche ermöglicht einem Programmierer die Aus­ wahl und Parametrierung vordefinierter funktionsspezifischer Programmodule, die ihrerseits fest in der Sicherheitssteuerung 18 abgespeichert sind. Der Programmierer kann die einzelnen Programmodule jedoch nur auswählen und miteinander kombinieren, er kann sie nicht selbst verändern.

Die Auswahl und Parametrierung der vordefinierten Programmodule ist in Fig. 1 durch einen Funktionsblock 40 symbolisiert. Nach­ dem der Programmierer ein gewünschtes Programmodul ausgewählt und gegebenenfalls parametriert hat, wird dieses in einem Spei­ cher 42 des PCs abgespeichert, und zwar im Format der Sicher­ heitssteuerung 18. "Im Format der Sicherheitssteuerung" bedeu­ tet dabei, daß ein Programmodul-Funktionsaufruf generiert und abgespeichert wird, der in dieser Form später auch der Chipkar­ te 36 zugeführt wird. Der abgespeicherte Programmodul- Funktionsaufruf stellt einen Programmbefehl im Anwenderprogramm 38 dar.

Gemäß dem hier dargestellten Ausführungsbeispiel erzeugt das Computerprogramm 16 mit Hilfe des Funktionsblocks 44 aus dem abgespeicherten Programmodul-Funktionsaufruf eine symbolische Darstellung des entsprechenden, zugehörigen Programmoduls auf der Benutzeroberfläche des PCs 12. Für den Programmierer bedeu­ tet dies, daß er in der nachfolgend näher erläuterten Art und Weise ein Programmodul auswählt, und allein aus der Tatsache, daß ihm die gewünschte Auswahl visualisiert wird, folgt, daß der richtige zugehörige Programmodul-Funktionsaufruf in dem Speicher 42 abgespeichert wurde.

Wenn der Programmierer sämtliche für sein Anwenderprogramm be­ nötigten Programmodule ausgewählt und gegebenenfalls parame­ triert hat, liegt das vollständige Anwenderprogramm in dem Speicher 42. Bevorzugt wird es dort zusätzlich mit einer CRC (Cyclic Redundancy Check) abgesichert. Von dem Speicher 42 aus kann das Anwenderprogramm dann mit dem Funktionsblock 46 in an sich bekannter Weise auf die Chipkarte 36 übertragen werden. Durch die Absicherung mit der CRC wird dabei sichergestellt, daß das auf der Chipkarte 36 abgespeicherte Anwenderprogramm exakt mit dem zuvor generierten und im Speicher 42 abgelegten Anwenderprogramm übereinstimmt.

Die Chipkarte 36 kann bei der Übertragung in der Sicherheits­ steuerung 18 eingesteckt sein, was eine entsprechende Kommuni­ kationsverbindung zwischen dem PC 12 und der Sicherheits­ steuerung 18 erfordert. Alternativ kann die Chipkarte 36 auch über ein an sich bekanntes Ladegerät (hier nicht dargestellt) mit dem Anwenderprogramm 38 beschrieben werden. Die Sicher­ heitssteuerung 18 wird dann durch einfaches Einstecken der be­ schriebenen Chipkarte 36 mit dem Anwenderprogramm 38 versorgt.

Gemäß einem weiteren bevorzugten Ausführungsbeispiel der Erfin­ dung arbeiten die beiden Prozessoren 20, 22 das Anwenderpro­ gramm 38 diversitär ab. Dies kann beispielsweise mit Hilfe an sich funktionsgleicher, jedoch unterschiedlicher Programmodule geschehen, die durch einen einheitlichen Programmodul-Funk­ tionsaufruf aktiviert werden. Ein Vergleich der jeweiligen Ergebnisse zwischen den beiden Prozessoren 20, 22 ermöglicht dann eine fehlersichere Überprüfung des Anwenderprogramms 38. Auf diese Weise ist es möglich, ein Anwenderprogramm 38 fehlersi­ cher gestalten, ohne sämtliche denkbaren Kombinationen der zur Verfügung stehenden Programmodule einzeln zu überprüfen.

In Fig. 2 ist eine graphische Benutzeroberfläche, die das Com­ puterprogramm 16 dem Programmierer auf dem Monitor 14 bereit­ stellt, in ihrer Gesamtheit mit der Bezugsziffer 50 bezeichnet.

Die Benutzeroberfläche 50 beinhaltet ein Programmierfeld 52, das gemäß dem hier dargestellten, bevorzugten Ausführungs­ beispiel der Erfindung graphisch in drei getrennte Funktions­ gruppen 54, 56, 58 gegliedert ist. Außerhalb des Programmier­ feldes 52 ist eine Menge 60 auswählbarer Programmodule 62, 64, 66, 68, 70, 72 in Form von graphischen Symbolen dargestellt. Die Auswahl eines dieser Programmodule erfolgt, indem man das entsprechende Symbol mit Hilfe einer Drag & Drop-Funktion in die dafür vorgesehene Funktionsgruppe des Programmierfeldes 52 bewegt, wie dies anhand eines Pfeils 74 beispielhaft darge­ stellt ist. Auf diese Weise ausgewählte Programmodule sind bei­ spielhaft mit den Bezugsziffern 76, 78, 80 bezeichnet.

Die zur Auswahl stehenden Programmodule 62-72 lassen sich grob in drei verschiedene Typen einteilen, die den drei definierten Funktionsgruppen 54, 56, 58 entsprechen. Die Funktionsgruppe 54 nimmt Programmodule 62-68 auf, die jeweils eine definierte Si­ gnalquelle, d. h. einen definierten Sensor 30, eigenständig feh­ lersicher auswerten. Die Programmodule 62-68 werden dementspre­ chend auch als Sensor-Module bezeichnet. Jedes Sensor-Modul 62-68 ist an einen bestimmten Sensortyp angepaßt, wie beispielsweise an einen Not-Aus-Taster, eine Schutztür oder eine Zwei- Hand-Steuerung. Bei dem Sensor-Modul 62 handelt es sich bei­ spielsweise um ein Programmodul zur fehlersicheren Auswertung einer Signalquelle mit zwei redundanten Schließerkontakten und mit überwachtem Start. Sensor-Modul 64 dient beispielsweise zur fehlersicheren Auswertung einer Signalquelle mit einem Schlie­ ßer- und einem Öffnerkontakt sowie mit nicht-überwachtem Start. Sensor-Modul 66 dient beispielsweise zur Auswertung einer Si­ gnalquelle mit nur einem Öffnerkontakt. Weitere Sensor-Module 68 dienen zur Auswertung von Signalquellen mit Halbleiteraus­ gängen, wie beispielsweise Lichtschranken. Insgesamt beinhaltet die Menge 60 Sensor-Module für alle in Betracht kommenden Sen­ soren 30.

Die Sensor-Module 62-68, die der ersten Funktionsgruppe 54 zu­ geordnet werden können, erhalten als Eingangsparameter die Ein­ gangssignale 28 der Sensoren 30. Als Übergabeparameter stellen sie erste Zwischengrößen bereit, die in der Fachterminologie als Merker bezeichnet werden. In der beispielhaften Darstellung in Fig. 2 sind als erste Zwischengrößen die Merker M1, M2 und M3 an den Ausgängen von insgesamt drei ausgewählten Sensor- Modulen dargestellt.

Die Funktionsgruppe 56 dient ausschließlich zur Aufnahme von Programmodulen, die die ersten Zwischengrößen logisch miteinan­ der verknüpfen und in Abhängigkeit davon zweite Zwischengrößen bereitstellen. In der Darstellung in Fig. 2 werden beispiels­ weise die beiden Merker M1 und M2 mit einem logischen UND ver­ knüft. Die Merker M2 und M3 werden mit einem logischen ODER verknüpft. An den Ausgängen der entsprechenden Programmodule stehen dann die zweiten Zwischengrößen M4 und M5 bereit.

Zusätzlich zu den hier gezeigten Logik-Modulen dient die zweite Funktionsgruppe 56 auch zur Aufnahme von anderen Programmodu­ len, die die ersten Zwischengrößen zu zweiten Zwischengrößen weiterverarbeiten, wie beispielsweise Negationen oder Zeitver­ zögerungen.

Die dritte Funktionsgruppe 58 dient zur Aufnahme von sogenann­ ten Aktuator-Modulen, d. h. solchen Programmodulen, die aus den zweiten Zwischengrößen Ausgangssignale zur Ansteuerung der Ak­ tuatoren 34 erzeugen. In Fig. 2 dient das Aktuator-Modul 80 beispielsweise zur Ansteuerung zweier redundanter Schütze, mit denen die Stromversorgung eines überwachten Antriebes zweikana­ lig und damit fehlersicher abgeschaltet werden kann.

Die Erstellung des Anwenderprogramms 38 für die Sicherheits­ steuerung 18 erfolgt durch Auswahl und Verknüpfung der ge­ wünschten Programmodule 62-72. Mit dem Auswählen eines ge­ wünschten Programmoduls erzeugt das Computerprogramm 16 einen entsprechend zugehörigen Programmodul-Funktionsaufruf, der in einer sogenannten Ablauftabelle in dem Speicher 42 abgespei­ chert wird. Für den in Fig. 2 beispielhaft dargestellten Pro­ grammiervorgang ergibt sich dabei folgende Ablauftabelle:

In der Spalte "Modul-Typ" erscheint der jeweilige Programmodul- Funktionsaufruf, und zwar in einer Codierung, die von der Si­ cherheitssteuerung 18 gelesen werden kann. In den nachfolgenden Spalten sind die Übergabeparameter genannt, die das entspre­ chend aufgerufene Programmodul erhält bzw. zurückgibt.

Gemäß einem besonders bevorzugten Ausführungsbeispiel der Er­ findung ordnet das Computerprogramm 16 die einzelnen Programmo­ dul-Funktionsaufrufe in der Ablauftabelle in chronologischer Reihenfolge, d. h. in der Reihenfolge der drei Funktionsgruppen 54, 56, 58 an. Damit wird die Struktur, die sich aufgrund der graphischen Benutzeroberfläche 50 bereits beim Programmieren ergibt, in dem letztlich erzeugten und verwendeten Anwender­ programm 38 fortgesetzt. Es entsteht somit ein klar geglieder­ tes und strukturiertes Anwenderprogramm 38.

In bevorzugten Ausführungsbeispielen der Erfindung wird das An­ wenderprogramm 38 beim Übertragen vom Speicher 42 auf die Chip­ karte 36 stets mit einer CRC abgesichert. Auf diese Weise kann eine Verfälschung des Anwenderprogramms beim Übertragen auf die Chipkarte 36 zuverlässig erkannt und gegebenenfalls verhindert werden.

Claims (15)

1. Verfahren zum Programmieren einer Sicherheitssteuerung (18), mit den Schritten:

• - Festlegen von logischen Verknüpfungen zwischen Ein­ gangssignalen (28) der Sicherheitssteuerung (18) und
• - Zuordnen von Verknüpfungsprodukten (M4, M5) zu Aus­ gangssignalen (32) der Sicherheitssteuerung (18),

wobei das Festlegen der Verknüpfungen und das Zuordnen an­ hand vordefinierter funktionsspezifischer Programmodule (62-72, 76-80) erfolgt, die aus einer Menge (60) derarti­ ger Programmodule ausgewählt werden, dadurch gekennzeich­ net, daß jedes ausgewählte Programmodul (76, 78, 80) ein­ deutig einer definierten Funktionsgruppe (54, 56, 58) zu­ geordnet wird, wobei eine erste Funktionsgruppe (54) Pro­ grammodule (76) enthält, die Eingangssignale (28) der Si­ cherheitssteuerung (18) aufnehmen und in Abhängigkeit da­ von erste Zwischengrößen (M1, M2, M3) bereitstellen, wobei eine zweite Funktionsgruppe (56) Programmodule (78) ent­ hält, die die ersten Zwischengrößen (M1, M2, M3) logisch miteinander verknüpfen und in Abhängigkeit davon zweite Zwischengrößen (M4, M5) bereitstellen, und wobei eine dritte Funktionsgruppe (58) Programmodule (80) enthält, die die zweiten Zwischengrößen (M4, M5) den Ausgangs­ signalen (32) der Sicherheitssteuerung (18) zuordnen.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß je­ des Programmodul (62-72, 76-80) genau einer von insgesamt drei definierten Funktionsgruppen (54, 56, 58) zugeordnet wird.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß jedes Programmodul (76) der ersten Funktionsgruppe (54) eine definierte Signalquelle (30) fehlersicher aus­ wertet.

4. Verfahren nach einem der Ansprüche 1 bis 3, dadurch ge­ kennzeichnet, daß beim Auswählen eines jeden Programmoduls (62-72, 76-80) ein Programmodul-Funktionsaufruf generiert und in einer Ablauftabelle abgespeichert wird.

5. Verfahren nach Anspruch 4, dadurch gekennzeichnet, daß die Programmodul-Funktionsaufrufe nach den Funktionsgruppen (54, 56, 58) getrennt in der Ablauftabelle abgespeichert werden.

6. Verfahren nach Anspruch 4 oder 5, dadurch gekennzeichnet, daß die Programmodul-Funktionsaufrufe in der Reihenfolge der Funktionsgruppen (54, 56, 58) abgespeichert werden.

7. Verfahren nach einem der Ansprüche 1 bis 6, dadurch ge­ kennzeichnet, daß die Programmodule (62-72, 76-80) mittels graphischer Symbole auf einer graphischen Benutzeroberflä­ che (50) dargestellt werden.

8. Verfahren nach Anspruch 7, dadurch gekennzeichnet, daß die Programmodule (62-72, 76-80) mittels einer Drag & Drop- Funktion (74) ausgewählt werden.

9. Verfahren nach einem der Ansprüche 1 bis 8, dadurch ge­ kennzeichnet, daß die Funktionsgruppen (54, 56, 58) mit­ tels graphischer Symbole auf einer graphischen Benutzer­ oberfläche (50) dargestellt werden.

10. Verfahren nach einem der Ansprüche 7 bis 9, dadurch ge­ kennzeichnet, daß die Darstellung eines ausgewählten Pro­ grammoduls (76, 78, 80) auf der Benutzeroberfläche (50) aus einem abgespeicherten, zugehörigen Programmodul- Funktionsaufruf generiert wird.

11. Vorrichtung zum Programmieren einer Sicherheitssteuerung (18), mit ersten Mitteln (12, 14, 16) zum Auswählen und Parametrieren vordefinierter funktionsspezifischer Pro­ grammodule (62-72, 76-80), mit deren Hilfe logische Ver­ knüpfungen zwischen Eingangssignalen (28) der Sicherheits­ steuerung (18) festgelegt und Verknüpfungsprodukte (M4, M5) zu Ausgangssignalen (32) der Sicherheitssteuerung (18) zugeordnet werden können, dadurch gekennzeichnet, daß wei­ tere Mittel (52) vorhanden sind, die ein ausgewähltes Pro­ grammodul (76, 78, 80) eindeutig einer definierten Funkti­ onsgruppe (54, 56, 58) zuordnen, wobei eine erste Funkti­ onsgruppe (54) Programmodule (76) enthält, die Eingangs­ signale (28) der Sicherheitssteuerung (18) aufnehmen und in Abhängigkeit davon erste Zwischengrößen (M1, M2, M3) bereitstellen, wobei eine zweite Funktionsgruppe (56) Pro­ grammodule (78) enthält, die die ersten Zwischengrößen (M1, M2, M3) logisch miteinander verknüpfen und in Abhän­ gigkeit davon zweite Zwischengrößen (M4, M5) bereit­ stellen, und wobei eine dritte Funktionsgruppe (58) Pro­ grammodule (80) enthält, die die zweiten Zwischengrößen (M4, M5) den Ausgangssignalen (32) der Sicherheitssteue­ rung (18) zuordnen.

12. Vorrichtung nach Anspruch 11, gekennzeichnet durch einen Speicher (42) zum Abspeichern eines Programmodul-Funk­ tionsaufrufs in Abhängigkeit von einem ausgewählten Pro­ grammodul (76, 78, 80) sowie eine Anzeigeeinheit (14, 44), die in Abhängigkeit von dem abgespeicherten Programmodul- Funktionsaufruf eine Darstellung des ausgewählten Pro­ grammoduls (76, 78, 80) generiert.

13. Computerprogramm mit Programmcodemitteln zum Durchführen eines Verfahrens nach einem der Ansprüche 1 bis 10, wenn das Computerprogramm (16) auf einem Computer (12) ausge­ führt wird.

14. Anwenderprogramm für eine Sicherheitssteuerung (18), mit Befehlsfolgen, deren Abarbeitung in einer Prozessoreinheit (20, 22) der Sicherheitssteuerung (18) eine logische Ver­ knüpfung von Eingangssignalen (28) sowie eine Zuordnung zu Ausgangssignalen (32) der Sicherheitssteuerung (18) be­ wirkt, dadurch gekennzeichnet, daß die Befehlsfolgen zu­ mindest drei aufeinanderfolgende Funktionsgruppen (54, 56, 58) bilden, wobei eine erste Funktionsgruppe (54) Befehls­ folgen beinhaltet, die Eingangssignale (28) der Sicher­ heitssteuerung (18) aufnehmen und in Abhängigkeit davon erste Zwischengrößen (M1, M2, M3) bereitstellen, wobei eine zweite Funktionsgruppe (56) Befehlsfolgen beinhaltet, die die ersten Zwischengrößen (M1, M2, M3) logisch mitein­ ander verknüpfen und in Abhängigkeit davon zweite Zwi­ schengrößen (M4, M5) bereitstellen, und wobei eine dritte Funktionsgruppe (58) Befehlsfolgen beinhaltet, die die zweiten Zwischengrößen (M4, M5) den Ausgangssignalen (32) der Sicherheitssteuerung (18) zuordnen.

15. Computerprogrammprodukt mit einem Speichermedium (36), auf dem ein Computerprogramm (16) nach Anspruch 13 oder ein Anwenderprogramm (38) nach Anspruch 14 gespeichert ist.