DE102005019970A1

DE102005019970A1 - Adressvergabe für sichere Busteilnehmer

Info

Publication number: DE102005019970A1
Application number: DE102005019970A
Authority: DE
Inventors: Joachim Schmidt
Original assignee: Phoenix Contact GmbH and Co KG
Current assignee: Phoenix Contact GmbH and Co KG
Priority date: 2005-04-27
Filing date: 2005-04-27
Publication date: 2006-11-09
Anticipated expiration: 2025-04-28
Also published as: US20090235124A1; JP4750182B2; CN104253880A; WO2006114314A1; EP1875724B1; DE102005019970B4; JP2008539622A; US8260884B2; EP1875724A1; CN104253880B; ES2391290T3; CN101167341A

Abstract

Zum Konfigurieren eines an einen Feldbus in einem sicheren Steuerungssystem angeschlossenen sicheren Busteilnehmers, wobei dem sicheren Busteilnehmer eine definierte Teilnehmeradresse zugeordnet wird, sieht die Erfindung ein Verfahren vor mit den Schritten: DOLLAR A - Versenden einer Adressvergabenachricht von einer an den Feldbus angeschlossenen Steuerungseinheit an den sicheren Busteilnehmer, wobei die Adressvergabenachricht die definierte Teilnehmeradresse umfasst, DOLLAR A - Abspeichern der definierten Teilnehmeradresse in einem Speicher des sicheren Busteilnehmers und DOLLAR A - Versenden einer Bestätigungsnachricht von dem sicheren Busteilnehmer zu der Steuerungseinheit, wobei die Bestätigungsnachricht die definierte Teilnehmeradresse umfasst, wobei DOLLAR A das Versenden der Adressvergabenachricht in Abhängigkeit von in der Steuerungseinheit hinterlegten Projektierungsdaten des an den Feldbus angeschlossenen sicheren Busteilnehmers erfolgt. DOLLAR A Ferner sieht die Erfindung ein entsprechendes Steuerungssystem vor.

Description

Die Erfindung betrifft allgemein Automatisierungssysteme in der Industrie, und insbesondere Steuerungssysteme, die zumindest ein Bussystem mit daran angeschlossenen, insbesondere sicheren, Busteilnehmern und eine zentrale Steuerungseinrichtung umfassen, sowie Verfahren zu deren Betrieb.
Steuer- und Datenübertragungsanlagen nehmen heute aufgrund des damit möglichen hohen Automatisierungsgrades eine herausragende Stellung in der industriellen Fertigung und Anlagensteuerung ein. Sehr verbreitet ist die Verwendung eines Bussystems, über das eine Vielzahl dezentraler Ein- und Ausgabeeinheiten mit einer zentralen Steuerungseinrichtung verbunden werden.
Zur Einhaltung von Sicherheitsstandards werden in der Automatisierungstechnik vorwiegend Feldbussysteme, wie beispielsweise CAN-Bus, Profibus oder INTERBUS, in Verbindung mit sicherheitsgerichteten Buskomponenten eingesetzt. Die an den Feldbus angeschlossenen Buskomponenten werden im Folgenden auch als Busteilnehmer bezeichnet.

Es ist bekannt, einem Busteilnehmer zur Erhöhung der Sicherheit eine individuelle Teilnehmeradresse zuzuordnen, welche beispielsweise direkt am Busteilnehmer eingestellt werden kann.

Aus EP 1 206 868 B1 ist ferner ein Verfahren zum Konfigurieren eines sicheren Busteilnehmers bekannt sowie ein Steuerungssystem, welches einen solchen Busteilnehmer aufweist. Bei dem in EP 1 206 868 B1 beschriebenen Verfahren ist eine Verwaltungseinheit für die Vergabe von Teilnehmeradressen vorgesehen, welche an den Bus angeschlossen ist. Für die Verwaltungseinheit ist ein spezieller Wartungsmodus vorgesehen, in welchem Wartungstelegramme über den Bus versandt werden. Bei Empfang eines solchen Wartungstelegramms wird von einem sicheren Busteilnehmer ein Anmeldetelegramm an die Verwaltungseinheit gesandt, welches eine festgelegte Universaladresse umfasst. Empfängt die Verwaltungseinheit wiederum ein solches Anmeldetelegramm mit einer enthaltenen Universaladresse, sendet sie ein Adressvergabetelegramm mit einer definierten Teilnehmeradresse an den sicheren Busteilnehmer zurück, wo diese gespeichert wird.

Nachteilig an dem in EP 1 206 868 B1 beschriebenen Verfahren ist die Notwendigkeit eines speziellen Wartungsmodus sowie die hohe Anzahl auszutauschender Telegramme, um dem sicheren Busteilnehmer eine Teilnehmeradresse zuzuordnen.

Aus DE 199 34 514 C1 ist ein Verfahren zum Konfigurieren eines an einen Feldbus angeschlossenen Busteilnehmers bekannt, welches das Übermitteln einer logischen und einer physikalischen Adresse an einen Busteilnehmer von einer Adressvergabeeinheit vorsieht. Die übermittelte physikalische Adresse wird anhand einer tatsächlichen physikalischen Position des Busteilnehmers verifiziert und die logische Adresse in Abhängigkeit von der Verifikation in einem Speicher des Busteilnehmers gespeichert.

Nachteilig an diesem Verfahren ist, dass der Busteilnehmer Informationen über seine tatsächliche physikalische Position im Bus benötigt.

Der Erfindung liegt daher die Aufgabe zugrunde, einen konstruktiven Lösungsansatz aufzuzeigen, wie ein an ein Bussystem angeschlossener Busteilnehmer, insbesondere ein sicherer Busteilnehmer, ohne die beschriebenen Nachteile des Standes der Technik konfiguriert und diesem insbesondere eine definierte Teilnehmeradresse zugeordnet werden kann.

Die Aufgabe wird in überraschend einfacher Weise durch einen Gegenstand gemäß einem der anhängenden unabhängigen Ansprüche gelöst. Vorteilhafte Ausführungsformen und Weiterbildungen sind in den Unteransprüchen umschrieben.

Dementsprechend umfasst das erfindungsgemäße Verfahren zum Konfigurieren eines an einen Feldbus in einem sicheren Steuerungssystem angeschlossenen sicheren Busteilnehmers, um dem sicheren Busteilnehmer eine definierte Teilnehmeradresse zuzuordnen, die folgenden Schritte:

– Versenden einer Adressvergabenachricht von einer an den Feldbus angeschlossenen Steuerungseinheit an den sicheren Busteilnehmer, wobei die Adressvergabenachricht die definierte Teilnehmeradresse umfasst,
– Abspeichern der definierten Teilnehmeradresse in einem Speicher des sicheren Busteilnehmers, und
– Versenden einer Bestätigungsnachricht von dem sicheren Busteilnehmer zu der Steuerungseinheit, wobei die Bestätigungsnachricht die definierte Teilnehmeradresse umfasst, wobei das Versenden der Adressvergabenachricht in Abhängigkeit von in der Steuerungseinheit hinterlegten Projektierungsdaten des an den Feldbus angeschlossenen sicheren Busteilnehmers erfolgt.

Bei dem erfindungsgemäßen Verfahren wird vorteilhaft keine Verwaltungseinheit und keine spezieller Wartungsmodus und dementsprechend auch keine speziellen Wartungstelegramme benötigt. Die dadurch entstehende zusätzliche Busbelastung tritt bei dem erfindungsgemäßen Verfahren daher nicht auf.

Ferner benötigt das erfindungsgemäße Verfahren keine Einstellung der physikalischen Position auf dem sicheren Busteilnehmer und dementsprechend auch keine Positionsermittlungseinheit auf dem Busteilnehmer zur Ermittlung seiner physikalischen Position.

Besonders geeignet zum Ausführen des erfindungsgemäßen Verfahrens sind Automatisierungssysteme mit ringförmigen Bussystemen, insbesondere nach dem INTERBUS-Standard.

Der INTERBUS arbeitet in der Art eines Schieberegisters, bei dem die Busteilnehmer ringförmig miteinander verbunden sind und die einzelnen Speicherplätze des Schieberegisters bilden. Aufgrund dieser Schieberegister-Struktur werden beim INTERBUS keine Teilnehmeradressen im herkömmlichen Sinne benötigt.

Der INTERBUS-Master, der die Daten durch den Schieberegister-Ring taktet, ist in der Regel mit einer Steuerungseinheit verbunden. Die Steuerungseinheit kann dabei eine nicht sichere und eine sichere Steuerung enthalten.

Die Busteilnehmer sind in der Regel Ein-/Ausgabeeinheiten, die nicht sichere und/oder sichere Ein-/Ausgänge bereitstellen.

Soll die sichere Steuerung mit einem sicheren Busteilnehmer kommunizieren, so erfolgt die Adressierung der sicheren Busteilnehmer über das nicht sichere INTERBUS-Protokoll. Um für die Übertragung von sicherheitsrelevanten Daten die Sicherheitsanforderungen zu erfüllen, müssen die sicherheitsrelevanten Daten um Daten erweitert werden, die eine Erkennung aller systematischen und zufälligen Fehler bei der Übertragung über den nicht sicheren INTERBUS ermöglichen. Diese Daten werden auf dem INTERBUS-Master durch den Master der Sicherheits-Kommunikations-Schicht (Safety-Communication-Layer-Master; SCLM) und auf den Busteilnehmern durch den Slave der Sicherheits-Kommunikations-Schicht (Safety-Communication-Layer-Slave; SCLS) berechnet bzw. ausgewertet. Die sicherheitsrelevanten Daten und die Sicherungsdaten ergeben zusammen die sicheren Nachrichten, die vom nicht sicheren INTERBUS-Protokoll wie normale Prozessdaten übertragen werden.

Als Sicherungsdaten können beispielsweise Checksummen wie z.B. CRC, Zeitstempel oder laufende Nummern verwendet werden. Bei einer bevorzugten Ausführungsform eines sicheren INTERBUS-Protokolls kommt eine CRC24-Checksumme, eine laufende Nummer, welche 3 Bit umfasst, und eine als Connection-ID bezeichnete Teilnehmeradresse, welche vorzugsweise 7 Bit umfasst, zum Einsatz.

Die Aufgabe der Connection-ID ist es, Adressierungsfehler des nicht sicheren INTERBUS, z.B. durch Einstreuung zusätzlicher Takte in das Schieberegister, zu erkennen. Der SCLM generiert für jeden angeschlossenen sicheren Busteilnehmer in der Reihenfolge des projektierten Busaufbaus eine eigene Connection-ID.

In allen sicheren Nachrichten, die zwischen dem SCLM und den SCLS auf den Busteilnehmern ausgetauscht werden, ist die jeweilige Connection-ID enthalten. Sie wird durch den CRC24 mit abgesichert. Der SCLM und die SCLS auf den Busteilnehmern überprüfen die Connection-ID in jedem empfangenen Telegramm und sind somit in der Lage, Adressierungsfehler des nicht sicheren INTERBUS-Protokolls zu erkennen.

Der Anlauf der sicheren Kommunikationsbeziehungen läuft wie folgt ab:
Im Ausgangszustand kann der nicht sichere INTERBUS bereits hochgelaufen sein und die Übertragung nicht sicherer Daten bereits laufen.

Sobald die sichere Steuerung mit dem SCLM hochgelaufen ist, überträgt der SCLM an alle projektierten sicheren Busteilnehmer Verbindungsabbruchnachrichten (Abort Connection-Nachrichten). Dies geschieht unabhängig davon, ob die sicheren Busteilnehmer vorhanden sind, hochgelaufen sind oder wie sie auf diese Nachricht reagieren. Die Verbindung zu einem sicheren Busteilnehmer verlässt diesen Zustand (Connection Aborted) dadurch, dass die den SCLM steuernde Einrichtung (SRC, Safety-Related-Controller) eine Initialisierungsanfrage für diese Verbindung an den SCLM schickt. Der SCLM überträgt dann eine Adressvergabenachricht bzw. eine Parameter-Nachricht mit dem Parameter „Connection-ID" an den sicheren Busteilnehmer.

Sobald der sichere Busteilnehmer mit seinem SCLS hochgelaufen ist, überträgt der SCLS Fehlernachrichten (Safety Slave Error-Nachrichten) an den SCLM. Dies geschieht unabhängig davon, ob eine sichere Steuerung vorhanden ist, ob der SCLM hochgelaufen ist oder wie der SCLM auf diese Nachricht reagiert, mit der Ausnahme, der SCLS empfängt vom SCLM eine Adressvergabenachricht bzw. eine sichere Parameter-Nachricht mit dem Parameter „Connection-ID".

Sobald die sichere Steuerung und die sicheren Busteilnehmer hochgelaufen sind und der Controller des SCLM den Auftrag erteilt eine Kommunikationsbeziehung aufzubauen (Initiate Regest), überträgt der SCLM sichere Parameter-Nachrichten an den SCLS des Busteilnehmers.

Der SCLS sendet den empfangenen Parameter mit einer gleichartigen Nachricht an den SCLM zurück, um den Empfang zu quittieren. Besondere Wartungstelegramme werden nicht benötigt. Der erste übertragene Parameter ist hierbei die Connection-ID. Der SCLS empfängt und quittiert sie. Die hierbei verwendeten Nachrichten enthalten die Connection-ID also als Parameter-Wert.

Weitere Parameter werden nur übertragen, wenn die Übertragung der Connection-ID erfolgreich war. Alle weiter zwischen SCLM und SCLS übertragenen sicheren Nachrichten enthalten die Connection-ID. Empfängt der SCLM oder SCLS eine sichere Nachricht, so werden die Connection-ID, die CRC-Checksumme und die laufende Nummer überprüft. Tritt eine fehlerhafte Connection-ID auf, so werden alle sicheren Verbindungen im Bussystem abgebaut.

Im weiteren Verlauf liest der SCLM Parameter aus dem SCLS aus, die beispielsweise den Geräte-Typ, den Hersteller, die Seriennummer usw. enthalten. Durch diese Daten wird verifiziert, dass der sichere Teilnehmer der projektierte Gerätetyp am projektierten Einbauort ist.

Ist dies der Fall, so gilt die sichere Kommunikationsbeziehung jetzt als aufgebaut. Die Übertragung und Überprüfung der Connection-ID garantiert jetzt, dass immer mit dem korrekten sicheren Busteilnehmer kommuniziert wird.

Im weiteren Verlauf können Geräteparameter wie beispielsweise Abschaltzeiten oder Filterzeiten übertragen werden. Die Anzahl der Geräteparameter hängt vom Gerätetyp ab. Ist die Parametrierung abgeschlossen, so erfolgt die Übertragung der sicheren Prozessdaten.

Die Erfindung wird nachfolgend beispielhaft anhand bevorzugter Ausführungsformen und unter Bezugnahme auf die beigefügten Zeichnungen genauer beschrieben. Dabei bezeichnen gleiche Bezugszeichen in den Zeichnungen gleiche oder ähnliche Teile.
Es zeigen:
1: eine schematische Darstellung einer Prozessnachricht, welche sicherheitsrelevante Daten beinhaltet,
2: schematisch den Summenrahmen eines INTERBUS-Bussystems, in welchen die Prozessnachricht aus 1 eingebettet ist,
3: schematisch eine Initialisierungssequenz entsprechend einer bevorzugten Ausführungsform des erfindungsgemäßen Verfahrens.
Das erfindungsgemäße Verfahren eignet sich besonders für alle ringförmigen Bussysteme, wobei die nachfolgend beschriebenen Ausführungsbeispiele den INTERBUS-Standard verwenden.
In 1 ist eine Prozessnachricht 50 dargestellt, welche sicherheitsrelevante Daten 20 beinhaltet und zusammen mit weiteren Daten eine Sicherheitsdateneinheit bildet. Die weiteren, zur Erhöhung der Sicherheit vorgesehenen Daten umfassen in diesem Ausführungsbeispiel die als Connection-ID bezeichnete Teilnehmeradresse 10, eine Dateneinheit 30, welche eine Sequenznummer und einen Zeitstempel umfasst, sowie eine 24 Bit lange CRC-Checksumme 40.
Bei Einsatz eines Bussystems gemäß INTERBUS-Standard werden die Daten innerhalb eines Summenrahmens 100 übertragen. In diesem Ausführungsbeispiel enthält der Summenrahmen 100 weitere Dateneinheiten 62, 64 und 66, welche auch nicht sichere Daten beinhalten können.
In 3 ist eine Initialisierungssequenz dargestellt, welche drei Einzelsequenzen umfasst. Die erste Sequenz dient der Übermittlung der Teilnehmeradresse oder „Connection-ID", während die zweite und dritte Sequenz in dieser Ausführungsform der Übergabe verschiedener Geräteparameter des sicheren Busteilnehmers dient.
Parameter werden vom SCLM an den SCLS mit einer Write Parameter Byte req Nachricht übertragen. Mit einem Read Parameter Byte Req liest der SCLM einen Parameter aus dem SCLS aus. Auf beide Nachrichten antwortet der SCLS mit einer Parameter Byte con Nachricht, die den geschriebenen Parameter spiegelt bzw. den angeforderten Parameter enthält. Der Write Parameter Byte req mit dem Parameter „Connection-ID" hat eine spezielle Codierung des Parameters „Connection-ID" und einen eigenen Namen:
Set Connection ID req. Die Parameter Byte con des SCLS auf diese Nachricht, mit der die Connection-ID zurückgeschickt wird als „Set Connection ID con" bezeichnet.

Claims

Verfahren zum Konfigurieren eines an einen Feldbus in einem sicheren Steuerungssystem angeschlossenen sicheren Busteilnehmers, wobei dem sicheren Busteilnehmer eine definierte Teilnehmeradresse zugeordnet wird, mit den Schritten: – Versenden einer Adressvergabenachricht von einer an den Feldbus angeschlossenen Steuerungseinheit an den sicheren Busteilnehmer, wobei die Adressvergabenachricht die definierte Teilnehmeradresse umfasst, – Abspeichern der definierten Teilnehmeradresse in einem Speicher des sicheren Busteilnehmers, und – Versenden einer Bestätigungsnachricht von dem sicheren Busteilnehmer zu der Steuerungseinheit, wobei die Bestätigungsnachricht die definierte Teilnehmeradresse umfasst, wobei das Versenden der Adressvergabenachricht in Abhängigkeit von in der Steuerungseinheit hinterlegten Projektierungsdaten des an den Feldbus angeschlossenen sicheren Busteilnehmers erfolgt.
Verfahren nach Anspruch 1, ferner mit dem Schritt: – Aktivieren der Kommunikation zwischen der Steuerungseinheit und dem sicheren Busteilnehmer, wobei das Versenden der Adressvergabenachricht nach Aktivieren der Kommunikation erfolgt.
Verfahren nach Anspruch 2, wobei vor Aktivieren der Kommunikation eine Verbindungsabbruchnachricht von der Steuerungseinheit an den sicheren Busteilnehmer, insbesondere in regelmäßigen Zeitabständen, versandt wird.
Verfahren nach einem der vorstehenden Ansprüche, wobei von dem sicheren Busteilnehmer vor Empfang einer Adressvergabenachricht von der Steuerungseinheit eine Fehlernachricht, insbesondere wiederholt in regelmäßigen Zeitabständen, an die Steuerungseinheit versandt wird.
Verfahren nach einem der vorstehenden Ansprüche, ferner mit dem Schritt: – Versenden einer Parameterübergabenachricht von dem sicheren Busteilnehmer zu der Steuerungseinheit.
Verfahren nach Anspruch 5, ferner mit dem Schritt: – Verifizieren der in der Steuerungseinheit hinterlegten Projektierungsdaten des sicheren Busteilnehmers durch Vergleichen mit von dem sicheren Busteilnehmer übertragenen Parametern.
Verfahren nach einem der vorstehenden Ansprüche, ferner mit dem Schritt: – Versenden einer Prozessnachricht von der Steuerungseinheit an den sicheren Busteilnehmer und/oder – Versenden einer Prozessnachricht von dem sicheren Busteilnehmer zu der Steuerungseinheit, wobei die Prozessnachricht zumindest Prozessdaten zur Steuerung eines Prozess und die definierte Teilnehmeradresse umfasst.
Verfahren nach einem der vorstehenden Ansprüche, ferner mit dem Schritt: – Überprüfen der in einer Parameterübergabenachricht oder einer Prozessnachricht enthaltenen definierten Teilnehmeradresse durch den sicheren Busteilnehmer oder durch die Steuerungseinheit.
Verfahren nach Anspruch 8, wobei bei Erkennen einer fehlerhaften definierten Teilnehmerdresse ein Fehlersignal erzeugt wird.
Verfahren nach Anspruch 8, wobei bei Erkennen einer fehlerhaften definierten Teilnehmerdresse die Verbindungen zwischen der Steuerungseinheit und allen an den Feldbus angeschlossenen sicheren Busteilnehmern abgebaut wird.
Verfahren nach einem der vorstehenden Ansprüche, wobei der Feldbus dem INTERBUS-Standard entspricht.
Verfahren nach einem der vorstehenden Ansprüche, wobei die Steuerungseinheit als Bus-Master des Feldbusses ausgebildet und/oder mit einem Bus-Master des Feldbusses verbunden ist.
Steuerungssystem zum sicheren Steuern von sicherheitskritischen Prozessen, insbesondere geeignet zur Ausführung eines Verfahrens nach einem der vorstehenden Ansprüche, zumindest umfassend – ein Bussystem – eine an das Bussystem angeschlossene Steuerungseinrichtung, und – zumindest einen an das Bussystem angeschlossenen sicheren Busteilnehmer, wobei der zumindest eine sichere Busteilnehmer Mittel zum Aufnehmen und Auswerten einer Adressvergabenachricht sowie einen Speicher zum Speichern einer dem Busteilnehmer zugeordneten Teilnehmeradresse aufweist, und in der Steuerungseinheit Projektierungsdaten des an den Feldbus angeschlossenen sicheren Busteilnehmers hinterlegt sind.
Steuerungssystem nach Anspruch 13, wobei der zumindest eine sichere Busteilnehmer Mittel zum Versenden einer Fehlernachricht aufweist, wobei die Mittel dazu ausgebildet sind, eine Fehlernachricht zu versenden, wenn in dem Speicher keine gültige Teilnehmeradresse gespeichert ist.
Steuerungssystem nach einem der vorstehenden Ansprüche, wobei das Bussystem ein Ringsystem ist.
Steuerungssystem nach einem der vorstehenden Ansprüche, wobei das Bussystem ein INTERBUS-Busystem ist.