DE102007015369A1

DE102007015369A1 - Verfahren zur Überwachung des logischen Programmablaufs von kritischen Funktionen in Programmen eines Feldgeräts der Prozess- und Automatisierungstechnik

Info

Publication number: DE102007015369A1
Application number: DE102007015369A
Authority: DE
Inventors: David Isner; Stefan Albers; Martin Link; Mathieu Weibel; Reinhard Schaefer
Original assignee: Endress and Hauser SE and Co KG
Current assignee: Endress and Hauser SE and Co KG
Priority date: 2006-12-29
Filing date: 2007-03-28
Publication date: 2008-07-03

Abstract

Die Erfindung bezieht sich auf ein Verfahren zur Überwachung des logischen Programmablaufs von kritischen Funktionen in Programmen durch zumindest eine Recheneinheit in zumindest einem Feldgerät der Prozess- und Automatisierungstechnik, wobei Überprüfungspunkte an Stellen mit kritischen Funktionen in den Programmen eingefügt werden, wobei die Überprüfungspunkte mit Kennungszeichen gekennzeichnet werden, wobei in einer festen Zuordnungsvorschrift die Zuordnung der möglichen vorangegangenen Kennungszeichen der im logischen Programmablauf vorangegangenen Überprüfungspunkte zu den einzelnen Kennungszeichen der Überprüfungspunkte festgehalten wird, wobei an den Überprüfungspunkten in den Programmen in einem Überwachungszyklus eine Überwachungsroutine ausgeführt wird, wobei in der Überwachungsroutine an einer dem aktuell vorliegenden Kennungszeichen des aktuellen Überprüfungspunkts entsprechenden Position in der festen Zuordnungsvorschrift die vorangegangenen Kennungszeichen mit einer im vorherigen Überwachungszyklus abgespeicherten Vorgängersignatur verglichen werden, wobei das aktuell vorliegende Kennungszeichen für den folgenden Überwachungszyklus als Vorgängersignatur abgespeichert wird.

Description

Die Erfindung bezieht sich auf ein Verfahren zur Überwachung des logischen Programmablaufs von kritischen Funktionen in Programmen durch zumindest eine Recheneinheit in zumindest einem Feldgerät der Prozess- und Automatisierungstechnik gemäß dem Anspruch 1.
Entsprechende Verfahren zur Überwachung des logischen Programmablaufs von kritischen Funktionen in Programmen durch zumindest eine Recheneinheit in zumindest einem Feldgerät der Prozess- und Automatisierungstechnik werden in Messgeräten der Automations- und Prozesssteuerungstechnik eingesetzt. Von der Anmelderin werden beispielsweise Feldgeräte oder ganze Messsysteme für Füllstand-, Durchfluss-, Druck- und Temperaturmessung sowie Flüssigkeitsanalyse und Messwertregistrierung verkauft und vertrieben. In der Automations- und Prozesssteuerungstechnik bezeichnet man Messgeräte sowie Stellgeräte als Feldgeräte. Diese Feldgeräte messen beispielsweise eine physikalische Größe, z. B. den Druck, die Temperatur, die Durchflussmenge oder den Füllstand an definierten Stellen in einer Prozessanlage und senden ein Messwertsignal zur Weiterverarbeitung an ein Prozessleitsystem.
Um Menschen, die Umwelt und industrielle Anlagen bestmöglich zu schützen, werden die Hersteller und Anwender von Feldgeräten mit immer höheren Sicherheitsanforderungen konfrontiert. So sind die Sicherheitsanforderungen in der neuen Beurteilung zur "Funktionalen Sicherheit" nach IEC/DIN EN 61508 und IEC/DIN EN 61511 festgelegt. Diese europäischen und internationalen Vorgaben sind die Grundlage zur systematischen Beurteilung des Gefahrenpotenzials von mess-, steuer- und regeltechnischen Einrichtungen und können für die sicherheitsbezogene Auslegung von verfahrenstechnischen Anlagen herangezogen werden. Dabei werden die jeweiligen Anforderungsstufen (SIL), in Abhängigkeit der Risikoparameter, über einen Risikographen bestimmt. Diese Funktionale Sicherheit beinhaltet alle Aspekte zur Verhinderung, Vermeidung und Behandlung von fehlerhaftem Verhalten von Steuerungssystemen und Maschinen und Personal, mit dem Ziel die Risiken für Mitarbeiter, die Umwelt und die Prozessanlagen zu verringern. Funktionale Sicherheit findet man in der Energie- und Verfahrenstechnik (KKW), bei Verkehrstechnik (Bahn), Prozessindustrie (Chemie, Öl-Gas) und bei Werkzeugmaschinen.
Die Betreiber von Anlagen mit sicherheitsrelevanten Funktionen legen im Rahmen einer Gefährdungsbeurteilung den Sicherheits-Integritätslevel für die jeweilige Sicherheitsfunktion fest. Entsprechend dieser Festlegung werden die dafür geeigneten Geräte ausgewählt und zu einem System zusammengeführt.
Im Rahmen dieser Anforderungen an die erhöhte Sicherheit in Feldgeräten und durch den Einsatz von Rechensystemen in diesen Feldgeräten ist es notwendig, eine Programmablaufüberwachung als eine Maßnahme zur Fehlererkennung während der Betriebsphase des Feldgeräts zu integrieren. Das grundlegende Ziel einer Methode zur Programmablaufkontrolle ist es, unerlaubte Programmabläufe bzw. Abweichungen vom geplanten Programmablauf zu erkennen und entsprechende Maßnahmen bei Abweichungen einzuleiten. Die Abweichungen in einem Programmablauf liegen beispielsweise dann vor, falls Funktionen bzw. Befehlsfolgen eines Programms in einer falschen Reihenfolge, in der falschen Zeitdauer oder gar nicht mehr abgearbeitet werden. Die Programmablaufüberwachung bzw. -kontrolle können in zwei grundlegenden Überwachungsprinzipien eingeteilt werden, die zeitliche oder die logische Programmablaufkontrolle.
Methoden zur Programmablaufüberwachung sind in dem Buch der Bundesanstalt für Arbeitsschutz und Arbeitsmedizin – „Wirksamkeit von zeitlichen und logischen Programmablaufüberwachungen beim Betrieb von Rechnersystemen" von H. Gall, K. Kemp aufgeführt.
Ein fehlersicheres Automatisierungssystem mit einer Standard-CPU ist in der EP 1 043 641 A2 beschrieben.
Die Aufgabe der Erfindung ist es, ein Verfahren zur Überwachung des logischen Programmablaufs von kritischen Funktionen in Programmen aufzuzeigen, die eine verlässliche Überwachung gewährleistet und einfach in den Programmen umzusetzen ist.
Diese Aufgabe der Erfindung wird durch die im Anspruch 1 angeführten Merkmale gelöst.
Vorteilhafte Weiterentwicklungen der Erfindung sind in den Unteransprüchen angegeben.
Weitere Einzelheiten, Merkmale und Vorteile des Gegenstandes der Erfindung ergeben sich aus der nachfolgenden Beschreibung mit den zugehörigen Zeichnungen, in denen bevorzugte Ausführungsbeispiele der Erfindung dargestellt sind. In den Figuren dargestellte Ausführungsbeispiele der Erfindung sind zur besseren Übersicht und zur Vereinfachung der Elemente, die sich in ihrem Aufbau und/oder in ihrer Funktion entsprechen, mit gleichem Bezugszeichen versehen. Es zeigen:
1 ein Sequenzdiagramm einer Programmablaufkontrolle von kritischen Funktionen innerhalb eines Programms oder Prozesses mittels den erfindungsgemäßen Überprüfungspunkten, und
2 ein Sequenzdiagramm einer prozessübergreifenden Programmablaufkontrolle von mehreren kritischen Funktionen mit den erfindungsgemäßen Überprüfungspunkten.
In 1 ist ein Sequenzdiagramm eines Programms R_x mit einer erfindungsgemäßen logischen Programmablaufkontrolle von kritischen Funktionen kF_y mittels Überprüfungspunkten P_n in einer Recheneinheit RE dargestellt.
In das Programm R_x sind an Stellen mit kritischen Funktionen kF_y entsprechende Überprüfungspunkte P_n eingefügt worden, bei denen das Programm in eine Überprüfungsroutine SV springt, in der die Reihenfolge des logischen Programmablauf von kritischen Funktionen kF_y überprüft wird.
Eine effiziente Überwachung der Reihenfolge der kritischen Funktionen kF_y kann über eine Programmablaufkontrolle mit mehreren Überprüfungspunkten P_n durchgeführt werden. Die Überprüfungspunkten P_n sind über den Prozess bzw. das Programm R_x verteilt. Ein Überprüfungspunkt P_n bestätigt die Ausführung einer kritischen Funktion kF_y. Der Überprüfungspunkt P_n wird innerhalb einer kritischen Funktion kF_y eingefügt, die zu überwachen ist.
Die Überprüfungspunkten P_n sind beispielsweise in Tabellen T1, T2 gespeichert und nach einer Zuordnungsvorschrift ZV einander zugeordnet. Es gibt zwei Arten von Tabellen T1, T2, die zur logischen Programmablaufkontrolle mittels Überprüfungspunkten P_n in kritischen Funktionen kF_y verwendet werden. Eine Referenztabelle T1, in der in einer ersten Spalte die Kennungszeichen Z_n abgelegt sind und in den weiteren Spalten, die für den korrekten Programmablauf charakteristischen, möglichen vorangegangenen Kennungszeichen Z_n-1 abgelegt sind. Diese Zuordnungsvorschrift ZV der aktuellen Kennungszeichen Z_n zu den vorangegangenen Kennungszeichen Z_n-1 wird bei der Erstellung des Programms R_x festgelegt und in einer nichtflüchtiger Speichereinheit, z. B. einem ROM hinterlegt. Die Historientabelle T2 enthält in der ersten Spalte die Variable des Programms R_x und in der zweiten Spalte ist das zugehörige Vorgängersignatur V_a-1 vermerkt. Um eine Überwachung durchzuführen, müssen wenigstens eine Referenztabelle T1 und eine Historientabelle T2 vorhanden sein. Jeder Überprüfungspunkt P_n hat eine einzigartige Kennung in der Anwendung.
Die Referenztabelle T1 weist mehrere Spalten und Zeilen auf. Jede Zeile der Referenztabelle T1 verweist auf einen Überprüfungspunkt P_n. In den weiteren Spalten einer Zeile in der Referenztabelle T1 sind die zugehörigen vorangegangenen Kennungszeichen Z_n-1 abgelegt. Diese vorangegangenen Kennungszeichen Z_n-1 gehören zu Überprüfungspunkten P_n die in vorhergehenden kritischen Funktionen kF_y im Prozess R_x eingefügt worden sind. Da eine kritische Funktion kF_y mehrfach aus verschiedenen Prozessen R_x aufgerufen werden kann, muss jede Referenztabelle T1 für jeden Prozess R_x spezifisch ausgeführt sein, da die zugehörige Vorgängersignatur V_a-1 zwischen den Prozessen R_x unterschiedlich sein kann.
Unkritische Funktionen werden in dieser Überprüfungspunkt P_n der Referenztabelle T1 nicht berücksichtigt und beeinflussen die Überwachung der Reihenfolge des logischen Programmablaufs nicht. Ein Überprüfungspunkt P_n wird in solche unkritischen Funktionen nicht eingefügt.
Die Historientabelle T2 speichert die Kennungszeichen Z_n von der zuletzt ausgeführten kritischen Funktion kF_y in jeden Prozess R_x. Diese Historientabelle T2 hat eine Spalte und mehrere Zeilen. Jeder Zeile ist einen Prozess R_x zugeordnet. Die Anzahl der Zeilen dieser Historientabelle T2 ist festgelegt durch die maximale Anzahl der zu überwachenden Prozesse R_x. Die Historientabelle T2 ist im RAM gespeichert. Diese Historientabelle T2 wird von allen zuletzt ausgeführten kritischen Funktionen kF_y der zu überwachenden Prozesse R_x aktualisiert.
in 1 ist die Überwachung der Reihenfolge des Programmablaufs von kritischen Funktionen kF_y in mehreren Prozessen R_x gezeigt. Der Überprüfungspunkt P_n der aktuellen kritischen Funktion kF_y ließt zuerst den Wert in der Zelle der Vorgängersignatur V_a-1 der Historientabelle T2. Dieser gelesene Wert der Vorgängersignatur V_a-1 wird mit den Werten in den Zellen der vorangegangener Kennungszeichen Z_n-1 in der Referenztabelle T1 verglichen. Wird der gelesene Wert in einer Zelle der vorangegangenen Kennungszeichen Z_n-1 in der Referenztabelle T1 gefunden, dann wird die Reihenfolge des gewünschten Programmablaufs eingehalten. In diesem Fall wird die alte Kennzeichnung Z_n-1 in der Historientabelle T2 mit der eigenen Kennungszeichen Z_n überschrieben und das Programm fortgesetzt. Ist die Reihenfolge des gewünschten Programmablaufs verletzt, wird eine Fehler- oder Warnungsmeldung an eine übergeordnete Einheit, wie z. B. eine Leitstelle ausgegeben oder auf dem Display des Feldgeräts dargestellt und anschließend eine Fehlerbehandlung durchgeführt.
Bezogen auf das in 1 dargestellte Ausführungsbeispiel gestaltet sich die Überwachungsroutine SV zur Überwachung des logischen Programmablaufs demgemäß, dass die Überwachungsroutine SV, ausgehend von dem dritten Überprüfungspunkt P₃ der aktuellen dritten kritischen Funktion kF₃, den Wert in der Zelle der Vorgängersignatur V_a-1 des zugehörigen erstes Programms R₁ der Historientabelle T2 liest und den gelesenen Wert der Vorgängersignatur V_a-1, z. B. ein b mit den Werten in den Zellen der vorangegangenen Kennungszeichen Z_n-1 in der Referenztabelle T1 vergleicht. In diesem Fall wird die alte Kennzeichnung Z_n-1 in der Historientabelle T2 mit der eigenen Kennungszeichen Z_n der dritten kritischen Funktion kF₃, z. B. mit einem d überschrieben und das Programm fortgesetzt. Wird die Vorgängersignatur V_a-1 unter den vorangegangenen Kennungszeichen Z_n-1 gefunden, wird nachfolgend die dritte kritische Funktion kF₃ ausgeführt und das erstes Programm R₁ fortgeführt. Diese Überprüfung ist notwendig, da sichergestellt sein muss das die dritte kritische Funktion kF₃ mit den richtigen Parametern und Werten, die durch vorhergehende Funktionen beeinflusst wurden, weiter arbeitet und somit das richtig Ergebnis berechnet wird.
Die Überwachungsroutine SV gibt einen Status zurück, anhand dessen entscheiden werden kann, ob der festgelegte Programmablauf korrekt durchgeführt wurde. Anhand dieser Statusmeldungen ist es möglich, dass die Ausgabe von Fehlermeldungen oder der erneute Aufruf des Programms R_x bewirkt wird.
In 2 ist die Überwachung der Reihenfolge des logischen Programmablaufs bei einem Aufruf mehrerer kritischer Funktionen kF_y aus einer aktuellen kritischen Funktionen kF_a in einer Recheneinheit RE dargestellt.
Am Anfang der ersten kritischen Funktion kF₁ wird der Kennungszeichen Z_n aktualisiert und zeigt danach auf die Zeile der ersten kritischen Funktion kF₁ in der Referenztabelle T1. Die entsprechenden vorangegangenen Kennungszeichen Z_n-1 werden mit der Vorgängersignatur V_a-1 aus der Historientabelle T2 verglichen. Danach wird erst die Vorgängersignatur V_a-1 aus der Historientabelle T2 mit dem Kennungszeichen Z_n der ersten kritischen Funktion kF₁ überschrieben. Wenn eine aktuelle kritische Funktion kF_a mehrere andere kritische Funktionen kF_y aufruft, muss der Überprüfungspunkt P_n in dieser kritischen Funktion kF_y mit seinem eigenen Kennungszeichen Z_n wieder in der Historientabelle T2 aktualisiert werden. Nach dem Rücksprung in die kritische Funktion kF_a, muss vor dem Aufruf weiterer kritischer Funktionen kF_y die Signatur von kF_a wieder in die Tabelle T2 eingetragen werden. Dies erfolgt nicht, wenn keine weiteren kritischen Funktionen aufgerufen werden.
Wird die aktuelle kritische Funktion kF_a aus verschiedenen Funktionen kF_y aus den Prozessen R_x aufgerufen, sind weitere Zellen in der Historientabelle T2 oder eine separate Historientabelle T2 zur Unterscheidung der aktuell gültigen Vorgängersignatur V_a-1 notwendig. Wenn die aktuelle kritische Funktion kF_a immer von derselben Funktion aufgerufen wird, ist die Historientabelle T2 auf zumindest zwei Spalten begrenzt. Der Vorteil ist eine schnellerer Zugriff auf die Werten in den Zeilen. Um die Tabellen T1, T2 klein zu halten, ist es möglich nur Teile eines Prozesses R_x zu überwachen. Die Komplexität der Referenztabelle T1 ist abhängig von der Komplexität eines Prozesses R_x.
Eine nachträgliche Erweiterung der Referenztabelle T1 ist ohne großen Aufwand möglich, hierzu sind die folgenden Punkte zu beachten:

• Wird eine kritische Funktion kF_y von einer neuen Funktion aufgerufen, muss in der Referenztabelle T1 nur ein neues Kennungszeichen Z_n in eine neue Zelle der vorangegangen Kennungszeichen Z_n-1 von der aufgerufenen kritischen Funktion kF_y gespeichert werden.
• Wird eine neue kritische Funktion entwickelt oder eingesetzt, muss eine neue Zeile in der Referenztabelle T1 von dem betroffenen Prozess R1 hinzufügen und die vorangegangen Kennungszeichen Z_n-1 eingetragen werden.
• Wird einen neuer Prozess R_x definiert, muss eine neue Referenztabelle T1 erstellt werden, sowie eine weitere Zeile in die die Historientabelle T2 eingefügt werden.

Des Weiteren ist es möglich mittels einem Zählverfahren eine zusätzliche logische Programmablaufüberwachung auszubilden, bei dem an verschiedenen Stellen im Programm (R_x) eine Signatur in einem Signaturenregister aufsummiert wird und am Ende mit einer Sollsignatur verglichen wird. Ein fehlerhafter Programmablauf wird bei diesem Zählverfahren am Ende des Programms (R_x) durch eine Abweichung des Inhalts des Signaturregisters von einem Sollsignatur bestimmt.
Zu Überwachung der Zeitabweichungen, die ein Programm (R_x) zur Verarbeitung benötigt, wird mittels einer zeitlichen Programmablaufüberwachung, z. B. einem so genannten Watchdog, die Zeitabweichungen in den Bearbeitungszeiten von kritischen Funktionen (kF_y) in den Programmen (R_x) erfasst. Solche Zeitabweichungen im Programmablauf können durch systematische Fehler bei der Programmentwicklung, durch Störungen und durch Geräteausfälle verursacht werden. Mittels der zeitlichen Programmablaufüberwachung wird ein Abbruchkriterium bestimmt, das beispielsweise eine maximale Zeitdauer, die größer als die zur Verarbeitung des Programms (R_x) benötigte Zeit ist, festlegt. Anhand dieses Abbruchkriteriums wird ein definierter Zeitrahmen festgelegt, ab wann beispielsweise ein automatischer Neustart oder Abbruch des Programms (R_x) initiiert wird oder eine entsprechende Fehlermeldung ausgegeben wird.

R_x: Programme, Prozesse
R₁: erstes Programme
R₂: zweites Programme
kF_y: kritische Funktion
kF_a: aktuelle, kritische Funktion
kF₁: erste kritische Funktion
kF₂: zweite kritische Funktion
kF₃: dritte kritische Funktion

kF₄: vierte kritische Funktion
kF₅: fünfte kritische Funktion
P_n: Überprüfungspunkt
P₁: erster Überprüfungspunkt
P₂: zweiter Überprüfungspunkt
P₃: dritter Überprüfungspunkt
P₄: vierter Überprüfungspunkt
P₅: fünfter Überprüfungspunkt
P_n-1: vorangegangen Überprüfungspunkte
P_i: erster Überprüfungspunkte
P_f: letzter Überprüfungspunkte
Z_n: Kennungszeichen
Z_n-1: vorangegangen Kennungszeichen
SV: Überwachungsroutine
ZV: Zuordnungsvorschrift
V_a-1: Vorgängersignatur
T1: Referenztabelle
T2: Historientabelle

ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Patentliteratur

- EP 1043641 A2 [0007]

Claims

Verfahren zur Überwachung des logischen Programmablaufs von kritischen Funktionen (kF_y) in Programmen (R_x) durch zumindest eine Recheneinheit (RE) in zumindest einem Feldgerät der Prozess- und Automatisierungstechnik, – wobei Überprüfungspunkte (P_n) an Stellen mit kritischen Funktionen (kF_y) in den Programmen (R_x) eingefügt werden, – wobei die einzelnen Überprüfungspunkte (P_n) durch eine den logischen Programmablauf der kritischen Funktionen (kF_y) charakterisierende, einzigartige Reihenfolge von Kennungszeichen (Z_n) gekennzeichnet werden, – wobei in einer die Reihenfolge der kritischen Funktionen (kF_y) charakterisierenden, festen Zuordnungsvorschrift (ZV) die Zuordnung der möglichen vorangegangenen Kennungszeichen (Z_n-1) der im logischen Programmablauf vorangegangenen Überprüfungspunkte (P_n-1) zu den einzelnen Kennungszeichen (Z_n) der Überprüfungspunkte (P_n) festgehalten wird, – wobei an den Überprüfungspunkten (P_n) in den Programmen (R_x) in einem Überwachungszyklus eine Überwachungsroutine (SV) ausgeführt wird, – wobei in der Überwachungsroutine (SV) an einer dem aktuell vorliegenden Kennungszeichen (Z_a) des aktuellen Überprüfungspunkt (P_a) entsprechenden Position in der feste Zuordnungsvorschrift (ZV) die vorangegangenen Kennungszeichen (Z_n-1) mit einem im vorherigen Überwachungszyklus abgespeicherten Vorgängersignatur (V_a-1) verglichen werden, – wobei das aktuell vorliegende Kennungszeichen (Z_a) für den folgend Überwachungszyklus als Vorgängersignatur (V_a-1) abgespeichert wird.
Verfahren nach Anspruch 1, wobei bei Gleichheit der in der Zuordnungsvorschrift (ZV) enthalten vorangegangenen Kennungszeichen (Z_n-1) mit dem Vorgängersignatur (V_a-1) die kritische Funktion (kF_y) des Programms (R_x) nach dem Überprüfungspunkt (P_n) ausgeführt wird.
Verfahren nach Anspruch 1, wobei bei Ungleichheit der in der Zuordnungsvorschrift (ZV) enthalten vorangegangenen Kennungszeichen (Z_n-1) mit dem Vorgängersignatur (V_a-1) das Programm (R_x) abgebrochen wird.
Verfahren nach Anspruch 1, wobei bei Ungleichheit der in der Zuordnungsvorschrift (ZV) enthalten vorangegangenen Kennungszeichen (Z_n-1) mit dem Vorgängersignatur (V_a-1) das Programm (R_x) erneut ausgeführt wird.
Verfahren nach Anspruch 1, wobei bei Ungleichheit der in der Zuordnungsvorschrift (ZV) enthalten vorangegangenen Kennungszeichen (Z_n-1) mit dem Vorgängersignatur (V_a-1) das Programm (R_x) eine Fehlermeldung generiert wird.
Verfahren nach zumindest einem der Ansprüche 1 bis 5, wobei die Zuordnungsvorschrift (ZV) der Kennungszeichen (Z_n) der Überprüfungspunkte (P_n) zu den im logischen Programmablauf vorangegangenen Kennungszeichen (Z_n-1) der möglichen, vorangegangenen Überprüfungspunkte (P_n-1) in einer nichtflüchtigen Speichereinheit abgespeichert wird.
Verfahren nach zumindest einem der Ansprüche 1 bis 6, wobei die Zuordnungsvorschrift (ZV) in zumindest einer Referenztabelle (T1) abgelegt wird.
Verfahren nach Ansprüche 7, wobei in jede Zeile der ersten Spalte der Referenztabelle (T1) die Kennungszeicher (Z_n) der Überprüfungspunkts (P_n) eingetragen werden und in den weiteren Spalten jeder Zeile die vorangegangenen Kennungszeichen (Z_n-1) der möglichen, vorangegangenen Überprüfungspunkte (P_n-1) eingetragen werden.
Verfahren nach zumindest einem der Ansprüche 1 bis 5, wobei die Vorgängersignatur (V_a-1) der einzelnen Programme (R_x) in einer Historientabelle (T2) abgelegt werden.
Verfahren nach zumindest einem der Ansprüche 1 bis 9, wobei eine zusätzliche logische Programmablaufüberwachung durch ein Zählverfahren eingesetzt wird, bei dem an verschiedenen Stellen im Programm (R_x) eine Signatur in einem Signaturenregister aufsummiert wird und am Ende mit einer Sollsignatur verglichen wird.
Verfahren nach zumindest einem der Ansprüche 1 bis 10, wobei mittels einer zeitlichen Programmablaufüberwachung die Zeitabweichungen in den Bearbeitungszeiten von den kritischen Funktionen (kF_y) in den Programmen (R_x) erfasst werden.