DE102008033588B9

DE102008033588B9 - Verfahren zur Überführung eines Ausgangsmoduls in einen sicheren Zustand

Info

Publication number: DE102008033588B9
Application number: DE102008033588A
Authority: DE
Inventors: Thomas Hüttemeier
Original assignee: Phoenix Contact GmbH and Co KG
Current assignee: Phoenix Contact GmbH and Co KG
Priority date: 2008-07-17
Filing date: 2008-07-17
Publication date: 2010-08-12
Anticipated expiration: 2028-07-18
Also published as: DE102008033588A1; DE102008033588B4

Abstract

Verfahren zur Überführung eines Ausgangsmoduls in einen sicheren Zustand in einem Kommunikationsszenario, in dem eine Master-Einrichtung (101) und eine Mehrzahl von Slave-Einrichtungen (103, 105, 107) über einen Kommunikationsbus kommunizieren, wobei zumindest eine Slave-Einrichtung (103, 105, 107) das Ausgangsmodul ist, mit:
Erfassen eines Kommunikationsfehlers zwischen zumindest einer der Slave-Einrichtungen (103, 105, 107) und der Master-Einrichtung (101); und
Überführen des Ausgangsmoduls in einen sicheren Zustand, falls ein Kommunikationsfehler vorliegt.

Description

Die vorliegende Erfindung betrifft die Überführung eines Ausgangs in einen sicheren Zustand in einem System, insbesondere in einem Automatisierungssystem, in welchem über einen Kommunikationsbus kommuniziert wird.
Die Druckschrift EP 1 327 922 B offenbart eine Sicherheitsschalteranordnung mit einer Anzahl von Schaltsignalen generierenden Ausgangsstufen, wobei in Abhängigkeit der Schaltsignale an die Ausgangsstufen angeschlossene Arbeitsgeräte aktivierbar oder deaktivierbar sind. Die Ausgangsstufen bilden Slaves eines nach dem Master-Slave-Prinzip arbeitenden Bussystems, welchem ein Sicherheitsmonitor zum Abhören der über das Bussystem übertragenen Signale zugeordnet ist.
Die Druckschrift DE 10 2005 055 428 B4 offenbart ein Busmodul mit der Funktionalität eines Slaves, das sicherheitsgerichtete Signale erzeugt. Das Signal wird von einem Master zyklisch abgefragt und an einen jeweils adressierten Aktuator weitergeleitet.
Die Druckschrift DE 10 2006 051 222 B3 beschäftigt sich mit einem Verfahren zur Kommunikation auf einem LIN-Bus mit einem Master einer Mehrzahl von Slaves.
In sicherheitsrelevanten Anwendungen ist es von entscheidender Bedeutung, im Falle eines Systemfehlers relevante Sicherheitsausgänge schnell und sicher in einen sicheren Zustand beispielsweise durch eine Abschaltung der Stromversorgung zu überführen. Falls mehrere sicherheitsrelevante Module miteinander über einen Kommunikationsbus unter Einbeziehung einer Master-Einheit und eines vorgegebenen Kommunikationsprotokolls kommunizieren, so kann es bei der Überführung eines der Ausgänge in einen sicheren Zustand zu einer protokollbedingten Verzögerung kommen, welche in sicherheitsrelevanten Anwendungen jedoch kritisch sein kann.
Es ist die Aufgabe der vorliegenden Erfindung, ein effizientes Konzept zur sicheren Überführung eines Ausgangs in einen sicheren Zustand in sicherheitsrelevanten und Kommunikationsbus-basierten Systemen zu schaffen.
Diese Aufgabe wird durch die Merkmale der unabhängigen Ansprüche gelöst. Vorteilhafte Weiterbildungsformen sind in den abhängigen Ansprüchen beschreiben.
Die Erfindung basiert auf der Erkenntnis, dass die Sicherheit in einem Kommunikationsnetz-basierten System dadurch erhöht werden kann, dass ein beliebiger Busteilnehmer, also auch eine Slave-Einrichtung, bei Vorliegen eines Kommunikationsfehlers durch ein dauerhaftes und dominantes Signal auf dem Kommunikationsbus einen oder auch alle Ausgänge in einen sicheren Zustand versetzen kann.
Die Erfindung betrifft ein Verfahren zur Überführung eines Ausgangsmoduls in einen sicheren Zustand in einem Kommunikationsszenario, in dem eine Master-Einrichtung und ein Mehrzahl von Slave-Einrichtungen über einen Kommunikationsbus kommunizieren, wobei zumindest eine Slave-Einrichtung das Ausgangsmodul ist. Das Verfahren umfasst das Erfassen eines Kommunikationsfehlers zwischen zumindest einer der Slave-Einrichtungen und der Master-Einrichtung und das Überführen des Ausgangsmoduls in einen sicheren Zustand, falls ein Kommunikationsfehler vorliegt.
Gemäß einer Ausführungsform wird zur Überführung des Ausgangsmoduls in den sicheren Zustand das Ausgangsmodul von dem Kommunikationsbus getrennt oder das Ausgangsmodul abgeschaltet wird oder die Stromversorgung des Ausgangsmoduls reduziert oder abgeschaltet.
Gemäß einer Ausführungsform wird die Erfassung des Kommunikationsfehlers durch eine Slave-Einrichtung oder durch die Master-Einrichtung durchgeführt.
Gemäß einer Ausführungsform wird eine Anweisung zum Überführen des Ausgangsmoduls in den sicheren Zustand durch die Master-Einrichtung oder durch diejenige Slave-Einrichtung, welche den Kommunikationsfehler erfasst hat, ausgesendet.
Gemäß einer Ausführungsform wird zur Überführung des Ausgangsmoduls in den sicheren Zustand ein Veto-Signal über den Kommunikationsbus durch eine Slave-Einrichtung oder die Master-Einrichtung ausgesendet.
Gemäß einer Ausführungsform wird das Ausgangsmodul in den sicheren Zustand nur dann überführt wird, wenn ein Kommunikationsfehler und eine Änderung an einem Ausgang oder an einem Eingang einer Slave-Einrichtung oder der Master-Einrichtung erkannt werden.
Gemäß einer Ausführungsform wird ein Kommunikationsfehler erfasst und das Ausgangsmodul in den sicheren Zustand insbesondere durch eine Slave-Einrichtung überführt, wenn bei einer Änderung eines Eingangsdatums an einem Eingang der Slave-Einrichtung eine vorbestimmte Kommunikationssequenz mit dem geänderten Eingangsdatum zumindest K mal fehlerhaft übertragen wurde oder wenn bei einer Änderung eines Ausgangsdatums an einem Ausgang der Slave-Einrichtung eine vorbe stimmte Kommunikationssequenz mit dem geänderten Ausgangsdatum zumindest L mal fehlerhaft übertragen wurde, wobei K und L vorbestimmte Variablen sind, welche insbesondere von einer Anzahl von Wiederholungen der vorbestimmten Kommunikationssequenz abhängen.
Gemäß einer Ausführungsform wird ein Kommunikationsfehler erfasst und das Ausgangsmodul in den sicheren Zustand insbesondere durch die Master-Einrichtung überführt, wenn eine Kommunikationssequenz M mal fehlerhaft übertragen wurde oder wenn innerhalb eines vorbestimmten Zeitintervalls weniger als N Verarbeitungszyklen durchlaufen werden, wobei M und N vorbestimmte Variablen sind.
Gemäß einer Ausführungsform ist an den Kommunikationsbus eine Mehrzahl von Ausgangsmodulen angeschaltet, wobei bei Vorliegen des Kommunikationsfehlers alle Ausgangsmodule in einen sicheren Zustand überführt werden.
Die Erfindung betrifft ferner ein sicheres Kommunikationssystem mit einer Master-Einrichtung und einer Mehrzahl von Slave-Einrichtungen, wobei zumindest eine Slave-Einrichtung ein Ausgangsmodul ist, wobei die Master-Einrichtung und die Slave-Einrichtungen ausgebildet sind, über den Kommunikationsbus zu kommunizieren, wobei eine oder jede der Slave-Einrichtungen oder die Master-Einrichtung vorgesehen ist, bei Vorliegen eines Kommunikationsfehlers zwischen zumindest einer der Slave-Einrichtungen und der Master-Einrichtung das Ausgangsmodul in einen sicheren Zustand zu überführen.
Weitere Ausführungsbeispiele der Erfindung werden anhand von 1, welche ein erfindungsgemäßes Kommunikationssystem zeigt, erläutert.
1 zeigt eine prinzipielle Struktur eines Kommunikationssystems mit einer Master-Einheit 101 sowie mit Slave-Einheiten 103, 105 und 107. Die Master-Einheit 101 sowie die Slave-Einheiten 103, 105 und 107 kommunizieren als Busteilnehmer über einen Kommunikationsbus 109 beispielsweise nach einem der bekannten Kommunikationsbus-Protokolle. Die Slave-Einheit 103 kann beispielsweise eine Verarbeitungseinheit sein, die Slave-Einheit 105 kann beispielsweise ein Eingangsmodul sein und die Slave-Einheit 107 kann beispielsweise ein Ausgangsmodul sein.
Die sicheren bzw. auch nicht-sicheren Eingangs-, Ausgangs- und Verarbeitungseinheiten 103, 105 und 107 kommunizieren beispielsweise nach einem festen zyklischen Ablauf über den Kommunikationsbus 109, wobei ein Zyklus beispielsweise jeweils aus einer Verarbeitungsphase und einer Kommunikationsphase besteht.
In der Kommunikationsphase legen alle Busteilnehmer 101, 103, 105 und 107 ihre Prozessdaten auf den Kommunikationsbus 109 beispielsweise in einer fest vorgegebenen Reihenfolge mit einem fest vorgegebenen Format, das beispielsweise durch ein Kommunikationsbusprotokoll festgelegt sein kann. Gemäß einer Ausführungsform lesen alle Busteilnehmer gleichzeitig alle kommunizierten Daten und übernehmen diejenigen Daten, die für sie jeweils bestimmt sind. Die Master-Einheit 101 kann beispielsweise am Ende einer jeweiligen Kommunikationssequenz eine Check-Summe in an sich bekannter Weise über alle kommunizierten Daten bestimmen. Diese Check-Summe kann auch über den Kommunikationsbus 109 kommuniziert werden. Diese Check-Summe kann durch alle Busteilnehmer auf Richtigkeit hin überprüft werden. Falls beispielsweise nur ein Busteilnehmer einen Kommunikationsfehler erkennt, so kann er dies durch ein dominantes Fehlersignal beispielsweise innerhalb eines definierten Zeitfensters auf dem Kommunikationsbus 109 signalisieren. Bei Empfang des dominanten Fehlersignals können alle Busteilnehmer die zuvor übertragenen Daten ignorieren, wobei die fehlerhaft übermittelte Kommunikationssequenz erneut ausgesendet wird.
Die vorstehend genannte Wiederholung der Kommunikationssequenz wird durch ein Fehlersignal initiiert, das als ein Standard-Veto-Signal interpretiert werden kann. Bevorzugt wird mit dem Fehlersignal jedoch seitens eines der Busteilnehmer signalisiert, dass die Sicherheitsfunktion des Systems nicht mehr gewährleistet ist und dass einer oder auch alle Ausgänge beispielsweise sofort in den sicheren Zustand zu versetzen sind. Ein derartiges dauerhaftes und dominantes Fehlersignal kann beispielsweise als Super-Veto-Signal den Kommunikationsbus 109 ausgesendet werden.
Gemäß einer Ausführungsform wird ein Ausgang bzw. ein Ausgangsmodul mittels des Super-Veto-Signals in einen sicheren Zustand überführt, falls ein Eingangsmodul, beispielsweise die Slave-Einrichtung 105, eine Änderung an zumindest einem seiner Eingänge erkannt hat. Daraufhin sendet das Eingangsmodul ein Super-Veto-Signal über den Kommunikationsbus 109 aus, wenn eine Kommunikationssequenz mit dem geänderten Eingangsdatum K-mal erfolglos, d. h. fehlerhaft, übertragen wurde. Darüber hinaus kann ein Super-Veto-Signal übermittelt werden, falls ein Verarbeitungsmodul, beispielsweise die Slave-Einrichtung 103, eine Änderung des Soll-Zustands eines Ausgangs erkannt hat. Daraufhin übermittelt das Verarbeitungsmodul ein Super-Veto-Signal, wenn eine Kommunikationssequenz mit dem geänderten Ausgangsdatum L-mal erfolglos wiederholt wurde. Die Variablen K und L sind dabei beispielsweise abhängig von einer Anzahl der Wiederholungen der vorangegangenen Kommunikationssequenz.
Darüber hinaus kann ein Super-Veto-Signal durch die Master-Einrichtung 101 ausgesendet werden, wenn beispielsweise irgendeine Kommunikationssequenz beispielsweise M-mal erfolglos wiederholt wurde. Die Master-Einrichtung 101 kann ferner vorgesehen sein, ein Super-Veto-Signal auszusenden, wenn innerhalb eines vorbestimmten Zeitfensters der Zeitdauer T insgesamt weniger als N Verarbeitungszyklen durchlaufen wurden. Die Werte für K, L, M und N werden bevorzugt so gewählt, dass die spezifizierte Reaktionszeit des Systems sicher nach einem vordefinierten SIL (SIL: Safety Integrity Level) eingehalten wird.
Durch das erfindungsgemäße integrierte Verfahren werten die Slave-Einrichtungen 103, 105 und 107 sowie die Master-Einrichtung 101 beispielsweise in einem sicheren Kommunikationsverbund das erfolgreich gesendete Protokoll aus. Dabei wartet diejenige Slave-Einrichtung, welche sendet bzw. einen Statuswechsel erkennt, auf eine Rückmeldung von der Master-Einrichtung, ob das Protokoll erkannt wurde bzw. ob eine Kommunikationssequenz fehlerfrei ist. Falls die Rückmeldung von der Master-Einheit nicht innerhalb einer definierten Reaktionszeit ausgesendet bzw. empfangen wird, so kann die Slave-Einrichtung durch das Super-Veto-Signal der Master-Einrichtung bzw. allen anderen Busteilnehmern mitteilen, dass die Ausgänge in einen sicheren Zustand geschaltet werden.
Die Slave-Einrichtungen können beispielsweise über einen Backplane-Bus an die Master-Einrichtung angeschlossen sein und nur bei einer Statusänderung der Ein- und Ausgänge überprüfen, ob das gesendete Protokoll innerhalb der Reaktionszeit der Klein-Steuerung von der Master-Einheit erkannt und ausgewertet wurde. Erkennt eine Slave-Einrichtung, dass das gesendete Protokoll nicht korrekt ausgewertet wurde, so kann sie durch das Super-Veto-Signal eine vollständige Unterbrechung der Kommunikation bewirken. Dies wird in einer sicheren Weise von den Ausgangsmodulen ausgewertet, so dass alle Ausgänge in einen sicheren Zustand versetzt werden. Ändert sich hingegen der Status der Ein- und Ausgänge nicht, so können mehr Fehler in einem Kommunikationstelegramm toleriert werden, wodurch die Verfügbarkeit des Systems erhöht wird.

Claims

Verfahren zur Überführung eines Ausgangsmoduls in einen sicheren Zustand in einem Kommunikationsszenario, in dem eine Master-Einrichtung (101) und eine Mehrzahl von Slave-Einrichtungen (103, 105, 107) über einen Kommunikationsbus kommunizieren, wobei zumindest eine Slave-Einrichtung (103, 105, 107) das Ausgangsmodul ist, mit: Erfassen eines Kommunikationsfehlers zwischen zumindest einer der Slave-Einrichtungen (103, 105, 107) und der Master-Einrichtung (101); und Überführen des Ausgangsmoduls in einen sicheren Zustand, falls ein Kommunikationsfehler vorliegt.
Verfahren gemäß Anspruch 1, bei dem zur Überführung des Ausgangsmoduls in den sicheren Zustand das Ausgangsmodul von dem Kommunikationsbus getrennt wird oder das Ausgangsmodul abgeschaltet wird oder die Stromversorgung des Ausgangsmoduls reduziert oder abgeschaltet wird.
Verfahren gemäß einem der vorhergehenden Ansprüche, wobei die Erfassung des Kommunikationsfehlers durch eine Slave-Einrichtung oder durch die Master-Einrichtung (101) durchgeführt wird.
Verfahren gemäß einem der vorhergehenden Ansprüche, bei dem eine Anweisung zum Überführen des Ausgangsmoduls in den sicheren Zustand durch die Master-Einrichtung (101) oder durch diejenige Slave-Einrichtung (103, 105, 107), welche den Kommunikationsfehler erfasst hat, ausgesendet wird.
Verfahren gemäß einem der vorhergehenden Ansprüche, bei dem zur Überführung des Ausgangsmoduls in den sicheren Zustand ein Veto-Signal über den Kommunikationsbus durch eine Slave-Einrichtung (103, 105, 107) oder die Master-Einrichtung (101) ausgesendet wird.
Verfahren gemäß einem der vorhergehenden Ansprüche, bei dem das Ausgangsmodul in den sicheren Zustand nur dann überführt wird, wenn ein Kommunikationsfehler und eine Änderung an einem Ausgang oder an einem Eingang einer Slave-Einrichtung (103, 105, 107) oder der Master-Einrichtung (101) erkannt werden.
Verfahren gemäß einem der vorhergehenden Ansprüche, bei dem ein Kommunikationsfehler erfasst und das Ausgangsmodul in den sicheren Zustand insbesondere durch eine Slave-Einrichtung überführt wird, wenn bei einer Änderung eines Eingangsdatums an einem Eingang der Slave-Einrichtung eine vorbestimmte Kommunikationssequenz mit dem geänderten Eingangsdatum zumindest K mal fehlerhaft übertragen wurde oder wenn bei einer Änderung eines Ausgangsdatums an einem Ausgang der Slave-Einrichtung (103, 105, 107) eine vorbestimmte Kommunikationssequenz mit dem geänderten Ausgangsdatum zumindest L mal fehlerhaft übertragen wurde, wobei K und L vorbestimmte Variablen sind, welche insbesondere von einer Anzahl von Wiederholungen der vorbestimmten Kommunikationssequenz abhängen.
Verfahren gemäß einem der vorhergehenden Ansprüche, bei dem ein Kommunikationsfehler erfasst und das Ausgangsmodul in den sicheren Zustand insbesondere durch die Master-Einrichtung (101) überführt wird, wenn eine Kommunikationssequenz M mal fehlerhaft übertragen wurde oder wenn innerhalb eines vorbestimmten Zeitintervalls weniger als N Verarbeitungszyklen durchlaufen werden, wobei M und N vorbestimmte Variablen sind.
Verfahren gemäß einem der vorhergehenden Ansprüche, wobei an den Kommunikationsbus eine Mehrzahl von Ausgangsmodulen angeschaltet ist und wobei bei Vorliegen des Kommunikationsfehlers alle Ausgangsmodule in einen sicheren Zustand überführt werden.
Sicheres Kommunikationssystem, mit: einer Master-Einrichtung (101); und einer Mehrzahl von Slave-Einrichtungen (103, 105, 107); wobei zumindest eine Slave-Einrichtung (103, 105, 107) ein Ausgangsmodul ist, wobei die Master-Einrichtung (101) und die Slave-Einrichtungen (103, 105, 107) ausgebildet sind, über den Kommunikationsbus zu kommunizieren, wobei eine oder jede der Slave-Einrichtungen (103, 105, 107) oder die Master-Einrichtung (101) vorgesehen ist, bei Vorliegen eines Kommunikationsfehlers zwischen zumindest einer der Slave-Einrichtungen (103, 105, 107) und der Master-Einrichtung (101) das Ausgangsmodul in einen sicheren Zustand zu überführen.