DE102010033447B4 - Sicherer Safety-at-Work Slave mit Standardeingang - Google Patents

Abstract

Verfahren zur parallelen Übertragung eines nicht-sicherheitsgerichteten 1-Bit-Eingangssignals und eines sicheren Wertes mit einem Safety-at-Work Eingangsslave, der in bekannter Weise mit einer individuellen, zyklisch gesendeten Codefolge abgesichert wird, dadurch gekennzeichnet,• dass in festgelegten Abständen genau ein Wert der Codefolge dann vom Slave in festgelegter Weise modifiziert wird, wenn ein zusätzliches, nicht-sicherheitsgerichtetes „EIN“-Signal signalisiert werden soll, während die übrige Codefolge unverändert bleibt,• dass dieser modifizierte Code nach jeweils „N“ Codefolgen vom Slave wiederholt wird, solange das „EIN“-Signal des nicht-sicherheitsgerichteten Slaves übertragen werden soll, wobei „N“ gleich einer ganzen Zahl ist,• dass der Sicherheitsmonitor diese Modifizierung der Codefolgen erkennt und dann nicht als Störung der Datenübertragung und damit als Abschaltsituation interpretiert, wenn er nach dem Empfang eines modifizierten Codes entweder weiterhin die modifizierteCodefolge empfängt (N = 1) oder je nach Bauart ein oder mehrere ungestörte Standard-Codefolgen vor der nächsten modifizierten Codefolge empfängt,• dass der Sicherheitsmonitor dann den modifizierten Code als das parallel gesendete, nichtsicherheitsgerichtete „EIN“-Signal erkennt, wenn die Abweichung von der standardmäßigen Codefolge einmal oder mehrmals, jeweils nach einer vorgegebenen Anzahl „N“ von Codefolgen, erkannt wird,• und dass der Sicherheitsmonitor das erkannte „EIN“-Signal mit Hilfe eines für die Applikation erstellten Programmes im Monitor verarbeitet oder an die Steuerung der Applikation weitergibt, in der das Safety-at-Work Netz arbeitet.

Description

• Stand der Technik
• AS-Interface ist ein eingeführtes und genormtes (IEC 62026-2: Part 2: Actuator Sensor Interface (AS-i), Part 2: Actuator Sensor Interface (AS-i); 2000; oder: Kriesel, W. R., Madelung, O. W. (Hrsg.): AS-Interface Das Aktuator-Sensor-Interface für die Automation; 213 S., 2. deutsche Auflage, Carl Hanser Verlag 1999, ISBN 3-446-21064-4; oder aktualisiert: AS-International Association: Complete Specification Version 3.0 Rev. 3 (2010) und Annex A and B to the Complete AS-Interface Specification; Version 3.0, Revision 3 (2010)) Bussystem für einfache Sensoren und Aktuatoren, die in computergesteuerten Prozessen oder Anlagen (hier „Applikationen“ genannt) verwendet werden. Für Applikationen mit besonders hohen Sicherheitsanforderungen gemäß den internationalen Normen (DIN EN ISO 13849-1: 2008: Sicherheit von Maschinen-Sicherheitsbezogene Teile von Steuerungen) für sicherheitsgerichtete Geräte existiert eine Sicherheitsvariante von AS-Interface unter dem Namen „Safety at Work“ (AS-International Association (Hrsg.): AS-Interface Safety-at-Work, (2004) und Complete Specification,), in der der Datenverkehr im AS-Interface Netz mit „sicheren“ Slaves durch Codefolgen so abgesichert wird, dass die Daten der Sensoren oder Aktuatoren innerhalb des Netzes sicherheitsgerichtet im Sinne der Normen übertragen werden. Dazu enthält das Netz einen „Sicherheitsmonitor“, der den Datenverkehr mit den sicheren Slaves überwacht und die Applikation über seine lokalen Ausgänge oder über sicherheitsgerichtete Aktuatoren stets in einem sicheren Zustand hält.
• Nicht-sicherheitsgerichtete Standard-Slaves und sichere Slaves können in demselben Netz verwendet werden. Ein AS-Interface Netz, das wenigstens einen Sicherheitsmonitor und einen sicherheitsgerichteten Slave enthält, wird als „Safety-at-Work Netz“ bezeichnet. In beiden Fällen - Standard-AS-Interface und Safety-at-Work - können die Slaves Bestandteil eines Gerätes, also eines Sensors oder eines Aktuators, sein oder sie bilden separate Einheiten, sogenannte Module, an die externe Sensoren oder Aktuatoren ohne eigenen AS-Interface-Slave-Baustein angeschlossen werden. Für die Steuerung einer Applikation über die Sensoren und Aktuatoren ist eine übergeordnete Steuerung, z. B. eine SPS, ein PC oder ein „Controller“, verantwortlich. Aufgrund der einfachen Struktur des Systems können Standard-Slaves nach der AS-Interface Norm in jeder Richtung vier Bit pro Zyklus übertragen, beispielweise den
• Zustand von vier binären Sensoren. Für Safety-at-Work ist jedoch eine zusätzliche Absicherung des Datenverkehrs notwendig. Dazu werden die vier Bit des Einzeltelegramms genutzt, um zyklisch eine Codefolge zu übertragen, die für jeden einzelnen Slave individuell vom Hersteller festgelegt wird. 1 zeigt die Folge der Telegramme für einen speziellen Slave mit der Codefolge „257a9b6c“. Die Telegramme aller übrigen Slaves sind nicht dargestellt. Sie werden zwischen den Einzelcodes übertragen.
• Bei Safety-at-Work überprüft der Sicherheitsmonitor ständig diese Codefolgen. Sobald einer der Codes aus der Folge vom Sollwert abweicht oder die hexadezimale „Null“ (das binäre Telegramm 0 - 0 - 0 - 0) übertragen wird, erkennt der Monitor dies, übernimmt die Steuerung die Applikation, steuert sie in einen sicheren Zustand und hält sie an. Aufgrund der Konstruktion des Monitors und des Aufbaus des Netzes lässt sich jeweils eine Reaktionszeit T_R zwischen dem Auftreten eines Fehlers im Netz und der Reaktion des Sicherheitsmonitors an seinen Ausgängen angeben. Auf diese Weise wird die Sicherheit erreicht, die für gefahrbringende Applikationen von der Norm gefordert wird. Für bestimmte Netzsituationen sind außerdem besondere Software-Zusätze, sogenannte Devices, bekannt.
• Der Nachteil dieses Verfahrens für Safety-at-Work Eingänge besteht darin, dass es mit ihm nur möglich ist, einen 1-bit Wert zu signalisieren, nämlich „EIN“, solange die Codefolge des Slaves gesendet wird, und „AUS“, wenn das Telegramm 0 - 0 - 0 - 0 übertragen wird oder wenn ein Datenfehler auftritt. Sicherheitsgerichtete Eingangsslaves können also nach Stand der Technik immer nur 1 Bit pro Zyklus übertragen, nämlich „erkenne sicheren Zustand“ oder „erkenne einen nichtsicheren Zustand“. Das ist in der Praxis hinderlich, wenn in einer Applikation viele Slaves benötigt werden, da dann die Schwelle zur Installation mehrerer SaW-Netze niedrig liegt. Etwas komplexere Geräte, die mehr als einen sicheren Eingang benötigen, können nicht als einzelne Slaves realisiert werden, sondern benötigen bisher einen weiteren Slave.
• Erfindung
• Der Erfindung liegt daher die Aufgabe zu Grunde, sicherheitsgerichtete Eingangsslaves datentechnisch besser zu nutzen, ohne dass die Sicherheitsfunktion des Netzes unzulässig beeinträchtigt wird.
• Das erfindungsgemäße Verfahren löst diese Aufgabe für ein weiteres 1-Bit Signal, das zusätzlich zu dem standardisierten, sicherheitsgerichteten Eingangssignal vom Slave übertragen wird. Dieses weitere Signal ist nicht-sicherheitsgerichtet. Das Verfahren nutzt zur Übertragung des sicheren Eingangs das bekannte, standardisierte Verfahren mit Codefolgen, die vom Slave gesendet werden, jedoch modifiziert der zusätzliche, nicht-sicherheitsgerichtete Eingang, falls er auf „EIN“ steht, in jeder N-ten Codefolge einen einzelnen ihrer Codes in einer vorgegebenen Weise. Das ist in 2 als Beispiel an der Codefolge „257a9b6c“ dargestellt und zwar mit N = 3 und dem modifizierten Code „f“ anstelle von „2“. Jede Ziffer und jeder Buchstabe entsprechen einem Telegramm des betrachteten Slaves. Jene Telegramme, die von anderen Slaves zwischen jedem einzelnen Code des betrachteten Slaves gesendet werden, sind nicht dargestellt. Ähnliche modifizierte Codes sind bereits zur Ansteuerung sicherer Aktuatoren bekannt, werden jedoch dort vom Monitor gesendet, während sie hier vom Sicherheitsmonitor empfangen werden und zu einem ganz anderen Zweck verwendet werden. Ebenso finden sich modifizierte Codefolgen in EP 2 315 084 A1 , insbesondere Abs. [0020-0022, 0035, 0038 ,0039], EP2 066 079 A2 , insbesondere Abs [0006, 0014, 0037-0040, 0043] sowie DE 199 25 552 A1 , insbesondere Abs. [0012-0015, 0026, 0039-0046]. Jedoch wird hier nicht vermittelt, dass der Sicherheitsmonitor diese Modifizierung der Codefolgen nicht als Störung der Datenübertragung und damit als Abschaltsituation interpretiert, wenn weitere modifizierte Codefolgen oder ungestörte Codefolgen vor der nächsten modifizierten Codefolge empfangen werden.
• Der Sicherheitsmonitor erfasst den ersten veränderten Code und analysiert die nachfolgenden Codefolgen. Ist für „N“ der Wert „Eins“ festgelegt, so muss der modifizierte Wert in jeder der nachfolgenden Codefolge auftauchen. Ist für „N“ der Wert „Zwei“ oder „Drei“ oder ein noch höherer Wert festgelegt, so muss der modifizierte Wert in jeder zweiten, dritten oder allgemeiner in jeder „N“-ten Codefolge erkannt werden. Ist dies der Fall, so wird für die Dauer der modifizierten Codefolgen die Folge der Telegramme als das „EIN“-Signal des nicht-sicherheitsgerichteten Eingangs interpretiert. Wird vom Slave statt der modifizierten Codefolge dauerhaft die Standard-Codefolge gesendet, so entspricht dies dem „AUS“-Signal des sicherheitsgerichteten Eingangs. Alle anderen Veränderungen der Telegrammfolge werden als Fehler oder Abschaltsignal (0 - 0 - 0 - 0) interpretiert und führen dazu, dass der Sicherheitsmonitor die Applikation in einen sicheren Zustand bringt.
• Das zusätzliche, nicht-sicherheitsgerichtete Signal, das erfindungsgemäß zum Sicherheitsmonitor übertragen wird, steht dort für das Anwenderprogramm im Monitor zur Steuerung der Applikation zur Verfügung. Es kann beispielsweise dazu genutzt werden, ohne einen Eingriff in den sicheren Betriebsablauf eine Applikation in einem definierten Zustand zu stoppen, um dann Wartungsarbeiten durchführen zu können. Ein nicht-sicherheitsgerichteter Taster kann dann als Bestandteil einer Türsicherung realisiert werden, ohne dass hierfür oder für vergleichbare Anwendungsfälle ein zweiter Slave installiert werden muss (Anspruch 1).
• Grundsätzlich ist die Wahl, welcher Code einer Codefolge modifiziert wird und wie er verändert wird, frei. Um die Interoperabilität aller Systemkomponenten von AS-Interface zu erhalten, ist es jedoch sinnvoll beides festzulegen, beispielsweise den niedrigsten Code einer Codefolge durch den Code ,,f' zu ersetzen (Anspruch 2).
• Bezüglich seiner Funktion als sicheres Abschaltelement arbeitet der Sicherheitsmonitor nach dem erfindungsgemäßen Verfahren langsamer bis zum Abschalten, d. h. seine Reaktionszeit T_R ist gegenüber Sicherheitsmonitoren nach dem Stand der Technik vergrößert. Nach dem ersten Auftreten eines modifizierten Codes kann nämlich noch nicht mit der geforderten Sicherheit zwischen einem fehlerhaft veränderten Code und einem zusätzlichen Eingangssignal unterschieden werden. Zur Unterscheidung zwischen diesen Fällen bestehen erfindungsgemäß zwei Möglichkeiten:
• Erste Möglichkeit: Bereits nach dem Stand der Technik können Sicherheitsmonitore einzelne, kurzzeitige Fehler aus einer Codefolge mit einem der erwähnten Devices herausfiltern und können damit ein ungewolltes Abschalten aufgrund einer sehr kurzen Störung einer Applikation verhindern. Dazu wird nach einem vom Sollwert abweichenden Code ein Prozess gestartet, der die vom Slave gesendeten Codes mit den vom Monitor erwarteten Codes synchronisiert. Der Prozess ist nach zwei kompletten, fehlerfrei empfangenen Codefolgen abgeschlossen. Wenn dann die erwartete Codefolge wieder auftritt, wird der erste, veränderte Code als unbedeutende Störung interpretiert; ein Abschalten der Applikation unterbleibt. Diese Technik wird erfindungsgemäß so weiter entwickelt, dass das erneute Auftreten des vom zusätzlichen Eingang modifizierten Signals jetzt nicht nur nicht zum Abschalten der Applikation führt, sondern als „EIN“-Signal dieses Eingangs verarbeitet wird. Man erreicht damit, dass nach Ablauf von drei Codefolgen (N = 3) das zusätzliche Signal des nicht-sicherheitsgerichteten Eingangs im Monitor zur Verfügung steht (2). Die Reaktionszeit T_R des sicherheitsgerichteten Eingangs ist dabei maximal um dieselbe Zeitspanne verlängert (Anspruch 3). Zweite Möglichkeit: Die Reaktionszeit T_R beider Eingänge kann gegenüber Anspruch 3 erfindungsgemäß dadurch verkleinert werden, dass der Verlust der Synchronisierung verhindert wird und der modifizierte Code vom Sicherheitsmonitor als erlaubte Variante der Codefolge akzeptiert wird. Dazu wird der modifizierte Code bei der Inbetriebnahme der Applikation dauerhaft im Sicherheitsmonitor gespeichert und steht dort permanent als Codevariante zur Verfügung. Dann können die modifizierte und die ursprüngliche Codefolge vom Slave mit „N“ gleich „Eins“ oder „Zwei“ abwechselnd gesendet und vom Sicherheitsmonitor als korrektes „EIN“-Signal des sicheren und des Standard-Eingangs interpretiert werden (3). Beide Signale stehen dann mit einer geringeren Verzögerung im Sicherheitsmonitor zur Steuerung der Applikation zur Verfügung (Anspruch 4).
• Das erfindungsgemäße Verfahren sieht vor, dass die Übertragung des nicht-sicherheitsgerichteten Signals, seine Erkennung und die Größe von „N“ durch Parametrierung von Slave und Monitor ein- und ausgeschaltet und. festgelegt werden können (Anspruch 5).
• Das erfindungsgemäße Verfahren kann auch zur Übertragung mehrerer unabhängiger 1-Bit Signale desselben Slaves verwendet werden, wenn für die verschiedenen 1-Bit Signale unterschiedliche Codes der Codefolge vom Slave modifiziert werden und diese im Monitor unabhängig voneinander verarbeitet werden (Anspruch 6).
• Die Slaves nach diesem Verfahren können als integrierte Slaves oder als Module konstruiert werden (Anspruch 7).
• Für Fälle, in denen das nicht-sicherheitsgerichtete Signal auch in der übergeordneten Steuerung benötigt wird, ist es möglich, es auch durch einen Master zu empfangen, es in der Steuerung in gleicher Weise wie im Sicherheitsmonitor auszuwerten und dort als Eingangsgröße in den Programmablauf einzubinden. Der Sicherheitsmonitor übernimmt in diesem Fall weiterhin die Auswertung des sicherheitsgerichteten Signals (Anspruch 8).
• Vorteile und wirtschaftlicher Wert der Erfindung
• Das erfindungsgemäße Verfahren ist in jedem Safety-at-Work Eingangsslave einsetzbar, wenn die von ihm gesteuerte Applikation die verlängerte Reaktionszeit T_R des Sicherheitsmonitors verträgt. Der Vorteil des Verfahrens liegt in der Einsparung zusätzlicher Slaves, der Möglichkeit kompaktere Geräte zu entwickeln und Applikationen entsprechend einfacher und kostengünstiger zu installieren.

Claims (8)

1. Verfahren zur parallelen Übertragung eines nicht-sicherheitsgerichteten 1-Bit-Eingangssignals und eines sicheren Wertes mit einem Safety-at-Work Eingangsslave, der in bekannter Weise mit einer individuellen, zyklisch gesendeten Codefolge abgesichert wird, dadurch gekennzeichnet, • dass in festgelegten Abständen genau ein Wert der Codefolge dann vom Slave in festgelegter Weise modifiziert wird, wenn ein zusätzliches, nicht-sicherheitsgerichtetes „EIN“-Signal signalisiert werden soll, während die übrige Codefolge unverändert bleibt, • dass dieser modifizierte Code nach jeweils „N“ Codefolgen vom Slave wiederholt wird, solange das „EIN“-Signal des nicht-sicherheitsgerichteten Slaves übertragen werden soll, wobei „N“ gleich einer ganzen Zahl ist, • dass der Sicherheitsmonitor diese Modifizierung der Codefolgen erkennt und dann nicht als Störung der Datenübertragung und damit als Abschaltsituation interpretiert, wenn er nach dem Empfang eines modifizierten Codes entweder weiterhin die modifizierte Codefolge empfängt (N = 1) oder je nach Bauart ein oder mehrere ungestörte Standard-Codefolgen vor der nächsten modifizierten Codefolge empfängt, • dass der Sicherheitsmonitor dann den modifizierten Code als das parallel gesendete, nichtsicherheitsgerichtete „EIN“-Signal erkennt, wenn die Abweichung von der standardmäßigen Codefolge einmal oder mehrmals, jeweils nach einer vorgegebenen Anzahl „N“ von Codefolgen, erkannt wird, • und dass der Sicherheitsmonitor das erkannte „EIN“-Signal mit Hilfe eines für die Applikation erstellten Programmes im Monitor verarbeitet oder an die Steuerung der Applikation weitergibt, in der das Safety-at-Work Netz arbeitet.
2. Verfahren nach Anspruch (1) dadurch gekennzeichnet, dass der modifizierte Code hexadezimal stets dem Wert „f’ entspricht und/oder an der Stelle des niedrigsten Standard-Codes steht.
3. Verfahren nach einem der vorangehenden Ansprüche dadurch gekennzeichnet, dass die Anzahl „N“ der Codefolgen gleich drei ist.
4. Verfahren nach einem der vorangehenden Ansprüche dadurch gekennzeichnet, dass der Sicherheitsmonitor beide Codefolgen - die Standard-Codefolge des Slaves und die Codefolge mit dem modifizierten Code - als korrekt erkennt und dadurch auf eine erneute Synchronisierung zwischen Sicherheitsmonitor und Slave verzichtet werden kann.
5. Verfahren nach einem der vorangehenden Ansprüche dadurch gekennzeichnet, dass der Wert „N“, sowie Senden und Erkennen des nicht-sicherheitsgerichteten Signals im Slave beziehungsweise im Sicherheitsmonitor durch Parametrierung festgelegt werden können.
6. Verfahren nach einem der vorangehenden Ansprüche dadurch gekennzeichnet, dass mehrere unabhängige 1-Bit Signale nach dem beschriebenen Schema vom Slave zum Monitor übertragen werden können, wobei für jedes einzelne 1-Bit Signal ein anderer Code der Codefolge vom Slave modifiziert wird.
7. Verfahren nach einem der vorangehenden Ansprüche dadurch gekennzeichnet, dass es in einem Eingangsslave verwendet wird, der entweder als integrierter Slave oder als Modul realisiert ist.
8. Verfahren nach einem der vorangehenden Ansprüche dadurch gekennzeichnet, dass zusätzlich zum Sicherheitsmonitor auch der Master das nichtsicherheitsgerichtete Signal nach demselben Verfahren erkennen und an die übergeordnete Steuerung weitergeben kann.

Images