DE102012208134B4

DE102012208134B4 - Verfahren zur fehlersicheren Ansteuerung von Aktuatoren über ein Bussystem

Info

Publication number: DE102012208134B4
Application number: DE102012208134A
Authority: DE
Inventors: Renè Hoffmann; Roland Kälberer
Original assignee: IFM Electronic GmbH
Current assignee: IFM Electronic GmbH
Priority date: 2012-05-15
Filing date: 2012-05-15
Publication date: 2013-12-05
Anticipated expiration: 2032-05-16
Also published as: DE102012208134A1

Abstract

Verfahren zur Erzeugung einer Codefolge zur fehlersicheren Ansteuerung von Aktuatoren 11 über Feldbussysteme 3, wobei die Codefolge von mindestens zwei Codefolgegeneratoren 6, 7 erzeugt wird. Die Codefolgengeneratoren 6, 7 befinden sich innerhalb der fehlersicheren Steuereinheit 1. Jeder Codefolgengenerator 6, 7 ist lediglich in der Lage, nur einen Teil der Codefolge zu bilden. Die Codefolgengeneratoren 6, 7 können gleichzeitig Codefolgen für die Aktuatoren 11 mehrerer gleicher oder auch unterschiedlicher Bussysteme 3 erzeugen. Das Codewort wird in der Logik 9 der Busanbindung 2 jeweils mit einer busspezifischen Konstanten oder einer busspezifischen Verknüpfung verknüpft, damit eine Vertauschung der Bussysteme 3 nicht zur Bildung einer gültigen Codefolge führen kann.

Description

Die Erfindung betrifft ein Verfahren zur fehlersicheren Ansteuerung von Aktuatoren über ein Bussystem der Automatisierungstechnik gemäß den Merkmalen des Oberbegriffs des Patentanspruchs 1, sowie eine Anordnung zur Durchführung des erfindungsgemäßen Verfahrens. Das bevorzugte Bussystem wird als Aktuator-Sensor-Interface, AS-Interface oder AS-i-Bus bezeichnet. Die Erfindung ist jedoch auch für andere Bussysteme geeignet.
Die fehlersichere Ansteuerung von Aktuatoren erfolgt über die Verwaltung und Verarbeitung sicherheitsgerichteter Ein- und Ausgänge auf dem AS-i-Bus, sowie durch die Anbindung an übergeordnete sichere Feldbusse wie z. B. PROFIsafe.
Die AS-i-Erweiterung „Safety at Work” erreicht die höchste Steuerungskategorie 4 nach EN 954-1 (IEC 61508/SIL 3) und kann somit für Not-Aus Applikationen mit Stopp-Kategorie 0 oder 1 eingesetzt werden. Hierfür geeignete Buscontroller, auch Gateways mit integrierter Sicherheitssteuerung genannt, werden von der Anmelderin hergestellt und vertrieben.
Ein übliches Verfahren zur Übertragung fehlersicherer Informationen über ein potenziell unsicheres Medium ist die Verwendung von deterministischen endlichen Codefolgen, welche nach definierten Regeln aufgestellt sind, wie auch bei AS-i-Safety at Work. Die Codefolgen werden in einem Codefolgegenerator gespeichert und sequentiell über das Bussystem übertragen. Der Aktuator wertet die Richtigkeit dieser Codefolgen aus und wechselt bei Verletzung der erwarteten Codefolge in den sicheren Zustand. Der Codefolgengenerator (Speicher) ist üblicherweise in der Steuereinheit enthalten. Beim Wechsel in den nichtfreigegebenen Zustand wird entweder die Codefolge unterbrochen oder der Codefolgengenerator abgeschaltet. Ein einzelnes innerhalb einer Nachricht zu übertragendes Datenwort wird als Codewort der Codefolge bezeichnet.
Die EP1 701 270 A1 beschreibt ein Verfahren zur einkanaligen Ankopplung eines sicherheitskritischen Prozesses aus einer sicheren Umgebung an ein Bussystem. Das dortige System ist für eine Kopplung an Bussysteme mit unterschiedlichen Sicherungsmechanismen ausgelegt. Eine Verknüpfung des erzeugten Codeworts mit einer busspezifischen Konstanten erfolgt jedoch nicht.
Die WO 2009 007 206 A1 zeigt ein Verfahren zur einkanaligen Ankopplung an ein Bussystem. Ein korrekter Sicherheitscode kann nur durch das Zusammenwirken von zwei kommerziellen Rechnern berechnet werden kann, und zwar nur unter der Voraussetzung, dass die Rechner identische Telegrammdaten berechnet haben. Die Algorithmen zur Berechnung des Sicherheitscodes sind so zwischen den Rechnern aufgeteilt, dass sie auf Basis ihrer eigenen Telegrammdaten und ihres spezifischen Teilalgorithmus nur vorläufige Sicherheitscodes berechnen, die in einem Synchronisationsschritt zwischen den Rechnern ausgetauscht und durch Verknüpfung der vorläufigen Sicherheitscodes und der Telegrammdaten der eigentliche Sicherheitscode gebildet wird. Das wird als zu aufwändig angesehen.
Die DE102008045599B3 beschreibt ein Bussystem mit einem Master und einer Anordnung von Slaves. Die Slaves sind als Aktuatoren ausgebildet und weisen eine Steuereinheit auf. Die Freigabesignale für die Aktuatoren werden von einem Codefolgengenerator in eine Codefolge umgesetzt. Die Fehlersicherheit wird entweder durch einen fehlersicher aufgebauten Codefolgengenerator oder durch Rücklesung der Aktuatorzustände in die Steuereinheit erreicht. Nachteilig sind der mit dem fehlersicheren Codefolgengenarator verbundene materielle Aufwand, bzw. der mit der Rücklesung der Aktuatorzustände in die Steuereinheit verbundene Zeitaufwand.
Die EP1985070B1 offenbart ein Verfahren zur einkanaligen Ankopplung eines sicherheitskritischen Prozesses aus einer sicheren Umgebung an einen Bus mit einer nicht sichereren Umgebung. Hierbei wird ein für den sicherheitskritischen Prozess relevanter Datensatz über zumindest zwei redundante Verarbeitungskanäle protokollspezifisch zu jeweils einem sicheren Protokoll zusammengesetzt, indem von jedem der Verarbeitungskanäle auf ein gemeinsames Zwischenregister zugegriffen wird. Das gemeinsame sichere Protokoll wird anteilig durch das Einschreiben von unterschiedlichen Anteilen der jeweiligen sicheren Protokolle zusammengesetzt. Dabei muss beachtet werden, dass die Schreibberechtigung für jede Registerstelle nur einmal vergeben werden darf. Das gemeinsam gebildete sichere Protokoll wird von den redundanten Verarbeitungskanälen aus dem Zwischenregister gelesen. Als nachteilig werden die Rücklesung und die Zugriffssteuerung angesehen, weil sie wegen der rückwärts gerichteten Logik unübersichtlich ist und außerdem eine über die normale Busanbindung hinausgehend Logik, sowie einen gewissen Zeitaufwand erfordert.
Die Aufgabe der Erfindung besteht darin, das Verfahren zur Erzeugung eines sicheren Codes weiter zu vereinfachen und dabei übersichtlicher zu gestalten.
Diese Aufgabe wird mit den kennzeichnenden Merkmalen des Verfahrensanspruchs 1 und des Sachanspruchs 4 gelöst. Die abhängigen Ansprüche betreffen vorteilhafte Ausgestaltungen der Erfindung.
Die Wesentliche Idee der Erfindung besteht darin, mit jedem Codefolgengenerator nur Teilwort des Codewortes zur erzeugen und das komplette Codewort der Codefolge in der Logik der Busanbindung zusammenzusetzen.
Das Codewort wird in den Rechnerkernen der Steuereinheit erzeugt und mit der Logik der Busanbindung mit einer busspezifischen Konstanten verknüpft. Auf das gemeinsame Zwischenregister kann dadurch verzichtetet werden. Es sind keine Zugriffssteuerung und auch kein Rücklesen mehr erforderlich. Die Logik für die Zugriffssteuerung kann ebenfalls entfallen. Wie in den Ausführungsbeispielen gezeigt wird, können die Codefolgengeneratoren gleichzeitig Codefolgen für die Aktuatoren mehrerer gleicher oder unterschiedlicher Bussysteme erzeugen. Bei entsprechender Wahl von spezifischer Konstante bzw. Verknüpfung, wird erreicht, dass bei Vertauschung der Bussysteme keine gültige Codefolge entstehen kann.
Die Erfindung wird anhand der Zeichnung näher erläutert. Es zeigen:
1: die Anordnung von zwei Codegeneratoren und einem Bussystem,
2: die Anordnung von zwei Bussystemen mit getrennter Busanbindung und
3: die Anordnung von zwei Bussystemen mit gemeinsam genutzter Logikeinheit.
Die 1 zeigt eine fehlersichere Steuereinheit 1 mit den beiden Recheneinheiten 4 und 5. Jede der Recheneinheiten 4 und 5 weist einen Codefolgengenerator 6, bzw. 7 zur Erzeugung einer Codefolge C1, C2 auf. Die beiden Codefolgengeneratoren 6, 7 werden mit Hilfe einer Synchronisationseinheit 8 synchronisiert. Die Synchronisiereinheit kann auch in einer der beiden Recheneinheiten, oder in beiden Recheneinheiten enthalten sein. In dem Fall synchronisieren sich die beiden Recheneinheiten selbst. Oder allgemeiner, die Codefolgegeneratoren können über externe oder interne Ereignisse synchronisiert werden. Die Steuereinheit 1 übergibt die beiden Codefolgen C1 und C2 entweder direkt oder über ein Interface 12 an die in einem nicht sicheren Bereich befindliche Busanbindung 2. Hier werden die beiden Codefolgen C1 und C2 mit einer busspezifischen Konstanten K verknüpft. So entsteht ein für mindestens einen an das Bussystem 3 angeschlossenen Aktuator 11 ein vollständiger und gültiger Code C, der über das analoge Frontend 10 dem Bussystem 3 übergeben wird.
Die 2 unterscheidet sich von der 1 dadurch, dass die Busanbindung 2 mit zwei Bussystemen 3, nämlich A und B gekoppelt ist. Deshalb ist auch die Logikeinheit 9 doppelt ausgeführt. Um Verwechslungen zu erkennen, bzw. keine gültigen Codes entstehen zu lassen, wird für jedes Bussystem 3 ein spezifischer Code erzeugt. In einer vorteilhaften Ausgestaltung kann die Verknüpfung die Antivalenz oder die Addition von Codewortteilen zu den Konstanten KA und KB beinhalten. Beispielsweise kann für den ersten Bus 3A die Addition und für den zweiten Bus 3B die Antivalenz verwendet werden, bzw. kann die disjunktive Eigenschaft auch durch Wahl geeigneter verschiedener Konstanten erreicht werden. So entstehen unterschiedliche Codes für die beiden Bussysteme. Die beiden unterschiedlichen sicheren Codes werden über die analogen Frontenden 10 in das jeweilige Bussystem 3 eingekoppelt.
Die 3 zeigt eine weitere mit zwei Bussystemen 3 gekoppelte Busanbindung 2. Hier wird der Logikeinheit 9 gemeinsam genutzt. Allerdings werden die Codes C1 und C2 mit unterschiedlichen Konstanten KA und KB verknüpft. Die so entstehenden sicheren Codes CA und CB werden wie in 2 über ein analoges Frontend 10 in das jeweilige Bussystem eingekoppelt.
Die Erfindung betrifft ein Verfahren zur einkanaligen Ankopplung eines sicherheitskritischen Prozesses aus einer sicheren Umgebung an ein Bussystem 3 in einer nicht sicheren Umgebung, wobei ein für den sicherheitskritischen Prozess relevanter Datensatz über mindestens zwei redundante Verarbeitungskanäle protokollspezifisch zu einem sicheren Protokoll verarbeitet wird und die redundanten sicheren Protokolle zur einkanaligen Ankopplung zu einem gemeinsamen Protokoll zusammengesetzt werden. Hierbei wird jede Codefolge von mindestens zwei Codefolgegeneratoren 6, 7 erzeugt, wobei jeder Codefolgengenerator 6, 7 lediglich in der Lage ist, einen Teil der Codefolge zu bilden. Erfindungsgemäß erzeugt jeder Codefolgengenerator 6, 7 einen zusammenhängenden Teil des Codewortes. In der Logikeinheit 9 der Busanbindung 2 wird das Codewort noch mit einer busspezifischen Konstanten K verknüpft. Auf diese Weise können gleichzeitig Codefolgen für Aktuatoren 11 mehrerer gleicher oder auch unterschiedlicher Bussysteme 3 von den Codefolgengeneratoren 6, 7 erzeugt werden. In einer vorteilhaften Ausgestaltung der Erfindung werden die Codefolgen von zwei verschiedenen Bussystemen 3A und 3B komplementär bzw. invertiert ausgeführt.
Die Anordnung zur Durchführung des erfindungsgemäßen Verfahrens weist eine fehlersichere Steuereinheit 1 auf, die mit einer Busanbindung 2 zur Ansteuerung von Aktuatoren 11 über ein Bussystem 3 verbunden ist. Die Steuereinheit 1 beinhaltet mindestens zwei Recheneinheiten 4, 5 mit jeweils einem Codefolgengenerator 6, 7, sowie eine Synchronisationseinheit 8. Die Busanbindung 2 weist einen Logikeinheit 9 zur Verknüpfung und Verarbeitung der von den Codefolgengeneratoren 6, 7 erzeugten Codefolgen auf. Sie ist über ein analoges Frontend 10 mit dem Bussystem 3 verbunden. Optional sind die Steuereinheit 1 und die Busanbindung 2 über ein Interface 12 miteinander verbunden.
Bezugszeichenliste

1: Fehlersichere Steuereinheit
2: Busanbindung
3: Bussystem, Feldbus
4: Erste Recheneinheit
5: Zweite Recheneinheit
6: Erster Codefolgengenerator
7: Zweiter Codefolgengenerator
8: Synchronisationseinheit
9: Logikeinheit (logische Busanbindung)
10: Analoges Frontend des Bussystems
11: Aktuator, Aktor
12: Interface (optional)

Claims

Verfahren zur einkanaligen Ankopplung eines sicherheitskritischen Prozesses aus einer sicheren Umgebung an ein Bussystem (3) in einer nicht sicheren Umgebung, wobei ein für den sicherheitskritischen Prozess relevanter Datensatz über mindestens zwei redundante Verarbeitungskanäle protokollspezifisch zu einem sicheren Protokoll verarbeitet wird und die redundanten sicheren Protokolle zur einkanaligen Ankopplung zu einem gemeinsamen Protokoll zusammengesetzt werden, wobei jede Codefolge von mindestens zwei Codefolgegeneratoren (6, 7) erzeugt wird und jeder Codefolgengenerator (6, 7) in der Lage ist, einen Teil der Codefolge zu bilden, dadurch gekennzeichnet, dass jeder Codefolgengenerator (6, 7) einen zusammenhängenden Teil des Codewortes erzeugt und das Codewort im Logikeinheit (9) der Busanbindung (2) mit einer busspezifischen Konstanten verknüpft wird.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, das gleichzeitig Codefolgen für die Aktuatoren (11) mehrerer gleicher oder auch unterschiedlicher Bussysteme (3) von den Codefolgengeneratoren (6, 7) erzeugt werden.
Verfahren nach Anspruch 2, dadurch gekennzeichnet, dass die Codefolgen von zwei verschiedenen Bussystemen (3) komplementär bzw. invertiert ausgeführt sind.
Anordnung zur Durchführung des Verfahrens nach Anspruch 1 bis 3, wobei eine Steuereinheit (1) mit einer Busanbindung (2) zur Ansteuerung von Aktuatoren (11) über ein Bussystem (3) verbunden ist, die Steuereinheit (1) zwei Recheneinheiten (4, 5) mit jeweils einem Codefolgengenerator (6, 7), sowie eine Synchronisationseinheit (8) aufweist, die Busanbindung 2 einen Logikeinheit (9) zur Verknüpfung und Verarbeitung der von den Codefolgengeneratoren (6, 7) erzeugten Codefolgen aufweist und über ein analoges Frontend (10) mit dem Bus (3) verbunden ist.
Anordnung nach Anspruch 4, dadurch gekennzeichnet, dass die Steuereinheit (1) und die Busanbindung (2) über ein Interface (11) miteinander verbunden sind.