DE19801137A1 - Fehlersichere Prozesseingabe und Prozessausgabe - Google Patents
Fehlersichere Prozesseingabe und ProzessausgabeInfo
- Publication number
- DE19801137A1 DE19801137A1 DE19801137A DE19801137A DE19801137A1 DE 19801137 A1 DE19801137 A1 DE 19801137A1 DE 19801137 A DE19801137 A DE 19801137A DE 19801137 A DE19801137 A DE 19801137A DE 19801137 A1 DE19801137 A1 DE 19801137A1
- Authority
- DE
- Germany
- Prior art keywords
- output
- fail
- input
- safe
- unit
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Withdrawn
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F11/00—Error detection; Error correction; Monitoring
- G06F11/07—Responding to the occurrence of a fault, e.g. fault tolerance
- G06F11/0796—Safety measures, i.e. ensuring safe condition in the event of error, e.g. for controlling element
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B19/00—Programme-control systems
- G05B19/02—Programme-control systems electric
- G05B19/04—Programme control other than numerical control, i.e. in sequence controllers or logic controllers
- G05B19/042—Programme control other than numerical control, i.e. in sequence controllers or logic controllers using digital processors
- G05B19/0428—Safety, monitoring
-
- G—PHYSICS
- G05—CONTROLLING; REGULATING
- G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
- G05B2219/00—Program-control systems
- G05B2219/20—Pc systems
- G05B2219/25—Pc structure of the system
- G05B2219/25428—Field device
Landscapes
- Engineering & Computer Science (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Theoretical Computer Science (AREA)
- Quality & Reliability (AREA)
- General Engineering & Computer Science (AREA)
- Automation & Control Theory (AREA)
- Safety Devices In Control Systems (AREA)
- Programmable Controllers (AREA)
- Debugging And Monitoring (AREA)
- Crystals, And After-Treatments Of Crystals (AREA)
- Electrical Discharge Machining, Electrochemical Machining, And Combined Machining (AREA)
Description
Die vorliegende Erfindung betrifft ein Verfahren zum Betrieb
eines Automatisierungssystems, wobei das Automatisierungssy
stem mindestens eine Eingabeeinheit zur Aufnahme von Prozeß
signalen und mindestens eine Ausgabeeinheit zum Ansteuern ex
terner Peripherie aufweist, wobei die Eingabeeinheit und die
Ausgabeeinheit kommunikativ über einen Bus miteinander ver
bunden sind.
Um bei Automatisierungsvorhaben, die von einem gattungsgemä
ßen Automatisierungssystem gesteuert und/oder überwacht wer
den, in Notsituationen ein schnelles Abschalten der automati
sierten Prozesse oder einzelner Vorgängen zur erreichen, ist
bisher eine Not-Aus-Behandlung in Form einer Not-Aus-Kette
vorgesehen.
In eine derartige Not-Aus-Kette werden Not-Aus-Schalter,
Lichtgitter, Tretmatten oder Ahnliches integriert. Aufgrund
der an eine Not-Aus-Behandlung zu stellenden Anforderungen
ist es üblich, die Not-Aus-Behandlung in herkömmlicher Ver
drahtung auszuführen. Als Beispiel sei hier ein Tunnelofen
genannt, der bezüglich des Automatisierungsprozesses in meh
rere Segmente unterteilt ist. An für den Benutzer zugängli
chen Positionen an der Außenseite des Tunnelofens sind für
die Not-Aus-Behandlung z. B. Not-Aus-Taster vorgesehen, wobei
die Betätigung eines Not-Aus-Tasters je nach Auslegung der
automatisierten Gesamtanlage, z. B. das definierte Herunter
fahren des gesamten Prozesses nach sich zieht.
Die Not-Aus-Taster sind Feldgeräte mit einer Eingabefunktion.
Die Geräte, die das Herunterfahren des Prozesses bewirken,
sind entsprechend Geräte mit einer Ausgabefunktion zur An
steuerung externer Peripherie, z. B. also Ausgabegeräte, die
einen Motor für Transportprozesse, einen Motor für Ventilati
on, ein Hydraulikaggregat zur Positionierung o. ä. steuern.
Im Falle einer Not-Aus-Situation ist das unmittelbare Ab
schalten der externen Peripherie erforderlich. Zu diesem
Zweck ist zwischen den Eingabegeräten, also den Not-Aus-
Tastern, und den Ausgabegeräten, wie den Motoren oder den Ag
gregaten, eine Not-Aus-Kette aufgebaut, die bisher in konven
tioneller Verdrahtung auszuführen war und die beim Betätigen
eines Not-Aus-Tasters ein unmittelbares Abschalten des Motors
bzw. ein unmittelbares Abschalten des Hydraulikaggregates be
wirkt. Die konventionelle Verdrahtung ist dabei bisher auf
grund der Sicherheitsanforderungen, die an eine Not-Aus-
Behandlung zu stellen sind, erforderlich.
Dabei ist es jedoch nachteilig, bei großflächigen Automati
sierungsprojekten wie z. B. bei den beschriebenen Tunnelöfen,
die konventionelle Verdrahtung im gesamten Prozeßfeld vorzu
sehen.
Der Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren
zum Betrieb eines Automatisierungssystems anzugeben, bei dem
zur Behandlung von Not-Aus-Situationen auf die konventionelle
Verdrahtung verzichtet werden kann und statt dessen eine kom
munikative Verbindung zwischen den Komponenten der Not-Aus-
Kette über den Bus des Automatisierungssystems besteht.
Erfindungsgemäß ist daher vorgesehen, für- die Not-Aus-
Behandlung auf die konventionelle Verdrahtung zu verzichten
und sämtliche Feldgeräte, d. h. also auch die Not-Aus-Taster
und die in die Not-Aus-Kette einzubindenden Motoren oder Ag
gregate, über den Prozeßbus kommunikativ zu verbinden.
Diese Aufgabe wird für ein Verfahren zum Betrieb eines Auto
matisierungssystems, wobei das Automatisierungssystem minde
stens eine Eingabeeinheit zur Aufnahme von Prozeßsignalen und
mindestens eine Ausgabeeinheit zum Ansteuern externer Peri
pherie aufweist, wobei die mindestens eine Eingabeeinheit und
die mindestens eine Ausgabeeinheit kommunikativ über einen
Bus miteinander verbunden sind, dadurch gelöst, daß zumindest
eine der Eingabeeinheiten und zumindest eine der Ausgabeein
heiten als fehlersichere Eingabeeinheit bzw. fehlersichere
Ausgabeeinheit ausgebildet sind, daß die fehlersichere Einga
beeinheit der fehlersicheren Ausgabeeinheit zu vorgegebenen
Zeitpunkten ein Datum übermittelt, daß das Datum zumindest
ein Nutzinformation, eine die adressierte Ausgabeeinheit be
zeichnende Zielkennung und eine die sendende Eingabeeinheit
bezeichnende Ursprungskennung aufweist, daß die Ausgabeein
heit den kontinuierlichen Empfang des Datums als Indiz für
eine intakte Kommunikationsbeziehung auswertet und andern
falls die angeschlossene Peripherie in einen sicheren Zustand
überführt.
Die an eine Not-Aus-Behandlung zu stellenden Sicherheitsan
forderungen werden gemäß der Erfindung erfüllt, wenn die Ein
gabegeräte, also z. B. die Not-Aus-Taster und die in die Not-
Aus-Kette einzubindenden Ausgabegeräte, die zur Ansteuerung
der Motoren oder Aggregate vorgesehen sind, jeweils fehlersi
cher ausgeführt sind. Im Falle einer Not-Aus-Situation ergibt
sich dann in der automatisierten Anlage folgender Ablauf:
Beim Betätigen eines Not-Aus-Tasters wird durch das Datenein
gabegerät ein Datum auf den Bus gelegt. Das zu übermittelnde
Datum weist gemäß den Spezifikationen des für die physikali
sche Kommunikationsverbindung verwendeten Busprotokolls zu
mindest ein Nutzinformation, in diesem Falle also die Infor
mation, ob der Not-Aus-Taster gedrückt ist oder nicht, zumin
dest eine Zieladresse, also die Adresse des Kommunikation
steilnehmers, an die die Nachricht gesendet wird - wobei eine
spezielle Kennung ein Versenden der Nachricht an alle Kommu
nikationsteilnehmer ermöglicht - sowie schließlich die Ur
sprungskennung, die den Absender des Datums identifiziert,
auf.
Die Erfindung kann nun einmal so eingesetzt werden, daß das
Datum an einen ganz bestimmten Kommunikationsteilnehmer ver
sendet wird, wobei der Adressat anhand der im Datum enthalte
nen Zieladresse erkennt, daß das Datum für ihn bestimmt ist,
oder daß das Datum an alle Kommunikationsteilnehmer versendet
wird, wobei jeder einzelne Kommunikationsteilnehmer anhand
der Ursprungsadresse des Datums ermittelt, ob das Datum, also
die Nutzinformation des Datums von ihm auszuwerten ist.
Andererseits kann das Datum auch an eine übergeordnete Ein
heit des Automatisierungssystems, z. B. die Zentraleinheit ei
ner speicherprogrammierbaren Steuerung, versendet werden, wo
bei diese wiederum an der Ursprungskennung des Datums er
kennt, daß eine Nachricht, z. B. von einem Not-Aus-Taster ein
getroffen ist, die einer unmittelbaren Behandlung bedarf, so
daß die Zentraleinheit unmittelbar nach Detektion des Datums
dieses an die Ausgabegeräte weiterleitet, so daß diese ein
Herunterfahren bzw. Abschalten der an die Ausgabegeräte ange
schlossenen Motoren oder Aggregate auslösen bzw. selbst ein
weiteres Datum an die Ausgabegeräte absetzen, das zum glei
chen Resultat führt.
Die Ausgabeeinheit wertet dabei den kontinuierlichen Empfang
des Datums von der Eingabeeinheit als Indiz für eine intakte
Kommunikationsbeziehung. Für den Fall, daß die Ausgabeeinheit
das Ausbleiben eines Datums von einer Eingabeeinheit während
einer Zeitspanne, die größer als eine vorgebbare Zeitspanne
ist, feststellt, überführt die Ausgabeeinheit die angeschlos
sene Peripherie in einem sicheren Zustand und sorgt damit
wieder für das Herunterfahren der angeschlossenen Motoren
oder Aggregate.
Zum Einsatz im Rahmen des erfindungsgemäßen Verfahrens zum
Betrieb eines Automatisierungssystems ist ferner ein fehler
sicheres Dateneingabegerät mit mindestens einem Eingabekanal
zum Anschluß peripherer Sensorik vorgesehen, für das eine
Prüfschaltung vorgesehen ist, die zu vorgegebenen Zeiten ei
nen Prüfvorgang aus löst und dabei für mindestens einen der
Eingabekanäle des fehlersicheren Eingabegerätes einen Status
wechsel bewirkt, wobei eine interne Logik den Statuswechsel
überwacht und ggfs. eine Fehlermeldung ausgibt, wobei der
durch die Prüfschaltung bewirkte Statuswechsel am Ende des
Prüfvorgangs wieder rückgängig gemacht wird und wobei der
Prüfvorgang für das Auslesen des betroffenen Eingabekanals
vollkommen tran
sparent ist.
Für den Einsatz im Rahmen des erfindungsgemäßen Verfahrens
zum Betrieb eines Automatisierungssystems ist ferner oder al
ternativ ein fehlersicheres Dateneingabegerät mit mindestens
einem Eingabekanal zum Anschluß peripherer Sensorik vorgese
hen, bei dem der mindestens eine Eingabekanal antivalent aus
gelegt ist.
Die gemäß der obenstehenden Beschreibung ausgeführten fehler
sicheren Eingabegeräte werden durch die genannten Maßnahmen,
d. h. durch die antivalente Auslegung des Eingabekanals bzw.
durch die Überwachung des Eingabekanals mittels einer Prüf
schaltung zu fehlersicheren Dateneingabegeräten, wobei die
beiden Maßnahmen auch kombinierbar sind.
Zum Einsatz im Rahmen des erfindungsgemäßen Verfahrens zum
Betrieb eines Automatisierungssystems ist ferner eine fehler
sicheres Ausgabegerät ausgebildete Ausgabeeinheit vorgesehen.
Wenn für das fehlersichere Datenausgabegerät eine Verarbei
tungseinheit zur Verarbeitung benutzer-projektierbarer logi
scher Verknüpfungen vorgesehen ist, wobei die Verarbeitungs
einheit das Nutzinformation eines empfangenen Datums auswer
tet, das Nutzinformation der benutzerprojektierbaren logi
schen Verknüpfung unterwirft und entsprechend dem Ergebnis
der logischen Verknüpfung den mindestens einen Ausgabekanal
ansteuert, sind Softwarekomponenten, die bisher üblicherweise
in einem übergeordneten Automatisierungsgerät, z. B. der Zen
traleinheit einer speicherprogrammierbaren Steuerung, vorge
sehen waren, auch in das fehlersichere Ausgabegerät verlager
bar, so daß hier eine besonders schnelle und effektive Verar
beitung und Auswertung der logischen Verknüpfungen möglich
ist.
Wenn für das fehlersichere Datenausgabegerät die Verarbei
tungseinheit ferner oder alternativ die zeitliche Abfolge der
mit dem Nutzinformation übermittelten Prozeßdaten überwacht,
und dem mindestens Ausgabekanal nur dann ansteuert, wenn die
zeitliche Abfolge der zur Ansteuerung des Ausgabekanals er
forderlichen Daten innerhalb vorgebbarer Toleranzen liegt,
ist ein sog. Muting möglich, das zur Erhöhung der Sicherheit
des automatisierten Prozesses beiträgt. Als Beispiel sei die
Absicherung einer Fahrbühne mittels eines induktiven End
schalters und einer Lichtschranke genannt. Die Fahrbühne löst
bei ihrer Bewegung sowohl den induktiven Endschalter als auch
die Lichtschranke in einer gewissen, durch die Geschwindig
keit der Fahrbühne bestimmten zeitlichen Abfolge aus.
Wenn die zeitliche Abfolge des Eingangs der zugehörigen Si
gnale innerhalb der vorgebenen Toleranzen liegt, kann die
Verarbeitung fortgesetzt werden. Eine Person dagegen löst nur
die Lichtschranke aus, während das zusätzliche Signal des in
duktiven Endschalters während der vorgegebenen Toleranz zeit
ausbleibt. Eine solche Konstellation ist als Alarmkonstella
tion auswertbar, auf die mit einer Not-Aus-Behandlung rea
giert werden kann.
Wenn für das fehlersichere Datenausgabegerät eine als
watchdog ausgebildete und die Verarbeitungseinheit überwa
chende Überwachungsschaltung vorgesehen ist, welche den min
destens einen Ausgabekanal in einen sicheren Zustand über
führt, sobald eine Fehlfunktion der Verarbeitungseinheit
festgestellt ist, ist über die als watchdog ausgebildete
Überwachungsschaltung ein zweiter Abschaltweg etabliert. Wenn
z. B. die Verarbeitungseinheit nicht mehr in der Lage ist, ei
nen speziellen Ausgang abzuschalten, würde ohne die Überwa
chungsschaltung ein Motor oder ein Aggregat z. B. permanent
aktiviert bleiben. Die als watchdog ausgebildete Überwa
chungsschaltung erkennt derartige Zustände und schaltet beim
Erkennen eines solchen Zustands die Ausgänge in einen siche
ren Zustand.
Wenn bei dem fehlersicheren Datenausgabegerät, der durch die
Verarbeitungseinheit ansteuerbare Ausgabekanal als rücklesba
rer Ausgabekanal ausgebildet ist, das dem Ausgabekanal zu
führbare Signal auch der Überwachungsschaltung zuführbar ist,
die Überwachungsschaltung das ihr zugeführte und das vom Aus
gabekanal zurückgelesene Signal vergleicht und bei Abweichun
gen den betroffenen Ausgabekanal oder auch sämtliche Ausgabe
kanäle bzw. die daran angeschlossene Peripherie in einen si
cheren Zustand überführt, werden Diskrepanzen der Ansteuerung
der jeweiligen Ausgabekanäle erkannt und diese unmittelbar in
einen sicheren Zustand überführt.
Weitere Merkmale, Vorteile und Anwendungsmöglichkeiten der
vorliegenden Erfindung ergeben sich aus den Unteransprüchen
der nachfolgenden Beschreibung von Ausführungsbeispielen an
hand der Zeichnung und der Zeichnung selbst. Dabei bilden al
le beschriebenen und/oder bildlich dargestellten Merkmale für
sich oder in beliebiger Kombination den Gegenstand der vor
liegenden Erfindung, unabhängig von ihrer Zusammenfassung in
den Patentansprüchen oder deren Rückbeziehung. Dabei zeigen:
Fig. 1 ein vereinfachtes Blockschaltbild eines Automati
sierungssystem,
Fig. 2 ein Blockschaltbild eines fehlersicheren Datenein
gabegerätes und
Fig. 3 ein Blockschaltbild eines fehlersicheren Datenaus
gabegerätes.
In Fig. 1 ist exemplarisch ein Blockschaltbild eines einfachen
Automatisierungssystemes mit einem fehlersicheren Dateneinga
begerät 2, einem fehlersicheren Datenausgabegerät 3, und ei
nem übergeordneten Automatisierungsgerät 1, z. B. der Zen
traleinheit 1 einer speicherprogrammierbaren Steuerung darge
stellt. Die Geräte sind über einen Bus 4, vorzugsweise über
einen zum Einsatz in Industrieumgebungen geeigneten Bus 4,
insbesondere den Profibus 4, kommunikativ miteinander verbun
den.
An das fehlersichere Dateneingabegerät 2 ist ein Not-Aus-
Taster 1' angeschlossen. An das fehlersichere Datenausgabege
rät 3 ist ein Motor 2' angeschlossen. Wenn der Not-Aus-Taster
1' betätigt wird, nimmt das Dateneingabegerät 2 dieses Signal
auf, übermittelt es über den Bus 4 an das Datenausgabegerät
3, der daraufhin das Abschalten des Motors 2' bewirkt.
In Fig. 2 ein Blockschaltbild ist einer ersten Ausgestaltung
eines fehlersicheren Dateneingabegerätes 2 dargestellt. Das
fehlersichere Dateneingabegerät 2 ist über den Bus 4 kommuni
kativ mit anderen an den Bus 4 angeschlossenen Geräten 1, 2,
3, verbunden, dabei ist die Busanschaltung durch ein Bus-
ASICs 5 bewirkt. Die Funktionen des Datenausgabegerätes 3
werden durch eine Verarbeitungseinheit 6, die z. B. ein ASIC
oder einen Mikroprozessor ist, bewirkt. Der Verarbeitungsein
heit 6 werden direkt oder indirekt die Eingangskanäle 7-0, 7-
1 . . . 7-7 zugeführt.
Ferner ist im Dateneingabegerät 2 eine Prüfschaltung 8 vorge
sehen, die gleichfalls durch die Verarbeitungseinheit 6 kon
trolliert wird und zu vorgegebenen Zeitpunkten einen Prüfvor
gang auslöst und dabei für mindestens einen der Eingabekanäle
7-0, 7-1. . .7-7 des fehlersicheren Dateneingabegeräts 2 einen
Statuswechsel bewirkt. Dieser Statuswechsel wird von einer
internen Logik 9 überwacht, wobei die interne Logik 9 eine
Fehlermeldung ausgibt, wenn der von der Prüfschaltung 8 aus
gelöste Statuswechsel sich nicht auf den Status des jeweili
gen Eingangskanal 7-0, 7-1. . .7-7 auswirkt. Am Ende des Prüf
vorgangs wird der durch die Prüfschaltung 8 bewirkte Status
wechsel wieder rückgängig gemacht. Für das Auslesen der be
troffenen Eingabekanäle 7-0, 7-1. . .7-7 während des normalen
Betriebs des fehlersicheren Dateneingabegeräts 2 ist der
Prüfvorgang dabei vollkommen transparent.
Wenn die Eingänge 7-0, 7-1. . .7-7 der Verarbeitungseinheit 6
zusätzlich auch in negierter Form 7-0', 7-1'. . .7-7' zuge
führt werden, sind die Eingangskanäle antivalent ausgelegt.
Die Verarbeitungseinheit 6 liest dann für den betreffenden
Eingangskanal, z. B. 7-2 dessen Status, z. B. logisch 0, und
für den antivalenten korrespondierenden Eingang 7-2' als ne
gierten Status das entsprechende Komplement, in diesem Falle
also logisch 1. Fehlfunktionen bei der Weiterleitung der Sta
ti der jeweiligen Eingangskanäle können durch die Verarbei
tungseinheit 6 dann einfach und sicher erkannt werden, indem
jeweils überprüft wird, ob auf dem jeweiligen Eingangskanal
und auf dem dazu antivalenten Eingangskanal komplementäre
Stati vorliegen.
In Fig. 3 ist ein Blockschaltbild eines fehlersicheren Daten
ausgabegerätes 3 dargestellt, das mittels eines als Busan
schaltung 14 ausgebildeten Bus-ASICs 14 an den Prozeßbus 4
angeschlossen ist. Das fehlersichere Datenausgabegerät 3
weist eine Verarbeitungseinheit 10 zur Verarbeitung benutzer
projektierbarer logischer Verknüpfungen auf, wobei die Verar
beitungseinheit 10 das Nutzinformation TN eines über den Pro
zeßbus 4 empfangenen Telegramms auswertet, das Nutzinformati
on TN der benutzerprojektierbaren logischen Verknüpfung un
terwirft, und entsprechend dem Ergebnis der logischen Ver
knüpfung den mindestens einen Ausgabekanal 11-0, 11-1. . .11-7
ansteuert.
In der Darstellung gemäß Fig. 3 weist das fehlersichere Daten
ausgabegerät 3 eine als watchdog 12 ausgebildete, und die
Verarbeitungseinheit 10 überwachende Überwachungsschaltung 12
auf, welche den mindestens einen Ausgabekanal 11-0,
11-1. . .11-7 in einen sicheren Zustand überführt, sobald eine
Fehlfunktion der Verarbeitungseinheit 10 festgestellt ist. Zu
diesem Zweck überwacht die Überwachungsschaltung 12 die Funk
tion der Verarbeitungseinheit 10, wobei im Falle einer Fehl
funktion der Verarbeitungseinheit 10 die Stati der jeweiligen
Ausgabekanäle 11-0, 11-1. . .11-7 durch die Überwachungsschal
tung 12 bestimmt werden, wozu eine Treiberschaltung 13 vorge
sehen ist, die sowohl von der Verarbeitungseinheit 10 als
auch von der Überwachungsschaltung 12 ansteuerbar ist.
Für den Fall einer Fehlfunktion der Verarbeitungseinheit 10,
überschreibt die durch die Überwachungsschaltung 12 ausgege
bene Ansteuerung der jeweiligen Ausgabekanäle 11-0,
11-1. . .11-7 die jeweilige Ansteuerung der Verarbeitungsein
heit 10, die zu diesem Zeitpunkt bereits als fehlerhaft er
kannt wurde.
In der Darstellung gemäß Fig. 3 ist das fehlersichere Daten
ausgabegerät 3 ferner derartig ausgebildet, daß der durch die
Verarbeitungseinheit ansteuerbare Ausgabekanal 11-0,
11-1. . .11-7 als rücklesbarer Ausgabekanal 11-0', 11-1'. . .
11-7' ausgebildet ist, daß das dem Ausgabekanal 11-0,
11-1. . .11-7 zuführbare Signal auch der Überwachungsschaltung
12 zuführbar ist, daß die Überwachungsschaltung 12 das ihr
zugeführte und das vom Ausgabekanal zurückgelesene Signal
11-0', 11-1'. . .11-7' vergleicht und bei Abweichungen den be
troffenen Ausgabekanal 11-0, 11-1. . .11-7 in einen sicheren
Zustand überführt.
In der vorstehenden Beschreibung wird stets von Eingabe- bzw.
Ausgabegeräten 2, 3 mit jeweils acht Eingabe- bzw. Ausgabeka
nälen ausgegangen. Selbstverständlich kann die Anzahl der Ka
näle auch größer oder kleiner als acht, z. B. 16 oder 32,
sein.
Claims (7)
1. Verfahren zum Betrieb eines Automatisierungssystems,
- - wobei das Automatisierungssystem mindestens eine Eingabe
einheit zur Aufnahme von Prozeßsignalen und mindestens eine
Ausgabeeinheit zum Ansteuern externer Peripherie aufweist,
die kommunikativ über einen Bus miteinander verbunden sind,
dadurch gekennzeichnet, - - daß zumindest eine der Eingabeeinheiten und zumindest eine der Ausgabeeinheiten als fehlersichere Eingabeeinheit (EE) bzw. fehlersichere Ausgabeeinheit (AE) ausgebildet sind,
- - daß die fehlersichere Eingabeeinheit (EE) der fehlersiche ren Ausgabeeinheit (AE) zu vorgegebenen Zeitpunkten ein Te legramm (T) übermittelt,
- - daß das Telegramm (T) zumindest ein Nutzinformation (TN), eine die adressierte Ausgabeeinheit (AE) bezeichnende Ziel kennung (TT) und eine die sendende Eingabeeinheit (EE) be zeichnende Ursprungskennung (TS) aufweist,
- - daß die Ausgabeeinheit (AE) den kontinuierlichen Empfang des Telegramms (T) als Indiz für eine intakte Kommunikati onsbeziehung auswertet und andernfalls die angeschlossene Peripherie in einen sicheren Zustand überführt.
2. Fehlersicheres Dateneingabegerät mit mindestens einem Ein
gabekanal zum Anschluß peripherer Sensorik zur Anwendung in
einem Verfahren zum Betrieb eines Automatisierungssystems
nach Anspruch 1, dadurch gekennzeich
net, daß eine Prüfschaltung vorgesehen ist, die zu vor
gegebenen Zeitpunkten einen Prüfvorgang aus löst und dabei für
mindestens einen der Eingabekanäle des fehlersicheren Daten
eingabegerätes einen Statuswechsel bewirkt, wobei eine inter
ne Logik den Statuswechsel überwacht und gegebenenfalls eine
Fehlermeldung ausgibt, wobei der durch die Prüfschaltung be
wirkte Statuswechsel am Ende des Prüfvorgangs wieder rückgän
gig gemacht wird und wobei der Prüfvorgang für das Auslesen
des betroffenen Eingabekanals vollkommen transparent ist.
3. Fehlersicheres Dateneingabegerät mit mindestens einem Ein
gabekanal zum Anschluß peripherer Sensorik zur Anwendung in
einem Verfahren zum Betrieb eines Automatisierungssystems
nach Anspruch 1, dadurch gekennzeich
net, daß der mindestens eine Eingabekanal antivalent
ausgelegt ist.
4. Fehlersicheres Datenausgabegerät mit mindestens einem Aus
gabekanal zum Anschluß peripherer Aktorik zur Anwendung in
einem Verfahren zum Betrieb eines Automatisierungssystems
nach Anspruch 1, dadurch gekennzeich
net, daß eine Verarbeitungseinheit zur Verarbeitung be
nutzerprojektierbarer logischer Verknüpfungen vorgesehen ist,
wobei die Verarbeitungseinheit das Nutzinformation (TN) eines
empfangenen Telegramms (T) auswertet, das Nutzinformation der
benutzerprojektierbaren logischen Verknüpfung unterwirft und
entsprechend dem Ergebnis der logischen Verknüpfung den minde
stens einen Ausgabekanal ansteuert.
5. Fehlersicheres Datenausgabegerät nach Anspruch 4, da
durch gekennzeichnet, daß die Ver
arbeitungseinheit die zeitliche Abfolge der mit dem Nutzin
formation (TN) übermittelten Prozeßdaten überwacht und den
mindestens einen Ausgabekanal nur dann ansteuert, wenn die
zeitliche Abfolge der zur Ansteuerung der Ausgabekanals er
forderlichen Daten innerhalb vorgegebener Toleranzen liegt.
6. Fehlersicheres Datenausgabegerät nach Anspruch 4 oder 5,
dadurch gekennzeichnet, daß eine
als Watchdog ausgebildete und die Verarbeitungseinheit über
wachende Überwachungsschaltung vorgesehen ist, welche den
mindestens einen Ausgabekanal in einen sicheren Zustand über
führt, sobald eine Fehlfunktion der Verarbeitungseinheit
festgestellt ist.
7. Fehlersicheres Datenausgabegerät nach Anspruch 6, da
durch gekennzeichnet, daß der durch
die Verarbeitungseinheit ansteuerbare Ausgabekanal als rück
lesbarer Ausgabekanal ausgebildet ist, daß das dem Ausgabeka
nal zuführbare Signal auch der Überwachungsschaltung zuführ
bar ist, daß die Überwachungsschaltung das ihr zugeführte und
das vom Ausgabekanal zurückgelesene Signal vergleicht und bei
Abweichungen den betroffenen Ausgabekanal oder sämtliche Aus
gabekanäle in einen sicheren Zustand überführt.
Priority Applications (7)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
DE19801137A DE19801137A1 (de) | 1998-01-14 | 1998-01-14 | Fehlersichere Prozesseingabe und Prozessausgabe |
EP98966574A EP1055159B1 (de) | 1998-01-14 | 1998-12-22 | Fehlersichere prozesseingabe und prozessausgabe |
AT98966574T ATE320030T1 (de) | 1998-01-14 | 1998-12-22 | Fehlersichere prozesseingabe und prozessausgabe |
ES98966574T ES2259823T3 (es) | 1998-01-14 | 1998-12-22 | Entrada y salida de procesos a prueba de errores. |
PCT/DE1998/003771 WO1999036840A1 (de) | 1998-01-14 | 1998-12-22 | Fehlersichere prozesseingabe und prozessausgabe |
DE59813435T DE59813435D1 (de) | 1998-01-14 | 1998-12-22 | Fehlersichere prozesseingabe und prozessausgabe |
US09/600,393 US6826433B1 (en) | 1998-01-14 | 1998-12-22 | Failsafe data output system and automation system having the same |
Applications Claiming Priority (1)
Application Number | Priority Date | Filing Date | Title |
---|---|---|---|
DE19801137A DE19801137A1 (de) | 1998-01-14 | 1998-01-14 | Fehlersichere Prozesseingabe und Prozessausgabe |
Publications (1)
Publication Number | Publication Date |
---|---|
DE19801137A1 true DE19801137A1 (de) | 1999-07-22 |
Family
ID=7854581
Family Applications (2)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
DE19801137A Withdrawn DE19801137A1 (de) | 1998-01-14 | 1998-01-14 | Fehlersichere Prozesseingabe und Prozessausgabe |
DE59813435T Expired - Lifetime DE59813435D1 (de) | 1998-01-14 | 1998-12-22 | Fehlersichere prozesseingabe und prozessausgabe |
Family Applications After (1)
Application Number | Title | Priority Date | Filing Date |
---|---|---|---|
DE59813435T Expired - Lifetime DE59813435D1 (de) | 1998-01-14 | 1998-12-22 | Fehlersichere prozesseingabe und prozessausgabe |
Country Status (6)
Country | Link |
---|---|
US (1) | US6826433B1 (de) |
EP (1) | EP1055159B1 (de) |
AT (1) | ATE320030T1 (de) |
DE (2) | DE19801137A1 (de) |
ES (1) | ES2259823T3 (de) |
WO (1) | WO1999036840A1 (de) |
Cited By (5)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
EP1865393A1 (de) | 2006-06-08 | 2007-12-12 | Siemens Aktiengesellschaft | Verfahren zum Betrieb eines Automatisierungssystems, Kommunikationsteilnehmer und Automatisierungssystem |
DE102008058401C5 (de) * | 2008-11-21 | 2012-11-15 | Marantec Antriebs- Und Steuerungstechnik Gmbh & Co. Kg | Steuerungssystem für einen Torantrieb |
EP2767877A1 (de) * | 2013-02-13 | 2014-08-20 | Phoenix Contact GmbH & Co. KG | Steuerungs- und Datenübertragungssystem zum Übertragen von sicherheitsbezogenen Daten über einen Feldbus |
DE102014106584A1 (de) * | 2014-05-09 | 2015-11-12 | Claas E-Systems Kgaa Mbh & Co Kg | Vorrichtung zur Anbindung einer internetfähigen Anzeige- und Eingabeeinrichtung an ein zu steuerndes oder zu regelndes Arbeitsgerät |
CN110515369A (zh) * | 2019-08-29 | 2019-11-29 | 西门子工厂自动化工程有限公司 | 自动化控制系统的安全关联数据处理方法及装置 |
Families Citing this family (12)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE19922561A1 (de) * | 1999-05-17 | 2000-11-23 | Sick Ag | Verfahren und Vorrichtung zur sicheren Übertragung von Datensignalen über ein Bussystem |
DE10147490A1 (de) * | 2001-09-26 | 2003-04-17 | Siemens Ag | Verfahren zum Überwachen einer Automatisierungsanlage |
DE10212131A1 (de) * | 2002-03-19 | 2003-10-02 | Siemens Ag | Verfahren zum Überwachen einer Automatisierungsanlage |
ITSV20020018A1 (it) * | 2002-05-03 | 2003-11-03 | Alstom Transp Spa | Dispositivo di elaborazione o comando operante in sicurezza intrinseca |
FR2841075B1 (fr) * | 2002-06-13 | 2004-12-24 | Systemig Sa | Dispositif de controle et/ou de surveillance utilisant au moins un controleur de transmission |
DE10341324A1 (de) * | 2003-09-08 | 2006-06-01 | Siemens Ag | Verfahren zur Erkennung von fehlerhaften antivalenten Taster- oder Schaltersignalen |
DE102004034862A1 (de) * | 2004-07-19 | 2006-03-16 | Siemens Ag | Automatisierungssystem und Ein-/Ausgabebaugruppe für dasselbe |
DE102004035442B4 (de) * | 2004-07-22 | 2006-06-01 | Phoenix Contact Gmbh & Co. Kg | Verfahren und Vorrichtung zum sicheren Schalten eines Automatisierungsbussystems |
DE102005048996A1 (de) * | 2005-10-11 | 2007-04-12 | Endress + Hauser Gmbh + Co. Kg | Verfahren zum sicheren Versenden von Daten eines Feldgerätes der Prozessautomatisierungstechnik |
DE102007045772A1 (de) * | 2007-09-25 | 2009-04-02 | Siemens Ag | Verfahren zur Zugriffskontrolle auf eine Automatisierungsanlage |
CN104932328B (zh) * | 2015-04-30 | 2017-11-17 | 中国电子科技集团公司第四十一研究所 | 一种综合环境试验处理方法 |
CN114706731B (zh) * | 2022-04-21 | 2023-04-28 | 中国地质大学(北京) | 一种智能服务实时动态监测的方法 |
Family Cites Families (13)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
DE3024370C2 (de) | 1980-06-27 | 1987-01-02 | Siemens AG, 1000 Berlin und 8000 München | Redundantes Steuersystem |
US4761807A (en) * | 1982-09-29 | 1988-08-02 | Vmx, Inc. | Electronic audio communications system with voice authentication features |
US4680753A (en) | 1985-04-03 | 1987-07-14 | Texas Instruments Incorporated | System and method for controlling network bus communications for input-output interlocking information among distributed programmable controllers |
US4845594A (en) * | 1986-07-01 | 1989-07-04 | Basler Electric Company | Reclosing relay with nonvolatile memory of operations |
DE58907152D1 (de) * | 1988-06-08 | 1994-04-14 | Landis & Gyr Business Support | Anordnung zur Überwachung, Steuerung und Regelung einer betriebstechnischen Anlage eines Gebäudeautomationssystems. |
DE4041550C3 (de) | 1990-12-22 | 2003-08-28 | Schmersal K A Gmbh & Co | Sicherheitseinrichtung mit mindestens einem berührungslosen Geber |
ATE114835T1 (de) | 1991-07-22 | 1994-12-15 | Siemens Ag | Verfahren zur fehlererkennung und -lokalisierung von redundanten signalgebern einer automatisierungsanlage. |
DE4312305C5 (de) | 1993-04-15 | 2004-07-15 | Abb Patent Gmbh | Sicherheitsgerichtete speichergrogrammierbare Steuerung |
US6292828B1 (en) * | 1994-02-23 | 2001-09-18 | David L. Williams | Trans-modal animated information processing with selective engagement |
DE19512372A1 (de) * | 1995-04-01 | 1996-10-10 | Abb Patent Gmbh | Einrichtung zur eigensicheren Signalanpassung |
DE19540069A1 (de) | 1995-10-27 | 1997-04-30 | Elan Schaltelemente Gmbh | Anordnung zur Erfassung und/oder Verarbeitung von Signalen elektrischer Bauteile, die sicherheitstechnische Zwecke oder Auflagen für Geräte oder Anlagen erfüllen |
DE19643092C2 (de) * | 1996-10-18 | 1998-07-30 | Elan Schaltelemente Gmbh | Feld-Datenbussystem |
US6079033A (en) * | 1997-12-11 | 2000-06-20 | Intel Corporation | Self-monitoring distributed hardware systems |
-
1998
- 1998-01-14 DE DE19801137A patent/DE19801137A1/de not_active Withdrawn
- 1998-12-22 EP EP98966574A patent/EP1055159B1/de not_active Expired - Lifetime
- 1998-12-22 AT AT98966574T patent/ATE320030T1/de not_active IP Right Cessation
- 1998-12-22 DE DE59813435T patent/DE59813435D1/de not_active Expired - Lifetime
- 1998-12-22 US US09/600,393 patent/US6826433B1/en not_active Expired - Lifetime
- 1998-12-22 WO PCT/DE1998/003771 patent/WO1999036840A1/de active IP Right Grant
- 1998-12-22 ES ES98966574T patent/ES2259823T3/es not_active Expired - Lifetime
Cited By (6)
Publication number | Priority date | Publication date | Assignee | Title |
---|---|---|---|---|
EP1865393A1 (de) | 2006-06-08 | 2007-12-12 | Siemens Aktiengesellschaft | Verfahren zum Betrieb eines Automatisierungssystems, Kommunikationsteilnehmer und Automatisierungssystem |
DE102008058401C5 (de) * | 2008-11-21 | 2012-11-15 | Marantec Antriebs- Und Steuerungstechnik Gmbh & Co. Kg | Steuerungssystem für einen Torantrieb |
EP2189607A3 (de) * | 2008-11-21 | 2014-11-26 | Marantec Antriebs- und Steuerungstechnik GmbH & Co. KG. | Steuerungssystem für einen Torantrieb |
EP2767877A1 (de) * | 2013-02-13 | 2014-08-20 | Phoenix Contact GmbH & Co. KG | Steuerungs- und Datenübertragungssystem zum Übertragen von sicherheitsbezogenen Daten über einen Feldbus |
DE102014106584A1 (de) * | 2014-05-09 | 2015-11-12 | Claas E-Systems Kgaa Mbh & Co Kg | Vorrichtung zur Anbindung einer internetfähigen Anzeige- und Eingabeeinrichtung an ein zu steuerndes oder zu regelndes Arbeitsgerät |
CN110515369A (zh) * | 2019-08-29 | 2019-11-29 | 西门子工厂自动化工程有限公司 | 自动化控制系统的安全关联数据处理方法及装置 |
Also Published As
Publication number | Publication date |
---|---|
DE59813435D1 (de) | 2006-05-04 |
US6826433B1 (en) | 2004-11-30 |
EP1055159A1 (de) | 2000-11-29 |
EP1055159B1 (de) | 2006-03-08 |
ATE320030T1 (de) | 2006-03-15 |
WO1999036840A1 (de) | 1999-07-22 |
ES2259823T3 (es) | 2006-10-16 |
Similar Documents
Publication | Publication Date | Title |
---|---|---|
DE19801137A1 (de) | Fehlersichere Prozesseingabe und Prozessausgabe | |
EP1192511B1 (de) | Sicherheitsbezogenes automatisierungsbussystem | |
DE19928517C2 (de) | Steuerungssystem zum Steuern von sicherheitskritischen Prozessen | |
EP0875810B1 (de) | Verfahren und Vorrichtung zum Überwachen einer Anlage mit mehreren Funktionseinheiten | |
DE19742716C2 (de) | Steuer- und Datenübertragungsanlage und Verfahren zum Übertragen von sicherheitsbezogenen Daten | |
EP1040028B1 (de) | Verfahren zur fehlererkennung von mikroprozessoren in steuergeräten eines kfz | |
EP3061212B1 (de) | Verfahren und vorrichtung zur inbetriebnahme einer aufzugsanlage | |
EP2146881A1 (de) | Elektromechanisches bremssystem mit einer ausfallsicheren energieversorgung und verfahren zur ausfallsicheren energieversorgung in einem elektromechanischen bremssystem für fahrzeuge | |
EP1216912B1 (de) | Fehlertolerante elektromechanische Stelleinrichtung | |
EP3098673B1 (de) | Verfahren und vorrichtung zur automatischen validierung von sicherheitsfunktionen an einem modular aufgebauten sicherheitssystem | |
DE102005014804A1 (de) | Bordnetzsystem für ein Kraftfahrzeug sowie Steuergerät und intelligentes Energieversorgungsgerät für ein Bordnetzsystem eines Kraftfahrzeugs | |
EP2246756B1 (de) | Verfahren und Bediengerät zum Bedienen einer sicherheitsgerichteten industriellen Automatisierungskomponente | |
WO2014206408A1 (de) | Steuergerät mit detektion der unterbrechung einer stromführenden leitung | |
DE102017203898A1 (de) | Gateway-Vorrichtung, Kommunikationsverfahren und Kommunikationssystem für ein Fahrzeug, insbesondere ein Schienenfahrzeug | |
EP2484058B1 (de) | Adressierungsverfahren und kommunikationsnetzwerk mit einem solchen adressierungsverfahren | |
WO2000062478A9 (de) | Bussystem | |
EP0059789B1 (de) | Einrichtung zur Funktionsprüfung eines Mehrrechnersystems | |
DE102012107717B3 (de) | Berührungslos arbeitender Sicherheitsschalter | |
EP3470939A1 (de) | Verfahren und vorrichtungen zum überwachen der sicherheitsintegrität einer durch ein sicherheitssystem bereitgestellten sicherheitsfunktion | |
EP2418580A1 (de) | Verfahren zum Betreiben eines Netzwerkes und Netzwerk | |
DE102011117896B4 (de) | Sicherheitsgerichteter Slave für ein Actuator-Sensor-Interface (AS-i) System | |
WO1999049373A1 (de) | Verkürztes datentelegramm eines automatisierungssystems | |
DE102005007477B4 (de) | Programmierbare Steuerung zur Maschinen-und/oder Anlagenautomatisierung mit Standard-Steuerungs- und Sicherheitsfunktionen und Kommunikation mit einer Sicherheits-EA sowie Verfahren zum Betrieb der programmierbaren Steuerung | |
EP3565751B1 (de) | Umschaltung zwischen element-controllern im bahnbetrieb | |
WO2007124942A1 (de) | Schaltungsanordnung und verfahren zum betrieb einer schaltungsanordnung |
Legal Events
Date | Code | Title | Description |
---|---|---|---|
OP8 | Request for examination as to paragraph 44 patent law | ||
8130 | Withdrawal |