DE19814096A1

DE19814096A1 - Changeover to subsystem connected in cold redundancy, in hierarchical automation system

Info

Publication number: DE19814096A1
Application number: DE1998114096
Authority: DE
Inventors: Lothar Lietz
Original assignee: Hartmann and Braun AG
Current assignee: ABB Patent GmbH
Priority date: 1998-03-30
Filing date: 1998-03-30
Publication date: 1999-10-07
Anticipated expiration: 2018-03-31
Also published as: DE19814096B4

Abstract

The same data from the higher-order devices (4) in the automation system, are received and processed in all redundantly connected subsystems (5 ,6). Each active subsystem (5) fault is reported via the bus system (7) to the higher-order devices (4). The standby sub system (6) is activated directly via a separate connection between the redundantly connected subassemblies, bypassing the higher-order devices temporarily, in relation to the single signal channel (3). The fault report concerning the subsystem (5) is processed in the higher-order devices of the system. These then authenticate activation of the standby subsystem (6).

Description

description

Die Erfindung betrifft ein Verfahren zur Umschaltung redundant geschalteter, gleichartiger Baugruppen in einem hierarchisch aufgebauten Automatisierungssystem die gemeinsam an denselben, singulären Signalkanal angeschlossen sind.The invention relates to a method for switching redundantly switched, Similar modules in a hierarchical automation system which are connected to the same, singular signal channel.

Es ist bekannt, bei der Steuerung sicherheitsrelevanter Einrichtungen die Verfügbarkeit dadurch zu erhöhen, daß gleichartige Baugruppen mehrfach vorgesehen und an einem singulären Signalkanal redundant miteinander verschaltet sind. Dabei ist der singuläre Signalkanal durch eine Zwei-Draht-Leitung zwischen miteinander kommunizierenden Baugruppen des hierarchisch aufgebauten Automatisierungssystems ausgebildet.It is known to control the safety-related devices To increase availability by having identical assemblies several times provided and redundantly interconnected on a singular signal channel are. The singular signal channel is between by a two-wire line communicating modules of the hierarchical structure Automation system trained.

Dabei wird zwischen der sogenannten heißen Redundanz und der sogenannten kalten Redundanz unterschieden. Bei der heißen Redundanz werden die redundant verschalteten Baugruppen synchron gesteuert, so daß alle redundant verschalteten Baugruppen stets denselben Schaltzustand aufweisen. Die heiße Redundanz ist jedoch in Abhängigkeit von der Art der redundant verschalteten Baugruppen und den an dem singulären Signalkanal angeschlossenen Endgeräten mit einer Reihe von Nachteilen behaftet, die insbesondere bei analoger Signalübertragung über den singulären Signalkanal offensichtlich werden. Soweit die redundant verschalteten Baugruppen Empfänger analoger Meßwerte sind, verfälschen die redundant verschalteten Eingangswiderstände der Empfänger den zu empfangenen analogen Meßwert. Sind die redundant verschalteten Baugruppen als Sender von analogen Stellwerten ausgeführt, besteht die Gefahr der Zerstörung des Senderausgangsstufen bei differierenden Signallaufzeiten zwischen den einzelnen redundant verschalteten Sendern. There is a distinction between so-called hot redundancy and so-called cold Redundancy distinguished. With hot redundancy, they become redundant interconnected modules controlled synchronously, so that all redundantly interconnected Assemblies always have the same switching status. The hot redundancy is however, depending on the type of redundantly connected modules and the devices connected to the singular signal channel with a series of Disadvantages, particularly in the case of analog signal transmission via the singular signal channel become obvious. As far as the redundantly connected Modules that receive analog measured values falsify them redundantly interconnected input resistances of the receivers to the received analog Reading. Are the redundantly connected modules as transmitters of analog Control values there is a risk of destruction of the transmitter output stages with different signal delays between the individual redundant interconnections Transmitters.

Bei der kalten Redundanz wird eine der redundant verschalteten Baugruppen als aktive Baugruppe ausgewählt, während alle weiteren redundant verschalteten Baugruppen als passive Baugruppen bezeichnet werden. Dabei empfangen alle redundant parallelgeordneten Baugruppen in der automatisierungstechnischen Anlage dieselben Steuersignale, jedoch ausschließlich die aktive Baugruppe ist zur Kommunikation mit dem Endgerät über den singulären Signalkanal freigegeben.In the case of cold redundancy, one of the redundantly connected modules is used as active module selected while all other redundant interconnections Assemblies are referred to as passive assemblies. Everyone receives Redundantly parallel assemblies in the automation system the same control signals, but only the active module is for Communication with the terminal via the singular signal channel released.

Bei Ausfall der aktuell aktiven Baugruppe wird eine der aktuell passiven Baugruppen zur neuen aktiven Baugruppe ausgewählt. Infolgedessen wird nunmehr ausschließlich die neuen aktiven Baugruppe zur Kommunikation mit dem Endgerät über singulären Signalkanal freigegeben.If the currently active module fails, one of the currently passive modules selected for the new active assembly. As a result, is now exclusive the new active module for communication with the end device via singular Signal channel released.

Jede der redundant geschalteten Baugruppen in einer hierarchisch aufgebauten automatisierungstechnischen Anlage umfaßt eine Prozessorschaltung, die über mindestens ein Bussystem mit übergeordneten Einrichtungen der automatisierungstechnischen Anlage Daten austauscht und von den übergeordneten Einrichtungen Befehle empfängt. Darüber hinaus umfaßt jede der redundant geschalteten Baugruppen Schnittstelleneinrichtungen, an die der singuläre Signalkanal angeschlossen ist. Diese Schnittstelleneinrichtungen sind bei Ausgabebaugruppen als Sender und bei Eingabebaugruppen als Empfänger ausgeführt.Each of the redundantly connected modules in a hierarchical structure Automation system includes a processor circuit that over at least one bus system with higher-level facilities of the automation system exchanges data and from the parent Facilities receives commands. In addition, each includes redundant Switched modules interface devices to which the singular signal channel connected. These interface devices are in the case of output modules Sender and designed as a receiver for input modules.

Der Vorgang des Wechsels der aktiven Baugruppe umfaßt dabei eine Mehrzahl aufeinanderfolgender Schritte. Zunächst werden die detektierte Störung durch die gestörte aktive Baugruppe an die übergeordneten Einrichtungen der automatisierungstechnischen Anlage gemeldet und die Schnittstelleneinrichtungen der gestörten aktiven Baugruppe in einen Ruhezustand versetzt, womit die aktive Baugruppe in den passiven Zustand übergeht. Anschließend wird durch die übergeordneten Einrichtungen der automatisierungstechnischen Anlage eine der bis dahin passiven Baugruppen als neue aktive Baugruppe ausgewählt. Die Schnittstelleneinrichtungen der neuen aktiven Baugruppe werden entsprechend den bereits vorliegenden Steuersignalen zur Kommunikation über den singulären Signalkanal freigegeben. Dabei wird die Signalübertragung zwischen dem Endgerät und der jeweils aktiven Baugruppe über den singulären Signalkanal für die Dauer von der Versetzung der Schnittstelleneinrichtungen der gestörten aktiven Baugruppe in den Ruhezustand bis zur Freigabe der Schnittstelleneinrichtungen der neuen aktiven Baugruppe entsprechend den bereits vorliegenden Steuersignalen unterbrochen. Diese Unterbrechung kann zu Fehlfunktionen des Endgeräts führen und ist daher unerwünscht. Besonders nachteilig ist die undeterminierte Dauer der Unterbrechung, die von verschiedenen Einflußgrößen, wie Auslastung der übergeordneten Einrichtungen der automatisierungstechnischen Anlage und Transferlast auf dem Bussystem zwischen den redundant geschalteten Baugruppen und den übergeordneten Einrichtungen, abhängig ist.The process of changing the active assembly comprises a plurality successive steps. First, the detected disturbance by the faulty active assembly to the higher-level facilities of the automation system and the interface facilities of the disturbed active module in a state of rest, with which the active Module changes to the passive state. Then the higher-level facilities of the automation system one of the to Passive assemblies selected as the new active assembly. The Interface devices of the new active module are in accordance with the control signals already available for communication via the singular Signal channel released. The signal transmission between the terminal and the respective active module via the singular signal channel for the duration of the displacement of the interface devices of the faulty active assembly in the idle state until the interface devices of the new active are released Module interrupted according to the existing control signals. This interruption can cause the terminal to malfunction and is therefore undesirable. The undetermined duration of the interruption is particularly disadvantageous, those of various influencing factors, such as utilization of the superordinate ones Equipment of the automation system and transfer load on the Bus system between the redundantly connected modules and the parent institutions, is dependent.

Der Erfindung liegt daher die Aufgabe zugrunde, ein Verfahren zur Umschaltung redundant geschalteter, gleichartiger Baugruppen in einem hierarchisch aufgebauten Automatisierungssystem anzugeben, das beim Wechsel der aktiven Baugruppe eine kontinuierliche Übernahme des eingestellten Schaltzustandes auf dem singulären Signalkanal ermöglicht.The invention is therefore based on the object of a method for switching redundantly switched, similar assemblies in a hierarchical structure Automation system specify that a when changing the active module continuous adoption of the set switching state on the singular Signal channel enabled.

Erfindungsgemäß wird diese Aufgabe mit den Mitteln des Patentanspruchs 1 gelöst. Vorteilhafte Ausgestaltungen der Erfindung sind im Anspruch 2 genannt.According to the invention, this object is achieved with the means of claim 1. Advantageous embodiments of the invention are mentioned in claim 2.

Der Kern der Erfindung ist darin zu sehen, daß sofort nach erkannter Störung der aktiven Baugruppe unverzüglich unter Umgehung der übergeordneten Einrichtungen eine der Ersatz-Baugruppen vorläufig aktiviert wird und daß diese Aktivierung nachträglich durch die übergeordneten Einrichtungen authentisiert wird.The essence of the invention is to be seen in the fact that immediately after the fault is detected active assembly immediately bypassing the higher-level facilities one of the replacement assemblies is provisionally activated and that this activation is subsequently authenticated by the higher-level institutions.

Dadurch wird eine kontinuierliche Übernahme des eingestellten Schaltzustandes auf dem singulären Signalkanal beim Wechsel der aktiven Baugruppe gewährleistet.As a result, the set switching state is continuously adopted guaranteed the singular signal channel when changing the active module.

Infolge dessen werden Fehlsignalisierungen bei der Kommunikation über den singulären Signalkanal vermieden.As a result, incorrect signaling during communication via the singular signal channel avoided.

Die Erfindung wird nachstehend anhand eines Ausführungsbeispiels mit zwei gleichartigen, redundant geschalteten Baugruppen näher erläutert. Die dazu erforderlichen Zeichnungen zeigen The invention is described below using an exemplary embodiment with two similar, redundantly connected modules explained in more detail. The one show required drawings

Fig. 1 ein Prinzipdarstellung eines hierarchisch aufgebauten Automatisierungssystems mit gleichartigen, redundant geschalteten Baugruppen, Fig. 1 is a schematic representation of a hierarchical automation system with the same kind, connected redundant modules,

Fig. 2 einen Ablaufplan der Schritte in der aktiven Baugruppe beim Wechsel der aktiven Baugruppe, Fig. 2 is a flowchart of the steps in the active assembly when changing the active module,

Fig. 3 einen Ablaufplan der Schritte in der Ersatz-Baugruppe beim Wechsel der aktiven Baugruppe, Fig. 3 is a flow chart of the steps in the replacement assembly when changing the active module,

Fig. 4 einen Ablaufplan der Schritte in der übergeordneten Einrichtung beim Wechsel der aktiven Baugruppe, Fig. 4 is a flowchart of the steps in the parent device when changing the active module,

Fig. 5 eine Darstellung des Zeitverlaufs von Schritten beim Wechsel der aktiven Baugruppe, Fig. 5 is an illustration of the time course of steps when changing the active module,

Fig. 6 eine Prinzipdarstellung von zwei redundant geschalteten Ausgabebaugruppen, Fig. 6 is a schematic representation of two redundant switched output modules,

Fig. 7 ein Blockschaltbild des Redundanzmittels. Fig. 7 is a block diagram of the redundancy means.

Die prinzipielle Struktur eines hierarchisch aufgebauten Automatisierungssystems ist in Fig. 1 dargestellt. Ausgehend von einer übergeordneten Einrichtung 4 ist ein Bussystem 7 vorgesehen, an das untergeordnete Einrichtungen 5 und 6 angeschlossen sind. Über dieses Bussystem 7 tauscht die übergeordnete Einrichtung 4 mit den untergeordneten Einrichtungen 5 und 6 Daten aus. Darüber hinaus sendet die übergeordnete Einrichtung 4 Befehle an die untergeordneten Einrichtungen 5 und 6. Dazu ist sowohl die übergeordnete Einrichtung 4 als auch die untergeordneten Einrichtungen 5 und 6 jeweils mit einer Prozessoreinheit 8 ausgestattet, die über Befehls- und Datenspeicher sowie Kommunikationsschnittstellen verfügt.The basic structure of a hierarchically structured automation system is shown in FIG. 1. Starting from a superordinate device 4 , a bus system 7 is provided, to which subordinate devices 5 and 6 are connected. The higher-level device 4 exchanges data with the lower-level devices 5 and 6 via this bus system 7 . In addition, the higher-level device 4 sends commands to the lower-level devices 5 and 6 . For this purpose, both the higher-level device 4 and the lower-level devices 5 and 6 are each equipped with a processor unit 8 , which has command and data memories and communication interfaces.

Die untergeordneten Einrichtungen 5 und 6 sind gleichartig aufgebaute Baugruppen, die redundant geschaltet zur Kommunikation mit einer singulären Einrichtung 1 über einen singulären Signalkanal 3 ausgelegt sind. Dazu sind die redundant geschalteten gleichartigen Baugruppen 5 und 6 mit jeweils einer ersten Schnittstelle an das Bussystem 7 angeschlossen und mit einer zweiten Schnittstelle mit dem singulären Signalkanal 3 verbunden. Der singuläre Signalkanal 3 ist durch eine Zwei-Draht- Leitung ausgeführt. Die Anschlüsse der zweiten Schnittstelle der redundant geschalteten gleichartigen Baugruppen 5 und 6 sind parallel geschaltet und mit der Zwei-Draht-Leitung des singulären Signalkanals 3 verbunden.The subordinate devices 5 and 6 are assemblies of the same design, which are designed in a redundant manner for communication with a singular device 1 via a singular signal channel 3 . For this purpose, the redundantly connected similar modules 5 and 6 are each connected to the bus system 7 with a first interface and connected to the singular signal channel 3 with a second interface. The singular signal channel 3 is implemented by a two-wire line. The connections of the second interface of the redundantly connected similar assemblies 5 and 6 are connected in parallel and connected to the two-wire line of the singular signal channel 3 .

Die Parallelschaltung der jeweils zweiten Schnittstellen der redundant geschalteten gleichartigen Baugruppen 5 und 6 hat den Vorteil, daß bei der Instrumentierung der automatisierungstechnischen Anlage zunächst eine einzige untergeordnete Einrichtung 5 zum Anschluß an den singulären Signalkanal 3 vorgesehen werden kann, die zu einem späteren Zeitpunkt durch eine redundant geschaltete gleichartige Baugruppe 6 zu einem Redundanzpärchen ergänzt werden kann, wobei die Öffnung des Stromkreises über den singulären Signalkanal 3 vermieden wird.The parallel connection of the respective second interfaces of the redundantly connected similar assemblies 5 and 6 has the advantage that, when instrumenting the automation system, a single subordinate device 5 can initially be provided for connection to the singular signal channel 3 , which can be replaced at a later time by a redundant one switched similar module 6 can be supplemented to a redundancy pair, wherein the opening of the circuit via the singular signal channel 3 is avoided.

Im weiteren wird davon ausgegangen, daß die redundant geschalteten gleichartigen Baugruppen 5 und 6 als Sendebaugruppen ausgeführt sind, und daß die singuläre Einrichtung 1 ein Signalempfänger ist. Es liegt jedoch ebenso im Rahmen der Erfindung, daß die singuläre Einrichtung 1 ein Signalsender ist, und daß die redundant geschalteten gleichartigen Baugruppen 5 und 6 als Signalempfänger ausgeführt sind. Es liegt weiterhin im Rahmen der Erfindung, daß die jeweilige Sende- bzw. Empfangsbaugruppe zum Senden bzw. Empfangen sowohl von analogen als auch von digitalen Signalen ausgeführt sein kann.Furthermore, it is assumed that the redundantly connected similar assemblies 5 and 6 are designed as transmitter assemblies and that the singular device 1 is a signal receiver. However, it is also within the scope of the invention that the singular device 1 is a signal transmitter and that the redundantly connected similar assemblies 5 and 6 are designed as signal receivers. It is also within the scope of the invention that the respective transmitting or receiving module can be designed to transmit or receive both analog and digital signals.

Während des bestimmungsgemäßen Gebrauchs empfangen beide redundant geschalteten gleichartige Baugruppen 5 und 6 über das Bussystem 7 dieselben Daten und Befehle von der übergeordneten Einrichtung 4. In beiden redundant geschalteten gleichartigen Baugruppen 5 und 6 werden die Daten und Befehle synchron zueinander verarbeitet. Jedoch ist jeweils nur eine der redundant geschalteten gleichartigen Baugruppen aktiv mit dem singulären Signalkanal 3 verbunden, während die jeweils andere der redundant geschalteten Baugruppen bezüglich des singulären Signalkanals 3 passiv geschaltet ist.During the intended use, both redundantly connected similar modules 5 and 6 receive the same data and commands from the higher-level device 4 via the bus system 7 . In both redundant modules 5 and 6 of the same type, the data and commands are processed synchronously with each other. However, only one of the redundantly connected modules of the same type is actively connected to the singular signal channel 3 , while the other of the redundantly connected modules is passively switched with respect to the singular signal channel 3 .

Bei der Initialisierung des hierarchisch aufgebauten Automatisierungssystems wird die Auswahl der jeweils aktiven Baugruppe aus der Gruppe der redundant geschalteten gleichartigen Baugruppen 5 und 6 eines singulären Signalkanals 3 voreingestellt. Im weiteren wird davon ausgegangen, daß die Baugruppe 5 die aktive Baugruppe ist. Das bedeutet, daß ausschließlich die Baugruppe 5 über den singulären Signalkanal 3 mit dem Signalempfänger 1 kommuniziert. Die redundant geschaltete gleichartige Baugruppe 6 verfügt jedoch jederzeit über dieselben Daten und denselben Programmabarbeitungszustand wie die aktive Baugruppe 5, ist somit sendebereit jedoch bezüglich des singulären Signalkanals 3 passiv geschaltet.When the hierarchical automation system is initialized, the selection of the respectively active module from the group of redundantly connected similar modules 5 and 6 of a singular signal channel 3 is preset. It is further assumed that module 5 is the active module. This means that only the module 5 communicates with the signal receiver 1 via the singular signal channel 3 . However, the redundant module 6 of the same type has the same data and the same program processing status as the active module 5 at all times, and is therefore ready for transmission with respect to the singular signal channel 3 .

Im weiteren wird unter Bezugnahme auf die Fig. 2 bis 4 der Ablauf der Umschaltung des aktiven Zustandes bezüglich des singulären Signalkanals 3 von der aktiven Baugruppe 5 auf die redundant geschaltete gleichartige Baugruppe 6 erläutert. Dabei unterliegen verzweigende Programmschritte infolge eines Entscheidungsschritts der Konvention, daß der Zweig der Programmfortsetzung bei negativer Entscheidung mit einer "0" gekennzeichnet ist und der Zweig der Programmfortsetzung bei positiver Entscheidung mit einer "1" gekennzeichnet ist.The sequence of switching the active state with respect to the singular signal channel 3 from the active module 5 to the redundantly connected similar module 6 is explained below with reference to FIGS. 2 to 4. Branching program steps as a result of a decision step are subject to the convention that the branch of the program continuation is marked with a "0" if the decision is negative and the branch of the program continuation is marked with a "1" if the decision is positive.

Im einzelnen zeigt Fig. 2 einen Ablaufplan der Schritte in der aktiven Baugruppe 5 beim Wechsel der aktiven Baugruppe infolge eines Störereignisses in der jeweils aktiven Baugruppe. Ausgehend vom Start 1000 des Programms wird in einem Programmschritt 1101 in regelmäßigen Abständen geprüft, ob in der Baugruppe eine Störung vorliegt. Arbeitet die Baugruppe störungsfrei, wird der prüfende Programmschritt 1101 in regelmäßigen Zeitabständen wiederholt. Wird während des Programmschritts 1101 eine Störung der Baugruppe erkannt, wird der Verzweigung 1 folgend der Programmschritt 1102 ausgeführt. Während dieses Schrittes 1102 wird die gesamte Baugruppe rücksetzend initialisiert.In particular, Fig. 2 shows a flowchart of the steps in the active assembly 5 when changing the active module due to a fault event in the currently active module. Starting from the start 1000 of the program, a program step 1101 checks at regular intervals whether there is a fault in the module. If the module is working properly, the checking program step 1101 is repeated at regular time intervals. If a malfunction of the module is detected during program step 1101 , program step 1102 is carried out following branch 1. During this step 1102 , the entire assembly is reset.

Die rücksetzende Initialisierung wird im Programmschritt 1301 ausgewertet, dessen Erläuterung im Zusammenhang mit Fig. 4 erfolgt. Die rücksetzende Initialisierung bei Programmschritt 1102 löst die Umschaltung der aktiven Baugruppe im Programmschritt 1103 aus, die im Programmschritt 1201 im Zusammenhang mit Fig. 3 erläutert wird. Schließlich wird die Ablaufsequenz mit Programmschritt 9999 beendet. Durch die rücksetzende Initialisierung wird die aktive Baugruppe 5 in den passiven Zustand bezüglich des singulären Signalkanals 3 versetzt. The reset initialization is evaluated in program step 1301 , the explanation of which is given in connection with FIG. 4. The resetting initialization in program step 1102 triggers the switchover of the active assembly in program step 1103 , which is explained in program step 1201 in connection with FIG. 3. Finally, the sequence is ended with program step 9999 . Through the resetting initialization, the active module 5 is put into the passive state with respect to the singular signal channel 3 .

In Fig. 3 ist ein Ablaufplan der Schritte in der redundant geschalteten Ersatz- Baugruppe 6 beim Wechsel der aktiven Baugruppe gezeigt, wobei diese Ersatz- Baugruppe 6 beim Start, Programmschritt 1000, bezüglich des singulären Signalkanals 3 passivgeschaltet ist. Bezogen auf die Darstellung in Fig. 1 laufen die nachfolgend erläuterten Programmschritte in der Ersatz-Baugruppe 6 ab. Ausgehend vom Start, Programmschritt 1000, wird bei Programmschritt 1201 geprüft, ob ein Umschaltsignal vorliegt. Das erwartete Umschaltsignal wird durch die rücksetzende Initialisierung der aktiven Baugruppe 5 gemäß Fig. 2 während des Programmschritts 1103 erzeugt. Bei negativem Befund wird der Verzweigung 0 folgend diese Prüfung in regelmäßigen Abständen wiederholt.In Fig. 3 is a flow chart of the steps in the switched redundant replacement assembly 6 is shown when changing the active module, said spare module 6 at the start, program step 1000, the singular signal channel is passively connected with respect 3. With reference to the representation in FIG. 1, the program steps explained below run in the replacement module 6 . Starting from the start, program step 1000 , it is checked in program step 1201 whether a changeover signal is present. The expected changeover signal is generated by the resetting initialization of the active module 5 according to FIG. 2 during program step 1103 . If the result is negative, the test is repeated at regular intervals following branching 0.

Soweit das Vorliegen eines Umschaltsignals erkannt wird, wird der Programmverzweigung 1 folgend der Programmschritt 1202 ausgeführt. Das in der passivgeschalteten Ersatz-Baugruppe 6 im Programmschritt 1201 abgeprüfte Umschaltsignal wird in der aktiven Baugruppe 5 infolge einer Störung bei Programmschritt 1103 erzeugt. Mit Erkennen eines Umschaltsignals wird bei Programmschritt 1202 spontan die Kommunikation mit dem Signalempfänger 1 über den singulären Signalkanal 3 aufgenommen. Dadurch wird die redundant geschaltete Ersatz-Baugruppe 6 nunmehr zur aktiven Baugruppe. Da die Ersatz-Baugruppe 6 vereinbarungsgemäß über dieselben Daten verfügt und denselben Programmabarbeitungszustand aufweist wie die bis dahin aktive Baugruppe 5, ist eine kontinuierliche und stoßfreie Übernahme und Fortsetzung der Kommunikation mit dem Signalempfänger 1 über den singulären Signalkanal 3 gewährleistet.Insofar as the presence of a switchover signal is recognized, program step 1 is followed by program step 1202 . The switchover signal checked in the passive switched replacement module 6 in program step 1201 is generated in the active module 5 as a result of a fault in program step 1103 . Upon detection of a switchover signal, communication with the signal receiver 1 is spontaneously started via the singular signal channel 3 in program step 1202 . As a result, the redundantly connected replacement module 6 now becomes the active module. Since the replacement module 6 has, as agreed, the same data and has the same program processing status as the module 5 which was active up to that point, continuous and bumpless transfer and continuation of communication with the signal receiver 1 via the singular signal channel 3 is guaranteed.

Zum Zeitpunkt des Abarbeitungsschritts 1202 ist insbesondere in einem komplexen hierarchisch aufgebauten Automatisierungssystem unbekannt, ob die übergeordnete Einrichtung 4 bereits die Meldung der Störung der bis dahin aktiven Baugruppe 5 empfangen hat.At the time of processing step 1202, it is unknown, in particular in a complex hierarchical automation system, whether the higher-level device 4 has already received the message of the fault in the module 5 which was active up to that point.

Nach Ablauf einer unbestimmten Zeit empfängt die aktivierte Ersatz-Baugruppe 6 von der übergeordneten Baugruppe 4 einen Aktivierungsbefehl, der die spontane Aktivierung bei Programmschritt 1203 authentisiert. Die aktivierte Ersatz-Baugruppe 6 ist nunmehr im Automatisierungssystem als aktive Baugruppe bezüglich des singulären Signalkanals 3 registriert. Die Ablaufsequenz endet mit Programmschritt 9999. After an indefinite time has elapsed, the activated replacement module 6 receives an activation command from the higher-level module 4 , which authenticates the spontaneous activation in program step 1203 . The activated replacement module 6 is now registered in the automation system as an active module with respect to the singular signal channel 3 . The sequence ends with program step 9999 .

In Fig. 4 ist der Ablauf der Schritte in der übergeordneten Einrichtung 4 beim Wechsel der aktiven Baugruppe dargestellt. In der übergeordneten Einrichtung 4 wird eine Endlosschleife, beginnend mit Programmschritt 1000, ausgeführt. Während Programmschritt 1301 wird geprüft, ob alle untergeordneten Baugruppen störungsfrei sind. Solange keine der angeschlossenen untergeordneten Baugruppen eine Störung meldet, wird der Programmverzweigung 1 folgend der Programmschritt 1301 in regelmäßigen Abständen wiederholt.In Fig. 4 of the sequence is shown of the steps in the higher-level device 4 when changing the active module. An endless loop is executed in the higher-level device 4 , starting with program step 1000 . During program step 1301 , it is checked whether all subordinate assemblies are fault-free. As long as none of the connected subassemblies reports a fault, program branch 1 is followed by program step 1301 repeated at regular intervals.

Jede gestörte untergeordnete Baugruppe 5 und 6 meldet ihren Störungszustand infolge der rücksetzenden Initialisierung bei Programmschritt 1102 gemäß der Darstellung in Fig. 2. Sobald die übergeordnete Einrichtung 4 bei Programmschritt 1301 eine Störungsmeldung einer angeschlossenen untergeordneten Baugruppe 5 und 6 empfängt, wird die Programmabarbeitung der Programmverzweigung 0 folgend mit Programmschritt 1302 fortgesetzt.The higher-level device 4 at program step 1301 receives a failure of a connected sub-assembly 5 and 6 each perturbed subordinate assembly 5 and 6 reports its fault condition due to the resetting initialization at program step 1102, as illustrated in FIG. 2. Once the program execution of the program branch 0 is then continues with program step 1302 .

Während des Programmschritts 1302 wird ermittelt, welche der angeschlossenen untergeordneten Baugruppen 5 und 6 eine Störung gemeldet hat. Im weiteren Verlauf der Abarbeitung wird bei Programmschritt 1303 geprüft, ob die gestörte untergeordnete Baugruppe 5 oder 6 eine aktive Baugruppe 5 bezüglich des angeschlossenen singulären Signalkanals 3 ist.During program step 1302 , it is determined which of the connected subassemblies 5 and 6 has reported a fault. In the further course of the processing, it is checked in program step 1303 whether the disturbed subordinate assembly 5 or 6 is an active assembly 5 with respect to the connected singular signal channel 3 .

Soweit die gestörte untergeordnete Baugruppe bezüglich des singulären Signalkanals 3 passiv geschaltet ist, wird der Programmverzweigung 0 folgend bei Programmschritt 1311 eine Meldung an das Bedienpersonal ausgegeben, daß eine Baugruppe ausgefallen ist und um welche es sich handelt. Anschließend wird die Programmabarbeitung mit Programmschritt 1301 fortgesetzt.Insofar as the faulty subordinate module is switched to passive with regard to the singular signal channel 3 , following the program branch 0, a message is output to the operating personnel at program step 1311 that a module has failed and which it is. The program execution is then continued with program step 1301 .

Wird bei Programmschritt 1303 ermittelt, daß die gestörte untergeordnete Einrichtung eine bezüglich des singulären Signalkanals 3 aktive Baugruppe 5 ist, wird der Programmverzweigung 1 folgend bei Programmschritt 1304 geprüft, ob das Automatisierungssystem eine zu der gestörten untergeordneten Einrichtung 5 gleichartige redundant geschaltete Ersatz-Baugruppe 6 aufweist. Soweit die gestörte untergeordnete Einrichtung 5 eine singuläre Baugruppe ist, wird der Programmverzweigung 0 folgend bei Programmschritt 1321 das Bedienpersonal über den Ausfall der Baugruppe 5 alarmiert und die Programmabarbeitung mit Programmschritt 1301 fortgesetzt.If it is determined in program step 1303 that the disturbed subordinate device is an assembly 5 that is active with respect to the singular signal channel 3 , program branch 1 is checked in program step 1304 to determine whether the automation system has a redundantly connected replacement assembly 6 that is similar to the disrupted subordinate device 5 . Insofar as the faulty subordinate device 5 is a singular assembly, the program branch 0 is followed in program step 1321 and the operating personnel are alerted of the failure of the assembly 5 and the program processing is continued with program step 1301 .

Wird bei Programmschritt 1304 ermittelt, daß der gestörten untergeordneten Einrichtung 5 eine gleichartige Ersatz-Baugruppe 6 redundant geschaltet ist, wird der Programmverzweigung 1 folgend bei Programmschritt 1305 diejenige Ersatz- Baugruppe 6 ermittelt, die zur gestörten untergeordneten Einrichtung 5 redundant geschaltet ist. Dem weiteren Programmablauf folgend wird bei Programmschritt 1306 die zur gestörten untergeordneten Einrichtung 5 redundant geschaltete gleichartige Ersatz-Baugruppe 6 adressiert und bei Programmschritt 1307 der Befehl zur Übernahme der Kommunikation mit dem Signalempfänger 1 über den singulären Signalkanal 3 erteilt. Dieser Befehl wird in der redundant geschalteten gleichartigen Ersatz-Baugruppe 6 empfangen und im Programmschritt 1203 gemäß Fig. 3 verarbeitet. In der übergeordneten Einrichtung wird nach Abarbeitung des Programmschritts 1307 turnusmäßig mit Programmschritt 1301 fortgesetzt.If it is determined in program step 1304 that the faulty subordinate device 5 has a similar replacement module 6 connected redundantly, the program branch 1 is followed in program step 1305 that replacement module 6 which is connected redundantly to the faulty subordinate device 5 . The further program sequence is the following addresses at program step 1306, the redundant connected to the disturbed slave device 5 similar replacement assembly 6 and the command to take over the communication with the signal receiver 1 issued at program step 1307 via the signal singular channel. 3 This command is received in the redundant equivalent replacement module 6 and processed in program step 1203 according to FIG. 3. In the higher-level facility, after execution of program step 1307 , program step 1301 is continued in rotation.

Es ist offensichtlich, daß in der übergeordneten Einrichtung 4 in einem komplexen, hierarchisch aufgebauten Automatisierungssystem mit einer Vielzahl untergeordneter Einrichtungen 5 und 6 von der Erkennung einer gestörten untergeordneten Einrichtung bei Programmschritt 1301 bis zur Ausgabe des Übernahmebefehls an eine redundant geschaltete gleichartige Ersatz-Baugruppe 6 bei Programmschritt 1307 eine Abarbeitungszeit für die Programmschritte 1301 bis 1307 benötigt wird, die zu einer spürbaren Unterbrechung in der Kommunikation mit dem Signalempfänger 1 über den singulären Signalkanal 3 mit den in der Beschreibungseinleitung erwähnten Nachteilen führt. Insbesondere ist dabei zu berücksichtigen, daß die Ablaufsequenz gemäß Fig. 4 für die übergeordnete Einrichtung 4 bezogen auf den gesamten Programmablauf in der übergeordneten Einrichtung 4 des hierarchisch aufgebauten Automatisierungssystems nur einen vergleichsweise geringen Anteil hat.It is evident that in the higher-level device 4 in a complex, hierarchically structured automation system with a large number of lower-level devices 5 and 6, from the detection of a faulty lower-level device in program step 1301 to the issuance of the takeover command to a redundantly connected, similar replacement module 6 Program step 1307 requires a processing time for the program steps 1301 to 1307 , which leads to a noticeable interruption in the communication with the signal receiver 1 via the singular signal channel 3 with the disadvantages mentioned in the introduction to the description. In particular, it should be taken into account that the sequence according to FIG. 4 for the higher-level device 4 has only a comparatively small proportion in relation to the entire program flow in the higher-level device 4 of the hierarchically structured automation system.

Nach Maßgabe der Erfindung verzögert diese Ablaufzeit jedoch nur die nachträgliche Authentisierung der bereits vollzogenen Umschaltung der aktiven Baugruppe und Übernahme der Kommunikation mit dem Signalempfänger 1 über den singulären Signalkanal 3 während der Programmschritts 1202 in der redundant geschalteten Baugruppe 6 wie in Fig. 3 dargestellt wurde. In accordance with the invention, however, this expiry time only delays the subsequent authentication of the switchover of the active module that has already been carried out and the communication with the signal receiver 1 via the singular signal channel 3 during program step 1202 in the redundantly switched module 6, as was shown in FIG. 3.

Zur Verdeutlichung dieses Zusammenhangs ist in Fig. 5 der Zeitverlauf von signifikanten Schritten beim Wechsel der aktiven Baugruppe dargestellt. Anhand von Gültigkeitssymbolen, die den Wechsel eines Gültigkeitszustandes signalisieren, sind Wechselzustände bei der Abarbeitung der Programmschritte 1102 in der gestörten aktiven Baugruppe 5 gemäß Fig. 2, die Übernahme der Kommunikation und damit Aktivschaltung der redundant geschalteten Ersatz-Baugruppe 6 bei Programmschritt 1202 gemäß Fig. 3 und die Authentisierung durch die übergeordnete Einrichtung 4 gemäß Programmschritt 1307 aus Fig. 4 über die Zeit t dargestellt. Die gestörte aktive. Baugruppe 5 signalisiert zum Zeitpunkt t₀ ihren Störungszustand. Daraufhin übernimmt die redundant geschaltete Ersatz-Baugruppe 6 zum Zeitpunkt t₁ entsprechend Programmschritt 1202 die Kommunikation mit dem Signalempfänger 1 über den singulären Signalkanal 3. Die Authentisierung der Übernahme der Kommunikation durch die redundant geschaltete Ersatz-Baugruppe 6 durch die übergeordnete Einrichtung 4, entsprechend Programmschritt 1307 aus Fig. 4, erfolgt zum Zeitpunkt t₂.To illustrate this relationship, the time course of significant steps when changing the active assembly is shown in FIG. 5. On the basis of validity symbols, which signal the change of a validity state, change states are in the processing of program steps 1102 in the faulty active module 5 according to FIG. 2, the takeover of the communication and thus active switching of the redundantly switched replacement module 6 in program step 1202 according to FIG. 3 and the authentication by the higher-level device 4 according to program step 1307 from FIG. 4 over time t. The disturbed active. Module 5 signals its fault status at time t ₀ . The redundantly connected replacement module 6 then takes over the communication with the signal receiver 1 via the singular signal channel 3 at time t _{1 in} accordance with program step 1202 . The authentication of the takeover of communication by the redundantly connected replacement module 6 by the higher-level device 4 , corresponding to program step 1307 from FIG. 4, takes place at time t ₂ .

Die Dauer vom Zeitpunkt t₀ bis t₁ wird dabei ausschließlich durch die Signallaufzeiten in den elektronischen Bauelementen der gestörten aktiven Baugruppe 5 und der redundant geschalteten gleichartigen Ersatz-Baugruppe 6 bestimmt und liegt im Bereich einiger Mikrosekunden. Demgegenüber wird der Zeitabschnitt vom Zeitpunkt t₀, der Störungsmeldung der gestörten aktiven Baugruppe 5 , bis zum Zeitpunkt t₂, dem Übernahmebefehl der übergeordneten Einrichtung 4, durch die Abarbeitungszeit der Programmschritte 1301 bis 1307 gemäß Fig. 4 in der übergeordneten Einrichtung 4 bestimmt und liegt im Bereich einiger Millisekunden.The duration from time t ₀ to t ₁ is determined exclusively by the signal propagation times in the electronic components of the disturbed active assembly 5 and the redundantly connected equivalent replacement assembly 6 and is in the range of a few microseconds. In contrast, the time period is from the time t _0, the failure of the disturbed active assembly 5 until the time t _2, determines the acquisition command of the superordinate device 4 by the execution time of the program steps 1301 to 1307 shown in FIG. 4 in the higher-level device 4 and is in the range of a few milliseconds.

Aufgrund kapazitiver Leitungseffekte auf dem als Zwei-Draht-Leitung ausgeführten singulären Signalkanal 3 ist eine Spannungsunterbrechung im Zeitbereich einiger Mikrosekunden für den angeschlossenen Signalempfänger 1 nicht detektierbar.Due to capacitive line effects on the singular signal channel 3 designed as a two-wire line, a voltage interruption in the time range of a few microseconds cannot be detected for the connected signal receiver 1 .

Praktisch bedeutet die Übernahme der Kommunikation mit dem Signalempfänger 1 über den singulären Signalkanal 3 durch die redundant geschaltete Ersatz-Baugruppe 6 zum Zeitpunkt t₁ eine stoßfreie und verzögerungsfreie Übernahme.In practice, the takeover of the communication with the signal receiver 1 via the singular signal channel 3 by the redundantly switched replacement module 6 at the time t _{1 means} a bumpless and instantaneous takeover.

Unter Verwendung gleicher Bezugszeichen für gleiche Mittel ist in Fig. 6 eine bevorzugte Ausführungsform der Erfindung mit zwei redundant geschalteten gleichartigen Baugruppen 5 und 6 dargestellt. Jede der redundant geschalteten Baugruppen 5 und 6 verfügt über eine Prozessoreinheit 8, die über das Bussystem 7 mit der in Fig. 6 nicht dargestellten übergeordneten Einrichtung 4 kommuniziert. Die jeweils zweiten Schnittstellen der redundant geschalteten gleichartigen Baugruppen 5 und 6 sind parallelgeschaltet und mit dem singulären Signalkanal 3 verbunden. Der singuläre Signalkanal 3 ist als Zwei-Draht-Leitung ausgeführt, an dessen freien Ende der Signalempfänger 1 angeschlossen ist.Using the same reference numerals for the same means, FIG. 6 shows a preferred embodiment of the invention with two redundant modules 5 and 6 of the same type. Each of the redundantly connected modules 5 and 6 has a processor unit 8 , which communicates via the bus system 7 with the higher-level device 4 , not shown in FIG. 6. The respective second interfaces of the redundantly connected similar assemblies 5 and 6 are connected in parallel and connected to the singular signal channel 3 . The singular signal channel 3 is designed as a two-wire line, to the free end of which the signal receiver 1 is connected.

Jede der redundant geschalteten gleichartigen Baugruppen 5 und 6 ist jeweils mit einem Redundanzumschaltmittel 570 und 670 ausgestattet. Die Redundanzumschaltmittel 570 und 670 weisen jeweils einen Rücksetzeingang 571 und 671, ein Redundanzumschaltsignaleingang 572 und 672, einen Freigabeausgang 573 und 673 sowie einen Redundanzumschaltsignalausgang 574 und 674 auf.Each of the redundantly connected similar assemblies 5 and 6 is equipped with a redundancy switchover means 570 and 670 . The redundancy switching means 570 and 670 each have a reset input 571 and 671 , a redundancy switching signal input 572 and 672 , an enable output 573 and 673 and a redundancy switching signal output 574 and 674 .

Darüber hinaus ist jeder der gleichartigen Baugruppen 5 und 6 für jeden angeschlossenen singulären Signalkanal 3 mit jeweils einem Signalverstärker 510 und 610 ausgestattet.In addition, each of the similar assemblies 5 and 6 is equipped with a signal amplifier 510 and 610 for each connected singular signal channel 3 .

Vereinbarungsgemäß empfangen beide redundant geschalteten Baugruppen 5 und 6 dieselben Daten und Befehle über das Bussystem 7 von der in Fig. 6 nicht dargestellten übergeordneten Einrichtung. Demzufolge sind an den Ausgängen der Signalverstärker 510 und 610 zu denselben Zeitpunkten exakt dieselben Ausgangssignale verfügbar.As agreed, both redundantly connected modules 5 and 6 receive the same data and commands via the bus system 7 from the higher-level device, not shown in FIG. 6. As a result, exactly the same output signals are available at the outputs of the signal amplifiers 510 and 610 at the same times.

Im weiteren wird davon ausgegangen, daß die Baugruppe 5 die aktuell aktivgeschaltete Baugruppe und die Baugruppe 6 die aktuell passivgeschaltete redundante Baugruppe ist. Der Ausgang des Signalverstärkers 510 der aktiven Baugruppe 5 ist, symbolisiert durch einen geschlossenen zweipoligen Schalter 520, mit dem singulären Signalkanal 3 verbunden. Der Schalter 520 wird durch den Freigabeausgang 573 des Redundanzumschaltmittels 570 betätigt.It is further assumed that module 5 is the currently active module and module 6 is the currently passive redundant module. The output of the signal amplifier 510 of the active assembly 5 , symbolized by a closed two-pole switch 520 , is connected to the singular signal channel 3 . The switch 520 is actuated by the release output 573 of the redundancy switching means 570 .

Im Gegensatz dazu ist der Ausgang des Signalverstärkers 610 der passiv geschalteten Baugruppe 6, symbolisiert durch einen geöffneten zweipoligen Schalter 620, vom singulären Signalkanal 3 getrennt. Der Schalter 620 wird durch den Freigabeausgang 673 des Redundanzumschaltmittels 670 betätigt. In contrast to this, the output of the signal amplifier 610 of the passively switched module 6 , symbolized by an open two-pole switch 620 , is separated from the singular signal channel 3 . The switch 620 is actuated by the release output 673 of the redundancy switching means 670 .

Jede der redundant geschalteten Baugruppen 5 und 6 weist jeweils einen Redundanzumschaltsignaleingang 504 und 604 sowie einen Redundanzumschaltsignalausgang 505 und 605 auf, die jeweils mit dem zugehörigen Redundanzumschaltsignaleingang 572 und 672 und dem Redundanzumschaltsignalausgang 574 und 674 des zugehörigen Redundanzumschaltmittels 570 und 670 verbunden sind.Each of the redundantly connected modules 5 and 6 has a redundancy changeover signal input 504 and 604 and a redundancy changeover signal output 505 and 605 , which are respectively connected to the associated redundancy changeover signal input 572 and 672 and the redundancy changeover signal output 574 and 674 of the associated redundancy changeover means 570 and 670 .

Die redundante Verschaltung der gleichartigen Baugruppen 5 und 6 besteht nunmehr darin, daß der Redundanzumschaltsignalausgang 505 der aktiven Baugruppe 5 über eine Signalleitung 11 mit dem Redundanzumschaltsignaleingang 604 der passiv geschalteten redundanten Baugruppe 6 verbunden ist, und daß der Redundanzumschaltsignalausgang 605 der passiv geschalteten Baugruppe 6 über eine Signalleitung 12 mit dem Redundanzumschaltsignaleingang 504 der aktiven Baugruppe 5 verbunden ist.The redundant interconnection of the similar assemblies 5 and 6 now consists in that the redundancy changeover signal output 505 of the active assembly 5 is connected via a signal line 11 to the redundancy changeover signal input 604 of the passively connected redundant assembly 6 , and that the redundancy changeover signal output 605 of the passively connected assembly 6 is connected via a Signal line 12 is connected to the redundancy changeover signal input 504 of the active module 5 .

In jeder der gleichartigen Baugruppen 5 und 6 wird im Störungsfall, gemäß Programmschritt 1102 in Fig. 2, ein Rücksetzsignal 503 und 603 erzeugt, das am Rücksetzeingang 571 und 671 des jeweiligen Redundanzumschaltmittels 570 und 670 aufgeschaltet ist.In the event of a fault, a reset signal 503 and 603 is generated in each of the similar modules 5 and 6 in accordance with program step 1102 in FIG. 2, which is applied to the reset inputs 571 and 671 of the respective redundancy switching means 570 and 670 .

Beim Auftreten einer Störung in der aktiven Baugruppe 5 wird gemäß Programmschritt 1102 das Rücksetzsignal 503 aktiviert. Daraufhin wird über den Freigabeausgang 573 der Schalter 520 geöffnet und gleichzeitig über den Redundanzumschaltsignalausgang 574 des Redundanzumschaltmittels 570, den Redundanzumschaltsignalausgang 505 der aktiven Baugruppe 5, die Signalleitung 11 an den Redundanzumschaltsignaleingang 604 der redundant geschalteten Baugruppe 6 und weiter an den Redundanzumschaltsignaleingang 672 des Redundanzumschaltmittels 670 der Störungszustand der aktiven Baugruppe 5 gemeldet. Gemäß Programmschritt 1201 in Fig. 3 wird im Redundanzumschaltmittel 670 der redundant geschalteten Ersatz-Baugruppe 6 ein Redundanzumschaltsignal erkannt und über den Freigabeausgang 673 der Schalter 620 geschlossen. Das Schließen des Schalters 620 der aktivierten Ersatz-Baugruppe 6 entspricht dem Zeitpunkt t₁ in Fig. 5. Bezüglich des singulären Signalkanals 3 wird die Kommunikation stoßfrei über die redundant geschaltete Ersatz-Baugruppe 6 fortgesetzt. If a fault occurs in the active module 5 , the reset signal 503 is activated in accordance with program step 1102 . Then, the switch 520 is opened via the enable output 573, and simultaneously via the Redundanzumschaltsignalausgang 574 of the Redundanzumschaltmittels 570, the Redundanzumschaltsignalausgang 505 of the active module 5, the signal line 11 to the Redundanzumschaltsignaleingang 604 of the redundant-connected assembly 6 and further to the Redundanzumschaltsignaleingang 672 of the Redundanzumschaltmittels 670 of Malfunction status of the active module 5 reported. According to program step 1201 in FIG. 3, a redundancy changeover signal is recognized in the redundancy switching means 670 of the redundantly connected replacement module 6 and the switch 620 is closed via the enable output 673 . The closing of the switch 620 of the activated replacement module 6 corresponds to the point in time t ₁ in FIG. 5. With regard to the singular signal channel 3 , the communication is continued smoothly via the redundantly switched replacement module 6 .

Nach wiederhergestellter Baugruppe 5 und aktiver Ersatz-Baugruppe 6 wird bei deren Störung das Rücksetzsignal 603 aktiviert, woraufhin über den Freigabeausgang 673 der Schalter 620 geöffnet wird und gleichzeitig über den Redundanzumschaltsignalausgang 674 des Redundanzumschaltmittels 670, den Redundanzumschaltsignalausgang 605 der Baugruppe 6 und die Signalleitung 12 an den Redundanzumschaltsignaleingang 504 der Baugruppe 5 und weiter an den Redundanzumschaltsignaleingang 572 des Redundanzumschaltmittels 570, gemäß Programmschritt 1103 in Fig. 2, gesendet. Daraufhin wird über den Freigabeausgang 573 des Redundanzumschaltmittels 570 der Schalter 520 geschlossen und der singuläre Signalkanal 3 mit dem Ausgang des Signalverstärkers 510 verbunden.After the restored module 5 and the active replacement module 6 , the reset signal 603 is activated in the event of a fault, whereupon the switch 620 is opened via the release output 673 and at the same time via the redundancy switching signal output 674 of the redundancy switching means 670 , the redundancy switching signal output 605 of the module 6 and the signal line 12 the redundancy switchover signal input 504 of the module 5 and further to the redundancy switchover signal input 572 of the redundancy switchover means 570 , according to program step 1103 in FIG. 2. The switch 520 is then closed via the enable output 573 of the redundancy switching means 570 and the singular signal channel 3 is connected to the output of the signal amplifier 510 .

In besonders vorteilhafter Ausgestaltung der Erfindung sind die Schalter 520 und 620 als elektronische Torschaltungen ausgeführt. Soweit die redundant geschalteten, gleichartigen Baugruppen 5 und 6 als Sendebaugruppen ausgeführt sind, sind die Ausgänge der elektronischen Torschaltungen 520 und 620 unmittelbar mit den Anschlußelementen der zweiten Schnittstelle zum Anschluß des singulären Signalkanals 3 verbunden. Sind die redundant geschalteten, gleichartigen Baugruppen 5 und 6 als Empfangsbaugruppen ausgeführt, dann sind die Signaleingänge der elektronischen Torschaltungen 520 und 620 unmittelbar mit den Anschlußelementen der zweiten Schnittstelle zum Anschluß des singulären Signalkanals 3 verbunden.In a particularly advantageous embodiment of the invention, the switches 520 and 620 are designed as electronic gate circuits. Insofar as the redundantly connected, similar assemblies 5 and 6 are designed as transmission assemblies, the outputs of the electronic gate circuits 520 and 620 are connected directly to the connecting elements of the second interface for connecting the singular signal channel 3 . If the redundantly connected, similar assemblies 5 and 6 are designed as receiving assemblies, then the signal inputs of the electronic gate circuits 520 and 620 are connected directly to the connecting elements of the second interface for connecting the singular signal channel 3 .

Dadurch wird der singuläre Signalkanals 3 unmittelbar an seinem Anschlüssen an die redundant geschalteten, gleichartigen Baugruppen 5 und 6 Abhängigkeit vom Aktivierungszustand jeder redundant geschalteten, gleichartigen Baugruppe 5 und 6 an- und abgeschaltet.As a result, the singular signal channel 3 is switched on and off directly at its connections to the redundantly connected, similar assemblies 5 and 6, depending on the activation state of each redundantly connected, identical assembly 5 and 6 .

Der Vorteil dieser Vorgehensweise ist darin zu sehen, daß die redundant geschalteten, gleichartigen Baugruppen 5 und 6 unabhängig von ihrem Aktivierungszustand während des laufenden Betriebs nahezu vollständig prüfbar und überwachbar sind. Lediglich die elektronischen Torschaltungen 520 und 620 der jeweils passivgeschalteten Ersatz- Baugruppe sind von der laufenden Überwachung ausgenommen.The advantage of this procedure can be seen in the fact that the redundantly connected, similar assemblies 5 and 6 can be checked and monitored almost completely independently of their activation state during operation. Only the electronic gate circuits 520 and 620 of the passive subassembly are excluded from ongoing monitoring.

Da vereinbarungsgemäß alle redundant geschalteten, gleichartigen Baugruppen 5 und 6 unabhängig von ihrem Aktivierungszustand während des laufenden Betriebs von der übergeordneten Einrichtung 4 des hierarchisch aufgebauten Automatisierungssystems dieselben Daten und Befehle empfangen und zu denselben Zeitpunkten denselben Abarbeitungszustand der Befehlssequenzen aufweisen, werden Störungen sowohl in der aktivgeschalteten Baugruppe 5 als auch in allen passivgeschalteten Ersatz- Baugruppen 6 erkannt und verarbeitet. Auf diese Weise wird eine besonders hohe Verfügbarkeit für das hierarchisch aufgebauten Automatisierungssystem erreicht.Since, by agreement, all redundantly switched, similar assemblies 5 and 6 receive the same data and commands from the higher-level device 4 of the hierarchically structured automation system regardless of their activation state during ongoing operation and have the same processing state of the command sequences at the same times, faults both occur in the actively switched module 5 as well as in all passive switched replacement modules 6 recognized and processed. In this way, a particularly high availability for the hierarchically structured automation system is achieved.

Wenngleich die bevorzugte Ausführungsform gemäß Fig. 6 am Beispiel redundant geschalteter Sendebaugruppen mit einem Signalempfänger 1 beschrieben ist, liegt es gleichwohl im Rahmen der Erfindung, anstelle des Signalempfängers 1 einen Signalsender 1 vorzusehen und die redundant geschalteten Baugruppen 5 und 6 als Empfangsbaugruppen auszugestalten. Darüber hinaus liegt es im Rahmen der Erfindung, daß jede Sende-/Empfängerkombination auf analoge oder digitale Signalübertragung spezialisiert ist.Although the preferred embodiment according to FIG. 6 is described using the example of redundantly switched transmission modules with a signal receiver 1 , it is nevertheless within the scope of the invention to provide a signal transmitter 1 instead of the signal receiver 1 and to configure the redundantly switched modules 5 and 6 as reception modules. In addition, it is within the scope of the invention that each transmitter / receiver combination specializes in analog or digital signal transmission.

Darüber hinaus liegt es im Rahmen der Erfindung, Gruppen von mehr als zwei redundant geschalteten gleichartigen Baugruppen zur stoßfreien Übernahme der Kommunikation über einen singulären Signalkanal zu einem Signalempfänger 1 bzw. von einem Signalsender 1 vorzusehen.In addition, it is within the scope of the invention to provide groups of more than two redundantly connected similar modules for bumpless transfer of communication via a singular signal channel to a signal receiver 1 or from a signal transmitter 1 .

In Fig. 7 ist unter Verwendung gleicher Bezugszeichen für gleiche Mittel das Redundanzumschaltmittel 570 und 670 der redundant geschalteten, gleichartigen Baugruppen 5 und 6 als Blockschaltbild dargestellt. Dabei sind die Mittel mit den Bezugszeichen 570 bis 577 der aktivgeschalteten Baugruppe 5 und die Mittel mit den Bezugszeichen 670 bis 677 der passivgeschalteten Ersatz-Baugruppe 6 zugeordnet.In FIG. 7, the redundancy switching means 570 and 670 of the redundantly connected, similar assemblies 5 and 6 are shown as a block diagram using the same reference symbols for the same means. The means with the reference numerals 570 to 577 are assigned to the actively switched assembly 5 and the means with the reference numerals 670 to 677 to the passive connected replacement module 6 .

Das Redundanzumschaltmittel 570 und 670 besteht im wesentlichen aus einem adressierbaren Statuslatch 575 und 675, einem adressierbaren Bereitschaftslatch 576 und 676 sowie einem UND-Gatter 577 und 677 mit zwei Eingängen, von denen ein Eingang invertierend ist.The redundancy switching means 570 and 670 essentially consists of an addressable status latch 575 and 675 , an addressable standby latch 576 and 676 and an AND gate 577 and 677 with two inputs, one of which is inverting.

Das adressierbare Statuslatch 575 und 675 und das adressierbare Bereitschaftslatch 576 und 676 des Redundanzumschaltmittels 570 und 670 sind über einen gemeinsamen Rücksetzeingang rücksetzbar, der der Rücksetzeingang 571 und 671 des Redundanzumschaltmittels 570 und 670 ist. Der Ausgang des adressierbaren Statuslatch 575 und 675 ist der Redundanzumschaltsignalausgang 574 und 674 des Redundanzumschaltmittels 570 und 670 und der Ausgang des adressierbare Bereitschaftslatch 576 und 676 ist mit dem nichtinvertierenden Eingang des UND- Gatters 577 und 677 verbunden.The addressable status latch 575 and 675 and the addressable ready latch 576 and 676 of the redundancy switching means 570 and 670 can be reset via a common reset input, which is the reset input 571 and 671 of the redundancy switching means 570 and 670 . The output of the addressable status latch 575 and 675 is the redundancy switching signal output 574 and 674 of the redundancy switching means 570 and 670 and the output of the addressable standby latch 576 and 676 is connected to the non-inverting input of the AND gate 577 and 677 .

Darüber hinaus weist das Redundanzumschaltmittel 570 und 670 Mittel zur selektiven Konfiguration des adressierbaren Statuslatch 575 und 675 und des adressierbaren Bereitschaftslatch 576 und 676 durch die Prozessoreinheit 8 auf.In addition, the redundancy switching means 570 and 670 has means for the selective configuration of the addressable status latch 575 and 675 and the addressable standby latch 576 and 676 by the processor unit 8 .

Der invertierende Eingang des UND-Gatters 577 und 677 ist der Redundanzumschaltsignaleingang 572 und 672 des Redundanzumschaltmittels 570 und 670. Der Ausgang des UND-Gatters 577 und 677 ist der Freigabeausgang 573 und 673 des Redundanzumschaltmittels 570 und 670.The inverting input of the AND gate 577 and 677 is the redundancy switching signal input 572 and 672 of the redundancy switching means 570 and 670 . The output of the AND gate 577 and 677 is the enable output 573 and 673 of the redundancy switching means 570 and 670 .

Bei der Inbetriebnahme der redundant geschalteten, gleichartigen Baugruppen 5 und 6 werden das adressierbare Statuslatch 575 und 675 und das adressierbare Bereitschaftslatch 576 und 676 des Redundanzumschaltmittels 570 und 670 durch die Prozessoreinheit 8 in Abhängigkeit vom Aktivierungszustand der jeweiligen Baugruppe 5 und 6 initialisierend eingestellt.When the redundantly connected, similar assemblies 5 and 6 are started up, the addressable status latch 575 and 675 and the addressable ready latch 576 and 676 of the redundancy switching means 570 and 670 are initially set by the processor unit 8 depending on the activation state of the respective assembly 5 and 6 .

Bei der Initialisierung der aktivgeschalteten Baugruppe 5 wird das adressierbare Statuslatch 575 gesetzt. Der Redundanzumschaltsignalausgang 574 des Redundanzumschaltmittels 570 führt somit High-Pegel und ist demzufolge bei positiver Logik aktiv. Das adressierbare Bereitschaftslatch 576 des Redundanzumschaltmittels 570 wird für die aktivgeschaltete Baugruppe 5 gesetzt, so daß am nichtinvertierenden Eingang des UND-Gatters 577 High-Pegel geschaltet ist.When the activated module 5 is initialized, the addressable status latch 575 is set. The redundancy switchover signal output 574 of the redundancy switchover means 570 thus has a high level and is consequently active with positive logic. The addressable ready latch 576 of the redundancy switching means 570 is set for the active module 5 , so that the non-inverting input of the AND gate 577 is switched to high level.

Bei der Initialisierung der passivgeschalteten Ersatz-Baugruppe 6 wird das adressierbare Statuslatch 675 in seinen rückgesetzten Zustand verbracht. Der Redundanzumschaltsignalausgang 674 des Redundanzumschaltmittels 670 führt somit Low-Pegel und ist demzufolge bei positiver Logik inaktiv. Das adressierbare Bereitschaftslatch 676 des Redundanzumschaltmittels 670 wird für die passivgeschaltete Ersatz-Baugruppe 6 gesetzt, so daß am nichtinvertierenden Eingang des UND-Gatters 677 High-Pegel geschaltet ist. When the passive-connected replacement module 6 is initialized, the addressable status latch 675 is brought into its reset state. The redundancy changeover signal output 674 of the redundancy changeover means 670 thus has a low level and is consequently inactive when the logic is positive. The addressable ready latch 676 of the redundancy switchover means 670 is set for the passive switched replacement module 6 , so that the non-inverting input of the AND gate 677 is switched to high level.

Im weiteren wird die Wirkungsweise der Redundanzumschaltmittel 570 und 670 der aktivgeschaltete Baugruppe 5 und der passivgeschalteten Ersatz-Baugruppe 6 unter Berücksichtigung der Zusammenschaltung gemäß Fig. 6 erläutert. Dabei ist der Redundanzumschaltsignalausgang 574 des Redundanzumschaltmittels 570 der aktivgeschaltete Baugruppe 5 über den Redundanzumschaltsignalausgang 505, die Signalleitung 11 und den Redundanzumschaltsignaleingang 604 der Ersatz- Baugruppe 6 mit dem Redundanzumschaltsignaleingang 672 des Redundanzumschaltmittels 670 verbunden. Der Redundanzumschaltsignalausgang 674 des Redundanzumschaltmittels 670 ist über den Redundanzumschaltsignalausgang 605, die Signalleitung 12 und den Redundanzumschaltsignaleingang 504 des Redundanzumschaltmittels 570 mit dem Redundanzumschaltsignaleingang 572 der aktivgeschaltete Baugruppe 5 verbunden.Furthermore, the operation of the Redundanzumschaltmittel 570 and 670 of active-connected assembly 5 and the passive switched replacement assembly 6 in consideration of the interconnection is in accordance with FIG. 6 explained. Here, the Redundanzumschaltsignalausgang 574 of Redundanzumschaltmittels actively switched assembly 5 the Redundanzumschaltsignaleingang the replacement assembly 6 connected 570 via the Redundanzumschaltsignalausgang 505, the signal line 11 and 604 with the Redundanzumschaltsignaleingang 672 of the Redundanzumschaltmittels 670th The redundancy changeover signal output 674 of the redundancy changeover means 670 is connected to the redundancy changeover signal input 572 of the active module 5 via the redundancy changeover signal output 605 , the signal line 12 and the redundancy changeover signal input 504 of the redundancy changeover means 570 .

Durch diese Verbindungen führen der Redundanzumschaltsignaleingang 672 der passivgeschalteten Ersatz-Baugruppe 6 High-Pegel und der Redundanzumschaltsignaleingang 572 der aktivgeschaltete Baugruppe 5 Low-Pegel.Through these connections, the redundancy changeover signal input 672 of the passively switched replacement module 6 carries high level and the redundancy changeover signal input 572 of the actively switched module 5 leads low level.

Bei ungestörtem Betrieb sind die Rücksetzsignale 571 und 671 der aktivgeschalteten Baugruppe 5 und der passivgeschalteten Ersatz-Baugruppe 6 inaktiv. Darüber hinaus ist der Freigabeausgang 573 der aktivgeschalteten Baugruppe 5 durch die Verknüpfung des Low-Pegels vom Redundanzumschaltsignaleingang 572 am invertierenden Eingang des UND-Gatters 577 und des High-Pegels vom Ausgang des adressierbaren Bereitschaftslatch 576 am nichtinvertierenden Eingang des UND- Gatters 577 mit High-Pegel aktiv. Infolge dessen ist der Schalter 520 der aktivgeschalteten Baugruppe 5 geschlossen und der Ausgang des Signalverstärkers 510 über den singuläre Signalkanal 3 mit dem Signalempfänger 1 verbunden.In the case of undisturbed operation, the reset signals 571 and 671 of the activated module 5 and the passive connected replacement module 6 are inactive. In addition, the enable output 573 of the activated module 5 is linked by the combination of the low level from the redundancy changeover signal input 572 at the inverting input of the AND gate 577 and the high level from the output of the addressable ready latch 576 at the non-inverting input of the AND gate 577. Active level. As a result, the switch 520 of the activated module 5 is closed and the output of the signal amplifier 510 is connected to the signal receiver 1 via the singular signal channel 3 .

Bei der passivgeschalteten Ersatz-Baugruppe 6 führt der Ausgang des UND-Gatters 677 des Redundanzumschaltmittels 670 durch die Verknüpfung des High-Pegels vom Redundanzumschaltsignaleingang 672 am invertierenden Eingang und des High- Pegels vom Ausgang des adressierbaren Bereitschaftslatch 676 am nichtinvertierenden Eingang im Ergebnis Low-Pegel, so daß der Freigabeausgang 673 inaktiv ist. Infolge dessen ist der Schalter 620 der redundant geschalteten, gleichartigen Ersatz-Baugruppe 6 geöffnet, so daß der singuläre Signalkanal 3 von dem Ausgang des Signalverstärkers 610 der Ersatz-Baugruppe 6 getrennt ist. In the passive-connected replacement module 6 , the output of the AND gate 677 of the redundancy switching means 670 results in the low level as a result of the combination of the high level from the redundancy switching signal input 672 at the inverting input and the high level from the output of the addressable standby latch 676 at the non-inverting input , so that the release output 673 is inactive. As a result, the switch 620 of the redundantly connected, equivalent replacement module 6 is opened, so that the singular signal channel 3 is separated from the output of the signal amplifier 610 of the replacement module 6 .

Beim Auftreten einer Störung in der aktivgeschalteten Baugruppe 5 wird das Rücksetzsignal 571 aktiviert. Infolge dessen werden das adressierbare Statuslatch 575 und das adressierbare Bereitschaftslatch 576 rückgesetzt. Durch Rücksetzen des adressierbaren Statuslatch 575 wird der Redundanzumschaltsignalausgang 574 der aktivgeschalteten Baugruppe 5 und damit der Redundanzumschaltsignaleingang 672 auf Low-Pegel gesetzt.If a fault occurs in the activated module 5 , the reset signal 571 is activated. As a result, addressable status latch 575 and addressable standby latch 576 are reset. By resetting the addressable status latch 575 , the redundancy changeover signal output 574 of the activated module 5 and thus the redundancy changeover signal input 672 are set to low level.

Der Low-Pegel am invertierenden Eingang des UND-Gatters 677 bewirkt bei gesetztem adressierbaren Bereitschaftslatch 676 die Aktivierung des Freigabeausgangs 673. Infolge dessen wird der Schalter 620 der redundant geschalteten, gleichartigen Ersatz-Baugruppe 6 geschlossen, so daß der Ausgang des Signalverstärkers 610 der Ersatz-Baugruppe 6 über den singuläre Signalkanal 3 mit dem Signalempfänger 1 verbunden ist.The low level at the inverting input of the AND gate 677 causes the enable output 673 to be activated when the addressable standby latch 676 is set. As a result, the switch 620 of the redundantly connected, equivalent replacement module 6 is closed, so that the output of the signal amplifier 610 of the replacement module 6 is connected to the signal receiver 1 via the singular signal channel 3 .

Darüber hinaus bewirkt das Rücksetzen des adressierbaren Bereitschaftslatch 576 der aktivgeschalteten Baugruppe 5 infolge Low-Pegels am nichtinvertierenden Eingang des UND-Gatters 577 im Ergebnis Low-Pegel am Freigabeausgang 573. Infolge dessen wird der Schalter 520 der gestörten Baugruppe 5 geöffnet, so daß der singuläre Signalkanal 3 vom Ausgang des Signalverstärkers 510 der gestörten Baugruppe 5 getrennt ist.In addition, resetting the addressable ready latch 576 of the activated module 5 as a result of the low level at the non-inverting input of the AND gate 577 results in the low level at the enable output 573 . As a result, the switch 520 of the faulty module 5 is opened, so that the singular signal channel 3 is separated from the output of the signal amplifier 510 of the faulty module 5 .

Bei der Authentisierung gemäß Programmschritt 1307 zum Zeitpunkt t₂ des bereits vorläufig vollzogenen Wechsels der aktivgeschalteten Baugruppe gemäß Programmschritt 1202 zum Zeitpunkt t₁ wird das adressierbare Statuslatch 675 der Ersatz-Baugruppe 6 gesetzt. Der Ausgang des adressierbaren Statuslatch 675 und damit der Redundanzumschaltsignalausgang 605 sowie der Redundanzumschaltsignaleingang 504 führen nunmehr High-Pegel, so daß das UND- Gatters 577 unabhängig vom Zustand des adressierbaren Bereitschaftslatch 576 stets gesperrt ist. In vorteilhafter Weise wird dadurch der Freigabeausgang 573 gegen unbeabsichtigte Aktivierung verriegelt.When authenticating according to program step 1307 at time t _{2 of} the provisionally completed change of the active module according to program step 1202 at time t ₁ , the addressable status latch 675 of the replacement module 6 is set. The output of the addressable status latch 675 and thus the redundancy switchover signal output 605 and the redundancy switchover signal input 504 now carry a high level, so that the AND gate 577 is always blocked, regardless of the state of the addressable standby latch 576 . Advantageously, the release output 573 is thereby locked against unintentional activation.

Nach der Authentisierung ist die Ersatz-Baugruppe 6 im Automatisierungssystem als aktive Baugruppe registriert. After authentication, the replacement module 6 is registered in the automation system as an active module.

Reference list

11

Signalempfänger
Signal receiver

33rd

singulärer Signalkanal
singular signal channel

44th

übergeordnete Einrichtung
parent institution

55

, ,

66

redundant geschaltete, gleichartige Baugruppen
redundantly switched, similar assemblies

77

Bussystem
Bus system

88th

Prozessoreinheit
Processor unit

1111

, ,

1212th

Signalleitungen
Signal lines

503503

, ,

603603

Rücksetzsignal
Reset signal

504504

, ,

604604

Redundanzumschaltsignaleingang
Redundancy changeover signal input

505505

, ,

605605

Redundanzumschaltsignalausgang
Redundancy changeover signal output

510510

, ,

610610

Signalverstärker
Signal amplifier

520520

, ,

620620

Schalter
counter

570570

, ,

670670

Redundanzumschaltmittel
Redundancy switching means

571571

, ,

671671

Rücksetzeingang
Reset input

572572

, ,

672672

Redundanzumschaltsignaleingang
Redundancy changeover signal input

573573

, ,

673673

Freigabeausgang
Release output

574574

, ,

674674

Redundanzumschaltsignalausgang
Redundancy changeover signal output

575575

, ,

675675

adressierbares Statuslatch
addressable status latch

576576

, ,

676676

adressierbares Bereitschaftslatch
addressable standby latch

577577

, ,

677677

UND-Gatter
AND gate

10001000

bis to

99999999

Programmschritte
Program steps

Claims

1.Procedure for switching over redundantly switched, similar assemblies in a hierarchically structured automation system, which are jointly connected in parallel to the same, singular signal channel, each of the assemblies comprising a processor circuit which exchanges data and receives commands via at least one bus system with higher-level devices of the automation system , whereby only one of the redundantly connected modules actively communicates via the singular signal channel, while the other modules are switched passive with regard to the singular signal channel and, if the active module malfunctions, one of the passive modules is activated with regard to the singular signal channel and the faulty module with respect to the singular signal channel is switched off, characterized ,

- That the same data is received and processed in all redundant modules ( 5 , 6 ) by the higher-level devices ( 4 ) of the automation system,
- That any malfunction of the active module ( 5 ) via the bus system ( 7 ) to the higher-level devices ( 4 ) of the automation system is reported and that the passive via a separate connection ( 11 , 12 ) between the redundantly connected modules ( 5 , 6 ) Module ( 6 ) is temporarily activated directly bypassing the higher-level device ( 4 ) with respect to the singular signal channel ( 3 ),
- That the fault message of the active module ( 5 ) is processed in the higher-level devices ( 4 ) of the automation system and
- That the activation of the passive assembly ( 6 ) is authenticated by the higher-level devices ( 4 ) of the automation system.

2. The method according to claim 1, characterized in that the singular signal channel ( 3 ) directly at its connections to the redundantly connected, similar modules ( 5 , 6 ) depending on the activation state of each redundantly connected, similar module ( 5 , 6 ) on and is switched off.