-
Die
Erfindung betrifft ein sicherheitsbezogenes Steuer- und Datenübertragungssystem
gemäß dem Oberbegriff
des Anspruchs 1.
-
Im
Zuge einer stetig zunehmenden Automatisierung von Prozeßabläufen erfolgt
die gezielte, aufeinander abgestimmte Ansteuerung und Abfrage einzelner
in den Prozeß eingebunden
Maschinen, Anlagen, Aktuatoren und Sensoren häufig unter Verwendung von seriellen
Feldbussystemen. Je komplexer das Ausmaß bzw. der Grad der Automatisierung ist,
desto höher
sind oftmals auch die sicherheitstechnischen Anforderungen, welchen
ein Feldbussystem genügen
muß.
-
Weisen
einzelne Maschinen und/oder Anlagen in Ihrer Funktion Fehler auf,
müssen
je nach den vorliegenden sicherheitstechnischen Vorgaben und Normen
z.B. einzelne Geräte,
Anlagenbereiche, oder auch der gesamte Prozeß mit Hilfe entsprechender Steuersignale
(z.B. Notaus) in einen sicheren Zustand gefahren werden.
-
Um
bestehende Feldbussysteme sicherheitstechnisch dahingehend zu verbessern,
daß zur Übertragung
derartiger Steuersignale weder zusätzliche Leitungen noch redundante,
sicherheitsbezogene Baugruppen erforderlich sind, sieht die nachveröffentlichte
Deutsche Offenlegungsschrift
DE 197 42 716 A1 vor, in der Master-Steuereinrichtung
und bei den Busteilnehmern jeweils sicherheitsbezogene Einrichtungen
zum Ausführen vorbestimmter
Sicherheitsfunktionen anzuordneten, so daß diese sicherheitsbezogenen
Einrichtungen über
den Feldbus miteinander kommunizieren können.
-
Aus
der
DE 44 12 653 C2 ist
eine Überwachungseinrichtung
für eine
zu sichernde Einrichtung mit einer Vielzahl von Sensoren bekannt,
bei welcher die Sensoren über
einen Zweidraht-Bus jeweils mit ihnen zugeordnete Adressen enthaltenden
Signalen zur Abgabe von Sensorsignalen stimulierbar sind, so dass
ein Selbsttest durchführbar
ist.
-
Zu
diesem Zweck werden für
einen Sensor eine Adresse, eine Funktion und ein Prüfwort, beispielsweise
eine Checksumme, als Telegramm auf den Bus gegeben. Der jeweils
adressierte Sensor gibt eine Antwort auf die übermittelte Funktion zurück.
-
Aufgabe
der Erfindung ist es, ein sicherheitsbezogenes Steuer- und Datenübertragungssystem bereitzustellen,
mit welchem für
die Übertragung
eines sicherheitsbezogenen Signals, wie beispielsweise ein Notaus-Signal,
bereits die Unterbrechung einer Bitfolge ausreicht.
-
Die
Lösung
der Aufgabe ist durch ein sicherheitsbezogenes Steuer- und Datenübertragungssystem
mit den Merkmalen des Anspruchs 1 gegeben.
-
An
dieser Stelle sei zunächst
ausdrücklich darauf
hingewiesen, daß nachfolgend
mit dem Begriff "System" sowohl eine Vorrichtung
als auch ein Verfahren erfaßt
wird. Ferner wird der Inhalt der vorstehend aufgeführten
DE 197 42 716 A1 durch
Bezugnahme vollumfänglich
auch zum Gegenstand dieser Offenbarung gemacht.
-
Ein
wesentlicher Kerngedanke der Erfindung liegt darin, ein sicherheitsbezogenes
Steuer- und Datenübertragungssystem
derart auszubilden, daß bereits
in Ansprechen auf die Unterbrechung einer bestimmten Dynamik eine
zugeordnete sicherheitsbezogene Systemkomponente abgeschaltet werden kann.
-
Vorgesehen
ist ein sicherheitsbezogenes Steuer- und Datenübertragungssystem mit einem
seriellen Feldbus, an welchen eine Master-Einrichtung und wenigstens
ein Busteilnehmer angeschaltet sind. Je nach Art des Busteilnehmers
sind daran sicherheitsbezogene Eingangs- und/oder Ausgangseinrichtungen ausgebildet,
die mit einzelnen Systemkomponenten verbunden sind, die so über den
Feldbus kommunizieren können.
Der über
den Feldbus laufende Datenstrom wird über die Eingangseinrichtung
mit notwendigen Eingangsdaten aktualisiert, so daß unter
Ansprechen auf den jeweiligen Datenstrom über die Ausgangseinrichtung
ein entsprechendes Schalten einer zugeordneten Systemkomponente bewirkt
wird.
-
Erfindungsgemäß ist ferner
vorgesehen, daß in
den Datenstrom zusätzlich
eine der sicherheitsbezogenen Eingangseinrichtung zugeordnete laufende Nummer
eingefügt
ist, und eine Unterbrechung des Datenstroms oder der laufenden Nummer
das Schalten der zugeordneten Systemkomponente in einen sicheren
Zustand zur Folge hat.
-
Unter
einer sicherheitsbezogenen Eingangs- bzw. Ausgangseinrichtung ist
hierbei eine Einrichtung zu verstehen, die im wesentlichen unter
Ansprechen auf Zustandsinformationen der Anlage vorbestimmte Sicherheitsfunktionen
ausführt,
die es ermöglichen,
daß die
gesamte Anlage, vorbestimmte Baugruppen oder Abschnitte der Anlage
einen definierten Zustand erreichen können. So ist eine Eingangseinrichtung
beispielsweise mit einer überwachenden
Systemkomponente, wie einem Sensor und eine Ausgangseinrichtung
mit einer zu sichernden Systemkomponente, wie einem Roboter verbunden.
-
Ein
derartiges erfindungsgemäßes System bietet
den Vorteil, daß auf
die Übertragung
einer Steuer-Information, wie beispielsweise Not-Aus, als explizites
Bit innerhalb des Datenstroms verzichtet werden kann und die Verwendung
der laufenden Nummer in Abhängigkeit
von einer erzielbaren Restfehlerwahrscheinlichkeit bereits als einzige
Maßnahme
für sicherheitsgerichtete
Anwendungen ausreicht.
-
In
bevorzugter Weiterbildung ist vorgesehen, eine busteilnehmer- und/oder
verbindungsabhängige dynamische
Abfolge für
die laufende Nummer vorzudefinieren, so daß das Senden einer statischen
Information, die kein Glied der Abfolge repräsentiert zum Abschalten zugeordneter Systemkomponenten
führt. Ermöglicht wird
hierdurch auch eine Voreinstellung bei dem jeweiligen Busteilnehmer,
die nicht bei jeder Unterbrechung zum Abschalten führt, sondern
zunächst
ein ein- oder mehrmaliges Nichterkennen einer zugeordneten Nummer
toleriert, so daß dieses
zu einem definierten verzögerten
Abschalten führt
oder durch die Verzögerung
definiert Zeit lässt,
durch Korrekturprogramme oder -routinen Fehler zu beheben.
-
Ist
der Feldbus als Ring ausgebildet, und weist der Datenstrom eine
der Ausgangseinrichtung zugeordnete Zieladressierung sicherheitsbezogener Daten
auf, können
die Busteilnehmer aktiv auf die durchgereichten Informationen zugreifen,
welches zu einer wesentlich schnelleren Übertragungsgeschwindigkeit
führt.
-
Ist
zusätzlich
eine Sicherheits-Master-Einrichtung dem Feldbus angeschaltet, kann
hierüber eine
zentrale Weiterverarbeitung der Eingangsinformationen erfolgen,
insbesondere eine Lokalisierung und/oder Visualisierung einer möglichen
Fehlerquelle. Auch kann beispielsweise das Abschalten der Versorgungsspannung
aller Busteilnehmer eine vordefinierte Reaktion sein.
-
In
der Praxis hat es sich ferner gezeigt, daß sicherheitsbezogene Einrichtungen
oftmals mehrkanalig ausgebildet werden müssen, um eine geforderte Sicherheitskategorie
zu erreichen oder die notwendige Datenmenge übertragen zu können.
-
Zweckmäßigerweise
wird zur sicherheitsbezogenen Kommunikation über den Feldbus ein vorbestimmter
Datenrahmen verwendet, in welchem über die Eingangseinrichtung
sicherheitsbezogene Daten in Form eines Protokolls oder Telegramms
generiert werden. Vorzugsweise ist vorgesehen, ein Interbus-Protokoll
zu verwenden, wobei der Datenrahmen als Summenrahmen ausgebildet
ist, in dem die Nutzdaten aller angeschalteten Busteilnehmer enthalten
sind.
-
Erfindungsgemäß wird ferner
vorgeschlagen, die Ausgangsbaugruppe mit einer Verknüpfungslogik
bereitzustellen, wodurch eine sicherheitsbezogene Programmierung
durchführbar
ist. Darüber hinaus
hat es sich als vorteilhaft erwiesen, Busteilnehmer mit einem konsistenten
Abbild wenigstens von Teilbereichen des zu steuernden Prozesses
auszustatten. So können
die sicherheitsgerichteten Informationen direkt ausgewählt werden,
so daß eine Kommunikation über den
Master nicht mehr notwendigerweise erforderlich ist.
-
Die
Erfindung wird nachfolgend anhand eines Ausführungsbeispiels in Verbindung
mit den beiliegenden Zeichnungen beschrieben. Es zeigen:
-
1 ein
stark schematisiertes Blockdiagramm einer beispielhaften Interbus-Topologie
zur Verwirklichung der Erfindung,
-
2 eine
Prinzipskizze eines beispielhaften Datenrahmens mit einem, eine
laufende Nummer umfassenden Sicherheitsprotokoll, und
-
3 ein
der 1 entsprechendes Diagramm einer Interbus-Topologie,
bei welchem jedoch zusätzlich
ein Sicherheitsmaster angeschaltet ist.
-
1 zeigt
exemplarisch ein Feldbussystem, das auf dem Interbus-System für ein Steuer- und
Datenübertragungssystem,
wie dieses beispielsweise in der Fachliteratur "Interbus-S, Grundlagen und Praxis", Hüthig Buchverlag,
Heidelberg, 1994, von Alfredo Baginsky et al. beschrieben wird,
basiert und vorzugsweise der DIN EN 19258 genügt.
-
An
den Interbus 10 sind eine Master-Steuereinrichtung 11 und
drei Busteilnehmer 12, 13 und 14 angeschaltet.
Ferner sind drei Datenblöcke 15 skizziert,
die in Richtung des Pfeils "A" die Ringstruktur durchlaufen.
Die Busteilnehmer 12 und 13 umfassen hierbei beispielhaft
eine sicherheitsbezogene, mit einem Sensor gekoppelte Eingangseinrichtung,
und der Busteilnehmer 14 eine sicherheitsbezogene Ausgangseinrichtung,
die mit einer zu sichernden Baugruppe verbunden ist.
-
Es
sei ausdrücklich
darauf hingewiesen, daß die
vorliegende detaillierte Beschreibung lediglich auf eine beispielhafte
Ausführungsform
Bezug nimmt, wohingegen die Erfindung auf andere Feldbussysteme
sowie auf Systeme aus mehreren zusammengeschalteten, heterogenen
Feldbussystemen anwendbar ist.
-
Der
Interbus 10 ist in an sich bekannter Weise derart erweitert,
daß der
Zugriff auf die übertragenen
Datenpakete 15 nicht nur dem Master 11, sondern
jedem angeschlossenen Busteilnehmer bzw. Slave möglich ist. Die Slaves sind
somit in der Lage, die durch sie durchgereichten Informationen aktiv
zu lesen und zu bearbeiten.
-
Die
Datenpakete 15 entsprechen Daten-Containern, die alle angeschlossenen
Buskomponenten durchlaufen.
-
Die
bei 1 dargestellte Topologie des Systems als Ringsystem
wird besonders für
schnelle Übertragungsgeschwindigkeiten
verwendet. Der Master muß im
Bussystem nur noch die Aufgabe haben, die eigentliche Übertragung
z. B. durch Generierung des Taktes zu gewährleisten.
-
Jede
angeschlossene Einheit 12, 13 und 14 ist
in der Lage, die empfangenen Daten zu lesen und zu verarbeiten,
wovon insbesondere der Busteilnehmer 14 mit sicherheitsbezogenen
Ausgangsmodulen Gebrauch macht.
-
Sowohl
die sicherheitsbezogenen Eingangseinheiten 12, 13 als
auch die sicherheitsbezogene Ausgangseinheit 14 sind intern
sicher, d.h. den vorgegeben Sicherheitsanforderungen entsprechend, aufgebaut.
Sie verfügen
in der Regel über
mehrkanalige Hardware, entsprechende Software und die für die Sicherheitskategorie 2 bis 4 jeweils
notwendigen, sich jedoch in ihrer Wirksamkeit unterscheidenden Selbsttestroutinen.
-
Beispielhaft
wird das vom Interbus 10 bereits bekannte, bei 2 dargestellte
Summenrahmenprotokoll 20 verwendet, um die Eingangsdaten 15 der angeschalteten
Teilnehmer 12 und 13 zu übertragen. Der Summenrahmen 20 wird
in einem Buszyklus übertragen.
Am Anfang der Übertragung
befindet sich beispielsweise ein Start- und am Ende ein Endezeichen 21 bzw. 22 mit
z. B. einer Prüf-
oder Check-Sequenz.
-
Sicherheitsbezogene
Informationen schließlich
werden in ein Sicherheitsprotokoll
23 eingeschrieben und
durch zusätzliche
Informationen, wie insbesondere auch in der vollumfänglich durch
Bezugnahme hier inkorporierten
DE 197 42 716 A1 beschrieben, abgesichert.
-
Es
sei jedoch darauf hingewiesen, daß als sicherheitsbezogene Daten
oder Informationen jeweils Daten verstanden werden, die den Sicherheitszustand
des jeweiligen Bus-Teilnehmers oder auch der Master-Sicherheitseinrichtung
darstellen.
-
Die
Sicherheitszustände
eines Bus-Teilnehmers werden von Überwachungseinrichtungen, insbesondere
Sensoren erfaßt,
die den zu sichernden Baugruppen, die an dem jeweiligen Busteilnehmer angeschaltet
sind, zugeordnet sind.
-
Beispielsweise
erfaßt
ein Sensor die Drehzahl einer Maschine. In diesem Fall zeigen die
sicherheitsbezogenen Daten an, ob die Drehzahl der Maschine im Toleranzbereich liegt
oder eine kritische Drehzahl überschritten
hat. Das beispielhaft dargestellte Protokoll 23 umfaßt dann
ein entsprechendes Sicherheitsdatum 23a einschließlich einer
sicherheitsbezogenen Eingangsinformation 24, und einen Sicherheitscode 23b.
Bei den Daten des Sicherheits-Codes kann es sich beispielsweise
um eine negierte Eingangsinformation 25, eine laufende
Nummer 26, eine Adresse 27, ein Codesicherungsverfahren
z. B. "CRC" 28 und
um eine Teilnehmeradresse 29 handeln.
-
Alle
Informationen können
für die
Sicherheitstechnik herangezogen werden, müssen aber nicht alle gleichzeitig
im Sicherheitstelegramm 23 vorhanden sein. Wird beispielsweise
in Abhängigkeit von
der geforderten Sicherheitskategorie keine negierte Eingangsinformation 25 benötigt, kann
sie im Sicherheits-Code 23b unberücksichtigt bleiben.
-
Die
alternative Verwendung der einzelnen Maßnahmen kann ferner davon abhängen, wieviele sicherheitsbezogene
Daten abgesichert werden müssen.
In jedem Fall ausschlaggebend ist jedoch die geforderte Sicherheitskategorie,
beispielsweise nach EN 954-1, woraus sich entsprechende Maßnahmen
zur Vermeidung bzw. Beherrschung von Fehlern ergeben.
-
Der
Teilnehmer 14 mit sicherheitsbezogener Ausgangseinrichtung
macht sich nun die Eigenschaft des Bussystems zunutze, die gesamten
Informationen, die übertragen
werden, ignorieren, kopieren oder verarbeiten zu können. Erkennt
eine sicherheitsbezogene Ausgangskomponente z. B., daß ein sicherheitsbezogener
Eingang gesetzt wurde (Notaus, ...), schaltet sie den ihr zugeordneten
Ausgang, und somit die zu sichernde Baugruppe in den sicheren Zustand.
Auf welchen sicherheitsbezogenen Eingang welcher sicherheitsbezogene
Ausgang reagieren soll, wird dabei vom Anwender parametriert. Vorprogrammierte
Funktionsbausteine können ihm
diese Arbeit besonders bei umfangreichen sicherheitsbezogenen Daten
erleichtern.
-
Die
mit einer Eingangsbaugruppe verbundene sicherheitsbezogene Eingangseinrichtung 12, 13 generiert
den oben beschriebenen Sicherheits-Code und fügt die notwendigen Informationen
wie z. B. die auf einem Algorithmus basierende laufende Nummer 26 in
den Datenstrom ein. Eine eigene Programmierung der sicherheitsbezogenen
Eingangseinrichtung ist daher in den meisten Fällen nicht erforderlich. Je nach
Ausprägung
des Teilnehmers muß er
nicht in jedem Fall auch sicherheitsgerichtet aufgebaut werden.
-
Eine
Unterbrechung des Datenstroms oder der laufenden Nummer führt dazu,
daß die
sicherheitsbezogene Ausgangseinrichtung 14 die ihr zugeordneten
Ausgänge
in den sicheren Zustand schaltet, einen sogenannten "(Application-)Watchdog" realisiert. Dabei
ist es möglich,
daß nicht
jede Unterbrechung zum Abschalten führt, sondern daß der Teilnehmer
ein ein- oder mehrmaliges Nichterkennen einer Nummer vordefiniert
ignoriert.
-
Die
Festlegung auf eine teilnehmerabhängige, fest vorgegebenen Wertemenge
für die
laufende Nummer, erlaubt ferner die Zuordnung eines Einganges zu
verschiedenen Ausgängen
und umgekehrt. Folglich kann bei dem angegebenen Beispiel die Verwendung
der laufenden Nummer 26 in Abhängigkeit von der erzielbaren
Restfehlerwahrscheinlichkeit auch als einzige Maßnahme für die sicherheitsbezogene Anwendungen
ausreichend sein. Sogar der Verzicht auf die Übertragung der Information
wie z. B. Notaus als explizites Bit im Sicherheitsprotokoll 23 ist bei
entsprechender Auswahl der Maßnahme(n)
im Sicherheits-Code 23b möglich.
-
Ferner
ist eine teilnehmerabhängige
bzw. verbindungsabhängige
Definition von Wertemengen für
die laufende Nummer 26 erfindungsgemäß verwendbar. Das Abschalten
der sicherheitsbezogenen Ausgänge
könnte
auch z. B. durch das Senden einer statischen Information, die nicht im
Wertebereich der laufenden Nummer liegt, erfolgen.
-
Im
Bussystem können
sich mehrere sicherheitsbezogene Eingangs- und Ausgangseinrichtungen
gemischt mit nicht sicherheitsbezogenen Ein- bzw. Ausgangseinheiten
oder aber auch nur sicherheitsbezogene bzw. nicht sicherheitsbezogene
Informationen befinden.
-
In
vielen Fällen
müssen
die Sicherheitskomponenten wie zuvor beschrieben mehrkanalig aufgebaut
werden, um die geforderte Sicherheitskategorie zu erreichen oder
um eine entsprechend hohe Datenmenge übertragen zu können. Für geringere
Anforderungen kann aber auch eine einkanalige Realisierung ausreichend
sein. Speziell die Eingangsbaugruppen können bei entsprechendem Aufbau
des Sicherheits-Codes 23b ohne Mehrkanaligkeit auskommen.
-
Besitzen
alle Teilnehmer 12, 13 und 14, insbesondere
aber die Ausgangkomponente 14, ein konsistentes Abbild
des Prozesses, werden auf dieser die sicherheitsbezogenen Informationen
eigenständig
und direkt ausgewählt.
Eine Kommunikation über
den Master 11 oder eine Verarbeitung der Information auf
einer (Sicherheits-)Steuerung wie in heutigen Master-/Slave-Systemen
ist dann nicht mehr unbedingt erforderlich, jedoch immer noch möglich.
-
So
ist es auch möglich,
daß ein
Anwender auf einer Ausgangsbaugruppe Verknüpfungsregeln erstellt und dadurch
eine sicherheitsbezogene Programmierung durchführt. Senden z. B. die sicherheitsbezogenen
Eingangsmodule dynamisierte Eingangswerte, müssen sie selbst u. U. nicht
sicherheitsgerichtet aufgebaut sein. Die Bearbeitung der Eingangsinformationen übernimmt
dann ein, bei 3 mit 30 gekennzeichneter
Sicherheits-Master. Der Sicherheits Master 30 lokalisiert
insbesondere die Fehlerquelle und zeigt sie beispielsweise akustisch
und/oder optisch an zentraler Stelle an. Das Ergebnis der Reaktion
wird dabei im Abschalten der Versorgungsspannung aller oder nur
einiger Teilnehmer 12, 13, und 14 bestehen.
Der Sicherheits-Master 30 übernimmt im erster Fall dann
die Funktion einer zentralen Abschalteinrichtung, die heute noch
vorwiegend mit Notaus-Relais vorgenommen wird.
-
Vom
Prinzip kann die sicherheitsbezogene Ausgangskomponente 14 auch
als verteilte Sicherheits-Master bezeichnet werden.