DE19904893A1 - Verfahren zur Fehlerunterdrückung bei Steuerungseinrichtungen durch eine intelligente Überwachungseinheit - Google Patents

Abstract

Es wird ein Verfahren beschrieben, wie man Fehler bei Automatisierungseinrichtungen durch Hinzufügen einer Überwachungseinheit erkannt und unterdrückt. DOLLAR A Das Verfahren ist derart ausgelegt, daß man bei Automatisierungseinrichtungen, die über ein Bussystem dezentrale Komponenten bedienen, eine Überwachungseinheit hinzufügt, die den Funktionsablauf verfolgt und eventuelle Fehler erkennt, bevor diese im Prozeß Schäden für Leben und Gesundheit von Menschen oder an Maschinenteilen hervorrufen. Das beschriebene Verfahren läßt sich innerhalb von Standard-Bussystemen integrieren und für sicherheitsrelevante Bereiche im Prozeß nachträglich installieren. Damit besteht die Möglichkeit, automatisierten Prozessen ein erhöhtes Maß an Sicherheit mitzugeben.

Description

Die Erfindung bezieht sich auf ein Verfahren zur Fehlerunterdrückung bei Automatisierungseinrichtungen die über ein Bus-System dezentrale Komponenten bedienen. Durch Hinzufügen einer Überwachungseinheit und spezieller dezentralen Komponenten kann der Sicherheitsgrad deutlich erhöht werden.

Automatisierungseinrichtungen werden nach dem heutigen Stand der Technik überall dort eingesetzt, wo Prozesse, Abläufe oder sonstige elektromechanische Einrichtungen zu steuern, regeln, überwachen oder zu visualisieren sind. Im engeren Sinne verwendet man hierzu oftmals Speicherprogrammierbare Steuerungen oder Mikrorechner. Typische Anwendungsgebiete sind Automatisierungsinseln, Fertigungsstraßen, Bearbeitungszentren oder chemische Einrichtungen.

Nicht selten enthalten diese vorher genannten Prozesse sicherheitsrelevante Abläufe, die eine Gefährdung für Personen oder Teile der Maschine darstellen. Von den fehlerhafte Zuständen der Steuerung gehen dann extreme Gefahren aus, die von Personen oder sonstigen Einrichtungen unbedingt fern zu halten sind. Beispiele hierfür sind unkontrollierte Bewegungen von Robotern, vorzeitiges Bewegen von Dreh- oder Fräseinrichtungen, ungewollte Beschleunigungen oder falsche Drehzahlen von Rotationseinrichtungen oder verzögertes Abschalten von Heiz- oder Dosierprozessen bei chemischen Anlagen. Die Ursachen dieser fatalen Fehler sind vielfältig. Zumeist liegt aber ein Programmierfehler, ein unkontrolliertes Verhalten durch elektromagnetische Einflüsse oder eine sonstige Störung vor, die den Prozeß in eine nicht definierte Situation bringt.

Diese Fehlerarten sind in der Literatur (insb.: in Normungswerken, vergl.: DIN 19251) hinreichend beschrieben. Gleichfalls stellt die Norm bereits Konzepte vor, wie man derartige Fehler erkennt und eliminiert (z. B.: DIN V 0801). Ferner bieten verschiedene Hersteller von Steuerungseinrichtungen bereits vollständige Lösungen an, die für sicherheitsrelevante Einrichtungen (wie vorgestellt) zu verwenden sind (siehe Produktangebote Siemens (115/155F) oder Produkte der Hersteller Pilz und Hima).

Das vorgestellte Verfahren basiert darauf, daß man in typischen Automatisierungseinrichtungen einige Komponenten zusätzlich einbringt, die eine Fehlerkontrolle und eine Fehlerunterdrückung garantieren. Diese zusätzlichen Komponenten gewährleisten, daß ein Einfach-Fehler sowohl erkannt als auch unterdrückt wird. Erst das Aufeinandertreffen von zwei Fehlern im gleichen Zustand wird nicht als Fehler detektiert. Damit erhöht das Verfahren die Sicherheit des Prozesses ganz beträchtlich, da Fehler durch Einflüsse von Störungen oder durch falschen Programmablauf sicher unterbunden werden.

Das Verfahren enthält auch noch den wesentlichen Vorteil, daß Steuerungseinrichtung und Sicherheitseinrichtung entweder vollständig oder fast vollständig getrennt sind. Damit sind Spezifikations- oder Implementierungsfehler (wie man sie bei parallelen Einheiten kennt) im Prinzip ausgeschlossen. Dieser Vorteil zeigt sich auch dadurch, daß die sicherheitsreleventen Komponenten auch nachträglich zu installieren sind. Darüber hinaus können im Steuerungssystem Änderungen durchgeführt werden, die vollkommen unabhängig zur Überwachungsfunktion arbeiten. Der heute durchaus übliche Fall der "vor-Ort- Anpassung" an den Prozeß wird auch im Sicherheitsbereich realisierbar.

Das Verfahren ist weiterhin derart ausgelegt, daß man den normalen Ablauf innerhalb einer Steuerung oder eines Automatisierungsverbunds nicht verändern muß. Dieses gilt insbesondere sowohl für den SPS-Zyklus in der Steuerung als auch für den Übertragungszyklus am Lokalen Netz. Lediglich im Sicherheitsbereich werden spezielle Komponenten hinzugefügt, die ihrerseits am Datentransport teilnehmen, diesen aber nicht verändern.

Fig. 1 zeigt einen typischen Aufbau eines Automatisierungssystems. Sicherheitskomponenten sind grau unterlegt. Die Steuerung (1) steuert oder regelt den Prozeß (11, 12). Zum Datentransport von der Steuerung zu den Sensoren und Aktoren im Prozeß wird ein lokales Netz (3) (Bus-System) und dezentrale Einheiten (4, 5, 6, 7, 8, 9, 10) verwendet. Dabei stellt die Einheit (4) eine typische Eingabeeinrichtung und die Einheit (8) eine typische Ausgabeeinrichtung dar. Zur Verarbeitung der gewünschten Prozeßfunktion holt die Steuerung (1) am Anfang des SPS-Zyklus den Zustand der Eingänge über die Eingabeeinheit (4) in einen Speicher innerhalb ihrer Einheit. Anhand dieses Zustands erfolgt die logische Bearbeitung durch das SPS-Programm, und am Schluß des SPS-Zyklus sendet die Steuerung die berechneten Daten über das Bus-System zur Ausgabeeinheit (8). Danach beginnt dieser Vorgang erneut und wiederholt sich fortwährend. Bei modernen Steuerungen verwendet man auch vielfach Peripherieeinheiten, die den Datentransport über das Lokale Netz unabhängig vom SPS-Zyklus durchführen. Je nach Anwendung läßt sich damit die Aktualisierung der Aktoren synchronisieren oder als paralleler Prozeß abbilden.

Ein Fehler, der entweder durch falsche Programmierung in der Steuerung (1), durch eine Störung in der Steuerung (1) oder am Bus-System (2) hervorgerufen wird, führt in der Regel zu einem Fehler, der zur fehlerhaften Ansteuerung über die dezentrale Einheit (8) im Prozeß (11, 12) Schaden anrichten kann. Bei nichtsicherheitsrelevanten Abläufen (11) im Prozeß führen derartige Fehler zu ungewollten Zuständen oder Abläufen; eine Gefahr besteht jedoch nicht. Anders verhält sich ein Fehlerfall bei sicherheitsrelevanten Abläufen (13 im Prozeß 12). Hier kann das ungewollten Setzen eines Ausgangs beispielsweise zum Anlauf eines Motors oder zum Erhitzen einer explosiven Flüssigkeit führen und damit das Leben oder die Gesundheit von Personen gefährden.

Um derartige fatale Fehler zu vermeiden wird entsprechend dem Patentanspruch eine Überwachungseinheit (2) dem System hinzugefügt. Zusätzlich tauscht man diejenigen dezentralen Ausgabeeinheiten aus, die im Prozeß Sicherheitsfunktionen bedienen. Damit wird beispielsweise die Ausgabeeinheit (8) durch die komplexere Ausgabeeinheit (7) ersetzt.

Ferner sind auch diejenigen dezentralen Eingabeeinheiten (4, 5, 6) durch spezielle sicherheitstaugliche Einheiten (9) zu ersetzen. Diese sind aber nur dann notwendig, wenn es sich um sicherheitsrelevante Prozeßgrößen handelt.

Zusammen mit der Überwachungseinheit (2), den sicherheitstauglichen dezentralen Eingabeeinheiten (9) und den dezentralen Ausgabeeinheiten (7) entsteht ein sicheres Automatisierungssystem.

Die dezentralen Einheiten und das Verfahren sind bereits durch die beiden Patentanmeldungen (Aktenzeichen: 198 57 683.8 und 198 60 358.4) abgedeckt und daher nicht Bestandteil dieser Anmeldung.

Die hier zur Anmeldung anstehende Überwachungseinheit (2, in Fig. 1) übernimmt 2 unterschiedliche Aufgaben in dem beschriebenen Verfahren. Einerseits dient sie dem Benutzer zur Eingabe und Darstellung der sicherheitsrelevanten Funktionen. Damit erfüllt diese Einheit die Funktion eines MMIs (Man Machine Interface). Andererseits übt die Überwachungseinheit (2) eine Kontrolle des Busverkehrs aus und versetzt sich dadurch in die Lage, die Zustände der Ein- und Ausgänge im Automatisierungsverbund zu kontrollieren.

Fig. 2 stellt den internen Aufbau der Überwachungseinheit (1) dar. Über ein Bus- Interface (3) ist die Überwachungseinheit (1) an das Bus-System (2) angeschlossen. Sie beinhaltet innerhalb des Bus-Verkehrs die Stellung eines Slaves. Damit ist sie nicht in der Lage, direkt Daten zu einem der Teilnehmer zu senden. Das Bus- Interface (3) versetzt sie lediglich in die Lage, alle Daten, die durch die Steuerung übertragen werden zu protokollieren. Hierzu verwendet die Überwachungseinheit (1) einen Mikroprozessor (MP1, 4) (oder ein ähnlich geartetes Bauteil, z. B.: ASIC), das die Daten vom Bus-System (2) über das Bus-Interface (3) aufnimmt und im Speicher 1 (8) ablegt. Hierdurch entsteht im Speicher 1 (8) ein Abbild der Zustände innerhalb der Eingänge und Ausgänge im gesamten Automatisierungsverbund.

Ein weiterer Mikroprozessor (MP2, 5) ist an den ersten Prozessor angekoppelt. Die wesentliche Aufgabe dieses zweiten Prozessors (5) besteht jedoch darin, über die graphische Ein- und Ausgabe (10) die Sicherheitsfunktionen im Speicher 2 (9) abzulegen. Diese Sicherheitsfunktionen stellen in der Regel nur ein geringer Teil der gesamten Steuerungsfunktionen dar. Diese werden vom Benutzer in Form einer Tabelle hinterlegt, die genaue Auskunft gibt, welche Eingänge mit der entsprechenden logischen Funktion zu erlaubten oder verbotenen Ausgängen gehören. Der Prozessor 2 (5) beinhaltet damit ein Betriebssystem (Software), die diese Eingabe über Tasten und Anzeige oder über ein Speicherelement (z. B.: EPROM, EEPROM, Chip-Karte, usw.) im Speicher 2 (9) ablegt. Unabhängig von der Art der Eingabe entsteht somit im Speicher 2 (9) eine Untermenge der Speicherinhalte aus dem Speicher 1 (8). In der Regel (d. h. im Fall, daß sich das System fehlerfrei verhält) stimmen die Inhalte aus dem Speicher 2 (9) mit einem Teil des Speichers 1 (8) überein.

Noch während des Bus-Zyklus am Bus-System (2) unterhalten sich die beiden Prozessoren und tauschen die Inhalte der Speicher aus, so daß ein Verglich möglich wird. Sofern das Automatisierungssystem fehlerfrei arbeitet, ist ein Gleichstand der entsprechenden Speicherbereiche gewährleistet. Im Fehlerfall (z. B. wenn ein Ausgang gesetzt werden soll, der im Speicher 2 (9) durch die momentane Konstellation der Eingänge nicht erlaubt ist) entsteht eine Abweichung, die von beiden Prozessoren erkannt wird. Hierdurch erfolgt eine Meldung an die Logik- Kontrolle (6), die über das Abschalt-Signal (7) den Prozeß in einen sicheren Zustand versetzt. Die Logik-Kontrolle (6) hat noch zusätzlich die Aufgabe, die beiden Prozessoren gegenseitig zu überwachen, so daß die Überwachungseinheit (1) bereits intern über eine fehlererkennende Einrichtung verfügt.

Der Mikroprozessor 1 (4) übernimmt beim Bus-Zyklus aber noch eine weitere Aufgabe. Er wird in der Regel am Ende des Zyklus als normaler Slave (Hörer) von der Steuerung angesprochen. Da er aber keine Prozeßdaten enthält, überträgt er nur Statusinformationen für die Steuerung und redundante Daten für die Ausgabeeinheiten. Die spezielle Logik dieser Ausgabeeinheiten wartet bei jeder Ausgabe auf dieses redundante Quittungssignal von der Überwachungseinheit (1). Damit ist gewährleistet, daß auch ohne eine Logik-Kontrolle keine Freigabe der Ausgänge erfolgt, wenn ein Fehler vorliegt. Diese Funktion garantiert, daß ein möglicher Fehler noch unterdrückt wird, bevor er überhaupt an der Ausgabe erscheint.

Claims (15)

1. Verfahren zur Sicherheitsüberwachung von Steuerungseinrichtungen, bei denen Speicherprogrammierbare Steuerungen oder Mikrorechner über ein Bus-System dezentrale Einheiten ansprechen, die einen Prozeß sowohl im sicherheitsrelevanten als auch im nichtsicherheitsrelevanten Bereich regeln, steuern oder überwachen dadurch gekennzeichnet, daß zur Realisierung der Sicherheitsanforderung eine Überwachungseinheit (2) (Fig. 1) hinzugefügt wird, die entweder ausschließlich oder vorwiegend die sicherheitsbehafteten Funktionen des Prozesses (12) mit der notwendigen Logik zur Überwachung gefahrbringender Abläufe oder Bewegungen (13) mitbringt, die selbst über ein Bus-Interface (3) (Fig. 2) als Hörer an das Bus-System (2) angeschlossen ist und über einen Mikroprozessor oder ein vergleichbares Element (4) den Datenverkehr am Bus-System (2) kontrolliert und sich die Zustände der Ein- und Ausgänge des Automatisierungsverbunds in einen Speicher (8) lädt und diesen über einen weiteren Mikroprozessor (5) und einen zusätzlichen Speicher (9) vergleicht, der lediglich die sicherheitsbehafteten Größen enthält und damit eine Untermenge des Speicherinhalts des ersten Speichers (8) darstellt, der durch die Funktion des zweiten Mikroprozessors (5) über eine graphische oder sonstige Speicherfunktion geladen wird und damit einen Vergleich der möglichen Zustände erlaubt, die zusätzlich durch eine Logik-Kontrolle (6) koordiniert werden und zu einem Abschalt-Signal (7) führt.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß die Überwachungseinheit (2) (Fig. 1) zusammen mit speziellen sicherheitstauglichen Ein- und Ausgabe-Modulen (7, 9) ein Automatisierungssystem entstehen lassen, das ein erhöhtes Maß an Sicherheit garantiert.

3. Verfahren nach den Ansprüchen 1 bis 2, dadurch gekennzeichnet, daß die Überwachungseinheit in ihrer Funktion als Hörer an die Steuerung (1) (Fig. 1) ein Quittungssignal abgibt, das den Ausgabeeinheiten (7) zur Durchführung ihrer Funktion dient und damit noch bevor ein Fehler in den Prozeß gelangen kann, ein sicherer Zustand erreicht wird.

4. Verfahren nach den Ansprüchen 1 bis 3, dadurch gekennzeichnet, daß die Überwachungseinheit (2) (Fig. 1) über eine in der Programmiersprache festgelegten Logik verfügt, die entweder ausschließlich oder vorwiegend Sicherheitsvorgänge überwacht und damit redundant zur Gesamtsteuerung arbeitet.

5. Verfahren nach den Ansprüchen 1 bis 4, dadurch gekennzeichnet, daß die Überwachungseinheit (2) (Fig. 1) auch nach der Funktionskontrolle des nicht redundanten Steuerungssystems mit ihren für die Sicherheit notwendigen Abschaltfunktionen adaptierbar ist und durch ihre Sicherheitsfunktion der geforderte Grad an Sicherheit projektiert werden kann.

6. Verfahren nach den Ansprüchen 1 bis 5, dadurch gekennzeichnet, daß die Überwachungseinheit (2) (Fig. 1) und die sicherheitsgerichteten dezentralen Einheiten (7, 9) deaktiviert werden können, ohne die einkanalige Steuerungsfunktion zu beeinträchtigen.

7. Verfahren nach den Ansprüchen 1 bis 6, dadurch gekennzeichnet, daß durch eine bustechnische Mithörfunktion der Überwachungseinheit (2) keine Rückwirkung auf den eigentlichen Steuerungsprozeß entsteht, so daß eine weitgehende Trennung zwischen der Hard- und Software des nicht redundanten Steuerungssystems und der Sicherheitsüberwachung ermöglicht wird.

8. Verfahren nach den Ansprüchen 1 bis 7, dadurch gekennzeichnet, daß die Überwachungseinheit (2) (Fig. 1) an Standardbussysteme ohne Sicherheitsprotokollerweiterung adaptierbar bzw. einbindbar ist.

9. Verfahren nach den Ansprüchen 1 bis 8, dadurch gekennzeichnet, daß die Überwachungseinheit im Zusammenspiel mit den dezentralen Einheiten, die sicherheitsrelevante Funktionen erfassen und ansteuern, selbst ihre Funktion überwachen, möglicherweise Sensoren oder Aktoren redundant überwachen und bei Ausfall einer Funktion, beispielsweise bei Ausfall der Bus-Funktion, in den sichern Zustand schalten, der keine Gefahr mehr für Mensch oder Maschine darstellt.

10. Verfahren nach den Ansprüchen 1 bis 9, dadurch gekennzeichnet, daß die Überwachungseinheit (1) (Fig. 2) über eine graphische Ein- und Ausgabe (10) verfügt, die mit einer einfachen Parametriersprache in ihrer Funktion für alle sicherheitsrelevanten Funktionen programmierbar ist und diese Größen in geeigneter Form im Speicher (9) hinterlegt.

11. Verfahren nach den Ansprüchen 1 bis 10, dadurch gekennzeichnet, daß die Eingabe der Sicherheitsfunktionen auch über eine Speichermedium erfolgen kann (EPROM, EEPROM, Chip-Karte) und dadurch die Ablage im Speicher (9) (Fig. 2) erfolgt.

12. Verfahren nach den Ansprüchen 1 bis 11, dadurch gekennzeichnet, daß die Überwachungseinheit (1) (Fig. 2) bereits intern über eine redundante Kontrolle verfügt, die einerseits aus dem Kommunikationskanal der beiden Mikroprozessoren (4, 5) und andererseits aus der Logik-Kontrolle (6) besteht, die einen eventuellen internen Fehler sofort erkennt.

13. Verfahren nach den Ansprüchen 1 bis 12, dadurch gekennzeichnet, daß die Überwachungseinheit auch ohne eine interne redundante Kontrolle im Zusammenspiel mit den sicherheitsrelevanten Ein- und Ausgabeeinheiten ein erhöhtes Maß an Sicherheit im gesamten Automatisierungsverbund bringt.

14. Verfahren nach den Ansprüchen 1 bis 13, dadurch gekennzeichnet, daß die Überwachungseinheit (1) (Fig. 2) einen zweifache Abschaltfunktion enthält, die je nach Projektierung das gewünschte Maß an Sicherheit mitbringt, dadurch, daß einerseits die Logik-Kontrolle (6) einen Abschalt-Signal (7) erzeugt und anderseits das Quittungssignal der Überwachungseinheit (1) den Ausgängen im Fehlerfall ein Durchschalten der falschen Größe verbietet.

15. Verfahren nach den Ansprüchen 1 bis 14, dadurch gekennzeichnet, daß die graphische Ausgabe (10) (Fig. 2) eine einfache Diagnose des Fehlerzustands im Automatisierungsverbund zuläßt und so als MMI (Man Machine Interface) fungiert.