DE19928517A1 - Steuerungssystem zum Steuern von sicherheitskritischen Prozessen - Google Patents

Abstract

Die vorliegende Erfindung beschreibt ein Steuerungssystem (10) zum Steuern von sicherheitskritischen Prozessen (28, 30). Das Steuerungssystem (10) besitzt eine erste Steuereinheit (14; 14, 54) zum Steuern eines sicherheitskritischen Prozesses (28, 30) und zumindest eine Signaleinheit (18, 20, 22; 18, 20, 22, 56), die über E/A-Kanäle mit dem sicherheitskritischen Prozeß (28, 30) verknüpft ist. Es besitzt ferner einen Feldbus (12), über den die erste Steuereinheit (14; 14, 56) und die Signaleinheit (18, 20, 22; 18, 20, 22, 56) verbunden sind, sowie einen Busmaster (36) zum Steuern der Kommunikation auf dem Feldbus (12). Dabei weisen die erste Steuereinheit (14; 14, 54) und die Signaleinheit (18, 20, 22; 18, 20, 22, 56) sicherheitsbezogene Einrichtungen (42, 52) auf, um eine fehlersichere Kommunikation miteinander zu gewährleisten. Das erfindungsgemäße Steuerungssystem (10) ist dadurch gekennzeichnet, daß der Busmaster (36) getrennt von der ersten Steuereinheit (14; 14, 54) und der Signaleinheit (18, 20, 22; 18, 20, 22, 56) an den Feldbus (12) angeschlossen ist (Fig. 1).

Description

Die vorliegende Erfindung betrifft ein Steuerungssystem zum Steuern von sicherheitskritischen Prozessen, mit einer ersten Steuereinheit zum Steuern eines sicherheitskritischen Prozesses und mit einer Signaleinheit, die über E/A-Kanäle mit dem si­ cherheitskritischen Prozeß verknüpft ist, ferner mit einem Feldbus, über den die erste Steuereinheit und die Signaleinheit verbunden sind, und mit einem Busmaster zum Steuern der Kommu­ nikation auf dem Feldbus, wobei die erste Steuereinheit und die Signaleinheit sicherheitsbezogene Einrichtungen aufweisen, um eine fehlersichere Kommunikation miteinander zu gewährleisten.

Ein derartiges Steuerungssystem ist aus der DE-A-197 42 716 be­ kannt.

In der Steuer- und Automatisierungstechnik ist die Verwendung von Feldbussen zur Datenkommunikation zwischen einzelnen, an der Steuerung eines Prozesses beteiligten Einheiten bereits hinreichend bekannt. Unter einem Feldbus versteht man dabei ein System zur Datenkommunikation, an das im Idealfall beliebige Einheiten angeschlossen werden können, die über den gemeinsamen Feldbus miteinander kommunizieren. Die Kommunikation der Ein­ heiten erfolgt auf dem Feldbus anhand von spezifizierten Proto­ kollen. Ein derartiges Kommunikationssystem steht im Gegensatz zu einer individuellen Punkt-zu-Punkt-Kommunikationsverbindung zwischen jeweils zwei Einheiten, von deren Kommunikation mit­ einander andere Einheiten vollständig abgetrennt sind. Beispie­ le für bekannte Feldbusse sind der sogenannte CAN-Bus, der so­ genannte Profibus oder der sogenannte Interbus.

Bei vielen Feldbussen wird die Kommunikation von zumindest ei­ nem Busmaster gesteuert, der den übrigen an den Feldbus ange­ schlossenen Einheiten, den sogenannten Busteilnehmern, überge­ ordnet ist. Dies hat zur Folge, daß ein Busteilnehmer ohne "Erlaubnis" des Busmasters keine Daten an andere Busteilnehmer senden kann. In der Regel ist der Busmaster ein Standardbau­ stein, der die für den Feldbus spezifizierten Protokolle ge­ währleisten muß und der häufig recht komplex und damit ver­ gleichsweise teuer ist.

Obwohl die Verwendung von Feldbussen zahlreiche Vorteile vor allem in Hinblick auf den ansonsten erforderlichen, hohen Ver­ kabelungsaufwand besitzt, war ihre Verwendung im praktischen Einsatz zur Steuerung von sicherheitskritischen Prozessen bis­ her nicht möglich. Grund hierfür ist, daß die Feldbusse ange­ sichts ihrer für beliebige Einheiten frei zugänglichen Struktur die zur Steuerung sicherheitskritischer Prozesse erforderliche Fehlersicherheit nicht gewährleisten konnten.

Unter einem sicherheitskritischen Prozeß wird vorliegend ein Prozeß verstanden, von dem bei Auftreten eines Fehlers eine nicht zu vernachlässigende Gefahr für Menschen oder auch mate­ rielle Güter ausgeht. Bei einem sicherheitskritischen Prozeß muß daher mit im Idealfall 100%iger Sicherheit gewährleistet sein, daß der Prozeß bei Vorliegen eines Fehlers in einen si­ cheren Zustand überführt wird. Derartige sicherheitskritische Prozesse können auch Teilprozesse von größeren, übergeordneten Gesamtprozessen sein. Beispiele für sicherheitskritische Pro­ zesse sind chemische Verfahren, bei denen kritische Parameter unbedingt in einem vorgegebenen Bereich gehalten werden müssen oder auch komplexe Maschinensteuerungen, wie etwa die einer hy­ draulischen Presse oder einer gesamten Fertigungsstraße. Bei einer hydraulischen Presse kann beispielsweise die Materialzu­ führung ein sicherheitsunkritischer Teilprozeß, das Inbetrieb­ nehmen des Preßwerkzeugs demgegenüber ein sicherheitskritischer Teilprozeß im Rahmen des Gesamtprozesses sein. Weitere Beispie­ le für sicherheitskritische (Teil-)Prozesse sind die Überwa­ chung von Schutzgittern, Schutztüren oder Lichtschranken, die Steuerung von 2-Hand-Schaltern oder auch die Reaktion auf Not- Aus-Schalter.

In der eingangs genannten DE-A-197 42 716 ist eine Steuer- und Datenübertragungsanlage beschrieben, die auf einem Feldbus, insbesondere dem Interbus, basiert und der die Aufgabe zugrunde lag, auch sicherheitsbezogene Baugruppen integrieren zu können. Zur Lösung dieser Aufgabe wurde vorgeschlagen, sowohl in dem Busmaster, in der genannten Schrift als Master-Steuereinrich­ tung bezeichnet, als auch in den Busteilnehmern jeweils sicher­ heitsbezogene Einrichtungen anzuordnen. Die sicherheitsbezoge­ nen Einrichtungen führen dann zusätzlich zur eigentlichen Da­ tenkommunikation Sicherheitsfunktionen aus, die die erforderli­ che Fehlersicherheit im Hinblick auf die Steuerung von sicher­ heitskritischen Prozessen gewährleisten. Anschaulich gesprochen wird die erforderliche Sicherheit hierbei also vor allem da­ durch erreicht, daß der Busmaster durch die sicherheitsbezoge­ nen Einrichtungen "sicher" gemacht wird.

Eine derartige Maßnahme ist bei der Entwicklung und beim Aufbau eines fehlersicheren Steuerungssystems jedoch sehr aufwendig und kostenintensiv, da hierbei der komplexe Busmaster selbst modifiziert werden muß und nicht auf Standardbausteine zurück­ gegriffen werden kann.

Darüber hinaus ist eine derartige Maßnahme auch im Betrieb eines darauf basierten Steuerungssystems nachteilig, da die si­ cherheitsrelevante Kommunikation bei der Steuerung von komple­ xen Prozessen in der Regel nur etwa bis zu 10% der gesamten Kommunikation ausmacht. Die genannte Maßnahme besitzt somit den Nachteil, daß mit hohem Aufwand der Busmaster "sicher" gemacht wird, obwohl dies für 90% und mehr der von ihm gesteuerten Kommunikation gar nicht erforderlich ist.

Es ist daher Aufgabe der vorliegenden Erfindung, ein Steue­ rungssystem der eingangs genannten Art anzugeben, das eine feh­ lersichere Kommunikation der an einem sicherheitskritischen Prozeß beteiligten Einheiten gewährleistet, wobei gleichzeitig die Verwendung von Standardbausteinen als Busmaster möglich ist.

Diese Aufgabe wird bei dem eingangs genannten Steuerungssystem dadurch gelöst, daß der Busmaster getrennt von der ersten Steu­ ereinheit und der Signaleinheit an den Feldbus angeschlossen ist.

Die erste Steuereinheit ist aufgrund der sicherheitsbezogenen Einrichtungen eine "sichere" Steuereinheit, d. h. sie ist in der Lage, interne und auch externe Fehler, ggf. im Zusammenspiel mit anderen sicheren Einheiten, festzustellen und zu korrigie­ ren. Anschaulich gesprochen bedeutet die genannte Maßnahme, daß die erste Steuereinheit zum Steuern sicherheitskritischer Pro­ zesse einerseits und der Busmaster andererseits in voneinander getrennten Bausteinen untergebracht und an den verwendeten Feldbus angeschlossen sind. Dabei ist es möglich, die erste Steuereinheit als einfachen Busteilnehmer, d. h. ohne eine Bus­ masterfunktionalität an den Feldbus anzuschließen, wie nachfol­ gend am Beispiel des Interbusses erläutert wird. Die Steuerung des sicherheitskritischen Prozesses kann dann weitgehend unab­ hängig von der Steuerung sicherheitsunkritischer Prozesse und auch unabhängig von der Steuerung der Datenkommunikation auf einem gemeinsamen Feldbus stattfinden.

Die erste Steuereinheit benötigt somit zumindest grundsätzlich keine Busmaster-Funktionalität und umgekehrt kann der Busmaster frei von sicherheitsbezogenen Einrichtungen an den Feldbus an­ geschlossen werden. Hierdurch ist die Verwendung von herkömmli­ chen Standard-Busmastern möglich. Die genannte Aufgabe ist so­ mit vollständig gelöst.

Die erfindungsgemäße Maßnahme besitzt zudem den Vorteil, daß die erste Steuereinheit und mit ihr die sicherheitsbezogenen Einrichtungen hinsichtlich ihrer Komplexität und Geschwindig­ keit an den nur vergleichsweise geringen sicherheitsrelevanten Datenverkehr angepaßt sein müssen. Der bei einem komplexen Ge­ samtprozeß bis zu mehr als 90% betragende, nicht-sicherheits­ relevante Datenverkehr muß nicht über die erste Steuereinheit und auch nicht über die sicherheitsbezogenen Einrichtungen ab­ gewickelt werden. Die erste Steuereinheit und die sicherheits­ bezogenen Einrichtungen können daher vergleichsweise einfach aufgebaut sein.

In einer Ausgestaltung der zuvor genannten Maßnahme weist die erste Steuereinheit ein eigenständiges Steuerprogramm zum Steu­ ern des sicherheitskritischen Prozesses auf.

Unter einem eigenständigen Steuerprogramm wird dabei ein Steu­ erprogramm verstanden, das die erste Steuereinheit in die Lage versetzt, den sicherheitskritischen Prozeß unabhängig von ande­ ren Steuereinheiten zu steuern. Die erste Steuereinheit ist so­ mit nicht nur ein redundantes Element in Ergänzung zu einer weiteren Steuereinheit, sondern sie ist in der Lage, den si­ cherheitskritischen Prozeß eigenständig fehlersicher zu steu­ ern. Die Maßnahme ist besonders vorteilhaft, da hierdurch eine vollständige Trennung der sicherheitsrelevanten Teile des Steuerungssystems von den nicht-sicherheitsrelevanten Teilen erreicht ist. Dies ist insbesondere im Hinblick auf die Zulas­ sung eines Steuerungssystems durch verantwortliche Aufsichtsbe­ hörden von Bedeutung, da hierdurch eine Beeinflussung des si­ cherheitsrelevanten Teils durch einen Eingriff im nicht­ sicherheitsrelevanten Teil vermieden ist.

In einer weiteren Ausgestaltung ist die erste Steuereinheit ge­ eignet, ein fehlersicheres Bustelegramm zu erzeugen, bei dessen Empfang die Signaleinheit den sicherheitskritischen Prozeß in einen sicheren Zustand überführt.

Wenn es sich bei dem sicherheitskritischen Prozeß beispielswei­ se um die Überwachung eines Not-Aus-Schalters handelt, kann ein sicherer Zustand darin bestehen, den Gesamtprozeß umgehend stromlos zu schalten. Bei einer chemischen Produktionsanlage kann ein vollständiges Abschalten jedoch unter Umständen unkon­ trollierte Reaktionen ermöglichen, so daß in diesem Fall ein sicherer Zustand durch das Ansteuern vorgegebener Parameterbe­ reiche definiert ist. Die genannte Maßnahme steht im Gegensatz dazu, das Überführen des Prozesses in einen sicheren Zustand durch zusätzliche, von dem Feldbus getrennte Steuerleitungen zu realisieren. Dies wurde bisher bevorzugt, da ein fehlersicheres Bustelegramm nur in Verbindung mit sicherheitsbezogenen Ein­ richtungen möglich ist. Die genannte Maßnahme besitzt demgegen­ über den Vorteil, daß auf die entsprechenden zusätzlichen Steu­ erleitungen verzichtet werden kann, wodurch der Verkabelungs­ aufwand nochmals reduziert wird.

In einer weiteren Ausgestaltung weisen die sicherheitsbezogenen Einrichtungen eine mehrkanalige Struktur auf.

Mehrkanalige Struktur bedeutet hier, daß die sicherheits­ bezogenen Einrichtungen zumindest zwei parallele Verarbeitungs­ kanäle aufweisen, die zueinander redundant sind. Die Maßnahme besitzt den Vorteil, daß ein Fehler in einem der Verarbeitungs­ kanäle bspw. anhand eines Ergebnisses, das von demjenigen des oder der anderen Verarbeitungskanäle abweicht, erkannt und ggf. korrigiert werden kann. Die Maßnahme trägt somit in sehr zuver­ lässiger Weise zur Verbesserung der Fehlersicherheit bei.

Bevorzugt ist die mehrkanalige Struktur diversitär.

Dies bedeutet, daß die einzelnen Kanäle der mehrkanaligen Struktur unterschiedlich aufgebaut sind. Beispielsweise kann ein Kanal auf einem Mikrocontroller eines ersten Herstellers und ein anderer Kanal auf einem Mikrocontroller eines zweiten Herstellers basieren. Dementsprechend sind in einem solchen Fall auch die Steuerprogramme der Mikrocontroller voneinander verschieden. Alternativ kann einer der Kanäle anstelle eines Mikrocontrollers eine festverdrahtete Logik aufweisen. Die ge­ nannte Maßnahme besitzt den Vorteil, daß die Fehlersicherheit nochmals beträchtlich erhöht ist, da die Wahrscheinlichkeit für das gleichzeitige Auftreten von gleichen Fehlern in diversitä­ ren Strukturen gegenüber homogenen Strukturen nochmals wesent­ lich reduziert ist.

In einer weiteren Ausgestaltung der Erfindung weist das Steue­ rungssystem eine zweite Steuereinheit zum Steuern von sicher­ heitsunkritischen Prozessen auf.

Die zweite Steuereinheit ist bevorzugt eine Standard-Steuer­ einheit, d. h. eine als Standardbaustein erhältliche Steuerein­ heit. Diese Maßnahme ist besonders vorteilhaft, wenn das Steue­ rungssystem zum Steuern komplexer Gesamtprozesse eingesetzt werden soll, da in diesem Fall sämtliche sicherheitsunkriti­ schen Teilprozesse getrennt von den sicherheitskritischen Teil­ prozessen gesteuert werden können. Zudem kann die erste Steuer­ einheit auf diese Weise von nicht-sicherheitsrelevanten Aufga­ ben entlastet werden. Hierdurch ist es möglich, die erste Steu­ ereinheit und darüber hinaus das gesamte Steuerungssystem be­ sonders kostengünstig und leistungseffizient auszulegen.

In einer weiteren Ausgestaltung der zuvor genannten Maßnahme ist die zweite Steuereinheit getrennt von der ersten Steuer­ einheit an den Feldbus angeschlossen.

Diese Maßnahme besitzt den Vorteil, daß die Trennung der si­ cherheitsrelevanten und nicht-sicherheitsrelevanten Prozesse noch konsequenter vollzogen ist, was eine unbeabsichtigte Be­ einflussung der sicherheitsrelevanten Steuerungen nochmals ver­ ringert. Zudem ist es hierdurch möglich, eine erste Steuerein­ heit zum Steuern sicherheitskritischer Prozesse in einer be­ reits existierenden Gesamtanlage nachzurüsten, ohne die bereits zuvor in diesem Steuerungssystem verwendete Standard-Steuer­ einheit auszutauschen. Dies erlaubt eine einfache und kosten­ günstige Nachrüstung bereits existierender Steuerungssysteme mit sicherheitsrelevanten Komponenten.

In einer weiteren Ausgestaltung der zuvor genannten Maßnahmen ist die zweite Steuereinheit frei von sicherheitsbezogenen Ein­ richtungen.

Dies bedeutet, daß die zweite Steuereinheit keine sicherheits­ bezogenen Einrichtungen aufweist. Die Maßnahme besitzt den Vor­ teil, daß auch die zweite Steuereinheit von unnötigem Ballast freigehalten ist. Hierdurch ist es möglich, für die zweite Steuereinheit kostengünstige Standardbauelemente einzusetzen.

In einer weiteren Ausgestaltung der zuvor genannten Maßnahmen beinhaltet die zweite Steuereinheit den Busmaster.

Diese Maßnahme besitzt den Vorteil, daß hierdurch die Anzahl der an den verwendeten Feldbus angeschlossenen Einheiten redu­ ziert ist. Zudem sind Steuereinheiten mit integriertem Bus­ master von verschiedenen Herstellern als Standardbauelemente erhältlich. Die genannte Maßnahme ist somit kostengünstig und effizient realisierbar.

In einer weiteren Ausgestaltung der Erfindung stellt der Feld­ bus einen umlaufenden Telegrammverkehr zwischen einzelnen an den Feldbus angeschlossenen Einheiten bereit. Vorzugsweise ist der Feldbus dabei ein Interbus.

Feldbusse mit einem umlaufenden Telegrammverkehr sind im Stand der Technik an sich bekannt. Ein Beispiel hierfür ist der be­ vorzugt verwendete Lnterbus. Derartige Feldbusse sind im Prin­ zip wie ein Schieberegister aufgebaut, dessen sequentiell nach­ einander angeordnete Speicherplätze die an den Feldbus ange­ schlossenen Einheiten sind. Unter Steuerung des Busmasters wird ein Datenwort sequentiell von einer Einheit zur nächsten wei­ tergeschoben. Aufgrund geeigneter Maßnahmen, die bei verschie­ denen Feldbussen unterschiedlich sein können, erkennt eine an­ geschlossene Einheit, daß ein weitergeschobenes Bustelegramm für sie bestimmte Anteile enthält.

Die genannte Maßnahme besitzt den Vorteil, daß sich hierdurch auf einfache Weise sehr effiziente Steuerungssysteme mit einem sehr geringen Verkabelungsaufwand implementieren lassen. Die Verwendung eines Interbusses als Feldbus besitzt zudem den Vor­ teil, daß eine Einheit die für sie bestimmten Bustelegramme auf besonders einfache Weise identifizieren kann. Dies ist zudem wenig fehleranfällig.

In einer weiteren Ausgestaltung der Erfindung ist die erste Steuereinheit bezogen auf eine Umlaufrichtung des Telegramm­ verkehrs vor der Signaleinheit angeordnet.

Diese Maßnahme ist besonders vorteilhaft, da hierdurch auf ein­ fache Weise gewährleistet ist, daß die Signaleinheit nur Daten erhält, die durch die erste Steuereinheit erzeugt worden sind.

In einer weiteren Ausgestaltung der zuvor genannten Maßnahme weist die erste Steuereinheit Mittel auf, um Telegrammdaten, die an die Signaleinheit adressiert sind, durch fehlersichere Telegrammdaten zu ersetzen.

Die genannte Maßnahme ist eine sehr einfache und damit vorteil­ hafte Möglichkeit, um zu gewährleisten, daß die mit einem sicherheitskritischen Prozeß verbundene Signaleinheit ausschließlich fehlersichere Telegrammdaten erhält. Anschaulich gesprochen macht man sich hierbei den sequentiell umlaufenden Telegrammverkehr dahingehend zunutze, daß ein Telegramm die genannte Signaleinheit nur dann erreichen kann, wenn es von der ersten Steuereinheit erzeugt worden ist.

In einer weiteren Ausgestaltung der Erfindung weist das Steue­ rungssystem zumindest zwei erste Steuereinheiten zum Steuern von zumindest zwei sicherheitskritischen Prozessen auf.

Diese Maßnahme bietet die Möglichkeit, auf sehr einfache und kostengünstige Weise sehr komplexe Gesamtprozesse mit verschie­ denen sicherheitskritischen Teilprozessen individuell und unab­ hängig voneinander zu steuern. Dabei macht sich als besonderer Vorteil bemerkbar, daß keine der ersten Steuereinheiten eine Busmasterfunktionalität aufweisen muß, was die Kosten des Ge­ samtsystems niedrig hält.

Es versteht sich, daß die vorstehend genannten und die nach­ stehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.

Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert. Es zeigen:

Fig. 1 eine schematische Darstellung eines Ausführungs­ beispiels der Erfindung, wobei als Feldbus ein In­ terbus zum Einsatz kommt,

Fig. 2 eine schematische Darstellung eines Kommunikations­ bausteins, mit dem die erste Steuereinheit in dem in Fig. 1 gezeigten Ausführungsbeispiel an den Interbus angeschlossen ist,

Fig. 3 eine schematische Darstellung eines Empfangsbau­ steins, den die erste Steuereinheit in dem gezeigten Ausführungsbeispiel zusätzlich besitzt,

Fig. 4 eine schematische Darstellung eines Bustelegramms beim Interbus und

Fig. 5 eine schematische Darstellung, wie sicherheitsrele­ vante Datenrahmen bei dem Bustelegramm gemäß Fig. 4 durch fehlersichere Telegrammdaten ersetzt werden.

In Fig. 1 ist ein erfindungsgemäßes Steuerungssystem in seiner Gesamtheit mit der Bezugsziffer 10 bezeichnet.

Das Steuerungssystem 10 basiert auf einem Feldbus 12, der im vorliegenden Fall ein Interbus ist. An den Feldbus 12 sind eine erste Steuereinheit 14, eine zweite Steuereinheit 16 sowie ins­ gesamt vier beispielhaft dargestellte Signaleinheiten 18, 20, 22 und 24 angeschlossen. Die erste Steuereinheit 14 ist eine sichere Steuereinheit, während die zweite Steuereinheit 16 eine Standar-Steuereinheit ist.

Mit der Bezugsziffer 26 ist ein automatisierter Gesamtprozeß bezeichnet, der zwei beispielhaft dargestellte sicherheitskri­ tische Teilprozesse 28 beinhaltet. Die außerhalb der sicher­ heitskritischen Teilprozesse 28 liegenden Anteile des Ge­ samtprozesses 26 sind nicht sicherheitskritisch, d. h. sie er­ fordern keine sicherheitsbezogenen Zusatzmaßnahmen. Beispiel­ haft handelt es sich bei dem Gesamtprozeß 26 um die automati­ sierte Steuerung einer Presse, bei der sicherheitsunkritische Teilprozesse u. a. die Materialzuführung der zu verarbeitenden Teile (nicht dargestellt) sind. Die sicherheitskritischen Teil­ prozesse 28 betreffen hier beispielsweise die Steuerung und Überwachung eines Zweihand-Schalters und eines Schutzgitters.

Mit der Bezugsziffer 30 ist ein Prozeß bezeichnet, der insge­ samt sicherheitskritisch ist, wie etwa die Überwachung eines Not-Aus-Schalters.

Die Steuereinheiten 18 bis 24 sind über E/A-Kanäle (Eingabe-/Aus­ gabe-Kanäle) 32 mit den zu steuernden Prozessen 26 bis 30 verbunden. Die E/A-Kanäle 32 stellen Eingänge und Ausgänge be­ reit, über die Zustandssignale, die für die zu steuernden Pro­ zesse charakteristisch sind, eingelesen werden können und über die Steuersignale zum Steuern der Prozesse ausgegeben werden können. In der Praxis sind an die E/A-Kanäle 32 hier nicht dar­ gestellte Sensoren bzw. Aktoren angeschlossen.

Die zweite Steuereinheit 16 weist neben anderen, an sich be­ kannten Komponenten einen Mikrocontroller 34 sowie einen Ma­ ster-Protokollchip 36 auf. Der Master-Protokollchip 36 besitzt im vorliegenden Fall eine Busmasterfunktionalität für einen In­ terbus und wird im folgenden auch als Busmaster bezeichnet. Derartige Master-Protokollchips sind als Standardbauelemente von verschiedenen Herstellern erhältlich.

Die erste Steuereinheit 14 ist über einen Kommunikations­ baustein 38, dessen Aufbau anhand Fig. 2 nachfolgend näher be­ schrieben wird, als Busteilnehmer an den Feldbus 12 angeschlos­ sen. Darüber hinaus besitzt die erste Steuereinheit 14 im vor­ liegenden Fall noch einen Empfangsbaustein 40, der am zurück­ laufenden Signalpfad des Feldbusses 12 angeschlossen ist.

Die erste Steuereinheit 14 besitzt des weiteren eine sicher­ heitsbezogene Einrichtung 42, die im vorliegenden Fall ein mehrkanaliges, diversitäres Mikrocontrollersystem beinhaltet. Das mehrkanalige Mikrocontrollersystem ist hier anhand von zwei redundanten Mikrocontrollern 44 angedeutet, die von verschiede­ nen Herstellern stammen und daher eine unterschiedliche Pro­ grammierung erfordern. Die sicherheitsbezogene Einrichtung 42 implementiert Fehlerbeherrschungsmaßnahmen, die in Verbindung mit den nachfolgend beschriebenen sicherheitsbezogenen Einrich­ tungen in den Signaleinheiten 18 bis 22 eine fehlersichere Da­ tenkommunikation ermöglichen. Mögliche Fehlerbeherrschungsmaß­ nahmen sind beispielsweise in einem Artikel mit dem Titel "Bus- Software mit Feuermelder", erschienen in der Zeitschrift "iee", 43. Jahrgang, 1998, Nr. 8, Seiten 46-48 beschrieben.

Ferner besitzt die erste Steuereinheit 14 einen Speicher 46, in dem ein Steuerprogramm 48 abgelegt ist. Das Steuerprogramm 48 ist insofern eigenständig, als daß die erste Steuereinheit 14 damit in der Lage ist, den sicherheitskritischen Prozeß 30 so­ wie die sicherheitskritischen Teilprozesse 28 unabhängig von der zweiten Steuereinheit 16 (mit Ausnahme der durch den Bus­ master 36 gesteuerten Kommunikation auf dem Feldbus 12) zu steuern.

Die Signaleinheiten 18 bis 24 sind jeweils über einen Slave- Protollchip 50 als Busteilnehmer an den Feldbus 12 angeschlos­ sen. Der Slave-Protokollchip 50 ist ebenfalls ein Standardbau­ element, das von verschiedenen Herstellern erhältlich ist. Zu­ dem weisen die Signaleinheiten 18, 20 und 22 jeweils sicher­ heitsbezogene Einrichtungen 52 auf, die wiederum ein zweikana­ liges Mikrocontrollersystem 44 beinhalten. Die Signaleinheiten 18 und 20 sind dabei beispielhaft so dargestellt, daß sämtliche über sie laufenden Signale unter Zuhilfenahme der sicherheits­ bezogenen Einrichtungen 52 abgewickelt werden. Die Signal­ einheiten 18 und 20 sind somit insgesamt "sichere" Signal­ einheiten. Die Signaleinheit 22 ist nur zum Teil eine "sichere" Signaleinheit, d. h. nur ein Teil der hierüber abgewickelten Si­ gnale unterliegt einer Steuerung und Kontrolle durch die si­ cherheitsbezogenen Einrichtungen 52. Die Signaleinheit 24 be­ sitzt demgegenüber keine sicherheitsbezogenen Einrichtungen und ist von daher eine "nicht-sichere" Standard-Signaleinheit.

Die Signaleinheit 18 ist mit dem sicherheitskritischen Prozeß 30 und die Signaleinheit 20 mit einem der sicherheitskritischen Teilprozesse 28 verbunden. Diese genannten Prozesse werden aus­ schließlich und eigenständig von der ersten Steuereinheit 14 gesteuert. Die Signaleinheit 22 ist mit ihrem sicheren Anteil mit dem zweiten sicherheitskritischen Teilprozeß 28 verbunden, während sie mit ihrem nicht-sicheren Anteil ein Steuersignal für den im übrigen sicherheitsunkritischen Gesamtprozeß 26 er­ zeugt. Die Signaleinheit 22 wird dementsprechend in ihrem si­ cheren Teil durch die erste Steuereinheit 14 und in ihrem nicht-sicheren Teil durch die zweite Steuereinheit 16 gesteu­ ert. Hierdurch ist es somit möglich, eine sichere und eine nicht-sichere Signaleinheit unter ein und derselben Busadresse anzusprechen.

Die Signaleinheit 24 ist ausschließlich mit sicherheitsunkriti­ schen Anteilen des Gesamtprozesses 26 verbunden und wird aus­ schließlich von der zweiten Steuereinheit 16 angesprochen.

Abweichend von dieser Ausführung ist es grundsätzlich jedoch möglich, auch die Standard-Signaleinheit 24 über die erste Steuereinheit 14 anzusteuern, wobei jedoch in diesem Fall keine vollständig fehlersichere Kommunikation gewährleistet ist.

Mit der Bezugsziffer 54 ist eine weitere sichere Steuereinheit bezeichnet, die in ihrem Aufbau und ihrer Funktion der ersten Steuereinheit 14 entspricht. Mit der Bezugsziffer 56 ist eine weitere sichere Signaleinheit bezeichnet. Die weitere erste Steuereinheit 54 sowie die sichere Signaleinheit 56 können zu­ sätzlich zu den zuvor beschriebenen Einheiten an dem Feldbus 12 angeschlossen sein, was durch eine unterbrochene Linie darge­ stellt ist. Für die nachfolgende Erläuterung der Funktionsweise des erfindungsgemäßen Steuerungssystems 10 wird jedoch der Ein­ fachheit halber angenommen, daß die weitere sichere Steuerein­ heit 54 sowie die sichere Signaleinheit 56 nicht am Feldbus 12 angeschlossen sind.

Der in der ersten Steuereinheit 14 enthaltene und in Fig. 2 nä­ her dargestellte Kommunikationsbaustein 38 besitzt einen Slave- Protokollchip 58, der über einen ersten Busanschluß 60 ein­ gangsseitig und über einen zweiten Busanschluß 62 ausgangs­ seitig mit dem Feldbus 12 verbunden ist. Der Protokollchip 58 entspricht den in den Signaleinheiten 18 bis 24 enthaltenen Protokollchips 50 und wird im Fall des hier angenommenen Inter­ busses häufig als "Serielles Mikroprozessor Interface" (SUPI) bezeichnet.

Der Protokollchip 58 besitzt darüber hinaus weitere Ein- und Ausgänge, von denen hier beispielhaft ein Eingang FromExR (From External Receiver), zwei Eingänge ToExR1 bzw. ToExR2 (To Exter­ nal Receiver) sowie ein Taktausgang CLKxR angedeutet sind. Am Ausgang ToExR1 ist eine Signalleitung 64 und am Eingang FromExR ist eine Signalleitung 66 angeschlossen. Die Signalleitung 64 verbindet den Protokollchip 58 mit einem Empfangsspeicher 68. Darüber hinaus besitzt der Kommunikationsbaustein 38 auch einen Sendespeicher 70. Die Signalleitung 66 verbindet den Eingang FromExR des Protokollchips 58 über ein als Schalter 72 darge­ stelltes Mittel wahlweise mit dem Ausgang ToExR1 bzw. mit dem Sendespeicher 70. Die Funktionsweise des Kommunikationsbau­ steins 38 ist nun wie folgt:
Der Protokollbaustein 58 empfängt an seinem Busanschluß 60 ein vom Busmaster 36 auf den Feldbus 12 gelegtes Bustelegramm. Die darin enthaltenen Daten werden dann am Ausgang ToExR1 bereitge­ stellt und über die Signalleitung 64 dem Empfangsspeicher 68 zugeführt. Wenn sich der Schalter 72 in einer derartigen Posi­ tion befindet, daß die Signalleitung 66 mit dem Ausgang ToExR1 verbunden ist, werden die aufgenommenen Telegrammdaten gleich­ zeitig dem Eingang FromExR zugeführt und sodann vom Protokoll­ chip 58 über den Busanschluß 62 an einen nachfolgenden Busteil­ nehmer, hier die sichere Signaleinheit 18, übertragen. In die­ sem Fall werden die im Bustelegramm enthaltenen Daten einer­ seits in den Empfangsspeicher 68 geladen und andererseits un­ verändert durch den Protokollchip 58 hindurchgeschleust. Im Un­ terschied dazu werden in dem Fall, daß der Schalter 72 den Ein­ gang FromExR mit dem Sendespeicher 70 verbindet, vom Protokoll­ chip 58 Telegrammdaten an eine nachfolgende Einheit übertragen, die dem Sendespeicher 70 entnommen sind. Durch Umschalten des Schalters 72 ist es somit möglich, die in einem Bustelegramm enthaltenen Daten wahlweise und gezielt durch solche aus dem Sendespeicher 70 zu ersetzen. Dies kann gezielt bis auf die Bi­ tebene erfolgen.

Der in Fig. 3 dargestellte Empfangsbaustein 40 der ersten Steu­ ereinheit 14 basiert auf dem gleichen Slave-Protokollchip (SUPI) wie der Kommunikationsbaustein 38. Zur Unterscheidung ist der Protokollchip in diesem Fall mit der Bezugsziffer 74 bezeichnet. Als Empfangsbaustein ist der Protokollchip 74 über seinen Ausgang ToExR1 allein mit einem Empfangsspeicher 76 ver­ bunden.

Über den Kommunikationsbaustein 38 ist die erste Steuereinheit 14 somit in der Lage, vom Busmaster 36 über den Feldbus 12 übertragene Bustelegramme aufzunehmen und wahlweise gezielt mo­ difiziert an die nachfolgenden Signaleinheiten 18 bis 24 wei­ terzugeben. Über den Empfangsbaustein 40 ist die erste Steuer­ einheit 14 darüber hinaus in der Lage, die von den Signal­ einheiten 18 bis 24 zurückgesendeten Bustelegramme zu empfangen und mitzuprotokollieren.

Die erste Steuereinheit 14 ist somit in der Lage, auch ohne ei­ ne Busmasterfunktionalität mit den Signaleinheiten 18 bis 24 über den Feldbus 12 zu kommunizieren. Über die sicherheitsbezo­ genen Einrichtungen 42, 52 kann dadurch eine fehlersichere, von der zweiten Steuereinheit 16 unabhängige Datenkommunikation und Steuerung erreicht werden.

In Fig. 4 ist ein schematisch dargestelltes Bustelegramm, wie es beim Interbus verwendet wird, in seiner Gesamtheit mit der Bezugsziffer 78 bezeichnet. Das Bustelegramm 78 besitzt einen exakt definierten Aufbau, der sich in einzelne Abschnitte un­ terteilt. Jedes Bustelegramm beginnt mit einem Startwort, das üblicherweise als Loop Back Word (LBW) bezeichnet wird. An die­ ses Startwort schließen sich einzelne Datenrahmen 80 an, in de­ nen Nutzdaten, wie Steuerbefehle oder Meßsignalwerte, transpor­ tiert werden können.

Beim Interbus erzeugt der Busmaster 36, wie bereits erwähnt, ein Bustelegramm 78 und überträgt dieses seriell an den ihm nachgeschalteten Kommunikationsbaustein 38. Dieser empfängt das Bustelegramm 78 und legt die für die erste Steuereinheit 14 re­ levanten Daten aus den Datenrahmen 80 im Empfangsspeicher 68 ab. Gleichzeitig überträgt er das Bustelegramm 78 an den ihm nachgeordneten Protokollchip 50 der Signaleinheit 18, wobei er wahlweise in dem Datenrahmen enthaltene Daten durch solche aus dem Sendespeicher 70 ersetzen kann. Vom Protokollchip 50 der Signaleinheit 18 wird das Bustelegramm 78 sodann zur Signal­ einheit 20 und von dieser zur Signaleinheit 22 und 24 weiterge­ leitet. Am Ende der Signalkette schickt die zuletzt angeschlos­ sene Signaleinheit 24 das Bustelegramm 78 wieder zurück zum Busmaster 36, wobei das Bustelegramm 78 wiederum sämtliche Pro­ tokollchips 50 sowie den Kommunikationsbaustein 38 durchläuft. Sobald der Busmaster 36 das Startwort LBW empfängt, ist dies ein Signal, daß das Bustelegramm 78 im Feldbus 12 einmal se­ quentiell umgelaufen ist.

Die erste Steuereinheit 14 kann aufgrund des zuvor beschriebe­ nen Datenverkehrs und aufgrund der in Fig. 2 dargestellten An­ ordnung des Kommunikationsbausteins 38 mit jeder Signaleinheit 18 bis 24 kommunizieren, sofern ihr die Struktur des Netzwerks bekannt ist. Dies bedeutet, daß die erste Steuereinheit 14 vor allem wissen muß, an welcher Stelle des Feldbusses 12 eine von ihr angesprochene Signaleinheit 18 bis 24 angeordnet ist. Bei dem in Fig. 1 dargestellten Steuerungssystem 10 befinden sich die Signaleinheiten 18, 20, 22, an den Plätzen 2, 3 und 4, wenn man die am Feldbus 12 angeschlossenen Einheiten beginnend beim Busmaster 36 von Null an durchzählt. Um beispielsweise Steuer­ daten an die Signaleinheit 20 zu übertragen, muß die erste Steuereinheit 14 dementsprechend die Steuerdaten in dem mit D3 bezeichneten Datenrahmen 80 ablegen. Dies ist in Fig. 5 anhand des Datenrahmens 82 mit modifizierten Daten D3* angedeutet. Die ursprünglich in diesem Datenrahmen enthaltenen Daten D3 werden dabei überschrieben.

Da sowohl die erste Steuereinheit 14 als auch die Signaleinheit 20 sicherheitsbezogene Einrichtungen 42, 52 aufweisen, ist es möglich, eine fehlersichere Datenkommunikation zwischen ihnen aufzubauen, ohne daß eine dieser Einheiten eine Busmasterfunk­ tionalität besitzen muß. Gleiches gilt für die Kommunikation der ersten Steuereinheit 14 mit den Signaleinheiten 18 und 22, wobei es bei der Kommunikation mit der Signaleinheit 22 in der Regel genügt, die mit D4 bezeichneten Daten nur teilweise durch modifizierte Daten D4** zu ersetzen. Die für den nicht-sicheren Standardteil der Signaleinheit 22 bestimmten Daten werden durch die erste Steuereinheit 14 nicht verändert.

Nachfolgend ist eine Tabelle dargestellt, anhand der sich die Kommunikation über den Feldbus 12 nochmals nachvollziehen läßt:

In jeder Zeile der Tabelle sind die Daten an den Ein- und Aus­ gangsschieberegistern der einzelnen an den Feldbus 12 ange­ schlossenen Einheiten nach jeweils einem vollständigen Schiebe­ schritt angegeben. Dabei bedeuten:
EDx: Eingangsdaten im Datenrahmen Dx
ADx: Ausgangsdaten im Datenrahmen Dx
E*Dx: Modifizerte (sichere) Eingangsdaten im Datenrahmen Dx und
A*Dx: Modifizierte (sichere) Ausgangsdaten im Datenrahmen Dx.

Im Datenrahmen D4 werden nur die für den sicheren Anteil der Signaleinheit 22 bestimmten Daten von der ersten Steuereinheit 14 modifiziert. Die für den nicht-sicheren Standardteil der Si­ gnaleinheit 22 bestimmten Daten bleiben unverändert, so daß dieser Teil der Signaleinheit 22 von der zweiten Steuereinheit 16 angesprochen wird.

Unabhängig von dem hier vorliegend beschriebenen Steuerungs­ system zum Steuern von sicherheitskritischen automatisierten Prozessen kann eine derartige Modifikation von Daten in einzel­ nen Datenrahmen 80, 82 bei einem Feldbus 12 mit sequentiell um­ laufenden Telegrammverkehr auch generell dazu verwendet werden, eine Slave-to-Slave-Kommunikation zwischen Busteilnehmern be­ reitzustellen, von denen keiner eine Busmasterfunktionalität besitzt. Voraussetzung ist hierzu allein, daß der Protokollchip 58 eines Busteilnehmers, der Daten an andere Busteilnehmer ver­ senden will, in der in Fig. 2 dargestellten Art und Weise um einen Sendespeicher 70 und gegebenenfalls einen Empfangsspei­ cher 68 ergänzt wird. Außerdem benötigt der zum Senden berech­ tigte Busteilnehmer eine Information darüber, an welcher Stelle im Feldbus 12 sein Adressat angeordnet ist, um dementsprechend den richtigen Datenrahmen 80 zu modifizieren.

Auf diese Weise ist es grundsätzlich auch möglich, mehrere Standard-Steuereinheiten, die mit einem Kommunikationsbaustein 38, 40 versehen sind, in das Feldbussystem einzubringen, um da­ durch die Steuerungsaufgabe für nicht-sicherheitskritische An­ wendungen auf mehrere Standard-Steuereinheiten zu verteilen.

Claims (14)

1. Steuerungssystem zum Steuern von sicherheitskritischen Prozessen (28, 30), mit einer ersten Steuereinheit (14; 14, 54) zum Steuern eines sicherheitskritischen Prozesses (28, 30), mit einer Signaleinheit (18, 20, 22, 24; 18, 20, 22, 24, 56), die über E/A-Kanäle (32) mit dem sicherheits­ kritischen Prozeß (28, 30) verknüpft ist, ferner mit einem Feldbus (12), über den die erste Steuereinheit (14; 14, 54) und die Signaleinheit (18, 20, 22, 24; 18, 20, 22, 24, 56) verbunden sind, und mit einem Busmaster (36) zum Steu­ ern der Kommunikation auf dem Feldbus (12), wobei die er­ ste Steuereinheit (14; 14, 54) und die Signaleinheit (18, 20, 22, 24; 18, 20, 22, 24, 56) sicherheitsbezogene Ein­ richtungen (42, 52) aufweisen, um eine fehlersichere Kom­ munikation miteinander zu gewährleisten, dadurch gekenn­ zeichnet, daß der Busmaster (36) getrennt von der ersten Steuereinheit (14; 14, 54) und der Signaleinheit (18, 20, 22, 24; 18, 20, 22, 24, 56) an den Feldbus (12) ange­ schlossen ist.

2. Steuerungssystem nach Anspruch 1, dadurch gekennzeichnet, daß die erste Steuereinheit (14; 14, 54) ein eigenständi­ ges Steuerprogramm (48) zum Steuern des sicherheitskriti­ schen Prozesses (28, 30) aufweist.

3. Steuerungssystem nach Anspruch 1 oder 2, dadurch gekenn­ zeichnet, daß die erste Steuereinheit (14; 14, 54) geeig­ net ist, ein fehlersicheres Bustelegramm (78) zu erzeugen, bei dessen Empfang die Signaleinheit (18, 20, 22; 18, 20, 22, 56) den sicherheitskritischen Prozeß (28, 30) in ei­ nen sicheren Zustand überführt.

4. Steuerungssystem nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, daß die sicherheitsbezogenen Einrichtungen (42, 52) eine mehrkanalige Struktur (44) aufweisen.

5. Steuerungssystem nach Anspruch 4, dadurch gekennzeichnet, daß die mehrkanalige Struktur (44) diversitär ist.

6. Steuerungssystem nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß es ferner eine zweite Steuereinheit (16) zum Steuern von sicherheitsunkritischen Prozessen (26) aufweist.

7. Steuerungssystem nach Anspruch 6, dadurch gekennzeichnet, daß die zweite Steuereinheit (16) getrennt von der ersten Steuereinheit (14; 14, 54) an den Feldbus (12) angeschlos­ sen ist.

8. Steuerungssystem nach Anspruch 6 oder 7, dadurch gekenn­ zeichnet, daß die zweite Steuereinheit (16) frei von si­ cherheitsbezogenen Einrichtungen (42, 52) ist.

9. Steuerungssystem nach einem der Ansprüche 6 bis 8, dadurch gekennzeichnet, daß die zweite Steuereinheit (16) den Bus­ master (36) beinhaltet.

10. Steuerungssystem nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, daß der Feldbus (12) einen umlaufenden Te­ legrammverkehr zwischen einzelnen an den Feldbus (12) an­ geschlossenen Einheiten (14-24) bereitstellt.

11. Steuerungssystem nach Anspruch 10, dadurch gekennzeichnet, daß der Feldbus (12) ein Interbus ist.

12. Steuerungssystem nach Anspruch 10 oder 11, dadurch gekenn­ zeichnet, daß die erste Steuereinheit (14; 14, 54) bezogen auf eine Umlaufrichtung des Telegrammverkehrs vor der Si­ gnaleinheit (18, 20, 22, 24; 18, 20, 22, 24, 56) angeord­ net ist.

13. Steuerungssystem nach Anspruch 12, dadurch gekennzeichnet, daß die erste Steuereinheit (14; 14, 54) Mittel (70, 72) aufweist, um Telegrammdaten (80), die an die Signaleinheit (18, 20, 22, 24; 18, 20, 22, 24, 56) adressiert sind, durch fehlersichere Telegrammdaten (82) zu ersetzen.

14. Steuerungssystem nach einem der Ansprüche 1 bis 13, da­ durch gekennzeichnet, daß es zumindest zwei erste Steuer­ einheiten (14, 54) zum Steuern von zumindest zwei sicher­ heitskritischen Prozessen (28, 30) aufweist.