-
Die Erfindung bezieht sich auf ein
Steuerungssystem mit zentralen und/oder dezentralen Baugruppen,
an denen Schutzeinrichtungen wie Sensoren und/oder Aktoren angeschlossen
sind, wobei die Baugruppen zur Übertragung
von Daten und Informationen zumindest über eine Kommunikationsverbindung
und zur Versorgung mit zumindest einer Versorgungsspannung über zumindest
eine Energieversorgungsleitung miteinander verbunden sind.
-
Das zuvor beschriebene Steuerungssystem ist
zum Beispiel aus der Produktbeschreibung "ESALAN-Sicherheits-Feldbus-Steuerung" der Elan Schaltelemente
GmbH, Ausgabe 2/98, bekannt.
-
Einrichtungen der Mess-, Steuer-
und Regeltechnik mit dezentralen Strukturen in Form von Bussystemen
und Kommunikationsnetzwerken verlieren ihre Funktion oder werden
in ihrer Funktion erheblich beeinträchtigt, wenn die Kommunikationsverbindung zwischen
den einzelnen Baugruppen und/oder die Energieversorgungsleitung
für die
Baugruppen gestört,
abgerissen oder unterbrochen wird.
-
Um Störungen der zuvor beschriebenen
An zu vermeiden – entweder
aus sicherheitstechnischen Gründen
oder aus Gründen
der Verfügbarkeit
bzw. Standzeit von Maschinen, Anlagen und Systemen -, sind zusätzliche
Maßnahmen
erforderlich.
-
Bekannt ist zum Beispiel eine Verdoppelung des
gesamten Systems, was als vollständige
Redundanz bezeichnet wird oder eine Verdopplung von Teilsystemen,
was als partielle Redundanz bekannt ist. Bei diesen Ausführungsformen
ist mindestens ein zusätzlicher
Hardware-Aufwand notwendig, entweder in Form von zusätzlichen
Baugruppen oder in Form von zusätzlicher
Verdrahtung. Derartige Systeme sind aus dem Stand der Technik unter
der Bezeichnung "Auswahl 2 aus
3" bekannt.
-
Bekannt sind auch Lösungen von
untereinander vernetzten Steuerungen, die jeweils ein komplettes
eigenständiges
System bilden. Zum Beispiel können
speicherprogrammierbare Steuerungen im Falle einer Störung "stand alone" d. h. unvernetzt weiterarbeiten,
wenn sie zuvor für
die jeweiligen "stand
alone – Funktionen" separat programmiert worden
sind.
-
Ein Steuerungssystem der eingangs
genannten An ist aus der
DE
198 14 102 C2 bekannt. Das Steuerungssystem dient zur Datenübertragung zwischen
einer sicheren Recheneinheit und einer Anzahl von Ein-/Ausgabeeinheiten über eine
an die sichere Recheneinheit angeschlossene Bus-Steuereinheit und
ein serielles Bussystem. Dabei spricht die Bussteuereinheit zyklisch
die an das Bussystem angeschlossene Ein-/Ausgabeeinheiten an und
eine Mehrbit-Nachricht wird an die jeweils angesprochene Ein-/Ausgabeeinheit übermittelt.
Eine Einheit zur Überwachung
einer Kommunikationsverbindung ist dadurch realisiert, dass eine
Auswerteeinheit vorgesehen ist, die eine übermittelte Mehrbit-Nachricht
nur dann als ordnungsgemäß interpretiert,
wenn ein Kontroll-Bit innerhalb einer vorbestimmten Überwachungszeit
alterniert. Sofern ein Fehler erkannt wird, werden Ausgänge der
angeschlossenen Ein-/Ausgabeeinheiten in einen sicheren Zustand
geschaltet. Mit dem bekannten Steuerungssystem können Fehler zwar erkannt, bei
Ausfall der Kommunikationsverbindung ist jedoch eine weitere Kommunikation
ausgeschlossen. Gleiches gilt bei Ausfall der Versorgungsspannung.
-
Die
DE 44 12 653 C2 bezieht sich auf eine Überwachungseinrichtung
für eine
zu sichernde Einrichtung mit einer Vielzahl von Sensoren mit analogen
oder digitalen Schaltzuständen.
Jeder Sensor ist über
eine ihm zugeordnete Prozessorgesteuerte Schaltung zur Erfassung
seines Schaltzustandes und über
einen Zweidraht-Bus mit getakteter Datenübertragung auf eine Auswerteschaltung
verbunden, die ein Schaltsignal in Abhängigkeit von den Schaltzuständen der
Sensoren erzeugt. Auch bei dieser Schaltungsanordnung können zwar Übertragungsfehler
erkannt, bei fehlerhafter materieller Versorgungsspannung und/oder
Kommunikationsverbindung ist jedoch eine weitere Kommunikation ebenfalls
ausgeschlossen.
-
Aus der
DE 196 11 944 C2 , die sich
auf einen integrierten Schaltkreis zur Kopplung eines mikrokontrollierten
Steuergerätes
in einem Zweidraht-Bus bezieht, ist bekannt, einen integrierten
Schaltkreis mittels einer Batterie zu versorgen. Vorkehrungen bei Störung der
Spannungsversorgung und/oder Kommunikationsverbindung zwischen den
integrierten Schaltkreisen sind auch der
DE 196 11 944 C2 nicht zu
entnehmen.
-
Die
DE 197 42 716 C2 bezieht sich auf eine Steuer-
und Datenübertragungsanlage
und Verfahren zum Übertragen
von sicherheitsbezogenen Daten, umfassend einen seriellen Feldbus,
in den eine Master-Steuereinrichtung und mehrere Busteilnehmer angeschaltet
sind. Die Kommunikation der sicherheitsbezogenen Einrichtungen erfolgt
ausschließlich über den
Feldbus. Bei Ausfall des Feldbusses ist sowohl die Energieversorgung
als auch die Kommunikationsverbindung gestört.
-
Die
DE 44 08 603 A1 bezieht sich auf ein Verfahren
zur Erhöhung
der Sicherheit in hierarchisch strukturierten Automatisierungssystemen
zur Steuerung und Regelung technischer Prozesse in der Automatisierungstechnik.
-
Ein Funkmeldesystem für Betriebsstörungen in
Anlagen von Fabriken und Betreiben ist in der
DE 196 07 471 A1 beschrieben.
Bei diesem System erfolgt die Datenkommunikation ausschließlich über eine
Funkverbindung.
-
Davon ausgehend liegt der vorliegenden
Erfindung die Aufgabe zu Grunde, ein Steuerungssystem der zuvor
beschriebenen Art dahingehend weiterzubilden, dass die Funktionen
des Steuerungssystems mit verhältnismäßig geringem
Aufwand auch bei Störungen
der oben genannten Art erhalten bleiben.
-
Das Problem wird erfindungsgemäß durch die
kennzeichnenden Merkmale des Anspruchs 1 gelöst.
-
Der besondere Vorteil des Steuerungssystems
liegt darin, dass durch die Überwachungseinheiten
Störungen
der Versorgungsspannung und der Kommunikationsverbindung unmittelbar,
d. h. ohne schädlichen
Zeitverzug, erkannt werden können.
Die Erfindung zeichnet sich dadurch aus, dass die Baugruppen jeweils
zumindest eine Notstromversorgungseinheit aufweisen, die bei einer
Störung
der Versorgungsspannung durch eines der Steuersignale zugeschaltet
wird, dass durch eines der Steuersignale eine zentrale oder dezentralen
oftware-Routine aktiviert wird, die betriebserhaltende Funktionszustände zumondest
einer der Baugruppen einleitet und/oder dass bei Störung der
materiellen Kommunikationsverbindung die Daten und Informationen über eine
nicht-materielle Kommunikationsverbindung übertragen werden.
-
Durch die interne Notstromversorgung,
z. B. in Form einer Puffer-Batterie, kann die Funktion der jeweiligen
Baugruppe gewährleistet
werden. Insbesondere weist jede Baugruppe eine eigenständige Funktionsintelligenz
mit eigenen Software-Routinen auf die dazu dienen, trotz einer Störung bestimmte oder
alle Funktionszustände
der betreffenden Baugruppe zu erhalten und/oder zusätzliche
Funktionszustände
der betreffenden Baugruppe einzuleiten. Insbesondere bei einer Störung der
materiellen Kommunikationsverbindung wird die nicht-materielle,
d. h. drahtlose Kommunikationsverbindung aktiviert, um die Zusammenarbeit
zwischen den Baugruppen des Steuerungssystems ganz oder teilweise
zu übernehmen.
-
Bei einer bevorzugten Ausführungsform
ist die nicht-materielle Kommunikationsverbindung als Funkstrecke
ausgebildet, wobei die Baugruppen jeweils eine Sende-/Empfangseinheit
aufweisen. Wahlweise kann die Funkstrecke gleichzeitig mit der materiellen
Kommunikationsverbindung betrieben werden, um die ordnungsgemäße Funktion
der materiellen Kommunikationsverbindung fortlaufend überprüfen zu können, ohne
dass sie aktiv in das Geschehen eingreift und/oder um im Falle einer
Störung
den Austausch von Daten und Informationen zwischen den Baugruppen
zu übernehmen.
-
Ein weiterer Vorteil der nicht-materiellen Kommunikationsverbindung
zwischen den Baugruppen ist, dass Baugruppen ausgetauscht werden
können,
ohne dass die Funktion des Steuerungssystems beeinträchtigt oder
unterbrochen wird. Auch kann die Kommunikationsverbindung als Puffer
für eine
temporäre überproportionale
Busauslastung eingesetzt werden.
-
Zur Erzeugung des Steuersignals weisen
die Baugruppen jeweils ein an Versorgungsspannung liegendes Schaltelement
mit antivalentem Schaltverhalten, vorzugsweise ein Relais auf. Besonders
vorteilhaft ist das Relais mit zwangsgeführten Kontakten ausgestattet,
wobei im störungsfreien
Betrieb ein Kontakt geschlossen ist, während ein zweiter Kontakt geöffnet ist.
Im Falle einer Störung
erfolgt eine sofortige Umschaltung der Kontaktzustände, d.
h. der Schließerkontakt öffnet, weil
die das Relais versorgende Versorgungsspannung unterbrochen ist
und der geöffnete Öffnerkontakt
schließt
beim Abfallen des Relais und aktiviert die Notstromversorgung innerhalb
der Baugruppe.
-
Bei einer Störung der Kommunikationsverbindung
und/oder Spannungsversorgung wird das Steuersignal zur Aktivierung
der Notstromversorgung von zumindest einer Überwachungseinheit erzeugt, die
mit der Baugruppe gekoppelt ist.
-
Es ist vorgesehen, dass die Baugruppen
jeweils eine eigene Notstromversorgung seinheit wie z. B. eine Puffer-Batterie
aufweisen.
-
Ferner sind die Baugruppen des Steuerungssystems
zu Gruppen miteinander verbunden, wobei die Gruppen bei Ausfall
der Versorgungsspannung und/oder Ausfall der Kommunikationsverbindung
eigenständig
ihre Funktion aufrechterhalten. Eine bevorzugte Ausführungsform
zeichnet sich dadurch aus, dass die materielle Kommunikationsverbindung
und die Energieversorgungsleitung eine Einheit bilden.
-
Weitere Einzelheiten, Vorteile und
Merkmale der Erfindung ergeben sich nicht nur aus den Ansprüchen, den
diesen zu entnehmenden Merkmalen – für sich und/oder in Kombination
-, sondern auch aus der nachfolgenden Beschreibung eines der Zeichnung zu
entnehmenden bevorzugten Ausführungsbeispiels.
-
Es zeigen:
-
1 einen
prinzipiellen Aufbau eines Steuerungssystems und
-
2 einen
prinzipiellen Aufbau einer Baugruppe des Steuerungssystems.
-
In 1 ist
ein prinzipieller Aufbau eines Steuerungssystems 10 dargestellt.
Das Steuerungssystem 10 weist eine zentrale Baugruppe 12 und
eine Vielzahl von dezentralen Baugruppen 14, 16, 18, 20 auf,
wobei die Baugruppe 20 als Abschlussstation ausgebildet
ist. Die Baugruppen 12 bis 20 sind zum Austausch
von Daten und Informationen sowie zur Energieversorgung miteinander über einen
Feldbus 22 verbunden. Der Feldbus 22 weist sowohl
eine Kommunikationsverbindung 24 als auch eine Energieversorgungsleitung 26 auf,
die in einer gemeinsamen Leitung geführt werden können. Die
zentrale Baugruppe 12 ist zur Energieversorgung mit einem zentralen
Netzteil 28 verbunden.
-
Ein weiterer Teilnehmer des Feldbusses 22 ist
ein Interface 30, das eine Schnittstelle zu einer betriebsmäßigen speicherprogrammierbaren
Steuerung 32 und/oder einer Anzeigeeinrichtung 34 bildet. Die
Anzeigeeinrichtung 34 kann mit einem übergeordneten Bussystem 36 verbunden
sein.
-
Die Baugruppen 12 bis 20 können als
Eingangs- und Ausgangsbaugruppen sowie als Baugruppen mit Kombinationen
von Ein- und Ausgängen ausgeführt sein.
An den Eingängen
bzw. Ausgängen der
Baugruppen 12 bis 20 sind Schutzeinrichtungen 38 wie
Notaus-Schalter, Türverriegelungsschalter, Sensoren
und Zustimmungsschalter sowie Aktoren 40 wie Motoren, elektrische
Verriegelungen und ähnliche
Geräte
angeschlossen.
-
In 2 ist
beispielhaft der prinzipielle Aufbau der Baugruppe 14 dargestellt.
Die Baugruppe besteht aus zwei unabhängigen redundant aufgebauten
Mikrocomputer-Systemen 42, 44, denen jeweils eine
eigene Energieversorgungseinheit 46, 48 zugeordnet
ist. Die Mikrocomputersysteme 42, 44 sind jeweils über einen
Bus-Controler 50, 52, wie z. B. einen CAN-Controler und einen
Buskoppler 54, 56 wie zum Beispiel einen Transceiver
mit der Kommunikationsverbindung 24 verbunden.
-
Beide Mikrocomputersysteme 42, 44 sind über einen
Link 58 miteinander gekoppelt, um einen fortlaufenden kreuzweisen
Datenvergleich durchführen
zu können.
Dadurch wird ein Maximum an Sicherheit gewährleistet.
-
Des Weiteren ist jedes Mikrocomputersystem 42, 44 über eine
Busleitung 60, 62 mit einer Ein-/Ausgangsebene 64 verbunden.
An der Ein-/Ausgangsebene 62 sind die Sensoren 38 bzw.
Aktoren 40 angeschlossen, so dass Signale von den Sensoren 38 aufgenommen
bzw. Steuersignale an die Aktoren 40 weitergeleitet werden
können.
-
Erfindungsgemäß weist jede Baugruppe zumindest
eine Überwachungseinheit 66, 68 zur Überwachung
der Versorgungsspannung auf. Bei einem Ausfall der Versorgungsspannung
wird in der Überwachungseinheit 66, 68 ein
Steuersignal erzeugt, das der Energieversorgungseinheit 46, 48 zugeführt wird.
Die Energieversorgungseinheit 46, 48 weist erfindungsgemäß neben
einem Netzteil 70, 72 eine zusätzliche Notstromversorgung 76 auf,
die zum Beispiel als Puffer-Batterie ausgebildet ist. Das Steuersignal
bewirkt in der Energieversorgungseinheit 46, 48 eine
Umschaltung von dem Netzteil 70, 72 auf die Notstromversorgungseinheit
seinheit 74, 76.
-
Die Überwachungseinheit 66, 68 ist
vorzugsweise als Schaltelement mit antivalentem Schaltverhalten
ausgebildet. Insbesondere kann das Schaltelement als Relais oder
Relaiskombination mit zwangsgeführten
Kontakten ausgebildet sein. Im störungsfreien Betrieb, d. h.
wenn das Relais an der Versorgungsspannung liegt, ist ein Schließerkontakt
geschlossen, während
ein Öffnerkontakt
geöffnet
ist. Bei Auftreten einer Störung
erfolgt eine sofortige Umschaltung der Kontaktzustände, wobei
der geschlossene Schließerkontakt öffnet und
der geöffnete Öffnerkontakt
schließt.
Durch das Schließen
des Öffnerkontaktes
wird der Um schaltvorgang von dem Netzteil 70, 72 auf
die Notstromversorgungseinheit 74, 76 bewirkt.
Dadurch wird erreicht, dass auch bei Ausfall der Versorgungsspannung
die Funktionen der Baugruppe aufrechterhalten werden.
-
Zusätzlich weist die Baugruppe
eine Überwachungseinheit 78 zur Überwachung
der materiellen Kommunikationsverbindung 24 auf. Die Überwachungseinheit 78 ist
in die Kommunikationsverbindung 24 eingeschleift und über Busleitungen 80, 82 jeweils
mit dem Mikrocomputersystem 42, bzw. 44 verbunden.
Des Weiteren ist die Überwachingseinheit 78 mit
einer Sende-/Empfangseinheit 84 verbunden, an der eine
Antenne 86 angeschlossen ist, um Daten und Informationen
mittels einer nicht-materiellen Kommunikationsverbindung 88 wie
zum Beispiel einer Funkstrecke zu den weiteren Baugruppen bzw. der
zentralen Baugruppe übertragen
zu können.
-
Sobald eine Störung auftritt, entweder durch Ausfall
der Vorsorgungsspannung oder durch Ausfall der Kommunikationsverbindung 24,
wird den Mikrocomputersystemen 42, 44 ein Steuersignal
zugeführt,
wodurch eine zentral programmierte Software-Routine aktiviert wird,
die dazu dient, trotz einer Störung
bestimmte oder alle Funktionszustände in der betreffenden Baugruppe
zu erhalten und/oder zusätzliche
Funktionszustände
der betreffenden Baugruppe einzuleiten. Die Aktivierung der Software-Routine
kann eigenständig
erfolgen oder in Kombination mit einem Steuersignal, das bei Ausfall
der Kommunikationsverbindung 24 erzeugt wird.
-
Durch die erfindungsgemäße Ausbildung des
Steuerungssystems kann auch bei Ausfall der Versorgungsspannung
und/oder der Kommunikationsverbindung die eigentliche Aufgabe des
Steuerungssystems, nämlich
die Verknüpfung
von Eingangs- und Ausgangssignalen und Übertragung von Nachrichten
zwischen den einzelnen Stationen bzw. Baugruppen aufrechterhalten
werden.
-
Auch besteht die Möglichkeit,
dass die Sende-/Empfangseinheit 84 bzw. die nicht-materielle Kommunikationsverbindung 88 in
einer Art "Stand
by – Betrieb" gleichzeitig zu
der materiellen Leitungsverbindung 24 betrieben wird, um
so die ordnungsgemäße Funktion
fortlaufend überprüfen zu können, ohne dass
die Sende-/Empfangseinheit 84 aktiv in das Geschehen eingreift
und/oder um im Falle einer Störung ersatzweise
die Funktion der Kommunikationsverbindung 24 zwischen den
Baugruppen ohne Zeitverzögerung übernehmen
zu können.
-
Ein weiterer Vorteil der nicht-materiellen Kommunikationsverbindung
ist darin zu sehen, dass einzelne Baugruppen ausgetauscht werden
können, ohne
dass die Funktion des Steuerungssystems beeinträchtigt oder unterbrochen wird.
-
In dem hier beschriebenen Ausführungsbeispiel
in Form einer Sicherheits-Feldbus-Steuerung besteht der zusätzliche
Vorteil darin, eine Sicherheits-Feldbus-Steuerung, deren sicherheitstechnisches
Konzept auf eine Fehlerbeherrschung bzw. auf ein sicheres Ausfall-
bzw. Abschaltverhalten gerichtet ist, um das Merkmal einer zusätzlichen
Fehlertoleranz – sei
es sicherheitsgerichtet oder nicht – zu erweitern.