DE19949710B4

DE19949710B4 - Verfahren und Einrichtung zur fehlersicheren Kommunikation zwischen Zentraleinheiten eines Steuerungssystems

Info

Publication number: DE19949710B4
Application number: DE19949710.9A
Authority: DE
Inventors: Dipl.-Math. Dr.rer.nat. Maier Werner; Dipl.-Ing. Matthias (FH) Schlegel
Original assignee: ABB AB
Current assignee: ABB Schweiz AG
Priority date: 1999-10-15
Filing date: 1999-10-15
Publication date: 2016-03-10
Anticipated expiration: 2019-10-16
Also published as: DE19949710A1

Abstract

Verfahren zur fehlersicheren Übertragung von Daten über Punkt-zu-Punkt-Verbindungen (HSL) zwischen Zentraleinheiten (PM1, PM2, PM3) eines sicherheitsgerichteten, speicherprogrammierbaren Schutz- oder Steuerungssystems, wobei • die Zentraleinheiten (PM1, PM2, PM3) jeweils eine Datenverarbeitungseinrichtung (PS), eine Kommunikationseinheit (CS) und einen dazwischengeschalteten Zweiweg-Kommunikationsspeicher (DPM) aufweisen, • die Kommunikationseinheit (CS) jeweils Sende- und Empfangseinrichtungen (S, D1, D2, R1, R2) aufweist, und wobei a) in der jeweiligen Zentraleinheit (PM1, PM2, PM3) jeder neu gebildete Nutzdatensatz (1) mit einem individuellen Zählwert (2) gekennzeichnet wird, und der Nutzdatensatz (1) in wahrer und inverser Darstellung zusammen mit dem Zählwert (2) im Kommunikationsspeicher (DPM) als Sendedatensatz (5) zwischengespeichert wird, b) nach einer erfolgten Sendeaufforderung (8) der zugehörigen Verarbeitungseinrichtung (PS) die Kommunikationseinheit (CS) den Sendedatensatz (5) aus dem Kommunikationsspeicher (DPM) abholt, einer Prüfung unterzieht, in ein Standard-Telegrammformat transformiert und in einem Telegramm-Buffer bereitstellt, c) die Kommunikationseinheit (CS) nach nochmaliger Prüfung der Datenintegrität eine serielle Übertragung des bereitgestellten Diagramms einschließlich einer Quittierung (9) durchführt, d) die empfangsseitige Kommunikationseinheit (CS) eine Rücktransformation der Daten (Nutzdaten und Zählwert) und eine Zwischenspeicherung im Kommunikationsspeicher (DPM) durchführt, und e) die empfangsseitige Verarbeitungseinrichtung (PS) vor einer Verarbeitung eines empfangenen Datensatzes (3) den korrekten Empfang der wahren und inversen Daten prüft, sowie – durch Vergleich des neuen Zählwerts (4) mit dem vorherigen Zählwert – prüft, ob der Zählwert (4) korrekt ist.

Description

Die Erfindung bezieht sich auf ein Verfahren und eine Einrichtung zur fehlersicheren Kommunikation zwischen Zentraleinheiten eines sicherheitsgerichteten Steuerungssystems. Ein solches Steuerungssystem, auch Sicherheits-SPS genannt, kann beispielsweise in einer Kraftwerksanlage als Schutzsystem zur Kesselsteuerung oder Brennersteuerung eingesetzt werden. Ein derartiges Schutzsystem soll durch Abschalten von Anlagenteilen im Fehlerfall die Anlage oder Anlagenteile in einen sicheren Zustand bringen.
Sicherheitsgerichtete speicherprogrammierbare Steuerungen sind beispielsweise in DE 43 12 305 C2 beschrieben. Insbesondere ist dort eine einkanalige Standard-SPS mit einer Zentraleinheit angegeben, die durch sicherheitsgerichtete Programm-Module ergänzt ist und an die über ein Standard-E/A-Bus sowohl Standard-E/A-Geräte, als auch besonders sicherheitsgerichtete E/A-Geräte anschließbar sind.
Das Patentdokument EP 04 10 270 B1 offenbart ein Verfahren zum Betrieb einer Schnittstelle, die eine signaltechnisch sichere, serielle Übertragung von Daten zwischen mit parallel arbeitenden Rechnern ausgestatteten Baugruppen einer Eisenbahnsignalanlage und hierzu einen zyklischen Binärcode und eine antivalente Doppelübertragung von Datentelegrammen zur Datensicherung verwendet.
Das Patentdokument EP 03 46 141 B1 offenbart ein Verfahren, um Daten wirkungsvoll zwischen einer Vielzahl von Stationen in einem verteilten Prozesssteuersystem zu übermitteln.
Das Patentdokument DE 44 15 940 A1 offenbart ein Vorrichtung zur Sicherheitssteuerung mit digitalem Eingang und analogem Ausgang zum Liefern einer mittleren Ausgangsleistung, die größer ist als eine vorgegebene Schwelle, wenn zwei komplementäre oder gegenphasige binäre Eingangssequenzen am Eingang anliegen, und die in den anderen Fällen kleiner ist als eine andere Schwelle, dadurch gekennzeichnet, dass sie eine Primärgleichspannungsquelle (18) umfasst, die eine Reihe von mehreren Modulen (16, ..., 16k) versorgt, die jeweils eine Wechselrichterbrücke und einen Gleichrichter (28) umfassen, wobei jeder Zweig der Wechselrichterbrücke eines Moduls durch eine dieser Sequenzen gesteuert wird.
Das Patentdokument JP S62-116 035 A offenbart ein Datenübertragungssystem für einen Duplex Microprozessorsystem.
Das Patentdokument JP H03-6141 A offenbart ein fehlersicheres entferntes Steuersystem.
Die Erfindung bezieht sich dagegen auf ein dreikanaliges Steuerungssystem, mit dem Sicherheitsanforderungen und zugleich Anforderungen an die Verfügbarkeit besser entsprochen werden kann.
Ein solches dreikanaliges Steuerungssystem weist drei Zentraleinheiten auf, die jeweils in einer Zweiprozessortechnik ausgeführt sein können. Die Zentraleinheiten sind mittels Einrichtungen zur Datenkommunikation miteinander verbunden. Die Überwachung der Kommunikation zwischen den Zentraleinheiten erfolgt in bekannten Systemen durch Verfahren wie CRC-Sicherung, Abbruchdetektion, eine für alle Quelldateien gemeinsame Timeout-Überwachung und Lebenszeichensignal-Detektion.
Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren und eine Einrichtung anzugeben, mit denen in einem dreikanaligen Steuerungssystem eine fehlersichere Kommunikation erreicht wird und erhöhten Anforderungen an die Sicherheit und Verfügbarkeit entsprochen werden kann.
Diese Aufgabe wird durch ein Datenübertragungsverfahren mit den im Anspruch 1 angegebenen Merkmalen gelöst. Vorteilhafte Ausgestaltungen sowie eine Einrichtung zur Durchführung des Verfahrens sind in weiteren Ansprüchen angegeben.
Das Verfahren ist in einem als Schutzsystem einsetzbaren Steuerungssystem, dessen Zentraleinheiten mit einem Echtzeit-Multitasking-Betriebssystem ausgestattet sind, anwendbar.
Es erfolgt eine Kommunikation zwischen Zentraleinheiten, die jeweils durch eine Datensende- und -empfangseinheit mit zwei unidirektionalen, seriellen Schnittstellen ergänzt sind, wobei der Transmitter physikalisch nur einmal vorhanden sein muß, wenn er parallel mit beiden Schnittstellen verdrahtet wird. Über diese Schnittstellen werden die sicherheitsrelevanten Daten ausschließlich geplant übertragen. Diese erweiterte Zentraleinheit ist durch sicherheitsgerichtete Programm-Module ergänzt zur Durchführung sicherheitsgerichteter Funktionen, die eine fehlersichere Kommunikation zwischen den Zentraleinheiten gewährleisten, sowie eine redundante Überwachung des Sendeweges sicherstellen.
Dieses Konzept bietet den Vorteil, daß eine schnelle Erkennung einer fehlerhaften Kommunikation möglich ist, die besonders für echtzeitbezogene Prozeßabläufe außerordentlich wichtig ist. Dadurch ist das Schutzsystem in der Lage, unmittelbar nach Auftreten einer Störung sofort geeignete Maßnahmen einzuleiten.
Ein Ausführungsbeispiel wird anhand der Zeichnung näher erläutert.
Dabei zeigt
1 die Anordnung und das Blockschaltbild von Sicherheitscontrollern (Zentraleinheiten) in einem dreikanaligen Schutzsystem, in dem die Controller über Datenleitungen sicherheitsrelevante Daten miteinander austauschen.
Das in 1 dargestellte Schutzsystem ist aus drei vollständigen Standard-Automatisierungssystemen aufgebaut, wovon jeweils nur die zugehörige Zentraleinheit (processor module) PM1, PM2, PM3 als Blockschaltbild gezeigt ist. Die Zentraleinheiten PM1, PM2, PM3 sind über Datenleitungen (high speed link) HSL für eine serielle Übertragung über Punkt-zu-Punkt-Verbindungen miteinander verbunden.
Von den Einrichtungen der Zentraleinheiten PM1, PM2, PM3 sind im wesentlichen jeweils nur die für die Kommunikation relevanten Funktionseinheiten dargestellt. Die Zentraleinheiten PM1, PM2, PM3 sind jeweils gegliedert in eine Datenverarbeitungseinrichtung (processing section) PS, also eine CPU mit Betriebssystem und Anwenderprogramm zur Prozeßsteuerung, und in eine Kommunikationseinheit (communication section) CS, also eine zweite CPU mit Programmen für den Datenaustausch. Die beiden Bereiche PS und CS sind über einen Zweiweg-Kommunikationsspeicher (dual ported memory) DPM miteinander verbunden.
Die Kommunikationseinheit CS enthält jeweils einen Sendekanal S mit zwei nachgeschalteten Treiberstufen D1, D2 sowie zwei Empfangskanäle R1, R2.
Mit 1 ist ein Datensatz – in wahrer und in inverser Darstellung – bezeichnet, der in der Verarbeitungseinrichtung PS berechnet und im Kommunikationsspeicher DPM zur Übertragung bereitgestellt wird.
Zu jedem Datensatz 1 gehört ein individueller Zählwert 2, der für jeden neu berechneten Datensatz inkrementiert und im Kommunikationsspeicher DPM zusammen mit dem Datensatz 1 abgelegt wird.
Eine Sendeaufforderung 8 der Verarbeitungseinrichtung PS bewirkt, daß die Kommunikationseinheit CS die Datenablage 1 und 2 als Sendedatensatz 5 aus dem Kommunikationsspeicher DPM übernimmt, die Doppelablage (wahr und invers) überprüft, den gesamten Sendedatensatz 5 in ein Sendetelegramm mit einem üblichen Telegrammformat, wie z. B. HDLC transformiert und in einem nicht dargestellten Telegramm-Buffer bereitstellt.
Bevor eine serielle Datenübertragung gestartet wird, wird die Datenintegrität der für die Übertragung transformierten Datendoppelablage im Telegramm-Buffer nochmals durch die Kommunikationseinheit CS geprüft. Sendeaufforderungen 8 werden immer sequentiell abgearbeitet und einzeln der Datenverarbeitungseinrichtung PS mittels einer Quittung 9 quittiert, wenn der Sendekanal S die erfolgreiche Durchführung meldet. Damit wird der komplette Datenpfad innerhalb einer sendenden Zentraleinheit bis hin zur seriellen Umwandlung eigenüberwacht.
Außer den Nutzdaten 5 werden noch Statusinformationen 7 der eigenen Empfangskanäle R1, R2 in festgelegten Intervallen an alle anderen Zentraleinheiten des Systems übertragen.
Eine empfangende Kommunikationseinheit CS transformiert die empfangenen Daten von der Telegrammformatdarstellung wieder in die ursprüngliche Darstellung zurück und speichert den so transformierten Empfangsdatensatz 6 im Kommunikationsspeicher DPM ab. Auch der empfangene Zählwert wird im DPM gespeichert.
Die Statusinformationen 7 der anderen Zentraleinheiten werden ständig von der Kommunikationseinheit CS ausgewertet, um festzustellen, ob die eigene Sendehardware S, D gestört oder defekt ist.
Melden z. B. die Zentraleinheiten PM2 und PM3 gemeinsam, daß der Empfang von der Zentraleinheit PM1 gestört oder ganz ausgefallen ist, wertet die Kommunikationseinheit CS der Zentraleinheit PM1 ihren Sendekanal S. D als defekt, meldet diesen Fehler an ihre zugehörige Datenverarbeitungseinrichtung PS, und degradiert das dreikanalige Schutzsystem, indem sie sich abschaltet. Durch diesen Mechanismus wird es möglich, die in einem Verbund von miteinander kommunizierenden Zentraleinheiten eine gestörte Zentraleinheit zu isolieren und gezielt abzuschalten.
Eine empfangende Datenverarbeitungseinrichtung PS prüft jeden Datensatz 3, den sie aus dem Kommunikationsspeicher DPM liest, auf eine korrekt wahre und inverse Ablage. Zusätzlich wird der Neuwert des Datensatzes 3 anhand seines Zählwertes 4 überwacht, indem der neu empfangene Zählwert 4 mit dem Zählwert aus der vorherigen Übertragung verglichen wird. Bei einem Fehler erfolgt keine Verarbeitung des Datensatzes 3. Weitere Fehlerreaktionen sind anforderungsspezifisch auszugestalten. Beispielsweise kann festgestellt werden, daß ein wiederholtes Auftreten von Fehlern zur Abschaltung der betroffenen Zentraleinheit führt. Dieses Verfahren integriert die Kommunikationseinheit CS empfangs- und sendemäßig mit in den überwachten Datenpfad zwischen zwei Zentraleinheiten PM, so daß von ihr hervorgerufene Datenverfälschungen oder eine fehlende Erneuerung von Daten sicher durch die Verarbeitungseinrichtung PS erkannt wird.
Jede Datenverarbeitungseinrichtung PS benutzt zur fehlersicheren Kommunikation neben den oben aufgeführten logischen Überwachungen noch eine zeitliche Überwachung der Datenübertragung in der Art, daß für jeden zu empfangenden Datensatz 6 individuell eine Zeitüberwachung mit einer Meldung 10 durchgeführt wird. Damit wird die Vollständigkeit einer geplanten Datenübertragung innerhalb der zulässigen Grenzen überwacht. Werden außer den sicherheitsrelevanten Daten noch andere Daten übertragen, so wird der generelle Empfang sicherheitsrelevanter Daten ergänzend auch von der Kommunikationseinheit CS überwacht.

Claims

Verfahren zur fehlersicheren Übertragung von Daten über Punkt-zu-Punkt-Verbindungen (HSL) zwischen Zentraleinheiten (PM1, PM2, PM3) eines sicherheitsgerichteten, speicherprogrammierbaren Schutz- oder Steuerungssystems, wobei • die Zentraleinheiten (PM1, PM2, PM3) jeweils eine Datenverarbeitungseinrichtung (PS), eine Kommunikationseinheit (CS) und einen dazwischengeschalteten Zweiweg-Kommunikationsspeicher (DPM) aufweisen, • die Kommunikationseinheit (CS) jeweils Sende- und Empfangseinrichtungen (S, D1, D2, R1, R2) aufweist, und wobei a) in der jeweiligen Zentraleinheit (PM1, PM2, PM3) jeder neu gebildete Nutzdatensatz (1) mit einem individuellen Zählwert (2) gekennzeichnet wird, und der Nutzdatensatz (1) in wahrer und inverser Darstellung zusammen mit dem Zählwert (2) im Kommunikationsspeicher (DPM) als Sendedatensatz (5) zwischengespeichert wird, b) nach einer erfolgten Sendeaufforderung (8) der zugehörigen Verarbeitungseinrichtung (PS) die Kommunikationseinheit (CS) den Sendedatensatz (5) aus dem Kommunikationsspeicher (DPM) abholt, einer Prüfung unterzieht, in ein Standard-Telegrammformat transformiert und in einem Telegramm-Buffer bereitstellt, c) die Kommunikationseinheit (CS) nach nochmaliger Prüfung der Datenintegrität eine serielle Übertragung des bereitgestellten Diagramms einschließlich einer Quittierung (9) durchführt, d) die empfangsseitige Kommunikationseinheit (CS) eine Rücktransformation der Daten (Nutzdaten und Zählwert) und eine Zwischenspeicherung im Kommunikationsspeicher (DPM) durchführt, und e) die empfangsseitige Verarbeitungseinrichtung (PS) vor einer Verarbeitung eines empfangenen Datensatzes (3) den korrekten Empfang der wahren und inversen Daten prüft, sowie – durch Vergleich des neuen Zählwerts (4) mit dem vorherigen Zählwert – prüft, ob der Zählwert (4) korrekt ist.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass außerdem eine Statusüberwachung der Zentraleinheiten (PM1, PM2, PM3) erfolgt, wobei a) eine empfangende Zentraleinheit (z. B. PM1) den Empfangskanälen (R1, R2) ihrer Kommunikationseinheit (CS) einen Status ”gestört” zuordnet, wenn Daten nicht korrekt empfangen wurden, und in festgelegten Intervallen eine Statusinformation (7) den anderen Zentraleinheiten (z. B. PM2, PM3) meldet, b) eine Zentraleinheit (z. B. PM1) ihren Sendeeinrichtungen (S, D) einen Status ”gestört” zuordnet, wenn zwei empfangende Zentraleinheiten (z. B. PM2, PM3) die von ihr empfangenen Daten als gestört melden, und c) eine Zentraleinheit (z. B. PM1) mit gestörten Sendeeinrichtungen (S, D) sich abschaltet, wodurch das Steuerungssystem degradiert wird.
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass außer den genannten logischen Überwachungen auch eine zeitliche Überwachung der jeweiligen Datenübertragung durchgeführt wird.
Einrichtung zur fehlersicheren Kommunikation zwischen Zentraleinheiten eines Schutz- oder Steuerungssystems, wobei die Einrichtung zur Durchführung des Verfahrens nach einem der vorstehenden Ansprüche 1 bis 3 ausgebildet ist und wobei a) als Schutz- oder Steuerungssystem ein mit drei Zentraleinheiten (PM1, PM2, PM3) dreikanalig ausgeführtes System vorhanden ist, wobei die Zentraleinheiten (PM1, PM2, PM3) jeweils über zwei serielle Schnittstellen und Punkt-zu-Punkt-Verbindungsleitungen (HSL) miteinander verbunden sind, b) die seriellen Schnittstellen jeweils als Kommunikationseinheit (CS) mit einem Sendekanal (S) mit zwei nachgeschalteten Treiberstufen (D1, D2) und mit zwei Empfangskanälen (R1, R2) ausgeführt sind, c) die Zentraleinheiten (PM1, PM2, PM3) jeweils eine Verarbeitungseinrichtung (PS) aufweisen, die mit einem Echtzeit-Multitasking-Betriebssystem ausgestattet und durch sicherheitsgerichtete Programm-Module ergänzt sind, und d) in den Zentraleinheiten (PM1, PM2, PM3) jeweils ein Kommunikationsspeicher (DPM) angeordnet ist, auf den die Verarbeitungseinrichtung (PS) und die Kommunikationseinheit (CS) zugreifen.