DE202008015021U1

DE202008015021U1 - Parametrierbarer Drehzahlwächter für Safety-at-Work

Info

Publication number: DE202008015021U1
Application number: DE200820015021
Authority: DE
Original assignee: Bihl & Wiedemann GmbH; BIHL+WIEDEMANN GmbH
Current assignee: Bihl & Wiedemann GmbH; BIHL+WIEDEMANN GmbH
Priority date: 2008-11-12
Filing date: 2008-11-12
Publication date: 2009-07-30
Anticipated expiration: 2018-11-13

Abstract

Sicherer Drehzahlwächter (1) für Safety-at-Work
– bestehend aus einem Eingang (3) zum Anschluss eines sicheren Drehgebers und eines Resolvers, einer Eingangsstufe (2), einer parametrierbaren,
sicherheitsgerichteten Auswerteeinheit (4), einer Codierstufe (6) nach den Regeln von Safety-at-Work, einem als sicherer Slave konfiguriertem AS-Interface Slave-IC (7), mindestens einem weiteren AS-Interface Slave (9) und einem Parametrierungsprogramm –
wobei der Drehzahlwächter eine analoge oder digitale Größe aufnimmt, diese in einem Parameter-gesteuerten Wertefenster auf einen Sollwert überwacht und das Ergebnis als sicherheitsgerichteten 1-bit-Wert an seinen Safety-at-Work Kreis weitergibt,
dadurch gekennzeichnet,
– dass die Parameterwerte, die seine Funktion im Detail beschreiben, von der übergeordneten Steuerung aus nach einem ersten Schema über das AS-Interface Netz (8) an den zusätzlichen Standard-Slave (9) übertragen werden, und
– dass diese Parameterwerte im Wächters zunächst sicherheitsgerichtet gespeichert werden, ohne dass sie wirksam werden, und
– dass diese Parameterwerte über die AS-Interface Leitung und den...

Description

Stand der Technik
AS-Interface ist ein eingeführtes und genormtes Bussystem für Anwendungen mit einfachen Sensoren und Aktuatoren, hier Standard-Sensoren bzw. Standard-Aktuatoren genannt. Für Prozesse mit besonders hohen Sicherheitsanforderungen gemäß den internationalen Normen für sicherheitsgerichtete Geräte existiert eine Sicherheitsvariante unter dem Namen „Safety at Work”, in der der Datenverkehr im AS-Interface Netz mit sicherheitsgerichteten Slaves durch Codefolgen so abgesichert wird, dass die Daten zwischen dem Master einerseits und Sensoren oder Aktuatoren andererseits sicherheitsgerichtet im Sinne der Normen übertragen werden. Dazu enthält das Netz einen „Sicherheitsmonitor”, der den Datenverkehr mit den zugeordneten Slaves überwacht und die Applikation über seine lokalen Ausgänge oder über sicherheitsgerichtete Aktuatoren im Netz stets in einem sicheren Zustand hält. Ein AS-Interface Netz, das wenigstens einen Sicherheitsmonitor mit dieser Funktion enthält, wird dann als „Safety-at-Work Netz” oder „SaW-Netz” bezeichnet. Ein solches Netz kann aus Standard- und sicherheitsgerichteten Slaves aufgebaut sein.
Safety-at-Work wurde für Fälle entwickelt, in denen eine sichere Datenübertragung nur auf der Feldebene und innerhalb eines Safety-at-Work Netzes notwendig ist. Der Master des Netzes kann dann ein Standard AS-Interface Master, die ihm zugeordnete Steuerung eine Standard-SPS oder ein Standard-PC sein, die jeweils nicht sicherheitsgerichtet zu sein brauchen. Daraus folgt aber auch, dass Daten, die vom Master oder der übergeordneten Steuerung an einen (sicheren) Slave gesendet werden, nur unter besonderen Bedingungen als sicherheitsgerichtet betrachtet werden dürfen.
Aufgrund der einfachen Struktur des Systems können Standard-Slaves nur 3 oder 4 bit pro Zyklus übertragen. Durch Kaskadierung in sogenannten „combined transactions” sind aber auch längere Daten zu übertragen. Sichere Slaves können dagegen immer nur 1 bit übertragen, nämlich „erkenne sicheren/nichtsicheren Zustand” bei sicherheitsgerichteten Eingangsslaves, „schalte frei/nichtfrei” bei sicherheitsgerichteten Aktuatoren.
Für Antriebe wird häufig eine sichere Überwachung der Drehzahl gefordert. Das kann mit Safety-at-Work erfolgen, wenn ein sicherer Drehgeber an einen sicherheitsgerichteten Drehzahlwächter angeschlossen wird, der als Safety-at-Work Slave konzipiert ist und die geforderte Funktion als Slave an die Steuerung meldet, z. B. „Drehzahl liegt (oder liegt nicht) im gewünschten Bereich” oder „Aktuelle Drehrichtung ist links (oder rechts)” oder „Welle steht (oder dreht sich)”. Welche dieser Informationen übertragen wird und wie das Fenster für den „gewünschten Bereich” gelegt wird, kann durch Parametrierung des Slaves bestimmt werden. Nach dem Stand der Technik geschieht diese Parametrierung durch mechanische Dipschalter. Das ist in der Praxis hinderlich und erlaubt nur eine Einstellung von Werten in vorher durch die Konstruktion festgelegten Stufen und Toleranzen. Der elegantere Weg einer stufenlosen Parametrierung über das AS-Interface Netz konnte für sicherheitsgerichtete Slaves bisher nicht realisiert werden, da für solche Slaves auch eine sicherheitsgerichtete Übertragung der Parametern zu fordern ist, die die Steuerung nach dem Stand der Technik nicht leistet.
Für Applikationen, die eine sichere Parametrierung benötigen, ist dies aber ein Mangel, da diese Lösung schwerfällig ist und nur Parametrierungen in einem groben und konstruktiv vorgegebenen Rahmen zulässt.
Erfindung
Der Erfindung liegt daher die Aufgabe zugrunde, einen einfachen und in seinen Möglichkeiten differenzierteren, sicherheitsgerichteten Drehzahlwächter anzugeben, bei dem eine Parametrierung von der Steuerung oder von einem PC aus über das AS-Interface Netz sicherheitsgerichtet erfolgen kann.
Die Aufgabe wird dadurch gelöst, dass der erfindungsgemäße sicherheitsgerichtete Drehzahlwächter eine Vorrichtung enthält, die die eingegebene Parameter zunächst nur speichert ohne sie wirksam werden zu lassen. Erfindungsgemäß stellt sie der Wächter dann in anderer Form zum Rücklesen durch die Steuerung bereit. Der Wächter wartet dann darauf, dass die zurückgelesenen Daten vom Projektierer der Anlage bestätigt werden. Erst dann, wenn diese Bestätigung in vorgegebener Form und mit Passwort und Namen vom Wächter empfangen und abgespeichert worden ist, werden die neuen Parameterwerte im Gerät wirksam. Sämtliche Teile des Wächters sind sicherheitsgerichtet aufgebaut, beispielsweise mit redundanten CPUs.
Im Einzelnen: Die 1 zeigt schematisch den logischen Aufbau des erfindungsgemäßen sicherheitsgerichteten Drehzahlwächters (1). Er besteht zunächst aus einer Eingangsstufe (2), die die Daten eines sicheren Drehgebers (3) oder Encoders aufnimmt und gegebenenfalls anpasst. Damit stehen dem Wächter, die Drehzahl und/oder Drehrichtung der überwachten Anlage sowie eventuelle Fehlermeldungen zur Verfügung. Diese Daten werden in einer Auswerteeinheit (4) entsprechend den jeweils gültigen, in dieser Stufe gespeicherten Paramtern des Wächters daraufhin überprüft, ob die gemessene Drehzahl/Drehrichtung dem Soll-Wertefenster der Applikation entspricht. Die Sicherheit wird in dieser Stufe beispielsweise durch 2 redundante CPUs (5) gewährleistet. Liegt die Drehzahl im vorgegebenen Wertefenster und tritt kein Fehler auf, so wird durch eine Codiereinheit (6) in bekannter Weise die individuelle SaW-Codefolge erzeugt, anderenfalls die Nullfolge. Über den zugehörigen AS-Interface Slave (7), der als sicherer Eingangsslave (aus Sicht des Systems) konfiguriert ist, wird diese Codefolge für eine Freigabe der Applikation über das SaW-Netz (8) an die Steuerung gesendet.
Zur Änderung der Parametrierung befindet sich im erfindungsgemäßen Wächter ein weiterer AS-Interface Slave (9), der als Standardslave für eine „Combined Transaction” entsprechend der AS-Interface Spezifikation konfiguriert ist. Er erhält für eine neue Parametrierung die veränderten Soll-Daten nach einem von der Software der Steuerung vorgegebenen Schema, beispielsweise aus einer grafischen Oberfläche heraus. Diese Soll-Daten werden zunächst auf ihre Korrektheit mittels CRC-Check oder einem vergleichbaren Verfahren geprüft und dann sicherheitsgerichtet, z. B. in zwei redundanten CPUs (10), gespeichert, ohne dass sie für die Funktion des Wächters wirksam werden. Die CPUs sind so programmiert, dass von der Steuerung aus die gespeicherten neuen Daten nach einem von dem ersten verschiedenen Schema derart rückgelesen werden können, dass sie in der Steuerung ohne weitere Konvertierung als Klartext zur Verfügung stehen und ausgegeben werden können. Dabei unterscheiden sich zur Gewährleistung der sicherheitsgerichteten Funktion die Schemata, nach denen die Daten ein- bzw. rückgelesen werden. Die rückgelesenen Daten werden vom Projektierer auf Übereinstimmung mit den ursprünglich gesendeten Soll-Daten verglichen und dann freigegeben. Die Freigabeinformation wird – versehen mit Name des Verantwortlichen, der gesteuerter Anlage, Datum und Passwort – wieder über den Standard-Slave (9) an den Wächter überspielt. Die beiden CPUs überprüfen die Freigabe und stellen die neuen Soll-Daten erst jetzt der Auswerteeinheit (4) als gültige und für ihre Funktion relevante Parameterwerte in (5) zur Verfügung (11). Damit ist die sicherheitsgerichtete Neuparametrierung des Wächters über das SaW-Netz gewährleistet (Anspruch 1).
Die 1 zeigt nur den hier beschriebenen logischen Aufbau. In einer bevorzugten Realisierung können jedoch die Funktionen der beiden CPUs (10) von den beiden CPUs (5) mitübernommen werden, sodass die beiden CPUs (10) entfallen können.
Der erfindungsgemäße Drehzahlwächter lässt sich in unterschiedlicher Weise realisieren: Er kann als Mehrfachwächter für die Überwachung von zwei oder mehr Achsen ausgeführt werden. Dabei kann das Ergebnis der Überwachung mehrerer Achsen einzeln oder in Form einer UND-Verknüpfung an die Steuerung gemeldet werden. Im ersten Fall muss für jede Achse ein als sicherer Slaves konfigurierte AS-Interface Slaves (7) aktiviert werden, im zweiten Fall genügt ein solcher Slave. Für die Parametrierung mehrerer Achsen ist dagegen nur ein Standard-Slave nötig (Ansprüche 2 und 3).
Weiter kann eine Projektierung dergestalt vorgesehen werden, dass die momentan von der Eingangsstufe ((2) gemessene Drehzahl von den beiden CPUs (10) als Soll-Drehzahl übernommen wird. Dies kann durch einen Softwarebefehl der Steuerung über den Slave (9) initiiert werden oder beispielweise durch Betätigen eines Schalters (12). In beiden Fällen muss der Projektierer der Anlage die Übernahme der momentanen Drehzahl als Parameter in der beschriebenen Weise bestätigen (Anspruch 4).
Für die beiden genannten Schemata kommen in einer bevorzugten Ausführungsform die Übertragung neuer Parameter zum Wächter aus einer grafischen Oberfläche heraus und eine besonders übersichtliche Klartextausgabe beim Rücklesen der im Slave gespeicherten Daten in Frage, bei der Abweichungen durch Übertragungsfehler sofort augenfällig sind (Ansprüche 5 und 6).
Als zusätzliche Sicherungsmaßnahme kann das Parametrierungsprogramm so ausgebildet werden, dass es zusätzlich eingelesene und zurückgegebene Werte vergleicht und im Falle der Nichtübereinstimmung automatisch die Freigabe blockiert. Das ist zwar kein Ersatz für die Überprüfung durch den Projektierer, bietet aber zusätzliche Sicherheit gegen Irrtümer (Anspruch 7).
Der Drehzahlwächter kann schließlich auch als Bestandteil eines Drehgebers realisiert werden (Anspruch 8).
Vorteile und wirtschaftlicher Wert der Erfindung
Der erfindungsgemäße SaW-Slave kann immer dann eingesetzt werden, wenn ein sicherheitsgerichteter Drehzahlwächter auch sicherheitsgerichtet parametriert werden soll. Er ist nicht nur sicher, sondern auch einfach, da das vorhandene AS-Interface Netz zur Übertragung der Parameter genutzt wird. Diese Übertragung erlaubt zugleich eine viel differenziertere Vorgabe von Parametern als jede mechanische Einstellung, z. B. über Dipschalter, und ist damit anwenderfreundlicher.
ZITATE ENTHALTEN IN DER BESCHREIBUNG
Diese Liste der vom Anmelder aufgeführten Dokumente wurde automatisiert erzeugt und ist ausschließlich zur besseren Information des Lesers aufgenommen. Die Liste ist nicht Bestandteil der deutschen Patent- bzw. Gebrauchsmusteranmeldung. Das DPMA übernimmt keinerlei Haftung für etwaige Fehler oder Auslassungen.
Zitierte Nicht-Patentliteratur

- IEC 62026-2: Part 2: Actuator Sensor Interface (AS-i), Part 2: Actuator Sensor Interface (AS-i); 2000 [0001]
- Kriesel, W. R., Madelung, O. W. (Hrsg.): AS-Interface Das Aktuator-Sensor-Interface für die Automation; 213 S., 2. deutsche Auflage, Carl Hanser Verlag 1999, ISBN 3-446-21064-4 [0001]
- AS-International Association: Complete Specification Version 3.0 Rev. 1 (2006) [0001]
- EN 954-1: Sicherheit von Maschinen – Sicherheitsbezogene Teile von Steuerungen, Teil 1: Allgemeine Gestaltungsleitsätze; 1997 [0001]
- AS-International Association (Hrsg.): AS-Interface Safety-at-Work, (2004) [0001]

Claims

Sicherer Drehzahlwächter (1) für Safety-at-Work – bestehend aus einem Eingang (3) zum Anschluss eines sicheren Drehgebers und eines Resolvers, einer Eingangsstufe (2), einer parametrierbaren, sicherheitsgerichteten Auswerteeinheit (4), einer Codierstufe (6) nach den Regeln von Safety-at-Work, einem als sicherer Slave konfiguriertem AS-Interface Slave-IC (7), mindestens einem weiteren AS-Interface Slave (9) und einem Parametrierungsprogramm – wobei der Drehzahlwächter eine analoge oder digitale Größe aufnimmt, diese in einem Parameter-gesteuerten Wertefenster auf einen Sollwert überwacht und das Ergebnis als sicherheitsgerichteten 1-bit-Wert an seinen Safety-at-Work Kreis weitergibt, dadurch gekennzeichnet, – dass die Parameterwerte, die seine Funktion im Detail beschreiben, von der übergeordneten Steuerung aus nach einem ersten Schema über das AS-Interface Netz (8) an den zusätzlichen Standard-Slave (9) übertragen werden, und – dass diese Parameterwerte im Wächters zunächst sicherheitsgerichtet gespeichert werden, ohne dass sie wirksam werden, und – dass diese Parameterwerte über die AS-Interface Leitung und den zusätzlichen Standard-Slave nach einem zweiten, vom ersten unabhängigen Schema wieder ausgelesen werden können und – dass diese ausgelesenen Werte ohne weitere Konvertierung zu einer Überprüfung durch den Projektierer diesem vom Parametrierungsprogramm in der Steuerung zur Verfügung gestellt werden, und – dass die neu eingelesenen Parameterwerte erst dann in der Auswerteeinheit (4) wirksam werden, wenn sie in der beschriebenen Weise ausgelesen wurden und wenn der Projektierer die Übereinstimmung der nach unterschiedlichen Schemata gesendeten bzw. empfangenen Daten bestätigt und die Applikation durch einen besonderen, genau vorgegebenen Datenstring, der im Slave gespeichert wird, freigibt, und – dass die Parameterwerte vor Veränderungen, sowie die Freigabe der Werte vor möglichen Fehlern, durch Passwort geschützt werden und dass jede Übertragung zusätzlich durch Prüfsummen abgesichert wird und – dass die korrekte Folge dieser Schritte durch den Wächter und durch das Parametrierungsprogramm überwacht wird.
Drehzahlwächter nach den Anspruch 1 dadurch gekennzeichnet, dass er mehrere analoge oder digitale Größen an seinen Eingängen überwacht, dass die Funktion dieser Überwachungsvorgänge einzeln parametrierbar ist und dass das Ergebnis durch den sicherheitsgerichteten Slave an das Safety-at-Work Netz weitergegeben wird.
Drehzahlwächter nach den Anspruch 2 dadurch gekennzeichnet, dass das Ergebnis der Überwachungsvorgänge einzeln oder gruppenweise über je einen Safety-at-Work Slave an die Steuerung weitergegeben wird.
Drehzahlwächter nach einem der vorangehenden Ansprüche dadurch gekennzeichnet, dass er zusätzlich eine Einrichtung besitzt, mit der veranlasst werden kann, dass die momentan von der Eingangsstufe gemessene Drehzahl als zukünftiger Sollwert vorgesehen und nach Freigabe durch den Projektierer als neuer Parameterwert übernommen wird, wobei diese Einrichtung softwaremäßig durch einen Befehl der Steuerung oder hardwaremäßig beispielsweise durch Betätigen eines Schalters am Wächter getriggert werden kann.
Drehzahlwächter nach einem der vorangehenden Ansprüche dadurch gekennzeichnet, dass das erste Schema zur Datenübertragung die Eingaben in eine grafische Oberfläche der Steuerung nutzt.
Drehzahlwächter nach einem der vorangehenden Ansprüche dadurch gekennzeichnet, dass das zweite Schema zur Datenübertragung ein Klartextverfahren mit vordefiniertem Layout ist, das in der Steuerung nicht mehr konvertiert zu werden braucht.
Drehzahlwächter nach einem der vorangehenden Ansprüche dadurch gekennzeichnet, dass das Parametrierungsprogramm in der Steuerung die Übereinstimmung von gesendeten und empfangenen Parameterwerte zusätzlich überprüft und bei Nicht-Übereinstimmung die Freigabe blockiert.
Drehzahlwächter nach einem der vorangehenden Ansprüche dadurch gekennzeichnet, dass er in den Drehgeber oder Resolver, der die Eingangswerte ermittelt, integriert ist.