DE3633953C2 - - Google Patents

Description

Die vorliegende Erfindung betrifft ein Verfahren zum Betrieb eines programmgesteuerten Automatisierungsgeräts.

Nach der DE-Zeitschrift "Siemens Energie & Automation" 8 (1986) Heft 1, Seiten 2 bis 4, ist ein Automatisierungssystem bekannt, welches in einer Master- und in einer Reserveeinheit zwei unab­ hängige Prozessoren enthält, welche ein und dasselbe Anwender­ programm unter einem Betriebssystem synchron abarbeiten. Die Synchronisation erfolgt dabei taktsynchron in einem starren, sehr engen Zeitraster, wobei ein Hardware-Vergleicher zur Feh­ lererkennung eingesetzt ist. Durch zusätzliche Prüf-Software ist es möglich, mit sogenannten Selbsttestverfahren Fehler im System aufzudecken. Master- und Reserveeinheit können, abhängig vom jeweiligen Systemzustand, über eine Umschaltrichtung an die Eingabe- und Ausgabeebene angekoppelt werden. Die Reserveein­ heit arbeitet simultan mit, ohne auf den Prozeß zu wirken und kann so jederzeit stoßfrei die Aufgabe des Masters bei dessem fehlerhaften Arbeiten übernehmen.

Nach der DE-Zeitschrift "Siemens- Energietechnik" 5 (1983), Heft 2, Seiten 73 bis 76, ist ebenfalls ein aus zwei takt- und befehlssynchron arbeitenden Zentraleinheiten bestehendes Auto­ matisierungssystem bekannt, wobei die eine Einheit als Master- und die andere Einheit als Reservesystem arbeitet und zur Funk­ tionsüberwachung dieser Baugruppen eine zyklische Master-Um­ schaltung vorgesehen ist. Für die Inbetriebnahmephase oder nach Reparatur eines defekten Teilsystems wird auch eine automati­ sche Synchronisierung der beiden Teilsysteme vorgesehen.

Aufgabe der Erfindung ist es, ein Verfahren zum Betrieb eines programmgesteuerten Automatisierungsgerätes anzugeben, mit dem in wenig aufwendiger Weise, von der Anwenderseite her gesehen, ein flexibeler Betrieb mit großer Verfügbarkeit des Systems er­ möglicht wird.

Diese Aufgabe wird erfindungsgemäß durch die im Kennzeichen des Hauptanspruchs 1 angegebenen Merkmale gelöst.

Weitere Ausgestaltungen der Erfindung, welche nachfolgend an­ hand der Figuren näher erläutert werden, sind Gegenstände der Unteransprüche.

Fig. 1 zeigt ein zweikanalig redundant aufgebautes sicherheits­ gerichtetes Automatisierungsgerät AG, mit seinen Teilsystemen A und B, welches einen technischen Prozeß P, beispielsweise eine Ölbrenneranlage mit Ausgangssignalen A_a und A_b steuert. Geber G liefern Eingangssignale E_a und E_b für das Automa­ tisierungsgerät AG. Die Teilsysteme A und B arbeiten stets mit identischen Programmen und synchronisieren sich über eine Rechnerkopplung, welche mit K angedeutet ist.

Redundante Automatisierungsgeräte erfordern eine Synchronisa­ tion der Teilgeräte. Bisher bekannte Geräte synchronisieren sich nach einem starren Zeitraster, z. B. taktsynchron, befehls­ synchron oder per Software, in größeren Zeitabständen. Bei der Erfindung hingegen wird ein flexibler Mittelweg gewählt, derart, daß das Synchronisationsraster an jeden Anwendungsfall anpaßbar ist, indem vom Betriebssystem ein minimales Synchroni­ sationsraster vorgegeben wird (Fig. 2), das der Anwender durch Aufruf von Betriebssystemfunktionen beliebig verfeinern kann. Dadurch kann beispielsweise die maximale Alarmreaktionszeit begrenzt werden. Der Vorteil dieses Verfahrens liegt darin, daß einerseits unnötige Synchronisationen, die eine zeitliche Be­ lastung des Prozessors bedeuten können, vermieden werden und andererseits keine Spezialkomponenten (Vergleicher) benötigt werden.

Oft wird für zweikanalige, sicherheitsgerichtete Automatisie­ rungsgeräte ein Selbsttest des Geräts im laufenden Betrieb ge­ fordert, um durch Offenbarung von Fehlfunktionen Schaden für Personen und Umwelt zu verhindern. Die Laufzeit der Selbsttest­ routinen liegt im Minutenbereich. Die Testzykluszeit, d. h. die Zeit, innerhalb der ein Selbsttest vollständig durchlaufen sein muß, ist abhängig vom Anwendungsfall, z. B. Bergseilbahnen, Brennersteuerungen. In herkömmlicher Weise wird hierzu das gesamte Selbsttestprogramm in Scheiben unterteilt und diese in einer starren Folge bearbeitet. Dies führt zu einem unnötig häufigen Selbsttest, da die Größe der Testscheibe nach der un­ günstigsten Prozessorbelastung ausgelegt werden muß.

Mit der Erfindung wird dagegen die Testscheibenmenge selbst­ tätig optimiert. In Abhängigkeit von der momentanen Prozessor­ belastung bestimmt der Selbsttestmanager eines Betriebssystems BS - siehe Fig. 2 - die Anzahl der zu aktivierenden Testscheiben. Der Vorteil dieses Verfahrens besteht in der Minimierung der Prozessorbelastung durch Selbsttest und damit Erhöhung der Nutzleistung des Geräts.

Ziel einer Prozeßsignalredundierung ist es, Peripheriefehler mittels Signalvergleich zu erkennen. Einbau- oder Bauteiltole­ ranzen führen in der Regel dazu, daß redundante Eingangssignale sich nicht zeitgleich verändern (Beispiel: Zwei getrennte End­ schalter). Die Berücksichtigung derartiger Signallaufzeitunter­ schiede oblag bisher dem Anwender. Das Sicherheitsrisiko, be­ dingt durch Programmierfehler, wird dadurch erhöht.

Mit dem erfindungsgemäßen Verfahren erfolgt dagegen die Unter­ scheidung zwischen zulässigen zeitlichen Signaldiskrepanzen und echten Peripheriefehlern durch das Betriebssystem. Statt Pro­ grammierung wird die maximal zulässige Diskrepanzzeit jedes Eingangssignals dem Betriebssystem per Projektierung mitgeteilt (Parametrierung) und auf Plausibilität geprüft. Die Wahrschein­ lichkeit eines Anwenderfehlers wird dadurch deutlich erniedrigt und der Programmieraufwand vermindert.

Aus sicherheitstechnischen Gründen sind die Eingriffmöglich­ keiten in laufende Geräte stark eingeschränkt. So ist das Än­ dern von Daten und Befehlen beim Sicherheitsbetrieb unzulässig. Derartige Hilfsmittel sind aber zur Inbetriebsetzung und zu Testzwecken unerläßlich.

Die Erfindung sieht vor, das Betriebssystem zur selbsttätigen Unterscheidung zwischen Test- und Sicherheitsbetrieb zu ertüch­ tigen. Der Vorteil ist eine kürzere Inbetriebsetzungsdauer.

Es wird hierzu der Typ des im Gerät gesteckten Anwenderprogramm­ speichers ausgenutzt: Sicherheitsbetrieb liegt immer dann vor, wenn das Anwenderprogramm in einem nicht flüchtigen Speicher (EPROM) geladen ist. Das Betriebssystem wird nun erfindungsge­ mäß dazu eingerichtet, daß es den Speichertyp der Quelle des Anwenderprogramms erkennt und somit das den Sicherheitsbetrieb steuernde Anwenderprogramm von den für Testzwecke bestimmten Programmen, welche in flüchtige Speicher (RAM) geladen werden, unterscheiden kann.

Claims (4)

1. Verfahren zum Betrieb eines programmgesteuerten, redundant mit zwei Teilsystemen mit jeweils identischen synchronen Pro­ grammabläufen aufgebauten Automatisierungsgeräts mit durchführbarem Selbsttest für einen tech­ nischen Prozeß, insbesondere für eine Brenneranlage, wobei die identischen Programmabläufe der beiden Teilsysteme derart mit­ einander synchronisiert werden, daß das Betriebssystem nur zu Be­ ginn weniger, bestimmter Programmabschnitte eine gegenseitige Synchronisation der beiden Programmabläufe vornimmt und daß zusätzlich vom Anwenderprogramm an beliebigen Programmpunkten eine weitere Synchronisation durchführbar ist.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß der Selbst­ test in Abhängigkeit von der momentanen Prozessorbelastung vom Betriebssystem in den Programmablauf eingefügt werden kann.

3. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß bei nicht vorhandener Synchronisierung infolge von Ungleichheit redundan­ ter Eingangssignale vom Betriebssystem eine Unterscheidung zwi­ schen laufzeitbedingten Signaldiskrepanzen und echten Fehlern durchgeführt wird, wobei die Diskrepanzzeiten vom Anwenderpro­ gramm parametrierbar sind.

4. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß das Anwen­ derprogramm für den Normalbetrieb in einen nicht flüchtigen Speicher und das Testprogramm in einen flüchtigen Speicher geladen werden und das Betriebssystem zur Unterscheidung dieser Speichermedien eingerichtet ist.