DE4032033A1 - Steuerungs- und ueberwachungsverfahren und elektrisches automatisierungssystem fuer eine technische anlage, insbesondere eine schachtanlage - Google Patents

Description

Die Erfindung betrifft ein Steuerungs- und Überwachungsver­ fahren und ein elektrisches Automatisierungssystem für eine technische Anlage, insbesondere eine Schachtanlage, bei dem Signale auf mindestens zwei voneinander unabhängigen Signal­ wegen des Automatisierungssystems übertragen und in einer Teileinheit ausgewertet werden, so daß die Schachtanlage in Abhängigkeit vom Auswertungsergebnis der Teileinheit gefahren wird.

Ein derartiges Automatisierungssystem ist aus der DE.-Z. "Ener­ gie und Automation", Bd.11 (1989), Heft 3, Seiten 8 bis 10, be­ kannt. Die dort beschriebene Anordnung arbeitet bereits sehr sicher, aber beim Ausfall eines Automatisierungsgeräts können trotz der Redundanz des Bussystems von dem ausgefallenen Auto­ matisierungsgerät keine Nachrichten mehr gesendet bzw. empfangen werden. Insbesondere beim Ausfall des Hauptgerätes oder bei Auslösefehlern ist die Kontrolle über die Anlage nicht mehr sicher gewährleistet.

Die Aufgabe der Erfindung besteht darin, ein Automatisierungs­ system zu schaffen, das trotz Ausfall von Teileinheiten unzu­ lässige Betriebszustände aller Art mit höchster Sicherheit er­ kennt und beseitigt.

Die Aufgabe wird dadurch gelöst, daß sicherheitsrelevante Sig­ nale mindestens doppelt ausgelöst und auf mindestens zwei voneinander unabhängigen Signalwegen zu zumindest teilwei­ se redundanten Teilsystemen des Automatisierungssystems über­ tragen und von den Teilsystemen ausgewertet werden, so daß die Anlage in Abhängigkeit von den Auswertungsergebnissen der Teil­ systeme sicher gefahren werden kann.

Mit Vorteil werden dabei die sicherheitsrelevanten Signale ständig auf Gleichheit überprüft. Dadurch ist es möglich, völlige und/oder teilweise Ausfälle der Teilsysteme recht­ zeitig zu erkennen.

Vorteilhaft überwachen sich die Teilsysteme ständig gegen­ seitig, so daß auch anderweitige Fehler der Teilsysteme er­ kannt werden können. Die Überwachung kann z. B. dadurch ge­ schehen, daß die einzelnen Komponenten der Teilsysteme, z. B. die Speichereinheiten oder die Prozessoren, zyklisch über­ prüft werden.

Bei Ausfall eines der Teilsysteme ist es von Vorteil, wenn zu­ mindest ein eingeschränkter Betrieb durch einen, insbesondere handbetätigten, Sonderbefehl zugelassen wird.

Im Sinne der Anlagenökonomie ist es weiterhin von Vorteil, wenn nur eines der Teilsysteme die üblichen, nicht sicherheitsrele­ vante Signale verarbeitet. Hierdurch können die anderen Teil­ systeme, die nur sicherheitsrelevante Daten verarbeiten, klein dimensioniert sein. Dadurch wird das Automatisierungssystem als ganzes kostengünstiger. Weiterhin ist dadurch, auch bei voller Auslastung des Automatisierungssystems, eine Alarmreaktionszeit von unter 500 ms, im Regelfall sogar von etwa 200 ms erreichbar. Mit zwei identischen Teilsystemen, die jeweils die volle Anla­ gensteuerung überwachen, ist eine derart kurze Alarmreaktions­ zeit, auch bei vorrangiger Bearbeitung, z. B. durch einen Interrupt, nicht gewährleistet.

Nach einem längeren Stillstand der Anlage ist es von Vorteil, das Anfahren der Anlage um ein Selbsttestintervall des Auto­ matisierungssystems zu verzögern, so daß sich die Teilsysteme vorher gegenseitig überprüfen können.

Zur Vereinfachung und Erhöhung der Sicherheit ist es von Vor­ teil, wenn die sicherheitsrelevanten Signale zuerst an zumindest teilweise redundante, den einzelnen Teilsystemen zugeordnete Unterautomatisierungseinrichtungen oder elektronische Klemm­ leisten gegeben werden, in diesen vorverarbeitet werden, und dann über ein redundantes Bussystem an übergeordnete, zumindest teilweise redundante Hauptautomatisierungseinrichtungen über­ tragen werden. Die Leitungen des Automatisierungssystems können dabei, z. B. durch aufgeprägte Signale, zyklisch auf Leitungs­ bruch, Erdschluß etc. überprüft werden.

Das zur Durchführung des Verfahrens günstige Automatisierungs­ system besteht aus mindestens zwei zumindest teilweise redun­ danten Teilsystemen, die zur gegenseitigen Überwachung über eine Datenleitung miteinander verbunden sind, mit mindestens zwei voneinander unabhängigen Signalwegen zur Übertragung von sicherheitsrelevanten Signalen und mit Signalgebern für sicher­ heitsrelevante Signale, die mindestens zwei voneinander unab­ hängige Signalauslöser aufweisen.

Aus Kostengründen ist es von Vorteil, wenn ein Teilsystem als Hauptsystem zur Verarbeitung aller Signale und die anderen Teilsysteme als Nebensysteme zur Verarbeitung nur der sicher­ heitsrelevanten Signale ausgebildet sind. Um standardisierte Komponenten verwenden zu können und die Zahl der zu verlegenden Leitungen in Grenzen zu halten, ist es weiterhin von Vorteil, wenn die Teilsysteme aus Hauptautomatisierungseinrichtungen und Unterautomatisierungseinrichtungen oder elektronischen Klemm­ leisten bestehen, die über je einen Bus miteinander verbunden sind.

Weitere Vorteile und Einzelheiten ergeben sich aus der nach­ folgenden Beschreibung eines Ausführungsbeispiels, anhand der Zeichnungen und in Verbindung mit den weiteren Unteransprüchen. Es zeigen:

Fig. 1 ein Blockschaltbild eines Automatisierungssystems und

Fig. 2 die Verbindung eines Nothaltschalters mit dem Automati­ sierungssystem.

Gemäß Fig. 1 besteht das Automatisierungssystem aus zwei Haupt­ automatisierungseinrichtungen 1, 1′, die über eine Datenleitung 2 miteinander verbunden sind. Die beiden Hauptautomatisierungs­ einrichtungen 1, 1′ weisen zur Kommunikation spezielle Kommuni­ kationsprozessoren 3, 3′ auf. Über die Prozessoren 3, 3′ können sich die Automatisierungseinrichtungen 1, 1′ und damit die Teil­ systeme gegenseitig überwachen. Dadurch ist es u. a. möglich, die einlaufenden sicherheitsrelevanten Signale ständig auf Gleich­ heit zu überprüfen.

Von jeder der Hauptautomatisierungseinrichtungen 1, 1′ zweigt ein Bus 4, 4′ ab, an den jeweils weitere Automatisierungsein­ richtungen oder elektronische Klemmleisten 5 bis 8, 5′ bis 8′ angeschlossen sind. An jedem Verteilerknoten des Automatisie­ rungssystems sind dabei je eine Automatisierungseinrichtung bzw. eine Klemmleiste an je einen der Busse 4, 4′ angeschlossen. Die Unterautomatisierungseinrichtungen oder elektronischen Klemm­ leisten 5 bis 8, 5′ bis 8′ sind teilweise über Tage und teil­ weise unter Tage, z. B. auf den verschiedenen Sohlen eines Berg­ werks, angeordnet. Die Unterautomatisierungseinrichtungen oder elektronischen Klemmleisten 5 bis 8, 5′ bis 8′ sind dabei ebenso wie die Hauptautomatisierungseinrichtungen 1, 1′ zumindest teil­ weise redundant. Die Stromversorgung der Unterautomatisierungs­ einrichtungen oder elektronischen Klemmleisten 5 bis 8, 5′ bis 8′ erfolgt jeweils paarweise durch Stromversorgungseinrichtungen 5′′ bis 8′′.

An die Hauptautomatisierungseinrichtung 1 ist weiterhin eine Leitung 9 angeschlossen, über die akustische Signalgeber 10, z. B. Hupen oder Lautsprecher, an den verschiedenen Verteiler­ knoten betätigt werden. Die Signalgeber 10 dienen der Bestä­ tigung von über die Automatisierungseinrichtungen oder elek­ tronischen Klemmleisten 5 bis 8, 5′ bis 8′ eingegebenen Befehlen und/oder der Warnung, z. B. vor dem Anfahren der Fördermaschine.

Die Hauptautomatisierungseinrichtungen 1, 1′ sind weiterhin zur Überwachung und Protokollierung der Anlagensteuerung mit einem Drucker 11 und einer Registriereinheit 12, z. B. einem Magnet­ speicher, sowie zur Anzeige des aktuellen Betriebszustandes mit einem Monitor 13 verbunden. Weiterhin sind die Hauptauto­ matisierungseinrichtungen 1, 1′ zur Vorgabe von Anweisungen mit dem Fördermaschinenpult 14 verbunden.

Aufgrund des Aufbaus des Automatisierungssystems mit Bussen 4, 4′ ist die Zahl der zu verlegenden Leitungen unabhängig vom Automatisierungsgrad der Anlage bzw. von einer Änderung der Anlagenkonfiguration. Im vorliegenden Fall ist das Automatisie­ rungssystem so ausgelegt, daß die Automatisierungseinrichtungen 1 sowie 5 bis 8 alle anfallenden Signale verarbeiten, während die Automatisierungseinrichtungen 1′ sowie 5′ bis 8′ nur sicher­ heitsrelevante Signale, z. B. Nothaltanforderungen, überwachen und verarbeiten. Die Hauptautomatisierungseinrichtung 1 ist z. B. eine Siemens Simatic S5-150U und die Hauptautomatisie­ rungseinrichtung 1′ eine Siemens Simatic S5-135U oder S5-115U.

Fig. 2 zeigt eine bevorzugte Schaltung zum Detektieren von sicher­ heitsrelevanten Signalen am Beispiel der Automatisierungseinrich­ tungen 6, 6′. Gemäß Fig. 2 sind die beiden Automatisierungsein­ richtungen 6, 6′ über Leitungen 15, 15′ mit zwei Kontakten 16, 16′ des Notauschalters 17 verbunden. Wenn der Notausschalter 17 betätigt wird, wie durch den Pfeil A angedeutet, werden die beiden Kontakte 16, 16′ geöffnet. Die Automatisierungseinrich­ tungen 6, 6′ detektieren folglich einen Signalwechsel und melden eine Nothaltanforderung über die Busse 4, 4′ an die Hauptauto­ matisierungseinrichtungen 1, 1′. Die Hauptautomatisierungsein­ richtungen 1, 1′ werten die ankommenden Signale derart aus, daß die (nicht dargestellte) Fördermaschine unverzüglich abgestoppt wird. Nicht dargestellt in Fig. 2 ist die analog zum beschrie­ benen Notauschalter 17 aufgebaute Überwachung von Schließ- oder anderen Kontakten, z. B. für die Tore von Zugängen zum Förder­ schacht. Solange auch nur eine der Automatisierungseinrichtungen oder elektronischen Klemmleisten 5 bis 8, 5′ bis 8′ ein geöff­ netes Tor meldet, wird die Fördermaschine nicht angefahren. Die Fördermaschine wird also in Abhängigkeit von den Auswertungser­ gebnissen der Automatisierungseinrichtungen 1, 1′ derart ge­ fahren, daß stets ein sicherer Zustand der Schachtförderanlage gegeben ist.

Die Leitungen 15, 15′ und ebenso die Busse 4, 4′ werden zyklisch, z. B. alle 10 Sekunden, auf Leitungsbruch, Erdschluß usw. überprüft. Die Überprüfung kann z. B. dadurch geschehen, daß ein Testsignal auf die Leitungen 15, 15′ bzw. die Busse 4, 4′ gelegt wird, dessen ordnungsgemäßer Empfang geprüft wird.

Die Sicherheit des Automatisierungssystems kann dadurch noch erhöht werden, daß sich die redundanten Automatisierungsein­ richtung 1, 1′ gegenseitig überwachen und das Überwachungser­ gebnis z. B. auf dam Monitor 13 und dem Drucker 11 ausgeben. Falls beispielsweise von der Automatisierungeinrichtung 1′ ein Ausfall der Automatisierungseinrichtung 1 detektiert wird, wird dies auf dem Drucker 11 und dem Monitor 13 angezeigt und die Fördermaschine stillgesetzt. Es ist z. B. möglich, einen Weiter­ betrieb der Schachtförderanlage erst dann zuzulassen, wenn entweder wieder beide Hauptautomatisierungseinrichtungen 1, 1′ funktionsfähig sind oder aber durch ein manuell einzugebendes, nicht vorprogrammierbares Sonderkommando der Betrieb der Schachtförderanlage nur über die Automatisierungseinrichtung 1′ zugelassen wird.

Die Funktionsfähigkeit der Hauptautomatisierungseinrichtungen 1, 1′ kann dabei z. B. dadurch überprüft werden, daß die (nicht dar­ gestellten) Speichereinheiten der Automatisierungseinrichtungen 1, 1′ zyklisch auf ihre prinzipielle Ansprechbarkeit, unter Um­ ständen sogar auf ihren Speicherinhalt hin, überprüft werden. Auch weitere Komponenten der Hauptautomatisierungseinrichtungen 1, 1′, z. B. die (ebenfalls nicht dargestellten) Prozessoren, können zyklisch überprüft werden. Derartige Selbsttest des Automatisierungssystems werden immer nach einem längeren Still­ stand der Anlage, insbesondere vor dem Wiederanfahren der An­ lage durchgeführt, so daß etwaige inzwischen aufgetretene Stö­ rungen sofort entdeckt und gemeldet werden.

Eine weitere Maßnahme zur Erhöhung der Betriebssicherheit ist die Absicherung zumindest der Hauptautomatisierungseinrichtungen 1, 1′ über eine (nicht dargestellte) Batterie gegen Stromaus­ fall.

Das obenstehend beschriebene Automatisierungssystem kann selbst­ verständlich auch zur Überwachung und/oder Steuerung anderer technischer Anlagen mit erhöhten Sicherheitsanforderungen ver­ wendet werden.

Abschließend sei noch erwähnt, daß, je nach Anlage, anstelle der Unterautomatisierungseinrichtungen oder elektronischen Klemmleisten 5 bis 8, 5′ bis 8′ auch andere, die Signale vorver­ arbeitende und aufbereitende, Einrichtungen verwendbar sind.

Claims (15)

1. Steuerungs- und Überwachungsverfahren und elektrisches Auto­ matisierungssystem für eine technische Anlage, insbesondere eine Schachtanlage, bei dem sicherheitsrelevante Signale min­ destens doppelt ausgelöst und auf mindestens zwei voneinander unabhängigen Signalwegen (15, 15′) zu zumindest teilweise re­ dundanten Teilsystemen des Automatisierungssystems übertragen und von den Teilsystemen ausgewertet werden, so daß die Anlage in Abhängigkeit von den Auswertungsergebnissen der Teilsysteme sicher gefahren werden kann.

2. Verfahren nach Anspruch 1, dadurch gekenn­ zeichnet, daß die sicherheitsrelevanten Signale stän­ dig auf Gleichheit überprüft werden.

3. Verfahren nach Anspruch 1 oder 2, dadurch ge­ kennzeichnet, daß sich die Teilsysteme ständig gegenseitig überwachen.

4. Verfahren nach Anspruch 3, dadurch gekenn­ zeichnet, daß die einzelnen Komponenten der Teil­ systeme, z. B. die Speichereinheiten oder die Prozessoren, zyklisch überprüft werden.

5. Verfahren nach Anspruch 1, 2, 3 oder 4, dadurch gekennzeichnet, daß bei Ausfall eines der Teil­ Systeme zumindest ein eingeschränkter Betrieb der Anlage durch einen, insbesondere handbetätigten, Sonderbefehl zugelassen werden kann.

6. Verfahren nach Anspruch 1, 2, 3, 4 oder 5, dadurch gekennzeichnet, daß eines der Teilsysteme weitere, nicht sicherheitsrelevante Signale verarbeitet.

7. Verfahren nach einem oder mehreren der obigen Ansprüche, dadurch gekennzeichnet, daß nach einem längeren Stillstand der Anlage, z. B. bei einer Wiederin­ betriebsetzung, das Anfahren der Anlage um einen Selbsttest des Automatisierungssystems verzögert wird, so daß sich die Teil­ systeme vorher gegenseitig überprüfen können.

8. Verfahren nach einem oder mehreren der obigen Ansprüche, dadurch gekennzeichnet, daß die sicherheitsrelevanten Signale zuerst an zumindest teilweise redundante, den einzelnen Teilsystemen zugeordnete Unterauto­ matisierungseinrichtungen oder elektronische Klemmleisten (5 bis 8, 5′ bis 8′) gemeldet werden, in diesen (5 bis 8, 5′ bis 8′) vorverarbeitet werden, und dann über ein redundantes Bussystem (4,4′) an übergeordnete, zumindest teilweise redundante Haupt­ automatisierungseinrichtungen (1, 1′) übertragen werden.

9. Verfahren nach Anspruch 8, dadurch gekenn­ zeichnet, daß die Leitungen (4, 4′, 15, 15′) des Auto­ matisierungssystems zyklisch auf Leitungsbruch, Erdschluß etc. überprüft werden, z. B. durch aufgeprägte Signale.

10. Automatisierungssystem zur Durchführung des Verfahrens nach einem oder mehreren der Ansprüche 1 bis 9, mit mindestens zwei zumindest teilweise redundanten Teilsystemen, die zur gegensei­ tigen Überwachung über eine Datenleitung (2) miteinander ver­ bunden sind, mit mindestens zwei voneinander unabhängigen Sig­ nalwegen (4, 4′, 15, 15′) zur Übertragung von sicherheitsrelevanten Signalen und mit Signalgebern (17) für sicherheitsrelevante Signale, die mindestens zwei voneinander unabhängige Signalaus­ löser (16, 16′) aufweisen.

11. Automatisierungssystem nach Anspruch 10, dadurch gekennzeichnet, daß ein Teilsystem als Haupt­ system zur Verarbeitung aller Signale und die anderen Teil­ systeme als Nebensysteme zur Verarbeitung nur der sicher­ heitsrelevanten Signale ausgebildet sind.

12. Automatisierungssystem nach Anspruch 10 oder 11, da­ durch gekennzeichnet, daß die Teilsysteme aus Hauptautomatisierungseinrichtungen (1, 1′) und Unterautomati­ sierungseinrichtungen oder elektronischen Klemmleisten (5 bis 8, 5 bis 8′) bestehen, die über je einen Bus (4, 4′) miteinander verbunden sind.

13. Automatisierungssystem nach Anspruch 10, 11 oder 12, da­ durch gekennzeichnet, daß zumindest die Hauptautomatisierungseinrichtungen (1, 1′) eine Batterie zur Notstromversorgung aufweisen.

14. Automatisierungssystem nach Anspruch 10, 11, 12 oder 13, dadurch gekennzeichnet, daß es zur Überwachung von Anlagen mit erhöhten Sicherheitsanforderungen verwendet wird.

15. Automatisierungssystem nach Anspruch 10, 11, 12 oder 13, dadurch gekennzeichnet, daß es zur Steuerung von Anlagen mit erhöhten Sicherheitsanforderungen verwendet wird.