DE4032033C2 - - Google Patents

Description

Die Erfindung betrifft ein Steuerungs- und Überwachungsver­ fahren in einem elektrischen Automatisierungssystem für eine technische Anlage, insbesondere eine Schachtanlage, bei dem Signale auf mindestens zwei voneinander unabhängigen Signal­ wegen des Automatisierungssystems übertragen und in einer Teileinheit ausgewertet werden.

Ein derartiges Automatisierungssystem ist aus der DE-Z "Ener­ gie & Automation", Bd. 11 (1989), Heft 3, Seiten 8 bis 10, be­ kannt. Die dort beschriebene Anordnung arbeitet bereits sehr sicher, aber beim Ausfall eines Automatisierungsgeräts können trotz der Redundanz des Bussystems von dem ausgefallenen Automatisierungs­ gerät keine Nachrichten mehr gesendet bzw. empfangen werden. Ins­ besondere beim Ausfall des Hauptgerätes oder bei Auslösefehlern ist die Kontrolle über die Anlage nicht mehr gewährleistet.

Aus der DE 32 25 455 A1 ist ein Verfahren zum sicheren Betrieb eines redundanten Steuerungssystems bekannt, bei dem eine tech­ nische Anlage von einem von mehreren parallel geschalteten Rechnern geführt wird und bei einer Fehlfunktion dieses einen Rech­ ners auf einen anderen Rechner umgeschaltet wird.

Aus der DE-Z "etz", Band 102 (1981), Heft 18, S. 973-977, ist eine zweifach redundante Automatisierungseinrichtung im Bergbau bekannt, deren redundante Teileinheiten gemeinsam die Anlage steuern. Bei dieser Automatisierungseinrichtung werden die Aus­ gangssignale auf Antivalenz überwacht. Allerdings sind die Signal­ geber und deren Ausgänge nicht redundant, so daß bei einem Aus­ fall des Signalgebers eine sichere Führung der Anlage nicht mehr gewährleistet ist.

Es ist Aufgabe der vorliegenden Erfindung, ein Verfahren anzu­ geben, bei dem trotz Ausfall von Teileinheiten unzulässige Be­ triebszustände aller Art möglichst schnell zuverlässig erkannt und beseitigt werden.

Die Aufgabe wird dadurch gelöst, daß sicherheitsrelevante Eingangssignale mindestens doppelt ausgelöst und ständig auf mindestens zwei voneinander unabhängigen Signalwegen zu zu­ mindest zwei, die sicherheitsrelevanten Eingangssignale be­ arbeitenden, redundanten Teilsystemen des Automatisierungs­ systems übertragen und von den Teilsystemen ausgewertet und in Steuer- und Überwachungssignale umgesetzt werden.

Mit Vorteil werden dabei die sicherheitsrelevanten Eingangs­ signale ständig auf Gleichheit überprüft. Dadurch ist es möglich, völlige und/oder teilweise Ausfälle der Teilsysteme rechtzeitig zu erkennen.

Vorteilhaft überwachen sich die zumindest zwei Teilsysteme ständig gegenseitig, so daß auch anderweitige Fehler der zumindest zwei Teilsysteme erkannt werden können. Die Über­ wachung kann z. B. dadaurch geschehen, daß die einzelnen Kompo­ nenten der zumindest zwei Teilsysteme, z. B. die Speicherein­ heiten oder die Prozessoren, zyklisch überprüft werden.

Bei Ausfall eines der zumindest zwei Teilsysteme ist es von Vorteil, wenn zumindest ein eingeschränkter Betrieb durch einen Sonderbefehl zugelassen werden kann, wobei der Sonderbefehl vorzugsweise durch Handbetätigung gegeben wird.

Im Sinne der Anlagenökonomie ist es weiterhin von Vorteil, wenn nur eines der zumindest zwei Teilsysteme die üblichen, nicht sicherheitsrelevante Signale verarbeitet. Hierdurch können die anderen Teilsysteme, die nur sicherheitsrelevante Daten ver­ arbeiten, klein dimensioniert sein. Dadurch wird das Automa­ tisierungssystem als ganzes kostengünstiger. Weiterhin ist dadurch, auch bei voller Auslastung des Automatisierungssystems, eine Alarmreaktonszeit von unter 500 ms, im Regelfall sogar von etwa 200 ms erreichbar. Mit zwei identischen Teilsystemen, die jeweils die volle Anlagensteuerung überwachen, ist eine derart kurze Alarmreaktionszeit, auch bei vorrangiger Bearbeitung, z. B. durch einen Interrupt, nicht gewährleistet.

Nach einem längeren Stillstand der technischen Anlage ist es von Vorteil, das Anfahren der Analge um ein Selbsttestintervall des Automatisierungssystems zu verzögern, so daß sich die zumindest zwei Teilsysteme vorher gegenseitig überprüfen können.

Zur Vereinfachung und Erhöhung der Sicherheit ist es von Vor­ teil, wenn die sicherheitsrelevanten Eingangssignale zuerst an zumindest zwei, redundante, den zumindest zwei Teilsystemen zu­ geordnete Unterautomatisierungseinrichtungen oder elektronische Klemmleisten gemeldet, in diesen vorverarbeitet, und dann über ein zumindest zweifach redundantes Bussystem an zumindest zwei übergeordnete, die sicherheitsrelevanten Eingangssignale be­ arbeitende, redundante Hauptautomatisierungseinrichtungen übertragen werden. Die Signalwege und das Bussystem des Automatisierungssystems können dabei, z. B. durch aufgeprägte Signale, zyklisch auf Leitungsbruch, Erdschluß etc. überprüft werden.

Das zur Durchführung des Verfahrens günstige Automatisierungs­ system besteht aus mindestens zwei, die sicherheitsrelevan­ ten Eingangssignale bearbeitenden, redundanten Teilsystemen, die zur gegenseitigen Überwachung über eine Datenleitung miteinander verbunden sind, mit mindestens zwei voneinander unabhängigen Signalwegen zur Übertragung von sicherheits­ relevanten Eingangssignalen und mit Signalauslösern für die sicherheitsrelevanten Eingangssignale, die jeweils mindestens zwei voneinander unabhängige Signalgeber aufweisen.

Aus Kostengründen ist es von Vorteil, wenn ein Teilsystem als Hauptsystem zur Verarbeitung aller Signale und die anderen Teilsysteme als Nebensysteme zur Verarbeitung aller sicher­ heitsrelevanten Signale ausgebildet sind.

Weitere Vorteile und Einzelheiten ergeben sich aus der nach­ folgenden Beschreibung eines Ausführungsbeispiels, an Hand der Zeichnungen und in Verbindung mit den weiteren Unteransprüchen. Es zeigt

Fig. 1 ein Blockschaltbild eines Automatisierungssystems und

Fig. 2 die Verbindung eines Nothaltschalters mit dem Automati­ sierungssystem.

Gemäß Fig. 1 besteht das Automatisierungssystem einer Schacht­ anlage aus zwei Hauptautomatisierungseinrichtungen 1, 1′, die über eine Datenleitung 2 miteinander verbunden sind. Die beiden Hauptautomatisierungseinrichtungen 1, 1′ weisen zur Kommunika­ tion untereinander spezielle Prozessoren (Kommunikationsprozessoren) 3, 3′ auf. Über diese Prozessoren 3, 3′ können sich die Hauptautomatisie­ rungseinrichtungen 1, 1′ und damit die Teilsysteme gegenseitig überwachen. Dadurch ist es u. a möglich, die einlaufenden sicherheitsrelevanten Eingangssignale ständig auf Gleichheit zu überprüfen.

Von jeder der Hauptautomatisierungseinrichtungen 1, 1′ zweigt ein Bus (Bussystem) 4, 4′ ab, an den jeweils weitere Unterautomatisierungsein­ richtungen oder elektronische Klemmleisten 5 bis 8, 5′ bis 8′ angeschlossen sind. An jedem Verteilerknoten des Automatisie­ rungssystems sind dabei je eine der Unterautomatisierungseinrichtungen bzw. eine der Klemmleisten 5 bis 8, 5′ bis 8′ an je einen der Busse 4, 4′ angeschlossen. Die Unterautomatisierungseinrichtungen oder elektronischen Klemm­ leisten 5 bis 8, 5′ bis 8′ sind teilweise über Tage und teil­ weise unter Tage, z. B. auf den verschiedenen Sohlen eines Berg­ werks, angeordnet. Die Unterautomatisierungseinrichtungen oder elektronischen Klemmleisten 5 bis 8, 5′ bis 8′ sind dabei ebenso wie die Hauptautomatisierungseinrichtungen 1, 1′ zumindest be­ züglich der Bearbeitung der sicherheitsrelevanten Signale re­ dundant. Die Stromversorgung der Unterautomatisierungseinrich­ tungen oder elektronischen Klemmleisten 5 bis 8, 5′ bis 8′ erfolgt jeweils paarweise durch Stromversorgungseinrichtungen 5′′ bis 8′′.

An die Hauptautomatisierungseinrichtung 1 ist weiterhin eine Leitung 9 angeschlossen, über die akustische Signalgeber 10, z. B. Hupen oder Lautsprecher, an den verschiedenen Verteiler­ knoten betätigt werden. Die Signalgeber 10 dienen der Bestä­ tigung von über die Unterautomatisierungseinrichtungen oder elek­ tronischen Klemmleisten 5 bis 8, 5′ bis 8′ eingegebenen Befehlen und/oder der Warnung, z. B. vor dem Anfahren der Fördermaschine.

Die Hauptautomatisierungseinrichtungen 1, 1′ sind weiterhin zur Überwachung und Protokollierung der Anlagensteuerung mit einem Drucker 11 und einer Registriereinheit 12, z. B. einem Magnet­ speicher, sowie zur Anzeige des aktuellen Betriebszustandes mit einem Monitor 13 verbunden. Weiterhin sind die Hauptauto­ matisierungseinrichtungen 1, 1′ zur Vorgabe von Anweisungen mit einem Fördermaschinenpult 14 verbunden.

Auf Grund des Aufbaus des Automatisierungssystems mit Bussen 4, 4′ ist die Zahl der zu verlegenden Leitungen unabhängig vom Automatisiearungsgrad der Anlage bzw. von einer Änderung der Anlagenkonfiguration. Im vorliegenden Fall ist das Automatisie­ rungssystem so ausgelegt, daß die einen Automatisierungseinrichtungen 1 sowie 5 bis 8 alle anfallenden Signale verarbeiten, während die anderen Automatisierungseinrichtungen 1′ sowie 5′ bis 8′ nur sicher­ heitsrelevante Signale, z. B. Nothaltanforderungen, überwachen und verarbeiten.

Fig. 2 zeigt eine bevorzugte Schaltung zum Detaktieren von sicher­ heitsrelevanten Eingangssignalen am Beispiel der Automatisie­ rungseinrichtungen 6, 6′. Gemäß Fig. 2 sind die beiden Automati­ sierungseinrichtungen 6, 6′ über Signalwege 15, 15′ mit zwei Signalgebern 16, 16′ eines Notausschalters 17 verbunden. Wenn der Notausschalter 17 betätigt wird, wie durch den Pfeil A ange­ deutet, lösen die beiden Signalgeber 16, 16′ aus. Die Automa­ tisierungseinrichtungen 6, 6′ detektieren folglich einen Signalwechsel und melden eine Nothaltanforderung über die Busse 4, 4′ an die Hauptautomatisierungseinrichtungen 1, 1′. Die Hauptautomatisierungseinrichtungen 1, 1′ werten die ankommenden Signale derart aus, daß die (nicht dargestellte) Fördermaschine unverzüglich abgestoppt wird. Nicht dargestellt in Fig. 2 ist die analog zum beschriebenen Notausschalter 17 aufgebaute Überwachung anderer sicherheitsrelevanter Vorgänge, z. B. das Schließen der Tore von Zugängen zum Förderschacht. Solange auch nur eine der Unterautomatisierungseinrichtungen oder elektronischen Klemmleisten 5 bis 8, 5′ bis 8′ ein geöffnetes Tor meldet, wird die Förderma­ schine nicht angefahren. Die Fördermaschine wird folglich in Abhängigkeit von den Auswertungsergebnissen der Hauptautomatisie­ rungseinrichtungen 1, 1′ derart gefahren, daß stets ein sicherer Zustand der Schachtförderanlage gegeben ist.

Die Signalwege 15, 15′ und ebenso die Busse 4, 4′ werden zyklisch, z. B. alle 10 Sekunden, auf Leitungsbruch, Erdschluß usw. überprüft. Die Überprüfung kann z. B. dadurch geschehen, daß ein Testsignal auf die Signalwege 15, 15′ bzw. die Busse 4, 4′ gelegt wird, dessen ordnungsgemäßer Empfang geprüft wird.

Die Sicherheit des Automatisierungssystems kann dadurch noch erhöht werden, daß sich die redundanten Hauptautomatisierungsein­ richtung 1, 1′ gegenseitig überwachen und das Überwachungser­ gebnis z. B. auf dem Monitor 13 und dem Drucker 11 ausgeben. Falls beispielsweise von der einen Hauptautomatisierungseinrichtung 1′ ein Ausfall der anderen Hauptautomatisierungseinrichtung 1 detektiert wird, wird dies auf dem Drucker 11 und dem Monitor 13 angezeigt und die Fördermaschine stillgesetzt. Es ist z. B. möglich, einen Weiter­ betrieb der Schachtanlage erst dann zuzulassen. wenn entweder wieder beide Hauptautomatisierungseinrichtungen 1, 1′ funk­ tionsfähig sind oder aber durch einen manuell einzugebenden, nicht vorprogrammierbaren Sonderbefehl der Betrieb der Schacht­ förderanlage nur über die eine Hauptautomatisierungseinrichtung 1′ zuge­ lassen wird.

Die Funktionsfähigkeit der Hauptautomatisierungseinrichtungen 1, 1′ kann dabei z. B. dadurch überprüft werden, daß die (nicht dar­ gestellten) Speichereinheiten der Hauptautomatisierungseinrichtungen 1, 1′ zyklisch auf ihre prinzipielle Ansprechbarkeit, unter Um­ ständen sogar auf ihren Speicherinhalt hin, überprüft werden. Auch weitere Komponenten der Hauptautomatisierungseinrichtungen 1, 1′, z. B. die (ebenfalls nicht dargestellten) Prozessoren, können zyklisch überprüft werden. Derartige Selbsttest des Automatisierungssystems werden immer nach einem längeren Still­ stand der Anlage, insbesondere vor dem Wiederanfahren der An­ lage durchgeführt, so daß etwaige inzwischen aufgetretene Stö­ rungen sofort entdeckt und gemeldet werden.

Eine weitere Maßnahme zur Erhöhung der Betriebssicherheit ist die Absicherung zumindest der Hauptautomatisierungseinrichtungen 1, 1′ über eine (nicht dargestellte) Batterie gegen Stromaus­ fall.

Das obenstehend beschriebene Automatisierungssystem kann selbst­ verständlich auch zur Überwachung und/oder Steuerung anderer technischer Anlagen mit erhöhten Sicherheitsanforderungen ver­ wendet werden.

Claims (14)

1. Steuerungs- und Überwachungsverfahren in einem elektrischen Automatisierungssystem für eine technische Anlage, bei dem sicherheitsrelevante Eingangssignale mindestens doppelt aus­ gelöst und ständig auf mindestens zwei voneinander unabhängigen Signalwegen (15, 15′) zu zumindest zwei, die sicherheitsrelevan­ ten Eingangssignale bearbeitenden, redundanten Teilsystemen des Automatisierungssystems übertragen und ständig von beiden Teil­ systemen ausgewertet und in Steuer- und Überwachungssignale umgesetzt werden.

2. Steuerungs- und Überwachungsverfahren nach Anspruch 1, dadurch gekennzeichnet, daß die sicherheitsrelevanten Eingangssignale in den zumindest zwei Teilsystemen ständig auf Gleichheit überprüft werden.

3. Steuerungs- und Überwachungsverfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß sich die zumindest zwei Teilsysteme ständig gegenseitig überwachen.

4. Steuerungs- und Überwachungsverfahren nach Anspruch 3, dadurch gekennzeichnet, daß die einzelnen Komponenten der zumindest zwei Teilsysteme zyklisch überprüft werden.

5. Steuerungs- und Überwachungsverfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß bei Ausfall der zumindest zwei Teilsysteme zumindest ein ein­ geschränkter Betrieb der technischen Anlage durch einen Sonder­ befehl zugelassen werden kann.

6. Steuerungs- und Überwachungsverfahren nach Anspruch 5, dadurch gekennzeichnet, daß der Sonder­ befehl durch Handbetätigung gegeben wird.

7. Steuerungs- und Überwachungsverfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, daß eines der zumindest zwei Teilsysteme weitere, nicht sicher­ heitsrelevante Signale verarbeitet.

8. Steuerungs- und Überwachungsverfahren nach einem der obigen Ansprüche, dadurch gekennzeichnet, daß nach einem längeren Stillstand der technischen Anlage das An­ fahren der technischen Anlage um einen Selbsttest des Automa­ tisierungssystems verzögert wird, so daß sich die zumindest zwei Teilsysteme vorher gegenseitig überprüfen können.

9. Steuerungs- und Überwachungsverfahren nach einem der obigen Ansprüche, dadurch gekennzeichnet, daß die sicherheitsrelevanten Eingangssignale zuerst an zumindest zwei, redundante, den zumindest zwei Teilsystemen zugeordnete Unter­ automatisierungseinrichtungen oder elektronische Klemmleisten (5 bis 8, 5′ bis 8′) gemeldet, in diesen vorverarbeitet und dann über ein zumindest zweifach redundantes Bussystem (4, 4′) an zumindest zwei übergeordnete, die sicherheitsrelevanten Ein­ gangssignale bearbeitende, redundante Hauptautomatisierungs­ einrichtungen (1, 1′) übertragen werden.

10. Steuerungs- und Überwachungsverfahren nach Anspruch 9, dadurch gekennzeichnet, daß die Signalwege (15, 15′) und das Bussystem (4, 4′) des Automati­ sierungssystems zyklisch auf Leitungsbruch, Erdschluß etc. überprüft werden.

11. Elektrisches Automatisierungssystem zur Durchführung des Verfahrens nach einem der Ansprüche 1 bis 10, mit mindestens zwei, die sicherheitsrelevanten Eingangssignale bearbeitenden, redundanten Teilsystemen, die zur gegenseitigen Überwachung über eine Datenleitung (2) miteinander verbunden sind, mit mindestens zwei voneinander unabhängigen Signalwegen (15, 15′) zur Über­ tragung von sicherheitsrelevanten Eingangssignalen und mit Signalauslösern (17) für die sicherheitsrelevanten Eingangs­ signale, die jeweils mindestens zwei voneinander unabhängige Signalgeber (16, 16′) aufweisen.

12. Elektrisches Automatisierungssystem nach Anspruch 11, dadurch gekennzeichnet, daß ein Teilsystem als Hauptsystem zur Verarbeitung aller Signale und die anderen Teilsysteme als Nebensysteme zur Verarbeitung aller sicherheitsrelevanten Signale ausgebildet sind.

13. Elektrisches Automatisierungssystem nach Anspruch 11 oder 12, dadurch gekennzeichnet, daß es eine Batterie zur Notstromversorgung aufweist.

14. Steuerungs- und Überwachungsverfahren nach einem der An­ sprüche 1 bis 10, dadurch gekennzeichnet, daß es bei einem elektrischen Automatisierungssystem für eine Schachtanlage verwendbar ist.