DE4312305C2 - Sicherheitsgerichtete speichergrogrammierbare Steuerung - Google Patents

Description

Die Erfindung bezieht sich auf eine speicherprogrammierbare Steuerung, die als sicherheitsgerichtete Steuerung ausge­ führt ist. Solche, auch als fehlersichere Steuerungen be­ zeichnete Sicherheitssysteme finden im Rahmen von Prozeßan­ lagen Anwendung.

Es sind mehrere unterschiedliche Konzepte bekannt, mit de­ nen Anforderungen an sicherheitsgerichtete Steuerungen ent­ sprochen werden kann. Neben sicherheitstechnischen Anfor­ derungen können mit solchen Konzepten auch Anforderungen an die Verfügbarkeit der Steuerungen erfüllt werden.

In Energie und Automation 12 (1990), Heft 5/6, Seite 8 bis 11 ist eine fehlersichere Steuerung beschrieben, die aus zwei vollständigen Standard-Automatisierungssystemen aufge­ baut ist, und die hauptsächlich softwaremäßige Ergänzungen enthält. Der daraus bekannte prinzipielle Aufbau eines zweikanaligen Sicherheitssystems ist in Fig. 2 am Beispiel einer Anordnung mit einem binären Ausgang gezeigt. Man er­ kennt, daß bei einem solchen Konzept eine zu steuernde Last L über mehrere Leitungen D mit Ein- und Ausgabegeräten I, O der beiden Automatisierungssysteme A, B angeschlossen ist.

Die Zentraleinheiten C der beiden Systeme A, B sind mitein­ ander gekoppelt.

Die vorgenannte Druckschrift enthält auch ein Verzeichnis mit Literaturquellen, denen die hier relevanten Begriffe aus der Sicherheitstechnik sowie deren Definition zu ent­ nehmen sind.

Ein anderes Konzept ist aus der Druckschrift der Fa. Pepperl & Fuchs "FSC-System, Fail Safe Control System", Bestell-Nr. 16361 vom August 1991 bekannt. Das dort be­ schriebene System FSC-101 ist ein einkanaliges System, das bezüglich verschiedener Verfügbarkeitsstufen ausbaufähig ist. Das Grundsystem FSC-101 ist ein speziell als Sicher­ heitssystem entwickeltes Automatisierungssystem, dessen sämtliche Baugruppen als sicherheitsgerichtete Schaltkreise aufgebaut sind. Gegenüber einer Standard-SPS sind außerdem zusätzliche Module vorhanden, die allein im Hinblick auf sicherheitsgerichtete Systemeigenschaften erforderlich sind.

Den bekannten ein- oder zweikanaligen Sicherheitssystemen ist gemeinsam, daß sie einen hohen Geräteaufwand erfordern und relativ langsam arbeiten.

In dem Aufsatz "Sicherheitsgerichtete, speicherprogrammier­ bare Steuerungen", atp Jahrgang 29, 1987, Heft 6, Seite 267 bis 275 sind Anforderungen an sicherheitsgerichtete Steue­ rungen je nach Sicherheitsklasse dargelegt. Es wird dort ausgeführt, daß in einigen Sicherheitsklassen grundsätzlich auch eine einkanalige Ausführung der Steuerung zulässig sein kann. Eine Erhöhung der Verfügbarkeit kann beispiels­ weise durch Verdoppelung von Eingangskarten erreicht wer­ den.

Nicht sicherheitsgerichtete speicherprogrammierbare Stan­ dard-Steuerungen, von denen die Erfindung ausgeht, sind in "Speicherprogrammierbare Steuerungen - Stand der Technik", etz Band 105, 1984, Heft 11, Seite 534 bis 538 beschrieben.

Die Erfindung bezieht sich auf Anwendungsfälle, in denen nur ein Teil der an das Steuerungssystem angeschlossenen Prozesse fehlersicher zu steuern sind und wobei diese Pro­ zesse durch Abschalten in einen sicheren Zustand zu bringen sind. Solche Anwendungen sind z. B. gegeben bei Krananlagen, Feuerungsanlagen und Überwachungsanlagen. Es soll also ein sicherheitsgerichtetes, speicherprogrammierbares Steue­ rungssystem geschaffen werden, das nicht für Prozesse ge­ eignet zu sein braucht, bei denen der sichere Zustand nicht durch Abschalten erreicht werden kann und bei denen es auf eine erhöhte Verfügbarkeit ankommt.

Diese Aufgabe wird gelöst durch eine im Patentanspruch 1 angegebene speicherprogrammierbare Steuerung mit nur einer Zentraleinheit und mehreren über wenigstens einen Buskopp­ ler und wenigstens einen Eingabe/Ausgabe(E/A)-Bus an­ schließbaren E/A-Geräten, wobei alle diese Komponenten Be­ standteile einer einkanaligen Standard-SPS sind, und wobei die SPS durch nachstehende Ergänzungen zu einer sicher­ heitsgerichteten SPS ertüchtigt ist:

• a) an den E/A-Bus sind spezielle sicherheitsgerichtete E/A-Geräte anschließbar, die intern zweikanalig auf­ gebaut sind und selbsttätig einen Vergleichstest zwi­ schen ihren Kanälen sowie zusätzliche Eigentests durchführen, und
• b) die Zentraleinheit ist allein durch sicherheitsge­ richtete Programm-Module ergänzt zur Durchführung si­ cherheitsgerichteter Funktionen, die sich auf sicher­ heitsgerichtete Anwenderfunktionen und zumindest auf eine zur Eigenüberwachung der sicherheitsgerichteten E/A-Geräte redundante Überwachung der sicherheitsge­ richteten E/A-Geräte beziehen, sowie auf eine Selbst­ überwachung der Zentraleinheit.

Das mit der erfindungsgemäßen Steuerung vorgestellte Kon­ zept hat den Vorteil, daß auch eine schon vorhandene Stan­ dard-SPS nachträglich zur sicherheitsgerichteten speicher­ programmierbaren Steuerung ertüchtigt werden kann. Der nach außen hin einkanalige Aufbau erfordert keine besondere Au­ ßenverdrahtung. Durch die systemgemäße dezentrale Intelli­ genz wird erreicht, daß nur für den Anschluß der sicher­ heitsrelevanten Prozesse ein gegenüber Standard-Steuerungen erhöhter Aufwand notwendig ist. Die Anforderungen nach DIN V VDE 801 Anforderungsklasse 4 werden erfüllt.

Ausgestaltungen sind weiteren Patentansprüchen und der nachstehenden Beschreibung eines Ausführungsbeispiels zu entnehmen.

Fig. 1 zeigt eine erfindungsgemäße sicherheitsgerichtete SPS mit einkanaliger Systemstruktur. Diese ist aufgebaut aus einer Standard-SPS 1 mit einer Zentraleinheit 2, die spezielle gespeicherte Programm-Module mit sicherheitsge­ richteten Funktionen enthält und die mit Hilfe eines an eine Schnittstelle 8 anschließbaren Personal Computers 3 eingebbar sind. Die Standard-SPS enthält wenigstens einen Buskoppler 4, an den ein E/A-Bus 5 angeschlossen ist. Der E/A-Bus ist im Ausführungsbeispiel eine Zweidraht-Kommuni­ kationsverbindung. An den E/A-Bus 5 sind sowohl Stan­ dard-E/A-Geräte 6 als auch sicherheitsgerichtete E/A-Geräte 7 anschließbar. Die sicherheitsgerichteten E/A-Geräte 7 sind intern zweikanalig aufgebaut. Sicherheitsgerichtete Funktionen sind redundant überwacht, nämlich einmal durch Selbstüberwachungsmaßnahmen in den E/A-Geräten 7 und durch Funktionsüberwachung von der Zentrale 2 aus. Der Informa­ tionsaustausch zwischen E/A-Geräten 7 und der Zentrale 2 erfolgt unter Verwendung eines Sicherheitsprotokolls.

In den intern zweikanalig aufgebauten, sicherheitsgerichte­ ten E/A-Geräten 7 wird durch Vergleichstests zwischen den beiden Kanälen, Selbsttests und Plausibilitätstest die er­ forderliche Sicherheit erreicht. Bei fehlender Übereinstim­ mung wird eine Ausgabe eines Schaltbefehls gesperrt. Dar­ über hinaus wird eine Fehlerdiagnose durch Überwachung auf Drahtbruch, Kurzschluß, Überspannung, Bereichsüberschrei­ tung und weitere Fehlerarten durchgeführt.

In einer ausgeführten sicherheitsgerichteten SPS wird in­ nerhalb einer spezifizierten Fehlertoleranzzeit von 100 Millisekunden jeder gefährliche Fehler erkannt und es wird eine Abschaltung in den sicheren Zustand durchgeführt.

Jeder einzeln an sich ungefährliche Fehler wird innerhalb einer Zweitfehlereintrittszeit von einer Stunde erkannt. Es wird dabei unterstellt, daß in dieser Zeit kein zweiter Fehler auftreten kann, der die Erkennung des Fehlers ver­ hindert.

Das Anwenderprogramm der Zentraleinheit enthält ein Pro­ gramm-Modul das ausschließlich sicherheitsgerichtete Funk­ tionen einschließlich der Überwachung der E/A-Geräte 7 be­ arbeitet. In diesem Programm-Modul werden nur Sicher­ heits-Verknüpfungselemente verwendet, die durch hochwertige Maßnahmen, z. B. durch redundante, diversitäre Programmie­ rung gesichert sind. Außerdem werden Sicherheitsanforderun­ gen an die Zentraleinheit durch eine besondere Behandlung sicherheitsrelevanter Betriebssystemaufrufe und durch Selbsttests erfüllt.

Mit der Verwendung von Sicherheits-Verknüpfungselementen wird erreicht, daß die Programmierung vom Anwender in übli­ cher Weise, also wie bei einer nicht sicherheitsgerichteten SPS, einfach ausgehend vom Funktionsplan, vorgenommen wer­ den kann.

Da im Gesamtsystem sicherheits- und nicht sicherheitsge­ richtete Systemkomponenten eingesetzt sind, muß eine Rück­ wirkungsfreiheit der nicht sicherheitsgerichteten Komponen­ ten gegeben sein.

Claims (4)

1. Speicherprogrammierbare Steuerung (SPS) mit nur einer Zentraleinheit (2) und mehreren über wenigstens einen Buskoppler (4) und wenigstens einen Eingabe/Aus­ gabe(E/A)-Bus (5) anschließbaren E/A-Geräten (6), wobei alle diese Komponenten (2, 4, 5, 6) Bestandteile einer ein­ kanaligen Standard-SPS (1) sind, dadurch gekennzeichnet, daß die SPS (1) durch nachstehende Ergänzungen zu einer si­ cherheitsgerichteten SPS ertüchtigt ist:

• a) an den E/A-Bus (5) sind spezielle sicherheitsgerich­ tete E/A-Geräte (7) anschließbar, die intern zweika­ nalig aufgebaut sind und selbsttätig einen Ver­ gleichstest zwischen ihren Kanälen sowie zusätzliche Eigentests durchführen, und
• b) die Zentraleinheit (2) ist allein durch sicherheits­ gerichtete Programm-Module ergänzt zur Durchführung sicherheitsgerichteter Funktionen, die sich auf si­ cherheitsgerichtete Anwenderfunktionen und zumindest auf eine zur Eigenüberwachung der sicherheitsgerich­ teten E/A-Geräte (7) redundante Überwachung der si­ cherheitsgerichteten E/A-Geräte (7) beziehen, sowie auf eine Selbstüberwachung der Zentraleinheit (2).

2. Speicherprogrammierbare Steuerung nach Anspruch 1, dadurch gekennzeichnet, daß die Zentraleinheit (2) eine Schnittstelle (8) aufweist, an die ein Personal Computer (3) anschließbar ist, mit dessen Hilfe, die im Anwenderpro­ gramm der Zentraleinheit (2) enthaltenen sicherheitsgerich­ tete Programm-Module ladbar sind, die durch redundante, di­ versitäre Programmierung gesichert sind.

3. Speicherprogrammierbare Steuerung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die sicherheitsgerich­ teten E/A-Geräte (7) Mittel enthalten zur Durchführung von Plausibilitätstests.

4. Speicherprogrammierbare Steuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß die Zentraleinheit (2) mit Hilfe der gespeicherten sicherheits­ gerichteten Programm-Module neben gefährlichen Fehlern, die innerhalb einer spezifizierten Fehlertoleranzzeit zur Ab­ schaltung in den sicheren Zustand führen, auch einzeln an sich ungefährliche Fehler innerhalb einer spezifizierten Zweitfehlereintrittszeit erkennt und meldet.