DE4401467C2 - Betriebsverfahren für ein redundant aus mindestens zwei Teilsystemen aufgebautes Automatisierungssystem - Google Patents

Description

Die vorliegende Erfindung betrifft ein Betriebsverfahren für ein Automatisierungssystem gemäß dem Oberbegriff des Hauptanspruchs.

Ein derartiges Betriebsverfahren ist beispielsweise aus der EP-0 497 147 A2 bekannt. Bei dem Verfahren gemäß der EP-0 497 147 A2 werden, wie im Stand der Technik allgemein üblich, Alarme zwischen zwei Synchronisationspunkten in den Teilsystemen nur registriert. Ansonsten erfolgen keine Alarm­ reaktionen. Erst beim Erreichen des Synchronisationspunktes werden die gemeldeten Alarme und sonstige relevante Daten ausgetauscht und die Alarme abgearbeitet.

Aus der DE 41 34 396 A1 ist ein zumindest teilredundantes Automatisierungssystem bekannt, bei welchem die Teileinheiten sich selbst überwachen und bei Detektion eines internen Fehlers sofort ein Abschalten der geführten Anlage bewirken.

Wenn das Automatisierungssystem zur Steuerung eines schnellen Prozesses oder einer schnellen Anlage, z. B. einer Pressen­ steuerung, eingesetzt wird, kann die Zeit bis zum Errei­ chen des nächsten Synchronisationspunktes zu groß sein, um Sach- und/oder Personenschäden mit Sicherheit zu verhindern. Bei derartigen Anwendungsfällen mußten bisher aufwendige, taktsynchron arbeitende redundante Automatisierungssysteme verwendet werden.

Die Aufgabe der vorliegenden Erfindung besteht darin, ein redundantes Automatisierungssystem zu schaffen, bei dem die Reaktionszeit auf Alarme aller Art kurz und reproduzierbar ist, obwohl sich die Teil­ systeme nur von Zeit zu Zeit synchronisieren. Bei diesen Alarmen kann es sich um Prozeß- oder Zeitalarme handeln.

Die Aufgabe wird durch die kennzeichnenden Merkmale des Hauptanspruchs gelöst.

Dadurch wird nämlich gewährleistet, daß beim Auftreten eines Sonderereignisses schnellstmöglich auf das Ereignis reagiert wird, wobei jedes der Teilsysteme zur Ermittlung und Ausführung der ereignisspezifischen Reaktion ausschließlich auf den ihm zugeordneten Reaktionsspeicherbereich zugreift. Damit wird beispielsweise der Schließvorgang einer Presse beim Registrieren eines entsprechenden Prozeßalarmes in einem der Teilsysteme unverzüglich durch dieses Teilsystem unterbrochen und nicht erst bei Erreichen des nächsten Synchronisationspunktes. Die Alarmreaktionszeit ist somit sehr gut reproduzierbar. Darüber hinaus können damit Verletzungen des Bedienungspersonals in Grenzsituationen mit Sicherheit vermieden werden.

Wenn jedem Teilsystem ein eigener Pufferspeicher zugeordnet ist, jedes der Teilsysteme Änderungen reaktionsrelevanter Daten, z. B. Merkerzustände, in den ihm zugeordneten Pufferspeicher einträgt und jedes Teilsystem seinen Speicherbereich bei einer Synchronisation aufgrund der Inhalte beider Pufferspeicher aktualisiert, so ist gewährleistet, daß beide Teilsysteme bei einem Sonderereignis gleich reagieren.

Nach der Ausführung der ereignisspezifischen Reaktion setzt das eine Teilsystem die Ausführung des Anwenderprogramms fort.

Weitere Vorteile und Einzelheiten ergeben sich aus der nachfolgenden Beschreibung eines Ausführungsbeispiels in Verbindung mit den Zeichnungen. Dabei zeigt

Fig. 1 ein Blockschaltbild eines Automatisierungssystems und

Fig. 2 das Prinzip des Betriebsverfahrens.

Gemäß Fig. 1 besteht ein Automatisierungssystem 1 aus mindestens zwei Teilsystemen 2, 2′, die beide einen technischen Prozeß P steuern. Jedes der Teilsysteme 2, 2′ weist eine Zentralein­ heit 3, 3′ auf, die den Prozeß P gemäß einem Anwenderpro­ gramm AP steuert, das zusammen mit dem Betriebssystem und Prozeßdaten in Speichereinheiten 4, 4′ abgespeichert ist.

Die Zentraleinheit 3, 3′ sind über in Fig. 1 nicht darge­ stellte Peripherieeinheiten mit Signalgebern G, G′ und Stellgliedern (Relais) R, R′ verbunden. Die verwendete Peripherie kann dabei nach Wahl des Anwenders sowohl ein- als auch zweikanalig ausgebildet sein. Die Anbindung der Zentral­ einheiten 3, 3′ an den Prozeß P ist jedoch nicht Gegenstand der vorliegenden Erfindung. Auf die Anbindung der Zentral­ einheit 3, 3′ an den Prozeß P′ wird daher im folgenden nicht weiter eingegangen.

Der in Fig. 1 dargestellte technische Prozeß P ist bei­ spielsweise eine hydraulische Presse. Die Teilsysteme 2, 2′ steuern die Relais R, R′ an. Bei Ansteuerung beider Relais R, R′ wird ein Schaltrelais SR betätigt, so daß ein Ventil V der hydraulischen Presse einen Hydraulikkanal freigibt. In diesem Fall wird die Presse geschlossen.

Die Signalgeber G, G′ sind beispielsweise die Kontakte eines Nothalt-Schalters. Bei Betätigung des Nothalt-Schal­ ters muß die Presse unverzüglich gestoppt werden, um Per­ sonen- und/oder Sachschäden zu verhindern.

Die Stellen im Anwenderprogramm AP, an denen der Prozeß­ alarm "Nothalt-Anforderung" in den Teilsystemen 2, 2′ regi­ striert wird, ist in Fig. 2 mit den Pfeilen angedeutet. Wei­ terhin ist in Fig. 2 der vorhergehende Synchronisationspunkt SP und der nachfolgende Synchronisationspunkt SP′ durch die gestrichelten Linien gekennzeichnet.

Beim Stand der Technik würden beide Teilsysteme 2, 2′ den Prozeßalarm lediglich registrieren, sodann das Anwenderpro­ gramm bis zum nachfolgenden Synchronisationspunkt SP′ weiterbearbeiten und sodann sich miteinander synchronisieren. Erst danach würde der Prozeßalarm von den Teilsystemen 2, 2′ bearbeitet werden.

Bei der vorliegenden Erfindung dagegen wird der Prozeßalarm sofort nach dem Registrieren in den Teilsystemen 2, 2′ un­ abhängig voneinander mit einer alarmspezifischen Alarmreak­ tion behandelt. Im vorliegenden Fall würden beispielsweise die Relais R, R′ nicht mehr angesteuert werden, so daß das Schaltrelais SR abfällt und das Ventil V sperrt und so den Schließvorgang der hydraulischen Presse stoppt. Durch diese Vorgehensweise wird die Alarmreaktionszeit praktisch auf Null reduziert. Dennoch ist es nicht nötig, die beiden Teilsysteme 2, 2′ taktsynchron zu betreiben.

Bei der Ermittlung und Ausführung der alarmspezifischen Alarmreaktion, hier dem Stoppen der Pressenbewegung, greift die Zentraleinheit 3 des Teilsystems 2 nur auf Daten zu, die im Reaktionsspeicherbereich 41 abgespeichert sind. Ebenso greift die Zentraleinheit 3′ des Teilsystems 2′ nur auf Daten zu, die im Speicherbereich (Reaktionsspeicherbereich) 41 abgespeichert sind.

Nach der Ausführung der alarmspezifischen Alarmreaktion setzen die Teilsysteme 2, 2′ die Ausführung des Anwender­ programms AP fort. Sie synchronisieren sich erst bei Errei­ chen des nachfolgenden Synchronisationspunktes SP′ miteinander.

Welche Reaktion von einem Alarm ausgelöst wird, kann auch von den Daten abhängen, die in den Reaktionsspeicherbe­ reichen 41, 41′ gespeichert sind. Um zu gewährleisten, daß die Teilsysteme 2, 2′ auf einen Alarm in gleicher Weise reagieren, werden die Inhalte der Reaktionsspeicherbereiche 41, 41′ zwischen zwei Synchronisationspunkten daher nicht verändert. Jedem Teilsystem 2, 2′ ist aber ein eigener Pufferspei­ cher 42, 42′ zugeordnet. Änderungen alarmre­ aktionsrelevanter Daten, z. B. Merkerzustände, werden in die Pufferspeicher 42, 42′ eingetragen. Bei der jeweils nächsten Synchronisation tauschen die Teilsysteme 2, 2′ die Inhalte ihrer Pufferspeicher 42, 42′ aus, führen einen Da­ tenabgleich durch und aktualisieren dann ihre Reaktions­ speicherbereiche 41, 41′ aufgrund der Inhalte beider Puf­ ferspeicher 42, 42′. Die Synchronisation selbst erfolgt da­ bei in an sich bekannter Art und Weise, z. B. ereignis- oder zeitgesteuert (wie in der EP 0 497 147 A2 beschrie­ ben), über Kommunikationseinheiten 5, 5′ und eine Kommunikationsleitung 6.

Es ist selbstverständlich auch möglich, nur sicherheits­ relevante Alarme auf die obenstehende Art und Weise zu be­ handeln. Die Behandlung nicht sicherheitsrelevanter Alarme kann dann bei der nächsten Synchronisation erfolgen. In diesem Fall muß beim Auftreten eines Alarms aber zumindest überprüft werden, welcher Art der Alarm ist, damit ent­ schieden werden kann, ob eine sofortige Alarmreaktion er­ forderlich ist oder nicht.

Claims (2)

1. Betriebsverfahren für ein redundant aus mindestens zwei Teilsystemen (2, 2′) aufgebautes Automatisierungssystem (1), bei dem die mindestens zwei Teilsysteme (2, 2′) zur Steuerung eines Prozesses (P) bzw. einer Anlage identische Programme (AP) ausführen und sich von Zeit zu Zeit miteinander synchronisieren, da­ durch gekennzeichnet, daß beim Re­ gistrieren eines anlagen- bzw. prozeßbedingten Alarms jedes der mindestens zwei Teilsysteme (2, 2′) unabhängig vom jeweils anderen Teilsystem (2′, 2) unverzüglich eine alarmspezifische Reaktion ausführt, und daß jedem der mindestens zwei Teilsysteme (2, 2′) mindestens ein eigener Speicherbereich (41, 41′) zugeordnet ist und jedes der mindestens zwei Teilsysteme (2, 2′) zur Ausführung einer jeweils alarmspezifischen Reaktion ausschließlich auf den ihm zugeordneten Speicherbereich (41, 41′) zugreift.

2. Betriebsverfahren nach Anspruch 1, dadurch gekennzeichnet,

• - daß jedem der mindestens zwei Teilsysteme (2, 2′) zusätzlich ein eigener Pufferspeicher (42, 42′) zugeordnet ist,
• - daß jedes der mindestens zwei Teilsysteme (2, 2′) Änderungen reaktionsrele­ vanter Daten, insbesondere Merkerzustände, in den ihm zugeordneten Pufferspeicher (42, 42′) einträgt und
• - daß jedes der Teilsysteme (2, 2′) seinen Speicherbereich (41, 41′) bei einer Synchronisation aufgrund der Inhalte beider Pufferspeicher (42, 42′) aktualisiert.