ES2303651T3 - Unidad periferica para un sistema de control redundante. - Google Patents

Unidad periferica para un sistema de control redundante. Download PDF

Info

Publication number
ES2303651T3
ES2303651T3 ES04803758T ES04803758T ES2303651T3 ES 2303651 T3 ES2303651 T3 ES 2303651T3 ES 04803758 T ES04803758 T ES 04803758T ES 04803758 T ES04803758 T ES 04803758T ES 2303651 T3 ES2303651 T3 ES 2303651T3
Authority
ES
Spain
Prior art keywords
output current
peripheral unit
control
variation
redundant
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
ES04803758T
Other languages
English (en)
Inventor
Walter Kreb
Ulrich Lehmann
Robert Schwab
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Siemens AG
Original Assignee
Siemens AG
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Siemens AG filed Critical Siemens AG
Application granted granted Critical
Publication of ES2303651T3 publication Critical patent/ES2303651T3/es
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • GPHYSICS
    • G05CONTROLLING; REGULATING
    • G05BCONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00Programme-control systems
    • G05B19/02Programme-control systems electric
    • G05B19/04Programme control other than numerical control, i.e. in sequence controllers or logic controllers
    • G05B19/05Programmable logic controllers, e.g. simulating logic interconnections of signals according to ladder diagrams or function charts
    • G05B19/058Safety, monitoring
    • GPHYSICS
    • G05CONTROLLING; REGULATING
    • G05BCONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00Program-control systems
    • G05B2219/10Plc systems
    • G05B2219/11Plc I-O input output
    • G05B2219/1185Feedback of output status to input module and compare with command
    • GPHYSICS
    • G05CONTROLLING; REGULATING
    • G05BCONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B2219/00Program-control systems
    • G05B2219/10Plc systems
    • G05B2219/14Plc safety
    • G05B2219/14038Fault in I-O racks, point level

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Automation & Control Theory (AREA)
  • Safety Devices In Control Systems (AREA)

Abstract

Unidad periférica para un sistema de control redundante, que presenta un primer y un segundo ordenador de control (1, 2), en donde a la unidad periférica (4, 5) pueden alimentarse datos de control desde uno de los ordenadores de control (1, 2), que representan una corriente de salida nominal (Isoll) para activar una carga inductiva, en donde mediante la unidad periférica (4, 5) puede alimentarse una corriente de salida real (Iist) a la carga inductiva (9), a través de una salida (12, 13) de la unidad periférica (3, 4) y a través de una línea, caarcterizada porque la unidad periférica (4, 5) está dotada de medios que detectan la corriente de salida real (Iist) y comparan la corriente de salida real (Iist) con la corriente de salida nominal (Isoll) y/o detectan la velocidad de variación de la corriente de salida real (Iist) y la comparan con la velocidad de variación de la corriente de salida nominal (Isoll), en donde los medios indican a uno de los ordenadores de control una avería de la salida (12, 13), en el caso de que - durante un intervalo de tiempo prefijable (t) la diferencia entre la corriente de salida real (Iist) y la corriente de salida nominal (Isoll) sea mayor que un valor límite prefijable (Gw1) y/o - la velocidad de variación de la corriente de salida real (Iist) no sea fundamentalmente isocrónica con la velocidad de variación de la corriente de salida nominal (Isoll).

Description

Unidad periférica para un sistema de control redundante.
La invención se refiere a una unidad periférica para un sistema de control redundante, que presenta un primer y un segundo ordenador de control, en donde a la unidad periférica pueden alimentarse datos de control desde uno de los ordenadores de control, que representan una corriente de salida nominal para activar una carga inductiva, en donde mediante la unidad periférica puede alimentarse una corriente de salida real a la carga inductiva, a través de una salida de la unidad periférica y a través de una línea. Aparte de esto la invención se refiere a un sistema de control redundante.
Del catálogo de Siemens ST 70, capítulos 1 y 5, edición de 2003, se conoce el sistema de automatización de alta disponibilidad SIMATIC S7-400H con estructura diseñada de forma redundante así como el conexionado IM153-2, que puede usarse para conectar una unidad periférica ET 200M como esclavo en sistemas PROFIBUS-DP redundantes con el sistema de automatización SIMATIC S7-400H.
En muchos campos de la técnica de automatización se imponen requisitos cada vez más elevados a la disponibilidad y con ello a la seguridad contra averías de los sistemas de automatización. Se trata de campos en los que una parada de la instalación provocaría unos costes muy elevados. Aquí sólo los sistemas redundantes pueden cumplir los requisitos en cuanto a disponibilidad. Por ejemplo el SIMATIC S7-400H de alta disponibilidad sigue trabajando incluso si a causa de uno o más fallos se han averiado partes del control. Posee funciones centrales diseñadas de forma redundante y está estructurado con dos aparatos centrales separados como ordenadores de control. Los dos ordenadores de control procesan cíclica y sincrónicamente los mismos programas de tratamiento. Se vigilan mutuamente y establecen autónomamente qué ordenador de control está activado, es decir, controla realmente el proceso a través de sus datos de salida. Para esto se intercambian datos entre los dos ordenadores de control a través de un acoplamiento redundante. Las unidades periféricas ET 200M configuradas de forma descentralizada, a las que están enchufados según el caso aplicativo grupos constructivos digitales de entrada/salida, están conectadas en cada caso con un bus de campo PROFIBUS-SP a uno de los ordenadores de control. Con ayuda de transformadores o transmisores de medición se transmiten las informaciones de entrada de proceso obtenidas, mediante la unidad periférica, a ambos ordenadores de control. Durante el llamado funcionamiento "Hot Stand By" los dos ordenadores de control procesan, en el caso de que no existan fallos, simultáneamente el mismo programa de control, pero sólo está activado un ordenador de control, es decir, sólo los datos de salida de un ordenador de control se tratan ulteriormente para controlar el proceso. En caso de fallo el aparato intacto asume sólo el control del proceso. Para esto los aparatos reciben automáticamente el mismo programa de usuario, los mismos módulos de datos, los mismos contenidos de reproducción de proceso así como los mismos datos internos, como por ejemplo periodos de tiempo, contadores, marcas, etc. Por medio de esto los dos aparatos se encuentran en el estado actual de la técnica y pueden continuar solos el control en caso de fallo. Los datos de salida de proceso, mediante los cuales se prefijan las señales a emitir a los elementos de ajuste desde la unidad periférica, se ofrecen a la unidad periférica en un caso sin fallos a través de los dos buses de campo, aunque ésta sólo valora los datos de control recibidos desde uno de los buses de campo. El ordenador de control conectado en cada caso puede designarse de este modo como el ordenador de control activado. Para garantizar por ejemplo un funcionamiento sin rozamiento de una turbina conectada a las salidas analógicas de las unidades periféricas, es necesario detectar e indicar rápidamente un fallo en estas salidas analógicas, con lo que es posible rápidamente una conmutación a la unidad periférica no perturbada, que asume la activación de la turbina.
La invención se ha impuesto la tarea de crear una unidad periférica para un sistema de control redundante, que reconozca lo más rápidamente posible fallos en sus salidas. Aparte de esto debe indicarse un sistema de control redundante, mediante el cual pueda activarse una carga inductiva fundamentalmente sin fallos.
Esta tarea es resuelta con relación a la unidad periférica mediante las medidas indicadas en la parte característica de la reivindicación 1, con relación al sistema de control redundante mediante las medidas indicadas en la reivindica-
ción 3.
Por medio de que la corriente de salida real es detectada y se compara con la corriente de salida nominal, puede reconocerse a causa de la valoración del resultado de comparación un cortocircuito en la salida periférica.
Aparte de esto, por medio de que además se detecta la velocidad de variación de la corriente de salida real y se compara con la velocidad de variación de la corriente de salida nominal, puede reconocerse rápidamente un fallo de la línea entre la salida periférica y el actuador y, con ello, una avería total del actuador. La corriente de salida real decae repentinamente en un caso de este tipo, sin que haya variado el valor nominal. Con ello se tiene en cuenta que la carga inductiva presenta una inductividad muy elevada y por medio de esto se hace efectiva una variación de corriente, en el caso de una inductividad y una tensión de alimentación prefijadas, solamente con un retardo de algunos milisegundos.
La disponibilidad del sistema de control redundante aumenta, ya que un fallo en la salida de la unidad periférica se reconoce y comunica rápidamente, con lo que puede realizarse una conmutación rápida a un ramal redundante del sistema de control, compuesto de ordenador de control y unidad periférica. El intervalo de tiempo se prefija por ejemplo de tal modo, que se detecta una caída breve (t < 20 milisegundos) de la corriente de salida y se produce una conmutación. En especial en el caso de que se active una turbina se necesita, en el caso de un fallo de una salida de la unidad periférica, una detección y una conmutación rápidas; esto se debe a que una caída de la corriente de activación durante un periodo de unos 20 milisegundos ya produce una caída de potencia de varios megavatios. El valor límite se prefija por ejemplo de tal modo que pueden reconocerse incluso pequeñas desviaciones producidas por fallos de hardware.
En una configuración de la invención está previsto un circuito especular de corriente, con lo que es posible una detección sencilla de la corriente de salida real.
Con base en el dibujo, en el que se ilustra un ejemplo de ejecución de la invención, se explican a continuación con más detalle la invención, sus configuraciones y ventajas.
Aquí muestran:
la figura 1 una activación redundante de actuadores,
la figura 2 un esquema lógico de un algoritmo de valoración y
la figura 3 un sistema de control redundante.
En primer lugar se hace referencia a la figura 3, en la que se ha representado un sistema de control redundante conocido por sí mismo. El sistema de control redundante está estructurado conforme al principio 1 de 2 y comprende una primera unidad redundante con un primer ordenador de control 1 y una primera unidad periférica 4, y una segunda unidad redundante con un segundo ordenador de control 2 así como una unidad periférica 5. Los sensores 8 detectan señales de proceso de un proceso técnico a controlar, que son leídas por las unidades periféricas 4, 5 a través de líneas 10 y se transmiten a los ordenadores de control 1, 2, a través de buses en serie o paralelo 6, 7 apropiados, en forma de señales digitales. Los ordenadores de control 1, 2 convierten estas señales en señales de control correspondientes para actuadores 9, en donde sólo una de las unidades redundantes transmiten estas señales de control a los actuadores 9 a través de una línea 11. Las unidades redundantes trabajan según un funcionamiento maestro-reserva, lo que significa que sólo está activada una unidad redundante, mientras que la otra está conectada de forma pasiva. Sólo la unidad redundante activada activa los actuadores 9 a través de su unidad periférica, y la otra unidad redundante transmite a su unidad periférica solamente una señal cero. Para intercambiar informaciones, por ejemplo en forma de informaciones de estado y ajuste, está previsto un acoplamiento redundante 3, a través del cual están unidas entre sí las unidades redundantes. Para el caso en el que la unidad redundante activada no trabaje sin fallos, la unidad redundante activada indica el fallo a la unidad redundante pasiva a través del acoplamiento redundante 3, con lo que la unidad redundante par pasiva cambia al modo de funcionamiento activo, es decir, esta unidad redundante se conecta activamente y asume el funcionamiento maestro, mientras que la unidad redundante par activa se conecta pasivamente y cambia al funcionamiento de reserva. Un cambio de la maestría debe realizarse de tal modo y manera, que a los actuadores se transmitan las señales de control fundamentalmente de forma continua y en lo posible sin caídas de señal.
Con relación a esto se hace referencia a la figura 1, en la que se ha representado una activación redundante de un actuador en forma de una carga inductiva. Las piezas iguales representadas en las figuras 1 y 2 están dotadas de los mismos símbolos de referencia. Las unidades periféricas 4, 5 estructuradas de forma redundante presentan salidas analógicas 12, 13 conectadas en paralelo, en donde dependiendo de qué unidad redundante trabaja en funcionamiento maestro, la salida 12 de la unidad periférica 4 o la salida 13 de la unidad periférica 5 alimenta una corriente I a un actuador 9'. Para el caso en el que la unidad redundante, a la que está asociada la unidad periférica 4, esté activada, la unidad periférica 4 alimenta la corriente I al actuador 9' a través de su salida 12. La unidad redundante que comprende la unidad periférica 5 es en este caso por el contrario pasiva, con lo que la unidad periférica 5 no alimenta ninguna corriente al actuador 9'. De forma correspondiente la unidad periférica 4 está conectada pasivamente, en el caso de que la unidad periférica 5 transmita la corriente I al actuador 9'.
Para que las unidades periféricas 4, 5 reconozcan lo más rápidamente posible fallos en sus salidas, las unidades periféricas 4, 5 están dotadas de medios que vigilan en cada caso la corriente de salida de sus salidas analógicas 12, 13 e indican fallos a los ordenadores de control. Para esto cada unidad periférica 4, 5 presenta un circuito especular de corriente, que primero detecta su corriente de salida real, después la digitaliza y por último transmite la corriente de salida real digitalizada a un algoritmo de valoración. El algoritmo de valoración compara esta corriente de salida real con una corriente de salida nominal prefijada a la unidad periférica mediante el ordenador de control, en donde el algoritmo de valoración indica al ordenador de control una avería, en el caso de que
-
durante un intervalo de tiempo prefijable la diferencia entre la corriente de salida real y la corriente de salida nominal sea mayor que un valor límite prefijable (vigilancia de cortocircuito) y/o
-
la velocidad de variación de la corriente de salida real no sea fundamentalmente isocrónica con la velocidad de variación de la corriente de salida nominal (vigilancia de rotura de hilo).
Con relación a esto se hace referencia a la figura 2, en la que se ha representado un esquema lógico de un algoritmo de valoración de una unidad periférica. Un sustractor 14 establece la diferencia a partir de una corriente de salida real I_{ist} y una corriente de salida nominal I_{soll}, en donde el importe de esta diferencia establecido mediante un formador de importes 15 se compara con un valor límite prefijable Gw1 de un ajustador de valores límite 16 a través de un intervalo de tiempo \tau de un elemento de retardo 17. Para el caso en el que para este intervalo de tiempo \tau la diferencia sea menor que el valor límite Gw1 prefijable, se genera una señal de error F a través de un elemento de enlace y/o 23, que indica a un ordenador de control un fallo de una salida analógica de una unidad periférica. Para que puedan reconocerse incluso desviaciones producidas por fallos de hardware reducidos, se ajusta el valor límite Gw1 muy pequeño. También para el caso en el que la velocidad de variación (\DeltaI_{ist}/\Deltat) de la corriente de salida real I_{ist} fundamentalmente no sea isocrónica con la velocidad de variación (\DeltaI_{soll}/\Deltat) de la corriente de salida nominal I_{soll}, se indica un error F al ordenador de control, en donde esta indicación de error avisa de que existe una avería total del hardware de la salida analógica de la unidad periférica. Esta avería puede estar provocada por ejemplo por una rotura de la línea 11 entre la unidad periférica 4, 5 y el actuador 9' (figura 1). La velocidad de variación de corriente de la corriente de salida real I_{ist} y de la corriente de salida nominal I_{soll} son detectadas por los elementos 18, 19, en donde se acciona una señal de error F a través del elemento de enlace y/o 23, en el caso de que un elemento y 22 detecte que por un lado la velocidad de variación de corriente de la corriente de salida real I_{ist} es negativa, la misma no supera un valor límite Gw2 prefijable de un ajustador de valores límite 19 y, por otro lado, fundamentalmente no se ha producido de forma isocrónica con la variación de la corriente de la corriente de salida real I_{ist} una variación de la corriente de la corriente de salida nominal I_{soll}. Con ello se parte del reconocimiento de que el actuador 9' presenta como sistema electromagnética una inductividad L muy elevada. Por medio de esto se hace efectiva una variación de corriente \DeltaI, en el caso de una inductividad y una tensión de alimentación U prefijadas de la salida analógica, sólo con un retardo de unos milisegundos, en donde se aplica
\Deltat = L \text{*}\frac{\Delta I}{U}.
Para evitar mensajes de error "no autorizados" no se transmite al ordenador de control una desviación de la corriente de salida nominal y real sin filtrar, sino que se filtra primero a través de varias etapas temporales. Sólo si una desviación se prolonga más allá del tiempo \Deltat, se acciona un mensaje de error y se produce una conmutación.

Claims (3)

1. Unidad periférica para un sistema de control redundante, que presenta un primer y un segundo ordenador de control (1, 2), en donde a la unidad periférica (4, 5) pueden alimentarse datos de control desde uno de los ordenadores de control (1, 2), que representan una corriente de salida nominal (I_{soll}) para activar una carga inductiva, en donde mediante la unidad periférica (4, 5) puede alimentarse una corriente de salida real (I_{ist}) a la carga inductiva (9), a través de una salida (12, 13) de la unidad periférica (3, 4) y a través de una línea, caracterizada porque la unidad periférica (4, 5) está dotada de medios que detectan la corriente de salida real (I_{ist}) y comparan la corriente de salida real (I_{ist}) con la corriente de salida nominal (I_{soll}) y/o detectan la velocidad de variación de la corriente de salida real (I_{ist}) y la comparan con la velocidad de variación de la corriente de salida nominal (I_{soll}), en donde los medios indican a uno de los ordenadores de control una avería de la salida (12, 13), en el caso de que
-
durante un intervalo de tiempo prefijable (\tau) la diferencia entre la corriente de salida real (I_{ist}) y la corriente de salida nominal (I_{soll}) sea mayor que un valor límite prefijable (Gw1) y/o
-
la velocidad de variación de la corriente de salida real (I_{ist}) no sea fundamentalmente isocrónica con la velocidad de variación de la corriente de salida nominal (I_{soll}).
2. Unidad periférica según la reivindicación 1, caracterizada porque los medios para detectar la corriente de salida real están dotados de un circuito especular de corriente.
3. Sistema de control redundante con un primer y un segundo ordenador de control, en donde cada ordenador de control (1, 2) está dotado de una unidad periférica (4, 5) según la reivindicación 1 ó 2, y las unidades periféricas pueden conectarse a una carga inductiva (9) a través de un punto de unión común.
ES04803758T 2003-12-10 2004-12-10 Unidad periferica para un sistema de control redundante. Active ES2303651T3 (es)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
DE10357797 2003-12-10
DE2003157797 DE10357797A1 (de) 2003-12-10 2003-12-10 Peripherieeinheit für ein redundantes Steuersystem

Publications (1)

Publication Number Publication Date
ES2303651T3 true ES2303651T3 (es) 2008-08-16

Family

ID=34672564

Family Applications (1)

Application Number Title Priority Date Filing Date
ES04803758T Active ES2303651T3 (es) 2003-12-10 2004-12-10 Unidad periferica para un sistema de control redundante.

Country Status (5)

Country Link
EP (1) EP1692578B1 (es)
CN (1) CN100541363C (es)
DE (2) DE10357797A1 (es)
ES (1) ES2303651T3 (es)
WO (1) WO2005057306A1 (es)

Families Citing this family (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
DE102007022631B3 (de) * 2007-05-11 2008-12-18 Phoenix Contact Gmbh & Co. Kg Parametierungsüberwachung für analoge Signalbaugruppen
EP2048555A1 (de) * 2007-10-01 2009-04-15 Siemens Aktiengesellschaft Analoge Ausgabeeinheit mit Fehlererkennung
DE102009022389A1 (de) * 2009-05-22 2010-12-02 Phoenix Contact Gmbh & Co. Kg Steuerungssystem zum Steuern eines Prozesses
EP2280326B1 (de) * 2009-07-09 2014-04-16 Siemens Aktiengesellschaft Spannungsversorgungsmodul für ein Automatisierungssystem
EP3214512B1 (de) * 2016-03-02 2018-04-25 Siemens Aktiengesellschaft Redundantes steuersystem für einen aktor und verfahren zu seiner redundanten steuerung

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2703480B1 (fr) * 1993-03-30 1995-06-02 Merlin Gerin Interface analogique de sécurité.
DE4312305C5 (de) * 1993-04-15 2004-07-15 Abb Patent Gmbh Sicherheitsgerichtete speichergrogrammierbare Steuerung
ES2118170T3 (es) * 1993-10-11 1998-09-16 Siemens Ag Modulo de procesamiento para un sistema de automatizacion modular.
DE10008434A1 (de) * 2000-02-23 2001-09-20 Phoenix Contact Gmbh & Co Verfahren und Vorrichtung zur Sicherheitsüberwachung einer Steuereinrichtung
JP2003217294A (ja) * 2001-11-16 2003-07-31 Fujitsu Ltd 半導体記憶装置、及び冗長判定方法

Also Published As

Publication number Publication date
WO2005057306A1 (de) 2005-06-23
EP1692578B1 (de) 2008-04-30
DE10357797A1 (de) 2005-08-04
DE502004007013D1 (es) 2008-06-12
CN1914570A (zh) 2007-02-14
CN100541363C (zh) 2009-09-16
EP1692578A1 (de) 2006-08-23

Similar Documents

Publication Publication Date Title
EP0725738B1 (en) Control means for electrically driven vehicles
US7095134B2 (en) Error recognition for power ring
US6781807B2 (en) Field device power supply failure detection
US7149925B2 (en) Peripheral component with high error protection for stored programmable controls
JP6451323B2 (ja) ロボットの配線方法
CN103081052A (zh) 用于以故障安全的方式接通或断开危险的设备的安全电路装置
JP2008146659A (ja) 安全モジュール及び自動化システム
ES2303651T3 (es) Unidad periferica para un sistema de control redundante.
CN109564413A (zh) 操作现场总线系统的现场总线模块和方法
ES2309643T3 (es) Modulos de entrada/salida seguros para un controlador.
US9912143B1 (en) Hot standby for lamp driver
ES2307263T3 (es) Dispositivo para la generacion segura de señales.
EP1535798B1 (en) A vehicle lamp controlling device and vehicle lamp controlling method
US20090195952A1 (en) Method and Apparatus for Protecting Against Reverse Current Flow
JP3838037B2 (ja) 通信子局及び制御装置
KR100626737B1 (ko) 디젤발전 분산제어시스템용 원격단말장치의 마이크로컨트롤러 이중화 제어장치
CN220626920U (zh) 一种工业机器人数据检测系统
JP5085811B1 (ja) 断線検出方式およびその方式に使用する子局ターミナル
KR101352859B1 (ko) 리던던트 아날로그 입력장치
JPH0612172B2 (ja) ガス漏れ警報遮断装置
JP2009003729A (ja) データ処理システム
RU1833838C (ru) Устройство дл программного управлени
JPH043136B2 (es)
JP2011248625A (ja) 制御装置の故障診断回路および故障診断方法
JPS63118802A (ja) フエイルセ−フ信号出力pi