ITTO990180A1

ITTO990180A1 - Gruppo di sicurezza, particolarmente per equipaggiamenti di protezione elettrosensibili.

Info

Publication number: ITTO990180A1
Application number: IT99TO000180A
Authority: IT
Inventors: Jean-Bernard Givet
Original assignee: Schneider Electric Sa
Priority date: 1998-03-11
Filing date: 1999-03-10
Publication date: 2000-09-10
Also published as: IT1308419B1; GB2336451A; FR2776103A1; DE19910322A1; GB2336451B; GB9905262D0; US6473862B1

Description

DESCRIZIONE dell'invenzione industriale dal titolo: "Gruppo di sicurezza, particolarmente per equipaggiamenti di protezione elettrosensibili"

TESTO DELLA DESCRIZIONE

La presente invenzione riguarda un gruppo di sicurezza, particolarmente per equipaggiamenti di protezione elettrosensibili, comprendente:

- due micro-controllori che ricevono separatamente le informazioni (stati di ingresso) definite e sincrone per elaborarle e fornire rispettive uscite,

- i due micro-controllori essendo collegati tramite vincoli per rendere coerente lo svolgimento dei programmi che elaborano i due stati di ingresso nei micro-controllori, e

- un comparatore che ricevere le uscite dei micro-controllori per emettere un segnale in caso di discordanza fra le due uscite.

Tali gruppi di sicurezza equipaggiano in particolare macchine pericolose. Essi ricevono informazioni a partire da sensori ed elaborano i segnali ricevuti per abilitare il funzionamento dell'impianto, interromperlo o impedirlo.

A seconda della categoria di sicurezza nella quale tali gruppi di sicurezza sono classificati, le regole sono più o meno severe, e nella categoria più severa qualunque incidente di funzionamento deve essere trattato come la rilevazione di una persona che penetra nel campo protetto della macchina.

A questo fine, i gruppi di sicurezza noti, quali quelli citati in precedenza, presentano una struttura ridondante. Le informazioni vengono elaborate secondo due cammini, in modo sincrono, ed i due cammini scambiano informazioni di funzionamento. Poi, le uscite vengono confrontate per verificarne la coerenza.

Per modificare il funzionamento del gruppo di sicurezza, bisogna immettere una nuova parametrizzazione su ciascuno dei canali provvisti di un microprocessore. Questa immissione è relativamente lunga e fastidiosa perché si realizza, ad esempio, grazie ad interruttori, il che limita le possibilità in aggiunta agli inconvenienti sopra citati.

La presente invenzione ha lo scopo di rimediare a questi inconvenienti e si propone di creare un gruppo di sicurezza del tipo definito in precedenza che permette di modificare la parametrizzazione del gruppo di sicurezza per adattarla facilmente a nuove configurazioni e rendere l'insieme applicabile a numerosi casi, ossia polivalente.

A questo fine, l'invenzione riguarda un tale gruppo di sicurezza, caratterizzato dal fatto che comprende :

- una memoria riscrìvibile associata rispettivamente a ciascun micro-controllore,

- un'interfaccia comune ai due micro-controllori, collegata a questi ultimi attraverso un micro-controllore comune per scrivere i dati di parametrizzazione delle funzioni dei due micro-controllori attraverso il micro-controllore comune.

L'invenzione permette così di modificare in modo semplice la funzione del gruppo di sicurezza introducendo una sola volta tramite l'interfaccia i dati di parametrizzazione. Questi dati vengono comunicati dal microprocessore comune ai microprocessori associati a ciascuno dei due canali, che scrivono questi dati di configurazione nella loro rispettiva memoria riscrivibile. Durante tale aggiornamento o tale modifica del funzionamento del gruppo di sicurezza, le uscite sono interdette e il gruppo funziona in ricezione dei messaggi di parametrizzazione .

La scrittura bilaterale con scambio permette una scrittura sicura del messaggio che viene scritto e riconosciuto in doppio. Ciascun messaggio è costituito da un codice a ridondanza ciclica che permette la verifica e, in caso di discordanza, il rifiuto del codice.

Alla fine di tale parametrizzazione, il gruppo di sicurezza è nuovamente disponibile per assicurare la funzione di sicurezza attraverso l'elaborazione degli stati di ingresso ed il sincronismo dell'elaborazione tramite lo scambio diretto di dati fra i due microprocessori dei due canali di elaborazione paralleli.

Secondo ulteriori caratteristiche vantaggiose: - una memoria riscrivibile è associata rispettivamente a ciascun micro-controllore,

- un'interfaccia comune ai due micro-controllori è collegata a questi ultimi attraverso un micro-controllore comune per scrivere i dati di parametrizzazione delle funzioni dei due micro-controllori attraverso il micro-controllore comune.

La presente invenzione verrà descritta nel seguito in modo più particolareggiato con l'ausilio dei disegni annessi, nei quali:

- la figura 1 è uno schema di un gruppo di sicurezza noto,

- la figura 2 è uno schema di un gruppo di sicurezza secondo l'invenzione,

- la figura 3 fa vedere la fase di configurazione del gruppo di sicurezza, e

- la figura 4 fa vedere l'algoritmo generale del gruppo di sicurezza secondo l'invenzione.

In base alla figura 1, un gruppo di sicurezza noto, destinato alle applicazioni citate in precedenza, si compone di due rami aventi ciascuno un micro-controllore Questi due rami ricevono stati di ingresso rispettivamente, forniti da sensori che equipaggiano l'impianto o la macchina messa in sicurezza. I micro-controllori

forniscono le uscite applicate ad un comparatore K che a sua volta fornisce un segnale di uscita S dipendente dalle uscite . Il segnale di uscita S attiva un'operazione in caso di discordanza fra le uscite nel comparatore K. Questo segnale può essere un segnale di avviso ovvero un segnale di arresto della macchina o dell 'impianto.

Per modificare la configurazione del gruppo di sicurezza, secondo la tecnica nota, bisogna introdurre i dati di parametrizzazione P separatamente in ciascuno dei micro-controllori Questa operazione è lunga, delicata e fastidiosa.

Infine, la sincronizzazione dell'elaborazione effettuata da ciascuno dei micro-controllori

nei rami è assicurata da segnali di sincronizzazione scambiati direttamente fra i due micro-controllori

La figura 2 fa vedere schematicamente un gruppo di sicurezza secondo l'invenzione. Questo gruppo si compone parimenti di due canali equipaggiati ciascuno da un micro-controllore che scambiano fra loro segnali di sincronizzazione C3, C2 per sincronizzare l'elaborazione dei segnali di ingresso (stati di ingresso) ad essi applicati.

Ciascun micro-controllore è associato a una rispettiva riscrivibile In modo preferenziale, queste memorie sono del tipo EEPROM.

I due micro-controllori sono associati ad un micro-controllore comune con il quale ciascun controllore scambia separatamente informazioni

Il micro-controllore comune è collegato a un'interfaccia M, ad esempio un gruppo di tastipulsanti ed un visualizzatore per ricevere i dati di parametrizzazione P. Per poter facilmente comunicare con in esso è integrato un menu di svolgimento. Esso comprende le funzioni parametrabili, non limitative e, per talune, vi si accede tramite un codice di accesso confidenziale.

Le uscite dei micro-controllori

sono collegate a un comparatore K che fornisce un segnale di uscita S indicativo della concordanza dei segnali o della loro discordanza.

Questo gruppo di sicurezza funziona nel modo seguente, distintamente in due situazioni.

In un primo caso, è attivo e dialoga rispettivamente con i micro-controllori . Durante tale scambio, le uscite sono disattivate. Questo dialogo fra il micro-controllore comune

e i micro-controllori di ciascuno dei canali si può tradurre tramite la scrittura di informazioni nelle memorie riscrivibili

In un secondo caso, il micro-controllore comune non scambia informazioni con i microcontrollori che lavorano separatamente ed in sincronismo scambiando i dati e le informazioni In questa fase generano alla cieca informazioni verso MC3 attraverso i canali

e coglie tali informazioni al volo. In questi scambi sono esclusivamente ·emettitori e

è esclusivamente ricevitore.

La parametrizzazione delle funzioni dei microprocessori si realizza, come indicato in precedenza, attraverso l'introduzione dei dati di parametrizzazione P attraverso un'interfaccia M ed il micro-controllore comune

Il funzionamento dell'insieme di sicurezza descritto in precedenza e la sua parametrizzazione risultano dalla figura 3.

Così, attraverso l'interfaccia M, si introduce tramite i tasti-pulsanti o altri mezzi di ingresso, un messaggio nel micro-controllore che invia messaggi 1, 1' verso i micro-controllori

Questi ultimi scambiano segnali nei versi 2, 2' per verificare l'omogeneità dell'avanzamento. Poi i micro-controllori inviano ciascuno un messaggio 3, 3' per scriverlo nella memoria riscrivibile associata. Le memorie rinviano messaggi 4, 4' verso il loro rispettivo micro-controllore che scambia nuovamente informazioni 2, 2' e verifica il messaggio di ritorno poi rinvia il messaggio così ricevuto (sotto forma di parole con un codice di controllo 5, 5') verso il micro-controllore comune Dopo verifica, quest'ultimo visualizza il messaggio sul visualizzatore Il messaggio visualizzato è quello messo in memoria nelle memorie

Le operazioni della figura 3 sono riassunte nel seguito:

1 Messaggio trasmesso a l' 2 controllano mutuamente l'esistenza 2' del messaggio 2'

3 Scrittura nelle rispettive EEPROM 3' 4 Verifica del valore appena registrato in EE- 4' PROM da , rispettivamente

5 ritorno del messaggio di e MC2 verso 5 ' 6 Visualizzazione del messaggio memorizzato 6' Questa scrittura bilaterale con scambio permette una scrittura sicura del messaggio. In effetti il messaggio viene scritto e riconosciuto in doppio. Peraltro ciascun messaggio 1 e 5 è costituito da un codice presentante una distanza di Hamming pari a 4 rispetto agli altri codici. Questo viene ottenuto tramite un codice a ridondanza ciclica (parola CRC), vale a dire che ciascun codice porta in se stesso la sua autentificazione e se questa verifica non porta risultato, il codice viene rifiutato.

Il diagramma di flusso della figura 4 fa vedere il funzionamento del gruppo di sicurezza distinguendo il funzionamento normale (sfruttamento nominale) e la configurazione o caricamento dei parametri P.

In primo luogo, tramite il passo di RESET, corrispondente alla messa sotto tensione, il programma inizialìzza le periferiche ed effettua la prova delle zone di memoria . Si cambia la configurazione in memoria riscrivibile presente a tale istante e se il micro-controllore

non è stato sollecitato tramite i tasti/pulsanti dell'interfaccia M per effettuare un passaggio nella fase 2, si passa alla fase di elaborazione in sicurezza (fase 1) ed all'esecuzione delle funzioni di sicurezza . Si esce da questa esecuzione soltanto tramite un ripristino allo stato iniziale (RESET) generato dal micro-controllore comune MC3.

Peraltro, se dopo le prove di inizializzazione ed il caricamento della configurazioné esistente se il micro-controllore MC3 è stato sollecitato tramite l'interfaccia M, vale a dire i tasti/pulsanti per effettuare un passaggio nella fase 2, allora si passa nella fase 2. In primo luogo, la nuova configurazione viene trasmessa ai micro-controllori da parte del microcontrollore comune (passi . Questo caricamento è seguito da scambi e poi dalla registrazione della nuova configurazione nella memoria riscrivibile (passo . Se necessario, l'anello ricomincia con la nuova configurazione oppure si esce da tale anello tramite un segnale di RESET inviato dal micro-controllore comune

Così, in conclusione, i micro-controllori

lavorano secondo due fasi di funzionamento temporalmente distinte. Essi possono lavorare sia secondo una fase nominale di sicurezza, sia secondo una fase di configurazione con scrittura dei parametri. L'esecuzione dell'una o dell'altra delle due fasi è indipendente ed il passaggio da una fase all'altra si realizza esclusivamente attraverso il segnale di RESET.

Claims

RIVENDICAZIONI 1. Gruppo di sicurezza, particolarmente per equipaggiamenti di protezione elettrosensibili, comprendente - due micro-controllori che ricevono separatamente le informazioni (stati di ingresso) definite e sincrone per elaborarle e fornire uscite rispettive, - i due micro-controllori essendo collegati tramite vincoli per rendere coerente lo svolgimento dei programmi che elaborano i due stati di ingresso nei micro-controllóri

- un comparatore (K) che riceve le uscite

dei micro-controllori per emettere un segnale in caso di discordanza fra le due uscite

caratterizzato dal fatto che comprende: - una memoria riscrivibile associata rispettivamente a ciascun micro-controllore , e - un'interfaccia (M) comune ai due microcontrollori , collegata a questi ultimi attraverso un micro-controllore comune per scrivere i dati di parametrizzazione delle funzioni dei due micro-controllori attraverso il micro-controllore comune.
2. Gruppo di sicurezza secondo la rivendicazione 1, caratterizzato dal fatto che l'interfaccia è formata da tasti-pulsanti e da un visualizzatore.
3. Gruppo di sicurezza secondo la rivendicazione 1, caratterizzato dal fatto che il terzo microcontrollore ( 3) dialoga con i due microcontrollori che scrivono ciascuno informazioni nelle rispettive memorie mentre le uscite dei due micro-controllori , sono disattivate.
4. Gruppo di sicurezza secondo la rivendicazione 1, caratterizzato dal fatto che i micro-controllori lavorano secondo fasi di funzionamento temporalmente distinte, - una fase nominale di sicurezza, - una fase di configurazione, di scrittura dei parametri, l'esecuzione di dette due fasi essendo totalmente indipendente ed il passaggio da una fase all’altra realizzandosi esclusivamente attraverso il segnale di RESET.