SE523412C2 - Programmerbart säkerhetssystem - Google Patents

Description

25 30 523 412 n O ° ° ' ' , , ° ~ ø u . o» 2 Fig. 1 visar schematiskt ett utförande av ett system enligt uppfinningen, Fig. 2 visar schematiskt en så kallad ”laddningspump”, i systemet enligt uppfinningen, F ig. 3 visar schematiskt en del av systemet enligt uppfinningen, F ig. 4 visar schematiskt olika utgångstyper, i systemet enligt uppfinningen, Fig. 5 visar schematiskt ingångar, i systemet enligt uppfinningen, F ig. 6 visar schematiskt olika anslutningsplintar, i systemet enligt uppfinningen, Fig. 7 visar schematiskt en del av systemet enligt uppfinningen, och Fig. 8 och 9 visar schematiskt olika utgångstyper.

Beskrivning av uppfinningen Fig. 1 visar schematiskt systemet enligt uppfinningen. De olika detalj erna i systemet enligt uppfinningen beskrivs i det följande.

Ingångar Samtliga ingångar är redundanta. En enskild ingång ger stopp enligt kategori 4, EN 954-1.

Ingångama läses kontinuerligt med en viss frekvens. Filtertiden utgår ifrån att ett beslut fattas utifrån majoriteten av de tre senaste läsningarna d.v.s. två läsningar efter ett omslag. Möjlighet finns att minska och öka filtertiden.

Några av ingångarna har mjukvarurnässigt styrda pull up- eller pull down-motstånd för att valbart kunna ta emot NPN- eller PNP-givare.

Laddningspump ”Laddningspumpen” , visat schematiskt i fig. 2, är en konstruktion där utspänning genereras av en kondensator som kontinuerligt laddas och laddas ur av två transistorer. De båda transistorerna som styrs av var sin processor, leder växelvis så att kondensatorn först laddas upp genom att den första transistom öppnar till plus. Därefter sker urladdning genom att den första transistorn stänger och den andra transistom öppnar till noll volt. Under urladdningsfasen ”suger” kondensatom ström från utgången och därav uppstår negativa spänningen på utgången. 10 15 20 25 30 523 412 3 Genom att laddningspumpen kräver att processorema är aktiva, fungerar den som en s.k. watchdog vilken sarmolikt omedelbart avbryter energitilltörseln till utgången om en processor slutar exekvera programmet på rätt sätt.

För att få en jämnare utspänning kan två laddningspumpar kopplas parallellt med varandra. Dessa båda laddningspumpar arbetar växelvis vilket innebär att när kondensatorn i den ena laddas upp så laddas den ur i den andra. Denna konstruktion definieras som dubbel laddningspump.

Reläutgångar Varje processor styr via separata transistorer var sitt relä. För att uppnå diversitet är de båda transistorerna av olika teknologi. Reläema har tvångsfórda kontakter och övervakas av processorena.

Mjukvaran övervakar reläernas falltid.

Som ytterligare säkerhet genereras spänningen till reläspolama av en laddningspump. Därigenom har processorema ytterligare möjlighet att fälla reläerna för utom med de båda transistorema som direkt styr reläema.

En brytande kontakt i varje tvångsfórt relä återkopplas till processorn för att övervaka att det fallit.

Om processorn endast får svar från ett av två reläer som dubblerar varandra provar processorn att dra och fälla det felande reläet igen. Tillfälliga fel i övervakningskretsen på grund av oxid på kontakterna eller dylikt behöver då inte leda larm och stopp.

Laddníngspumpsutgångar Varje utgång drivs av dubbel laddningspump. Eftersom konstruktionen har dioder vilka fungerar som frihjulsdioder och ger en förlängd falltid vid induktiva laster till utgången, kompletteras utgången med ytterligare en transistor i serie med utgången. Transistorn övervakas genom en ingång till en av mikroprocessorerna. Transistom styrs av den andra processorn.

Med ingången till processorn övervakas falltiden kan även användas för att detektera extern kortslutning till annan främmande spänning. 10 15 20 25 30 1 ' ' ' ' ' , , ' n o n n . oo Falltidsövervakning för laddningspumpsutgångar.

I applikationsprogramrnet kan falltidsövervakning för någon av laddningspumps-utgångama väljas.

När falltidsövervakningen för en utgång löst ut är utgången förhindrad att återgå till och felet indikeras.

Felet kan återställas genom påverkan av återställningsknappen.

Kortslutníng till främmande spänning, laddningspumpsutgång När övervakningen detekterar kortslutning till främmande spänning, är utgången förhindrad att återgå till och felet indikeras.

Felet kan återställas genom att påverkan av en återställningsknapp.

T ransistorutgångar ej säkerhet Utgångarna är avsedda för indikering och som dynamiska utgångar. Dynamiska utgångar är utgångar som driver ingångar. De tre första utgångama IQl0 ~ IQ12 kan används som dynamiska utgångar.

De dynamiska utgångama ger ifrån sig ett unikt pulståg vilket gör att man kan detektera kortslutningar mellan kanaler kopplade till olika dynamiska utgångar.

Två av utgångarna är strömövervakade för att möta kravet på övervakning av indikeringslarnpor för íörbikoppling enl. EN 61 496-1.

Identifierare För att identifiera varje enhet i ett nätverk finns det en identitetsbärare som ansluts till en speciell anslutningsplint. Identifieraren är en externt monterad krets som lagrar ett unikt nummer och utgör en del av elinstallationen / platsen där enheten är fysiskt monterad. En enhet kan avläsa identifierarens nummer och därmed avgöra sin egen identitet. Vid utbyte av en enhet bibehålls rätt identitet. Varje enhets identitet är viktig i nätverkskoppling för att kunna nurnrera I/O i systemet. 10 15 20 25 30 u n. nu I ' f .

'...... - -;,:Z'.... .--;; u. n» s. n . , , y v U " I u n HH ' .auf 5 ;vo När t. ex. en ingång används som villkor i applikationspro grammet anger beteckningen dels i vilken enhet som ingången finns i samt vilket ingångsnummer den har inom enheten.

Systemet förhindrar också fdrväxling av enheter med olika program genom att användarprograrnmet kan spärras till att endast fungerar tillsammans rätt identifierare.

CAN-buss extern kommunikation Enheterna kopplade till bussen får tillgång till varandras in- och utgångsstatus och ett antal flaggor.

När en enhet tappar kontakten med busskommunikationen, betraktar övriga enheter dess I/O som logiska nollor. Överlysning ljusbommar Systemet kan också klara av ljusbommar där man traditionellt har problem med ”överlysning” från andra lj usbommars sändare. Ljusbommainas sändare drivs av var sin dynamisk utgång. Mottagarna är kopplade till var sin ingång. Genom att ingångama är försedda med utgångstransistorer kan man med dessa bakvägen spänningssätta ledningen från mottagaren till ingången. Systemet kan med hjälp av detta utföra en testsekvens som kan särskilja kortslutning mellan motagamas utgångsledningar från överlysning. Som överlysning definieras att en sändare i ett ljusbomssystem samtidigt lyser in i två mottagare. Överföring av program mellan målsystemet (säkerhetssystemet) och programutvecklingssystemet sker sladdlöst över optolänk.

Hantering av in- och utgångar Lösningen bygger på en s k tvåprocessorlösning där båda processorerna skall komma fram till samma resultat vid exekvering av applikationsprogram samt ha ”samma uppfattning” om in- och utgångsstatus. Alla processorer kommunicerar med varandra via Can-Bussen, även systerprocessorer sinsemellan. Hädanefter kallas processor och systerprocessor for processor A respektive processor B. 10 15 20 25 30 5 2 3 4 1 2 6 Data för in- och utgångar lagras i RAM-minne. Den del av RAM-minnet i en processor som hanterar I/O är uppdelat i två delar. En för ingångsstatus samt en för utgångsstatus.

Hantering av ingångar / íngångsstatus Ingångarna döps till 10,0... och uppåt. Den första enheten i ett nätverk hanterar ingångama I0.0-IO.17, den andra 11.10-11.17, den tredje I2.0-I2.17 o.s.v..

RAM är för ingångarna uppdelat i tre delar: - IA000. .. - data inhärntat av A-processorer, - IBOOO. .. - data inhämtat av B-processorer samt ~ en för processdata I000... .

Processdata är data som applikationsprograrnmet använder sig av. Uppdelning av RAM görs så att adressen för första ingången i de tre respektive delarna ej är en jämn multipel av 2. Alltså krävs mer än ett bitskift i adressordet för att peka ut IA000 istället för IBOOO.

Arbetsgången för t.ex. processor A i den första enheten är följ ande: Processorn läser av ingångar-na i sin egen enhet I0.0-I0.17 och lägger resultatet i minnesadresserna IA000-IA017 samt skickar ut det på bussen till övriga processorer. Kontinuerligt läser den övriga processorers ingångsstatus från bussen och lägger data på respektive minnesadress resterande del av IA. .. och IB. .. . Där bland kommer data från systerprocessom B som läggs i IB000-IB0l 7.

Minnesareoma IA. .. och IB. . . jämförs sedan och om innehållet är lika kopieras innehållet till minnesarean för processdata 1000... . Upptäckta olikheter i jämförelsen leder till larm samt att processorn fäller sina egna säkerhetsutgångar. Kortvariga olikheter accepteras dock eftersom det kommer att inträffa på grund av hårdvarumässiga olikheter i de båda kanalernas hårdvara.

Hantering av utgångar / utgångsstatus Utgångsstatus hanteras på samma sätt som ingångsstatus med skillnaden att det inte är hårdvaran som ger ändringen av status utan istället applikationsprogrammet som fattat beslutet att en viss utgång 10 15 20 25 30 5 2 3 4 12 _ _ _ _ _ _ 7 skall gå hög eller låg. Med applikationsprogrammet menas den del av mjukvaran som skrivs av användaren.

På motsvarande sätt som för ingångsstatus finns det för vaij e processor minnesareoma QA000. . ., QBOOO. . ., och för processdata Q000. .. . Skillnaden i databehandling är att den egna enhetens processdata uppdateras av respektive processors egna applikationsprogram. Processdata kopieras därefter till sin plats i QA. .. / QB. .. för jämförelse samt sänds ut på bussen.

Uppfinningen är ett programmerbart säkerhetssystem avsett att användas till säkerhetsfunktioner där man inte accepterar att ett fel i styrkretsen leder till att skyddsfunktionen uteblir. För att uppnå detta är därför funktionerna dubblerade och övervakade. Jämfört med ett konventionellt PLC-system har uppfinningen därför två mikroprocessorer. Varje ingång är separat kopplad till båda processorema vilka har sitt eget minnen, exekverar varsitt program och kontinuerligt jämför resultatet med varandra. Varje säkerhetsutgång är kopplad till båda processorema och kan därför inte gå till utan att dessa är överens om att villkoren är uppfyllda.

Uppfinningen är främst konstruerat för att uppfylla maskindirektivets krav för säkerhet i styrsystem och kraven för kategori 4 enligt harrnoniserad standard EN 954-1. Det hindrar dock ej användning inom andra områden som processindustri, pannanläggningar m.m. där motsvarande säkerhetskrav ställs.

Uppfinningen är inrymt i en bred kapsling som snäpps fast på en DIN -skena i ett apparatskåp eller annan kapsling. Extema ledare ansluts på skruvplint. För att underlätta arbetet och förhindra felaktig inkoppling vid ett utbyte av en enhet, är anslutningsplintarna löstagbara.

Elektrisk anslutning Systemet, schematiskt visat i fig. 3, kan matas med 24 V DC. Systemets anslutning för OV skall vara förbunden med skyddsjord, dels av elsäkerhetsskäl och dels för att detektera jordfel som i annat fall kan sätta skyddsfunktionen ur spel (se EN 60 204-1, 9.1.4).

In- och utgångar 10 15 20 25 30 .uns 0 . n . , . o u u n nu För att vara så allsidig som möjligt är uppfinningen försedd med ett varierat utbud av in- och utgångstyper, schematiskt visade i fig. 4. 10-17 1Q1o-1Q17 Digitala säkerhetsingångar Varje ingång, schematisk visad i fig. 5, är ansluten till båda processorerna vilket medger inkoppling av såväl enkanali ga som tvåkanaliga säkerhets funktioner.

Ingångarna kan drivas av t.ex. +24V eller någon av de dynamiska utgångar IQ10-l2.

Digitala säkerhetsingångar, digitala utgångar (ej säkerhet) I denna grupp av 8 st. anslutningsplintar, schematiskt visade i fig. 6, innehåller 4 st. funktioner.

Varje anslutningsplint är som ingång ansluten till båda processorerna och kan därrned användas som säkerhetsingång.

Varje anslutningsplint har också en utgångstransistor vilket gör att användaren kan välja konfigurera plintama som utgångar, dock ej säkerhetsutgångar. Utgångama är tänkta för fianktioner som inte kräver redundans t.ex. indikeringslampor, schematiskt visad i fig. 7.

IQlO-IQl2 kan konfigureras som dynamiska utgångar som används för att driva ingångar. När en ingång konfigurerar som sådan genereras ett unikt pulståg. Genom att ingången konfigureras för att endast acceptera detta pulståg som ingångsvillkor kan systemet detektera extema kortslutningar. Se vidare beskrivning.

IQl6-IQl7 kan övervaka utgångsström då anslutningsplintama används som utgångar. Funktionen är främst ämnad för övervakning av törbikopplingslarnpor (mutinglampa) i enlighet med EN 61 496-1. I vissa fall är det lärnpligt att indikera att en skyddsanordning är törbikopplad. Genom att övervaka att det flyter ström kan man övervaka att glödtråden i lampan är hel. 10 15 20 25 30 Q0~Q1 Qz-Qß 523 412 9 | | u I ' I ' | ; » n u.

Säkerhetsutgângar relä.

Potentialfria reläutgångar där varje utgång är enskilt redundant genom seriedubblering av två reläkontakter styrda av vardera processorn. Bortsett från risken för yttre kortslutningar i t.ex. kablage kan en enda utgång användas för att styra en säkerhetsfunktion.

Förutom att reläema styrs av separata transistorer genereras spänningen till reläspolaina av en laddningspump. (För laddningspumpens funktion, se nedanstående beskrivning för transistorutgångar.) Säkerhetsutgångar transistor.

Digitala säkerhetsutgångar där varj e utgång är enskilt redundant och kan därmed ensam styra en säkerhetsfunktion. Se fig. 8 och 9. Utspänningen är nominellt cza - 24V.

Den negativa utspänningen beror på att laddningspumpsprincipen tillämpas.

Laddningspumpen är en konstruktion där utspänning genereras av en kondensator som kontinuerligt laddas och laddas ur av två transistorer. De båda transistorema leder växelvis så att kondensatom först laddas upp genom att den ena transistorn öppnar till plus, därefier stänger den och den andra transistom öppnar till noll volt och laddar ur. Under urladdningsfasen ”suger” kondensatorn ström från utgången och därav uppstår negativa spänningen på utgången. Genom att konstruktionen kräver alla komponenter fungerar och kontinuerligt växlar tillstånd i rätt fas leder ett fel i någon av de inblandade komponenterna till att genereringen av utgångsspänning upphör omedelbart.

En fördel för användaren med negativ spänning på utgången är att det är norrnalt ingen spänning som finns i ett elsystem. Uppfinningen kan därför upptäcka externa kortslutningar mellan utgång och främmande spänningar eftersom utgângens spänningsnivå övervakas.

Busskommunikation 10 15 20 523 412 10 ' ' ' ' ' , , ' n ø Q . ao Flera enheter, enligt uppfinningen kan kopplas samman i ett nätverk med en CAN -buss. Kopplingen görs genom att ansluta respektive enhets anslutningsplintar CH och CL till parttvinnad tvåtråd. Så snart sammankopplingen är gjord kan enheterna läsa varandras l/O.

Vid nätverkskoppling är principen att varje enhet exekverar sitt eget program och lever därmed ett självständigt liv. Avbrott på bussen leder till att I/O i en enhet som man förlorat kontakten med betraktas som 0-ställda av övriga enheter men pro gramexekveringen fortsätter. Det är alltså användarens program som avgör konsekvensen av ett avbrott. T.ex. om en l-ställd ingång i en annan enhet utgör villkor för att dra en utgång kommer utgången att falla, medan en annan utgång som bara har ”egna” I/O som villkor inte kommer att beröras av avbrottet.

Utveckling av användarprogram sker med PC-dator. Kommunikation mellan PC och PLC-systemet sker sladdlöst via lR-port. Förutom ned- och uppladdning av program finns det monitorfimktion varmed aktuell status för in-, utgångar, hj älpminnen kan avläsas med PC-datorn.

Antal enheter, komponenter, signaler, signalnivåer etc., enligt föregående beskrivning är givna som exempel och kan variera med hänsyn till applikation, krav osv.

Claims (23)

1. 0 15 20 25 30 525 412

2. H

3. Pl6060SE.C02, 2001-05-17

4. Patentkrav

5. . Ett programmerbart säkerhetssystem avsett att användas till säkerhetsfurildioner, i vilket ett fel i en styrkrets inte leder till att en skyddsfunktion uteblir, vilket system innefattar övervakade funktioner bestående av minst två styrenheter, ingångar separat kopplade till båda styrenheterna, varvid varje styrenhet exekverar varsin instruktionsuppsättning och kontinuerligt jämför ett resultat från exekveringen med varandra, kännetecknat av, att åtminstone en styrenhet kan tillgängliggöras en andra styrenhets in- och/eller utgångsstatus och/eller ett antal flaggor och att styrenhetema är anordnade att övervaka resultatet av varsin exekverade instruktionsuppsättning och kontrollera att resultaten av exekveringarna är väsentligen likvärdiga.

6. System enligt patentkrav l, kännetecknat av att ingångama läses kontinuerligt med en viss frekvens.

7. System enligt patentkrav 2, kännetecknat av att en filtertid utgår ifrån att ett beslut fattas utifrån majoriteten av de tre senaste läsningarna d.v.s. två läsningar efter ett omslag.

8. System enligt patentkrav 2 eller 3, kännetecknar av att några av ingångarna har mjukvarumässigt styrda pull up- eller pull down-motstånd för att valbart kunna ta emot NPN- eller PNP-givare.

9. System enligt patentkrav 1-4, kännetecknar av att det innefattar en laddningsgenerator där utspärming genereras av en kondensator som kontinuerligt laddas och laddas ur av transistorer. 10 15 20 25 30

10.

11.

12. 523 4 1 u _ . System enligt patentkrav 5, kännetecknar av att transistorema som styrs av var sin styrenhet, leder växelvis så att kondensatorn först laddas upp genom att den första transistorn öppnar till plus, därefter sker urladdning genom att den första transistom stänger och den andra transistom öppnar till noll volt. System enligt patentkrav 6, kännetecknar av att laddningsgeneratom kräver att styrenhetema är aktiva, vilket medför omedelbart avbrott av energitilltörsel till utgången om en styrenhet slutar exekvera instruktioner på ett korrekt sätt. System enligt patentkrav 5, kännetecknar av att en jämnare utspänning uppnås genom att två laddningsgeneratorer kopplas parallellt med varandra. System enligt patentkrav l, kännetecknar av att varje styrenhet styr via separata transistorer var sitt relä, System enligt patentkrav 8, kännetecknar av att de båda transistorerria är av olika teknologi. System enligt patentkrav 8, kännetecknar av att reläerna har tvångsfórda kontakter, övervakade av styrenhetema. System enligt patentkrav 10, kännetecknar av 10 15 20 25 30

13.

14.

15.

16.

17.

18. | u | Q o- att en brytande kontakt i varje tvångsfcirt relä återkopplas till styrenheten för att övervaka att det fallit, och om styrenheten endast får svar från ett av två reläer som dubblerar varandra provar enheten att dra och falla det felande reläet igen. System enligt patentkrav 1, kännetecknat av att vid utgången övervakas falltiden vilken även kan användas för att detektera extern kortslutning till annan främmande spänning. System enligt patentkrav 13, kännetecknat av att när övervakningen detekterar kortslutning till främmande spärming, förhindras utgången att återgå och fel indikeras. System enligt patentkrav l, kännetecknat av att utgångama är dynamiska, vilka driver ingångar genererar ett unikt pulståg, vilket medför att kortslutningar mellan kanaler kopplade till olika dynamiska utgångar kan detekteras. System enligt patentkrav 1, kännetecknar av att varje enhet i ett nätverk identifieras genom en identitetsbärare. System enligt patentkrav 16, kännetecknat av att identifieraren är en externt monterad krets, som lagrar ett unikt nummer och utgör en del av elinstallationen/platsen där enheten är fysiskt monterad. System enligt patentkrav 17, kännetecknat av att en enhet är anordnad att avläsa identifierarens nummer och därmed avgöra sin egen identitet. 10 15 20 25

19.

20.

21.

22.

23. .. n" 0 a n nu u u n o I". f" , , q u I fl ~ ' ' ' ' ' ' " f v u. v v I ' ' . e v I u u n I I I - . , , , o n. n. -ø - ß g _ _ , , , . t n z : 3' °,,' . . . . ~ | - . » - . . u. f System enligt patentkrav 17, kännetecknat av att vid utbyte av en enhet bibehålls rätt identitet. System enligt patentkrav l, kännetecknar av att enheterna är sammankopplade via en databuss och har tillgång till varandras in-, utgångsstatus och/eller ett antal flaggor. System enligt patentkrav 20, kännetecknar av att när en enhet tappar kontakten med busskommunikationen, betraktar övriga enheter dess I/O som logiska nollor. System enligt patentkrav 20, kännetecknar av att bussen är en CAN-buss. System enligt patentkrav 1, kännetecknat av att systemet är anslutet till ljusbommar, vars sändare drivs av var sin dynamisk utgång, att mottagarna är kopplade till var sin ingång, att ingångarna är försedda med utgångstransistorer via vilka spänningssättes ledningar bakvägen från mottagaren till ingången, varvid systemet med hjälp av detta utför en testsekvens som kan särskilja kortslutning mellan motagarnas utgångsledningar från överlysning.