DE19840562A1 - Sicherheitsbezogenes Steuer- und Datenübertragungssystem - Google Patents

Abstract

Der Erfindung liegt die Aufgabe zugrunde, ein sicherheitsbezogenes Steuer- und Datenübertragungssystem bereitzustellen, mit welchem für die Übertragung eines sicherheitsbezogenen Signals die Unterbrechung einer Bitfolge ausreicht. Hierzu ist erfindungsgemäß vorgesehen, daß der auf einem Feldbus (10) übertragene Datenstrom (15, 23) eine der sicherheitsbezogenen Eingangseinrichtung (12, 13) zugeordnete laufende Nummer (26) umfaßt, und eine Unterbrechung des Datenstroms oder der laufenden Nummer (26) das Schalten der zugeordneten Systemkomponente in einen sicheren Zustand zur Folge hat. Ein Kerngedanke der Erfindung ist somit darin zu sehen, daß bereits in Ansprechen auf die Unterbrechung einer bestimmten Dynamik eine zugeordnete sicherheitsbezogene Systemkomponente abgeschaltet werden kann.

Description

Die Erfindung betrifft ein sicherheitsbezogenes Steuer- und Datenübertragungssystem gemäß dem Oberbegriff des Anspruchs 1.

Im Zuge einer stetig zunehmenden Automatisierung von Prozeßabläufen erfolgt die gezielte, aufeinander abgestimmte Ansteuerung und Abfrage einzelner in den Prozeß eingebunden Maschinen, Anlagen, Aktuatoren und Sensoren häufig unter Verwendung von seriellen Feldbussystemen. Je komplexer das Ausmaß bzw. der Grad der Automatisierung ist, desto höher sind oftmals auch die sicherheitstechnischen Anforderungen, welchen ein Feldbussystem genügen muß.

Weisen einzelne Maschinen und/oder Anlagen in Ihrer Funktion Fehler auf, müssen je nach den vorliegenden sicherheitstechnischen Vorgaben und Normen z. B. einzelne Geräte, Anlagenbereiche, oder auch der gesamte Prozeß mit Hilfe entsprechender Steuersignale (z. B. Notaus) in einen sicheren Zustand gefahren werden.

Um bestehende Feldbussysteme sicherheitstechnisch dahingehend zu verbessern, daß zur Übertragung derartiger Steuersignale weder zusätzliche Leitungen noch redundante, sicherheitsbezogene Baugruppen erforderlich sind, sieht die Deutsche Offenlegungsschrift 197 42 716.2 vor, in der Master-Steuereinrichtung und bei den Busteilnehmern jeweils sicherheitsbezogene Einrichtungen zum Ausführen vorbestimmter Sicherheitsfunktionen anzuordneten, so daß diese sicherheitsbezogenen Einrichtungen über den Feldbus miteinander kommunizieren können.

Aufgabe der Erfindung ist es, ein sicherheitsbezogenes Steuer- und Datenübertragungssystem bereitzustellen, mit welchem für die Übertragung eines sicherheitsbezogenen Signals, wie beispielsweise ein Notaus-Signal, bereits die Unterbrechung einer Bitfolge ausreicht.

Die Lösung der Aufgabe ist durch ein sicherheitsbezogenes Steuer- und Datenübertragungssystem mit den Merkmalen des Anspruchs 1 gegeben.

An dieser Stelle sei zunächst ausdrücklich darauf hingewiesen, daß nachfolgend mit dem Begriff "System" sowohl eine Vorrichtung als auch ein Verfahren erfaßt wird. Ferner wird der Inhalt der vorstehend aufgeführten DE-OS-197 42 716.2 durch Bezugnahme vollumfänglich auch zum Gegenstand dieser Offenbarung gemacht.

Ein wesentlicher Kerngedanke der Erfindung liegt darin, ein sicherheitsbezogenes Steuer- und Datenübertragungssystem derart auszubilden, daß bereits in Ansprechen auf die Unterbrechung einer bestimmten Dynamik eine zugeordnete sicherheitsbezogene Systemkomponente abgeschaltet werden kann.

Vorgesehen ist ein sicherheitsbezogenes Steuer- und Datenübertragungssystem mit einem seriellen Feldbus, an welchen eine Master-Einrichtung und wenigstens ein Busteilnehmer angeschaltet sind. Je nach Art des Busteilnehmers sind daran sicherheitsbezogene Eingangs- und/oder Ausgangseinrichtungen ausgebildet, die mit einzelnen Systemkomponenten verbunden sind, die so über den Feldbus kommunizieren können. Der über den Feldbus laufende Datenstrom wird über die Eingangseinrichtung mit notwendigen Eingangsdaten aktualisiert, so daß unter Ansprechen auf den jeweiligen Datenstrom über die Ausgangseinrichtung ein entsprechendes Schalten einer zugeordneten Systemkomponente bewirkt wird.

Erfindungsgemäß ist ferner vorgesehen, daß in den Datenstrom zusätzlich eine der sicherheitsbezogenen Eingangseinrichtung zugeordnete laufende Nummer eingefügt ist, und eine Unterbrechung des Datenstroms oder der laufenden Nummer das Schalten der zugeordneten Systemkomponente in einen sicheren Zustand zur Folge hat.

Unter einer sicherheitsbezogenen Eingangs- bzw. Ausgangseinrichtung ist hierbei eine Einrichtung zu verstehen, die im wesentlichen unter Ansprechen auf Zustandsinformationen der Anlage vorbestimmte Sicherheitsfunktionen ausführt, die es ermöglichen, daß die gesamte Anlage, vorbestimmte Baugruppen oder Abschnitte der Anlage einen definierten Zustand erreichen können. So ist eine Eingangseinrichtung beispielsweise mit einer überwachenden Systemkomponente, wie einem Sensor und eine Ausgangseinrichtung mit einer zu sichernden Systemkomponente, wie einem Roboter verbunden.

Ein derartiges erfindungsgemäßes System bietet den Vorteil, daß auf die Übertragung einer Steuer-Information, wie beispielsweise Not-Aus, als explizites Bit innerhalb des Datenstroms verzichtet werden kann und die Verwendung der laufenden Nummer in Abhängigkeit von einer erzielbaren Restfehlerwahrscheinlichkeit bereits als einzige Maßnahme für sicherheitsgerichtete Anwendungen ausreicht.

In bevorzugter Weiterbildung ist vorgesehen, eine busteilnehmer- und/oder verbindungsabhängige dynamische Abfolge für die laufende Nummer vorzudefinieren, so daß das Senden einer statischen Information, die kein Glied der Abfolge repräsentiert zum Abschalten zugeordneter Systemkomponenten führt. Ermöglicht wird hierdurch auch eine Voreinstellung bei dem jeweiligen Busteilnehmer, die nicht bei jeder Unterbrechung zum Abschalten führt, sondern zunächst ein ein- oder mehrmaliges Nichterkennen einer zugeordneten Nummer toleriert, so daß dieses zu einem definierten verzögerten Abschalten führt oder durch die Verzögerung definiert Zeit lässt, durch Korrekturprogramme oder -routinen Fehler zu beheben.

Ist der Feldbus als Ring ausgebildet, und weist der Datenstrom eine der Ausgangseinrichtung zugeordnete Zieladressierung sicherheitsbezogener Daten auf, können die Busteilnehmer aktiv auf die durchgereichten Informationen zugreifen, welches zu einer wesentlich schnelleren Übertragungsgeschwindigkeit führt.

Ist zusätzlich eine Sicherheits-Master-Einrichtung dem Feldbus angeschaltet, kann hierüber eine zentrale Weiterverarbeitung der Eingangsinformationen erfolgen, insbesondere eine Lokalisierung und/oder Visualisierung einer möglichen Fehlerquelle. Auch kann beispielsweise das Abschalten der Versorgungsspannung aller Busteilnehmer eine vordefinierte Reaktion sein.

In der Praxis hat es sich ferner gezeigt, daß sicherheitsbezogene Einrichtungen oftmals mehrkanalig ausgebildet werden müssen, um eine geforderte Sicherheitskategorie zu erreichen oder die notwendige Datenmenge übertragen zu können.

Zweckmäßigerweise wird zur sicherheitsbezogenen Kommunikation über den Feldbus ein vorbestimmter Datenrahmen verwendet, in welchem über die Eingangseinrichtung sicherheitsbezogene Daten in Form eines Protokolls oder Telegramms generiert werden. Vorzugsweise ist vorgesehen, ein Interbus-Protokoll zu verwenden, wobei der Datenrahmen als Summenrahmen ausgebildet ist, in dem die Nutzdaten aller angeschalteten Busteilnehmer enthalten sind.

Erfindungsgemäß wird ferner vorgeschlagen, die Ausgangsbaugruppe mit einer Verknüpfungslogik bereitzustellen, wodurch eine sicherheitsbezogene Programmierung durchführbar ist. Darüber hinaus hat es sich als vorteilhaft erwiesen, Busteilnehmer mit einem konsistenten Abbild wenigstens von Teilbereichen des zu steuernden Prozesses auszustatten. So können die sicherheitsgerichteten Informationen direkt ausgewählt werden, so daß eine Kommunikation über den Master nicht mehr notwendigerweise erforderlich ist.

Die Erfindung wird nachfolgend anhand eines Ausführungsbeispiels in Verbindung mit den beiliegenden Zeichnungen beschrieben. Es zeigen:

Fig. 1 ein stark schematisiertes Blockdiagramm einer beispielhaften Interbus-Topologie zur Verwirklichung der Erfindung,

Fig. 2 eine Prinzipskizze eines beispielhaften Datenrahmens mit einem, eine laufende Nummer umfassenden Sicherheitsprotokoll, und

Fig. 3 ein der Fig. 1 entsprechendes Diagramm einer Interbus-Topologie, bei welchem jedoch zusätzlich ein Sicherheitsmaster angeschaltet ist.

Fig. 1 zeigt exemplarisch ein Feldbussystem, das auf dem Interbus-System für ein Steuer- und Datenübertragungssystem, wie dieses beispielsweise in der Fachliteratur "Interbus-S, Grundlagen und Praxis", Hüthig Buchverlag, Heidelberg, 1994, von Alfredo Baginsky et al. beschrieben wird, basiert und vorzugsweise der DIN EN 19258 genügt.

An den Interbus 10 sind eine Master-Steuereinrichtung 11 und drei Busteilnehmer 12, 13 und 14 angeschaltet. Ferner sind drei Datenblöcke 15 skizziert, die in Richtung des Pfeils "A" die Ringstruktur durchlaufen. Die Busteilnehmer 12 und 13 umfassen hierbei beispielhaft eine sicherheitsbezogene, mit einem Sensor gekoppelte Eingangseinrichtung, und der Busteilnehmer 14 eine sicherheitsbezogene Ausgangseinrichtung, die mit einer zu sichernden Baugruppe verbunden ist.

Es sei ausdrücklich darauf hingewiesen, daß die vorliegende detaillierte Beschreibung lediglich auf eine beispielhafte Ausführungsform Bezug nimmt, wohingegen die Erfindung auf andere Feldbussysteme sowie auf Systeme aus mehreren zusammengeschalteten, heterogenen Feldbussystemen anwendbar ist.

Der Interbus 10 ist in an sich bekannter Weise derart erweitert, daß der Zugriff auf die übertragenen Datenpakete 15 nicht nur dem Master 11, sondern jedem angeschlossenen Busteilnehmer bzw. Slave möglich ist. Die Slaves sind somit in der Lage, die durch sie durchgereichten Informationen aktiv zu lesen und zu bearbeiten.

Die Datenpakete 15 entsprechen Daten-Containern, die alle angeschlossenen Buskomponenten durchlaufen.

Die bei Fig. 1 dargestellte Topologie des Systems als Ringsystem wird besonders für schnelle Übertragungsgeschwindigkeiten verwendet. Der Master muß im Bussystem nur noch die Aufgabe haben, die eigentliche Übertragung z. B. durch Generierung des Taktes zu gewährleisten.

Jede angeschlossene Einheit 12, 13 und 14 ist in der Lage, die empfangenen Daten zu lesen und zu verarbeiten, wovon insbesondere der Busteilnehmer 14 mit sicherheitsbezogenen Ausgangsmodulen Gebrauch macht.

Sowohl die sicherheitsbezogenen Eingangseinheiten 12, 13 als auch die sicherheitsbezogene Ausgangseinheit 14 sind intern sicher, d. h. den vorgegeben Sicherheitsanforderungen entsprechend, aufgebaut. Sie verfügen in der Regel über mehrkanalige Hardware, entsprechende Software und die für die Sicherheitskategorie 2 bis 4 jeweils notwendigen, sich jedoch in ihrer Wirksamkeit unterscheidenden Selbsttestroutinen.

Beispielhaft wird das vom Interbus 10 bereits bekannte, bei Fig. 2 dargestellte Summenrahmenprotokoll 20 verwendet, um die Eingangsdaten 15 des angeschalteten Teilnehmers 14 zu übertragen. Der Summenrahmen 20 wird in einem Buszyklus übertragen. Am Anfang der Übertragung befindet sich beispielsweise ein Start- und am Ende ein Endezeichen 21 bzw. 22 mit z. B. einer Prüf- oder Check-Sequenz.

Sicherheitsbezogene Informationen schließlich werden in ein Sicherheitsprotokoll 23 eingeschrieben und durch zusätzliche Informationen, wie insbesondere auch in der vollumfänglich durch Bezugnahme hier inkorporierten DE-OS-197 42 716.2 beschrieben, abgesichert.

Es sei jedoch darauf hingewiesen, daß als sicherheitsbezogene Daten oder Informationen jeweils Daten verstanden werden, die den Sicherheitszustand des jeweiligen Bus-Teilnehmers oder auch der Master-Sicherheitseinrichtung darstellen.

Die Sicherheitszustände eines Bus-Teilnehmers werden von Überwachungseinrichtungen, insbesondere Sensoren erfaßt, die den zu sichernden Baugruppen, die an dem jeweiligen Busteilnehmer angeschaltet sind, zugeordnet sind.

Beispielsweise erfaßt ein Sensor die Drehzahl einer Maschine. In diesem Fall zeigen die sicherheitsbezogenen Daten an, ob die Drehzahl der Maschine im Toleranzbereich liegt oder eine kritische Drehzahl überschritten hat. Das beispielhaft dargestellte Protokoll 23 umfaßt dann ein entsprechendes Sicherheitsdatum 23a einschließlich einer sicherheitsbezogenen Eingangsinformation 24, und einen Sicherheitscode 23b. Bei den Daten des Sicherheits-Codes kann es sich beispielsweise um eine negierte Eingangsinformation 25, eine laufende Nummer 26, eine Adresse 27, ein Codesicherungsverfahren z. B. "CRC" 28 und um eine Teilnehmeradresse 29 handeln.

Alle Informationen können für die Sicherheitstechnik herangezogen werden, müssen aber nicht alle gleichzeitig im Sicherheitstelegramm 23 vorhanden sein. Wird beispielsweise in Abhängigkeit von der geforderten Sicherheitskategorie keine negierte Eingangsinformation 25 benötigt, kann sie im Sicherheits-Code 23b unberücksichtigt bleiben.

Die alternative Verwendung der einzelnen Maßnahmen kann ferner davon abhängen, wieviele sicherheitsbezogene Daten abgesichert werden müssen. In jedem Fall ausschlaggebend ist jedoch die geforderte Sicherheitskategorie, beispielsweise nach EN 954-1, woraus sich entsprechende Maßnahmen zur Vermeidung bzw. Beherrschung von Fehlern ergeben.

Der Teilnehmer 14 mit sicherheitsbezogener Ausgangseinrichtung macht sich nun die Eigenschaft des Bussystems zunutze, die gesamten Informationen, die übertragen werden, ignorieren, kopieren oder verarbeiten zu können. Erkennt eine sicherheitsbezogene Ausgangskomponente z. B., daß ein sicherheitsbezogener Eingang gesetzt wurde (Notaus, . . .), schaltet sie den ihr zugeordneten Ausgang, und somit die zu sichernde Baugruppe in den sicheren Zustand. Auf welchen sicherheitsbezogenen Eingang welcher sicherheitsbezogene Ausgang reagieren soll, wird dabei vom Anwender parametriert. Vorprogrammierte Funktionsbausteine können ihm diese Arbeit besonders bei umfangreichen sicherheitsbezogenen Daten erleichtern.

Die mit einer Eingangsbaugruppe verbundene sicherheitsbezogene Eingangseinrichtung 12, 13 generiert den oben beschriebenen Sicherheits-Code und fügt die notwendigen Informationen wie z. B. die auf einem Algorithmus basierende laufende Nummer 26 in den Datenstrom ein. Eine eigene Programmierung der sicherheitsbezogenen Eingangseinrichtung ist daher in den meisten Fällen nicht erforderlich. Je nach Ausprägung des Teilnehmers muß er nicht in jedem Fall auch sicherheitsgerichtet aufgebaut werden.

Eine Unterbrechung des Datenstroms oder der laufenden Nummer führt dazu, daß die sicherheitsbezogene Ausgangseinrichtung 14 die ihr zugeordneten Ausgänge in den sicheren Zustand schaltet, einen sogenannten "(Application-)Watchdog" realisiert. Dabei ist es möglich, daß nicht jede Unterbrechung zum Abschalten führt, sondern daß der Teilnehmer ein ein- oder mehrmaliges Nichterkennen einer Nummer vordefiniert ignoriert.

Die Festlegung auf eine teilnehmerabhängige, fest vorgegebenen Wertemenge für die laufende Nummer, erlaubt ferner die Zuordnung eines Einganges zu verschiedenen Ausgängen und umgekehrt. Folglich kann bei dem angegebenen Beispiel die Verwendung der laufenden Nummer 26 in Abhängigkeit von der erzielbaren Restfehlerwahrscheinlichkeit auch als einzige Maßnahme für die sicherheitsbezogene Anwendungen ausreichend sein. Sogar der Verzicht auf die Übertragung der Information wie z. B. Notaus als explizites Bit im Sicherheitsprotokoll 23 ist bei entsprechender Auswahl der Maßnahme(n) im Sicherheits-Code 23b möglich.

Ferner ist eine teilnehmerabhängige bzw. verbindungsabhängige Definition von Wertemengen für die laufende Nummer 26 erfindungsgemäß verwendbar. Das Abschalten der sicherheitsbezogenen Ausgänge könnte auch z. B. durch das Senden einer statischen Information, die nicht im Wertebereich der laufenden Nummer liegt, erfolgen.

Im Bussystem können sich mehrere sicherheitsbezogene Eingangs- und Ausgangseinrichtungen gemischt mit nicht sicherheitsbezogenen Ein- bzw. Ausgangseinheiten oder aber auch nur sicherheitsbezogene bzw. nicht sicherheitsbezogene Informationen befinden.

In vielen Fällen müssen die Sicherheitskomponenten wie zuvor beschrieben mehrkanalig aufgebaut werden, um die geforderte Sicherheitskategorie zu erreichen oder um eine entsprechend hohe Datenmenge übertragen zu können. Für geringere Anforderungen kann aber auch eine einkanalige Realisierung ausreichend sein. Speziell die Eingangsbaugruppen können bei entsprechendem Aufbau des Sicherheits-Codes 23b ohne Mehrkanaligkeit auskommen.

Besitzen alle Teilnehmer 12, 13 und 14, insbesondere aber die Ausgangkomponente 14, ein konsistentes Abbild des Prozesses, werden auf dieser die sicherheitsbezogenen Informationen eigenständig und direkt ausgewählt. Eine Kommunikation über den Master 11 oder eine Verarbeitung der Information auf einer (Sicherheits-) Steuerung wie in heutigen Master-/Slave-Systemen ist dann nicht mehr unbedingt erforderlich, jedoch immer noch möglich.

So ist es auch möglich, daß ein Anwender auf einer Ausgangsbaugruppe Verknüpfungsregeln erstellt und dadurch eine sicherheitsbezogene Programmierung durchführt. Senden z. B. die sicherheitsbezogenen Eingangsmodule dynamisierte Eingangswerte, müssen sie selbst u. U. nicht sicherheitsgerichtet aufgebaut sein. Die Bearbeitung der Eingangsinformationen übernimmt dann ein, bei Fig. 3 mit 30 gekennzeichneter Sicherheits-Master. Der Sicherheits-Master 30 lokalisiert insbesondere die Fehlerquelle und zeigt sie beispielsweise akustisch und/oder optisch an zentraler Stelle an. Das Ergebnis der Reaktion wird dabei im Abschalten der Versorgungsspannung aller oder nur einiger Teilnehmer 12, 13, und 14 bestehen. Der Sicherheits-Master 30 übernimmt im erster Fall dann die Funktion einer zentralen Abschalteinrichtung, die heute noch vorwiegend mit Notaus-Relais vorgenommen wird.

Vom Prinzip kann die sicherheitsbezogene Ausgangskomponente 14 auch als verteilte Sicherheits-Master bezeichnet werden.

Claims (10)

1. Sicherheitsbezogenes Steuer- und Datenübertragungssystem umfassend

• - einen seriellen Feldbus (10) mit einer daran angeschalteten Master-Einrichtung (11) und wenigstens einem Busteilnehmer (12, 13, 14),
• - wobei der Busteilnehmer wenigstens eine sicherheitsbezogene Eingangs- und/oder Ausgangseinrichtung für weitere Systemkomponenten umfaßt, die über den Feldbus (10) kommunizieren können,
• - wobei über die Eingangseinrichtung (12, 13) eine Aktualisierung des Feldbus-Datenstroms (15) erfolgt, und
• - über die Ausgangseinrichtung (14) unter Ansprechen auf den Datenstrom (15) das Schalten einer zugeordneten Systemkomponente erfolgt,

dadurch gekennzeichnet, daß

• - der Datenstrom eine der Eingangseinrichtung (12, 13) zugeordnete laufende Nummer (26) umfaßt, und
• - eine Unterbrechung des Datenstroms (15) oder der laufenden Nummer (26) das Schalten der zugeordneten Systemkomponente in einen sicheren Zustand zur Folge hat.

2. Sicherheitsbezogenes Steuer- und Datenübertragungssystem nach Anspruch 1, dadurch gekennzeichnet, daß eine Busteilnehmer- und/oder verbindungsabhängige dynamische Abfolge für die laufende Nummer (26) vordefiniert ist.

3. Sicherheitsbezogenes Steuer- und Datenübertragungssystem nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß der Feldbus (10) eine Ringstruktur aufweist und über den Datenstrom eine der Ausgangseinrichtung zugeordnete Zieladressierung (27) sicherheitsbezogener Daten (23a, 23b) erfolgt.

4. Sicherheitsbezogenes Steuer- und Datenübertragungssystem nach Anspruch 1, 2 oder 3, dadurch gekennzeichnet, daß an den Feldbus (10) eine Sicherheits-Master-Einrichtung (30) angeschaltet ist.

5. Sicherheitsbezogenes Steuer- und Datenübertragungssystem nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die Eingangs- und/oder Ausgangseinrichtungen (12, 13, 14) mehrkanalig ausgebildet ist.

6. Sicherheitsbezogenes Steuer- und Datenübertragungssystem nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß die Kommunikation über den Feldbus (10) unter Verwendung eines vorbestimmten Datenrahmens (20) erfolgt.

7. Sicherheitsbezogenes Steuer- und Datenübertragungssystem nach Anspruch 6, dadurch gekennzeichnet, daß über die Eingangseinrichtung (12, 13) sicherheitsbezogene Daten (23a, 23b) innerhalb des Datenrahmens (20) generiert werden.

8. Sicherheitsbezogenes Steuer- und Datenübertragungssystem nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, daß der Feldbus ein Interbus nach DIN EN 19258 mit einem Summenrahmen (20) als Datenrahmen ist, der Eingangs- und/oder Ausgangsdaten (15) des Busteilnehmers (12, 13, 14) umfaßt.

9. Sicherheitsbezogenes Steuer- und Datenübertragungssystem nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, daß die Ausgangsbaugruppe (14) eine Verknüpfungslogik umfaßt.

10. Sicherheitsbezogenes Steuer- und Datenübertragungssystem nach einem der Ansprüche 1 bis 9, dadurch gekennzeichnet, daß der Busteilnehmer (12, 13, 14) ein Abbild wenigstens eines Teils des zu steuernden Prozesses aufweist.