DE19860358A1 - Verfahren zur Fehlerunterdrückung bei Ausgabeeinheiten in Steuerungseinrichtungen - Google Patents

Abstract

Es wird ein Verfahren beschrieben, wie man Fehler bei der Ausgabe von Peripherieeinheiten von Automatisierungseinrichtungen erkennt und unterdrückt. Das Verfahren ist derart ausgelegt, daß man Automatisierungseinrichtungen, die über ein Bussystem dezentrale Ausgabeeinheiten bedienen, überwacht und eventuelle Fehler erkennt, bevor diese im Prozeß Schäden für Leben und Gesundheit von Menschen oder an Maschinenteilen hervorrufen. Das beschriebene Verfahren läßt sich innerhalb von Standard-Bussystemen integrieren und für sicherheitsrelevante Bereiche im Prozeß nachträglich installieren. Damit besteht die Möglichkeit, automatisierten Prozessen ein erhöhtes Maß an Sicherheit mitzugeben.

Description

Die Erfindung bezieht sich auf ein Verfahren zur Fehlerunterdrückung von Ausgabeeinheiten, die über ein Bussystem an Automatisierungseinrichtungen angeschlossen sind.

Automatisierungseinrichtungen werden nach dem heutigen Stand der Technik überall dort eingesetzt, wo Prozesse, Abläufe oder sonstige elektromechanische Einrichtungen zu steuern, regeln, überwachen oder zu visualisieren sind. Im engeren Sinne verwendet man hierzu oftmals Speicherprogrammierbare Steuerungen oder Mikrorechner. Typische Anwendungsgebiete sind Automatisierungsinseln, Fertigungsstraßen, Bearbeitungszentren oder chemische Einrichtungen.

Nicht selten enthalten diese vorher genannten Prozesse sicherheitsrelevante Abläufe, die eine Gefährdung für Personen oder Teile der Maschine darstellen. Von den fehlerhafte Zuständen der Steuerung gehen dann extreme Gefahren aus, die von Personen oder sonstigen Einrichtungen unbedingt fern zu halten sind. Beispiele hierfür sind unkontrollierte Bewegungen von Robotern, vorzeitiges Bewegen von Dreh- oder Fräseinrichtungen, ungewollte Beschleunigungen oder falsche Drehzahlen von Rotationseinrichtungen oder verzögertes Abschalten von Heiz- oder Dosierprozessen bei chemischen Anlagen.

Die Ursachen dieser fatalen Fehler sind vielfältig. Zumeist liegt aber ein Programmierfehler, ein unkontrolliertes Verhalten durch elektromagnetische Einflüsse oder eine sonstige Störung vor, die den Prozeß in eine nicht definierte Situation bringt.

Diese Fehlerarten sind in der Literatur (insb.: in Normungswerken, vergl.: DIN 19251) hinreichend beschrieben. Gleichfalls stellt die Norm bereits Konzepte vor, wie man derartige Fehler erkennt und eliminiert (z. B.: DIN V 0801). Ferner bieten verschiedene Hersteller von Steuerungseinrichtungen bereits vollständige Lösungen an, die für sicherheitsrelevante Einrichtungen (wie vorgestellt) zu verwenden sind (siehe Produktangebote Siemens (115/155F) oder Produkte der Hersteller Pilz und Hima).

Von besonderer Wichtigkeit sind bei derartigen Prozessen Ausgabeeinheiten, die alle Funktionen innerhalb des automatisierten Prozesses auslösen. Wenn diese Ausgabeeinheiten fehlerhafte Daten erhalten oder selbst fehlerhaft sind, so werden Fehlzustände initiiert, die zu den bereits vorher genannten Gefährdungen führen. Es ist daher wünschenswert und - in sicherheitsrelevanten Bereichen - absolut notwendig, derartige Fehlzustände zu erkennen und Maßnahmen zu Unterdrückung des Fehlers zu ergreifen, damit der Prozeß in seinem Ablauf keine Gefährdung darstellt.

Das vorgestellte Verfahren basiert darauf, daß man in typischen Automatisierungseinrichtungen einige Komponenten zusätzlich einbringt, die eine Fehlerkontrolle und eine Fehlerunterdrückung garantieren. Diese zusätzlichen Komponenten gewährleisten, daß ein Einfach-Fehler sowohl erkannt als auch unterdrückt wird. Erst das Aufeinandertreffen von zwei Fehlern im gleichen Zustand wird nicht als Fehler detektiert. Damit erhöht das Verfahren die Sicherheit des Prozesses ganz beträchtlich, da Fehler durch Einflüsse von Störungen oder durch falschen Programmablauf sicher unterbunden werden.

Das Verfahren enthält auch noch den wesentlichen Vorteil, daß Steuerungseinrichtung und Sicherheitseinrichtung entweder vollständig oder fast vollständig getrennt sind. Damit sind Spezifikations- oder Implementierungsfehler (wie man sie bei parallelen Einheiten kennt) im Prinzip ausgeschlossen. Dieser Vorteil zeigt sich auch dadurch, daß die sicherheitsreleventen Komponenten auch nachträglich zu installieren sind. Darüber hinaus können im Steuerungssystem Änderungen durchgeführt werden, die vollkommen unabhängig zur Überwachungsfunktion arbeiten. Der heute durchaus übliche Fall der "vor-Ort- Anpassung" an den Prozeß wird auch im Sicherheitsbereich realisierbar.

Das Verfahren ist weiterhin derart ausgelegt, daß man den normalen Ablauf innerhalb einer Steuerung oder eines Automatisierungsverbunds nicht verändern muß. Dieses gilt insbesondere sowohl für den SPS-Zyklus in der Steuerung als auch für den Übertragungszyklus am Lokalen Netz. Lediglich im Sicherheitsbereich werden spezielle Komponenten hinzugefügt, die ihrerseits am Datentransport teilnehmen, diesen aber nicht verändern.

Fig. 1 zeigt einen typischen Aufbau eines Automatisierungssystems. Die Steuerung (1) steuert oder regelt den Prozeß (6). Zum Datentransport von der Steuerung zu den Sensoren und Aktoren im Prozeß wird ein Lokales Netz (3) (Bus-System) und dezentrale Einheiten (4, 5) verwendet. Dabei stellt die Einheit (5) eine typische Eingabeeinrichtung und die Einheit (4) eine typische Ausgabeeinrichtung dar. Zur Verarbeitung der gewünschten Prozeßfunktion holt die Steuerung (1) am Anfang des SPS-Zyklus den Zustand der Eingänge über die Eingabeeinheit (5) in einen Speicher innerhalb ihrer Einheit. Anhand dieses Zustands erfolgt die logische Bearbeitung durch das SPS-Programm, und am Schluß des SPS-Zyklus sendet die Steuerung die berechneten Daten über das Bus-System zur Ausgabeeinheit (4). Danach beginnt dieser Vorgang erneut und wiederholt sich fortwährend. Bei modernen Steuerungen verwendet man auch vielfach Peripherieeinheiten, die den Datentransport über das Lokale Netz unabhängig vom SPS-Zyklus durchführen. Je nach Anwendung läßt sich damit die Aktualisierung der Aktoren synchronisieren oder als paralleler Prozeß abbilden.

Ein Fehler, der entweder durch falsche Programmierung in der Steuerung (1), durch eine Störung in der Steuerung (1) oder am Bus-System (2) hervorgerufen wird, führt in der Regel zu einem Fehler, der zur fehlerhaften Ansteuerung über die dezentrale Einheit (4) im Prozeß (6) Schaden anrichten kann.

Bei nicht-sicherheitsrelevanten Abläufen (7) im Prozeß führen derartige Fehler zu ungewollten Zuständen oder Abläufen; eine Gefahr besteht jedoch nicht. Anders verhält sich ein Fehlerfall bei sicherheitsrelevanten Abläufen (13). Hier kann das ungewollten Setzen eines Ausgangs beispielsweise zum Anlauf eines Motors oder zum Erhitzen einer explosiven Flüssigkeit führen und damit das Leben oder die Gesundheit von Personen gefährden.

Um derartige fatale Fehler zu vermeiden wird entsprechend dem Patentanspruch eine Überwachungseinheit (2) dem System hinzugefügt. Zusätzlich tauscht man diejenigen dezentralen Ausgabeeinheiten aus, die im Prozeß in Sicherheitsfunktionen bedienen. Damit wird beispielsweise die Ausgabeeinheit (4) durch die komplexere Ausgabeeinheit (8) ersetzt.

Diese Ausgabeeinheit (8) besteht intern aus zwei unabhängigen Buseinheiten, die sich wie normale Bus-Teilnehmer darstellen. Hinter diesen Einheiten befindet sich eine Vergleichereinheit (12), die intern einen Vergleich durchführt und in seiner Technik mit Sicherheitselementen ausgerüstet ist.

Die Überwachungseinheit ist ebenfalls als normaler Busteilnehmer aufgebaut und stellt sich seitens des Automatisierungssystems (1) als Zusatzteilnehmer mit reiner Slave-Funktion dar. In ihr werden alle Sicherheitsfunktionen abgelegt, so daß sie anhand der Zustände der Ein- und Ausgänge informiert ist, ob eine Sicherheitsfunktion verletzt wird oder nicht.

Durch die zusätzliche Installation der Überwachungseinheit (2) und der dezentralen Ausgabeeinheit (8) gelingt es, fehlerhafte Zustände vom sicherheitsrelevanten Prozeß (13) fernzuhalten. Der Ablauf geschieht hierbei folgendermaßen:

• - Die Steuerung (1) holt über das Bus-System (3) alle Informationen, welche die Zustände der Sensoren im Prozeß repräsentieren.
• - Die Überwachungseinheit (2) hört während des Datentransports am Bus-System mit und legt alle Zustände, die für die Sicherheit wichtig sind in ihrem internen Speicher ab.
• - Nach Beendigung der Einlese-Funktion bearbeitet die Steuerung (1) alle Größen und erzeugt die notwendigen Ausgabeinformationen zum Steuern des Prozesses.
• - Die Überwachungeinheit verwendet die intern gespeicherten Zustände der sicherheitrelevanten Eingänge und prüft anhand ihres Programm, welche Zustände für die Sicherheitsfunktion erlaubt oder verboten sind.
• - Nach Berechnung durch die Steuerung (1) sendet diese alle Ausgabeinformationen über das Bus-System (3) zu den dezentralen Ausgabeeinheiten (4, 8). Während die normalen (nicht-sicherheitsrelevanten) Ausgabeeinheiten die Daten sofort ausgeben und damit dem Prozeß offenkundig machen, speichert die Sicherheits-Ausgabeeinheit (8) ihre Information erst in einem Zwischenspeicher (11) ab.
• - Am Schluß der des gesamten Bus-Zyklus wird nun auch die Überwachungseinheit (2) als normaler Slave von der Steuerung (1) angesprochen.
• - Diese (2) meldet sich nun mit alle Ausgabedaten, die sie auf Grund der Sicherheitsüberprüfung für richtig hält.
• - Bei dieser Übertragung der Daten von der Überwachungseinheit (2) zur Steuerung (1) hört die Sicherheits-Ausgabeeinheit (8) mit. Die entsprechenden erlaubten Zustände werden von jeder Einheit aufgenommen und ebenfalls zwischengespeichert. Hierzu steht eine separate Bus-Einheit (9) in der Sicherheit- Ausgabeeinheit (8) zu Verfügung.
• - Der nachfolgende Vergleicher (12) untersucht daraufhin, ob die vorher in der Zwischenspeicher-Einheit (11) abgelegten Daten mit den erlaubten Daten aus der Einheit (9) übereinstimmen.
• - Je nach Ausfall des Vergleichsergebnisses, gibt der Vergleicher (12) die Ausgabe frei (Vergleich richtig und erlaubt) oder unterbindet die Ausgabe (Vergleich falsch oder fehlerhaft).
• - Sofern der Vergleicher einen Fehler erkennt, schaltet er alle Ausgänge in einen sicheren Zustand. Weiterhin zieht sich die Sicherheits-Ausgabeeinheit (8) im nächsten Zyklus vom Busgeschehen zurück oder signalisiert einen Fehler.
• - Damit ist im Fehlerfall gewährleistet, daß nicht nur ungültige Daten keinen Schaden anrichten, sondern auch eine Information über den Fehlerzustand an die Steuerung (1) und die Überwachungseinheit (2) gegeben wird.

Die dezentrale Sicherheits-Ausgabe-Einheit (8) muß zur Realisierung dieser Aufgabe über einen Fail-Safe-Vergleicher (12) verfügen. Er hat die Aufgabe den zwischengespeicherten Wert aus dem Speicher (11) mit den erlaubten Daten der Einheit (9) zu vergleichen. Sofern der Vergleicher (12) erkennt, daß die Daten ohne Fehler vorliegen, kann er die Ausgabe-Information an den Prozeß (13) weiterleiten. Derartige Fail-Safe-Vergleicher sind bereits heute Stand der Technik (siehe beispielsweise: Produktangebot der Firma Square D).

Der Interne Aufbau dieser Sicherheits-Ausgabeeinheit (8) ist nicht Bestandteil dieser Anmeldung, vielmehr bezieht sich die Erfindung lediglich auf das Verfahren, wie man einen Fehler durch Hinzufügen der beiden Einheiten (2, 8) erkennt und unterdrückt.

Die Erfindung ist ein Bestandteil eines Sicherheitssystems, welches unter dem Aktenzeichen 198 57 683.8 als Verfahren vorgestellt wurde.

Zum Gesamtsystem gehören auch noch sicherheitsrelevante Eingabeeinheiten (5) und die bereits mehrfach erwähnte Überwachungseinheit (2).

Die Überwachungseinheit (2) erfüllt im Zusammenhang mit den hier vorgestellten Ausgabeeinheiten auch noch die Aufgabe, eine sichere Abschaltung im Fehlerfall zu erzeugen, wenn dieses bei den Ausgabeeinheiten nicht mehr möglich ist. Beispielsweise kann hinter der beschriebenen Ausgabeeinheit ein Zuleitungskabel einen Kurzschluß (gegen einen anderen Ausgang oder gegen die Betriebsspannung) aufweisen, so daß auch eine Abschaltung innerhalb der Ausgabeeinheit zu keinem Sicherheitszustand des entsprechenden Aktors führt. In diesem Fall verfügt die Überwachungseinheit über separate Ausgänge, welche die Stromversorgung abschalten und damit einen sicheren Zustand einleiten.

Claims (8)

1. Verfahren zur Fehlerunterdrückung bei Ausgabeeinheiten in Steuerungseinrichtungen, die über ein Bus-System (3) an ein einer Automatisierungseinrichtung (1) (Speicherprogrammierbare Steuerung oder Mikrorechner) angeschlossen sind und im sicherheitsrelevanten Prozeß Aktoren bedienen oder gefahrbringende Funktionen und Abläufe in Gang setzen, dadurch gekennzeichnet, daß eine Überwachungseinheit (2) die Bus-Daten überwacht und Sicherheits-Ausgabeeinheiten (8) für sicherheitsbehaftete Funktionen und Abläufe installiert werden, die intern aus zwei getrennten Bus- Teilnehmern bestehen, von denen eine Einheit über einen Zwischenspeicher (11) verfügt, der die Ausgabeinformation von der Steuerung (1) festhält und dem Vergleicher (12) zur Verfügung stellt aber noch nicht ausgibt, dieser am Ende des Bus-Zyklus aus den Daten der Überwachungseinheit (2) über den zweiten Bus- Teilnehmer redundante Daten erhält und diese mit den zwischengespeicherten Informationen vergleicht und bei Übereinstimmung die Ausgabefunktion einleitet, die den Prozeß bedient.

2. Verfahren nach dem Patentanspruch 1, dadurch gekennzeichnet, daß die Sicherheits-Ausgabeeinheit (8) eine normale Ausgabeeinheit (4) ersetzt und so in Zusammenarbeit mit der Überwachungseinheit (2) ein erhöhtes Maß an Sicherheit mitbringt.

3. Verfahren nach den Patentansprüchen 1 bis 2, dadurch gekennzeichnet, daß die Sicherheits-Ausgabeeinheit (8) auch nachträglich installiert werden kann, ohne daß der Ablauf in der Steuerung (1) geändert werden muß.

4. Verfahren nach den Patentansprüchen 1 bis 3, dadurch gekennzeichnet, daß zusammen mit einer Überwachungseinheit und redundant ausgelegten Eingabeeinheiten eine vollständiges Sicherheitssystem für Automatisierungsprozesse entsteht.

5. Verfahren nach den Patentansprüchen 1 bis 4, dadurch gekennzeichnet, daß eine Installation an Standard-Bussystemen möglich ist.

6. Verfahren nach den Patentansprüchen 1 bis 5, dadurch gekennzeichnet, daß die Ausgabeeinheit im Fehlerfall einen sicheren Zustand erreicht, der jegliche Gefahr für die Funktion der Automatisierungseinrichtung und der damit verbundenen Maschine oder Anlage ausschließt.

7. Verfahren nach den Patentansprüchen 1 bis 6, dadurch gekennzeichnet, daß zur redundanten Überwachung der Ausgabeinformation weder ein spezieller Baustein (z. B. ASIC) noch eine Zusatzadresse als Busteilnehmer vorzusehen ist.

8. Verfahren nach den Patentansprüchen 1 bis 7, dadurch gekennzeichnet, daß eine installierte Überwachungseinheit im Fehlerfall über ihre eigenen Ausgänge die Stromversorgung unterbricht und damit eine eventuell gefahrbringende Aktorik abschaltet.