DE19904892A1 - Verfahren zur Fehlerunterdrückung bei Eingabeeinheiten in Steuerungseinrichtungen - Google Patents

Abstract

Es wird ein Verfahren beschrieben, wie man Fehler bei der Eingabe von Peripherieeinheiten von Automatisierungseinrichtungen erkennt und unterdrückt. Das Verfahren ist derart ausgelegt, daß man Automatisierungseinrichtungen, die über ein Bussystem Daten von dezentralen Eingabeeinheiten empfangen, überwacht und eventuelle Fehler erkennt, bevor diese im Prozeß Schäden für Leben und Gesundheit von Menschen oder an Maschinenteilen hervorrufen. Das beschriebene Verfahren läßt sich innerhalb von Standard-Bussystemen integrieren und für sicherheitsrelevante Bereiche im Prozeß nachträglich installieren. Damit besteht die Möglichkeit, automatisierten Prozessen ein erhöhtes Maß an Sicherheit mitzugeben.

Description

Die Erfindung bezieht sich auf ein Verfahren zur Fehlerunterdrückung von Eingabeeinheiten, die über ein Bussystem an Automatisierungseinrichtungen angeschlossen sind.

Automatisierungseinrichtungen werden nach dem heutigen Stand der Technik überall dort eingesetzt, wo Prozesse, Abläufe oder sonstige elektromechanische Einrichtungen zu steuern, regeln, überwachen oder zu visualisieren sind. Im engeren Sinne verwendet man hierzu oftmals Speicherprogrammierbare Steuerungen oder Mikrorechner. Typische Anwendungsgebiete sind Automatisierungsinseln, Fertigungsstraßen, Bearbeitungszentren oder chemische Einrichtungen.

Nicht selten enthalten diese vorher genannten Prozesse sicherheitsrelevante Abläufe, die eine Gefährdung für Personen oder Teile der Maschine darstellen. Von den fehlerhafte Zuständen der Steuerung gehen dann extreme Gefahren aus, die von Personen oder sonstigen Einrichtungen unbedingt fern zu halten sind. Beispiele hierfür sind unkontrollierte Bewegungen von Robotern, vorzeitiges Bewegen von Dreh- oder Fräseinrichtungen, ungewollte Beschleunigungen oder falsche Drehzahlen von Rotationseinrichtungen oder verzögertes Abschalten von Heiz- oder Dosierprozessen bei chemischen Anlagen.

Die Ursachen dieser fatalen Fehler sind, vielfältig. Zumeist liegt aber ein Programmierfehler, ein unkontrolliertes Verhalten durch elektromagnetische Einflüsse oder eine sonstige Störung vor, die den Prozeß in eine nicht definierte Situation bringt.

Diese Fehlerarten sind in der Literatur (insb.: in Normungswerken, vergl.: DIN 19251) hinreichend beschrieben. Gleichfalls stellt die Norm bereits Konzepte vor, wie man derartige Fehler erkennt und eliminiert (z. B.: DIN V 0801). Ferner bieten verschiedene Hersteller von Steuerungseinrichtungen bereits vollständige Lösungen an, die für sicherheitsrelevante Einrichtungen (wie vorgestellt) zu verwenden sind (siehe Produktangebote Siemens (115/155F) oder Produkte der Hersteller Pilz und Hima).

Von besonderer Wichtigkeit sind bei derartigen Prozessen Eingabeeinheiten, die alle Prozeßgrößen innerhalb des automatisierten Prozesses zur Verfügung stellen. Wenn diese Eingabeeinheiten fehlerhafte Daten erhalten oder selbst fehlerhaft sind, so werden Fehlzustände initiiert, die zu den bereits vorher genannten Gefährdungen führen. Es ist daher wünschenswert und - in sicherheitsrelevanten Bereichen - absolut notwendig, derartige Fehlzustände zu erkennen und Maßnahmen zu Unterdrückung des Fehlers zu ergreifen, damit der Prozeß in seinem Ablauf keine Gefährdung darstellt.

Das vorgestellte Verfahren basiert darauf, daß man in typischen Automatisierungseinrichtungen einige Komponenten zusätzlich einbringt, die eine Fehlerkontrolle und eine Fehlerunterdrückung garantieren. Diese zusätzlichen Komponenten gewährleisten, daß ein Einfach-Fehler sowohl erkannt als auch unterdrückt wird. Erst das Aufeinandertreffen von zwei Fehlern im gleichen Zustand wird nicht als Fehler detektiert. Damit erhöht das Verfahren die Sicherheit des Prozesses ganz beträchtlich, da Fehler durch Einflüsse von Störungen oder durch falschen Programmablauf sicher unterbunden werden.

Das Verfahren enthält auch noch den wesentlichen Vorteil, daß Steuerungseinrichtung und Sicherheitseinrichtung entweder vollständig oder fast vollständig getrennt sind. Damit sind Spezifikations- oder Implementierungsfehler (wie man sie bei parallelen Einheiten kennt) im Prinzip ausgeschlossen.

Dieser Vorteil zeigt sich auch dadurch, daß die sicherheitsreleventen Komponenten auch nachträglich zu installieren sind. Darüber hinaus können im Steuerungssystem Änderungen durchgeführt werden, die vollkommen unabhängig zur Überwachungsfunktion arbeiten. Der heute durchaus übliche Fall der "vor-Ort- Anpassung" an den Prozeß wird auch im Sicherheitsbereich realisierbar.

Das Verfahren ist weiterhin derart ausgelegt, daß man den normalen Ablauf innerhalb einer Steuerung oder eines Automatisierungsverbunds nicht verändern muß. Dieses gilt insbesondere sowohl für den SPS-Zyklus in der Steuerung als auch für den Übertragungszyklus am lokalen Netz. Lediglich im Sicherheitsbereich werden spezielle Komponenten hinzugefügt, die ihrerseits am Datentransport teilnehmen, diesen aber nicht verändern.

Die im folgenden vorgestellten Eingabeeinheiten sind Bestandteil der bereits erfolgten Anmeldungen des Gesamtverfahrens und der Ausgabeeinheiten (Aktenzeichen: 198 57 683.8 und 198 60 359.4).

Fig. 1 zeigt die Funktionsweise der Eingabeeinheiten. In der Darstellung ist ein typischer Aufbau eines Automatisierungssystems wiedergegeben. Die Steuerung (1) besteht in der Regel aus einer Speicherprogrammierbaren Steuerung die in einer Master-Funktion über das angeschlossene Bus-System (3) den Busverkehr und den gesamten Datentransport regelt. Am Bus befinden sich dezentrale Einheiten, die Daten vom Prozeß (6) holen oder zum Prozeß senden. So stellt die Einheit (4) einen übliche Eingabeeinheit dar, die an Sensoren des Prozeß (6) angeschlossen ist und deren Meßgrößen (7) aufnimmt und diese über das Bus-System (3) zum Master (1) schickt. Die Einheit (5) stellt eine typische Ausgabeeinheit dar, die nach der Verarbeitung der Daten durch die Steuerung (1) die berechneten Daten über das Bus-System (3) erhält und diese im Prozeß (6) zur Wirkung bringt.

Eventuelle Fehler, die in diesem Datenverbund möglich sind (durch Störungen oder fehlerhafte Programmierung) werden nicht erkannt und können eine Gefahr für das Leben und die Gesundheit von Personen darstellen. Ferner stellen diese Fehler auch eine Gefahr für Maschinenteile oder Herstellungsprodukte dar, die auf Grund von Fehlfunktionen beschädigt oder vernichtet werden können.

Durch das Einbringen einer Überwachungseinheit (2) (grau unterlegt) und der Verwendung besonderer Eingabeeinheiten (8) gelingt es, Fehler zu erkennen und den Prozeß sicher zu erhalten. Eventuelle Schäden für Personen oder Teile werden hierdurch unterbunden. Die Überwachungseinheit (2) ist nicht Bestandteil dieser Anmeldung; sie spielt jedoch eine entscheidende Rolle bei der Sicherheitsüberwachung des gesamten Systems. In der Überwachungseinheit (2) werden nur diejenigen Funktionen abgelegt, die für die Erreichung der Sicherheit notwendig sind. In ihrem Programm stehen vorwiegend logische Verknüpfungen, die erlaubte oder verbotenen Zustände repräsentieren. Sie hat am Bus lediglich eine reine Hörer-Funktion und ist über die Daten der dezentralen Einheiten informiert.

Damit kann sie sich ein Bild über die Zustände im Prozeß (6) machen und erlaubte von unerlaubten Zuständen trennen. Beispielsweise kann ihr Programm die Kontrolle des Tipp-Betriebs (langsames Laufen eines Antriebs zum Einrichten oder Kontrollieren) enthalten. In diesem Zustand stellt die Überwachungseinheit (2) fest, daß der Tipp-Betrieb angewählt ist, ferner kann ein Sensor signalisieren, daß sich eine Person in der Nähe der Maschine oder in der Nähe des gefährlichen Anlaufs befindet. Es geht nun vom Prozeß solange keine Gefahr aus, solange der Antrieb mit extrem niedriger Geschwindigkeit betrieben wird. Versucht nun die Steuerung (1), den Antrieb in diesem Zustand auf eine höhere Drehzahl zu programmieren (durch ein fehlerhaftes Programm oder durch eine nichterkannte Störung), so erkennt die Überwachungseinheit (2) dieses Vorhaben und kann den Vorgang abbrechen, bevor der Prozeß in einen gefahrvollen Zustand gerät. Diese kann beispielsweise dadurch geschehen, daß die Überwachungseinheit (2) den Prozeß abschaltet.

Freilich ist auch die Überwachungseinheit (2) darauf angewiesen, daß sie einwandfreie Daten vom Prozeß erhält. Weiterhin muß auch gewährleistet sein, daß die Daten am Bus-System (3) auch in unverfälschter Form zum Prozeß gelangen. Letzteres ist bereits durch eine Anmeldung von sicheren Ausgabeeinheiten (Aktenzeichen: 198 60 359.4) erfüllt. Das hier vorgestellte Verfahren zeigt nun, wie man auch bei der Eingabe der Meßgrößen vom Prozeß (6) mit Sicherheit einwandfreie Daten erhält und so Fehler rechtzeitig erkennt. Hierzu ersetzt man die normalen Eingabeeinheiten (4) durch spezielle Eingabeeinheiten (8). Eine derartige Eingabeeinheit (8) holt sicherheitsrelevante Daten (13) vom Prozeß (6). Dabei erhält die Steuerung (1) über den linken Pfad (11) innerhalb der Eingabeeinheit (8) die normalen Daten vom Prozeß (6). Fig. 2 zeigt ein übliches Datenprotokoll (obere Zeile), wie sie beim Datentransport von einer Eingabeeinheit zur Steuerung erfolgt.

Die Informationskette beginnt in der Regel mit einem Startzeichen, dem die Empfänger-Adresse folgt. Danach wird die Sender-Adresse angehängt, die in diesem Fall die Adresse der Eingabeeinheit darstellt. Danach folgen die eigentlichen Daten, die von der Steuerung zu empfangen sind. Am Schluß wird die gesamte Informationskette durch eine Datenprüfung abgeschlossen, so daß eventuelle Bit- Fehler erkannt werden.

Dieses Datenprotokoll ist an Bus-Systemen recht weit verbreitet. Ein Beispiel hierfür ist der weltweit genormte Profibus (DIN/ISO 19245, vergleiche auch Bernd Schürmann: Rechnerverbindungsstrukturen, Vieweg-Verlag, Braunschweig, 1997, ISBN 3-528-05562-6). In der Regel übertragen derartige Bus-Systeme jedoch nur wenige relevante Daten. Manchmal läßt sich die notwendige Information mit nur einen einzigen Bit beschreiben (wenn man z. B. den Zustand eines Schalters oder Tasters übertragen möchte). Die Datenkette innerhalb der Protokolle ist aber mindestens 8 Bit oder sogar mehrere Bytes (1 Byte = 8 Bit) lang. Damit werden innerhalb der Informationskette zahlreiche überflüssige Daten transportiert. An dieser Stelle verwendet die vorliegende Anmeldung diese überflüssigen Daten und fügt sogenannte redundante Daten hinzu, die von der Überwachungseinheit (2) ausgewertet werden.

Hierzu stellt eine sicherheitsrelevante Eingabeeinheit (8) neben dem normalen Kanal (11) auch noch einen weiteren Kanal (14) mit einem Busteilnehmer (10) zur Verfügung. Die Daten dieser Einheit bestehen aus den Originaldaten aus dem Prozeß (13), die mit Zusatzinformationen versehen sind. Diese Zusatzinformationen werden über den Mikroprozessor (16) programmiert und lassen sich sogar von der Überwachungseinheit programmieren. Damit ist in jedem Fall gewährleistet, daß ein Fehler innerhalb der Einheit sicher erkannt wird. Die Überwachungseinheit (2) und die Eingabeeinheit (8) testen sich damit gegenseitig.

Es besteht sogar die Möglichkeit, daß die Eingabeeinheit (8) über einen separaten Kanal direkt aus dem Prozeß redundante Daten erhält (15). So kann man beispielsweise die Geschwindigkeit eines Motors gleichzeitig durch einen Tachogenerator und durch eine Zahnradlichtschranke erfassen. Damit wird auch der Ausfall oder die Fehlfunktion eines Sensors im Prozeß (13) erkannt.

Im Datenprotokoll hinterläßt nun die redundante Buseinheit (10) (grau hinterlegt) zusätzliche Daten, die hinter den Daten eingespeist werden (Fig. 2, untere Zeile, grau hinterlegte Redundanz-Daten).

Die sichere Datenübertragung geschieht folgendermaßen:

• - Die Steuerung (1) fragt bei der Eingabeeinheit (8) die Daten (13) vom Prozeß (6) an.
• - Die Eingabeeinheit (8) holt diese Daten (13), verarbeitet diese in der internen Logik (12) und stellt sie der Buseinheit (9) zur Verfügung. Diese sendet die Daten zur Steuerung (1).
• - Gleichzeitig empfängt die Überwachungseinheit (2) dies Daten und wird damit über der Zustand im Prozeß (6) informiert.
• - Die Zusatzeinheit (10) überträgt in derselben Informationskette noch zusätzlich Redundanz-Daten, die nur die Überwachungseinheit (2) aufnimmt. Diese Daten werden entweder direkt in der Eingabeeinheit gebildet (14) oder auch redundant vom Prozeß erfragt (15).
• - Aus der vorhergegangenen Programmierung der Eingabeeinheit (8) und dem Verglich der Originaldaten und den Redundanz-Daten erkannt die Überwachungseinheit (2) einen eventuellen Fehler.
• - In einem solchen Fehlerfall stoppt die Überwachungseinheit (8) den Prozeß (6) oder veranlaßt eine sichere Beendigung.

Es ist die Aufgabe der vorliegenden Anmeldung, mit wenigen sicherheitsrelevanten Einheiten ein sicheres Automatisierungssystem zu erstellen. Die Anmeldung bezieht sich jedoch nur auf die Eingabeeinheit. Das Gesamtsystem, die Ausgabeeinheit und die Überwachungseinheit sind Bestandteile anderer Anmeldungen.

Claims (8)

1. Verfahren zur Fehlerunterdrückung bei Eingabeeinheiten (8) in Steuerungseinrichtungen, die über ein Bus-System (3) an ein einer Automatisierungseinrichtung (1) (Speicherprogrammierbare Steuerung oder Mikrorechner) angeschlossen sind und im sicherheitsrelevanten Prozeß Zustände von Sensoren oder sonstige Daten einlesen und nach der Verarbeitung durch die Steuerung (1) gefahrbringende Funktionen und Abläufe in Gang setzen, dadurch gekennzeichnet, daß eine Überwachungseinheit (2) die Bus-Daten überwacht und Sicherheits-Eingabeeinheiten (8) für sicherheitsbehaftete Funktionen und Abläufe installiert werden, die intern über eine Logik (12) und einen Mikrorechner (16) verfügen die entweder direkt vom Prozeß (6) ankommende Daten (13) redundant erzeugen (14) oder über redundant angeordnete Sensoren oder Meßwerterfassungseinrichtungen (15) Größen vom Prozeß (13) erhalten und diese einer Überwachungseinheit (2) zur Verfügung stellen, die sowohl die Originaldaten (11) als auch die Redundanz-Daten miteinander vergleicht und dadurch einen Fehler am Bus-System (3) oder in der Eingabeeinheit (8) oder im Prozeß (6) erkennt und damit in der Lage ist, den Prozeß (6) sicher zu beenden oder in einen sicheren Zustand zu bringen und damit ein erhöhtes Maß an Sicherheit bietet, damit von einem Automatisierungsprozeß keine Gefahr für Leben und Gesundheit von Personen ausgehen kann.

2. Verfahren nach dem Patentanspruch 1, dadurch gekennzeichnet, daß die Sicherheits-Eingabeeinheit (8) eine normale Eingabeeinheit (4) ersetzt und so in Zusammenarbeit mit der Überwachungseinheit (2) ein erhöhtes Maß an Sicherheit mitbringt.

3. Verfahren nach den Patentansprüchen 1 bis 2, dadurch gekennzeichnet, daß die Sicherheits-Eingabeeinheit (8) auch nachträglich installiert werden kann, ohne daß der Ablauf in der Steuerung (1) geändert werden muß.

4. Verfahren nach den Patentansprüchen 1 bis 3, dadurch gekennzeichnet, daß zusammen mit einer Überwachungseinheit und redundant ausgelegten Ausgabeeinheiten eine vollständiges Sicherheitssystem für Automatisierungsprozesse entsteht.

5. Verfahren nach den Patentansprüchen 1 bis 4, dadurch gekennzeichnet, daß eine Installation an Standard-Bussystemen möglich ist.

6. Verfahren nach den Patentansprüchen 1 bis 5, dadurch gekennzeichnet, daß die Eingabeeinheit im Fehlerfall in der Überwachungseinheit zu einem Zustand führt, der jegliche Gefahr für die Funktion der Automatisierungseinrichtung und der damit verbundenen Maschine oder Anlage ausschließt.

7. Verfahren nach den Patentansprüchen 1 bis 6, dadurch gekennzeichnet, daß zur redundanten Überwachung der Eingabeinformation weder ein spezieller Baustein (z. B. ASIC) noch eine Zusatzadresse als Busteilnehmer vorzusehen ist.

8. Verfahren nach den Patentansprüchen 1 bis 7, dadurch gekennzeichnet, daß eine installierte Überwachungseinheit im Fehlerfall über ihre eigenen Ausgänge die Stromversorgung unterbricht und damit eine eventuell gefahrbringende Aktorik abschaltet.