DE4312305C5

DE4312305C5 - Sicherheitsgerichtete speichergrogrammierbare Steuerung

Info

Publication number: DE4312305C5
Application number: DE19934312305
Authority: DE
Inventors: Mathias Dipl.-Ing. Küber
Original assignee: ABB Patent GmbH
Current assignee: ABB AG Germany
Priority date: 1993-04-15
Filing date: 1993-04-15
Publication date: 2004-07-15
Anticipated expiration: 2013-04-16
Also published as: DE4312305C2; DE4312305A1

Abstract

Speicherprogrammierbare Steuerung (SPS) mit nur einer Zentraleinheit (2) und mehreren über wenigstens einen Buskoppler (4) und wenigstens einen Eingabe/Ausgabe(E/A)-Bus (5) anschließbaren E/A-Geräten (6), wobei alle diese Komponenten (2, 4, 3, 6) Bestandteile einer einkanaligen Standard-SPS (1) sind, dadurch gekennzeichnet, daß die SPS (1) durch nachstehende Ergänzungen zu einer sicherheitsgerichteten SPS ertüchtigt ist:
a) an den E/A-Bus (5) sind spezeille sicherheitsgerichtete E/A-Geräte (7), die intern zweikanalig aufgebaut sind und selbsttätig einen Vergleichstest zwischen ihren Kanälen sowie zusätzliche Eigentests durchführen, und
b) die Zentraleinheit (2) ist allein durch sicherheitsgerichtete Programm-Module ergänzt zur Durchführung sicherheitsgerichteter Funktionen, die sich auf sicherheitsgerichtete Anwenderfunktionen und zumindest auf eine zur Eigenüberwachung der sicherheitsgerichteten E/A-Geräte (7) redundante Überwachung der sicherheitsgerichteten E/A-Geräte (7) beziehen, sowie auf eine Selbstüberwachung der Zentraleinheit (2).

Description

Die Erfindung bezieht sich auf eine speicherprogram mierbare Steuerung, die als sicherheitsgerichtete Steuerung ausgeführt ist. Solche, auch als fehlersichere Steuerungen bezeichnete Sicherheitssysteme finden im Rahmen von Prozeßanlagen Anwendung.
Es sind mehrere unterschiedliche Konzepte bekannt, mit denen Anforderungen an sicherheitsgerichtete Steuerungen entsprochen werden kann. Neben sicherheitstechnischen Anforderungen können mit solchen Konzepten auch Anforderungen an die Verfügbarkeit der Steuerungen erfüllt werden.
In Energie und Automation 12 (1990). Heft 5/6, Seite 8 bis 11 ist eine fehlersichere Steuerung beschrieben, die aus zwei vollständigen Standard-Automatisierungssystemen aufgebaut ist, und die hauptsächlich softwaremäßige Ergänzungen enthält. Der daraus bekannte prinzipielle Aufbau eines zweikanaligen Sicherheitssystems ist in Fig. 2 am Beispiel einer Anordnung mit einem binären Ausgang gezeigt. Man erkennt, daß bei einem solchen Konzept eine zu steuernde Last L über mehrere Leitungen D mit Ein- und Ausgabegeräten I, O der beiden Automatisierungssysteme A, B angeschlossen ist.
Die Zentraleinheiten C der beiden Systeme A, B sind miteinander gekoppelt.
Die vorgenannte Druckschrift enthält auch ein Verzeichnis mit Literaturquellen, denen die hier relevanten Begriffe aus der Sicherheitstechnik sowie deren Definition zu entnehmen sind.
Ein anderes Konzept ist aus der Druckschrift der Fa. Papperl & Fuchs "FSC-System, Fail Safe Control System", Bestell-Nr.16361 vom August 1991 bekannt. Das dort beschriebene System FSC-101 ist ein einkanaliges System, das bezüglich verschiedener Verfügbarkeitsstufen ausbaufähig ist. Das Grundsystem FSC-101 ist ein speziell als Sicherheitssystem entwickeltes Automatisierungssystem, dessen sämtliche Baugruppen als sicherheitsgerichtete Schaltkreise aufgebaut sind. Gegenüber einer Standard-SPS sind außerdem zusätzliche Module vorhanden, die allein im Hinblick auf sicherheitsgerichtete Systemeigenschaften erforderlich sind.
Den bekannten ein- oder zweikanaligen Sicherheits systemen ist gemeinsam, daß sie einen hohen Geräteaufwand erfordern und relativ langsam arbeiten.
In dem Aufsatz "Sicherheitsgerichtete, speicherprogrammierbare Steuerungen", atp Jahrgang 29, 1987, Heft 6, Seite 267 bin 275 sind Anforderungen an sicherheitsgerichtete Steuerungen je nach Sicherheitsklasse dargelegt. Es wird dort ausgeführt, daß in einigen Sicherheitsklassen grundsätzlich auch eine einkanalige Ausführung der Steuerung zulässig sein kann. Eine Erhöhung der Verfügbarkeit kann beispielsweise durch Verdoppelung von Eingangskarten erreicht werden.
Nicht sicherheitsgerichtete speicherprogrammierba re Standard-Steuerungen, von denen die Erfindung ausgeht, sind in "Speicherprogrammierbare Steuerungen – Stand der Technik", etz Band 105, 1984, Heft 11, Seite 534 bis 538 beschrieben.
Die Erfindung bezieht sich auf Anwendungsfälle, in denen nur ein Teil der an das Steuerungssystem angeschlossenen Prozesse fehlersicher zu steuern sind und wobei diese Prozesse durch Abschalten in einen sicheren Zustand zu bringen sind. Solche Anwendungen sind z. B. gegeben bei Krananlagen, Feuerungsanlagen und Überwachungsanlagen. Es soll also ein sicherheitsgerichtetes, speicherprogrammierbares Steuerungssystem geschaffen werden, das nicht für Prozesse geeignet zu sein braucht, bei denen der sichere Zustand nicht durch Abschalten erreicht werden kann und bei denen es auf eine erhöhte Verfügbarkeit ankommt.
Diese Aufgabe wird gelöst durch eine im Patentanspruch 1 angegebene speicherprogrammierbare Steuerung mit nur einer Zentraleinheit und mehreren über wenigstens einen Buskoppler und wenigstens einen Eingabe/Ausgabe(E/A)-Bus anschließbaren E/A-Geräten, wobei alle diese Komponenten Bestandteile einer einkanaligen Standard-SPS sind, und wobei die SPS durch nachstehende Ergänzungen zu einer sicherheitsgerichteten SPS ertüchtigt ist:

a) an den E/A-Bus sind spezeille sicherheitsgerichtete E/A-Geräte angeschlossen, die intern zweikanalig aufgebaut sind und selbsttätig einen Vergleichstest zwischen ihren Kanälen sowie zusätzliche Eigentests durchführen, und
b) die Zentraleinheit ist allein durch sicherheitsgerichtete Programm-Module ergänzt zur Durchführung sicherheitsgerichteter Funktionen, die sich auf sicherheitsgerichtete Anwenderfunktionen und zumindest auf eine zur Eigenüberwachung der sicherheitsgerichteten E/A-Geräte redundante Überwachung der sicherheitsgerichteten E/A-Geräte beziehen, sowie auf eine Selbstüberwachung der Zentraleinheit.

Das mit der erfindungsgemäßen Steuerung vorge stellte Konzept hat den Vorteil, daß auch eine schon vorhandene Standard-SPS nachträglich zur sicherheitsgerichteten speicherprogrammierbaren Steuerung ertüchtigt werden kann. Der nach außen hin einkanalige Aufbau erfordert keine besondere Außenverdrahtung. Durch die systemgemäße dezentrale Intelligenz wird erreicht, daß nur für den Anschluß der sicherheitsrelevanten Prozesse ein gegenüber Standard-Steuerungen erhöhter Aufwand notwendig ist. Die Anforderungen nach DIN V VDE 801 Anforderungsklasse 4 werden erfüllt.
Ausgestaltungen sind weiteren Patentansprüchen und der nachstehenden Beschreibung eines Ausführungsbeispiels zu entnehmen.
1 zeigt eine erfindungsgemäße sicherheitsgerichtete SPS mit einkanaliger Systemstruktur. Diese ist aufgebaut aus einer Standard-SPS 1 mit einer Zentraleinheit 2, die spezielle gespeicherte Programm-Module mit sicherheitsgerichteten Funktionen enthält und die mit Hilfe eines an eine Schnittstelle 8 anschließbaren Personal Computers 3 eingebbar sind. Die Standard-SPS enthält wenigstens einen Buskoppler 4, an den ein E/A-Bus 5 angeschlossen ist. Der E/A-Bus ist im Ausführungsbeispiel eine Zweidraht-Kommunikationsverbindung. An den E/A-Bus 5 sind sowohl Standard-E/A-Geräte 6 als auch sicherheitsgerichtete E/A-Geräte 7 anschließbar. Die sicherheitsgerichteten E/A-Geräte 7 sind intern zweikanalig aufgebaut. Sicherheitsgerichtete Funktionen sind redundant überwacht, nämlich einmal durch Selbstüberwachungsmaßnahmen in den E/A-Geräten 7 und durch Funktionsüberwachung von der Zentrale 2 aus. Der Informationsaustausch zwischen E/A-Geräten 7 und der Zentrale 2 erfolgt unter Verwendung eines Sicherheitsprotokolls.
In den intern zweikanalig aufgebauten, sicherheitsgerichteten E/A-Geräten 7 wird durch Vergleichstests zwischen den beiden Kanälen, Selbsttests und Plausibilitätstest die erforderliche Sicherheit erreicht. Bei fehlen der Übereinstimmung wird eine Ausgabe eines Schaltbefehls gesperrt. Darüber hinaus wird eine Fehlerdiagnose durch Überwachung auf Drahtbruch, Kurzschluß, Überspannung, Bereichsüberschreitung und weitere Fehlerarten durchgeführt.
In einer ausgeführten sicherheitsgerichteten SPS wird innerhalb einer spezifizierten Fehlertoleranzzeit von 100 Millisekunden jeder gefährliche Fehler erkannt und es wird eine Abschaltung in den sicheren Zustand durchgeführt.
Jeder einzeln an sich ungefährliche Fehler wird innerhalb einer Zweitfehlereintrittszeit von einer Stunde erkannt. Es wird dabei unterstellt, daß in dieser Zeit kein zweiter Fehler auftreten kann, der die Erkennung des Fehlers verhindert.
Das Anwenderprogramm der Zentraleinheit enthält ein Programm-Modul das ausschließlich sicherheitsgerichtete Funktionen einschließlich der Überwachung der E/A-Geräte 7 bearbeitet. In diesem Programm-Modul werden nur Sicherheits-Verknüpfungselemente verwendet, die durch hochwertige Maßnahmen, z. B. durch redundante, diversitäre Programmierung gesichert sind. Außerdem werden Sicherheitsanforderungen an die Zentraleinheit durch eine besondere Behandlung sicherheitsrelevanter Betriebssystemaufrufe und durch Selbsttests erfüllt.
Mit der Verwendung von Sicherheits-Verknüpfungselementen wird erreicht, daß die Programmierung vom Anwender in üblicher Weise, also wie bei einer nicht sicherheitsgerichteten SPS, einfach ausgehend vom Funktionsplan, vorgenommen werden kann.
Da im Gesamtsystem sicherheits- und nicht sicherheitsgerichtere Systemkomponenten eingesetzt sind muß eine Rückwirkungsfreiheit der nicht sicherheitsgerichteten Komponenten gegeben sein.

Claims

Speicherprogrammierbare Steuerung (SPS) mit nur einer Zentraleinheit (2) und mehreren über wenigstens einen Buskoppler (4) und wenigstens einen Eingabe/Ausgabe(E/A)-Bus (5) anschließbaren E/A-Geräten (6), wobei alle diese Komponenten (2, 4, 3, 6) Bestandteile einer einkanaligen Standard-SPS (1) sind, dadurch gekennzeichnet, daß die SPS (1) durch nachstehende Ergänzungen zu einer sicherheitsgerichteten SPS ertüchtigt ist: a) an den E/A-Bus (5) sind spezeille sicherheitsgerichtete E/A-Geräte (7), die intern zweikanalig aufgebaut sind und selbsttätig einen Vergleichstest zwischen ihren Kanälen sowie zusätzliche Eigentests durchführen, und b) die Zentraleinheit (2) ist allein durch sicherheitsgerichtete Programm-Module ergänzt zur Durchführung sicherheitsgerichteter Funktionen, die sich auf sicherheitsgerichtete Anwenderfunktionen und zumindest auf eine zur Eigenüberwachung der sicherheitsgerichteten E/A-Geräte (7) redundante Überwachung der sicherheitsgerichteten E/A-Geräte (7) beziehen, sowie auf eine Selbstüberwachung der Zentraleinheit (2).
Speicherprogrammierbare Steueruag nach Anspruch 1, dadurch gekennzeichnet, daß die Zentraleinheit (2) eine Schnittstelle (8) aufweist, an die ein Personal Computer (3) anschließbar ist, mit dessen Hilfe, die im Anwenderprogramm der Zentraleinheit (2) enthaltenen sicherheitsgerichtete Programm-Module ladbar sind, die durch redundante, diversitäre Programmierung gesichert sind.
Speicherprogrammierbare Steuerung nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die sicherheitsgerichteten E/A-Geräte (7) Mittel enthalten zur Durchführung von Plausibilitätstests.
Speicherprogrammierbare Steuerung nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß die Zentraleinheit (2) mit Hilfe der gespeicherten sicherheitsgerichteten Programm-Module neben gefährlichen Fehlern, die innerhalb einer spezifizierten Fehlertoleranzzeit zur Abschaltung in den sicheren Zustand führen, auch einzeln an sich ungefährliche Fehler innerhalb einer spezifizierten Zweitfehlereintrittszeit erkennt und meldet.