DE10119791A1 - Mikroprozessorgesteuertes Feldgerät zum Anschluss an ein Feldbussystem - Google Patents

Abstract

Die Erfindung betrifft ein mikroprozessorgesteuertes Standard-Feldgerät (3', 4', 5', 6') wie beispielsweise ein Messwertaufnehmer oder ein Aktuator zum Anschluss an ein Feldbussystem (1), das wiederum beispielsweise an eine frei programmierbare Steuerung (2') angeschlossen ist. Erfindungsgemäß ist das Feldgerät (3', 4', 5', 6') mit einem Sicherheitslayer (10) zur Durchführung einer sicherheitsbewährten Kommunikation ausgestattet. Durch die Implementierung eines Sicherheitslayers (10) in ein an sich bekanntes betriebsbewährtes oder redundantes Standard-Feldgerät (3, 4, 5, 6) wird eine sichere und gleichzeitig kostengünstige Kommunikation mit einer Steuerungseinrichtung (2) über ein Feldbussystem (1) möglich.

Description

Technisches Gebiet

Die Erfindung betrifft zum einen ein Standard-Feldgerät zum Anschluss an ein Feldbussystem, das durch einen Mikroprozes­ sor gesteuert wird. Feldgeräte der genannten Art sind bei­ spielsweise Messwertaufnehmer (auch als Sensor bezeichnet), oder Aktuatoren. Zum anderen betrifft die Erfindung ein Feld­ bussystem, an das wenigstens eine frei programmierbare Si­ cherheitssteuerung und wenigstens ein mittels eines Mikropro­ zessors gesteuertes Standard-Feldgerät angeschlossenen ist.

Stand der Technik

Die Feldbustechnik zur Dezentralisierung ist aus der Prozess- und Fertigungstechnik nicht mehr wegzudenken. Überall dort, wo in der Prozess- und Fertigungsindustrie Menschen und Ma­ schinen zu schützen sind, werden spezielle Sicherheitsgeräte wie Sensoren und Aktoren, insbesondere Druck- und Temperatur­ messer, Notaus-Schalter, Trittmatten, Lichtgitter und ähnli­ ches installiert.

Bisher ließen sich derartige Feldgeräte nur separat verdrah­ ten bzw. über zusätzliche Spezialbusse an die Automatisie­ rungskette anschließen. Zu vielseitig waren ansonsten die Fehlermöglichkeiten. So konnten beim Transfer über einen so genannten Standardfeldbus beispielsweise Nachrichten verloren gehen, wiederholt auftreten, zusätzlich eingefügt werden, in falscher Reihenfolge, verzögert oder gar verfälscht auftau­ chen. Darüber hinaus besteht immer das Risiko einer fehler­ haften Adressierung, wodurch sich Standardnachrichten bei­ spielsweise als sicherheitsrelevant ausgeben könnten.

Schon einer dieser Fehler genügt, um den gesamten Sicher­ heitsmechanismus ins Leere laufen zu lassen, was die ein­ schlägigen Vorschriften natürlich nicht tolerieren.

Geräte der vorgenannten Art werden beispielsweise über einen so genannten Profibus (Bussystem der Firma Siemens AG) an ei­ ne frei programmierbare Steuerung, wie beispielsweise eine F-SPS, angeschlossen. Profibus ist heute das Feldbussystem mit dem größten Verbreitungsgrad. Es ist Bestandteil der Europäischen Norm EN 50170 und garantiert damit Offenheit und den Investitionsschutz der Anwender. Profibus ist für die schnelle Kommunikation zur dezentralen Peripherie in der Fer­ tigungsautomatisierung und für die Kommunikationsaufgabe in der Prozess-Automatisierung geeignet. Es ist das erste Feld­ bussystem, welches mit identischen Kommunikationsdiensten die Anforderungen beider Bereiche abdeckt.

Es ist nun festzustellen, dass für Sicherheitsapplikationen jeder Erstfehler (gilt auch für jeden Sicherheitskreis), in­ nerhalb der Sicherheitszeit bzw. Prozessfehlertoleranzzeit aufgedeckt werden muss. Ein Zweitfehler muss durch regelmäßi­ ge Inspektion ermittelt werden.

Beim Stand der Technik wurde dieses technische Problem durch Punkt-zu-Punkt-Verbindungen zwischen den redundanten Stan­ dard-Feldgeräten und der Sicherheits-SPS (d. h. der frei pro­ grammierbaren Steuerung) gelöst. Hinsichtlich einer derarti­ gen sternförmigen Anordnung gab es keine Common-Mode-Fehler (hierzu ist anzumerken, dass unter Common-Mode-Fehler ein Ausfall von Komponenten verstanden wird, der aufgrund einer gemeinsamen Ursache erfolgt) in der Kommunikation zwischen den Feldgeräten und der Zentraleinheit. In der Sicherheits- SPS wurden die Signale der Sensoren bzw. der Aktoren vergli­ chen.

Bei Verwendung eines Feldbusses zwischen den Feldgeräten und der Sicherheits-SPS mussten sicherheitsgerichtet zertifizierte Sensoren bzw. Aktoren eingesetzt werden, die über eine si­ chere Kommunikation mit der F-SPS verbunden sind, um eine si­ chere Kommunikation zwischen den Feldgeräten und der Steue­ rung zu gewährleisten. Würde man an ein Standardkommunikati­ onssystem redundante Standard-Sensoren bzw. Standard-Aktoren verwenden, so würden bestimmte Fehler im Kommunikationssystem (wie beispielsweise einfrierende Signalwerte, d. h. ein Erst­ fehler) nicht aufgedeckt werden und könnten unbemerkt zu ei­ nem gefährlichen Zustand führen.

Darstellung der Erfindung

Das der Erfindung zugrundeliegende technische Problem besteht darin, Standard-Feldgeräte bereitzustellen, die bei Anschluss an einen Standard-Feldbus kostengünstig eine sichere Kommuni­ kation mit einer freiprogrammierbaren Steuerung ermöglichen.

Dieses technische Problem wird durch ein Feldgerät mit den Merkmalen des Anspruchs 1 gelöst. Erfindungsgemäß ist vorge­ sehen, dass ein Standard-Feldgerät, das über einen Mikropro­ zessor verfügt und zum Anschluss an ein Feldbussystem ausge­ bildet ist, mit einem so genannten, an sich bekannten Si­ cherheitslayer zur Durchführung einer sicherheitsbewährten Kommunikation mit einer an den Feldbus anschließbaren freien programmierbaren Steuerung ausgebildet ist.

Es werden also erfindungsgemäß so genannte betriebsbewährte oder redundante Standard-Feldgeräte (d. h. Standardsensoren bzw. Standardaktoren) erstmals mit einem Sicherheitslayer versehen, wodurch ein derartiges Standard-Feldgerät sicherer kommuniziert, und zwar über die Standard-Feldbusse bekannter Art. Der Erfindung liegt der Gedanke zugrunde, sozusagen ein zertifiziertes Feldgerät zu simulieren. Standard-Feldgeräte im Sinne der vorliegenden Erfindung unterliegen nur der so genannten NAMUR-Empfehlung 79 (NE79). Bei derartigen Geräten ist eine Integrierung eines Sicherheitslayers relativ ein­ fach, sorgt aber dafür, dass die Standard-Feldgeräte eine sicherheitsbewährte Kommunikation durchführen. Die Kosten für derartige Standard-Geräte sind weitaus günstiger als für si­ cherheitszertifizierte Geräte. Überdies ist vorteilhaft, dass Änderungen an den Standardgeräten keine neue Zertifizierung erforderlich macht, was wiederum Kosten spart.

Allgemein lässt sich sagen, dass in ein busfähiges Feldgerät der vorgenannten Art, d. h. nach einem Standard, in einfacher Weise ein Sicherheitslayer, wie er beispielsweise in einer SPS vorhanden ist, implementiert werden kann. Insbesondere ist damit ausgedrückt, dass ein so genannter Redundanztreiber (Softwarebausteine der F-SPS), die Signale sicherheitsgerich­ tet empfangen (Treiber für Profisafe) und den Vergleich der Signale durchführen (2-, 3- oder mehrkanalig)kann. Im Ergebnis entspricht dies einer Kanaligkeit einer SEL 2-, SEL 3- oder SEL 4-Signalgebereinheit. Bei einer derartigen Ausführung sorgt der Sicherheitslayer, auch F-Layer genannt, dafür, dass alle Common-Mode-Fehler des Feldbussystems aufgedeckt werden. Der Redundanztreiber sorgt dafür, dass die Sensor- und Aktor­ fehler aufgedeckt werden. Damit können die redundant einge­ setzten Standard-Feldgeräte hinsichtlich Prozessgrößen auch diversitär ausgeführt und des weiteren betriebsmäßig vorhan­ dene Einrichtungen sein.

Zusammenfassend ist festzustellen, dass beispielsweise unter der Bezeichnung Profisafe bekannte Bussysteme erstmals mit betriebsbewährten oder redundanten Standard-Feldgeräten unter einer sicherheitsgerechten Anbindung erweitert werden können, ohne dass teure zertifizierte Sondergeräte notwendig sind. Dazu ist erstmals ein an sich bekannter Sicherheitslayer (beispielsweise ein Profisafe-Treiber) in den Standard- Feldgeräten implementiert.

Vorteilhafterweise ist der Sicherheitslayer unmittelbar oder über den Feldbus steuerbar an- und ausschaltbar. Dadurch ist es möglich, mit ein und demselben Standard-Feldgerät die üb­ liche betriebsbewährte Steuerung auszuführen, zum anderen aber nach Einschaltung des Sicherheitslayers die sicherheits­ relevante Kommunikation durchzuführen.

Schließlich ist noch anzumerken, dass die Erfindung auch ein Feldbussystem betrifft, das mit zumindest einer frei program­ mierten Sicherheitssteuerung und zumindest einem Mikroprozes­ sor gesteuertem Standard-Feldgerät, das mit einem Sicher­ heitslayer ausgestattet ist, umfasst.

Als Beispiel für ein erfindungsgemäßes Feldgerät sei hier ein Messformer der Firma Siemens AG genannt, der je nach Ausstat­ tung für die Messung von Druck, Durchfluss oder von Füllstand nichtaggressiver und aggressiver Dämpfe und Flüssigkeiten ge­ eignet ist. Ein derartiger Messumformer wird unter der Marke SITRANS vertrieben, ist jedoch erstmals erfindungsgemäß ohne größere Probleme mit einem Sicherheitslayer auszustatten, so dass ein derartiges Standard-Messgerät nun auch für eine si­ cherheitsrelevante Kommunikation einsetzbar ist.

Kurze Beschreibung der Zeichnungen

Im folgenden sind zur näheren Erläuterung zum besseren Ver­ ständnis mehrere Ausführungsbeispiele der Erfindung unter Be­ zugnahme auf die beigefügten Zeichnungen näher beschrieben. Es zeigen:

Fig. 1 ein Feldbussystem mit frei programmierbarer Steue­ rung und daran angeschlossenen standardisierten Feldgeräten nach dem Stand der Technik,

Fig. 2 ein schematisiertes Feldbussystem mit daran ange­ schlossenen erfindungsgemäßen Feldgeräten und einer Sicherheits-SPS.

Beschreibung bevorzugter Ausführungsbeispiele der Erfindung

Bei dem den Stand der Technik darstellenden Feldbussystem nach der Fig. 1 sind an einem Standard-Feldbus 1 eine Si­ cherheits-SPS bzw. F-SPS 2, ein Aktor 3 und Sensoren 4, 5, 6 über Anschlussleitungen 7 angeschlossen. Die Sensoren 5 und 6 sind hier redundant, der Aktor 3 und der Sensor 4 sind rück­ lesbar.

Diese Feldgeräte 3, 4, und 5, 6 sind redundante bzw. sicher­ heitsbewährte Standard-Feldgeräte, die über die Sicherheits- SPS 2 gesteuert werden. Die Kommunikation mit den Feldgeräten wird über den Feldbus 1 geleistet. Bei diesem bekannten Feld­ bussystem mit angeschlossenen Feldgeräten ist keine Sicher­ heit gegen beispielsweise Common-Mode-Fehler gewährleistet. Dies wäre nach dem heutigen Stand der Technik nur über spe­ zielle sicherheitszertifizierte Sensoren bzw. Aktoren mög­ lich.

Erfindungsgemäß, wie in der Fig. 2 dargestellt, sind die Feldgeräte nun jeweils mit einem Sicherheitslayer (F-Layer) 10 ausgestattet. Damit ist jedes Standard-Feldgerät 3', 4' und 5', 6' mit der entsprechend ausgestatteten F-SPS 2' mit­ tels des Feldbusses 1 in der Lage, Fehler wie Einfrieren der Signalwerte in einer Kommunikationsschaltung, Adressierfehler etc. aufzudecken. Es ist also äußerst kostengünstig möglich, Common-Mode-Fehler auch bei Standard-Feldgeräten durch Imple­ mentierung eines an sich bekannten Sicherheitslayers 10 in den Standard-Feldgeräten 3', 4', 5', 6' zu leisten.

Bei diesem F-Layer bzw. Sicherheitslayer 10 handelt es sich beispielsweise um einen so genannten Profibus-Treiber, der auch unter der Bezeichnung Profisafe von der Firma Siemens AG bekannt ist.

Claims (8)

1. Mikroprozessorgesteuertes Standard-Feldgerät zum Anschluss an ein Feldbussystem (1), das beispielsweise mit einer frei programmierbaren Steuerung (2) verbunden ist, mit einem Si­ cherheitslayer (10) zur Durchführung einer sicherheitsbewähr­ ten Kommunikation.

2. Feldgerät nach Anspruch 1, dadurch gekennzeichnet, dass der Si­ cherheitslayer (10) derart ausgebildet ist, dass Common-Mode- Fehler erkannt werden.

3. Feldgerät nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass der Si­ cherheitslayer (10) eine so genannte Profisafe-Kommunikation durchführt.

4. Feldgerät nach einem der voranstehenden Ansprüche, dadurch gekennzeichnet, dass die Ein­ richtung (3', 4', 5', 6') zum Anschluss an einen so genannten Profibus (2) ausgebildet ist.

5. Feldgerät nach einem der voranstehenden Ansprüche, dadurch gekennzeichnet, dass der Si­ cherheitslayer (10) an- und ausschaltbar ist.

6. Feldgerät nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass das Feldge­ rät ein Messwertaufnehmer (4', 5', 6') ist.

7. Feldgerät nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass das Feldge­ rät ein Aktuator (3') ist.

8. Feldbussystem, mit zumindest einer frei programmierbaren Sicherheits-Steuerung (2') und zumindest einem mikroprozes­ sorgesteuerten Standard-Feldgerät (3', 4', 5', 6') nach einem oder mehreren der voranstehenden Ansprüche.