DE19904893B4

DE19904893B4 - Verfahren zur Fehlerunterdrückung bei Steuerungseinrichtungen durch eine intelligente Überwachungseinheit

Info

Publication number: DE19904893B4
Application number: DE1999104893
Authority: DE
Inventors: Peter Wratil
Original assignee: Individual
Current assignee: Phoenix Contact GmbH and Co KG
Priority date: 1999-02-06
Filing date: 1999-02-06
Publication date: 2007-10-18
Anticipated expiration: 2019-02-07
Also published as: DE19904893A1

Abstract

Verfahren zur Sicherheitsüberwachung von Steuerungseinrichtungen, bei denen speicherprogrammierbare Steuerungen oder Mikrorechner über ein Bus-System dezentrale Einheiten ansprechen, die einen Prozeß sowohl im sicherheitsrelevanten als auch im nicht sicherheitsrelevanten Bereich regeln, steuern oder überwachen, wobei eine Überwachungseinheit (102, 1) mit einem ersten (204) und zweiten Mikroprozessor (205), einem ersten (208) und einem zweiten Speicher (209) und einer Logik-Kontrolle (206) zur Überwachung gefahrbringender Abläufe oder Bewegungen (113) bereitgestellt und über ein Bus-Interface (203) (2) als Hörer an das Bus-System (103) angeschlossen wird,
sicherheitsbehaftete Größen über eine graphische oder sonstige Eingabe eingegeben und über den zweiten Mikroprozessor (205) in den zweiten Speicher (209) geladen werden,
über den ersten Mikroprozesor (204) der Datenverkehr am Bus-System (103) kontrolliert wird und die Zustände der Ein und Ausgänge des Automatisierungsverbunds in den ersten Speicher (208) geladen werden,
der erste Speicher (208) über den zweiten Mikroprozessor (205) mit dem zweiten Speicher (209) verglichen wird,...

Description

Beschreibung des Verfahrens und Darstellung des Stands der Technik
Die Erfindung bezieht sich auf ein Verfahren zur Fehlerunterdrückung bei Automatisierungseinrichtungen die über ein Bus-System dezentraler Komponenten bedienen. Durch Hinzufügen einer Überwachungseinheit und spezieller dezentraler Komponenten kann der Sicherheitsgrad deutlich erhöht werden.
Automatisierungseinrichtungen werden nach dem heutigen Stand der Technik überall dort eingesetzt, wo Prozesse, Abläufe oder sonstige elektromechanische Einrichtungen zu steuern, regeln, überwachen oder zu visualisieren sind. Im engeren Sinne verwendet man hierzu oftmals Speicherprogrammierbare Steuerungen oder Mikrorechner. Typische Anwendungsgebiete sind Automatisierungsinseln, Fertigungsstraßen, Bearbeitungszentren oder chemische Einrichtungen.
Nicht selten enthalten diese vorher genannten Prozesse sicherheitsrelevante Abläufe, die eine Gefährdung für Personen oder Teile der Maschine darstellen. Von den fehlerhaften Zuständen der Steuerung gehen dann extreme Gefahren aus, die von Personen oder sonstigen Einrichtungen unbedingt fern zu halten sind. Beispiele hierfür sind unkontrollierte Bewegungen von Robotern, vorzeitiges Bewegen von Dreh- oder Fräseinrichtungen, ungewollte Beschleunigungen oder falsche Drehzahlen von Rotationseinrichtungen oder verzögertes Abschalten von Heiz- oder Dosierprozessen bei chemischen Anlagen.
Die Ursachen dieser fatalen Fehler sind vielfältig. Zumeist liegt aber ein Programmierfehler, ein unkontrolliertes Verhalten durch elektromagnetische Einflüsse oder eine sonstige Störung vor, die den Prozeß in eine nicht definierte Situation bringt.
Diese Fehlerarten sind in der Literatur (insb.: in Normungswerken, vergl.: DIN 19251) hinreichend beschrieben. Gleichfalls stellt die Norm bereits Konzepte vor, wie man derartige Fehler erkennt und eliminiert (z.B.: DIN V 0801). Ferner bieten verschiedene Hersteller von Steuerungseinrichtungen bereits vollständige Lösungen an, die für sicherheitsrelevante Einrichtungen (wie vorgestellt) zu verwenden sind (siehe Produktangebote Siemens (115/155F) oder Produkte der Hersteller Pilz und Hima).
Aus der DE 198 15 147 A1 , welche den nächst liegenden Stand der Technik zur vorliegenden Erfindung darstellt, ist eine Sensoranordnung zur Überwachung eines Arbeitsgerätes bekannt, bei dem an ein Bussystem eine redundante Auswerteeinheit angeschlossen ist, welche die über das Bussystem übertragenen Signale abhört und aus den Signalen der Sensoren Schaltzustände ermittelt werden, über die nur bei fehlerfreier Identifizierung das Arbeitsgerät über die Auswerteeinheit in Gang gesetzt wird. Der Schrift ist keine Überwachungseinheit zu entnehmen, die, ohne zusätzliche Sensoren zu verwenden, als Hörer an ein Bus-System angeschlossen ist, den Datenverkehr überwacht und im Fehlerfall ein Abschaltsignal generiert.
Die DE 43 12 305 A1 eine sicherheitsgerichtete speicherprogrammierbare Steuerung, bei der eine Zentraleinheit und Eingabe/Ausgabe-Geräte an einen Bus angeschlossen sind. Über die Zentraleinheit kann im Fehlerfall in einen sicheren Zustand geschaltet werden. Die Eingabe/Ausgabe-Geräte sind intern zweikanalig aufgebaut und können Vergleichstest zwischen ihren Kanälen sowie Eigentests ausführen. Der Schrift ist keine Überwachungseinheit zu entnehmen, die es allein ermöglicht, den Datenverkehr an einem Bus zu überwachen und im Fehlerfall in einen sicheren Zustand zu schalten.
Die DE 44 08 603 A1 zeigt ein Verfahren zur Erhöhung der Sicherheit in hierarchisch strukturierten Automatisierungssystemen. Der Schrift ist nicht zu entnehmen, dass eine Überwachungseinheit als Hörer an ein Bus-System geschaltet wird.
Die DE 34 28 215 C2 beschreibt eine Anordnung zum Überwachen einer Anlage. Die Schrift offenbart eine „übergeordnete, sich selbst überwachende Sicherheitseinrichtung". Zwar nimmt die dort offenbarte Steuereinrichtung keine Adressierung der Sicherheitseinrichtung vor. Die Sicherheitseinrichtung gemäß der DE 34 28 215 C2 ist nicht an ein Bus-System angeschaltet, sondern weist einzelne Signalleitungen auf. Eine Adressierung dezentraler Einheiten ist daher nicht erforderlich.
Die DE 37 04 318 C2 zeigt eine Anordnung zur Überwachung eines Mikroprozessors. Dabei werden über eine Vergleichsschaltung vom Prozessor gelieferte Daten mit Solldaten verglichen. Eine Sicherheitsüberwachung von Steuereinheiten ist der Schrift nicht zu entnehmen.
Der Artikel „Einsatz und Wirksamkeit von Programmlaufüberwachungen", Heinz Gall, Klaus Kemp, atp 1/98, Seite 40 bis 48 zeigt insbesondere bekannte Verfahren zur zeitlichen und logischen Programmlaufüberwachung. Eine als Hörer an einen Bus angeschaltete Sicherheitseinrichtung ist der Schrift nicht zu entnehmen.
Das vorgestellte Verfahren basiert darauf, daß man in typischen Automatisierungseinrichtungen einige Komponenten zusätzlich einbringt, die eine Fehlerkontrolle und eine Fehlerunterdrückung garantieren. Diese zusätzlichen Komponenten gewährleisten, daß ein Einfach-Fehler sowohl erkannt als auch unterdrückt wird. Erst das Aufeinandertreffen von zwei Fehlern im gleichen Zustand wird nicht als Fehler detektiert. Damit erhöht das Verfahren die Sicherheit des Prozesses ganz beträchtlich, da Fehler durch Einflüsse von Störungen oder durch falschen Programmablauf sicher unterbunden werden.
Das Verfahren enthält auch noch den wesentlichen Vorteil, daß Steuerungseinrichtung und Sicherheitseinrichtung entweder vollständig oder fast vollständig getrennt sind. Damit sind Spezifikations- oder Implementierungsfehler (wie man sie bei parallelen Einheiten kennt) im Prinzip ausgeschlossen.
Dieser Vorteil zeigt sich auch dadurch, daß die sicherheitsreleventen Komponenten auch nachträglich zu installieren sind. Darüber hinaus können im Steuerungssystem Änderungen durchgeführt werden, die vollkommen unabhängig zur Überwachungsfunktion arbeiten. Der heute durchaus übliche Fall der "vor-OrtAnpassung" an den Prozeß wird auch im Sicherheitsbereich realisierbar.
Das Verfahren ist weiterhin derart ausgelegt, daß man den normalen Ablauf innerhalb einer Steuerung oder eines Automatisierungsverbunds nicht verändern muß. Dieses gilt insbesondere sowohl für den SPS-Zyklus in der Steuerung als auch für den Übertragungszyklus am Lokalen Netz. Lediglich im Sicherheitsbereich werden spezielle Komponenten hinzugefügt, die ihrerseits am Datentransport teilnehmen, diesen aber nicht verändern.
1 zeigt einen typischen Aufbau eines Automatisierungssystems. Sicherheitskomponenten sind grau unterlegt. Die Steuerung (101) steuert oder regelt den Prozeß (111, 112). Zum Datentransport von der Steuerung zu den Sensoren und Aktoren im Prozeß wird ein Lokales Netz (3) (Bus-System) und dezentrale Einheiten (104 bis 110) verwendet. Dabei stellt die Einheit (104) eine typische Eingabeeinrichtung und die Einheit (108) eine typische Ausgabeeinrichtung dar. Zur Verarbeitung der gewünschten Prozeßfunktion holt die Steuerung (101) am Anfang des SPS-Zyklus den Zustand der Eingänge über die Eingabeeinheit (104) in einen Speicher innerhalb ihrer Einheit. Anhand dieses Zustands erfolgt die logische Bearbeitung durch das SPS-Programm, und am Schluß des SPS-Zyklus sendet die Steuerung die berechneten Daten über das Bus-System zur Ausgabeeinheit (108). Danach beginnt dieser Vorgang erneut und wiederholt sich fortwährend.
Bei modernen Steuerungen verwendet man auch vielfach Peripherieeinheiten, die den Datentransport über das Lokale Netz unabhängig vom SPS-Zyklus durchführen. Je nach Anwendung läßt sich damit die Aktualisierung der Aktoren synchronisieren oder als paralleler Prozeß abbilden.
Ein Fehler, der entweder durch falsche Programmierung in der Steuerung (101), durch eine Störung in der Steuerung (101) oder am Bus-System (103) hervorgerufen wird, führt in der Regel zu einem Fehler, der zur fehlerhaften Ansteuerung über die dezentrale Einheit (108) im Prozeß (111, 112) Schaden anrichten kann. Bei nicht-sicherheitsrelevanten Abläufen (111) im Prozeß führen derartige Fehler zu ungewollten Zuständen oder Abläufen; eine Gefahr besteht jedoch nicht. Anders verhält sich ein Fehlerfall bei sicherheitsrelevanten Abläufen (113 im Prozeß 112). Hier kann das ungewollten Setzen eines Ausgangs beispielsweise zum Anlauf eines Motors oder zum Erhitzen einer explosiven Flüssigkeit führen und damit das Leben oder die Gesundheit von Personen gefährden.
Um derartige fatale Fehler zu vermeiden wird entsprechend dem Patentanspruch eine Überwachungseinheit (102) dem System hinzugefügt. Zusätzlich tauscht man diejenigen dezentralen Ausgabeeinheiten aus, die im Prozeß Sicherheitsfunktionen bedienen. Damit wird beispielsweise die Ausgabeeinheit (108) durch die komplexere Ausgabeeinheit (107) ersetzt.
Ferner sind auch diejenigen dezentralen Eingabeeinheiten (104, 105, 106) durch spezielle sicherheitstaugliche Einheiten (109) zu ersetzen. Diese sind aber nur dann notwendig, wenn es sich um sicherheitsrelevante Prozeßgrößen handelt.
Zusammen mit der Überwachungseinheit (102), den sicherheitstauglichen dezentralen Eingabeeinheiten (109) und den dezentralen Ausgabeeinheiten (107) entsteht ein sicheres Automatisierungssystem.
Die dezentralen Einheiten und das Verfahren sind bereits durch die beide Patentanmeldungen (Aktenzeichen: DE 198 57 683 A1 und DE 198 60 358 A1 ) abgedeckt und daher nicht Bestandteil dieser Anmeldung.
Die hier zur Anmeldung anstehende Überwachungseinheit (102, in 1) übernimmt 2 unterschiedliche Aufgaben in dem beschriebenen Verfahren. Einerseits dient sie dem Benutzer zur Eingabe und Darstellung der sicherheitsrelevanten Funktionen. Damit erfüllt diese Einheit die Funktion eines MMIs (Man Machine Interface). Andererseits übt die Überwachungseinheit (102) eine Kontrolle des Busverkehrs aus und versetzt sich dadurch in die Lage, die Zustände der Ein- und Ausgänge im Automatisierungsverbund zu kontrollieren.
2 stellt den internen Aufbau der Überwachungseinheit (102) dar. Über ein Bus-Interface (203) ist die Überwachungseinheit (102) an das Bus-System (203) angeschlossen. Sie beinhaltet innerhalb des Bus-Verkehrs die Stellung eines Slaves. Damit ist sie nicht in der Lage, direkt Daten zu einem der Teilnehmer zu senden. Das Bus-Interface (203) versetzt sie lediglich in die Lage, alle Daten, die durch die Steuerung übertragen werden zu protokollieren. Hierzu verwendet die Überwachungseinheit (102) einen Mikroprozessor (MP1, 204) (oder ein ähnlich geartetes Bauteil, z.B.: ASIC), das die Daten vom Bus-System (103) über das Bus-Interface (203) aufnimmt und im Speicher 1 (208) ablegt. Hierdurch entsteht im Speicher 1 (208) ein Abbild der Zustände innerhalb der Eingänge und Ausgänge im gesamten Automatisierungsverbund.
Ein weiterer Mikroprozessor (MP2, 205) ist an den ersten Prozessor angekoppelt. Die wesentliche Aufgabe dieses zweiten Prozessors (205) besteht jedoch darin, über die graphische Ein- und Ausgabe (210) die Sicherheitsfunktionen im Speicher 2 (209) abzulegen. Diese Sicherheitsfunktionen stellen in der Regel nur ein geringer Teil der gesamten Steuerungsfunktionen dar. Diese werden vom Benutzer in Form einer Tabelle hinterlegt, die genaue Auskunft gibt, welche Eingänge mit der entsprechenden logischen Funktion zu erlaubten oder verbotenen Ausgängen gehören. Der Prozessor 2 (205) beinhaltet damit ein Betriebssystem (Software), die diese Eingabe über Tasten und Anzeige oder über ein Speicherelement (z.B.: EPROM, EEPROM, Chip-Karte, usw.) im Speicher 2 (209) ablegt. Unabhängig von der Art der Eingabe entsteht somit im Speicher 2 (209) eine Untermenge der Speicherinhalte aus dem Speicher 1 (208). In der Regel (d.h. im Fall, daß sich das System fehlerfrei verhält) stimmen die Inhalte aus dem Speicher 2 (209) mit einem Teil des Speichers 1 (208) überein.
Noch während des Bus-Zyklus am Bus-System (103) unterhalten sich die beiden Prozessoren und tauschen die Inhalte der Speicher aus, so daß ein Vergleich möglich wird. Sofern das Automatisierungssystem fehlerfrei arbeitet, ist ein Gleichstand der entsprechenden Speicherbereiche gewährleistet. Im Fehlerfall (z.B. wenn ein Ausgang gesetzt werden soll, der im Speicher 2 (209) durch die momentane Konstellation der Eingänge nicht erlaubt ist) entsteht eine Abweichung, die von beiden Prozessoren erkannt wird. Hierdurch erfolgt eine Meldung an die Logik-Kontrolle (206), die über das Abschalt-Signal (207) den Prozeß in einen sicheren Zustand versetzt. Die Logik-Kontrolle (206) hat noch zusätzlich die Aufgabe, die beiden Prozessoren gegenseitig zu überwachen, so daß die Überwachungseinheit (102) bereits intern über eine fehlererkennende Einrichtug verfügt. Der Mikroprozessor 1 (204) übernimmt beim Bus-Zyklus aber noch eine weitere Aufgabe. Er wird in der Regel am Ende des Zyklus als normaler Slave (Hörer) von der Steuerung angesprochen. Da er aber keine Prozeßdaten enthält, überträgt er nur Status-Informationen für die Steuerung und redundante Daten für die Ausgabeeinheiten. Die spezielle Logik dieser Ausgabeeinheiten wartet bei jeder Ausgabe auf dieses redundante Quittungssignal von der Überwachungseinheit (102). Damit ist gewährleistet, daß auch ohne eine Logik-Kontrolle keine Freigabe der Ausgänge erfolgt, wenn ein Fehler vorliegt. Diese Funktion garantiert, daß ein möglicher Fehler noch unterdrückt wird, bevor er überhaupt an der Ausgabe erscheint.

Claims

Verfahren zur Sicherheitsüberwachung von Steuerungseinrichtungen, bei denen speicherprogrammierbare Steuerungen oder Mikrorechner über ein Bus-System dezentrale Einheiten ansprechen, die einen Prozeß sowohl im sicherheitsrelevanten als auch im nicht sicherheitsrelevanten Bereich regeln, steuern oder überwachen, wobei eine Überwachungseinheit (102, 1) mit einem ersten (204) und zweiten Mikroprozessor (205), einem ersten (208) und einem zweiten Speicher (209) und einer Logik-Kontrolle (206) zur Überwachung gefahrbringender Abläufe oder Bewegungen (113) bereitgestellt und über ein Bus-Interface (203) (2) als Hörer an das Bus-System (103) angeschlossen wird, sicherheitsbehaftete Größen über eine graphische oder sonstige Eingabe eingegeben und über den zweiten Mikroprozessor (205) in den zweiten Speicher (209) geladen werden, über den ersten Mikroprozesor (204) der Datenverkehr am Bus-System (103) kontrolliert wird und die Zustände der Ein und Ausgänge des Automatisierungsverbunds in den ersten Speicher (208) geladen werden, der erste Speicher (208) über den zweiten Mikroprozessor (205) mit dem zweiten Speicher (209) verglichen wird, der zweite Mikroprozessor eine Abweichung des ersten Speichers (208) vom zweiten Speicher (209) der Logik-Kontrolle (206) meldet und die Logik-Kontrolle ein Abschalt-Signal (207) generiert.
Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß dezentrale Eingabeeinheiten (104, 105, 106) durch sicherheitstaugliche Ein- und Ausgabe-Module (107, 109) ersetzt werden.
Verfahren nach den Ansprüchen 1 bis 2, dadurch gekennzeichnet, daß die Überwachungseinheit in ihrer Funktion als Hörer an die Steuerung (101, 1) ein Quittungssignal abgibt, das den Ausgabeeinheiten (107) zur Durchführung ihrer Funktion dient und damit noch bevor ein Fehler in den Prozeß gelangen kann, ein sicherer Zustand erreicht wird.
Verfahren nach den Ansprüchen 1 bis 3, dadurch gekennzeichnet, daß die Überwachungseinheit (102, 1) an ein Standardbussystem ohne Sicherheitsprotokollerweiterung eingebunden wird.
Verfahren nach den Ansprüchen 1 bis 4, dadurch gekennzeichnet, daß die Überwachungseinheit (102) zusammen mit den dezentralen Einheiten (104 bis 110), die sicherheitsrelevante Funktionen erfassen und ansteuern, selbst ihre Funktion überwacht, insbesondere Sensoren oder Aktoren redundant überwacht und bei Ausfall einer Funktion, insbesondere bei Ausfall der Bus-Funktion, in den sicheren Zustand schaltet.
Verfahren nach den Ansprüchen 1 bis 5, dadurch gekennzeichnet, daß die Überwachungseinheit (102, 2) über eine graphische Ein- und Ausgabe (210) verfügt, die mit einer Parametriersprache in ihrer Funktion für alle sicherheitsrelevanten Funktionen programmierbar ist und diese Größen im zweiten Speicher (209) hinterlegt.
Verfahren nach den Ansprüchen 1 bis 6, dadurch gekennzeichnet, daß die Eingabe der Sicherheitsfunktionen über ein Speichermedium, insbesondere EPROM, EEPROM, Chip-Karte, erfolgt.
Verfahren nach den Ansprüchen 1 bis 7, dadurch gekennzeichnet, daß die Überwachungseinheit (102, 2) über eine interne redundante Kontrolle aus dem Kommunikationskanal der beiden Mikroprozessoren (204, 205) und der Logik-Kontrolle (206) einen internen Fehler erkennt.
Verfahren nach den Ansprüchen 1 bis 8, dadurch gekennzeichnet, daß die Logik-Kontrolle (206) neben dem Abschalt-Signal (207) ein Quittungssignal erzeugt und das Quittungssignal der Überwachungseinheit (102) den Ausgängen im Fehlerfall ein Durchschalten der falschen Größe verbietet.
Verfahren nach den Ansprüchen 1 bis 9, dadurch gekennzeichnet, daß eine graphische Ausgabe (210, 2) als NMI (Man Machine Interface) den Fehlerzustand im Automatisierungsverbund anzeigt.