DE20010739U1

DE20010739U1 - Modul zur Steuerung oder Regelung von sicherheitsrelevanten Vorgängen oder Abläufen für den Betrieb von Maschinen oder Anlagen

Info

Publication number: DE20010739U1
Application number: DE20010739U
Authority: DE
Original assignee: Individual
Current assignee: Phoenix Contact GmbH and Co KG
Priority date: 2000-05-20
Filing date: 2000-05-20
Publication date: 2001-05-03
Anticipated expiration: 2010-05-21

Description

otv &ogr; * -&bgr; * c

Das Modul eignet sich zur Steuerung oder Regelung von Maschinen und Anlagen, die Sicherheitsfunktionen durchführen.

Das Modul intern 2kanalig aufgebaut. Beide Einheiten des Moduls vergleichen ihre Ein-, Ausgangsgrößen, Entscheidungen und Abläufe. Nur bei gegenseitiger Zustimmung erfolgt die Durchführung der Funktion. Für eine gehobene Sicherheitsanforderung wird jeder der beiden Kanäle auch noch durch unterschiedliche Hardware-Strukturen realisiert (Diversität). Gleiches gilt für das Betriebsprogramm (Software) innerhalb der beiden Verarbeitungslogiken. Bei einem diversitären Aufbau sind neben möglichen Ausfällen oder Störungen auch Fehler durch falsches oder mangelhaftes Design oder fehlerhafte Programmierung ausgeschlossen (siehe auch DIN VVDE 0801).

Die Erfindung erfüllt diese Anforderungen und ist auch entsprechend 2kanalig aufgebaut. Wie in dem Bild (Figur 1) zu sehen ist, enthält das System (1) 2 vollkommen unabhängige Verarbeitungseinheiten (Verarbeitungslogik 1 und Verarbeitungslogik 2, 3,4). Sie bestehen entweder aus 2 Mikrorechnern oder ähnlichen Einheiten (z.B. FPGAs), die alle Funktionen entsprechend des Verarbeitungsprogramms aus dem Programmspeicher (11) durchführen. Der Programmspeicher wird entweder über die serielle Schnittstelle (6) oder über das angeschlossene Bussystem (8) mit dem Busanschluss (7) und dem Businterface (5) geladen. Die Art der Programmierung wird noch später beschrieben.

Die beiden Verarbeitungseinheiten (3,4) verarbeiten entweder das Programm redundant oder prüfen sich in ihren funktioneilen Ergebnissen gegenseitig. Auf jeden Fall wird jede Operation nur dann durchgeführt, wenn sich beide Einheiten (3,4) absolut einig sind, dass die Operation einwandfrei und richtig ist. Hierzu müssen sie sich vor der endgültigen Verarbeitung über den Zustand der berechneten Funktion unterhalten. In der Regel kann dieser Datenaustausch über eine parallele oder serielle Schnittstelle zwischen den Verarbeitungseinheiten erfolgen (nicht eingezeichnet).

Die Prüfung der richtigen Funktion bezieht sich insbesondere auf die Ausgabe an die externe Peripherie (13). Mit diesem Signal kann eine Sicherheitsfunktion (Starten eines Antriebs, Senken einer Schneideeinrichtung, Bewegen eines Ventils, usw.) initiiert werden. Da derartige Bewegungen im Fehlerfall zu Verletzungen oder sogar zu Tod von Personen führen können, dürfen sie nur bei absoluter Sicherheit erfolgen. Diese Sicherheit wird durch den redundanten Aufbau der bereits vorgestellten Verarbeitungseinheiten (3,4) erreicht. Natürlich enthält die Schaltung in der Praxis auch eine übergeordnete Überwachungseinheit (z.B. Watch Dog), der einen eventuellen Ausfall einer oder beider Einheiten (3,4) kontrolliert. Ferner wird der Ausgang (13) oftmals noch mit einer elektromechanischen Schaltung (z.B. Relais) versorgt, so dass im bei einem Ausfall der elektronischen Ansteuerung auch noch eine sicherheitsgerichtete Abschaltung möglich ist.

Gleichfalls sind alle internen Zusatzeinrichtungen (wie der Programmspeicher, 11, der Parameterspeicher, 12) entweder doppelt ausgelegt, oder sie werden regelmäßig vollständig auf Richtigkeit überprüft Das gilt_#auch_efü_#r die.Eingabe d_#er Daten von der

• · a

• ·

externen Peripherie. Hier lässt sich beispielsweise ein externer Kontakt (14) abfragen, der über spezielle Signalpegel versorgt wird, die ihrerseits ein Signalmuster enthalten. Kurzschlüsse oder nicht erlaubte Verbindungen sind daher schnell erkennbar.

Jedes dieser Module erhält ein Sicherheitsprogramm, welches im Programmspeicher (11) abgelegt wird. Zusätzlich befindet sich im Parameterspeicher (12) ein Datensatz, der die Funktion des Moduls (1) vorschreibt (z.B. Reaktionszeit, Teilnehmeradresse, Konfiguration des gesamten Bussystems, Zustände anderer Teilnehmer, usw.). Wenn das Modul selbst innerhalb einer Sicherheitsfunktion lokal alle Ein- und Ausgabegrößen für die vollständige Verarbeitung von der angeschlossenen Peripherie (z.B. 13, 14) erhält, so kann die Sicherheitsfunktion ohne das Hinzufügen zusätzlicher Daten ausgeführt werden. Sofern jedoch zur vollständiger Berechnung noch weitere Größen fehlen, werden ausschließlich diese über das Bussystem (8) angefordert. Die weiteren Module (9, 10) senden dann die gewünschten Größen und erhalten ebenfalls alle Daten, so dass sie selbst ihre Funktion erfüllen können.

Durch dieses Modul können an einem Bussystem (8) sowohl autarke Sicherheitsmodule (mit lokaler Sicherheitsfunktion) als auch vernetzte Sicherheitsmodule entstehen, die gemeinsam zu einer komplexen Sicherheitsfunktion beitragen. Im letzteren Fall entsteht ein Sicherheitsverbund mit verteilter Intelligenz.

Das Bild (Figur 2) zeigt, wie sich der interne Ablauf zur Verarbeitung im Rahmen einer verteilten Sicherheitsfunktion gestaltet. Jedes Modul (1) erhält ein Programm, das sich nach den angeschlossenen Ausgängen innerhalb des Moduls orientiert. Die notwendige logische Funktion des Ausgangs (7) wird im Programmspeicher abgelegt und von den beiden Verarbeitungseinheiten durchgeführt. Wenn alle notwendigen Eingangsgrößen (zur Kalkulation der geforderten Ausgangsgröße) bereits intern zur Verfügung stehen (über die interne Ein- und Ausgabeeinheit im Modul, 6), so gelingt die autarke Verarbeitung der Sicherheitsfunktion.

In dem Fall, dass man zur Erfüllung der gewünschten Sicherheitsfunktion externe Eingangsgrößen braucht (z.B. von den Modulen 2 und 3), so werden diese Daten (5) entweder zyklisch oder auf Anforderung über das Bussystem (4) übertragen. Es versteht sich von selbst, dass die Datenübertragung ebenfalls gesichert erfolgen muss, damit man eine Datenverfälschung ausschließen kann.

Jede übertragene Eingangsfunktion legt das Modul (1) in einem Datenspeicher (Parameterspeicher) ab. Dabei wird sowohl der aktuelle Inhalt als auch die Zeit (oder ein entsprechender Zeitwert) festgehalten (8,10). Der Zeitwert wird durch eine Uhr oder einen Timer (9) zusätzlich zum Datum (8) als Information hinzugefügt (10).

Mit den Inhalten aus dem Parameterspeicher kann nun die Verarbeitungslogik (oder beide Einheiten) die gewünschte Funktion (7) erfüllen und den angeschlossenen Ausgang über die Peripherieeinheit (6) bedienen.

Da in der Sicherheitstechnik jeder Ablauf mit einer festen Reaktionszeit erfolgen muss, enthält jedes Datum (eines externen Moduls 2,3) auch die aktuelle Zeit der Ablage oder der Versendung. Wenn es innerhalb der gewünschten Reaktionszeit nicht gelingt, ein neiJQS. Datum z.u de/ entsprßchejideji.ELrjheitzu übertragen, so wird

von dem Modul (1,2,3) ein sicherer Zustand eingeleitet. Dieser besteht in der Regel darin, den Ausgang zu deaktivieren.

Durch diese Maßnahme wird gewährleistet, dass bei einem Defekt einer externen Einheit oder bei Ausfall des Bussystems, stets ein sicherer Zustand erreicht wird. Diese Technik hat zudem noch den Vorteil, dass nur diejenigen Daten über den Bus übertragen werden, die nicht in den Einheiten selbst vorliegen. Die Datenrate und die damit verbundene Auslastung des Bussystems (4) können somit gering gehalten werden.

Zur Verteilung der programmierbaren Funktionen wird ein Übersetzer (Compiler) benötigt, der die logischen Pfade entsprechend der gewünschten Ausgangsfunktion berechnet. Hierdurch entstehen Programmteile, die sich in jedes Modul herunterladen lassen. Die Technik der Blockbildung und der Dezentralisierung ist bereits in der Norm IEC 1131-3 beschrieben und kann bei der Programmierung des hier vorgestellten Systems der verteilten Sicherheit angewendet werden.

Claims

1. Modul (Fig. 1: 1) zur Steuerung oder Regelung von sicherheitsrelevanten Vorgängen oder Abläufen für den Betrieb von Maschinen oder Anlagen, dadurch gekennzeichnet, dass das Modul (Fig. 1: 1) aus einer fehlertoleranten oder einer vergleichbaren 2kanaligen Struktur (Fig. 1: 2) besteht, die eine redundante Hardware (Fig. 1: 3, 4) und eine diversitäre Software enthält, die in dem Modul (Fig. 1: 1) hinterlegt wird, damit sowohl Bauteilaufälle oder Störungen als auch systematische Fehler erkannt und sicher beherrscht werden, sowie Ein- und Ausgabekanäle zur Verfügung stellt (Fig. 1: 13), damit der sichere Betrieb externer Geräte ermöglicht wird, deren Funktion oder Ablauf durch ein Programm vorgegeben wird, das sich im Programmspeicher (Fig. 1: 11) befindet, das sich mittels einer seriellen Schnittstelle (Fig. 1: 6) oder eines lokalen Netzes (Fig. 1: 7) über ein Interface (Fig. 1: 5) in das Modul (Fig. 1: 1) laden lässt, damit das Modul sowohl lokale Intelligenz als programmierbare autarke Einheit, als auch globale Intelligenz im Zusammenwirken mit anderen ähnlich oder identisch aufgebauten Modulen (Fig. 11: 9, 10) über ein geeignetes Netzwerk (Fig. 1: 8) oder einen Datenübertragungskanal entwickeln kann.

2. Modul nach dem Anspruch 1, dadurch gekennzeichnet, dass die Programmierung über Standardsprachen möglich ist, die den sicheren Ablauf und die Funktion von Maschinen oder Anlagen beschreiben oder darstellen, und dass dieses Programm in einem Programmspeicher (Fig. 1: 11) hinterlegt wird.

3. Modul nach den Ansprüchen 1 und 2, dadurch gekennzeichnet, dass ein komplexes Sicherheitsprogramm für eine Maschine oder Anlage sich derart aufteilen oder gliedern lässt, dass sich Teile in mehrere Module unterbringen lassen und damit das gesamte Gefüge ein vollständiges Sicherheitssystem darstellt.

4. Modul nach den Ansprüchen 1 bis 3, dadurch gekennzeichnet, dass sich Zustände, Daten, Ein- und Ausgangswerte von anderen Modulen übertragen lassen, damit man gesicherte Funktionen auch bei Überwindung größerer Distanzen oder unter Verwendung zahlreicher peripherer Größen erreichen kann.

5. Modul nach den Ansprüchen 1 bis 4, dadurch gekennzeichnet, dass Status- und Diagnosefunktionen zur Verfügung gestellt werden, die in einem Parameterspeicher liegen (Fig. 1: 12), damit man über den Ablauf oder die Funktion der Maschine oder Anlage weiträumig informiert ist.

6. Modul nach den Ansprüchen 1 bis 5, dadurch gekennzeichnet, dass eine laufende Kontrolle der internen Hard- und Software durchgeführt wird, damit mögliche Fehler in der angeschlossenen Peripherie als auch im Modul selbst erkannt und übermittelt werden.

7. Modul nach den Ansprüchen 1 bis 6, dadurch gekennzeichnet, dass sich das Programm zur Erfüllung der Sicherheit auch nachträglich oder sogar während des Betriebs laden lässt, und in den Programmspeicher (Fig. 1: 11) gelangt.

8. Modul nach den Ansprüchen 1 bis 7, dadurch gekennzeichnet, dass ein interner Parameterspeicher (Fig. 1: 12) existiert, dessen Inhalt für die Funktion, die Arbeitsweise und den Zustand aller internen Größen, sowie die Ein- und Ausgänge verantwortlich ist.

9. Modul nach den Ansprüchen 1 bis 8, dadurch gekennzeichnet, dass die Ein- und Ausgänge auch verdrahtete Sicherheitsvorrichtungen (Fig. 1: 14) betreiben können und die entsprechenden Testmuster zur Fehlererkennung von Drahtbrüchen oder Kurzschlüssen zur Verfügung stellen können.

10. Modul nach den Ansprüchen 1 bis 9, dadurch gekennzeichnet, dass der Datentransport (Fig. 2: 4) zusätzlicher Ein- und Ausgabegrößen fremder Module über eine Uhr (Fig. 2: 9) überwacht wird. Hierdurch wird das Modul in einen sicheren Zustand geschaltet, wenn über einen definierbaren Zeitraum keine Antwort einer, für die interne Funktion des jeweiligen Moduls notwendige, Größe übertragen wird. Hierdurch ist eine sicherheitsgerichtete Kontrolle des gesamten Netzwerkes gegeben.

11. Modul nach den Ansprüchen 1 bis 10, dadurch gekennzeichnet, dass die Daten, Ein- oder Ausgangsgrößen fremder Module über ein sicherheitsgerichtetes Datennetz oder ein lokales Netzwerk (Fig. 2: 4) mit Sicherheitsarchitektur übertragen werden.