CN101192056A - 安全模块以及自动化系统 - Google Patents

Abstract

本发明涉及一种带有接口的安全模块(5)，这些接口用于通过数据总线(3)与为了连接现场设备的输入/输出模块(4a，4b)而提供的总线系统控制模块(2)进行连接，所述安全模块(5)具有一个数据处理单元(μC2)，该数据处理单元被设置为对应于总线系统控制单元(2)用于对通过所述数据总线(3)传输的数据进行相同的处理。该数据处理单元(μC2)为了保证具有可靠性功能的符合规定的数据通信而被如下设置：通过经由所述数据总线与该总线系统控制单元(2)的数据交换实现了对可靠性功能的相互验证。

Description

安全模块以及自动化系统

技术领域

本发明涉及一种带有接口的安全模块，这些接口用于通过数据总线与为了连接现场设备的输入/输出模块(4a，4b)而提供的总线系统控制模块进行连接。

本发明还涉及一种自动化系统，其包括总线系统控制模块、数据总线和与该数据总线相连接的输入/输出模块，这些输入/输出模块带有用于为了进行数据通信而将现场设备与总线系统控制单元连接的接线端子。

背景技术

带有用于控制在内部数据总线上的数据通信的顶端模块(Kopfmodul)的数据总线系统是充分公知的，在该内部数据总线上连接了输入/输出模块。利用这种总线系统可以以极小的布线开销和高的灵活性来建立控制和监视系统。对于这种自动化系统经常提出对确保可靠运行的较高要求，以便可靠地排除由于系统部件的失效或者由于故障数据传输所造成的故障。因此，要避免对人员的危害以及在生产过程中的故障，等等。

可靠的控制系统，其例如对应于按照欧洲标准EN 954-1的所谓类4以及按照IEC 61508第一至七部分的安全集成级别3(Safety Integrity LevelSIL)被认证，典型地具有带有至少两个微控制器的顶端模块或者总线系统控制模块，该至少两个微控制器冗余地处理安全程序并且在可能的情况下还额外地处理一个标准应用程序。根据所选择冗余的类型(多样的或者一致的)，两个微控制器可以彼此不同，不过也不必一定如此。该两个微控制器通过总线系统-控制模块内部接口周期性地交换数据，以便能够对安全功能进行必要的相互验证。该接口被构造为两个微控制器之间的点对点连接。在此，两个微控制器典型地被安置在同一个系统总线控制模块的外壳内部的一个或多个印刷电路板上。

在DE 10353950A1中公开了这样一种带有接通部件的技术方案，该接通部件具有一个总线主控器和一个带有两个相互独立地运行的微处理器的可靠的控制单元。此外，所述接通部件可以与一个第二控制单元进行通信，该第二控制单元提供对至少一个对可靠性非关键的过程的非可靠的控制。在紧急情况下或者在功能失效的情况下，可靠的控制单元可以借助于一条旁路(Bypass)来承担该非可靠的控制单元的任务或者对非可靠的过程的控制。

DE 19928517公开了一种用于控制对可靠性关键的过程的控制系统，该系统包括一个安全模块与其相连接的现场总线耦合器。可靠性功能完全地在该安全模块中处理，该模块为此再次具有两个相互验证的微控制器。通过该安全模块转移了完全的可靠性功能，从而不再要求现场总线耦合模块有任何对于可靠性重要的结构以及可靠性功能。

DE 19815147 A1公开了一种用于监视工作仪器的传感器的装置，其中，这些传感器构成了按照主控器-从动器原理工作的系统总线的从动器。将一个冗余的分析单元连接到系统总线上，以便监视在数据总线上的数据流量。在识别出故障的情况下，将该分析单元的输出端断开。由此，该分析单元就故障检验而言是独立的并且同时承担了可靠性断开。

发明内容

本发明要解决的技术问题是，提供一种允许更灵活地构造自动化系统的改进的安全模块。

上述技术问题是通过本文开始部分提到的类型的安全模块如下解决的：该安全模块具有一个数据处理单元，该数据处理单元被设置为对应于总线系统控制单元用于对通过数据总线传输的数据进行相同的处理，并且该数据处理单元为了保证具有可靠性功能的符合规定的数据通信而被如下设置，使得通过经由该数据总线与总线系统控制单元的数据交换实现了对可靠性功能的相互验证。

因此，不同于常规的技术方案，本发明建议借助于该安全模块实现第二冗余的数据处理，以便结合在所分配的总线系统控制模块中的相同的数据处理来进行可靠性验证。与此并行地，本身公知的总线系统控制模块提供第一数据处理，该总线系统控制模块尤其可以是现场总线耦合器。

现在，对可靠性功能的验证不再象迄今为止通常的那样在同一个模块中进行，而是在总线系统控制模块和安全模块之间进行。由此，迄今为止在两个冗余的微控制器之间的内部通信接口被转移到了数据总线上。此外，迄今为止在可靠的总线系统控制模块中集成的第二微控制器被转移到该安全模块中。

将可靠性功能分布在总线系统控制模块以及该新的附加的安全模块上具有这样的优点：通过安全模块的附加可以灵活地构造不同的可靠性级别。通过一个与总线系统控制模块通过数据总线连接的安全模块，提供了一种冗余的数据处理。利用每个另外引入的安全模块实现了另一个数据处理和控制实例，从而可以可变地构造多重保险的系统。

所述安全模块优选地具有一个用于控制在所述数据总线上的数据通信的接口控制单元，所述接口控制单元被设置为用于以连续的数据流传输为对可靠性功能进行相互验证而提供的数据，其中，该连续数据流也包含在总线系统控制模块与同样连接在数据总线上的输入/输出模块之间所传输的数据。由此，被用于输入/输出模块的通信总线以及现场总线耦合器所利用的数据流，也被用于在至少两个自身完备的、执行可靠性功能的数据处理单元之间的通信接口。为此，将该安全模块也如输入/输出模块一样连接到同一个数据总线上。

不过，也可以考虑，所述安全模块具有一个用于控制在所述数据总线上的数据通信的接口控制单元，该接口控制单元被设置为用于传输在用于安全模块自身数据总线上的单独的数据流中的为对可靠性功能进行相互验证而提供的数据。由此，该至少一个安全模块可以在一个不同于输入/输出模块的通信总线上运行。

所述安全模块优选地具有固定元件，以便按照公知的方式将该安全模块插接到支承导轨上。在该实施方式中，优选地提供在侧面上的压力触点，该压力触点与所述数据处理单元连接并且被设置为，在将该安全模块插接到所述支承导轨上时与相邻模块的对应压力触点连接以及构造所述数据总线。由此，通过插接包括该安全模块的一排相继的模块，在没有布线开销的条件下按照简单的方式构造数据总线。所述数据总线除了用于数据传输的导线外还可以具有供电导线。所述数据总线优选地是串行数据总线，例如可以实施为环形总线。

在该实施方式中优选的是，所述数据总线从所述安全模块的输入端通过该安全模块接通至该安全模块连接相邻模块输入端的一个输出端。

本发明要解决的技术问题还是，提供一种本文开始部分提到的类型的、改进的自动化系统。

上述技术问题是通过至少一个安全模块解决的，该安全模块与数据总线连接，以及通过一个总线系统控制模块解决的，该总线系统控制模块同样具有一个用于保证具有可靠性功能的符合规定的数据通信的数据处理单元。该数据处理单元被如下设置：通过经由所述数据总线与该安全模块的数据交换实现了对可靠性功能的相互验证。因此。安全模块和总线系统控制模块对于对可靠性重要的功能而言是相互协调一致和完备的，从而在总体上实现了一种多通道的、自身监视的可靠系统。

该安全模块和自动化系统具有这样的优点：可以将标准的自动化设备事后地用可靠部件扩展。为此，仅仅需要将至少一个安全模块附接到现存的数据总线上。借助于现场总线控制器、即总线系统控制模块的随后的固件更新，该系统就满足了对限定的安全级别的要求。同样的安全模块可以被用于多个不同的现场总线耦合器，并且仅仅需要被一次性地认证。通过附接其它的安全模块还可以实现带有多重冗余的自动化系统，并且由此实现相关联的更高的可靠性。

附图说明

下面根据实施方式结合附图对本发明作详细的说明。附图中：

图1示出了一个自动化系统框图，该系统包括在总线系统控制模块的数据总线上的安全模块以及输入/输出模块；

图2示出了一个自动化系统框图，该系统包括两个相互独立的数据总线以及在一条总线上的安全模块和在另一条总线上的输入/输出模块；

图3示出了两个通过通信接口相互连接的数据处理单元的框图。

具体实施方式

从图1中可以看出自动化系统1的框图，该系统具有一个带有与现场总线的接口IF_2的总线系统控制模块2。现场总线可以例如按照PROFI总线标准、以太网标准或者类似的标准工作。总线系统控制模块是一个现场总线控制器，该现场总线控制器可以被安装在支承导轨上并且构成对于内部数据总线3、例如所谓的S总线的顶端模块。为此，总线系统控制模块2具有另一个接口IF_3，该接口用于控制和执行与连接在数据总线3上的输入/输出模块4a、4b的数据交换。当然，输入/输出模块4a、4b的数量可以是任意大的并且仅仅受数据总线3的寻址能力和物理长度的限制。

总线系统控制模块2具有微控制器μC1，所述微控制器通过可靠的固件FWS-1运行。

此外，在数据总线3上连接有安全模块5，该安全模块同样具有一个微控制器μC2，该微控制器利用对于可靠性重要的固件FWS-2运行。除了总线系统控制模块2之外，安全模块5提供同样的数据处理，以便能够通过安全模块5和总线系统控制模块2的相同的数据处理和对数据处理的结果的比较识别出数据处理错误。为了以如下方式保证通过数据总线3的数据通信，使得能够识别并且必要时消除数据处理错误并且可以将自动化系统1引入到可靠的状态，将总线系统控制模块2和安全模块5的数据处理单元μC1和μC2这样地相互协调一致，使得它们通过经由该数据总线3的数据交换而进行分别对总线系统控制模块2和安全模块5的可靠性功能的相互验证。由此，数据处理单元μC1和μC2在总线系统控制模块2中和在安全模块5中都不是冗余地构造的，而是分布地设置的并且在利用数据总线3的条件下被补充为用于微控制器μC1和μC2的有关可靠性的通信接口。

从图2中可以看出自动化系统1的另一种实施方式，其中将安全模块5连接到自身的数据总线3a上，而将输入/输出模块4a、4b接线到特定的第二数据总线3b上。为此，总线系统控制模块2具有用于控制该另一数据总线3b另一个接口IF_4。例如，安全模块5在作为内部通信总线3a的所谓的S总线上运行，而输入/输出模块4a、4b在内部通信总线K总线上运行。

从图3中可以看出总线系统控制模块2的安全模块5的两个分布设置并且通过数据总线3相互分离的数据处理单元μC1和μC2的框图。可以看出，通过有关可靠性的接口IF_S实现了对可靠性功能的相互验证，该接口是在将两个微控制器μC1和μC2常规地集成为单一模块时实现为内部接口的，并且在本发明中是利用数据总线3实现的。

Claims (9)

1.一种带有接口的安全模块(5)，这些接口用于通过数据总线(3)与为了连接现场设备的输入/输出模块(4a，4b)而提供的总线系统控制模块(2)进行连接，其特征在于，所述安全模块(5)具有一个数据处理单元(μC2)，该数据处理单元被设置为对应于总线系统控制单元(2)用于对通过所述数据总线(3)传输的数据进行相同的处理，并且该数据处理单元(μC2)为了保证具有可靠性功能的符合规定的数据通信而被如下设置：使得通过经由所述数据总线(3)与该总线系统控制单元(2)的数据交换实现了对可靠性功能的相互验证。

2.根据权利要求1所述的安全模块(5)，其特征在于，所述安全模块(5)具有一个用于控制在所述数据总线(3)上的数据通信的接口控制单元，并且所述接口控制单元被设置为用于以连续的数据流传输为对可靠性功能进行相互验证而提供的数据，该连续数据流包含在所述总线系统控制模块(2)与同样连接在所述数据总线(3)上的输入/输出模块(4a，4b)之间所传输的数据。

3.根据权利要求1所述的安全模块(5)，其特征在于，所述安全模块(5)具有一个用于控制在所述数据总线(3)上的数据通信的接口控制单元，该接口控制单元被设置为用于在用于所述安全模块(5)自身数据总线(3a)上以单独的数据流传输为对可靠性功能进行相互验证而提供的数据。

4.根据上述权利要求中任一项所述的安全模块(5)，其特征在于，所述安全模块(5)具有固定元件，该固定元件用于将该安全模块(5)插接到支承导轨上。

5.根据权利要求4所述的安全模块(5)，其特征在于，所述安全模块(5)具有在侧面上的压力触点，该压力触点与所述数据处理单元(μC2)连接并且被设置为，在将该安全模块(5)插接到所述支承导轨上时用于与相邻的模块(2，4)的对应压力触点相连接并用于构造所述数据总线(3)。

6.根据上述权利要求中任一项所述的安全模块(5)，其特征在于，所述数据总线(3)除了用于数据传输的导线外还具有供电导线。

7.根据上述权利要求中任一项所述的安全模块(5)，其特征在于，所述数据总线(3)是串行数据总线。

8.根据权利要求7所述的安全模块(5)，其特征在于，所述数据总线(3)从所述安全模块(5)的输入端通过该安全模块(5)接通至该安全模块(5)连接相邻模块(2，4)输入端的一个输出端。

9.一种自动化系统(1)，其包括总线系统控制模块(2)、数据总线(3)和在该数据总线(3)上连接的输入/输出模块(4a，4b)，这些输入/输出模块带有用于为了进行数据通信而将现场设备与该总线系统控制单元(2)连接的接线端子，其特征在于，至少一个根据上述权利要求中任一项所述的安全模块(5)与所述数据总线(3)连接，并且所述总线系统控制模块(2)同样具有一个数据处理单元(μC1)，该数据处理单元为了保证具有可靠性功能的符合规定的数据通信而被如下设置：通过经由所述数据总线(3)与该至少一个安全模块的数据交换实现了对可靠性功能的相互验证。

Images