CN119652997A

CN119652997A - 用于监控通信连接的方法

Info

Publication number: CN119652997A
Application number: CN202411294244.5A
Authority: CN
Inventors: 龙尼·赫格; 尤利娅·施魏格尔; 塞巴斯蒂安·舍茨; 马库斯·沃尔特
Original assignee: Siemens Corp
Current assignee: Siemens Corp
Priority date: 2023-09-15
Filing date: 2024-09-14
Publication date: 2025-03-18
Also published as: EP4524661A1; US20250097135A1

Abstract

本发明涉及用于在第一订阅者（1）与第二订阅者（2）之间监控通信连接的方法，在第一订阅者（1）中以第一周期时间（ZT1）周期性地执行第一处理程序（P1），为了监控通信连接，在第一订阅者（1）中运行具有第一时间计数器（Z1）的第一诊断单元（D1），使得来自第二订阅者（2）的第一电报（T1）的到达启动第一时间计数器（Z1），在能预设的第一监控时间（WD_T1）内借助第一时间计数器（Z1）监控来自第二订阅者（2）的第二电报（T2）的到达，在第一诊断单元（D1）中在第一监控时间（WD_T1）与第一时间计数器（Z1）之间的差形成剩余期限（RLZ）并且检验是否剩余期限（RLZ）小于或等于第一周期时间（ZT1），并且如果是这种情况，则生成监控信号（TO）。

Description

用于监控通信连接的方法

技术领域

本发明涉及一种用于监控第一订阅者与第二订阅者之间的通信连接的方法，其中，在第一订阅者中具有第一周期时间的第一处理程序被周期性地执行，为了监控通信连接，在第一订阅者中具有第一时间计数器的第一诊断单元运行，使得来自第二订阅者的第一电报的到达启动第一时间计数器，其中，在能预设的第一监控时间内借助于第一时间计数器监控来自第二订阅者的第二电报的到达。

背景技术

在EP 1 484 655 A1中已经公开了这种监控方法，其中，响应发送的电报在监控时间期间监控在另外的电报中的相应的回复信号的接收。

对于在那里示出的F-CPU与输出元件之间的通信，“在错误情况中的最大反应时间”是“没有错误的最大反应时间”（在附图中是WCDT全部）+监控时间（PROFIsafe-超时时间）+ 输出元件的周期 - 发送单元的周期。

发明内容

本发明的目的是在错误情况下减少最大的反应时间。

该目的通过以下方式得到实现，在第一诊断单元中从第一监控时间与第一时间计数器的差中形成剩余期限，并且检查剩余期限是否小于或等于第一周期时间，并且如果是这种情况，则生成监控信号。

迄今为止，在监控时间、即看门狗时间内对新的电报或者新的正确的安全PDU（协议数据单元）在F设备驱动器处的到达如此进行监控，以至于如果看门狗时间到期，则启动错误反应。新电报的接收重新启动看门狗时间。在检查新的电报之前实施检查看门狗时间是否已经到期。

根据本发明现在是该情况，如果用于监控时间、尤其用于设备特定的监控时间的时间计数器的剩余期限小于周期时间或者小于设备特定的周期时间时，则已经做出反应。

该方法有利地在安全相关的系统中在第一订阅者与第二订阅者之间的通信连接的情况下运行，并且在该情况中，第一订阅者中的第一处理程序在存在监控信号的情况下从接收的过程值切换到替代值，其中，在检查显示出剩余期限小于或等于第一周期时间的周期中已经实施切换。

在安全系统的情况下，不仅对于最坏情况，而且对于在错误情况下的最坏情况，都必须考虑反应时间。为此定义了安全功能响应时间（SFRT），安全功能响应时间包括总线运行时间、控制器的周期时间、外围设备的周期时间和看门狗时间。

在订阅者或在部件中，在部件中运行监控时间或WD时间，不是只有当WD时间到期时才做出反应，而是当WD时间的剩余期限小于部件的周期时间时已经做出反应。因为即使直到下一周期接收到新的电报，也必须安全地对到期的WD时间做出反应。由于这种解决方案，能节省评估部件的周期时间，WD时间在该周期时间内继续运行。有利地，现在节省周期时间并且因此减小在错误情况下的反应时间。由此能够减小设备的尺寸，例如能够引入更小的安全距离，因为例如能够更快速地停止机器。

该方法同样提供时间优点，在应用在从作为输入设备的第二订阅者通过作为自动化控制器的第一订阅者向作为输出设备的第三订阅者的通信运行中时，由此，对于错误情况的最大反应时间在通信中最小化并且安全地对错误情况做出反应。

该方法也能被用于在具有功能安全性的自动化应用中传输与安全相关的数据的通信协议的标准中使用。

迄今为止计算了最差情况延迟时间（WCDT）并且将最大WD时间与相关部件的周期时间相加，在其中WD时间运行，如PROFIsafe标准IEC 61784-3-3中所要求的。利用本发明，该方法能在PROFIsafe F-IO驱动器中实现，使得评估自动地执行并且因此反应时间更快。

该方法也用于在运行危险机器期间来减小操作员与触发装置的距离。

由于这种解决方案，能节省评估部件的周期时间（WD时间在其中运行）。

示例计算：

CPU周期＝ 100ms

安全程序的运行时间（FPROG） = 5ms

总线时间 = 5ms

F-DI （DAT ＝ 10ms，WCDT ＝ 13ms）

F-DO（DAT ＝ 10ms，WCDT ＝ 16ms）

DAT ＝设备确认时间

HAT = 主机确认时间

SFRT安全功能响应时间

总线运行时间，

控制器的周期时间，

外围设备的周期时间

看门狗时间（WD时间）

F-WD时间：故障安全看门狗时间

（->必须接收新电报的时间）

WCDT：最差情况延迟时间

（无错误的最大反应时间）

SFRT：安全功能响应时间

（错误情况下的最大反应时间）

MNR监控数字（MNR）

监控数字意味着确保传输的安全PDU的真实性和正确顺序

DAT设备确认时间

HAT主机确认时间

用于F-DI → F-CPU → F-DO中的安全功能的在F-DI与F-CPU或SFRT之间的F通信的考虑

用于最小PROFIsafe监控时间（WD_时间）的公式

WD_时间公式：= DAT + 2x总线 + HAT（_CPU周期）+余量

在存在错误（SFRT）时的最大反应时间的公式

迄今为止的公式

SFRT_旧：=WCDT + Max（WD_时间_FDI←→CPU+ 周期_CPU – 周期_FDI； WD时间_{CPU←→F-DO}+ 周期_FDO – 周期_CPU）

检查是否还未到期的当前状态的公式

WD_时间 < HAT_CPU周期

SFRT_新：=WCDT + Max（WD_时间_FDI←→CPU – 周期_FDI；

WD_时间_CPU←→FDO – 周期_FDO）

比较SFRT_旧与SFRT_新得出，用于SFRT_新的反应时间减小了HAT_CPU周期或周期_FDO。

示例计算A：

CPU周期= 100ms，F程序运行时间（FPROG）=5ms，ET200MP F-DI 16（周期=5ms，DAT= 10ms，WCDT =13ms），ET200MP F-DQ 8（周期=5ms，DAT = 10，WCDT 16ms）和总线 = 5

WD_时间：=100_CPU周期+ 2x5总线 + 10_{DAT（FDI或FDO）}+ 10_余量= 130 ms

WCDT ：= 13_WCDT-FDI + 5_总线 + 100_CPU周期 + 5_FPROG + 5_总线 + 16_WCDT-FDO = 144ms

SFRT_旧：= 144_WCDT + Max（130_{WD_时间} + 100_CPU周期 – 5_{周期-FDI；}

130_{WD_时间} + 5_FDO周期 – 100_CPU周期） = 144ms + Max（225ms；25ms） = 369ms

SFRT_新：=144_WCDT+ Max（130_{WD_时间}-5_周期-FDI；130_{WD_时间}-100_CPU周期）=144ms + Max（125ms；30ms）=269ms → 节省100ms或者27%

由于在当前周期中WD_时间在30ms存在（130-100）并且F周期为100ms，因此能立即做出反应。

示例计算B：

CPU周期= 30ms，F程序运行时间（FPROG）=5ms，ET200MP F-DI 16（周期=5ms，DAT =10ms，WCDT =13ms），ET200MP F-DQ 8（周期=5ms，DAT = 10，WCDT 16ms）和总线 = 5ms

WD_时间：=30_CPU周期 + 2x5总线 + 10_{DAT（FDI或FDO）}+ 5_余量= 55ms

WCDT ：= 13_WCDT-FDI + 5_总线 + 30_CPU周期 + 2_FPROG + 5_总线 + 16_WCDT-FDO = 71ms

SFRT_旧：= 71_WCDT + Max（55_{WD_时间} + 30_CPU周期 - 5_{周期-FDI；}

55_{WD_时间} + 5_周期-FD - 30_CPU周期） = 71ms + Max（80ms；30ms）= 151ms

SFRT_新：= 71_WCDT + Max（55_{WD_时间} - 5_周期-FDI；55_{WD_时间} - 30_CPU周期）

=71ms + Max（50ms；25ms）=121ms→节省30ms或者20%

由于在当前周期中WD_时间在25ms存在（55-30）并且F周期为30ms，因此能立即做出反应。

示例计算C：

CPU周期= 10ms，F程序运行时间（FPROG）=5ms，ET200MP F-DI 16（周期=5ms，DAT =10ms，WCDT =13ms），ET200MP F-DQ 8（周期=5ms，DAT = 10，WCDT 16ms）和总线 = 5ms

WD_时间：=10_CPU周期 + 2x5_总线 + 10_{DAT（FDI或FDO）}+ 5_余量= 35ms

WCDT ：= 13_WCDT-DI + 5_总线 + 10_CPU周期 + 2_FPROG + 5_总线 + 16_WCDT-FDO = 51ms

SFRT_旧：= 51_WCDT + Max（35_{WD_时间} + 10_CPU周期 - 5_周期-FDI；

35_{WD_时间} + 5_周期-FD - 10_CPU周期） = 51ms + Max（40ms；30ms）= 91ms

SFRT_新：= 51_WCDT + Max（35_{WD_时间} - 5_周期-FDI；35_{WD_时间} - 10_CPU周期）

= 51ms + Max（30ms；25ms）=81ms→节省10ms或者11%

由于在当前周期中WD_时间在5ms存在（35-3x10）并且F周期为10ms，因此能立即做出反应。

示例计算D：

CPU周期= 10ms，F程序运行时间（FPROG）=5ms，ET200MP F-DI 16（周期=5ms，DAT =10ms，WCDT =13ms），ET200SP F-DQ 4（周期=16ms，DAT=20，WCDT 32ms）和总线 = 5ms

WD_时间_FDI←→CPU ：=10_CPU周期+ 2x5_总线+ 10_DAT（FDI）+ 5_余量=35ms

WD_时间_CPU←→FDO ：=10_CPU周期+ 2x5_总线+ 20_DAT（FDO）+ 5_余量=45ms

WCDT ：= 13_WCDT-DI + 5_总线 + 10_CPU周期 + 2_FPROG + 5_总线 + 32_WCDT-FDO = 67ms

SFRT_旧：= 67_WCDT + Max（35_{WD_时间（FDI/CPU）} + 10_CPU周期 - 5_周期-FDI；

45_{WD_时间（CPU/FDO）} + 16_周期-FD - 10_CPU周期） = 67ms + Max（40ms；51ms）= 118ms

SFRT_新：= 67_WCDT + Max（35_{WD_时间（FDI/CPU）}-5_周期-FDI；45_{WD_时间（CPU/FDO）} - 10_CPU周期）

=67ms + Max（30ms；35ms）=102ms → 节约16ms或者13.6%

由于在当前周期中WD_时间在13ms存在（45-2x16）并且F-DO周期为16ms，因此能立即做出反应。

注释：

WCDT：最差情况延迟时间或者在无错误的情况下的最大反应时间。

用于F-DI →F-CPU1 → F-CPU2 → F-DO中的安全功能的在F-CPU与F-CPU或SFRT之间的F通信的考虑

用于CPU-CPU通信的最小监控时间（WD_时间）的公式

WD_时间_CPU-CPU的公式：=CPU1周期+ 2x总线 + CPU2周期+余量

在存在错误时的最大反应时间的公式（SFRT，在从CPU向CPU传输上）

迄今为止的公式

SFRT_旧：= WCDT + WD_时间_CPU-CPU + CPU2周期_{（接收器）} – CPU1周期_{（发送器）}

具有检查是否当前状态还未到期的公式

WD_时间 < CPU2周期_{（接收器）}

SFRT_新：= WCDT + WD_时间_CPU-CPU – CPU1周期

SFRT_旧与SFRT_新的比较得出，用于SFRT_新的反应时间减小了CPU2周期。

示例计算E：

CPU1周期= 50ms，F程序运行时间1（FPROG1）= 5ms，CPU2周期= 100ms，F程序运行时间2（FPROG2）= 5ms，ET200MP F-DI 16（周期= 5ms，DAT = 10ms，WCDT =13ms），ET200MPF-DQ 8（周期= 5ms，DAT = 10，WCDT 16ms），总线1_FDI-CPU1 = 5ms，总线2_CPU1-CPU2 = 5ms和总线3_CPU2-FDO = 5ms

WD_时间2_CPU1-CPU2：= 50_CPU1周期 + 2x5_总线2 + 100_CPU2周期 + 10_余量 = 170ms

WCDT ：= 13_WCDT-DI + 5_总线1 + 50_CPU1周期 + 5_FPROG1 + 5_总线2 + 100_CPU2周期 + 5_FPROG2 +16_WCDT-DO = 199ms

SFRT_{旧（超时CPU-CPU）} ：= 199_WCDT + 170_{WD_时间-CPU-CPU} + 100_CPU2周期 – 50_CPU1周期= 419ms

SFRT_{新（超时CPU-CPU）}：=199_WCDT+ 170_{WD_时间-CPU-CPU}-50_CPU1周期=319ms → 节省100ms 或者21%，因为SFRT_{新（超时FDI-CPUs）}更大

由于在当前周期中WD_时间在70ms存在（170-100）并且F周期为100ms，因此能立即做出反应。

SFRT_{旧（超时FDI-CPU1）} ：= 199_WCDT + 80_{WD_时间（FDI/CPU1）} + 50_CPU1周期 - 5_周期-FDI= 324ms

SFRT_{新（超时FDI-CPU1）}：=199_WCDT+ 80_{WD_时间（FDI/CPU1）}- 5_周期-FDI=274ms → 小于SFRT_{新（超时CPU-CPU）} 因此SFRT_{新（超时CPU-CPU）}是决定性的）

SFRT_{旧（超时CPU2-FDO）} ：= 199_WCDT + 130_{WD_时间（CPU2/FDO）} + 5_周期-FDO - 100_CPU周期= 234ms

SFRT_{新（超时CPU2-FDO）}：=199_WCDT+ 130_{WD_时间（CPU2/FDO）}– 100_CPU周期=229ms → 小于SFRT_{新（超时CPU-CPU）} 因此SFRT_{新（超时CPU-CPU）}是决定性的）

注释：

对术语“超时”的进一步解释，本领域技术人员理解超时是指使用PROFIsafe时的看门狗。该看门狗检查是否在看门狗时间内到达“新的”有效的Profisafe电报。经由Profinet（通讯协定）周期地发送电报，例如每隔4ms。然而，仅在CPU中的F程序的周期中更新PROFIsafe电报。

假设F程序每隔30ms被发起并且总线周期时间为4ms，然后在4ms间隔中发送Profisafe电报，但是Profisafe电报仅每隔30ms更新。Profinet持续发送旧的电报，直到存在新的电报。只有当新的电报到来时，才复位Profisafe看门狗。

因此，最小看门狗时间在此为～34ms，由此系统完全“能”起作用，即使实际上每隔4ms到达新的电报。

然而，如果仅丢失一个消息，则看门狗将立即激活。以便在此实现更好的可用性，应更慷慨地计算看门狗时间（F程序的程序运行时间、其更新时间、总线周期、丢失电报的时间等）。因此代替34ms例如使用100 ms，只要安全要求容忍该情况。

如果不能提高看门狗，因为安全系统必须如此快速地反应，必须减少安全程序的周期时间和总线周期时间，该情况可能需要更快的硬件。

参数“F_WD_时间”是故障安全的DP标准从属装置（standard slave）/IO标准设备/PA现场设备中的监控时间。在监控时间内，来自目标设备有效的当前安全电报必须到达。由此确保识别出失效和故障并且触发相应的反应，其将F系统保持在安全状态中或者将其转换到安全状态中。监控时间一方面应当足够高，以便能容忍由于通信引起的电报延迟，但是在错误情况下（例如通信连接中断）错误响应功能应该足够快地反应。参数“F_WD_时间”以1ms的步长来说明并且参数的值范围由GSD文件限制。

开头所提到的目的也通过自动化控制器来实现，自动化控制器为此包括：用于监控与输入设备的通信连接的诊断单元，处理器，被设计成具有第一周期时间周期地执行处理程序，诊断单元在该情况下被设计成具有第一时间计数器，该第一时间计数器在第一电报到达时启动，还被设计成在可预设的第一监控时间内借助于第一时间计数器监控来自输入设备的第二电报的到达，诊断单元被设计成从在第一监控时间与第一时间计数器之间的差形成剩余期限，并且还被设计成检查是否剩余期限小于或等于第一周期时间，并且如果是这种情况，则生成监控信号。

在改进方案中，自动化控制器被设计为针对功能安全性而设计的控制器，并且被设计使得处理程序在存在监控信号的情况下从所接收的过程值切换到替代值，其中，切换已经在周期中执行，检查在周期中得出，剩余期限小于或等于第一周期时间。

在本发明的意义上，“功能安全”是指根据IEC 61508标准系列的定义“与安全有关的电/电子/能编程电子系统的功能安全性”。这里描述了用于控制错误的不同方法的应用。

例如，避免开发中的系统错误，例如，规格错误和实施错误；在持续运行期间监控以便识别随机错误；以及安全的控制所识别的错误并转变到先前定义为安全的状态中。

自动化控制器还被设计成具有用于连接输入设备和输出设备的总线连接，其中，诊断单元和第一处理程序被设计成通过提供替代值来最小化在通信中的错误情况的最大反应时间并且安全地对错误情况做出反应。

有利地，为了在具有功能安全性的自动化应用中传输与安全相关的数据，自动化控制器设计成具有用于标准化通信协议的通信驱动器。

WD时间在部件中运行，不是只有当WD时间到期时系统才做出反应，而是当WD时间的剩余期限小于部件的周期时间时。因为，即使直到下个周期接收到新的电报，必须安全地对到期的WD时间做出反应。该情况将在任何情况下在下一个周期中发生，即使在此期间中电报会返回，因为在对新电报的检查发生之前，必须在F程序的开始处发生剩余期限的评估。

开始时提到的目的也通过输出设备来实现，该输出设备被设计成接收用于输出过程值的电报，还被设计成具有诊断单元，该诊断单元被设计成实施根据本发明所述的方法，并且被设计成在存在监控信号时从过程值切换到替代值。

特别是在机器人技术中，输出设备被设计为自动化技术中的执行器的集成的组成部分，然后，该执行器例如是驱动马达。

附图说明

附图示出本发明的实施例和进一步的解释。在此示出：

图1示出根据现有技术的在第一订阅者与第二订阅者之间的通信，

图2示出利用根据本发明的诊断单元在第一订阅者与第二订阅者之间的通信，

图3示出用于说明安全功能响应时间（SFRT）缩短的图表，

图4示出减少SFRT的效果，

图5示出自动化控制器，并且

图6示出具有集成的输出设备的马达。

具体实施方式

根据图1示出在第一订阅者1与第二订阅者2之间的通信。第二订阅者2向第一订阅者1发送电报T。随着电报T的接收，对第一订阅者1启动监控时间，看门狗时间WD_T到期。如果在看门狗时间WD_T的时间到期内另外的电报没有被第一订阅者1接收，则利用影响安全性的功能来做出反应。这意味着，直到在第一订阅者1中看门狗时间WD_T到期时，才对影响安全性的事件做出反应。第一处理程序P1以第一周期时间ZT1执行。

利用图2描述利用根据本发明的方法的在从图1中已知的第一订阅者1与第二订阅者2之间的通信。现在这样设计第一订阅者1，使得利用该第一订阅者能执行用于监控在第一订阅者1与第二订阅者2之间的通信连接的方法。在第一订阅者1中以第一周期时间ZT1周期性地执行第一处理程序P1。为了监控通信连接，在第一订阅者1中运行具有第一时间计数器Z1的第一诊断单元D1，使得来自第二订阅者2的第一电报T1的到达启动第一时间计数器Z1。在能预设的第一监控时间WD_T1内借助第一时间计数器Z1监控来自第二订阅者2的第二电报T2的到达。

在第一诊断单元D1中从在第一监控时间WD_T1与第一时间计数器Z1之间的差形成剩余期限RLZ。现在，持续地检查是否剩余期限RLZ小于或等于第一周期时间ZT1。在剩余期限RLZ小于或等于第一周期时间的情况中，生成监控信号TO。然后，第一订阅者1从过程值S切换到替代值EW。

实施所提到的方法的主要优点是，如果时间计数器Z1的剩余期限RLZ对于监控时间、尤其对于设备特定的监控时间而言小于周期时间或者小于设备的设备特定的周期时间时，已经能做出反应。

这里，在图2的示例中，在剩余期限RLZ与第一周期时间ZT1之间的比较用于第一处理程序P1的执行。

现在已经能在以下周期中实施从过程值到替代值的切换，在该周期中检查得出剩余期限小于或等于第一周期时间。就用于安全技术评估的快速反应而言，现在节省了整个周期时间。

图3示出从输入设备F-DI向自动化控制器CPU的通信和从自动化控制器CPU向输出设备F-DO的指令的通信的流程图。输入设备F-DI经由第一总线11与自动化控制器CPU连接并且输出设备F-DO经由第二总线12与自动化控制器CPU连接。输入设备F-DI例如接收过程值S，该过程值能是S＝1或者S＝0。过程值S例如能是用于触发装置LG的安全功能。在输入设备F-DI中运行第二诊断单元D2并且运行第二处理程序P2。在自动化控制器CPU中，第一诊断单元D1运行并且第一处理程序P1到期。在输出设备F-DO中，第三诊断单元D3运行并且第三处理程序P3到期。在提到的诊断单元D1、D2、D3中实施前述用于监控通信连接的方法。输入设备F-DI经由第一总线11向自动化控制器CPU发送电报。电报包含过程值S。从开始点a起，具有过程值S＝1的电报经由第一总线11发送至自动化控制器CPU。输入设备F-DI具有设备特定的周期时间并且相应地在点b处具有过程值S＝1的电报离开输入设备F-DI。第一总线11再次具有总线延迟时间或电报周期时间，因此从点b到点c的电报需要一定的总线运行时间。自动化控制器CPU同样具有设备特定的周期时间，并且因此该自动化控制器只有在周期时间之后在点d处才能够将所接收的过程值S＝1经由第二总线12转发至输出设备F-DO。

在自动化控制器CPU中，最后识别的信号S＝1开始第一监控时间WD_T1。

然而，现在出现如下情况，即第一总线11失效或存在错误，或者输入设备F-DI失效并且没有新的数据或电报转发给总线。这通过具有过程值S＝0的小三角形来说明。在点b下方显示错误标志F。因此，存在从S＝1到S＝0的过程值S的信号变化，该信号变化不再接通至自动化控制器CPU。在点d，看门狗时间或者第一监控时间WD_T1启动。在点e，监控时间WD_T1的剩余期限RLZ仍然还未到期，然而其小于自动化控制器CPU的第一周期时间ZT1或者看门狗。因此，现在已经做出反应，因为监控时间WD_T1在下个周期中确定地会到期。由此得出，信号S＝1必须被设置为安全的替代值EW＝0。现在，自动化控制器CPU在实际的监控时间到期之前还向具有安全的替代值EW＝0或S＝0的输出设备F-DO发送电报。该信号又必须经由具有一定的放大时间第二总线12传输。如果在输出设备F-DO中也经过了一定的延迟时间，直到能输出信号或安全的替代值EW＝0。这种安全输出在点h处发生。在没有检查是否剩余期限RLZ小于或等于第一周期时间ZT1的根据本发明的方法的情况下，安全的替代值直到在点g处才由自动化控制器CPU提供。

根据对监控时间的旧的评估，直到监控时间WD_T1到期之后才做出反应并且因此在最坏的情况下直到稍后的周期才做出反应。自动化控制器CPU直到在点g才反应，即，必须派遣安全的替代值EW＝0或S＝0；该替代值同样需要其经由第二总线的运行时间，并且最后在输出设备F-DO中处理并且能在点i上延迟地安全地输出。因此得到了针对错误情况SFRT_旧的旧的最大反应时间并且得到了针对错误情况SFRT_新的新的最大反应时间。能清楚地看出，95 ms的错误情况SFRT_新的新的最大反应时间小于110 ms的错误情况SFRT_旧的旧的最大反应时间。

借助图4阐述在系统示例上对于错误情况SFRT减少最大反应时间的效果。例如，距压力机必须保持安全距离S。安全距离S在危险区域G与触发装置LG、在此示例中为光栅的安装位置之间测量。现在，例如人手想要从接近方向A伸入到压力机中，在此情况下，经由触发装置LG触发信号。如图3所示，该信号必须通过各个部件和总线延迟地传输到输出设备。在对于根据图4的这个描述的系统运行的通信计算中，在示例中SFRT从369 ms下降到269 ms。由于SFRT减小了100 ms，触发装置LG与危险区域G的安全距离S能减小了200 mm。

安全距离S能用所示的公式S = K • 8 + P + 8 •(D-14)来计算。假设接近速度K为2000 m/s。这相应于人手的穿入速度。T被计算为机器的最大所需停止时间加上触发装置的响应时间或光幕的检测能力D。

利用图5再次示意地示出在图4中所描述的自动化控制器CPU。自动化控制器CPU包括用于监控与输入设备FDI的通信连接的诊断单元D1；此外，自动化控制器CPU包括处理器P，处理器被设计用于周期地执行处理程序P1。处理程序P1在自动化控制器CPU中以第一周期时间ZT1执行。诊断单元D1被设计成具有第一时间计数器Z1，该第一时间计数器在第一电报T1到达时启动。诊断单元D1还被设计成在能预设的第一监控时间WD_T1内借助第一时间计数器Z1来监控来自输入设备F-DI的第二电报T2的到达。现在，为了减小对于错误情况SFRT的最大反应时间，诊断单元D1被设计成在第一监控时间WD_T1与第一时间计数器Z1之间的差形成剩余期限RLZ并且还被设计成检查是否剩余期限RLZ小于或等于第一周期时间ZT1，并且如果是这种情况，则生成监控信号TO。现在能提前从过程值S切换到安全的替代值EW。

根据图6示出输出设备F-DO为用于机器人的伺服马达M的集成组成部分。如果具有其第三诊断单元D3的输出设备F-DO直接实施或者集成至机器人的马达中，则甚至能对停止信号更快地做出反应。

Claims

1.一种用于监控第一订阅者（1）与第二订阅者（2）之间的通信连接的方法，其中，在所述第一订阅者（1）中周期地执行具有第一周期时间（ZT1）的第一处理程序（P1），为了监控所述通信连接，在所述第一订阅者（1）中运行具有第一时间计数器（Z1）的第一诊断单元（D1），以使来自所述第二订阅者（2）的第一电报（T1）的到达启动所述第一时间计数器（Z1），其中，在能预设的第一监控时间（WD_T1）内借助于所述第一时间计数器（Z1）监控来自所述第二订阅者（2）的第二电报（T2）的到达，

其特征在于，在所述第一诊断单元（D1）中从所述第一监控时间（WD_T1）与所述第一时间计数器（Z1）之间的差形成剩余期限（RLZ）并且检查所述剩余期限（RLZ）是否小于或等于所述第一周期时间（ZT1），并且如果存在所述剩余期限小于或等于所述第一周期时间的情况，则生成监控信号（TO）。

2.根据权利要求1所述的方法，其中，在安全相关的系统中运行所述第一订阅者（1）与所述第二订阅者（2）之间的所述通信连接，并且在存在所述监控信号（TO）的情况下在所述第一订阅者（1）中使所述第一处理程序（P1）从接收的过程值（S）切换至替代值（EW），其中，所述切换在周期中被执行，所述检查在所述周期中示出了所述剩余期限（RLZ）小于或等于所述第一周期时间（ZT1）。

3.根据权利要求1或2所述的方法，针对在从作为输入设备（F-DI）的所述第二订阅者（2）经由作为自动化控制器（CPU）的所述第一订阅者（1）至作为输出设备（F-DO）的第三订阅者（3）的通信运行中的应用，使得在通信中将针对错误情况（SFRT）的最大反应时间最小化并且对所述错误情况进行安全反应。

4.根据权利要求1至3中任一项所述的方法，所述方法被使用在用于通信协议的标准中，所述通信协议用于在具有功能安全性的自动化应用中传输安全相关的数据。

5.根据权利要求1至4中任一项所述的方法，所述方法用于在危险机器运行期间减小操作员（B）与触发装置（LG）的间距。

6.一种自动化控制器（CPU），包括：

诊断单元（D1），用于监控至输入设备（F-DI）的通信连接，

处理器（P），被设计用于周期地执行具有第一周期时间（ZT1）的处理程序（P1），所述诊断单元（D1）被设计为具有第一时间计数器（Z1），所述第一时间计数器在第一电报（T1）到达时启动，并且所述诊断单元还被设计为在能预设的第一监控时间（WD_T1）内借助于所述第一时间计数器（Z1）监控来自所述输入设备（F-DI）的第二电报（T2）的到达，

其特征在于，所述诊断单元（D1）被设计用于从所述第一监控时间（WD_T1）与所述第一时间计数器（Z1）之间的差形成剩余期限（RLZ），并且所述诊断单元还被设计用于检查所述剩余期限（RLZ）是否小于或等于所述第一周期时间（ZT1），并且如果存在所述剩余期限小于或等于所述第一周期时间的情况，则生成监控信号（TO）。

7.根据权利要求6所述的自动化控制器（CPU），所述自动化控制器还被设计为设计用于功能安全性的控制器，并且在存在所述监控信号（TO）的情况下使所述处理程序（P1）从接收的过程值（S）切换至替代值（EW），其中，所述切换已经在周期中被执行，所述检查在所述周期中示出了所述剩余期限（RLZ）小于或等于所述第一周期时间（ZT1）。

8.根据权利要求6或7所述的自动化控制器（CPU），所述自动化控制器被设计成具有用于连接输入设备（F-DI）和输出设备（F-DO）的总线连接（10），其中，所述诊断单元（D1）和所述第一处理程序（P1）被设计成通过提供所述替代值（EW）来最小化针对通信中的错误情况（SFRT）的最大反应时间并且对所述错误情况进行安全反应。

9.根据权利要求6至8中任一项所述的自动化控制器（CPU），所述自动化控制器被设计成具有用于标准化的通信协议的通信驱动器，所述通信协议用于在具有功能安全性的自动化应用中传输安全相关的数据。

10.一种输出设备（F-DO），所述输出设备被设计用于接收用于输出过程值（S）的电报，所述输出设备还被设计成具有用于执行根据权利要求1至5所述的方法的诊断单元（D3），并且所述输出设备被设计用于在存在所述监控信号（TO）的情况下实施从所述过程值（S）至替代值（EW）的切换。

11.根据权利要求10所述的输出设备（F-DO），所述输出设备被设计为自动化技术中的执行器的集成部分。