DE19913279A1 - Überwachungseinheit zur Fehlererkennung und Fehlerunterdrückung in Steuerungseinrichtungen - Google Patents

Abstract

Es wird eine Überwachungseinheit beschrieben, die man innerhalb von Automatisierungseinrichtungen integrieren kann und somit ein erhöhtes Maß an Sicherheit der Gesamtanlage erhält. Die Überwachungseinheit erhält ein autarkes Programm, das lediglich die Sicherheitsfunktionen der Anlage, der Maschine oder des Prozesses überwacht. Damit wird eine fast vollständige Trennung zwischen Steuerfunktionen und Sicherheitsfunktionen ermöglicht. Die Überwachungseinheit läßt sich überall dort einsetzen, wo ein erhöhtes Maß an Sicherheit für Leben und Gesundheit von Personen oder für Maschinenteile gefordert ist. Eine nachträgliche Adaption in bestehende Einrichtungen ist ebenfalls möglich.

Description

Die Erfindung bezieht sich auf eine Überwachungseinheit, die man in Automatisierungseinrichtungen integrieren kann und dann ein erhöhtes Maß an Sicherheit erreicht.

Steuerungseinrichtungen werden nach dem heutigen Stand der Technik überall dort eingesetzt, wo Prozesse, Abläufe oder sonstige elektromechanische Einrichtungen zu steuern, regeln, überwachen oder zu visualisieren sind.

Im engeren Sinne verwendet man hierzu oftmals speicherprogrammierbare Steuerungen oder Mikrorechner. Typische Anwendungsgebiete sind Automatisierungsinseln, Fertigungsstraßen, Bearbeitungszentren oder chemische Einrichtungen.

Nicht selten enthalten diese vorher genannten Prozesse sicherheitsrelevante Abläufe, die eine Gefährdung für Personen oder Teile der Maschine darstellen. Von den fehlerhafte Zuständen der Steuerung gehen dann extreme Gefahren aus, die unbedingt von Personen oder sonstigen Einrichtungen fern zu halten sind. Beispiele hierfür sind unkontrollierte Bewegungen von Robotern, vorzeitiges Bewegen von Dreh- oder Fräseinrichtungen, ungewollte Beschleunigungen oder falsche Drehzahlen von Rotationseinrichtungen oder verzögertes Abschalten von Heiz- oder Dosierprozessen bei chemischen Anlagen.

Die Ursachen dieser fatalen Fehler sind vielfältig. Zumeist liegt aber ein Programmierfehler, ein unkontrolliertes Verhalten durch elektromagnetische Einflüsse oder eine sonstige Störung vor, die den Prozeß in eine nicht definierte Situation bringt.

Diese Fehlerarten sind in der Literatur (insb.: in Normungswerken, vergl.: DIN 19251) hinreichend beschrieben. Gleichfalls stellt die Norm bereits Konzepte vor, wie man derartige Fehler erkennt und eliminiert (z. B.: DIN V 0801 / DIN ISO 61508). Ferner bieten verschiedene Hersteller von Steuerungseinrichtungen bereits vollständige Lösungen an, die für sicherheitsrelevante Einrichtungen (wie vorgestellt) zu verwenden sind (siehe Produktangebote Siemens (115/155F) oder Produkte der Hersteller Pilz und Hima).

Alle bekannten Lösungen basieren darauf, daß man entweder die gesamte Steuerungseinrichtung oder Teile der Steuerungseinrichtung redundant auslegt. So entsteht ein Gesamtsystem, das man bei allen sicherheitsrelevanten Komponenten entweder doppelt oder dreifach projektiert werden muß.

Insbesondere stellt die Sicherheitseinrichtung bei einer derartigen Steuerung einen festen Bestandteil des Gesamtsystems dar. Jede Änderung oder Anpassung an den Prozeß muß sorgsam (im Hinblick auf die Sicherheitsfunktion) durchgeführt werden, da auch nichtsicherheitsrelevante Hard- oder Softwarekomponenten einen Einfluß auf die Sicherheitseinrichtung haben können. Im schlimmsten Fall könnte sogar die Änderung eines Parameters zum Absturz der Sicherheitseinrichtung führen.

Bereits in der Vergangenheit war man daher stets bemüht, reine Steuerungsabläufe von sicherheitsrelevanten Vorgängen zu trennen (siehe auch Patent DE 35 02 387 oder Fachartikel "SPS in der Sicherheitstechnik", SPS-Magazin, Feb./März 1990).

Nach wie vor stellen auch diese Konzepte Verfahren dar, die zwar ohne Verdopplung der Hardware auskommen, aber die sicherheitsrelevante Funktion in der Gesamtprojektierung der Steuerung benötigen.

Der Erfindung liegt die Aufgabe zu Grunde, die Steuerungseinrichtung und die Sicherheitsfunktion vollkommen zu trennen. Mit der Erfindung wird es möglich, den Steuerungsteil vollständig vorher aufzubauen, zu testen und in Betrieb zu nehmen. Die Überwachungseinheit läßt sich dann nachträglich hinzufügen, ohne die Steuerungsfunktion zu ändern. Auch nach der Installation beider Systeme (Steuerungseinrichtung und Überwachungseinheit) lassen sich Steuerungsfunktionen ändern, hinzufügen oder heraustrennen, ohne daß die Sicherheitsfunktion davon betroffen ist. Insbesondere besteht die Möglichkeit, alle Sicherheitsverknüpfungen im einzelnen unabhängig zu prüfen.

Fig. 1 stellt ein typisches Steuerungssystem für Anlagen, Maschinen oder Prozesse dar. Die Steuerung (1) enthält das Verarbeitungsprogramm und steuert oder regelt den Prozeß (11, 12) bzw. den sicherheitsrelevanten Prozeß (13) über dezentrale Ein- und Ausgaben (4, 5, 6, 7, 8, 9, 10). Der Datentransport von oder zur Steuerungseinheit zu oder von den dezentralen Einheiten wird durch ein Bus-System (3) bewerkstelligt. Alle Informationen, die entweder analoge oder digitale Werte für den Prozeß oder vom Prozeß darstellen werden über dieses Bus-System transportiert.

Ein beliebiger Teilnehmer, der lediglich eine Hörer-Funktion am Bus übernimmt, kann sich durch das Speichern der Informationen dieser Ein- und Ausgangsdaten ein Bild vom Zustand der Ein- und Ausgänge und vom Prozeß machen.

Fügt man daher ein Überwachungseinheit in das System ein, und hinterlegt in ihr logische Funktionen, welche die Sicherheit überprüfen, so erkennt diese Überwachungseinheit eventuelle Fehler, die am Bus erscheinen. Die Überwachungseinheit enthält innerhalb ihrer logischen Funktionen nur übergeordnete Verknüpfungen, die den sicheren Ablauf (im Sinne von Personenschutz oder Maschinensicherheit) garantieren. In der Regel sind diese Sicherheitsfunktionen nur von geringer Anzahl und lassen sich durch einfachste Verknüpfungen als eine Art "Zustimm-Logik" hinterlegen.

Freilich erkennt die Überwachungseinheit in der einfachsten Ausprägung nur Fehler, die am Bus erscheinen. Typische Fehler dieser Form sind Programmierfehler, Störungen durch EMV oder Datentransportfehler am Bus-System. Eventuelle Fehler der Eingangseinheiten oder der Ausgangseinheiten werden nicht registriert.

Man kann jedoch durch zwei unterschiedliche Strategien einen hohe Fehlersicherheit erreichen, den gesamten Prozeß einschließt:

• - Es besteht (meist im Rahmen der Projektierung) die Möglichkeit, die Respons einer Ausgabeeinheit durch Rücklesen einer Eingabeeinheit zu überprüfen. Dieses kann direkt geschehen als auch durch einen Plausibilitätskontrolle innerhalb des Prozesses erfolgen. So kann die Ausgabeeinheit (5) durch einen internen Fehler in der Einheit im Prozeß (11) eine ungewollte Funktion ausführen. Dann besteht sofort die Möglichkeit, die Ausgangsgröße entweder direkt über die Eingabeeinheit (6) wieder rückzulesen. Der Rückkopplungszweig (14) muß in jedem Fall projektiert werden. Natürlich besteht auch die Möglichkeit, eine abgeleitete Größe aus dem Prozeß in die Eingabeeinheit einzugeben. So kann beispielsweise die Ausgabeeinheit (5) einen Motor ansteuern. Dessen Drehzahl wird über einen Tachogenerator von der Eingabeeinheit (6) abgefragt und so von dem Automatisierungssystem und der Überwachungseinheit überwacht. In jedem Fall erscheint ein möglicher Fehler zuerst im Prozeß und wird dann erkannt. Bis zu einer eventuellen Abschaltung oder einem anders gearteten Eingriff existiert somit eine (zwar kurze) Fehleroffenbarungszeit. Bei den heute üblichen Geschwindigkeiten von Steuerungseinrichtungen liegen diese Offenbarungszeiten nur bei wenigen Millisekunden, so daß ein kein Schaden entstehen kann.
• - Man kann aber auch spezielle Ausgabeeinheiten vorsehen (7, grau hinterlegt), die bereits intern eine Sicherheitslogik beinhalten (vergl.: Patentanmeldung Peter Wratil, Akt.: 198 60 358.4). Derartige Ausgabeeinheiten lassen sich auch als Eingabeeinheit betreiben und spiegeln dann ihre eigene Ausgabefunktion oder die bewirkte Funktion aus dem Prozeß (13) zurück. Mit einer derartigen Anordnung entfällt eine Projektierung, die eine Rückkopplung über einen Eingabe-Kanal vorsieht.

Gleichgültig welche Ausprägung des Systems vorliegt, so erscheint ein möglicher Fehler kurzzeitig am Prozeß (12, 13). Sobald die Überwachungseinheit den Fehler erkennt, muß sie den begonnen Prozeß stoppen und in einen sicheren Zustand versetzen. In der Regel tritt ein sicherer Zustand ein, sobald die Spannungsversorgung abgeschaltet wird.

Zu Erhöhung der Sicherheit ist es zusätzlich notwendig, daß die Überwachungseinheit (2, grau hinterlegt) auch den zyklischen Verkehr am Bus- System prüft. Damit wird ausgeschlossen, daß eine Fehler am Ausgang im Prozeß (14, 12) erscheint und auf Grund eines Busausfalls nicht mehr eingelesen wird. Bei einer derartigen Bus-Unterbrechung hat die Überwachungseinheit ebenfalls die Versorgung abzuschalten oder eine geeignete Vorkehrung zu treffen.

Der interne Aufbau der Überwachungseinheit (Fig. 1: 2) ist in Fig. 2 im Detail dargestellt (vergl.: Patentanmeldung, Peter Wratil, Akt.: 199 04 893.2).

Fig. 2 stellt den internen Aufbau der Überwachungseinheit (1) dar. Über ein Bus- Interface (3) ist die Überwachungseinheit (1) an das Bus-System (2) angeschlossen. Sie beinhaltet innerhalb des Bus-Verkehrs die Stellung eines Slaves. Damit ist sie nicht in der Lage, direkt Daten zu einem der Teilnehmer zu senden. Das Bus- Interface (3) versetzt sie lediglich in die Lage, alle Daten, die durch die Steuerung übertragen werden zu protokollieren. Hierzu verwendet die Überwachungseinheit (1) einen Mikroprozessor (MP1, 4) (oder ein ähnlich geartetes Bauteil, z. B.: ASIC), das die Daten vom Bus-System (2) über das Bus-Interface (3) aufnimmt und im Speicher 1 (8) ablegt. Hierdurch entsteht im Speicher 1 (8) ein Abbild der Zustände innerhalb der Eingänge und Ausgänge im gesamten Automatisierungsverbund. Ein weiterer Mikroprozessor (MP2, 5) ist an den ersten Prozessor angekoppelt. Die wesentliche Aufgabe dieses zweiten Prozessors (5) besteht jedoch darin, über die graphische Ein- und Ausgabe (10) die Sicherheitsfunktionen im Speicher 2 (9) abzulegen. Diese Sicherheitsfunktionen stellen in der Regel nur ein geringer Teil der gesamten Steuerungsfunktionen dar. Diese werden vom Benutzer in Form einer Tabelle hinterlegt, die genaue Auskunft gibt, welche Eingänge mit der entsprechenden logischen Funktion zu erlaubten oder verbotenen Ausgängen gehören. Der Prozessor 2 (5) beinhaltet damit ein Betriebssystem (Software), die diese Eingabe über Tasten und Anzeige oder über ein Speicherelement (z. B.: EPROM, EEPROM, Chip-Karte, usw.) im Speicher 2 (9) ablegt. Unabhängig von der Art der Eingabe entsteht somit im Speicher 2 (9) eine Untermenge der Speicherinhalte aus dem Speicher 1 (8). In der Regel (d. h. im Fall, daß sich das System fehlerfrei verhält) stimmen die Inhalte aus dem Speicher 2 (9) mit einem Teil des Speichers 1 (8) überein.

Noch während des Bus-Zyklus am Bus-System (2) unterhalten sich die beiden Prozessoren und tauschen die Inhalte der Speicher aus, so daß ein Vergleich möglich wird. Sofern das Automatisierungssystem fehlerfrei arbeitet, ist ein Gleichstand der entsprechenden Speicherbereiche gewährleistet. Im Fehlerfall (z. B. wenn ein Ausgang gesetzt werden soll, der im Speicher 2 (9) durch die momentane Konstellation der Eingänge nicht erlaubt ist) entsteht eine Abweichung, die von beiden Prozessoren erkannt wird. Hierdurch erfolgt eine Meldung an die Logik- Kontrolle (6), die über das Abschalt-Signal (7) den Prozeß in einen sicheren Zustand versetzt. Die Logik-Kontrolle (6) hat noch zusätzlich die Aufgabe, die beiden Prozessoren gegenseitig zu überwachen, so daß die Überwachungseinheit (1) bereits intern über eine fehlererkennende Einrichtung verfügt.

Die Überwachungseinheit (2, in Fig. 1) übernimmt damit 2 unterschiedliche Aufgaben in dem beschriebenen Verfahren. Einerseits dient sie dem Benutzer zur Eingabe und Darstellung der sicherheitsrelevanten Funktionen. Damit erfüllt diese Einheit die Funktion eines MMIs (Man Machine Interface). Andererseits übt die Überwachungseinheit (2) eine Kontrolle des Busverkehrs aus und versetzt sich dadurch in die Lage, die Zustände der Ein- und Ausgänge im Automatisierungsverbund zu kontrollieren.

In der Regel kann man die Überwachungseinheit mit einer Schnittstelle ausrüsten (z. B.: serielles Interface), so daß bei speziellen Prozeßanforderungen nicht ein genereller Stop der Gesamtanlage, sondern auch eine Gruppenabschaltung einzelner Bereiche möglich ist. Hierdurch kann ein verketteter Herstellungsprozeß entweder noch in einen sicheren Zustand gefahren oder sogar in den noch verbleibenden sicheren Funktionen aufrecht erhalten werden.

Durch Hinzufügen einer derartigen Überwachungseinheit ist damit ein erhöhtes Maß an Sicherheit entstanden. Im Zusammenspiel mit der Projektierung der Gesamtanlage kann eine "Ein-Fehler-Sicherheit" entstehen, die jeden möglichen Fehler erkennt und im Fehlerfall den gerade gestarteten Prozeß unterbricht. Die Installation der beschriebenen Überwachungseinheit kann auch nach der Inbetriebnahme des Automatisierungssystems erfolgen, da Steuerungs- und Sicherheitsfunktionen fast vollständig getrennt sind. Man erhält damit den entscheidenden Vorteil, daß man ein bestehendes System, eine Anlage, eine Maschine oder einen Prozeß bei erhöhter Anforderung an die Sicherheit in einfachster Form nachrüsten kann.

Claims (9)

1. Überwachungseinheit (2) zur Fehlererkennung und Fehlerunterdrückung in Steuerungseinrichtungen, dadurch gekennzeichnet, daß eine Automatisierungseinrichtung zur Steuerung oder Regelung einer Anlage, einer Maschine oder eines Prozesses (11, 12) durch Hinzufügen der Überwachungseinheit (2) ein erhöhtes Maß an Sicherheit bringt, die dadurch zustande kommt, daß man Steuerungs- und Sicherheitsfunktionen weitgehend trennen kann und so ein Unabhängigkeit zwischen Steuerung und Sicherheitsüberwachung erhält, dadurch gekennzeichnet, daß die Überwachungseinheit als Hörer an einem vorhandenen Bus-System (3) eventuelle Übertragungs-, Programmierfehler oder sonstige Störungen erkennt und den Prozeß unterbricht, oder gegebenenfalls zu einer Gesamt- oder Gruppenabschaltung führt, und damit einen sicheren Zustand des Gesamtsystems erzeugt, dadurch gekennzeichnet, daß die Kontrolle eventueller Fehler nicht nur auf den Datentransfer bei der Bus-Übertragung sondern auch durch Rücklesen über Eingabeeinheiten (14) oder über spezielle rücklesbare Ausgabeeinheiten (7) erfolgt und somit ein Schutz von Leben und Gesundheit von Personen erfolgt oder wertvolle Maschinenteile vor Beschädigung hütet.

2. Überwachungseinheit nach dem Anspruch 1, dadurch gekennzeichnet, daß diese nachträglich in bestehende Anlagen, Maschinen oder sonstige Prozesse adaptierbar ist und so zur Erhöhung der Sicherheit beiträgt.

3. Überwachungseinheit nach den Ansprüchen 1 bis 2, dadurch gekennzeichnet, daß man je nach Grad der Sicherheitsanforderung oder den Randbedingungen des Automatisierungssystems entweder mit einer projektierten Rücklesung über eine dezentrale Eingabeeinheit (6, 14) oder mit einer speziellen rücklesbaren Ausgabeeinheit (7) arbeitet.

4. Überwachungseinheit nach den Ansprüchen 1 bis 3, dadurch gekennzeichnet, daß die Überwachungseinheit ein- oder mehrkanalig aufgebaut ist (je nach Sicherheitsanforderung) und damit gegebenenfalls selbst bereits intern redundant aufgebaut sein kann und mittels einer Logik-Kontrolle (Fig. 2: 6) zwei interne Mikroprozessoren (oder ähnlich Bausteine) (Fig. 2: 4, 5) überwacht und so interne Fehler selbst eliminiert oder im Zusammenspiel mit zusätzlichen Einheiten (z. B.: der Steuerungseinrichtung) diese Fehler eliminiert.

5. Überwachungseinheit nach den Ansprüchen 1 bis 4, dadurch gekennzeichnet, daß sie intern 2 Speicher (Fig. 2: 8, 9) enthält, die einerseits die Zustände der Ein- und Ausgabeeinheiten (Fig. 2: 8) und andererseits die erlaubten Verknüpfungen der Sicherheitsfunktionen (Fig. 2: 9) beinhalten, so daß eine Abweichung in den Speicherinhalten zu einer Abschaltfunktion (7) führt, so daß im Prozeß ein sicherer Zustand erreicht wird.

6. Überwachungseinheit nach den Ansprüchen 1 bis 5, dadurch gekennzeichnet, daß sie eine Eingabe (10) enthält, in der man die Sicherheitsfunktionen über eine integrierte graphische Bedienoberfläche (10) oder ein sonstiges Speichermedium hinterlegen kann.

7. Überwachungseinheit nach den Ansprüchen 1 bis 6, dadurch gekennzeichnet, daß die Überwachungseinheit durch eine Zugangsfunktion (Schlüsselschalter, Paßwort, usw.) entweder aktiv oder inaktiv geschaltet werden kann, so daß man die Funktion im Detail testen und in Betrieb nehmen kann, ohne die Maschinensteuerung zu beeinflussen.

8. Überwachungseinheit nach den Ansprüchen 1 bis 7, dadurch gekennzeichnet, daß die Überwachungseinheit über eine Schnittstelle verfügt (z. B.: serielles Interface), so daß sowohl ein Gesamtabschaltung als auch eine Gruppenabschaltung im Fehlerfall erfolgt.

9. Überwachungseinheit nach den Ansprüchen 1 bis 8, dadurch gekennzeichnet, daß eine funktionsorientierte Diagnose erfolgen kann, da eine Abweichung der beiden Speicher (Fig. 2: 8, 9) sofort eine Information ermöglicht, welcher Fehler aufgetreten ist.