-
Die
vorliegende Erfindung bezieht sich auf ein Verfahren zum Sicherstellen
der Funktion eines Feldbusses, wobei der Feldbus von zwei Steuerungsservern
gesteuert wird, von denen einer zu einer Zeit aktiv eingestellt
ist und einer passiv eingestellt ist, und die Steuerungsserver mit
dem Backup-Bus verbunden sind. Die Erfindung bezieht sich auch auf
ein System, welches mindestens einen Feldbus umfasst, zwei Steuerungsserver
zur Steuerung die Funktionsweise des Feldbusses, wobei einer der
Server zu einer Zeit aktiv eingestellt ist und einer passiv eingestellt
ist, und die Steuerungsserver mit dem Backup-Bus verbunden sind.
Darüber
hinaus bezieht sich die Erfindung auf einen Steuerungsserver, welcher
im System verwendet wird, welches mindestens einen Feldbus umfasst,
und welcher Einrichtungen zur Steuerung der Operation des Feldbusses,
Einrichtungen zum Einstellen des Betriebsmodes des Steuerungsservers
entweder auf aktiv oder auf passiv, und Einrichtungen zur Verbindung des
Steuerungsserver zu einem anderen Steuerungsserver mit einem Backup-Bus
umfasst.
-
Es
sind unterschiedliche Busstrukturen für verteilte Prozessautomatisierungssysteme
entwickelt worden, durch welche Strukturdaten zwischen unterschiedlichen
Teilen des Prozessautomatisierungssystems übertragen werden können, wie
Messdaten des gemessenen Objektes an die Steuerungszentrale, und
Steuerungsdaten von der Steuerungszentrale an das gesteuerte Objekt.
Das Prozessautomatisierungssystem ist mit dem Prozess über unterschiedliche
Feldbusse verbunden. Mit diesen Feldbussen ist es möglich, z.B.
Messungen unterschiedlicher Punkte des Prozesses durchzuführen und
bei Bedarf Steuerungen auszuführen.
-
Die
Feldvorrichtungen kommunizieren mit den anderen Teilen des Systems über einen
so genannten Feldbus. In Verbindung mit Prozessautomatisierungssystemen
bezieht sich ein Feldbus auf einen Datentransferbus zwischen Steuerungssystem und
den Feldvorrichtungen. Es ist möglich,
z.B. Eingabe-/Ausgabe-Module, Feldvorrichtungen und Steuerungsserver
mit dem Feldbus zu verbinden. Durch den Feldbus können die
Prozessstellglieder und der Rest des Prozessautomatisierungssystems miteinander
kommunizieren. Der Feldbus ist typischerweise als gerader Punkt-zu-Punkt-Typ
eines Busses angeordnet, aber in manchen Anwendungen werden auch
eine Sternform und eine Kreisform verwendet. Datentransfer erfolgt
hauptsächlich
in Sequenzformat und normalerweise ist es möglich, Daten im Bus in zwei
verschiedene Richtungen zu übertragen
(Voll-Duplex). In einigen Busstrukturen, die entwickelt worden sind,
ist es möglich,
die von den Schnittstellenvorrichtungen benötigte Betriebsspannung über denselben
Bus zu übertragen,
wobei keine getrennten Betriebsspannungsleitungen benötigt werden.
-
Eine
dieser Feldbuskonstruktionen ist der sogenannte PROFIBUS-Bus (Prozessfeldbus,
Process Field Bus). Er basiert auf einem offenen Standard, wobei
physikalische Eigenschaften eines Feldbusses festgelegt sind, wie
auch Eigenschaften in Verbindung mit dem Datentransfer, wie angewandte Protokolle.
Der Protokollstapel des PROFIBUS-Feldbusses basiert auf dem OSI-Modell,
das durch das internationale Standardisierungssystem ISO entwickelt
wurde, in dessen Modell es sieben verschiedenen Schichten gibt und
eine präzise
Aufgabe für
jede Schicht definiert ist. Drei der OSI-Schichten werden im PROFIBUS-Feldbus verwendet:
Schicht 1, d.h. die physikalische Schicht; Schicht 2, d.h. die Datenverbindungsschicht;
und Schicht 7, d.h. die Anwendungsschicht.
-
Die
physikalische Schicht übernimmt
den Transfer der Bitfolge entlang des physikalischen Buskabels.
Das Bit-Timing, die Datenübertragungsrate und
das Signalspannungsniveau, die im Buskabel im Datentransfer benutzt
werden, sind in der physikalischen Schicht festgelegt. Die Verbindung
mit der physikalischen Schicht entspricht dem RS-485-Standard mit
einer asynchronen NRZ-BIT-Codierung (Non Return to Zero).
-
Die
Datenverbindungsschicht übernimmt z.B.
die Bussteuerung mit einem Bussteuerungsprotokoll. Die Datenverbindungsschicht
umfasst einen Buszugriffsprozedurdienst (MAC, Medium Access Control),
dessen Aufgabe es unter Anderem ist, zu überwachen, dass nur ein Knoten
zu einer Zeit das Recht hat, Daten an den Feldbus zu übertragen.
Darüber
hinaus stellt die Mediumzugangssteuerung sicher, dass jede Station
genügend
Zeit hat, seine Kommunikationsaufgaben innerhalb des eingestellten
Zeitraums auszuüben.
Im PROFIBUS-Feldbus ist die Mediumzugangssteuerung in zwei Teile
aufgeteilt: die Token-Ring-Prozedur,
welche z.B. in der gegenseitigen Kommunikation zwischen Servervorrichtungen
(master-master communication) verwendet wird und die Master-Slave-Prozedur, welcher
in der Kommunikation zwischen einer Servervorrichtung und einer
Feldvorrichtung verwendet wird. In der Token-Weitergabe-Prozedur
hat diejenige Master-Vorrichtung das Buszugriffsrecht, welche das
kleinste Token der Token-Nachricht hat. Es gibt nur eine aktive
Master-Vorrichtung zu einer Zeit in einem Feldbus. In der Master-Slave-Prozedur
kann dieser Datentransfer nur nach Start durch die Master-Vorrichtung beginnen.
Daher können
die andere Vorrichtungen Daten nicht anders übertragen denn als Ergebnis
einer Abfrage der Master-Vorrichtung.
-
Die
Anwendungsschicht ist verantwortlich für das Anbieten von Managementdiensten,
Datenordnungsdiensten und Transaktionsdiensten.
-
Einige
Aufgaben des Steuerungsserver umfassen die Steuerung des Betriebs
des Feldbusses und der damit verbundenen Feldvorrichtungen. Der Steuerungsserver
sendet Nachrichten an die Feldvorrichtungen, durch welche der Betriebszustand
der Feldvorrichtungen gesteuert werden kann, und z.B. Daten über den
Prozess von den Feldvorrichtungen gelesen werden kann, wie beispielsweise
Messdaten, Positionsdaten, u.s.w. Über den Steuerungsserver wird
auch die Verbindung des Feldbusses zum Rest des Prozessautomatisierungssystems
durchgeführt,
z.B. um Messdaten an die Steuerungszentrale zu übermitteln, und die Übermittlung
der in der Steuerungszentrale durchgeführten Steuerungsoperationen
an die mit dem Feldbus verbundenen Feldvorrichtungen. In einigen
Anwendungen ist die Feldbussteuerung (field bus controller, FBC)
in Verbindung mit dem Steuerungsserver ausgebildet, wobei es die Aufgabe
der Feldbussteuerung ist, als Schnittstelle zwischen dem Steuerungsserver
und dem Feldbus zu dienen. Typischerweise wird die Feldbussteuerung
durch ein Programm vorzugsweise in Verbindung mit dem Programm-Server
verwirklicht.
-
Der
zuverlässige
Betrieb des Prozessautomatisierungssystems auch bei verschiedenen
Störungen
und Fehlersituationen ist wichtig. Es ist ein Ziel, dieses z.B.
durch verschiedene Verdoppelungen sicherzustellen, wobei in diesem
Fall ein Teil der funktionalen Teile des Prozessautomatisierungssystems
als zwei in der Substanz identische Teile verwirklicht wird. Ein
Beispiel für
diesen Typ eines teilweise verdoppelten Systems wird in der angefügten 1 vorgestellt.
Es umfasst zwei Steuerungsserver, zwischen welchen der Bus doppelt
vorhanden ist. Ein Steuerungsserver ist eingestellt, um als Haupt-Steuerungsserver
zu dienen und der andere Steuerungsserver ist eingestellt, um als
Reserve-Steuerungsserver zu dienen. Ein Bus für jede Feldvorrichtung ist
von jedem Steuerungsserver ausgebildet. Dieser Typ eines Systems
ist sehr fehlertolerant, aber seine Umsetzung ist teuer, weil die
meisten Vorrichtungen verdoppelt werden müssen. Darüber hinaus haben beispielsweise
nur einige der Feldvorrichtungen, die mit dem PROFIBUS-Feldbus verbunden
werden können,
die Möglichkeit,
die Feldvorrichtung mit mehr als einem Bus verbunden zu sein. Daher
ist die Anzahl der Feldvorrichtungen, die die Verdoppelung des Feldbusses
unterstützen,
begrenzt.
-
2 zeigt
ein anderes Redundanzsystem nach dem Stand der Technik. Auch in
diesem System gibt es zwei Steuerungsserver, von denen je ein Bus wegführt. Diese
Busse sind mit einem sogenannten Y-Schalter verbunden, über welchen
die Steuerungsserver mit einem nicht verdoppelten Feldbus verbunden
sind. In diesem Typ von System ist nur der Bus zwischen den Steuerungsservern
doppelt vorhanden, aber der Feldbus ist es nicht. Die Fehlertoleranz dieses
Typ Systems ist deutlich geringer als in dem in 1 gezeigten
System. Beispielsweise verursacht die Beschädigung des Y-Schalters einen
im Wesentlichen sofortigen Stop der Übermittlung zwischen dem Feldbus
und dem Steuerungsserver. Das System entdeckt auch keinen Bruch
im Bus, noch andere Fehlersituationen zwischen dem Y-Schalter und
dem Reserve-Steuerungsserver.
-
In
Lösungen
nach dem Stand der Technik wird eine Fehlersituation im passiven
(redundanten) Teil des Systems nur in einer Situation entdeckt,
in der ein Fehler im aktiven Teil entdeckt und der passive Teil
des Systems in den aktiven Modus umgeschaltet wird. Daher kann der
Betrieb des Systems deutlich gestört werden, weil der Teil des
Systems, welcher aktiviert werden soll (= der passive Teil), nicht
notwendiger Weise betriebsbereit ist. Wenn die Aktivierung durch
einen Fehler im aktiven Teil des Systems verursacht wird, ist keiner
der Teile der Systemverdoppelung betriebsbereit. Dieser Typ von Fehlfunktion
eines Systems kann relativ lange Unterbrechungen verursachen und
es kann auch hohe Kosten verursachen. Dokument
US 5.185.693 stellt ein Beispiel eines
solchen Systems vor.
-
Es
ist ein Ziel der vorliegenden, durch die Ansprüche definierten Erfindung,
ein verbessertes Verfahren und System zur Sicherstellung eines Feldbusses
und einer Feldbuskonstruktion vorzusehen. Die Erfindung basiert
auf der Idee, dass eine Prüfnachricht
in Intervallen vom aktiven Steuerungsserver an den passiven Server
gesendet wird, und eine Antwortnachricht auf die gesendete Prüfnachricht
erwartet wird. Wenn innerhalb einer vorgegebenen Zeit keine Antwortnachricht
zur Prüfnachricht
empfangen wird, wird angenommen, dass eine Fehlersituation im Bus
und/oder im passiven Steuerungsserver vorliegt, und Information über diese
Situation kann an den Rest des Prozessautomatisierungssystems gesendet
werden. Darüber
hinaus überwacht
der passive Steuerungsserver den Eingang der Prüfnachrichten und wenn im passiven
Steuerungsserver innerhalb einer vorgegebenen Zeit keine Prüfnachrichten
empfangen werden, schließt
der passive Steuerungsserver daraus, dass entweder der aktive Steuerungsserver
und/oder der Feldbus fehlerhaft arbeiten. Darüber hinaus werden Kopien der
Anwendungsdaten vom aktiven Steuerungsserver oder eine zusätzliche Prüfnachricht
an den passiven Steuerungsserver über einen anderen Bus als den
Feldbus gesendet. In einer Fehlersituation wird das Senden von Kopien der
Anwendungsdaten an den passiven Steuerungsserver gestoppt. Das Senden
von Kopien der Anwendungsdaten kann im passiven Steuerungsserver
vorzugsweise für
die Überwachung
des Arbeitszustandes des Steuerungsservers verwendet werden, so dass
dann, wenn der passive Steuerungsserver nicht innerhalb einer vorgegebenen
Zeit neue Anwendungsdaten vom aktiven Steuerungsserver empfängt, angenommen
wird, dass eine Fehlersituation im aktiven Steuerungsserver vorliegt.
Demzufolge beginnt der passive Steuerungsserver Prozeduren, um – wenn möglich – den passiven
Steuerungsserver aktiv zu schalten und dementsprechend den aktiven Steuerungsserver
passiv zu schalten.
-
Um
es genauer auszudrücken,
wird das Verfahren nach der vorliegenden Erfindung hauptsächlich dadurch
charakterisiert, dass in dem Verfahren eine erste Nachricht in Intervallen
vom aktiven Steuerungsserver über
den besagten Feldbus an den passiven Steuerungsserver gesendet wird,
dass vom passiven Steuerungsserver eine Antwortnachricht zur besagten
ersten Nachricht am aktiven Steuerungsserver erwartet wird, und
im Falle, dass der aktive Steuerungsserver besagte Antwortnachricht nicht
innerhalb eines eingestellten Zeitraums empfängt, erste Daten über die
Fehlersituation registriert werden, dass eine weitere Nachricht
vom aktiven Steuerungsserver über
den besagten Backup-Bus an den passiven Steuerungsserver gesendet
wird, und dass der passive Steuerungsserver auf die besagte zweite
Nachricht wartet und im Falle, dass der passive Steuerungsserver
die besagte zweite Nachricht nicht empfängt, weitere Daten über die
Fehlersituation registriert werden. Das System nach der vorliegenden
Erfindung wird hauptsächlich
dadurch charakterisiert, dass das System folgende Einrichtungen umfasst:
eine Einrichtung zur Versendung einer ersten Nachricht in Intervallen
vom aktiven Steuerungsserver über
besagten Feldbus an den passiven Steuerungsserver, eine Einrichtung
zum Bilden einer Antwortnachricht auf besagte erste Nachricht im
passiven Steuerungsserver, eine Einrichtung zum Feststellen der
Ankunft der Antwortnachricht am aktiven Steuerungsserver, eine Einrichtung
zur Bestimmung von Zeitdaten hinsichtlich der Versendung der letzten gesendeten
Erstnachricht, eine Einrichtung zum Vergleichen der besagten bestimmten
Zeitdaten mit einem zuvor eingestellten ersten Grenzwert, eine Einrichtung
zum Erstellen von ersten Daten zur Fehlersituation auf der Basis
des Vergleichs, eine Einrichtung zum Versenden einer zweiten Nachricht
in Intervallen vom aktiven Steuerungsserver über den besagten Backup-Bus
an den passiven Steuerungsserver, eine Einrichtung zum Feststellen
der Ankunft der zweiten Nachricht im passiven Steuerungsserver, eine
Einrichtung zur Bestimmung von Zeitdaten beim Empfang der zuletzt
empfangenen zweiten Nachricht, eine Einrichtung zum Vergleich der
besagten bestimmten Zeitdaten mit einem zuvor eingestellten zweiten
Grenzwert, und Einrichtungen zum Erstellen zweiter Daten über die
Fehlersituation auf der Basis des besagten Vergleichs. Der Steuerungsserver nach
der vorliegenden Erfindung ist hauptsächlich dadurch charakterisiert,
dass der Steuerungsserver folgende Einrichtungen umfasst: eine Einrichtung zum
Versenden einer ersten Nachricht in Intervallen über besagten Feldbus an den
zweiten mit dem Feldbus verbundenen Steuerungsserver, eine Einrichtung
zum Feststellen der Ankunft einer Antwortnachricht zur ersten Nachricht,
eine Einrichtung zur Bestimmung von Zeitdaten über das Versenden der letzten
versendeten ersten Nachricht, eine Einrichtung zum Vergleich besagter
festgelegter Zeitdaten mit einem zuvor eingestellten ersten Grenzwert,
und eine Einrichtung zur Einstellung ersten Daten über die
Fehlersituation auf der Basis des besagten Vergleichs, und eine
Einrichtung zum Versenden einer zweiten Nachricht in Intervallen über besagten
Backup-Bus an den zweiten Steuerungsserver.
-
Die
vorliegende Erfindung zeigt bemerkenswerte Vorteile gegenüber Lösungen nach
dem Stand der Technik. Um das Verfahren entsprechend der Erfindung
anzuwenden, brauchen der Feldbus und damit verbundene funktionale
Teile nicht verdoppelt zu werden, wodurch die Gesamtkosten der Verwirklichung
des Systems geringer bleiben als wenn Redundanzlösungen nach Stand der Technik
verwendet werden. Bei der Verwendung des Verfahrens nach der Erfindung
ist es möglich,
die Betriebsbereitschaft des passiven Steuerungsservers zu überwachen, wie
auch die Betriebsbereitschaft des Feldbusses. Daher ist es im Wesentlichen
zeitgleich mit dem Entdecken einer Fehlersituation möglich, Maßnahmen zur
Repa ratur des Fehlers zu ergreifen, ohne den weiteren Betrieb des
Systems zu stören.
Mit dieser Art von Anordnung ist es möglich, hauptsächlich durch
Fehlersituationen verursachten Fehlfunktionen und Unterbrechungen
vorzubeugen, was auch die durch Fehlersituationen verursachten Kosten
verringert. Mit einem Verfahren nach der vorteilhaften Ausführungsform
der Erfindung ist es möglich,
den Betrieb des aktiven Steuerungsservers im passiven Steuerungsserver
zu überwachen,
so dass in dem Falle, dass eine Fehlersituation entdeckt wird, der passive
Steuerungsserver aktiviert werden kann und der normale Betrieb des
Systems durch die Verwendung des zuvor passiven Steuerungsservers
wiederaufgenommen werden kann. Dadurch ist es möglich, den beschädigten Teil
während
des Betriebs des Systems zu reparieren. Daher ist es mit dem Verfahren
entsprechend der Erfindung möglich,
den Betriebszustand eines verdoppelten Systems zu überwachen
und mehrere unterschiedliche Fehlersituationen im Feldbus und in
den Steuerungsservern zu entdecken. Dies steigert die Zuverlässigkeit
des gesamten Systems und ermöglicht
eine schnelle Reaktion auf mögliche
Fehlersituationen.
-
Im
Folgenden wird die Erfindung in größerem Detail beschrieben werden
mit Bezug auf die beiliegenden Zeichnungen, in welchen
-
1 in
einem reduzierten Blockdiagramm ein Feldbus-Redundanzsystem nach
dem Stand der Technik zeigt,
-
2 in
einem reduzierten Blockdiagramm ein weiteres Feldbus-Redundanzsystem
nach dem Stand der Technik zeigt,
-
3 in
einem reduzierten Blockdiagramm ein Feldbus-Redundanzsystem nach
einer bevorzugten Ausführungsform
der Erfindung zeigt, und
-
4 in
einem reduzierten Blockdiagramm einen Steuerungsserver nach einer
bevorzugten Ausführungsform
der Erfindung zeigt.
-
Im
Folgenden wird die Erfindung unter Verwendung eines Feldbusses entsprechend
der PROFIBUS-Spezifikation als ein Beispiel beschrieben, aber es
wird offensichtlich sein, dass die Erfindung nicht darauf beschränkt ist,
nur in Verbindung mit diesem Typ Feldbus verwendet zu werden. Entsprechend
einer bevorzugten Ausführungsform
der Erfindung in 3 gibt es im System 1 einen
ersten Steuerungsserver 2 und einen zweiten Steuerungsserver 3.
Diese Steuerungsserver 2, 3 sind mit einem Backup-Bus 4 miteinander
verbunden, welcher vorteilhafter Weise verdoppelt ist. Das System
umfasst auch einen Feldbus 5, welcher vorteilhaft mindestens
teilweise als optischer Bus ausgebildet ist. Im System nach 3 ist
dieser optische Bus in Segmente 6a, 6b und 6c in
solcher Weise aufgeteilt, dass der Bus eine Ringstruktur bildet.
Dies wird durch das Verbinden zweier benachbarter Segmente 6a, 6b; 6b 6c; 6c, 6a mittels
einer Schnittstelleneinheit 7a, 7b, 7c erreicht.
Dieser Typ Schnittstelleneinheit 7a, 7b, 7c fungiert
als Auffrischvorrichtung im Feldbus 5. Es ist offensichtlich,
das die Anzahl der Schnittstelleneinheiten 7a, 7b, 7c in
den in der Praxis verwendeten Systemen von der Zahl drei abweichen
kann, und typischerweise gibt es mehr als drei Schnittstelleneinheiten 7a, 7b, 7c.
-
Jede
Feldvorrichtung 8, 9 ist über einen Schnittstellenbus 10 mit
der Schnittstelleneinheit 7a, 7b, 7c verbunden.
Normalerweise ist es möglich, mehr
als eine Feldvorrichtung 8, 9 mit derselben Schnittstelleneinheit 7a, 7b, 7c zu
verbinden, wobei jede mit derselben Schnittstelleneinheit 7a, 7b, 7c verbundene
Feldvorrichtung 8, 9 vorzugsweise mit demselben
Schnittstellenbus 10 verbunden ist.
-
Der
erste Steuerungsserver 2 ist über die erste Schnittstelleneinheit 7a mit
dem Feldbus 5 verbunden. Dementsprechend ist der zweite
Steuerungsserver 3 über
die zweite Schnittstelleneinheit 7b mit dem Feldbus 5 verbunden.
Die Steuerungsserver 2, 3 können so über diese entsprechenden Schnittstelleneinheiten 7a, 7b mit
dem Feldbus 5 kommunizieren.
-
Der
Steuerungsserver 2,3, der gegenwärtig aktiv
ist, kann mit dem Rest des Prozessautomatisierungssystems vorzugsweise über den
Backup-Bus 4 kommunizieren. Es ist jedoch offensichtlich,
dass die Kommunikation in Systemen in der Praxis auch über einen
anderen Datentransferbus abgewickelt werden kann. In 3 ist
der besagte Rest des Prozessautomatisierungssystems wegen der Übersichtlichkeit nur
mit Block 13 gekennzeichnet, aber er kann als solcher,
wie bekannt ist, mehrere verschiedene funktionale Zusammenbauten
umfassen, wie auch Feldbussysteme entsprechend der vorliegenden
Erfindung.
-
Im
Folgenden wird der Betrieb des Systems entsprechend einer bevorzugten
Ausführungsform der
Erfindung beschrieben. Man nehme an, dass der erste Steuerungsserver 2 als
aktiver Steuerungsserver eingestellt ist. Weil es in einem Feldbus 5 zu
einem Zeitpunkt nur einen aktiven Steuerungsserver geben kann, ist
der andere Steuerungsserver 3 als passiver Steuerungsserver
eingestellt. Dieser Typ passiver Steuerungsserver fungiert im System
entsprechend der Erfindung wie eine Slave-Vorrichtung, wobei ihr
eine spezifische Slave-Zahl
zugeordnet ist, zum Beispiel die Zahl 1. Der erste (zu
diesem Zeitpunkt aktive) Steuerungsserver 2 sendet in Intervallen
eine Prüfnachricht über die
erste Schnittstelleneinheit 7a an den Feldbus 5,
die über
die zweite Schnittstelleneinheit 7b an den zweiten (zu
diesem Zeitpunkt passiven) Steuerungsserver 3 übermittelt werden
soll. Daher wird die für
den Steuerungsserver 3 festgelegte Slave-Zahl als Empfängerinformation
in der Nachricht eingestellt. Die Nachrichtenkommunikation wird
vorzugsweise in der zweiten Schicht des besagten Protokollstapels
umgesetzt, von welchem mittels des als solchen bekannten Nachrichtenübermittlungsmechanismus
des Protokollstapels eine Nachricht gebildet wird, die geeignet
ist, an die erste Schicht, d.h. den physikalischen Übermittlungskanal, gesendet
zu werden. Dementsprechend wird die Umwandlung der vom physikalischen Übermittlungskanal
empfangenen Nachricht in eine Nachricht, die der Nachrichtenstruktur
der zweiten Schicht entspricht, beim Empfang der Nachricht durchgeführt. Vorzugsweise
enthält
besagte Prüfnachricht
keine mit den Feldvorrichtungen 8, 9 verbundene
Information.
-
In
Verbindung mit dem Senden der Prüfnachricht
wird im Steuerungsserver 2 ein erstes Zeitglied 11 (4)
auf seinen Anfangswert eingestellt und gestartet. Dieses erste Zeitglied 11 mißt die Zeit,
die vom Versenden der Prüfnachricht
bis zum Eingang einer möglichen
Antwortnachricht vergeht. In einer Situation, in der das System 1 betriebsbereit
ist, empfängt
der zweite Steuerungsserver 3 die Prüfnachricht. Auf dieser Grundlage
schließt
der zweite Steuerungsserver 3, dass er eine Antwortnachricht
an den ersten Steuerungsserver 2 senden muss. Der zweite Steuerungsserver 3 bildet
eine Antwortnachricht, in welcher der Identifikator des ersten Steuerungsservers 2 als
Empfängerinformation
eingestellt wird. Der zweite Steuerungsserver 3 sendet über die
zweite Schnittstelleneinheit 7b eine Antwortnachricht an
den Feldbus 5, wobei die Antwortnachricht an die erste Schnittstelleneinheit 7a und
weiter an den ersten Steuerungsserver 2 übermittelt
wird. Der erste Steuerungsserver 2 entdeckt den Eingang
einer Antwortnachricht, woraufhin das erste Zeitglied 11,
das die bis zum Empfang der Antwortnachricht vergangene Zeit überwacht,
angehalten und auf seinen Anfangswert eingestellt werden kann. Es
ist zu bestimmen möglich,
wann die nächste
Prüfnachricht
gesendet wird, z. B. mit dem zweiten Zeitglied 12.
-
Zusätzlich zum
Versenden der oben beschriebenen Prüfnachricht wird das Zusenden
einer Kopie der Anwendungsdaten vom aktiven Steuerungsserver zum
passiven Steuerungsserver immer noch durchgeführt im Verfahren entsprechend
einer vorteilhaften Ausführungsform
der Erfindung. In einer Situation entsprechend des oben beschriebenen
Beispiels bedeutet dies, dass eine Kopie der Anwendungsdaten vom
ersten Steuerungsserver 2 an den zweiten Steuerungsserver 3 gesendet
wird. Die Anwendungsdaten beschreiben z.B. die Messwerte unterschiedlicher
Messungen, die Steuerungswerte der Stellglieder, Zustandsdaten und
andere Information in Verbindung mit den Feldbussen 8, 9 und
dem Status des gesteuerten Vorgangs. Diese Anwendungsdaten werden
vorteilhafter Weise über
den Backup-Bus 4 übermittelt.
Hinsichtlich der Überwachung der
Betriebsbereitschaft der im Folgenden beschriebenen aktiven Vorrichtung
ist es von zentraler Bedeutung, dass für die Übermittlung der Anwendungsdaten
ein anderer Bus als der Feldbus 5 verwendet wird.
-
In
einem System entsprechend einer vorteilhaften Ausführungsform
der Erfindung ist es möglich, die Übermittlung
der Anwendungsdaten für
die Überwachung
der Arbeitsbedingung des aktiven Steuerungsservers 2 vorzugsweise
auf folgende Weise zu verwenden. Der Empfang der Anwendungsdaten wird
im zweiten Steuerungsserver 3 überwacht und wenn innerhalb
eines gesetzten Zeitraums keine neuen Anwendungsdaten empfangen
werden, wird im zweiten Steuerungsserver 3 angenommen,
dass im ersten Steuerungsserver 2 und/oder im Backup-Bus 4 eine
Fehlersituation vorliegt. D. h., dass der zweite Steuerungsserver 3 die
notwendigen Prozeduren beginnt, mit welchen der zweite Steuerungsserver 3 eingestellt
wird, als aktiver Steuerungsserver zu arbeiten, und der erste Steuerungsserver 2 eingestellt
wird, wenn möglich
als passiv zu arbeiten. Für
die Überwachung
der Zeit ist es möglich,
zum Beispiel das Zeitglied 11 zu verwenden, weil im passiven
Steuerungsserver 3 kein Bedarf besteht, die nach Versenden
der Prüfnachricht
vergehende Zeit zu messen.
-
Es
folgt eine Beschreibung einiger möglicher Fehlersituationen in
einem System entsprechend 3 und der
Funktionsweise des Verfahrens entsprechend einer bevorzugten Ausführungsform
der Erfindung in diesem Typ Fehlersituation.
-
Im
ersten Beispiel wird angenommen, dass der erste Steuerungsserver 2 in
solcher Weise beschädigt
ist, dass er keine Anwendungsdaten mehr an den zweiten Steuerungsserver 3 sendet.
Als Ergebnis davon entdeckt der zweite Steuerungsserver 3 nach
einem vorher bestimmten Zeitraum, dass das Aktualisieren der Messdaten
gestoppt worden ist, so dass daher der zweite Steuerungsserver 3 zum
aktiven Steuerungsserver umgeschaltet wird. Während des Umschaltens des aktiven
Steuerungsservers wird das Aktualisieren der Messdaten angehalten (die
Messungen sind eingefroren), wobei in einem solchen Fall die letzten
vertrauenswürdigen
Messdaten als Messdaten verwendet werden, die der zweite Steuerungsserver 3 vom
ersten Steuerungsserver 2 empfangen hat, bevor dieser beschädigt wurde. Wenn
notwendig, wird Information darüber,
dass die Messdaten nicht aktualisiert wurden, an die anderen Teile
des Prozessautomatisierungssystems gesendet, wie beispielsweise
die Steuerungszentrale (nicht gezeigt).
-
In
Verbindung mit der Aktivierung beginnt der zweite Steuerungsserver
Steuerungszyklen durchzuführen,
wobei in einem solchen Fall während
des ersten Durchführungszyklus
vorzugsweise die letzten vertrauenswürdigen Messergebnisse verwendet
werden. Der zweite Steuerungsserver 3 beginnt, über die zweite
Schnittstelleneinheit 7b Steuerungsdaten an den Feldbus 5 zu
senden. Wenn mehrere Steuerungsaufgaben in den Steuerungszyklen
bestimmt worden sind, müssen
alle Steuerungsaufgaben mindestens einmal durchgeführt werden,
bevor das Scannen des Feldbusses gestartet wird. Beim Scannen des
Feldbusses liest der aktive Steuerungsserver Informationen von den
Feldvorrichtungen vorzugsweise durch ein Abfrageverfahren und sendet Steuerungsdaten
an die Feldvorrichtungen.
-
Im
zweiten Beispiel einer Fehlersituation wird angenommen, dass der
Bus zwischen dem ersten Steuerungsserver 2 und der ersten
Schnittstelleneinheit 7a und/oder die erste Schnittstelleneinheit 7a beschädigt ist.
Daher haben die Prüfnachrichten vom
ersten Steuerungsserver keinen Zugang zum Feldbus 5. Das
Versenden einer Kopie der Anwendungsdaten über den Backup-Bus 4 an
den zweiten Steuerungsserver 3 wird jedoch fortgeführt. In
dieser Situation entdeckt der zweite Steuerungsserver 3, dass
Prüfnachrichten
nicht inner halb eines vorher festgelegten Zeitraumes eingegangen
sind. Weil jedoch das Versenden einer Kopie der Anwendungsdaten
nicht unterbrochen worden ist, wird angenommen, dass eine Fehlfunktion
in der Feldbusschnittstelle des ersten Steuerungsservers 2 vorliegt.
Als Folge davon wird die Aktivierung des zweiten Steuerungsservers 3 durchgeführt und
der erste Steuerungsserver 2 wird auf passiv gestellt.
Dies kann vorteilhafter Weise so durchgeführt werden, dass der zweite
Steuerungsserver 3 Informationen zum Umschalten des aktiven
Steuerungsservers über
den Backup-Bus 4 an den ersten Steuerungsserver 2 sendet.
So kann der erste Steuerungsserver 2 die notwendigen Prozeduren
durchführen,
um seine Betriebsbereitschaft auf passiv zu setzen. Dementsprechend
führt der
zweite Steuerungsserver 3 die oben beschriebenen Prozeduren
durch, um seine Betriebsbereitschaft auf aktiv zu setzen und die
Operation des Systems fortzuführen.
-
Im
dritten Beispiel einer Fehlersituation wird angenommen, dass eine
Fehlfunktion im Back-up-Bus 4 vorliegt.
Daher hört
das Versenden von Anwendungsdaten auf, aber die Übermittlung von Prüfnachrichten
wird normal fortgeführt.
Der zweite Steuerungsserver 3 kann von dieser Situation darauf
schließen,
dass eine Fehlfunktion im Backup-Bus 4 vorliegt. Daher
kann der Rest des Systembetriebs normal weitergehen. Information über die Fehlersituation
kann vom zweiten Steuerungsserver 3 entweder über den
Feldbus 5 oder über
den möglicherweise
fehlerfrei funktionierenden Busteil eines verdoppelten Backup-Busses 4 an
den ersten Steuerungsserver 2 gesendet werden. Information über die Fehlersituation
wird wenn möglich
vorzugsweise auch an die Steuerungszentrale übermittelt. Weil der Backup-Bus 4 verdoppelt
ist, kann versucht werden, das Versenden einer Kopie der Anwendungsdaten über den
fehlerfrei funktionierenden Busteil des Backup-Busses 4 fortzusetzen.
-
Im
vierten Beispiel einer Fehlersituation wird angenommen, dass eine
Fehlfunktion in einem Segment (optische Faser) des Feldbusses 5 vorliegt.
Der Feldbus 5 ist kreisförmig, wodurch die Beschädigung eines
Segments die Datenübermittlung
im Feldbus 5 nicht verhindert, weil alle Schnittstelleneinheiten 7a, 7b, 7c Information
in beide Richtungen an den Feldbus senden können. Die Schnittstelleneinheit,
welche den Schaden entdeckt hat, kann in dieser Phase Information über die
Fehlersituation an den ersten Steuerungsserver 2 übermitteln,
wenn vom ersten Steuerungsserver 2 eine Abfragenachricht
an die Schnittstelleneinheit 7a, 7b, 7c gesendet
wird.
-
Eine
Fehlersituation, welche aus Sicht der Funktionsweise des Verfahrens
entsprechend der Erfindung wichtig ist, ist auch der Typ der Fehlersituation,
bei der entweder der zweite Steuerungsserver 3, die Schnittstelleneinheit 7b und/oder
der Bus zwischen dem zweiten Steuerungsserver 3 und der zweiten
Schnittstelleneinheit 7b beschädigt ist. Daher empfängt der
erste Steuerungsserver 2 keine Antwortnachrichten auf seine
Prüfnachrichten.
Daher ist es möglich,
im ersten Steuerungsserver 2 daraus zu schließen, dass
der zweite Steuerungsserver 3 nicht aktiviert werden kann.
In dieser Situation kann der Rest des Systembetriebs fortgesetzt
werden, aber das Zusenden einer Kopie der Anwendungsdaten wird nicht
notwendigerweise fortgeführt.
-
In
einem Verfahren entsprechend einer vorteilhaften Ausführungsform
der Erfindung ist es auch möglich,
in einer solchen Weise zu arbeiten, dass der zweite Steuerungsserver 3 Quittungsdaten
auf die empfangenen Anwendungsdaten schickt. Daher kann der erste
Steuerungsserver 2 in der oben genannten Fehlersituation
deutlicher unterscheiden, ob der Schaden im zweiten Steuerungsserver 3 oder
in der Feldbusschnittstelle, d.h. in der zweiten Schnittstellenkarte 7b oder
im Bus zwischen der zweiten Schnittstellenkarte 7b und
dem zweiten Steuerungsserver 3, liegt.
-
Wenn
beispielsweise eine solche Schnittstelleneinheit beschädigt ist,
an die eine Feldvorrichtung angeschlossen ist, wird dieser Typ Fehlersituation
innerhalb der vorliegenden Erfindung nicht weiter verarbeitet, sondern
in diesem Fall werden andere Verfahren angewendet.
-
In
allen oben angeführten
Fehlersituationen ist das Ziel normalerweise, Information an den
Rest des Systems 13 zu senden, zum Beispiel an die Steuerungszentrale.
Die Information kann beispielsweise über den Backup-Bus 4 übermittelt
werden, falls dieser in betriebsbereit ist.
-
In
einer vorteilhaften Ausführungsform
der Erfindung werden Prüfnachrichten
in Intervallen von 50 bis 500 ms gesendet, vorzugsweise ungefähr in Intervallen
von 100 ms. Das Versenden einer Kopie der Anwendungsdaten wird vorzugsweise
alle paar Sekunden durchgeführt,
vorzugsweise in Intervallen von 2 bis 5 Sekunden. Es ist jedoch
offensichtlich, dass es innerhalb des Rahmens der vorliegenden Erfindung
auch möglich
ist, andere Zeitintervalle als die oben vorgestellten anzuwenden.
-
4 stellt
auch ein reduziertes Blockdiagramm der Struktur der Steuerungsserver 2, 3 für solche
Teile vor, die aus Sicht der vorliegenden Erfindung notwendig sind.
Der Betrieb der Steuerungsserver wird mit einem Steuerungsblock 14 gesteuert, welche
eine oder mehr Prozessoren oder ähnliches umfasst.
Es gibt auch Speicher 15 im Steuerungsserver 2, 3 zur
Speicherung von Daten, Programmcodes des Prozessors, etc. Mittels
der ersten Busschnittstelleneinrichtung 16 ist es möglich, den
Steuerungsserver mit der Schnittstellenvorrichtung 7a, 7b, 7c zu verbinden,
und mittels der zweiten Busschnittstelleneinrichtung 17 ist
es dementsprechend möglich,
die Steuerungsserver 2, 3 mit dem Backup-Bus 4 zu
verbinden. Im Fall des verdoppelten Backup-Busses wird die zweite
Busschnittstelleneinrichtung auch verdoppelt. Darüber hinaus
umfasst der Steuerungsserver 2, 3 z.B. Zeitglieder 11, 12,
mittels derer die oben beschriebenen Zeitüberwachungsfunktionen ausgeführt werden
können.
-
Es
ist offensichtlich, dass die vorliegende Erfindung nicht allein
auf die oben beschriebenen Ausführungsformen
beschränkt
ist, sondern innerhalb des Rahmens der beigefügten Ansprüche modifiziert werden kann.