DE9312739U1

DE9312739U1 - Redundantes Automatisierungssystem

Info

Publication number: DE9312739U1
Application number: DE9312739U
Authority: DE
Original assignee: Siemens AG; Siemens Corp
Current assignee: Siemens AG; Siemens Corp
Priority date: 1993-08-25
Filing date: 1993-08-25
Publication date: 1993-10-07
Anticipated expiration: 2003-08-26

Description

93 G 3 &Iacgr; 5 3 DE

Siemens Aktiengesellschaft

Redundantes Automatisierungssystem
5

Die vorliegende Erfindung betrifft ein redundantes Automatisierungssystem.

Redundante Automatisierungssysteme sind vielen Formen bekannt. Es gibt beispielsweise fehlersichere oder 2-aus-2-Systeme. Bei diesen Systemen ist nachteilig, daß sie nicht hochverfügbar sind. Umgekehrt sind hochverfügbare oder 1-aus-2-Systeme zwar hochverfügbar, aber nicht fehlersicher
oder bestenfalls fehlersicher von "geringer" Anforderungsklasse. Hochverfügbare fehlersichere Automatisierungssysteme sind daher meist als 2-aus-3-Systeme ausgebildet.
Diese Systeme sind sowohl hochverfügbar als auch fehlersicher. Allerdings ist bei diesen Systemen die Kopplung und Synchronisierung der Systeme untereinander relativ aufwendig.

Ebenfalls bekannt sind Rechnersysteme, die zwei Prozessorboards mit je zwei separaten Logiken aufweisen. Bei diesen Systemen werden alle Eingaben allen vier Logiken zugeführt und die entsprechende Ergebnisse ermittelt. Die Ergebnisse der je zwei Logiken eines Boards werden miteinander verglichen. Ergeben sich bei einem Board Ungleichheiten, wird die Ausgabe dieses Boards gesperrt, und das andere Board
übernimmt allein die weitere Verarbeitung der Eingaben.

Diese Art der Fehlersicherheit ist insofern nicht optimal, als hierbei taktsynchron arbeitende Prozessorboards und
Logiken benötigt werden.

Die Aufgabe der vorliegenden Erfindung besteht folglich
darin, ein fehlersicheres und gleichzeitig hochverfügbares Automatisierungssystem zu schaffen, bei dem der Aufwand zur Kopplung möglichst gering gehalten wird.

G 3 &Iacgr; 5 3 DE

Die Aufgabe wird durch ein redundantes Automatisierungssystem gelöst, das aus mindestens zwei, über eine Hauptkommunikationseinrichtung lose miteinander gekoppelten Teilautomatisierungssystemen besteht, die beide zur Führung und Steuerung einer technischen Anlage mit der technischen Anlage verbindbar sind, wobei jedes Teilautomatisierungssystem aus mindestens zwei gleichwirkenden, über eine Unterkommunikationseinrichtung miteinander gekoppelten Unterautomatisierungssystemen besteht.

Dadurch ist es möglich, daß die beiden Doppelsysteme sich nur noch von Zeit zu Zeit, z.B. einmal pro Zyklus, synchronisieren. Der Kopplungsaufwand wird dadurch praktisch auf Null reduziert. Die Synchronisierung kann sogar völlig entfallen, wenn die Prozeßantwortzeit des gesteuerten Prozesses größer als die Zykluszeit der Teilautomatisierungssysteme ist.

Weitere Vorteile und Einzelheiten ergeben sich aus der 0 nachfolgenden Beschreibung eines Ausführungsbeispiels. Dabei zeigt:

FIG 1 ein Blockschaltbild eines Automatisierungssystems.

5 Gemäß FIG 1 besteht das redundante Automatisierungssystem aus vier Unterautomatisierungssystemen 1 bis 4, die zur Steuerung und Führung einer technischen Anlage 5 mit der technischen Anlage 5 verbindbar sind. Jedes Unterautomatisierungssystem 1 bis 4 besteht aus einem Prozessor 6, der die von der Anlage 5 gelieferten Eingangssignale gemäß dem im Speicher 7 hinterlegten Programm auswertet und dadurch Ausgangssignale für die technische Anlage 5 ermittelt.

Die beiden linken Unterautomatisierungssysteme 1 und 2 sind 5 über die Unterkommunikationseinrichtung, die aus der Kommunikationsleitung 8 und den Kommunikationseinheiten 9 besteht, miteinander verbunden. Sie sind so in der Lage, ge-

G 3 4 5 3DE

meinsam, d.h. als 2-aus-2-System, die technische Anlage 5 sicher zu führen. Die Unterautomatisierungssysteme 1 und 2 bilden das Teilautomatisierungssystem 10.

In analoger Weise sind die beiden rechten Unterautomatisierungssysteme 3 und 4 über die Unterkommunikationseinrichtung, die aus der Kommunikationsleitung 11 und nicht dargestellten Kommunikationseinheiten besteht, miteinander verbunden. Die beiden Unterautomatisierungssysteme 3, 4 bilden ebenfalls ein 2-aus-2-System, nämlich das Teilautomatisierungssystem 12. Sie sind also ebenfalls in der Lage, die technische Anlage sicher zu führen.

Die Teilsysteme 10, 12 steuern beide die Anlage 5. Um sich gegenseitig einen Ausfall eines der Teilautomatisierungssysteme 10, 12 melden zu können, sind die beiden Teilsysteme 10, 12 über die Hauptkommunikationseinrichtung, die aus der Kommunikationsleitung 13 und den Kommunikationseinheiten 14 besteht, miteinander lose gekoppelt. Lose gekoppelt heißt, daß die beiden Teilsysteme 10, 12 zwar miteinander Informationen austauschen können, dies aber im Regelfall nicht tun. Es besteht beispielsweise die Möglichkeit, daß die beiden Teilautomatisierungssysteme 10, 12 sich nur einmal pro Zyklus synchronisieren. Ebenso ist es möglich, daß die beiden Teilautomatisierungssysteme 10, 12 sich gar nicht synchronisieren, wenn der gesteuerte Prozeß "langsam genug" reagiert. Trotzdem ist gewährleistet, daß bei einem Fehler sofort und ohne Betriebsunterbrechung das defekte Teilsystem stillgesetzt und dennoch die technische Anlage 5 durch das verbleibende Teilautomatisierungssystem sicher weitergeführt wird.

Alternativ zur Führung der technischen Anlage 5 durch beide Teilautomatisierungssysteme 10, 12 ist es auch möglich, daß die Anlage 5 nur durch eines der Teilautomatisierungssysteme 10, 12, z. B. durch das Teilsystem 10, geführt wird. In diesem Fall liest aber auch das andere Teilsystem,

G 3 4 5 3 DE

hier das Teilsystem 12, alle Eingaben ein und ermittelt die zur Steuerung der Anlage 5 nötigen Zwischenwerte und Ausgabesignale. Die Ausgabe der Ausgangssignale des Teilsystems 12 an die technische Anlage 5 wird aber unterdrückt. Das Teilsystem 12 arbeitet also im "hot stand-by"-Betrieb.

Der "hot stand-by"-Betrieb bietet zusätzlich den Vorteil, daß die Synchronisierung auch dann völlig entfallen kann, wenn die Prozeßantwortzeit des gesteuerten Prozesses kleiner als die Zykluszeit der Teilsysteme 10, 12 ist.

Claims

G 3 4 5 3 DE Schutzanspruch

1. Redundantes Automatisierungssystem, bestehend aus mindestens zwei, über eine Hauptkommunikationseinrichtung (13,14) lose miteinander gekoppelten Teilautomatisierungssystemen (10,12), die beide zur Führung und Steuerung einer technischen Anlage (5) mit der technischen Anlage (5) verbindbar sind, wobei jedes Teilautomatisierungssystem (10,12) aus mindestens zwei gleichwirkenden, über eine Unterkommunikationseinrichtung (8,9,11) miteinander gekoppelten Unterautomatisierungssystemen (1 bis 4) besteht.