DE19857683B4

DE19857683B4 - Verfahren zur Sicherheitsüberwachung von Steuerungseinrichtungen

Info

Publication number: DE19857683B4
Application number: DE1998157683
Authority: DE
Inventors: Peter Wratil
Original assignee: Individual
Current assignee: Phoenix Contact GmbH and Co KG
Priority date: 1998-12-14
Filing date: 1998-12-14
Publication date: 2007-06-28
Anticipated expiration: 2018-12-15
Also published as: DE19857683A1

Abstract

Verfahren zur Sicherheitsüberwachung von Steuerungseinrichtungen, bei denen speicherprogrammierbare Steuerungen oder Mikrorechner über ein Bus-System dezentrale Einheiten ansprechen, die einen Prozeß regeln, steuern oder überwachen, wobei
– eine Überwachungseinheit (2) als Hörer an den Bus geschaltet wird,
– die sicherheitsbehafteten Funktionen des Prozesses (12) mit der notwendigen Logik zur Überwachung gefahrbringender Abläufe oder Bewegungen (13) hinzugefügt werden,
– die Überwachungseinheit mit sicherheitsgerichteten dezentralen Einheiten (7, 9) kommuniziert und parallel zum Gesamtprozeß alle Sicherheitsfunktionen überwacht,
– die Überwachungseinheit im Fehlerfall einen sicheren Systemzustand herbeiführt, und wobei
– der sichere Systemzustand über die dezentralen Einheiten (7, 9) herbeigeführt wird

Description

Die Erfindung bezieht sich auf ein Verfahren zur Sicherheitsüberwachung von Steuerungseinrichtungen.
Steuerungseinrichtungen werden nach dem heutigen Stand der Technik überall dort eingesetzt, wo Prozesse, Abläufe oder sonstige elektromechanische Einrichtungen zu steuern, regeln, überwachen oder zu visualisieren sind.
Im engeren Sinne verwendet man hierzu oftmals Speicherprogrammierbare Steuerungen oder Mikrorechner. Typische Anwendungsgebiete sind Automatisierungsinseln, Fertigungsstraßen, Bearbeitungszentren oder chemische Einrichtungen.
Nicht selten enthalten diese vorher genannten Prozesse sicherheitsrelevante Abläufe, die eine Gefährdung für Personen oder Teile der Maschine darstellen. Von den fehlerhafte Zuständen der Steuerung gehen dann extreme Gefahren aus, die unbedingt von Personen oder sonstigen Einrichtungen fern zu halten sind. Beispiele hierfür sind unkontrollierte Bewegungen von Robotern, vorzeitiges Bewegen von Dreh- oder Fräseinrichtungen, ungewollte Beschleunigungen oder falsche Drehzahlen von Rotationseinrichtungen oder verzögertes Abschalten von Heiz- oder Dosierprozessen bei chemischen Anlagen.
Die Ursachen dieser fatalen Fehler sind vielfältig. Zumeist liegt aber ein Programmierfehler, ein unkontrolliertes Verhalten durch elektromagnetische Einflüsse oder eine sonstige Störung vor, die den Prozeß in eine nicht definierte Situation bringt.
Diese Fehlerarten sind in der Literatur (insb.: in Normungswerken, vergl.: DIN 19251) hinreichend beschrieben. Gleichfalls stellt die Norm bereits Konzepte vor, wie man derartige Fehler erkennt und eliminiert (z.B.: DIN V 0801).

Alle bekannten Lösungen basieren darauf, daß man entweder die gesamte Steuerungseinrichtung oder Teile der Steuerungseinrichtung redundant auslegt. So entsteht ein Gesamtsystem, das bei allen sicherheitsrelevanten Komponenten entweder doppelt oder dreifach projektiert werden muß.

Insbesondere stellt die Sicherheitseinrichtung bei einer derartigen Steuerung einen festen Bestandteil des Gesamtsystems dar. Jede Änderung oder Anpassung an den Prozeß muß sorgsam (im Hinblick auf die Sicherheitsfunktion) durchgeführt werden, da auch nichtsicherheitsrelevante Hard- oder Softwarekomponenten einen Einfluß auf die Sicherheitseinrichtung haben können. Im schlimmsten Fall könnte sogar die Änderung eines Parameters zum Absturz der Sicherheitseinrichtung führen.

Die deutsche Offenlegungsschrift DE 198 15 147 A1 zeigt als nächst liegenden Stand der Technik eine Sensorenanordnung zur Überwachung eines Arbeitsgerätes, wobei die Sensoren über ein Bussystem mit einer Steuereinheit verbunden sind. Zur Überprüfung der über die Busleitungen gesendeten Signale ist eine redundante Auswerteeinheit mit zwei sich überwachenden Rechnereinheiten an das Bussystem angeschlossen. In der Auswerteeinheit werden mittels einer den Signalen der Sensoren von der Steuereinheit aufgeprägten, individuellen Kodierung die Schaltzustände der Sensoren ermittelt. Bei fehlerfreier Identifizierung der Kodierung wird das Arbeitsgerät über die Auswerteeinheit in Betrieb gesetzt. Die Sensoren weisen lediglich binäre Schaltzustände auf, welche von der Steuereinheit abgefragt werden. Die Steuerung des Prozesses erfolgt direkt durch die Auswerteeinheit.

Leist, K. in atp, 29. Jhrg., Heft 6/1987, Seiten 267 bis 275 beschreibt sicherheitsgerichtete speicherprogrammierbare Steuerungen (SPS), welche über ein Bussystem verbundene zentrale Steuereinheiten und Ein- bzw. Ausgabeeinheiten aufweisen. Zur Einhaltung von Sicherheitsanforderungen können sowohl die zentrale Steuereinheit, als auch die Ein- bzw. Ausgabeeinheiten redundant ausgelegt sein. Dabei sind zentrale Steuereinheiten durch ihre redundante Auslegung als sicherheitsgerichtete Steuereinheiten ausgebildet. Dem Dokument ist nicht zu entnehmen, dass die sicherheitstechnische Auswertung nur auf der Überwachungseinheit erfolgt.

Bereits in der Vergangenheit war man daher stets bemüht, reine Steuerungsabläufe von sicherheitsrelevanten Vorgängen zu trennen (siehe auch Patent DE 3502387 oder Fachartikel „SPS in der Sicherheitstechnik", SPS-Magazin, Feb./März 1990) Nach wie vor stellen auch diese Konzepte Verfahren dar, die zwar ohne Verdopplung der Hardware auskommen, aber die sicherheitsrelevante Funktion in der Gesamtprojektierung der Steuerung benötigen.

Der Erfindung liegt die Aufgabe zu Grunde, die Steuerungseinrichtung und die Sicherheitsfunktion vollkommen zu trennen. Mit der Erfindung wird es möglich, den Steuerungsteil vollständig vorher aufzubauen, zu testen und in Betrieb zu nehmen. Die sicherheitsrelevanten Komponenten lassen sich dann nachträglich hinzufügen, ohne die Steuerungsfunktion zu ändern. Auch nach der Installation beider Systeme (Steuerungseinrichtung und Sicherheitssystem) lassen sich Steuerungsfunktionen ändern, hinzufügen oder heraustrennen, ohne daß die Sicherheitsfunktion davon betroffen ist. Insbesondere besteht die Möglichkeit, alle Sicherheitsverknüpfungen im einzelnen unabhängig zu prüfen.

Diese Aufgabe wird erfindungsgemäß durch die kennzeichnenden Merkmale des Anspruchs 1 gelöst, während die weiteren Ansprüche vorteilhafte Ausprägungen des Verfahrens darstellen.

In 1 ist die Funktionsweise des zu Grunde liegenden Verfahrens dargestellt. Hierbei besteht das Automatisierungssystem aus einer Steuerung, einem Bus-System und mehreren dezentralen Komponenten, die den Prozeß steuern oder überwachen. Damit stellt die 1 eine typische Einrichtung dar, die (ohne die grau hinterlegten Komponenten) für alle nichtsicherheitsrelevanten Systeme geeignet sind. Die Anordnung entspricht dem heutigen Stand der Technik.
Im Detail steuert oder regelt die Steuerung (1) den gewünschten Prozeß. Über das angeschlossene Bus-System (3) holt sie Daten vom Prozeß (11, 12) oder gibt sie Daten zum Prozeß aus. Die dezentralen Einheiten (4-10) empfangen alle Daten vom Bus-System (3) oder stellen dem Prozeß (11, 12) ihre Daten zur Verfügung. Damit sind die dezentralen Einheiten nur vorgelagerte Ein-/Ausgabe-Baugruppen, die ohne ein Bus-System als Peripheriebaugruppen in der Speicherprogrammierbaren Steuerung zu finden sind.
Die Steuerung (1) enthält ein Programm (Software) das alle nichtsicherheitsrelevanten Vorgänge steuert oder regelt. Ferner enthält sie bereits in ihrem Programm auch die logischen Funktionen für die Sicherheitsverknüpfungen, die für sicherheitsrelevante Vorgänge notwendig sind. So enthält beispielsweise der Prozeß (11) keine aber der Prozeß (12) sicherheitsrelevante Vorgänge bei denen Bewegungen erfolgen, die eine Gefahr für Mensch oder Maschine darstellen (13). Obwohl die Steuerung (1) die notwendige Logik für die Sicherheitsanforderung enthält, kann sie im Fehlerfall nicht einwandfrei reagieren, da entweder sie selbst oder eine ihrer dezentralen Einheiten fehlerbehaftet sein kann, diese aber nicht kontrolliert werden. Das Steuerungssystem ist damit nicht in der Lage, einen Fehler abzuwehren, da jegliche Fehlererkennung fehlt.
Entsprechend der Aufgabe des Patents nach Anspruch 1 werden zur Erreichung der sicheren Fehlererkennung und zur Prozeßabschaltung die grau hinterlegten Komponenten hinzugefügt.
Die Überwachungseinheit (2) wird in der Funktion eines Hörers (Listener) an den Bus angeschlossen. Sie braucht damit nicht von der Steuerung berücksichtigt zu werden, da sie nur passiv sich der Daten des Bus-Systems (3) bedient. Die Überwachungseinheit (2) ist über die auf dem Bus laufenden Daten über alle Zustände und Abläufe im Prozeß und insbesondere über die Zustände der Prozeßgrößen informiert.
Im Prinzip ist sie damit in der Lage, die sicherheitsrelevanten Zustände zu überprüfen. Zur Bewältigung dieser Aufgabe enthält sie ein einfaches Programm daß nur die Sicherheitsfunktionen als Logik überwacht (z. B.: Gitterkontrolle, Anlaufüberwachung, Endschaltertest, usw.). Im Fehlerfall der Steuerung (1) kann damit die Überwachungseinheit (2) geeignete Maßnahmen ergreifen.
Diese Fehlererkennung funktioniert jedoch nur dann, wenn die Steuerungseinheit (1) als Verursacher fungiert. Fehler in den dezentralen Einheiten oder im Prozeß werden von beiden Einheiten (Steuerungseinheit (1) oder Überwachungseinheit (2)) nicht registriert.
Eine vollständige Kontrolle gelingt daher nur mittels spezieller dezentraler Einheiten, die ihre eigene Funktion oder sogar die Sensorik im redundant Prozeß abfragen. Entsprechend des Anspruchs 1 gehören zum Verfahren auch dezentrale Einheiten, die selbst Sicherheitsanforderungen genügen. Hierzu gehört insbesondere die Überwachung der eigenen Funktion und die Sicherheitsabschaltung im Fehlerfall (bei Ausfall des Bus-Systems (3) oder bei fehlerhaften Ein- oder Ausgabe).
Die Überwachungseinheit (2) erkennt somit eindeutig einen Fehler, sofern er im sicherheitsrelevanten Programm als Logik hinterlegt ist. Es bleibt der speziellen Projektierung überlassen, in welcher Form eine geeignete Sicherheitsabschaltung erfolgt. Im einfachsten Fall kann die Überwachungseinheit (2) das Bus-System (3) unterbrechen oder kurzschließen. Damit unterbindet sie die Datenübertragung und die dezentralen Einheiten (7, 9) fallen in einen sicheren Zustand. Denkbar ist aber auch ein gezieltes Abschalten der Stromversorgung oder ein langsames Herunterfahren des Prozeßablaufs.

Claims

Verfahren zur Sicherheitsüberwachung von Steuerungseinrichtungen, bei denen speicherprogrammierbare Steuerungen oder Mikrorechner über ein Bus-System dezentrale Einheiten ansprechen, die einen Prozeß regeln, steuern oder überwachen, wobei – eine Überwachungseinheit (2) als Hörer an den Bus geschaltet wird, – die sicherheitsbehafteten Funktionen des Prozesses (12) mit der notwendigen Logik zur Überwachung gefahrbringender Abläufe oder Bewegungen (13) hinzugefügt werden, – die Überwachungseinheit mit sicherheitsgerichteten dezentralen Einheiten (7, 9) kommuniziert und parallel zum Gesamtprozeß alle Sicherheitsfunktionen überwacht, – die Überwachungseinheit im Fehlerfall einen sicheren Systemzustand herbeiführt, und wobei – der sichere Systemzustand über die dezentralen Einheiten (7, 9) herbeigeführt wird
Verfahren nach Anspruch 1, dadurch gekennzeichnet, dass der sichere Systemzustand durch die Unterbrechung oder den Kurzschluss des Bus-Systems, gezieltes Abschalten der Stromversorgung oder ein langsames Herunterfahren des Prozesses herbeigeführt wird.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass zur Sicherheitsüberwachung (2) Gitterkontrolle, Anlaufüberwachung und/oder Endschaltertest verwendet werden.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Überwachungseinheit (2) nachträglich an das Bus-System anschaltbar ist.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungseinheit (2) und die sicherheitsgerichteten dezentralen Einheiten (7, 9) deaktivierbar sind, ohne die einkanalige Steuerungsfunktion zu beeinträchtigen.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die dezentralen Einheiten, die sicherheitsrelevante Funktionen erfassen und ansteuern, selbst ihre Funktion überwachen, möglicherweise Sensoren oder Aktoren redundant überwachen und bei Ausfall einer Funktion, insbesondere bei Ausfall der Bus-Funktion, in den sichern Zustand schalten.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungseinheit (2) in einer von dem nicht redundanten Steuerungssystem unabhängigen Programmier- und Parametriersprache in ihren Sicherheitsfunktionen generiert werden.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Überwachungseinheit (2) neben der Überwachungsfunktion auch die Bedienung und Programmierung mittels eines integrierten Mensch-Maschinen-Interfaces erlaubt.
Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Logik über eine Programmiersprache festgelegt wird.