DE60309928T2

DE60309928T2 - Verfahren zur erhöhung der sicherheitsintegritätsstufe eines kontrollsystems

Info

Publication number: DE60309928T2
Application number: DE60309928T
Authority: DE
Inventors: Audun Opem; Mats Gunnmarker; Kai Hansen
Original assignee: ABB AS Norway
Current assignee: ABB AS Norway
Priority date: 2002-12-19
Filing date: 2003-12-16
Publication date: 2007-04-12
Anticipated expiration: 2023-12-17
Also published as: EP1573407A1; CN1791845B; DE60309928D1; NO331420B1; US20060142873A1; NO20052770L; ATE346329T1; US7813820B2; SE0203819D0; WO2004057430A1; CN1791845A; AU2003286358A1; NO20052770D0; EP1573407B1

Description

TECHNISCHES GEBIET
Die vorliegende Erfindung bezieht sich auf die Überwachung, Diagnose und Diversität der Ausführung von Steueralgorithmen im Kontext von Steuersystemen. Eine Vorrichtung umfasst eine Funktion, die einer Steuerung Sicherheitsmerkmale hinzufügt und es der Steuerung ermöglicht, die Erfordernisse für ein Sicherheitssteuersystem zu erfüllen. Ein solches System benötigt eine Diagnose, um zu gewährleisten, dass keine Unfälle stattfinden, die ansonsten Leute, die Ausrüstung oder die Umgebung schädigen könnten.
STAND DER TECHNIK
Industrielle Steuersysteme werden beispielsweise in Produktions- und Verfahrenindustrien, wie in chemischen Fabriken, Ölproduktionsfabriken, Raffinerien, Zellstoff- und Papierfabriken, Stahlwerken und automatisierten Fabriken angewandt. Solche industriellen Steuersysteme können Vorrichtungen, die Sicherheitsmerkmale hinzufügen, umfassen oder mit solchen kombiniert werden. Beispiele von Verfahren, die im Vergleich zu den Merkmalen, die ein normales industrielles Steuersystem bietet, zusätzliche Sicherheitsmerkmale benötigen, sind Verfahren auf Produktionsplattformen vor der Küste, gewisse Abschnitte in Atomkraftwerken und gefährlichen Bereichen in chemischen Fabriken. Sicherheitsmerkmale können in Verbindung mit einer Sicherheitsabschaltung, Feuer- und/oder Alarmsystemen als auch für eine Feuer- und Gasdetektion verwendet werden.
Die Verwendung fortschrittlicher Computersysteme in sicherheitsbezogenen Steuersystemen stellt Herausforderungen bei der Verifikation größerer Mengen eines Softwarekodes und komplexer Elektronik dar. Es existiert Stand der Technik, der beispielsweise in Form von Normen beschrieben ist, wie ein höherer Sicherheitspegel bei solchen Systemen erhalten werden kann. Solcher Stand der Technik ist im allgemeinen auf das Verfahren der Entwicklung von Produkten, sowohl in Bezug auf den Hardwareteil als auch die Softwareteile, gerichtet. Er beschreibt auch Diagnosefunktionen und Algorithmen. Der Stand der Technik spricht auch den höheren Sicherheitspegel an, der beim Ausführen von Steuersystemen mit einer verschiedenen Hardwareredundanz und Softwarediversität erhalten wird. Die Implementierung eines fortschrittlichen Sicherheitssteuersystems basiert normalerweise auf Doppel- oder Dreifachsystemen mit dem Typ eines Wählens vor dem Freigeben eines Ausgangssignals. Einige Sicherheitssteuersysteme haben eine ausreichend sichere Lösung mit einer einzigen Einheit implementiert, durch die Konzentration auf die Gestaltung des Systems und die höchstmögliche Qualität bei der Implementierung solcher Systeme. Sowohl Systeme mit mehreren Einheiten als auch Systeme mit einer einzigen Einheit weisen heutzutage oft eine Anzahl von Diagnosealgorithmen sowohl in der Software als auch in der Hardware auf.
Ein Beispiel eines industriellen Steuersystem, das eine sicherheitskritische Funktion einschließt, ist in der DE19857683 "Safety critical function monitoring of control systems for process control applications has separate unit" beschrieben. Das System hat einen Hauptsteuerbus, der mit verschiedenen Prozessoren über eine Anzahl dezentralisierter Datenempfänger gekoppelt ist.
Ein Beispiel einer Vorrichtung in einem industriellen Steuersystem, die eine erhöhte Fähigkeit der Fehlerdetektion besitzt, ist in der GB 2 277 814 beschrieben, die eine fehlertolerante PLC (programmierbare Logiksteuerung) betrifft, die eine zentrale programmierbare Einheit (CPU) einschließt. Ein Paar erster E/A-Module sind zwischen einem positiven Leistungsbus und einer Last verbunden. Ein Paar zweiter E/A-Module sind zwischen dem negativen Leistungsbus und der Last verbunden. Die GB 2 277 814 beschreibt weiter, dass die Leistung zur Last bei einer Störung einer der E/A-Module auf irgend einer Seite der Last nicht gelöst wird.
Die US 6,201,997 beschreibt eine Zweiprozessorlösung, wobei beide Prozessoren dieselben Eingabedaten empfangen und dasselbe Programm ausführen.
Die Steuerung der sicherheitskritischen Verfahren von Maschinen, die in der DE 100 25 085 A1 offenbart ist, weist ein Modul mit einer fehlertoleranten oder Zweikanalstruktur auf, in welcher es redundante Hardwarestufen gibt, die verschiedene Software enthalten. Störungen und Fehler werden identifiziert und Aktionen werden initiiert, um fehlerhafte Operationen der Maschine zu verhindern.
ZUSAMMENFASSUNG DER ERFINDUNG
Die Aufgabe der Erfindung besteht darin, einen erhöhten Sicherheitsintegritätspegel eines Steuersystems zu ermöglichen.
Die Aufgabe wird gelöst durch ein Verfahren zur Erhöhung des Sicherheitsintegritätspegels einer Steuerung für die Steuerung von Objekten der realen Welt, das die Schritte des Anfügens einer Sicherheitshardwareeinheit, des Herabladens von Software in eine CPU der Steuerung und die angefügte Sicherheitshardwareeinheit, das Konfigurieren der angefügten Sicherheitshardwareeinheit, um die Ausgabewerte der Steuerung in einen sicheren Status für eine Online-Steuerung zu setzen, umfasst.
Ein Vorteil der Erfindung ist der, dass ein Steuersystem, das auf der Erfindung basiert und für eine Steuerung mit einem hohen Sicherheitspegel qualifiziert ist, auch für eine nicht sicherheitskritische Verfahrenssteuerung verwendet werden kann, indem die hinzugefügte Sicherheitshardwareeinheit nicht verwendet wird. Die Erfindung ermöglicht eine erhöhte Flexibilität bei der Verwendung einer Steuerung mit einer Einheit.
Diese Verfahrenssteuerung, die die einzelne Steuerung verwendet, wird eine kostengünstigere und schnellere Steuerung sein als die Verwendung des Steuersystems mit einem vollen Sicherheitspegel. Da die einsteckbare Sicherheitshardwareeinheit nicht für eine nicht sicherheitskritische Steuerung verwendet wird, ermöglicht dies im Vergleich zum Stand der Technik eine kleinere Menge von Software in der einzelnen Steuerung und erlaubt es, dass Anwendungssoftware schneller ausgeführt werden kann.
Ein anderer Vorteil bei der Erfindung ist der, dass sie es ermöglicht, dass eine Steuerung einen erhöhten Sicherheitsintegritätspegel erreicht zu einer Zeit, nachdem die Steuerung ursprünglich für die Steuerung von Objekten der realen Welt installiert wurde. Als ein Beispiel kann eine Steuerung zuerst installiert sein, um eine nicht sicherheitskritische Steuerung auszuführen, und ein Jahr später wird die Steuerung für einen erhöhten Sicherheitsintegritätspegel für eine sicherheitskritische Steuerung konfiguriert.
Ein weiterer Vorteil besteht in den erhaltenen Lösungen, wie der Benutzer der einsteckbaren Einheit gegenüber tritt. Die Benutzerschnittstelle wird beispielsweise so vereinfacht, dass ein Ingenieur die gewünschten Pegel der Sicherheitsintegrität für die Anwendung spezifizieren kann.
Eine andere Aufgabe der Erfindung besteht darin, ein Steuersystem zu liefern, das für die sicherheitsbezogene Steuerung von Objekten der realen Welt vorgesehen ist. Das Steuersystem umfasst eine Steuerung mit einer einzigen Haupt-CPU und eine angefügte Sicherheitshardwareinheit, die Mittel umfasst, um den Sicherheitsintegritätspegel des Steuersystems zu erhöhen.
KURZE BESCHREIBUNG DER ZEICHNUNGEN
Die vorliegende Erfindung wird detaillierter in Verbindung mit den eingeschlossenen schematischen Zeichnungen beschrieben.
1 zeigt eine Übersicht eines Verfahrens gemäß der Erfindung.
2 zeigt ein vereinfachtes Diagramm einer Steuerung mit einer lokalen Eingabe/Ausgabe und mit einer angefügten Sicherheitshardwareeinheit.
3 zeigt ein vereinfachtes Diagramm der Steuerung mit einer angefügten Sicherheitshardwareeinheit mit einer entfernten Eingabe/Ausgabe, die durch eine Buslösung verbunden ist.
4 zeigt eine Übersicht eines Steuersystems, das eine Steuerung mit einer angefügten Sicherheitshardwareeinheit umfasst .
BESCHREIBUNG DER BEVORZUGTEN AUSFÜHRUNGSFORMEN
1 zeigt einen Überblick eines Verfahrens gemäß der Erfindung. Das Verfahren liefert einen erhöhten Sicherheitsintegritätspegel der Steuerung 10, wie einer industriellen Steuerung eines industriellen Steuersystems. Beispiele einer Steuerung sind eine programmierbare Logiksteuerung (PLC) und eine Feldsteuerung.
In dieser Beschreibung hat eine Steuerung den Zweck des Sammelns von Messungen und des Steuerns von Objekten der realen Welt, die mit einem Steuersystem verbunden sind. Beispiele von Objekten der realen Welt sind Ventile, Motoren, Pumpen, Kompressoren, Schaltgetriebe, Förderbänder, ein Produkt, ein Ausgangsmaterial oder eine Partie.
Mit Sicherheitsintegritätspegel ist eine Steuerung gemeint, die tatsächliche Normsicherheitsintegritätspegel oder Standardsicherheitsintegritätspegel erfüllt, wie SIL 1, SIL 2, SIL 3 oder SIL 4 (SIL gemäß der Norm IEC 61508 oder spätere IEC-Normen).
1 zeigt, dass das Verfahren einen Schritt des Anfügens 1 einer Sicherheitshardwareeinheit 11 (in 2 gezeigt) an die Steuerung 10 umfasst. Die Sicherheitshardwareeinheit 11 kommuniziert mit der Steuerungs-CPU. Die Sicherheitshardwareeinheit 11 kann in Form einer Leiterplatte vorliegen und umfasst typischerweise eine CPU und kann auch eine Eingabe/Ausgabe-(E/A)-Schnittstelle umfassen. Eine solche E/A-Schnittstelle kann einen Satz von Speicherchips und eine feldprogrammierbare Gatteranordnung (FPGA) umfassen. Die Sicherheitshardwareeinheit kann auch lokale E/A-Kanäle wie einen digitalen Ausgang (DO) umfassen, um verstärkte Ausgabesignale beispielsweise an ein externes Alarmsystem zu liefern. Weiter kann die Sicherheitshardwareeinheit eine Funktion für eine Speicherabschattung (memory shadowing) einschließen. Ein alternativer Namen für die Sicherheitshardwareeinheit 11 ist ein Sicherheitsmodul. Die Sicherheitshardwareeinheit 11 umfasst Kommunikationsmittel, um mit der Steuerungs-CPU über einen Bus 14 zu kommunizieren. Die Sicherheitshardwareeinheit 11 kann über eine Rückwandplatine mit der Steuerung 10 verbunden sein. In einer alternativen Ausführungsform ist die Sicherheitshardwareeinheit 11 eine einsteckbare Einheit, die der Hauptleiterplatte der Steuerung 10, die die Haupt-CPU der Steuerung 10 umfasst, hinzugefügt wird.
Weiterhin zeigt 1, dass das Verfahren den Schritt des Herabladens von Software mit sicherheitsbezogenen Konfigurationsdaten nicht nur zur Steuerung 10, die in 2 gezeigt ist, sondern auch zur angefügten Sicherheitshardwareeinheit 11 umfasst. In einer Ausführungsform erfolgt das Herabladen einer solchen Software aus einem Softwarewerkzeug, das mit der Steuerung 10 verbunden ist, von einer Computervorrichtung, wie einem Personalcomputer oder einer Workstation. Ein Beispiel von Konfigurationsdaten ist eine Anwendungsklassifikation, die von der vorher erwähnten Sicherheitsnorm abhängt. Die Konfiguration der Kommunikationsfähigkeiten zwischen sicherheitsbezogenen Anwendungen. Ein anderes Beispiel solcher Konfigurationsdaten ist der Anwendungszugangspegel, der sich auf eine Benutzerautorisierungssteuerung bezieht.
Ein anderer Schritt des in 1 gezeigten Verfahrens besteht aus der Konfiguration der Sicherheitshardwareeinheit 11, um eine Sicherheitsfunktionslogik auszuführen und die Ausgabewerte der Steuerung 10 für eine Online-Sicherheitssteuerung in einen sicheren Zustand zu versetzen. Dies gewährleistet, dass das Steuersystem 20, das in 4 gezeigt ist, in einen sicheren Zustand übergeht. Das Versetzen der Ausgabewerte in einen sicheren Zustand kann entweder auf aktive Weise oder auf passive weise erfolgen. Die Ausführung der Sicherheitsfunktionslogik hängt von den Konfigurationsdaten ab. Die Sicherheitsfunktionslogik ist in einer Sprache geschrieben, die Fachleuten wohl bekannt ist. Eine solche Sprache kann in Übereinstimmung zur IEC 6-1131 stehen, mit möglichen Erweiterungen für sicherheitsbezogene Funktionen.
Die Steuerung 10 weist dieselbe Steuerfunktion für eine nicht sicherheitsbezogene Steuerung mit und ohne angefügter Hardwareeinheit 11 auf. Es sollte erkannt werden, dass dies im Vergleich zum Stand der Technik flexiblere technische Lösungen für die Sicherheitssteuerung ermöglicht. Als ein Beispiel weist die Steuerung 10 denselben Satz von Programminstruktionen auf, die mit und ohne die angefügte Hardwareeinheit 11 verfügbar sind. Ein Beispiel einer Programmsprache ist strukturierter Text, wie er durch die IEC 6-1131 definiert ist. Dies bedeutet, dass eine Steuerung 10, die ursprünglich nur für eine nicht sicherheitskritische Anwendung konfiguriert ist, zu einer späteren Zeit mit der oben erwähnten Sicherheitshardwareeinheit 11 konfiguriert werden kann, und nachdem die Steuerung 10 für eine Online-Sicherheitssteuerung konfiguriert wurde, kann sie dennoch dieselbe nicht sicherheitskritische Anwendung ablaufen lassen, wie das der Fall war, bevor die Sicherheitshardwareeinheit 11 angefügt wurde.
In einer Ausführungsform der Erfindung wird eine Steuerungskonfiguration und ein Steuerungskode in die Steuerung 10 herab geladen. Ein Benutzer 22 eines Softwarewerkzeugs initiiert ein Herabladen der Steuerungskonfiguration und des Steuerungskodes. Ein Beispiel eines Benutzers ist ein Verfahrensingenieur, ein Wartungsingenieur oder eine Person in der Produktion. Während oder nachdem die Steuerungskonfiguration und der Steuerungskode definiert werden, wird eine Hardwareeinheitdiagnoseinformation erzeugt. In der Ausführungsform wird die Diagnoseinformation in die angefügte Sicherheitshardwareeinheit 11 herab geladen und dient für Online-Diagnosezwecke.
2 zeigt, dass eine Steuerung, auf die im oben beschriebenen Verfahren Bezug genommen wurde und die in 1 gezeigt ist, einen Zugang zu einer Vielzahl von Eingabe- und Ausgabeeinheiten, die direkt mit der Steuerung verbunden sind, erhalten kann.
3 zeigt, dass eine Steuerung, auf die im oben beschriebenen Verfahren Bezug genommen wurde und die in 1 gezeigt ist, einen Zugang zu einer Vielzahl von Eingabe- und Ausgabewerten eines Objekts der realen Welt durch einen Bus erhalten kann, der zwischen der Steuerung und einer Eingabe/Ausgabe-Einheit verbunden ist. In einer solchen Ausführungsform wird die Gültigkeit der Buskommunikation in der angefügten Sicherheitshardwareeinheit 11 verifiziert. Ein Beispiel einer solchen Eingabe/Ausgabe-Einheit ist eine entfernte E/A. Ein Beispiel eines Busses ist ein Feldbus. Ein anderes Beispiel eines Busses ist ein interner Bus der Steuerung, wie ein Bus, der auf der Rückseitenplatine der Steuerung 10 verläuft.
Es ist ein Vorteil, wenn die Busverifikationslogik verschiedenartig implementiert ist. Weiterhin ist es ein Vorteil, wenn in einer Ausführungsform der Erfindung die angefügte Sicherheitshardwareeinheit auf verschiedene Weise einen sicherheitsbezogenen Kopfabschnitt für die Buskommunikation erzeugt.
Um die Zuverlässigkeit und die Diagnosen des Steuersystems weiter zu verbessern, kann die Eingabe/Ausgabe-Einheit 15 zwei diverse Implementierungen umfassen, wobei jede die Korrektheit des Busverkehrs verifiziert und jede einen sicherheitsbezogenen Kopfabschnitt für die Kommunikation auf dem Bus 14 erzeugt.
Weiter wird in einer Ausführungsform der Erfindung die Zeitablaufüberwachung der Steuerung 10 in der angefügten Sicherheitshardwareeinheit 11 verifiziert. Eine Ausführungsform der Erfindung kann auch das Verifizieren der korrekten Logiksequenz in der angefügten Hardwareeinheit 11 umfassen. Weiterhin kann eine Ausführungsform das Verifizieren des korrekten Herabladens der neuen Steuerfunktionslogik in die angefügte Hardwareeinheit 11 umfassen. Eine solche Verifizierung kann beispielsweise das Testen einer Prüfsumme umfassen.
Es ist vorteilhaft, wenn es nur Benutzern, die als sicherheitsklassifizierte Benutzer eingeloggt sind, gestattet wird, die Steuerfunktionslogik und die Parameter zu modifizieren. Eine solche Klassifikation kann im Steuersystem mittels eines Benutzerschlüssels verifiziert werden.
Die Sicherheitshardwareeinheit 11 kann so konfiguriert werden, dass sie als eine von der Steuerung 10 abhängige Einheit läuft. Dies bedeutet, dass eine Sicherheitsfunktionslogik, die in der Sicherheitshardwareeinheit ausgeführt wird, von der Steuerung ausgelöst wird. Die Sicherheitshardwareeinheit überwacht, dass sie zu einer definierten Zeit ausgelöst wird.
In einer anderen Ausführungsform kann die Sicherheitshardwareeinheit 11 ein erstes und ein zweites Modul in einer redundanten Konfiguration umfassen. Das zweite Modul wird typischerweise mit Daten vom ersten Modul aktualisiert, und das zweite Modul übernimmt die sicherheitsbezogene Steuerung des Steuersystems vom ersten Modul, wenn eine Störung des ersten Moduls detektiert wird. Die Steuerung kann eine redundante CPU-Einheit aufweisen, die die Steuerung der Objekte der realen Welt von der primären CPU-Einheit übernimmt, wenn eine Störung bei der primären CPU-Einheit vorliegt. Die redundante CPU errichtet eine Kommunikation mit dem ersten oder zweiten Modul der angefügten Sicherheitshardwareeinheit.
Eine andere Ausführungsform der Erfindung ist ein Steuersystem 20, das für eine sicherheitsbezogene Steuerung von Objekten der realen Welt vorgesehen ist. Ein solches Steuersystem umfasst eine Steuerung 10 mit einer einzigen Haupt-CPU und eine angefügte Sicherheitshardwareeinheit 11, die Mittel umfasst, um die Ausgabewerte der Steuerung für eine Online-Sicherheitssteuerung in einen sicheren Zustand zu versetzen.

Claims

Verfahren zum Steigern eines Pegels einer Sicherheitsintegrität eines Steuergeräts (10) zum Steuern von Objekten der realen Welt, aufweisend einer Sicherheitshardware-Einheit (11), die dem Steuergerät (10) angehängt ist, wobei die Sicherheitshardware-Einheit (11) mit der CPU des Steuergeräts kommuniziert, Software mit sicherheitsbezogen Konfigurationsdaten an die angehängte Sicherheitshardware-Einheit (11) und an das Steuergerät (10) herunter lädt, die angehängte Sicherheitshardware-Einheit (11) konfiguriert, um Sicherheits-Funktionslogik auszuführen, die von den sicherheitsbezogenen Konfigurationsdaten abhängt und auf aktive oder passive Weise die Ausgabewerte des Steuergerät (10) auf einen sicheren Zustand zur Online-Sicherheitssteuerung zu setzen, gekennzeichnet durch den weiteren Schritt des Ausführens eines Satzes von nicht-sicherheitskritischen Steuerfunktionen, wobei der Satz der nicht-sicherheitskritischen Steuerfunktionen bevor, sowie nachdem die Sicherheitshardware-Einheit (11) angehängt wurde, die gleiche ist.
Verfahren gemäß Anspruch 1, gekennzeichnet dadurch, daß das Steuergerät (10) die Fähigkeit hat, einen Satz von nicht-sicherheitskritischen Steuerfunktionen auszuführen, wobei der Satz der nicht-sicherheitskritischen Steuerfunktionen bevor, sowie nachdem die Sicherheitshardware-Einheit (11) angehängt wurde, die gleiche ist.
Verfahren gemäß Anspruch 2, gekennzeichnet dadurch, daß der Schritt des Konfigurierens die Zusatzschritte umfasst: – Herunterladen von Diagnoseinformationen an die angehängte Sicherheitshardware-Einheit (11), die vorher durch ein Softwaretool automatisch erzeugt wurde, als ein Ergebnis der Anwenderkonfiguration das Steuergerät (10), und wobei die Diagnoseinformationen in der angehängten Sicherheitshardware-Einheit (11), während einer sicherheitskritischen Steuerung verwendet werden.
Verfahren gemäß irgendeinem vorhergehenden Anspruch, gekennzeichnet dadurch, daß Zugang zu einer Vielzahl von Eingabe- und Ausgabewerten von Objekten der realen Welt durch einen Bus (14) erreicht wird, der zwischen dem Steuergerät (10) und einer Eingabe/Ausgabe Einheit (15) geschaltet ist, und die Gültigkeit der Bus-(14)-Kommunikation in der angehängten Sicherheitshardware-Einheit (11) verifiziert wird.
Verfahren gemäß irgendeinem vorhergehenden Anspruch, gekennzeichnet dadurch, daß die Zeitablaufüberwachung des Steuergeräts (10) in der angehängten Sicherheitshardware-Einheit (11) verifiziert wird.
Verfahren gemäß irgendeinem vorhergehenden Anspruch, gekennzeichnet dadurch, daß eine korrekte Sequenz der Code-Logik in der angehängten Sicherheitshardware-Einheit (11) verifiziert wird.
Verfahren gemäß irgendeinem vorhergehenden Anspruch, gekennzeichnet dadurch, daß die Korrektheit des Speicherinhalts des Steuergeräts (10) in der angehängten Sicherheitshardware-Einheit (11) verifiziert wird.
Verfahren gemäß irgendeinem vorhergehenden Anspruch, gekennzeichnet dadurch, daß ein Herunterladen einer neuen Steuerungs-Funktionalitätslogik an das Steuergerät in der angehängten Sicherheitshardware-Einheit (11) verifiziert wird.
Verfahren gemäß irgendeinem vorhergehenden Anspruch, gekennzeichnet dadurch, daß die angehängte Sicherheitshardware-Einheit (11) Tests ausführt, um ausschließlich Anwendern, die als sicherheitseingestufte Techniker und sicherheitseingestufte Benutzer angemeldet sind, zu ermöglichen, die Steuer-Funktionalitätslogik und Parameter zu modifizieren.
Verfahren gemäß Anspruch 4, gekennzeichnet dadurch, daß die Verifikationslogik der Bus-(14)-Kommunikation in der angehängten Sicherheitshardware-Einheit (11) verschiedenartig implementiert ist.
Verfahren gemäß Anspruch 4, gekennzeichnet dadurch, daß die angehängte Sicherheitshardware-Einheit 11 eine sicherheitstechnische Kopfstück für die Bus-(14)-Kommunikation verschiedenartig erzeugt.
Verfahren gemäß Anspruch 11, gekennzeichnet dadurch, daß die Eingabe/Ausgabe-Einheit (15) zwei verschiedene Implementierungen aufweist, von denen jede die Korrektheit des Bus-(14)-Datenverkehrs verifiziert, und jede ein sicherheitsbezogenes Kopfstück für die Buskommunikation erzeugt.
Verfahren gemäß irgendeinem vorhergehenden Anspruch, gekennzeichnet dadurch, daß die angehängte Sicherheitshardware-Einheit ein erstes und ein zweites Modul redundanter Konfiguration umfasst, wobei das zweite Modul mit denjenigen Daten aktualisiert wird, die im ersten Modul zum Zeitpunkt einer Störung vorhanden sind, und das zweite Modul die sicherheitsbezogene Steuerung des Steuerungssystems von dem ersten Modul übernimmt, wenn eine Störung des ersten Moduls festgestellt wird.
Verfahren gemäß Anspruch 13, gekennzeichnet dadurch, daß das Steuergerät (10) eine redundante Steuereinheit beigefügt ist, die im Falle einer Störung des ersten Steuergeräts übernimmt, und die redundante Steuereinheit eine Kommunikation mit entweder dem aktiven ersten Modul, oder dem aktiven zweiten Modul der angehängten Sicherheitshardware-Einheit aufbaut.
Steuersystem (20), vorgesehen zur sicherheitsbezogenen Steuerung von Objekten der realen Welt, aufweisend der Mittel, zum Anhängen einer Sicherheitshardware-Einheit (11) an das Steuergerät (10), wobei die Sicherheitshardware-Einheit (11) mit der CPU des Steuergeräts kommuniziert, Mittel zum Herunterladen von Software mit sicherheitsbezogenen Konfigurationsdaten an die angehängte Sicherheitshardware-Einheit (11) und an das Steuergerät (10), und Mittel zum Konfigurieren der angehängten Sicherheitshardware-Einheit (11), um Sicherheits-Funktionslogik auszuführen, die von den sicherheitsbezogenen Konfigurationsdaten abhängt, und auf aktive oder passive Weise die Ausgabewerte des Steuergeräts (10) auf einen sicheren Zustand für eine Online-Sicherheitssteuerung zu setzen, gekennzeichnet durch weitere Mittel zum Ausführen eines Satzes nicht-sicherheitskritischer Steuerfunktionen, wobei der Satz der nicht-sicherheitskritischen Steuerfunktionen bevor, sowie nachdem die Sicherheitshardware-Einheit (11) angehängt wurde, die gleiche ist.
Steuersystem gemäß Anspruch 15, gekennzeichnet dadurch, daß das Steuergerät (10) die Fähigkeit aufweist, einen Satz von nicht-sicherheitskritischen Steuerfunktionen auszuführen, wobei der Satz der nicht-sicherheitskritischen Steuerfunktionen bevor, sowie nachdem die Sicherheitshardware-Einheit (11) angehängt wurde, die gleiche ist.
Steuersystem gemäß Anspruch 16, gekennzeichnet dadurch, daß es folgendes umfasst: Mittel zum Herunterladen von Diagnoseinformationen an die angehängte Sicherheitshardware-Einheit, die vorher durch ein Softwaretool automatisch erzeugt wurde, als ein Ergebnis der Anwenderkonfiguration des Steuergeräts, und wobei die Diagnoseinformationen in der angehängten Sicherheitshardware-Einheit, während einer sicherheitskritischen Steuerung verwendet werden.
Steuersystem gemäß Anspruch 17, gekennzeichnet dadurch, daß es folgendes beinhaltet: eine Eingabe/Ausgabe-Einheit (15), die über einen Bus mit dem Steuergerät (10) verbunden ist und die Gültigkeit der Bus-(14)-Kommunikation in der angehängten Sicherheitshardware-Einheit verifiziert wird.
Steuersystem gemäß Anspruch 18, gekennzeichnet dadurch, daß die Verifikationslogik der Bus-(14)-Kommunikation in der angehängten Sicherheitshardware-Einheit (11) verschiedenartig implementiert ist.
Steuersystem gemäß Anspruch 19, gekennzeichnet dadurch, daß die angehängte Sicherheitshardware-Einheit (11) ein sicherheitsbezogenes Kopfstück für die Bus-(14)-Kommunikation verschiedenartig erzeugt.