DE102004020994A1

DE102004020994A1 - Verfahren und Vorrichtung zum computergestützten Konstruieren einer sicherheitsgerichteten elektrischen Schaltung

Info

Publication number: DE102004020994A1
Application number: DE102004020994A
Authority: DE
Inventors: Thomas Peter
Original assignee: Pilz GmbH and Co KG
Current assignee: Pilz GmbH and Co KG
Priority date: 2004-04-19
Filing date: 2004-04-19
Publication date: 2005-11-17
Anticipated expiration: 2024-04-20
Also published as: DE102004020994B4

Abstract

Bei einem Verfahren zum computergestützten Konstruieren einer sicherheitsgerichteten elektrischen Schaltung werden eine Vielzahl von Schaltungskomponenten in einer computerimplementierten Bibliothek bereitgestellt. Daraus werden Schaltungskomponenten computergestützt ausgewählt und miteinander verknüpft. Gemäß einem Aspekt der vorliegenden Erfindung wird ferner eine Vielzahl von computerimplementierten Regelsätzen (48) bereitgestellt, wobei jeder computerimplementierte Regelsatz eine Vielzahl von sicherheitstechnischen Konstruktionsregeln (49) beinhaltet. Des Weiteren wird automatisiert geprüft, ob die ausgewählten und verknüpften Schaltungskomponenten den Konstruktionsregeln (49) von zumindest einem definierten Regelsatz (48) vollständig entsprechen. Der definierte Regelsatz wird computergestützt angezeigt. Ein weiterer Aspekt der Erfindung betrifft eine zur Durchführung des Verfahrens ausgebildete Vorrichtung.

Description

Die vorliegende Erfindung betrifft ein Verfahren zum computergestützten Konstruieren einer sicherheitsgerichteten elektrischen Schaltung, mit den Schritten:

– Bereitstellen einer Vielzahl von Schaltungskomponenten in einer computerimplementierten Bibliothek,
– computergestütztes Auswählen von Schaltungskomponenten aus der computerimplementierten Bibliothek, und
– computergestütztes Verknüpfen der ausgewählten Schaltungskomponenten.

Die Erfindung betrifft ferner eine entsprechende Vorrichtung mit einem ersten Speicherbereich, in dem eine computerimplementierte Bibliothek mit einer Vielzahl von Schaltungskomponenten abgespeichert ist, und mit einem vorzugsweise grafischen Konstruktionswerkzug zum computergestützten Auswählen und Verknüpfen von Schaltungskomponenten aus der computerimplementierten Bibliothek.

Ein solches Verfahren und eine solche Vorrichtung sind aus WO 02/067065 A2 bekannt.

Diese Druckschrift beschreibt ein Verfahren und eine Vorrichtung zum Programmieren einer sogenannten Sicherheitssteuerung. Hierbei handelt es sich um ein Gerät oder eine Vorrichtung, die Eingangssignale von sicherheitsgerichteten Sensoren aufnimmt und daraus durch logische Verknüpfungen sicherheitsgerichtete Ausgangssignale erzeugt. Typische Sensoren sind Not-Aus-Schalter, Schutztürschalter, Lichtschranken, Zwei-Hand-Schalter und Sensoren zum Aufnehmen und/oder Überwachen von Drehzahlen, Spannungen, Strömen und anderen Prozessgrößen einer technischen Anlage. Die von der Sicherheitssteuerung erzeugten Ausgangssignale sind Aktoren zugeführt, mit deren Hilfe eine Gefahr bringende Anlage abgeschaltet oder anderweitig in einen gefahrlosen Zustand gebracht werden kann. Gattungsgemäße Sicherheitssteuerungen werden insbesondere zum Absichern von automatisiert arbeitenden Anlagen, wie etwa Fertigungsstraßen, Robotern, Transport- oder Förderanlagen und dergleichen eingesetzt.

Da ein Funktionsfehler der Sicherheitssteuerungen in derartigen Anwendungen zu einer unmittelbaren Gefährdung von Personen führt, sind Sicherheitssteuerungen im Gegensatz zu „normalen" Prozesssteuerungen in erheblichem Umfang mit Fehler detektierenden und Fehler vermeidenden Maßnahmen ausgerüstet.

Für komplexe sicherheitsgerichtete Steuerungsaufgaben werden häufig programmierbare Sicherheitssteuerungen eingesetzt. Hierbei handelt es sich um Steuerungen, bei denen die Schaltungskomponenten und die Verknüpfungslogik vom Anwender per Software programmiert werden können. In einfacheren Anwendungsfällen werden dagegen häufig sogenannte Sicherheitsschaltgeräte eingesetzt, die nach der gewünschten Verknüpfungslogik verdrahtet werden müssen. Die vorliegende Erfindung bezieht sich auf das Konstruieren sicherheitsgerichteter elektrischer Schaltungen unabhängig davon, ob eine Sicherheitssteuerung per Software programmiert wird oder ob proprietäre Sicherheitsschaltgeräte nach miteinander verdrahtet werden sollen.

Für die Konstruktion einer sicherheitsgerichteten elektrischen Schaltung ist es nicht ausreichend, auf die Verwendung von Schaltungskomponenten zu vertrauen, die für sich genommen jeweils fehlersicher ausgebildet sind. Ein „ungeschicktes" Verknüpfen der an sich geeigneten Schaltungskomponenten kann nämlich dazu führen, dass die insgesamt erhaltene Schaltung den Anforderungen an die Fehlersicherheit nicht genügt. Beispielsweise können durch unerkannte Querschlüsse zwischen Verknüpfungsleitungen Fehlererkennungsmechanismen der einzelnen Schaltungskomponenten außer Kraft gesetzt werden. Daher erfordert die Konstruktion einer elektrischen Schaltung für sicherheitsgerichtete Anwendungen ein erhebliches Know-how, das über die Kenntnisse bei der Konstruktion von nicht-sicherheitsgerichteten Schaltungen hinausgeht. Außerdem ist die Konstruktion fehlersicherer Schaltungen bei zunehmendem Komplexitätsgrad sehr aufwändig.

Die eingangs genannte WO 02/067065 schlägt zum Programmieren einer Sicherheitssteuerung vor, ausgewählte Programmmodule definierten Funktionsgruppen eindeutig zuzuordnen. Die Programmmodule sind per Software realisierte Schaltungskomponenten im Sinne der vorliegenden Erfindung. Durch die erzwungene Zuordnung wird eine Schaltungsstruktur erreicht, die das Risiko unerkannter Fehler reduziert. Gleichwohl erfordert die Programmierung, d.h. die Konstruktion der per Software implementierten sicherheitsgerichteten elektrischen Schaltung, weiterhin ein erhebliches Know-how der sicherheitstechnischen Gestaltungsregeln.

Vor diesem Hintergrund ist eine Aufgabe der vorliegenden Erfindung, ein Verfahren und eine Vorrichtung der eingangs genannten Art weiterzubilden, so dass das Konstruieren von sicherheitsgerichteten Schaltungen einfacher und schneller möglich ist, ohne dass die Fehlersicherheit der konstruierten Schaltung beeinträchtigt ist.

Diese Aufgabe wird gemäß einem Aspekt der Erfindung durch ein Verfahren der eingangs genannten Art gelöst, das folgende zusätzliche Schritte aufweist:

– Bereitstellen einer Vielzahl von computerimplementierten Regelsätzen, wobei jeder computerimplementierte Regelsatz eine Vielzahl von sicherheitstechnischen Konstruktionsregeln beinhaltet,
– automatisiertes Prüfen, ob die ausgewählten und verknüpften Schaltungskomponenten den Konstruktionsregeln von zumindest einem definierten Regelsatz vollständig entsprechen, und
– computergestütztes Anzeigen des zumindest einen definierten Regelsatzes.

Gemäß einem anderen Aspekt wird die Aufgabe durch eine Vorrichtung der eingangs genannten Art gelöst, mit einem zweiten Speicherbereich, in dem eine Vielzahl von computerimplementierten Regelsätzen gespeichert ist, wobei jeder computerimplementierte Regelsatz eine Vielzahl von sicherheitstechnischen Konstruktionsregeln beinhaltet, ferner mit einem automatisierten Prüfwerkzeug, das dazu ausgebildet ist, automatisiert zu prüfen, ob die ausgewählten und verknüpften Schaltungskomponenten den Konstruktionsregeln von zumindest einem definierten Regelsatz vollständig entsprechen, und mit einer Anzeige zum Anzeigen des zumindest einen definierten Regelsatzes.

Die vorliegende Erfindung basiert damit auf der Idee, das zum Konstruieren einer sicherheitsgerichteten elektrischen Schaltung erforderliche Know-how in einer Vielzahl von sicherheitstechnischen Konstruktionsregeln zu hinterlegen, wobei die Vielzahl der Konstruktionsregeln zu computerimplementierten Regelsätzen zusammengefasst sind. Beim oder auch nach dem Konstruieren wird dann automatisiert überprüft, ob die konstruierte Schaltung sämtlichen Konstruktionsregeln von zumindest einem der computerimplementierten Regelsätze entspricht. Ist dies der Fall, wird der identifizierte Regelsatz dem Konstrukteur der Schaltung angezeigt. Entspricht die konstruierte Schaltung keinem der Regelsätze vollständig, erfolgt eine entsprechende Anzeige, die auch darin bestehen kann, dass kein Regelsatz angezeigt wird. Der Konstrukteur erhält damit eine direkte Rückmeldung, inwieweit die von ihm erstellte Schaltung sicherheitstechnischen Anforderungen entspricht.

Aufgrund der automatisierten Prüfung ist ein erheblich geringeres sicherheitstechnisches Know-how beim Konstruieren der Schaltung erforderlich. Die Konstruktion wird demzufolge einfacher und kann auch von weniger erfahrenen Anwendern durchgeführt werden. Darüber hinaus lässt sich die Konstruktion schneller durchführen, ohne dass die Fehlersicherheit der erstellten Schaltung beeinträchtigt wird.

Die zum automatisierten Prüfen bereitgestellten Konstruktionsregeln definieren technische Details der Schaltungskomponenten und ihrer Verknüpfungen. Einige für sicherheitskritische Anwendungen besonders relevante Konstruktionsregeln sind nachfolgend in bevorzugten Ausgestaltungen der Erfindung genannt.

Generell ist es bevorzugt, wenn die einzelnen Konstruktionsregeln und die zusammengestellten Regelsätze aus den einschlägigen Normen abgeleitet sind, die üblicherweise beim Konstruieren von sicherheitsgerichteten Schaltungen zu berücksichtigen sind. Dies sind insbesondere die europäische Norm EN 954-1, die ISO 13849-1, die EN IEC 61508 sowie damit verwandte Normen und Vorschriften. Keine dieser Normen gibt jedoch konkrete schaltungstechnische Konstruktionsregeln vor. Sie legen vielmehr Gestaltungsgrundsätze fest, die durch das Know-how eines erfah renen Schaltungskonstrukteurs in sicherheitstechnische Konstruktionsregeln umgesetzt werden müssen.

Genau diese Umsetzung wird durch die vorliegende Erfindung wesentlich erleichtert und einem größeren Anwenderkreis zugänglich gemacht. Darüber hinaus trägt die Zusammenfassung der Vielzahl der Konstruktionsregeln zu Regelsätzen zu einer weiteren Vereinfachung und Beschleunigung des Konstruktionsvorgangs bei, da der Schaltungskonstrukteur sich nicht um die Vielzahl der einzelnen Konstruktionsregeln kümmern muss, sondern sich auf die erheblich geringere Anzahl der Regelsätze verlassen kann.

Die genannte Aufgabe ist daher vollständig gelöst.

In einer bevorzugten Ausgestaltung beinhaltet die Erfindung die weiteren Verfahrensschritte sowie entsprechende Vorrichtungsmittel:

– computergestütztes Auswählen eines definierten Regelsatzes vor dem Auswählen und Verknüpfen der Schaltungskomponenten, und
– Freigeben oder Verhindern jeder nachfolgenden Auswahl und/oder Verknüpfung von Schaltungskomponenten in Abhängigkeit von dem ausgewählten definierten Regelsatz.

Diese Ausgestaltung lässt nur solche Konstruktionen zu, die dem ausgewählten definierten Regelsatz entsprechen. Damit ist es möglich, dass der Schaltungskonstrukteur einen Regelsatz festlegt, der einer vorab definierten Sicherheitsstufe entspricht, und anschließend werden nur solche Schaltungskomponenten und Verknüpfungen ermöglicht, die der gewünschten Sicherheitsstufe entsprechen. Durch diese Ausgestaltung wird die Konstruktion einer sicherheitsgerichteten elektrischen Schaltung weiter vereinfacht und beschleunigt, da sich der Schaltungskonstrukteur allein auf die für seine Anwendung erforderlichen logischen Verknüpfungen konzentrieren kann.

In einer weiteren Ausgestaltung der Erfindung wird die elektrische Schaltung in Teilbereiche unterteilt und der zumindest eine definierte Regelsatz wird für jeden Teilbereich angezeigt bzw. ausgewählt.

Diese Ausgestaltung ist besonders vorteilhaft beim Konstruieren von komplexen Schaltungen mit zahlreichen Schaltungskomponenten. Sie ermöglicht eine Anpassung der konstruierten Schaltung an die individuellen Erfordernisse einer komplexen Steuerungsaufgabe und trägt somit zu einer schnellen und kostengünstigen Schaltungskonstruktion bei. Darüber hinaus lassen sich verschiedene Teilfunktionen der elektrischen Schaltung übersichtlich voneinander abgrenzen, was das Risiko unerkannter Fehlerquellen verringert und somit die Fehlersicherheit erhöht.

In einer weiteren Ausgestaltung beinhaltet zumindest einer der computerimplementierten Regelsätze eine Konstruktionsregel, die mehrkanalig-redundante Ausgangssignale der Schaltungskomponenten erfordert.

Nach der vorliegenden Erfindung wird der definierte Regelsatz nur dann angezeigt und es werden ggf. nur solche Schaltungskonstruktionen zugelassen, die sämtlichen Konstruktionsregeln des definierten Regelsatzes entsprechen. Die Bereitstellung der oben genannten Konstruktionsregel hat damit zur Folge, dass in der entsprechend konstruierten Schaltung sämtliche Ausgangssignale mehrkanalig-redundant ausgebildet sind. Eine solche Ausbildung trägt zu einem hohen sicherheitstechnischen Niveau bei, da selbst bei einem Fehler in einem der Ausgangskanäle noch ein Abschalten der überwachten Anlage möglich ist. Umgekehrt wird der Schaltungskonstrukteur darauf aufmerksam gemacht, dass ein Abschalten der Anlage bei Auftreten eines Fehlers unter Umständen nicht mehr möglich ist, wenn der Regelsatz mit der oben angegebenen Konstruktionsregel nicht angezeigt und/oder ausgewählt ist. Die vorliegende Ausgestaltung trägt somit zu einer besonders sicheren Schaltungskonstruktion bei.

In einer weiteren Ausgestaltung beinhaltet zumindest einer der computerimplementierten Regelsätze eine Konstruktionsregel, die einen Rückführkreis für jedes Ausgangssignal erfordert. Besonders bevorzugt ist es, wenn der Regelsatz dieser Ausgestaltung mit dem Regelsatz der vorhergehenden Ausgestaltung identisch ist, das heißt der definierte Regelsatz beinhaltet beide angegebenen Konstruktionsregeln.

Ein Rückführkreis ist eine schaltungstechnische Konstruktion, die eine aktive Überwachung der Ausgangssignale innerhalb der Schaltung ermöglicht. Damit lässt sich das Auftreten eines Fehlers im Ausgangskreis der Schaltung kontinuierlich überwachen. Bei Auftreten eines Fehlers kann die überwachte Maschine, Anlage oder dergleichen unmittelbar in einen sicheren Zustand gebracht werden. Die genannte Ausgestaltung trägt daher ebenfalls zu einem hohen Sicherheitsniveau bei.

In einer weiteren Ausgestaltung beinhaltet zumindest einer der computerimplementierten Regelsätze eine Konstruktionsregel, die eine Querschlusserkennung für jedes Eingangssignal einer Schaltungskomponente erfordert. Bevorzugt ist auch diese Konstruktionsregel in demselben Regelsatz enthalten, wie die beiden vorher genannten Konstruktionsregeln.

Mit Hilfe dieser Konstruktionsregel lassen sich Fehlerzustände auf der Eingangsseite der Schaltungskomponenten detektieren. Beispielsweise ist es hierdurch möglich, einen Kabelbruch und daraus resultierende fehlerhafte Eingangssignale von Sensoren zu erkennen. Diese Ausgestaltung trägt ebenfalls zu einem hohen Sicherheitsniveau bei der Schaltungskonstruktion bei.

In einer weiteren Ausgestaltung beinhaltet zumindest einer der computerimplementierten Regelsätze eine Konstruktionsregel, die eine serielle Verknüpfung von Signalgebern verbietet.

Grundsätzlich könnten Signalgeber, wie beispielsweise Not-Aus-Schalter, Türkontaktschalter und dergleichen, seriell zueinander an einen Eingang der konstruierten Schaltung angeschlossen werden. In einem solchen Fall ist es jedoch nicht möglich, beispielsweise das Öffnen einer zweiten Schutztür zu detektieren, wenn bereits eine erste, seriell überwachte Schutztür geöffnet ist. Damit entfällt auch die Möglichkeit einer individuellen Diagnose. Der Ausschluss dieser an sich möglichen Schaltungskonstruktion trägt folglich zu einem noch höheren Sicherheitsniveau bei.

In einer weiteren Ausgestaltung der Erfindung sind die Regelsätze in Bezug auf ein mögliches Auftreten sicherheitskriti scher Fehler hierarchisch gegliedert und es wird jeweils der in der Hierarchie am höchsten stehende definierte Regelsatz angezeigt.

Diese Ausgestaltung macht die Schaltungskonstruktion noch einfacher und übersichtlicher, da der Schaltungskonstrukteur jeweils eine Rückmeldung in Bezug auf das maximale Sicherheitsniveau der von ihm konstruierten Schaltung erhält.

In einer weiteren Ausgestaltung werden beim Auswählen und Verknüpfen der Schaltungskomponenten Programmmodul-Funktionsaufrufe automatisch generiert und in einer Ablauftabelle gespeichert.

Diese Ausgestaltung ist besonders vorteilhaft beim Konstruieren von komplexen sicherheitsgerichteten Schaltungen, da die am Ende erhaltene Ablauftabelle als Programm für eine Sicherheitssteuerung verwendet werden kann. Gerade bei komplexen Anwendungen werden derartige Sicherheitssteuerungen bevorzugt. Infolge dessen vereinfacht und beschleunigt diese Ausgestaltung die Konstruktion komplexer Schaltungen weiter. Darüber hinaus trägt die automatische Erzeugung der Programmmodul-Funktionsaufrufe in Kombination mit der automatischen Überprüfung der Schaltung anhand der Regelsätze zu einem besonders fehlersicheren Schaltungsentwurf bei.

Es versteht sich, dass die vorstehend genannten und die nachstehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern auch in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.

Ausführungsbeispiele der Erfindung sind in der Zeichnung dargestellt und werden in der nachfolgenden Beschreibung näher erläutert. Es zeigen:
1 eine schematische Darstellung einer erfindungsgemäßen Vorrichtung in Verbindung mit einer programmierbaren Sicherheitssteuerung,
2 eine vereinfachte Darstellung einer grafischen Benutzeroberfläche zum Programmieren der Sicherheitssteuerung aus 1 gemäß einem Ausführungsbeispiel der vorliegenden Erfindung, und
3 eine Benutzeroberfläche gemäß einem weiteren Ausführungsbeispiel der vorliegenden Erfindung.
In 1 ist ein Ausführungsbeispiel einer erfindungsgemäßen Vorrichtung in seiner Gesamtheit mit der Bezugsziffer 10 bezeichnet. Die Vorrichtung 10 beinhaltet hier einen herkömmlichen PC 12 mit einem Monitor 14, auf dem ein Computerprogramm 16 ausgeführt wird. Das Computerprogramm 16 dient zur Erstellung eines Anwenderprogramms für eine Sicherheitssteuerung, die in 1 mit der Bezugsziffer 18 bezeichnet ist.
Die Sicherheitssteuerung 18 ist hier mit zwei zueinander redundanten Prozessoren 20, 22 dargestellt, die über eine Schnittstelle 24 miteinander kommunizieren und sich gegenseitig überwachen. Ein solcher Aufbau steht stellvertretend für andere Konzepte zur Realisierung einer Steuerung für sicherheitskritische Anwendungen. Beispielsweise könnte die Sicherheitssteuerung 18 auch mit drei parallelen Kanälen und einer 2 aus 3 Entscheidungslogik aufgebaut sein, um eine noch höhere Sicherheit und Verfügbarkeit zu erreichen.
Die hier gezeigten Prozessoren 20, 22 sind jeweils mit einer Eingabe-Ausgabe-Einheit 26 verbunden. Die Ein-/Ausgabe-Einheit 26 nimmt Eingangssignale 28 von externen Sensoren 30 auf und leitet diese in einem geeigneten Datenformat an jeden Prozessor 20, 22 weiter. Außerdem erzeugt die Ein-/Ausgabe-Einheit 26 abhängig von den Prozessoren 20, 22 Ausgangssignale 32, mit denen Aktoren 34 angesteuert werden. Bei den Sensoren 30 handelt es sich beispielsweise um Not-Aus-Schalter, Zwei-Hand-Steuerungen, Schutztürschalter, Drehzahlüberwachungsgeräte oder andere Sensoren zur Aufnahme sicherheitsrelevanter Parameter. Die Aktoren 34 sind beispielsweise Schütze oder Magnetventile, mit denen die Versorgung eines Antriebs einer gefährlichen Maschine abgeschaltet werden kann.
Mit der Bezugsziffer 36 ist eine Chipkarte bezeichnet, auf der ein Anwenderprogramm 38 abgespeichert wird. Das Anwenderprogramm 38 wird mit Hilfe der Vorrichtung 10 erstellt, und es legt die von der Sicherheitssteuerung 18 durchzuführenden Steuerungsaufgaben fest. Die Programmierung des Anwenderprogramms 38 ist die Konstruktion einer sicherheitsgerichteten elektrischen Schaltung im Sinne der vorliegenden Erfindung, wobei die konstruierte Schaltung hier in wesentlichen Teilen als Software für die Sicherheitssteuerung 18 realisiert ist. Alternativ hierzu kann die vorliegende Erfindung gleichermaßen beim computergestützten Konstruieren von elektrischen Schaltungen verwendet werden, die durch Verdrahten von physischen Schaltungskomponenten realisiert werden.
Das Computerprogramm 16 stellt auf dem Monitor 14 des PCs 12 eine nachfolgend näher erläuterte Benutzeroberfläche bereit. Die Benutzeroberfläche ermöglicht dem Programmierer (Konstrukteur) die Auswahl und Parametrierung vordefinierter funktionsspezifischer Programmmodule, die ihrerseits in der Sicherheitssteuerung 18 fest abgespeichert sind. Die Programmmodule sind softwaremäßig realisierte Schaltungskomponenten im Sinne der vorliegenden Erfindung. Sie verleihen der Sicherheitssteuerung 18 eine Funktionalität, die physischen Schaltungskomponenten gleichwertig ist. Um zu verhindern, dass unerfahrene Konstrukteure die vordefinierten Programmmodule bewusst oder unbewusst verändern, ermöglicht das Computerprogramm 16 nur die Auswahl, Parametrierung und Verknüpfung, wie nachfolgend anhand 2 und 3 dargestellt ist.
Die Auswahl, Parametrierung und Verknüpfung der vordefinierten Programmmodule (Schaltungskomponenten) ist in 1 durch einen Funktionsblock 40 symbolisiert. Beim Auswählen eines Programmmoduls wird hier vom Computerprogramm 16 ein Programmmodul-Funktionsaufruf generiert und in einem Speicher 42 des PCs abgespeichert. Im Speicher 42 entsteht somit eine Ablauftabelle, die nach Abschluss der Programmierung als Anwenderprogramm 38 auf die Chipkarte 36 geladen wird. Jeder abgespeicherte Programmmodul-Funktionsaufruf stellt somit einen Programmbefehl im Anwenderprogramm 38 dar.
In dem dargestellten Ausführungsbeispiel erzeugt das Computerprogramm 16 aus dem abgespeicherten Programmmodul-Funktionsaufruf mit Hilfe des Funktionsblocks 44 eine symbolische Darstellung des ausgewählten Programmmoduls, die auf dem Monitor 14 angezeigt wird. Damit wird sichergestellt, dass der Program mierer/Schaltungskonstrukteur nur diejenigen Programmmodule angezeigt bekommt, zu denen ein entsprechender Programmmodul-Funktionsaufruf in der Ablauftabelle gespeichert ist.
Ein Funktionsblock 46 symbolisiert die Übertragung des erstellten Anwenderprogramms vom PC 12 auf die Chipkarte 36 der Sicherheitssteuerung 18.
Gemäß der vorliegenden Erfindung ist das Computerprogramm 16 hier so ausgebildet, dass beim Auswählen und Verknüpfen einer Schaltungskomponente automatisch geprüft wird, ob und ggf. welchen sicherheitstechnischen Konstruktionsregeln die konstruierte Schaltung entspricht. Dazu sind im Computerprogramm 16 Regelsätze 48 mit einer Vielzahl von Konstruktionsregeln 49 hinterlegt. Wie nachfolgend gezeigt ist, werden die Regelsätze 48 in bevorzugten Ausführungsbeispielen ferner dazu verwendet, die Auswahl und Verknüpfung einzelner Schaltungskomponenten freizugeben oder zu verhindern, um die Einhaltung eines gewünschten Sicherheitsniveaus beim Konstruieren der Schaltung zu gewährleisten.
In 2 ist eine grafische Benutzeroberfläche, die das Computerprogramm 16 dem Programmierer auf dem Monitor 14 bereitstellt, in ihrer Gesamtheit mit der Bezugsziffer 50 bezeichnet.
Die Benutzeroberfläche 50 beinhaltet ein Programmierfeld 52, das in dem hier dargestellten, bevorzugten Ausführungsbeispiel in drei getrennte Funktionsgruppen 54, 56, 58 gegliedert ist. Außerhalb des Programmierfeldes 52 ist eine Anzahl auswählbarer Schaltungskomponenten 60, 62, 64, 66 gezeigt. Diese Anzeige ist hier beispielhaft. Die auswählbaren Schaltungskomponenten kön nen stattdessen auch in Pulldown-Menüs zusammengefasst sein, wie dies an sich bei grafischen Benutzeroberflächen bekannt ist.
Die Schaltungskomponente 60 ist hier beispielhaft ein Programmmodul, das zum Auswerten der Eingangssignale eines zweikanaligen Sensors ausgebildet ist. Dabei stellt das Programmmodul 60 eine Querschlusserkennung zur Verfügung, was bei der Bezugsziffer 68 symbolisch angedeutet ist.
Die Schaltungskomponente 62 ist ein Programmmodul, das gleichermaßen zum Auswerten eines zweikanaligen Sensors ausgebildet ist, jedoch ohne Querschlusserkennung. Die Schaltungskomponenten 60, 62 sind folglich in Bezug auf sicherheitstechnische Schaltungsprinzipien unterschiedlich ausgebildet.
Die Schaltungskomponente 64 ist hier ein Programmmodul, das zum Auswerten eines einkanaligen Sensors ausgebildet ist. Die Schaltungskomponente 66 ist ein Programmmodul, das eine logische UND-Verknüpfung zwischen eingangsseitig zugeführten Signalen durchführt. Weitere mögliche Schaltungskomponenten sind der Einfachheit halber nicht näher dargestellt.
Zum Konstruieren der elektrischen Schaltung zieht der Programmierer die gewünschten Schaltungskomponenten per Drag- und Drop-Funktion in das Programmierfeld 52 und verknüpft die ausgewählten Schaltungskomponenten, wie dies in 2 an einem vereinfachten Beispiel dargestellt ist.
Gemäß einem bevorzugten Ausführungsbeispiel der Erfindung können Eingangsmodule, die zum Auswerten von Sensorsignalen vorge sehen sind, hier nur in der Funktionsgruppe 54 abgelegt werden, während die Funktionsgruppe 56 ausschließlich für Verknüpfungsoperationen und die Funktionsgruppe 58 ausschließlich für Ausgangsmodule vorgesehen ist. Die Ausgangsmodule, von denen in 2 zwei Module beispielhaft mit den Bezugsziffern 70 und 72 bezeichnet sind, sind Schaltungskomponenten, die die erforderlichen Ausgangssignale zum Ansteuern der Aktoren erzeugen.
In dem dargestellten Ausführungsbeispiel sind die beiden Ausgangsmodule 70, 72 jeweils zweikanalig ausgebildet, das heißt sie erzeugen zweikanalig-redundante Ausgangssignale. Außerdem besitzt jedes Ausgangsmodul 70, 72 einen Rückführkreis, was bei der Bezugsziffer 74 angedeutet ist. Die einschlägigen Fachleute werden ohne weiteres erkennen, dass die Schaltungskonstruktion in der Darstellung in 2 noch nicht abgeschlossen ist, da die Rückführkreise 74 noch mit Schaltungskomponenten in den Funktionsgruppen 54 und/oder 56 verknüpft werden müssen.
Im oberen Bereich der Benutzeroberfläche 50 ist eine Menüleiste 76 mit Schaltflächen 78 angeordnet. Außerdem befindet sich in dieser Menüleiste ein Feld 80, in dem eine Sicherheitskategorie (hier in diesem Fall beispielhaft die Kategorie „3") angezeigt wird. Die angezeigte Sicherheitskategorie symbolisiert denjenigen Regelsatz 48, dessen Konstruktionsregeln die bislang konstruierte Schaltung vollständig entspricht.
Mit der Bezugsziffer 82 ist eine Schaltfläche bezeichnet, mit der der Schaltungskonstrukteur die Einhaltung eines gewünschten Regelsatzes erzwingen kann. Wird die Schaltfläche 82, wie in 2 dargestellt, aktiviert, lassen sich nur solche Schaltungskomponenten 60 bis 66 auswählen und verknüpfen, die den Konstruktionsregeln des gewählten Regelsatzes (entsprechend der angezeigten Kategorie) entsprechen.
Dies ist in 2 beispielhaft anhand des Pfeils 84 dargestellt. Der Pfeil 84 symbolisiert die Auswahl der Schaltungskomponente 64, die den Konstruktionsregeln des gewählten Regelsatzes nicht entspricht. Daher wird die Auswahl der Schaltungskomponente 64 verhindert, was in 2 durch die punktierte Darstellung der Schaltungskomponente 64 im Programmierfeld 52 angedeutet ist. Demgegenüber ist die Auswahl und Verknüpfung der Schaltungskomponenten 60, 62 in dem dargestellten Beispiel möglich, da diese Schaltungskomponenten und die Art ihrer Verknüpfung dem gewählten Regelsatz entspricht.
In 3 ist ein weiteres Ausführungsbeispiel dargestellt, wobei gleiche Bezugszeichen dieselben Elemente bezeichnen wie zuvor.
In der in 3 gezeigten Situation ist die Schaltung in zwei Teilbereiche 90, 92 unterteilt. Für jeden der Teilbereiche 90, 92 kann ein eigener Regelsatz festgelegt werden. Damit ist es möglich, dass die Teilbereiche 90, 92 unterschiedlich hohe Anforderungen an die sicherheitstechnische Gestaltung der Schaltungsteile stellen. Beispielsweise ist in 3 dargestellt, dass der Teilbereich 90 der Sicherheitskategorie 3 entspricht, was einem ersten Regelsatz entspricht, während der Teilbereich 92 nur die Anforderungen der niedrigeren Sicherheitskategorie 2 erfüllt. Dementsprechend ist es in dieser Situation möglich, die Schaltungskomponente 64 auszuwählen und in dem Teilbereich 92 der Schaltung zu verknüpfen. Außerdem kann hier nun eine Schaltungskomponente 94 ausgewählt und verknüpft werden, die nur ein einkanaliges Ausgangssignal liefert.
Wird die Schaltfläche 82 deaktiviert, ist in jedem der Teilbereiche 90, 92 eine Schaltungskonstruktion ohne Beschränkung auf Konstruktionsregeln möglich. In diesem Fall wird für jeden der Teilbereiche 90, 92 die erreichte Sicherheitskategorie getrennt angezeigt, indem vom Computerprogramm 16 überprüft wird, welchen Regelsätzen die Schaltungen in den Teilbereichen 90, 92 entsprechen.
In den Ausführungsbeispielen gemäß 2 und 3 wird für jeden Teilbereich der konstruierten Schaltung jeweils nur derjenige Regelsatz angezeigt, der in der Hierarchie der Regelsätze am höchsten steht. Alternativ hierzu wäre es auch möglich, sämtliche Regelsätze anzuzeigen, denen der entsprechende Schaltungsteil genügt.

Claims

Verfahren zum computergestützten Konstruieren einer sicherheitsgerichteten elektrischen Schaltung, mit den Schritten: – Bereitstellen einer Vielzahl von Schaltungskomponenten (60, 62, 64, 66, 70, 72, 94) in einer computerimplementierten Bibliothek, – computergestütztes Auswählen (84) von Schaltungskomponenten (64) aus der computerimplementierten Bibliothek, und – computergestütztes Verknüpfen der ausgewählten Schaltungskomponenten (60, 62, 64, 66, 70, 72, 94), gekennzeichnet durch die zusätzlichen Schritte: – Bereitstellen einer Vielzahl von computerimplementierten Regelsätzen (48), wobei jeder computerimplementierte Regelsatz eine Vielzahl von sicherheitstechnischen Konstruktionsregeln (49) beinhaltet, – automatisiertes Prüfen, ob die ausgewählten und verknüpften Schaltungskomponenten (60, 62, 64, 66, 70, 72, 94) den Konstruktionsregeln (49) von zumindest einem definierten Regelsatz (48) vollständig entsprechen, und – computergestütztes Anzeigen (80) des zumindest einen definierten Regelsatzes.
Verfahren nach Anspruch 1, gekennzeichnet durch die weiteren Schritte: – computergestütztes Auswählen (82) eines definierten Regelsatzes (48) vor dem Auswählen und Verknüpfen der Schaltungskomponenten (60, 62, 64, 66, 70, 72, 94), und – Freigeben oder Verhindern (84) jeder nachfolgenden Auswahl und/oder Verknüpfung von Schaltungskomponenten (60, 62, 64, 66, 70, 72, 94) in Abhängigkeit von dem ausgewählten definierten Regelsatz (48).
Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die elektrische Schaltung in Teilbereiche (90, 92) unterteilt wird und dass der zumindest eine definierte Regelsatz (48) für jeden Teilbereich (90, 92) angezeigt wird.
Verfahren nach einem der Ansprüche 1 bis 3, dadurch gekennzeichnet, dass zumindest einer der computerimplementierten Regelsätze (48) eine Konstruktionsregel (49) beinhaltet, die mehrkanalig-redundante Ausgangssignale der Schaltungskomponenten (70, 72) erfordert.
Verfahren nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, dass zumindest einer der computerimplementierten Regelsätze (48) eine Konstruktionsregel (49) beinhaltet, die einen Rückführkreis (74) für jedes Ausgangssignal erfordert.
Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass zumindest einer der computerimplementierten Regelsätze (48) eine Konstruktionsregel (49) beinhaltet, die eine Querschlusserkennung (68) für jedes Eingangssignal einer Schaltungskomponente (60) erfordert.
Verfahren nach einem der Ansprüche 1 bis 6, dadurch gekennzeichnet, dass zumindest einer der computerimplementierten Regelsätze (48) eine Konstruktionsregel (49) beinhaltet, die eine serielle Verknüpfung von Signalgebern (30) verbietet.
Verfahren nach einem der Ansprüche 1 bis 7, dadurch gekennzeichnet, dass die Regelsätze (48) in Bezug auf ein mögliches Auftreten sicherheitskritischer Fehler hierarchisch gegliedert sind und dass jeweils der in der Hierarchie am höchsten stehende definierte Regelsatz (80) angezeigt wird.
Verfahren nach einem der Ansprüche 1 bis 8, dadurch gekennzeichnet, dass beim Auswählen und Verknüpfen der Schaltungskomponenten (60, 62, 64, 66, 70, 72, 94) Programmmodul-Funktionsaufrufe automatisch generiert und in einer Ablauftabelle (42) gespeichert werden.
Computerprogrammprodukt mit Programmcodemitteln (16), insbesondere mit auf einem Datenträger gespeicherten Programmcodemitteln, die dazu ausgebildet sind, ein Verfahren nach einem der Ansprüche 1 bis 9 durchzuführen, wenn die Programmcodemittel (16) einem Computer (12) zugeführt sind.
Vorrichtung zum computergestützten Konstruieren einer sicherheitsgerichteten elektrischen Schaltung, mit: – einem ersten Speicherbereich, in dem eine computerimplementierte Bibliothek mit einer Vielzahl von Schaltungskomponenten (60, 62, 64, 66, 70, 72, 94) abgespeichert ist, und – einem vorzugsweise grafischen Konstruktionswerkzeug (50, 52) zum computergestützten Auswählen und Verknüpfen von Schaltungskomponenten (60, 62, 64, 66, 70, 72, 94) aus der computerimplementierten Bibliothek, gekennzeichnet durch – einen zweiten Speicherbereich, in dem eine Vielzahl von computerimplementierten Regelsätzen (48) gespeichert ist, wobei jeder computerimplementierte Regelsatz eine Vielzahl von sicherheitstechnischen Konstruktionsregeln (49) beinhaltet, – einem automatisierten Prüfwerkzeug, das dazu ausgebildet ist, automatisiert zu prüfen, ob die ausgewählten und verknüpften Schaltungskomponenten (60, 62, 64, 66, 70, 72, 94) den Konstruktionsregeln (49) von zumindest einem definierten Regelsatz (48) vollständig entsprechen, und – einer Anzeige (80) zum Anzeigen des zumindest einen definierten Regelsatzes.