DE102009034256A1

DE102009034256A1 - Computerunterstützte Sicherheitslogikzertifizierung

Info

Publication number: DE102009034256A1
Application number: DE102009034256A
Authority: DE
Inventors: Jing Troy Liu; Chengyin Rochester Hills Yuan; Fangming Rochester Hills Gu; Stephan R. Birmingham Biller; Jerome O. Romeo Schroeder; Richard C. Rochester Hills Immers; Jeffrey J. Lake Orion Byrnes
Original assignee: GM Global Technology Operations LLC
Current assignee: GM Global Technology Operations LLC
Priority date: 2008-07-25
Filing date: 2009-07-22
Publication date: 2010-04-08
Also published as: US20100023534A1

Abstract

Ein Verfahren zur Zertifizierung eines Sicherheitslogik-Codes in einem Fertigungsautomatisierungssystem ist vorgesehen. Eine Vielzahl von sicherheitsrelevanten Testszenarien zum Testen des Sicherheitslogik-Codes in dem Fertigungsautomatisierungssystem wird vorgesehen. Eine Verarbeitungseinheit wird zur Kommunikation mit dem Logik-Controller konfiguriert. Die Verarbeitungseinheit erzeugt Logikeingangssignale in Ansprechen auf die Vielzahl von sicherheitsrelevanten Testszenarien und stellt die Logikeingangssignale an den Logik-Controller bereit. Die Ausführung der Vielzahl von sicherheitsrelevanten Testszenarien über den Sicherheitslogik-Code wird in Ansprechen darauf ausgelöst, dass die Verarbeitungseinheit die Logikeingangssignale an den Logik-Controller bereitstellt. Die Ansprech-Ausgangssignale werden durch den Logik-Controller in Ansprechen auf die durch den Sicherheitslogik-Code ausgeführten sicherheitsrelevanten Testszenarien erzeugt. Eine Übereinstimmung des Sicherheitslogik-Codes wird ermittelt, indem Ansprech-Ausgangssignale und zugeordnete Logikeingangssignale an einem vorbestimtmen Standard evaluiert werden.

Description

Hintergrund der Erfindung
Die vorliegende Erfindung betrifft allgemein einen automatisierten Sicherheitslogikzertifizierungsprozess.
Fertigungsautomatisierungssysteme umfassen die Verwendung von Logik-Controllern zum Steuern der sicherheitsrelevanten Ereignisse in einem Automatisierungsprozess. Das herkömmliche Testen und Zertifizieren der programmierbaren Sicherheitslogikalgorithmen in dem Logik-Controller wurde als ein manueller Prozess ausgeführt. Der manuelle Prozess beinhaltet entweder das Einrichten einer tatsächlichen physischen Montage-/Fertigungslinie oder eines physischen Prototyp-Teststandes, der die physische Hardware umfasst. Um die Sicherheitsprogrammierung des Logik-Controllers zu zertifizieren, wird eine Reihe von Testszenarien von einer Person ausgeführt, die manuell jeweilige Schalter und Sensoren in Übereinstimmung mit den jeweiligen Routinen zum Erzeugen der erwünschten Eingangssignale an den Logik-Controller betätigt. Die resultierenden Ausgangs-Ansprechsignale von dem Logik-Controller werden über einen Bildschirmabzug (d. h. Bildschirmausdruck) an einem entfernten Personalcomputer ausgedruckt. Die Ergebnisse werden dann manuell in Tabellen niedergeschrieben. Die Person, die die Antworten aufzeichnet, vergleicht die niedergeschriebenen Ergebnisse manuell mit den Designspezifikationen des Fertigungsautomatisierungssystems. Diese Person ermittelt dann einen Bestanden/Nicht-Bestanden-Zustand für jedes sicherheitsrelevante Testszenario, um den Sicherheitslogik-Code zu zertifizieren.
Die Prozedur wird wiederholt, bis alle sicherheitsrelevanten Testszenarien getestet und Ergebnisse beschafft wurden.
Die Erzeugung von physischen Prototyp-Testständen erfordert physische Hardware, Einrichtungen und Arbeitskraft. Das Einrichten der Hardware und des Testprozesses ist nicht nur kostspielig sondern auch arbeitsintensiv und zeitintensiv. Überdies werden die Testergebnisse manuell aufgezeichnet, manuell in eine Tabelle eingetragen und dann manuell mit der Designspezifikation verglichen, um einen Bestanden/Nicht-Bestanden-Zustand zu ermitteln. Die manuelle Übertragung von Daten und die manuelle Zertifizierung durch die Person, die die Ergebnisse zertifiziert, ist auf Grund des manuellen Transfers von Daten oder der falschen Interpretation der Ergebnisse fehleranfällig.
Zusammenfassung der Erfindung
Ein Vorteil einer Ausführungsform sieht verringerte Kosten und eine erhöhte Effizienz beim Testen des Sicherheitslogik-Codes für ein Fertigungsautomatisierungssystem vor. Weitere Vorteile umfassen Verbesserungen bezüglich der Testwiederholbarkeit und die Minimierung von Fehlern beim Testen und Zertifizierungsprozess durch Vermindern der Beteiligung der Person, die den Zertifizierungstest durchführt, was die manuelle Eingabe der Testsignale und die manuelle Aufzeichnung von Testergebnissen eliminiert.
Eine Ausführungsform zieht ein Verfahren zur Zertifizierung eines Sicherheitslogik-Codes in einem Fertigungsautomatisierungssystems, welches einen Logik-Controller aufweist, in Erwägung. Der Logik-Controller empfängt Logikeingangssignale zum Ausführen eines Sicherheitslogik-Codes und Ausgeben von Ausgangs-Ansprechsignalen in Ansprechen auf die Ausführung des Sicherheitslogik-Codes aus. Eine Vielzahl von sicherheitsrelevanten Testszenarien zum Testen des Sicherheitslogik-Codes in dem Fertigungsautomatisierungssystem wird vorgesehen. Eine Verarbeitungseinheit zur Kommunikation mit dem Logik-Controller wird konfiguriert. Die Verarbeitungseinheit erzeugt Logikeingangssignale in Ansprechen auf die Vielzahl von sicherheitsrelevanten Testszenarien. Die Verarbeitungseinheit stellt die Logikeingangssignale an den Logik-Controller bereit. Die Logikeingangssignale repräsentieren die jeweiligen Signale, die durch Sicherheitsvorrichtungen in dem Fertigungsautomatisierungssystem ausgegeben werden. Die Ausführung der Vielzahl von sicherheitsrelevanten Testszenarien über den Sicherheitslogik-Code wird in Ansprechen darauf ausgelöst, dass die Verarbeitungseinheit die Logikeingangssignale an den Logik-Controller bereitstellt. Die Ansprech-Ausgangssignale werden durch den Logik-Controller in Ansprechen auf die durch den Sicherheitslogik-Code ausgeführten sicherheitsrelevanten Testszenarien erzeugt. Jedes der Ansprech-Ausgangssignale repräsentiert Signale, die von dem Logik-Controller an jeweilige Aktoren in dem Fertigungsautomatisierungssystem ausgegeben werden. Eine Übereinstimmung des Sicherheitslogik-Codes wird ermittelt, indem Ansprech-Ausgangssignale und zugeordnete Logikeingangssignale an einem vorbestimmten Standard evaluiert werden.
Eine Ausführungsform zieht ein Computerunterstütztes Sicherheitslogik-Zertifizierungssystem, welches zur Zertifizierung eines Sicherheitslogik-Codes in einem Fertigungsautomatisierungssystem vorgesehen ist, in Erwägung. Ein Logik-Controller führt sicherheitsrelevanten Testszenarien über den Sicherheitslogik-Code in dem Fertigungsautomatisierungssystem aus. Der Logik-Controller erzeugt Ansprech-Ausgangssignale in Ansprechen auf das Ausführen der sicherheitsrelevanten Testszenarien. Eine Verarbeitungseinheit ist konfiguriert, um mit dem Logik-Controller zu kommunizieren. Die Verarbeitungseinheit erzeugt Logikeingangssignale und stellt die Logikeingangssignale selektiv an den Logik-Controller zum Ausführen der sicherheitsrelevanten Testszenarien über den Sicherheitslogik-Code bereit. Ein Zertifizierungsprogramm ermittelt eine Übereinstimmung des Sicherheitslogik-Codes durch Evaluierung von Ansprech-Ausgangssignalen und zugeordneten Logikeingangssignalen mit einem vorbestimmten Standard.
Eine Ausführungsform zieht ein Verfahren zur Zertifizierung einer Sicherheitslogik in einem Fertigungsautomatisierungssystems, welches einen Logik-Controller zum Steuern von Sicherheitsfunktionen aufweist, in Erwägung. Der Logik-Controller empfängt Logikeingangssignale und gibt Ausgangs-Ansprechsignale aus. Ein Testskript wird vorgesehen. Eine Vielzahl von sicherheitsrelevanten Testszenarien zum Testen des Sicherheitslogik-Codes in dem Logik-Controller wird erzeugt. Die Vielzahl von sicherheitsrelevanten Testszenarien wird durch einen Testszenariogenerator auf der Basis des Testskripts erzeugt. Ein Teststand zum Erzeugen von Eingangssignalen, die sich auf den Betrieb des Fertigungsautomatisierungssystems beziehen, wird montiert. Der Teststand umfasst zumindest eine Hardwarevorrichtung zum Erzeugen der an eine Verarbeitungseinheit bereitgestellten Eingangssignale. Die zumindest eine Hardwarevorrichtung repräsentiert jeweilige Vorrichtungen in einem jeweiligen Fertigungsautomatisierungssystem. Eine Verarbeitungseinheit wird zur Kommunikation mit dem Logik-Controller konfiguriert. Die Verarbeitungseinheit empfängt die sicherheitsrelevanten Testszenarien von dem Testszenariogenerator und die Eingangssignale von dem Teststand zum Erzeugen der Logikeingangssignale. Die Logikeingangssignale werden von der Verarbeitungseinheit an den Logik-Controller bereitgestellt. Die Ausführung der Vielzahl von sicherheitsrelevanten Testszenarien über den Sicherheitslogik-Code wird in Ansprechen auf die von der Verarbeitungseinheit an den Logik-Controller bereitgestellten Logikeingangssignale ausgelöst. Die Ansprech- Ausgangssignale werden durch den Logik-Controller in Ansprechen auf die durch den Sicherheitslogik-Code ausgeführten sicherheitsrelevanten Testszenarien erzeugt. Jedes der Ansprech-Ausgangssignale repräsentiert Signale, die von dem Logik-Controller an jeweilige Aktoren in dem Fertigungsautomatisierungssystem ausgegeben werden. Die Ansprech-Ausgangssignale und zugeordnete Eingangs-Logiksignale werden in einem Kompilierer aufgezeichnet. Eine Übereinstimmung des Sicherheitslogik-Codes wird ermittelt, indem Ansprech-Ausgangssignale und zugeordnete Eingangslogiksignale an einem vorbestimmten Standard evaluiert werden.
Kurzbeschreibung der Zeichnungen
1 ist eine schematische Darstellung eines Fertigungsautomatisierungssystems nach dem Stand der Technik.
2 ist ein Blockdiagramm eines Sicherheitslogik-Zertifizierungssystems gemäß einer Ausführungsform.
3 ist ein Blockdiagramm eines Testskripts gemäß einer Ausführungsform.
4 ist ein Baumdiagramm eines Testszenarios gemäß einer Ausführungsform.
5 ist ein Flussdiagramm eines Verfahrens für eine Sicherheitslogikzertifizierungsroutine gemäß einer Ausführungsform.
Detaillierte Beschreibung
In 1 ist allgemein ein Fertigungsautomatisierungssystem 10 zur Montage-/Fertigung von Komponenten zur Erzeugung eines Endproduktes gezeigt. Es sollte einzusehen sein, dass das wie in 1 veranschaulichte Fertigungsautomatisierungssystem 10 rein Illustrationszwecken dienen soll und nicht auf einen Montage-/Fertigungsprozess beschränkt ist, sondern jedes Fertigungsautomatisierungssystem umfasst, welches eine Sicherheitslogik enthält. Beispiele umfassen, sind jedoch nicht beschränkt auf Montagearbeitsschritte, Roboterschweißzellen, Lackierstationen, Arbeitsschritte mit automatischer Presse, automatische Verpackung, automatische Schneider von Druck-Arbeitsschritten und Zentren zur spanenden Bearbeitung. Das Fertigungsautomatisierungssystem 10 ist durch einen Logik-Controller 12 gesteuert. Der Logik-Controller umfasst einen primären Prozessor und kann ferner einen sekundären Prozessor umfassen. Der Logik-Controller 12 steuert die standard- und sicherheitsrelevanten Funktionen des Fertigungsautomatisierungssystems 10.
Das Fertigungsautomatisierungssystem 10 umfasst eine Vielzahl von Arbeitsplätzen 16 wie z. B. Arbeitszellen. Die Arbeitsplätze können einen Bediener beinhalten oder können einen Roboterbetrieb beinhalten, der keinerlei Unterstützung durch einen Bediener erfordert. Die Steuerung und Ausführung der Verarbeitung der sicherheitsrelevanten Funktionen an jedem der Arbeitsplätze und sicherheitsrelevanten Vorrichtungen im gesamten Fertigungsautomatisierungssystem ist durch den Logik-Controller 12 gesteuert, der in einem Elektroverteilerschrank 18 untergebracht ist.
Eine Vielzahl von Sensoren, die im gesamten Fertigungsautomatisierungssystem 10 angeordnet ist, stellt den Status von sicherheitsrelevanten Ereignissen an jedem der Arbeitsplätze bereit. Sicherheitsrelevante Ereignis se berücksichtigen viele verschiedene Zustände einschließlich der Sicherheit des Bedieners, der Maschinen und des Produkts.
Die folgenden sind nur einige wenige Beispiele für sicherheitsrelevante Vorrichtungen zum Überwachen von sicherheitsrelevanten Zuständen, die in dem Fertigungsautomatisierungssystem verwendet werden können. Es sollte einzusehen sein, dass die hierin beschriebenen Arbeitsplätze und Sicherheitsvorrichtungen nicht alles einschließend, sondern nur als einige Beispiele für Sicherheitsvorrichtungen vorgesehen sind, die in dem Fertigungsautomatisierungssystem 10 verwendet werden. Ein erster Arbeitsplatz 20 umfasst eine abgetastete Fußmatte 22 zum Detektieren, ob ein jeweiliger Bediener auf der Fußmatte steht oder nicht, die den Bediener in einem akzeptablen Abstand von dem Arbeitsplatz anordnet, während der Arbeitsschritt ausgeführt wird. Ein Arbeitsplatz 24 umfasst einen Lichtvorhangsensor 26, der einen Sender und einen Empfänger zum Detektieren eines Gegenstandes umfasst, welcher dass erfasste Signal unterbricht, was anzeigt, dass der Gegenstand in den Arbeitsplatz 24 eindringen kann. Ein Arbeitsplatz 28 umfasst ein Paar Druckknöpfe 30, um zu ermitteln, ob die Hände des Bedieners frei vom Arbeitsplatzbetrieb sind. Ein Arbeitsplatz 32 umfasst einen Türschalter 34, der detektiert, ob eine Tür/Abschirmung 36, die einen Zugang zu den Maschinen des Arbeitsplatzes 32 bereitstellt, geschlossen ist, um den Bediener während des Arbeitsschrittes zu schützen. Ein Arbeitsplatz 38 umfasst einen automatisierten Roboter 40, der Sensoren aufweist, die ermitteln, dass das Produkt von dem Roboter richtig bearbeitet wird.
Not-Aus-Schalter, wie z. B. der allgemein bei 42 gezeigte, können im gesamten Fertigungsautomatisierungssystem 10 für eine manuelle Betätigung durch einen Bediener in dem Fall, dass ein Notzustand besteht, welcher erfordert, dass das Fertigungsautomatisierungssystem sofort in einer sequentiellen Abfolge außer Betrieb genommen wird, angeordnet sein. Zum Beispiel bestimmen ein Sicherheitsstandard und Spezifikationen, wenn ein Notknopf niedergedrückt wird, dass die Leistung in dem Fertigungsautomatisierungssystem in einer sicheren Weise ausgeschaltet wird.
2 veranschaulicht ein Sicherheitslogik-Zertifizierungssystem 50 in Übereinstimmung mit einer bevorzugten Ausführungsform. Ein Testskript 52, welches in 3 auch im Detail gezeigt ist, enthält eine Liste von Testfällen, die sich auf das Testen von sicherheitsrelevanten Vorrichtungen, Schaltern, Modulen, Mensch/Maschine-Schnittstellen und anderen sicherheitsrelevanten Geräten beziehen, die für eine Sicherheitslogik-Zertifizierung getestet werden müssen. Jeder der in 3 gezeigten Testfälle ist durch eine Routine-Bezeichnung gekennzeichnet.
Unter neuerlicher Bezugnahme auf 2 umfasst das Sicherheitslogik-Zertifizierungssystem 50 einen Testszenariogenerator 54. Der Testszenariogenerator 54 erzeugt eine Reihe von detaillierten ausführbaren sicherheitsrelevanten Testszenarien für jeden Fall, der von dem Testskript 52 vorgesehen wird. Ein Beispiel eines Baumdiagramms für ein jeweiliges sicherheitsrelevantes Testszenario ist allgemein in 4 gezeigt. Für jedes sicherheitsrelevante Testszenario wird eine Vielzahl von Logikeingangssignalen zum Testen des Sicherheitslogik-Codes mithilfe des Logik-Controllers 12 erzeugt. Zum Beispiel wird für den als Not-Aus-Routine 55 gekennzeichneten Testfall der Testszenariogenerator 54 eine Vielzahl von ausführbaren detaillierten Testszenarien zum Testen der Not-Aus-Routine erzeugen. Beispiele für die Vielzahl von Szenarien für die Not-Aus-Routine umfassen, sind jedoch nicht beschränkt auf Not-Aus-Knopf drücken, Not-Aus-Knopf freigeben, Spannungsschluss, wenn der Not-Aus-Knopf gedrückt ist, und Beibehalten des Spannungsschlusses, wenn der Not-Aus-Knopf freigegeben ist.
Der Testszenariogenerator 54 kommuniziert mit einer Verarbeitungseinheit 56. Der Testszenariogenerator 54 kann ein von der Verarbeitungseinheit 56 getrenntes Modul sein oder kann als ein Softwareprogramm innerhalb der Verarbeitungseinheit 56 integriert sein. Die sicherheitsrelevanten Testszenarien werden an die Verarbeitungseinheit 56 bereitgestellt. Die Verarbeitungseinheit 56 kann ein Computer oder eine ähnliche Vorrichtung sein. Die Verarbeitungseinheit 56 erzeugt die Logikeingangssignale zum Ausführen der sicherheitsrelevanten Testszenarien über den Sicherheitslogik-Code.
Das Sicherheitslogik-Zertifizierungssystem 50 umfasst ferner einen Teststand 57. Der Teststand 57 umfasst zumindest eine Hardwarevorrichtung zum Erzeugen von Eingangssignalen, die sich auf Betriebseigenschaften des Fertigungsautomatisierungssystems beziehen. Jede entsprechende Hardwarevorrichtung des Teststandes 57 repräsentiert eine jeweilige fertigungs-/montagerelevante Vorrichtung, die in dem Fertigungsautomatisierungssystem verwendet wird. Während eines typischen Fertigungsbetriebes führt die jeweilige Hardwarevorrichtung eine Operation aus, die Eingangssignale erzeugt, welche an den Logik-Controller 12 bereitgestellt werden. Der Logik-Controller 12 erzeugt ein Ansprech-Ausgangssignal auf der Basis der Logikeingangssignale, das durch den Sicherheitslogik-Code ausgeführt wird. Der Teststand 57 reduziert die Komplexität, die Operationen der Hardwarevorrichtungen durch den Testszenariogenerator 54 simulieren zu müssen. Das heißt, der Teststand 57 erzeugt jene jeweiligen Eingangssignale, die typischerweise durch die Fertigungseinrichtungen erzeugt würden und während eines entsprechenden Fertigungsarbeitsschrittes an den Logik-Controller 12 bereitgestellt werden. Darüber hinaus übersteuern die sicherheitsrelevanten Testszenarien, die durch den Testszenariogenerator 54 zum Erzeugen der jeweiligen Eingangssignale, die mit Sicherheitsoperationen in Beziehung stehen, erzeugt werden, die durch den Teststand 57 ausgeführten Fertigungsarbeitsschritte, um sicherheitsrelevante Funktionen des Fertigungsautomatisierungssystems zu testen. In einer alternativen Ausführungsform kann der Teststand 57 vollständig softwarebasiert sein oder er kann eine Kombination aus Software und Hardware zum Simulieren der normalen Fertigungsarbeitsschritte des Fertigungsautomatisierungssystems sein. Überdies kann für einen jeweiligen Teststand, der vollständig softwarebasiert ist, jedes der Module (d. h. der Teststand, der Testszenariogenerator und die Verarbeitungseinheit) als eine einzige Einheit integriert sein.
Die Verarbeitungseinheit 54 kommuniziert mit dem Logik-Controller 12. Die Verarbeitungseinheit 54 erzeugt sicherheitsrelevante Logikeingangssignale in Ansprechen auf die Testszenarien. Die sicherheitsrelevanten Eingangslogiksignale werden mit den Nicht-Sicherheits-Eingangssignalen von dem Teststand 57 zusammengeführt und werden an den Logik-Controller 12 zum Testen des sicherheitsrelevanten Testszenarios über den Sicherheitslogik-Code bereitgestellt.
In Ansprechen auf die sicherheitsrelevanten Eingangslogiksignale und nicht sicherheitsrelevanten Eingangssignale, die durch die Verarbeitungseinheit 54 bereitgestellt werden, führt der Logik-Controller 12 ein jeweiliges sicherheitsrelevantes Testszenario über den Sicherheitslogik-Code aus und gibt das/die jeweilige/n Ausgangs-Ansprechsignal/e aus. Die jeweiligen Ausgangs-Ansprechsignale sind typischerweise ein binäres Logiksignal, um zu befehlen, dass eine sicherheitsrelevante Aktivität durch einen oder mehrere Aktoren in dem Fertigungsautomatisierungssystem gesetzt wird. Auf der Basis der jeweiligen Ausgangs-Ansprechsignale kann das Sicherheitslogik-Zertifizierungssystem 50 das Ansprechen des Logik-Controllers 12 für ein jeweiliges sicherheitsrelevantes Testszenario ermit teln, ohne dass die gesamte Einrichtung des Fertigungsautomatisierungssystems vollständig installiert und in Betrieb sein muss oder eine Person die jeweiligen Vorrichtungen in einer sequenziellen Reihenfolge manuell auslösen muss, um ein jeweiliges sicherheitsrelevantes Testszenario auszuführen.
Ein Kompilierer 58 wie z. B. ein Datenlogger oder eine ähnliche Vorrichtung ist an den Logik-Controller 12 angeschlossen, um die durch den Logik-Controller 12 ausgegebenen Daten zu kompilieren. Die Daten umfassen die durch den Logik-Controller 12 erzeugten Ansprech-Ausgangssignale. Zusätzlich zum Kompilieren der Ansprech-Ausgangssignale von dem Logik-Controller 12 kompiliert der Kompilierer 58 auch die Ausgangs-Ansprechsignale und bildet sie auf ihren zugeordneten Logikeingangssignalen ab.
Ein Zertifizierungsprogramm 60 vergleicht die Ansprech-Ausgangssignale und die zugeordneten Logikeingangssignale mit einem vorbestimmten Standard 62 (z. B. Sicherheitsstandard und -spezifizierung), um einen Bestanden/Nicht-Bestanden-Zustand für jedes der sicherheitsrelevanten Testszenarien zu ermitteln. Es sollte einzusehen sein, dass die Ansprech-Ausgangssignale, wie durch den Logik-Controller 12 ausgegeben, gegebenenfalls nicht direkt mit dem vorbestimmten Standard vergleichbar sind, und infolgedessen können entweder die Ansprech-Ausgangssignale oder der vorbestimmte Standard eine Formatierung erfordern, sodass ein Vergleich zwischen dem Ansprech-Ausgangssignal und dem vorbestimmten Standard durchgeführt werden kann. Wenn die Ansprech-Ausgangssignale und die zugeordneten Logikeingangssignale für ein jeweiliges sicherheitsrelevantes Testszenario mit dem vorbestimmten Standard 62 übereinstimmen, wird das Zertifizierungsprogramm 60 das jeweilige sicherheitsrelevante Testszenario als einen Bestanden-Zustand kennzeich nen, andernfalls, wenn keine Übereinstimmung mit dem vorbestimmten Standard 62 gegeben ist, wird das jeweilige sicherheitsrelevante Testszenario als ein Nicht-Bestanden-Zustand gekennzeichnet. Das Zertifizierungsprogramm 60 befreit eine Person davon, die Ausgangs-Ansprechsignale mit dem vorbestimmten Standard 62 manuell vergleichen zu müssen.
Ein Berichtgenerator 64 erzeugt einen Zertifizierungsbericht 66 in Ansprechen auf das Zertifizierungsprogramm 60, das einen Bestanden/Nicht-Bestanden-Zustand für jedes sicherheitsrelevante Testszenario ermittelt. Der Zertifizierungsbericht 66 stellt eine detaillierte und organisierte Zusammenfassung dessen bereit, ob jedes sicherheitsrelevante Testszenario einen Bestanden- oder Nicht-Bestanden-Zustand empfangen hat.
Eine Datenbank 68 ist vorgesehen, um die durch das Zertifizierungsprogramm 60 erzeugten Ergebnisse für zukünftige Verweise zu speichern. Die gespeicherten Ergebnisse umfassen die abgebildeten Ausgangs-Ansprechsignale und Logikeingangssignale. Die Datenbank 68 kann ein festes oder auswechselbares Plattenlaufwerk, einen RAM, einen Flash-Speicher eines Computersystems, einen an einem Netzwerk angeschlossenen Speicherserver oder ein beliebiges anderes Speichermedium umfassen.
Wie zuvor erläutert, haben bekannte Prozesse zur Zertifizierung des Sicherheitslogik-Codes einen manuellen Prozess verwendet, in dem ein Techniker oder einen Zertifizierungsspezialist involviert ist, der die Sensorvorrichtungen in Übereinstimmung mit einer Testprozedur manuell betätigt und die Ansprech-Ausgangssignale aufzeichnet. Diese Person vergleicht dann die Ergebnisse manuell mit einem vorbestimmten Standard. Als ein Ergebnis dieses manuellen Prozesses kann es nur zu einem einzigen Routinetest im Gegensatz zum Testen mehrerer interaktiver Sicher heitsroutinen kommen. Ein zeitabhängiges Testen durch den manuellen Testprozess ist nicht möglich, da dieser manuelle Testprozess nur ein stationäres Testen unterstützt. Des Weiteren ist das Ausführen einer großen Anzahl an Testszenarien für eine einzelne Person mühsam und die Wiederholbarkeit des Tests ist nicht gewährleistet, da das Testen auf dem Techniker beruht, der die richtigen Sicherheitsvorrichtungen auslöst. Das automatisierte Sicherheitslogik-Zertifizierungssystem minimiert die Wahrscheinlichkeit, dass Fehler auftreten, indem die manuellen Operationen eliminiert sind, die beinhalten, dass die Sensorvorrichtungen manuell betätigt werden, die Ausgangs-Ansprechsignale manuell kompiliert werden, die Testergebnisse manuell verglichen werden und ein Bericht für die Ergebnisse manuell erstellt wird.
5 veranschaulicht ein Verfahren zur Zertifizierung einer Sicherheitslogik in einem Automatisierungsmontageprozess. In Schritt 70 wird ein Testskript auf der Basis der sicherheitsrelevanten Vorrichtungen und deren zugeordneter logischer Programmierung, die eine Zertifizierung benötigt, erzeugt. In Schritt 71 wird das Testskript in den Szenariogenerator eingegeben. In Schritt 72 erzeugt der Szenariogenerator ein jeweiliges sicherheitsrelevantes Testszenario.
In Schritt 73 wird das sicherheitsrelevante Testszenario an eine Verarbeitungseinheit bereitgestellt. Darüber hinaus, wenn ein Teststand verwendet wird, werden die nicht sicherheitsrelevanten Signale, die durch die jeweiligen Hardwarevorrichtungen des Teststandes erzeugt werden, an die Verarbeitungseinheit bereitgestellt. Die Verarbeitungseinheit erzeugt sicherheitsrelevante Logikeingangssignale in Ansprechen auf die Testszenarien. Die Nicht-Sicherheits-Eingangssignale und die sicherheitsrelevanten Eingangssignale werden zusammengeführt, um ein ausführbares sicherheits relevantes Testszenario zu erzeugen, welches durch den Logik-Controller ausgeführt werden kann.
In Schritt 74 werden die nicht sicherheitsrelevanten und die sicherheitsrelevanten Logikeingangssignale von der Verarbeitungseinheit an den Logik-Controller bereitgestellt, um die sicherheitsrelevanten Testszenarien über den Sicherheitslogik-Code auszuführen. In Schritt 75 erzeugt der Logik-Controller 12 in Ansprechen auf die jeweiligen Logikeingangssignale ein Ansprech-Ausgangssignal.
In Schritt 76 kompiliert ein Kompilierer die jeweiligen Ansprech-Ausgangssignale und die zugeordneten Logikeingangssignale. In Schritt 77 analysiert das Zertifizierungsprogramm die kompilierten Daten und ermittelt, ob die abgebildeten Ansprech-Ausgangssignale und die zugeordneten Logikeingangssignale für ein jeweiliges sicherheitsrelevantes Testszenario mit dem vorbestimmten Standard übereinstimmen. Es wird ein Bestanden-Zustand gekennzeichnet, wenn das sicherheitsrelevante Testszenario in Ansprechen auf das Ansprech-Ausgangssignal mit dem vorbestimmten Standard übereinstimmt. Es wird ein Nicht-Bestanden-Zustand gekennzeichnet, wenn das sicherheitsrelevante Testszenario in Ansprechen auf das Ansprech-Ausgangssignal nicht mit dem vorbestimmten Standard übereinstimmt.
In Schritt 78 wird ermittelt, ob ein zusätzliches sicherheitsrelevantes Testszenario eine Verarbeitung erfordert. Wenn ermittelt wird, dass ein zusätzliches sicherheitsrelevantes Testszenario getestet werden soll, erfolgt eine Rückkehr zu Schritt 72, um ein nächstes sicherheitsrelevantes Testszenario zu verarbeiten. Wenn ermittelt wird, dass keine zusätzlichen sicherheitsrelevanten Testszenarien zum Verarbeiten vorhanden sind, dann schreitet der Prozess zu Schritt 79 weiter.
In Schritt 79 werden die Ergebnisse an einen Berichtgenerator bereitgestellt, um einen Bericht zu erzeugen, der eine Zusammenfassung der sicherheitsrelevanten Testszenarien und des Bestanden/Nicht-Bestanden-Zustandes eines jeden sicherheitsrelevanten Testszenarios bereitstellt. In Schritt 80 werden die Ergebnisse auch an ein Speichervorrichtung für zukünftige Verweise bereitgestellt.
Während bestimmte Ausführungsformen der vorliegenden Erfindung im Detail beschrieben wurden, wird ein Fachmann auf dem Gebiet, auf das sich die Erfindung bezieht, verschiedene alternative Ausgestaltungen und Ausführungsformen erkennen, um die Erfindung auszuführen, die durch die nachfolgenden Ansprüche definiert ist.

Claims

Verfahren zur Zertifizierung eines Sicherheitslogik-Codes in einem Fertigungsautomatisierungssystem, welches einen Logik-Controller aufweist, wobei der Logik-Controller Logikeingangssignale zum Ausführen eines Sicherheitslogik-Codes empfängt und Ausgangs-Ansprechsignale in Ansprechen auf die Ausführung des Sicherheitslogik-Codes ausgibt, wobei das Verfahren die Schritte umfasst, dass: (a) eine Vielzahl von sicherheitsrelevanten Testszenarien zum Testen des Sicherheitslogik-Codes in dem Fertigungsautomatisierungssystem vorgesehen wird; (b) eine Verarbeitungseinheit zur Kommunikation mit dem Logik-Controller konfiguriert wird, wobei die Verarbeitungseinheit Logikeingangssignale in Ansprechen auf die Vielzahl von sicherheitsrelevanten Testszenarien erzeugt, die Verarbeitungseinheit die Logikeingangssignale an den Logik-Controller bereitstellt und die Logikeingangssignale die jeweiligen Signale repräsentieren, die durch Sicherheitsvorrichtungen in dem Fertigungsautomatisierungsprozess ausgegeben werden; (c) eine Ausführung der Vielzahl von sicherheitsrelevanten Testszenarien über den Sicherheitslogik-Code in Ansprechen darauf, dass die Verarbeitungseinheit die Logikeingangssignale an den Logik-Controller bereitstellt, ausgelöst wird; (d) Ansprech-Ausgangssignale von dem Logik-Controller in Ansprechen auf die durch den Sicherheitslogik-Code ausgeführten sicherheitsrelevanten Testszenarien erzeugt werden, wobei jedes der Ansprech-Ausgangssignale Signale repräsentiert, die von dem Logik- Controller an jeweilige Aktoren in dem Fertigungsautomatisierungssystem ausgegeben werden; und (e) eine Übereinstimmung des Sicherheitslogik-Codes ermittelt wird, indem Ansprech-Ausgangssignale und zugeordnete Logikeingangssignale an einem vorbestimmten Standard evaluiert werden.
Verfahren nach Anspruch 1, wobei die Vielzahl von sicherheitsrelevanten Testszenarien durch einen Testszenariogenerator erzeugt wird und die Vielzahl von sicherheitsrelevanten Testszenarien von dem Testszenariogenerator an die Verarbeitungseinheit bereitgestellt wird.
Verfahren nach Anspruch 2, wobei ein Testskript an den Testszenariogenerator bereitgestellt wird, um die Vielzahl von sicherheitsrelevanten Testszenarien zu erzeugen.
Verfahren nach Anspruch 3, wobei Eingangssignale, die durch einen Teststand erzeugt werden, weiter an die Verarbeitungseinheit bereitgestellt werden, wobei der Teststand zumindest eine Hardwarevorrichtung zum Erzeugen der an die Verarbeitungseinheit bereitgestellten Eingangssignale umfasst, wobei die zumindest eine Hardwarevorrichtung jeweilige Vorrichtungen in einem jeweiligen Fertigungsautomatisierungssystem repräsentiert.
Verfahren nach Anspruch 3, wobei der Teststand softwarebasiert ist, um jeweilige Hardwarevorrichtungen in einem jeweiligen Fertigungsautomatisierungssystem zu simulieren, wobei der softwarebasierte Teststand, der die Signale an die Verarbeitungseinheit erzeugt, Signale emuliert, die typischerweise durch die jeweiligen Hardwarevorrichtungen bereitgestellt werden.
Verfahren nach Anspruch 1, wobei die Verarbeitungseinheit die Logikeingangssignale in einem Format erzeugt, welches zum Auslösen der Ausführung der sicherheitsrelevanten Testszenarien in dem Logik-Controller konfiguriert ist.
Verfahren nach Anspruch 1, wobei die Ansprech-Ausgangssignale in einem Kompilierer aufgezeichnet werden.
Verfahren nach Anspruch 7, wobei der Kompilierer jeweilige Ausgangs-Ansprechsignale auf jeweilige Logikeingangssignale abbildet.
Verfahren nach Anspruch 8, wobei die kompilierten Ansprech-Ausgangssignale und Logikeingangssignale an ein Zertifizierungsprogramm bereitgestellt werden, um zu ermitteln, ob der Sicherheitslogik-Code mit dem vorbestimmten Standard übereinstimmt.
Verfahren nach Anspruch 7, welches ferner die Schritte umfasst, dass die kompilierten Ansprech-Ausgangssignale und Logikeingangssignale in einer Datenbank gespeichert werden.
Verfahren nach Anspruch 7, wobei das Zertifizierungsprogramm einen Bestanden/Nicht-Bestanden-Status für jedes sicherheitsrelevante Testszenario in Ansprechen auf das Evaluieren der kompilierten Ansprech-Ausgangssignale und Logikeingangssignale an dem vorbestimmten Standard ermittelt.
Verfahren nach Anspruch 11, welches ferner die Schritte umfasst, dass ein Zertifizierungsbericht in Ansprechen auf die Ermittlung des Bestanden/Nicht-Bestanden-Status eines jeden sicherheitsrelevanten Testszenarios erzeugt wird.
Verfahren nach Anspruch 1, wobei der Logik-Controller ein einziges sicherheitsrelevantes Testszenario als eine zeitabhängige Operation ausführt.
Verfahren nach Anspruch 1, wobei der Logik-Controller eine Vielzahl von interaktiven sicherheitsrelevanten Testszenarien als eine zeitabhängige Operation ausführt.
Computerunterstütztes Sicherheitslogik-Zertifizierungssystem zur Zertifizierung eines Sicherheitslogik-Codes in einem Fertigungsautomatisierungssystem, wobei das System umfasst: einen Logik-Controller zum Ausführen von sicherheitsrelevanten Testszenarien über den Sicherheitslogik-Code in dem Fertigungsautomatisierungssystem, wobei der Logik-Controller Ansprech-Ausgangssignale in Ansprechen auf das Ausführen der sicherheitsrelevanten Testszenarien erzeugt; eine Verarbeitungseinheit, die konfiguriert ist, um mit dem Logik-Controller zu kommunizieren, wobei die Verarbeitungseinheit Logikeingangssignale erzeugt und selektiv die Logikeingangssignale an den Logik-Controller zum Ausführen der sicherheitsrelevanten Testszenarien über den Sicherheitslogik-Code bereitstellt; und ein Zertifizierungsprogramm zum Ermitteln einer Übereinstimmung des Sicherheitslogik-Codes durch Evaluierung von Ansprech-Ausgangssignalen und zugeordneten Logikeingangssignalen mit einem vorbestimmten Standard.
System nach Anspruch 15, welches ferner einen Szenariogenerator zum Erzeugen der sicherheitsrelevanten Testszenarien umfasst.
System nach Anspruch 15, welches ferner einen Kompilierer zum Abbilden der Ansprech-Ausgangssignale auf zugeordneten Logikeingangssignalen umfasst.
System nach Anspruch 17, welches ferner eine Datenbank zum Speichern der abgebildeten Ansprech-Ausgangssignale und Logikeingangssignale umfasst.
System nach Anspruch 18, welches ferner einen Berichtgenerator zum Erzeugen eines Zertifizierungsberichts in Ansprechen auf eine Ermittlung des Bestanden/Nicht-Bestanden-Status eines jeden sicherheitsrelevanten Testszenarios umfasst.
System nach Anspruch 19, welches ferner einen Teststand zum Bereitstellen von Eingangssignalen an die Verarbeitungseinheit umfasst, wobei der Teststand zumindest eine Hardwarevorrichtung zum Erzeugen der an die Verarbeitungseinheit bereitgestellten Eingangssignale umfasst, wobei die zumindest eine Hardwarevorrichtung jeweilige Vorrichtungen in einem jeweiligen Fertigungsautomatisierungssystem repräsentiert.
System nach Anspruch 19, welches ferner einen Teststand zum Bereitstellen von Eingangssignalen an die Verarbeitungseinheit umfasst, wobei der Teststand eine Software zum Erzeugen der Eingangssignale an die Verarbeitungseinheit umfasst, wobei die Software Signale emuliert, die typischerweise durch die jeweiligen Hardwarevorrichtungen in einem jeweiligen Fertigungsautomatisierungssystem bereitgestellt werden.
Verfahren zur Zertifizierung einer Sicherheitslogik in einem Fertigungsautomatisierungssystem, welches einen Logik-Controller zum Steuern von Sicherheitsfunktionen aufweist, wobei der Logik-Controller Logikeingangssignale empfängt und Ausgangs-Ansprechsignale ausgibt, wobei das Verfahren die Schritte umfasst, dass: (a) ein Testskript vorgesehen wird; (b) eine Vielzahl von sicherheitsrelevanten Testszenarien zum Testen des Sicherheitslogik-Codes in dem Logik-Controller erzeugt wird, wobei die Vielzahl von sicherheitsrelevanten Testszenarien durch einen Testszenariogenerator auf der Basis des Testskripts erzeugt wird; (c) ein Teststand zum Erzeugen von Eingangssignalen, die sich auf den Betrieb des Fertigungsautomatisierungssystems beziehen, montiert wird, wobei der Teststand zumindest eine Hardwarevorrichtung zum Erzeugen der Eingangssignale an eine Verarbeitungseinheit umfasst, wobei die zumindest eine Hardwarevorrichtung jeweilige Vorrichtungen in einem jeweiligen Fertigungsautomatisierungssystem repräsentiert; (d) eine Verarbeitungseinheit zur Kommunikation mit dem Logik-Controller konfiguriert wird, wobei die Verarbeitungseinheit die sicherheitsrelevanten Testszenarien von dem Testszenariogenerator und die Eingangssignale von dem Teststand zum Erzeugen der Logikeingangssignale empfängt, wobei die Logikeingangssignale von der Verarbeitungseinheit an den Logik-Controller bereitgestellt werden; (e) die Ausführung der Vielzahl von sicherheitsrelevanten Testszenarien über den Sicherheitslogik-Code in Ansprechen auf die von der Verarbeitungseinheit an den Logik-Controller bereitgestellten Logikeingangssignale ausgelöst wird; (f) die Ansprech-Ausgangssignale durch den Logik-Controller in Ansprechen auf die durch den Sicherheitslogik-Code ausgeführten sicherheitsrelevanten Testszenarien erzeugt werden, wobei jedes der Ansprech-Ausgangssignale Signale repräsentiert, die von dem Logik-Controller an jeweilige Aktoren in dem Fertigungsautomatisierungssystem ausgegeben werden; (g) die Ansprech-Ausgangssignale und zugeordnete Eingangslogiksignale in einem Kompilierer aufgezeichnet werden; und (h) eine Übereinstimmung des Sicherheitslogik-Codes ermittelt wird, indem Ansprech-Ausgangssignale und zugeordnete Eingangslogiksignale an einem vorbestimmten Standard evaluiert werden.