DE19920299A1

DE19920299A1 - Verfahren sowie Vorrichtung zur Erfassung, Übertragung und Verarbeitung sicherheitsgerichteter Signale

Info

Publication number: DE19920299A1
Application number: DE19920299A
Authority: DE
Inventors: Gerhard Rumpler; Gerhard Kahle-Nobis; Christof Meier
Original assignee: Siemens AG
Current assignee: Siemens AG
Priority date: 1999-05-03
Filing date: 1999-05-03
Publication date: 2000-11-09
Anticipated expiration: 2019-05-04
Also published as: DE19920299B4; US6711713B1

Abstract

Die Erfindung erlaubt die Anwendung der Funktechnik zur Übertragtung von NOT-AUS-, START-, STOP- sowie Verfahr- und Zustimmungssignalen von industriellen Bearbeitungsmaschinen wie beispielsweise numerisch gesteuerten Werkzeugmaschinen und Robotern über Funk. Auf zusätzliche Sicherungsmaßnahmen von START- und Verfahrenssignalen mittels Zustimmungssignal kann verzichtet werden, sofern die Steuerungsfunktionen entsprechende Sicherheitsanforderungen erfüllen. Dazu werden sicherheitsgerichtete Signale auf Senderseite physikalisch mindestens zweikanalig erfaßt, die erfaßten Daten logisch mindestens zweikanalig in sicherer Technik über Funk übertragen und die empfangenen Daten auf der Empfängerseite ebenfalls physikalisch mindestens zweikanalig verarbeitet und überwacht. Neben den sicherheitsgerichteten Signaldaten werden für Überwachungszwecke zusätzliche Sicherungsdaten erzeugt, mit denen auf Empfängerseite eine Überwachung durch Überprüfung eines Redundanzwertes zur Datensicherung auf Plausibilität sowie kreuzweisen Vergleich der Auswertungsergebnisse etc. vorgenommen wird.

Description

Die Erfindung bezieht sich auf ein Verfahren sowie eine Vor richtung zur Erfassung, Übertragung und Verarbeitung sicher heitsgerichteter Signale mit mindestens einem Erfassungsmit tel, einer Übertragungsstrecke und mindestens einem Signal verarbeitungsmittel.

Zum Steuern von Maschinen in Fertigungsanlagen in der Indu strie, insbesondere von Werkzeugmaschinen und Robotern, wer den Signale von Bediengeräten oder Peripheriegeräten an eine Steuerungseinheit übertragen. Dabei kann es sich bei Bedien- und Peripheriegeräten sowohl um stationäre als auch um mobile Einheiten handeln. Regelmäßig müssen insbesondere sicher heitsrelevante Signale wie NOT-AUS-, NOT-HALT-, START-, STOP-, Zustimmungssignale, Verfahrtasten und sicherheitsge richtete Eingangssignale zuverlässig erfaßt, übertragen und verarbeitet werden, um die Sicherheit des Bedienpersonals, der Maschinen und Anlagen zu gewährleisten. Auch bewegungs auslösende Signale z. B. Achsverfahren, Greifer-Auf und ähnli ches gehören zu dieser Problematik.

Deshalb erfolgt herkömmlicherweise die Übertragung sicher heitsgerichteter Signale im allgemeinen drahtgebunden. Nach dem Stand der Technik erfolgt die Erfassung von NOT-AUS, Zu stimmung und sicherheitsrelevanten Eingangssignalen über dop pelte elektromechanische Schaltelemente. Die Erfassung von Verfahrtasten, START und STOP hingegen erfolgt über einfache elektromechanische, elektrische oder elektronische Schaltele mente.

Für die Übertragung werden die Signale herkömmlicherweise über ein Bussystem, eine serielle Verbindung oder eine paral lele Verbindung oder aber direkt über Leitungen übertragen.

NOT-AUS-Signale werden über zwei Leitungspaare zu sicher heitstechnischen Auslöseeinheiten geführt. Abhängig von der Betriebsart werden an START-, STOP- und Verfahrtasten hinge gen unterschiedliche Sicherheitsanforderungen gestellt. Die Übertragung der START-, STOP- und Verfahrtastensignale er folgt im allgemeinen über das genannte Bussystem, die seriel le oder die parallele Verbindung. Ist mit diesen Signalen ei ne sicherheitstechnische Funktion verbunden, so werden die Signale nur in Zusammenwirkung mit Zustimmtasten wirksam, die über Leitungen zur Auslöseeinheit geführt werden. Solche so genannte Zustimmtasten sind dabei gleichzeitig mit den Ver fahrtasten zu betätigen. Sicherheitsrelevante Eingänge werden über eigene Leitungen geführt.

Die Übertragung selbst erfolgt herkömmlicherweise über ein Kabel, welches neben den notwendigen Signalleitungen übli cherweise auch Versorgungsleitungen für Strom bzw. Spannung für die Bedieneinheit enthält. Das Kabel muß für industrielle Einsatzbedingungen geeignet sein, was bedeutet, daß elektri sche Störungen, mechanische Belastungen und chemische Ein flüsse berücksichtigt werden müssen.

Die Verarbeitung der Signale wie NOT-AUS- und Zustimmsignalen erfolgt elektrisch zweikanalig. Die Verarbeitung der START-, STOP- und Verfahrtasten erfolgt hingegen einkanalig unter Be rücksichtigung eines Zustimmsignals.

Infolge der drahtgebundenen Verbindung zwischen Steuerungs einheit und Bedien- oder Peripheriegeräten ergeben sich als Nachteile insbesondere die Kosten für eine leitungsgebundene Verbindung, der dadurch verbundene Installationsaufwand sowie eine geringere Mobilität, Wartungsaufwand für das Kabel, eine dadurch bedingte Unfallgefahr, sowie die Notwendigkeit der bereits beschriebenen Zustimmtaste.

Aufgabe der vorliegenden Erfindung ist es, ein Verfahren so wie eine Vorrichtung zum Erfassen, Übertragen und Verarbeiten sicherheitsgerichteter Signale zu schaffen, bei denen die im vorangehenden genannten Nachteile vermieden werden können.

Unter sicherheitsgerichteten Signalen werden hierbei solche Signale verstanden, bei welchen Fehler bei der Erfassung, Übertragung und Auswertung zu einem Verlust von Sicherheits funktionen der Maschine und Anlage oder des Prozesses führen können.

Gemäß der vorliegenden Erfindung wird diese Aufgabe durch ein Verfahren zur Erfassung, Übertragung und Verarbeitung sicher heitsgerichteter Signale mit mindestens einem Erfassungsmit tel, einer Übertragungsstrecke und mindestens einem Signal verarbeitungsmittel dadurch gelöst, daß

- sicherheitsgerichtete Signale auf einer Senderseite physi kalisch mindestens zweikanalig erfaßt werden,
- die erfaßten Daten logisch mindestens zweikanalig in siche rer Technik über Funk an eine Empfängerseite übertragen werden und
- die empfangenen Daten auf der Empfängerseite ebenfalls phy sikalisch mindestens zweikanalig verarbeitet und überwacht werden.

Eine entsprechende Vorrichtung zur Lösung der vorangehenden Aufgabe nach der vorliegenden Erfindung ist dadurch gekenn zeichnet, daß

- die Erfassungsmittel für sicherheitsgerichtete Signale auf einer Senderseite physikalisch mindestens zweikanalig aus gestaltet sind,
- eine logisch mindestens zweikanalige Funkstrecke in siche rer Technik mit je einem Funkmodul auf Senderseite und Emp fängerseite vorgesehen ist und
- die Signalverarbeitungsmittel auf der Empfängerseite eben falls physikalisch mindestens zweikanalig ausgestaltet sind.

Durch die vorliegende Erfindung wird somit eine Funkübertra gung von Signalen zur Steuerung von Maschinen, Geräten und Prozessen einschließlich sicherheitsrelevanter Signale wie NOT-AUS, NOT-HALT, START, STOP, Zustimmungssignale, Verfahr tasten und sicherheitsgerichteter Eingangssignale sowie bewe gungsauslösende Signale ermöglicht. Auch wird eine sichere Auswertung der genannten Signale durch Software realisierbar. Weiterhin ist gewährleistet, daß ein einzelner Fehler bei der Erfassung, Übertragung und Auswertung nicht zu einem Verlust von Sicherheitsfunktionen führt.

Nach einer ersten vorteilhaften Ausgestaltung erfolgt die Er fassung der sicherheitsgerichteten Signale, indem redundante Signale beispielsweise mittels doppelter elektromechanischer, elektrischer oder elektronischer Eingabeelemente erzeugt wer den. Die Erfassung verschiedener redundanter Signale erfolgt zweikanalig durch zwei Erfassungsbausteine und ist entweder in Hardware oder in Hard- und Software realisierbar. Mit den erfaßten Signalen werden von jedem Erfassungsbaustein Siche rungsdaten für die Signalübertragung bereitgestellt, die eine Überwachung ermöglicht auf

- falschen Absender oder falschen Empfänger,
- Verfälschung der Daten,
- Verlust von Daten und
- Wiederholung von Daten.

Dabei werden von jedem Erfassungsmittel aus den Signaldaten für Überwachungszwecke zusätzliche Sicherungsdaten erzeugt.

Die Übertragung erfolgt nach einer weiteren vorteilhaften Ausgestaltung der Erfindung durch einen Sendebaustein, je ein Sende- und Empfangsmodul und einen Empfängerbaustein. Sende- und Empfangsbaustein sowie die Funkmodule bestehen jeweils aus verschiedenen Komponenten. Die Funkübertragung erfolgt in digitaler Technik. Die Signalverarbeitung für die Übertragung kann in wesentlichen Teile in Software realisiert sein. Der Sendebaustein übernimmt zyklisch die Signaldaten und die zu gehörigen Sicherungsdaten von beiden Erfassungsbausteinen. Die Daten beider Kanäle werden dann gemeinsam per Funk über tragen. Vom Empfängerbaustein werden die empfangenen Daten beider Kanäle wieder getrennt. Zur Verarbeitung der Daten und zur Ausführung der Überwachungsfunktion erfolgt dann die Wei tergabe der Daten an den jeweiligen Auswerte- und Überwa chungsbaustein für Kanal 1 und Kanal 2.

Die Überwachung und Verarbeitung der Signale erfolgt nach ei ner weiteren vorteilhaften Ausgestaltung der Erfindung eben falls zweikanalig, insbesondere auf zwei separaten Prozesso ren, wie beispielsweise Signalprozessoren. Auf jedem Kanal erfolgt eine Überwachung der Daten nach folgenden Kriterien:

- falscher Absender oder falscher Empfänger,
- Verfälschung der Daten bei der Übertragung,
- Verlust von Daten,
- Wiederholung von Daten und
- Unterbrechung der Daten.

In jedem Kanal erfolgt eine Überwachung eines Zeitkriteriums, was zur Folge hat, daß sicherheitsrelevante Funktionen in der Regel nach einer vorgegebenen Zeitdauer nach Erfassung der Signale ausgelöst werden. Dies wird nach der vorliegenden Er findung gewährleistet, wenn die Signale immer nach einer vor gegebenen Zeitdauer zur Verarbeitung übertragen werden.

In jedem Kanal erfolgt eine Überwachung der Funktionsfähig keit eines NOT-AUS- und STOP-Eingabeelementes sowie der zuge hörigen Funktion des jeweiligen Erfassungsbausteins durch Zwangsdynamisierung.

Der Fehleraufdeckung erfolgt nach der Auswertung in jedem Ka nal durch einen Vergleich der Auswertungsergebnisse.

Die auszulösenden Reaktionen nach Aufdeckung eines Fehlers hängen von verschiedenen Faktoren wie der jeweiligen Anwen dung, dem jeweiligen Sicherheitskonzept, der jeweiligen Ma schine, Steuerung bzw. Anlage ab.

Weiterhin können etwaige Sicherungsverfahren durch Funküber tragung unabhängig von den beschriebenen Überwachung gegebe nenfalls zusätzlich durchgeführt werden.

Die Verarbeitung führt zur Ausführung der durch eingegebene Signale auszulösenden Steuerungsfunktion. Die Ausführung der Steuerungsfunktion kann je nach Sicherheitsanforderung eben falls zweikanalig erfolgen. Die zweikanalige Erfassung, die sichere Übertragung und die zweikanalige Überwachung sowie Verarbeitung ermöglichen den Verzicht auf ein zusätzliches Zustimmungssignal - z. B. eine Zustimmungstaste -, wenn die nachfolgenden Steuerungsfunktionen entsprechend in sicherer Technik ausgeführt sind.

Nach einer weiteren vorteilhaften Ausgestaltung der Erfindung wird zusätzlich zu den Signaldaten und Sicherungsdaten ein Redundanzwert zur Datensicherung ergänzt und übertragen. Ne ben einer Überwachung durch kreuzweisen Datenvergleich beider Kanäle kann die Sicherheit der Übertragung durch eine Plausi bilitätsprüfung dieses Redundanzwertes zur Datensicherung weiter gesteigert werden.

Nach einer weiteren vorteilhaften Ausgestaltung des Verfah rens sowie der Vorrichtung nach der vorliegenden Erfindung wird eine weitere Erhöhung der Sicherheit erreicht, indem je des Datenpaket zusätzlich mit einem Zählerwert versehen wird, welcher auf Senderseite erzeugt wird, wobei der Zählerwert für jedes zu übertragende Datenpaket inkrementiert oder de krementiert wird und der Redundanzwert zur Datensicherung über Signaldaten, Sicherungsdaten und Zählerwert gebildet wird.

Nach einer weiteren vorteilhaften Ausgestaltung des Verfah rens sowie der Vorrichtung gemäß der vorliegenden Erfindung erfolgt eine besonders effiziente Funkübertragung der Daten, indem

- auf der Senderseite jedes Datenpaket in einen impliziten und einen expliziten Datenteil getrennt wird, wobei der im plizite Datenteil solche Daten umfaßt, die auf Empfänger seite bekannt sind, und
- zur Minimierung des zu übertragenden Datenvolumens nur der explizite Teil des Datenpakets per Funk übertragen wird und
- auf der Empfängerseite das Datenpaket aus den bekannten In formationen und dem empfangenen expliziten Teil rekonstru iert wird.

Besonders vorteilhaft kann die Erfindung in der Verbindung mit industriellen Bearbeitungsmaschinen oder Fertigungsanla gen, insbesondere numerisch gesteuerten Werkzeugmaschinen oder Robotern, eingesetzt werden.

Dabei ist neben einer Ausgestaltung in zweikanaliger Technik selbstverständlich auch eine Realisierung mit mehr als zwei Kanälen ebenfalls nach der Lehre gemäß der vorliegenden Er findung möglich.

Der Aufbau einer sicheren Funkdatenverbindung nach der vor liegenden Erfindung läßt sich besonders vorteilhaft durch ein Verfahren realisieren, welches sich dadurch auszeichnet, daß ein Empfänger beim Sender angemeldet wird, indem

- Kommunikationsadressen für Senderseite und Empfängerseite für jeden Kanal eindeutig festgelegt werden,
- eine Funkverbindung zwischen Sender und Empfänger herge stellt wird,
- die Kommunikationsadressen zum Empfänger in Form eines Da tenpakets übertragen werden, wobei der Anmeldevorgang abge brochen wird,
- wenn eine vorgegebenes Zeitfenster überschritten wird oder
- ein Verlust oder eine Wiederholung von Daten auftritt oder
- ein kreuzweiser Vergleich zur Aufdeckung eines Fehlers führt oder
- keine Plausibilität des Redundanzwertes zur Datensicherung erkannt wird.

Aus dem Einsatz des Funksystems zur Übertragung von sicher heitsgerichteten Signalen zur Steuerung von u. a. Maschinen nach der vorliegenden Erfindung ergeben sich somit folgende Vorteile:

- keine Kosten für eine leitungsgebundene Verbindung,
- bei stationären Geräten ein geringerer Installationsauf wand, da keine drahtgebundene Verbindung installiert werden muß,
- bei portablen Geräten eine größere Mobilität, keine Ge wichtsbelastung durch ein Kabel, keine Unfallgefahr durch ein Kabel, kein Wartungsaufwand für ein Kabel und es ent fällt der Aufwand für Zustimmungstaster.

Die Erfindung erlaubt somit die Anwendung der Funktechnik zur Übertragung von NOT-AUS-, START-, STOP- sowie Verfahr- und Zustimmungssignalen über Funk. Auf zusätzliche Sicherung von START- und Verfahrsignalen mittels Zustimmungssignalen - ins besondere Zustimmungstastern - kann verzichtet werden, sofern die Steuerungsfunktionen entsprechende Sicherheitsanforderun gen erfüllen.

Weitere Vorteile und Details der vorliegenden Erfindung erge ben sich anhand der folgenden Darstellung eines vorteilhaften Ausführungsbeispiels und in Verbindung mit den Figuren. In den Figuren sind Elemente mit gleicher Funktionalität der besseren Übersichtlichkeit halber mit gleichen Bezugszeichen gekennzeichnet. Es zeigen:

Fig. 1 ein Blockschaltbild einer Vorrichtung gemäß der vorlie genden Erfindung,

Fig. 2 eine Datenstruktur eines Datenpakets,

Fig. 3 eine Datenstruktur eines Funktelegramms mit zwei logi schen Verbindungen und

Fig. 4 ein Blockschaltbild eines Automatisierungssystems mit einem Handgerät gemäß der vorliegenden Erfindung.

In der Darstellung gemäß Fig. 1 ist ein stark abstrahiertes Blockschaltbild einer Vorrichtung gezeigt, die in der Dar stellung nach Fig. 4 mit einem höheren Detailierungsgrad be schrieben ist. Nach Fig. 1 sind auf der linken Seite Eingabe mittel schematisch skizziert, die mit einer erster und zwei ten Erfassungseinheit EM1 und EM2 verbunden sind. Dem Erfas sungsmittel EM1 ist ein erster Kanal K1 zugeordnet, über den die Ausgangssignale zu einem Sendebaustein S geführt werden. Das gleiche geschieht mit den Ausgangssignalen des Erfas sungsmittels EM2 über einen Kanal K2. Der Sendebaustein S wiederum steuert ein Funkmodul FM1 an, welches über eine Funkverbindung F Daten an ein zweites Funkmodul FM2 sendet bzw. umgekehrt von diesem empfängt. Über das zweite Funkmodul FM2 gelangen die Daten zu einem Empfängerbaustein E, indem sie auf die senderseitig bereits existierenden Kanäle K1 und K2 aufgetrennt werden und über jeden Kanal einem zugeordneten Verarbeitungsmittel VM1 bzw. VM2 zugeführt werden, über wel che dann entsprechende Steuerungsfunktionen ausgelöst werden. Solche Steuerungsfunktionen sind schematisch auf der rechten Seite angedeutet.

Die Darstellung nach Fig. 4 zeigt ein Blockschaltbild mit ei nem Handgerät H und einem Automatisierungssystem A, welches zwei unabhängige Empfangsprozessoren P1 und P2 für eine Da tenübertragung von sicherheitsrelevanten Tasten (NOT-AUS-, START-, STOP-, Verfahrtasten etc.) über Funk realisiert. Als Funktechnik kann z. B. der digitale Datenfunk nach dem Funk standard DECT (Digital enhanced cordless telecommunication) realisert werden. Neben den sicherheitsrelevanten Tasten NOT_AUS, T1 . . . Tn besitzt das Handgerät H eine zusätzliche si cherheitsrelevante Taste für die Inbetriebnahme und für die Initialisierung der Funkverbindung eine Funkanmeldetaste (nicht gezeigt). Die Steuerung A ist mit einem Funkaktivie rungstaster oder -schalter ausgestattet (ebenfalls nicht ge zeigt), welcher in sicherer Technik realisiert ist.

Jede sicherheitsrelevante Taste besitzt zwei Schaltkontakte C, D bzw. C1, D1. Bei START- oder Verfahrtasten liefern die Schaltkontakte zwei invertierte Signale. Ist der Taster nicht betätigt, liefert der eine Kontakt einen High-Pegel, der an dere einen Low-Pegel. NOT-AUS und STOP liefern zwei gleichge richtete Signale, indem beide Kontakte als Öffner ausgeführt sind. In der in der Darstellung nach Fig. 4 beschriebenen Aus führungsform wird der geschlossene Schalterzustand beispiel haft durch Low-Pegel signalisiert. Die zwei Schaltkontakte jedes Schaltelementes NOT_AUS, T1 . . . Tn werden jeweils an ei nen Hardwarebaustein HW1 bzw. HW2 geführt. Jeder Hardwarebau stein setzt die Signalpegel in binäre Daten um. Low zu 0 (NULL) und High zu 1 (EINS). Die Daten werden dann als Ta steninformationen in einem Register DATA für die Übertragung zur Verfügung gestellt. Zusätzlich werden in weiteren Regi stern 11 bis 23 zur Verfügung gestellt:

- Sendeadresse (Sendeprozessor PS) oder Empfängeradresse (Empfangsprozessor P1 bzw. Empfangsprozessor P2) 12 bzw. 22, Zählerwert 13 bzw. 23,
- Redundanzwert zur Datensicherung CRC bzw. CRC2 und
- Länge dieser Daten 11 bzw. 12.

In den Hardwarebausteinen HW1 bzw. HW2 wird bei jedem Lesezu griff ein Zähler-Wert inkrementiert und ein Hardware-Redun danzcheck durch CRC-Bildung über die Länge, Sendeadresse, Empfängeradresse, Zählerwert und Tasteninformation durchge führt (CRC bedeutet Cyclic Redundancy Check, ein dem Fachmann bekanntes Verfahren). Beim Zähler handelt es sich beispiels weise um einen Hardware-Zähler, der bei Verbindungsaufbau mit einem Anfangswert geladen wird. Bei jedem Lesezugriff auf die sicherheitsgerichtete Tasteninformation wird dieser Wert in krementiert (selbstverständlich ist auch eine ständige Dekre mentierung möglich) und der Wert über die Funkstrecke über tragen. Durch den gegenüber der letzten sicherheitsgerichte ten Information inkrementierten Zählerwert wird auf den Emp fängerprozessoren P1 bzw. P2 die Authentizität der Kanalin formation bestätigt.

Vom Sendeprozessor PS werden die Daten beider Hardwarebau steine HW1 und HW2 in einem fest eingestellten Zyklus (z. B. alle 30 msec) ausgelesen und in einem Datenpaket zusammenges faßt. Der Sendeprozessor übergibt dieses Datenpaket an das erste Funkmodul FM1 zur Übertragung über die Funkstrecke F.

Auf der Empfängerseite werden die Daten vom Funkmodul FM2 über die entsprechende Antenne AT2 empfangen und an - hier beispielhaft - Empfangsprozessor P2 übertragen. Der Empfangs prozessor P2 führt die Überwachung der Daten für Kanal K2 durch. Die Daten für Kanal K1 werden an den Empfangsprozessor P1 übergeben und von diesem überwacht.

In der Darstellung nach Fig. 2 ist die Datenstruktur eines solchen Datenpaketes skizziert. Die Daten beider Kanäle K1 und K2 werden in einem Datenpaket zusammengefaßt und dieses über einen Funkkanal wie oben geschildert übertragen. Daten eines Übertragungskanals stellen damit eine logische Verbin dung dar. Das Datenpaket wird dazu in einen implizierten Teil IM_T und einem expliziten Teil EX_T aufgeteilt. Der impli zierte Teil IM_T enthält die Informationen zur Länge 1, Emp fangsadresse 2, Sendeadresse 3 und den höherwertigen Teil MSB des Zählers 4. Der explizite Teil EX_T enthält den niederwer tigen Teil LSB des Zählers 5, die Tasteninformation 6 und den Redundanzwert CRC. Die Darstellung nach Fig. 2 stellt somit die Daten eines Übertragungskanals K1 oder K2 und damit eine logische Verbindung dar. Um die Anzahl der zu senden Daten zu minimieren, werden die Daten des impliziten Teils IM_T nicht übertragen, da diese Daten in den Empfängerprozessoren P1 bzw. P2 hinterlegt und damit bekannt sind.

Dabei dient die Empfängeradresse der eindeutigen Empfänger identifikation bei Auswertung der übertragenen Struktur im Empfangsprozessor P1 bzw. Empfangsprozessor P2. Die Sendea dresse dient der eindeutigen Senderidentifikation bei Auswer tung der übertragenen Struktur im Empfangsprozessor P1 bzw. P2. Der Zähler wurde bereits im vorangehenden erläutert. Der höherwertige Teil MSB des Zählers wird durch Zählerüberläufe auf den Empfängerprozessoren P1 bzw. P2 ermittelt, der voll ständige Zählerwert wird aus höherwertigem Teil MSB und nie derwertigem Teil LSB zurückgewonnen. Die Tasteninformation stellt den EIN/AUS-Zustand der Tastenschaltkontakte dar. Der Redundanzwert CRC wird aus den Elementen Länge, Empfänger adresse, Sendeadresse, Zählerwert und der Tasteninformation gebildet. Als CRC-Polynom wird beispielsweise ein irreduzib les, primitives Polynom verwendet.

Über die Funkstrecke wird der explizite Teil EX_T der obenbe schriebenen Struktur übertragen. Diese Daten beider Kanäle K1 und K2 finden sich in den Nutzdaten des Funk-Telegramms als zwei logische Verbindungen wieder, deren Datenabfolge schema tisch in der Darstellung nach Fig. 3 gezeigt ist. Zusammen mit der nicht sicherheitsrelevanten Information, die zwischen Handgerät H und Automatisierungssystem A ausgetauscht werden soll, hat ein Funk-Telegramm beispielsweise folgenden Aufbau:

Auf ein Funkprotokoll FP folgt der explizite Teil für Kanal 1 EX_K1, darauf der explizite Teil für Kanal 2 EX_K2 und darauf die nicht sicherheitsrelevanten Daten. Nach diesem Nutzdaten- Funk folgt wiederum ein Funk-Protokoll FP usw.

Bevor eine sichere Kommunikation aufgebaut werden kann, muß das Handgerät bei der Steuerung angemeldet werden. Diese An meldung muß für jedes Kommunikationspaar (Handgerät/Steue rung) einmalig durchgeführt werden.

Bei der Anmeldung werden die Kommunikationsadressen für Hand gerät und Automatisierungsgerät eindeutig festgelegt: Für Handgerät und Automatisierungsgerät wird jeweils je Kanal ei ne Sender- bzw. Empfängeradresse festgelegt. Pro Verbindung werden also vier Adressen benötigt. Es besteht dadurch eine eindeutige Zuordnung zwischen Handgerät und Steuerung, die auch durch Anzeigen bzw. durch eine festaufgebrachte Kenn zeichnung signalisiert werden kann. Das Verfahren dieser Adressenvergabe ist im folgenden beschrieben:

Für die Anmeldung erfolgen Bedienhandlungen an folgenden Be dienelementen:
an der Steuerung:

- Funkaktivierungsschalter (z. B. Schlüsselschalter) mit fol genden Stellungen
- 0 AUS
- 1 Anmelden
- 2 Sichere Funkkommunikation

am Handerät

- Funk-Ein-Aus-Taster.

Die Anmeldung muß innerhalb einer fest vorgegebenen Zeit durchgeführt werden (z. B. 60 Sekunden).

1. Funkaktivierungsschalter in Stellung "Anmelden" bringen und Handgerät einschalten, dadurch erfolgt der Aufbau der Funkverbindung. Dieser Vorgang kann durch Eingeben eines Passworts und Sicherheitscodes für Maschine und Handgerät vor Mißbrauch oder versehentlicher Ausführung geschützt werden.
2. Für das Anmeldeverfahren sind die Adressen von Sender und Empfänger immer gleich (siehe unten). Die verwendeten Adreßwerte 01h und Feh sind bei der späteren Adreßbestim mung ausgeschlossen. Vom Handgerät werden eine fest vorge gebene Anzahl von Anmelde-Datenblöcken (z. B. 200) gesen det. Die Anmelde-Datenblöcke sind gemäß der oben beschrie benen Datenstruktur (Fig. 2) beispielhaft mit folgenden Werten aufgebaut:
- - Sender 1 = Feh
- - Sender 2 = 01h
- - Empfänger 1 = 01h
- - Empfänger 2 = Feh
- - Zählerwert = F000 0000h
Von beiden Empfängerprozessoren erfolgt eine Überwachung nach allen weiter unten beschriebenen Kriterien. Jeder er kannte Fehler führt zum Abbruch der Anmeldung.
3. Während Anmelde-Datenblöcke gesendet werden, ist am Hand gerät die Funk-Ein-Aus-Taste (sicherheitsrelevant) für ei ne begrenzte Zeit (z. B. 1 Sekunde) zu betätigen. Während dieser Zeit ist an der Steuerung der Funkaktivierungs schalter in Stellung 2 zu bringen.
4. Ausgelöst durch den Funkaktivierungsschalter werden von einem Empfangsprozessor nacheinander vier Zufallszahlen generiert und an das Handgerät übermittelt. Für die Zahlen gilt: 01H < Zufallszahl < Feh, d. h. die Werte 0, 1, 254 und 255 sind ausgeschlossen.
5. Vom Handgerät wird dann eine fest vorgegebene Anzahl von Datenblöcken (z. B. 2 Datenblöcke) gesendet, wobei im er sten Datenblock der erste Zufallswert als Senderadresse 1 angenommen wird und dieser erste Zufallswert gleichzeitig im expliziten Teil als Zählerwert übermittelt wird. In weiteren Datenblöcken wird dieser Zählerwert inkremen tiert.
6. Vom Handgerät wird dann eine fest vorgegebene Anzahl von Datenblöcken (z. B. 2 Datenblöcke) gesendet, wobei im er sten Datenblock der zweite Zufallswert als Senderadresse 2 angenommen wird und dieser zweite Zufallswert gleichzeitig im expliziten Teil als Zählerwert übermittelt wird. In weiteren Datenblöcken wird dieser Zählerwert inkremen tiert.
7. In der gleichen Weise werden die Empfängeradressen in wei teren Datenblöcken an die Empfängerprozessoren zurücküber mittelt.
8. Vom Handgerät werden dann Datenblöcke mit dem folgenden Aufbau gesendet:
- - Sender 1 wie festgelegt
- - Sender 2 wie festgelegt
- - Empfänger 1 wie festgelegt
- - Empfänger 2 wie festgelegt
  Als erster Zählerwert ist festgelegt:
- - Zählerwert = der fortlaufend inkrementierte zuletzt ein getragene Wert.
Von beiden Empfängerprozessoren erfolgt eine Überwachung nach allen weiter unten beschriebenen Kriterien. Jeder er kannte Fehler führt zum Abbruch der Initialisierung.
9. Nun muß die Anmeldung durch folgende Bedienhandlung been det werden: Am Handgerät ist die Funk-Ein-Aus-Taste (si cherheitsrelevant) für eine begrenzte Zeit (z. B. 1 Sekun de) zu betätigen. Während dieser Zeit ist an der Steuerung der Funkaktivierungsschalter in die Stellung 0 zu bringen.

Von beiden Empfängerprozessoren erfolgt bei allen Datenblöcken eine Überwachung nach allen weiter unten beschriebenen Kriterien. Jeder erkannte Fehler führt zum Abbruch der Anmel dung. Ausnahmen sind die Schritte 5 bis 7. Die Änderung der impliziten Adressen erkennen die Empfängerprozessoren anhand eines Fehlers bei der CRC-Überprüfung. Hier wird dann erwar tet, daß der jeweils folgende Datenblock allen Überwachungs kriterien wieder genügt.

Zusätzlich wird von den Empfängerprozessoren überwacht, daß das ganze Anmeldungsverfahren innerhalb der obengenannten fest vorgegebenen Zeit abgeschlossen wird. Sonst erfolgt ebenfalls ein Abbruch.

Damit sind die zum Aufbau einer sicheren Verbindung benötig ten Adressen zwischen Sender und Empfänger eindeutig festge legt.

Zur Initialisierung der Kommunikation:
Zum Aufbau einer sicheren Verbindung muß die folgende Initia lisierung durchgeführt werden.

1. Durch eine Bedienhandlung am Handgerät (Auswahl der Ma schine) wird die Funk-Verbindung aufgebaut. Vom Handgerät werden Datenblöcke gemäß der oben beschriebenen Daten struktur mit folgenden Daten gesendet:
- - Sender 1 wie bei Anmeldung festgelegt
- - Sender 2 wie bei Anmeldung festgelegt
- - Empfänger 1 wie bei Anmeldung festgelegt
- - Empfänger 2 wie bei Anmeldung festgelegt
- - Zählerwert = 0000 0000h
Von beiden Empfängerprozessoren erfolgt eine Überwachung nach allen weiter unten beschriebenen Kriterien. Jeder er kannte Fehler führt zum Abbruch der Initialisierung.
2. Innerhalb einer fest vorgegebenen Zeit (z. B. 60 Sekunden) ist am Handgerät die Funk-Ein-Aus-Taste (sicherheitsrele vant) für eine begrenzte Zeit (z. B. 1 Sekunde) zu betäti gen. Während dieser Zeit ist an der Steuerung der Funkak tivierungsschalter in Stellung 2 zu bringen. Damit ist die sichere Verbindung aufgebaut.

Von beiden Empfängerprozessoren erfolgt eine Überwachung nach allen weiter unten beschriebenen Kriterien. Jeder erkannte Fehler führt zum Abbruch der Initialisierung.

Zum Abbau der Kommunikation:
Der gezielte Abbau der Verbindung erfolgt durch abermalige Betätigung der Funk-Ein-Aus-Taste am Handgerät und Ausschal ten am Funkaktivierungsschalter (Stellung 0).

Überwachung und Auswertung der Daten auf Empfängerseite:
Auf der Empfängerseite erfolgt die Überwachung und Bearbei tung der Daten auf zwei unabhängigen Prozessoren (Empfangs prozessor 1 und Empfangsprozessor 2) in gleicher Weise.

Plausibilitätsüberprüfung der Längenangabe:
Die Längenangabe wird nicht übertragen, sondern ist Bestand teil des impliziten Teils der Daten. Der Wert ist, wie oben beschrieben, fest vorgegeben. Die Ermittlung der Position der Daten, des Zählerwertes und des CRC-Wertes im expliziten Teil der Daten erfolgt mit Hilfe des vorgegebenen Längenwertes. Die Richtigkeit der ausgelesenen Werte hängt also von der Richtigkeit des Längenwertes ab. Durch die im folgenden be schriebene Überprüfung der übertragenen Werte erfolgt also gleichzeitig eine Überprüfung des Längenwertes.

Überprüfung auf Verfälschung der Daten:
Die Überprüfung auf Verfälschung der Daten erfolgt mittels des übertragenen CRC-Anhangs. Auf der Empfängerseite wird aus den impliziten Daten

- Länge
- Empfängeradresse
- Senderadresse
- Zählerwert (3 MSB)

und den übertragenen expliziten Daten

- Zählerwert (1 LSB)
- Sichere-Tastensignale

ein CRC-Vergleichswert bestimmt (wie oben beschrieben). Die ser wird mit dem übertragenen CRC-Wert verglichen.

Überprüfung von Sender- und Empfängeradresse:
Empfänger- und Absenderadressen werden nicht übertragen, ge hen aber in die CRC-Bestimmung ein. Deshalb ist die oben be schriebene Überprüfung auf Verfälschung der Daten gleichzei tig eine Überprüfung der richtigen Sender- und Empfänger adressen.

Überprüfung auf Verlust und Wiederholung von Daten:
Durch Vergleich des Zählerwertes des aktuellen Datenpaktes mit dem Zählerwert des vorherigen Datenpaktes, wird die Auf einanderfolge von Datenpakten ermittelt und damit ein Verlust oder eine Wiederholung von Datenpaketen erkannt.

Überprüfung auf Übertragungsstörung:
Eine Unterbrechung der Funkverbindung bzw. der gesamten Kom munikationsstrecke wird durch eine Lebenszeichenüberwachung realisiert. Es wird erwartet, daß regelmäßig Datenpakte emp fangen werden. Für den maximalen zeitlichen Abstand zweier aufeinanderfolgender Pakete wird eine Zeitdauer festgelegt. Wird diese Zeit überschritten, so gilt die Übertragung als gestört.

Kreuzweiser Vergleich:
Zur weiteren Fehleraufdeckung wird zwischen beiden Kanälen ein kreuzweiser Datenvergleich durchgeführt.

Wird nach den obengenannten Kriterien ein Fehler erkannt, so erfolgt kein Aufbau der Verbindung. Wird kein Fehler erkannt, so gilt die Verbindung als sicher und es erfolgt eine erste Auswertung der Signal- bzw. Tastendaten.

Claims

1. Verfahren zur Erfassung, Übertragung und Verarbeitung si cherheitsgerichteter Signale mit mindestens einem Erfassungs mittel (EM1, EM2), einer Übertragungsstrecke (FM1, F, FM2) und mindestens einem Signalverarbeitungsmittel (VM1, VM2), da durch gekennzeichnet, daß

- sicherheitsgerichtete Signale auf einer Senderseite (S) physikalisch mindestens zweikanalig (K1, K2) erfaßt (EM1, EM2) werden,
- die erfaßten Daten logisch mindestens zweikanalig in siche rer Technik über Funk (FM1, F, FM2) an eine Empfängerseite (E) übertragen werden und
- die empfangenen Daten auf der Empängerseite (E) ebenfalls physikalisch mindestens zweikanalig (K1, K2) verarbeitet (VM1, VM2) und überwacht werden.

2. Verfahren nach Anspruch 1, dadurch gekenn zeichnet, daß zur mindestens zweikanaligen Verarbei tung als Signaldaten redundante Signale mittels mindestens doppelter elektromechanischer, elektrischer oder elektroni scher Eingabeelemente (T1, Tn, NOT_AUS) erzeugt werden und von jedem Erfassungsmittel (EM1, EM2) aus den Signaldaten für Überwachungszwecke zusätzliche Sicherungsdaten erzeugt wer den, die eine Überwachung ermöglichen auf

- falschen Sender oder falschen Empfänger und/oder
- Verfälschung der sicherheitsgerichteten Daten und/oder
- Verlust von Daten und/oder
- Wiederholung von Daten.

3. Verfahren nach Anspruch 1 oder 2, dadurch ge kennzeichnet, daß die Funkübertragung in digita ler Technik erfolgt, wobei

- Signaldaten und Sicherungsdaten zyklisch erfaßt werden,
- ein Datenpaket aus den Signaldaten und Sicherungsdaten bei der Kanäle (K1, K2) gebildet wird, welches durch einen Red undanzwert zur Datensicherung (CRC) ergänzt wird, und
- dieses Datenpaket per Funk zur Empfängerseite übertragen wird.

4. Verfahren nach Anspruch 1 oder 2 oder 3, dadurch gekennzeichnet, daß auf Empfängerseite für je des empfangene Datenpaket die

- Signaldaten und Sicherungsdaten beider Kanäle (K1, K2) wie der getrennt werden,
- eine Überprüfung des Redundanzwertes zur Datensicherung (CRC) auf Plausibilität erfolgt,
- in jedem Kanal (K1, K2) ein Vergleich der Auswertungsergeb nisse erfolgt und
- bei Korrektheit der Auswertung die empfangenen Signaldaten und Sicherungsdaten für den jeweils zugeordneten Kanal (K1, K2) zur Verarbeitung der sicherheitsgerichteten Daten und zu Überwachungszwecken an die zugeordneten Signalverarbei tungsmittel (VM1, VM2) weitergeleitet werden.

5. Verfahren nach einem der Ansprüche 2 bis 4, dadurch gekennzeichnet, daß auf der Empfängerseite in jedem Kanal die empfangenen Signaldaten und Sicherungsdaten überwacht werden auf

- falschen Sender oder falschen Empfänger und/oder
- Verfälschung der sicherheitsgerichteten Daten und/oder
- Verlust von Daten und/oder
- Wiederholung von Daten und/oder
- Unterbrechung der Übertragung.

6. Verfahren nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, daß in jedem Kanal (K1, K2) die Funktionsfähigkeit von Not-Aus- oder Stop-Eingabemitteln (NOT_AUS) und der zugehörigen Funktion der Erfassungsmittel (EM1, EM2) durch eine Zwangsdynamisierung überwacht werden.

7. Verfahren nach einem der Ansprüche 3 bis 6, dadurch gekennzeichnet, daß jedes Datenpaket zusätzlich mit einem Zählerwert versehen wird, welcher auf Senderseite erzeugt wird, wobei der Zählerwert für jedes zu übertragende Datenpaket inkrementiert oder dekrementiert wird und der Red undanzwert zur Datensicherung (CRC) über Signaldaten, Siche rungsdaten und Zählerwert gebildet wird.

8. Verfahren nach einem der Ansprüche 3 bis 7, dadurch gekennzeichnet, daß

- auf der Senderseite jedes Datenpaket in einen impliziten (IM_T) und einen expliziten (EX_T) Datenteil getrennt wird, wobei der implizite Datenteil (IM_T) solche Daten umfaßt, die auf Empfängerseite bekannt sind, und
- zur Minimierung des zu übertragenden Datenvolumens nur der explizite Teil (EX_T) des Datenpakets per Funk übertragen wird und
- auf der Empfängerseite das Datenpaket aus den bekannten In formationen und dem empfangenen expliziten Teil (EX_T) re konstruiert wird.

9. Verfahren zum Aufbau einer sicheren Funkdatenverbindung nach einem der vorangehenden Ansprüche 3 bis 8, dadurch gekennzeichnet, daß ein Empfänger (E) beim Sender (S) angemeldet wird, indem

- Kommunikationsadressen für Senderseite und Empfängerseite für jeden Kanal (K1, K2) eindeutig festgelegt werden,
- eine Funkverbindung zwischen Sender (S) und Empfänger (E) hergestellt wird,
- die Kommunikationsadressen zum Empfänger (E) in Form eines Datenpakets übertragen werden, wobei der Anmeldevorgang ab gebrochen wird,
- wenn eine vorgegebenes Zeitfenster überschritten wird oder
- ein Verlust oder eine Wiederholung von Daten auftritt oder
- ein kreuzweiser Vergleich zur Aufdeckung eines Fehlers führt oder
- keine Plausibilität des Redundanzwertes zur Datensicherung (CRC) erkannt wird.

10. Verfahren nach einem der vorstehenden Ansprüche, dadurch gekennzeichnet, daß als si cherheitsgerichtete Signale Not-Aus und/oder Not-Halt und/oder bewegungsauslösende Signale und/oder Zustimmungs signale für Steuerungszwecke in der Industrieautomatisierung vorgesehen sind.

11. Vorrichtung zur Erfassung, Übertragung und Verarbeitung sicherheitsgerichteter Signale mit mindestens einem Erfas sungsmittel (EM1, EM2), einer Übertragungsstrecke (FM1, F, FM2) und mindestens einem Signalverarbeitungsmittel (VM1, VM2), dadurch gekennzeichnet, daß

- die Erfassungsmittel (EM1, EM2) für sicherheitsgerichtete Signale auf einer Senderseite (S) physikalisch mindestens zweikanalig (K1, K2) ausgestaltet sind,
- eine logisch mindestens zweikanalige Funkstrecke (F) in si cherer Technik mit je einem Funkmodul (FM1, FM2) auf Sender seite (5) und Empfängerseite (E) vorgesehen ist und
- die Signalverarbeitungsmittel (VM1, VM2) auf der Empänger seite (E) ebenfalls physikalisch mindestens zweikanalig (K1, K2) ausgestaltet sind.

12. Vorrichtung nach Anspruch 11, dadurch ge kennzeichnet, daß zur Erzeugung redundanter Si gnale mindestens doppelte elektromechanische, elektrische oder elektronische Eingabeelemente (T1, Tn, NOT_AUS) vorgesehen sind und die Erfassungsmittel (EM1, EM2) so ausgestaltet sind, daß aus den Signaldaten für Überwachungszwecke zusätzliche Sicherungsdaten erzeugbar sind, die eine Überwachung ermögli chen auf

13. Vorrichtung nach Anspruch 11 oder 12, dadurch gekennzeichnet, daß die Funkübertragung in di gitaler Technik erfolgt, wobei

- durch die Erfassungsmittel (EM1, EM2) die Signaldaten und Sicherungsdaten zyklisch erfaßbar sind,
- ein Sendebaustein (PS) vorgesehen ist, durch den ein Daten paket aus den Signaldaten und Sicherungsdaten beider Kanäle (K1, K2) gebildet wird, welches durch einen Redundanzwert zur Datensicherung (CRC) ergänzt wird, und
- dieses Datenpaket per Funk zur Empfängerseite übertragen wird.

14. Vorrichtung nach Anspruch 11 oder 12 oder 13, da durch gekennzeichnet, daß auf Empfänger seite mindestens zwei Empfängerbausteine (P1, P2) vorgesehen sind, durch die für jedes empfangene Datenpaket die

15. Vorrichtung nach einem der Ansprüche 12 bis 14, da durch gekennzeichnet, daß auf der Emp fängerseite Überwachungsmittel vorgesehen sind, mit denen in jedem Kanal die empfangenen Signaldaten und Sicherungsdaten überwachbar sind auf

16. Vorrichtung nach Anspruch 15, dadurch ge kennzeichnet, daß die Empfängerbausteine (P1, P2 auch die Funktion der Überwachungsmittel übernehmen.

17. Vorrichtung nach einem der Ansprüche 11 bis 16, da durch gekennzeichnet, daß in jedem Ka nal (K1, K2) die Funktionsfähigkeit von Not-Aus- oder Stop- Eingabemitteln (NOT_AUS) und der zugehörigen Funktion der Er fassungsmittel (EM1, EM2) durch Mittel zur Zwangsdynamisie rung überwacht werden.

18. Vorrichtung nach einem der Ansprüche 13 bis 17, da durch gekennzeichnet, daß jedes Datenpa ket zusätzlich mit einem Zählerwert versehen wird, welcher auf Senderseite erzeugt wird, wobei der Zählerwert für jedes zu übertragende Datenpaket inkrementiert oder dekrementiert wird und der Redundanzwert zur Datensicherung (CRC) über Si gnaldaten, Sicherungsdaten und Zählerwert gebildet wird.

19. Vorrichutng nach einem der Ansprüche 13 bis 18, da durch gekennzeichnet, daß

- durch den Sendebaustein (PS) jedes Datenpaket in einen im pliziten (IM_T) und einen expliziten (EX_T) Datenteil ge trennt wird, wobei der implizite Datenteil (IM_T) solche Daten umfaßt, die auf Empfängerseite bekannt sind, und
- zur Minimierung des zu übertragenden Datenvolumens nur der explizite Teil (EX_T) des Datenpakets per Funk übertragen wird und
- durch mindestens einen der Empfängerbausteine (P1, P2) das Datenpaket aus den bekannten Informationen und dem empfan genen expliziten Teil (EX_T) rekonstruiert wird.

20. Industrielle Bearbeitungsmaschine oder Fertigungsanlage mit einer Vorrichtung nach einem der Ansprüche 11 bis 19, insbesondere eine numerisch gesteuerte Werkzeugmaschine oder ein Roboter.