DE19928984A1 - Bussystem mit abgesicherten Ausgängen - Google Patents

Abstract

Ein im Bussystem installierter Sicherheitsmonitor (Si) vergleicht als sichere Einheit die gewollten Schaltzustände der Ausgänge (A) mit den von den Slaves (S1) rückgemeldeten Schaltzuständen und schaltet bei Abweichungen übergeordnet die elektrische Energieversorgung der angeschlossenen Verbraucher (V) ab. Hierbei ist lediglich die Übertragung des Schaltzustands vom Ausgang (A) zu überwachen, wofür es kostengünstige Lösungen gibt. Der Ausgang (A) des Slaves (S1) braucht nicht sicher zu sein.

Description

Die Erfindung bezieht sich auf ein Bussystem mit einem Kommu­ nikationsbus, z. B. einen Zweidraht-Bus, an den mehrere Slaves angeschlossen sind, die jeweils über einen Ausgang zur Zu- und Abschaltung eines Verbrauchers an ein elektrisches Ener­ gieversorgungsnetz verfügen und die jeweils eine Auswerteein­ heit aufweisen, durch die abhängig von über den Bus übertra­ genen und vom Slave empfangenen Schaltbefehlen, die in Form von Mehrbitworten für die verschiedenen Slaves unterschied­ lich kodiert sind, der Ausgang des angesprochenen Slaves ent­ sprechend ansteuerbar ist.

Außerdem bezieht sich die Erfindung auf ein Verfahren zur Ge­ währleistung sicherer Schaltzustände der Ausgänge von an ei­ nen Kommunikationsbus geschalteten Slaves, die ihre Ausgänge aufgrund nicht sicherer Schaltbefehle schalten, die die Sla­ ves nach Übertragung über den Bus empfangen.

Ein gattungsgemäßes Bussystem ist bereits bekannt. Es umfaßt gemäß Fig. 1 einen Kommunikationsbus B sowie einen Master M und mehrere Slaves S1, die an den Kommunikationsbus B ge­ schaltet sind. Die Slaves S1 sind durch redundanten Aufbau sicher ausgeführt und weisen jeweils einen sicheren Ausgang A mit jeweils zwei in jeder Strombahn seriell geschalteten Schaltkontakten auf, über den ein Verbraucher V an ein elek­ trisches Energieversorgungsnetz E zuschaltbar bzw. von diesem abschaltbar ist. Der Master M, der den Ablauf der Datenüber­ tragung über das Bussystem steuert, ist im vorliegenden Bei­ spiel mit einer übergeordneten, sicheren speicherprogrammier­ baren Steuerung SPS verbunden. Üblicherweise werden die Schaltzustände der Ausgänge A der Slaves S1 von der sicheren speicherprogrammierbaren Steuerung SPS durch Schaltbefehle EIN/AUS bzw. 0/1 über den Kommunikationsbus B gesteuert. Da der EIN-Schaltzustand der unsichere bzw. gefährliche Anlagen­ zustand ist, genügt es sicherzustellen, daß die Übertragung des EIN-Schaltbefehls von der sicheren speicherprogrammierba­ ren Steuerung SPS zum sicheren Slave S1 abgesichert wird. Hierzu wird in der sicheren speicherprogrammierbaren Steue­ rung SPS zum Einschalten eines Slaves S1 eine nur für diesen gültige Codesequenz erzeugt, die dem Slave S1 mit sicherem Ausgang A bekannt ist. Nur bei Übereinstimmung der empfange­ nen Codesequenz mit der erwarteten Codesequenz schaltet der sichere Ausgang A ein. Dies bedeutet einen erheblichen schal­ tungstechnischen Aufwand, da für jeden Slave mit sicherem Ausgang Vergleicher und Ausgang zweikanalig ausgestaltet sein müssen, um die Sicherheit zu garantieren.

Um abgesicherte Ausgänge A nach bisherigem Stand der Technik zu erhalten, sind sichere Slaves S1 mit sicheren Ausgängen A und wie oben beschrieben eine abgesicherte Übertragung der Schaltbefehle von der sicheren speicherprogrammierbaren Steuerung SPS zu den sicheren Slaves S1 erforderlich. Der ab­ gesicherte Übertragungsweg für die Schaltbefehle ist in Fig. 1 punktiert dargestellt. Die sicheren Ausgänge A werden dadurch gewährleistet, daß in jeder Strombahn des zugehörigen Last­ schalters jeweils zwei seriell geschaltete Kontakte vorgese­ hen sind, deren einwandfreie Funktion durch aufwendige Prüf­ routinen sichergestellt werden muß.

Zur Übertragung und Verarbeitung der Schaltsignale ist hard­ ware- und softwaremäßig ein redundanter Aufbau notwendig, der mit hohem Kostenaufwand verbunden ist.

Daher liegt der Erfindung die Aufgabe zugrunde, ein Bussystem der obengenannten Art zur Gewährleistung abgesicherter Aus­ gänge mit möglichst geringem Aufwand zu schaffen.

Eine weitere Aufgabe besteht darin, ein möglichst einfaches und kostengünstiges Verfahren zur Gewährleistung abgesicher­ ter Ausgänge anzugeben.

Die erste Aufgabe wird dadurch gelöst, daß an den Kommunika­ tionsbus ein Sicherheitsmonitor mit einem sicheren Ausgang zur übergeordneten Zu- und Abschaltung des elektrischen Ener­ gieversorgungsnetzes angeschlossen ist, daß im Sicherheitsmo­ nitor der Soll-Schaltzustand der Ausgänge der Slaves als ab­ gesicherte Information vorliegt, daß in dem Sicherheitsmoni­ tor ein Vergleicher vorhanden ist, der zum Vergleich des ab­ gesicherten Soll-Schaltzustands mit dem abgesicherten Ist- Schaltzustand des Ausgangs eines der Slaves, der seinen Ist- Schaltzustand an den Sicherheitsmonitor abgesichert rückmel­ det, dient, um bei Abweichung zwischen abgesichertem Soll- Schaltzustand und abgesichertem Ist-Schaltzustand über den sicheren Ausgang des Sicherheitsmonitors eine Abschaltung des elektrischen Energieversorgungsnetzes zu bewirken.

Im Gegensatz zur bisher bekannten Lösung, bei der in jedem Slave ein Vergleicher und Schaltausgang mit entsprechendem Schaltungsaufwand ausgestattet sein muß, ist dies bei der vorliegenden Erfindung nur im Sicherheitsmonitor erforder­ lich. Ein Vergleicher im Sicherheitsmonitor übernimmt demnach die Überwachung von gewollten und rückgemeldeten Schaltzu­ ständen für alle im Bus installierten Slaves. Dies bedeutet, daß der hohe Schaltungsaufwand für die Sicherheitstechnik in einem Gerät konzentriert und die Slaves kostengünstig reali­ siert werden können.

Die weitere, ein Verfahren zur Gewährleistung sicherer Schaltzustände betreffende Aufgabe wird dadurch gelöst, daß die Slaves den jeweiligen Ist-Schaltzustand ihres Ausgangs in - Form eines Mehrbitworts an einen an den Kommunikationsbus ge­ schalteten Sicherheitsmonitor rückmelden, in dem die Soll- Schaltzustände der Ausgänge der Slaves abgesichert vorliegen, daß im Sicherheitsmonitor nach Überprüfung des von einem der Slaves rückgemeldeten Mehrbitworts dessen Ist-Schaltzustand gesichert vorliegt und daß bei Abweichen zwischen Soll- und Ist-Schaltzustand die elektrische Energieversorgung zu den Ausgängen der Slaves übergeordnet unterbrochen wird.

Bei dieser Lösung ist die Überwachung für alle Slaves im Si­ cherheitsmonitor konzentriert. Der zusätzliche Sicherheitsmo­ nitor ermöglicht die Überwachung unabhängig von der Anzahl der Slaves ohne hohen Schaltungsaufwand. Mit einer steigenden Anzahl der Slaves wächst lediglich der softwaremäßige Auf­ wand.

Vorteilhafte Weiterbildungen der Erfindung sind den Unteran­ sprüchen zu entnehmen.

Ein Ausführungsbeispiel der Erfindung wird im folgenden an­ hand einer Zeichnung näher erläutert. Es zeigen:

Fig. 2 ein erfindungsgemäßes Bussystem und

Fig. 3 eine Codetabelle zur Absicherung einer Datenüber­ tragung.

Das erfindungsgemäße Bussystem gemäß Fig. 2 weist einen Kommu­ nikationsbus B sowie einen Master M und mehrere Slaves S1 auf, die an den Kommunikationsbus B geschaltet sind. Der Ma­ ster M ist in bekannter Weise hier mit einer übergeordneten, sicheren speicherprogrammierbaren Steuerung SPS verbunden, die zum Schalten von Ausgängen A der Slaves S1 an diese über den Master M und den Kommunikationsbus B entsprechende Schaltbefehle überträgt. Die Ausgänge A dienen zur Zu- und Abschaltung von Verbrauchern V an ein elektrisches Energie­ versorgungsnetz E. Um abgesicherte Ausgänge A zu erhalten, ist es hier nicht erforderlich, die Slaves S1 und die Ausgän­ ge A sicher, d. h. mit redundantem Aufbau auszuführen. Gegen­ über dem bisherigen Stand der Technik ist an den Kommunikati­ onsbus B zusätzlich ein Sicherheitsmonitor Si mit einem si­ cheren Ausgang As geschaltet, mit dem als Hauptschalter die elektrische Energieversorgung der über die Ausgänge A nach­ geschalteten Verbraucher V unterbrochen werden kann. Die von der sicheren speicherprogrammierbaren Steuerung SPS an den Master M gegebenen Schaltbefehle werden von dort über den Kommunikationsbus B an die Slaves S1 und an den Sicherheits­ monitor Si übertragen. Mit den in Form von Mehrbitworten ver­ schlüsselten Schaltbefehlen wird der Soll-Schaltzustand des Ausgangs A des jeweils angesprochenen Slaves S1 vorgegeben. Im angesprochenen Slave S1 erfolgt daraufhin durch eine Aus­ werteinheit Au eine entsprechende Ansteuerung seines Ausgangs A, dessen neuer Ist-Schaltzustand vom zugehörigen Slave S1 an den Sicherheitsmonitor Si rückgemeldet wird. Der Sicherheits­ monitor Si ist eine sichere Einheit, die den ihm über den Kommunikationsbus B mitgeteilten Soll-Schaltzustand mit dem ihm vom angesprochenen Slave S1 rückgemeldeten Ist-Schaltzu­ stand in einem Vergleicher Ver vergleicht und bei Abweichun­ gen über seinen sicheren Ausgang As übergeordnet die elektri­ sche Energieversorgung E der angeschlossenen Verbraucher V abschaltet. Die auf diese Weise angestrebte Absicherung der Ausgänge A setzt allerdings voraus, daß die Schaltbefehle und die Rückmeldungen von den Slaves S1 als abgesicherte Informa­ tionen vorliegen, d. h. ein abgesicherter Soll-Schaltzustand mit einem rückgemeldeten abgesicherten Ist-Schaltzustand ver­ glichen werden kann, denn die Übertragung der Schaltbefehle von der sicheren speicherprogrammierbaren Steuerung SPS zum Sicherheitsmonitor Si einerseits und die Rückmeldung vom Slave S1 zum Sicherheitsmonitor Si andererseits kann fehler­ haft sein. Beispielsweise wird zur Absicherung der Ausgänge A der Slaves S1 mit den Adressen 24 bis 31 auf eine Codetabelle gemäß Fig. 3 zurückgegriffen. Heim Schaltbefehl EIN wird für die Slaveadresse 31 in der sicheren speicherprogrammierbaren Steuerung SPS das Mehrbitwort 0011 aus der ersten Spalte der Codetabelle erzeugt. Mit dem nächsten Zyklus wird der folgen­ de Wert 1100 aus der Codetabelle übertragen. Nach vier Zyklen beginnt die Übertragung wieder mit dem Codewort aus der er­ sten Spalte. Für den Schaltbefehl AUS wird das Mehrbitwort 0000 übertragen. Der Sicherheitsmonitor Si, in dem diese Codetabelle abgelegt ist, überwacht mit Hilfe ihrer Empfangs- und Überwachungseinheit EÜ die korrekte Abfolge der Mehrbit­ worte und schaltet bei Abweichungen oder Zeitüberschreitung mit seinem Ausgang As in den sicheren Anlagenzustand. Durch dieses Verfahren ist sichergestellt, daß Verfälschungen durch nichtsichere Komponenten wie z. B. den Master M von dem siche­ ren Sicherheitsmonitor Si erkannt werden. Auf diese Weise wird im Sicherheitsmonitor Si ein abgesicherter Soll-Schalt­ zustand generiert. Um einen abgesicherten Ist-Schaltzustand zu erhalten ist jeder Slave S1 mit einer Überwachungseinrich­ tung Ü versehen, mit der der Ist-Schaltzustand des jeweiligen Ausgangs A sicher erfaßt wird. Die Überwachungseinrichtung Ü kann in unterschiedlicher Weise ausgeführt sein, z. B. durch einen zwangsgeführten Öffnerkontakt, einen Stillstandswächter oder eine Spannungsüberwachung. Verfälschungen bei der Über­ tragung der Rückmeldung des Ist-Schaltzustands vom jeweiligen Slave S1 an den Sicherheitsmonitor Si können durch Verschlüs­ selungen mit Mehrbitworten entsprechend dem Verfahren bei der Übertragung der Schaltbefehle und dem Vergleich mit in einer Codetabelle hinterlegten Daten vom Sicherheitsmonitor Si zu­ verlässig erkannt werden. Somit kann der Sicherheitsmonitor Si die Absicherung der nichtsicheren Ausgänge A sämtlicher Slaves S1 vornehmen, nachdem ihm abgesicherte Soll-Schaltzu­ stände und abgesicherte Ist-Schaltzustände zum Vergleich vor­ liegen. Bei Abweichungen unterbricht er mit seinem sicheren. Ausgang As als Hauptschalter die Energieversorgung.

Das beschriebene erfindungsgemäße Bussystem erreicht die Ab­ sicherung der Ausgänge A mit vergleichsweise geringem Auf­ wand, da die Slaves S1 und ihre Ausgänge A nicht mehr sicher ausgeführt werden müssen. Der Aufwand ist auf einen zusätzli­ chen Sicherheitsmonitor Si mit einem sicheren Ausgang As re­ duziert.

Die Ausgänge A können mit Schaltgliedern versehen sein, bei denen die Umsetzung des Soll-Schaltzustands verzögert er­ folgt. Eine Abweichung von Soll- und Ist-Schaltzustand darf in diesem Fall nicht zu einer Abschaltung der elektrischen Energieversorgung führen, da es sich um einen normalen, d. h. nicht unsicheren Anlagenzustand handelt. Um dies sicherzu­ stellen, ist im Sicherheitsmonitor Si ein Zeitglied Z vorhan­ den, das die Dauer vorgibt, während der eine Abweichung zwi­ schen abgesichertem Soll-Schaltzustand und abgesichertem Ist- Schaltzustand keine Abschaltung des elektrischen Energiever­ sorgungsnetzes E über den sicheren Ausgang As des Sicher­ heitsmonitors Si bewirkt.

Claims (10)

1. Bussystem mit einem Kommunikationsbus (B), z. B. einem Zweidraht-Bus, an den mehrere Slaves (S1) angeschlossen sind, die jeweils über einen Ausgang (A) zur Zu- und Abschaltung eines Verbrauchers (V) an ein elektrisches Energieversor­ gungsnetz (E) verfügen und die jeweils eine Auswerteeinheit (Au) aufweisen, durch die abhängig von über den Kommunika­ tionsbus (B) übertragenen und vom Slave (S1) empfangenen Schaltbefehlen, die in Form von Mehrbitworten für die ver­ schiedenen Slaves (S1) unterschiedlich kodiert sind, der Aus­ gang (A) des angesprochenen Slaves (S1) entsprechend ansteu­ erbar ist, dadurch gekennzeichnet, daß an den Kommunikationsbus (B) ein Sicherheitsmonitor (Si) mit einem sicheren Ausgang (As) zur übergeordneten Zu- und Abschaltung des elektrischen Energieversorgungsnetzes (E) angeschlossen ist, daß im Sicherheitsmonitor (Si) der Soll-Schaltzustand der Ausgänge (A) der Slaves (S1) als abgesicherte Information vorliegt, daß in dem Sicherheitsmonitor (Si) ein Vergleicher (Ver) vorhanden ist, der zum Vergleich des abgesicherten Soll-Schaltzustands mit dem abgesicherten Ist-Schaltzustand des Ausgangs (A) eines der Slaves (S1), der seinen Ist- Schaltzustand an den Sicherheitsmonitor (Si) abgesichert rückmeldet, dient, um bei Abweichung zwischen abgesichertem Soll-Schaltzustand und abgesichertem Ist-Schaltzustand über den sicheren Ausgang (As) des Sicherheitsmonitors (Si) eine Abschaltung des elektrischen Energieversorgungsnetzes (E) zu bewirken.

2. Bussystem nach Anspruch 1, dadurch gekenn­ zeichnet, daß im Sicherheitsmonitor (31) eine Empfangs- und Überwachungseinheit (EÜ) vorgesehen ist, die zum Empfang und zur Überwachung der von einem Master (M) über den Kommu­ nikationsbus (B) an die Slaves (S1) übertragenen Schaltbefeh­ le als Soll-Schaltzustände der Ausgänge (A) der Slaves (S1) dient, wobei zur Absicherung das vom Sicherheitsmonitor (Si) empfangene, für den jeweiligen Slave (S1) bestimmte Mehrbit­ wort als Verschlüsselung des Soll-Schaltzustands mit einem für diesen Slave (S1) im Sicherheitsmonitor (Si) hinterlegten Mehrbitwort verglichen wird und bei Übereinstimmung ein abge­ sicherter Soll-Schaltzustand vorliegt.

3. Bussystem nach Anspruch 1 oder 2, dadurch ge­ kennzeichnet, daß im Sicherheitsmonitor (Si) eine Emp­ fangs- und Überwachungseinheit (EÜ) vorgesehen ist, die zum Empfang und zur Überwachung des von einem der Slaves (S1) über den Kommunikationsbus (B) an den Sicherheitsmonitor (Si) in Form eines Mehrbitworts rückgemeldeten Ist-Schaltzustands seines Ausgangs (A) dient, wobei zur Absicherung das von ei­ nem Slave (S1) rückgemeldete Mehrbitwort mit einem für diesen Slave (S1) im Sicherheitsmonitor (Si) hinterlegten Mehrbit­ wort verglichen wird und bei Übereinstimmung ein abgesicher­ ter Ist-Schaltzustand vorliegt.

4. Bussystem nach einem der vorangehenden Ansprüche, da­ durch gekennzeichnet, daß im Sicherheitsmonitor (Si) ein Zeitglied (Z) vorhanden ist, das die Dauer vorgibt, während der eine Abweichung zwischen abgesichertem Soll- Schaltzustand und abgesichertem Ist-Schaltzustand keine Ab­ schaltung des elektrischen Energieversorgungsnetzes (E) über den sicheren Ausgang (As) des Sicherheitsmonitors (Si) be­ wirkt.

5. Bussystem nach einem der vorangehenden Ansprüche, da­ durch gekennzeichnet, daß in den Slaves (S1) je­ weils eine Überwachungseinrichtung (Ü) zur Erfassung des Ist- Schaltzustands des jeweiligen Ausgangs (A) vorgesehen ist.

6. Bussystem nach Anspruch 5, dadurch gekennzeich­ net, daß die Ausgänge (A) der Slaves (S1) mit einem zwangsgeführten Öffnerkontakt (Ü) als Überwachungseinrichtung versehen sind.

7. Bussystem nach einem der vorangehenden Ansprüche, da­ durch gekennzeichnet, daß die Ausgänge (A) der Slaves (S1) nicht sicher sind.

8. Verfahren zur Gewährleistung sicherer Schaltzustände der Ausgänge (A) von an einen Kommunikationsbus (B) geschalteten Slaves (S1), die ihre Ausgänge (A) aufgrund nicht sicherer Schaltbefehle schalten, die die Slaves (S1) nach Übertragung über den Kommunikationsbus (B) empfangen, dadurch ge­ kennzeichnet, daß die Slaves (S1) den jeweiligen Ist- Schaltzustand ihres Ausgangs (A) in Form eines Mehrbitworts an einen an den Kommunikationsbus (B) geschalteten Sicher­ heitsmonitor (Si) rückmelden, in dem die Soll-Schaltzustände der Ausgänge (A) der Slaves (S1) abgesichert vorliegen, daß im Sicherheitsmonitor (Si) nach Überprüfung des von einem der Slaves (S1) rückgemeldeten Mehrbitworts dessen Ist-Schaltzu­ stand gesichert vorliegt und daß bei Abweichung zwischen Soll- und Ist-Schaltzustand die elektrische Energieversorgung zu den Ausgängen (A) der Slaves (S1) übergeordnet unterbro­ chen wird.

9. Verfahren nach Anspruch 7, dadurch gekenn­ zeichnet, daß die Ausgänge (A) der Slaves (S1) nicht sicher sind.

10. Verfahren nach Anspruch 8 oder 9, dadurch ge­ kennzeichnet, daß die übergeordnete Unterbrechung der elektrischen Energieversorgung über einen sicheren Ausgang (As) des Sicherheitsmonitors (Si) erfolgt.