DE4401467A1 - Betriebsverfahren für ein redundant aus mindestens zwei Teilsystemen aufgebautes Automatisierungssystem - Google Patents

Description

Die vorliegende Erfindung betrifft ein Betriebsverfahren für ein redundant aus mindestens zwei Teilsystemen aufge­ bautes Automatisierungssystem, wobei die mindestens zwei Teilsysteme zur Steuerung eines Prozesses bzw. einer Anlage Programme ausführen und sich von Zeit zu Zeit über Kommuni­ kationsmittel miteinander synchronisieren.

Ein derartiges Betriebsverfahren ist beispielsweise aus der EP-0 497 147 A2 bekannt. Bei dem Verfahren gemäß der EP-0 497 147 A2 werden, wie im Stand der Technik allgemein üblich, Alarme zwischen zwei Synchronisationspunkten in den Teilsystemen nur registriert. Ansonsten erfolgen keine Alarmreaktionen. Erst beim Erreichen des Synchronisations­ punktes werden die gemeldeten Alarme und sonstige relevante Daten ausgetauscht und die Alarme abgearbeitet.

Wenn das Automatisierungssystem zur Steuerung eines schnellen Prozesses oder einer schnellen Anlage, z. B. einer Pressensteuerung, eingesetzt wird, kann die Zeit bis zum Erreichen des nächsten Synchronisationspunktes zu groß sein, um Sach- und/oder personenschaden mit Sicherheit zu verhindern. Bei derartigen Anwendungsfällen mußten bisher aufwendige, taktsynchron arbeitende redundante Automatisie­ rungssysteme verwendet werden.

Die Aufgabe der vorliegenden Erfindung besteht darin, ein redundantes Automatisierungssystem zu schaffen, bei dem die Reaktionszeit auf Alarme aller Art, z. B. Prozeß- oder Zeitalarme, kurz und reproduzierbar ist, obwohl sich die Teilsysteme nur von Zeit zu Zeit synchronisieren.

Die Aufgabe wird dadurch gelöst, daß beim Registrieren eines Sonderereignisses, z. B. eines Alarms, jedes der min­ destens zwei Teilsysteme unabhängig vom jeweils anderen Teilsystem unverzüglich eine ereignisspezifische Reaktion ermittelt und ausführt.

Dadurch wird nämlich gewährleistet, daß beim Auftreten eines Sonderereignisses schnellstmöglich auf das Ereignis reagiert wird. Beispielsweise wird der Schließvorgang einer Presse beim Registrieren eines entsprechenden Prozeßalarms in einem der Teilsysteme unverzüglich durch dieses Teil­ system unterbrochen und nicht erst bei Erreichen des näch­ sten Synchronisationspunktes. Die Alarmreaktionszeit ist somit sehr gut reproduzierbar. Darüber hinaus können damit Verletzungen des Bedienungspersonals in Grenzsituationen mit Sicherheit vermieden werden.

Mit Vorteil ist jedem Teilsystem mindestens ein Reaktions­ speicherbereich ausschließlich zugeordnet, so daß es mög­ lich ist, daß das eine Teilsystem zur Ermittlung und Aus­ führung der ereignisspezifischen Reaktion nur auf den ihm zugeordneten Reaktionsspeicherbereich zugreift.

Wenn jedem Teilsystem ein Pufferspeicher ausschließlich zu­ geordnet ist, Änderungen reaktionsrelevanter Daten, z. B. Merkerzustände, in die Pufferspeicher eingetragen werden und jedes Teilsystem seinen Reaktionsspeicherbereich bei einer Synchronisation aufgrund der Inhalte beider Puffer­ speicher aktualisiert, so ist gewährleistet, daß beide Teilsysteme bei einem Sonderereignis gleich reagieren.

Nach der Ausführung der ereignisspezifischen Reaktion setzt das eine Teilsystem die Ausführung des Anwenderprogramms fort.

Weitere Vorteile und Einzelheiten ergeben sich aus der nachfolgenden Beschreibung eines Ausführungsbeispiels in Verbindung mit den Zeichnungen. Dabei zeigen:

Fig. 1 ein Blockschaltbild eines Automatisierungssystems und

Fig. 2 das Prinzip des Betriebsverfahrens.

Gemäß Fig. 1 besteht das Automatisierungssystem 1 aus zwei Teilsystemen 2, 2′, die beide einen technischen Prozeß P steuern. Jedes der Teilsysteme 2, 2′ weist eine Zentralein­ heit 3, 3′ auf, die den Prozeß P gemäß einem Anwenderpro­ gramm AP steuert, das zusammen mit dem Betriebssystem und Prozeßdaten in den Speichereinheiten 4, 4′ abgespeichert ist.

Die Zentraleinheit 3, 3′ sind über in Fig. 1 nicht darge­ stellte Peripherieeinheiten mit Signalgebern G, G′ und Stellgliedern R, R′ verbunden. Die verwendete Peripherie kann dabei nach Wahl des Anwenders sowohl ein- als auch zweikanalig ausgebildet sein. Die Anbindung der Zentral­ einheiten 3, 3′ an den Prozeß P ist jedoch nicht Gegenstand der vorliegenden Erfindung. Auf die Anbindung der Zentral­ einheit 3, 3′ an den Prozeß P′ wird daher im folgenden nicht weiter eingegangen.

Der in Fig. 1 dargestellte technische Prozeß P ist bei­ spielsweise eine hydraulische Presse. Die Teilsysteme 2, 2′ steuern die Relais R, R′ an. Bei Ansteuerung beider Relais R, R′ wird das Schaltrelais SR betätigt, so daß das Ventil V der hydraulischen Presse einen Hydraulikkanal freigibt. In diesem Fall wird die Presse geschlossen.

Die Signalgeber G, G′ sind beispielsweise die Kontakte eines Nothalt-Schalters. Bei Betätigung des Nothalt-Schal­ ters muß die Presse unverzüglich gestoppt werden, um Per­ sonen- und/oder Sachschäden zu verhindern.

Die Stellen im Anwenderprogramm AP, an denen der Prozeß­ alarm "Nothalt-Anforderung" in den Teilsystemen 2, 2′ regi­ striert wird, ist in Fig. 2 mit den Pfeilen angedeutet. Wei­ terhin ist in Fig. 2 der vorhergehende Synchronisationspunkt SP und der nachfolgende Synchronisationspunkt SP′ durch die gestrichelten Linien gekennzeichnet.

Beim Stand der Technik würden beide Teilsysteme 2, 2′ den Prozeßalarm lediglich registrieren, sodann das Anwenderpro­ gramm bis zum Synchronisationspunkt SP′ weiterbearbeiten und sodann sich miteinander synchronisieren. Erst danach würde der Prozeßalarm von den Teilsystemen 2, 2′ bearbeitet werden.

Bei der vorliegenden Erfindung dagegen wird der Prozeßalarm sofort nach dem Registrieren in den Teilsystemen 2, 2′ un­ abhängig voneinander mit einer alarmspezifischen Alarmreak­ tion behandelt. Im vorliegenden Fall würden beispielsweise die Relais R, R′ nicht mehr angesteuert werden, so daß das Schaltrelais SR abfällt und das Ventil V sperrt und so den Schließvorgang der hydraulischen Presse stoppt. Durch diese Vorgehensweise wird die Alarmreaktionszeit praktisch auf Null reduziert. Dennoch ist es nicht nötig, die beiden Teilsysteme 2, 2′ taktsynchron zu betreiben.

Bei der Ermittlung und Ausführung der alarmspezifischen Alarmreaktion, hier dem Stoppen der Pressenbewegung, greift die Zentraleinheit 3 des Teilsystems 2 nur auf Daten zu, die im Reaktionsspeicherbereich 41 abgespeichert sind. Ebenso greift die Zentraleinheit 3′ nur auf Daten zu, die im Reaktionsspeicherbereich 41 abgespeichert sind.

Nach der Ausführung der alarmspezifischen Alarmreaktion setzen die Teilsysteme 2, 2′ die Ausführung des Anwender­ programms AP fort. Sie synchronisieren sich erst bei Errei­ chen des nächsten Synchronisationspunktes SP′ miteinander.

Welche Reaktion von einem Alarm ausgelöst wird, kann auch von den Daten abhängen, die in den Reaktionsspeicherbe­ reichen 41, 41′ gespeichert sind. Um zu gewährleisten, daß die Teilsysteme 2, 2′ auf einen Alarm in gleicher Weise reagieren, werden die Inhalte der Reaktionsspeicherbereiche 41, 41′ zwischen zwei Synchronisationspunkten daher nicht verändert. Jedem Teilsystem 2, 2′ ist aber ein Pufferspei­ cher 42, 42′ ausschließlich zugeordnet. Änderungen alarmre­ aktionsrelevanter Daten, z. B. Merkerzustände, werden in die Pufferspeicher 42, 42′ eingetragen. Bei der jeweils nächsten Synchronisation tauschen die Teilsysteme 2, 2′ die Inhalte ihrer Pufferspeicher 42, 42′ aus, führen einen Da­ tenabgleich durch und aktualisieren dann ihre Reaktions­ speicherbereiche 41, 41′ aufgrund der Inhalte beider Puf­ ferspeicher 42, 42′. Die Synchronisation selbst erfolgt da­ bei in an sich bekannter Art und Weise, z. B. ereignis- oder zeitgesteuert (wie in der EP 0 497 147 A2 beschrie­ ben), über die Kommunikationseinheiten 5, 5′ und die Kommunikationsleitung 6.

Es ist selbstverständlich auch möglich, nur sicherheits­ relevante Alarme auf die obenstehende Art und Weise zu be­ handeln. Die Behandlung nicht sicherheitsrelevanter Alarme kann dann bei der nächsten Synchronisation erfolgen. In diesem Fall muß beim Auftreten eines Alarms aber zumindest überprüft werden, welcher Art der Alarm ist, damit ent­ schieden werden kann, ob eine sofortige Alarmreaktion er­ forderlich ist oder nicht.

Claims (3)

1. Betriebsverfahren für ein redundant aus mindestens zwei Teilsystemen (2, 2′) aufgebautes Automatisierungssystem (1), bei dem die mindestens zwei Teilsysteme (2, 2′) zur Steue­ rung eines Prozesses (P) bzw. einer Anlage Programme (AP) ausführen und sich von Zeit zu Zeit über Kommunikations­ mittel (11, 11′, 12) miteinander synchronisieren, da­ durch gekennzeichnet, daß beim Re­ gistrieren eines Sonderereignisses, z. B. eines Alarms, je­ des der mindestens zwei Teilsysteme (2, 2′) unabhängig vom jeweils anderen Teilsystem (z. B. 2′) unverzüglich eine er­ eignisspezifische Reaktion ermittelt und ausführt.

2. Betriebsverfahren nach Anspruch 1, dadurch gekennzeichnet, daß jedem Teilsystem (2, 2′) mindestens ein Reaktionsspeicherbereich (41, 41′) aus­ schließlich zugeordnet ist und daß das eine Teilsystem (2) zur Ermittlung und Ausführung der ereignisspezifischen Re­ aktion nur auf den ihm zugeordneten Reaktionsspeicherbe­ reich (41, 41′) zugreift.

3. Betriebsverfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet,

• - daß jedem Teilsystem (2, 2′) ein Pufferspeicher (42, 42′) ausschließlich zugeordnet ist,
• - daß Änderungen reaktionsrelevanter Daten, z. B. Merkerzu­ stände, in die Pufferspeicher (42, 42′) eingetragen werden und
• - daß jedes Teilsystem (2, 2′) seinen Reaktionsspeicher­ bereich (41, 41′) bei einer Synchronisation aufgrund der Inhalte beider Pufferspeicher (42, 42′) aktualisiert.