DE10119791B4 - Mikroprozessorgesteuertes Feldgerät zum Anschluss an ein Feldbussystem - Google Patents

Abstract

Mikroprozessorgesteuertes Standard-Feldgerät zum Anschluss an ein Feldbussystem (1), das mit einer frei programmierbaren Sicherheits-Steuerung (2) verbunden ist, mit einem Sicherheitslayer (10) zur Durchführung einer sicherheitsbewährten Kommunikation.

Description

• Technisches Gebiet
• Die Erfindung betrifft zum einen ein Standard-Feldgerät zum Anschluss an ein Feldbussystem, das durch einen Mikroprozessor gesteuert wird. Feldgeräte der genannten Art sind beispielsweise Messwertaufnehmer (auch als Sensor bezeichnet), oder Aktuatoren. Zum anderen betrifft die Erfindung ein Feldbussystem, an das wenigstens eine frei programmierbare Sicherheitssteuerung und wenigstens ein mittels eines Mikroprozessors gesteuertes Standard-Feldgerät angeschlossenen ist.
• Die Feldbustechnik zur Dezentralisierung ist aus der Prozess- und Fertigungstechnik nicht mehr wegzudenken. Überall dort, wo in der Prozess- und Fertigungsindustrie Menschen und Maschinen zu schützen sind, werden spezielle Sicherheitsgeräte wie Sensoren und Aktoren, insbesondere Druck- und Temperaturmesser, Notaus-Schalter, Trittmatten, Lichtgitter und ähnliches installiert.
• Bisher ließen sich derartige Feldgeräte nur separat verdrahten bzw. über zusätzliche Spezialbusse an die Automatisierungskette anschließen. Zu vielseitig waren ansonsten die Fehlermöglichkeiten. So konnten beim Transfer über einen so genannten Standardfeldbus beispielsweise Nachrichten verloren gehen, wiederholt auftreten, zusätzlich eingefügt werden, in falscher Reihenfolge, verzögert oder gar verfälscht auftauchen. Darüber hinaus besteht immer das Risiko einer fehlerhaften Adressierung, wodurch sich Standardnachrichten beispielsweise als sicherheitsrelevant ausgeben könnten.
• Schon einer dieser Fehler genügt, um den gesamten Sicherheitsmechanismus ins Leere laufen zu lassen, was die einschlägigen Vorschriften natürlich nicht tolerieren.
• Geräte der vorgenannten Art werden beispielsweise über einen so genannten Profibus (Bussystem der Firma Siemens AG) an eine frei programmierbare Steuerung, wie beispielsweise eine F-SPS, angeschlossen. Profibus ist heute das Feldbussystem mit dem größten Verbreitungsgrad. Es ist Bestandteil der Europäischen Norm EN 50170 und garantiert damit Offenheit und den Investitionsschutz der Anwender. Profibus ist für die schnelle Kommunikation zur dezentralen Peripherie in der Fertigungsautomatisierung und für die Kommunikationsaufgabe in der Prozess-Automatisierung geeignet. Es ist das erste Feldbussystem, welches mit identischen Kommunikationsdiensten die Anforderungen beider Bereiche abdeckt.
• Es ist nun festzustellen, dass für Sicherheitsapplikationen jeder Erstfehler (gilt auch für jeden Sicherheitskreis), innerhalb der Sicherheitszeit bzw. Prozessfehlertoleranzzeit aufgedeckt werden muss. Ein Zweitfehler muss durch regelmäßige Inspektion ermittelt werden.
• Beim Stand der Technik wurde dieses technische Problem durch Punkt-zu-Punkt-Verbindungen zwischen den redundanten Standard-Feldgeräten und der Sicherheits-SPS (d.h. der frei programmierbaren Steuerung) gelöst. Hinsichtlich einer derartigen sternförmigen Anordnung gab es keine Common-Mode-Fehler (hierzu ist anzumerken, dass unter Common-Mode-Fehler ein Ausfall von Komponenten verstanden wird, der aufgrund einer gemeinsamen Ursache erfolgt) in der Kommunikation zwischen den Feldgeräten und der Zentraleinheit. In der Sicherheits-SPS wurden die Signale der Sensoren bzw. der Aktoren verglichen.
• Bei Verwendung eines Feldbusses zwischen den Feldgeräten und der Sicherheits-SPS mussten sicherheitsgerichtet zertifizier- te Sensoren bzw. Aktoren eingesetzt werden, die über eine sichere Kommunikation mit der F-SPS verbunden sind, um eine sichere Kommunikation zwischen den Feldgeräten und der Steuerung zu gewährleisten. Würde man an ein Standardkommunikationssystem redundante Standard-Sensoren bzw. Standard-Rktoren verwenden, so würden bestimmte Fehler im Kommunikationssystem (wie beispielsweise einfrierende Signalwerte, d.h. ein Erstfehler) nicht aufgedeckt werden und könnten unbemerkt zu einem gefährlichen Zustand führen.
• Die DE 199 22 561 A1 beschreibt ein Verfahren zur sicheren Übertragung von Datensignalen über ein Bussystem, wobei die Datensignale von zumindest einem Sensor erzeugt und über das Bussystem zu mindestens einem Aktor übertragen werden. Die von zumindest einem der Sensoren erzeugten Datensignale werden vor Einleitung in das Bussystem gemäß einem vorgegebenen Sicherheitscodierverfahren codiert. Anschließend werden die codierten Datensignale in das Bussystem eingespeist und über dieses übertragen. Die codierten Datensignale werden von zumindest einem der Aktoren empfangen und gemäß einem dem vorgegebenen Sicherheitscodierverfahren entsprechenden Decodierverfahren decodiert.
• Darstellung der Erfindung
• Das der Erfindung zugrundeliegende technische Problem besteht darin, Standard-Feldgeräte bereitzustellen, die bei Anschluss an einen Standard-Feldbus kostengünstig eine sichere Kommunikation mit einer freiprogrammierbaren Steuerung ermöglichen.
• Dieses technische Problem wird durch ein Feldgerät mit den Merkmalen des Anspruchs 1 gelöst. Erfindungsgemäß ist vorgesehen, dass ein Standard-Feldgerät, das über einen Mikroprozessor verfügt und zum Anschluss an ein Feldbussystem ausgebildet ist, mit einem so genannten, an sich bekannten Sicherheitslayer zur Durchführung einer sicherheitsbewährten Kommunikation mit einer an den Feldbus anschließbaren freien programmierbaren Steuerung ausgebildet ist.
• Es werden also erfindungsgemäß so genannte betriebsbewährte oder redundante Standard-Feldgeräte (d.h. Standardsensoren bzw. Standardaktoren) erstmals mit einem Sicherheitslayer versehen, wodurch ein derartiges Standard-Feldgerät sicherer kommuniziert, und zwar über die Standard-Feldbusse bekannter Art. Der Erfindung liegt der Gedanke zugrunde, sozusagen ein zertifiziertes Feldgerät zu simulieren. Standard-Feldgeräte im Sinne der vorliegenden Erfindung unterliegen nur der so genannten NAMUR-Empfehlung 79 (NE79). Bei derartigen Geräten ist eine Integrierung eines Sicherheitslayers relativ einfach, sorgt aber dafür, dass die Standard-Feldgeräte eine si cherheitsbewährte Kommunikation durchführen. Die Kosten für derartige Standard-Geräte sind weitaus günstiger als für sicherheitszertifizierte Geräte. Überdies ist vorteilhaft, dass Änderungen an den Standardgeräten keine neue Zertifizierung erforderlich macht, was wiederum Kosten spart.
• Allgemein lässt sich sagen, dass in ein busfähiges Feldgerät der vorgenannten Art, d.h. nach einem Standard, in einfacher Weise ein Sicherheitslayer, wie er beispielsweise in einer SPS vorhanden ist, implementiert werden kann. Insbesondere ist damit ausgedrückt, dass ein so genannter Redundanztreiber (Softwarebausteine der F-SPS), die Signale sicherheitsgerichtet empfangen (Treiber für Profisafe) und den Vergleich der Signale durchführen (2-,3- oder mehrkanalig)kann. Im Ergebnis entspricht dies einer Kanaligkeit einer SEL 2-, SEL 3- oder SEL 4-Signalgebereinheit. Bei einer derartigen Ausführung sorgt der Sicherheitslayer, auch F-Layer genannt, dafür, dass alle Common-Mode-Fehler des Feldbussystems aufgedeckt werden. Der Redundanztreiber sorgt dafür, dass die Sensor- und Aktorfehler aufgedeckt werden. Damit können die redundant eingesetzten Standard-Feldgeräte hinsichtlich Prozessgrößen auch diversitär ausgeführt und des weiteren betriebsmäßig vorhandene Einrichtungen sein.
• Zusammenfassend ist festzustellen, dass beispielsweise unter der Bezeichnung Profisafe bekannte Bussysteme erstmals mit betriebsbewährten oder redundanten Standard-Feldgeräten unter einer sicherheitsgerechten Anbindung erweitert werden können, ohne dass teure zertifizierte Sondergeräte notwendig sind. Dazu ist erstmals ein an sich bekannter Sicherheitslayer (beispielsweise ein Profisafe-Treiber) in den Standard-Feldgeräten implementiert.
• Vorteilhafterweise ist der Sicherheitslayer unmittelbar oder über den Feldbus steuerbar an- und ausschaltbar. Dadurch ist es möglich, mit ein und demselben Standard-Feldgerät die übliche betriebsbewährte Steuerung auszuführen, zum anderen aber nach Einschaltung des Sicherheitslayers die sicherheitsrelevante Kommunikation durchzuführen.
• Schließlich ist noch anzumerken, dass die Erfindung auch ein Feldbussystem betrifft, das mit zumindest einer frei programmierten Sicherheitssteuerung und zumindest einem Mikroprozessor gesteuertem Standard-Feldgerät, das mit einem Sicherheitslayer ausgestattet ist, umfasst.
• Als Beispiel für ein erfindungsgemäßes Feldgerät sei hier ein Messformer der Firma Siemens AG genannt, der je nach Ausstattung für die Messung von Druck, Durchfluss oder von Füllstand nichtaggressiver und aggressiver Dämpfe und Flüssigkeiten geeignet ist. Ein derartiger Messumformer wird unter der Marke SITRANS vertrieben, ist jedoch erstmals erfindungsgemäß ohne größere Probleme mit einem Sicherheitslayer auszustatten, so dass ein derartiges Standard-Messgerät nun auch für eine sicherheitsrelevante Kommunikation einsetzbar ist.
• Kurze Beschreibung der Zeichnungen
• Im folgenden sind zur näheren Erläuterung zum besseren Verständnis mehrere Ausführungsbeispiele der Erfindung unter Bezugnahme auf die beigefügten Zeichnungen näher beschrieben. Es zeigen:
• 1 ein Feldbussystem mit frei programmierbarer Steuerung und daran angeschlossenen standardisierten Feldgeräten nach dem Stand der Technik,
• 2 ein schematisiertes Feldbussystem mit daran angeschlossenen erfindungsgemäßen Feldgeräten und einer Sicherheits-SPS.
• Beschreibung bevorzugter Ausführungsbeispiele der Erfindung
• Bei dem den Stand der Technik darstellenden Feldbussystem nach der 1 sind an einem Standard-Feldbus 1 eine Sicherheits-SPS bzw. F-SPS 2, ein Aktor 3 und Sensoren 4, 5, 6 über Anschlussleitungen 7 angeschlossen. Die Sensoren 5 und 6 sind hier redundant, der Aktor 3 und der Sensor 4 sind rücklesbar.
• Diese Feldgeräte 3, 4, und 5, 6 sind redundante bzw. sicherheitsbewährte Standard-Feldgeräte, die über die Sicherheits-SPS 2 gesteuert werden. Die Kommunikation mit den Feldgeräten wird über den Feldbus 1 geleistet. Bei diesem bekannten Feldbussystem mit angeschlossenen Feldgeräten ist keine Sicherheit gegen beispielsweise Common-Mode-Fehler gewährleistet. Dies wäre nach dem heutigen Stand der Technik nur über spezielle sicherheitszertifizierte Sensoren bzw. Aktoren möglich.
• Erfindungsgemäß, wie in der 2 dargestellt, sind die Feldgeräte nun jeweils mit einem Sicherheitslayer (F-Layer) 10 ausgestattet. Damit ist jedes Standard-Feldgerät 3', 4' und 5', 6' mit der entsprechend ausgestatteten F-SPS 2' mittels des Feldbusses 1 in der Lage, Fehler wie Einfrieren der Signalwerte in einer Kommunikationsschaltung, Adressierfehler etc. aufzudecken. Es ist also äußerst kostengünstig möglich, Common-Mode-Fehler auch bei Standard-Feldgeräten durch Implementierung eines an sich bekannten Sicherheitslayers 10 in den Standard-Feldgeräten 3', 4', 5', 6' zu leisten.
• Bei diesem F-Layer bzw. Sicherheitslayer 10 handelt es sich beispielsweise um einen so genannten Profibus-Treiber, der auch unter der Bezeichnung Profisafe von der Firma Siemens AG bekannt ist.

Claims (8)

1. Mikroprozessorgesteuertes Standard-Feldgerät zum Anschluss an ein Feldbussystem (1), das mit einer frei programmierbaren Sicherheits-Steuerung (2) verbunden ist, mit einem Sicherheitslayer (10) zur Durchführung einer sicherheitsbewährten Kommunikation.
2. Feldgerät nach Anspruch 1, dadurch gekennzeichnet, dass der Sicherheitslayer (10) derart ausgebildet ist, dass Common-Mode-Fehler erkannt werden.
3. Feldgerät nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass der Sicherheitslayer (10) eine so genannte Profisafe-Kommunikation durchführt.
4. Feldgerät nach einem der voranstehenden Ansprüche, dadurch gekennzeichnet, dass das Feldgerät zum Anschluss an einen so genannten Profibus ausgebildet ist.
5. Feldgerät nach einem der voranstehenden Ansprüche, dadurch gekennzeichnet, dass der Sicherheitslayer (10) an- und ausschaltbar ist.
6. Feldgerät nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass das Feldgerät ein Messwertaufnehmer (4', 5', 6') ist.
7. Feldgerät nach einem der Ansprüche 1 bis 5, dadurch gekennzeichnet, dass das Feldgerät ein Aktuator (3') ist.
8. Feldbussystem, mit zumindest einer frei programmierbaren Sicherheits-Steuerung (2') und zumindest einem mikroprozessorgesteuerten Standard-Feldgerät (3', 4', 5', 6') nach einem oder mehreren der voranstehenden Ansprüche.