DE19643092C2 - Feld-Datenbussystem - Google Patents

Description

Die Erfindung bezieht sich auf ein Datenbussystem und auf ein Verfahren zum Betreiben eines solchen Datenbussystems.

Busse verbinden über elektrische Übertragungsleitungen Teilnehmer miteinander. Die Anschlußstellen der Busteilnehmer sind an beliebigen Orten längs der Übertragungsleitungen angeordnet. Die Übertragungsleitung eines seriellen Busses kann eine verdrillte Zweidrahtlei­ tung, oder eine Koaxialleitung sein. Busse haben einen erheblichen Kostenvorteil gegenüber konventioneller Verdrahtungstechnik und eine Vielfalt an zentral verfügbaren Informationen sowie Flexibilität. Serielle Busse sind beispielsweise unter der Bezeichnung Profibus, Bitbus usw. bekannt. Die Teilnehmer sind z. B. Ein-, Ausgabemodule für Sensorsignale und/oder Stellelemente bzw. Aktoren.

Für die Übertragung sicherheitsgerichteter Signale können nur Busse bzw. Bussysteme eingesetzt werden, die fehlertolerant bzw. redundant aufgebaut sind. Sicherheitsgerichtete Signale sind solche, die sicherheitstechnische Zwecke oder Auflagen erfüllen, um gefährliche Zustände für Personen oder Schäden durch elektrische Ausrüstungen zu vermeiden bzw. rasch zu beseitigen. Ein redundantes Datenbussystem, das sicherheitstechnischen Anforderungen genügt, ist aus der DE-Z, messen prüfen automatisieren, 10/95, Seite 10, 12-14 und 16 bekannt. Bei diesem bekannten Datenbussystem sind ein fehlersicherer Automatisierungs­ prozessor. Und Teilnehmer über zwei Busschnittstellen miteinander verbunden. Der fehler­ sichere Autornatisierungsprozessor besteht aus zwei Prozessorsystemen, jeweils mit eigenem Mikroprozessor, Speicher und Systembus. Die beiden Prozessorsysteme bearbeiten taktsyn­ chron das gleiche Programm. Ein in bestimmten Zeitintervallen auf einwandfreie Funktion überprüfter Vergleicher überwacht die beiden Prozessorsysteme. Wird ein Fehler in einem Prozessorsystem festgestellt, werden die Ausgänge aller Teilnehmer auf ein definiertes Signal eingestellt, was das Versetzen aller von den Teilnehmern gesteuerten Aktoren in einen vorbestimmten Sicherheitszustand bewirkt. Die fehlersicheren Automatisierungsprozessoren sind über zwei Automatisierungsprozessoren mit einem Anlagenbus verbunden. Von den beiden Automatisierungsprozessoren, die jeweils gleiche Komponenten aufweisen, muß nur einer funktionstüchtig sein. Die Automatisierungsprozessoren arbeiten im Master-Reserve- Betrieb. Um einen Fehler im System sicher zu erkennen, werden neben Selbsttests die Kommunikationsverbindungen und weitere Hardwarekomponenten zyklisch geprüft. Im Fehlerfall wird der defekte Automatisierungsprozessor in einen definierten Stop-Zustand versetzt.

Eine Systemabschaltung aufgrund eines festgestellten Fehlers bedeutet, daß die Maschinen, Fertigungsanlagen und ähnliches in einen für Personen ungefährlichen Zustand versetzt werden. Ein Fehler muß innerhalb einer Fehlerreaktionszeit von zum Beispiel 20 ms erkannt werden; und innerhalb dieser Zeit muß auch die Not-Abschaltung der elektrischen Ausrüstung erfolgen.

Eine vollständig doppelte Busausführung erfordert nicht nur die doppelte zweikanalige Aus­ führung der Bus-Module für die Sensoren sowie 2 Bus-Master zur Systemüberwachung und fehlersicherer Abschaltung, sondern auch die Verlegung, zweier unabhängiger Leitungs­ systeme. Durch die doppelte Busausführung wird ein entscheidender Vorteil eines Bussystems gegenüber herkömmlicher Einzelverdrahtung zum Beispiel jedes Sensorschalters teilweise wieder zunichte gemacht. Man kann den doppelten Leitungsaufwand vermeiden, indem man eine einzelne Busleitung zwangsdynamisiert. Man spricht in diesem Fall von dynamischer Redundanz, ein bereits bekanntes Verfahren. Die Dynamisierung bedeutet, daß alle Bus- Module ständig zyklisch auf Funktionstüchtigkeit und Meldezustand von dem auswertenden Master abgefragt werden (Master-Slave-System) oder sich selbständig regelmäßig melden (Multi-Master-System).

Bei Multi-Master-Bussystemen können sich die Bus-Module (z. B. bei Schalter-Betätigung) sofort, d. h. im µsec-Bereich selbständig melden (sog. Echtzehtfähigkeit), so daß für die si­ cherheitstechnische Überwachung, einer Anlage keine ständige Modulabfrage nötig wäre. Um jedoch auch einen Fehler im überwachenden Bussystem selbst, z. B. den Ausfall eines Bus- Modules innerhalb der Fehlerreaktionszeit (z. B. 20 ms s.o.) zu erkennen, überpüft man alle Bus-Module-Teilnehmer in diesem Zeitraum je mindestens 1 × auf ihren Funktions-Zustand. Da zur Gewährleistung einer hohen Datenübertragungssicherheit (Hamming-Distanz 4) die Meldungen jeweils aus umfangreichen Datenprotokollen bestehen (50 . . . 80 bit), bedeutet diese Dynamisierung somit einen mit der Teilnehmerzahl proportional steigenden Datenfluß (Datenübertragungsrate) zur System-Überwachung.

Andererseits ist die Datenübertragungsrate eines Bussystems wegen der Signallaufzeiten (Leitungsläufe) sowie der Modul-Reaktionszeiten (Teilnehmerzahl) begrenzt.

Es besteht also ein Konflikt zwischen dem Wunsch nach größeren Leitungslängen (z. B. 100 . . . 300 m) und vielen Busteilnehmern z. B. 50 . . . 100 auf der einen Seite sowie dem tech­ nischen Aufwand zur Übertragung und Auswertung höherer Datenübertragungsraten (typisch 125 . . . 1000 k bit/s) andererseits.

Zur Verringerung der Datenübertragungsrate bietet sich die Möglichkeit an, die Bus-Module, die in einem Sicherheitsbus ohnehin doppelt (zweikanalig/redundant) vorgesehen sind, sich gegenseitig paarweise auf fehlerfreie Funktion überwachen zu lassen, so daß nur bei interner Differenz ein Bus-Modul-Paar eine Fehler-Bus-Meldung abgeben muß. Dieses Verfahren setzt aber voraus, daß die Busleitung zwischen dem auswertenden Master und jedem Modul jederzeit fehlerfrei und voll funktionsfähig ist. Da die Leitung nicht doppelt und räumlich getrennt ausgeführt sein soll, muß die Leitung selbst dynamisch überprüft werden, und zwar bis zu allen Busteilnehmern. Ein Leitungsfehler muß innerhalb der Fehlertoleranzzeit erkannt werden. Die zyklische Überprüfung aller Busteilnehmer erfordert wegen des hohen Daten­ übertragungsaufwands eine so große Zeit, daß die notwendige Fehlerreaktionszeit nicht mehr eingehalten bzw. unterschritten werden kann.

Bekannt ist auch ein lokales Netzwerk, bei dem aus Redundanzgründen zwei serielle Bussys­ teme vorgesehen sind, an die Netzknoten angeschlossen sind. Jeder Netzknoten ist durch zwei getrennte Ankopplungen mit den beiden Bussen verbunden. In einem der Bussysteme werden im fehlerfreien Betrieb Prozeßdaten übertragen und im anderen Bussystem Statusinformatio­ nen. Jede Ankopplung enthält wenigstens einen Kommunikations-Controller, eine Kom­ munikations-CPU und einen Transceiver. Jede Kommunkations-CPU überwacht in einem Netzknoten die Funktionsfähigkeit der anderen Kommunikations-CPU und erfüllt die Funktion eines Watchdog-Prozessors. Leitungsfehler sowie Fehlfunktionen von Kommunika­ tions-Controllern wirken sich als Verfälschung von Busnachrichten aus. Und werden durch Fehlererkennungsmechanismen entdeckt. Fehler, die in den Komponenten zwischen Bus und Kommunikations-CPU auftreten, werden durch eine zyklische Funktionsüberwachung der Komponenten festgestelt. Jeder Bus wird im Fehlerfall als Watchdogbus benutzt, um im jeweils anderen Bussystem aufgetretene Fehler den Netzteilnehmern mitzuteilen. Bei einem Fehler in demjenigen Bus, in dem die Prozeßdaten übertragen werden, wird der Bus gesperrt und der Prozeßdatenverkehr wird über den anderen Bus abgewickelt (DE 195 09 558 A1).

Der Erfindung liegt das Problem zugrunde, ein Datenbussystem bereitzustellen, das bei geringem Aufwand für sicherheitsgerichtete Signale und zahlreiche Busteilnehmer sowie große Busleitungslängen geeignet ist und bei einem Fehler eine kurze Reaktionszeit aufweist, wobei mit einfachen Maßnahmen überprüft werden soll, ob ein Leitungsfehler vorliegt.

Das Problem wird bei einem Datenbussystem mit Busteilnehmern erfindungsgemäß durch die Merkmale im Anspruch 1 gelöst. Bei dem erfindungsgemäßen Bussystem müssen nicht mehr alle Busteilnehmer für die Überprüfung abgefragt werden, da der aktive Bus-Abschlußteil­ nehmer die Überwachungsfunktion des Busses übernimmt. Dieser Vorteil kommt auch bei allen Bussystemen zum Tragen, die mit aktiven Multi-Master-Modulen in redundanter Ausführung arbeiten, obwohl der Bus einkanalig sein kann. Der zentrale Busteilnehmer sendet mit sehr hoher Taktrate über alle Busteilnehmer zum aktiven Busteilnehmer die Statusmeldungen und erhält mit einer gleich hohen Taktrate die Statusmeldungen bei einwandfreien Busleitungen zurück. Die Busleitungen können daher innerhalb der Erstfehler­ eintrittszeit, die möglichst kurz zu halten ist, überprüft werden. Die Prüfdatenübertragung für den Bus findet also im wesentlichen zwischen den Busteilnehmern an den Busleitungsenden statt, so daß die Anzahl der Teilnehmer die Zeit, mit der die Prüfdaten den Bus durchlaufen, nur in einem vernachlässigbaren Umfang beeinflußt.

Altenativ besteht die Möglichkeit, dass der aktive Busteilnehmer unabhängig von vom zentralen Busteilnehmer ausgehenden Signalen Statusmeldungen zum ersten aktiven Busteil­ nehmer sendet. Auch ist vorgesehen, dass die weiteren Busteilnehmer die von den anderen Busteilnehmern ausgehenden Statusmeldungen, oder Statusmeldungen, die von einer einem fehlerfreien Zustand des Übertragungssystems zugeordneten Form abweichen, überwachen.

Bei dem erfindungsgemäßen Bussystem sind die Busteilnehmer zwischen dem zentralen Busteilnehmer bzw. Busmodul an einem Ende und dem aktiven Busteilnehmer bzw. Busmo­ dul am anderen Ende des Busses nicht durch Stichleitungen mit den Busleitungen verbunden. Dazu ist vorgesehen, dass der Datenbus zwei Busleitungen aufweist. Unter Busleitungen sind dabei zwei Adern eines Busses oder auch eine Ader und eine leitende Verbindung über Masse zu verstehen. Die Busleitung, verläuft also bei der erfindunsgemäßen Anordnung, vom zentralen Busteilnehmer bzw. Busmodul, im folgenden auch Bus-Master genannt, durch alle Bus-Teilnehmer im folgenden auch Slaves genannt, physisch hindurch und wird am Ende mit dem aktiven Busmodul versehen. Der Bus wird also nur als ein galvanisch von einem zum anderen Ende verlaufender Strang ausgeführt. Da Stichleitun­ gen zu den Slaves entfallen, hat der Bus auch einen höheren Wirkungsgrad.

Es ist zweckmäßig, die Busteilnehmer jeweils als Doppel-Module mit zwei gleichen Modulen auszubilden, die an Sensoren und/oder Aktoren angeschlossen sind und sich gegenseitig überwachen. Bei dieser Ausführungsform sind die Busteilnehmer redundant aufgebaut. Durch diesen Aufbau in Verbindung mit der Überwachung muß in den Busteilnehmern nicht mit einem Erstfehler gerechnet werden, d. h. diese Busteilnehmer können sicherheitstechnisch großzügiger dimensioniert werden.

Der Bus-Master ist grundsätzlich das erste Gerät im Strang, das Busabschluß-Modul grund­ sätzlich das letzte Gerät im Strang. Bus-Master und Busabschluß-Modul haben jeweils nur einen Busanschluß, alle anderen Bus-Module jeweils genau einen Buseingang und einen Busausgang.

Der Bus-Master als erstes Gerät und der Bus-Abschluß als letztes Gerät im Strang senden bzw. empfangen mit einer hohen Übertragungsrate (z. B. alle 10 ms) Statusmeldungen. Diese werden von allen Busteilnehmern kontrolliert.

Der zentrale Busteilnehmer ist zweckmäßigerweise zweikanalig aufgebaut. Unter zweikanali­ gem Aufbau ist hierbei ein Aufbau aus zwei gleichen Einheiten zu verstehen. Die zwei gleichen Einheiten haben insbesondere einen gemeinsamen fehlersicheren Vergleicher, der Ausgänge z. B. zu einer Relaisebene oder einer äquvivaltenten sicheren Abschaltebene aufweist, mit der vorzugsweise elektrische Verbraucher ein- und ausgeschaltet werden. Im Falle einer Relaisebene hat diese insbesondere zwangsgeführte Relais.

Bei Ausbleiben der Nachrichten oder fehlerhaften Meldungen über eine festgelegte Fehler­ toleranzzeit hinaus (z. B. 15 ms) muß von einer gestörten Busleitung oder einem defekten Busteilnehmer ausgegangen werden. Das System geht dann in einen sicheren Zustand (veranlaßt vom zweikanaligen Bus-Master) über.

Das physische Durchschleifen der Busleitung beinhaltet einen Fehlerausschluß innerhalb des Bus-Modules zwischen Busleitung und zweikanaligen Bus-Modul (da kein logisches datenflußmäßiges Durchschleifen vorgesehen ist). Dies wird erreicht durch elektro-mecha­ nische Maßnahmen:

Die eingehende Busader der Busleitung ist insbesondere als wenigstens eine Leiterbahn auf einer Leiterplatte im zweikanalig aufgebauten Busteilnehmer ausgebildet. Die Busleitung ist auf dieser Leiterplatte über geätzte, flächige Leiterbahnen durchgeschleift. Zweckmäßigerwei­ se sind auf der gleichen Leiterplatte zweikanalig ausgeführte Bus-Controller-Bausteine vor­ gesehen, die an die Leiterbahn unmittelbar, aber unabhängig voreinander über kurze Stichlei­ terbahnen angeschlossen sind. Beide Bus-Controller-Bausteine überwachen sich gegenseitig. Die galvanische Verbindung in der Busleitung ist so ausgebildet, daß die gleichzeitige elek­ trische Abtrennung beider Bus-Controller von der durchgeschleiften Busleitung ausgeschlos­ sen ist.

Die Leiterbahnführung auf der Leiterplatte ist so ausgelegt, daß auch bei einem evtl. Durch­ bohren der Leiterplatte ein gleichzeitiges Durchtrennen der Stichleiterbahnen zwischen Bus und beiden Controller ausgeschlossen ist, bzw. bei diesem Vorgang auch die durchgeschleifte Busleitung mit zerstört wird.

Dieser Fehler würde dann innerhalb der Fehlertoleranzzeit von 15 ms vom Bussystem erkannt werden (Busabschluß).

Weitere Einzelheiten, Merkmale und Vorteile der Erfindung ergeben sich aus der folgenden Beschreibung eines bevorzugten Ausführungsbeispiels.

Es zeigen:

Fig. 1 ein Blockschaltbild eines seriellen Datenbus-Systems, mit dem sicherheitsgerichtete Signale übertragen bzw. verarbeitet werden,

Fig. 2 ein Blockschaltbild eines zentralen Busteilnehmers,

Fig. 3 ein als Eingangsmodul ausgebildeter Busteilnehmer im Blockschaltbild,

Fig. 4 ein als Ausgangsmodul ausgebildeter Busteilnehmer im Blockschaltbild.

Das serielle Bussystem weist einen Bus mit zwei gleichen Datenleitungen/Adern 10, 12 auf. An den einen Enden der Datenleitungen 10, 12 ist ein zentraler Busteilnehmer 14 angeschlos­ sen. Der zentrale Busteilnehmer 14 wird im folgenden auch Bus-Master 14 genannt, da er zentrale Busverwaltungsaufgaben ausführt. An den anderen Enden der beiden Datenleitungen 10, 12 ist ein aktiver Busteilnehmer 16 angeschlossen, der auch als Abschlußbusteilnehmer 16 oder Abschluß-Modul 16 bezeichnet wird. Mit den Datenleitungen 10, 12 sind Bus-Teil­ nehmer verbunden, von denen in der Zeichnung zwei Busteilnehmer 18, 20 dargestellt sind. Die auch als Slaves bezeichneten Bus-Teilnehmer 18, 20 können an belieben Stellen längs der Datenleitungen 10, 12 angeordnet sein, die als Feld-Busse z. B. in einer technischen Anlage verlegt sind. Der Bus-Master 14, der Abschluß-Busteilnehmer 16 und die Busteil­ nehmer 18, 20 sind zweikanalig ausgebildet, d. h. es sind im Bus-Master 14 zwei gleiche Einheiten A0, B0, im aktiven Busteilnehmer 16 zwei gleiche Einheiten A_N, B_N und in den anderen Busteilnehmern 18, 20 jeweils zwei gleiche Einheiten A1, B1 und A2, B2 vorhan­ den. Auf den Datenleitungen 10, 12 werden insbesondere sicherheitsgerichtete Signale in digitaler Form übertragen. Der Bus-Master 14 ist grundsätzlich das erste Gerät bzw. Modul am jeweiligen seriellen Bus und hat für jeden Bus 10, 12 einen Busanschluß 22, 24. Der aktive Busteilnehmer 16 ist grundsätzlich das letzte Gerät am Bus und hat für jede Daten­ leitung 10, 12 nur einen Busanschluß 26, 28. Alle anderen Busteilnehmer 18, 20 haben für jede Datenleitung 10, 12 jeweils einen Buseingang 30, 32 bzw. 34, 36 und einen Busausgang 38, 40 bzw 42, 44. Die Datenleitungen 10, 12 sind in den Busteilnehmern 18, 20 physisch durchgeschleift. In der Zeichnung sind die durchgeschleiften Leitungen 10, 12 in bezug auf den Busteilnehmer 18 (Slave 18) mit 46, 50 und in bezug auf den Busteilnehmer 20 (Slave 20) mit 52, 54 bezeichnet. Außerhalb der Busteilnehmer kann die Busleitung als koaxiale oder verdrillte Leitungen verlegt sein.

Die Leitungen 46, 50 und 52, 54 sind in den Slave-Modulen 18, 20 vorzugsweise auf Leiter­ platten als geätzte, flächige Leiterbahnen ausgebildet und verlaufen zwischen den Bus­ eingängen 30, 32 und den Busausgängen 38, 40 bzw. zwischen den Buseingängen 34, 36 und den Busausgängen 42, 44. Auf den gleichen, nicht näher dargestellten Leiterplatten sind Bus- Controller-Bausteine 56, 58 bzw. 60, 62 in den Einheiten A1, B1, A2, B2 angeordnet. Die Bus-Controller-Bausteine 56 bis 62 sind jeweils an die Leitungen 46, 50 bzw. 52, 54 unmittelbar über Stichleiterbahnen bzw. Stichleitungen 64, 66, 68, 70 bzw. 72, 74, 76, 78 aber unabhängig voneinander angeschlossen. Die beiden Bus-Controller-Bausteine 56, 58 bzw. 60, 62 in jedem der Busteilnehmer 18, 20 überwachen sich gegenseitig. Von den Einheiten A1, B1, A2, B2 . . . A_N, B_N gehen Leitungen zu Sensoren und/oder Aktoren in der jeweiligen Maschine oder Anlage aus. Diese an den jeweiligen Einheiten A1, B1, A2, B2 . . . A_N, B_N insgesamt 80, 82, 84, 86, 88 und 90 bezeichneten Leitungen sind aus Redundanzgründen jeweils zweikanalig zu den Sensoren bzw. Aktoren verlegt. Durch die Anordnung der Leitungen 46, 50, 52, 54 und der Stichleitungen 64, 66, 68, 70, 72, 74, 76, 78 auf den Leiterplatten der Busteilnehmer 18, 20 wird ausgeschlossen, daß beide Bus- Controller-Bausteine 58, 56 bzw. 60, 62 im jeweiligen Busteilnehmer 18, 20 gleichzeitig elektrisch von der durchgeschleiften Busleitung abgetrennt werden können. Die Leiterbahn­ führung ist deshalb auf der Leiterplatte des jeweiligen Busteilnehmers 18, 20 so ausgebildet, daß auch bei einem eventuellen Durchbohren der Leiterplatte ein gleichzeitiges Durchtrennen der Stichleiterbahnen bzw. Stichleitungen 64, 66, 68, 70 bzw. 72, 74, 76, 78 ausgeschlossen ist bzw. bei einem solchen Vorgang, auch die durchgeschleifte Busleitung zerstört wird. Auch im aktiven Busteilnehmer 16 sind in den Einheiten A_N, B_N Bus-Controller-Bausteine 92, 94 vorhanden, die sich gegenseitig überwachen und über nicht näher bezeichnete Stichleitungen, die den oben im Zusammenhang mit den Busteilnehmern 18, 20 erwähnten Bedingungen gehorchen, jeweils mit den Busanschlüssen 26, 28 verbunden. Im zentralen Busteilnehmer 14 bzw. Bus-Master sind die beiden Einheiten A0, B0 über nicht näher bezeichnete Stichleitun­ gen, die den oben im Zusammenhang mit den Leitungen der Busteilnehmer 18, 20 erwähnten Bedingungen gehorchen, mit den Busanschlüssen 22, 24 verbunden.

Die von den beiden gleichartigen Einheiten A0, B0 erzeugten Ergebnisse bzw. Signale in bezug auf die Busüberwachung werden über eine galvanisch getrennte Verbindung 96 wie Opto-Koppler der jeweils anderen Einheit zugeführt, indem die von den Einheiten A0 und B0 erzeugen Signale auf Gleichheit und Gleichzeitigkeit überwacht werden. Der fehlersichere Vergleicher besteht aus den gleichartigen Einheiten A0, B0, der galvanisch getrennten Verbindung 96 wie Opto-Koppler und der Relais K1, K2 oder einer vergleichbaren Schaltung und steuert eine nicht näher dargestellte Ausgangsebene, die in der Stromzuleitung des jeweiligen Geräts bzw. der Maschine oder Anlage angeordnet sind und bei Ansteuerung durch den Vergleicher die Energiezufuhr unterbrechen, um damit das Gerät, die Maschine oder technische Anlage in einen sicheren Zustand zu überführen. Die Relais oder Schütze haben zwangsgeführte Kontakte, eine Eigenschaft, bei der Kontakte der beiden Relaiszustände, d. h. Arbeits- und Ruhekontakte, nicht gleichzeitig geöffnet bzw. geschlossen sein können, bzw. eine gleichwertige Auswertelektronik.

Der zentrale Busteilnehmer 14 (Bus-Master) und der aktive Busteilnehmer 16 senden bzw. empfangen mit einer hohen Übertragungsrate z. B. periodisch, Statusmeldungen über die Datenleitungen 10, 12. Die Periode kann z. B. 10 ms betragen. Die Statusmeldungen, die ins­ besondere Daten in digitaler Form sind, gelangen zu den Busteilnehmern 18, 20 und werden von diesen auf Gleichheit bzw. Übereinstimmung mit einer vorgegebenen Statusinformation verglichen. Weiterhin überprüfen die Busteilnehmer 18, 20, 16, ob die Statusmeldungen innerhalb einer vorgebenen Fehlertoleranzzeit übertragen bzw. empfangen werden. Wenn die Statusmeldungen nicht innerhalb der Fehlertoleranzzeit von z. B. 15 ms oder wenn fehlerhafte Meldungen empfangen werden, muß von einer gestörten Busleitung bzw. einem defekten Busteilnehmer ausgegangen werden. Die Störung wird in den Busteilnehmern erkannt. Der zentrale Busteilnehmer (Bus-Master) veranlaßt bei einem festgesteilten Fehler den Übergang des Systems bzw. des Geräts oder der Anlage in einen sicheren Zustand. Der sichere Zustand ist z. B. der Stillstand des technischen Systems, des Geräts, der Maschine oder der Anlage bzw. die Außerbetriebnahme durch Abschaltung der Betriebsenergie, d. h. es wird nach dem Fail-Safe-Prinzip verfahren. Die Abschaltung der Betriebsenergie wird vom fehlersicheren Vergleicher veranlaßt.

Die Fehlerreaktionszeit ist bei der oben beschriebenen Anordnung auch bei einer Periode von z. B. 10 ms der Statusmeldungen ausreichend kurz, um die Sicherheitsanforderungen zu erfüllen. Ein Fehler wird innerhalb der Fehlertoleranzzeit von z. B. 15 ms vom zentralen Busteilnehmer erkannt.

Die Statusmeldungen werden insbesondere periodisch vom aktiven Busteilnehmer 16 ausgesendet und von den anderen Busteilnehmern 14, 18, 20 ausgewertet. Auf diese Weise werden Laufzeiten über die doppelte Länge des jeweiligen Busses vermieden. Falls eine der Busleitungen unterbrochen oder kurzgeschlossen ist, werden nur Statusmeldungen auf einem Bus empfangen, wodurch sofort ein Fehler erkennbar ist. Der zentrale Busteilnehmer 14 löst dann die Stillsetzung des Bussystems und z. B. auch weiterer Verbraucher aus, die vom Bussystem gesteuert werden.

In den Busteilnehmern 18, 20, die als Eingabe-, Ausgabemodule ausgebildet sind, und im aktiven Busteilnehmer 16 kontrollieren sich die Bus-Controller-Bausteine 58, 56, 60, 62 und 92, 94 gegenseitig und erzeugen bei einem im jeweils anderen Baustein festgestellten Fehler sofort eine entsprechende Meldung, die auf den Bus zum zentralen Busteilnehmer 14 über­ tragen wird.

Das oben beschriebene Bussystem ist für lange Busleitungen mit zahlreichen Busteilnehmern geeignet. Die Fehlerreaktionszeit ist auch bei vielen Teilnehmern und langen Busleitungen kurz, so daß die Sicherheitsanforderungen eingehalten werden. Der Bus-Master 14 sendet regelmäßig Meldungen zur Leitungsprüfung aus, die vom aktiven Busteilnehmer 16 empfan­ gen werden, der daraufhin Rückmeldungen erzeugt. Die Periode dieser Signale ist z. B. 10 ms.

Das Bussystem kann insbesondere als Multi-Master-Bussystem ausgebildet sein und besteht in diesem Fall aus zweikanaligen Teilnehmern, die an einen einkanaligen Bus angeschlossen sind. Durch den aktiven Busteilnehmer am Ende des Busses kann der Fehler "Unterbrechung der Leitung, innerhalb eines Teilnehmers" mit nur zwei Busteilnehmern und daher sehr schnell festgestellt werden.

Alle Busteilnehmer sind aktiv, d. h. sie senden selbständig (Multi-Master-System). Es wird die Datenverarbeitung im Master ausgeführt. Alle Busteilnehmer senden selbständig periodisch ihre Statusmeldungen Ereignisse (z. B. Änderung von Eingangszuständen) werden sofort ohne Zeitverlust übertragen.

Bedingt durch die Fehlertoleranzzeit (Einfehlereintrittszeit) des Systems (es muß innerhalb von z. B. 20 ms sicher abgeschaltet werden können) muß somit eine Busunterbrechung in dieser Zeit sicher erkannt werden .

Wird der Bus als Strang ausgelegt, und nur noch das 1. Modul (Master = Auswerteeinheit mit Kundenprogramm) und das letzte Modul (Busabschluß) senden ihre Statusmeldungen alle 10 ms, die übrigen Module alle 100 ms, müssen nur noch wenige Statusmeldungen pro Sekunde übertragen werden. Der Bus ist somit frei für Ereignisse.

Eine Busunterbrechung kann bei dem als Strang ausgelegten Bussystem von allen Teil­ nehmern an fehlenden Statusmeldungen des Masters bzw. des Busabschlusses erkannt werden.

Bei einem Defekt an einem Busteilnehmer mit langsamen Statusmeldungen, muß von der Zweitfehlereintrittszeit ausgegangen werden, da durch die konsequente Zweikanaligkeit ein Ausfall eines Bauteils keinesfalls ein ganzes Modul funktionsunfähig werden kann.

Während es nur einen einkanaligen Bus gibt, enthält jedes Modul 2 Busknoten. Die Daten auf den Busleitungen sind äquivalent. Statusmeldungen werden in jedem Knoten generiert. Es wird bei Initialisierung des Systems in jedem Knoten ein Zähler gestartet, der nach jeder Meldung inkrementiert wird. Zusätzlich wird noch ein Kontrollbyte übertragen.

Die beiden Knoten eines Bus-Moduls überwachen unabhängig voneinander die Statusmeldun­ gen die auf dem Bus übertragen werden. Zusätzlich ist eine galvanisch getrennte Verbindung (Link) zwischen den Knoten vorhanden, über die Betriebs- bzw. Fehlermeldungen ausge­ tauscht werden.

Bei dem in Fig. 2 dargestellten zentralen Busteilnehmer 14 ist der Anschluß eines Buskabels 100 mit den Datenleitungen 10, 12 dargestellt. Das Buskabel 100 enthält auch nicht näher bezeichnete Stromversorgungsleitungen. Im zentralen Busteilnehmer 14 ist in zwei gleichen Einheiten A0, B0 je eine CPU 102 vorhanden.

Die Fig. 3 zeigt einen als Eingangsmodul ausgebildeten Busteilnehmer 18, der mit Klemmen, die nicht näher bezeichnet sind, an die Buskabel 104, 106 angeschlossen sind, die jeweils die Datenleitungen 10, 12 und Stromversorgungsleitungen aufweisen. Das Eingangsmodul 18 weist Eingänge 108, 110 usw. für Schalter auf, von denen in Fig. 3 ein Not-Ausschalter 112 und ein Startschalter 114 dargestellt sind. Die Eingänge 108, 110 usw. sind z. B. als Klemmen ausgebildet, die über galvanische Trennstecker mit den Einheiten des Busteilnehmers 18 verbunden sind.

Bei dem in Fig. 4 dargestellten Ausgangs- bzw. Ausgabemodul 20 sind wiederum Buskabel 104, 106 mit Datenleitungen 10, 12 und nicht näher bezeichneten Stromversorgungsleitungen an den Busteilnehmer 20 angeschlossen. Es sind Schütze K1e, K2e, K3e als Aktoren mit dem Busteilnehmer 20 verbunden.

Während die Klemmen für Sensoren an den Eingangsmodulen nur einmal vorhanden und innerhalb der Module galvanisch getrennt auf die beiden Knoten aufgeteilt sind, sind die Ausgänge z. B. 116, 118 für die Aktoren galvanisch getrennt, Kanal 1 NPN schaltend, Kanal 2 PNP schaltend, auf zwei unterschiedliche Klemmen gelegt.

Die von einem Modul (bzw. einem Knoten des Moduls) erzeugten Fehlermeldungen werden allen Teilnehmern gleichzeitig mitgeteilt. Die Verarbeitung der Fehlermeldungen wird in jedem Modul unabhängig vorgenommen.

Bedingt durch die vorgeschriebene externe, als Strang verlegte, Busleitung und die vor­ gegebene innere Verdrahtung der Busleitung kann dahingehend ein Fehlerausschluß gemacht werden, daß eine zerstörte Busleitung nicht innerhalb der Fehlertoleranzzeit des Systems erkannt wird.

Ist zuvor mit den Bezugszeichen 10, 12 jeweils eine Busleitung des Datenbusses bezeichnet worden, so gelten gleiche Überlegungen auch dann, wenn die Busleitungen selbst als Busse 10', 12' ausgebildet sind.

Claims (17)

1. Datenbussystem umfassend einen Busleitungen (10, 12) aufweisenden seriellen Datenbus mit an einem Ende vorhandenen zentralen Busteilnehmer (14) und am anderen Ende vorhandenen aktiven Busteilnehmer (16) sowie von den Busleitungen physisch durchgeschleifte weitere Busteilnehmer (18, 20),
wobei zumindest der zentrale Busteilnehmer (14) und/oder der aktive Busteil­ nehmer (16) jeweils eine Anordnung zum regelmäßigen Aussenden und/oder Empfangen von Statusmeldungen aufweist,
wobei zumindest von einem der Busteilnehmer (14, 16, 18, 20) die von einem anderen Busteilnehmer (14, 16, 18, 20) ausgehenden Statusmeldungen auf Aus­ bleiben innerhalb einer vorgegebenen Zeitspanne oder auf Abweichung von einer einem fehlerfreien Zustand des Bussystems zugeordneten Form überprüft werden und
wobei dann, wenn der Empfang der Statusmeldungen innerhalb der vor­ gegebenen Zeitspanne ausbleibt oder Statusmeldungen empfangen werden, die von einer einen fehlerfreien Zustand des Bussystems zugeordneten Form ab­ weichen, das Bussystem in einen Zustand versetzt wird, der ein vorgegebenes Sicherheitskriterium erfüllt.

2. Datenbussystem nach Anspruch 1, dadurch gekennzeichnet, dass der zentrale Busteilnehmer (14) die Statusmeldungen des aktiven Busteilnehmers (16) überwacht oder umgekehrt.

3. Datenbussystem nach Anspruch 1 oder 2, dadurch gekennzeichnet, dass die weiteren Busteilnehmer (18, 20) die von den anderen Busteilnehmern (14, 16, 18, 20) ausgehenden Statusmeldungen oder Statusmeldungen, die von einer einen fehlerfreien Zustand des Übertragungsmediums zugeordneten Form abweichen, überwachen.

4. Datenbussystem nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass der Datenbus zwei Busleitungen (10, 12) aufweist.

5. Datenbussystem nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Busteilnehmer (16, 18, 20) als Doppel-Module mit zwei gleichen Einheiten (A1, B1, A2, B2, A_N, B_N) ausgebildet sind, die an Sensoren und/oder Aktoren angeschlossen sind und sich gegenseitig überwachen.

6. Datenbussystem nach einem oder mehreren der vorhergehenden Anspüche, dadurch gekennzeichnet, daß der zentrale Busteilnehmer (14) zweikanalig, mit zwei gleichen Einheiten (A0, B0) ausgebildet ist.

7. Datenbussystem nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der zentrale Busteilnehmer (14) und der aktive Busteilnehmer (16) jeweils einen Busanschluß (22, 24; 26, 28) aufweisen, daß die anderen Busteilnehmer (18, 20) einen Buseingang (30, 32; 34, 36) und einen Busausgang (38, 40; 42, 44) haben und daß die Leitungen (46, 50; 52, 54) des Busses zwischen den Buseingängen und Busausgängen jeweils zumindest als eine Leiterbahn auf einer Leiterplatte angeordnet sind.

8. Datenbussystem nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß in den Busteilnehmern (16, 18, 20) jeweils zwei gleiche Bus-Controller-Bausteine (56, 58; 60, 62; 92, 94) durch Stichleitungen (64, 66; 68, 70; 72, 74; 76, 78) un­ abhängig voneinander mit den Leitungen (46, 50; 52, 54) der Busse (10, 12) ver­ bunden sind.

9. Datenbussystem nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Stichleitungen (64, 66, 68, 70, 72, 74, 76, 78) und die Leitungen (46, 50, 52, 54) des Busses so in den Busteilnehmern (18, 20) angeordnet sind, daß sie nicht zugleich bei Beschädigungen unterbrochen oder kurzgeschlossen werden.

10. Datenbussystem nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß im zentralen Busteilnehmer (14) die beiden gleichen Einheiten (A0, B0) mit einer galvanisch getrennten Verbindung (96) wie Opto-Koppler verbunden sind, die Ausgänge zu einer Relaisebene oder zu einer äquivalenten sicheren Abschaltebene aufweist.

11. Datenbussystem nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß zwischen den beiden gleichen Einheiten (A1, B1, A2, B2, A_N, B_N, A0, B0) eine galvanisch getrennte Verbindung zur Übertragung von Betriebs- und Fehlermeldungen vorgesehen ist.

12. Datenbussystem nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß Anschlüsse für Sensoren an den Busteilnehmern (18, 20) je Sensoranschluß einmal vorhanden sind und daß die Anschlüsse unter galvanischer Trennung mit den beiden Einheiten der Busteilnehmer (18, 20) verbunden sind.

13. Datenbussystem nach einem oder mehreren der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß Ausgänge für Aktoren galvanisch getrennt auf jeweils zwei Klemmen gelegt sind.

14. Verfahren zum Betreiben eines Datenbussystems umfassend einen Busleitungen aufweisenden seriellen Datenbus mit an einem Ende vorhandenen zentralen Busteilnehmer und am anderen Ende vorhandenen aktiven Busteilnehmer sowie von den Busleitungen physisch durchgeschleifte weitere Busteilnehmer,
wobei der zentrale und/oder aktive Busteilnehmer regelmäßig mit einer vorgegebenen hohen Taktrate Statusmeldungen auf den seriellen Datenbus aussendet und/oder empfängt und
wobei dann, wenn der Empfang der Statusmeldungen innerhalb einer vorgegebenen Zeitspanne zumindest einem der Busteilnehmer unterbleibt oder von zumindest einem der Busteilnehmer Statusmeldungen empfangen werden, die von einer einem fehlerfreien Zustand des Übertragungsmediums zugeordneten Form abweichen, das Datenbussystem in einen einem Sicherheitskriterium zugeordneten Zustand versetzt wird.

15. Verfahren nach Anspruch 14, dadurch gekennzeichnet, dass der die Statusmeldungen empfangende Busteilnehmer zumindest einer der aktiven Busteilnehmer ist.

16. Verfahren nach Anspruch 14, dadurch gekennzeichnet, dass die vorgegebene Zeitspanne 20 ms oder weniger beträgt.

17. Verfahren nach Anspruch 14, dadurch gekennzeichnet, dass die vom zentralen Busteilnehmer gesendeten Statusmeldungen beim Empfang im aktiven Busteilnehmer von diesem auf den Bus zum zentralen Busteilnehmer zurück­ übertragen werden und umgekehrt.