DE19939568C1 - Verfahren zur Einstellung einer Datenübertragungsrate in einem Feldbussystem - Google Patents

Abstract

Die Erfindung betrifft ein Verfahren zur Einstellung einer Datenübertragungsrate in einem Feldbussystem (10), das zur Steuerung sicherheitskritischer Prozesse geeignet ist und das zumindest einen an einen Feldbus (20) angeschlossenen Teilnehmer (12, 14) umfaßt. Das Verfahren zeichnet sich dadurch aus, daß sich der/die Teilnehmer in einer ersten Phase mit einer niederen ersten Datenübertragungsrate bei einer zentralen am Feldbus angeschlossenen Einheit (30; Zentraleinheit) anmelden, und daß die Zentraleinheit (30) in einer zweiten Phase die Datenübertragungsrate bei dem/den Teilnehmer(n) auf einen vorgegebenen höheren zweiten Wert setzt. Ferner betrifft die Erfindung ein Felsbussystem zur Ausführung des Verfahrens (Fig. 3).

Description

Die vorliegende Erfindung betrifft ein Verfahren zur Einstel­ lung einer Datenübertragungsrate in einem Feldbussystem, das zur Steuerung sicherheitskritischer Prozesse geeignet ist und das zumindest einen an einem Feldbus angeschlossenen Teilnehmer umfaßt. Die Erfindung betrifft ferner ein Feldbussystem zur Steuerung sicherheitskritischer Prozesse, mit einem Feldbus, an dem zumindest ein Teilnehmer angeschlossen ist.

Feldbussysteme der vorgenannten Art werden seit langem in den verschiedensten Gebieten und für unterschiedlichste Zwecke ein­ gesetzt. So ist beispielsweise in der Offenlegungsschrift DE 42 42 936 A1 eine Sicherheitseinrichtung mit Mikroprozessor offenbart, bei der ein Feldbus zur Übertragung von Daten vorge­ schlagen wird.

Unter einem Feldbussystem versteht man dabei allgemein ein Sy­ stem zur Datenkommunikation, an das im Idealfall beliebige Teilnehmer angeschlossen werden können, die über den gemeinsa­ men Feldbus miteinander kommunizieren. Die Kommunikation der Teilnehmer erfolgt auf dem Feldbus anhand von spezifizierten Protokollen. Ein derartiges Kommunikationssystem steht im Ge­ gensatz zu einer individuellen Punkt-zu-Punkt-Kommunikations­ verbindung zwischen jeweils zwei Teilnehmern, von deren Kommu­ nikation miteinander andere Teilnehmer vollständig ausgeschlos­ sen sind. Beispiele für bekannte Feldbussysteme sind der soge­ nannte CAN-Bus, der sogenannte Profibus oder der sogenannte In­ terbus.

Obwohl die Verwendung von Feldbussen zahlreiche Vorteile vor allem im Hinblick auf den ansonsten erforderlichen, hohen Ver­ kabelungsaufwand besitzt, war deren Verwendung im praktischen Einsatz zur Steuerung von sicherheitskritischen Prozessen bis­ lang nicht möglich. Der Grund hierfür war, daß die Feldbusse angesichts ihrer für beliebige Teilnehmer frei zugänglichen Struktur, die zur Steuerung sicherheitskritischer Prozesse er­ forderliche Fehlersicherheit nicht gewährleisten konnten. Die Anmelderin hat mittlerweile jedoch ein Feldbussystem entwic­ kelt, das auch den Anforderungen für sicherheitskritische Pro­ zesse genügt.

Unter einem sicherheitskritischen Prozeß wird vorliegend ein Prozeß verstanden, von dem bei Auftreten eines Fehlers eine nicht zu vernachlässigende Gefahr für Mensch oder auch materi­ elle Güter ausgeht. Bei einem sicherheitskritischen Prozeß muß daher mit im Idealfall hundertprozentiger Sicherheit gewährlei­ stet sein, daß der Prozeß bei Vorliegen eines Fehlers in einen sicheren Zustand überführt wird. Derartige sicherheitskritische Prozesse können auch Teilprozesse von größeren, übergeordneten Gesamtprozessen sein. Beispiele für sicherheitskritische Pro­ zesse sind chemische Verfahren, bei denen kritische Parameter unbedingt in einem vorgegebenen Bereich gehalten werden müssen oder auch komplexe Maschinensteuerungen, wie etwa die einer hy­ draulischen Presse oder einer gesamten Fertigungsstraße. Bei einer hydraulischen Presse kann beispielsweise die Materialzu­ führung ein sicherheitsunkritischer Teilprozeß, das Inbetrieb­ nehmen des Preßwerkzeugs demgegenüber ein sicherheitskritischer Teilprozeß im Rahmen des Gesamtprozesses sein. Weitere Beispie­ le für sicherheitskritische (Teil-)Prozesse sind die Überwa­ chung von Schutzgittern, Schutztüren oder Lichtschranken, die Steuerung von Zwei-Hand-Schaltern oder auch die Reaktion auf Not-Aus-Schalter.

Eine der wichtigsten Forderungen an ein Feldbussystem zur Steuerung sicherheitkritischer Prozesse ist eine definierte und schnelle Reaktionszeit, die bei den bekannten Systemen zur Da­ tenübertragung, beispielsweise über Modem, keine Rolle spielt. Ein solches Feldbussystem muß in der Lage sein, innerhalb einer vorgegebenen definierten Reaktionszeit, beispielsweise nach dem Betätigen eines Not-Aus-Schalters, den Prozeß anzuhalten bzw. zu unterbrechen, um möglichen Schaden zu vermeiden. Die er­ reichbare Reaktionszeit hängt im wesentlichen von der Übertra­ gungsrate des Feldbussystems ab. Eins hohe Datenübertragungsra­ te führt zu einer kurzen Reaktionszeit, da die Belastung des Feldbusses im Vergleich zu geringeren Datenübertragungsraten bei gleicher Anzahl von Teilnehmern sinkt. Damit verringert sich auch die Zeitdauer, die ein Teilnehmer maximal auf die Freigabe des Feldbuses für die eigene Übertragung von Daten warten muß.

Aus diesem Grund ist es wünschenswert, mit einer möglichst gro­ ßen Datenübertragungsrate zu arbeiten. Dabei ergibt sich jedoch das Problem, daß mit zunehmender Datenübertragungsrate die Qua­ lität der Übertragung zwischen dem Sender und dem am weitesten entfernt liegenden Teilnehmer abnimmt.

Es zeigt sich also, daß der Einstellung der Datenübertragungs­ rate in einem Feldbussystem zur Steuerung sicherheitkritischer Prozesse eine äußerst wichtige Rolle zukommt. Lösungen zur Einstellung der Datenübertragungsrate in einem Bussystem sind beispielsweise in EP 0 896 449 A2, US 5,124,943 oder US 5,881,240 offenbart.

Üblicherweise wurde die Datenübertragungsrate in Feldbussyste­ men manuell eingestellt, indem entsprechend vorgesehene Ein­ stellvorrichtungen an den Teilnehmern des Feldbussystems vorge­ sehen waren. Es handelte sich bei diesen Einstellvorrichtungen beispielsweise um DIP-Schalter.

Wie sich ohne weiteres ergibt, ist die Einstellung der Daten­ übertragungsrate auf diese Weise sehr aufwendig und auch feh­ lerträchtig. So ist es insbesondere bei großen Feldbussystemen mit vielen Teilnehmern nicht unwahrscheinlich, daß die Daten­ übertragungsrate bei einem Teilnehmer versehentlich falsch ein­ gestellt wird. Dies hat dann zur Folge, daß dieser Teilnehmer nicht über den Feldbus kommunizieren kann. Bei sicherheitskri­ tischen Prozessen könnte dies zu fatalen Folgen führen.

Da die maximal mögliche Datenübertragungsrate mit der Länge der Datenübertragungsstrecke sinkt, ist es bei einer Erweiterung eines bestehenden Feldbussystems häufig notwendig, die Daten­ übertragungsrate herabzusetzen, so daß auch die am weitesten entfernt angeordneten Teilnehmer noch kommunizieren können. Dies führt jedoch dazu, daß die Datenübertragungsrate an allen Teilnehmern des Feldbussystems herabgesetzt werden muß, da die mit einem Feldbus verbundenen Teilnehmer grundsätzlich mit der gleichen Datenübertragungsrate senden müssen.

Die Aufgabe der vorliegenden Erfindung besteht deshalb darin, das eingangs erwähnte Verfahren zur Einstellung einer Daten­ übertragungsrate und das eingangs erwähnte Feldbussystem so weiterzubilden, daß eine einfache und flexible Einstellung er­ zielbar ist, wobei insbesondere die Reaktionszeit des Feldbus­ systems innerhalb des geforderten Rahmens bleibt. Die Einstel­ lung der Datenübertragungsrate darf insbesondere keinen Einfluß auf die Sicherheit des Feldbussystems haben.

Die der Erfindung zugrunde liegende Aufgabe wird bei einem Ver­ fahren der eingangs genannten Art dadurch gelöst, daß sich der/die Teilnehmer in einer ersten Phase mit einer niederen er­ sten Datenübertragungsrate bei einer zentralen am Feldbus ange­ schlossenen Einheit (Zentraleinheit) anmelden, und daß die Zen­ traleinheit in einer zweiten Phase die Datenübertragungsrate bei dem/den Teilnehmer(n) auf einen vorgegebenen höheren zwei­ ten Wert setzt.

Unter Teilnehmer ist im Zusammenhang mit der vorliegenden Er­ findung jegliche Einheit zu verstehen, die mit dem Feldbus ver­ bunden ist. So werden sowohl Steuerungseinheiten (Clients) als auch Signaleinheiten (Server) als Teilnehmer bezeichnet. Eine Unterscheidung zwischen Steuerungseinheiten und Signaleinheiten ist zur Erläuterung der vorliegenden Erfindung nicht notwendig.

Der Vorteil der vorliegenden Erfindung liegt darin, daß mittels der Zentraleinheit eine Einstellung der Datenübertragungsrate möglich wird, die auch sicherheitskritischen Forderungen ent­ spricht. So wird nach Einschalten des Feldbussystems zunächst geprüft, welche Teilnehmer mit dem Feldbus verbunden sind. Hierzu bedient sich die Zentraleinheit der geringsten Daten­ übertragungsrate, beispielsweise 20 kBaud. Die geringe Daten­ übertragungsrate gewährleistet, daß unabhängig von der Daten­ übertragungsstrecke alle Teilnehmer erreichbar sind. Anschlie­ ßend sendet die Zentraleinheit ein Telegramm an die verbundenen Teilnehmer, mit dem Befehl, die Datenübertragungsrate auf einen vorgegebenen höheren Wert (Zielwert) zu erhöhen. Dieser Ziel­ wert ist so gewählt, daß alle sicherheitskritischen Parameter, wie beispielsweise Busbelastung, Reaktionszeit etc. erfüllt bleiben. Das Einstellen der Datenübertragungsrate ist damit ab­ geschlossen.

Das erfindungsgemäße Verfahren läßt mithin eine sehr einfache und flexible Eistellung der Datenübertragungsrate zu, ohne ma­ nuelle Eingriffe an den einzelnen Teilnehmern vornehmen zu müs­ sen. Der Anwender kann vielmehr die für das vorhandene Feldbus­ system zulässigen (zuvor als sicher ermittelten) Datenübertra­ gungsraten an der Zentraleinheit einstellen. Die Aufgabe der Erfindung wird also vollkommen gelöst.

In einer bevorzugten Weiterbildung der Erfindung melden sich der/die Teilnehmer in einer dritten Phase mit der höheren Da­ tenübertragungsrate erneut bei der Zentraleinheit an und schal­ tet die Zentraleinheit den Feldbus ab, wenn sie eine Abweichung der Anzahl der in der ersten und der dritten Phase angemeldeten Teilnehmer feststellt.

Diese Maßnahme hat den Vorteil, daß die Sicherheit des Feldbus­ systems erhöht wird. Sollte nämlich ein in der ersten Phase an­ gemeldeter Teilnehmer keine neue Anmeldung mit der höheren Da­ tenübertragungsrate vornehmen können, beispielsweise weil er zu weit vom Sender entfernt liegt, wird der Feldbus sofort abge­ schaltet. Der über das Feldbussystem gesteuerte Prozeß wird in Antwort darauf in einen sicheren Zustand überführt.

In einer bevorzugten Weiterbildung der Erfindung wird die erste Phase mit dem Einschalten des Feldbussystems gestartet.

Diese Maßnahme hat den Vorteil, daß die Datenübertragung mit der niederen ersten Datenübertragungsrate in einem Stadium er­ folgt, in dem der zu steuernde sicherheitskritische Prozeß noch nicht läuft, so daß die kurzfristig vorhandene geringe Daten­ übertragungsrate und die damit verbundene längere Reaktionszeit unkritisch ist.

In einer bevorzugten Weiterbildung sendet die Zentraleinheit in der zweiten Phase an alle Teilnehmer Datentelegramme, die den Befehl zur Umschaltung der Datenübertragungsrate auf den zwei­ ten Wert enthalten. Bevorzugt beendet die Zentraleinheit die dritte Phase, wenn seit der letzten Anmeldung eines Teilnehmers eine vorgegebene Zeitdauer ohne neue Anmeldung eines Teilneh­ mers vergangen ist.

Diese Maßnahmen haben den Vorteil, daß der Einstellvorgang der Datenübertragungsrate über das Versenden von Datentelegrammen die vorhandenen Sicherheitsmechanismen im Feldbussystem nutzt, so daß die Wahrscheinlichkeit einer fehlerhaften Einstellung einer Datenübertragungsrate sehr gering ist.

Besonders bevorzugt ist als erster Wert der Datenübertragungs­ rate die Standard-Übertragungsrate, beispielsweise 20 kBaud und als zweiter Wert der Zielwert des Feldbussystems, beispielswei­ se 250 kBaud. Diese Werte haben sich in der Praxis als beson­ ders vorteilhaft herausgestellt.

In einer bevorzugten Weiterbildung erfaßt ein nach Ablauf der dritten Phase mit dem Feldbus verbundener neuer Teilnehmer die Datenübertragungsrate auf dem Feldbus und meldet sich mit die­ ser Datenübertragungsrate bei der Zentraleinheit an.

Diese Maßnahme hat den Vorteil, daß das Feldbussystem nicht komplett abgeschaltet werden muß, um einen neuen Teilnehmer an­ schließen zu können. Sollte es dem Teilnehmer nicht möglich sein, sich bei der Zentraleinheit anzumelden, kann das Feldbus­ system neu gestartet werden, um den Vorgang der Einstellung der Datenübertragungsrate neu ablaufen zu lassen, wobei dann ein neuer zweiter Wert verwendet werden kann.

Die der Erfindung zugrunde liegende Aufgabe wird bei einem Feldbussystem der eingangs genannten Art dadurch gelöst, daß eine Zentraleinheit vorgesehen ist, die über den Feldbus mit den Teilnehmern kommuniziert und eine Umschalteinrichtung um­ faßt, um die Datenübertragungsrate auf dem Feldbus und bei den Teilnehmern von einem ersten niederen Wert auf einen zweiten höheren Wert umzustellen.

Dieses erfindungsgemäße Feldbussystem ermöglicht durch die nur einmal im System vorhandene Zentraleinheit eine sehr einfache Einstellung der Datenübertragungsrate, die von allen am Feldbus angeschlossenen Teilnehmern übernommen wird. Sofern ein oder mehrere Teilnehmer nicht in der Lage sind, sich mit der von der Umschalteinrichtung vorgegebenen höheren Datenübertragungsrate erneut bei der Zentraleinheit anzumelden, wird das Feldbussy­ stem sofort abgeschaltet. Der durch das Feldbussystem gesteuer­ te sicherheitskritische Prozeß wird so in einen sicheren Zu­ stand überführt, so daß es durch den nicht oder fehlerhaft übertragenden Teilnehmer nicht zu Schäden kommen kann.

In einer bevorzugten Weiterbildung weist die Zentraleinheit ei­ ne erste Speichereinheit auf, in der der erste und der zweite Wert der Datenübertragungsrate abgelegt ist. Bevorzugt umfaßt die Zentraleinheit eine zweite und eine dritte Speichereinheit zur Speicherung von Anmeldedaten, wobei die Anmeldedaten von den am Feldbus angeschlossenen Teilnehmern übermittelt werden. Weiter bevorzugt umfaßt die Zentraleinheit eine Vergleicherein­ richtung, die die in der zweiten und dritten Speichereinheit gespeicherten Anmeldedaten vergleicht, wobei die Zentraleinheit bei einer Nicht-Übereinstimmung eine Abschaltung des Feldbusses durchführt.

Weiter bevorzugt umfaßt die Zentraleinheit eine Zeitmeßeinrich­ tung, die mit der Vergleichereinrichtung verbunden ist und den Vergleich nach Ablauf einer vorgegebenen Zeit seit dem Hoch­ setzen der Datenübertragungsrate initiiert.

Diese Maßnahmen haben sich im Hinblick auf die Funktionsweise des Feldbussystems als besonders vorteilhaft herausgestellt.

In einer bevorzugten Weiterbildung ist der Feldbus ein seriel­ ler Bus, vorzugsweise ein CAN-Bus.

CAN-Busse werden, wie erwähnt, bereits in großem Umfang einge­ setzt, so daß entsprechende Steuerbausteine, beispielsweise Buscontroller, als Standardbausteine zum Aufbau eines erfin­ dungsgemäßen Feldbussystems kostengünstig erhältlich sind.

In einer bevorzugten Weiterbildung weist der Teilnehmer eine Erkennungseinrichtung auf, die die Datenübertragungsrate erfaßt und die Datenübertragungsrate des Teilnehmers in Antwort darauf einstellt.

Diese Maßnahme hat den Vorteil, daß ein Teilnehmer an den Feld­ bus angeschlossen werden kann, ohne das Feldbussystem neu zu starten. Vielmehr erfaßt der Teilnehmer die Datenübertragungs­ rate auf dem Feldbus und stellt diese für die eigene Übertra­ gung entsprechend ein. Mit anderen Worten synchronisiert sich der neu angeschlossene Teilnehmer auf den laufenden Feldbus auf, ohne diesen jedoch zu stören. Sobald der Teilnehmer die passende Datenübertragungsrate gefunden hat, meldet er sich bei der Zentraleinheit an.

Weitere Vorteile und Ausgestaltungen der Erfindung ergeben sich aus der Beschreibung und der beiliegenden Zeichnung.

Es versteht sich, daß die vorstehend genannten und die nach­ stehend noch zu erläuternden Merkmale nicht nur in der jeweils angegebenen Kombination, sondern such in anderen Kombinationen oder in Alleinstellung verwendbar sind, ohne den Rahmen der vorliegenden Erfindung zu verlassen.

Die Erfindung wird nun anhand eines Ausführungsbeispiels mit Bezug auf die Zeichnung näher erläutert. Dabei zeigen:

Fig. 1 ein Blockschaltdiagramm eines erfindungsgemäßen Feldbussystems mit zwei Teilnehmern und einer Zen­ traleinheit;

Fig. 2 ein Blockschaltdiagramm einer Einheit der Zen­ traleinheit; und

Fig. 3 ein Ablaufdiagramm zur Erläuterung des erfindungsge­ mäßen Verfahrens.

In Fig. 1 ist ein sicheres Feldbussystem mit daran angeschlos­ senen Busteilnehmern mit der Bezugsziffer 10 gekennzeichnet. Das Feldbussystem 10 ist im vorliegenden Ausführungsbeispiel ein sogenanntes CAN-Feldbussystem 11 (im folgenden kurz Bussy­ stem genannt).

Das Bussystem 11 umfaßt mehrere Busteilnehmer 12, 14, die über einen sogenannten Feldbus 20 (im folgenden auch Bus genannt) elektrisch miteinander verbunden sind. Bei einem CAN-Bussystem besteht dieser Bus aus einer Zweidrahtleitung.

Bei den Busteilnehmern 12, 14 kann es sich um sogenannte Steu­ ereinheiten (auch Client genannt) oder sogenannte Signaleinhei­ ten (auch Server genannt) handeln. Rein beispielhaft sei ange­ nommen, daß der Busteilnehmer 12 eine Steuereinheit 13 und der Busteilnehmer 14 eine Signaleinheit 15 bildet.

Ein solches Bussystem 11 ist beispielsweise dazu geeignet, be­ stimmte Prozesse zu steuern. Das zur Steuerung notwendige Steu­ erprogramm läuft dabei in der Steuereinheit 13 ab, die von Si­ gnaleinheiten 15 Daten, beispielsweise Meßwerte übermittelt be­ kommt, diese verarbeitet und entsprechende Steuersignale an Si­ gnaleinheiten 15 sendet. Signaleinheiten 15 können beispiels­ weise mit Sensoren und/oder Aktoren verbunden sein. Grundsätz­ lich dienen also die Signaleinheiten als Ein/Ausgabe-Einheiten (E/A-Einheiten), während die Steuereinheiten 13 die Verarbei­ tung der Meßwerte vornehmen und in Antwort darauf die Durchfüh­ rung definierter Aktionen veranlassen.

Die Kommunikation der Busteilnehmer 12, 14, d. h. die Übertra­ gung der Daten über den Bus 20 erfolgt nach bestimmten Regeln, sogenannten Protokollen. Im vorliegenden Ausführungsbeispiel erfolgt die Datenübertragung entsprechend dem CAN-Protokoll, das bekannt ist und aus diesem Grund nicht weiter beschrieben werden soll.

Jeder Busteilnehmer 12, 14 weist zur Steuerung des über den Bus 20 laufenden Datenverkehrs einen sogenannten Controller- Baustein 16 auf, der die Verbindung zum Bus 20 herstellt und der zu übertragende Nutzdaten in protokollgemäße Datenrahmen verpackt und diese auf den Bus 20 zur Übertragung gibt. Es han­ delt sich bei diesen Controller-Bausteinen 16 um Standardele­ mente, die von unterschiedlichen Herstellern angeboten werden. Auf deren Aufbau soll aus diesem Grund nicht weiter eingegangen werden.

Die zu übertragenden Nutzdaten, beispielsweise Meßsignale oder Steuerbefehle, werden von Einheiten 17, 18 geliefert. Diese Einheiten 17, 18 können die unterschiedlichsten Funktionen aus­ führen und entsprechend unterschiedlich aufgebaut sein. Im vor­ liegenden Ausführungsbeispiel sei die der Steuereinheit 13 zu­ geordnete Einheit 17 als Mikrocontroller ausgebildet, der ent­ sprechend definierten Algorithmen Berechnungen durchführt, wäh­ rend die der Signaleinheit 15 zugeordnete Einheit 18 beispiels­ weise ein A/D-Wandler ist, der von einem Sensor gelieferte Meß­ signale in digitale Signale umwandelt.

Die Fig. 1 läßt erkennen, daß die Steuereinheit 13 sowie die Signaleinheit 15 mit weiteren Einheiten 17' und 18' versehen sind. Die beiden zusätzlichen Einheiten 17', 18' sollen die gleichen Funktionen wie die entsprechenden Einheiten 17 bzw. 18 ausführen, um auf diese Weise ein redundantes System zu errei­ chen. Je nach Anwendungsfall sind die zusätzlichen Einheiten 17', 18' identisch zu den Einheiten 17 bzw. 18 aufgebaut (redundantes System). Je nach Anwendungsfall lassen sich die Einheiten 17, 17' und 18, 18' auch als diversitäre Systeme auf­ bauen, wobei die jeweils gleiche Funktionalität aufweisenden zusätzlichen Einheiten 17' und 18' gegenüber den anderen Ein­ heiten 17, 18 mit anderen Prozessoren bzw. Prozessoren anderer Hersteller aufgebaut sind.

Diese redundanten oder diversitären Systeme 17, 17' bzw. 18, 18' prüfen sich fortlaufend und melden sofort einen Fehler, wenn Unstimmigkeiten auftreten. Darüber hinaus sorgen sie da­ für, daß bei Ausfall einer Einheit 17, 18 der Busteilnehmer 12, 14 insgesamt nicht ausfällt, so daß definiert abgeschaltet wer­ den kann.

Wie sich aus den bekannten CAN-Protokollen ergibt, führen die Controller-Bausteine 16 Fehlerprüfungen durch, um fehlerhafte Datenübertragungen zu erkennen. Ein Beispiel einer Fehlerprü­ fung ist beispielsweise der sogenannte "Cyclic Redundancy Check" (CRC).

Um ein solches Bussystem auch zur Steuerung sicherheitskriti­ scher Prozesse einsetzen zu können, sind neben der vorgenannten Fehlerüberprüfung durch die Controller-Sausteine 16 weitere Maßnahmen zur Erhöhung der Sicherheit notwendig. Diese zusätz­ lichen Fehlerprüfungs- und Fehlerkorrektur-Mechanismen sind in den Einheiten 17, 17' und 18, 18' implementiert. So kann es sich beispielsweise um zusätzliche CRC-Berechnungen handeln. Zu den weiteren Aufgaben der Einheiten 17, 17', 18 und 18' gehört beispielsweise auch die Überwachung anderer sicherheitsrelevan­ ter Parameter, beispielsweise einer Reaktionszeit des Busteil­ nehmers oder auch Timeouts. Da es für das Verständnis der Er­ findung nicht erforderlich ist, wird auf eine genauere Be­ schreibung dieser Mechanismen verzichtet. Die Einheiten 17, 17', 18 und 18' sorgen zusammen mit den Controller-Bausteinen 16 mithin dafür, daß eine nahezu hundertprozentige Fehlersi­ cherheit bzw. ein hoher Fehleraufdeckungsgrad erzielt wird.

In Fig. 1 ist eine Linie 19 gestrichelt dargestellt, die die beiden Busteilnehmer 12, 14 in einen oberen sicheren Teil und einen unteren nicht sicheren Teil trennt. Der nicht-sichere Teil umfaßt die Controller-Bausteine 16 sowie den Bus 20. Der sichere Teil umfaßt die Einheiten 17, 17', 18, 18', die sich selbst und den Datenverkehr über den Bus 20 mit einer sehr kleinen Wahrscheinlichkeit für nicht erkannte Fehler überwa­ chen.

Die Datenübertragung über den Bus 20 erfolgt mit einer bestimm­ ten Geschwindigkeit, der sogenannten Datenübertragungsrate. Um eine Kommunikation der Busteilnehmer 12, 14 zu ermöglichen, muß die von an den Bus angeschlossenen Busteilnehmern verwendete Datenübertragungsrate gleich sein. Eine Datenübertragung mit unterschiedlichen Datenübertragungsraten läßt das CAN-Bussystem 11 nicht zu.

Die Datenübertragungsrate muß bei sicheren Bussystemen so groß gewählt werden, daß die Reaktionszeit der Busteilnehmer einen festgelegten Wert nicht überschreitet. Die erwähnte Reaktions­ zeit wird insbesondere auch durch die Verfügbarkeit des Bus 20 bestimmt. Hierbei gilt grundsätzlich, daß die Belastung des Busses mit zunehmender Datenübertragungsrate abnimmt. Damit sinkt auch die Zeit, die ein Busteilnehmer 12, 14 warten muß, um über den Bus 20 Daten zu übertragen.

Die maximal einstellbare Datenübertragungsrate wird jedoch be­ grenzt durch die örtliche Ausdehnung des Busses 20. Mit zuneh­ mender Länge des Busses 20, d. h. mit zunehmendem Abstand der Busteilnehmer 12, 14 zueinander, verringert sich die zulässige, d. h. zuvor als sicher ermittelte Datenübertragungsrate bedingt durch die Eigenschaften der elektrischen Leitungen des Busses 20.

Um eine Einstellung der Datenübertragungsrate auf dem Bus 20 zu erreichen, ist erfindungsgemäß eine Zentraleinheit (auch Mana­ gement Device genannt) vorgesehen. Diese Zentraleinheit 30 ist mit dem Bus 20 verbunden und kommt nur einmal im Bussystem 11 vor. Sie übernimmt damit die Einstellung der Datenübertragungs­ raten für alle am Bus 20 angeschlossenen Busteilnehmer 12, 14.

Selbstverständlich ist es auch denkbar, daß die Busteilnehmer 12, 14 in Gruppen aufgeteilt sind und über die Zentraleinheit 30 gruppenweise ansprechbar sind.

Wie die Busteilnehmer 12, 14 ist auch die Zentraleinheit 30 in einen nicht sicheren Teil und einen sicheren Teil getrennt. Der nicht sichere Teil umfaßt ebenfalls einen Controller-Baustein 16, der die Verwaltung der Datenübertragung über den Bus 20 übernimmt. Neben diesem Controller-Baustein 16 ist ein redun­ dantes defizitäres System bestehend aus zwei Einheiten 31, 31' vorgesehen. Die beiden Einheiten 31, 31' besitzen die gleiche Funktionalität, die später noch näher erläutert wird.

In Fig. 2 ist der Aufbau der Einheit 31 dargestellt. Die Ein­ heit 31 umfaßt eine Steuerungseinheit 33, die mit einer ersten Speichereinheit 35 verbunden ist. Die Speichereinheit 35 umfaßt mehrere Speicherzellen, um mehrere Daten ablegen zu können.

Die Steuerungseinheit 33 ist ferner mit zwei weiteren Spei­ chereinheiten 36, 37 verbunden, die zur Speicherung von soge­ nannten Anmeldedaten ausgelegt sind. Die beiden Speichereinhei­ ten 36, 37 sind ihrerseits mit einer Vergleichereinheit 38 ver­ bunden, die ein Ausgangssignal an die Steuerungseinheit 33 lie­ fert. Schließlich ist die Steuerungseinheit 33 noch mit einem sogenannten Timerbaustein 39 versehen.

Die Zentraleinheit 30 und insbesondere die Einheit 31 übt nun die folgende Funktion aus, wobei zur Erläuterung auf das Ab­ laufdiagramm gemäß Fig. 3 Bezug genommen wird.

Beim Start des Bussystems 11, d. h. beim Einschalten aller Bu­ steilnehmer 12, 14, 30 stellen die Controller-Bausteine 16 eine niedere vorgegebene Datenübertragungsrate, vorzugsweise 20 kBaud ein. Dieser niedere Wert (Default-Wert) ist in einer Speicherzelle der Speichereinheit 35 der Zentraleinheit sowie in entsprechenden Speicherzellen (nicht gezeigt) der Busteil­ nehmer 12, 14 abgelegt. Der gewählte Wert soll gewährleisten, daß sämtliche am Bus 20 angeschlossenen Busteilnehmer 12, 14 - unabhängig von der Ausdehnung des Busses 20 - kommunizieren können. Die elektrischen Eigenschaften der den Bus bildenden Leitungen sollen sich bei dieser geringen Datenübertragungsrate nicht negativ auswirken.

Die Busteilnehmer 12, 14 übertragen mit der niederen Datenüber­ tragungsrate nun in dieser ersten Phase Datentelegramme über den Bus 20, die alle an die Zentraleinheit 30 adressiert sind. Diese Datentelegramme beinhalten Daten, die eine Erkennung bzw. Identifikation des sendenden Busteilnehmers 12, 14 erlauben. Diese sogenannten Anmeldedaten werden von der Zentraleinheit 30 empfangen und in der zweiten Speichereinheit 36 abgelegt. Nach Ablauf einer bestimmten Zeitdauer, die durch den Timerbaustein 39 bestimmt wird und ab dem letzten Abspeichern eines Anmelde­ datums gemessen wird, liest die Steuerungseinheit 33 aus der ersten Speichereinheit 35 ein dort vor dem Einschalten des Bus­ systems abgelegtes Datum aus. Dieses Datum repräsentiert einen Wert einer Datenübertragungsrate, die unter sicherheitsbezoge­ nen Gesichtspunkten der maximal zulässigen Datenübertragungsra­ te entspricht. Dieses Datum bzw. dieser Wert wird in ein Daten­ telegramm verpackt und über den Bus 20 an alle Busteilnehmer 12, 14 gesendet.

Die Busteilnehmer 12, 14 empfangen dieses Datentelegramm (beispielsweise ein sogenanntes Broadcast-Telegramm, das an al­ le Teilnehmer adressiert ist) und verarbeiten die enthaltenen Nutzdaten derart, daß sie die eingestellte Datenübertragungsra­ te auf den neuen Wert umstellen. Das vorgenannte Datentelegramm wird von der Zentraleinheit 30 noch mit der niederen Datenüber­ tragungsrate gesendet.

Nach Empfang des Datentelegramms und dem Umsetzen der Daten­ übertragungsrate auf den größeren Wert, vorzugsweise 200-250 kBaud melden sich die Busteilnehmer 12, 14 erneut bei der Zen­ traleinheit 30 an. Hierfür senden sie mit der höheren Daten­ übertragungsrate an die Zentraleinheit 30 adressierte Datente­ legramme, die die Anmeldedaten enthalten. Diese Anmeldedaten werden in der dritten Speichereinheit 37 abgelegt.

Sobald eine durch den Timerbaustein 39 erfaßte Zeitdauer seit dem Eintreffen des letzten Datentelegramms einen bestimmten Wert überschreitet, gibt die Steuerungseinheit 33 den Befehl an die Vergleichereinheit 38 die in den beiden Speichereinheiten 36, 37 abgelegten Anmeldedaten miteinander zu vergleichen. Stellt sich dabei heraus, daß sich nach dem Hochsetzen der Da­ tenübertragungsrate bestimmte Busteilnehmer nicht erneut ange­ meldet haben, schließt die Steuerungseinheit 33 auf einen Feh­ ler und schaltet das Bussystem sofort ab, so daß die gesteuer­ ten sicherheitskritischen Prozesse in einen sicheren Zustand überführt werden.

Ein möglicher Fehler könnte beispielsweise darin bestehen, daß ein Busteilnehmer für die eingestellte höhere Datenübertra­ gungsrate zu weit entfernt von der Zentraleinheit 30 liegt. Um diesen Fehler zu beheben, ist es notwendig, das Bussystem mit einer geringeren Datenübertragungsrate zu fahren. Ein solcher geringerer Wert ist in einer weiteren der Speicherzellen der Speichereinheit 35 abgelegt.

Beim nächsten Neustart des Bussystems 11, der durch das zuvor erläuterte fehlerbedingte Abschalten notwendig wird, wird nun das vorgenannte Verfahren zur Einstellung der Datenübertra­ gungsrate erneut durchgeführt, wobei allerdings als Wert für die Datenübertragungsrate der nächste kleinere Wert aus der Speichereinheit 35 ausgelesen wird. Selbstverständlich ist es auch denkbar, diesen kleineren Wert vor dem Neustart manuell an der Zentraleinheit 30 einzugeben und nicht auf abgelegte Werte zurückzugreifen.

Wird bei dem oben erwähnten Vergleich der in den beiden Spei­ chereinheiten 36, 37 abgelegten Anmeldedaten eine Übereinstim­ mung festgestellt, so kann das Bussystem 11 mit der eingestell­ ten Datenübertragungsrate arbeiten. Alle Teilnehmer sind in der Lage, mit dieser Datenübertragungsrate zu kommunizieren.

Um die Sicherheit des Bussystems zu erhöhen, wird durch die Zentraleinheit 30 zyklisch geprüft, ob alle anfangs registrier­ ten Teilnehmer noch vorhanden, d. h. sende- und empfangsbereit sind. Diese Überprüfung wird dadurch durchgeführt, daß die Zen­ traleinheit 30 ein Datentelegramm über den Bus 20 verschickt, das das Kommando für die Busteilnehmer 12, 14 enthält, Anmelde­ daten zurückzusenden. Diese Anmeldedaten werden wiederum in der dritten Speichereinheit 37 abgelegt und nach Ablauf einer durch den Timerbaustein 39 vorgegebenen Zeitdauer mit den anfangs er­ faßten Anmeldedaten verglichen. Eine Nicht-Übereinstimmung der Anmeldedaten führt zum sofortigen Abschalten des Bussystems 11, während eine Übereinstimmung der Daten keine weiteren Aktionen nach sich zieht.

Für den Fall, daß Busteilnehmer 12, 14 während des Betriebs des Bussystems 11 mit der hohen Datenübertragungsrate angeschlossen werden sollen, weisen die Einheiten 17, 17', 18 und 18' eine Datenübertragungsraten-Erkennungseinheit 40 auf. Diese Erken­ nungseinheiten 40 dienen dazu, die auf dem Bus 20 vorhandene Datenübertragungsrate zu erkennen und den Controller-Baustein 16 entsprechend einzustellen. Danach sendet der neue Busteilnehmer 12, 14 ein Datentelegramm an die Zentraleinheit 30, um sich dort anzumelden. Die entsprechenden Anmeldedaten werden in diesem Fall in der zweiten Speichereinheit 36 abge­ legt. Bei der nächsten zyklischen Überprüfung, ob alle Busteil­ nehmer sende- und empfangsbereit sind, werden dann die Anmelde­ daten des neu angeschlossenen Busteilnehmers in der dritten Speichereinheit 37 abgelegt, so daß der Vergleich zu einer Übereinstimmung führen kann.

Wie bereits erwähnt, umfaßt die erste Speichereinheit 35 eine Vielzahl von Speicherzellen, die unterschiedliche Werte für Datenübertragungsraten aufnehmen können. Diese Datenübertra­ gungsraten lassen sich vor Inbetriebnahme der Zentraleinheit 30 eingeben. Selbstverständlich ist es auch denkbar, diese Daten während des Betriebs zu verändern. Typische Werte für abgespei­ cherte Datenübertragungsraten sind 20 kBaud als Standard- Startwert, 50 kBaud, 100 kBaud, 125 kBaud, 150 kBaud, 200 kBaud, 250 kBaud und 500 KBaud. Selbstverständlich sind auch andere Abstufungen denkbar.

Es zeigt sich nach alledem, daß das erfindungsgemäße Feldbus­ system eine sehr einfache Einstellung definierter sicherer Da­ tenübertragungsraten für alle Busteilnehmer ermöglicht. Die ma­ nuelle Einstellung der Busteilnehmer entfällt somit. Darüber hinaus werden auch während der Einstellung einer Datenübertra­ gungsrate alle für die Sicherheit wichtigen Werte, wie Reakti­ onszeiten, Übertragungsfehler, Timeouts, etc. sicherheitsrele­ vant überwacht. Veränderungen der Leistungsdaten des Bussystems haben deswegen keinen Einfluß.

Es versteht sich, daß die Funktionalität der Zentraleinheit 30 mit der Funktionalität anderer Busteilnehmer kombiniert werden kann, ohne den Rahmen der Erfindung zu verlassen. Es ist denk­ bar, die Zentraleinheit 30 in eine Steuereinheit 13 zu inte­ grieren. Darüber hinaus ist es durchaus möglich, die Einheit 31 in einer anderen als in Fig. 2 gezeigten Weise aufzubauen, um die gleich Funktionalität zu erzielen.

Claims (15)

1. Verfahren zur Einstellung einer Datenübertragungsrate in einem Feldbussystem (10), das zur Steuerung sicherheits­ kritischer Prozesse geeignet ist und das zumindest einen an einen Feldbus (20) angeschlossenen Teilnehmer (12, 14) umfaßt, dadurch gekennzeichnet, daß sich der/die Teilneh­ mer in einer ersten Phase mit einer niederen ersten Daten­ übertragungsrate bei einer zentralen am Feldbus ange­ schlossenen Einheit (30; Zentraleinheit) anmelden; und daß die Zentraleinheit (30) in einer zweiten Phase die Daten­ übertragungsrate bei dem/den Teilnehmer(n) (12, 14) auf ei­ nen vorgegebenen höheren zweiten Wert setzt.

2. Verfahren nach Anspruch 1, dadurch gekennzeichnet, daß sich der/die Teilnehmer (12, 14) in einer dritten Phase mit der höheren Datenübertragungsrate erneut bei der Zen­ traleinheit anmelden; und daß die Zentraleinheit (30) den Feldbus (20) abschaltet, wenn sie eine Abweichung der An­ zahl der in der ersten und der dritten Phase angemeldeten Teilnehmer (12, 14) feststellt.

3. Verfahren nach Anspruch 1 oder 2, dadurch gekennzeichnet, daß die erste Phase mit dem Einschalten des Feldbussystems (10) gestartet wird.

4. Verfahren nach Anspruch 1, 2 oder 3, dadurch gekennzeich­ net, daß die Zentraleinheit (30) in der zweiten Phase an alle Teilnehmer (12, 14) Datentelegramme sendet, die den Befehl zur Umschaltung der Datenübertrsgungsrate auf den zweiten Wert enthalten.

5. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß die Zentraleinheit (30) die dritte Phase beendet, wenn seit der letzten Anmeldung eines Teil­ nehmers (12, 14) eine vorgegebene Zeitdauer ohne neue An­ meldung eines Teilnehmers vergangen ist.

6. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß der erste Wert der Datenübertragungs­ rate der Standard-Übertragungsrate und der zweite Wert dem Zielwert des Feldbussystems entspricht.

7. Verfahren nach einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, daß ein nach Ablauf der dritten Phase mit dem Feldbus (20) verbundener neuer Teilnehmer (12, 14) die Datenübertragungsrate auf dem Feldbus (20) erfaßt und sich mit dieser Datenübertragungsrate bei der Zentraleinheit (30) anmeldet.

8. Feldbussystem zur Steuerung sicherheitskritischer Prozes­ se, mit einem Feldbus (20), an dem zumindest ein Teilneh­ mer (12, 14) angeschlossen ist, dadurch gekennzeichnet, daß eine Zentraleinheit (30) vorgesehen ist, die über den Feldbus (20) mit den Teilnehmern (12, 14) kommuniziert und eine Umschalteinrichtung (33) umfaßt, um die Datenübertra­ gungsrate auf dem Feldbus und bei den Teilnehmern von ei­ nem ersten niederen Wert auf einen zweiten höheren Wert zentral umzustellen.

9. Feldbussystem nach Anspruch 8, dadurch gekennzeichnet, daß die Zentraleinheit einen erste Speichereinheit (35) auf­ weist, in der der erste und der zweite Wert der Datenüber­ tragungsrate abgelegt sind.

10. Feldbussystem nach Anspruch 8 oder 9, dadurch gekennzeich­ net, daß die Zentraleinheit (30) eine zweite und eine dritte Speichereinheit (36, 37) zur Speicherung von Anmel­ dedaten umfaßt, wobei die am Feldbus (20) angeschlossenen Teilnehmer (12, 14) die Anmeldedaten liefern.

11. Feldbussystem nach Anspruch 10, dadurch gekennzeichnet, daß die Zentraleinheit (30) eine Vergleichereinrichtung (38) umfaßt, die die in der zweiten und der dritten Spei­ chereinheit (36, 37) gespeicherten Anmeldedaten ver­ gleicht, wobei die Zentraleinheit (30) bei einer Nicht­ übereinstimmung eine Abschaltung des Feldbusses (20) durchführt.

12. Feldbussystem nach Anspruch 11, dadurch gekennzeichnet, daß die Zentraleinheit (30) eine Zeitmesseinrichtung (39) umfaßt, die mit der Vergleichereinrichtung (38) verbunden ist und den Vergleich nach Ablauf einer vorgegebenen Zeit seit dem Hochsetzen der Datenübertragungsrate initiiert.

13. Feldbussystem nach einem der Ansprüche 8 bis 12, dadurch gekennzeichnet, daß der Feldbus (20) ein serieller Bus ist.

14. Feldbussystem nach einem der Ansprüche 8 bis 13, dadurch gekennzeichnet, daß der Feldbus (20) ein CAN-Bus (11) ist.

15. Feldbussystem nach einem der Ansprüche 8 bis 14, dadurch gekennzeichnet, daß der Teilnehmer (12, 14) eine Erken­ nungseinrichtung (40) aufweist, die die Datenübertragungs­ rate auf dem Feldbus erfaßt und die Datenübertragungsrate des Teilnehmers (12, 14) in Antwort darauf einstellt.