DD265020A1 - Schaltungsanordnung zur signaltechnisch sicheren ansteuerung und ueberwachung von prozesselementen - Google Patents

Abstract

Die Erfindung betrifft eine Schaltungsanordnung zur signaltechnisch sicheren Steuerung und Ueberwachung von Prozesselementen auf der Basis von digitalen Signalprozessoren bzw. Einchipmikrorechnern, die ueberall dort einsetzbar ist, wo hohe Sicherheitsanforderungen bestehen, wie z. B. bei der Prozesssteuerung in Kraftwerken, der Chemie und insbesondere beim schienengebundenen Verkehr. Erfindungsgemaess besteht die Schaltungsanordnung aus einem Sende-/Empfangsmodul, welcher ueber zwei Lichtwellenleiter mit einem Steuer-/Rueckmeldemodul gekoppelt ist, der mit Sicherheitsstromkreisen in Verbindung steht.

Description

Hierzu 3 Seiten Zeichnungen

Anwendungsgebiet der Erfindung

Die Erfindung betrifft eine Schaltungsanordnung, die überall dort olnsoubar ist, wo en die Sicherheit und Zuverlässigkeit Steuerung und Überwachung von Prozeßelomenten, wie z. B. bei der Prozeßsteuerung in Kraftwerken, der Chemie und insbesondere beim schienengebundenen Verkehr, hohe Anforderungen gestellt werden.

Charakteristik des bekannten I 'tandea der Technik

I '· ist bekannt, signaltechnisch sichere Schaltungen zur Steuerung und Überwachung von Prozeßelementen mit fehlerslc Bauelementen, z.B. Signalrelais, aufzubauen. Diese fehlersicheren Bauelemente werden technologisch kompliziert herge und sind daher teuer. In der Eisenbahnsicherungstechnik werden die Signalrelais zur Steuerung der Außenanlage zentral Stellwerk angeordnet, so daß zu jedem Element der Außenanlage, z. B. jeder einzelnen Lampe eines Signales ein eigener Stromkreis geführt wird. Dadurch entsteht in Abhängigkeit der Entfernungen der Außenanlagen vom Stellwerk ein große Aufwand an Kabeln.

Es ist weiterhin bekannt, die Stellwerksinnenanlage mit elektronischen Bauelementen aufzubauen und die notwendige eigneltechnische Sicherheit der Stellwerkseinrichtung durch entsprechende Systemgestaltung wie z. B. redundante Syster Vergleich zu erreichen.

Einrichtungen zum Steuern und Überwachen der Außenanlagen können hierbei auch elektronische Schaltungen nein, wob dann meist redundant in einem Verbraucherttromkreis angeordnet werden.

Diese Einrichtungen sind aber auch zentral im Stellwerk angeordnet und es entsteht somit ein ebenso großer Kabolaufwe den Anschluß der Außenanlagen wie bei der Anwendung von Signalrelais.

Ein weiteres Problem entsteht durch die elektrische Traktion bei der Eisenbahn, da dadurch die parallel zu den Gleisen ll«ge Kabel zu den Außenanlagen beeinflußt werden. Diese Beeinflussungsspannungen sind abhlngig von der Kabellänge unc können im Falle des Erdschlusses eines Stromkreises signa'technisch gefahrliche Auswirkungen auf diesen Stromkreis hai Um diese Möglichkeiten auszuschließen ist es bekannt die Stromkreise zu den Außenanlagen mit Erdschlußmeldeeinrlchti auszurüsten und auf Erdfreiheit zu prüfen

Das bedeutet «inen erheblichen zusätzlichen Aufwand.

Es ist weiterhin bekannt, ein Teil der Einrichtungen, die der Verknüpfung und der Steuerung und Überwachung der Außenanlageti dienen, dezentral in unmittelbarer Höhe der AuGenanlagen anzuordnen, um somit Kabel einzusparen. In (J Fall sind die dezentralen Einrichtungen meist aufwendig und komplizieren dadurch die Wartung und Instandhaltung. WeI müssen bei diesen Einrichtungen für die Infornationsübertragunoen zwischen zentralen und dezentralen Einrichtungen aufwendige Üfoertragungeeysteme eingesetzt werden. Bei der Anwendung von Kupferkabeln für den Übertragungskanal müssen außerdem Maßnahmen zur Unterdrückung der Wirkung von Beeinflussungsspannungeii ergriffen werden

Es ist auch bekannt, die Innenanlage eines Stellv/erkes vollelektronisch aufzubauen und die Signale über Lichtwellenleiter ( sternförmig anzuschließen. Hierbei werden die .tür Steuerung aller zu einem Signal gehörenden Signallampen erforderte Daten über eine Ader des LWL zum Signal übertragen. Dort erfolgt die Aufschlüsselung der Daten auf die einzelnen Lampenatromkreise und über SteMschaltungen die Verknüpfung mit der Stellenergie. In den Lampenetromkreisen sind wai Überwarher angeordnet, die eine Meldung über den Zustand des jeweiligen Stromkreises erzeugen. Die Moldungen aller Stromkroise eines Signals werden zusammengefaßt und über eine ι weite Ader dso LWL zur Innenanlage übertragen. Bei Anordnung wird die Datenübertragung zum Signal und vom Signal zur Innenanlage in bestimmtem Zyklus stSndlg wlede Zugleich ist am Signal ein Schaltglied angeo.dnei das durch die zyklisch sich wiederholenden Daten, u. U. antivalente Da gestellt wird und bei Ausfall der zyklischnn Datenübertragung die andore Lege einnimmt und dadurch am Signal einen ungefährlichen Zustand einstellt. DIo slgnaltechniitche Sicherheit wird bei dieser Anordnung durch die zusätzliche Elnbezie sichorungstechnischer Schaltmittel (z. d. Signalrelais) in die An· bzw. Abschaltfunktion erreicht. Auf Grund dos Umstände die eben diskutierte Schaltungsanordnung von einem nicht niher dargestellten sitheron Mikrocomputer gesteuert wird, I die Ansteuerung nur einkanallg erfolgen, was vom Standpunkt der Sicherheit eine Scnwanhstelle darstellt. Darüber hinaus diese Einrichtung nicht autark arbeiten, sondern beansprucht einen sicheren Mikrocomputer für die Steuerung und Überwachung der Prozeßelemente. Dies wirkt sich negativ Im Hinblick auf die durchgingige Diagnostlzierba.keit der Schaltungsanordnung und insbesondere bei Ausfall des vorgeschalteten sicheren Mikrorechners aus.

Die Erfindung verfolgt des Ziel, den Aufwand bei der Überwachung und Steuerung sicherungstechnischer Verbraucher zu senken, insbesondere den Aufwand an Kabeln und sicherungstechnischen Spozialbauelementen. Dabei sollten alle sicherungstechnischen Forderungen eingeholten werden, d.h. die Stör- und Beeinflussungssicherheit der Gesamtanlage gewährleistet werden.

Darlegung das Wesens der Erfindung

Der Erfindung lag die Aufgabe zugrunde, eine Schaltungsanordnung zu schaffen, mit de' Prozeßelemente signaltechnisch sichrr angesteuert und überwacht werden können, wobei die Sicherheit ohne Anwendung sicherungstechnischer Spozialbauelemente in die Umsetzungs-, Steuerungs- und Übertragungsoinrichtungen durch die Verwendung redundanter Kanäle erreicht werden soll.

Erfindungsgemäß wird die Aufgabe dadurch gelöst, daß ein Sonde-/Empfangsmodu!, der eine Sendeeinheit und eine Empfangseinheit enthält, die über eine erste Koppeleinheit miteinander und jeweils mit einer buskoppeleinheit bidirektional verschaltet sind, über zwei getrennte Lichtwellenltiiter mit einem vor On befindlichen Steuer-ZRückmeldemodul verbunden ist. Dabt-i werden über den einen Lichtwellenleiter nur Steuerdaten bzw. Steuerkommandos und über den anderen nur Rückmeidebzw. Zustandsdaten und Diagnosedaten Übertragern. Der Steuer-/Rückmeldemodul besteht orfindungsgemäß aus einer Steuereinheit und einer Rückmeldeeinheit, die übor eine zweite Koppeieinheit miteinander und jeweils mit uiner Ein-/ Ausgangsschaltung verknüpft sind. Die η Ausgänge dor beiden Ein-Musgangsschaltungen sind jeweils mit einer Schalteinrichtung und die η Eingänge mit je einer Überwachungseinrichtung der zu steuernden und überwachenden Sichurheitsstromkreise verknüpft.

Dio Sende- und Empfangeeinheit ist realisierbar auf der Basis von Einchipmikrorechnern, deren jeweiliger serieller Datenoingang mit jeweils einer Empfangsschaltung gekoppelt ist. Eingangsseitig sind die beiden Empfangsschaltungen jeweils mit Informationen, die zwischen den beiden Einchipmikrorechnern auszutauschen sind, beaufschlagt. Darübe: hinaus ist die Empfangsschaltung, die dem Einchipmikrorechner der Empfangseinheit zugeordnet ist, mit den Rückmeldedaten vom Steuer·/ Rückmeldemodul beschaltet. Jeder Einchipmikrorechnor des Sende/Empfangsmoduls ist weiterhin jeweils über eine Ansteuerschaltung mit einer Fehlanzeige sowie mit einer gemeinsamen Fehlermeldelogik gekoppelt. Die Steuer- und Rückmeideeinheit ist ebenfalls jeweils auf der Basis von Einchipmikrorechnern realisiort, wobei der serielle Eingang des Einchipmikrorechners der Steuereinheit ebenfalls mit einer Empfangsschaltung gekoppelt ist. Eingangsseitig ist diese Empfangsschaltung mit den über eine Empfängerschaltung bereitgestellten Steuerdaten des Sende-/Empfangsmoduls sowie Ausgangsinformationen des Einchipmikrorechners der Rückmeldeeinheit beschaltet. Der serielle Ausgang des Einchipmlkrorochners der Rückmeldeeinheit ist hingegen mit der Koppeleinheit und mit einem Tor, welches über eine Sendeschaltung mit dem Lichtwellenleiter für dio Rückmeldedaten verbunden ist, verknüpft.

Die Ein-/AusgengsRchaltungen des Steuer-ZRückmeldemoduls beinhalten jeweils einen steuerbaren Ein- und Ausgangstreiber, deren η Ein- bzw. Ausgänge mit den Sicherheitsstromkroisen gekoppelt sind.

Jede der beiden Koppeleinheiten realisiert den erforderlichen galvanisch getrennten Informationsaustausch sowie die Interruptsteuerung im Sendo/Empfa ige- sowie Steuer/Rückmeldemodul.

Die Erfindung ist weiterhin dadurch gekennzeichnet, daß die auf den Ein-ZAusgabebussen bereitgestellten Steuerdaten erst nach Austausch über die erste Koppeleinheit und anschließendem Vergleich der Steuerdaten in der Sende- unc* Empfangseinheit zeitzyklisch zum Steuer/Rückmeldemodul übertragen werden. Nach erfolgter Übertragung der Steuerdaten werden durch erneuten Informationsaustausch in d6r Steuer- und Rückmeldeeinheit über die zweito Koppeleinheit sowie anschließenden Vergleich redundante Steuerdaten bzw. Steuerkommandos an die Ein/Ausgangsschaltungen bereitgestellt. Die von den Überwachungseinrichtungen der Sicherheitsstromkreise generierten Rückmeldedaten werden wiederum zwischen dsr Steuer- und Rückmeldeeinheit ausgetauscht, verglichen und nachfolgend die getesteten Rückmeldedaten bzw. Zustandsdaten zur Empfangseinheit übertragen. Nach beendeter Übertragung der getesteten Zustandsdaten erfolgt in der Sende- und Empfangseinheit ein Vergleich der ausgetauschten Daten sowie entsprechende Plausibilitätstests. Nach diesen Aktivitäten werden entsprechende Meldungen auf die Eln-/Ausgabebusse abgesetzt und im Fehlerfall die Abschaltung das betreffenden Sicherheitsstromkreises eingeleitet bzw. ein sicherer Endzustand erzwungen. Durch diosen erfindungsgemäß vorgegebenen Arbeitsablauf ist sichergestellt, daß ein Ausbleiben odar Verfälschen von Informa'ionen innerhalb des Ringes Sendeeinheit — Steuereinheit - Rückmeldeeinheit — Empfangseinheit — Sendeeinheit mehrfach erkannt wird und damit eine vorgeschriebene Rt«ktion von mehreren unabhängigen Einheiten und auf mehreren unabhängigen Wegen erfolgt. Ausführungsbelspltl

Dio Erfindung soll nachstehend anhand eines Aueführungsbeispieles naher erläutert werden. Es zeigen:

Fig. 1: das Gesamtschaltbild der Erfindung

Fig. 2: eine Ausführungsform des Sende/Empfangimodul und

Fig. 3: eine Ausführungsform des Steuer-ZRückmeliJemoduls

Die orfinriungsgemnße Schaltungsanordnung gemiiß Fig. 1 besteht aus zwei Moduln, dem

— Sende-/Empfani|smodulSEMund

— Steuer'/Ruckmeldnmodul SRM, die über einen ersten und zweiten Lichtwellenleiter LWL1, LWL 2 miteinander verbunden sind. Der Lichtwollenleiter LWL1 dient hierbei ausschließlich zur Übertragung von Steuerinformationen für eine Menge von η Sicherheitsstromkreisen SSK1... SSKn. Dagegen ist der Lichtwellenleiter LWL2 nur für die Übermittlung von Rückmeldedaten bzw. Zustandsdaten von den o.g. SicherhelUstromkreisen an den Sende/Empfangamoüul SEM vorgesehen.

Die wesentlichen Bestandteile des Moduls SEM sind eine

— Sendeeinheit SE mit einer Buskoppeleinheit BK1 und einer (optoelektronischen) Sendeschaltung SI₁

— Empfangselr.ic»", JE mit einer Buskoppeleinheit BK 2 und einer (optoelektronischen) Empfangerschaltung E1 und ·- eine Kopie'einheit KE1 zwischen Sende- SE und Empfangseinheit EE (s. Fig. 1 und 2).

Der Steuer /Rückmeldemodul SRM setzt sich vor allem aus einer

— Steuereinheit STE mit einer (optoelektronischen) Empfängerschaltung E 2 und einor Ein-Musgangsschaltung EAS1,

— Ruckmeldeeinheit RE mit einer (optoelektronischen) Sendeschaltung S 2 und einer Ein-/Ausgangsschaltung EAS 2 und

— einer Koppeleinheit KE 2 zwischen Steuer- STE und Rückmeldeeinheit RE zusammen (s. Fig. 1 u. 3).

Sowohl der Sende/Empfangemodul SEM als auch der Steuer-ZRückmeldemodul SRM sind vorzugsweise jeweils mit digitalen Signalprozessoren bzw. Einchipmikrorechnern realisiert. Während der Modul SEM über redundante serielle Ein-/Ausgabebusse EABI₁EAB2 die Kommunikation mit einem

übergeordneten redundanten Rechnersystem (hier nicht dargestellt) wahrnimmt, führt der Steuer/Rückmeldemodul SRM vor

Ort die SteuerauftrAge von der Sendeeinheit SE aus und liefert die entsprechenden Ruckmeldedaten an die Empfangeeinheit EE

zurück (Fig. 1). Die Steueraufträge werden dabei zeitzyklisch über den Lichtwellenleiter LWL1 an die Steuereinheit STEübertragen. Annlog hierzu erfolg*, die Sendung der Rückmeldedaton von der Ruckmeldeeinheit RE über den Lichtwellenleiter

LWL 2 an die Empfangseinheit EE. Beim Ausbleibon der Steuerauft.ägn bzw. den Steuerauftragen entsprechenden Rückmeldedaten über eine festgelegte Zykluseinheit hinaus ist durch die erfindungegemfiße Lösung mit hoher Sicherheit ein

definiertes Abschalten un* Hne Fehlermeldung gewährleistet. Dies wird dadurch erreicht, daß ein Ausbleiben oder Verfalschenvon Informationen an irgenojiner Stelle in dem Ring Sendeeinheit SE — Steuereinheit STE — Rückmeldeeinheit RE —

Empfangseinheit EE — Sendeeinheit SE mehrfach erkannt wird und damit gesichert ist, daß eine vorgeschriebene Reaktion von

mehreren unabhängigen Einheiten und auf mehreren unabhängigen Wegen erfolgt. Prozeßelemente PEi, deren stromführender

Zustand eine Gefahrdung darstellen könnte, werden im Fehlerfall bleibend abgeschaltet und Moldeeinrichtungen MEk, deren

stromführender Zustand ein Gefahrenmoment signalisiert, werden angeschaltet (β. Fig. 1).

Am Utispiel des Einsatzes von Einchipmikrorechnern, die die Funktion der Sende- SE, Steuer- STE, Rück'neide- RE und Emp'angseinheit EE übernehmen, sol! die Schaltungsanordnung bzw. der erfindungsgemaß vorgegebene Arbeitsablauf in 10 Schritten im Detail erläutert werden.

Schritt 1

Vom übergeordneten redundanten Rechnersystem werden zeitzyklisch Informationen an den Modul SEM übergeben. Zu diesem Zweck ist vorher auf die seriellen Ein-/Ausgabebusse EAB1, EAB 2 die in den Buskoppeleinheiten BK1, BK 2 eingestellte Adresse

des Moduls SEM zu legen. Nach Dekodierung der Adresse in der jeweiligen Buskoppeleinheit wird jeweils über eine

Steuerleitung SO ein aktives Signal an das Tor TO einer Empfangsschaltung EM 1 und EM 2 geführt, wodurch die Tora T11n der Empfangsschaltung EM1 und die Tore T1 und T2 in der Empfangsschaltung EM 2 geschlossen werden und das Einlesen der Informationen von redundanten Rechnersystem in die Einchipmikrorechner EMR11 und EMR 21 auf der jeweiligen seriellen IN-Leitung freigegeben ist. Die Informationen gelangen dann vom Ein-ZAusgabebus EAB1, EAB 2 Ober die Buskoppeleinheiten BK1, ßX 2, die INO-Leltung, Tor TO zum Einchipmikrorechner EMR11, EMR 21 (siehe Fig. 2).

Sehritt 2

Das Übertragungstelegramm vom übergeordneten Rechnersystem bzw. die Signatur davon wird über die Koppeleinheit KE1

zum Zwecke des Eingangsdatenvergleiches zwischen den Einchipmikrorechnern EMR11, EMR21 ausgetauscht. Dieser

Datenvergleich findet in beiden Einchipmikrorechnern nach dem (2von 2)-Prinzip statt. In Vorbereitung dessen sind bestimmte Signale auf den jeweils zugeordneten Steuerleitungen Si (gestrichelt dargestellt) zu aktiv! »^ren. Sendet ζ. B. der Einchipmikrorechner EMR11 an EMR21 muß der Rechner EMR11 Signale auf den Leitungen S1, S3 und S6

generieren, die das Sperren der Tore T1 und T3 sowie der Buskoppeleinheit BK1 bewirken und ein Signal auf die

SteuerleitungS4 legen, welches die Koppeleinheit KE1 für die Datenübertragung zum Rechner EMR21 öffnet. Vom Rechner EMR21 wird für die Vorbereitung des Datenaustausches über die Steuerleitung S2 und S3 das Tor T2 und die Buskoppelelnhelt BK 2 gesperrt

und über die Leitung S1 das Tor T1 geöffnet. Eingeleitet wird der Sendevorgang über die Interruptleitung INT1 bzw. INT2. Der

Vorgang des Eingangsdntanvergleiches wird vom jeweils anderen Einchipmikrorechner zeltlich überwacht. Nach einer

bestimmten Zeit wird das Vergleichsergebnis dem jeweils anderon Partner mitgeteilt.

8chrftt3

Weist eines der Vergleichsergebnisso irgendeine Abweichung aus bzw. tritt eine Zeitüberschreitung auf, sind von jedem Rechner EMR11, EMR21 Meldungen zu generieren für

— das übergeordnete Rechnersystem,

— eine Fehleranzeige FA 1.FA2 vor Ort und

— ^rür eine Fehlermeldelogik FML, die mit einem unabhängigen Lampensystem (nicht dargestellt) verbunden Ist. Für die Hehleranzeige FA1 und FA2 bzw. für die Fehlermeldelogik FML sind von den Rechnern EMR11, EMR21 die Ansteuerscr altunjen AS 1, AS 2 über die Steuerleitungen S6 und SS zu aktivieren und mit entsprechenden Daten zu versorgen. Darübttr hinaus können bei bedenklichen Fehlern vom Rechner EMR11 bewußt die »!!zyklischen Steuerinformotlorien an die Steuereinheit STE unterdrückt werden, um dadurch bei den Sicherheitsstromkreisen SSK1... SSKn ein« definierte Umschaltung herbeizuführen.

8chrrtt4

Sind beim Elngangsd itenverglelch kelno Fehler festgitstellt worden, werden die Stauerinformationen, die aus einem Datenblock

und einem dazugehörigen artivalenten Datenblock bestehen, ausschließlich durch den Rechner EMR11 Ober die OUT-Liltung,das Tor T3, Sendeschaltung S1 und dem Llchtwellenloiter LWL1 an die Steuereinheit STE zu einem vorgegebenen Zaltzyklucausgegeben. Hierzu muß zuvor vom Rechner EMR1 über die Steuorleltung S3 und S1 die Buskoppelelnhelt BK1 und Tor T1gesperrt und über die Steuerleitung SB Tor T3 geöffnet werden (FOg. 2).

Schritte

Die Steuerinformationen werden von der Empfängerschaltung E 2 über die IN 0-Leitung, Tor TO der Empfangsschaltung EM und IN-Leitung zum Einchipmikrorechner EMR12 weitergeleitet (s.Fig.3). Bevor bei den Slcherhaltsetromkrelsen SSK1 ...SSKn Schaltvorgange eingeleitet werden, erfolgt eine Übergabe der Steuerinformationen (der antivalente Datenblock) vom Rechner EMR12 an EMR 22 (Ober die serielle OUT-Leitung des Rechners EMR12, der Koppeleinhalt KE 2 und dar seriellen In-Leltung vom Rechner EMR22). Dazu müssen auf dan Steuerleitungen S2 bzw. 83 von dan Rechnern EMR12 bzw. EMR22 Steuersignale

aktiviert werden. Der Informationsaustausch wird dann durch Interrupt auf den Leitungen INT1 bzw. INT2 eingeleitet. Die Übergabe der antivalenten Steuerinformationen wird vorgenommen, um zu gewährleisten, daß die o.g. Sicherheitsstromkreiso auf zwei völlig voneinander getrennten Kanälen beeinflußt werden. Jeder dieser Sicherheitsstromkreise SSK1... SSKn besteht aus der Reihenschaltung von zwei Schalteinheiten SEi. 1, SEi.2, zwei gleichartigen Überwachungseinheiten UEi. 1, UEi.2 und einem Prozeßelement PEi (siehe Fig. 1 bzw. 3).

Schritte

Entsprechend dem jeweiligen Steuerkommando übergeben die beiden Rechner EMR12, EMR22 Ausgangstreibdrn ATI, AT2 eine Bitfolge, die von diesen übernommen und zwischengespeichert werden, wenn die Steuerleitungen S 5 und S 7 ein aktives Signal füller. An die η Ausgänge dor o.g. Ausgangstreiber sind im vorliegenden Beispiel Schalttransistoren Ti.1, Ti.2 angeschlossen, dio das i-te Prozeßelement PEi (bzw. hier eine Signallampe Li) im Sicherheitsstromkreis SSKi ein- bzw.

ausschalten. Die Rückmeldedaten bzw. Zustandsdaten von den Sicherheitsstromkreisen SSK1 ...SSKn werden gemäß Fig.3 über Optokoppler OKi. 1, OKi.?, die mit Schwollwertschaltern Si. 1, Si.2 verbunden sind, gewonnen und in Eingangstroibern ET 1, ET2 nach Generierung eines Signals auf den Steuerleitungen S6 und S8 gespeichert und dann von den Rechnern EMR12, EMR 22 separat eingelesen.

Schritt 7

In jedem Rechner des Moduls SRM werden die Rückmeldedaten auf Plausibilität geprüft und das Ergebnis der Prüfung über die Koppeleinheit KE 2 innerhalb uinor vorgegebenen Zeit ausgetauscht. Sobald bei diesen Vorgängen irgendeine Unkorrektheit festgestellt wird (z. B. eine Rückmeldung nicht plausibel, Zeitüberschreitung bei der Übergabe der Prüfergebnisse, abweichende Ergebnisse in den einzelnen Rechnern) muß zur sicheren Seite reagiert werden, d.h. unter Umständen Abschaltungen eines, r.iehrorer oder sämtlicher Sicherheitsstromkreise vorgenommen werden.

Schritt 8

Die Rückmeldedaten müssen ovtl. zusätzlichen Fehlerinformationen versehen innerhalb einer festgelegten Zeitspanne vom Einchipmikrorechner EMR22 (und nur von diesem) zum Rochner EMR21 des Moduls SEM übertragen werden. Dies geschieht auf dem Wege OUT-Leitung, Tor T2, Sondeschaltung S 2 und dem Lichtw jllenlciter LWL2 (s. Fig. 3).

Schritt 9

Die Empfängerschaltung E1 nimmt die Rückrneldedaten entgegen und leitet sie über die Eingangsleitung IN 2, Tor T2 der Empfangsschaltung EM 2 und Eingangsleitung IN zum Einchipmikrorechner EMR 21, der die Funktion der Empfangseinheit EE ausübt. Die Rückmeldedaten werden über die Koppeleinheit KE1 auch dein Rechner EMR11 übermittelt (s. Fig. 2). Auf Grund des Austausches des Übertragungstelegramms gemäß Schritt 2 konnten beide Rechner EMR11 und EMR 21 ermitteln, welche Rückmeldedeten im fehlerfreien Fall eintreffen müssen.

Schritt 10

Die Einchipmikrorechner EMR11, EMR 21 überprüfen unabhängig voneinander jeweils die Rückmeldedaten auf Plausibilität und die Einhaltung des Zeitklusses. Im Fehlerfall wird, wie im Schritt 3 dargestellt, verfahren.

Die Vorgängen in den Schritten 1 bis 10 werden ständig wiederholt, wobei alte Steuerauftrago wieder aufgefrischt bzw. neue ausgeführt werden. In Abhängigkeit vom zeitlichen Schaltvermögen der Schalteinheiton SE 1.1 ...SEn.1, SE 1.2... SEn.2 rind auch Prüfvorgönge möglich, in dem der jeweilige Sicherheitsstromkreis SSKi für eine kurze Zeit, die betriebstechnologisch vernachlässigbar ist, zweikanalig angesteuert wird und damit einen anderen Betriebszustand einnimmt. Um eine Ausfallunabhängigkeit der einzelnen Teilsysteme zu gewährleisten, sind sowohl in den Buskoppeleinheiten BK1, BK 2 als auch in den Koppeloinheiton KE1, KE 2 galvanische Trennungen realisiert.

Die erfindungsgemäße Lösung ist nicht an das Vorhandensein eines Übergeordneton redundanten Rechnersysteme gebunden, sondern kann auch autark bot rieben werden.

Claims (8)

1. Schaltungsanordnung zur signaltechnisch sicheren Steuerung und Überwachung von Prozeßelementen unter Verwendung eines aus zwei galvanisch getrennten Übertragungskanälen bestehenden Übertragungssystems, wobei der erste aus einer Sendeeinheit, einen Lichtwellenleiter sowio einer Empfängereinheit bestehende Übertragungskanal zur Übermittlung von Steuerdaten an Prozeßelemente dient und der zweite, analog aufgebaute Übertragungskanal, zur Übertragung von Zustandsdater. die von bei den Prozeßelementen angeordneten Überwachern generiert werden, vorgesehen ist, dadurch gekennzeichnet, daß ein Sende-ZEmpfangsmodul (SEM) der eine Sende-(SE) und Empfangseinheit (EE) enthält, die über eine erste Koppeleinheit (KE 1) miteinander und jeweils mit einer Buskoppeleinheit (BK 1, BK2) bidirektional verschaltet sind, über zwei galvanisch getrennte Lichtwellenleiter (LWL 1, LWL2) mit einem vor Ort befindlichen Steuer-/ Rückmeldemodul (SRM) verbunden ist, wobei dieser aus einer Steuer-(STE) und Rückmeldeeinheit (RE), die über eine zweite Koppekinheit (KE 2) miteinander und jeweils mit einer Ein-/Ausgangsschaltung (EAS 1, EAS 2) verknüpft sind, besteht und daß η Ausgänge jeder Ein/ Ausgangsschaltung (EASI, EAS2) mit je einer Schalteinrichtung (SE 1.1 ...SEn.1, SE 1.2...SEn.2) und η Eingänge mit je diner Überwachungseinrichtung (UE 1.1...UEn.1,UE 1.2...UEn.2) der zu steuernden und überwachenden Sicherheitsstromkreise (SSK 1 ...SSKn) verbunden sind.

2. Schaltungsanordnunc nach Anspruch 1, dadurch gekennzeichnet, daß auf redundanten Ein·/ Ausgabebussen EAB1, EAB2 bereitgestellte Steuerdaten zum Ein-bzw. Ausschalten der Sicherheitsstromkreise (SSK 1 ...SSKn) erst nach Austausch über die Koppeleinheit (KE 1) und anschließendem Vergleich der Steuerdaten in der Sende- (SE) und Empfangseinheit (EE) des Moduls (SEM) über den Lichtwellenleiter (LWL 1) zeitzyklisch zum Steuer-/Rückmeldemodul (SRM) übertragen werden, daß nach erfolgter Steuerdatenübertragung über den Lichtwellenleiter (LWL 1) durch Austausch der Informationen über die Koppeleinheit (KE 2) in der Steuer- (STE) und Rückmeldeeinheit (RE) und anschließenden Vergleich redundante Steuerdaten bzw. Steuekommandos an die EinVAuegangsschaitungen (EAS 1, EAS2) bereitgestellt werden, daß die von den Überwachungseinrichtungen (UE1.1 ...UEn.1, UE1.2...UEn.2) erzeugten Rückmeldedaten wiederum zwischen der Steuer-(STE) und Rückmeldeeinheit (RE) ausgetauscht, verglichen und anschließend die getesteten Rückmeldedaten über den Lichtwellenleiter (LWL2) zur Empfangseinheit (EE) des Moduls (SEM) übertragen werden und daß die getesteten Rückmeldedaten in der Sende- (SE) und Empfangseinheit (EE) gleichfalls ausgetauscht, verglichen und nach entsprechenden Plausibilltätstests entsprechende Meldungen auf die Ein/Ausgabebusse (EAB 1, EAB 2) abgesetzt und im Fehlerfall die Abschaltung des betreffenden Sicherheitsstromkreises (SSKi) eingeleitet bzw. ein sicherer Endzustand erzwungen wird.

3. Schaltanordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Sende- (SE) und Empfangsoinheit (EE) jeweils einen Einchipmikrorechner (EMR 11, EMR21) aufweist, dessen jeweiliger serieller Dateneingang (IN) mit einer Empfangsschaltung (EM 1, EM 2), die eingangsseitig jeweils mit Informationen vom jeweiligen Ein-/AuBgabebus (EAB 1, EAB 2), Informationen, die zwischen den Einchipmikrorechnern (EMR 11, EMR 21) auszutauschen sind und speziell der Einchipmikrorechner (EMR21) mit Empfangsdaten vom Modul (SMR) beaufschlagt sind, gekoppelt ist, und daß jeder Einchipmikrorechner (EMR 11, EMR2'·) weiterhin über eine Ansteuerschaltung (AS 1, AS2) mit einer Fehleranzeige (FA1, FA2) sowie mit einer gemeinsamen Fehlermoldelogik (FML) gekoppelt ist.

4. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß die Steuer- (STE) und Rückmeldeeinheit (RE) jeweils einen Einchipmikrorechner (EMR 12, EMR 22) aufweist, wobei der serielle Eingang (IN) des Einchipmikrorechners (EMR 12) mit einer Empfangsschaltung (EM) beschaltet ist, dio über die Koppeleinheit (KE 2) mit Ausgangsinformationen (OUT) des Einchipmikrorechners (EMR 22) sowie mit über eine Empfängerschaltung (E 2) bereitgestellte Steuerdaten (INO) beaufschlagt ist, jnd daß der Einchipmikrorochner (EMR 22) mit seiner seriellen Ausgangsleitung (OUT) mit einem Tor (T2) und der Koppeleinheit (KE2) verbunden ist.

6. Schaltungsanordnung nach Ansprucn 1, dadurch gekennzeichnet, daß jede EIn-/ Ausgangsschaltung (EAS 1, EAS2) jeweils einen steuerbaren Eingangstreiber (ET1. ET2) und einen steuerbaren Ausgangstreiber (AT 1, AT2) enthält, deren η Ein- bzw. Ausgänge mit den Sicherheitsstromkreisen (SSK 1 ...SSKn) gekoppelt sind.

6. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeichnet, daß jede Koppeleinheit (KE KE 2) elektronische bzw. optoelektronische Bauelemente zur Realisierung eines galvanisch
getrennten Informationsaustausches und zur Interruptsteuerung zwischen der Sende- (SE) un Empfangseinheit (EE) bzw. der Steuer- (STE) und Rückmeldeeinheit (RE) enthält.

7. Schaltungsanordnung nach Anspruch 1,3 und 4, dadurch gekennzeichnet, daß der Sende-/ Empfangsmodul (SEM) und der Steuer-/Rückmeldemodul (SRM) auf der Basis von digitalen Shnalprozessoren realisierbar ist.

8. Schaltungsanordnung nach Anspruch 1, dadurch gekennzeicnnet, daß die Kopplung zwischei SendeVEmpfangsmodul (SEM) und Steuer-/Rückmeldemodul (SRM) durch eine elektrische Verbindung realisiert werden kann.