PROCEDIMIENTO PARA LA TRANSMISION DE DATOS Y SISTEMA DE AUTOMATIZACION PARA EL EMPLEO DE UN PROCEDIMIENTO DE TRANSMISION DE DATOS DE ESTE TIPO.

Procedimiento para la transmisión de paquetes de datos en un tramo de transmisión de datos entre dos participantes en la comunicación,

conteniendo los paquetes de datos en cada caso un carácter de comprobación que se calcula a partir de los otros datos del paquete de datos, caracterizado porque un participante en la comunicación utiliza el carácter de comprobación del último paquete de datos recibido por el otro participante en la comunicación como valor inicial en el cálculo del carácter de comprobación para un siguiente paquete de datos que ha de enviarse al otro participante en la comunicación

Procedimiento para la transmisión de datos y sistema de automatización para el empleo de un procedimiento de transmisión de datos de este tipo.

La invención se refiere a un procedimiento para la transmisión de paquetes de datos en un tramo de transmisión de datos entre dos participantes en la comunicación, y a un sistema de automatización con dos participantes en la comunicación conectados a través de un tramo de transmisión de datos que presentan una unidad de conexión en cada caso.

En los sistemas de automatización para el control de máquinas, debe quedar garantizado que incluso cuando falle el sistema de automatización no existe ningún riesgo para las personas y el medio ambiente. Por tanto, los sistemas de automatización normalmente trabajan según el denominado principio Fail-Safe, según el cual, en caso de fallo de componentes importantes, el sistema de automatización pasa a un estado seguro. En este sentido, requisitos fundamentales que debe cumplir el sistema de automatización durante la implementación de funciones de control pertinentes para la seguridad según el principio Fail-Safe son el que los datos de proceso de los sensores de las máquinas durante la implementación de las funciones de control de seguridad se procesen de forma actualizada y sin falsearlos y el que siempre se muestre a los actores de las máquinas un estado de proceso seguro.

Sin embargo, en los sistemas de automatización, el número de funciones de control pertinentes para la seguridad normalmente es fundamentalmente menor que el número de funciones de control no pertinentes para la seguridad que sirven para mantener el funcionamiento normal en el sistema de automatización. Para garantizar que la funcionalidad de las funciones de control pertinentes para la seguridad no se ve afectada por funciones de control no pertinentes para la seguridad en el sistema de automatización, las funciones pertinentes para la seguridad se agrupan tradicionalmente en un programa de seguridad independiente, aislado frente a las funciones de control no pertinentes para la seguridad.

Una completa separación de funciones de control pertinentes y no pertinentes para la seguridad se consigue si el programa de seguridad se implementa en un ordenador de automatización independiente, que a menudo también está conectado con un cableado propio con los interruptores de desconexión de emergencia, barreras de luz y otros componentes que garantizan la seguridad de las máquinas. Para reducir este gasto de hardware adicional por un ordenador de automatización adicional en el sistema de automatización, se conocen ya sistemas de automatización en los que un programa de seguridad y un programa de control no pertinente para la seguridad se implementan en los mismos componentes de hardware mediante la ampliación del programa de control no pertinente para la seguridad con una denominada capa de seguridad.

Los modernos sistemas de automatización normalmente están diseñados de forma descentralizada, comunicándose la periferia de procesos, es decir, el nivel de sensores o actores, con los ordenadores de control a través de redes locales, preferiblemente un sistema de bus de campo. Para el control de las máquinas, los ordenadores de control leen las señales de entrada de los programas de control a través del bus de campo de la periferia de procesos y, tras el procesamiento en tiempo real por el ordenador de control, se emiten las señales de salida, a través del bus de campo, a la periferia de procesos. Para poder transmitir al mismo tiempo a través del bus de campo del sistema de automatización también señales de procesos de un programa de seguridad, el sistema de bus de campo se amplía con una denominada capa de seguridad, que minimiza a un valor mínimo permitido la probabilidad de que, debido a un fallo, se falsee la transmisión de los datos entre la periferia de procesos y los ordenadores de control de forma que esta falsificación ya no se detecte, de modo que el bus de campo también puede utilizarse para la transmisión de datos pertinentes para la seguridad.

Este tipo de capas de seguridad adicionales en los sistemas de bus de campo incluyen normalmente una relación de direcciones adicional entre los dos participantes en la comunicación en el bus de campo para permitir una asignación inequívoca. Además, el paquete de datos pertinente para la seguridad transmitido entre los participantes en la comunicación está dotado de un carácter de comprobación adicional que se calcula a partir de las direcciones o datos de procesos transmitidos para poder detectar de forma fiable una falsificación de los datos. Para poder comprobar la secuencia correcta de los datos de procesos pertinentes para la seguridad que deben transmitirse y su llegada en el momento adecuado a los participantes en la comunicación, normalmente el paquete de datos pertinente para la seguridad está dotado además con un número de secuencia continuo. En este caso, el número de secuencia normalmente se extrae de un bloque de números predeterminado que se reinicializa nuevamente una vez realizado un ciclo completo.

Un sistema de automatización conocido en el que el programa de control y el programa de seguridad pueden implementarse en los mismos componentes de hardware es el sistema Simatic de la empresa Siemens. Como sistema de bus de campo se emplea en este caso el sistema Profibus, que está ampliado con un denominado protocolo Profisafe para la transmisión de paquetes de datos pertinentes para la seguridad. Sin embargo, la ampliación del sistema de automatización con el programa de seguridad sólo es posible en el marco de este entorno de procesamiento de datos y configuración fijo.

No obstante, en los sistemas de automatización, además de los conocidos protocolos de bus de campo propietarios, se utiliza cada vez más el protocolo Ethernet para la transmisión de señales de procesos. El protocolo Ethernet representa, en la comunicación entre oficinas, la tecnología más ampliamente difundida, con la que, en las redes de comunicación locales, se transmiten datos con gran velocidad. Debido a las ventajas del concepto de Ethernet en cuanto al uso de componentes de hardware y software estándar así como a la posibilidad de conseguir con una tecnología de conexión sencilla altas velocidades de transmisión de datos, se emplean cada vez más sistemas de bus de campo Ethernet también en la fabricación industrial para el intercambio de datos entre el nivel de actores y sensores y los ordenadores de control.

Por tanto, sería deseable poder equipar también los sistemas de bus de campo de Ethernet con una capa de seguridad para así, además de programas de control convencionales, poder implementar también programas de seguridad en el bus de campo de Ethernet. Sin embargo, las redes de Ethernet normalmente se estructuran con ayuda de los denominados switchs para evitar las colisiones de datos en la red. Los switchs son nodos de comunicación de paquetes de datos con varias entradas y salidas, conmutándose el paquete de datos que llega a una entrada exclusivamente a la salida que conoce la estación receptora. Sin embargo, en la transmisión de paquetes de datos a través de switchs en una red Ethernet se producen retrasos temporales dado que el paquete de datos recibido por el switch en una entrada se almacena temporalmente y sólo entonces se conmuta a la salida deseada.

No obstante, debido a la transmisión retrasada de los paquetes de datos en las redes Ethernet equipadas con switchs, en las capas de seguridad convencionales, tales como el protocolo Profisafe, existe el peligro de que se produzca un estado de procesos erróneo. Dado que los paquetes de datos de seguridad están dotados de un número de secuencia continuo procedente de un bloque de números con una cantidad predeterminada de números, mediante el almacenamiento temporal de los paquetes de datos en el switch puede excederse el número de secuencia, lo que puede conducir entonces a que se transmitan datos de seguridad erróneos. En el protocolo Profisafe, por ejemplo, se transmiten los paquetes de datos de seguridad con un número de secuencia de 8 bits, es decir, un paquete de datos en el que los datos de proceso no varían se repite cada 255 ciclos durante la transmisión de datos en el sistema de automatización dado que entonces se excede el número de secuencia, siendo 0 un número de secuencia no permitido. En consecuencia, puede, por ejemplo, no detectarse en el debido momento una desconexión de emergencia o no desconectarse en el debido momento una protección para las máquinas y, con ello, no puede garantizarse un estado de procesos seguro en el sistema de automatización.