PROCECEDIMIENTO Y DISPOSITIVO PARA EL ACOPLAMIENTO DE BUS DE PROCESOS RELEVANTES PARA LA SEGURIDAD.

Procedimiento para el acoplamiento monocanal de un proceso crítico para la seguridad desde un entorno seguro hasta un bus o un equipo - configurado específicamente para la aplicación - de un entorno seguro o no seguro,

en el que se procesa un juego de datos relevante para el proceso crítico para la seguridad a través de al menos dos canales de procesamiento relevantes (1, 2), especialmente con arreglo a protocolos específicos, según leyes idénticas, para obtener un respectivo protocolo seguro (14, 24), y se ensamblan los protocolos seguros redundantes (14, 24) de acoplamiento monocanal para obtener un protocolo seguro común, concretamente accediendo desde cada uno de los canales de procesamiento (1, 2) a un registro intermedio común (30), en donde se adjudica solamente una vez una autorización de escritura para cada sitio del registro de tal manera que el protocolo seguro común se ensamble proporcionalmente por inscripción de respectivas porciones diferentes de los respectivos protocolos seguros, en donde, antes de una entrega del protocolo seguro común desde el registro intermedio (30), se lee por cada uno de los canales de procesamiento redundantes (1, 2) el contenido de cada sitio del registro intermedio (30) para la verificación del protocolo seguro conjuntamente formado, y en donde el protocolo seguro conjuntamente formado es habilitado para su procesamiento ulterior únicamente como reacción a una habilitación otorgada por cada canal de procesamiento redundante (1, 2) para la entrega o la recepción desde el registro intermedio

Procedimiento y dispositivo para el acoplamiento de bus de procesos relevantes para la seguridad.

La invención concierne a un procedimiento y un dispositivo adaptado para la puesta en práctica del procedimiento, diseñados para realizar un acoplamiento de bus monocanal de procesos relevantes para la seguridad.

Por proceso relevante para la seguridad se entiende seguidamente un proceso del cual parte, al presentarse un error, un riesgo no despreciable para personas y/o también para artículos materiales. Por tanto, en un proceso relevante para la seguridad tiene que estar garantizada con una seguridad al 100% en el caso ideal que, al presentarse un error, este proceso, un proceso sucesivo acoplado con este proceso y/o un sistema total que comprenda este proceso sean transferidos a un estado seguro. Por consiguiente, tales procesos relevantes para la seguridad pueden ser también procesos parciales de procesos totales mayores de rango superior. Ejemplos de procesos relevantes para la seguridad son procedimientos químicos en los que los parámetros críticos tienen que mantenerse imprescindiblemente dentro de un intervalo prefijado, y controladores complejos de máquinas, tal como, por ejemplo, en una prensa hidráulica o en una cadena de fabricación, en los que, por ejemplo, la puesta en funcionamiento de un útil de prensado/corte puede representar un proceso parcial relevante para la seguridad. Otros ejemplos de procesos (parciales) relevantes para la seguridad son la vigilancia de rejillas de protección, puertas de protección o barreras ópticas, el control de interruptores para dos manos o bien la reacción a desconectores de emergencia.

Por tanto, para todos los procesos relevantes para la seguridad es absolutamente necesario que los respectivos datos correspondientes relevantes para la seguridad, generados o captados o medidos, sean transportados con proximidad en el tiempo sin ningún falseamiento de los mismos, ya que cualquier falseamiento puede tener como resultado un funcionamiento y/o una reacción erróneos que, como última consecuencia, pueden poner en peligro la vida y la salud de las personas.

Para satisfacer los requisitos de seguridad se han establecido en los últimos años numerosos convenios que fomentan un transporte de datos casi exento de errores cuando se utilizan sistemas de bus. Éstos conciernen especialmente al propio transporte de datos y a una probabilidad de error residual admisible en función de la respectiva aplicación o del respectivo proceso. Como estándares pertinentes pueden citarse aquí especialmente las normas EN 61508 y EN 954-1, así como los principios para la comprobación y certificación de "sistemas de bus para la transmisión de mensajes relevantes para la seguridad" del departamento de ensayos y certificaciones de las asociaciones profesionales industriales.

Según estos convenios y normas, se han desarrollado sistemas de bus dirigidos a la seguridad que transmiten datos con alta redundancia. Los posibles errores son descubiertos a su debido tiempo y se puede evitar una situación de peligro. Ejemplos de ellos son, entre otros, el Safety Bus P, el Profibus F, el Interbus Safety y algunos más.

Sin embargo, es desventajoso a este respecto el hecho de que para la utilización de sistemas de bus dirigidos a la seguridad se tienen que sustituir sistemas de bus ya instalados y tienen que aceptarse frecuentemente restricciones en cuanto al número de abonados, la velocidad de transporte de datos o el protocolo de datos.

Como consecuencia, se han desarrollado procedimientos y/o componentes dirigidos a la seguridad que hacen posible un reacondicionamiento más sencillo y más barato de sistemas de bus ya existentes. Particularmente los procedimientos de seguridad electrónicos empleados en la técnica de control y automatización utilizan aquí para la transmisión de datos relevantes para la seguridad, especialmente entre sensores, actores y/o equipos de control, los sistemas de bus (de campo) de comunicación de datos ya utilizados entre las distintas unidades implicadas en un proceso.

El documento EP 1 188 096 B1 revela, por ejemplo, un sistema de control para un proceso relevante para la seguridad con un bus de campo a través del cual están unidas una unidad de control para controlar el proceso relevante para la seguridad y una unidad de señalización que está vinculada con el proceso relevante para la seguridad a través de canales de entrada/salida. Para garantizar una comunicación mutua segura frente a errores, estas unidades presentan equipos referidos a la seguridad mediante los cuales unas unidades en sí no seguras deberán convertirse en unidades seguras. En particular, están previstos cada vez al menos dos canales de procesamiento redundantes de tal manera que un error en uno de los canales de procesamiento pueda ser reconocido y eventualmente corregido en base a un resultado que se desvíe del resultado de otro de los canales de procesamiento redundantes. Esta estructura multicanal se materializa especialmente por medio de dos ordenadores redundantes, terminando la consideración de la seguridad después de los dos ordenadores redundantes y entrando en acción a partir de este punto, sin más explicaciones, la consideración para un protocolo de datos seguro.

Bajo el término general de ordenador han de entenderse en lo que sigue, siempre que no se efectúe una especificación más amplia, sustancialmente cualquier clase de equipos de procesamiento de datos tales como microordenadores, microprocesadores, microcontroladores o bien PCs.

El documento WO 01/15385 A2 concierne también al control de procesos relevantes para la seguridad empleando sistemas de bus (de campo), en donde las unidades implicadas en el control del proceso relevante para la seguridad presentan nuevamente canales de procesamiento construidos generalmente en forma redundante. Cada uno de los canales redundantes comprende un ordenador, y estos ordenadores se controlan mutuamente. Esta estructura multicanal se transfiere a una estructura monocanal (figura 3) a través de otro ordenador unido con el bus de campo. No se pueden encontrar en el documento explicaciones más amplias, incluida la transición de la situación multicanal a la situación monocanal.

En el documento WO 01/15391 A1 y en la publicación de patente DE 199 39 567 A1 pueden encontrarse otros ejemplos de abonados de bus seguros con canales de procesamiento y/u ordenadores realizados en forma redundante, que se controlan mutuamente respecto de un establecimiento de protocolo seguro, y con transición subsiguiente de la situación bicanal a la situación monocanal a través de otro ordenador que está acoplado al bus y que está conectado a un chip de protocolo o tiene integrado este último. La consideración de la seguridad termina aquí también después de los dos ordenadores relevantes, sin la divulgación de otras medidas técnicas, y la consideración para un protocolo de datos seguro entra en acción a partir de este punto.

Para reducir el gasto en circuitos, la patente DE 195 32 639 C2 concerniente a un equipo para la transmisión monocanal de datos formados por medio de dos ordenadores redundantes integra la función del acoplamiento de bus en uno de los dos ordenadores realizados en forma redundante. Por tanto, únicamente el ordenador que presenta la funcionalidad de acoplamiento de bus tiene un canal de salida al que se alimentan datos útiles provenientes de este ordenador y datos de ensayo provenientes del otro ordenador, o viceversa, o bien al que se alimentan datos útiles y datos de ensayo de ambos ordenadores en forma de ensamblados unos dentro de otros (figura 4). Sin embargo, para garantizar que el ordenador que sirve al bus no esté en condiciones de generar telegramas que no puedan influir sobre el otro ordenador es necesario, al realizar la puesta en práctica, un gasto elevado para la consideración de la seguridad, ya que se tienen que demostrar, por un lado, la ausencia de retroacción y, por otro lado, la independencia de los ordenadores para establecer el protocolo seguro. La patente propone para ello únicamente un conexionado o no conexionado correspondiente de la respectiva salidas de los ordenadores.

Asimismo, el documento DE 100 65 907 A1 describe un procedimiento que se basa en el principio de una "redundancia con comparación cruzada" y que está destinado a proporcionar un transporte asegurado de datos para la transmisión de datos en redes o sistemas de bus en paralelo o en serie, en donde se emplea un registro intermedio con dos zonas de datos lógicamente idénticas...

1. Procedimiento para el acoplamiento monocanal de un proceso crítico para la seguridad desde un entorno seguro hasta un bus o un equipo - configurado específicamente para la aplicación - de un entorno seguro o no seguro, en el que se procesa un juego de datos relevante para el proceso crítico para la seguridad a través de al menos dos canales de procesamiento relevantes (1, 2), especialmente con arreglo a protocolos específicos, según leyes idénticas, para obtener un respectivo protocolo seguro (14, 24), y se ensamblan los protocolos seguros redundantes (14, 24) de acoplamiento monocanal para obtener un protocolo seguro común, concretamente accediendo desde cada uno de los canales de procesamiento (1, 2) a un registro intermedio común (30), en donde se adjudica solamente una vez una autorización de escritura para cada sitio del registro de tal manera que el protocolo seguro común se ensamble proporcionalmente por inscripción de respectivas porciones diferentes de los respectivos protocolos seguros, en donde, antes de una entrega del protocolo seguro común desde el registro intermedio (30), se lee por cada uno de los canales de procesamiento redundantes (1, 2) el contenido de cada sitio del registro intermedio (30) para la verificación del protocolo seguro conjuntamente formado, y en donde el protocolo seguro conjuntamente formado es habilitado para su procesamiento ulterior únicamente como reacción a una habilitación otorgada por cada canal de procesamiento redundante (1, 2) para la entrega o la recepción desde el registro intermedio.

2. Procedimiento según la reivindicación anterior, en el que la habilitación otorgada por un canal de procesamiento (1, 2) se efectúa transmitiendo una señal de habilitación del canal de procesamiento al registro intermedio.

3. Procedimiento según la reivindicación anterior, en el que la activación de una señal de habilitación al presentarse una habilitación otorgada por cada canal de procesamiento redundante (1, 2) se produce a través de una combinación Y de las distintas señales de habilitación.

4. Procedimiento según cualquiera de las reivindicaciones anteriores, caracterizado, además, porque cada uno de los protocolos seguros redundantes (14, 24) se constituye a base de un número de partes de protocolo correspondiente al número de canales de procesamiento redundantes (1, 2), y para componer el protocolo seguro común se inscribe por cada canal de procesamiento una respectiva parte de protocolo diferente en el registro intermedio.

5. Procedimiento según cualquiera de las reivindicaciones anteriores, en el que cada protocolo seguro redundante (14, 24) se constituye a base de una serie de paquetes de datos y se adjudica la autorización de escritura para realizar una inscripción a modo de paquetes de datos.

6. Dispositivo para el acoplamiento monocanal de un proceso crítico para la seguridad desde un entorno seguro hasta un bus o un equipo - diseñado específicamente para la aplicación - de un entorno seguro o no seguro, cuyo dispositivo comprende

al menos dos ordenadores redundantes (11, 21) para procesar, en particular con arreglo a protocolos específicos, un juego de datos de entrada idéntico empleando leyes idénticas a fin de obtener un respectivo protocolo seguro (14, 24), y

una disposición de circuito para conectar cada ordenador (11, 21) con un registro intermedio común (30) de tal manera que se proporcione para cada sitio del registro intermedio (30) una posibilidad de acceso para escritura solamente para un respectivo ordenador de entre los ordenadores y una posibilidad de acceso para lectura para cada uno de los ordenadores (11, 21), y en donde cada ordenador comprende medios para verificar un contenido retroleído desde el registro intermedio y para habilitar el contenido del registro intermedio como reacción a una verificación positiva.

7. Dispositivo según la reivindicación anterior, caracterizado, además, porque cada uno de los al menos dos ordenadores redundantes (11, 21) está diseñado para realizar un procesamiento de datos basado en paquetes.

8. Dispositivo según cualquiera de las reivindicaciones anteriores, en el que los al menos dos ordenadores redundantes se han formado por medio de hardware redundante y/o software redundante.