Acoplamiento de sistemas de bus de campo seguros.

Procedimiento para acoplar al menos dos sistemas de bus de campo o de red con en cada caso distintos mecanismos de seguridad,

configurados para convertir datos de seguridad a transmitir en una estructura de datos segura dependiente del sistema y/o para convertir datos de seguridad a transmitir desde una estructura de datos segura dependiente del sistema,

en el que el procedimiento se caracteriza porque los datos de seguridad a transmitir entre los distintos mecanismos de seguridad basados en el sistema, se procesan (10, 200, 201, 202, 215) utilizando adicionalmente una estructura de datos definida segura pero independiente del sistema (215), evaluándose, al convertir los datos de seguridad desde una estructura de datos segura, dicha estructura de forma orientada a la seguridad.

La invención se refiere a un procedimiento y a un equipo configurado para realizar el procedimiento para acoplar al menos sistemas de bus (de campo)/red con distintos mecanismos de seguridad para procesar datos relevantes o críticos para la seguridad.

En el marco de la invención se entienden bajo datos relevantes y críticos para la seguridad, denominados en la siguiente descripción y en las reivindicaciones en general datos de seguridad, datos que son relevantes y/o críticos para el control de procesos (parciales) relevantes o críticos para la seguridad, de los cuales se deriva, cuando se presenta una falta, un peligro no despreciable para las personas y/o también para bienes materiales, teniendo que conducirse por lo tanto el proceso, un proceso derivado acoplado con este proceso y/o un sistema que incluye este proceso a un estado seguro.

Ejemplos de tales procesos son procesos químicos en los que han de mantenerse parámetros críticos imprescindiblemente en una gama predeterminada, controles de máquina complejos, como por ejemplo en una prensa hidráulica o en una línea de fabricación, en los que por ejemplo la puesta en funcionamiento de una herramienta de prensa o cortadora puede significar un proceso parcial relevante para la seguridad. Otros ejemplos de procesos (parciales) relevantes para la seguridad son la vigilancia de rejas de protección, puertas de protección o barreras de luz, el control de interruptores a dos manos o también la reacción a interruptores de emergencia.

Así es imprescindible que los correspondientes datos de seguridad generados o captados y/o medidos se transporten con rapidez y sin falseamiento alguno.

Para responder a las exigencias de seguridad, ha habido en los últimos años numerosos acuerdos, que exigen un transporte de datos casi libre de errores cuando se utilizan sistemas de bus. Éstos se refieren en particular al propio transporte de datos, así como a una probabilidad de error residual admisible en función de la correspondiente aplicación o del correspondiente proceso. Como estándares vigentes citaremos aquí en particular el EN 61508 y el EN 954-1, así como el GS-ET-26 relativo a los principios para la prueba y certificación de "Sistemas de bus para la transmisión de mensajes relevantes para la seguridad" del organismo de prueba y certificación de las asociaciones profesionales industriales.

En función de estos acuerdos y normas se han desarrollado para distintos sistemas de bus/red en cada caso mecanismos de seguridad específicos para transmitir datos de seguridad con elevada redundancia. Los posibles errores se descubren a tiempo y puede prevenirse el peligro. Ejemplos de ello son entre otros el Safety Bus P, Profibus F, Interbus Safety, CAN Safety, entre otros.

Estos mecanismos de seguridad específicos desarrollados al respecto en particular en el marco de la técnica de control y automatización permiten así un reequipamiento sencillo y económico de los sistemas de bus (de campo)/red ya existentes en cada caso, utilizados entre unidades individuales que participan en un proceso para la comunicación de datos, para la transmisión de datos de seguridad, en particular entre sensores, actuadores y/o equipos de control.

El documento EP 1 188 096 B1 da a conocer por ejemplo un sistema de control para un proceso relevante para la seguridad con un bus de campo, mediante el cual están conectadas una unidad de control para controlar el proceso relevante para la seguridad y una unidad de señalización combinada mediante canales de entrada/salida con el proceso relevante para la seguridad. Para garantizar una comunicación segura frente a faltas entre las mismas, presentan estas unidades equipos orientados a la seguridad, mediante los cuales unidades que de por sí no son seguras deben transformarse en unidades seguras. En detalle está prevista una estructura de procesamiento multicanal realizada mediante ordenador, mediante la que puede detectarse y dado el caso corregirse un error en un canal de procesamiento en base a un resultado que se desvía del de otro canal de procesamiento redundante.

Bajo el concepto de ordenador ha de entenderse a continuación esencialmente cualquier tipo de equipos de procesamiento de datos, como microcomputadores, microprocesadores, microcontroladores o también PCs.

También el documento WO 01/15385 A2 se refiere al control de procesos relevantes para la seguridad utilizando un sistema de bus (de campo) basado en un mecanismo de seguridad, en el que las unidades que participan en el control del proceso relevante para la seguridad presentan a su vez por lo general canales de procesamiento constituidos redundantes. Cada uno de los canales redundantes incluye un ordenador, controlándose los mismos entre sí. Esta estructura multicanal se transforma mediante otro ordenador unido con el bus de campo en una estructura monocanal.

Del documento WO 01/15391 A1 y del documento de publicación DE 199 39 567 A1 pueden tomarse otros ejemplos de usuarios de bus seguros. Se prevé un mecanismo de seguridad con canales de procesamiento que se controlan entre sí en cuanto a la realización de un protocolo seguro, realizados

redundantes, y/u ordenadores y una transición a continuación de la bicanalidad a la monocanalidad mediante otro ordenador acoplado al bus, conectado a un chip del protocolo o que ha integrado el mismo.

La memoria de patente DE 195 32 639 C2 relativa a otro equipo para la transmisión monocanal de datos formados mediante dos ordenadores redundantes integra, para reducir el coste de los circuitos, la función del acoplamiento del bus en uno de ambos ordenadores realizados redundantes.

Además describe el documento DE 100 65 907 A1 un mecanismo de seguridad basado en el principio de una "redundancia con comparación cruzada" para el transporte de datos asegurado relativo a la transmisión de datos en redes o buses en paralelo o en serie, utilizándose un registro intermedio con dos zonas de datos idénticas lógicamente para la transición de la bicanalidad a la monocanalidad.

Basándose en la transición de la multicanalidad a la monocanalidad, se refiere la solicitud alemana con el número de expediente DE 10 2004 039932.8 entregada por el solicitante de la presente invención el 17 de agosto de 2004 a otra vía para un acoplamiento de bus seguro de procesos relevantes para la seguridad, quedando asegurada la ausencia de retroactividad y la independencia en la confección de un protocolo relativo a la seguridad. La solicitud con el número de expediente DE 10 2004 039932.8 prevé al respecto, para el acoplamiento de bus monocanal de un proceso crítico para la seguridad, un procedimiento en el que se procesa un bloque de datos relevante para el proceso crítico para la seguridad mediante al menos dos canales de procesamiento redundantes según normas idénticas para llegar en cada caso a un protocolo orientado a la seguridad y los protocolos redundantes orientados a la seguridad se reúnen para el acoplamiento de bus monocanal de nuevo para formar un protocolo común orientado a la seguridad, precisamente accediendo cada canal de procesamiento a un registro intermedio común, otorgándose para cada lugar del registro una autorización de escritura sólo una vez, tal que el protocolo común orientado a la seguridad, es decir, el telegrama de seguridad a transmitir, se componga por partes mediante certificación en cada caso de partes distintas de los correspondientes protocolos orientados a la seguridad.

Una tarea de la presente invención consiste en proporcionar una vía para acoplar los más diversos sistemas de bus de campo o de red con respectivos mecanismos de aseguramiento propios tal que la transmisión de datos de seguridad entre al menos dos sistemas de bus/red quede garantizado con distintos mecanismos de aseguramiento.

Marcos M. y colab. describen 1997 en la serie PROCEEDINGS IEEE (actas IEEE) bajo el número XP- 000995489 en las páginas 349 a 353 en el artículo On the Design and Development of a Gateway between MAP-MMS and PROFIBUS/FMS (En el diseño y desarrollo de una pasarela entre MAP-MMS y PROFIBUS/FMS) un procedimiento que hace posible el acoplamiento entre dos sistemas propietarios diferentes de bus de campo/red SINEC FU y SINEC L2, así como la transmisión transparente de datos entre ambos sistemas de bus de campo/red, utilizando tanto SINEC Hl como también SINEC L2, inclusive a partir de la quinta capa del modelo de referencia OSI los mismos protocolos propietarios SINEC AP (Automation Protocol, protocolo de automatización) y SINEC TF (Technological Functions, funciones tecnológicas). Puesto que la forma de funcionamiento de una pasarela descrita en este estado de la técnica para realizar el procedimiento se basa en esta base común de ambos sistemas de bus de campo/red,... [Seguir leyendo]

1. Procedimiento para acoplar al menos dos sistemas de bus de campo o de red con en cada caso distintos mecanismos de seguridad, configurados para convertir datos de seguridad a transmitir en una estructura de datos segura dependiente del sistema y/o para convertir datos de seguridad a transmitir desde una estructura de datos segura dependiente del sistema,

en el que el procedimiento se caracteriza porque los datos de seguridad a transmitir entre los distintos mecanismos de seguridad basados en el sistema, se procesan (10, 200, 201, 202, 215) utilizando adicionalmente una estructura de datos definida segura pero independiente del sistema (215), evaluándose, al convertir los datos de seguridad desde una estructura de datos segura, dicha estructura de forma orientada a la seguridad.

2. Procedimiento según la reivindicación precedente,

en el que al menos uno de los distintos mecanismos de seguridad de los sistemas de bus de campo o de red a acoplar correspondientes es un mecanismo de seguridad propietario.

3. Procedimiento según una de las reivindicaciones precedentes,

caracterizado además porque los datos de seguridad a transmitir entre los sistemas, antes de su transmisión, se convierten en la estructura de datos definida segura, pero independiente del sistema a partir de una estructura de datos segura dependiente del sistema (321, 322, 366), existente en multicanal o monocanal.

4. Procedimiento según una de las reivindicaciones precedentes,

caracterizado además porque los datos de seguridad a transmitir entre los sistemas, después de su transmisión en la estructura de datos definida segura, pero independiente del sistema, se convierten en una estructura de datos segura dependiente del sistema (321, 322, 366) multicanal o monocanal.

5. Procedimiento según una de las reivindicaciones precedentes,

caracterizado además porque una estructura de datos a convertir en cada caso de una estructura de datos segura en otra estructura de datos segura, se evalúa de forma orientada a la seguridad (10, 20, 301, 302, 311, 312) y se convierte (10, 20, 301, 302, 311, 312) un bloque de datos (20) existente tras la evaluación en mono o multicanal en la correspondiente otra estructura de datos segura.

6. Procedimiento según una de las reivindicaciones precedentes,

caracterizado además porque se transmiten los datos de seguridad procesados utilizando adicionalmente una estructura de datos segura definida, pero independiente del sistema (215), dentro de una unidad que participa en un proceso a controlar de uno de los sistemas a acoplar, precisamente entre un equipo referido a la seguridad y que procesa datos de seguridad relevantes para este proceso y al menos una conexión de bus (de campo)/red de la unidad.

7. Procedimiento según la reivindicación precedente,

caracterizado además porque un bloque existente en monocanal o en multicanal de datos de seguridad que contiene datos de entrada/salida del proceso a controlar, se convierte en una estructura de datos definida, pero segura e independiente del sistema o bien mediante evaluación de la estructura de datos definida, segura pero independiente del sistema, se obtiene a partir de ésta.

8. Procedimiento según una de las reivindicaciones precedentes,

caracterizado además porque la estructura de datos segura e independiente del sistema, se asegura para una transmisión monocanal.

9. Procedimiento según la reivindicación precedente,

caracterizado además porque el aseguramiento de la estructura de datos se realiza utilizando mecanismos de seguridad según IEC 61508 y SIL 3.

10. Procedimiento según una de ambas reivindicaciones precedentes,

caracterizado además porque la transmisión se realiza utilizando componentes no seguros (200, 201, 202).

11. Dispositivo para el acoplamiento de al menos dos sistemas de bus de campo o de red que presentan en cada caso distintos mecanismos de seguridad para convertir datos de seguridad a transmitir en una estructura de datos segura dependiente del sistema y/o a la inversa, incluyendo al menos un primer y un segundo módulo de procesamiento de datos (10) para procesar datos de seguridad a transmitir entre los distintos mecanismos de seguridad basados en el sistema, utilizando una estructura de datos segura definida (215), pero independiente del sistema, estando configurado al menos uno de los módulos de procesamiento de datos para la evaluación orientada a la seguridad de la estructura de datos segura independiente del sistema para proporcionar datos de seguridad.

12. Dispositivo según la reivindicación precedente,

en el que al menos uno de los correspondientes mecanismos de seguridad distintos de los sistemas de bus de campo o de red a acoplar, es un mecanismo de seguridad propietario.

13. Dispositivo según una de las reivindicaciones precedentes 11 ó 12,

caracterizado además porque cada uno de los módulos de procesamiento de datos (10) está acoplado con un mecanismo de aseguramiento (30, 301, 302, 311, 312) basado en el sistema, estando configurado al menos el primer módulo de procesamiento de datos, de los que al menos hay uno, para convertir datos de seguridad a transmitir existentes en monocanal o multicanal en la estructura de datos segura definida, pero independiente del sistema y al menos un segundo módulo de procesamiento de datos, de los que al menos hay uno, está configurado para la evaluación orientada a la seguridad de la estructura de datos segura Independiente del sistema para proporcionar datos de seguridad existentes en monocanal o multicanal.

14. Dispositivo según una de las reivindicaciones precedentes 11 a 13,

caracterizado además porque los módulos de procesamiento de datos (10) están Integrados en una unidad que participa en un proceso a controlar de uno de los sistemas a acoplar, estando al menos uno de los módulos de procesamiento de datos, de los que al menos hay dos, Integrado en un equipo orientado a la seguridad que procesa datos de seguridad relevantes para este proceso y al menos otro de los módulos de procesamiento de datos, de los que al menos hay dos, con una conexión de bus de campo o de red de la unidad.

15. Procedimiento según la reivindicación precedente,

caracterizado además por al menos un módulo de procesamiento de datos Integrado en el equipo referido a la seguridad para convertir datos de seguridad que Incluyen un bloque existente en monocanal o multicanal de datos de entrada/sallda del proceso a controlar en la estructura de datos segura definida, pero independiente del sistema y/o para la evaluación orientada a la seguridad de la estructura de datos segura definida pero Independiente del sistema para proporcionar datos de seguridad que incluyen un bloque de datos de entrada/sallda en monocanal o multicanal.

16. Dispositivo según una de ambas reivindicaciones precedentes, caracterizado además porque la unidad es una unidad constituida modularmente.

17. Procedimiento según una de lastres reivindicaciones precedentes,

caracterizado además porque la unidad es una unidad de usuario de bus o una unidad de control de

bus.

18. Procedimiento según una de las cuatro reivindicaciones precedentes,

caracterizado además porque la unidad está configurada como una unidad con funcionalidad de pasarela.

19. Procedimiento según una de las reivindicaciones precedentes 11 a 18,

caracterizado además porque los módulos de procesamiento de datos (10) están configurados para procesar una estructura de datos asegurada independiente del sistema para una transmisión monocanal entre en cada caso al menos dos módulos de procesamiento de datos.

20. Dispositivo según la reivindicación precedente,

caracterizado además por al menos un componente de acoplamiento no seguro (200, 201, 202) en la vía de transmisión para la transmisión monocanal entre los correspondientes módulos de procesamiento de datos.

21. Procedimiento según una de las reivindicaciones precedentes 11 a 20,

caracterizado además porque un módulo de procesamiento de datos incluye al menos dos unidades de módulo redundantes (10), que funcionan conjuntamente, estando acopladas las unidades modulares por el lado de salida con un componente de acoplamiento no seguro (200, 201, 202) para transferir una estructura de datos asegurada común independientemente del sistema a este componente de acoplamiento y/o estando acopladas por el lado de entrada con un componente de acoplamiento no seguro (200, 201, 202) para la lectura orientada la seguridad de una estructura de datos asegurada independientemente del sistema de este componente de acoplamiento.

22. Dispositivo según una de ambas reivindicaciones precedentes,

caracterizado porque un componente de acoplamiento no seguro incluye al menos un microprocesador, bus serie y/o memoria de acoplamiento (200, 201, 202), en particular en forma de una DPM.

23. Dispositivo según una de las reivindicaciones precedentes 11 a 22,

caracterizado porque los módulos de procesamiento de datos (10) incluyen hardware y/o software.

24. Medio legible por ordenador con informaciones allí memorizadas que, leídas por un ordenador, interactúan con el ordenador para realizar todas las etapas de procedimiento correspondientes al procedimiento según una de las reivindicaciones precedentes 1 a 10.

25. Medio legible por ordenador con informaciones allí memorizadas que, leídas por un ordenador de una unidad de bus o de red que participa en un proceso a controlar, dentro de un dispositivo según una de las reivindicaciones 11 a 23, interactúan con el ordenador para realizar todas las etapas del procedimiento según una de las reivindicaciones precedentes 1 a 10.