CN101405666A - 用于验证安全通信部件安装位置的方法及控制和数据传送系统 - Google Patents

Abstract

本发明涉及可对连接到控制和数据传送系统(10)的至少一个安全总线部件的安装位置进行验证的方法以及控制和数据传送系统。为实现该目的，在分别的两个通信周期中通过非安全通信控制单元(30)来把已在之前的配置过程中分配给安全总线部件(60)的各自的位置标识符传送到各个安全总线部件。安全总线部件把在两个通信周期中接收的位置标识符与一个存储器的内容相比较，该存储器中已经存储了参考位置标识符或者仍是空的。所传送的位置标识符、参考位置标识符与配置数据记录之间的被存储在安全控制单元(50)中的比较结果允许验证各个安全总线部件是否连接在控制和数据传送系统(10)中的预定安装位置处。

Description

用于验证安全通信部件安装位置的方法及控制和数据传送系统

技术领域

本发明涉及一种用于检查至少一个被连接到控制和数据传送系统的安全通信部件的安装位置的方法，以及一种特别适合于执行所述方法的控制和数据传送系统。

背景技术

现今，控制和数据传送系统由于可能的高程度自动化而在工业生产和工厂控制中占有突出地位。通信系统的使用非常广泛，通过使用通信系统，把众多分散的输入和输出单元连接到中央控制装置。

为了在安全-关键处理的执行中保证安全标准，在自动化技术中主要使用的通信系统包含了与面向安全(safety-oriented)的总线部件相连的例如CAN总线、profibus或INTERBUS。面向安全的处理例如包括：对保护屏蔽和防护门进行监控，以及控制双手开关(two-hand switch)和紧急停止开关。连接到这种通信系统的总线部件在后面也被称作部件或总线部件。面向安全的总线部件也被称作安全总线部件或安全部件，安全总线部件可以与非安全总线部件一起连接到这样的通信系统中。

为提高安全性，本技术领域中已知的是(例如)把可以直接设置在总线部件上的各个部件地址分配给安全总线部件。

另外，根据EP 1 206 868B1，已知一种用于配置安全总线部件的方法和一种具有这样的总线部件的控制系统。在EP 1 206 868B1描述的方法中，提供了连接到总线上的用于发送部件地址的管理单元。为该管理单元提供了通过总线发送维持消息的专门的维持方式。当接收到这种维持消息时，从安全总线部件向管理单元发送一个包含固定通用地址的用户消息。接下来如果管理单元接收到这种包含了通用地址的用户消息，则把一个带有所定义部件地址的地址分配消息发送回该安全总线部件，该安全总线部件存储该地址。

根据DE 199 34 514C1，已知一种用于对连接到现场总线的安全总线部件进行配置的方法，其中该现场总线从地址分配单元将逻辑和物理地址传送到安全总线部件。参照安全总线部件的实际物理位置来验证传送来的物理地址，并根据该验证的结果把逻辑地址存储在总线部件的存储器中。

根据DE 10 2005 019970A1，已知一种用于为安全总线部件分配地址的方法，其中根据Interbus标准把地址方便地连接到环形现场总线。安全总线部件为了能产生和交换安全消息而具有安全通信层，该安全总线部件也称作安全通信层从设备(SCLS)。另外，Interbus主设备连接到现场总线，该Interbus主设备也称作安全通信层主设备(SCLM)，其配备了一个具有安全通信层的安全控制单元。为了允许在Interbus主设备和安全总线部件之间传送安全数据，对每个安全总线部件的SCLS分配连接ID。在连接ID的帮助下，SCLM总能与期望的SCLS通信。

然而，在控制和数据传送系统的初始操作和重复启动期间，不使用安全部件的地址转换就不能可靠地测试出安全部件是否已实际连接到控制和数据传送系统的期望安装位置上。

发明内容

因此，本发明基于这样的问题提供一种方法以及控制和数据传送系统，采用该方法以及控制和数据传送系统就可以随时可靠地检查安全部件的安装位置。

可看出本发明的核心思想在于，在两个独立的通信周期中将位置标识符传送到安全部件，然后在分配给安全部件的位置标识符与该安全部件的安装位置之间以某种方式建立关系，以便可靠地测试出安全部件是否已连接到用户实际想要提供的安装位置上。

解决上述技术问题首先采用如权利要求1所述的处理步骤。

因此，提供了一种用于对连接到控制和数据传送系统的至少一个安全部件的安装位置进行检查的方法，其中配备有安全控制装置的非安全通信控制装置被连接到控制和数据传送系统。非安全通信控制装置得知连接在控制和数据传送系统中的每个部件的位置。

在非安全通信控制装置中存储第一配置数据集，所述第一配置数据集包含与连接到控制和数据传送系统的所有部件的位置相关的信息以及每个安全部件的各自的位置标识符。该配置数据集可以由想要设计该控制和数据传送系统的用户根据其想法来进行创建。换句话说，第一配置数据集有利地反映了控制和数据传送系统的设计构造。在安全控制装置中存储第二配置数据集。第二配置数据集包含一个仅有已连接安全部件的列表以及每个安全部件各自的位置标识符。

在这点上应当提及的是，尤其对于根据Interbus标准的控制和数据传送系统，相应的配置工具是已知的，用户可以使用该工具来创建相应的配置数据集。

在该实际的配置阶段之后，在第一通信周期中将各个位置标识符从非安全通信控制装置传送到与控制和数据传送系统相连接的每个安全部件。通过安全消息将包含在第二配置数据集中的各个位置标识符从安全控制装置传送到非安全通信控制装置。现在，在第二通信周期中将所接受到的安全消息中包含的各个位置标识符从非安全通信控制装置传送到相应的安全部件。每个安全部件对在第一和第二通信周期中接收到的各个位置标识符进行比较。如果安全部件判定各个位置标识符匹配，则测试参考位置标识符是否已存储在相应的安全部件中。如果参考位置标识符已存储在相应的安全部件中，则将在第一或在第二通信周期中接收到的各个位置标识符与参考位置标识符比较。如果各个位置标识符与相应安全部件存储的参考位置标识符匹配，则安全控制装置发送信号表明相应的安全总线部件连接在了预定的安装位置上。

由于在分别的两个通信周期中传送了各个位置标识符以及将接收到的各个位置标识符与存储在安全部件中的参考位置标识符相比较，因此可以可靠地检测出相应的安全部件是否已实际连接到用户提供的控制和数据传送系统的安装位置上。

优选的具体限定是从属权利要求的主题。

用于对安全总线部件的安装位置进行检查的方法还适合于在控制和数据传送系统的首次初始化中可靠地测试出所有安全部件是否已连接到已由用户在配置阶段中提供的安装位置上。为此目的，如果相应的安全部件中还没有存储参考位置标识符或者已经存储了预定标准参考位置标识符，则将第一或第二通信周期中传送的各个位置标识符存储在相应的安全部件中作为参考位置标识符。安全控制装置从相应的安全部件接收一个包含了关于如下事实的信息的安全消息：在第一和第二通信周期中传送的位置标识符是匹配的，并且在相应的安全部件中还没有存储参考位置标识符。响应于接收到的安全消息，安全控制装置告知操作者：在第一和第二通信周期中传送的位置标识符是匹配的，并且在相应的安全部件中还没有存储参考位置标识符。安全控制装置随后请求操作者确认相应安全部件已连接在预定安装位置处。

同样，在控制和数据传送系统的重启期间，可以随时可靠地检查相应安全部件是否已连接到正确的安装位置。为此目的，当在第一和第二通信周期中接收的各个位置标识符匹配时，将存储在相应安全部件中的参考位置标识符与各个位置标识符相比较。如果参考位置标识符与各个位置标识符不匹配，则以相应的位置标识符来覆写参考位置标识符。每个安全部件随后发送一个安全消息到安全控制装置，其中该消息包含与如下事实相关的信息：第一和第二通信周期中接收的各个位置标识符与所存储的参考位置标识符不匹配。安全控制装置因此可以响应于接收到的安全消息来通知操作者，并可以请求操作者验证相应安全总线部件的安装位置。

因此，可以在安全部件和安全控制装置之间传送安全消息，例如，可以在安全部件和安全控制装置之间根据如DE 10 2005 019970A1中所描述的方法来提前约定所谓的连接ID。

采用这种用于检查安装位置的方法，可以识别控制和数据传送系统的配置、构造以及控制和数据传送系统的寻址中的错误，以及其它用户错误。以这种方式，可以避免损坏控制和数据传送系统和/或伤害操作者。为此目的，如果操作者不对相应安全部件已连接在预定安装位置处进行验证或者如果相应安全部件判定在第一和第二通信周期中传送的各个位置标识符不匹配，则相应安全部件和/或控制和数据传送系统进入安全状态。

为能够保证仅当相应的安全总线部件已连接到期望的安装位置处时才在安全部件中存储参考位置标识符，仅当操作者先前已验证相应安全部件已连接到预定安装位置处时，才以各个位置标识符替换在相应安全部件中的参考位置标识符。

当控制和数据传送系统具有如根据Interbus标准的现场总线那样的环形结构时，就能以极其有利的方式来实施该方法。在这种情况下，不需要为部件分配部件地址，这些部件连接到现场总线并被称作总线部件。这是因为Interbus象移位寄存器一样工作，其中总线部件相互连接成环形并形成移位寄存器的各个存储位置。由于这种特殊的Interbus配置，非安全通信控制装置可以在识别周期和/或数据周期期间得知所有总线部件的位置(事实上是根据用于ID周期的移位寄存器和用于数据周期的移位寄存器中的位置)。如果Interbus用作控制和数据传送系统，则第一通信周期对应于Interbus协议的ID周期，而第二通信周期对应于Interbus协议的数据周期。为连接到现场总线的安全总线部件而定义的各个位置标识符通过集总帧从非安全通信装置传送到相应的安全总线部件，其中各个位置标识符在集总帧内占据相应的位置。

为能够在控制和数据传送系统的首次初始化中或者在对控制和数据传送系统进行部件更换时可靠地应用安全总线部件，通过至少一个安全消息将存储在安全总线部件中的序列号和至少一个部件特有(component-specific)参数(尤其是生产商标识符和装置型号)传送到安全控制装置。如果安全消息中包含的参数与存储在安全控制装置中与相应安全部件相关的部件特有参数相匹配，则将序列号添加到第二配置数据集。以这种方式，将每个安全总线部件应用到控制和数据传送系统。

要在第二通信周期中从非安全通信控制装置传送的位置标识符可以首先从来自安全控制装置的安全消息中提取，并且可以嵌入到新的安全消息中，然后传送到相应的安全总线部件。

为了能够满足安全-关键处理中的安全要求，本方法可确保从安全控制装置传送到非安全通信控制装置的安全消息(包含了各个位置标识符)不经读取即送入相应的安全部件。

同样地，通过权利要求10的特征解决了上述技术问题。

根据该解决手段，提供了一种控制和数据传送系统，尤其用来执行根据权利要求1至9中之一的方法。

所述控制和数据传送系统具有传送装置，其连接了至少一个非安全通信控制装置和至少一个安全部件。其中非安全通信控制装置得知连接到传送介质的所有部件的位置。另外，非安全通信控制装置具有用于存储第一配置数据集的存储器装置，第一配置数据集包含与被连接到控制和数据传送系统的所有部件(即安全和/或非安全部件)的位置相关的信息以及每个安全部件的各自的位置标识符。此外，为非安全通信控制装置分配了安全控制装置，该安全控制装置具有用来存储第二配置数据集的存储器装置，所述第二配置数据集包含一个仅有已连接安全部件的列表以及每个安全部件的各自的位置标识符。安全控制装置构造来用于产生一个包含各个安全部件的位置标识符的安全消息并将其传送到非安全通信控制装置。非安全通信控制装置构造来用于在第一通信周期期间将各个位置标识符传送到安全总线部件，以及在第二通信周期期间将来自安全控制装置的各个位置标识符传送到安全总线部件。每个安全部件具有用于存储参考位置标识符的存储器装置、用于对在第一和第二通信周期期间接收的各个位置标识符进行比较的装置、用于将接收的各个位置标识符与参考位置标识符进行比较的装置以及用于将包含有关比较结果的信息的安全消息传送到安全控制装置的装置。安全控制装置响应于从安全部件接收的安全消息来请求操作者验证安全部件已连接在预定安装位置处。

为了能够避免出错时损坏控制和数据传送系统以及伤害到人员，提供了这样一种装置，只要操作者不对相应安全总线部件已连接在预定安装位置处进行验证，或者如果相应的安全总线部件判定在第一和第二通信周期中传送的各个位置标识符不匹配，则所述装置使安全部件和/或控制和数据传送系统进入安全状态。

安全控制装置优选地通过耦接存储器连接到非安全通信控制装置。

另外，可提供一个可编程控制单元，其对在第一和第二通信周期中传送到安全部件的各个位置标识符与存储在每个安全部件的存储器装置中的参考位置标识符不匹配这一事实产生响应，来使得相应的安全总线部件用各个位置标识符覆写参考位置标识符。

附图说明

将参照实施例并结合附图来详细说明本发明。

示出：

图1是实施本发明的示例控制和数据传送系统，

图2是图1所示安全子部件的详细电路框图，

图3是在一个识别周期期间传送的根据Interbus协议的集总帧，以及

图4是在一个数据周期期间传送的根据Interbus协议的集总帧。

具体实施方式

图1在示意性框图中示出整体被标明为10的控制和数据传送系统，其中总线部件以环形相互连接。在本示例中，控制和数据传送系统10是一个实施了本发明的Interbus传送系统。例如在由海德尔堡的Hüthig Buchverlag GmbH公司的A.Baginski等在1994年所著的参考书“Interbus-S：Grundlagen und Praxis[Interbus-S：Fundamentals and Practice]”中描述了Interbus传送系统。

如图1所示的Interbus传送系统10包括一个总线部件30，用作非安全通信控制装置，并在下文中简称为Interbus主设备。该Interbus主设备30连接到Interbus传送系统10的现场总线70并例如通过耦接存储器40连接到安全控制装置50。安全控制装置50是具有安全通信层的装置。它也称作SCLM(安全通信层主设备)。其中，需要安全控制装置50借助非安全Interbus主设备30来控制安全-关键过程。现场总线70象征性地用两个环71和72示出，根据Interbus协议，它们代表已知为识别周期的第一通信周期和已知为数据周期的第二通信周期。为表示简单起见，仅示出一个连接到现场总线70的总线部件60。总线部件60是安全总线部件，借助该总线部件60可以与安全控制装置50相关联地执行安全-关键处理。应当注意，安全总线部件60可以是具有安全通信层的从设备，也称作SCLS(安全通信层从设备)。显然，额外的安全总线部件和非安全总线部件都可连接到环形现场总线70。可以由用户用来配置Interbus传送系统10的软件工具象征性地以参考符号20和25示出。

由于Interbus传送系统10对于本领域所属技术人员是已知的，因此足以注意到Interbus是一种移位寄存器，其中的总线部件相互连接成环形并形成移位寄存器的各个存储位置。根据Interbus的这种移位寄存器结构，所连接的总线部件不需要部件地址，，而是由Interbus主设备30在识别周期(以下简称为ID周期)期间获知该环中各个总线部件的位置。然后，Interbus中的总线部件的排布在Interbus主设备30被存储为过程图像(process image)。这样，Interbus主设备30可以通过将供总线部件使用的数据写入到消息中的相应位置处来形成集总帧并通过现场总线70发送，从而把数据发送到每个连接的总线部件。总线部件处在可从该消息中读出为它设计的数据的位置上。在图3和图4中，示出了示例集总帧，集总帧是根据Interbus协议构造的，并且也包含针对相应安全总线部件的位置标识符。

在图2中，更详细地示出了如图1所示的安全总线部件60。安全总线部件60以已知的方式具有可用的两个移位寄存器部分。以参考符号80和82标明的移位寄存器部分在ID周期期间连接到现场总线70，而以参考符号84和86标明的另一个移位寄存器部分在数据周期期间连接到现场总线70。在识别周期期间现场总线70上的移位寄存器部分具有控制寄存器80和ID寄存器82。在数据周期期间现场总线70上的移位寄存器部分具有输入寄存器84和输出寄存器86。在输入寄存器84中，可以读取来自Interbus主设备30的输入数据，而在输出寄存器86中，存储了例如为Interbus主设备30设计的处理数据。安全总线部件60具有部分65，部分65基本包括总线部件的安全相关部分。然而，要理解的是所选的这种安全总线部件构造仅作为示例。安全总线部件60具有存储器88，该存储器88如下文所详述可以存储ID周期期间从Interbus主设备30传送到安全总线部件60的位置标识符。提供了另一个存储器94，其中存储了在数据周期期间传送到安全总线部件60的位置标识符。另外，提供了存储器96，其中可以存储参考位置标识符。提供了比较装置92，它可以将存储器88和94的存储内容相互比较。此外，比较装置92设计来将存储器94的存储内容或者存储器88的存储内容与存储器96的存储内容相比较。例如一个微处理器90负责总线部件60和比较装置92的控制。安全总线部件60的安全相关部分65用来与安全控制装置50连接，以测试安全总线部件60是否实际上连接在用户提供的现场总线70的安装位置上。在这一点上，已经注意到微处理器90可保证能产生安全消息并可传送到安全控制装置50，该安全消息中嵌入了预定的信息，比如“存储器88和94的存储内容匹配”，“存储器88和94的存储内容不匹配”，“存储器88和96的存储内容匹配”，或“存储器88和96的存储内容不匹配”。

下面将结合图1到图4更详细地说明Interbus传送系统10的功能。尤其描述了如何能可靠地测试现场总线70中的安全总线部件60的安装位置。

一开始，根据图1在步骤1的配置阶段期间，借助软件工具20来设定Interbus传送系统10的配置。对于要与现场总线70连接的每个总线部件，为此生成配置数据集。其中，该数据集包含与连接到现场总线70的每个总线部件的位置相关的信息。在作为示例描述的Interbus传送系统10中，总线部件的位置按顺序出现，在配置数据集中按照此顺序存储总线部件。另外，配置数据集包含用于每个安全总线部件的各自的一个位置标识符。在本示例中，总线部件a和b形成为安全部件，已被分别分配了各自的位置标识符1和2。总线部件c为非安全总线部件。另外，应提及的是在软件工具20中指定的总线部件a对应于安全总线部件60。

除了位置标识符以外，每个安全总线部件a和b的配置数据集还优选地包含相关的装置型号和生产商标识符。在这一点上，应提及的是在连接到现场总线70的每个安全总线部件中，除了装置型号和生产商标识符之外还存储了序列号。

在根据图1的步骤2中，属于安全总线部件a和b的配置数据集现在被传送给安全编程环境25。安全总线部件以与它们连接到现场总线70的相互顺序相对应的顺序来列在配置数据集中。然后在步骤3a，在软件工具20中生成的并且包括了安全和非安全总线部件的所有配置数据集都存储在Interbus主设备30中。在步骤3b，把存储在安全编程层25中的安全总线部件a和b的配置数据集写入安全控制装置50。

在配置好Interbus传送系统10的基础上，Interbus主设备30在用于ID周期的移位寄存器和用于数据周期的移位寄存器中得知连接到现场总线70的总线部件的物理位置。根据Interbus协议，Interbus主设备30现在生成一个如图3所示示例的集总帧。通常，在集总帧前面附加所谓的返回字(loopback word)，按照Interbus主设备30得知的每个总线部件在现场总线70中的物理位置所规定的顺序，来把与现场总线70相连的总线部件的控制信息字段连接到返回字上。在本示例中，假设安全总线部件60是现场总线70中连接的最后一个总线部件，从而为该总线部件设计的控制信息恰在返回字后面。该控制信息可包含总线部件60的ID码、各种控制数据和位置标识符1。非安全总线部件c正好在总线部件60的前面被连接在现场总线70上，从而分配给它的控制信息存储在接下来的控制信息字段中。因为安全总线部件b是现场总线中与通信方向有关的第一个总线部件，所以它的控制信息与位置标识符2一起处在集总帧的最后一个控制字段中。

在步骤4，现在在第一通信周期71期间通过现场总线70把集总帧传送到所连接的总线部件，在本示例中该第一通信周期71是根据Interbus的ID周期。然后每个总线部件从集总帧接收为它自己设计的控制信息。这样，安全总线部件60把恰在返回字后面的控制信息写入相应的寄存器80和82中，如图3所示。特别是，包含在集总帧中的位置标识符1由安全总线部件60写入控制寄存器80中。

应当注意，位置标识符可以包括例如7位。集总帧中另外的位可对位置标识符进行描述从而确保与其它控制数据区分开。

依靠安全总线部件60的执行，单个位置标识符1可从控制寄存器80写入存储器88。

此外，依据存储的配置数据集，安全控制装置50为每个安全总线部件产生一个安全消息，该安全消息至少包含分配给该安全总线部件的位置标识符。因此，在本示例中，为安全总线部件60产生一个包含位置标识符1的安全消息。为安全总线部件b产生另一个包含它自己的位置标识符2的安全消息。在步骤5，以给定的顺序通过耦接存储器40把安全消息传送到Interbus主设备30。根据优选实施例，Interbus主设备30不经读取就将安全消息写入集总帧，如图4示出为示例。集总帧依次包括返回字、第一数据字段(至少包含安全总线部件60的位置标识符1)、第二数据字段(例如包含非安全总线部件c的处理数据)以及一个至少包含安全总线部件c的位置标识符2的数据字段。以连接到现场总线70的总线部件的顺序依次确定集总帧中数据字段的顺序。由于Interbus主设备30得知连接到现场总线30的所有总线部件的位置，因此可以将这些数据字段嵌入集总帧中的正确位置作为顺序功能，在该位置处从安全控制装置50接收安全消息。

在步骤6，Interbus主设备30借助与Interbus协议的数据周期相对应的第二通信周期72来通过现场总线70发送包含安全消息(从而包含位置标识符1和2)的集总帧。每个总线部件把分配给它自己的数据读入到输入寄存器中。在本示例中，安全总线部件60把恰在返回字后面的包含了位置标识符1的数据读入输入寄存器84。然后可以将位置标识符1从输入寄存器84写入存储器94。

在下文中，考虑第一种情况：其中Interbus传送系统10第一次进行操作。这表明在存储器96中还没有存储参考位置标识符。或者可以在存储器96中存储一个标准值，这告知微处理器90Interbus传送系统10还没有进行过操作。

根据步骤7，把存储在存储器88和94中的各个位置标识符送入比较器92，比较器92测试存储内容即存储的位置标识符是否匹配。如果比较器92判定存储在存储器88和94中的两个位置标识符匹配，则存储在存储器88中的位置标识符1或者存储在存储器94中的位置标识符可以直接存储在存储器96中作为参考位置标识符。

微处理器90现在产生安全消息，例如其中写入了安全总线部件60的装置型号、生产商标识符和序列号。此外，安全消息包含与存储在存储器88和94中的位置标识符匹配这一事实相关的信息。该安全消息写入输出寄存器86。在另一个数据周期期间，输出寄存器86的内容嵌入相应的集总帧中，然后在步骤8通过总线部件60的输出把该内容供给现场总线70并从该处传送到Interbus主设备30。Interbus主设备30从接收到的集总帧中获取所有安全消息，并在步骤9通过耦接存储器90把它们传送到安全控制装置50。应注意，对于Interbus主设备30的优选实施例，安全消息不经读取就发送给安全控制装置50。参考为总线部件60设计的安全消息，安全控制装置50得知存储在存储器88和94中的位置标识符匹配。这表明安全总线部件60连接到现场总线70内的正确安装位置上，因此现在安全总线部件60可以被通报给Interbus传送系统10。安全总线部件60以把安全消息中包含的序列号存储在安全控制装置50中这种方式来进行通报。根据步骤10，安全控制装置50可以在装置集成的显示器上向用户显示总线部件60已连接在正确的安装位置上并进行了通报。安全控制装置50可以附加地或可选地具有可用的接口，通过该接口可以将该信息传送给外部装置。

现在将考虑第二种情况。这里假设Interbus传送系统10已经进行了正确的操作，因此参考位置标识符1已存储在总线部件60的存储器96中。另外，假设Interbus传送系统10在期望的或不期望的停顿之后将再次启动。

与第一种情况的说明类似，在识别周期期间Interbus传送系统10的启动之前，在构造成集总帧的消息中把安全总线部件60和b的各自的位置标识符从Interbus主设备30传送到相应的总线部件。安全总线部件60从该消息中读出为它设计的包含了位置标识符的控制信息并将位置标识符写入存储器88。然后安全控制装置50产生安全消息，其中包含安全总线部件60和b的相应位置标识符，并通过耦接存储器40把安全消息传送给Interbus主设备30。Interbus主设备30将安全消息嵌入在集总帧的相应位置上并在数据周期中将安全消息传送到相应的安全总线部件。安全总线部件60从收到的集总帧中获取为它设计的安全消息，并将该消息中包含的位置标识符写入存储器94中。

在比较器92中，现在将两个存储器88和94的内容相互比较。

在第一子情况中，假设比较器92已判定存储器88和94的存储内容匹配。这表明两个分别的通信周期中传送的位置标识符是相同的。因此，比较器92将存储在存储器96中的参考位置标识符与存储在存储器88或存储器94中的位置标识符相比较。如果各个位置标识符与参考位置标识符相匹配，则可确定安全总线部件60连接在现场总线70内为它提供的安装位置上。在微处理器90的控制下产生一个安全消息，该安全消息至少包含与参考位置标识符和在存储器88和94中存储的位置标识符相匹配这一事实相关的信息。另外，安全消息可以包含安全总线部件60的生产商标识符、序列号和/或装置型号。安全消息被缓存在输出寄存器86中。在相应的数据周期期间，该安全消息嵌入集总帧并通过Interbus主设备30和耦接存储器40被传送到安全控制装置50。安全控制装置50对安全消息产生响应，向用户发送信号来告知用户如下事实：安全总线部件60已在第一通信周期和第二通信周期中接收到与存储在参考位置标识符相匹配的相同位置标识符。以这种方式，可确保总线部件60连接在了预定的安装位置上。

一旦确定所有安全总线部件都连接在为它们设计的安装位置上，就可以启动Interbus传送系统10并且可以传送处理数据。

现在假设第二种子情况，其中安全总线部件60的比较器92已判定存储在存储器88和94中的位置标识符不匹配。在这种情况下，微处理器90确定安全总线部件60进入安全状态，便产生一个至少包含安全总线部件60的装置型号的安全消息，并将该安全消息传送到安全控制装置50。安全控制装置50可对该安全消息产生响应来告知用户发生了错误。然后安全控制装置50可自动地或由用户触发来关闭整个Interbus传送系统10或让系统进入安全状态。

假设第三种子情况，其中比较器92已判定存储在存储器88和94中的位置标识符匹配，但与存储在存储器96中的参考位置标识符不匹配。因此，微处理器90产生一个优选地包含了安全总线部件60的装置型号、生产商标识符和序列号的安全消息，并产生一个表明出现系统错误或者安全总线部件已被替换或连接在不同的安装位置上的信息。

如上所述，在数据周期期间，通过Interbus主设备、耦接存储40用集总帧将安全消息传送到安全控制装置50。在步骤10，安全控制装置50对安全消息产生响应来告知用户如下事实：被传送到安全总线部件60的各个位置标识符与存储在存储器96中的参考位置标识符不相匹配。可以发现这一事件的原因是用户替换了安全总线部件60，或者将它连接到了现场总线70内的不同的位置。

根据在安全消息中传送的安全总线部件60的生产商标识符、装置型号和/或序列号，以及存储在安全控制装置50中的配置数据集，可以测试出部件是否被替换或者例如一个错误的位置标识符是否已被传送给安全总线部件60。

如果用户实际上已替换了安全总线部件60，并且如果在安全消息中接收到的生产商标识符和/或装置型号与存储在安全控制装置50中的配置数据集相匹配，则请求用户验证或拒绝相对于安全控制装置50中的位置标识符发生的改变。如果用户验证了位置标识符的改变，则对存储在安全控制装置50中的配置数据集中的相应安全总线部件的序列号进行覆写。

根据一个实施例，安全控制装置可以将包含确认通知以及包含例如新安全总线部件的位置标识符、装置型号和/或生产商标识符的安全消息传送到Interbus主设备30，然后Interbus主设备30在另一个数据周期中将集总帧中的安全消息传送到新安全总线部件。新安全总线部件的微处理器90对该安全消息产生响应来确保存储在存储器88或存储器94中的位置标识符已被送入存储器96中作为新参考位置标识符。

可选地，新的位置标识符还可以不由用户对新的安装位置先进行确认就从存储器88或从存储器94送入存储器96。

相反，如果位置标识符的改变还没有由用户进行确认，则安全控制装置50和/或安全总线部件要确保安全总线部件和/或控制和数据传送系统已进入安全状态。

要注意的是，当在第一和第二通信周期期间传送的位置标识符都与存储在存储器96中的参考位置标识符匹配时，也可以识别出部件的替换或安全总线部件被连接到不同的安装位置。在这种情况下，安全控制装置50可以参考从安全总线部件传送的安全消息中的序列号或生产商标识符，通过与存储的配置数据集相比较来测试是否发生了部件替换。

由于在Interbus主设备30中包含描述安全总线部件和非安全总线部件的所有配置数据，因此即使在Interbus传送系统10的启动期间也能识别出配置中的改变的错误。

Claims (13)

1.用于对连接到控制和数据传送系统(10)的至少一个安全部件(60)的安装位置进行检查的方法，其中配备有安全控制装置(50)的非安全通信控制装置(30)被连接到控制和数据传送系统，其中非安全通信控制装置(30)得知在控制和数据传送系统(10)中连接的每个部件的位置，所述方法具有如下处理步骤：

-在非安全通信控制装置(30)中存储第一配置数据集，所述第一配置数据集包含与连接到控制和数据传送系统(10)的所有部件的位置相关的信息以及每个安全部件(60)的各自的位置标识符；

-在安全控制装置(50)中存储第二配置数据集，所述第二配置数据集包含一个仅有已连接安全部件的列表以及每个安全部件的各自的位置标识符；

在第一通信周期中将每个位置标识符从非安全通信控制装置(30)传送到每个安全部件(60)；

-通过安全消息将包含在第二配置数据集中的各个位置标识符从安全控制装置(50)传送到非安全通信控制装置(30)；

-在第二通信周期中将所接收到的安全消息中包含的各个位置标识符从非安全通信控制装置(30)传送到相应的安全部件(60)；

-由每个部件对在第一和第二通信周期中接收到的各个位置标识符进行比较；

-如果安全部件判定各个位置标识符匹配，则测试参考位置标识符是否存储在相应的安全部件中；

-如果参考位置标识符存储在相应的安全部件中，则将各个位置标识符与参考位置标识符比较；

-如果各个位置标识符与相应安全部件存储的参考位置标识符匹配，则安全控制装置(50)发送信号表明相应的安全部件连接在了预定的安装位置上。

2.如权利要求1所述的方法，其特征在于

如果相应的安全部件中还没有存储参考位置标识符，则将第一和/或第二通信周期中传送的各个位置标识符存储在相应的安全部件中作为参考位置标识符；

安全控制装置(50)从相应的安全部件接收一个包含了关于如下事实的信息的安全消息：在第一和第二通信周期中传送的位置标识符是匹配的并且在相应的安全部件中还没有存储参考位置标识符；和

安全控制装置(50)响应于接收到的安全消息，来把第一和第二通信周期中传送的位置标识符是匹配的并且在相应的安全部件中还没有存储参考位置标识符这一事实告知操作者，并请求操作者确认相应安全部件已连接在预定安装位置处。

3.如权利要求1所述的方法，其特征在于

如果在第一和第二通信周期中接收的各个位置标识符匹配，则将存储在相应安全部件中的参考位置标识符与各个位置标识符相比较，

如果参考位置标识符与各个位置标识符不匹配，则以各个位置标识符来覆写参考位置标识符，

相应的安全部件借助安全消息将在第一和第二通信周期中接收的各个位置标识符与所存储的参考位置标识符不匹配这一事实告知安全控制装置(50)，和

安全控制装置(50)响应于接收到的安全消息来将在第一和第二通信周期中传送的位置标识符是匹配的然而这些位置标识符与相应安全部件中的参考位置标识符却不匹配这一事实告知操作者，并且还请求操作者确认相应安全部件已连接在预定安装位置处。

4.如权利要求2或3所述的方法，其特征在于

如果操作者不对相应安全部件已连接在预定安装位置处进行确认或者如果相应安全部件判定在第一和第二通信周期中接收到的各个位置标识符不匹配，则相应安全部件(60)和/或控制和数据传送系统(10)进入安全状态。

5.如权利要求1到4所述的方法，其特征在于

仅当操作者已确认相应安全部件已连接在预定安装位置处时，才以各个位置标识符替代相应安全部件中的参考位置标识符。

6.如权利要求1到5所述的方法，其特征在于

控制和数据传送系统(10)具有环形的结构。

7.如权利要求1到6所述的方法，其特征在于

控制和数据传送系统(10)包含根据Interbus标准的现场总线(70)，第一通信周期是Interbus协议的ID周期，第二通信周期是Interbus协议的数据周期，并且把各个位置标识符通过集总帧从非安全通信控制装置(30)传送到相应的安全部件，其中各个位置标识符在集总帧内占据预定的位置。

8.如权利要求1到7所述的方法，其特征在于

在第二配置数据集中，针对每个安全部件包括了至少一个部件特有参数，尤其是生产生标识符和装置型号，和

在控制和数据传送系统的第一次启动或在替换了安全部件时，安全部件通过至少一个安全消息将至少一个部件特有参数和序列号传送到安全控制装置(50)，其中将相应安全部件的序列号送入第二配置数据集。

9.如权利要求1到8所述的方法，其特征在于

在第二通信周期中，将来自安全控制装置(50)并包含各个位置标识符的安全消息从非安全通信控制装置(30)供给相应的安全部件。

10.控制和数据传送系统，尤其用于执行根据权利要求1到9中之一所述的方法的控制和数据传送系统，包括：

传送装置(70)，其连接了至少一个非安全通信控制装置(30)和至少一个安全部件(60)，其中非安全通信控制装置(30)得知所连接的每个部件的位置并具有用于存储第一配置数据集的存储器装置，第一配置数据集包含与被连接到控制和数据传送系统(10)的所有部件的位置相关的信息和每个安全部件(60)的各自的位置标识符，

安全控制装置(50)，被分配给非安全通信控制装置(30)，所述安全控制装置(50)具有用来存储第二配置数据集的存储器装置，所述第二配置数据集包含一个仅有已连接安全部件的列表以及每个安全部件的各自的位置标识符，其中

安全控制装置(50)构造来用于产生一个包含安全部件(60)的各个位置标识符的安全消息并将其传送到非安全通信控制装置(30)，其由

非安全通信控制装置(30)构造来用于在第一通信周期期间将各个位置标识符传送到安全部件(60)，以及在第二通信周期期间将从安全控制装置(50)接收到的各个位置标识符传送到安全部件(60)，其中

每个安全部件具有用于存储参考位置标识符的存储器装置(96)、用于对在第一和第二通信周期期间接收的各个位置标识符进行比较的装置(92)、用于将接收的各个位置标识符与参考位置标识符进行比较的装置以及用于将至少一个安全消息传送到安全控制装置的装置，其中安全消息包含关于比较结果的信息，

其中，安全控制装置(50)响应于从安全部件接收的安全消息来请求操作者确认安全部件已连接在预定安装位置处。

11.如权利要求10所述的控制和数据传送系统，其特征在于

用于使安全部件和/或控制和数据传送系统进入安全状态的装置，如果操作者不对相应安全部件已连接在预定安装位置处进行确认，或者如果相应的安全部件判定在第一和第二通信周期中传送的各个位置标识符不匹配，则所述装置使安全部件和/或控制和数据传送系统进入安全状态。

12.如权利要求10或11所述的控制和数据传送系统，其特征在于

安全控制装置(50)通过耦接存储器(40)连接到非安全通信控制装置(30)。

13.如权利要求10到12所述的控制和数据传送系统，其特征在于

可编程控制单元(90)，其对在第一和第二通信周期中传送的各个位置标识符与存储在每个安全部件的存储器装置中的参考位置标识符不匹配这一事实产生响应，来使得相应的安全部件用各个位置标识符覆写参考位置标识符。

Images