Einrichtung zur Synchronisierung von zwei Prozessen eines redundanten Steuerungssystems einer industriellen Automatisie- rungsanordnung

Die Erfindung betrifft eine Einrichtung zur Synchronisierung von zwei Prozessen eines redundanten Steuerungssystems einer industriellen Automatisierungsanordnung gemäß dem Oberbegriff des Patentanspruchs 1.

In industriellen Automatisierungsanordnungen und in anderen Bereichen der Technik sind Anwendungen bekannt, bei denen eine Steuerungseinrichtung fehlersicher ausgelegt sein muss, das heißt, dass technische Maßnahmen vorgesehen sein müssen, die sicherstellen, dass auch im Falle eines Fehlers (Einfachfehler) ein Weiterbetrieb der Steuerung gewährleistet ist. Solche fehlersichere Steuerungen werden auch als "redundante Steuerungen" oder "HV-Systeme" (HV = hochverfügbar) bezeich- net. In den meisten Fällen werden dabei wichtige und potenziell vom Ausfall bedrohte Komponenten (meist solche mit ak ^¬ tiven Bauelementen) doppelt oder mehrfach ausgeführt, so dass im Fehlerfall eine in Reserve vorgehaltene Komponente anstel ^¬ le der ausgefallenen Komponente den Betrieb fortsetzen kann. Bei zeitkritischen Prozessen genügt es dabei meistens nicht, eine zweite Komponente, Steuerungseinrichtung, Prozessor- Einheit oder dgl . nur in Reserve zu halten, sondern das soge ^¬ nannte "Backup-System" wird mit denselben Daten wie das aktive System im Hintergrund betrieben, so dass ein fast "nahtlo- ses" Umschalten möglich ist. Diese Betriebsart wird auch als "Hot-Standby" bezeichnet.

Ein solches hochverfügbares Automatisierungsgerät beziehungs ^¬ weise Automatisierungsanordnung besteht also meist aus zwei einzelnen Steuerungen, die aber synchronisiert arbeiten müssen, damit im Falle eines Umschaltens keine unerwünschten Zu ^¬ stände auftreten. Zur Synchronisierung der einzelnen Steuerungen beziehungsweise der darauf ablaufenden Programme oder Prozesse ("threads") wird häufig die sogenannte Ereignis- Synchronisation angewendet, bei der die beiden Steuerungen so lange autark agieren, bis auf externe Daten zugegriffen wird, oder bis ein Ereignis (Interrupt, Alarm, ...) eintritt, welches von beiden Steuerungen exakt zum gleichen Zeitpunkt im Anwenderprogramm behandelt werden muss. Es ist daher im Stand der Technik üblich, bei solchen Ereignissen oder zu anderen festgelegten Zeitpunkten eine Synchronisierung der Prozesse der beteiligten Steuerungen vorzunehmen bzw. die Synchronität zu überprüfen. Dazu haben die Anwenderprogramme bzw. die diesen zu Grunde liegenden Betriebssysteme sogenannte Befehlszähler integriert, die die ausgeführten Befehle seit der letzten Synchronisation zählen. Damit kann auch bei Unterbrechungen in Programmschleifen gewährleistet werden, dass nicht nur am gleichen Befehl im Schleifenkörper, also bei identischem Programmzähler-Stand des Prozessors, sondern auch im gleichen Durchlauf der Schleife angehalten wird. Zudem lässt sich der Befehlszähler mit einem Triggerwert versehen. Der Eintritt eines "externen" Ereignisses kann bei Nicht-Synchronität bei beiden Steuerungen zu unterschiedlichen Zeitpunkten im jeweiligen Ablauf des Anwenderprogramms geschehen. In diesem Fall ermitteln beide Steuerungen, bei welchem Befehl sie unterbrochen wurden und tauschen diese Information aus. Danach legen beide Steuerungen den höheren der beiden Werte um 1 erhöht (oder zu zuzüglich eines anderen vereinbarten Wertes) als

Triggerwert für den Befehlszähler fest und starten das Anwenderprogramm erneut bzw. geben die Fortsetzung des jeweiligen Prozesses frei. Sobald beide Befehlszähler den eingestellten Triggerwert erreicht haben, kann das Ereignis auf beiden Steuerungen synchron bearbeitet werden, weil das Anwenderpro ^¬ gramm jeweils an exakt dem gleichen Zeitpunkt beziehungsweise an der exakt gleichen Stelle unterbrochen ist.

Ein Problem im Stand der Technik besteht darin, dass die zu synchronisierenden Prozesse nicht nur für die Synchronisie ^¬ rung Nachrichten miteinander austauschen, sondern an einer Vielzahl von Kommunikationsmitteln und Kommunikationswegen angebunden sein können. Das Eintreffen von diesbezüglichen Nachrichten kann jedoch nicht zeitlich genau vorhergesagt werden; man spricht auch davon, dass Kommunikationsereignisse "asynchron" zum jeweiligen Programmablauf auftreten können. Oft werden durch eingehende Nachrichten Unterbrechungen ("In- terrupts") ausgelöst, so dass solche Ereignisse in einer Pha ^¬ se, zu der die Synchronisierung der Steuerungen vorgenommen werden soll, unerwünscht sind. Man versucht dieses Problem zu vermeiden, indem für die Synchronisierung separate Kommunikationsmittel bereitgestellt werden, beispielsweise für diesen Zweck reservierte Glasfaserverbindungen. Entsprechend müssen die Kommunikationsroutinen der zu synchronisieren Programme und Prozesse jeweils genau auf das für die Synchronisierung vorgesehene Kommunikationsmittel angepasst werden, so dass eine solche Architektur unflexibel ist. Insbesondere sind spätere Änderungen der Synchronisationsverbindungen mit hohem Aufwand verbunden.

Es ist daher eine Aufgabe der vorliegenden Erfindung, für die Synchronisierung von Prozessen von redundanten Steuerungen eine Einrichtung vorzuschlagen, welche eine flexible Konfigu ^¬ rierung von Synchronisationsverbindungen ermöglicht und Störungen eines Synchronisierungs-Vorgangs durch asynchrone Kom ^¬ munikationsereignisse verhindert . Der Lösung der Aufgabe liegt die Idee zugrunde, die auf den zu synchronisierenden Steuerungen ablaufenden Prozesse, Dienste, Interfaces, kurz: Instanzen der Schichten 6 und 7 des ISO/OSI-Schichtenmodells, mittels einer Einrichtung nach Art einer Middleware, mit den Kommunikationsmitteln und - kanälen, also den Schichten 4 und 5 des ISO/OSI-Schichtenmodells, zu verknüpfen, wobei diese Einrichtung durch die Prozesse und Anwendungen derart konfigurierbar sein soll, dass nach Art eines Filters die an die Prozesse und Anwendun ^¬ gen durchzuleitenden Nachrichten bezüglich ihrer Quelle (Kom- munikations-Medium, Kommunikationsprotokoll, Absender, Proto ^¬ koll-Stack etc.) ausgewählt werden können. Dabei sollen erfindungsgemäß einem zu synchronisierenden Prozess oder einer solchen Anwendung in der zeitkritischen Phase des Synchroni- sierungs-Vorganges nur die für die Synchronisierung benötig ^¬ ten Nachrichten des Partner-Prozesses zugeleitet werden, wo ^¬ bei zusätzlich konfiguriert werden kann, über welche der verfügbaren Medien und Kommunikationswege bzw. -kanäle und Pro- tokolle die Synchronisierungsnachrichten ausgetauscht werden. Vorteilhaft verfügen beide Steuerungen, die die zu synchronisierenden Prozesse und Programme umfassen, über eine solche Einrichtung . Die Lösung der Aufgabe sieht insbesondere eine Einrichtung zur Synchronisierung von zwei Prozessen eines redundanten Steuerungssystems einer industriellen Automatisierungsanord ^¬ nung mit zwei redundanten Steuerungen vor, wobei die Einrichtung zur Weiterleitung von Nachrichten eines ersten der Pro- zesse einer ersten der Steuerungen zu einem zweiten der Prozesse einer zweiten der Steuerungen eingerichtet ist. Dabei ist die Einrichtung zum Empfang und zur Verarbeitung von Konfigurierungsbefehlen von dem zweiten der Prozesse eingerichtet, wobei durch die Konfigurierungsbefehle die Quelle und/oder die Art der weiterzuleitenden Nachrichten spezifizierbar ist, wobei für andere Nachrichten keine Weiterleitung zu dem zweiten der Prozesse vorgesehen ist. Dabei ist die Einrichtung derart konfigurierbar, dass für eine Synchronisierung der Prozesse nur die zur Synchronisierung benötigten Nachrichten des ersten Prozesses an den zweiten Prozesse weitergeleitet werden. Durch eine solche Einrichtung können Syn- chronisierungsverbindungen flexibel verschiedene Kommunikati ^¬ onsverbindungen wie Profibus, Profinet, Rückwandbus etc. ver ^¬ wenden. Eine Reservierung einzelner Medien für die Zwecke der Synchronisierung ist nicht erforderlich.

Vorteilhafte Ausgestaltungen der erfindungsgemäßen Einrichtung sind in den abhängigen Patentansprüchen angegeben. Vorteilhaft ist die Einrichtung Bestandteil der zweiten Steu ^¬ erung, so dass diese nach Art einer „Middleware" durch eine Software realisiert werden kann. Weiter ist von Vorteil, wenn die Einrichtung nicht nur Nachrichten an die Prozesse, Programme etc. der betroffenen Steu ^¬ erung weiterleitet, sondern umgekehrt auch die von den Pro ^¬ zessen, Programmen etc. der Steuerung versendeten Nachrichten entgegen nimmt und, vorzugsweise gemäß einer vorliegenden

Konfiguration, den verfügbaren Kommunikationskanälen, Medien etc. zuleitet. Weiter ist dabei von Vorteil, wenn beide oder alle zu synchronisierenden Steuerungen über eine derartige Einrichtung verfügen. In einer weiteren vorteilhaften Ausges- taltung können die beteiligten Einrichtungen auch miteinander Konfigurierungsdaten austauschen, so dass Inkonsistenzen bei der Konfiguration detektiert und vermieden werden können. Außerdem ist es so möglich, dass die Einrichtungen abhängig von Status und Auslastung der zur Verfügung stehenden Kommunika- tionskanäle, Medien etc. für die Nachrichten der verschiede ^¬ nen Prozesse, Anwendungen und Programme die jeweiligen Kommu ^¬ nikationswege selbsttätig festlegen.

In einer weiteren vorteilhaften Ausgestaltung ist die Ein- richtung mit einer weiteren Kommunikationseinrichtung nach

Art einer „Middleware" verknüpft, welche Nachrichten der un ^¬ terlagerten Kommunikationsmittel und -wege, die gemäß unter ^¬ schiedlicher Kommunikationsprotokolle formatiert sind, in ein einheitliches Format bzw. Protokoll überträgt und zu der Ein- richtung übermittelt, und umgekehrt, so dass in der Einrich ^¬ tung selbst keine Protokollumsetzungen stattfinden müssen. In einer alternativen Ausführungsform kann eine solche Funktionalität jedoch auch in der Einrichtung integriert sein, so dass die Prozesse und Anwendungen der Applikationsschicht (Schicht 7) von protokollspezifischen Anpassungen der Nachrichten entlastet werden. Vorteilhaft ist die Kommunikations ^¬ einrichtung, also die sog. zweite „Middleware", zum Austausch von Nachrichten sowohl über ein Feldbussystem als auch über einen Rückwandbus eingerichtet, so dass je nach Topographie der Vernetzung der zu synchronisierenden Steuerungen ein passendes Kommunikationsmedium ausgewählt werden kann. In einer weiteren vorteilhaften Ausgestaltung der Erfindung weisen al- le beteiligten Steuerungen eine solche Kommunikationseinrichtung auf.

Vorteilhaft ist die Einrichtung an einem internen Nachrichtensystem nach Art einer „Message-Queue" angebunden, so dass die internen Nachrichten der Steuerung, die also nicht über externe Kommunikationsschnittstellen geführt sind, ebenfalls von der Einrichtung verarbeitet werden können. Dabei ist die Einrichtung vorteilhaft mittels der Konfigurierungsbefehle derart konfigurierbar, dass die Weiterleitung der Nachrichten des internen Nachrichtensystems freigebbar oder sperrbar ist.

Ein Ausführungsbeispiel der erfindungsgemäßen Einrichtung wird nachfolgend anhand der Zeichnung erläutert.

Dabei zeigen:

Figur 1 in schematischer Darstellung zwei Steuerungen mit einer Synchronisierungsverbindung gemäß dem Stand der Technik, und

Figur 2 in einer schematischen Darstellung die für die Kommunikation und Synchronisierung verwendeten Instanzen einer Steuerung mit der erfindungsgemäßen Einrichtung .

In der Figur 1 sind zwei Steuerungen Sl, S2 gemäß einer Anordnung aus dem Stand der Technik dargestellt, auf deren Architektur die später anhand der Figur 2 erläuterte Erfindung beruht. Die Steuerungen Sl, S2 haben jeweils eine eigene Hardware HW1, HW2 als Plattform, wobei für die Zwecke der Synchronisierung der Steuerungen Sl, S2, die zusammen ein hochverfügbares Automatisierungssystem bilden bzw. ein Teil eines solchen sind, diese mit den Kommunikations-Interfaces KU, KI2 ausgestattet sind. Diese sind über eine physikali ^¬ sche Synchronisationsverbindung SVP miteinander verbunden, die in diesem Ausführungsbeispiel eine Lichtwellenleiterverbindung (Glasfaser-Strecke) ist. An den Kommunikations- Interfaces KU, KI2 sind bezüglich der Steuerung Sl alle Applikationen AP11, APln bzw. bezüglich der Steuerung S2 alle Applikationen AP21, AP2n angebunden. Diese repräsentieren Prozesse (threads) und sonstige Instanzen der Schichten 6 und 7 des ISO/OSI-Schichtenmodells, die potentiell mit ihrem jeweiligen Pendant der anderen Steuerung Sl, S2 zu synchronisieren sind. In diesem Ausführungsbeispiel soll die Applika ^¬ tion AP11 der Steuerung Sl mit der Applikation AP21 der Steuerung S2 synchronisiert werden. Dazu wird über die physikali- sehe Synchronisierungsverbindung SVP und die beteiligten Kommunikations-Interfaces KU, KI2 die logische Synchronisati ^¬ onsverbindung SVL1 etabliert. Andere Applikationen AP12, AP22, APln, AP2n können über weitere logische Synchronisati ^¬ onsverbindungen SVL2, SVLn, die als Kommunikationskanäle ebenfalls auf der physikalischen Synchronisationsverbindung SVP aufsetzen, verbunden sein.

Somit ist die Synchronisationsverbindung (SVP und somit SVL1, SVLn) sowohl von den Betriebssystemen OS1, OS2, als auch von den Netzwerks-Stacks NWS1, NWS2 und den verschiedenen Applikationen AP11, AP2n nutzbar. Da die physikalische Synchronisationsverbindung SVP und damit die logischen Synchronisationsverbindungen SVL1, SVLn und damit die Kommunikations-Interfaces KU, KI2 den Datenaustausch der verschiede- nen Applikationen AP11, AP2n parallel unterstützt bzw. unterstützen, müssen die Nachrichten bzw. Daten-Telegramme immer dem richtigen Empfänger zugewiesen werden, wodurch eine Kanalvergabe im betrachteten System gemäß dem Stand der Technik vollkommen statisch ist. Zu beachten ist weiterhin, dass bei der geschilderten Konfiguration aus dem Stand der Technik weitere Kommunikations-Interfaces wie z.B. die Message-Queue MQS, die die Applikationen AP11, AP2n und Threads bzw. Prozesse untereinander zur Kommunikation verwenden, nicht vorgesehen sind bzw. nicht in die Kommunikation über die In- terfaces KU, KI2 eingebunden werden können. Daher muss ein Prozess oder Thread, der eine solche Inter-

Prozesskommunikation nutzt, abwechselnd beide Kommunikations ^¬ wege hinsichtlich etwaiger vorliegender Nachrichten überprü- fen, was Performance-Nachteile mit sich bringt, kompliziert im „Handling" ist und eine Echtzeitfähigkeit beeinträchtigt.

Im Folgenden wird anhand der Figur 2 eine Steuerung beschrie- ben, deren Architektur von den anhand der Figur 1 geschilderten Steuerungen Sl, S2 abweicht. Dabei zeigt die Figur 2 schematisch den „Schichtaufbau" der Software einer solchen Steuerung in Anlehnung an das ISO/OSI- Schichtenmodell. Dabei sind im unteren Teil der Architektur die Schichten 2 und 4 gezeigt, die mit den entsprechenden Funktionsblöcken für die Kommunikation über Profibus PBL2, PBL4, über Profinet PNL2, PNL4, einen Rückwandbus RWBL2, RWBL4 aufweisen. Weiter sind auch die Funktionsblöcke SL2, SL4 als Synchronisations-Layer 2 bzw. Synchronisations-Layer 4 dargestellt, die analog zu der Synchronisationsverbindung SVP, SVL1 aus dem Beispiel der Figur 1 eine dedizierte Synchronisationsverbindung darstellen bzw. an eine solche angebunden sind. Eine solche Synchronisa ^¬ tionsverbindung kann analog zu dem Beispiel aus dem Stand der Technik gemäß der Figur 1 eine Lichtwellenleiter-Verbindung sein. Schließlich ist ein internes Nachrichtensystem MQS

(Message-Queue-System) dargestellt, über die die Prozesse und Anwendungen der Schicht 7 intern in der dargestellten Steuerung Nachrichten miteinander austauschen können. Die Applikationen, Prozesse und „Threads" der genannten Schicht 7 sind in der Figur als Applikation AP, Serverdienst SD, Netzwerk- Stack NWS etc. dargestellt. Während die Applikationen AP11, AP2n der Figur 1 direkt an den Kommunikations-Interface KU bzw. KI2 als Funktionsblock der Schichten 2 und 4 des ISO/OSI-Schichtenmodells angebunden sind, ist im Beispiel der Figur 2 zumindest eine weitere „Schicht" mit der Einrichtung S („Selector") zwischengeschaltet. Dabei übernimmt die Ein ^¬ richtung S für alle Applikationen und sonstige Einrichtungen der Schicht 7 (in der Figur 2 oben dargestellt) die Rolle ei ^¬ ner „zentralen Wartestelle". D.h., dass die Anwendungen und Prozesse AP, SD, NWS etc. für jeglichen Datenverkehr und

Nachrichtenaustausch lediglich an der Einrichtung S angebunden sind. Die Applikation AP, der Serverdienst SD, der Netzwerk-Stack NWS und andere Funktionen und Bausteine dieser Schicht verwenden Konfigurierungsbefehle, um die Funktionali ^¬ tät der Einrichtung S jeweils festzulegen, wodurch die zukünftig zulässigen Verbindungen festgelegt werden. Dazu wird bei jedem Aufruf, also bei jedem Zugriff mittels einer Soft- ware-Funktion, der Einrichtung S als Konfigurierungsbefehl eine Liste mit sog. „File-Descriptoren" übergeben, mit der festgelegt wird, welche Art von Nachrichten bzw. über welchen Kommunikationskanal (beispielsweise Profibus, Profinet, Rück ^¬ wandbus oder Synchronisationsverbindung) Nachrichten erwartet werden bzw. derzeit verarbeitet werden können. Befindet sich beispielsweise die Applikation AP in einem Ruhezustand bzw. in einem nicht-zeitkritischen Zustand, kann diese die Einrichtung S so konfigurieren, dass Nachrichten aller möglichen Kommunikationskanäle und Kommunikationsmedien, also bei- spielsweise auch die über das interne Nachrichtensystem MQS, an die Applikation AP weitergeleitet werden. Befindet sich die Anwendung AP beispielsweise in einem zeitkritischen Zustand, insbesondere in der Phase einer Synchronisierung mit einer gleichartigen Anwendung auf einer anderen Steuerung, ruft diese Applikation eine Software-Funktion zum Zugriff auf die Einrichtung S auf, wobei als Konfigurierungsbefehl ein sog. File-Descriptor angegeben wird, der einzig und allein die erwarteten Synchronisierungsnachrichten bzw. die zugehörige logische Synchronisationsverbindung SVLl,..., SVLn be- trifft. Im Gegensatz zum System aus dem Stand der Technik kann dabei auch spezifiziert werden, dass die Synchronisati ^¬ onsnachrichten nicht nur über die Lichtwellenleiterverbindung mit den Funktionsblöcken SL2, SL4 akzeptiert werden, sondern zusätzlich oder alternativ auch über andere Kommunikationsme- dien.

In einer alternativen Ausführungsform ist weiterhin eine Kommunikationseinrichtung SIE („Socket-Interface-Einrichtung") vorgesehen, die an die Protokoll-Stacks der Schicht 4 (PBL4, PNL4, RWBL4, SL4) angebunden ist und mit der Einrichtung S in einem einheitlichen („generischen" ) Kommunikationsprotokoll kommuniziert. Dadurch ist es möglich, unterschiedlichste Kom ^¬ munikationsmedien und deren unterschiedliche Protokollstruk- turen derart zu vereinheitlichen, dass die Einrichtung S und die daran angeknüpften Instanzen der Schicht 7 (Applikation AP, Server-Dienst SD, Netzwerk-Stack NWS) flexibel die unter ^¬ schiedlichen Kommunikationsmedien nutzen können, ohne umkon- figuriert werden zu müssen oder eine Vielzahl von Protokollen beherrschen zu müssen.