Verfahren zum Bestimmen einer Sicherheitsstufe und Sicherheitsmanager

Die Erfindung betrifft ein Verfahren zum Bestimmen einer Sicherheitsstufe in einem Automatisierungsnetzwerk mit Teilnehmern, einen Sicherheitsmanager und ein Automatisierungsnetzwerk .

Moderne Konzepte der Industrieautomation, d.h. der Steuerung und Überwachung von technischen Prozessen mithilfe von Software beruhen auf der Idee einer zentralen Steuerung mit verteilter Sensor-/ Aktorebene. Die Teilnehmer kommunizieren da- bei untereinander und mit übergeordneten Systemen über industrielle lokale Netzwerke, im Weiteren auch als Automatisierungsnetzwerke bezeichnet. Die Automatisierungsnetzwerke sind in der Regel als sogenannte Master-Slave-Kommunikationsnetze ausgelegt, bei denen der Masterteilnehmer die Steuerungsebene und die Slaveteilnehmer die Sensor-/ Aktorebene bilden.

Eine wesentliche Anforderung in der Industrieautomation ist die Sicherheit. Es muss bei der Ausführung von Automatisierungsaufgaben sicher gestellt sein, dass vom Automatisie- rungsnetzwerk dann, wenn ein Teilnehmer ausfällt oder ein anderer Fehler auftritt, keine Gefahr für Mensch und Umwelt ausgeht. Um die Gefährdung durch ein Automatisierungsnetzwerk einstufen zu können, ist es Vorschrift, eine Gefahrenanalyse vorzunehmen. Gemäß der europäischen Norm EN1050 hat die Risi- kobeurteilung als eine Folge von logischen Schritten zu erfolgen, welche die systematische Untersuchung von Gefährdung erlaubt, die vom Automatisierungsnetzwerk bzw. den einzelnen Teilnehmern ausgehen. Auf der Grundlage der Gefahrenanalyse werden dann die technischen und organisatorischen Anforderun- gen an das Automatisierungsnetzwerk zur Gewährleistung einer ausreichenden Sicherheit festgelegt. Die europäische Norm EN 954-1 „Sicherheit für Maschinen - Si- cherheitsbezogene Teile von Steuerungen" hat sich dabei im Bereich der Maschinen- und Anlagensicherheit als internationaler Standard zur Durchführung einer Gefährdungsanalyse e- tabliert. Die Norm bezieht alle sicherheitsrelevanten Teilnehmer unabhängig vom Teilnehmertyp ein und unterteilt die sicherheitstechnische Leistungsfähigkeit in Kategorien. Ausgehend von der ermittelten Sicherheitskategorie wird dann die Steuerungsstruktur im Automatisierungsnetzwerk ausgelegt, um die Anforderungen an die Sicherheitsfunktionen und ein gefordertes Systemverhalten im Fehlerfall zu erreichen.

Um insbesondere auch programmierbaren elektronischen Steuerungssystemen in Bezug auf die Sicherheitsanforderungen ge- recht zu werden, wurden in den letzten Jahren zusätzlich zur EN 954-1 weitere Normen verabschiedet. Für die Gefahrenanalyse in Automatisierungsnetzwerken sind insbesondere die Norm EN ISO13849-1 und IEC/EN 62061 relevant. Mit diesen beiden Normen erfolgt über den qualitativen Ansatz der Norm EN954-1 hinaus eine quantitative Betrachtung der Sicherheitsfunktionen .

Die Normen EN ISO 13849-1 und IEC/EN 62061 spezifizieren die zur Risikoreduzierung erforderliche sicherheitstechnische Leistungsfähigkeit von programmierbaren elektronischen Steuerungssystemen. Zur Unterteilung der sicherheitstechnischen Leistungsfähigkeit werden in den beiden Normen Sicherheitsstufen definiert. Hierzu werden alle Sicherheitsfunktionen des Automatisierungsnetzwerks mit allen an ihrer Ausführung beteiligten Teilnehmern betrachtet.

Die Sicherheitsstufe des Automatisierungsnetzwerks wird auf der Grundlage von sicherheitstechnischen Kenngrößen der an den Sicherheitsfunktionen beteiligten Teilnehmer bestimmt. Diese Kenngrößen sind dabei gemäß der Norm EN ISO13849-1 u. a. die mittlere Zeit für einen gefährlichen Ausfall (MTTF), der Diagnosedeckungsgrad (DC) , die durchschnittliche Wahr- scheinlichkeit eines gefährlichen Ausfalls je Stunde (PFH), die Gebrauchsdauer (T _M ) , die Anzahl von Zyklen, bei denen 10% einer Stichprobe der betrachteten verschleißbehafteten Teilnehmer gefährlich ausgefallen sind (Bio _d ) , und der Ausfall aufgrund gemeinsamer Ursache (CCF) . Neben diesen genannten sicherheitstechnischen Kenngrößen können noch weitere Parameter, auch betriebliche Gesichtspunkte wie die Anforderungsrate oder die Testrate der Sicherheitsfunktion Einfluss auf die Sicherheitsstufe haben.

Zum Bestimmen der Sicherheitsstufe eines Automatisierungsnetzwerkes ist ferner neben der Kenntnis der sicherheitstechnischen Kenngrößen aller an der Sicherheitsfunktion beteiligten Teilnehmer eine genaue Information über die logische Ver- knüpfung der Teilnehmer im Automatisierungsnetzwerk erforderlich.

Um die Gefährdung durch ein Automatisierungsnetzwerk zuverlässig einstufen zu können, sind aufwendige Berechnungen, z. B. mithilfe der Markov-Analyse notwendig. Darüber hinaus muss die Ausfallwahrscheinlichkeit einzelner Teilnehmer aufgrund unzureichender Daten teilweise geschätzt werden, was eine gesicherte Aussage schwierig macht. Die Bestimmung der Sicherheitsstufe im Automatisierungsnetzwerk stellt deshalb insbe- sondere kleine und mittelständische Unternehmen vor erhebliche Probleme.

In den letzten Jahren kamen vermehrt Sicherheitstools auf den Markt, wie z.B. der Safety-Kalkulator PAScal der Firma Pilz, Ostfildern und das Programm Safeexpert der Firma Sick, Weiskirch. Diese Sicherheitstools berechnen die Sicherheitsstufe von Sicherheitsfunktionen in Automatisierungsnetzwerken abhängig von den verwendeten Teilnehmern. Die teilnehmerspezifischen Sicherheitskenndaten werden dabei einer Software- Bibliothek entnommen. Die Struktur der Anlage, d.h. die da- ten- und ablaufspezifische Verknüpfung der Teilnehmer im Automatisierungsnetzwerk muss aber zusätzlich individuell ein- gegeben werden. Die Sicherheitstools verifizieren die berechnete Sicherheitsstufe mit der gemäß den Normen EN ISO13849-1 und EN/EC62061 erforderlichen Sicherheitsstufe und zeigen e- ventuellen Handlungsbedarf zur Verbesserung der Sicherheit im Automatisierungsnetzwerk auf.

Die Verwendung einer Software-Bibliothek zur Erfassung der teilnehmerspezifischen Sicherheitskenndaten macht es erforderlich, diese Bibliothek ständig zu aktualisieren, um bei der Sicherheitsberechnung neue Teilnehmer einbeziehen zu können bzw. in den Teilnehmern vorgenommenen Veränderungen berücksichtigen zu können. Ferner ist das Erfordernis, die da- ten- und ablaufspezifische Verknüpfung der Teilnehmer im Automatisierungsnetzwerk individuell in das Sicherheitstool einzugeben, zeitintensiv und auch fehleranfällig. In der Regel wird deshalb nur eine vereinfachte Betrachtung der Steuerungslogik im Automatisierungsnetzwerk bei der Bestimmung der Sicherheitsstufe durchgeführt. Bei einer Erweiterung oder Änderung des Automatisierungsnetzwerkes ist es außerdem erfor- derlich, die geänderte Struktur neu zu erfassen, um die aktuelle Sicherheitsstufe bestimmen zu können.

Aus der DE 103 18 837 Al ist ein Netzwerk bekannt, bei dem daten- und ablauftechnische Verknüpfungen zwischen den Teil- nehmern von einem Sicherheitsmanager selbsttätig ermittelt werden können.

Aus der EP 1 300 657 A2 und der DE 44 09 543 Al sind Netzwerke bekannt, bei denen teilnehmerspezifische Kenndaten auch selbsttätig ermittelt werden können.

„Wahrscheinlichkeitsrechnung leicht gemacht" aus der Service- Box des Online-Magazins CIC-web (Online-Service der Henrich Publikationen GmbH), Ausgabe AUT 06/2005, S. 1-3 (http : //www. cicweb . de/index ,cfm?pid=1473&pk=66042#) zeigt ein Verfahren zum Bestimmen einer Sicherheitsstufe in einem Automatisierungsnetzwerk mit Teilnehmern, bei welchen die Sicher- heitsstufe im Automatisierungsnetzwerk mithilfe einer Berechnungsvorschrift berechnet wird, welche die daten- und ablauftechnische Verknüpfung der Teilnehmer im Automatisierungsnetzwerk und die teilnehmerspezifischen Sicherheitskenndaten verbindet. Dieses Verfahren ist im Programm „Safety Calcula- tor PAScal" der Firma PILZ verwirklicht.

Aufgabe der vorliegenden Erfindung ist es, ein Verfahren zum Bestimmen der Sicherheitsstufe in einem Automatisierungsnetz- werk bzw. einen Sicherheitsmanager für ein solches Automatisierungsnetzwerk bereit zu stellen, die auf einfache und zuverlässige Weise eine automatische Berechnung der Sicherheitsstufe, insbesondere auch bei weiteren Änderungen im Automatisierungsnetzwerk ermöglichen .

Diese Aufgabe wird durch ein Verfahren, gemäß Anspruch 1, ein Computerprogrammprodukt gemäß Anspruch 6, einen Sicherheitsmanager gemäß Anspruch 9 und ein Automatisierungsnetzwerk gemäß Anspruch 12 gelöst. Bevorzugte Weiterbildungen sind in den abhängigen Ansprüchen angegeben.

Erfindungsgemäß werden zum Bestimmen einer Sicherheitsstufe in einem Automatisierungsnetzwerk mit Teilnehmern die daten- und ablauftechnischen Verknüpfungen zwischen den Teilnehmern im Automatisierungsnetzwerk und die teilnehmerspezifischen

Sicherheitskenndaten selbsttätig ermittelt. Die Sicherheitsstufe im Automatisierungsnetzwerk wird dann mithilfe einer Berechnungsvorschrift, die die ermittelten daten- und ablauftechnischen Verknüpfungen der Teilnehmer im Automatisierungs- netzwerk und die ermittelten teilnehmerspezifischen Sicherheitskenndaten verbindet, berechnet. Das Verfahren läuft dabei erfindungsgemäß auf einem Sicherheitsmanager ab, der ein Konfigurationserfassungsmodul zum Ermitteln der daten- und ablaufspezifischen Verknüpfung der Teilnehmer im Automatisie- rungsnetzwerk und ein Kenndatenerfassungsmodul zum Ermitteln von teilnehmerspezifischen Sicherheitskenndaten sowie ein Be- rechnungsmodul zum Ausführen der Berechnungsvorschrift um- fasst .

Die erfindungsgemäße Vorgehensweise bei der Ermittlung einer Sicherheitsstufe in einem Automatisierungsnetzwerk bzw. der zugehörige Sicherheitsmanager ermöglichen ein automatisches Berechnen der Sicherheitsstufe. Insbesondere ist es nicht mehr notwendig, dass der Bediener die Struktur des Automatisierungsnetzwerkes analysiert und dann in das Berechnungsmo- dul eingibt. Ferner ermöglichen die erfindungsgemäße Vorgehensweise und der entsprechend ausgelegte Sicherheitsmanager auch Erweiterungen oder Änderungen im Automatisierungsnetzwerk selbstständig zu erfassen und bei der Berechnung der Sicherheitsstufe zu berücksichtigen.

Gemäß einer bevorzugten Ausführungsform sind die teilnehmerspezifischen Sicherheitskenndaten in den entsprechenden Teilnehmern hinterlegt und werden vom Sicherheitsmanager zum Berechnen der Sicherheitsstufe über eine Automatisierungsnetz- werkverbindung von den Teilnehmern automatisch abgefragt.

Durch die Speicherung der teilnehmerspezifischen Sicherheitskenndaten direkt in den Teilnehmern und deren Online-Abfrage erübrigt sich eine aufwendige Aktualisierung einer Softwarebibliothek. Das Berechnungsmodul im Sicherheitsmanager erhält die teilnehmerspezifischen Sicherheitskenndaten direkt von den Teilnehmern, sodass auch neue bzw. bisher unbekannte Teilnehmer auf einfache Weise mit einbezogen werden können. Es wird so gewährleistet, dass Änderungen und Erweiterungen der Sicherheitsfunktion oder ein Austausch von Teilnehmern im Automatisierungsnetzwerk zuverlässig bei der Bestimmung der Sicherheitsstufe berücksichtigt werden.

Gemäß einer weiteren bevorzugten Ausführungsform werden die daten- und ablauftechnischen Verknüpfungen zwischen den Teil- nehmern aus der vorgegebenen Konfiguration des Automatisierungsnetzwerkes zum Durchführen einer Automatisierungsaufgabe ermittelt. Die Konfiguration der Steuerungslogik zur Durch- führung der Automatisierungsaufgabe enthält alle notwendigen daten- und ablauftechnischen Verknüpfungen, die bei der Berechnung der Sicherheitsstufe berücksichtigt werden müssen. Die daten- und ablauftechnischen Verknüpfungen lassen sich so auf einfache Weise automatisch aus der Steuerungshardware bestimmen .

Zum Ermitteln der daten- und ablaufspezifischen Verknüpfungen zwischen den Teilnehmern werden bevorzugt die logischen Ver- knüpfungen von Ein- und Ausgängen der Teilnehmer zum Durchführen der Automatisierungsaufgabe erfasst. Diese Information enthält alle notwendigen Daten, um bei der Berechnung der Sicherheitsstufe die daten- und ablauftechnischen Verknüpfungen der Teilnehmer vollständig berücksichtigen zu können.

Die Erfindung wird anhand der beigefügten Zeichnungen näher erläutert .

Es zeigen

Figur 1 schematisch ein Automatisierungsnetzwerk mit einem Sicherheitsbereich; und

Figur 2 einen Sicherheitsmanager für ein Automatisierungssys- tem.

In der Industrieautomation, d. h. der Steuerung und Überwachung von technischen Prozessen mithilfe von Software auf Rechnern, werden zunehmend dezentrale Steuerungen im Weiteren auch als Automatisierungsnetzwerke bezeichnet, eingesetzt, bei denen dezentral angeordnete Geräte in einer Sensor-/ Aktorebene wie E-A-Module, Messwerterfasser, Ventile über ein leistungsfähiges Echtzeitkommunikationsnetz mit Automatisierungsrechnern einer Steuerungsebene kommunizieren. Die Teil- nehmer im Automatisierungsnetzwerk, d. h. die Automatisierungsrechner bzw. die Geräte der Sensor-/ Aktorebene, können über Punkt-zu-Punkt-Verbindungen oder über ein Bussystem mit- einander verknüpft sein. Als Bussystem wird dabei vorzugsweise ein Feldbussystem eingesetzt.

Automatisierungsnetzwerke sind in der Regel hierarchisch auf- gebaut und arbeiten nach dem Master-Slave-Prinzip. Die Masterteilnehmer sind der Steuerungsebene zugeordnet und stellen die aktiven Teilnehmer dar, die eine Zugriffsberechtigung auf die Kommunikationsverbindungen im Automatisierungsnetzwerk haben und den Datentransfer bestimmen. Die Slaveteilnehmer werden der Sensor-/ Aktorebene zugerechnet und bilden die passiven Teilnehmer. Sie haben keine eigenständige Zugriffsberechtigung auf die Kommunikationsverbindungen, d. h. sie dürfen empfangene Daten nur quittieren und auf Anfrage eines Masterteilnehmers Daten an diesen übermitteln.

In Figur 1 ist schematisch die Grundstruktur eines Automatisierungsnetzwerks dargestellt. Das Automatisierungsnetzwerk weist auf zwei Master-Teilnehmer M, SM, die die Steuerungsebene bilden, und acht Slaveteilnehmer Si bis S ₄ , SSi bis SS ₄ , die die Sensor-/ Aktorebene repräsentieren. Alle Teilnehmer im Automatisierungsnetzwerk sind über einen seriellen Bus 1 miteinander verbunden, über den der Datenaustausch zwischen den Teilnehmern stattfindet. Der Datenaustausch zwischen den Teilnehmern wird von den Masterteilnehmern M, SM in der Regel in Form von Datenpaketen organisiert, die sich aus Steuerdaten und Nutzdaten zusammensetzen, wobei die Steuerdaten im Datenpaket eine Adresseninformation enthalten. Der Datenaustausch erfolgt dann z. B. auf der Grundlage des Ethernet- Protokolls, das Datenpakete mit einer Länge von bis zu 1500 Bytes bei Übertragungsgeschwindigkeiten von 100 Mbit/sec erlaubt .

Eine wesentliche Anforderung an das Automatisierungsnetzwerk ist, sicherzustellen, dass bei einem Ausfall eines Teilneh- mers bzw. bei einer Fehlfunktion keine Gefahr für Mensch und Umwelt ausgehen. Dabei hängt die Gefährdung wesentlich von der Art und Funktionsweise der Teilnehmer am Automatisie- rungsnetzwerk und der Zuverlässigkeit der Steuerungsprogramme ab. Um die Menschen bzw. die Umwelt vor Gefahren zu schützen, dürfen gefahrvolle Teilnehmer im Automatisierungsnetzwerk nur mit geeigneten Schutzeinrichtungen betrieben und gewartet werden. Weiterhin müssen auf der Steuerungsebene im Automatisierungsnetzwerk neben den normalen Steuerungsfunktionen noch Sicherheitsfunktionen ausgeführt werden, die bei Ausfall sicherheitsrelevanter Teilnehmer im Automatisierungsnetzwerk gewährleisten, dass das Automatisierungsnetzwerk in einen si- cheren Zustand übergeht. Ein solcher sicherer Zustand ist z. B. eine Notausschaltung des Automatisierungsnetzwerks.

Um die Gefahr, die von den Teilnehmern eines Automatisierungsnetzwerks bzw. dem Steuerprogramm ausgehen, einstufen zu können, ist es Vorschrift, eine Gefahrenanalyse durchzuführen. Es existieren mehrere Normen, die Anforderungen und Empfehlungen für den Entwurf, die Integration und Validierung von sicherheitsbezogenen Automatisierungsnetzwerken enthalten. Standardnorm ist dabei die Europäische Norm EN 954-1 „Sicherheit von Maschinen - sicherheitsbezogene Teile von Steuerungen", die für alle sicherheitsbezogenen Teile von Steuerungen unabhängig von der verwendeten Energieart gilt und Kategorien zur Einteilung der jeweils erforderlichen sicherheitstechnischen Leistungsfähigkeit enthält. Die europäi- sehe Norm EN 954-1 führt jedoch nur einen qualitativen Ansatz aus, wobei z. B. die Ausfallwahrscheinlichkeiten einzelner Teilnehmer im Automatisierungsnetzwerk nicht berücksichtigt werden .

Eine solche quantitative Betrachtung, die eine zuverlässige Gefährdungsbeurteilung insbesondere auch von Automatisierungsnetzwerken ermöglicht, ist in den neueren Normen EN ISO 13849-1 und IEC/EN 62061 enthalten. In diesen Normen werden zur Einteilung unterschiedlicher sicherheitstechnischer Leis- tungsfähigkeit Sicherheitsstufen definiert, die für unterschiedliche durchschnittliche Wahrscheinlichkeitswerte eines gefährlichen Ausfalls des Automatisierungsnetzwerks pro Stun- de stehen. Zur Ermittlung der Sicherheitsstufe gemäß den Normen EN ISO 13849-1 und IEC/EN 62061 ist es erforderlich, die teilnehmerspezifischen Sicherheitskenndaten zu ermitteln. Solche Sicherheitskenndaten der Teilnehmer sind die mittlere Zeit bis zu einem gefährlichen Ausfall (MTTF _d ) , die Wahrscheinlichkeit gefährlicher Ausfälle pro Stunde (PFH _d ) , der Diagnosedeckungsgrad (DC _d ) _t der Anteil sicherer Ausfälle (SFF _d ) , die Gebrauchsdauer (T _M ) , der Ausfall aufgrund gemeinsamer Ursachen (CCF) sowie weitere in den Normen spezifizier- te Kenngrößen.

Neben den teilnehmerspezifischen Sicherheitskenndaten ist zur Bestimmung der Sicherheitsstufe des Automatisierungsnetzwerkes weiter erforderlich, die daten- und ablaufspezifische Verknüpfung der Teilnehmer im Automatisierungsnetzwerk zu erfassen. Mithilfe der durch die Normen vorgegebenen Rechnungsvorschriften lässt sich dann die Sicherheitsstufe ermitteln.

Im Allgemeinen sind nicht alle Teilnehmer im Automatisie- rungsnetzwerk sicherheitsrelevant. Auch ist die Anzahl der Sicherheitsfunktionen in einem Automatisierungsnetzwerk in der Regel niedriger als die Anzahl der nicht sicherheitsrelevanten Steuerungsfunktionen. Im Automatisierungsnetzwerk wird deshalb in der Regel ein Sicherheitsbereich festgelegt. Bei dem in Figur 1 dargestellten Automatisierungsnetzwerk wird der Sicherheitsbereich durch den sicherheitsrelevanten Masterteilnehmer SM, im Weiteren auch als Sicherheitsmaster SM bezeichnet, und die sicherheitsrelevanten Slaveteilnehmer SSi bis SS ₄ gebildet. Die bei den in Figur 1 dargestellten Auto- matisierungsnetzwerk weiter vorhandenen nicht sicherheitsrelevanten Slaveteilnehmer Si bis S ₄ werden von dem zweiten Masterteilnehmer M, im Weiteren auch als Standardmaster M bezeichnet, gesteuert.

Statt, wie bei dem in Figur 1 dargestellten Automatisierungsnetzwerk vorgesehen, die Sicherheitsfunktionen von den nicht sicherheitsrelevanten Steuerungsfunktionen durch Vorsehen se- parater Masterteilnehmer zu trennen, besteht auch die Möglichkeit, auf einem einzelnen Masterteilnehmer sowohl die Sicherungsfunktionen als auch die nicht sicherheitsrelevanten Steuerungsfunktionen auszuführen, wobei dann jedoch gewähr- leistet sein muss, dass die nicht sicherheitsrelevanten Steuerfunktionen die Sicherheitsfunktionen nicht beeinträchtigen.

Bei den bekannten Sicherheitstools, mit denen sich die Sicherheitsstufe in einem Automatisierungsnetzwerk normenkon- form bestimmen lässt, ist es erforderlich, die daten- und ablauftechnische Verknüpfung der Teilnehmer zur Ausführung der Sicherheitsfunktionen im Automatisierungsnetzwerk jeweils individuell einzugeben. Ferner werden bei den bekannten Sicherheitstools die bei Berechnung der Sicherheitsstufe zu berück- sichtigenden teilnehmerspezifischen Sicherheitskenndaten aus einer Software-Bibliothek entnommen. Dies macht es erforderlich, die Software-Bibliothek fortlaufend zu aktualisieren, um neue sicherheitsrelevante Teilnehmer berücksichtigen zu können bzw. Änderungen der teilnehmerspezifischen Sicher- heitskenndaten aufgrund technischer oder Softwarespezifischer Anpassungen in den Teilnehmern zu erfassen. Der Aufwand zur Bestimmung der Sicherheitsstufe in einem Automatisierungsnetzwerk wird mit dem erfindungsgemäß vorgesehenen Sicherheitsmanager 2 wesentlich reduziert.

Der Sicherheitsmanager 2 ist bei dem in Figur 1 dargestellten Automatisierungsnetzwerk im Sicherheitsmaster SM integriert. Der Sicherheitsmanager 2 kann dabei sowohl in Hard- als auch in Software-Form ausgebildet sein. Alternativ zu der in Figur 1 gezeigten Ausführungsform kann der Sicherheitsmanager 2 auch in einem beliebigen anderen Teilnehmer am Automatisierungsnetzwerk, z. B. dem Standardmaster M vorgesehen sein. Der Sicherheitsmanager 2 kann aber auch als eigenständiger Teilnehmer am Automatisierungsnetzwerk ausgebildet werden.

Der Aufbau des Sicherheitsmanagers 2 ist schematisch in Figur 2 dargestellt. Die einzelnen Komponenten des Sicherheitsmana- gers können wiederum sowohl in Hard- als auch in Software ausgeführt werden. Der Sicherheitsmanager 2 weist drei Schnittstellen auf: eine Busschnittstelle 21 zur Anbindung des Sicherheitsmanagers an das Automatisierungssystem, eine Datenschnittstelle 22 und eine Mensch-Maschinen-Schnittstelle 23. Wenn der Sicherheitsmanager 2 kein eigenständiger Teilnehmer am Automatisierungsnetzwerk ist, sondern Teil eines Masterteilnehmers oder eines anderen Teilnehmers am Netzwerk, kann der Sicherheitsmanager auch alternativ die entsprechen- den Schnittstellen dieses Host-Teilnehmers nutzen.

Über die Datenschnittstelle 22 kann der Sicherheitsmanager 2 die Automatisierungsnetzwerkkonfiguration, die z. B. von einem Konfigurationstools 4 zur Durchführung einer Automatisie- rungsaufgabe festgelegt wurde, importieren. Die eingelesene Anlagenkonfiguration wird in einem an die Datenschnittstelle 22 angeschlossenen Konfigurationserfassungsmodul 24 in ein Anlagenmodell umgewandelt, das in standardisierter Form die daten- und ablauftechnische Verknüpfung der sicherheitsrele- vanten Teilnehmer im Automatisierungsnetzwerk ermittelt. Das Konfigurationserfassungsmodul 24 kann das Anlagenmodell, das die daten- und ablauftechnischen Verknüpfungen der sicherheitsrelevanten Teilnehmer im Automatisierungsnetzwerk wiedergibt, aber auch alternativ in einem Testmodus des Automa- tisierungsnetzwerks selbst erfassen. Hierzu ermittelt das

Konfigurationserfassungsmodul 24, z. B. mithilfe von Testdaten, die logische Verknüpfung von Ein- und Ausgängen der sicherheitsrelevanten Teilnehmer bei der Durchführung der Automatisierungsaufgabe. Ferner besteht auch die Möglichkeit, dass das Konfigurationserfassungsmodul 24 die Sicherheitssteuerung aus dem Sicherheitsmaster SM ausliest und daraus die daten- und ablaufspezifische Verknüpfung der sicherheitsrelevanten Teilnehmer ermittelt.

Der Sicherheitsmanager 2 weist ferner ein Kenndatenerfassungsmodul 25 zum Ermitteln der teilnehmerspezifischen Sicherheitskenndaten auf. Diese teilnehmerspezifischen Sicher- heitskenndaten kann das Kenndatenerfassungsmodul 25 über die Datenschnittstelle 22 von einer externen Datenbank 5 einlesen oder auch über die Busschnittstelle 21 direkt von den sicherheitsrelevanten Teilnehmern im Automatisierungsnetzwerk ab- fragen. Weiterhin besteht die Möglichkeit, dass das Kenndatenerfassungsmodul 25 aktualisierte teilnehmerspezifische Sicherheitskenndaten in die sicherheitsrelevanten Teilnehmer bzw. externen Datenbank 5 zurückspeichert.

Jeder sicherheitsrelevante Teilnehmer SSi bis SS ₄ weist, wie in Figur 1 dargestellt, einen Kenndatenspeicher 3 auf, indem die teilnehmerspezifischen Sicherheitskenndaten abgespeichert sind. Dieser Kenndatenspeicher 3 ist schreibgeschützt und mit einer Kennung versehen. Als Kennung kann z. B. die Prüfsumme der teilnehmerspezifischen Kenndaten verwendet werden. Die den einzelnen Kenndatenspeichern zugeordnete Kennung ist ferner im Kenndatenerfassungsmodul 25 abgespeichert. Mithilfe dieser Kennungen kann eine sichere Datenkommunikation zwischen dem Kenndatenerfassungsmodul 25 und den einzelnen Teil- nehmern im Automatisierungsnetzwerk zum Austausch der teilnehmerspezifischen Sicherheitskenndaten durchgeführt werden.

Das Konfigurationserfassungsmodul 24 und das Kenndatenerfassungsmodul 25 sind im Sicherheitsmanager 2 weiter mit einem Berechnungsmodul 26 verbunden, um eine Sicherheitsstufe im Automatisierungsnetzwerk zu berechnen. Das Berechnungsmodul 26 führt die Bestimmung der Sicherheitsstufe mithilfe vorgegebener Berechnungsvorschriften durch, wobei die Berechnungsvorschriften die vorgegebenen Sicherheitsnormen berücksichti- gen. Die jeweils zu verwendende Berechnungsvorschrift kann dabei über die Mensch-Maschinen-Schnittstelle 23 vom Benutzer über eine angeschlossene Eingabe-/ Wiedergabeeinheit 6 ausgewählt werden. Es besteht aber auch die Möglichkeit, dem Berechnungsmodul 26 die zu verwendende Berechnungsvorschrift automatisch vorzugeben. Die ermittelte Sicherheitsstufe gibt das Berechnungsmodul wiederum über die Mensch-Maschinen- Schnittstelle 23 in Form einer Meldung an die Eingabe-/ Wiedergabeeinheit 6 aus.

Der Sicherheitsmanager 2 kann zur Berechnung der Sicherheits- stufe im Automatisierungsnetzwerk in verschiedene Modi betrieben werden. So kann der Sicherheitsmanager 2 in einem ersten Betriebsmodus im Rahmen des Anlagenentwurfs zur Vorabbestimmung der jeweiligen Sicherheitsstufe des Entwurfes eingesetzt werden. Hierbei werden dann die Anlagenkonfiguration und die teilnehmerspezifischen Sicherheitskenndaten über die Datenschnittstelle 22 von Konfigurationstools 4 bzw. der externen Datenbank 5 abgefragt.

Bei Betrieb des Automatisierungssystems besteht die Möglich- keit in einem zweiten Betriebsmodus des Sicherheitsmanagers 2 die Sicherheitsstufe periodisch oder z. B. bei der Initialisierung des Automatisierungsnetzwerks neu zu berechnen. In diesem Sicherheitsmanager-Betriebsmodus kann dann das Kenndatenerfassungsmodul 25 die teilnehmerspezifischen Kenndaten aus den Kenndatenspeichern 3 der sicherheitsrelevanten Teilnehmer auslesen. Das Konfigurationserfassungsmodul 24 kann ferner direkt aus der Konfiguration des angeschlossenen Automatisierungsnetzwerks bzw. aus dem Steuerungsprogramm des Sicherheitsmasters die daten- und ablaufspezifische Konfigura- tion ermitteln.

Mit dem erfindungsgemäßen Sicherheitsmanager bzw. dem erfindungsgemäßen Sicherheitsstufen-Bestimmungsverfahren besteht die Möglichkeit, auf einfache Weise automatisch die Sicher- heitsstufe im Automatisierungsnetzwerk zu ermitteln, insbesondere auch nach Änderungen im Automatisierungsnetzwerk, z. B. nach dem Anschließen eines weiteren sicherheitsrelevanten Teilnehmers .