In vielen Bereichen mit produzierenden Anlagen ist es allgemeiner Stand der Technik, über die vorhandenen Telefonverbindungen und über Modems an den Anlagen einen Teleservice zu organisieren, mit dessen Hilfe der Hersteller von Anlagen beim Betreiber der Anlagen eine Ferndiagnose beim Auftreten von Funktionsstörungen erstellen und die diagnostizierten Fehler auch beheben kann.

Es gibt verschiedene Systeme zur Fehlerübertragung und -diagnose, die den heutigen Stand der Technik darstellen, z. B. die Funkübertragung (unter Ausnutzung von GSM = Standard bei Handys) und die Sendung von"Short Message Systems" (SMS).

Aus der DE 199 61 920 AI ist ein Verfahren zur Fern-Inbe- triebnahme, Fernwartung, Fern-Parametrierung und/oder Fern- bedienung eines Umrichters bekannt, nach dem mit einem Handy eine Verbindung zu einer Zieltelefonnummer herge- stellt wird, die eine Übertragung von Daten im Internet- Protokoll ermöglicht. Unter der Zielnummer sind Vorrichtun- gen ansprechbar, die mit dem Internet verbindbar sind.

Daten des Umrichters werden mit dem Handy über eine Infrarotschnittstelle und zwischen diesem und einem Internet-Server getauscht. Am Display des Handys werden Internet-Seiten angezeigt. Die vom Handy an den Internet- Browser übermittelten Daten werden im Server oder einem angeschlossenen Rechner verarbeitet und über das Handy an den Umrichter übermittelt.

Nachteilig ist dabei, dass die Kapazität der Textübertragung per SMS beim Handy stark begrenzt ist, komplexe Themen können so gar nicht dargestellt werden. Es ist die unerwünschte/ungewollte oder auch gewollte Änderung der Software gegeben, was insbesondere in der Pharmazie nicht gewünscht wird.

Besonders in Bereichen mit sensiblen Produkten wie in der pharmazeutischen Industrie gibt es gegenüber dem Verfahren über Modem bezüglich der Sicherheit und Zuverlässigkeit der Diagnose und der daraus resultierenden Einflussnahme auf die Arbeit der Anlagen mit Hilfe der einprogrammierten Software Vorbehalte.

In der Pharmazie werden die Anlagen qualifiziert und vali- diert, um sicherzustellen, dass die Funktionen geprüft und somit reproduzierbare Vorgänge gewährleistet sind. Die Durchführung der Qualifizierung/Validierung ist mit einem sehr großen Aufwand an Zeit, Personal und Material verbun- den, weil alle Funktionen in allen Varianten überprüft wer- den.

Durch eine Änderung ist jedoch nicht auszuschließen, dass eine der Funktionen nicht mehr in der festgelegten Weise arbeitet. In diesem Fall muss die Qualifizierung/Validierung noch einmal durchgeführt werden.

Es muss daher unbedingt sichergestellt werden, dass die Anlage keiner Veränderung unterliegt. Das heißt, dass der Pharmazeut bereit ist, mit einem bekannten Fehler zu leben, mit dem er umzugehen weiß, wenn dadurch die Vollqualifizierung/Validierung der Anlage vermieden werden.

Es ist nach dem bekannten Stand der Technik nicht gewährleistet, dass ein Programmierer keine bewussten oder unbewussten Änderungen in der Software vornehmen kann, über welche die eingestellten Prozessparameter unzulässig verändert werden.

Es darf keine Möglichkeit bestehen, die Software zu manipulieren. Über die Software und dem Teleservice darf nur eine Diagnose zur Lokalisierung und Behebung von Fehlern möglich sein, nicht jedoch eine Veränderung der installierten Software.

Der Erfindung liegt die Aufgabe zugrunde, ein Verfahren zu entwickeln, mit dem die Nachteile der Verfahren nach dem Stand der Technik vermieden werden und mit dem gesichert ist, dass keine Änderungen in der Software vorgenommen werden können, die zu unbeabsichtigten Wirkungen in den Anlagen führen.

Diese Aufgabe wird erfindungsgemäß durch die Merkmale des Anspruchs 1 gelöst.

Das Verfahren nach der Erfindung ist dadurch gekennzeichnet, dass wahlweise eine speicherprogrammierbare Steuerung (SPS) und/oder ein Rechner (PC), mit einem Internet-Server verbunden wird, derart, dass - das Prozessabbild aller Zustände und die gesamte Parametrierung der Anlage (Istzustand) im Internet auf einer geschützten Homepage hinterlegt wird und/oder - die SPS und/oder der PC als Teilnehmer eines E-Mail- Systems geschaltet wird und über dieses System Statusmeldungen geschützt abgibt und - die Installation und Parametrierung der Komponenten und der Software entweder als E-Mail oder als geschützte Internetseite hinterlegt werden.

Das Prozessabbild aller Zustände der Anlage, also die Darstellung der Variablen und der Verknüpfungen der SPS werden im Internet auf einer Homepage hinterlegt, auf die nur ausgewählte Personen Zugriff haben.

Damit kann sich nicht nur der serviceleistende Programmierer, sondern auch das Wartungspersonal des Betreibers sehr schnell einen Eindruck verschaffen, in welchem Zustand sich die Anlage beim Betreiber befindet.

Vorteilhaft ist dabei, dass man sich dafür nicht zur Anlage begeben muss, sondern z. B. vom Wartungsplatz aus beobachten und kontrollieren kann. Ähnlich wie beim Teleservice lässt sich sehr präzise der Anlagenzustand diagnostizieren, der Istzustand ist auf der Homepage abgebildet.

Nach einer Ausführungsform wird alternativ die SPS und/oder der PC als Teilnehmer eines E-Mail-Systems gelinkt und gibt über dieses E-Mail-System Statusmeldungen ab. Es ist auch möglich, dass die SPS der Anlage und/oder der PC als E- Mail-Empfänger auch Befehle erhalten, mit denen bestimmte Diagnosen gestartet werden können.

In beiden Fällen ist eine schnelle Diagnose gewährleistet, und es besteht zu keinem Zeitpunkt die Möglichkeit, die Software in irgendeiner Form zu verändern.

Vorteilhaft ist es, dass die Anwendung von Verfahren der noch existierenden Softwarediagnose über Teleservice weiterhin erhalten bleibt, die Möglichkeit der Manipulation der Software jedoch ausgeschlossen ist.

Die Softwareelemente, die per E-Mail angesprochen werden und z. B. einen Diagnose-Run starten können, sind ebenfalls Teil der vorhandenen und geprüften Software. Der Diagnose- Run, der gestartet wird, enthält bereits Elemente der geprüften Software, d. h. dass eine Qualifizierung/Vali- dierung der Anlage bereits erfolgt sind. Über diesen Weg sind also schnelle und zuverlässige Diagnosen möglich.

Ein weiterer Vorteil ist, dass wegen der bereits vorhandenen Vernetzung der Unternehmen durch die Einbindung eines weiteren Teilnehmers keine weiteren Kosten entstehen, da weder eine Telefonleitung gelegt noch ein Modem gekauft werden muss.

Im Gegensatz zu Telefonverbindungen, die nicht immer in gleichbleibender Qualität zur Verfügung stehen, spielen Kommunikationsprobleme beim world wide web keine Rolle, da keine Telefonverbindung aufgebaut werden muss, sondern im Diagnosefall alle Informationen bereits im Netz hinterlegt sind.

Weitere vorteilhafte Ausgestaltungen ergeben sich aus den Unteransprüchen der Erfindung.

Die Erfindung wird nachfolgend an einem Ausführungsbeispiel des Verfahrens nach der Erfindung für die Ferndiagnose von Prozesszuständen von Tablettiermaschinen näher erläutert.

Das Steuerungskonzept für eine Tablettiermaschine umfasst nach der Erfindung folgende Varianten : - eine speicherprogrammierbare Steuerung ohne die Ankopplung an einen Bus oder einen PC oder - mehrere speicherprogrammierbare Steuerungen mit mehreren Prozessoren oder - eine speicherprogrammierbare Steuerung mit mehreren Prozessoren, die ihrerseits über eine Bus-Vernetzung mit einem Rechner wie PC gekoppelt sind.

Auf diesem PC läuft die HMI-Software (Human Machine Interface) (Supervisoring Control And Data Acquisition = SCADA), die zum einen die Bedienerführung gewährleistet und zum anderen die gesamten Produktionsparameter abspeichert, auswertet und als Option für eine Kommunikation mit beliebigen ERP ("Enterprise Resource Planning")-Systemen aufbereitet.

Nach dem Stand der Technik wurde bisher im PC eine Tele- kommunikationssoftware installiert, z. B. pcANYWHERE (Auszug aus dem Benutzerhandbuch"Symantec pcANYWHERE 32, Version 8.0", Copyright O 1993-1997 Symantec Corporation) oder Carbon Copy PLUS (Auszug aus dem User Guide"Carbon Copy PLUS", Copyright O Microcom Systems, Inc. 1989). Diese Programme sind speziell dazu gedacht, eine Remote Control zu einem PC aufzubauen.

Auf dem PC wurde außerdem die Kommunikations-/ Programmiersoftware hinterlegt, die es erlaubte, den Zustand der SPS abzubilden und zu verändern, vorausgesetzt, die SPS befand sich im Betriebsmodus"Programmieren".

Nachteil dieses bekannten, bisher verwendeten Systems ist es, dass nicht gewährleistet werden konnte, dass ein Schalter an der SPS immer so geschaltet ist, dass sie nur im Run-Betrieb ist (also kein Programmiermodus vorliegt).

Der PC war seinerseits mit einem Modem ausgestattet, der die Verbindung zur Kontrollstelle, zum Beispiel zum Werk, herstellte. Dabei wurden bereits verschiedene Sicherheitsfunktionen berücksichtigt. So wurde sichergestellt, dass das Modem nur eine vorgegebene Nummer zurückrufen konnte, so dass die Gefahr eines unzulässigen Eingriffs in das System minimiert wurde. Außerdem bestand die Möglichkeit, pcANYWHERE und Carbon Copy Plus so zu installieren, dass nur ein"Read"-, aber kein"Write"-Modus möglich ist.

Alle diese Mechanismen können jedoch nicht hundertprozentig ausschließen, dass - im Fehlerfall möglicherweise nicht autorisierte Personen Zugriff erlangen, - der Schalter in der SPS oder die Parameter in der Software so geschaltet sind, dass doch eine Programmiermöglichkeit besteht, - die Kommunikationssoftware im PC so umprogrammiert wurde, dass sie dann doch durchaus die Möglichkeit des "read AND write"bietet.

Diese Fehlermöglichkeiten ergeben sich, weil die bekannten Systeme im wesentlichen dafür ausgelegt sind, dass nicht nur eine Diagnose, sondern auch die Beseitigung der Fehler stattfindet. Deswegen ist die Funktionalität"write"grund- sätzlich vorgesehen. Sie ist zwar ausschaltbar, aber dies ist keine Sicherheit, dass sie nicht doch versehendlich eingeschaltet wird.

Nach der Erfindung ist wie beim bisherigen Stand der Tech- nik ebenfalls ein PC vorgesehen, der mit der freipro- grammierbaren Steuerung (mit einem oder mehreren Prozesso- ren) vernetzt ist und in zweifacher Weise genutzt werden kann : 1. Betrachtung des Prozessabbildes Die freiprogrammierbare Steuerung und/oder der PC wird im Unterschied zu herkömmlichen Systemen mit einem In- ternet-Server ausgestattet, der das gesamte Prozessab- bild der SPS und/oder des PC wiedergibt. Dieses Abbild wird auf einer Homepage hinterlegt (z. B. auf der Home- page"Service"der Korsch AG oder auf dem Prozessor des Internet-Servers), welche die augenblicklichen Zustände aller Maschinen enthält.

2. Anschluss als Teilnehmer eines E-Mail-Systems Bei Störungen wird das Prozessabbild selbständig durch das System oder auf Veranlassung des Users in Form einer E-Mail versandt. Wenn der Internet-Server und/oder der E-Mail-Versender im PC oder in der SPS installiert sind, kann nicht nur das Prozessabbild, sondern auch das gesamte Abbild der Softwaredatenbank im PC hinterlegt und versendet werden. Weiterhin können die einzelnen Bildschirmbilder ebenfalls wieder als geschützte Internetseite hinterlegt oder im Falle einer Inanspruchnahme des Teleservice durch den Anwender als E-Mail gezielt versendet werden.