Beschreibung

Die Erfindung bezieht sich auf ein Verfahren und ein System zur automatischen Prüfung eines Programms für insbesondere wenigstens teilweise sicherheitsgerichtete Automatisierungssysteme, beispielsweise sicherheitsgerichtete speicherprogrammierbare Steuerungen, hinsichtlich der Einhaltung von Richtlinien, insbesondere von Richtlinien für die Gestaltung von Programmen für sicherheitsgerichtete speicherprogrammierbare Steuerungen.

Um die Zertifizierung eines Automatisierungssystems, insbesondere eines sicher- heitsgerichteten Automatisierungssystems, möglichst einfach und kostengünstig durchzuführen, werden bei der Erstellung eines solchen Systems möglichst viele vorzertifizierte Komponenten eingesetzt. Diese vorzertifizierten Komponenten sind beispielsweise:

- Hardwarekomponenten, wie speicherprogrammierbare Steuerung, Ein-/ Ausgabe- Module, Bussysteme, Sensoren, Aktoren;

- Firmware auf intelligenten Komponenten wie der speicherprogrammierbaren Steuerung;

- Softwarekomponenten, wie Entwicklungssystem für Programme für Automatisierungssysteme;

- Prozesse für die Entwicklung eines sicherheitsgerichteten Automatisierungssystems; und

- Organisationen, die einen solchen Prozess durchführen.

Die einzige Komponente eines sicherheitsgerichteten Automatisierungssystems, die vom geplanten Einsatz abhängig ist, daher nicht vorgefertigt und damit auch nicht vorzertifiziert werden kann, ist das Programm der speicherprogrammierbaren, insbesondere sicherheitsgerichteten, Steuerung.

Die Zertifizierung des Programms der sicherheitsgerichteten speicherprogrammierbaren Steuerung wird erleichtert, wenn das Programm strukturell und inhaltlich so gestaltet ist, dass die zertifizierende Stelle die Funktionsweise des Programms mit geringst möglichem Aufwand verstehen kann. Das kann vor allem damit erreicht werden, dass die Möglichkeiten, die die verwendete Programmiersprache für speicherprogrammierbare Steuerungen bietet, beim Einsatz für ein sicherheitsgehchtetes Automatisierungssystem eingeschränkt werden.

Solche Einschränkungen lassen sich in Form von Richtlinien darstellen, die dann beim Erstellen des Programms der sicherheitsgerichteten speicherprogrammierbaren Steuerung zu beachten sind. Die Prüfung auf die Einhaltung solcher Richtlinien für die Gestaltung von Programmen für sicherheitsgerichtete speicherprogrammierbare Steuerungen bedeutet allerdings eine zeitaufwändige und fehleranfällige Tätigkeit für das Entwicklungspersonal oder die das sicherheitsgerichtete Automatisierungssystem zertifizierende Stelle.

Im Bereich der Software-Entwicklung besteht seit Jahrzehnten für unterschiedliche Programmiersprachen die Möglichkeit eine automatische Programmprüfung durchzuführen. Man unterscheidet dabei unterschiedliche Typen von Prüfungen, wie beispielsweise

- Prüfung auf Übereinstimmung mit bestimmten Regeln, wie beispielsweise Prüfung von Syntax oder Typkompatibilität,

- Prüfung auf Korrektheit, beispielsweise Prüfung gegen Feldindex-Überlauf, Zeigerüberlauf, Speicherüberlauf, endlose Schleifen, nicht zugewiesenen oder nicht freigegebenen Speicher, nicht initialisierte Variablen oder unsichere Typumwandlungen,

- Prüfung von Laufzeiteigenschaften, wie beispielsweise Performanz- oder Stresstests. Gemäß dem Stand der Technik ist es üblich, bei sicherheitsgerichteten speicherprogrammierbaren Steuerungen Mittel zur Programmprüfung in einem Entwicklungssystem für sicherheitsgerichtete Programme zu implementieren. Diese Vorgehensweise führt zu einer zeitaufwendigen Softwareentwicklung und ist mit hohen Kosten verbunden, da das Entwicklungssystem für die Anwendung in insbesondere sicherheitsgerichteten Automatisierungssystemen vorzertifiert ist und die Integration der Mittel zur Programmprüfung in das Entwicklungssystem eine Änderung an dem Entwicklungssystem darstellt, was eine erneute Zertifizierung desselben erforderlich macht.

Der Erfindung liegt daher die Aufgabe zugrunde, eine Lösung für eine automatische Prüfung eines Programms für Automatisierungssysteme, insbesondere für sicherheitsgerichtete Automatisierungssysteme, hinsichtlich Einhaltung von Richtlinien, Regeln und Vorgaben, auch als Programmierrichtlinien bezeichnet, insbesondere von Programmierrichtlinien für die Gestaltung von Programmen für speicherprogrammierbare, insbesondere sicherheitsgerichtete, Steuerungen anzugeben.

Diese Aufgabe wird gelöst durch ein Verfahren für eine automatische Prüfung eines Programms für sicherheitsgerichtete Automatisierungssysteme, insbesondere sicherheitsgerichtete speicherprogrammierbare Steuerungen, das die im Anspruch 1 angegebenen Merkmale aufweist. Vorteilhafte Ausgestaltungen und ein entsprechendes System sind in weiteren Ansprüchen angegeben.

Mit der Erfindung wird demnach vorgeschlagen, eine automatische Prüfung von Steuerungsprogramme oder Programmteilen des Automatisierungssystems hinsichtlich der Einhaltung von Programmierrichtlinien, wie beispielsweise Richtlinien, Regeln und Vorgaben, für die Gestaltung von Programmen für, insbesondere sicherheitsgerichtete, speicherprogrammierbare Steuerungen außerhalb einer Entwicklungsumgebung für Sicherheitssoftware, auch als sicherheitsgerichtetes Programm bezeichnet, durchzuführen. Vorzugsweise betrifft die automatische Prüfung sicherheitsgerichtete Steuerungsprogramme oder Programmteile eines sicherheitsgerichteten Automatisierungssystems.

Damit lässt sich vorteilhaft eine Änderung am Entwicklungssystem vermeiden, wenn beispielsweise die Richtlinien für die Gestaltung von Programmen für sicherheitsge- richtete speicherprogrammierbare Steuerungen erstmals integriert oder nachträglich geändert werden, weil die sicherheitsgerichtete speicherprogrammierbare Steuerung für eine höhere Sicherheitsintegritätsebene auch als Safety Integrity Level bezeichnet, beispielsweise gemäß der Norm IEC 61508) zertifiziert werden soll, also an unterschiedliche Niveaus von Sicherheitsanwendungen angepasst werden soll.

Eine weitere Erläuterung der Erfindung und deren Vorteile ergeben sich aus der nachstehenden Beschreibung von Ausführungsbeispielen anhand der Figuren.

Es zeigen:

Fig. 1 einen beispielhaften Ablaufplan zum erfindungsgemäßen Verfahren und Fig. 2 eine beispielhafte Anordnung zur Durchführung des Verfahrens.

Fig. 1 zeigt in einem Ablaufplan nach dem Start eines Verfahrens zur automatisch durchzuführenden Programmprüfung als ersten Schritt einen Export einer Kopie eines Programms, auch als Originalprogramm bezeichnet, aus einem Entwicklungssystem für ein beispielhaftes sicherheitsgerichtetes Automatisierungssystem. Gemäß einem zweiten Schritt wird diese Programmkopie, auch als Sicherheitsprogramm bezeichnet, in eine, hier auch als Prüfeinrichtung bezeichnete, andere Einrichtung geladen. Diese Prüfeinrichtung ist für eine Programmprüfung eingerichtet und enthält eine für - in einem dritten Schritt durchzuführende - Programmprüfung geeignete Software, die zur Prüfung eines gegebenen Satzes an Richtlinien für die Gestaltung von Programmen für sicherheitsgerichtete speicherprogrammierbare Steuerungen, nachfolgend auch als Programmierrichtlinien bezeichnet, vorgesehen ist.

Die Programmierrichtlinien liegen vorzugsweise einer maschinenlesbaren Form vor und werden dann während des Prüfprogrammlaufes interpretiert.

Das im Entwicklungssystem erarbeitete und zu prüfende Programm kann beispielsweise in einer Programmiersprache gemäß der Norm IEC 61131 vorliegen, z.B. als Structured- Text -Programm, als Funktionsblockdiagramm oder als Kontaktplan. Wenn das Prüfergebnis besagt, dass die zu prüfende Programmkopie gemäß den Programmierrichtlinien, insbesondere den Richtlinien für die Gestaltung von Programmen für sicherheitsgerichtete speicherprogrammierbare Steuerungen, fehlerfrei ist, wird dies an das Entwicklungssystem und/oder den Programmierer ausgegeben, und der Verfahrensablauf ist damit beendet.

Werden Fehler, die Verstöße gegen die Richtlinien für die Gestaltung von Programmen für sicherheitsgerichtete speicherprogrammierbare Steuerungen darstellen, so werden diese markiert bzw. bezeichnet und/oder angezeigt. In einer vorteilhaften Ausgestaltung der Erfindung erfolgt nun eine Überarbeitung oder Korrektur des fehlerhaften Programms. Dieser Vorgang ist in der Fig. 1 als Schritt 4 dargestellt. Nach einer Überarbeitung des Originalprogramms im Entwicklungssystem wird dieses erneut exportiert und in die Prüfeinrichtung geladen.

Die Wiederholungsprozedur wird entweder so lange durchgeführt, bis keine Verstöße des zu prüfenden Programms gegen die Programmierrichtlinien mehr festgestellt werden oder bis lediglich Verstöße gegen solche Richtlinien festgestellt werden, die im vorliegenden Fall von untergeordneter Bedeutung sind, so dass dadurch keine Verzögerung der angestrebten Zertifizierung zu erwarten ist und die neue Programmversion im sicherheitsgerichteten Automatisierungssystem verwendet werden kann. Eine Festlegung der Verstöße gegen diejenigen Programmierrichtlinien, die von untergeordneter Bedeutung sind, wird vorzugsweise beim Start des erfindungsgemäßen Verfahrens durchgeführt.

Gemäß einer - nicht in Fig. 1 dargestellten - weiteren Ausführungsform des erfindungsgemäßen und vorstehend beschriebenen Verfahren kann auf den ersten Schritt, also den Export einer Kopie des Programms aus dem Entwicklungssystem verzichtet werden, wenn die Prüfeinrichtung so ausgeführt ist, das zu prüfende Sicherheitsprogramm direkt im Entwicklungssystem zu lokalisieren und automatisch, also ohne zusätzlichen Exportschritt, zu laden.

Gemäß einer weiteren Ausführungsform des erfindungsgemäßen Verfahrens wird auf den ersten Schritt, also den Export einer Programmkopie verzichtet. In diesem Fall ist die Prüfeinrichtung dafür eingerichtet, direkt im Entwicklungssystem auf das zu prüfende Sicherheitsprogramm zuzugreifen und damit die Prüfung des Programms innerhalb des Entwicklungssystems durchzuführen. Die Prüfeinrichtung verändert dabei das Programm innerhalb des Entwicklungssystems nicht, es sei denn, dass ein Anwender eine Modifikation veranlasst.

Fig. 2 zeigt beispielhaft ein System oder eine Anordnung zur Durchführung des erfindungsgemäßen Verfahrens. Dabei wirkt ein sicherheitsgerichtetes Automatisierungssystem 1 mit einem Entwicklungsrechner 2 zusammen. Das sicherheitsgerich- tete Automatisierungssystem 1 enthält eine sicherheitsgerichtete speicherprogrammierbare Steuerung 11 und eine damit kommunizierende nicht sicherheitsgerichtete speicherprogrammierbare Steuerung 12. Außerdem sind sicherheitsgerichtete Ein- /Ausgabe-Geräte 13 und nicht sicherheitsgerichtete Ein/Ausgabe-Geräte 14 vorhanden, die mittels eines Datenübertragungssystems mit den Steuerungen 11 und 12 verbunden sind.

Der Entwicklungsrechner 2 enthält ein Entwicklungssystem 21 mit einer Programmierumgebung für die Erarbeitung eines sicherheitsgerichteten Programms, auch als Sicherheitssoftware bezeichnet, und eine Prüfeinrichtung 22 zur Prüfung der Sicherheitssoftware. Ein Programmierer 3 hat sowohl auf das Entwicklungssystem 21 als auch auf die Prüfeinrichtung 22 Zugriff. Der Entwicklungsrechner 2 kann mit der sicherheitsgerichteten speicherprogrammierbaren Steuerung 11 und/oder der nicht sicherheitsgerichteten speicherprogrammierbaren Steuerung 12 verbunden sein. Die Arbeitsweise der in Fig. 2 dargestellten Anordnung entspricht dem anhand der Fig. 1 beschriebenen Ablauf.

Das erfindungsgemäße Verfahren und das entsprechende System entlasten einen Programmierer nicht nur von der zeitaufwendigen Programmprüfung, sondern sind insofern auch rückwirkungsfrei, als dass die Prüfeinrichtung keine Modifikation des Originalprogramms in dem Entwicklungssystem bewirkt. Dies ist Voraussetzung dafür, dass das Entwicklungssystem weiterhin als vorzertifiziert ohne weitere Prüfung bei der Entwicklung des Programms für das sicherheitsgerichtete System eingesetzt werden kann. Ein weiterer Vorteil besteht darin, dass eine flexible Anpassung der Programmierrichtlinien für die Gestaltung von Programmen für, insbesondere sicherheitsgerichte- te, speicherprogrammierbare Steuerungen an ein jeweils erforderliches SIL- Niveau (Safety Integrity Level) möglich ist.

Besonders vorteilhaft ist es, Modifikationen an der Prüfeinrichtung, insbesondere den zu prüfenden Richtlinien für die Gestaltung von Programmen für sicherheitsgerichtete speicherprogrammierbare Steuerungen, vorzunehmen zu können, ohne dabei das Entwicklungssystem zu verändern und dieses deswegen erneut zertifizieren zu müssen.