Hochverfügbarkeit bei Alstom: Powerlink-Netzwerk für Prozessindustrie

Wie ein Feldbus aussieht, der den Anforderungen eines hochverfügbaren Powerlink-Netzwerkes gerecht wird, zeigt das Beispiel von Alstom. Das weltweit im Energie- und Transportbereich tätige Unternehmen und Mitglied der Ethernet Powerlink Standardization Group (EPSG) hat mit Powerlink ein redundantes System entwickelt, das kurze Reaktionszeiten, Echtzeitsynchronisation, eine große Bandbreite und einfache Diagnosefähigkeiten bietet. Daten in Echtzeit transportieren Alstom hatte ausschließlich auf Factory Implementation Protocol (FIP) gesetzt, bis eine weitere Feldbuslösung erforderlich wurde. \“In unseren neuen Prozessabläufen erreichen wir eine Datenmenge, die die Bandbreite von FIP übersteigt\“, erklärt Stéphane Potier, Projektmanager bei Alstom. \“Also benötigten wir eine Alternative, die imstande war, die anfallenden Datenmengen in Echtzeit zu transportieren und gleichzeitig unsere Bedingungen an die redundante Auslegung erfüllen konnte.\“ Eingrenzung der Alternativen Wichtige Fragen waren nicht nur die technischen Spezifikationen wie die Bandbreite, sondern auch die Standardisierung des Systems. \“Denn bei der Entscheidung für eine neue Technik stellt sich immer die Frage nach der Investitionssicherheit. Also muss die Steuerungstechnik langfristig verfügbar und transparent bleiben\“, erklärt Potier. Und Powerlink kann aufgrund der Offenheit an viele Prozesse angepasst werden. Auch forderte man bei Alstom eine durchgängige Lösung. \“Wir suchten nach einem deterministischen Echtzeit-Feldbus, der zentralisierte Prozesse mit verteilten E/As ermöglicht\“, sagt Potier. Nachdem Alstoms Systemtechniker die Forderungen formuliert hatten, begann ein aufwendiger Entscheidungsprozess, der mehrere Monate beanspruchte. Die Ingenieure legten eine Bewertungsmatrix an, welche die Vor- und Nachteile aller infrage kommenden Bussysteme ersichtlich machte. Nach eingehender Abwägung fiel die Wahl auf Powerlink und Profibus IRT, da diese Busse alle Bedingungen erfüllen konnten und zudem hohe Geschwindigkeiten versprachen. Allerdings war Profibus IRT zu diesem Zeitpunkt noch nicht auf dem Markt erhältlich. Powerlink mit Erweiterungen Powerlink wurde im Jahr 2001 vom österreichischen Steuerungshersteller Bernecker & Rainer (B&R) entwickelt. Das Ziel war es, durch eine Protokollerweiterung des Ethernet-Standards nach IEEE802.3 die Übertragung von Echtzeitdaten im Mikrosekundenbereich zu verwirklichen. Die Freigabe der Entwicklung für andere Firmen führte 2002 zur Gründung des demokratisch organisierten Standardisierungskonsortiums EPSG (Ethernet Powerlink Standardization Group), das 2003 die Spezifikation Powerlink V2 verabschiedete. Die wichtigste Erweiterung war eine standardisierte Anwendungsschnittstelle auf Basis der in CANopen definierten Mechanismen. Zentrale Eigenschaften Ein zentrales Merkmal von Powerlink ist die zeitliche Organisation zwischen den eingebundenen Geräten. Im Gegensatz zum herkömmlichen Ethernet, in dem die Übertragungsgeschwindigkeit von der zu übermittelnden Datenmenge abhängt, sorgt bei der Powerlink-Erweiterung ein Zeitschlitzverfahren für den isochronen Datenaustausch. Um die Übertragung zeitlich zu synchronisieren, die komplette Bandbreite zu nutzen und Datenkollisionen zu vermeiden, bekommt ein Gerät im Powerlink-Bus die Funktion des Managing Node (MN) zugewiesen. Alle anderen Geräte fungieren als Controlled Nodes (CN). Der Managing Node gibt den Zeittakt zur Synchronisation aller Geräte vor und steuert die Datenkommunikation, indem er innerhalb eines Taktzyklus an alle Controlled Nodes Anfragen (Poll Requests Frame, PReq) mit der Anforderung einer Antwort (Poll Response Frame, PRes) sendet. Da Ethernet ein Broadcastsystem ist, können alle Teilnehmer im Netzwerk alle Daten empfangen. Ein Powerlink-Zyklus besteht aus vier Abschnitten: In der Start Period sendet der Managing Node einen Start of Cycle Frame (SoC) an alle Controlled Nodes, der die Geräte synchronisiert. Im zweiten Abschnitt, der Cyclic Period, erfolgt der zyklische isochrone Datenaustausch. Der dritte Abschnitt, die Asynchronous Period, ermöglicht die Übertragung nicht zeitkritischer, asynchroner Daten. Beendet wird ein Zyklus vom vierten Abschnitt, der Idle Period. Weil durch das Zeitschlitzverfahren das gleichzeitige Senden verschiedener Geräte ausgeschlossen wird, ist die Anzahl von Hubs, die im Netzwerk eingesetzt werden, nicht begrenzt. Somit sind beliebige Topologien möglich. Für jedes Netzwerksegment können dem jeweiligen Managing Node 240 Controlled Nodes zugewiesen werden. Weitere Vorteile bestehen in der rein softwarebasierten Lösung und der Konformität zu existierenden Standards. Redundanz im Netzwerk Für den Einsatz von Powerlink bei Alstom fehlte ein entscheidendes Merkmal: die Fähigkeit der redundanten Auslegung. Vor dem Hintergrund der langjährigen Arbeit mit hochverfügbarer Netzwerktechnik begannen Alstoms Spezialisten, Hochverfügbarkeit im Powerlink-Stack zu implementieren. Sie wollten so die Einbindung eines redundanten Managing Nodes als Ausfallsicherung in das Netzwerk ermöglichen. Die Zusammenarbeit und Offenheit in der EPSG beschreibt Potier wie folgt: \“Der Austausch und die Zusammenarbeit mit den anderen Interessengruppen bot große Vorteile. Aufgrund unserer Erfahrung auf dem Gebiet der Redundanz konnten wir die Standardisierung von Hochverfügbarkeit wesentlich mitprägen.\“ Alstoms Redundanzmodell In Alstoms Redundanzmodell stehen zwei oder mehr Redundante Managing Nodes (RMN) am Kopf der Netzwerkhierarchie. Nur einer dient als Aktiver Managing Node (AMN), die anderen laufen im Standby-Betrieb (SMN) und verhalten sich aus Sicht des Aktiven Managing Nodes wie Controlled Nodes. Der einzige Unterschied zwischen einem Standby Managing Node und einem Controlled Node besteht seitens des Standby Managing Node in der kontinuierlichen Überwachung aller Netzwerk- bzw. Controlled Node-Funktionen, um im Ernstfall die Funktion des Aktiven Managing Nodes ohne ein neuerliches Booten zu übernehmen. Genauso muss der Redundante Managing Node imstande sein, den Aktiven Managing Node zu veranlassen, ihm aktuelle Netzwerkmanagement-Statusinformationen über die Controlled Nodes zu übermitteln, was über den Dienst Asynchronous Send (ASnd) läuft. Erreicht wird diese Funktionalität über ein Management der Node-Adressen, das der Stack aus Alstoms Entwicklung ermöglicht. Der Powerlink Node ID240 ist ausschließlich für den Managing Node reserviert, der Adressbereich von 241 bis 251 ist den Redundanten Managing Nodes vorbehalten. Fällt der Aktive Managing Node aus, sorgt ein fliegender Adresswechsel für die Weitergabe der Powerlink Node ID240 an den nächsten RMN. Dadurch wird die volle Kompatibilität aller Controlled Nodes im Netz mit den Redundanten Managing Nodes gewährleistet. Jeder Re­dundante Managing Node muss in der Lage sein, alle Geräte im Netzwerk – abgesehen von den anderen Redundanten Managing Nodes – zu konfigurieren. Grundsätzlich sind mit diesem Redundanzmodell unterschiedlichste Topologien möglich. So können Redundant Managing Nodes über ein Hub auf ein einfach ausgelegtes Netzwerk zugreifen. Ebenso könnten Redundant Managing Nodes und Controlled Nodes in einer ringförmig geschlossenen Netzstruktur angeordnet werden. Eine dritte und von Alstom favorisierte Lösung sieht die doppelte Auslegung der Datenleitungen vor. Dadurch wird der Bus nicht nur gegen den Ausfall eines Managing Node, sondern auch gegen Beschädigungen und Ausfälle der Kabel gesichert. Netzwerk Status Maschine Powerlink lässt ursprünglich nur den Betrieb eines Managing Nodes zu. Um die Einbindung mehrerer Redundanter Managing Nodes zu realisieren, mussten die Entwickler entsprechende Änderungen an der Netzwerk Status Maschine für die Redundanten Managing Nodes vornehmen. Das Netzwerkmanagement ist ein CANopen-basierter Überwachungs- und Steuerungsdienst. Jedes Gerät eines Netzwerkes hat eine Netzwerkmanagement-Statusmaschine, die nach der Abfrage durch den Netzwerkmanagement-Master des Managing Nodes Auskunft über den eigenen Betriebszustand gibt. Vier Zustände sind definiert: Initialising, Pre-Operational, Operational und Stopped. Im Initialising-Zustand bootet das Gerät, Netzwerkaktivität ist nicht erlaubt. Im Pre-Operational-Zustand synchronisiert sich das Gerät mit den Netzwerkparametern; das Gerät kann auch in diesem Zustand noch keine Datenkommunikation betreiben. Operational sig­nalisiert die volle Einsatzfähigkeit. Stopped heißt, dass das Gerät vom Netzwerk abgekoppelt ist und lediglich auf Netzwerkmanagement-Anweisungen reagieren kann. Um aber den Betrieb Redundanter Managing Nodes zu ermöglichen, die jederzeit die Steuerung übernehmen können, erweiterten die Programmierer die Zustände der Netzwerkmanagement-Status-Maschine um den Standby-Modus. Noch während des Pre-Operational Modus checkt der Redundante Managing Node die Aktivitäten des Busses. Findet er keine entsprechenden Signale vor, schaltet er in den aktiven Mode um und fungiert als Aktiver Managing Node. Für den Fall, dass es mehrere Redundant Managing Nodes am Netz gibt, übernimmt jeweils der Redundante Managing Node mit der niedrigsten ID die Funktion des Aktiven Managing Nodes. Stellt der Redundante Managing Node Netzwerkaktivität fest, schaltet er innerhalb des Operational Mode in den Standby-Betrieb, meldet sich im System allerdings als normaler Controlled Node an. Kabelunterbrechungen finden Neben den Änderungen am Stack entwickelten Alstoms Techniker eine weitere Neuheit, um den Netzwerkbetrieb mit redundanten Datenleitungen zu realisieren: den Link-Selector. Er verbindet, einem Hub ähnlich, die Eingänge beider Datenleitungen mit den Controlled Nodes. Hier übernimmt er die Funktion eines Vergleichsoperators und leitet die Daten der jeweiligen signaltragenden Leitung an den Controlled Node weiter. Wird eine Leitung unterbrochen, switched er auf die andere um. Durch eine entsprechende Meldung, die der Link-Selector absetzt, lässt sich die Kabelunterbrechung lokalisieren. Intensive Simulationsphase Als die Modelle und technischen Entwicklungen fertiggestellt waren, begann bei Alstom eine intensive Simulationsphase. In Rechnermodellen musste das ­Sys­tem seine Tauglichkeit für spezifische Prozesse, die in Alstoms Industriebereichen ablaufen, beweisen. \“Die Simulation bestätigte zuerst einmal unsere Berechnungen, nach denen für die anfallende Datenlast die 100MBit-Variante von Ethernet für uns völlig ausreicht. Dann haben wir unterschiedliche kritische Szenarien entworfen und die Funktionalität des Busses unter diesen Bedingungen getestet\“, beschreibt Stéphane Potier die lange Simulationsphase. \“Erst nachdem eindeutig war, dass unser System so funktioniert, wie wir es von ihm erwarteten, haben wir es in Betrieb genommen.\“ Was kommt danach? Die Offenheit und Einfachheit der Technik lässt Alstoms Experten schon an nächste Schritte denken: \“Die erste Powerlink-Implementierung war ein Erfolg\“, erläutert der Alstom-Projektmanager Potier. \“Wir beginnen nun damit, Powerlink in unser gesamtes Produktspektrum zu integrieren. Der nächste Schritt dabei ist die Implementierung von Safety, wodurch wir Maschinen- und Anlagenschutz nach SIL3 verwirklichen können.\“ Safety nennt sich eine neue Entwicklung der EPSG, die die Notabschaltung von Netzsegmenten bei Versagen von Steuerungen vorsieht. \“Wir haben auch schon über die Integration des Link-Selectors in die Controller nachgedacht. Ein anderes zukünftiges Projekt könnte die Entwicklung von mit der GPS-Zeit synchronisierten Timestamps für das Netzwerk sein. Es gibt viele Möglichkeiten\“. Einsatz bei Alstom Alstom hat mit der vorgestellten Lösung ein Netzwerk, das allen Anforderungen gerecht wird. Das System ist übersichtlich und hotplugfähig. Der Konfigurationsaufwand beim Zuschalten weiterer Geräte an das Netz ist klein. \“Zudem konnten wir die Netzwerkkonfiguration einfach in unsere