Integration eines sicheren Feldbussystems in Profinet: Mit Interbus-Safety einfach und sicher vernetzen

Mit Interbus-Safety wurde ein sicheres Feldbussystem entwickelt, das über das Profinet-Protokoll einfach in die vorhandene Steuerungstechnik integriert werden kann und die Standard-Applikation nicht beeinflusst. Interbus-Safety erfüllt den Performance Level (PL) e gemäß EN ISO 13849-1 sowie den Safety Integrity Level (SIL) CL 3 nach EN IEC62061, sodass das sichere Feldbussystem nicht nur europaweit, sondern international nutzbar ist. Keine Einschränkungen bei der Verkabelung Basiseinheit des Interbus-Safety-Systems ist der Profinet/Interbus-Proxy mit eingebauter sicherer Steuerung. Der Proxy tauscht über die Profinet IO-Device-Schnittstelle Standard-Daten mit den angeschlossenen Teilnehmern aus. Darüber hinaus stellt er der Standard-Steuerung die sicheren E/A-Daten zu Diagnosezwecken zur Verfügung. Die sicheren Ein- und Ausgangskomponenten bilden die Schnittstelle zur Peripherie. Sie kommunizieren mit dem sicheren Profinet/Interbus-Proxy über ein transparent im Standard-Interbus-Protokoll übertragenes Sicherheitsprotokoll. Das bei Interbus-Safety verwendete Black-Channel-Prinzip ermöglicht die Übertragung der sicheren Daten über das Standard-Netzwerk. Das Bussystem übernimmt somit keine sicherheitsrelevanten Aufgaben, sondern fungiert lediglich als Übertragungsmedium. Auf diese Weise können sichere und nicht-sichere Komponenten an ein Netzwerkkabel angeschlossen werden. Alternativ ist eine Zwei-Kabel-Lösung mit getrennter Verkabelung für die Standard- und Safety-Kommunikation möglich. Der Einsatz der Interbus-Safety-Technologie zieht dabei keinerlei Einschränkungen in der Verkabelung des sicheren Netzwerks nach sich. Dies gilt auch für die Nutzung von Kupfer- oder Lichtwellenleitern, die die bekannte Robustheit sowie die umfassenden Diagnoseeigenschaften des Standard-Interbus-Systems bieten. Reduzierung der Komplexität Die in den Profinet/Interbus-Proxy integrierte Steuerung verarbeitet die sicherheitsrelevanten Eingänge und stimmt der Standard-Steuerung im Setzen eines Ausgangs zu oder setzt den Ausgang zurück. Dieses Verfahren, das der Arbeitsweise der separat ausgeführten Sicherheitstechnik gleicht, reduziert die Komplexität der Anwendung. Durch die Trennung der Sicherheitstechnik von der Standard-Steuerung wird außerdem die Rückwirkungsfreiheit sichergestellt. Das bedeutet, dass Änderungen in der Standard-Steuerung, wie ein Gerätewechsel oder das Erweitern von Hardware oder Programmteilen, unabhängig sowie ohne zusätzlichen Prüfaufwand für die Sicherheitstechnik machbar sind. Die Ein-Bit-Über­tragung trägt ebenfalls zur Vereinfachung der sicherheitsgerichteten Kommunikation bei. Sie sorgt auf den Ein- und Ausgangskomponenten über eine interne Logik für die Diagnose der Peripherie und stellt dem Programmierer das Signal – beispielsweise \’Not-Halt ist gedrückt\‘ – als ein Bit in der Programmieroberfläche zur Verfügung. Kurze Reaktions- und feste Abschaltzeit Das effiziente Summenrahmenprotokoll des Standard-Interbus-Systems und die Integration der Sicherheitstechnik in die Anschaltbaugruppe ermöglichen kurze Reaktionszeiten. Aufgrund der Systemarchitektur ist Interbus-Safety als derzeit einziges am Markt erhältliches sicheres Feldbussystem in der Lage, die Reaktionszeit über die komplette Sicherheitskette von der Eingangsklemme über die Sicherheits-Steuerung bis zur Ausgangsklemme kanalbezogen zu überwachen und bei Überschreitung den entsprechenden Ausgang gezielt abzuschalten. Die zu überwachende Abschaltzeit wird parametriert und über die gesamte Sicherheitskette vom System garantiert. Die Programmierung der sicheren Steuerung erfolgt mit der Software SafetyProg nach der internationalen Norm IEC61131, wobei der Anwender durch zertifizierte sichere Funktionsbausteine unterstützt wird. Die gemäß PLCopen-Standard entwickelten Bausteine decken sichere Standard-Applikationen wie Not-Halt, Zwei-Hand, Schutztür mit Zuhaltung sowie Lichtgitter- und Scanner-Applikationen ab. So wird nicht nur der Programmieraufwand reduziert, sondern auch die Verifikation und Validierung der Applikation vereinfacht. Umfassende Diagnose Als Kombination aus dem Diagnose-Tool Diag+, dem Interbus-Safety-System und den sicheren Funktionsbausteinen erhöht die integrierte Diagnose sowohl die Wirtschaftlichkeit als auch die Verfügbarkeit der Anwendung. Diag+, das sich als Ac­tiveX-Komponente in andere Software-Werkzeuge wie Prozessvisualisierungen einbinden lässt, liefert der Steuerung alle Diagnosedaten automatisch in Klartext. Damit entfallen die Programmierung der Diagnose und der Kommunikation sowie die Erstellung eigener Visualisierungen. In sicherheitsrelevanten Applikationen müssen Kurz- und Querschluss, ein gedrückter Not-Halt-Schalter oder eine offene Schutztür zwingend erkannt werden. Wird im Interbus-Safety-System eine Funktion wie Not-Halt angefordert, informiert die Diagnose-Software in Klartext über den Ort und die Ursache. Darüber hinaus wird dem Bediener eine eindeutige Handlungsanweisung zur Fehlerbeseitigung angeboten, deren Abarbeitung – z.B. das Entriegeln des Not-Halt-Schalters und Quittieren – das Tool begleitet. Einfache Inbetriebnahme und Anlagenerweiterung Durch die Trennung von Standard- und Sicherheitssteuerung ist eine Rückwirkungsfreiheit der Systeme gegeben, sodass der Anwender Steuerungen unterschiedlicher Hersteller an einer Peripherie betreiben kann. Bewährte Interbus-Safety-Funktionen wie die kurze Reaktionszeit, eine umfassende Diagnose, parametrierbare feste Abschaltzeiten, die einfache Installation und hohe Verfügbarkeit sowie die Plug&Play-Funktion, die Adresseinstellungen überflüssig macht, werden über den Proxy in die Profinet-Welt überführt. Für die Standard-Steuerung stellt sich der Profinet/Interbus-Proxy wie eine separate Netzwerkkarte dar, die ihr alle Sensor- und Aktorsignale übermittelt. Zusätzliche Informationen des sicheren Prozesses sind als Prozess- oder Kommunikationsdaten verfügbar. Die Ausgangsdaten der nicht-sicheren SPS werden direkt an die Ausgangsmodule gesendet, während die Sicherheitssteuerung lediglich die sicherheitsrelevanten Ausgänge beeinflusst oder ihnen zustimmt sowie den sicheren Teilnehmern nach dem Systemstart automatisch Parameterdaten weiterleitet. Im Fall eines Gerätetausches ist somit kein Expertenwissen erforderlich. Mit der Proxy-Funktionalität kann der Anwender die Gesamtapplikation in einzelne Zellen oder Funktionseinheiten untergliedern, wobei die übergeordneten Liniensteuerungen problemlos mit den dezentralen Sicherheitsprozessen zusammenarbeiten. Auf diese Weise werden die Inbetriebnahme einzelner Bereiche sowie die Erweiterung bestehender Anwendungen erheblich vereinfacht. Fazit Der Einsatz einer sicheren Feldbuslösung wie Interbus-Safety bietet sich nicht nur in großen Anlagen, wie beispielsweise im Automobilumfeld, an. Aufgrund der genannten Vorteile gegenüber der konventionellen Sicherheitstechnik haben sich zahlreiche Hersteller kleinerer Maschinen und Anlagen für das sichere Bussystem entschieden. Als Beispiele seien Projekte im Bereich Schifffahrtsschleusen und Brandsimulationsanlagen sowie in Hochregallagern und verschiedenen Forschungseinrichtungen genannt. Kasten 1: Geänderte Rahmenbedingungen erfordern neue Sicherheitsnorm Zum Nachweis der Erfüllung der in der Maschinenrichtlinie aufgeführten allgemeinen Gesundheits- und Sicherheitsanforderungen musste bislang die EN954-1 angewendet werden. Da sich heute neben der Elektronik vor allem die programmierbare Elektronik in der Sicherheitstechnik etabliert hat, lässt sich die Sicherheit mit dem einfachen Kategorie-System der EN954-1 nicht mehr erfassen. Aufgrund des deterministischen Ansatzes der Norm, in dem alle Variablen eindeutig bestimmt sind, können darüber hinaus keine Aussagen über die Ausfallwahrscheinlichkeiten getroffen werden. Als Nachfolge-Norm der EN954-1 schafft die EN ISO13849-1 nun Abhilfe. Der neue, harmonisierte Standard beruht auf einem probabilistischen Ansatz, der mit statistischen Wahrscheinlichkeiten arbeitet.