Die Sicherheitsbrücke im Automatisierungsbaukasten

Inline-Stationen werden nach dem Prinzip „Stecken statt Verdrahten“ aufgebaut, die Standard- und Funktionsmodule also einfach an die Inline-Steuerung oder den Buskoppler angereiht. So lassen sich Sensoren und Aktoren mit geringem Verdrahtungsaufwand in das Anlagennetzwerk einbinden. Die modularen Stationen setzen dabei mit einer passgenauen Kanalzahl und vielfältigen Funktionen jede Automatisierungsaufgabe individuell um. Dazu stehen die einzelnen Module in feiner Granularität zur Verfügung: mit digitalen und analogen Ein- und Ausgängen sowie einem, zwei, vier, acht, 16 oder 32 Kanälen. Ergänzt werden sie um zahlreiche Funktionsmodule, die das Zählen von Ereignissen, Generieren von Impulsen oder Schalten von Leistungen erlauben.

Darüber hinaus sorgen die Klemmen für die funktionale Sicherheit, erfassen Positionen und fahren diese an, regeln Drehzahlen, tauschen Daten aus, steuern Pneumatik-Komponenten an, werten Dehnungsmessstreifen aus, erfassen und regeln Temperaturen oder übernehmen die Bus-Master-Funktion für CAN und Profibus. Eine besondere Eigenschaft stellt die Unterstützung der Safetybridge Technology (SBT) dar.

Diese ermöglicht die Integration der funktionalen Sicherheitstechnik in die Applikation, unabhängig von einer sicheren Steuerung oder einem sicheren N etzwerk. Das System besteht aus sicheren Ein- und Ausgangsmodulen sowie so genannten Logikmodulen. Die Ein- und Ausgangsmodule erfassen die sicheren Signale und geben sie aus, während das Logikmodul das sicherheitsgerichtete SBT-Übertragungsprotokoll generiert und überwacht. Außerdem bearbeitet das Logikmodul, das über sichere Ausgänge verfügt, die logischen Verknüpfungen der parametrierten Sicherheitslogik.

Die sicheren Signale, die mit den SBT-I/O-Modulen aufgenommen und weitergeleitet werden, lassen sich über nahezu sämtliche Automatisierungsnetzwerke sowie Steuerungstypen übertragen. Denn das Netzwerk und die SPS werden lediglich als Transportmittel genutzt. Die Kommunikation der sicherheitsgerichteten Signale über Standard-Komponenten wie die Steuerung oder das Netzwerk ist durch das Safetybridge-Protokoll abgesichert.

Sicherheitstechnisch betrachtet sind allen Komponenten, die am Transport der sicheren Nachricht beteiligt sind, beliebige Fehler zu unterstellen. Um die Komponenten dennoch verwenden zu können – es handelt sich hierbei wahrscheinlich um bis zu 99 % der in der Automatisierungstechnik eingesetzten Geräte –, muss das genutzte Safety-Protokoll Maßnahmen gegen sämtliche potentiellen Fehler enthalten. Darunter fällt beispielsweise das Verändern, Vertauschen oder Verzögern einer Nachricht. Vor diesem Hintergrund erkennt das Safetybridge-Protokoll mögliche Fehler und deckt sie auf, sodass sich aus ihnen keine Gefahr mehr ergibt. Wurde ein Fehler detektiert, verwendet das SBT-System sofort die Ersatzwerte. Tritt beispielsweise bei einem Eingangsmodul ein Übertragungsfehler auf, wird das Betätigen eines Not-Halt-Schalters angenommen. Das System wechselt in den sicheren Zustand. Der ist in diesem Fall als „Null“ oder „Aus“ definiert. Aufgrund dieser Systemeigenschaften kann das Protokoll auch drahtlos übertragen werden. Dabei spielt es keine Rolle, ob der Anwender WLAN oder Bluetooth als Übertragungsstandard einsetzt.

Die SBT-Module sind in den Inline-Automatisierungsbaukasten integriert. Sie lassen sich beliebig gemischt mit den Standard-I/O-Modulen dezentral im Netzwerk verteilt anordnen. Besondere Installationsvorschriften der sicheren I/O-Module gibt es nicht. Wie bereits erwähnt, setzt sich das System aus verschiedenen Sicherheitsmodulen zusammen, aus denen eine Lösung zum Austausch von Safety-Daten aufgebaut werden kann. Zentraler Bestandteil jedes SBT-Systems ist das Logikmodul, welches das SBT-Protokoll generiert und überwacht sowie die sichere Logik bearbeitet. Neben sicheren Eingangsmodulen sind sichere Ausgangsmodule mit unterschiedlichen Ausgangsbeschaltungen verfügbar. Erhältlich sind sowohl plus- als auch plusminusschaltende Module sowie Varianten mit potentialfreien Kontakten. Je nach Parametrierung und Beschaltung erfüllen sie die Sicherheitsanforderungen bis PL e gemäß EN ISO 13849-1 und SIL 3 nach IEC 61508.

Bei der Erstellung der sicheren Logik erweist es sich als unerheblich, wo die I/O-Module im Netzwerk verteilt sind. Denn für den Projektierer der Sicherheitsfunktionen stellt sich das SBT-System wie ein modulares konfigurierbares Sicherheitsschaltgerät dar. Zudem benötigt der SPS-Programmierer keinerlei Erfahrungen oder Schulungen im Bereich der funktionalen Sicherheit. Aus seiner Sicht handelt es sich bei der SBT-Lösung nicht um ein sicherheitsrelevantes System, sondern um Standard-I/Os. Aufgrund der eingebauten Sicherheitsmechanismen kann der SPS-Programmierer beliebig viele Fehler bei der Nutzung der SBT-Module machen, ohne die funktionale Sicherheit zu gefährden. Es gibt nur zwei Möglichkeiten: Entweder er arbeitet korrekt oder die implementierten Sicherheitsmechanismen verhindern einen unsicheren Zustand. Das soll für einen problemlosen Umgang mit dem System unter beliebigen Steuerungen und Netzwerken sorgen.

Zur Konfiguration der Sicherheitslogik und Einstellung der Parameter der sicheren Ein- und Ausgangsmodule wird die Software Safeconf verwendet. Dazu wählt der Anwender die erforderlichen sicheren I/O-Module aus dem Hardware-Katalog aus, gibt die benötigten Parameter ein und erstellt dann die Sicherheitslogik. Zu diesem Zweck kann er auf sichere Funktionsbausteine zurückgreifen. Von E-Stopp bis zu Muting beinhaltet die Bibliothek 14 verschiedene Sicherheitsbausteine gemäß PLCopen-Spezifikation.

Neben den Diagnosemeldungen der sicheren Module wie Symmetrieverletzung sowie Kurz- oder Querschluss stehen in der Steuerung auch die Zustände sämtlicher sicheren Ein- und Ausgänge zur Verfügung. Eine geöffnete Schutztür führt beispielsweise zum Abschalten eines oder mehrerer sicherer Ausgänge. Ohne zusätzliche Verdrahtung, wie sie bei einem Sicherheitsrelais notwendig wäre, liegt der SPS in diesem Fall die Information vor, welcher sichere Eingang den Stillstand der Maschine verursacht hat. Somit kann der Standard-Prozess ebenfalls auf das Ereignis reagieren, indem der Maschinenbediener über die Visualisierung Hinweise zur Behebung der Störung erhält. Diese Transparenz entsteht, weil alle zwischen den Modulen ausgetauschten Daten durch die SPS kopiert werden. Mit dem „Zustimmverfahren“ ist es möglich, von der Steuerung direkt auf einen sicheren Ausgang zu schreiben. So lange die sicheren Applikation dem zustimmt, kann der Ausgang von der Standard-Anwendung angesteuert werden.

Die funktionale Sicherheitstechnik bürgt mit der Maschinenrichtlinie sowie den zugehörigen Normen und Vorschriften dafür, dass der Maschinenbediener vor Gefahr bringenden Situationen geschützt wird. Die entsprechenden Regularien müssen vom Maschinen- und Anlagenbauer umgesetzt werden. Durch die Netzwerkfähigkeit und Diagnosemöglichkeiten bei gleichzeitiger Unabhängigkeit von einer Sicherheitssteuerung eröffnet Safetybridge hier neue Wege, um sicherheitstechnische Applikationen noch flexibler an die jeweilige Maschine oder Anlage anzupassen. Zudem erhöhen die Diagnoseeigenschaften die Verfügbarkeit der Anwendung und damit ihre Wettbewerbsfähigkeit weiter.

Lutz Rahlves Phoenix Contact, Bad Pyrmont