Foto: Berghof, Montage 3S-Smart Software Solutions

Transkript

1 Foto: Berghof, Montage 3S-Smart Software Solutions Integrated Safety Trend oder Hype? Die Vorteile von integrierter Sicherheitsprojektierung unter dem Dach von Standard-Tools der Automatisierungstechnik Die Realisierung von Sicherheitsfunktionen mit Software ist nichts Neues. In allen Bereichen der Industrie sind erfolgreiche Sicherheitssysteme von ausgesprochenen Safety-Spezialisten weit verbreitet. Die meisten Anwendungen wurden dabei entweder in klassischen Programmiersprachen (wie z.b. C) oder aber mit Konfigurationstools für kompakte Sicherheitssteuerungen erstellt. Derzeit bemühen sich viele größere Hersteller von Steuerungstechnik darum, integrierte Produkte für Standard- und Sicherheitssteuerungen anzubieten. Dass dieser Trend kein Hype ist soll anhand von Vorteilen aufgezeigt werden, die sich durch die Integration der Sicherheitstechnik in Standard-Automatisierungslösungen ergeben. Ein Tool für verschiedene Anforderungen Proprietäre Sicherheitssysteme mit Standard-Software-Tools zu projektieren und zertifizieren bleibt Safety-Spezialisten vorbehalten. Für Automatisierer ist es vergleichsweise einfach, eine Abnahme ihrer Maschinen und Anlagen z.b. nach den Verpflichtungen der Maschinenrichtlinie zu erreichen, wenn sie bereits nach Sicherheitsnormen zertifizierte Steuerungssysteme einsetzen. Die Softwaretools für kompakte Sicherheitssteuerungen sind dabei recht problemlos anzuwenden. Es sind jedoch spezielle Software-Werkzeuge, die vom Anwender installiert, gelernt und gewartet werden müssen. Was liegt also näher, als den IEC Komfort der Oberfläche für sicherheitsrelevante Verschaltungen zu fordern? So wie man ihn zur Projektierung der Betriebsfunktionen gewohnt ist und schätzt? Mit integrierten Tools, die für Safety-Anwendungen geeignet sind, gehen die Hersteller genau diesen Weg.

2 Jede Maschine oder Anlage hat einen Software-Applikationsteil für die Betriebsfunktionen. Die Risiko-Analyse dieser Maschine oder Anlage bestimmt die Notwendigkeit von Sicherheitsfunktionen und deren nötige Safety Integrity Levels (SIL 2 oder 3 nach IEC 61508) bzw. Performance Levels (PL d oder PL e nach EN 13849) und Kategorien (2, 3 oder 4). Je nach Einstufung kann dabei der Integrationsgrad der Sicherheitssoftware im Automatisierungstool unterschiedliche Dimensionen annehmen. Die Applikationsentwicklung von SIL2-Sicherheitsfunktionen, kann mit denselben Editoren erfolgen, wie sie auch für die Betriebsfunktionen eingesetzt werden. So kann der Anwender mit dem CODESYS Development System nach IEC beides innerhalb einer Gesamt- Applikation programmieren. Dazu stehen ihm die Standard-Editoren FUP, KOP und ST zur Verfügung, deren Eignung vom TÜV zertifiziert wurde. Dabei kann der Anwender auf ebenfalls zertifizierte Funktionsbibliotheken zugreifen. Erweitert wird das Tool lediglich um eine zusätzliche Plug-In-Komponente, die sich nahtlos in das bestehende Setup installieren lässt. Natürlich muss auch die Steuerung selbst für SIL2 bzw. PL d zertifiziert und mit dem geeigneten Laufzeitsystem ausgestattet sein. Erfordert die Risiko-Analyse die Abdeckung von Sicherheitsfunktionen nach SIL3, so werden geeignete Safety-Editoren eingesetzt z.b. als Funktionsblock-Diagramm, die sich wie die gewohnten Standard-Editoren verwenden lassen. Zur erleichterten Zertifizierung des SIL3- Programms ist der Funktionsumfang des Editors reduziert. Standardisierte Funktionsbausteine nach PLCopen für typische Sicherheitseinrichtungen wie z.b. Not-Aus- Taster, Zweihandbedienung, Schutztür etc. erlauben eine einfache Einarbeitung und Umsetzung der Anwendung. Das Einfrieren von Applikationen (Pinning) garantiert die Weiterverwendung der zertifizierten Safety-Applikation bei Änderungen der Konfiguration oder des Standard-Projekts ohne neuerliche Abnahme. Neben diesen Sicherheitsfunktionen werden die Betriebsfunktionen innerhalb desselben CODESYS-Projekts erstellt und für den gegenseitigen Datenaustausch konfiguriert. Auch wenn dabei zwei physikalische Steuerungen programmiert werden, so reduziert sich der gesamte Projektierungsaufwand aufgrund der Integration beider Aufgaben innerhalb eines Projekts. Die Safety-Applikation abstrahiert dabei den Gerätebaum der E/A-Konfiguration der Standardsteuerung und betrachtet ihn somit erst einmal nur logisch. Dadurch kann eine zertifizierte Safety-Applikation ohne Änderung, ohne Download und damit ohne neuerliche Abnahme für unterschiedliche Betriebsfunktionen und E/A-Konfigurationen verwendet werden: ersetzt der Anwender z.b. physikalischen Ein- oder Ausgänge durch solche eines anderen Typs oder Herstellers oder ändert er die Standard-Applikation, so bleibt davon die Safety-Applikation vollkommen unberührt. Der Gesamtaufwand für Abnahme und Inbetriebnahme wird dadurch deutlich reduziert.

3 Abb 1: Nach SIL3 zertifizierter FUP-Editor vollständig integriert im CODESYS Development System Mehr Platz im Schaltschrank Wenn Sicherheitsfunktionen innerhalb einer Maschine oder Anlage in Software realisiert werden, so wird üblicherweise eine zusätzliche Sicherheitssteuerung eingesetzt. Das bedeutet, dass für Sicherheits- und Betriebsfunktionen letztlich mindestens zwei Steuerungen im Schaltschrank platziert werden müssen. Mit einer getrennten Safety- Steuerung folgt auch sofort die Notwendigkeit eines getrennten Safety-Feldbussystems und der dazugehörigen Verdrahtung. Wenn die Hauptsteuerung nach SIL2 zertifiziert ist, so können für SIL2-Anwendungen beide Funktionen in diesem Gerät umgesetzt werden ohne zusätzliche Steuerung bzw. Feldbus. Es wird kein zusätzlicher Platz im Schaltschrank verbraucht. Betriebs- und Sicherheitsfunktionen greifen auf die identische Datenbasis zu und können so Daten ganz einfach austauschen. Für SIL3-Anwendungen ist es möglich, den Platzverbrauch im Schaltschrank dadurch zu reduzieren, dass die Sicherheitssteuerung als Kindmodul einer bestehenden Standard- Steuerung realisiert wird. Das bedeutet: die Safety-Steuerung wird z.b. an den Erweiterungs- bzw. Feldbusbus der Hauptsteuerung gesteckt. Der Anwendervorteil: eine Verdrahtung der Sicherheitssteuerung zur Stromversorgung und zum Datenaustausch entfällt. Das heißt: es ist keine zusätzliche Hardware in Form von E/A-Kanälen und deren Verdrahtung erforderlich! Die sicheren Feldbusklemmen werden dabei von der Standard-Steuerung verwaltet, ihre Daten werden über sichere Protokollschicht mit der Safety-Steuerung ausgetauscht. Der Anwendervorteil: es gibt nur einen Feldbus für beide Funktionen!

4 Durch die Integration der Betriebs- und Sicherheitsfunktionen in einem Projekt reduziert sich somit der Gesamtaufwand ganz erheblich. Abb2: Die E/A-Konfiguration wird in der Standard-SPS konfiguriert und von der Sicherheitssteuerung abstrahiert verwendet. Integration erweitert bewährte Feldbus-Technologien Durch die Integration in Standard-Steuerungen sind Feldbus-Technologien bereits vorhanden, die für Sicherheitssysteme weitergenutzt werden können: PROFIBUS/PROFINET oder EtherCAT werden durch eine zusätzliche zertifizierte Feldbus- Schicht zu PROFIsafe und EtherCAT FSoE (Fail-Safe-over-EtherCAT) erweitert. Für den Hersteller von integrierten Sicherheitssteuerungen bedeutet das natürlich zunächst einmal einen reduzierten Aufwand bei der Implementierung: für PROFIBUS/PROFINET genügt ein Hilscher netx-chip mit integriertem Protokollstack, für EtherCAT ein handelsüblicher Ethernet-Chip, wie z.b. Intel Pro1000/Gigabit oder Realtek Für CODESYS ist ein Master-Protokollstack in Form einer portierbaren Bibliothek verfügbar. Mit den integrierten Konfiguratoren ist in CODESYS schon alles vorhanden, um die Standard- Feldbusanbindung zu realisieren. Erweitert der Geräte-Hersteller diese Implementierung um die SIL3-zertifizierte PROFIsafe Master- bzw. FSoE Master-Schicht auf seiner Sicherheitssteuerung, so ist der Feldbusaspekt für eine spätere Zertifizierung des Geräts vollständig abgedeckt. Für SIL2-Systeme ist die Vorgehensweise vergleichbar: hier bietet sich aufgrund der Verbreitung im Markt für typische SIL2-Applikationen jedoch die Verwendung von CANopen

5 bzw. CANopen-Safety an, die in CODESYS ebenfalls mit eigenem Protokollstack und Konfigurator unterstützt werden. Anwender profitieren ihrerseits wiederum von der einheitlichen Projektierung der Feldbus- Anbindung sowie den eingebundenen E/A-Informationen auf Basis von Standard- Konfigurationsdateien in den Formaten GSD/GSDML, EtherCAT-XML bzw. EDS. Abb. 3: Gegenüberstellung: Architektur eines Steuerungssystem nachträglich erweitert um Sicherheitsfunktionen vs. Architektur mit Integrated Safety Integrierte Safety-Anbindung mit dezentraler Safetyklemme Mit dem beschriebenen System lässt sich eine SIL3-Anwendung auch mit einer dezentralen Safetyklemme projektieren, wie z.b. der Beckhoff EL6900 am EtherCAT-Feldbus. Der Anwendungsfall: Eine mit CODESYS programmierbare Standard-SPS mit implementierter CODESYS EtherCAT Master-Unterstützung steuert eine Maschine. Aufgrund der Risikoanalyse sind Maßnahmen zu treffen, um diese Maschine gemäß IEC nach SIL3 abnehmen zu können. Dazu soll eine kompakte Safety-Steuerung zum Einsatz kommen, wie z.b. die EtherCAT-Safetyklemme EL6900. Statt dieses Gerät nun mit proprietärer Software zu projektieren, setzt der Anwender auf die in CODESYS integrierte Lösung. Das heißt, er parametriert das EtherCAT-Netzwerk mit dem im Programmiersystem integrierten Konfigurator und fügt dazu die Safetyklemme als Kindmodul der Hauptsteuerung sowie Safety-E/A-Module ein. Mit dem zertifizierten FUP-Editor erstellt er die Safety-Applikation und lädt diese über die FSoE-Schicht auf die EL6900. Diese arbeitet die Safety-Applikation ab. An welcher Stelle die Klemme bzw. die Safety-E/A-Module im EtherCAT-Netzwerk untergebracht werden, spielt dabei keine Rolle die Safety-Erweiterung in der Feldbus- Anbindung macht es möglich. Somit hat der Anwender eine kostengünstige Möglichkeit, um Sicherheits- und Betriebsfunktionen gemeinsam in einer Oberfläche zu projektieren und auch deren Daten in der Hauptsteuerung auszuwerten.

6 Abb. 4: Dezentrale Safety-Steuerung im EtherCAT-Netzwerk mit FSoE Auch wenn diese Lösung zunächst nur für die beschriebene EtherCAT-Klemme verfügbar ist, so kann der Ansatz auf vergleichbare FSoE- oder auch PROFIsafe-Systeme übertragen werden. Fazit Der Trend zu integrierten Safety-Lösungen unter dem Dach von verbreiteten Automatisierungslösungen lässt sich leicht nachvollziehen. Geräte-Hersteller und Anwender profitieren, insbesondere durch Einsparungen bei Projektierung und Verdrahtung. Mit dem CODESYS Development System nach IEC haben Geräte-Hersteller und Anwender dabei ein System zur Hand, das passende Safety-Produkte für unterschiedliche Einsatzfälle integriert. Damit ist Integrated Safety kein Hype, sondern Realität in einer zunehmenden Zahl von Automatisierungsanwendungen.