SafeLogic. IndraDrive Siehe betroffene Firmware-Versionen See affected firmware versions. Sicheres Ausgangsmodul Safe output module. 16.

Transkript

1 Bosch Rexroth AG Postfach Lohr am Main Bgm.-Dr.-Nebel-Str Lohr am Main Tel Fax Sicherheitswarnung CSos-Kommunikation SafeLogic / IndraDrive SafeMotion V2 / Sicheres Ausgangsmodul (Technische Beschreibung IX385 / 8D ) Safety warning CSos-communication SafeLogic / IndraDrive SafeMotion V2 / Safe output module (technical description IX385 / 8D ) SafeLogic Type: Mat.Nr.: Part no.: CFL01.1-F1 R IndraDrive Siehe betroffene Firmware-Versionen See affected firmware versions Sicheres Ausgangsmodul Safe output module Type: S20-SSDO-8/3 HW / SW Revision 00 / 1.01 Mat-Nr.: Part no.: R Firmensitz: Stuttgart, Registrierung: Amtsgericht Stuttgart HRB Vorstand: Rolf Najork (Vorsitzender), Dr. Markus Forschner; Dr. Steffen Haack; Dr. Bertram Hoffmann Vorsitzender des Aufsichtsrats: Dr. Werner Struth

2 Inhalt 1 Ausgangssituation Fehlerbeschreibung Einschätzung zum Auftreten eines Fehlers Empfohlene Maßnahmen Betroffene Hardware- bzw. Firmware-Stände SafeLogic Firmware-Versionen Hardware- und Firmware Version sichere Ausgangsmodule IndraDrive Firmware-Versionen Fehlerbehebungen SafeLogic Firmware Sichere Ausgangsmodule IndraDrive Firmware Download fehlerbereinigte Firmware der SafeLogic... 9 Seite 2 von 16 8 Initial situation Description of malfunction Assessment of error occurrence Recommended measures Affected hardware or firmware versions SafeLogic firmware versions Hardware and firmware version of safe output modules IndraDrive firmware versions Error elimination SafeLogic firmware Safe output modules IndraDrive firmware Downloading SafeLogic the error-corrected firmware... 16

3 1 Ausgangssituation Bei der sicheren Kommunikation CIP Safety on Sercos der SafeLogic wird eine Netzwerk-Reaktionszeit Network Time Expectation (NTE) konfiguriert. Diese Netzwerk-Reaktionszeit ist die maximale Zeit zwischen dem Senden eines sicheren Telegramms und dem Empfang eines sicheren Telegramms inklusive Fehlererkennung. Seite 3 von 16 Bei Bestandsprojekten kann die eingestellte NTE in IndraWorks (IW) für jede konfigurierte CIP Safety on Sercos Verbindung entnommen werden: Projektexplorer Logische E/As Sichere Konfiguration Network Time Expectation (NTE) Abbildung 1: Konfiguration NTE Die sicherheitsgerichtete Kommunikation über PROFISafe auf PROFIBUS oder PROFINET ist nicht betroffen.

4 2 Fehlerbeschreibung Aufgrund von Fehlern in der Zeitüberwachung kann die tatsächliche Netzwerk-Reaktionszeit bis zu einem Faktor 2 größer werden als der konfigurierte Wert. Seite 4 von 16 Beispiel im Bild: Es wurde eine NTE von 50ms konfiguriert, die tatsächliche Netzwerkreaktionszeit beträgt aufgrund des Fehlers aber 100ms. Der Fehler betrifft jeweils die CIP Safety Eingangsnachrichten, d.h. Bei der SafeLogic sind das die Statusdaten vom IndraDrive oder vom sicheren Eingangsmodul S20-SSDI. Beim IndraDrive sind das die Steuerdaten von der SafeLogic. Beim sicheren Ausgangsmodul sind das die Ausgangsdaten von der SafeLogic. 3 Einschätzung zum Auftreten eines Fehlers Wann tritt ein sicherheitskritischer Fehler auf? Die um bis zu Faktor 2 größere Netzwerk-Reaktionszeit tritt dann auf a.) wenn 1. keine Telegramme mehr empfangen werden 2. oder durch einen Ausfall von Telegrammen ein Abstand zwischen zwei gültigen Telegrammen bis zu einem Faktor 2 der konfigurierten Netzwerk-Reaktionszeit auftritt, und zwar gleichzeitig mit einem Überlauf eines internen Timers (alle 8,39 Sekunden) b.) und gleichzeitig eine Sicherheitsanforderung kurz nach dem Senden des letzten gültigen Telegrammes auftritt in einen von den unter a.) beschriebenen Fällen. Die Wahrscheinlichkeit des Auftretens wird als gering eingeschätzt.

5 4 Empfohlene Maßnahmen Die Netzwerk-Reaktionszeit ist Teil der System-Reaktionszeit. Es ist eine Risikobetrachtung der Anlage durchzuführen, d.h. zu ermitteln, welchen Einfluss die erhöhte System-Reaktionszeit aufgrund der doppelten Netzwerk- Reaktionszeit auf die Sicherheit der Maschine hat. Seite 5 von 16 Mögliche Maßnahmen auf Basis der Risikobetrachtung: A. Die tatsächliche Netzwerk-Reaktionszeit und somit erhöhte System- Reaktionszeit hat keine Auswirkung auf die Sicherheit der Anlage keine Maßnahme erforderlich. B. Die tatsächliche Netzwerk-Reaktionszeit und somit erhöhte System- Reaktionszeit beeinträchtigt die Sicherheitsfunktionen der Anlage NTE verkleinern um die geforderte System-Reaktionszeit zu erreichen. Achtung: die Verfügbarkeit der sicheren CIP Safety Kommunikation kann dadurch beeinträchtigt werden! 1) Die CIP Safety on Sercos Verbindungen laufen trotz verkleinerter NTE keine weitere Maßnahme erforderlich. 2) Die CIP Safety on Sercos Verbindungen laufen aufgrund der verkleinerten NTE nicht mehr Maßnahmen siehe Kapitel 6: Fehlerbehebungen Dies gilt für beide Übertragungsrichtungen (Producer, Consumer). 5 Betroffene Hardware- bzw. Firmware-Stände 5.1 SafeLogic Firmware-Versionen Betroffen sind die folgenden Firmware-Versionen des Safety-FM CFL01.1-F1: # Suite-Version Firmware-Version Safety-FM (FWA- CFL01.1-F1) 1 13V08 01V V08 Patch 2 01V V14 Patch V V14 Patch V oder 02V V04 02V oder 02V V06 Patch 1 02V oder 02V

6 Die Firmware-Version des Safety-FM CFL01.1-F1 kann in IndraWorks (IW) ausgelesen werden: Seite 6 von 16 Projektexplorer Safety_CPU_CFL01_1_F1 Safety Online Information Firmware

7 5.2 Hardware- und Firmware Version sichere Ausgangsmodule Seite 7 von 16 Typenbezeichnung HW / FW Version 1 S20-SSDO-8/3 00 / 1.01 Die Firmware-Version des sicheren Ausgangsmoduls S20-SSD-8/3 kann wie folgt dem Typenschild entnommen oder über IndraWorks ausgelesen werden:

8 5.3 IndraDrive Firmware-Versionen MPx18 MPx18V11 MPx18V12 MPx18V14 MPx18V16 MPx18V18 MPx18V20 MPx19 MPx19V02 MPx19V03 MPx20 MPx20V02 MPx20V04 MPx20V06 Seite 8 von 16 6 Fehlerbehebungen 6.1 SafeLogic Firmware Der Fehler wird behoben sein ab Version und höher: FWA-CFL01.1-F1: 02V Für die folgenden Suite Versionen wird eine fehlerbereinigte Firmware voraussichtlich ab März 2016 angeboten: # Suite-Version Firmware-Version Safety-FM (FWA- CFL01.1-F1) 4 13V14 Patch 2.3 Anstelle von 02V oder 02V V04 Anstelle von 02V oder 02V V06 Patch 1 Anstelle von 02V oder 02V Für die folgenden Suite Versionen wird keine fehlerbereinigte Firmware angeboten: # Suite-Version Firmware-Version Safety-FM (FWA- CFL01.1-F1) 1 13V08 01V V08 Patch 2 01V V14 Patch V Für die Fehlerbehebung in diesen Suite-Versionen kontaktieren Sie bitte den Bosch Rexroth Service bzw. Kundensupport.

9 6.2 Sichere Ausgangsmodule Die betroffenen Module müssen ausgetauscht werden. Für den Austausch kontaktieren Sie bitte den Bosch Rexroth Service bzw. Kundensupport. Seite 9 von IndraDrive Firmware Eine fehlerbereinigte Firmware ist für März 2016 geplant. Für den Austausch kontaktieren Sie bitte den Bosch Rexroth Service bzw. Kundensupport. 7 Download fehlerbereinigte Firmware der SafeLogic Für weitere Infos zur sicheren Verwendung aller Komponenten siehe Download-Bereich der SafeLogic unter Sicherheitstechnik in der Produktgruppe Electric Drives and Controls auf Zur Vorgehensweise bei einem Firmware-Update siehe Kapitel Firmware- Update der Dokumentation: Safelogic Projektkonfiguration oder in der Online-Hilfe in IndraWorks unter: IndraWorks-Komponenten SafeLogic Betrieb und Administration der Steuerung Firmware-Update

10 8 Initial situation During the safe communication CIP Safety on Sercos of SafeLogic, a network response time Network Time Expectation (NTE) is configured. This network response time refers to the maximum time between sending of a safe telegram and receiving a safe telegram, including the detection of errors. Seite 10 von 16 In case of existing projects, the set NTE can be found in IndraWorks (IW) for each configured CIP Safety on Sercos connection: Project Explorer Logic I/Os Safe configuration Network Time Expectation (NTE) Figure 2: NTE configuration The safety-relevant communication via PROFISafe to PROFIBUS or PROFINET is not affected.

11 9 Description of malfunction Due to errors in the time monitoring, the actual network response time can sporadically be greater by up to a factor of 2 than the configured value. Seite 11 von 16 Example in figure 1: An NTE of 50ms was configured. However, the actual network resonse time is 100 ms due to these errors. The resulting malfunction always affects the CIP Safety input messages, e.g. for SafeLogic, the IndraDrive status data or the status data of the safe input module S20-SSDI for IndraDrive, the SafeLogic control data for the safe input module, the SafeLogic output data 10 Assessment of error occurrence When does a safety-critical error occur? A network response time greater by up to a factor of 2 occurs a.) if 1. no telegrams can be received anymore 2. or if due to telegram failures, a gap between two valid telegrams up to a factor of 2 of the configured network response time occurs with a simultaneous overflow of an internal timer (every 8.39 seconds) b.) and if simultaneously a safety requirement is displayed shortly after sending of the last valid telegram in one of the cases described under a) The probability of occurrence is classified low.

12 11 Recommended measures The network response time is part of the system response time. Assess the risk of the system, i.e., establish which influence the increased system response time has on the machine safety due to twice the network response time. Seite 12 von 16 Possible measures on basis of the risk assessment: A. The actual network response time and thus the increased system response time does not affect the safety of the system No measures required B. The actual network response time and thus the increased system response time affects the safety functions of the system Reduce NTE to meet the required system response time. Caution: The availability of the safe CIP Safety communication can be affected! 1) The CIP Safety on Sercos connections are running despite a reduced NTE No other measures required 2) The CIP Safety on Sercos connections do not run anymore due to a reduced NTE For measures, see Chapter 13 Error elimination This applies to both transmission directions (Producer, Consumer).

13 12 Affected hardware or firmware versions 12.1 SafeLogic firmware versions The following firmware versions of Safety FM CFL01.1-F1 are affected: Seite 13 von 16 # Suite version Firmware version Safety-FM (FWA- CFL01.1-F1) 1 13V08 01V V08 Patch 2 01V V14 Patch V V14 Patch V or 02V V04 02V or 02V V06 Patch 1 02V or 02V The firmware version of the Safety FM CFL01.1-F1 can be read out in IndraWorks (IW): Project Explorer Safety_CPU_CFL01_1_F1 Safety Online Information Firmware

14 12.2 Hardware and firmware version of safe output modules Seite 14 von 16 Type designation HW/FW version 1 S20-SSDO-8/3 00 / 1.01 The firmware version of the safe output module S20-SSD-8/3 is printed on the type plate or can be read out via IndraWorks: :

15 12.3 IndraDrive firmware versions MPx18 MPx18V11 MPx18V12 MPx18V14 MPx18V16 MPx18V18 MPx18V20 MPx19 MPx19V02 MPx19V03 MPx20 MPx20V02 MPx20V04 MPx20V06 Seite 15 von Error elimination 13.1 SafeLogic firmware The error is fixed from version: FWA-CFL01.1-F1: 02V and higher An error-corrected firmware is expected to be available from March # Suite version Firmware version Safety FM (FWA-CFL01.1- F1) 4 13V14 Patch 2.3 Anstelle von 02V oder 02V V04 Anstelle von 02V oder 02V V06 Patch 1 Anstelle von 02V oder 02V An error-corrected firmware is provided for the following Suite versions: # Suite version Firmware version Safety FM (FWA-CFL01.1- F1) 1 13V08 01V V08 Patch 2 01V V14 Patch V For error elimination in these Suite versions, please contact the Bosch Rexroth Service or the customer support Safe output modules The affected modules have to be replaced. Please contact the Bosch Rexroth Service or the customer support.

16 13.3 IndraDrive firmware An error-corrected firmware is expected to be provided in March If you want to replace your firmware, please contact the Bosch Rexroth Service or the customer support. Seite 16 von Downloading SafeLogic the error-corrected firmware For more information about the safe use of all components, refer to the download area of SafeLogic under Safety Engineering in the product group Electric Drives and Controls under For information on how to update the firmware, refer to chapter Firmware update of the Project Configuration documentation or to the online help in IndraWorks under: IndraWorks components SafeLogic Operation and administration of the control Firmware update