FACTS. opensafety der Schlüssel für Ihre Sicherheit. Das Magazin zum Standard im Industrial Ethernet

Transkript

1 5. Jahrgang, Ausgabe 1 / April 2010 FACTS Das Magazin zum Standard der Schlüssel für Ihre Sicherheit : Der erste offene und busunabhängige Safety-Standard für alle Industrial- Ethernet-Lösungen Zeit- und Kosten ersparnis: Wie alle von profitieren over SERCOS III, EtherNet/IP, Modbus-TCP, POWERLINK und Ihren Feldbus

2 2 Special 1/2010 Das standardisierte OSI-Datenkommunikations-Modell OSI bedeutet Open Systems Interconnection ist das Referenzmodell für die wichtigsten der heute gängigen herstellerunabhängi gen Übertragungsprotokolle. Es stellt die Auf gaben, die informationsverarbei tende Systeme zur Übermittlung von Daten bewältigen müssen, in einem hie rarchisch gegliederten Ebenensystem mit sieben Schichten dar. Jede Schicht repräsentiert eine durch Protokolle festgelegte Instanz, in der nach bestimm ten Regeln Aufgaben der Datenübertragung abgearbeitet werden. Die grundlegenden, untersten Schichten sind die Bit: Der erste offene und busunabhängige Safety-Standard für alle Industrial-Ethernet-Lösungen Highlights auf einen Blick: nn Ein einheitlicher Standard für alle führenden Feldbusse nn Höchste Produktivität durch direkte Kommunikation nn Reduzierung Ihrer Service- und Inbetriebnahmezeiten nn Automatische sichere Parametrierung nn Ideal für sichere modulare Maschinenkonzepte nn Einzige 100% offene Safety-Lösung nn Die schnellste IEC SIL3-Kommunikationslösung nn Kein Investitionsrisiko: TÜV Certified Conformance Test nn Ideal für Rückwandbusse Mit bietet die EPSG das weltweit erste, zu 100% offene Sicherheitsprotokoll. Die Offenheit von open SAFETY erstreckt sich dabei nicht nur auf die rechtliche Basis, sondern kann auch in technischer Hinsicht wörtlich genommen werden: Dank der Bus unab hängigkeit von können Anwender diese Technologie für alle Feld busse, Industrial-Ethernet-Lösungen oder branchenspezifischen Kom muni kationslösungen verwenden. Die EPSG unterstützt aktiv die Verwendung von mit beliebigen Transportprotokollen und bietet zum Beispiel auch bei Zertifizierung und Conformance- Tests ihre Hilfe an. Dabei ge währ leistet die Open-Source-Lizenz des TÜV-zertifizierten Protokollstacks allen Anwendern und Nutzern der Technologie höchste Investitionssicherheit. Da es für die Funktionalität des Sicherheits pro tokolls keine Rolle spielt, durch wel ches Transportprotokoll die Safety-Frames transportiert werden, spricht man hier vom Black-Channel-Prinzip: Alle sicherheitsgerichteten Mechanismen sind aus schließlich auf der An wendungsebe ne integriert und damit un abhängig von der unterlagerten Trans port schicht. Ein kurzer Blick auf den grund sätz li chen Aufbau von Über tra gungs protokollen verdeutlicht das Prinzip. nn Transport- und Anwendungsschicht Freie Wahl Ihrer Zertifizierungsstelle: von TÜV Rheinland und TÜV Süd IEC zertifiziert

3 FACTS Das Magazin zum Standard special 3 Alle Logos sind eingetragene Warenzeichen der jeweiligen Nutzerorganisationen. Diese repräsentieren ausschließlich die jeweilige Technologie und Anwendung. ist eine von allen Feldbusorganisationen unabhängige Entwicklung. übertragungsschicht und die Sicherungs schicht, die gemeinsam auch als physikalische Schichten bezeichnet werden. Sie definieren die physikalische Schnittstelle zum Übertragungsmedium und stellen Funktionen zur Überprüfung bereit, ob überhaupt eine Verbindung zwischen dem sendenden und dem empfangenden Gerät vorhanden ist. Ethernet spezifiziert nur diese beiden unteren physikalischen Schichten. Die dritte und vierte Schicht werden auch als Übertragungsschichten bezeichnet und regeln sowohl die zeitliche und logische Übertragung der Daten als auch ihre Zuordnung zu den Anwendungen. Gemeinsam umfassen diese vier Schichten alle transport orientierten Dienste und bilden sozusagen nur das Verkehrsmittel für die Anwendungsdaten, die im OSI-Modell den darüber liegenden Ebenen zugeordnet werden. Dazu zählen Sitzungsschicht und Darstellungsschicht, die oft mit der siebten, der Anwendungsschicht zu sammen gefasst werden, da alle Program me und Anwendungen direkt auf sie zugreifen. Die Sitzungsschicht regelt den orga nisierten und synchronisierten Datenaustausch zwischen Anwendungen. Wird beispielsweise die Verbindung unterbrochen, sorgen die Dienste auf dieser Schicht dafür, dass die Verbindung an der abgebrochenen Stelle wieder auf genommen wird. Schicht 6, die Darstellungsschicht, übersetzt sys temabhängige Darstellungen in ein Format, das für die übergeordnete Anwendung verständlich ist, und ge währleistet den syntaktisch korrekten Daten tausch. Zu weiteren Aufgaben der Darstellungsschicht zählen Datenkompression und Datenverschlüsselung. Die oberste Schicht im OSI-Modell bildet die Anwen dungsschicht. Ihre Aufgabe ist nicht eindeutig definierbar, sie stellt den ei gent lichen Anwendun gen, die von diesem Modell nicht mehr erfasst werden, unterschiedliche Diens te zur Verfügung. layer 7 layer 6 layer 5 layer 4 layer 3 layer 2 Your Application Modbus EtherCAT powerlink Die Grafik veranschaulicht in einer An lehnung an das OSI-Modell, dass open SAFETY nur die oberen, anwendungsorientierten Schichten des Protokollstacks spezifiziert. Die hier angesiedelten Safety-Mechanismen sorgen für die sicherheitsgerichtete Kodierung bzw. Dekodierung der Nutzdaten der jeweiligen sicherheitskritischen Applika tion. Der blaue Bereich fasst vereinfachend die transportorientierten Schichten 2 6 zusammen. Welches Transportmittel oder präziser, welches Transportprotokoll gewählt wird, ist zweitrangig. CAN Your Fieldbus Wireless EtherNet/Ip Sercos profinet Das am OSI-Modell orientierte -Schema zeigt, dass das offene Sicherheitsprotokoll ausschließlich die anwendungs orientierten Schichten spezifiziert die Grundbedingung für das Black-Channel-Prinzip layer 1 Ethernet RS485 CAN USB lvds

4 4 Special 1/2010 Zeit- und Kosten Wie alle von profitieren Konkurrenz belebt das Geschäft diese Maxime des Marktes trifft fast immer zu, da ein gesunder Wettbewerb zur stetigen Verbesserung und Wirtschaftlichkeit der Produkte beiträgt. Doch die Entwicklung von sicherheitsgerichteter Soft- und Hardware stellt unter marktwirtschaftlichen Gesichtspunkten einen Spezialfall dar, weil das Investitionsrisiko für Hersteller angesichts erheblicher Entwicklungskosten bei einem noch vergleichsweise geringen Umsatzpotenzial sehr hoch ist. Deshalb gibt es in der Automatisierungs branche seit langem Forderungen nach einem einheitlichen Sicherheitsprotokoll, das allen Herstellern als wirtschaftliche Basis für die Entwicklung aller weiteren sicherheitsgerichteten Produkte dienen kann. Mit steht jetzt erstmalig ein solcher Standard zur Verfügung, der von jedem kos ten frei genutzt werden kann. nn Steigende Entwicklungskosten bei Kommunikationssystemen Ein kurzer Rückblick auf die Geschichte der busbasierten Automatisierung veranschaulicht das mit steigender Komplexität wachsende Investitionsrisiko. Zehn Jahre nachdem der erste Feldbus eingeführt wurde, gab es bereits eine große Anzahl unterschiedlicher Systeme. Es begann ein zähes Ringen um Standardisierung und Normierung der Technologie, das Branchenkennern bis heute unter dem Namen Feldbuskrieg geläufig ist und erst mit der Verab schiedung der IEC-Norm ein Ende finden sollte. Eine Kompatibilität der Systeme wurde dadurch allerdings nicht erreicht. Doch die Entwicklungskosten für die Busse der ersten Generation waren vergleichsweise niedrig, das Marktpotenzial aber groß. Die nächs te Stufe der Entwicklung bestand im Einzug der Ethernettechnik in die industrielle Datenkommunikation. Damit war die Erwartung verbunden, dass sich ein einheitlicher Standard durchsetzt. Doch durch sehr unterschiedli che Ansätze verschiedener Hersteller, mit dieser Technik Echtzeit zu erreichen, wie derholte sich der Feldbuskrieg. Unter einer Vielzahl von Systemen erreicht heute rund ein halbes Dutzend hohe Marktanteile: Profinet, Modbus TCP, Ethernet /IP, die weiche Echtzeit erreichen, sowie die Systeme für harte Echt zeit POWERLINK, EtherCAT und Sercos III. Während die Entwicklungskosten be im Vergleich zu den herkömmlichen Feldbussen etwas stiegen, verringerte sich das Umsatzpotenzial. Doch insgesamt erhöhte sich das Investitionsrisiko für den Hersteller nur geringfügig. Entwicklungsaufwände Integrierte Sicherheitstechnik Industrial Ethernet Grafische Darstellung des Investitionsrisikos, das mit zunehmender Komplexität der Entwicklung steigt Feldbusse Umsatzpotenzial

5 FACTS Das Magazin zum Standard special 5 ersparnis: Plant automation one safety standard for your entire production plant plc Supplier 1 plc Supplier 2 plc Supplier 3 plc Supplier 4 Machine 1 Machine 2 Machine 3 Machine 4 ermöglicht einen einheitlichen Safety- Standard für eine komplette Maschinenlinie unabhängig vom Steuerungs hersteller und damit vom verwendeten Feldbusstandard. Der bus - unabhängige Standard reduziert damit die Kosten und Inbetriebnahmezeiten für komplette Produktionsanlagen nn Spezialfall Safety-Technologie Gänzlich anders gestaltet sich allerdings der Aufwand für die Entwicklung und Zertifizierung von Produkten, die gemäß der IEC-Norm zur Funktionalen Sicherheit sicherheitsbezogener elektrischer, elektronischer und pro grammierbar elektronischer Sys teme für den Einsatz in sicherheitskritischen Bereichen bestimmt sind. Ge gen über nicht-sicherer Feldbustechno lo gie verzehnfachen sich hier die Kos ten der Entwicklung, zudem werden dem Hersteller weitreichende Erfahrung mit der Interpretation der Normen sowie spezielles Methodenwissen abverlangt. Durch das Verhältnis von hohem Aufwand und Kosten zu einem derzeit vergleichsweise überschaubaren Absatzmarkt würde ein Kampf der Systeme die weitere Entwicklung busbasierter Safety-Technologie behindern. Beispiels weise wären Sensorhersteller mit einem immensen Aufwand und Risiko konfrontiert, wenn sie ihre Produkte unter Einhaltung der Sicherheitsnor men zu mehreren verschieden Safety-Protokollen kompatibel entwickeln müssten. nn Die Lösung: Als erprobtes, nicht-proprietäres Sys tem bietet hier eine Lösung, von der Hersteller und Anwender gleichermaßen profitieren. Dank des Black- Channel-Prinzips, durch das sich das Sicherheitsprotokoll für den Einsatz mit allen Feldbus- und Industrial-Ethernet- Technologien eignet, können sich Hersteller von Safety-Technik auf ein einheitliches System konzentrieren und müssen so für alle Standard-Feldbusse nur eine einzige Safety-Entwicklung durchführen. Der Aufwand und das Investitionsrisiko sinken dadurch drastisch. Genauso profitieren Anlagenbetreiber von. Sie sind für die Sicherheit ihrer Anlage verantwortlich, haben aber in der Regel keinen Einfluss darauf, welche Kommunikations systeme in der Anlage zum Einsatz kommen. Diese werden durch die jeweils von den Maschinenherstellern verwendeten Steuerungen vorgegeben. Mit steht dem Anlagenbetreiber eine einheitliche Safety-Lösung für das komplette heterogene Steuerungs netzwerk zur Verfügung. Vorteile für Anlagenbetreiber nn Ein durchgängiger Safety-Standard für die gesamte An la ge nn Für alle Steuerungs herstel ler nn Ideal für sichere modulare Anlagenkonzepte nn Minimale Inbetriebnahme- und Umrüstzeiten Vorteile für Sensorhersteller nn Nur einmalige Entwicklung erforderlich nn Kein Investitionsrisiko nn Minimale Time-to-Market nn Geringe Kosten durch Open-Source nn Garantierte Interoperabilität

6 6 Special 1/2010 Sicherheit für Ihre Investitionen Angesichts der speziellen Entwicklungsbedingungen für sicherheitsgerichtete Produkte, die durch hohe Kosten bei einem vergleichsweise kleinen Umsatzpotenzial gekennzeichnet ist, ist die Investitionssicherheit für Systemund Produkthersteller in diesem Segment ein alles entscheidender Faktor. Die Sicherheit der Investitionen hängt von verschiedenen Parametern ab: von der Verfügbarkeit und Zuverlässigkeit der eingesetzten Hard- und Software, von der rechtlich sicheren Grundlage für deren Verwendung und natürlich von der Höhe und Kalkulierbarkeit der Entwicklungskosten. Mit der Verwendung von gehen Nutzer und Anwender in jeder Hinsicht auf Nummer sicher. Sie bekommen mit einen fertigen Safety- Stack, der sich bereits in jahrelangem Einsatz bewährt hat. Im Gegensatz zu einer Eigenentwicklung entfallen hohe Entwicklungskosten, Zeitaufwand und die Notwendigkeit, entsprechendes Know-how vorzuhalten. Daneben minimiert sich durch die Verwendung von, das bereits vom TÜV zertifiziert wurde und sich in der Norm IEC befindet, das Entwicklungsrisiko. Nicht zuletzt genießen Anwender auch in rechtlicher Hinsicht größtmögliche Investitionssicherheit, da unter der Open- Source-Lizenz BSD verfügbar ist. 4mal schneller = 16fach höhere Produktivität mit Failsafe over EtherCAT Querverkehr erhöht die Sicherheit: Während bei einem Netzwerk mit Querverkehr (links) die Safety-Knoten direkt miteinander kommunizieren können, läuft bei Netzwerken ohne Querverkehr (rechts) die Kommunikation immer über den Master und den Safety- Master. In der Folge kommt es zu vierfachen Signallaufzeiten und einer Verzögerung des Nothalts Safe PLC Safe Motion POWERLINK Master X 1 Safe Sensor Task: (X) Safe Node 1 has to send data to Safe Node 2 Solution: (1) Safe Node 1 sends data to Safe Node 2 Safe PLC Safe Motion 3 EtherCAT Master X Safe Sensor Task: (X) Safe Node 1 has to send data to Safe Node 2 Solution: (1) Safe Node 1 sends data EtherCAT Master (2) EtherCAT Master relays data to Safety Master (3) Safety Master sends data to EtherCAT master (4) EtherCAT master relays data to Safety Node2

7 FACTS Das Magazin zum Standard special 7 Einfach ist sicherer: Wie Querverkehr die Sicherheit Ihrer Maschine erhöht. distance [mm] faster reaction time with 0,5 distance [mm] ,5 1 1,5 2 2,5 3 time [s] s [mm] v [m/s] conventionel concept increased productivity with 1 0,9 0,8 0,7 0,6 0,5 0,4 0,3 0,2 0,1 s [mm] v [m/s] velocity [m/s] Da nur die Anwendungsschicht spezifiziert, hängen die Leistungs fähigkeit und die Reaktions geschwin digkeiten eines sicheren Netzwerks, das mit diesem Sicherheitsprotokoll realisiert wurde, vom ver wendeten Transportprotokoll ab. Das Transportprotokoll gibt die verfügbare Bandbreite, die erreichbaren Zykluszeiten und funktionale Eigenschaften vor, zum Beispiel, ob das sichere Netzwerk Hotplug-fähig ist oder die Datenkommunikation per Querverkehr beherrscht. Obwohl die Reaktionszeit der Sicherheitslösung auch durch die Kürze der Zykluszeiten vorgegeben ist, leistet zum Beispiel die Querverkehrfähigkeit einen entscheidenden Beitrag zur Performance des sicherheitsgerichteten Systems. Querverkehr ist eine originäre Eigenschaft des Ethernet-Standards und bezeichnet die Fähigkeit der Teilnehmer, in einem Netzwerk ohne Umweg über einen Master miteinander zu kommunizieren. Bei sicher heitsgerichteten Safety-Netzwerken ermöglicht Querverkehr nicht nur eine dezentrale Ankopplung der Safety-Controller: In Gefahrensitua tionen bedeutet die einfache und direkte Kommunikation, wie sie durch Querverkehr ermöglicht wird, einen Vorteil hinsichtlich der Reaktionsgeschwindigkeit. Da der Nothalteweg (siehe Grafik) einer Achse in quadratischer Funktion von der Fehlerreaktionszeit und der negativen Beschleunigung abhängt, ergibt sich bei einer Vervierfachung der Signallaufzeit ein 16-fach längerer Nothalteweg. Fehlerreaktionszeit bei sicherem Betriebshalt: Schon minimale Änderungen der Reaktionszeit ziehen fatale Änderungen der Nothaltestrecke nach sich Vorteile für Maschinenbauer nn Freie Wahl der Sicherheitssensorik nn Schnellere Reaktionszeiten nn Kürzere Sicherheitsabstände nn Höhere Produktivität nn Einfache Inbetriebnahme und Diagnose nn Erleichtert die Umsetzung der Maschinenrichtlinie time [s]

8 8 Special 1/2010 Wie funktioniert zeichnet sich im Wesentlichen durch die Definitionen des Datentransports, durch übergeordnete Dienste für die Konfiguration, aber vor allem durch die Einkapselung der sicherheitsrelevanten Daten in ein extrem flexibles Telegrammformat aus. So nutzt das Protokoll für alle Anwendungen, ganz gleich, ob es Nutzdaten trägt oder ob es der Konfiguration oder zeitlichen Synchronisation dient, ein Frame mit einheitlichem Format. Die Länge des Frames ändert sich ebenso variabel wie ökonomisch mit der Menge der Daten, die es zu transportieren hat. Die Safety-Knoten im Netzwerk erkennen automatisch den Inhalt, wodurch sich die Konfiguration von Frametyp und -länge erübrigt. nn Automatische sichere Parameterverteilung Ein besonderes Highlight von ist die automatische sichere Verteilung von Parametern: Das Protokoll sieht die Speicherung sämtlicher Einstellungen der Sicherheitsanwendungen, wie beispielsweise von Lichtgittern, im Safetycontroller vor. Wird ein Gerät ausgetauscht, lädt der Safety-Controller die hinterlegte Konfiguration automatisch und sicher auf die ausgewechselte Applikation eine erneute manuelle Konfiguration eines ausgewechselten Safety-Geräts er übrigt sich. nn Kein Fehler bleibt unentdeckt überprüft die übermittel ten Dateninhalte mittels Prüfsummenverfahren unablässig auf ihre Vollständigkeit und überwacht die Übertra gungsdauer der Daten. Dabei führen die ex trem kurzen Zykluszeiten zu einer fast verzögerungsfreien Erkennung von Ausfällen. Weil auf diese Weise alle Unregelmäßigkeiten im Datenverkehr registriert werden, stellen auch unsichere Netzwerke keine Einschränkung der Sicherheitsfunktionalität dar. Der folgen de Abschnitt zeigt, welche Übertragungsfehler auftreten können, und erläutert die Mechanismen, mit denen diese Fehler registriert oder vermeidet. nn Fehlerursachen Ein wesentlicher Teil von Datenübertragungsfehlern hat seine Ursachen in der fehlerhaften Weiterleitung durch Gateways. So können beispielsweise Datenwiederholungen auftreten, wenn ein Netzwerk über zwei Gateways mit anderen Netzwerken verbunden ist und beide Gateways die gleichen Daten übertragen. Dagegen kann es zum Verlust von Datenpaketen kommen, wenn ein Gateway Daten entweder gar nicht oder in ein falsches Netzwerk weiterleitet. Wenn Datenpakete aufgrund ihrer Länge in mehreren Teilpaketen versendet werden, besteht das Risiko, dass unterschiedliche Übermittlungswege über verschiedene Gateways zu Vertauschungen oder Fehleinfügungen einzel Measures Faults Time stamp Time monitoring Identifier CRC protection Redundancy with cross checks Distinct frame structures Duplication loss Insertion Incorrect sequence Delay Distortion Mix up of standard and Safety Frames Die Tabelle zeigt alle bekannten Übertragungsfehler und die entsprechenden Fehlererkennungsmechanismen von

9 FACTS Das Magazin zum Standard special 9? ner Paketsegmente führen. Ebenso können Gateways bei hohem Daten aufkommen die Weiterleitung verzögern. Eine andere Ursache von Datenfehlern besteht in elektromagnetischen Störein flüssen, die einzelne Bits kippen, aber auch ganze Informationsab schnitte zerstören können. Und schließlich können in Netzwerken, in denen sowohl Standard- als auch Safety-Daten übertragen werden, sogenannte Maskeraden auftreten, bei denen Standarddaten durch Vertauschungen und Einfügungen vom System als sichere Daten gewertet werden. In der Folge kann es zu schweren Fehlfunktionen kommen. nn Fehlererkennung und -vermeidung Frame Data Payload data area CRC Data CRC subframe 1 Safety Frame subframe 2 Der Safety-Frame wird im Nutzdatenbereich eines Standard-Frames transportiert und besteht aus zwei identischen Unter-Frames, die jeweils mit einer eigenen Prüfsumme gesichert werden Der Zeitstempel gehört zu den wichtigsten Mechanismen von und verhindert Wiederholungen, Ver tauschungen und Verzögerungen. Jedem Datenpaket wird bei seinem Versand die aktuelle Zeit aufgeprägt, wodurch der Empfänger sowohl doppeltes Auslesen vermeidet als auch die zeitliche Reihenfolge verschiedener Pakete sowie Verzögerungen feststellen kann. setzt keine verteilten Uhren voraus; ein spezielles Verfahren synchronisiert die Zeitgeber der Microcontroller in den Teilnehmern verlässlich untereinander. Bei der Zeitüberwachung zur Verhinderung von Fehlern, die durch den Verlust oder die übermäßige Verzögerung von Daten verursacht werden, werden die Knoten ständig auf Lebensfunktion und ordnungsgemäßes Funktionieren überwacht. Außerdem erkennt der Consumer an den Anfragen, dass die Datenverbindung nicht unterbrochen ist. Dieser Watchdog genannte Mechanismus wird bei als software basierte Funktion umgesetzt. Der Identifier schließt Verwechslungen seitens des Empfängers aus: - Frames verfügen über eine eindeutige Kennung, die 8 oder 16 Bit groß ist und aus einem Code besteht, der aus Teilen des Adressfeldes, des enthaltenen Telegrammtypus und des Frametyps gebildet wird. Das zuverlässigste Mittel, um Veränderungen des ursprünglichen Inhaltes zu erkennen, ist das CRC-Verfah ren, bei dem mit einem Schlüssel aus jedem Datensatz eine Prüfsumme gebildet wird, die gemeinsam mit dem Schlüssel dem Daten satz angehängt wird. Diese Prüfsumme kodiert in unver wechselbarer Form den Datensatz. Der Empfänger errechnet aus der Bitfolge und dem Schlüssel den ursprünglichen Datensatz und vergleicht das Ergebnis mit dem nicht kodierten Daten satz. Bei Abweichungen des ursprünglichen Dateninhaltes wird die Nachricht ignoriert. nn Aufbau des -Frames verdoppelt den zu übertra genden Frame und fügt die beiden iden tischen Frames in einem -Frame zusammen. Der -Frame besteht also aus zwei Unterframes mit identischem Inhalt. Jeder Unter-Frame wird mit einer eigenen Prüfsumme gesichert. Der Empfänger vergleicht den identischen Inhalt beider Unter-Frames. Die Wahrscheinlichkeit, dass in zwei Unter-Frames die gleichen Daten verändert bzw. zerstört werden, ist extrem gering und nimmt bei zuneh men der Frame-Länge immer weiter ab. Davon abgesehen dienen selbst im Ausnahmefall immer noch die Prüfsummen als Korrektiv. Das spezielle Format des - Frames aus zwei Unter-Frames mit jeweils eigener Prüfsumme macht Mas ke raden extrem unwahrscheinlich und schließt die irrtümliche Verarbeitung einer maskierten Standardnachricht aus. nn Das - Netzwerk Ein -Netzwerk kann bis zu 1023 Safety-Domänen enthalten, wobei jede Domäne aus bis zu 1023 Knoten, bzw. Geräten bestehen darf. Safety- Domänen können sich über unterschiedliche und inhomogene Netzwerke erstrecken und die darüber verteilten Safety-Knoten in einer Domäne zusammenfassen. Sichere und unsichere Geräte können innerhalb einer Domäne betrieben werden. Gateways erlauben die Kommunikation unter verschiedenen Safety-Domänen. Mit lassen sich Netzwerke hierarchisch und in abgegrenzte Sicher heitszonen unterteilen. Dadurch lassen sich beispielsweise Montagearbeiten in einer Zone durchführen, ohne dass dadurch die Produktion in anderen Zonen in Mitleidenschaft gezogen wird. In jeder Domäne ist ein Safety Configuration Manager für die permanente Überwachung aller Safety- Knoten verantwortlich.

10 Special 1/2010 ergibt sich bei einer Linien-Topologie ein Einfachring und bei einer Ring-Topologie ein Doppelring, der eine redundante Datenübertragung ermöglicht. Querverkehr wird dadurch ermöglicht, dass jeder Teilnehmer über zwei Kommunikationsschnittstellen verfügt: Die Echtzeit-Telegramme durchlaufen sowohl bei der Linien- als auch bei der Ringtopologie jeden Teilnehmer auf dem Hin- und dem Rückweg und werden damit zweimal pro Zyklus bearbeitet. Auf diese Weise können die Geräte ohne Umweg über den Master und innerhalb eines Kommunika tionszyklus direkt miteinander kommunizieren. Neben dem Echtzeitkanal, bei dem ein Zeitschlitzverfahren mit reservierten Bandbreiten die Kollisionsfreiheit gewährleistet, lässt sich bei SERCOS III auch ein Nicht-Echtzeitkanal einrichten. Die Synchronisierung der Teilnehmer erfolgt auf Hardware-Ebene und wird direkt aus dem ersten Echtzeit- Telegramm zu Beginn eines Kommunikationszyklus abgeleitet. Dazu wird das Master-Synchronisations-Telegramm (MST) in das Telegramm eingebettet. Laufzeiten und Laufzeit over SERCOS III Schichtenmodell für over SERCOS III nn SERCOS III SERCOS III ist ein offener, herstellerunabhängiger und frei verfügbarer Standard für digitale Antriebsschnittstellen, der neben der Hardwarearchitektur für die Anschaltungen nicht nur eine Protokollstruktur spezifiziert, sondern auch eine umfangreiche Definition von Profilen einschließt. Bei SERCOS III, der dritten Generation des 1985 im Markt eingeführten SERCOS interface, dient das Standard-Ethernet nach IEEE als Transportprotokoll. Das Kommunikationssystem kommt schwerpunkt mäßig in Motion- Control-basierten Automationssystemen zum Einsatz. Application SERCON 100M/S + Ethernet Dual phy nn Funktionsweise RT Kanäle (primär/sekundär) Querkommunikation MS Kommunikation Synchr. SERCOS III setzt auf der Master- und der Slave-Seite spezifische SERCOS-III- Hardware voraus, die die Host-CPU von allen Kommunikationsaufgaben entlastet und die schnelle Verarbeitung der Echtzeit-Daten und die hardwarebasierte Synchronisierung gewährleistet. Zur Entwicklung der SERCOS-III- Hardware auf FPGA-Basis stellt die SERCOS-Nutzerorganisation einen SERCOS-III-IP-Core zur Verfügung. SERCOS III nutzt ein Summenrahmenverfahren und schreibt die Verkabelung der Netzteilnehmer in einer Linie oder in einem geschlossenen Ring vor. Die Daten werden im Durchlauf bearbeitet, wobei für verschiedene Kommunikationsbeziehungen unterschiedliche Telegramme genutzt werden. Durch die voll-duplex-fähige Ethernet-Verbindung over SERCOS Fieldbus III Working Draft Proposal V0.0.1 EPSG Technical Working Group internal use only Spezifikation Working Draft Proposal over SERCOS Fieldbus III Version EPSG (Ethernet POWERLINK Standardisation Group) 2010

11 FACTS Das Magazin zum Standard special 11 schwankungen, die ihre Ursache in der Ethernet-Hardware haben, werden durch ein hardwarebasiertes Verfahren kompensiert, das eine Ungenauigkeit der Synchronisation von unter 100 nano-sekunden erreicht. Mehrere Netzwerk-Segmente können mit un terschiedlichen Zykluszeiten und dennoch vollständig synchron miteinander betrieben werden. PLC nn Organisation Für die Weiterentwicklung der Technologie und die weltweite Einhaltung des Standards sorgt die SERCOS International e. V. Über 50 Steue rungs- und über 30 Antriebsherstel ler sind Mitglieder in der Nutzeror ganisation. nn Safe Logic Safe Sensor Light curtain nutzt das Prinzip des Black Channels und setzt damit auf das bestehende, unveränderte Sercos III einfach auf. Der bei Sercos III vorhandene direkte Querverkehr wird von für den sicheren zyklischen Datenaustausch genutzt. Die Übertragung von SSDOs findet im Non-Real-Time (NRT)- Kanal statt.. Über die Sercos-III-Funktionsprofile (FSP) wird optimal angedockt. Safe Motion Safe I/O Die over Sercos III Spezifikation enthält die komplette Beschreibung von Mechanismen und Funktionen. e-stop Typische Ring-Topologie eines sicheren SERCOS-III-Netzwerks

12 Special 1/2010 over EtherNet/IP nn EtherNet/IP EtherNet/IP ist ein offener industrieller Standard, der von Allen-Bradley (Rockwell Automation) und der ODVA (Open DeviceNet Vendor Association) entwickelt und im Jahr 2000 veröffentlicht wurde. Bei dem Ethernet Industrial Protocol handelt es sich im Prinzip um das bereits von ControlNet und DeviceNet genutzte Anwendungsprotokoll CIP (Common Industrial Protocol), das auf das Transportprotokoll Ethernet portiert wurde. EtherNet/IP ist besonders auf dem amerikanischen Markt stark vertreten und wird häufig in Verbindung mit Rockwell-Steuerungen eingesetzt. nn Funktionsweise EtherNet/IP läuft auf Standard-Ethernet-Hardware und nutzt zur Datenübertragung sowohl TCP/IP als auch UDP/ IP. Durch die vom CIP-Protokoll unterstützte Producer-Consumer-Funktionalität stehen mit EtherNet/IP unterschiedliche Kommunikationsmechanismen zur Verfügung, wie zum Beispiel zyklisches Polling, zeit- oder ereignisgesteuerte Auslösung, Multicastoder einfache Punkt-zu-Punkt-Verbindungen. Das Anwendungsprotokoll CIP unterscheidet zwischen impliziten E/A-Nachrichten und expliziten Frage/Antwort-Telegrammen zur Konfiguration und Datenerfassung. Während explizite Nachrichten in TCP- Frames eingebettet werden, werden Daten für Echtzeitanwendungen wegen des kompakteren Formats und over EtherNet/IP Fieldbus Working Draft Proposal V0.0.1 EPSG Technical Working Group internal use only Spezifikation Working Draft Proposal over EtherNet/IP Fieldbus Version EPSG (Ethernet POWERLINK Standardisation Group) 2010 kleineren Overheads per UDP versendet. Zeit kritische Daten erhalten durch ein VLAN-Flag im Header des Ethernet- Schichtenmodell für over EtherNet/IP Application Application CIp Data Management Services Explicit Messages, I/O Mssages CIp Message Routing, Connection Management Transport TCp Encapsulation UDp Network Ip Data link EtherNet CSMA/CD physical EtherNet physical layer

13 FACTS Das Magazin zum Standard special 13 Frames eine Priorisierung. Switches, die den Mittelpunkt der sternförmigen Netzwerktopologie bilden, verhindern Datenkollisionen der über Punkt-zu- Punkt-Verbindung angeschlossenen Geräte. EtherNet/IP erreicht typischerweise weiche Echtzeit mit Zykluszeiten um die 10 Millisekunden. Durch die derzeit noch nicht verfügbare Protokollerweiterung CIPSync und CIPMotion und die präzise Synchronisierung der Teilnehmer durch verteilte Uhren (entsprechend der IEEE-Norm 1588) sollen genügend kleine Zykluszeiten und Jitter zur Ansteuerung von Servomotoren erreicht werden. PLC Switch nn Organisation Safe Logic Safe Sensor Die CIP-Technologie wird gemeinsam von den Organisationen Open Device Net Vendors Association (ODVA) und ControlNet International gepflegt und weiterentwickelt. nn Safe Motion Safe I/O Light curtain Das Black-Channel-Prinzip von ermöglicht ein einfaches Aufsetzen auf EtherNet/IP. nutzt bei EtherNet/IP die Möglichkeit, Verbindungen über eigene Assemblies aufzubauen. Darüber läuft dann die sichere Kommunikation. Dabei funktionieren die Safety Devices gleichzeitig als Producer und als Consumer und können damit Sicherheitsdaten im Netzwerk mithören. Alle Details sind in der over EtherNet/IP-Spezifikation dokumentiert. Typische Stern-Topologie eines sicheren EtherNet/IP-Netzwerks e-stop

14 Special 1/2010 over Modbus-TCP nn Modbus-TCP Das Modbus-Protokoll wurde bereits 1979 vom US-amerikanischen SPS- Hersteller GouldModicon entwickelt (der heute zu Schneider Electric gehört) und gilt als eines der ersten Feldbussysteme. Das offene Protokoll, über das Steuerungen und Geräte unterschiedlicher Hersteller kommunizieren können, wurde zu einem Quasi- Industriestandard. Als reines Anwendungsprotokoll ist Modbus unabhängig vom Übertragungsmedium: So nutzt Modbus-TCP, das von Schneider Automation initiiert wurde, dieselben Dienste und dasselbe Objektmodell wie die ursprünglichen Modbus-Varianten Modbus ASCII, Modbus RTU (asynchrone Übertragung über RS-232 oder RS-485) oder Modbus Plus (Token Passing), verwendet aber Ethernet als Transportprotokoll und versendet die Daten in TCP/IP-Paketen. nn Funktionsweise Anders als beim Standard-Ethernet wird bei Modbus-TCP der Zugriff der Teilnehmer auf das Netz nicht per CSMA/CD-Verfahren in der Sicherungsschicht, sondern nach dem Client/Server-Prinzip in der Anwenderschicht gesteuert. Das heißt, dass jedes Gerät im Netz eine eindeutige Adresse zugewiesen bekommt und nur senden darf, wenn es nach einer entsprechenden Anfrage beim Master explizit die Aufforderung erhält. Die versendeten Parameter und Daten werden dabei nach dem Encapsulation-Prinzip in den Nutzdatencontainer eines TCP-Telegramms eingebettet. Dabei bekommen die Nutzdaten einen Modbus Application Header (MBAP), der dem Server die eindeutige Interpretation der empfangenen Modbus-Parameter und Befehle ermöglicht. Pro TCP/IP-Telegramm over Modbus-TCP Fieldbus Working Draft Proposal V0.0.1 EPSG Technical Working Group internal use only Spezifikation Working Draft Proposal over over Modbus-TCP Fieldbus Version EPSG (Ethernet POWERLINK Standardisation Group) 2010 darf nur ein Modbus-Anwendungstelegramm eingebettet werden. Wie alle TCP-basierten Protokolle (TCP steht für Transmission Control Protocol) arbeitet auch Modbus-TCP Schichtenmodell für over Modbus-TCP layer 7 layer 6 layer 5 Mapping MODBUS <> TCp/Ip MODBUS Application protocol Specification (available for free on MODBUS Messaging Implementation Guide (available for free on layer 4 TCp IETF RFC 793 layer 3 Ip IETF RFC 791 layer 2 Ethernet MAC layer IEEE / IEEE / Ethernet II layer 1 Ethernet physics

15 FACTS Das Magazin zum Standard special 15 verbindungsorientiert, was bedeutet, dass vor der Datenübertragung zwischen Master und Slave eine zuverlässige Verbindung geschaltet wird, die garantiert, dass die Daten vollständig und in der richtigen Reihenfolge ankommen. Bei stehender Verbindung können Client und Server beliebige Mengen an Nutzdaten übertragen. Bei der zyklischen Übertragung von Einund Ausgangsdaten bleibt die Verbindung zwischen Client und Server permanent bestehen, für Servicedaten wird sie nur für die Dauer der Übertragung aufgebaut. Server und Client können gleichzeitig mehrere TCP/IP- Verbindungen aufbauen. Safe Logic PLC Safe Sensor nn Organisation Die Modbus Organization, Inc. (Modbus-IDA) ist in den USA ansässig und vertritt die Interessen von Anwendern und Anbietern von Geräten die Modbus-TCP unterstützen. nn Safe Motion Safe I/O Light curtain Wie für alle Busse gilt auch für Modbus- TCP: Das Black-Channel-Prinzip trennt Übertragungsmechanismen vom Si cherheitslayer und tastet damit die eigentliche Modbus-Mechanik nicht an. Modbus auf Ethernetbasis ist nicht nur auf TCP/IP-Kommunikation beschränkt, sondern läuft auch über UDP/IP. Diesen Umstand nutzt. Azyklische Daten werden mittels TCP/IP-Frames gesichert übertragen. Zyklische Daten hingegen, die aufgrund der Sicherungsmechanismen von sowieso wiederholt werden, setzen auf UDP/ IP auf. Beispiel für sicheres Modbus-TCP-Netzwerk e-stop In der over Modbus-TCP- Spezifikation sind alle Details spezifiziert.

16 Special 1/2010 over POWERLINK layer 7 layer 6 layer 5 layer 4 nn POWERLINK Das industrielle Echtzeit-Ethernet- Protokoll POWERLINK, das 2001 von B&R entwickelt wurde, zeichnet sich durch Zykluszeiten im µ-sekundenbereich, universelle Einsatzfähigkeit und maximale Flexibilität in der Netzwerkkonfiguration aus. Als komplett patentfreies, herstellerunabhängiges und rein software-basiertes Echtzeitsystem, das seit 2008 auch als kostenfreie Open-Source-Version verfügbar ist, benötigt POWERLINK keine proprietäre Hardware und garantiert seinen Nutzern Unabhängigkeit von Lizenzen und einzelnen Herstellern. POWERLINK integriert zum einen vollständig die CANopen-Mechanismen und folgt andererseits zu 100% dem Ethernet- Standard IEEE Damit verfügt POWERLINK über sämtliche Features des Standard-Ethernets einschließlich Object Dictionary pdo/sdo Command Querverkehr, Hotplug-Fähigkeit und freier Wahl der Netzwerk-Topologie. nn Funktionsweise over POWERLINK Fieldbus Working Draft Proposal V0.0.1 EPSG Technical Working Group internal use only Spezifikation Working Draft Proposal over over POWERLINK Fieldbus Version EPSG (Ethernet POWERLINK Standardisation Group) 2010 Bei POWERLINK wird der isochrone Datenaustausch durch eine Mischung aus Zeitschlitz- und Pollingverfahren erreicht. Für die Koordination bekommt eine SPS oder ein Industrie-PC die Funktion eines sogenannten Managing Nodes (MN) zugewiesen, der den Zeittakt zur Synchronisation aller Geräte vorgibt und die zyklische Datenkommunikation steuert. Alle anderen Geräte fungieren als Controlled Nodes (CN). Innerhalb eines Taktzyklus sendet der MN PollRequest genannte Anfragen in festgelegter Reihenfolge an alle CNs. Jeder CN antwortet unmittelbar auf die Anfrage mit einer PollResponse, die alle anderen Teilnehmer mithören können. Ein POWERLINK-Zyklus besteht aus drei Abschnitten: In der Start Period sendet der MN einen Start of Cycle Frame (SoC) an alle CNs, der die Geräte synchronisiert. Der Jitter, also die Ungenauigkeit durch Taktzittern, liegt dabei bei ca. 100 Nanosekunden. Im zweiten Abschnitt, der Cyclic Period, erfolgt der zyklische isochrone Datenaustausch. Durch Multiplexing wird in dieser Phase eine optimale Nutzung der Bandbreite erreicht. Mit dem dritten Abschnitt beginnt die asynchrone Phase. Sie steht der Übertragung größerer und nicht-zeit kritischer Datenpakete zur Verfügung. Diese Daten, zum Beispiel layer 3 powerlink Data link layer layer 2 layer 1 Ethernet physics Schichtenmodell für over POWERLINK

17 FACTS Das Magazin zum Standard special 17 Anwenderdaten, werden auf die asynchronen Phasen mehrerer Zyklen verteilt. POWERLINK unterscheidet zwischen Echtzeit-Domänen und Nicht-Echtzeit- Domänen. Da die Datenübertragung der asynchronen Phase Standard-IP- Frames unterstützt, trennen Router die Daten sicher und transparent von den Echtzeit-Domänen. PLC nn Organisation Die Ethernet POWERLINK Standardization Group (EPSG) wurde 2003 als unabhängige und demokratisch organisierte Organisation von führenden Unternehmen der Antriebs- und Automatisierungstechnik mit dem Ziel gegründet, die POWERLINK-Technologie zu standardisieren und weiterzuentwickeln. Die EPSG kooperiert mit führenden Standardisierungsorganisationen wie beispielsweise der CAN in Automation (CiA) oder der IEC sowie mit dem Open Source Automation Development Lab (OSADL). Safe Logic Safe Motion Safe Sensor Safe I/O Light curtain nn setzt auch bei POWER LINK einfach auf, ohne dass die Basis verändert wird. POWERLINK bietet echten Querverkehr. nutzt diese Funktion für kürzeste sichere Reaktionszeiten aus. Im asynchronen Kommunikationskanal von POWERLINK läuft die gesamte Kommunikation für Hochlauf und Parametrierung des Systems. e-stop Alle Mechanismen, Funktionen und alle Möglichkeiten von sind in der over POWERLINK Spezifikation beschrieben. Beispiel für sicheres POWERLINK-Netzwerk, grundsätzlich sind alle denkbaren Topologien möglich

18 18 Special 1/2010 über Ihren Feldbus Neben den am Markt einschlägig bekannten Feldbussen und Industrial- Ethernet-Systemen sowie den weniger verbreiteten, aber spezifizierten Kommunikationsprotokollen sind bei vielen Automatisierungsanwendungen auch individuell angepasste Bussysteme für den Hausgebrauch im Einsatz. Solche Unikate, die in unterschiedlichsten Industriezweigen ihren Dienst versehen, sind häufig weder standardisiert noch zertifiziert. Doch selbst für solche Umgebungen bietet sich open SAFETY als geeignete und unkomplizierte Sicherheitslösung an. Denn welches Transportprotokoll auch im mer zugrunde gelegt wird, spielt für aufgrund des echten Black-Channel-Prinzips, das dem Sicherheitsprotokoll zu eigen ist, keine Rolle. nn TÜV-zertifiziertes Protokoll auch für SIL4 einsetzbar nn Ausgereifte Technologie keine Risiken für Redesigns oder Zertifizierungen nn Offene Lösung für alle Feldbusse und Ethernet- Protokolle keine Eigenentwicklung für den Safety-Layer notwendig nn Schnellstmögliche Time-to-Market nn Investitionssicherheit rechtliche und technische Unabhängigkeit nn Bereits im Einsatz mit High-End-Applikationen erprobt (z. B. mit Safe Motion control und in der Prozessautomatisierung) nn Garantierte Inter opera bi li tät und einfache Zertifizierung nn TÜV zertifizierter Conformance-Test nn IEC Generisches OSI-Modell Da die übermittelten Dateninhalte unablässig auf ihre Vollständigkeit überprüft, mit speziellen Mechanismen die Übertragungsdauer ständig überwacht und jeden Übertragungsfehler sofort registriert, können layer 7 layer 6 layer 5 layer 4 layer 3 Your Application auch einkanalige, unsichere Transportnetzwerke ohne Einschränkung der Sicherheitsfunktionalität als Kommunikationsbasis verwendet werden. Your Solution nn Was muss der Anwender tun? Anwender, die eine basierte Sicherheitslösung mit ihrem bestehenden Datenkommunikationssystem realisieren wollen, müssen lediglich für die Integration des frei im Internet verfügbaren Sicherheitsprotokolls auf der Anwendungsebene ihres Bussystems sorgen. Wer dabei Hilfe benötigt, wendet sich einfach an die EPSG. Die Grundlage für die Realisierung einer sicheren Datenübertragung wird mit dem bereits TÜV-zertifizierten damit quasi frei Haus geliefert. layer 2 layer 1 Ethernet RS485 CAN USB lvds

19 FACTS Das Magazin zum Standard special 19 Automobilbau OEM und zulieferer Gebäude Bauindustrie Maschinenbau Energie Chemieindustrie Schiffbau Connecting Industries: bietet eine einheitli che Sicherheitslösung für alle Industrien und Branchen Transport Getränke / Nahrungsmittelindustrie Windenergie luft /Raumfahrtindustrie Solartechnik pharma, Kosmetikund Medizinindustrie Safety device without IEC61508 Process IEC61508 process Definition IEC61508 process Setup Safety Product product Design product Implementation Safety Network Design Safety Network Implementation product Validation Network Conformance Testing IEC61508 product Certification Safety device with IEC61508 Process Workshop IEC61508 process Setup Safety Product product Design product Implementation Reference Design integration product Validation conformance IEC61508 product Certification Time-to-Market als Erfolgsbasis! reduced time to market with 1/2010 FACTS Das Magazin zum Standard Impressum»POWERLINKFACTS«ist ein Informationsdienst der EPSG ETHERNET POWERLINK STANDARDIZATION GROUP, POWERLINK-Office, Kurfürstenstraße 112, Berlin. Konzept, Gestaltung, Projektmarketing und Koordination: FR&P Werbeagentur Reisenecker & Broddack GmbH, Kurfürstenstraße 112, Berlin Tel.: +49(0) , Fax: -86 Objektleitung: A.-Christian Broddack, Erich Reisenecker Koordination Redaktion/Produktion: Heide Rennemann-Ihlenburg Redaktion: gii die Presse-Agentur GmbH, Immanuelkirchstr. 12, Berlin Tel.: +49(0) , Fax: -29 Chefredaktion: Rüdiger Eikmeier Redaktion: Heiko Wittke Redaktionsassistenz: Asja Kootz Urheberrechte Titel und Layout von»powerlink- FACTS«sind urheberrechtlich geschützt. Nachdruck, auch auszugsweise, nur mit vorheriger Genehmigung der Redaktion.

20 Sind sie sicher? MM-D Powerlink Facts Frühjahr 2010 deutsch Der weltweite Standard für integrierte Sicherheitstechnik spart aufwendige Parallelverkabelung, ermöglicht eine schnellere Inbetriebnahme und höchste Taktzahl durch effiziente Kommunikation. bietet maximale Produktivität bei zertifizierter Sicherheit. Garantiert kompatibel zu Ihrer Industrial Ethernet Lösung.