Übersicht der Technologie Safety over EtherCAT. EtherCAT Technology Group

Transkript

1 Übersicht der Technologie EtherCAT Technology Group

2 Technologie Architektur Begriffe State-Machine Telegrammstruktur Zusammenfassung s-test Anwendungsmöglichkeiten Master-Master Konfiguration Diagnosemöglichkeiten 2

3 Funktionale Sicherheitstechnik Material Zuführung Muting Notaus /-stop Bedienung Diagnose Sicher begrenzte Geschwindigkeit Zwei-Hand Kontrolle Absicherung des Arbeitsraums Schuztür mit Zuhaltung Einrichtung Wartung Schutzgitter 3

4 Moderne Sicherheitskonzepte 4

5 Vorteile sicherer Bussysteme Schnelle Reaktion Anwendbar auch für hoch dynamische Antriebsapplikationen Vereinfachtes System Bessere Übersichtlichkeit Vereinfachte Verkabelung Einfache Erweiterung des Systems Bessere Diagnose und damit: Höhere Sicherheit! Vorgetestete Sicherheitsfunktionen der Geräte entsprechend der geforderten Standards Niedrigere Kosten! 5

6 Normen zu Sicherheitsbussystemen BGIA Prüfgrundsatz GS-ET-26 Prüfgrundsatz des IFA (Institut für Arbeitsschutz der Deutschen Gesetzlichen Unfallversicherung) zur Bewertung von sicheren Bussystemen Grundlage der IEC IEC DIGITAL DATA COMMUNICATIONS FOR MEASUREMENT AND CONTROL Part 3: Profiles for functional safety communications in industrial network - General rules and profile definition 6

7 IEC

8 IEC Black Channel Ansatz Safety Communication Layer Sichere Logische Verbindung Safety Communication Layer Application Layer (opt.) Black Channel Application Layer (opt.) Data Link Layer Gateway Data Link Layer Physical Layer Application Layer (opt.) Data Link Layer Physical Layer Physical Layer Feldbus, Rückwandbus Feldbus Repeater, Switch Feldbus June 2014 EtherCAT Technology Group Safety-over-EtherCAT 8

9 Verteilung der Restfehlerrate Sicherheitsfunktion Logische Verbindung 1% Logische Verbindung Sensor(en) Bus Logik Bus Aktuator(en) Restfehlerrate der Sicherheitsfunktion im gesamten System: PFH Safetyfunktion < /h bei SIL 3 (IEC 61508) In der IEC wird gefordert, dass auf den Kommunikationskanal nicht mehr als 1% der Restfehlerrate entfällt. Das entspricht einer zulässigen Restfehlerrate von: PFH Bus < 10-9 /h für SIL 3 Mehr als Jahre Datentransport ohne unerkannten Fehler! PFH SafetyFunction = PFH Sensor + PFH Logic + PFH Actor + PFH LogicalConnection 9

10 (FSoE) bezeichnet einen sicheren Kommunikationslayer, mit dem sichere Prozessdaten zwischen Geräten übertragen werden können. FSoE ist eine offene Technologie Support von der EtherCAT Technology Group (ETG) Internationaler Standard innerhalb der IEC Einhaltung des Safety-Integrity-Level SIL3 ist vom TÜV Süd Rail GmbH bestätigt 10

11 PHY Magnetics RJ45 Hardware Architektur Einkanaliges Standard-Kommunikations-System Redundante Hardware für die sicherheitsrelevante Applikation und das Sicherheitsprotokoll Controller A Safety Protocol Controller A Safety Protocol Gerät Controller B Safety Protocol Controller B Safety Protocol In Port RJ45 Magnetics PHY EtherCAT Slave Controller Out Port 11

12 Software Architektur EtherCAT wird als schwarzer Kanal betrachtet, enthält sichere und Standard-Daten. Safety Applikation Gerät 1 Standard Applikation Standard Applikation Gerät 2 Safety Applikation Safety over EtherCAT Protokoll Safety over EtherCAT Protokoll Safety over EtherCAT EtherCAT Kommunikations-Schnittstelle EtherCAT Kommunikations-Schnittstelle EtherCAT DLL und AL EtherCAT Telegramm Sicherer Datencontainer (FSoE Frame) 12

13 Systembeispiel Dezentrale Sicherheits-Logik Standard SPS sorgt nur für Datenaustausch Standard SPS Sichere Eingänge Sichere Sensoren Sichere Ausgänge Sichere Antriebe Sicherheitslogik '10/2013 EtherCAT Technology Group 13

14 FSoE Master / Slave Verbindung FSoE Master Verbindungsmaster einer FSoE Connection. Der Master initiiert die Kommunikation. Der FSoE Master sendet einen FSoE Master Frame, er enthält die SafeOutputs. Ein FSoE Master kann einen oder mehrere FSoE Slaves verwalten. SafeOutputs in FSoE Master Frame FSoE Master 14

15 FSoE Master / Slave Verbindung FSoE Slaves SafeInputs in FSoE Slave Frames SafeOutputs in FSoE Master Frames FSoE Slave Verbindungsslave einer FSoE Connection. Der FSoE Slave sendet einen FSoE Slave Frame, wenn er vom FSoE Master einen gültigen FSoE Master Frame erhalten hat. Der FSoE Slave Frame enthält die SafeInputs. Ein FSoE Slave ist genau einem FSoE Master zugeordnet. FSoE Master 15

16 FSoE Kommunikationszyklus FSoE Cycle Der FSoE Cycle besteht aus einem FSoE Master Frame, der von einem FSoE Slave Frame bestätigt wurde. Der FSoE Master schickt einen FSoE Master Frame an den FSoE Slave. Dabei startet er einen Watchdog-Timer zur Überwachung FSoE Master Frame 16

17 FSoE Communication Cycle FSoE Cycle FSoE Slave Frame FSoE Cycle Der FSoE Cycle besteht aus einem FSoE Master Frame, der von einem FSoE Slave Frame bestätigt wurde. Der FSoE Master schickt einen FSoE Master Frame an den FSoE Slave. Dabei startet er einen Watchdog-Timer zur Überwachung Erst nachdem er einen gültigen FSoE Slave Frame zurück bekommen hat, generiert er den nächsten FSoE Master Frame und startet damit einen neuen FSoE Cycle. 17

18 FSoE Watchdog Zeit FSoE Watchdog Zeit FSoE Watchdog Zeit Jeder Teilnehmer überwacht, dass der Partner innerhalb der sicher parametrierten FSoE Watchdogzeit einen neuen FSoE Frame verschickt. Läuft der Watchdog ab, dann wechselt der Teilnehmer in den Zustand Reset. 18

19 FSoE Verbindungen Connection-ID 3 Connection-ID 1 Connection-ID 2 FSoE Connection Bezeichnet eine logische Verbindung zwischen einem FSoE Master und einem FSoE Slave. Es handelt sich um eine systemweit eindeutige Connection-ID. Die Eindeutigkeit muss von einem sicheren Konfigurator oder Verifier überprüft werden. 19

20 FSoE Eindeutige Adressierung FSoE Slave Adresse FSoE Slave Adresse Neben der Connection- ID besitzt jeder FSoE Slave eine systemweit eindeutige 16-Bit FSoE Slave Adresse Diese kann am Gerät eingestellt werden. Beispielsweise durch einen DIP-Schalter Es können Teilnehmer in einem System unterschieden werden. 20

21 FSoE Zustandsmaschine je Connection Reset_ok Reset Für jede FSoE Connection existiert eine FSoE Zustandsmaschine im Master und im Slave. Session_ok Session Der FSoE Master verwaltet eine Zustandsmaschine pro FSoE Slave. Connection Conn_ok Nach einem Power-On befinden sich FSoE Master und FSoE Slave im Zustand Reset. Parameter Param_ok Data Nur im Zustand Data kann der sichere Zustand der Ausgänge verlassen werden. 21

22 FSoE Zustandsmaschine Fehler Session Reset Im Fehlerfall erfolgt ein Wechsel in den Reset- Zustand Master: Bei einem intern erkannten Fehler des Masters (Kommunikationsfehler oder Applikationsfehler) Connection Parameter Slave: Bei einem intern erkannten Fehler des Slave oder bei einem Reset-Tgm. vom Master Data 22

23 HDR FSoE Telegrammstruktur Safety Applikation Gerät1 Standard Applikation FSoE Frame Der FSoE Frame wird als Container in die Prozessdaten des Teilnehmers gemappt. EtherCAT-Telegram Ethernet Header EtherCAT Header 1. Datagram FSoE Protokoll EtherCAT Schnittstelle 2. Datagram Process Data FSoE Frame FSC Jeder Teilnehmer erkennt einen neuen FSoE Frame, wenn sich mindestens ein Bit gegenüber dem letzten FSoE Frame geändert hat Je 2 Byte SafeData wird eine 2 Byte CRC übertragen Es können n sichere Datenbytes (SafeData) übertragen werden CMD Safe Data 0 CRC_0 Safe Data 1 CRC_1 Safe Data n CRC_n Conn ID 23

24 Fehlerbeherrschung Fehlerannahmen Maßnahmen Sequenz Number Watchdog Connection ID CRC Berechnung Wiederholung Verlust Einfügung Falsche Reihenfolge Datenverfälschung Verzögerung Maskerade Wiederkehrende Speicherfehler Falsche Weiterleitung '10/2013 EtherCAT Technology Group 24

25 Eigenschaften Die FSoE Spezifikation enthält keine Einschränkungen bezüglich: Kommunikationsmedium Übertragungsrate Länge der sicheren Prozessdaten Routing via unsichere Gateways, Feldbusse oder Backbones ist möglich, sogar funk-basiert. 25

26 Eigenschaften Das Protokoll ist entwickelt nach IEC Restfehlerrate R (p) < 10-9 /h Geeignet für den Einsatz in Geräten bis SIL 3 Keine Einschränkungen bzgl. des unterlagerten Kommunikationsprotokolls Die Protokoll Spezifikation durch den TÜV SÜD Rail GmbH geprüft und bestätigt. Vollständig zertifizierte Produkte mit Safety over EtherCAT Technologie sind seit 2005 verfügbar Das Protokoll ist in der IEC Functional safety fieldbuses international standardisiert 26

27 Eigenschaften FSoE Frame wird bei EtherCAT in den zyklischen PDOs eingebettet. Minimale FSoE Frame-Länge: 6 Byte Maximale FSoE Frame-Länge: Abhängig von der Anzahl der sicheren Nutzdaten des Slave-Gerätes Das Protokoll ist damit geeignet für sichere I/O als auch für sichere Antriebe Bestätigter Transfer vom FSoE Master zum FSoE Slave und umgekehrt. Sichere Geräteparameter werden im Hochlauf einer Master-Slave Connection übertragen. Watchdog Zeit Gerätespezifische sicherheitsrelevante Parameter für die Slave Applikation 27

28 offene Technologie FSoE ist offengelegt in der ETG.5100 und Teil der IEC Functional Safety fieldbuses Implementierungssupport über die ETG Support bei der Planung, Implementierung und Zertifizierung FSoE Conformance Test Test-Cases zum Nachweis der von FSoE Master und FSoE Slave Geräten sind verfügbar und durch den TÜV abgenommen FSoE Conformance Test Tool für den automatischen Test von FSoE Slave Geräten ist ebenfalls vom TÜV abgenommen. Implementierungen von verschiedenen Geräteherstellern sind verfügbar 28

29 Hersteller (Hersteller, die FSoE Geräte anbieten oder angekündigt haben. 03/2014. Nicht alle Produkte sind bereits verfügbar.) June 2014 EtherCAT Technology Group Safety-over-EtherCAT 29

30 s-test ETG.9001 Policy Spezifiziert die FSoE sregeln FSoE Geräte müssen die folgenden Eigenschaften einhalten: Einhaltung der Standards IEC und/oder relevanter Sektor / Produkt stanards IEC Allgmeiner Teil ETG.5100 Spezifikation EtherCAT Conformance Test Policy (wenn anwendbar) Functional Safety Abnahme des Gerätes durch eine Benannte Stelle (z.b. TÜV, IFA) 30

31 bestanden Geräte Prüfung und Abnahme Wenn anwendbar Hersteller Geräte Entwicklung mit (entsprechend IEC oder relevanter Produktnorm) FSoE Test Center FSoE Conformance Test EtherCAT Test Center EtherCAT Conformance Test EMV Tests (erhöhter Level) EMV Test Lab Overall safety lifecycle process FSoE Test bestanden FSoE Conformance Test bestanden EtherCAT Conformance Test Benannte offizielle Stelle Functional Safety Prüfung und Abnahme '10/2013 EtherCAT Technology Group 31

32 FSoE Conformance Test Tool FSoE Slave FSoE Test cases (XML) EtherCAT Conformance Test Tool (CTT) FSoE Test Results EtherCAT Slave Information ESI (XML-File) EtherCAT SAFETY SLAVE Device under Test EtherCAT Slave FSoE Slave 32

33 Sicherheitstechnik in der modernen Automation Gemischtes Netzwerk für Standard- und Sicherheitsfunktionen Standard-Netzwerk mit einer dezentralen Sicherheitsinsel Separate Netzwerke für Standard- und Sicherheitsfunktionen 33

34 Sicherheitstechnik in der modernen Automation FSoE Master Frame FSoE Slave Frame S M FSoE Slave device FSoE Master device M S Connection-ID 1 Konfigurierte Master-Slave Connections Kommunikation wird über Standard-SPS geroutet 34

35 Sicherheitstechnik in der modernen Automation FSoE Master Frame FSoE Slave Frame S M FSoE Slave device FSoE Master device M S Connection-ID 2 S Konfigurierte Master-Slave Connections Kommunikation wird über Standard-SPS geroutet 35

36 Sicherheitstechnik in der modernen Automation S M FSoE Slave device FSoE Master device S Conn-ID 4 S Conn-ID 3 Conn-ID 1 M S Conn-ID 2 S M Mehrere Safety-Master in einem Netzwerk Sicherheitsgruppen mit Gruppenabschaltung möglich 36

37 Sicherheitstechnik in der modernen Automation S M FSoE Slave device FSoE Master device M S Conn-ID 5 M "Master-Master" Kommunikation möglich, über Master & Slave Implementierung im Gerät Eindeutige Conn-ID Nutzung bei Anlagenverkettung 37

38 Applikation Reifenprüfstände Fa. Seichter 38

39 Applikation Reifenprüfstände Fa. Seichter Kundenvorteile: Einbindung der Sicherheitsfunktionen in das TwinSAFE- System Not-Aus Schutztürüberwachung Kleiner Schaltkasten direkt an der Maschine Optimales Zusammenspiel zwischen Standard- Automatisierungstechnik und Sicherheitstechnik Reduzierung der Engineering- und Hardwarekosten Vereinfachte Verdrahtung Erweiterungen einfach zu integrieren Durchgängige Verwendung einer einzigen Software Ein Editor zur Projektierung der Standard- und der Sicherheitsfunktionen 39

40 EtherCAT Technology Group Dr. Guido Beckmann Ostendstr Nürnberg 40