Ausfallsicherer Anlagenbetrieb

Dipl.-Ing. Richard Fischer

Die Ibn-Zahr Saudi-European Petrochemical Company in Al Jubail in Saudi-Arabien gehört zu den größten Polypropylen-Produzenten der Welt. Das Unternehmen ist Teil der Sabic (Saudi Basic Industries Corporation). Polypropylen dient vor allem zur Produktion von Folien, Containern und robusten Flaschen, zum Beispiel für Chemikalien. Nach eigenen Auskünften produziert Sabic jährlich 900 000 t Polypropylen. In der Anlage von Ibn-Zahr entstehen in vier Extrudern etwa 40 t Granulat/h. Aus dieser Menge lassen sich etwa 1,5 Mio. 1-l-Flaschen herstellen. Vom Extruder wird das Granulat in Mischsilos transportiert, in denen es entgast und homogenisiert wird. Danach gelangt es in 52 Lagersilos, die mehrfach miteinander verbunden sind, und von dort zu Absackmaschinen und LKW-Beladestationen.

Die bestehende Anlage in Al Jubail mit rund 2000 Ein- und Ausgängen – bisher vom Leitsystem eines amerikanischen Herstellers gesteuert – wurde auf etwa 4000 Ein- und Ausgänge erweitert. Die Gesamtlagerhaltung wurde von den Unternehmen Coperion Waeschle und Petronik Schaltanlagenbau konzipiert und installiert. Das Aufgabengebiet von Waeschle umfasste dabei Instrumentierung, Anlagenauslegung, Mechanik und Montageaufsicht. Petronik war für den Schaltanlagenbau, die Visualisierung des Prozesses, dessen Programmierung und gemeinsam mit Waeschle für die Inbetriebnahme der Anlage zuständig. Die Steuerung wurde durch ein Simatic-S7-System ersetzt. Vorhandene Rangierverteiler wurden übernommen. Die neue Steuerung sollte hochverfügbar sein und die Anlage sowohl von zwei übergeordneten Leitsystemen als auch über WinCC-Stationen bedient werden. Des Weiteren war Redundanz eine wesentliche Forderung des Kunden. Ausfallsicherheit der gesamten Anlage musste gewährleistet sein.

Petronik löste die Aufgabe mit einem hochverfügbaren Controller S7-400H. Der Simatic Controller steuert sämtliche Aufgaben hinter dem Extruder: Er startet und stoppt Kompressoren und Antriebe, überwacht Füllstände und Druck, stellt Weichen, wählt Wege zum vorgegebenen Ziel, prüft Klappen und verschiedenste Zustände. Für die Aufgaben Bedienen und Beobachten wurden mehrere WinCC-Stationen mit steuerungsseitig redundanten Kommunikationsprozessoren via Industrial Ethernet angekoppelt. Neben der konzeptionellen Beratung entwarfen die Petronik-Ingenieure auch die Bedienoberfläche für WinCC, projektierten und implementierten das System und programmierten die Simatic S7 sowie das gesamte Simulationssystem.

Innerhalb von wenigen Tagen stellte Petronik die Altanlage auf die Siemens-Steuerung um und nahm sie wieder in Betrieb. Nach einer ersten Simulation im heimischen Büro folgte zwei Wochen später ein Test in den USA. Parallel wurden die Darstellungen der alten Steuerung komplett neu entwickelt und zusätzlich zur WinCC-Bedienoberfläche in das Leitsystem kopiert. Dann wurde der Simatic Controller an das Leitsystem angeschlossen. Einen Monat vor der Inbetriebnahme bauten die Ingenieure mit Ersatzteilen nochmals eine Simulation auf. Kleine Fehler wurden behoben, letzte Änderungen vorgenommen und die späteren Betreiber trainiert. Alle Ein- und Ausgänge konnten deshalb in drei Tagen und Nächten komplett umverdrahtet und getestet werden. Nun ist die gesamte Anlage vom alten und vom neuen Leitsystem aus bedienbar. Sie läuft komplett über Simatic Controller und WinCC. Dauerte es vorher mindestens 15 min, um eine Förderung anzufahren, genügen heute wenige Sekunden Arbeit am Bildschirm, und nach weiteren 2 min läuft alles.

Die ideale Verfügbarkeit von 100% kann in der Praxis nicht erreicht werden, da sowohl mechanische als auch elektromechanische und elektronische Komponenten einem statistischen Ausfallverhalten unterworfen sind. Durch verschiedene Maßnahmen ist es aber möglich, sehr nah an die 100% Verfügbarkeit heran zu kommen. Bei der S7-400H wurden gleich mehrere davon getroffen. Eine erhöhte Zuverlässigkeit wird durch den redundanten Aufbau, die ereignisgesteuerte Synchronisation und umfangreiche Selbsttests erreicht. Aus der komfortablen Systemdiagnose, fehlerlokalisierenden Selbsttests und die Möglichkeit der Reparatur im laufenden Betrieb ergeben sich verkürzte Reparaturzeiten. Das System kann auch als fehlersichere Steuerung eingesetzt werden. Mit Hilfe der umfangreichen Selbsttestmechanismen der CPU ist nur eine spezielle Software (F-Tool) und fehlersichere Eingabe- und Ausgabebaugruppen nötig. Der Aufbau kann sowohl redundant (S7-400FH) als auch nicht redundant (S7-440F) bei gleicher Fehlersicherheitsklasse (SIL 1-3 bzw. KAT 4) erfolgen.

Der Grundaufbau der S7-400H besteht aus zwei CPUs, die entweder auf zwei Standardbaugruppenträgern oder auf einem segmentierten Baugruppenträger aufgebaut sind. Bei dem Einsatz von Standardbaugruppenträgern können beide Teilgeräte auch getrennt bis zu 500 m weit voneinander entfernt untergebracht werden. Der Informationsaustausch zwischen den CPU erfolgt über High-Speed-Synchronisationsmodule, die direkt auf die CPU gesteckt werden. Als störsicheres Übertragungsmedium wurden Lichtwellenleiter ausgewählt. Die Peripherie ist über einen redundant aufgebauten Profibus-DP angeschlossen. Die Anschaltung der Peripherie-Stationen ist ebenfalls redundant aufgebaut.

Bei einer redundanten Struktur reicht es natürlich nicht aus, dass ein zweites Gerät zur Verfügung steht. Das zweite Gerät muss erstens richtig erkennen, wann es einspringen soll, und zweitens muss die Übernahme schnell und unbemerkt erfolgen. Dieser Vorgang kann auf verschiedene Weise gelöst werden. Die S7-400H arbeitet nach dem Prinzip der aktiven Redundanz im Hot-stand-by-Betrieb. Bei diesem Redundanzprinzip sind beide redundante Teilgeräte ständig aktiv. Im Fehlerfall übernimmt das intakte Gerät allein die Steuerung des Prozesses. Um die Stoßfreiheit bei der Umschaltung in jeder Situation zu gewährleisten, ist einiges an Know-how bei dem Hersteller des Automatisierungsgeräts erforderlich. Beide Geräte müssen zu jedem Zeitpunkt über die gleichen Daten und Programme verfügen. Außerdem müssen zum Beispiel Timer in beiden Geräten synchron laufen, Programmänderungen oder Daten, die von einem überlagerten PC kommen, müssen bei beiden Geräten parallel und zum gleichen Zeitpunkt wahrgenommen werden. Bei der S7-400H wurde dieses Problem mit der ereignisgesteuerten Synchronisation gelöst. Bei diesem Verfahren erfolgt eine Synchronisation bei allen Ereignissen, die einen unterschiedlichen internen Zustand der Teilgeräte zur Folge haben könnten. Außer den Befehlen, bei denen neue Informationen von außerhalb des Systems wahrgenommen werden, wie bei der Aktualisierung des Prozessabbildes, dem Direktzugriff auf die Peripherie, der Änderung von Daten durch Kommunikationsfunktionen oder bei der Bearbeitung von Interrupts und Alarmen, wird auch die Aktualisierung der Timer synchronisiert. Die Synchronisation erfolgt damit genau an den Stellen, wo beide Teilgeräte auseinanderlaufen könnten. Damit stellt die ereignisgesteuerte Synchronisation den idealen Kompromiss zwischen zu wenig (Gefahr einer unsanften Übernahme) und zuviel Synchronisation (hohe zeitliche Belastung) dar. Der zweite Vorteil ist, dass sich der Programmierer keine Gedanken über die Synchronisation oder über den Datenabgleich beider Teilgeräte zu machen braucht. Diese Funktionen werden vollständig vom Betriebssystem übernommen.

Durch Selbsttests werden die defekten Komponenten ermittelt, so dass sie gezielt ausgetauscht werden können. Da die Reparatur für die Verfügbarkeit einen wichtigen Faktor darstellt, wurde bei der Simatic S7-400H besonders großer Wert darauf gelegt, dass Reparaturen online durchgeführt werden können. So lassen sich zum Beispiel die Kommunikationsprozessoren und alle Ein- und Ausgabebaugruppen unter Spannung tauschen. Nach der Reparatur werden sie von der CPU automatisch mit allen benötigten Parametern versorgt. Die CPUs lassen sich ohne Programmiergerät austauschen. Die getauschte CPU wird nach dem Starten automatisch mit allen aktuellen Daten versorgt.

Die S7-400H wurde so konzipiert, dass sie voll in das S7-Umfeld integriert ist. Außer der CPU und dem Synchronisationsmodul wird eine S7-400H aus Standard-S7-Komponenten aufgebaut. Außerdem wird sie genau wie eine Standard-S7-400 programmiert. In den Fällen, in denen die Kommunikationsfunktion unverzichtbar ist, kann die S7-400H mit Komponenten wie PC oder anderen S7-400H hochverfügbar kommunizieren. Die Verfügbarkeit gegenüber Standardverbindungen wird durch redundante Verbindungen erreicht, auf die bei Störung der bereits aktiven Verbindung automatisch umgeschaltet wird. Dadurch hat die Leitungs-, Kommunikationsprozessor-, und Verbindungsredundanz keine Rückwirkung auf das Anwenderprogramm.