Rüstzeug für die Zukunft

Andreas Hennecke

Die Vermeidung der häufig sehr fatalen Konsequenzen von Störungen in Prozessanlagen wird durch funktionale Sicherheit in den IEC Standards IEC 61508 für Geräte und IEC 61511 für Prozessanlagen definiert. Bis heute wird zur Übertragung der dazu notwendigen Signale die klassische Interfacetechnologie (4…20 mA) eingesetzt. Ihr Beitrag zur Sicherheit der Funktionskette muss dabei in Betracht gezogen werden, da die elektronischen Komponenten auch zu einer Verfälschung und damit zu einer Beeinträchtigung führen können. Im Vergleich dazu verwenden Feldbussysteme ausschließlich digitale Signale. Telegramme übertragen die Daten, die nach Empfang entweder als richtig oder falsch erkannt und entsprechend behandelt werden. Jedes Telegramm überträgt dazu eine Prüfsumme, die diese Kontrolle ermöglicht. Mit diesen Mechanismen ausgestattet, hat der Feldbus seinen Einzug in die Prozessautomation gehalten und sich dort als zuverlässiges Betriebsmittel etabliert.

Es bietet sich daher an, die durch die funktionale Sicherheit bedingten höheren Anforderungen an die Zuverlässigkeit der übertragenen Daten ebenfalls mithilfe von digitalen Sicherungsmechanismen zu realisieren. Fachgremien haben hierfür die Protokolle FF-SIF (Foundation fieldbus safety instrumented function) und Profi-safe definiert. Das für die Sicherheit relevante Signal wird mit zusätzlichen Mechanismen, wie z. B. einer längeren Prüfsumme, einem Übertragungszähler und Passwörtern ausgestattet. Nutz- und Zusatzdaten werden mithilfe eines „normalen“ Telegrammes übertragen. Sender und Empfänger können die Zuverlässigkeit des übertragenen Datums überprüfen und entsprechend ihren Aufgaben verfahren. Diese Zuverlässigkeit entspricht den Forderungen bis SIL 3.

Die Feldbusinfrastruktur verbindet Leittechnik und Feldgeräte. Sie überträgt physisch die Daten und versorgt Feldgeräte mit Strom. Zur Feldbusinfrastruktur gehören Stromversorgungen, Installationstechnik und Kabel sowie Zubehör wie Terminatoren oder Blitzschutz. In der Regel erfüllt die Infrastruktur auch Aufgaben des Explosionsschutzes. Weil digitale Mechanismen für die Zuverlässigkeit sorgen, darf die Feldbusinfrastruktur als „Tunnel“ oder „schwarzer Kanal“ (engl.: black channel als Ableitung von „black box“) angesehen werden. Sie ist also von der Sicherheitsbetrachtung, die sich damit vereinfacht, ausgeschlossen.

Wichtig ist für den Anlagenbetrieb ausschließlich eine hohe Verfügbarkeit der Feldbusinfrastruktur, die durch verschiedene Maßnahmen konsequent erreicht wird. Die Maßnahmen betreffen

Bei Geräten mit Ex-Zertifizierung werden Bauteile überdimensioniert und konsequent mit hohen Leistungsreserven, z. B. einer geringen thermischen Belastung, ausgelegt. Per se bedeutet also ein Ex-Zertifikat bereits eine hohe Lebenserwartung.

Stromversorgungen enthalten die höchste Anzahl elektronischer Bauteile und sind damit das kritische Element der Kette. Der FieldConnex Power Hub bietet deshalb Redundanz an, bei denen steckbare Module über eine einfache Diode entkoppelt parallel speisen. Lebensdauerverlängernd tragen die Module nur jeweils etwa den halben Laststrom. Jedes der Module kann bei Ausfall seines Redundanzpartners den vollen Laststrom stoßfrei übernehmen. Hierdurch bleibt die Kommunikation ungestört. Die interne Überwachung löst eine Meldung aus. Der Austausch erfolgt werkzeuglos.

Clevere Designs sind typischerweise sehr einfach: Die FieldConnex Segment Protectoren schützen die Hauptleitung vor Kurzschlüssen an der Anschlussleitung, wie sie bei manuellen Eingriffen an Feldgeräten vorkommen können. Ideen wie der T-Stecker ermöglichen die einfache Hintereinanderschaltung und bieten außerdem einen einfach überprüfbaren eindeutigen Platz für den Busabschlusswiderstand.

Der Busabschlusswiderstand verfügt über ein Netzwerk, bestehend aus einem Widerstand und vier Kapazitäten. Bei Ausfall eines Bauteils bleibt die Grundfunktion des Busabschlusses erhalten. Die Feldbusdiagnose kann diesen Defekt sichtbar machen, während die Funktion des Segments noch intakt ist.

Elektromagnetische Verträglichkeit erlaubt Komponenten, starken Belastungen wie Überspannung durch Blitzeinschlag standzuhalten. IEC 61000-4 definiert Prüfungen und ein Klassensystem für den Nachweis elektromagnetischer Verträglichkeit zur Orientierung und Kaufentscheidung. Alle Komponenten der FieldConnex-Reihe erfüllen die Anforderungen der Klasse A und behalten trotz Störungen ihre Funktion bei. Pepperl+Fuchs hat die Baureihen High Density Power Hub und R2 Segment Protector von dem unabhängigen Institut Exida auf ihre Verfügbarkeit untersuchen lassen. Exida bestätigt zusätzlich SIL-3-Tauglichkeit, selbst wenn diese nicht bereits durch das Protokoll abgedeckt wäre.

Die Mehrheit der heutigen Installationen sind auf sicherheitsgerichtete Signale bereits vorbereitet. Das High Power Trunk-Konzept für den Explosionsschutz erfordert, dass die Hauptleitung in erhöhter Sicherheit – sehr gut geschützt und damit hochverfügbar – installiert wird. Diese Auslegung des Feldbussegmentes bietet den Zusatznutzen einer sehr hohen Verfügbarkeit.

Bei der Auslegung eines Feldbussegments für die Übertragung sicherheitsrelevanter Signale ist eine Leistungsreserve von 20…30 % für die Stromversorgung empfehlenswert, was speziell durch den High Power Trunk leicht möglich ist und dem Stand der Technik entspricht. So ausgelegte Segmente sind damit auch für die Nachrüstung von Sicherheitstechnik mit Feldbus vorbereitet.

Die folgenden Punkte bilden eine Checkliste, um die Voraussetzungen für den parallelen Betrieb von Prozess- und Sicherheitssteuerung zu schaffen:

Zusätzlich beschleunigt moderne Diagnose für die Feldbusphysik wie das FieldConnex Advanced Diagnostic Modul (ADM) die Inbetriebnahme durch automatisierte Überprüfung der Feldbusphysik und Dokumentation. Es wird auch noch ein Vergleich zwischen Planung und tatsächlicher Installation leicht möglich. Zusätzlich werden Schwellwerte vorgeschlagen und im Überwachungsmodul gespeichert. Das ADM stellt Messwerte zur Ermittlung der tatsächlichen Leistungsreserve auch während des laufenden Betriebs zur Verfügung. Der „schwarze Kanal“ Feldbus wird erleuchtet und auf seine Verfügbarkeit kontrolliert. Existierende Systeme können mit dem ADM auf ihre Tauglichkeit geprüft werden.

Das ADM überträgt Sammelmeldungen an den Anlagenfahrer über einen potenzialfreien Kontakt oder direkt in das Leitsystem. Wartungsteams erhalten auf Statusinformation mit Klartext im Plant Asset Management, und erhöhen durch vorausschauenden Eingriff die Anlagenverfügbarkeit. Proaktive, geplante Instandhaltungsmaßnahmen ersetzen reaktive Reparaturen.

2oo1- oder 3oo2-Steuerungen können mit dem Feldbus realisiert werden. Hierbei ist es wünschenswert, dass die jeweils über einen Vorgang abstimmenden Feldgeräte auf mehrere Segmente verteilt sind.

Werden die oben genannten Schritte bei Planung, Installation und Inbetriebnahme befolgt, bildet der Feldbus eine äußerst stabile, für die Sicherheit geeignete Infrastruktur.

Der Feldbus selbst kann mit Diagnose für die Feldbusphysik überwacht werden. Über einen potenzialfreien Kontakt oder im Leitsystem integrierte Sammelmeldungen und detaillierte Statusinformationen im Plant Asset Management erfahren Anlagenfahrer und das Wartungspersonal von Fehlern, greifen vorausschauend ein und erhöhen damit die Anlagenverfügbarkeit. Proaktive, geplante Instandhaltungsmaßnahmen ersetzen reaktive Reparaturen.

Die Feldbustechnik ermöglicht zum Beispiel die Automatisierung von Teilhubtests für Ventile. Speziell die für Sicherheitsabschaltungen notwendigen Ventile tendieren durch nicht ausreichende Bewegung festzubacken. Dieser Test verifiziert die Beweglichkeit des Ventils und wird ohne ein Abschalten der Anlage durchgeführt. Er kann bequem automatisch, zeitgesteuert und ohne händischen Eingriff ablaufen. Kürzeste Prüfintervalle können realisiert werden, wie sie bei manuellen Prüfungen nicht möglich wären. Dabei bleibt die Funktion des Ventils während der Prüfung vollständig erhalten.

Die Selbstdiagnose von Feldgeräten einerseits und die Überwachung der Feldbusphysik andererseits sowie automatisiert ablaufende Prüfungen erhöhen die Rate der erkennbaren Fehler und damit die Sicherheit der gesamten Prozessanlage. Gleichzeitig ist eine hohe Verfügbarkeit des Gesamtprozesses gewährleistet.

Zusätzliche Schichten in den Protokollen FF-SIF und Profisafe sorgen für die sichere Übertragung von Signalen bis SIL 3. Die Feldbusinfrastruktur wird dabei als schwarzer Kanal oder Tunnel betrachtet, dessen Eigenschaften für die Sicherheitsbetrachtung keine Rolle spielen. Das heißt: Von der Planung bis zur Instandhaltung sind nur solche Überlegungen relevant, die die gewünschte Anlagenverfügbarkeit sicherstellen.

FieldConnex-Komponenten bieten die geballte Erfahrung der Feldbusexperten, realisiert in solider ausgeklügelter Technik. Das von Pepperl+Fuchs definierte High Power Trunk-Konzept ist de facto Industriestandard, sodass heute existierende Installationen mehrheitlich die notwendige Verfügbarkeit aufweisen. Während der Achema laden die Experten von Pepperl+Fuchs zu einem aktiven Dialog zum Thema „Feldbustechnik auch für sicherheitsgerichtete Steuerungen“ ein.

cav 456

Übersicht Feldbus-Infrastruktur

Achema 2009

Schulungen “ Funktionale Sicherheit nach EN 61508, EN 61511, EN 62061 und ISO 3849″