Funktionale Sicherheit im Zusammenhang mit klassischen, ethernetbasierten Feldbuslösungen bedeutet aus steuerungs- und verdrahtungstechnischer Sicht, jeden einzelnen Aktuator über vorkonfektionierte Verbindungskabel zu verdrahten und ihm einen eigenen sicheren Ausgang bereitzustellen. Das lässt sich beispielsweise mit den ASi Safety Gateways und Safe Link von Bihl+Wiedemann realisieren, womit fast 2.000 Safety-Signale sicher über Ethernet miteinander gekoppelt werden können. Der Vorteil: Maximale Flexibilität innerhalb der gesamten sicherheitsgerichteten Topologie, weil jeder Aktuator einzeln abgeschaltet werden kann. Aber ist diese individuelle Spannungsabschaltung beispielsweise jeder einzelnen Motorrolle einer Förderstrecke oder jedes einzelnen Stellantriebs einer Verpackungsmaschine überhaupt notwendig? 

Reicht es nicht unter Umständen aus, im Ernstfall ganze Gruppen von Aktuatoren auf einmal abzuschalten? Und was passiert dabei mit der Kommunikation zum Aktuator, wenn er über Ethernet sicherheitsgerichtet abgeschaltet wird? Richtig: In diesem Fall ist die datentechnische Verbindung tot – es ist kein Ansprechen oder Auslesen der Module, keine Diagnose oder qualifizierte Fehlerrückmeldung mehr möglich. Zudem ist der Entscheider mit wenig wertschöpfenden, höheren Hardware- und Verdrahtungskosten konfrontiert, sollte er jeden einzelnen Aktuator direkt an den Feldbus anbinden.

Sicherheitskonzepte hinterfragen und optimieren

Die individuelle sicherheitsgerichtete Abschaltung einzelner Aktuatorik pauschal zu kritisieren ist keineswegs angebracht – für viele Szenarien, ob im Ethernet- oder im ASi-Netzwerk, kann die Einzelabschaltung die beste Lösung sein – etwa, um sicherheitstechnische Normen zu erfüllen und Maschinensicherheit zu gewährleisten. Das wissen auch die Safety-Experten von Bihl+Wiedemann aus eigener Erfahrung. Doch hinterfragen mittlerweile immer mehr Maschinen- und Anlagenbauer ihre Sicherheitskonzepte: Sie erkennen, dass die maximale Flexibilität, wie sie individuelle sichere Ausgänge bieten, nicht immer erforderlich ist – beispielsweise dann, wenn ganze Gruppen von Aktuatoren prozess- oder maschinenbedingt ohnehin zeitgleich sicher abgeschaltet werden müssen. 

Passive Sicherheit: Normen fordern Ausschluss von Querschlüssen

Passive Sicherheit setzt voraus, dass die Energieversorgung für Kommunikation und Sensorik galvanisch getrennt von der Versorgung der Aktuatorik verlaufen muss. Hierdurch soll ein Querschluss bzw. generell der Fehlerausschluss zwischen der Hilfsenergie für die Aktuatorik (AUX) und dem Fremdpotenzial – der Energieversorgung über ASi – verhindert werden, sodass im Abschaltfall das stromlos Schalten eines Antriebsstrangs garantiert ist. Dies ist in den meisten Standardverkabelungen, in denen M12-Rundkabel eingesetzt werden, nicht gegeben. Basierend auf der Maschinenrichtlinie 2006/42/EG wird dies in den Sicherheitsnormen EN ISO 13849-1 und EN 62061 näher spezifiziert und vorgeschrieben. Das bedeutet zugleich, dass nur ein einziges, nicht passiv sicheres Modul in der Topologie dazu führt, dass das Gesamtsystem insgesamt keine passiv sichere Struktur aufweist – das schwächste Glied definiert auch in der Sicherheitstechnik die Stärke einer Kette. Je nach Applikation kann zwar durch eine genaue Sicherheitsbetrachtung der gesamten relevanten Verkabelungsstrecke grundsätzlich nachgewiesen werden, dass alle Fehlerfälle immer zu einem sicheren Zustand führen – eine solche Gesamtbetrachtung bedeutet jedoch unter Umständen einen erheblichen Aufwand. Unnötigen Aufwand, weil es einfacher und dabei eleganter geht – mit ASi und den für passive Sicherheit geeigneten Produkten von Bihl+Wiedemann.

Passive Sicherheitstechnik mit AS-Interface realisieren

Die Idee der passiven Sicherheitstechnik mit ASi basiert darauf, dass zum einen alle angeschlossenen Aktuatoren über ihren jeweiligen nicht sicheren Ausgang einzeln angesteuert und abgeschaltet werden können und zum anderen im Bedarfsfall mit einem einzigen sicheren Ausgang ganze Gruppen von Aktuatoren spannungsfrei geschaltet werden können. ASi als standardisierter Feldbus für die erste Ebene der Automation ist hierfür ideal, weil das ASi-Verdrahtungskonzept wirtschaftlich ist und im Vergleich zur üblichen Feldbus-Anschlusstechnik Kostenvorteile bis zu 68 Prozent bietet. Zudem kann das gelbe ASi-Profilkabel für Steuerungssignale und Energie bis 8 A getrennt vom schwarzen AUX-Profilkabel für Hilfsenergie bis 20 A verlegt werden. Dadurch wird die geforderte galvanische Trennung der Energieversorgung für Kommunikation und Sensorik „automatisch“ von der Energieversorgung für die Aktuatorik getrennt. Fast alle neuen ASi-5-Module, beispielsweise die mit integriertem IO-Link-Master, und viele der ASi-3-Module des Unternehmens erfüllen die Anforderungen für passive Sicherheit – was in den Datenblättern der entsprechenden Produkte explizit angegeben wird. 

Die Sicherheit stimmt, …

Mit Hilfe der Module von Bihl+Wiedemann ist eine passive Sicherheit bis SIL3 und PLe erreichbar. Wird die Hilfsenergie im schwarzen Profilkabel abgeschaltet, werden die angeschlossenen Aktuatoren nicht mehr versorgt und können keine gefahrbringenden Bewegungen mehr ausführen. Ununterbrochen erreichbar sind sie dennoch – denn über das gelbe Profilkabel bleiben die Energieversorgung der Sensorik und die Bus-Kommunikation, und damit auch die Übertragung von Signalen, anders als bei vielen ethernetbasierten Lösungen, auch im Abschaltfall bestehen. Dadurch bleibt es möglich, Module – und häufig auch die angeschlossene Peripherie – anzusprechen und beispielweise Diagnoseinformationen auszulesen, die Hinweise auf mögliche Störungsursachen geben können.

... die Wirtschaftlichkeit auch

Ob gelb oder schwarz – die ASi-Profilkabel können als standardisierte „Meterware“ kostengünstig gefertigt und auf Rollen vorgehalten werden. Sie müssen nicht vorkonfektioniert werden wie Rundkabel für Feldbusse und sie benötigen auch keine besondere M12-Anschlusstechnik für Sensoren oder Aktuatoren – diese werden per Durchdringungstechnik an die ASi-Kabel angeschlossen. Zudem transportiert das schwarze AUX-Kabel mit bis zu 20 A deutlich mehr Hilfsenergie als typische M12-Rundkabellösungen. Viel Strom für geringe „Durchleitungskosten“ – ideal für Motoren in der Fördertechnik, aber auch für die Integration von IO-Link-Lösungen. 
Statt für jeden einzelnen Aktuator einen teuren sicheren Ausgang „spendieren“ zu müssen, sind für den Aufbau der passiven Sicherheit steuerungsseitig nur ein Sicherheitsmonitor mit lokalen Ausgängen sowie ein Kontakterweiterungsmodul erforderlich, um die Versorgungsspannung zentral abzuschalten – eine in der Kostenbetrachtung wesentlich günstigere Alternative. 

Autor
Thomas Rönitzsch, 
Verantwortlicher Unternehmenskommunikation