Namur-Empfehlung NE 97 und Fieldbus Safety Integrated Functions

Das digitale Feldbussystem zur durchgängigen Steuerung findet bei Betreibern von chemischen oder pharmazeutischen Produktionsanlagen immer mehr Akzeptanz. Analoge 1:1-Verbindungen werden ersetzt durch Remote-I/O-Systeme zwischen Leitebene und Feldgeräten, zunehmend sind aber auch explosionsgeschützte, durchgängig voll-digitale Feldbussysteme im Einsatz. Doch bei sicherheitsgerichteten Anwendungen setzen Betreiber noch immer auf bewährte analoge Technik. Mit der Entwicklung des sicherheitsgerichteten Feldbus könnten in Zukunft auch diese Applikationen digital umgesetzt werden.

Digital auf halber Strecke

Zwischen dem digitalen Leitsystem und dem digitalen Feldgerät lässt sich inzwischen immer öfter auch eine digitaleSignalübertragung finden. Durch den Wegfall von konventionellen 1:1 Verbindungen zwischen E/A Karte des Leitsystems und jedem einzelnen Feldgerät spart der Betreiber eine Menge an Kupferkabeln. Der Feldbus kann die Signale mehrerer Teilnehmer über ein Kabel übertragen. Das Industrial und High-Speed Ethernet wird auf allen Ebenen der Automatisierungstechnik diskutiert. Jedoch sind Betreiber von produzierenden Anlagen bislang erst den halben Weg zur digitalen Anlagensteuerung gegangen. Die Menge der konventionellen Punkt-zu-Punkt Verkabelungen wurde bereits reduziert indem Remote-I/O-Systeme möglichst nahe an den Feldgeräten installiert wurden. Bei Neuanlagen gehen Betreiber seit einigen Jahren den nächsten Schritt. Die modernen intelligenten Feldgeräte können mit dem Leitsystem direkt digital kommunizieren und zusätzliche Diagnosedaten übertragen, darunter Daten für das Asset Management und für eine effizienterevorausschauende Wartung.

Anforderungen an Feldbussysteme für verfahrenstechnische Anlagen

Für die verfahrenstechnische Praxis gelten Rahmenbedingungen, wie der Explosionsschutz, die hohe Verfügbarkeit der Anlage und ein Datentransfer und Gerätespeisung möglichst über ein einziges zweiadriges Kabel. Deshalb haben sich in der Feldebene die Feldbusse gemäß IEC 61158–2 etabliert. Dazu zählen der Foundation Fieldbus H1 (FF H1) und der Profibus PA. Spätestens nach Einführung des High-Power Trunk Konzeptes werden immer mehr Prozessanlagen nahezu durchgängig digital ausgelegt. Das Konzept ermöglicht, die maximal zulässige Anzahl von Feldgeräten ohne Einschränkung durch limitierte Stromversorgung und ohne gegenseitige Beeinflussung zu nutzen.

Und dennoch ist die Digitalisierung der Kommunikationssysteme noch nicht durchgängig. Der letzte fehlende Baustein für eine volldigitale Anlage ist das Sicherheitssystem. Bis dato stehen sicherheitsgerichtete Feldbusgeräte für FFH1 oder Profibus PA nicht zur Verfügung; die sicherheitsgerichteten Feldgeräte mit SIL Rating benötigen immer noch ein analoges Netzwerk zur Kommunikation mit der Sicherheits-SPS. So wurde schon bald die Forderung nach einer Integration dieses parallelen Datennetzwerkes in das Feldbusnetzwerk laut. Dazu mussten zwei Voraussetzungen erfüllt werden: Ein sicheres und stabiles Feldbus-Protokoll, um Datenfehler zu vermeiden und die entsprechend zertifizierten SIL-Geräte und Installationstechniken für Feldbus.

Sicherer Feldbus

Softwaretechnisch gibt es heute hinreichende Maßnahmen, die sicherstellen, dass ein Signal ohne Verfälschung beim Empfänger ankommt oder Störungen erkannt werden. Sowohl bei FF H1 als auch bei Profibus PA wurde im Application Layer 7 gemäß ISO-OSI Model ein entsprechender Sicherheits-Protokollstack nach IEC 61508 eingefügt. In diesem Konzept bleibt die ursprüngliche Übertragung der Prozesssignale, auch Black Channel genannt, unverändert, während die sicherheitsgerichteten Signale ohne gegenseitige Beeinflussung über das gleiche digitale Netzwerk übertragen werden. Die Fieldbus Foundation ließ diesen Sicherheits-Stack im Februar 2006 vom TÜV Typ-prüfen und gab im Januar 2009 die endgültige Spezifikation frei. Weiterhin wurden zusätzliche Function Blocks für SIF (Safety-Instrumented-Functions) und Diagnose integriert, welche Fehler in der Anwendung erkennen und ohne menschliches Eingreifen Gegenmaßnahmen einleiten können.

Sicherheitsgerichtete Feldbusanwendungen im Test

Eine umfassende SIL Zertifizierung aller sicherheitsgerichteten Geräte für beide Feldbusse FF H1 und PA wäre sehr zeitintensiv und würde Kosten verursachen, die Anlagenbetreiber kaum akzeptieren würden. Hier hat bereits im Jahr 2003 die Namur-Empfehlung NE 97 „Feldbus für Sicherheitsaufgaben“ eine Grundlage geschaffen, um sicherheitsgerichtete Feldbusgeräte effizient zu entwickeln. Ausgehend von der Überlegung, dass Sensorik und Aktorik unabhängig von der Signaltransmission sind, können hierfür betriebsbewährte Komponenten nach NE79 zum Einsatz kommen. In der Verantwortung der Hersteller liegt die sichere Kopplung zwischen der betriebsbewährten Sensorik/Aktorik und dem zertifizierten Protokollstack, der die sichere Datenübertragung gewährleistet.

Auf dieser Basis haben verschiedene Hersteller Prototypen entwickelt und in einem in 2007 von der Fieldbus Foundation organisierten Demoprojekt getestet. FF-SIF Testanlagen wurden aufgebaut bei Saudi Aramco in Dharan, Shell Global Solutions in Amsterdam, Chevron in Houston, Texas, und BP in Gelsenkirchen. Die Tests waren überaus erfolgreich. Aus den Ergebnissen entstanden Installations-Richtlinien, Trainingsunterlagen sowie Interoperabilitäts-Testwerkzeuge, die die Fieldbus Foundation im Januar 2009 freigegeben hat. Nach einer Einschätzung der ARC Advisory Group ist ab 2010 mit marktreifen Geräten bis SIL 3 zu rechnen.

Sichere Infrastruktur für Feldbus-SIF

Die Physikal Layer Infrastruktur des Feldbus-Netzwerks, also die Kabel, Verteiler und Feldbus-Stromversorgungen, unterliegen als passive Komponenten keiner SIL Betrachtung. Gleichwohl muss sichergestellt sein, dass das Sicherheitssystem die Anlage nicht aufgrund von Signalfehlern durch Probleme in der Verkabelung in den sicheren Zustand fährt. Störeinstrahlung oder Überspannungen müssen vermieden werden. Das gelingt durch entsprechende Feldbuskabel Typ A, durch angemessene Schirmung und Erdung sowie durch geeignete Blitzschutzmodule. Das High-Power Trunk Konzept basiert auf der Feldbus-Barrieren-Technik, bei der die Feldgeräte in Zone 1 über Stichleitungen eigensicher Ex ia an sogenannte FieldBarriers angeschlossen werden. In Zone 2 erlauben Segment Protektoren den Anschluss der Geräte in Ex nL, zukünftig Ex ic. Die Ausgänge beider Verteilertypen sind kurzschlussstrombegrenzt, damit die angeschlossenen Geräte sich nicht gegenseitig beeinflussen. Die Verbindung der Verteiler untereinander und mit der dem Leitsystem vorgeschalteten Feldbus-Stromversorgung erfolgt über eine Hauptleitung in erhöhter Sicherheit Ex e. Dadurch kann ein ausreichend hoher Speisestrom in die explosionsgefährdete Zone eingeleitet werden. Die speziellen Fieldbus Power Supplies überlagern den DC Speisestrom mit dem digitalen Wechselstromsignal des Feldbusses. Weiterhin bieten sie eine Fülle von Isolations-, Diagnose- und Redundanzmöglichkeiten. Umfassende Infrastruktur-Systeme wie Fieldconnex werden ergänzt durch spezielle Überspannungs-Schutzmodule und Abschlusswiderstände. Diagnose Module überwachen die Funktionsfähigkeit der Feldbussysteme bis in dasInnere des Kabels. Qualitätsverluste der Feldbus-Signale, Störeinflüsse und Kabelschäden lassen sich in Echtzeit und punktgenau lokalisieren und analysieren, auch Alterungen der Verkabelung sind damit frühzeitig erkennbar. Diese Diagnosen sind nun auch in einige Leitsysteme integriert, so zum Beispiel Fieldconnex ADM in die Emerson AMS Suite und in den Yokogawa Plant Resource Manager.

KleineSchritte zur digitalen Anlage

Auf der Grundlage der Namur-Empfehlung NE 97 und den Entwicklungen der letzten Jahre, sowohl seitens der Fieldbus Foundation mit FF-SIF als auch seitens der Profibus Nutzerorganisation mit Profisafe for PA Devices, rückt die Installation von sicherheitsgerichteten Feldbus-Netzwerken in greifbare Nähe. Ausgereifte Infrastruktur-Systeme bilden eine stabile Basis für hochverfügbare Feldbuskommunikation. Da alle Signale, sowohl sicherheitsgerichtet als auch zur Prozesssteuerung, über die gleiche Topologie übertragen werden lässt der Wegfall des heute noch notwendigen parallelen konventionellen Sicherheits-Netzwerkes signifikante Einsparungen erwarten. Und das nach Einschätzung der ARC Advisory Group schon ab 2010, wenn die entsprechenden Geräte zur Verfügung stehen.