Überall dort, wo rund um die Uhr an 365 Tagen im Jahr produziert wird (Contiprozesse) – sei es in Raffinerien, Kraftwerken oder Stahlwerken –, kommen redundante Systeme zum Einsatz, um einen reibungslosen und unterbrechungsfreien Betrieb zu garantieren. Doch nicht nur in hoch komplexen und entsprechend investitionsintensiven Anlagen sind hohe Zuverlässigkeit und hohe Anlagenverfügbarkeit gefordert; auch in der Tunnelautomatisierung, im Logistikbereich oder auf Schiffen spielen redundant aufgebaute Systeme eine immer wichtigere Rolle. Da diese Applikationen sehr kostensensitiv sind, sind in diesen Bereichen skalierbare Lösungen gefordert. Mit Profinet stehen nun erstmals Mechanismen zur Verfügung, die eine hohe Flexibilität und Skalierbarkeit erlauben.

Redundante Systeme, bestehend etwa aus Simatic S7-400H, Sync-Modulen, ET 200M sowie Profibus-Strängen, sind robust. Doch bestimmte Hardware-Komponenten sind nötig und so der Einsatz einer solchen Konfiguration nicht immer wirtschaftlich.

© Siemens

Bisher basierte die Kommunikation redundanter Automatisierungslösungen hauptsächlich auf Feldbus-Lösungen wie dem Profibus. Eine solche Anlage besteht immer aus zwei CPUs, beispielsweise aus zwei S7-400H-CPUs, den zugehörigen Sync-Modulen, einem oder mehreren redundant aufgebauten, dezentralen Peripheriesystemen (zum Beispiel ET 200M) oder anderen redundanten Komponenten sowie aus zwei Profibus-Strängen. Die beiden CPUs synchronisieren sich permanent selbst über eine spezielle Firmware. Somit ist gewährleistet, dass zu jedem Zeitpunkt beide CPUs über identische Daten verfügen. Beim Laden von Änderungen im Anwenderprogramm einer CPU sorgt die Synchronisation dafür, dass diese Programmänderungen automatisch auf die andere CPU gespiegelt werden. Diese Aktionen erfolgen als Systemfunktion automatisch im Hintergrund, ohne dass der Anwender in irgendeiner Weise eingreifen muss.

Die Synchronisation geschieht über die beiden Sync-Module. Jede CPU verfügt über zwei dieser Module, die mit einer Lichtwellenleitung miteinander verbunden sind. Entfernungen bis 10 km sind so möglich. Diese sind zum Beispiel bei Tunnel-Anlagen sinnvoll, in denen die beiden CPUs räumlich getrennt an jedem Tunnel-Eingang installiert sind. So ist gewährleistet, dass beim Ausfall einer CPU, etwa aufgrund eines Unfalls oder Brands, die andere CPU am anderen Ende des Tunnels noch einsatzbereit bleibt und die Signal-Anlage des Tunnels weiter betrieben werden kann.

Um die Kommunikation mit den an­geschlossenen Peripheriekomponenten ebenfalls redundant auszulegen, werden zwei – in der Regel räumlich voneinander getrennte – Profibus-Leitungen verlegt. So ist gewährleistet, dass im Falle eines Kabelbruchs der Profibus-Leitung die Kommunikation auf den zweiten Strang umschaltet und unterbrechungsfrei weiterläuft. Die redundante Peripherie selbst besteht beispielsweise im Fall des ET-200M-Systems aus zwei Interface-Modulen (IM) und dem aktiven Rückwandbus. Diese sind notwendig, um zwei Profibus-Stränge betreiben zu können. Außerdem ermöglichen sie den Tausch eines IMs für den Fall eines Defektes oder eines Ausfalls der Spannungsversorgung.

Durch solch eine Konfiguration sind folgende Fehlerfälle in einer Anlage abgedeckt:

• Ausfall einer CPU,
• Ausfall eines/r Sync-Moduls/Leitung,
• Kommunikationsstörungen am Profibus wie etwa Leitungsbruch sowie
• Defekt oder Ausfall der Spannungsversorgung eines IMs.

Damit lassen sich sehr robuste und zuverlässige Anlagen aufbauen. Die Umschaltzeit im Fehlerfall beträgt nur wenige Millisekunden und erfolgt stoßfrei. Allerdings zeigt diese Beschreibung, dass eine gewisse Anzahl von Hardware-Komponenten notwendig ist. Häufig ist damit der Einsatz einer solchen Konfiguration nicht wirtschaftlich.

Ringtopologie erhält Kommunikation aufrecht

Die Verwendung von Profinet als Kommunikationsschnittstelle gestattet dem Anwender demgegenüber, mit deutlich weniger Hardware-Aufwand zuverlässige und hochverfügbare Systeme aufzubauen. Mit anderen Worten: Redundanz lässt sich hier skalieren. Ein erster Schritt dazu ist das so genannte Media-Redundancy-Protocol (MRP). Dieser von der Organisation 'Profinet and Profibus International' (PI) genormte Mechanismus erlaubt unter Verwendung von Standardkomponenten den Aufbau einer Ringtopologie. Durch diesen Mechanismus, den zum Beispiel alle Simatic-Standardkomponenten unterstützen, wird die Kommunikation – anders als bei der Linientopologie am Profibus – auch im Falle einer Leitungsunterbrechung aufrechterhalten.

Eine etwaige Unterbrechung der Profinet-Leitung wird durch entsprechende Überwachungsfunktionen im Profinet-Controller (CPU) erkannt. Den Überwachungsmechanismus übernimmt der so genannte Redundanzmanager in der Firmware des Controllers. Schickt beispielsweise der Controller die Telegramme zunächst im Uhrzeigersinn durch den Ring, so muss der Redundanzmanager diese auch wieder vom Bus entfernen, damit 'kreisende Telegramme' im Netz vermieden werden. Der Redundanzmanager überwacht außerdem, ob das Telegramm innerhalb einer bestimmten Zeit wieder bei ihm ankommt. Erfolgt dies nicht, schaltet er die Übertragungsrichtung um beziehungsweise sendet in beide Richtungen. Somit ist es möglich, Kommunika­tionsfehler, die etwa aufgrund einer Leitungsunterbrechung oder eines Ausfalls einer einzelnen Station entstehen, zu erkennen und zu 'reparieren'. Dem Anwender kann dieser Fehler angezeigt werden, so dass dieser die Möglichkeit hat, die Fehlerursache zu beheben. Die Zeit für das Erkennen und Umschalten liegt dabei in der Größenordnung von rund 200 ms. Für viele Applikationen, wie etwa die Steuerung eines Hochregallagers in Logistikunternehmen oder von Förderanlagen auf Flughäfen, ist diese Zeit völlig ausreichend.

Durch Nutzung der Systemredundanz auf Basis von Profinet werden weitere mögliche Anlagenfehler erkannt und kürzere Umschaltzeiten erreicht.

© Siemens

Sollen weitere Fehlerfälle in einer Anlage abgedeckt werden und/oder sind noch kürzere Umschaltzeiten gefordert, so kann der Anwender die so genannte 'Systemredundanz' nutzen. Auch dieser Mechanismus ist von PI genormt und steht allen Herstellern zur Nutzung zur Verfügung. Bei der Simatic etwa unterstützen die H-CPUs der S7-400 ab dem FW-Stand V6.0 sowie die ET 200M IM High Feature ab dem FW-Stand V4.0 diese Funktionalität.

Die Basis zum Aufbau der Systemre­dundanz bilden zwei, diesen Mechanismus unterstützende Steuerungssysteme. Zwischen den beiden CPUs sind die E/A-Stationen und andere redundante Komponenten in einer Reihe angeordnet. Über die Sync-Module, die neben jeder CPU stecken, wird quasi der Ring logisch geschlossen. Diese Lösung erfordert zwar auf der CPU-Seite im Falle der Simatic-Landschaft ein H-System, jedoch kommen weiterhin Standardkomponenten auf der Kommunikationsseite zum Einsatz. Somit ist diese Lösung zwar etwas aufwendiger als das reine MRP, jedoch lassen sich auf diese Weise weitere Applikationen mit höheren Anforderungen sowie zusätzliche Fehlerfälle abdecken.
Neben der reinen Unterbrechung der Kommunikationsleitung beziehungsweise dem Ausfall einer einzelnen E/A-Station ist der Ausfall einer CPU verkraftbar: Sollte eine CPU komplett ausfallen – etwa aufgrund eines Brands im Schaltraum –, so übernimmt automatisch und nahezu stoßfrei die andere CPU die Aufgaben. Der kontinuierliche Anlagenbetrieb ist somit gewährleistet. Mit dieser Lösung sind Umschaltzeiten von zirka 30 ms erreichbar. Damit können Anforderungen erfüllt werden, wie sie in Applikationen des Infrastrukturbereichs vorkommen, etwa in Tunnel- oder Kläranlagen. Nach der Reparatur oder dem Austausch der CPU synchronisieren sich beide wieder selbstständig. Das heißt, es ist kein weiterer Eingriff oder gar eine Programmierung durch den Anwender erforderlich.

Auch diese Lösung ist deutlich preiswerter als eine vergleichbare Profibus-Lösung heutiger Ausprägung. Stellt man sich beispielsweise einen Tunnel vor, an dessen beiden Eingängen je ein H-System installiert ist, dann würde man heute entlang des Tunnels zwei Profibus-Stränge verlegen. Mit der Systemredundanz auf Basis von Profinet wird nun nur noch ein Kabel verlegt. In erster Näherung halbieren sich damit die Kosten für die Verkabelung. Außerdem spart der Anwender ein Interface-Modul ein. Bei Infrastrukturprojekten wie Tunnels ist der redundante Aufbau einer Station häufig nicht gefordert und ein Interface-Modul je Station (Device) ist ausreichend. Auch ist – anders als bei der Profibus-Lösung – nicht zwingend der aktive Rückwandbus erforderlich. Somit ergibt sich zusätzliches Einsparpotenzial aus Anwendersicht.

Zwei Profinet-Ringe - ein Ausblick

Für Fälle, bei denen die vorab beschriebenen Mechanismen für eine Anlage immer noch nicht ausreichen, sind weitere Funktionen in Vorbereitung. Diese wurden bereits von PI im Papier 'Profinet IO System Redundancy for Distributed Control Systems – Specification for Profinet' beschrieben und spezifiziert. Um den Austausch eines IMs im Fehlerfall zu meistern, gibt es die Möglichkeit, zwei Interface-Module innerhalb einer Station redundant einzusetzen – ähnlich wie heute bei Profibus. Außerdem gibt es Profinet-Strukturen mit einem doppelten Ring. Wenn es auch derzeit noch keine Implementierungen im Feld gibt, so steckt in diesen Mechanismen doch einiges Potenzial für künftige Anwendungen.