Das HIQuad Es ist für sicherheitskritische Anwendungen bis SIL 3 (IEC 61508) und PL e (EN ISO 13849) ausgelegt und verfügt zudem über hohe Verfügbarkeitseigenschaften. Das HIQuad X eignet sich für verschiedene Steuerungsaufgaben in der Prozessindustrie und Fabrikautomation, insbesondere in Prozessanlagen. Das System ist modular aufgebaut, lässt sich flexibel konfigurieren und kann mit dem ausgereiften Engineering-Tool SILworX® von HIMA programmiert, konfiguriert, überwacht, bedient und dokumentiert werden.
Systemfamilien und Struktur
Das HIQuad X umfasst zwei Systemfamilien: H51X und H41X. Sie nutzen identische Module, unterscheiden sich jedoch in Aufbau und Erweiterungsmöglichkeiten:
HIQuad H51X:
Aufbau: Hochmodular.
Basis-Rack: 1 (enthält keine E/A-Module).
Erweiterungsracks: Maximal 16.
Prozessormodule (F-CPU 01): 1 oder 2.
E/A-Verarbeitungsmodule (F-IOP 01): 1 pro Erweiterungsrack.
Kommunikationsmodule (F-COM 01): Bis zu 10 im Basisrack.
E/A-Module pro Erweiterungsrack: 16.
Gesamtzahl der E/A-Module: Bis zu 256.
HIQuad H41X:
Struktur: Modular.
Basis-Rack: 1 (kann bis zu 12 E/A-Module aufnehmen).
Erweiterungsracks: Maximal 1.
Prozessormodule (F-CPU 01): 1 oder 2.
E/A-Verarbeitungsmodule (F-IOP 01): 1 im Basisrack, 1 im Erweiterungsrack.
Kommunikationsmodule (F-COM 01): Bis zu 2 im Basisrack.
E/A-Module pro Erweiterungsrack: 16.
Gesamtzahl der E/A-Module: Bis zu 28.
Diese Unterschiede ermöglichen es Benutzern, die am besten geeignete Systemplattform basierend auf den spezifischen Anwendungsanforderungen hinsichtlich E/A-Anzahl und Verfügbarkeit auszuwählen.
Kernfunktionen
1. Sicherheit und Zertifizierung
Das HIQuad Zu den wichtigsten Sicherheitsmerkmalen gehören:
Safety Integrity Level (SIL): Unterstützt bis zu SIL 3 (IEC 61508), PL e (ISO 13849).
Zertifizierung: Das System und seine I/O-Module sind nach verschiedenen internationalen Standards zertifiziert (siehe Sicherheitshandbuch HI 803 209 E), unter anderem für den Einsatz in Brandmeldeanlagen (gemäß DIN EN 54-2 und NFPA 72) und für die Eignung zur Montage in explosionsgefährdeten Bereichen der Zone 2.
1oo2-Architektur: Die sicherheitsbezogenen Prozessormodule (F-CPU 01) und E/A-Verarbeitungsmodule (F-IOP 01) enthalten ein internes 1oo2-Prozessorsystem (eins aus zwei). Zwei Mikroprozessorkerne synchronisieren und vergleichen kontinuierlich Daten und gewährleisten so einen ausfallsicheren Betrieb.
Sicherheitsbezogene Kommunikation: Unterstützt die sicherheitsbezogene Kommunikation über das SafeEthernet-Protokoll.
2. Hohe Verfügbarkeit und Redundanz
Das System bietet mehrere Redundanzoptionen zur Maximierung der Systemverfügbarkeit (Hinweis: Redundanz erhöht die Verfügbarkeit, nicht den Safety Integrity Level – SIL):
Prozessorredundanz: Kann mit zwei redundanten F-CPU 01-Prozessormodulen konfiguriert werden. Fällt ein Modul aus, schaltet das System automatisch auf das andere um, um den sicheren Betrieb aufrechtzuerhalten. Das defekte Modul kann im laufenden Systembetrieb ausgetauscht werden (Hot-Swap-fähig im Redundanzmodus).
Systembus-Redundanz: Das System ist für die Kommunikation auf zwei unabhängige Systembusse (A und B) angewiesen. Bei einer redundanten Konfiguration arbeiten beide Busse gleichzeitig. Ein Ausfall eines Busses hat keinen Einfluss auf den Systembetrieb.
E/A-Modulredundanz: Unterstützt Modulredundanz (zwei E/A-Module desselben Typs bilden eine Redundanzgruppe) und Kanalredundanz (Paarung identischer Kanalnummern innerhalb redundanter Module). Um die Verfügbarkeit zu erhöhen, sollten redundante Module in verschiedenen Racks installiert werden.
Netzteilredundanz: Unterstützt den Anschluss an redundante 24-V-DC-Netzteile und gewährleistet so eine hohe Verfügbarkeit der Stromversorgung. Zur Kompensation von Spannungsausfällen über 20 ms können optionale Puffermodule (F-PWR 02) eingesetzt werden.
3. Modularer Aufbau und Skalierbarkeit
Das System nutzt eine standardmäßige 19-Zoll-Rackstruktur und bietet hohe Flexibilität:
Basis-Rack: Enthält die Rückwandplatine für die Installation von Prozessormodulen, Kommunikationsmodulen und Stromversorgungsmodulen (H41X enthält auch E/A-Module).
Erweiterungsracks: Mithilfe von F-BASE RACK 11-Erweiterungsracks kann das H51X-System um bis zu 16 Racks erweitert werden, die jeweils 16 I/O-Module und ein F-IOP 01-Modul aufnehmen können, wodurch die I/O-Kapazität deutlich erhöht wird.
Modultypen: Das System unterstützt eine Vielzahl von Modultypen, darunter:
F-CPU 01: Sicherheitsprozessormodul.
F-IOP 01: I/O-Verarbeitungsmodul, das den Systembus mit dem I/O-Bus verbindet.
F-COM 01: Kommunikationsmodul mit 2 Ethernet-Schnittstellen und 1 Feldbus-Schnittstelle.
F-PWR 01: 24 VDC/5 VDC-Stromversorgungsmodul.
F-PWR 02: 24VDC-Puffermodul.
Verschiedene E/A-Module: Einschließlich digitaler Ein-/Ausgänge (DI/DO), analoger Ein-/Ausgänge (AI/AO), Relaisausgänge, Zählermodule usw., die sowohl sicherheitsbezogene als auch nicht sicherheitsbezogene Anwendungen abdecken.
4. Kommunikationsfähigkeiten
Das System kommuniziert mit externen Systemen über F-COM 01-Module:
Sicherheitsprotokolle: Unterstützt das SafeEthernet-Sicherheitsprotokoll von HIMA.
Standardprotokolle: Unterstützt verschiedene standardmäßige industrielle Kommunikationsprotokolle (Lizenz erforderlich), wie z. B. Modbus. Kommunikationsredundanz muss entweder durch das Benutzerprogramm oder durch das spezifische Protokoll selbst (z. B. Modbus-Slave) verwaltet werden.
Engineering-Verbindung: Bis zu 5 Programmier- und Debugging-Tools (PADTs) können über Ethernet-Schnittstellen (RJ-45) angeschlossen werden, es kann jedoch jeweils nur eines über Schreibzugriff verfügen.
5. Diagnose und Wartung
Das System bietet umfassende Diagnosefunktionen zur schnellen Fehlerbehebung und Wartung:
LED-Anzeigen: Jede Modulfrontplatte verfügt über LED-Anzeigen, die den Betriebsstatus, Fehler, Kommunikationsstatus usw. anzeigen.
Diagnoseverlauf: F-CPU-, F-IOP- und F-COM-Module verfügen über integrierte Diagnoseverlaufspuffer (Ringpuffer), die Systemereignisse, Fehler und Warnungen protokollieren, kategorisiert in Kurzzeit- und Langzeitdiagnosen. Dies kann mit dem Tool SILworX eingesehen und analysiert werden.
Online-Diagnose: In der Online-Ansicht von SILworX wird der Modulstatus intuitiv über Farbwechsel (z. B. Rot für kritische Fehler, Gelb für Warnungen) angezeigt und detaillierte Statusinformationen können eingesehen werden.
Überwachung von Systemvariablen: Stellt umfangreiche Systemvariablen bereit (z. B. Temperaturstatus, Stromversorgungsstatus, Zykluszeit, Fehlerzähler), die innerhalb des Benutzerprogramms oder zu Überwachungszwecken verwendet werden können.
6. Programmierung und Konfiguration
Das System-Engineering erfolgt mit SILworX:
Programmiersprachen: Unterstützt Programmiersprachen, die dem Standard IEC 61131-3 entsprechen.
Variablenverwaltung: Unterstützt lokale und globale Variablen. Variablen können Anfangswerte, Retain-Attribute (RETAIN) usw. zugewiesen werden.
Systemparameter und -variablen: Bietet zahlreiche Systemparameter (zum Konfigurieren des Steuerungsverhaltens, z. B. Sicherheitszeit, Watchdog-Zeit) und Systemvariablen (zum Abrufen von Systemstatusinformationen), auf die auf verschiedenen Ebenen wie Ressourcen und Hardware zugegriffen werden kann.
Erzwingungsfunktion: Ermöglicht Benutzern das Überschreiben des aktuellen Werts von Variablen zu Test- und Simulationszwecken. Um eine sichere Nutzung zu gewährleisten, können Zeitlimits und Zugriffsberechtigungen für das Forcen festgelegt werden.
Benutzerverwaltung: Bietet zweistufige Benutzerverwaltung: PADT (Projektzugriff) und PES (Controllerzugriff). Es können verschiedene Benutzergruppen und Berechtigungen (z. B. Nur Lesen, Bediener, Lesen + Schreiben, Administrator) definiert werden, um die Systemsicherheit zu erhöhen.
7. Rauschunterdrückung
Um die Immunität des Systems gegen transiente Störungen zu verbessern, bietet HIQuad X eine Rauschunterdrückungsfunktion:
Funktion: Unterdrückt transiente Störungen auf den Bussen oder I/O-Modulen und hält den letzten gültigen Wert für eine konfigurierte Zeit aufrecht, um zu verhindern, dass das System aufgrund kurzzeitiger Störungen fälschlicherweise in einen sicheren Zustand geht, und erhöht dadurch die Verfügbarkeit.
Konfiguration: Die effektive Rauschunterdrückungszeit hängt von der Sicherheitszeit, der Watchdog-Zeit und der Zykluszeit ab (max. Rauschunterdrückungszeit = Sicherheitszeit – (2 x Watchdog-Zeit)). Es kann für I/O-Module in SILworX konfiguriert werden.
Wirkrichtung: Die Rauschunterdrückung kann in verschiedene Richtungen wirken:
Vom Eingangsmodul zum Prozessormodul (Unterdrückung von Eingangs- und Busstörungen).
Vom Prozessormodul zum Ausgabemodul (Unterdrückung von Busstörungen).
Vom Ausgangsmodul zum Prozessormodul (Unterdrückung von Statusbestätigungen, z. B. SC/OC-Erkennung).
Funktionsprinzip
Der Kernbetrieb des HIQuad X-Systems dreht sich um seine Hardware-Architektur und Sicherheitsmechanismen.
Signalfluss und -verarbeitung:
Eingangsseite: Feldsensorsignale werden an Sicherheits-E/A-Module (z. B. F 3237 DI-Modul) angeschlossen. Die I/O-Module kommunizieren über den I/O-Bus mit dem I/O-Verarbeitungsmodul F-IOP 01 in ihrem jeweiligen Rack.
Datenverarbeitung: Das Modul F-IOP 01 tauscht über die redundanten Systembusse (A und B) Daten mit den Prozessormodulen F-CPU 01 im Basisrack aus. Die F-CPU 01 nutzt eine interne 1oo2-Architektur, bei der zwei Prozessorkerne zyklisch Eingabedaten lesen, das Benutzerprogramm ausführen und Ergebnisse vergleichen.
Ausgangsseite: Die Prozessormodule senden die Verarbeitungsergebnisse über die Systembusse an das Modul F-IOP 01 zurück, das sie dann über den I/O-Bus an die Ausgangsmodule (z. B. Modul F 3330 DO) weiterleitet und so Feldaktoren steuert. Der F-IOP 01 ist außerdem für die Erzeugung und Überwachung des I/O-Watchdog-Signals (WD) verantwortlich. Ausgangsmodule arbeiten nur, wenn dieses Signal vorhanden ist (High-Pegel); andernfalls gehen sie in einen sicheren Zustand über.
Sicherheitsmechanismen:
Fehlererkennung: Das System führt kontinuierlich Selbsttests und Gegenprüfungen auf verschiedenen Ebenen durch, darunter Prozessorkernvergleich, Kommunikationsprüfsummen, Modulstatusüberwachung, Stromversorgungsüberwachung und Temperaturüberwachung.
Sicherer Zustand: Bei der Erkennung eines internen Fehlers oder eines externen Befehls (z. B. Not-Aus) folgt das System dem Prinzip „Ausschalten zum Auslösen“ und versetzt die Ausgänge in einen vordefinierten sicheren Zustand (typischerweise den stromlosen Zustand).
Zeitüberwachung: Die Sicherheitszeit ist die maximal zulässige Reaktionszeit für den Prozess. Die Watchdog-Zeit ist die maximal zulässige Dauer für den Prozessorzyklus; Bei Überschreitung löst das System eine Sicherheitsreaktion aus. Die Zykluszeit ist die tatsächliche Zeit, die der Prozessor benötigt, um einen Benutzerprogrammzyklus auszuführen. Die Konfiguration dieser Timings ist entscheidend für die Systemsicherheit und -leistung.
Redundanzsynchronisierung:
In einer redundanten Konfiguration synchronisieren die beiden Prozessormodule kontinuierlich ihren internen Zustand und ihre Daten über die Systembusse.
Wenn das primäre Prozessormodul ausfällt, erkennt das Standby-Modul dies sofort und übernimmt die Kontrolle, wodurch der sichere Betrieb des Systems weiterhin gewährleistet bleibt und ein nahtloses Umschalten und eine hohe Verfügbarkeit ermöglicht werden.
Stromverteilung:
Die Stromversorgung des Systems erfolgt über ein 24 VDC SELV/PELV-Netzteil. Stromverteilermodule (z. B. K 7212) dienen der Verteilung und dem Schutz von Stromkreisen.
Die 5V-Stromversorgung innerhalb des Basisracks wird durch F-PWR 01-Module erzeugt und über die Backplane verteilt. Die 5-V-Stromversorgung für Erweiterungsracks erfolgt sternförmig vom Basisrack.
Die 24-V-Hilfs- und Feldspannung für E/A-Module wird durch Stromverteilungsmodule (F 7133) verteilt und geschützt, wobei jedes F 7133 einen abgesicherten Schutz für 4 E/A-Modulsteckplätze bietet.
Wärmemanagement:
Das Systemdesign berücksichtigt die Wärmeableitung von elektronischen Komponenten. Um eine Umgebungstemperatur zwischen 0 °C und +60 °C aufrechtzuerhalten, ist eine ausreichende Belüftung (natürliche Konvektion oder forcierte Luftkühlung) innerhalb des Schaltschranks erforderlich.
Die Module verfügen über Temperatursensoren und der Temperaturstatus kann über Systemvariablen überwacht werden. Bei Überschreitungen von Temperaturschwellen werden Warnungen oder Fehler gemeldet, wobei die Temperaturüberwachung selbst nicht sicherheitsrelevant ist.
Anwendungsbereiche
Das HIQuad X-System wird häufig in Branchen mit hohen Anforderungen an Sicherheit und Verfügbarkeit eingesetzt:
Chemie und Petrochemie: Notabschaltsysteme (ESD), Brennermanagementsysteme (BMS), Prozessabschaltsysteme.
Öl und Gas: Bohrlochkopfsteuerung, Pipeline-Schutzsysteme, Sicherheitssysteme für Offshore-Plattformen.
