Bezpečnostní systém AS-Interface Safety at Work (část 1)

Bezpečnostní systém AS-Interface Safety at Work (část 1)

Radek Štohl, Petr Fiedler, Robert Dubjel

Po úvodním shrnutí základních vlastností komunikačního systému AS-Interface je představena jeho varianta AS-Interface Safety at Work, plnící požadavky kladené na prvky a systémy zajišťující bezpečný chod strojů a strojních zařízení a bezpečnost personálu, který je obsluhuje. Jde o metodu umožňující nahradit konvenční reléové instalace sítěmi typu AS-Interface i v oblasti bezpečnostní techniky. Jsou popsány bezpečnostní monitor jako základ bezpečnostního systému na bázi AS-Interface a jeho funkce, vývojové prostředí Asimon a demonstrační panel s fyzickým modelem soustruhu řízeným s použitím bezpečnostních komponent systému AS-Interface Safety at Work a shrnuty hlavní přednosti tohoto moderního řešení.

1. Úvod

AS-Interface (Actuator Sensor Interface) je komunikační systém pro nejnižší úroveň řízení v automatizovaném provozu. Systém AS-Interface umožňuje začlenit senzory a akční členy od různých výrobců do společné sítě s jediným propojovacím kabelem. Takto vytvořená síť AS-Interface je otevřená ke všem běžným nadřazeným úrovním.

Od roku 2001 jsou na trhu spolu s klasickými zařízení pro sběrnici AS-Interface také komponenty s obchodním označením Safety at Work, vyhovující zvýšeným požadavkům na funkční bezpečnost zařízení až do úrovně SIL 3 podle normy IEC 61508 a kategorie 4 podle normy EN 954-1. Jde o komponenty primárně určené k ochraně osob a strojů či strojních zařízení (např. nouzové vypínače, světelné záclony atd.). Dříve musely být stroje vybaveny vedle sběrnice AS-Interface také klasickou elektroinstalací podléhající příslušným bezpečnostním normám, kterou byly propojeny právě prvky zajišťující bezpečnost stroje a obsluhy. Jelikož senzory používané v bezpečnostní technice jsou téměř výhradně binární, což je doména systému AS-Interface, bylo nasnadě vyvinout systémy, které by na bázi sběrnice AS-Interface umožnily splnit požadavky kladené bezpečnostními normami, a tudíž odstranit nákladnou paralelní kabeláž.

2. Systém AS-Interface

2.1 Základní parametry
Základní technické údaje o systému AS-Interface v jeho současné podobě jsou shrnuty v tab. 1. Podrobné informace lze nalézt především v [1] a v tam uvedených odkazech.

Tab. 1. Charakteristika systému AS-Interface (AS-I)

2.2 Začlenění sběrnice AS-Interface do síťových struktur
Ve směru k nadřazenému řídicímu systému může systém AS-Interface komunikovat dvěma způsoby (obr. 1). Nejčastěji se používá řešení, kdy je řídicí člen (master) přímo součástí řídicí jednotky a podřízená zařízení (typu slave) si vyměňují data přímo s touto řídicí jednotkou (na obr. 1 vlevo). Celá síť AS-Interface může být také začleněna pod nadřazenou průmyslovou sběrnici. Řídicí člen se svými podřízenými zařízeními se pak stává účastníkem průmyslové sběrnice vyšší úrovně a pracuje jako brána (mezisíťové propojení, gateway). Sběrnice AS-Interface je pak subsystém nadřazené průmyslové sběrnice (na obr. 1 uprostřed). Takové uspořádání systému je vhodné, má-li se zpracovávat velký počet signálů v jediné nadřazené jednotce, bez distri buovaných jednotek. Umožňuje také kombinovat několik sítí typu AS-Interface nebo překlenout větší vzdálenosti.

Obr. 1. Začlenění sběrnice AS-Interface do síťové struktury na vyšší úrovni [1]

Na trhu jsou brány pro všechny důležité průmyslové sběrnice. Systém AS-Interface není konkurent, ale doplněk vyšších průmyslových sběrnic a je otevřen směrem nahoru ke všem běžným řídicím jednotkám, průmyslovým sběrnicím i internetu.

2.3 AS-Interface v referenčním modelu ISO/OSI
Systém AS-Interface lze stejně jako ostatní průmyslové sběrnice popsat při použití sedmi vrstev referenčního modelu ISO/OSI. Tento model určuje podmínky, při jejichž dodržení mohou různí účastníci přenosu spolehlivě komunikovat navzájem mezi sebou. Jako u většiny průmyslových sběrnic, i v systému AS-Interface jsou realizovány pouze první, druhá a sedmá vrstva modelu ISO/OSI (tab. 2).

3. AS-Interface Safety at Work

3.1 Základní vlastnosti
Principem techniky AS-Interface Safety at Work (dále AS-I Safety at Work, také popř. jen SaW) je úplná kompatibilita komponent SaW se standardem AS-Interface. Stejné jsou struktura telegramu, způsob přenosu, sekvence dotazování řídicím členem atd. Komponenty SaW mohou být proto připojovány k současné sběrnici AS-Interface a mohou po ní mezi sebou komunikovat bez ovlivnění výměny dat mezi řídicím a konvenčními podřízenými členy. Konvenční i bezpečnostní komponenty SaW mohou společně pracovat na jedné sběrnici bez jakýchkoliv omezení. Výrobce nebo provozovatel zařízení musí analyzovat rizika a navrhnout bezpečnostní řešení odpovídající výsledné kategorii bezpečnosti podle norem IEC 61508, DIN 19250 či EN 954-1.

Tab. 2. Referenční model ISO/OSI a systém AS-Interface [1]

Hardware systému SaW má dvě základní části: bezpečnostní monitor a bezpečnostní vstupní členy (podřízené, tzv. safety slaves). Jádrem systému je bezpečnostní monitor. Jeho úkolem je při aktivaci některého z bezpečnostních vstupů nebo při výskytu chyby v systému vypnout hlídané zařízení. Řídicí člen na sběrnici přistupuje k bezpečnostním vstupním členům stejně jako ke konvenčním a cyklicky si s nimi vyměňuje data. Bezpečnostní monitor přijímá veškerá data pohybující se po sběrnici, vybírá z nich odpovědi bezpečnostních vstupních členů a určuje, kdy může být hlídané zařízení zapnuto. Na jednom sběrnicovém kabelu systému AS-Interface tudíž současně probíhají dvě činnosti. Řídicí automat ovládá stroj nebo technologický proces prostřednictvím řídicího členu a konvečních podřízených členů, zatímco bezpečnostní monitor sleduje bezpečnostní vstupní členy a zajišťuje bezpečnost osob a zařízení.

3.2 Princip činnosti SaW
Princip činnosti systému SaW lze dobře vysvětlit na funkci nouzového vypínače, který patří mezi nejčastěji používané bezpečnostní prvky a bude zde reprezentovat libovolný bezpečnostní senzor.

Má-li systém SaW splňovat bezpečnostní normy, musí splnit stejné požadavky jako konvenční zapojení a odezva na aktivaci nouzového vypínače musí nastat v definovaném čase. Je tudíž třeba zajistit, že informace „nouzový vypínač byl aktivován“ bude (k čemuž slouží):

• bezpečně rozpoznána (bezpečnostní senzor),
• bezpečně vyslána na sběrnici (bezpečnostní vstupní člen),
• bezpečně přijata (bezpečnostní monitor),
• bezpečně vyhodnocena (bezpečnostní monitor)

a že zařízení bude bezpečně vypnuto (v sérii řazené hlídané spínací prvky připojené k bezpečnostnímu monitoru).

„Bezpečně“ znamená, že funkce nouzového vypnutí je vždy k dispozici a že všechny poruchy, které se mohou vyskytnout, uvedou hlídané zařízení do bezpečného stavu, tj. typicky stavu „vypnuto“.

Obr. 2. Tok dat v systému AS-I Safety at Work [3]

Každý bezpečnostní vstupní člen periodicky vysílá kódovou sekvenci nesoucí informaci o stavu jeho vstupů. Kódová sekvence je uložena v paměti organizované jako 8 × 4 bity. V každém cyklu jsou postupně odeslány čtyři bity kódu, přičemž tuto odpověď bezpečnostní monitor porovnává s referenční hodnotou uloženou v paměti. Je-li aktivován nouzový vypínač, přeruší se spojení s pamětí a v dalším cyklu se v odpovědi vyšle hodnota 0000_bin. Jestliže přijatá hodnota neodpovídá očekávané hodnotě z kódové sekvence příslušného bezpečnostního vstupního členu nebo hodnotě 0000_bin, bezpečnostní monitor vyhodnotí tento stav jako chybu. Kódové posloupnosti jsou vybírány tak, aby poruchy, jako např. zkrat mezi dvěma vodiči nebo konstantní úroveň na výstupu integrovaného obvodu slave AS-I, způsobily při porovnávání chybu.

Veškerý tok dat mezi bezpečnostním vstupním členem a bezpečnostním monitorem je schematicky znázorněn na obr. 2. Aby systém odpovídal kategorii 4 normy EN 954-1, nesmí ojedinělá chyba způsobit ztrátu funkceschopnosti celého zařízení. Proto je konvenční nouzový vypínač vybaven dvěma kontakty, které jsou za normálních okolností sepnuty. Jestliže tedy vznikne závada na jednom z kontaktů, druhý může stále inicializovat vypnutí zařízení. Použije-li se toto pravidlo na bezpečnostní vstupní člen, znamená to, že jeho kódová sekvence se rozdělí na dvě části po 2 × 8 bitech, kdy každá skupina reprezentuje jeden mechanický kontakt. Pokud je aktivní pouze jeden kontakt (dva bity jsou nulové a dva stále odpovídají kódové sekvenci), bezpečnostní monitor spolu s vypnutím zařízení vygeneruje i chybové hlášení.

Tab. 3. Možné stavy bezpečnostního vstupního členu (safety slave) [1]

Ne každá odchylka od očekávané kódové sekvence je ovšem zaviněna vadným podřízeným členem nebo vadných senzorem. Protože kontakty mají určité mechanické tolerance a mohou zakmitávat, mohou při spínání a rozpínání tlačítka vzniknout neurčité stavy. Proto bezpečnostní monitor nebo řídicí člen vždy od podřízeného členu nejdříve vyžadují několik odpovědí a teprve potom rozhodnou o jeho skutečném stavu. Možné stavy bezpečnostního vstupního členu během jeho činnosti jsou souhrnně uvedeny v tab. 3.

3.3 Bezpečnostní monitor
Klíčovým prvkem systému AS-I Safety at Work tedy je bezpečnostní monitor (safety monitor) s vnitřní strukturou podle obr. 3.

Obr. 3. Struktura bezpečnostního monitoru [2]

Bezpečnostní monitor sleduje veškerou komunikaci na síti a výzvy řídicího i odpovědi podřízených zařízení ukládá do vyrovnávací paměti. Telegramy z vyrovnávací paměti se každých 5 ms zpracovávají ve dvou mikroprocesorech, které pro zajištění větší spolehlivosti vzájemně monitorují svou činnost. Mikroprocesory posuzují sekvenci dotazů od řídicího členu, a mohou tak např. zjistit chybějící podřízený člen. V závislosti na dané konfiguraci systému rozlišují bezpečnostní vstupní členy (safety slave), pro něž vytvoří tzv. pracovní registr, a klasické podřízené členy (slave), jejichž hodnoty I/O ovšem také ukládají. Když jsou zpracovány všechny telegramy uložené ve vyrovnávací paměti, končí první část úlohy bezpečnostního monitoru (která by ve standardním systému AS-Interface odpovídala rozhraní mezi řídicím členem AS-I a nadřazeným systémem, např. PLC).

Má-li systém SaW plnit svou bezpečnostní funkci, musí být nepřetržitě sledován stav jeho prvků. V každé odpovědi řídicímu členu systému AS-Interface se proto vysílá zpráva o tom, v jakém stavu se každý prvek SaW nachází. Bezpečnostní monitor odpovědi filtruje, a jestliže zpráva o stavu chybí nebo je poškozená, vypne hlídané zařízení. Každý bezpečnostní vstupní člen má informaci „nouzový vypínač není aktivní“ zakódovanou ve 32bitovém kódovém slovu, které vysílá ve čtyřbitových rámcích v každém cyklu sítě jako uživatelská data (D0 až D3). V bezpečnostním monitoru je tak neustále kompletní kódová posloupnost přijatá v posledních osmi cyklech sítě AS-Interface od každého bezpečnostního vstupního členu. Toto se neustále opakuje, dokud není aktivován nouzový vypínač. Do paměti každého bezpečnostního vstupního členu je při výrobě uložena jemu vlastní kódová sekvence, jejíž obraz se při inicializaci sítě SaW také uloží do paměti bezpečnostního monitoru.

Součástí bezpečnostního monitoru jsou dále programové funkční moduly k ovládání výstupních relé monitory a k realizaci některých monitorovacích funkcí. Každý bezpečnostní vstupní člen má vlastní funkční modul, kde jsou nastaveny parametry jako adresa v síti AS-Interface atd. Dále se na úrovni řízení bezpečnostního monitoru z obsahu pracovního registru určí, kdy jsou naplněny podmínky k sepnutí výstupních relé, a tedy kdy bude stroj spuštěn.

Obr. 4. Stavový diagram bezpečnostního monitoru [1]

Funkční moduly jsou realizovány jako stavové automaty (obr. 4). K rozhodnutí o novém stavu používají současný stav (stav řízeného členu zjištěný v minulém kroku) a hodnotu z pracovního registru (aktuální stav řízeného členu). Stav na výstupu každého funkčního modulu je přepočítáván v rytmu činnosti bezpečnostního monitoru, tj. každých 5 ms.

Funkční modul pro dva nuceně spínané kanály (two-channel forced) např. zajistí zpracování údaje nouzový vypínač vypnut podle požadavků kategorie bezpečnosti 4 normy EN 954-1. Tato funkce také zkontroluje, zda jsou oba kontakty vždy ve stejném stavu (oba sepnuté, nebo oba rozepnuté). Je-li pracovní registr příslušného podřízeného členu v jednom ze dvou stavů half, znamená to, že nouzový vypínač nepracuje správně. Funkční modul potom přejde do stavu vadný slave, bezpečnostní monitor rozepne výstupní kontakty a stav indikuje blikající červená LED. Přestože je v dalším cyklu stav podřízeného členu indikován jako správný, chybový stav trvá do potvrzení operátorem a před opětovným spuštěním stroje musí být také přezkoušena správná funkce bezpečnostního vstupního členu, který chybu vyvolal.

Tab. 4. Základní a rozšířená verze (funkce) bezpečnostního monitoru [2]

Další funkční modul, typ pro dva závislé kanály (two-channel dependent), je určen např. pro sledování stavu dveří se dvěma samostatnými koncovými kontakty. V tomto případě jsou stavy half přípustné. Jestliže např. operátor nechá dveře pootevřené, funkční modul nenahlásí chybový stav, ale bezpečnostní monitor přejde pouze do stavu nutné ověření (test required), který indikuje blikající žlutá LED. Operátor poté musí dveře znovu úplně otevřít a zavřít, aby se ověřila funkce obou spínačů.

Obr. 5. Logické propojení vstupů a výstupu bezpečnostního monitoru [2]

Dále uživatel vybere např. modul spuštění, které může být buď automatické, nebo na stisk spouštěcího tlačítka. A nakonec zvolí modul výstupní funkce kategorie 0, popř. kategorie 1, který určuje časový sled spínání nebo rozpínání výstupů bezpečnostního monitoru. Po aktivaci nouzového vypínače se tak např. nejdříve spustí brzdicí systém a teprve poté je zařízení odpojeno od zdroje, nebo se dveře odblokují až po zastavení stroje. Všechny podřízené členy (slaves) přiřazené jednomu výstupnímu obvodu jsou zapojeny v logickém součinu (obr. 5). Výstupní kontakty bezpečnostního monitoru tak mohou být sepnuty pouze v případě, že všechny příslušné funkční moduly jsou ve stavu on.

Funkční moduly operátor při inicializaci sítě nastavuje a přiřazuje k výstupním obvodům (bezpečnostní monitory se vyrábějí jednokanálové a dvoukanálové) v prostředí grafického konfiguračního softwaru Asimon (viz dále).

Tab. 5. Existující typy bezpečnostních monitorů [2]

Hotová konfigurace se přes sériové rozhraní (RS-232) nahraje do bezpečnostního monitoru. Následuje učicí fáze, kdy jsou nahrány kódové sekvence připojených podřízených členů a odeslána jejich konfigurační data. Poté bezpečnostní monitor ověří celou konfiguraci, kódové sekvence a vytvoří konfigurační záznam, který obsahuje veškeré údaje související s bezpečností. Po potvrzení příkazu platnost uznána bezpečnostní monitor přejde do pracovního módu a hlídá příslušná zařízení.

Bezpečnostní monitor poskytuje podrobné informace o každém připojeném bezpečnostním vstupním členu, které lze po sériové lince přenést k zobrazení prostřednictvím PC. Tuto funkci lze s výhodou využít zejména při diagnostice systému. Bezpečnostní monitor může být nakonfigurován také tak, aby se nadřazenému systému jevil jako standardní podřízený člen systému AS-Interface a mohl poskytovat diagnostické informace. Každý monitor nebo podřízený člen může být kdykoliv přemístěn na libovolné místo na sběrnici, aniž by bylo nutné systém rekonfigurovat. Použít PC není nutné ani při výměně podřízeného členu nebo bezpečnostního monitoru. Po připojení nového podřízeného členu ke sběrnici bezpečnostní monitor pouze potřebuje přečíst jeho identifikační kódovou sekvenci.

Bezpečnostní monitory se v současnosti vyrábějí ve čtyřech provedeních (typech), a to jako jednokanálové a dvoukanálové v základní nebo rozšířené verzi (tab. 4, tab. 5).

(dokončení příště)

Ing. Radek Štohl, Ph.D.,
Ing. Petr Fiedler, Ph.D.,
Ing. Robert Dubjel,
ústav automatizace a měřicí techniky
FEKT VUT v Brně
(stohl@feec.vutbr.cz)