Technologie bezpieczeństwa-DeviceNet Safety

W artykule zaprezentowano wymagania funkcjonalne nałożone przez normę IEC 61508 i wynikające z nich zmiany wprowadzone do przykładowej sieci tego typu, którą jest DeviceNet. W szczególności omówiono modyfikacje protokołu, które umożliwiają osiągnięcie odpowiedniego poziomu bezpieczeństwa.

Fot. 1 Kontroler bezpieczeństwa sieci NE1A firmy Omron Electronics

Rosnące zapotrzebowanie konsumentów na produkty wymusza zwiększanie szybkości pracy elementów, umożliwiając osiąganie większej wydajności i efektywności pracy systemów produkcyjnych. Jedynym niezmiennym elementem całego ciągu technologicznego pozostaje człowiek.

O ile w przypadku procesów ciągłych, wymagających pewnego ustalonego czasu, wynikającego przykładowo z reakcji chemicznych, niewiele udało się zmienić, w przypadku procesów dyskretnych, takich jak montaż czy produkcja FMCG, osiągnięto daleko idący postęp. Skrócenie czasu wytwarzania produktów spowodowało, że wszystkie operacje muszą być wykonywane znacznie szybciej. Aby zrealizować zadania maszynowe wymagane było zastosowanie szybszych silników, siłowników i innych elementów wykonawczych.

Wykorzystanie szybkich sterowników PLC wraz z całym zestawem układów serwonapędowych pozwoliło zdjąć z operatorów część obowiązków i funkcji kontrolnych. Obecności człowieka przy maszynie nie udało się jednak do końca wyeliminować.

Konieczne jest nadzorowanie podawania materiałów i składników, kontrola poszczególnych faz produkcji i usuwanie ewentualnych zatorów, przezbrajanie i wymiana zużytych elementów. Każde z tych zadań w większości przypadków wymaga ingerencji do wnętrza maszyny. Właśnie na tym etapie pojawia się problem bezpieczeństwa, który dotyczy zarówno personelu, jak też systemów produkcyjnych.

Ewolucja techniki zabezpieczeń

Fot. 2 Skaner 1753-DNSI firmy Rockwell Automation umożliwiający dostęp do sieci DeviceNet

Pierwsze systemy zabezpieczające sprowadzały się do centralnych wyłączników zasilania. W przypadku wystąpienia awarii operator wyłączał zasilanie i czekał, aż układy oraz elementy zatrzymają się bądź wytracą energię. Rozwój technologii PLC w latach 80. zeszłego wieku spowodował, że cała logika procesowa zmieniona została z przekaźników i styczników na rzecz uniwersalnych sterowników, dzięki czemu uzyskano daleko idącą elastyczność systemów sterowania.

Niestety układy bezpieczeństwa zostały w tym okresie rozbudowane jedynie o funkcję odcinania wyjść (sterownik mógł być dalej zasilany) oraz w wielu przypadkach dodawano czujniki zamknięcia osłon. Każda zmiana w układach zabezpieczeń wymagała w dalszym ciągu poprawek sprzętowych.

Kolejne lata przyniosły lawinowy rozwój technik sieciowych. Stworzenie takich technologii jak DeviceNet, Profibus czy ControlNet pozwoliło na rezygnację z doprowadzania wszystkich sygnałów do centralnego sterownika. Osiągnięto to dzięki wykorzystaniu modułów we/wy, które umieszczane były blisko źródeł i odbiorców sygnałów i łączone ze sterownikami poprzez kable magistralowe.

Takie rozwiązanie znacznie obniżyło koszty całości systemu, zwiększyło jego elastyczność i konfigurowalność, ale też pozwoliło na rozbudowę mechanizmów diagnostycznych. Ciągle jednak technologia oraz przepisy nie pozwalały na zastosowanie omawianych sieci w układach bezpieczeństwa.

Rys. 1 Układ warstwowy sieci protokołu CIP

Początek XXI wieku stał się dla techniki zabezpieczeń okresem przełomowym. Wielu dostawców, po ugruntowaniu się na rynku technologii sieciowych, rozpoczęło prace nad stworzeniem rozwiązań przenoszących wyżej wspomniane możliwości do systemów bezpieczeństwa.

Wychodząc temu naprzeciw organizacje normujące stworzyły międzynarodowy standard określany jako IEC 61508. Zdefiniowano w nim m.in. generalne zasady zabezpieczania urządzeń przy pomocy programowalnych układów elektronicznych, a w szczególności połączonych za pomocą sieci. Jednym z jej elementów jest określenie wiarygodności systemu jako układu bezpieczeństwa.

Wyraża się on poziomem nienaruszalności bezpieczeństwa SIL (Safety Integrity Level), który zależny jest od prawdopodobieństwa wystąpienia błędu wewnętrznego w czasie pracy systemu. Podstawowym zadaniem dla sieciowego systemu bezpieczeństwa nie jest przy tym wyeliminowanie możliwości awarii układu, ale spowodowanie, że w przypadku wystąpienia awarii wszystkie wskazane urządzenia przełączone zostaną w odpowiedni stan bezpieczny. Dla zdecydowanej większości aplikacji przemysłowych zaleca się stosowanie poziomu SIL 3, co oznacza że w trakcie pracy w pełni obciążonego systemu niezauważony lub źle zidentyfikowany błąd może się pojawić raz na 150 lat ciągłej pracy.

Spełnienie powyższego warunku nie jest łatwe, stąd większość dostawców zdecydowała się na stworzenie oddzielnych, dedykowanych sieci, wewnątrz których możliwa jest komunikacja wyłącznie z urządzeniami bezpieczeństwa. Dzięki uniwersalnemu protokołowi CIP, stanowiącemu definicję warstw wyższych sieci DeviceNet, udało się również dodać do istniejącej od 1994 roku technologii sieciowej nowe funkcje, tworząc DeviceNet Safety.

Nowe elementy w starej sieci

Rys. 2 Hybrydowy system bezpieczeństwa złożony z kiku sieci

Podstawą do zapewnienia pełnej funkcjonalności wymaganej przez normę IEC 61508 jest uniwersalny protokół CIP Safety (Common Industrial Protocol Safety). Jest on niezależną od warstwy fizycznej definicją właściwości urządzeń przemysłowych i metod ich komunikowania. Na rys. 1 przedstawione zostały warstwy sieciowe w odniesieniu do trzech typów sieci – DeviceNet, ControlNet oraz Ethernet/IP.

We wszystkich przypadkach odwołanie do poszczególnych atrybutów (np. stan wejścia czy przyspieszenie falownika) jest takie samo, niezależnie od zastosowanej sieci. Rozszerzając opis funkcji o dodatkowe elementy związane z bezpieczną komunikacją możliwe stało się zachowanie poprzednich właściwości i w ten sposób w 2005 roku powstała sieć określana jako DeviceNet Safety.

Następnie ukończone zostały też prace i testy nad drugim systemem sieciowym – Ethernet/IP Safety. Pozwoliło to na budowanie układów hybrydowych, integrujących różne media, czego przykład pokazano na rys. 2. W ten możliwe jest również dzielenie układów na fragmenty przy zapewnieniu integralności całego systemu bezpieczeństwa.

Protokół CIP Safety

Rys. 3 Struktura obiektowa wymiany danych w protokole CIP Safety

Warstwa aplikacyjna protokołu CIP Safety określana jest przez obiekt Safety Validator (SV). Jest on odpowiedzialny za zarządzanie połączeniami (CIP Safety Connections) i pracuje jako pośrednik pomiędzy obiektami aplikacji oraz warstwy łącza (patrz rys. 3). W trakcie przesyłania danych pomiędzy producentem (z lewej strony rysunku) i konsumentem (z prawej strony) obiekty SV pełnią następujące funkcje:

aplikacja generująca dane (PSA) wykorzystuje fragment klienta SV do utworzenia bezpiecznych danych oraz do zapewnienia koordynacji czasu,
klient SV wykorzystuje tradycyjne medium DeviceNet do przesłania wszystkich informacji (dane, czas) do odbiorcy,
aplikacja odbierająca dane (CSA) wykorzystując fragment serwera SV odbiera i sprawdza poprawność danych,
server SV wykorzystując nawiązane połączenie zwraca informację o czasie przyjęcia wiadomości do klienta SV.

Należy zwrócić uwagę, że podczas wymiany danych elementy łącza (w środku rysunku) nie uczestniczą w procesach związanych z bezpieczeństwem. Integralność danych i detekcję błędów zapewniają obiekty SV.