Inhaltsverzeichnis
1. Netzwerk bietet Flexibilität
2. Zur Technik – OPC UA als Basis
3. Black-Channel-Prinzip hat sich bewährt
4. Gemeinsam Detailfragen lösen
5. Bewährte Zusammenarbeit
Bisher ist die funktional sichere Kommunikation über einen Feldbus oder Industrial Ethernet auf reine Master-Slave- beziehungsweise Controller-Device-Architekturen begrenzt. Für die sichere Übertragung zwischen Maschinen – und damit zwischen den in den Maschinen eingesetzten Steuerungen – gibt es aber heute keinen herstellerübergreifenden Standard. Controller verschiedener Hersteller können daher heute nicht ohne weiteres sicher miteinander kommunizieren.
Diese Situation ist in Hinblick auf die zunehmende Vernetzung in den Unternehmen unbefriedigend. So gibt es Branchen mit einer sehr heterogenen Automatisierungslandschaft, wie zum Beispiel Food & Beverage, wo häufig Steuerungen unterschiedlicher Hersteller funktional sicher miteinander verbunden werden müssen. Dann sind heute spezielle Koppler erforderlich, was mit einem hohen Hardware- und Engineering-Aufwand verbunden ist. Gleichzeitig hat der Einsatz funktional sicherer Geräte in den vergangen Jahren rasant zugenommen. So wird die Anzahl der im Feld installierten Profisafe-Knoten bei deutlich über 8 Millionen im Jahr 2017 liegen; mit Wachstumsraten von zirka 30 % pro Jahr. Es gibt also einen steigenden Bedarf, dass nun auch Controller mit Controllern über eine funktional sichere Kommunikation sprechen müssen.
Netzwerk bietet Flexibilität
Funktional sichere Kommunikation zwischen Controllern wird immer dann benötigt, wenn verschiedene Maschinen untereinander sicher koordiniert werden müssen. Meist tritt dies im Zusammenspiel zwischen Bearbeitungsmaschinen und den zuführenden und abführenden Transporteinheiten auf. Typische Beispiele sind hier Transferstraßen, Elektrohängebahnen oder Werkzeugmaschinen mit ihren Be- und Entladesystemen. Wo heute für die Verarbeitung von funktional sicheren Signalen im Maschinenverbund spezielle Verkabelungen, Koppler oder auch Zusatzsensorik zur Kollisionserkennung installiert werden, können künftig mit der sicheren Kommunikation über das ohnehin vorhandene Netzwerk deutlich Aufwand eingespart sowie flexiblere Konzepte umgesetzt werden.
Weitere Einsatzbereiche lassen sich in Schleusen- und Brückenapplikationen finden, wo die Objekte von einer zentralen Leitwarte aus der Ferne zu überwachen und sicher zu steuern sind. Hier sind also größere Distanzen für die Safety-Signale zu überbrücken. Interessant sind zum Beispiel auch Krananwendungen: Bei großen Industriekränen werden über ein zentrales Steuerpult mehrere Kräne bedient. Die verantwortliche Person am Bedienpult muss in einer Gefahrensituation jederzeit in der Lage sein, den betreffenden Kran sicher abzuschalten. Außerdem gibt es Applikationen, bei denen mehrere ‚Krankatzen‘ koordiniert werden müssen, um schwere Lasten zu tragen. Auch diese Applikationen sind sicherheitsrelevant und erfordern einen nicht unerheblichen Datenaustausch zwischen den einzelnen Steuerungen.
Zur Technik – OPC UA als Basis
Da für Verbindungen zwischen den Steuerungen unterschiedlicher Hersteller OPC UA eine zunehmend wichtige Rolle spielt, ist es konsequent und sinnvoll, die Mechanismen von Profisafe auch auf OPC UA auszuweiten. Dafür wurde Mitte November 2017 der Grundstein für eine Joint Working Group von OPC Foundation und PI gelegt. Hintergrund ist: Die in den 90er Jahren von PI (Profibus & Profinet International) entwickelte Profisafe-Lösung ermöglicht funktional sichere Kommunikation und die Übertragung von Standard-Prozessdaten über dieselbe Verbindung. Aufgrund der damit verbundenen Vorteile hat sich Profisafe mittlerweile auf breiter Front durchgesetzt und ist heute weltweit der Marktführer unter den funktional sicheren Feldbus-Protokollen. Vor allem aber: Die Technologie ist stabil und ausgereift.
Von den bewährten Profisafe-Mechanismen soll auch die neue Spezifikation profitieren – es gilt also weiterhin: Ein einziges Kabel für Standardkommunikation und sicherheitsbezogene Kommunikation. Und es wird wieder das bewährte Black-Channel-Prinzip zugrunde liegen, von dessen Einfachheit immer noch viele Entwickler begeistert sind.
Black-Channel-Prinzip hat sich bewährt
Kern des Black-Channel-Prinzips ist die Verlagerung aller sicherheitsbezogenen Mechanismen in eine eigene Protokollschicht. Diese Schicht ist in der Lage, sämtliche Fehler der darunterliegenden Kommunikationsschichten sicher zu erkennen und entsprechend zu reagieren. Damit lässt sich insgesamt das benötigte Niveau an funktionaler Sicherheit erreichen, ohne dass Änderungen oder auch nur eine Analyse der unterlagerten Kommunikationsschichten nötig wären. Auch bei der Zertifizierung brauchen die unterlagerten Kommunikationsschichten nicht betrachtet werden. Dies hat den zusätzlichen Vorteil, dass bei einer Änderung der Übertragungstechnologie (etwa zur Verbesserung der Performance oder bedingt durch den Einsatz von Security-Techniken) die Zulassung für die funktionale Sicherheit ihre Gültigkeit behält.
Das Black-Channel-Prinzip lässt sich auch auf die Controller-Controller-Kommunikation übertragen, wobei dann der OPC-UA-Kommunikations-Stack die Rolle des Black-Channels übernimmt. Dies bedeutet, dass dieser bei einer Zertifizierung nicht betrachtet werden muss und auch im Nachhinein jederzeit angepasst oder erweitert werden kann. Zertifizierungsrelevant ist lediglich die Korrektheit der Implementierung des Profisafe-Protokolls auf einer funktional sicheren Plattform.
Gemeinsam Detailfragen lösen
Durch die Beibehaltung dieses bewährten Prinzips erwartet PI eine wesentliche Vereinfachung für Hersteller, die Profisafe auf OPC UA in ihren Controllern realisieren wollen. Somit ist eine hohe Akzeptanz sowohl bei den Herstellern, Endanwendern aber auch bei Gremien wie den Zertifizierungsstellen sichergestellt. Dennoch: Ohne weitere Arbeiten wird dies nicht funktionieren. Schließlich soll sich der Anwender darauf verlassen können, dass er eine einfach handhabbare, nachhaltige und zu seinen bisherigen Systemen kompatible Lösung erhält. Um nur einige der Detailarbeiten zu nennen, die gezielt betrachtet werden müssen:
- Bisher kamen asymmetrische Protokolle zwischen Host und Device zum Einsatz. Nun verschiebt sich dies in Richtung symmetrisches Protokoll, da zwei Hosts vorliegen. Dies erfordert eine Anpassung der Zustandsmaschinen des Profisafe-Protokolls. Statt bisher zwei Zustandsmaschinen (eine für den Host, eine für das Device) wird es in Zukunft lediglich eine einzige Maschine geben. Bei der Definition dieser Zustandsmaschine wird beispielsweise geklärt, wie ein Verbindungsaufbau läuft, wann Prozesswerte oder sichere Ersatzwerte auszugeben sind, oder wie ein Wiederanlauf zu quittieren ist.
- Über Aspekte der Projektierung muss nachgedacht werden, da bisher die Devices über den Host projektiert wurden. Auch Fragen der Adressierung oder Authentifizierung sind zu diskutieren.
- Ein weiterer wichtiger Aspekt ist die Definition der zu übertragenden Datentypen und Datenstrukturen sowie die sichere Prüfung, ob beide Kommunikationspartner überhaupt dasselbe Verständnis darüber haben, wie die übertragenen Daten zu interpretieren sind.
Die neue Spezifikation wird sowohl die Client/Server- als auch die Pub/Sub-Kommunikationsmodelle von OPC UA adressieren. Ebenso wird Pub/Sub-TSN berücksichtigt, damit auch sehr geringe Zykluszeiten in der Kommunikation realisiert werden können. Deshalb wird die neu zu erarbeitende Profisafe-over-OPC-UA-Spezifikation auf der brandneuen OPC-UA-Pub/Sub-Spezifikation von OPC UA aufsetzen. Natürlich muss die neue Spezifikation den Sicherheitsanforderungen der IEC 61784-3 bis SIL 3 genügen. Ziel ist es, dass die von Profisafe bekannten und etablierten Mechanismen, also zum Beispiel Sicherheitsmaßnahmen zur Erkennung von Paketverlust, Datenverfälschung, Adressierungsfehlern oder unerlaubten Verzögerungen weitgehend unverändert übernommen werden. Diese bewährten Mechanismen sind den Zulassungsstellen – etwa dem TÜV – bereits bekannt, weshalb eine einfache und schnelle Zertifizierung des Protokolls und in der Folge auch der Produkte zu erwarten ist.
Ausblick: In der Gründungsphase der Joint Working Group zwischen OPC Foundation und PI wird zunächst wie üblich ein Charter (Call for Experts) veröffentlicht, das zur aktiven Mitarbeit bei der Spezifikation aufruft: Interessierte Mitarbeiter sind herzlich willkommen! Von Vorteil ist: PI und OPC Foundation können Technologien nicht nur entwickeln und voranbringen, sondern auch ein Prüfwesen und Schulungen aufbauen. Darüber hinaus gibt es von den Organisationen geführte herstellerunabhängige Testlabore, in denen die Geräte und Komponenten auf die Einhaltung der Spezifikation geprüft werden können, um so für die notwendige Interoperabilität zu sorgen. So gerüstet können in naher Zukunft auf Grundlage der neuen Spezifikation ‚Profisafe over OPC UA‘ Controller und damit Maschinen sicher miteinander kommunizieren. co
Eine Systembeschreibung zu Profisafe ist hier erhältlich
Bewährte Zusammenarbeit
Dass der eingeschlagene Weg zwischen PI und OPC Foundation der richtige ist, hat sich bereits in der Joint Working Group der PI und OPC Foundation bei der Erstellung einer OPC-UA-Companion-Spezifikation für Profinet gezeigt. Hier startete im Mai 2017 eine Arbeitsgruppe, die sich auf die detaillierte Ausarbeitung von konkreten Usecases konzentriert. Für Anwender sind vor allem Themen wie Asset Management und Diagnose interessant, die sich bereits in der Profinet-Spezifikation wiederfinden. Über das Mapping erhält der Anwender nun alle Informationen entsprechend einer standardisierten Struktur im OPC-UA-Objektbaum. Diese Informationen können dann problemlos in überlagerten Systemen weiterverarbeitet werden. Dank TCP/IP kann der OPC-UA-Zugriff über die Steuerungen, Gateways oder auch direkt auf unterlagerte Geräte erfolgen. Ein Einstieg in OPC UA kann also flexibel und stufenweise erfolgen. Ziel der Aktivitäten ist eine OPC-UA-Profinet-Companion-Spezifikation in Q2/2019. Die Gerätehersteller können unverändert die bewährten Profinet-Dienste integrieren, eine Darstellung der Informationen über OPC-UA-Dienste entsprechend dem dann definierten Mapping kann dann je nach Kundenanforderung in den entsprechenden Geräten erfolgen.
Hier finden Sie mehr über:
