HIMA PES-Sicherheitssteuerungsprogrammierung: Ausfallsichere Logik mit Profibus-PA-Integration konfigurieren

Ein praxisorientierter Engineering-Leitfaden zur Konfiguration des HIMA Planar4 PES, zur Auslegung von Sicherheitsfunktionen und zur Integration von Profibus-PA-Feldgeräten für die Sicherheit in chemischen Prozessanlagen

Einleitung

Programmierbare elektronische Systeme (PES) von HIMA Planar4 werden in sicherheitskritischen Prozessindustrien wie der chemischen Verarbeitung, der Raffinerietechnik und auf Offshore-Plattformen umfassend eingesetzt. Die fehlersichere Architektur von HIMA stellt sicher, dass jeder Ausfall einer einzelnen Komponente zu einem definierten sicheren Zustand führt – eine grundlegende Anforderung gemäß IEC 61508 und IEC 61511. Dieser Artikel konzentriert sich auf die praktischen Engineering-Schritte zur Konfiguration von HIMA-Planar4-Sicherheitsfunktionen und zur Integration mit Profibus-PA-Feldgeräten am HIMA-HIBC-Bus. Die Zielgruppe umfasst Instrumentierungsingenieure, Integratoren von Sicherheitssystemen und für die Inbetriebnahme und Wartung von SIS verantwortliche Anlagen-Sicherheitsbeauftragte.

Grundlagen der fehlersicheren HIMA-Architektur

HIMA-Planar4-Systeme verwenden eine zweikanalige Architektur, in der beide Kanäle ihre Ausgänge kontinuierlich gegenseitig vergleichen. Überschreitet eine Abweichung den definierten Grenzwert, wechselt das System in einen sicheren Zustand, indem alle Ausgangskanäle gleichzeitig stromlos geschaltet werden. Dieses fehlersichere Prinzip gilt für alle HIMA-PES-Generationen einschließlich Planar4, Element und Impact. Das HIBC-Modul (HIMA Industrial Bus Controller) dient als Gateway zwischen der Sicherheitssteuerung und den Profibus-PA-Feldgeräten und unterstützt sowohl digitale E/A als auch analoge Prozessvariablen. Das Verständnis dieser Architektur ist unerlässlich, bevor eine Konfigurationsaufgabe begonnen wird.

Voraussetzungen

• HIMA-Planar4-PES-Steuerung mit HIBC-Modul (HIBC-S, Firmware v3.2 oder höher)
• SIMATIC PDM oder HIMA-HIBC-DTM-Software zur Konfiguration von Profibus-PA-Geräten
• Profibus-PA-Segment mit eigensicheren Feldgeräten (z. B. Druckmessumformern und Temperatursensoren)
• DP/PA-Koppler zur Verbindung von Profibus-DP- und PA-Segmenten
• Trenntransformator zur galvanischen Trennung zwischen HIBC-Modul und Feldstromkreisen
• Freigegebene Konfigurationsdokumente: Safety Requirement Specification (SRS) und Ursache-Wirkungs-Matrix

Konfigurationsschritte

Schritt 1: Sicherheitsfunktionen aus der Ursache-Wirkungs-Matrix definieren

Prüfen Sie die Safety Requirement Specification (SRS) für die betreffende Prozesseinheit. Identifizieren Sie alle sicherheitsinstrumentierten Funktionen (SIFs), die einen Eingriff des HIMA-PES erfordern. Definieren Sie für jede SIF die Auslösebedingung (z. B. hoher Druck > 12 bar an PT-101), die geforderte Sicherheitsreaktion (z. B. ESDV-101 schließen) und den erforderlichen SIL. Dokumentieren Sie diese Sicherheitsfunktionen in der Ursache-Wirkungs-Matrix, bevor Sie die HIMA-Konfigurationssoftware öffnen. Das Überspringen dieses Schritts ist die häufigste Ursache für Projektverzögerungen und Lücken bei den Sicherheitsfunktionen während des FAT (Factory Acceptance Testing).

Schritt 2: HIBC-Projekt erstellen und GSD-Dateien importieren

Öffnen Sie das HIMA-Konfigurationstool (je nach Steuerungsgeneration HIMA SysStudio oder Impact Pro). Erstellen Sie ein neues Projekt und fügen Sie das HIBC-Modul in den Hardwarebaum ein. Importieren Sie die GSD-Dateien für alle Profibus-PA-Geräte in Ihrem Segment. Ohne gültige GSD-Dateien kann das HIBC keine Geräteparameter erkennen. Verwenden Sie für Rosemount-3051S-Druckmessumformer an Profibus PA die GSD-Datei EM_Rosemount_3051S_V2.gsd. Weisen Sie jedem Gerät eine eindeutige Profibus-Adresse (1–126) zu. Prüfen Sie, dass der Gesamtstrom des Segments den maximalen Busstrom des DP/PA-Kopplers nicht überschreitet.

Schritt 3: Sicherheitslogik mit FBD-Programmierung konfigurieren

HIMA Planar4 unterstützt die Programmierung mit Funktionsplänen (FBD) gemäß IEC 61131-3. Fügen Sie für jeden Analogeingang ein Vergleichsfunktionsbaustein ein. Verbinden Sie den HIBC-Analogeingang (z. B. PT-101_HIBC_CH1) mit dem Eingang des Vergleichers. Konfigurieren Sie den Vergleicher so, dass er TRUE ausgibt, wenn der Druck den Auslösegrenzwert überschreitet. Verbinden Sie den Ausgang des Vergleichers mit einem Halteglied (SR-Flipflop), damit der Abschaltzustand bis zum manuellen Rücksetzen erhalten bleibt. Führen Sie den Q-Ausgang des Halteglieds auf den HIBC-Digitalausgang, der ESDV-101 steuert. Dieser strukturierte Ansatz stellt sicher, dass jede Sicherheitsfunktion eine klare und prüfbare Logikkette vom Eingang bis zum Endelement besitzt. Außerdem reduziert die Verwendung standardisierter HIMA-Sicherheitsfunktionsbausteine (vorvalidierter Bibliotheken) den Zertifizierungsaufwand.

Schritt 4: Zyklischen Profibus-PA-Datenaustausch konfigurieren

Ordnen Sie in der Konfiguration des HIBC-Moduls die Profibus-PA-Prozessvariablen den internen HIMA-Tags zu. Ordnen Sie für jeden Messumformer Folgendes zu: PV (Primärwert, 4-Byte-FLOAT) → HIMA-AI-Tag; Statusbyte → Diagnose-Tag; sekundäre HART-Variablen (optional) → Wartungs-Tag. Stellen Sie die Profibus-Zykluszeit entsprechend den Anforderungen an die SIL-Reaktionszeit ein – typischerweise 100 ms für SIL-2- und 50 ms für SIL-3-Anwendungen. Prüfen Sie, dass die konfigurierte Aktualisierungszeit der Digitalausgänge innerhalb der in der SRS definierten Safety Reaction Time (SRT) liegt. Konfigurieren Sie den Watchdog-Timer am HIBC-Modul: Wird der Profibus-Zyklus länger als 500 ms unterbrochen, sollte das HIBC eine fehlersichere Reaktion auslösen und alle Ausgänge stromlos schalten.

Schritt 5: Online-Test und Verifizierung der Sicherheitsfunktionen

Laden Sie die Konfiguration in die HIMA-Steuerung. Versetzen Sie die Steuerung in den TEST-Modus und führen Sie für jede Sicherheitsfunktion eine systematische Schleifenprüfung durch. Legen Sie mit einem HART-Kommunikator oder einem Druckkalibrator Fluke 718 ein kalibriertes Drucksignal an PT-101 an. Erhöhen Sie den Druck schrittweise, bis HIMA auslöst. Prüfen Sie, dass ESDV-101 innerhalb der definierten Safety Reaction Time (SRT) schließt. Messen Sie die tatsächliche Reaktionszeit mit einem Oszilloskop oder Datenerfassungssystem. Stellen Sie sicher, dass das Halteglied den Auslösezustand beibehält, nachdem das Eingangssignal wieder in den Normalbereich zurückgekehrt ist. Setzen Sie das Halteglied manuell zurück und prüfen Sie, dass das Ventil wieder öffnet. Wiederholen Sie dieses Verfahren für jede in Ihrer SRS definierte SIF. Dokumentieren Sie alle Prüfergebnisse im Sicherheitsfunktions-Prüfbericht gemäß IEC 61511, Abschnitt 17.

Häufige Konfigurationsfehler

• Watchdog-Timeout zu lang: Die Standard-Watchdog-Einstellungen der HIBC-Firmware können Ihre SRT überschreiten. Konfigurieren Sie den Watchdog für jede SIF manuell auf einen Wert ≤ 50 % der SRT.
• Profibus-Adresskonflikt: Zwei Geräte mit derselben Profibus-Adresse verursachen Fehler bei der zyklischen Kommunikation. Verwenden Sie vor der Inbetriebnahme einen Profibus-Analyzer (z. B. Softing PBCN-2), um nach Adresskonflikten zu suchen.
• Halteglied lässt sich nicht zurücksetzen: Prüfen Sie die Rücksetzbedingung in der Konfiguration des SR-Flipflops. Ein falsch verdrahteter Rücksetzeingang verhindert das Rücksetzen durch den Bediener und führt zu einem fälschlichen Zustand „dauerhaft ausgelöst“.
• GSD-Abweichung: Die Verwendung einer veralteten GSD-Datei kann verhindern, dass das HIBC bestimmte Parameter ausliest, wodurch PV = 0 oder ein ungültiger Status entstehen kann. Prüfen Sie immer, ob die GSD-Version mit dem Firmwarestand des Geräts übereinstimmt.

Fazit und Handlungsempfehlungen

HIMA Planar4 mit Profibus-PA-Integration bietet eine robuste, normgerechte Plattform für Prozesssicherheitsanwendungen. Eine erfolgreiche Inbetriebnahme erfordert jedoch die konsequente Einhaltung des Sicherheitslebenszyklus gemäß IEC 61511. Leiten Sie Sicherheitsfunktionen zunächst immer aus einer formalen SRS und einer Ursache-Wirkungs-Matrix ab, bevor Sie die Konfigurationssoftware öffnen. Halten Sie zweitens eine validierte GSD-Dateibibliothek für alle Feldgeräte vor. Stellen Sie drittens die HIBC-Watchdog-Timer konservativ ein – ein Watchdog-Timeout von 500 ms ist für SIL-3-Anwendungen im Allgemeinen zu lang. Führen Sie abschließend umfassende Online-Tests der Sicherheitsfunktionen für alle SIFs durch, einschließlich der Pfade für manuelle Eingriffe, und bewahren Sie vollständige Prüfaufzeichnungen für behördliche Audits auf. Durch die Befolgung dieser Schritte können Ingenieure HIMA-Sicherheitssysteme zuverlässig in Betrieb nehmen und sowohl das Risiko von Projektverzögerungen als auch von Ausfällen der Sicherheitsfunktionen im Feld reduzieren.