Optimierung der Umschaltzeit redundanter Steuerungen

Was die Umschaltzeit wirklich bedeutet

Redundante Steuerungen arbeiten in einem Primär-/Standby-Paar. Der Primärcontroller führt die Steuerungslogik aus und steuert die Ein-/Ausgänge. Der Standby-Controller läuft im Hot-Standby-Modus – er empfängt alle Eingangsdaten und führt dieselbe Logik parallel aus, steuert jedoch keine Ausgänge. Wenn der Primärcontroller ausfällt, übernimmt der Standby die Ausgangssteuerung. Das Intervall zwischen dem Ausfall des Primärcontrollers und der vollständigen Übernahme der Ausgangssteuerung durch den Standby wird als Umschaltzeit bezeichnet.

Bei Honeywell Experion PKS C300 Steuerungen liegt die Ziel-Umschaltzeit bei 10 bis 30 Millisekunden für Sicherheitsfunktionen und 50 bis 100 ms für Regelungsfunktionen. Für Allen-Bradley ControlLogix 1756-L85E beträgt die veröffentlichte Umschaltzeit weniger als 500 ms – in der Praxis beobachten Ingenieure jedoch häufig Werte zwischen 200 ms und 2 Sekunden, abhängig von Projektgröße, Netzwerkauslastung und Heartbeat-Konfiguration.

Eine langsame Umschaltung verursacht momentane Ausgangsunterbrechungen oder „Stöße“. Bei einer Durchflussregelung führt eine 200 ms lange Ausgangsunterbrechung zu einer sichtbaren Durchflussstörung. Bei einer Turbinendrehzahlregelung kann eine 500 ms lange Unterbrechung während der Lastabwurfphase einen Überdrehzahlschutz auslösen.

Umschaltmechanismus des Honeywell Experion PKS C300

Das C300-Steuerungspaar kommuniziert über eine dedizierte Redundant Data Interface (RDI) Verbindung – eine 100-Mbps-Ethernet-Verbindung in einem separaten physischen Netzwerk vom Anlagensteuerungsnetzwerk. Das RDI überträgt drei Datentypen: Heartbeat-Signale, I/O-Zustandssynchronisation und Steuerungsstatus-Flags. Die C300-System-Backup-Batterie stellt sicher, dass der Standby-Controller seinen synchronisierten Zustand bei kurzen Stromunterbrechungen beibehält.

Das Heartbeat-Intervall auf dem C300 RDI ist von 5 ms bis 100 ms konfigurierbar. Ein kürzeres Intervall erkennt den Ausfall des Primärcontrollers schneller, erhöht jedoch den RDI-Netzwerkverkehr. Die werkseitige Voreinstellung beträgt 20 ms – das bedeutet, der Standby erkennt einen Primärausfall innerhalb von 20 ms nach dem letzten empfangenen Heartbeat. Die tatsächliche Umschaltzeit umfasst zusätzlich die Synchronisationsverifizierungszeit (typischerweise 5 ms) und die Übernahmezeit des Ausgangstreibers (typischerweise 3 ms), was bei den Standardeinstellungen eine Gesamtumschaltzeit von etwa 28 ms ergibt.

Zur Optimierung: Reduzieren Sie das Heartbeat-Intervall auf 10 ms für sicherheitskritische Steuerungen. Dies ergibt eine theoretische Umschaltzeit von etwa 18 ms. Stellen Sie sicher, dass die RDI-Kabellänge die C300-Spezifikation von 100 Metern zwischen Primär- und Standby-Schrank nicht überschreitet. Verwenden Sie für die RDI-Verbindung geschirmte Twisted-Pair-Kabel der Kategorie 6 für beste elektromagnetische Verträglichkeit. Das C300-Steuerungsbatteriepack sollte jährlich getestet werden, um die Verfügbarkeit der Standby-Stromversorgung bei Umschaltvorgängen sicherzustellen.

Allen-Bradley ControlLogix Redundanz-Optimierung

ControlLogix-Redundanz verwendet ein dediziertes System Redundancy Module (SRM) mit Glasfaserverbindung. Das Redundanzsystem synchronisiert die Primär- und Standby-Controller auf Aufgabenebene. Jeder Abschluss einer Primäraufgabe löst ein Synchronisationsereignis über die Redundanzverbindung aus. Das 1756-RM2K Redundanzmodul bietet verbesserte Synchronisationsleistung für große Projekte.

Der wichtigste Einstellparameter ist das RPI (Requested Packet Interval) auf dem EtherNet/IP-Redundanzpfad. Der Standard-RPI beträgt 20 ms. Eine Reduzierung des RPI auf 10 ms beschleunigt die Zustandsynchronisation zwischen den Controllern. Ein kleineres RPI erhöht jedoch die CPU-Auslastung beider Controller. Beachten Sie diese Optimierungsregeln:

• Schritt 1: Beschränken Sie die primäre periodische Aufgabe auf eine einzige kontinuierliche Aufgabe mit einer Periode von 50 ms. Vermeiden Sie mehrere periodische Aufgaben – jede zusätzliche Aufgabe erzeugt einen separaten Synchronisationspunkt auf der Redundanzverbindung.
• Schritt 2: Stellen Sie alle RPI-Werte der digitalen I/O-Module auf 50 ms ein. Schnellere RPI-Werte (5 ms oder 10 ms) bei einzelnen Modulen erhöhen den Synchronisationsverkehr, ohne die Gesamtumschaltzeit zu verbessern.
• Schritt 3: Reduzieren Sie die Anzahl der Produced/Consumed-Tags zwischen den Controllern. Jeder konsumierte Tag fügt eine CIP-Verbindung zur Redundanzlast hinzu. Konsolidieren Sie Mehrfach-Tag-Daten in UDT-Arrays, um die Verbindungsanzahl zu verringern.
• Schritt 4: Überwachen Sie die Controller-Aufgabenlast mit dem Studio 5000 Task Monitor. Überschreitet die Auslastung der primären Controller-Aufgabe 40 %, verschlechtert sich die Umschaltzeit. Ziel ist eine maximale Auslastung von 30 % unter normalen Betriebsbedingungen, um Spielraum für die Redundanzsynchronisation zu lassen.

Fünf-Schritte-Umschalt-Benchmark-Verfahren

Messen Sie die tatsächliche Umschaltzeit vor Ort mit diesem Verfahren. Führen Sie diesen Test während eines geplanten Stillstandsfensters durch – testen Sie die Umschaltung nicht während eines laufenden Prozesses ohne Kenntnis des Bedieners.

• Schritt 1: Schließen Sie ein Oszilloskop an einen digitalen Ausgangskanal an. Konfigurieren Sie den Controller so, dass der DO auf beiden Primär- und Standby-Controllern ein Rechtecksignal mit 50 % Tastverhältnis bei 1 Hz ausgibt. Das Oszilloskop zeigt während des Normalbetriebs ein kontinuierliches 1-Hz-Signal an.
• Schritt 2: Lösen Sie einen Primärausfall aus, indem Sie die Stromversorgung des Primärcontrollers trennen. Die Oszilloskopkurve zeigt während der Umschaltpause eine Nulllinie – messen Sie die Dauer dieser Pause mit der Cursor-Funktion des Oszilloskops.
• Schritt 3: Für Honeywell C300 liegt die erwartete Pause bei 15 bis 30 ms. Für ControlLogix 1756-L85E liegt die erwartete Pause bei 50 bis 500 ms. Überschreitet die gemessene Pause das Ziel um mehr als 20 %, fahren Sie mit Schritt 4 fort.
• Schritt 4: Prüfen Sie die Statusanzeigen der Redundanzverbindung. Beim C300 vergewissern Sie sich, dass die RDI-Link-LEDs an beiden Controllern dauerhaft grün leuchten. Bei ControlLogix prüfen Sie die LEDs des 1756-RM Moduls – sowohl die Primär- als auch die Sekundär-LED müssen dauerhaft grün sein. Blinkende RDI- oder SRM-Verbindungen weisen auf intermittierende Kommunikation hin, die die Umschaltzeit verschlechtert.
• Schritt 5: Stellen Sie die Primärstromversorgung wieder her und überprüfen Sie den unterbrechungsfreien Übergang. Der Controller setzt die Ausgangssteuerung aus dem zuletzt synchronisierten Zustand fort. Überwachen Sie analoge Ausgänge auf Sprünge größer als 0,5 % des Messbereichs. Ein Stoß weist auf eine unvollständige Zustandsynchronisation während der vorherigen Umschaltung hin.

Fazit und Handlungsempfehlungen

Die Umschaltzeit redundanter Steuerungen ist ein Designparameter, der von Ingenieuren nach der Erstinbetriebnahme häufig vernachlässigt wird. Beim Honeywell Experion PKS C300 reduzieren Sie das RDI-Heartbeat-Intervall auf 10 ms und stellen Sie sicher, dass die RDI-Kabellänge bei sicherheitskritischen Anwendungen 100 Meter nicht überschreitet. Bei Allen-Bradley ControlLogix 1756-L85E konsolidieren Sie periodische Aufgaben zu einer einzigen kontinuierlichen Aufgabe mit 50 ms Periode, standardisieren Sie die I/O-RPI-Werte auf 50 ms und halten Sie die Controller-Aufgabenlast unter 30 %.

Führen Sie den Oszilloskop-Benchmark-Test nach jeder Firmware-Aktualisierung oder Projektänderung durch – eine Codeänderung, die die Aufgabenlast um 5 % erhöht, kann die Umschaltzeit um 30 % verlängern. Dokumentieren Sie die gemessene Umschaltzeit im Inbetriebnahmebericht und legen Sie eine regelmäßige Wartungsanweisung fest, um den Test jährlich während der Anlagenrevision zu wiederholen. Eine kontrollierte Umschaltzeit von 20 ms verhindert unkontrollierte Prozessstörungen, die zu ungeplanten Stillständen führen.

Autor: Chen Hao ist ein Ingenieur für industrielle Automatisierung mit über 10 Jahren Erfahrung in SPS-, DCS- und Steuerungssystemen.