SF_Equivalent

Hilfeversion 1.1 / Ausgabedatum: 2018.03
Gültig für Funktionsbaustein SF_Equivalent_V2_0z, Version 2.0z (z = 0 bis 9).

Kurzbeschreibung Der sicherheitsbezogene Funktionsbaustein SF_Equivalent überwacht die Signale von zwei sicherheitsbezogenen Eingangsklemmen auf gleiche Signalzustände. Diese Signale stammen typischerweise von zweikanaligen Sensoren oder Schaltern wie z.B. von einem NOT-HALT-Befehlsgerät.
Das Freigabesignal S_EquivalentOut wird SAFETRUE, wenn der Funktionsbaustein aktiviert ist, keinen Fehler erkannt hat und die Eingänge S_ChannelA und S_ChannelB innerhalb der mit DiscrepancyTime eingestellten Zeit beide den Zustand SAFETRUE haben.
Dazu muss der Funktionsbaustein aktiviert sein (Activate = TRUE) und darf keinen Fehler erkannt haben (Error = FALSE).

Hinweis
Beschalten Sie immer beide Eingänge entweder jeweils mit Öffnerkontakten oder mit Schließerkontakten.

Bausteinsymbol

Eingänge Activate

Kurzbeschreibung Wert

Zustandsgesteuerter Eingang zur Aktivierung des Funktionsbausteins.
Datentyp: BOOL
Anfangswert: FALSE

FALSE: Funktionsbaustein inaktiv

TRUE: Funktionsbaustein aktiviert

Weitere Informationen hierzu finden Sie im Thema "Activate".

S_ChannelA

Kurzbeschreibung Wert

Zustandsgesteuerter Eingang für Kanal A des angeschlossenen zweikanaligen Schalters oder Sensors.
Datentyp: SAFEBOOL
Anfangswert: SAFEFALSE

SAFEFALSE: Anforderung, S_EquivalentOut auf SAFEFALSE zu steuern.

SAFETRUE: Anforderung, S_EquivalentOut auf SAFETRUE zu steuern.

Weitere Informationen hierzu finden Sie im Thema "S_ChannelA".

S_ChannelB

Kurzbeschreibung Wert

Zustandsgesteuerter Eingang für Kanal B des angeschlossenen zweikanaligen Schalters oder Sensors.
Datentyp: SAFEBOOL
Anfangswert: SAFEFALSE

SAFEFALSE: Anforderung, S_EquivalentOut auf SAFEFALSE zu steuern.

SAFETRUE: Anforderung, S_EquivalentOut auf SAFETRUE zu steuern.

Weitere Informationen hierzu finden Sie im Thema "S_ChannelB".

DiscrepancyTime

Kurzbeschreibung Wert

Eingang zur Vorgabe der maximal zulässigen Diskrepanzzeit in Sekunden. Innerhalb dieser Diskrepanzzeit dürfen die Signale an S_ChannelA und S_ChannelB unterschiedlich steuern.
Datentyp: TIME
Anfangswert: #0ms
Eine Überschreitung der Diskrepanzzeit liegt vor, wenn nach Ablauf der eingestellten Zeitspanne unterschiedliche Zustände an den Eingängen anliegen. Dies führt zu einer Fehlermeldung (wenn Ausgang Error = TRUE, wird Ausgang S_EquivalentOut = SAFEFALSE). Geben Sie einen Zeitwert ein, der Ihrer Risikoanalyse entspricht.
Beachten Sie die Warnung unter dieser Tabelle.

WARNUNG

Nichterfüllen der Sicherheitsanforderungen

Prüfen Sie, dass der eingestellte Zeitwert an DiscrepancyTime Ihrer Risikoanalyse entspricht.

Stellen Sie sicher, dass Ihre Risikoanalyse eine Auswertung für den Fall eines falsch eingestellten Zeitwerts am Eingang DiscrepancyTime enthält.

Validieren Sie die gesamte Sicherheitsfunktion in Bezug auf den eingestellten Wert an DiscrepancyTime und prüfen Sie die Applikation sorgfältig.

Weitere Informationen hierzu finden Sie im Thema "DiscrepancyTime".

Ausgänge Ready

Kurzbeschreibung Wert

Ausgang zur Signalisierung "Funktionsbaustein aktiviert/nicht aktiviert".
Datentyp: BOOL

FALSE: Der Funktionsbaustein ist nicht aktiviert (Activate = FALSE) und alle Ausgänge des Funktionsbausteins sind auf FALSE/SAFEFALSE gesteuert.

TRUE: Funktionsbaustein ist aktiviert (Activate = TRUE) und die Ausgangsparameter stellen den Zustand der Sicherheitsfunktion dar.

Weitere Informationen hierzu finden Sie im Thema "Ready".

S_EquivalentOut

Kurzbeschreibung Wert

Ausgang für das Freigabesignal des Funktionsbausteins.
Datentyp: SAFEBOOL
Beachten Sie die Warnung unter dieser Tabelle.

SAFEFALSE:

Mindestens ein Eingang hat den Zustand SAFEFALSE

oder der Funktionsbaustein hat einen Fehler erkannt

oder der Funktionsbaustein ist nicht aktiviert.

SAFETRUE:

Der Funktionsbaustein ist aktiviert

und beide Eingänge haben den Zustand SAFETRUE

und der Funktionsbaustein hat keinen Fehler erkannt.

Der Funktionsbaustein unterstützt eine sicherheitsbezogene Überwachungsfunktion, aber keine sicherheitsbezogene Steuerungsfunktion.

WARNUNG

Unbeabsichtigter Betriebszustand des Geräts

Stellen Sie sicher, dass das Freigabesignal S_EquivalentOut nicht direkt den Sicherheitsprozess steuert.

Validieren Sie die gesamte Sicherheitsfunktion, inklusive des Anlaufverhaltens des Prozesses und prüfen Sie die Applikation sorgfältig.

Weitere Informationen hierzu finden Sie im Thema "S_EquivalentOut".

SafetyDemand

Kurzbeschreibung Wert

Ausgang zur Signalisierung "Sicherheitsfunktion angefordert".
Dieser Ausgang zeigt an, ob die Sicherheitskette unterbrochen und deshalb die Aufmerksamkeit des Bedieners erforderlich ist.
Datentyp: BOOL

FALSE: Sicherheitsfunktion ist nicht angefordert.

TRUE: Die Sicherheitsfunktion ist angefordert.

Weitere Informationen hierzu finden Sie im Thema "SafetyDemand".

ResetRequest

Kurzbeschreibung Wert

Ausgang zur Signalisierung "Rücksetzen erforderlich".
Dieser Ausgang zeigt an, ob das Rücksetzen durch den Bediener erforderlich ist.
Datentyp: BOOL

FALSE: Kein Rücksetzen erforderlich.

TRUE: Rücksetzen ist erforderlich,

zum Aufheben einer aktiven Anlauf- oder Wiederanlaufsperre (falls verfügbar bei diesem Funktionsbaustein)

oder zum Rücksetzen eines Fehlers.

Weitere Informationen hierzu finden Sie im Thema "ResetRequest".

Error

Kurzbeschreibung Wert

Ausgang für Fehlermeldung.
Datentyp: BOOL

FALSE: Es liegt kein Fehler vor.

TRUE: Der Funktionsbaustein hat einen Fehler erkannt. In der Folge wird Ausgang S_EquivalentOut auf SAFEFALSE gesteuert.

Weitere Informationen hierzu finden Sie im Thema "Error".

DiagCode

Kurzbeschreibung Wert

Ausgang für Diagnosemeldung.
Datentyp: WORD Diagnosemeldung des Funktionsbausteins.
Die möglichen Werte sind im Thema "Diagnose-Codes" aufgelistet und beschrieben.

Weitere Informationen hierzu finden Sie im Thema "DiagCode".

Detailinformationen Signalablauf-Diagramm

Das folgende Beispiel zeigt den Signalverlauf wenn beide Eingänge innerhalb der Diskrepanzzeit auf SAFETRUE bzw. SAFEFALSE wechseln.

0 Der Funktionsbaustein ist noch nicht aktiviert (Activate = FALSE).
Folglich sind alle Ausgänge FALSE oder SAFEFALSE.

1 Bausteinaktivierung (Activate = TRUE). Währenddessen liegt an den Eingängen S_ChannelA und S_ChannelB jeweils SAFEFALSE an.

2 S_ChannelA wechselt auf SAFETRUE. Die Diskrepanzzeitmessung startet mit dem Zustandswechsel eines Eingangs.

3 S_EquivalentOut steuert auf SAFETRUE, weil beide Eingänge (S_ChannelA und S_ChannelB) innerhalb der Diskrepanzzeit DiscrepancyTime von SAFEFALSE auf SAFETRUE wechseln.

4 S_EquivalentOut steuert auf SAFEFALSE, da S_ChannelB auf SAFEFALSE wechselt. Mit dem Zustandswechsel an S_ChannelB startet die Diskrepanzzeitmessung.

5 S_EquivalentOut bleibt SAFEFALSE und Error FALSE, da innerhalb der Diskrepanzzeit auch der Eingang S_ChannelA auf SAFEFALSE wechselt.

6 Die Diskrepanzzeitmessung startet mit dem erneuten Zustandswechsel an S_ChannelB.

7 S_EquivalentOut steuert auf SAFETRUE, weil beide Eingänge (S_ChannelA und S_ChannelB) innerhalb der Diskrepanzzeit DiscrepancyTime von SAFEFALSE auf SAFETRUE wechseln.

8 S_EquivalentOut steuert auf SAFEFALSE, da S_ChannelA auf SAFEFALSE wechselt. Mit dem Zustandswechsel an S_ChannelA startet die Diskrepanzzeitmessung.
S_EquivalentOut bleibt SAFEFALSE, weil S_ChannelB innerhalb der Diskrepanzzeit DiscrepancyTime ebenfalls auf SAFEFALSE wechselt.

Hinweis
Beachten Sie auch das weitere Signalablauf-Diagramm.

Anwendungsbeispiel

Dieses Beispiel zeigt eine zweikanalige Ansteuerung des sicherheitsbezogenen Funktionsbausteins SF_EmergencyStop mit Hilfe des sicherheitsbezogenen Funktionsbausteins SF_Equivalent. Das NOT-HALT-Befehlsgerät ist an den Eingängen 1.1 und 2.1 des sicherheitsbezogenen Eingangsgeräts PSDI mit der Kennung 1 angeschlossen.
Die Öffnerkontakte des NOT-HALT-Befehlsgeräts werden zur Auswertung mit dem sicherheitsbezogenen Funktionsbaustein SF_Equivalent verschaltet. Das daraus resultierende Freigabesignal S_EquivalentOut des Funktionsbausteins SF_Equivalent wird zur weiteren Auswertung mit dem sicherheitsbezogenen Funktionsbaustein SF_EmergencyStop verschaltet.

Hinweis
Der Freigabeausgang S_EStopOut des Funktionsbausteins SF_EmergencyStop ist direkt mit einer globalen I/O-Variablen oder über weitere sicherheitsbezogene Funktionen/Funktionsbausteine mit einer Ausgangsklemme der Applikation verschaltet.
Verschalten Sie den Freigabeausgang S_EStopOut des Funktionsbausteins SF_EmergencyStop beispielsweise mit Eingang S_OutControl des Funktionsbausteins SF_EDM und realisieren Sie auf diese Weise eine zweikanalige Ausgangsverschaltung.

Weitere Infos
Beachten Sie auch die Details und weitere Informationen zu diesem Beispiel.

S1 NOT-AUS

S2 Reset

Siehe Hinweis vor der Abbildung

Funktionsbaustein-Instanziierung

Die IEC 61131-3 definiert die Instanziierung von Funktionsbausteinen. Instanziieren bedeutet, dass ein Funktionsbaustein einmal definiert wird und dann mehrfach verwendet (instanziiert) werden kann. Dies gilt für alle Standard-FBs und sicherheitsbezogene FBs (sowohl lokale als auch FBs aus Firmware- und Anwenderbibliotheken).

Warum Instanziierung?
Ein Funktionsbaustein besitzt einen internen Speicher, in dem dieser die Arbeitsdaten (lokale Variablen) ablegt. Das bedeutet, die Ausgangswerte, die ein FB berechnet, hängen von den aktuellen intern gespeicherten Werten ab. Die gleichen Eingangswerte liefern deshalb bei verschiedenen FB-Instanzen nicht zwingend die gleichen Ausgangswerte.
Die internen Daten des Funktionsbausteins müssen daher für jeden Aufruf, d.h. für jede FB-Instanz, in einem getrennten Speicherbereich gehalten werden. Um jede FB-Instanz eindeutig identifizieren und ihren Speicherbereich separat halten zu können, werden Instanznamen verwendet. Der Instanzname eines FB muss in der 'Variablen'-Tabelle der POE deklariert werden, in welcher der FB verwendet werden soll.

Dabei gilt Folgendes:

Funktionsbausteine können in anderen Funktionsbausteinen und in Programm-POEs instanziiert werden. Der Aufruf eines FB in einer Funktion-POE ist nicht möglich.

Funktionen werden ohne Instanznamen aufgerufen, da sie keinen internen Speicher besitzen.

In PLCnext Engineer wird strikt zwischen sicherheitsbezogenem Code und (nicht-sicherheitsbezogenem) Standard-Code unterschieden. Wenn Ihr Projekt eine sicherheitsbezogene SPS enthält, gilt Folgendes:

Sicherheitsbezogene FBs können nur in sicherheitsbezogenen POEs instanziiert werden, aber nicht in (nicht-sicherheitsbezogenen) Standard-POEs.

Anwenderdefinierte Standard-FBs können nur in Standard-POEs instanziiert werden. Sie können nicht in sicherheitsbezogenen POEs aufgerufen werden.

Bestimmte Standard-Firmware-FBs können sowohl in sicherheitsbezogenen, als auch in Standard-POEs instanziiert werden.

Hinweis
Beim Einfügen eines Standard-FBs in ein sicherheitsbezogenes SNOLD-Netzwerk gelten die Regeln für die implizite Typumwandlung (von sicherheitsbezogen nach Standard).

Beispiel für die Instanziierung eines sicherheitsbezogenen PLCopen-Funktionsbausteins

Der sicherheitsbezogene PLCopen-Funktionsbaustein 'SF_EmergencyStop_V2_00' wurde über eine Bibliothek in das Projekt eingefügt. Er ist dann in der Kategorie 'Programmierung' des KOMPONENTEN-Bereichs verfügbar. Dort befindet sich ein Ordner mit demselben Namen wie die Bibliothek, aus dem sich die FBs in den sicherheitsbezogenen Code einfügen lassen.
Der FB soll im Code des sicherheitsbezogenen Programms 'S_Main' zweimal aufgerufen werden, um den Status zweier sicherheitsbezogener Not-Halt-Befehlsgeräte auszuwerten. Für jede FB-Instanz wurde in der Variablentabelle des aufrufenden Programms ein Instanzname deklariert: EStop_M1 und EStop_M2. Die zwei FB-Instanzen wurden in das Code-Arbeitsblatt eingefügt, wobei unterschiedliche Variablen an die Eingangs- und Ausgangs-Formalparameter der Instanzen angeschlossen sind.

Weitere Informationen finden Sie in den folgenden Abschnitten:

Funktionsbeschreibung

Weitere Signalablauf-Diagramme

Details zum Anwendungsbeispiel

Fehlervermeidung

Umsetzung der Sicherheitsanforderungen aus anzuwendenden Normen