SF_Antivalent

Hilfeversion 1.1 / Ausgabedatum: 2018.03
Gültig für Funktionsbaustein SF_Antivalent_V2_0z, Version 2.0z (z = 0 bis 9).

Kurzbeschreibung Der sicherheitsbezogene Funktionsbaustein SF_Antivalent überwacht die Signale von zwei sicherheitsbezogenen Eingangsklemmen auf ungleiche Signalzustände. Diese Signale stammen typischerweise von zweikanaligen Sensoren oder Schaltern wie z.B. von einem NOT-HALT-Befehlsgerät.
Das Freigabesignal S_AntivalentOut wird SAFETRUE, wenn die Eingänge S_ChannelNC und S_ChannelNO innerhalb der an DiscrepancyTime eingestellten Zeit wie folgt wechseln:

S_ChannelNC von SAFEFALSE nach SAFETRUE

S_ChannelNO von SAFETRUE nach SAFEFALSE

Dazu muss der Funktionsbaustein aktiviert sein (Activate = TRUE) und darf keinen Fehler erkannt haben (Error = FALSE).

Hinweis
Dauerhafte Signale (S_ChannelNC = SAFETRUE und S_ChannelNO = SAFEFALSE) an den Eingängen bei Bausteinaktivierung (Activate = TRUE) oder beim Start der Sicherheitssteuerung steuern das Freigabesignal (S_AntivalentOut) auf SAFETRUE.

Hinweis
Beschalten Sie immer beide Eingänge unterschiedlich, d.h. mit einem Öffnersignal und einem Schließersignal in Kombination.

Bausteinsymbol

Eingänge Activate

Kurzbeschreibung Wert

Zustandsgesteuerter Eingang zur Aktivierung des Funktionsbausteins.
Datentyp: BOOL
Anfangswert: FALSE

FALSE: Funktionsbaustein inaktiv

TRUE: Funktionsbaustein aktiviert

Weitere Informationen hierzu finden Sie im Thema "Activate".

S_ChannelNC

Kurzbeschreibung Wert

Zustandsgesteuerter Eingang für Kanal NC des angeschlossenen zweikanaligen Schalters oder Sensors.
Datentyp: SAFEBOOL
Anfangswert: SAFEFALSE

SAFEFALSE: Anforderung, S_AntivalentOut auf SAFEFALSE zu steuern.

SAFETRUE: Anforderung, S_AntivalentOut auf SAFETRUE zu steuern.

Weitere Informationen hierzu finden Sie im Thema "S_ChannelNC".

S_ChannelNO

Kurzbeschreibung Wert

Zustandsgesteuerter Eingang für Kanal NO des angeschlossenen zweikanaligen Schalters oder Sensors.
Datentyp: SAFEBOOL
Anfangswert: SAFEFALSE

SAFEFALSE: Anforderung, S_AntivalentOut auf SAFETRUE zu steuern.

SAFETRUE: Anforderung, S_AntivalentOut auf SAFEFALSE zu steuern.

Weitere Informationen hierzu finden Sie im Thema "S_ChannelNO".

DiscrepancyTime

Kurzbeschreibung Wert

Eingang zur Vorgabe der maximal zulässigen Diskrepanzzeit in Sekunden.
Datentyp: TIME
Anfangswert: #0ms
Wenn nach einem Zustandswechsel an einem Eingang beide Eingänge gleiche Signale haben, beginnt die Diskrepanzzeit-Messung. Der zweite Eingang muss dann innerhalb der Diskrepanzzeit ebenfalls seinen Zustand wechseln, so dass beide Eingänge S_ChannelNC und S_ChannelNO wieder unterschiedliche Signale haben. Andernfalls erfolgt eine Fehlermeldung (Error = TRUE) und Ausgang S_AntivalentOut = SAFEFALSE. Geben Sie einen Zeitwert ein, der Ihrer Risikoanalyse entspricht.
Beachten Sie die Warnung unter dieser Tabelle.

WARNUNG

Nichterfüllen der Sicherheitsanforderungen

Stellen Sie sicher, dass der an DiscrepancyTime eingestellte Zeitwert Ihrer Risikoanalyse entspricht.

Stellen Sie sicher, dass Ihre Risikoanalyse eine Auswertung für den Fall eines falsch eingestellten Zeitwerts am Eingang DiscrepancyTime enthält.

Validieren Sie die gesamte Sicherheitsfunktion in Bezug auf den eingestellten Wert an DiscrepancyTime und prüfen Sie die Applikation sorgfältig.

Weitere Informationen hierzu finden Sie im Thema "DiscrepancyTime".

Ausgänge Ready

Kurzbeschreibung Wert

Ausgang zur Signalisierung "Funktionsbaustein aktiviert/nicht aktiviert".
Datentyp: BOOL

FALSE: Der Funktionsbaustein ist nicht aktiviert (Activate = FALSE) und alle Ausgänge des Funktionsbausteins sind auf FALSE/SAFEFALSE gesteuert.

TRUE: Funktionsbaustein ist aktiviert (Activate = TRUE) und die Ausgangsparameter stellen den Zustand der Sicherheitsfunktion dar.

Weitere Informationen hierzu finden Sie im Thema "Ready".

S_AntivalentOut

Kurzbeschreibung Wert

Ausgang für das Freigabesignal des Funktionsbausteins.
Datentyp: SAFEBOOL
Beachten Sie die Warnung unter dieser Tabelle.

SAFEFALSE:

Eingang S_ChannelNC = SAFEFALSE und/oder Eingang S_ChannelNO = SAFETRUE

oder der Funktionsbaustein hat einen Fehler erkannt

oder der Funktionsbaustein ist nicht aktiviert.

SAFETRUE:

Der Funktionsbaustein ist aktiviert

und Eingang S_ChannelNC = SAFETRUE und Eingang S_ChannelNO = SAFEFALSE.

und der Funktionsbaustein hat keinen Fehler erkannt.

Der Funktionsbaustein unterstützt eine sicherheitsbezogene Überwachungsfunktion, aber keine sicherheitsbezogene Steuerungsfunktion.

WARNUNG

Unbeabsichtigter Betriebszustand des Geräts

Stellen Sie sicher, dass das Freigabesignal S_AntivalentOut nicht direkt den Sicherheitsprozess steuert.

Validieren Sie die gesamte Sicherheitsfunktion, inklusive des Anlaufverhaltens des Prozesses und prüfen Sie die Applikation sorgfältig.

Weitere Informationen hierzu finden Sie im Thema "S_AntivalentOut".

SafetyDemand

Kurzbeschreibung Wert

Ausgang zur Signalisierung "Sicherheitsfunktion angefordert".
Dieser Ausgang zeigt an, ob die Sicherheitskette unterbrochen und deshalb die Aufmerksamkeit des Bedieners erforderlich ist.
Datentyp: BOOL

FALSE: Sicherheitsfunktion ist nicht angefordert.

TRUE: Die Sicherheitsfunktion ist angefordert.

Weitere Informationen hierzu finden Sie im Thema "SafetyDemand".

ResetRequest

Kurzbeschreibung Wert

Ausgang zur Signalisierung "Rücksetzen erforderlich".
Dieser Ausgang zeigt an, ob das Rücksetzen durch den Bediener erforderlich ist.
Datentyp: BOOL

FALSE: Kein Rücksetzen erforderlich.

TRUE: Rücksetzen ist erforderlich,

zum Aufheben einer aktiven Anlauf- oder Wiederanlaufsperre (falls verfügbar bei diesem Funktionsbaustein)

oder zum Rücksetzen eines Fehlers.

Weitere Informationen hierzu finden Sie im Thema "ResetRequest".

Error

Kurzbeschreibung Wert

Ausgang für Fehlermeldung.
Datentyp: BOOL

FALSE: Es liegt kein Fehler vor.

TRUE: Der Funktionsbaustein hat einen Fehler erkannt. In der Folge wird Ausgang S_AntivalentOut auf SAFEFALSE gesteuert.

Hinweis
Zum Rücksetzen der Fehlermeldung muss an Eingang S_ChannelNC der Wert SAFEFALSE und an Eingang S_ChannelNO der Wert SAFETRUE anliegen.

Weitere Informationen hierzu finden Sie im Thema "Error".

DiagCode

Kurzbeschreibung Wert

Ausgang für Diagnosemeldung.
Datentyp: WORD Diagnosemeldung des Funktionsbausteins.
Die möglichen Werte sind im Thema "Diagnose-Codes" aufgelistet und beschrieben.

Weitere Informationen hierzu finden Sie im Thema "DiagCode".

Detailinformationen Signalablauf-Diagramm

Das folgende Beispiel zeigt einen typischen Signalverlauf, u.a. für gegensätzliche Signale S_ChannelNC = SAFETRUE und S_ChannelNO = SAFEFALSE innerhalb der Diskrepanzzeit.

0 Der Funktionsbaustein ist noch nicht aktiviert (Activate = FALSE).
Folglich sind alle Ausgänge FALSE oder SAFEFALSE.

1 Bausteinaktivierung (Activate = TRUE). Währenddessen ist Eingang S_ChannelNC = SAFEFALSE und S_ChannelNO = SAFETRUE. Damit bleibt Ausgang S_AntivalentOut = SAFEFALSE.

2 Eingang S_ChannelNO bleibt SAFETRUE und Eingang S_ChannelNC wechselt auf SAFETRUE. Die Diskrepanzzeitmessung startet mit dem Zustandswechsel eines Eingangs.

3 S_AntivalentOut steuert auf SAFETRUE, weil beide Eingänge innerhalb der Diskrepanzzeit DiscrepancyTime wechseln (S_ChannelNC von SAFEFALSE auf SAFETRUE und S_ChannelNO von SAFETRUE auf SAFEFALSE). Somit bestehen antivalente Signale an den Eingängen.

4 S_AntivalentOut steuert auf SAFEFALSE, da S_ChannelNO auf SAFETRUE wechselt. Mit dem Zustandswechsel an S_ChannelNO startet die Diskrepanzzeitmessung.

5 S_AntivalentOut und Error bleiben FALSE, da innerhalb der Diskrepanzzeit der Eingang S_ChannelNC auf SAFEFALSE wechselt.

6 S_ChannelNO wechselt auf SAFEFALSE. Dieser Zustandswechsel startet erneut die Diskrepanzzeitmessung.

7 S_AntivalentOut steuert auf SAFETRUE, da S_ChannelNC innerhalb der Diskrepanzzeit auf SAFETRUE wechselt und damit wieder Antivalenz gegeben ist.

8 S_AntivalentOut steuert auf SAFEFALSE, da die Antivalenz endet (S_ChannelNC wird SAFEFALSE). Mit dem Zustandswechsel an S_ChannelNC startet die Diskrepanzzeitmessung.
S_AntivalentOut und Error bleiben FALSE, da innerhalb der Diskrepanzzeit auch der zweite Eingang seinen Zustand wechselt (S_ChannelNO wird SAFETRUE).

Hinweis
Beachten Sie auch das weitere Signalablauf-Diagramm.

Anwendungsbeispiel

Dieses Beispiel zeigt eine zweikanalige Ansteuerung des sicherheitsbezogenen Funktionsbausteins SF_EmergencyStop mit Hilfe des sicherheitsbezogenen Funktionsbausteins SF_Antivalent.

Das NOT-HALT-Befehlsgerät ist an den Eingängen 1.1 und 2.1 des sicherheitsbezogenen Eingangsgeräts PSDI mit der Kennung 1 angeschlossen. Die Öffner- und Schließerkontakte des NOT-HALT-Befehlsgeräts werden zur Auswertung mit dem sicherheitsbezogenen Funktionsbaustein SF_Antivalent verschaltet.
Das daraus resultierende Freigabesignal S_AntivalentOut des sicherheitsbezogenen Funktionbausteins SF_Antivalent wird zur weiteren Auswertung mit dem sicherheitsbezogenen Funktionsbaustein SF_EmergencyStop verschaltet. Ausgang S_AntivalentOut des sicherheitsbezogenen Funktionsbausteins SF_Antivalent wird SAFETRUE, wenn die Eingänge S_ChannelNC und S_ChannelNO innerhalb der an DiscrepancyTime eingestellten Zeit wie folgt wechseln:

S_ChannelNC von SAFEFALSE nach SAFETRUE

und S_ChannelNO von SAFETRUE nach SAFEFALSE.

Für den sicherheitsbezogenen Funktionsbaustein SF_EmergencyStop ist sowohl eine Anlaufsperre (nach dem Start der Sicherheitssteuerung bzw. nach der Bausteinaktivierung) als auch eine Wiederanlaufsperre (nach Deaktivierung des NOT-HALT-Befehlsgeräts) eingestellt. Beide Anlaufsperren werden durch Drücken des Reset-Tasters aufgehoben, der an Eingang 1.1 des Standard-Eingangsgeräts DI mit der Kennung 1 angeschlossen ist.

Hinweis
Der Freigabeausgang S_EStopOut des Funktionsbausteins SF_EmergencyStop ist direkt mit einer globalen I/O-Variablen oder über weitere sicherheitsbezogene Funktionen/Funktionsbausteine mit einer Ausgangsklemme der Applikation verschaltet.
Verschalten Sie den Freigabeausgang S_EStopOut des Funktionsbausteins SF_EmergencyStop beispielsweise mit Eingang S_OutControl des Funktionsbausteins SF_EDM und realisieren Sie auf diese Weise eine zweikanalige Ausgangsverschaltung.

Weitere Infos
Weitergehende Informationen finden Sie in der Beschreibung des betreffenden sicherheitsbezogenen Funktionsbausteins.

S1 NOT-AUS

S2 Reset

Siehe Hinweis vor der Abbildung

Weitere Infos
Beachten Sie auch das zweite Anwendungsbeispiel sowie die Hinweise zu den Beispielen.

Funktionsbaustein-Instanziierung

Die IEC 61131-3 definiert die Instanziierung von Funktionsbausteinen. Instanziieren bedeutet, dass ein Funktionsbaustein einmal definiert wird und dann mehrfach verwendet (instanziiert) werden kann. Dies gilt für alle Standard-FBs und sicherheitsbezogene FBs (sowohl lokale als auch FBs aus Firmware- und Anwenderbibliotheken).

Warum Instanziierung?
Ein Funktionsbaustein besitzt einen internen Speicher, in dem dieser die Arbeitsdaten (lokale Variablen) ablegt. Das bedeutet, die Ausgangswerte, die ein FB berechnet, hängen von den aktuellen intern gespeicherten Werten ab. Die gleichen Eingangswerte liefern deshalb bei verschiedenen FB-Instanzen nicht zwingend die gleichen Ausgangswerte.
Die internen Daten des Funktionsbausteins müssen daher für jeden Aufruf, d.h. für jede FB-Instanz, in einem getrennten Speicherbereich gehalten werden. Um jede FB-Instanz eindeutig identifizieren und ihren Speicherbereich separat halten zu können, werden Instanznamen verwendet. Der Instanzname eines FB muss in der 'Variablen'-Tabelle der POE deklariert werden, in welcher der FB verwendet werden soll.

Dabei gilt Folgendes:

Funktionsbausteine können in anderen Funktionsbausteinen und in Programm-POEs instanziiert werden. Der Aufruf eines FB in einer Funktion-POE ist nicht möglich.

Funktionen werden ohne Instanznamen aufgerufen, da sie keinen internen Speicher besitzen.

In PLCnext Engineer wird strikt zwischen sicherheitsbezogenem Code und (nicht-sicherheitsbezogenem) Standard-Code unterschieden. Wenn Ihr Projekt eine sicherheitsbezogene SPS enthält, gilt Folgendes:

Sicherheitsbezogene FBs können nur in sicherheitsbezogenen POEs instanziiert werden, aber nicht in (nicht-sicherheitsbezogenen) Standard-POEs.

Anwenderdefinierte Standard-FBs können nur in Standard-POEs instanziiert werden. Sie können nicht in sicherheitsbezogenen POEs aufgerufen werden.

Bestimmte Standard-Firmware-FBs können sowohl in sicherheitsbezogenen, als auch in Standard-POEs instanziiert werden.

Hinweis
Beim Einfügen eines Standard-FBs in ein sicherheitsbezogenes SNOLD-Netzwerk gelten die Regeln für die implizite Typumwandlung (von sicherheitsbezogen nach Standard).

Beispiel für die Instanziierung eines sicherheitsbezogenen PLCopen-Funktionsbausteins

Der sicherheitsbezogene PLCopen-Funktionsbaustein 'SF_EmergencyStop_V2_00' wurde über eine Bibliothek in das Projekt eingefügt. Er ist dann in der Kategorie 'Programmierung' des KOMPONENTEN-Bereichs verfügbar. Dort befindet sich ein Ordner mit demselben Namen wie die Bibliothek, aus dem sich die FBs in den sicherheitsbezogenen Code einfügen lassen.
Der FB soll im Code des sicherheitsbezogenen Programms 'S_Main' zweimal aufgerufen werden, um den Status zweier sicherheitsbezogener Not-Halt-Befehlsgeräte auszuwerten. Für jede FB-Instanz wurde in der Variablentabelle des aufrufenden Programms ein Instanzname deklariert: EStop_M1 und EStop_M2. Die zwei FB-Instanzen wurden in das Code-Arbeitsblatt eingefügt, wobei unterschiedliche Variablen an die Eingangs- und Ausgangs-Formalparameter der Instanzen angeschlossen sind.

Weitere Informationen finden Sie in den folgenden Abschnitten:

Funktionsbeschreibung

Weitere Signalablauf-Diagramme

Weitere Anwendungsbeispiele

Fehlervermeidung

Umsetzung der Sicherheitsanforderungen aus anzuwendenden Normen