Redundanz

Redundantes Steuerungssystem

Sie können die Zuverlässigkeit Ihres Steuerungssystems durch Redundanz erhöhen, indem Sie Ihre Steuerung (SPS) mit einer redundanten Steuerung absichern. Die redundante Steuerung ist zur Laufzeit in der Lage die Applikationsausführung zu übernehmen. Das kann beispielsweise Systemausfälle verhindern.

Die Abbildung zeigt die Struktur eines redundanten Steuerungssystems. Die Applikation läuft gleichzeitig auf zwei Steuerungen (SPS), wobei eine SPS aktiv ist (1), während die zweite im Standby-Betrieb läuft (2). Die SPS im Standby-Betrieb liest die Eingänge des verbundenen Feldbussystemsaus (im Bild EtherCAT) und synchronisiert sich über die Redundanzverbindung (3) mit der aktiven SPS. Das ermöglicht, dass bei einem Störereignis die Standby-SPS sofort aktiv wird und die Ansteuerung der Feldbusse (4) unterbrechungsfrei übernimmt.

Die Redundanzverbindung (3) wird mit TCP und UDP realisiert, kann jedoch durch eine herstellerspezifische Komponente ersetzt werden.

Außerdem können Sie Visualisierungen, wenn sie als CODESYS WebVisu in einem Browser ausgeführt werden, mit einem redundanten Steuerungssystem verwenden. Die Visualisierungsclients werden im Fall einer Umschaltung nahezu unterbrechungsfrei weiterlaufen.

Grundsätzliches zur Funktionsweise

Der Applikationsprogrammierer lädt die Applikation auf die erste SPS und erzeugt eine Bootapplikation.

Die zweite SPS wird beim Starten synchronisiert und erhält die Bootapplikation.

Die Bootapplikation wird geladen und initialisiert und ist dann bereit, den ersten Taskzyklus auszuführen. Daraufhin werden alle Daten der registrierten Speicherbereiche (alle IEC-Daten) auf die zweite SPS übertragen. Damit ist Redundanz wirksam und die Applikationstask wird synchron auf beiden SPSen ausgeführt. Die Synchronisierung der Taskausführung wird durch Meldungen realisiert, die über die Redundanzverbindung gesendet werden. Die Meldungen werden vor und nach der Ausführung der IEC-Task gesendet.

Es gibt keine bevorzugte aktive SPS. Die Betriebsart ergibt sich aus der Reihenfolge des Hochfahrens. Die erste hochgefahrene SPS sendet eine entsprechende Meldung durch die Redundanzverbindung. Falls sie keine Antwort erhält, lädt sie die Bootapplikation und läuft im Standalone-Betrieb.

Wenn eine Meldung der aktiven SPS nicht von der Standby-SPS innerhalb der konfigurierten Zeit erhalten wird, nimmt die Standby-SPS an, dass die aktive SPS nicht mehr funktioniert. Dann schaltet die Standby-SPS in den Standalone-Betrieb und kontrolliert nun die Feldbus-E/As. Ebenso schaltet die aktive SPS in den Standalone-Betrieb, falls sie eine Meldung von der Standby-SPS nicht innerhalb der konfigurierten Zeit erhalten hat.

Wenn die erste SPS ersetzt und erneut gestartet wird, synchronisiert sie sich wie oben beschrieben mit der aktuell im Standalone-Betrieb befindlichen anderen SPS und geht damit in den Standby-Modus.

Eine Standby-SPS kann in den Simulationsmodus geschaltet werden. Dann ist Redundancy nicht in Funktion, aber der Feldbus bleibt deaktiviert wie im Standby-Betrieb. Die aktive SPS schaltet um zu Standalone-Betrieb. Der Simulationsbetrieb kann durch erneute Synchronisierung oder durch erneutes Starten der PS beendet werden. Die SPS wechselt dann wieder in den Standby-Betrieb, außer es treten Fehler während der Synchronisierung oder des Neustarts auf.

Wenn Fehler während der Aktualisierung der Bootapplikation oder der registrierten Speicherbereiche, oder während des Redundanzzyklus auftreten, dann wird die SPS in den Fehlermodus geschaltet. Sie muss dan neu synchronisiert oder neu gestartet werden.