ĐIÊN ĐIÊN 6ES7138-4FB04-0AB0 6ES7 138-4FB04-0AB0 6ES7138-4FBO4-OABO

Siemens 6ES7138-4FB04-0AB0∙ SIMATIC ET 200S Điện tử mô-đun 4 F-DO PROFIsafe, 24VDC / 2A, PL E (ISO 13849), SIL 3 (IEC 61508), 30mm, PROFIBUS DP / PROFINET với IM 151-3 HF

Tổng quan Các đầu ra kỹ thuật số an toàn trong kiến trúc ET 200S

CácSiemens 6ES7138-4FB04-0AB0is a four-channel fail-safe digital output module for the SIMATIC ET 200S distributed I/O system — one of the most compact hardware implementations of certified safety output switching available for PROFIBUS-connected systems.

Trong khi các mô-đun đầu ra kỹ thuật số tiêu chuẩn chỉ đơn giản chuyển đổi 24VDC sang các bộ điều khiển theo lệnh từ PLC, mô-đun F-DO thêm một lớp tự giám sát, so sánh qua kênh, and certified fault-response behaviour that allows the system to demonstrate to certification bodies that the safety function — cutting power to a hazardous actuator — is achieved with a quantified probability of failure that meets SIL 3 or PL e requirements.

Mô-đun này thuộc thời đại I / O an toàn phân tán đã thay đổi cách an toàn chức năng được thực hiện trong tự động hóa quy trình và máy móc trong những năm 2000 và 2010.Trước khi PROFIsafe phân phối an toàn I / O, đạt được chuyển đổi đầu ra SIL 3 yêu cầu các bộ chuyển tiếp an toàn gắn dây cứng chuyên dụng, đắt tiền, không linh hoạt và khó cấu hình lại.

Với các mô-đun có khả năng PROFIsafe như 6ES7138-4FB04-0AB0, chức năng an toàn nằm trong một mô-đun rộng 30mm trên trạm ET 200S,với giao tiếp an toàn được xử lý bởi hồ sơ PROFIsafe chạy trên cáp DP PROFIBUS tiêu chuẩn đã mang dữ liệu I / O tiêu chuẩn.

Chứng nhận an toàn được đạt được thông qua sự kết hợp của kiến trúc giám sát lỗi nội bộ của mô-đun và các biện pháp an toàn của giao thức truyền thông PROFIsafe.

Các thông số kỹ thuật chính

PL e và SIL 3 ️ Ý nghĩa thực tế của chứng chỉ

Các xếp hạng tính toàn vẹn an toàn của 6ES7138-4FB04-0AB0 không phải là nhãn tiếp thị chúng là đánh giá định lượng về khả năng mô-đun không thực hiện chức năng an toàn của nó khi được yêu cầu.

IEC 61508 xác định mức độ toàn vẹn an toàn 3 (SIL 3) là xác suất hỏng nguy hiểm theo yêu cầu (PFD) trong phạm vi 10−4 đến 10−3 mỗi năm cho các chức năng an toàn chế độ đòi hỏi thấp.xác suất rằng đầu ra không tắt năng lượng khi được lệnh là 0.01% và 0.1% mỗi năm.

EN ISO 13849-1 Performance Level e (PL e) corresponds to a probability of dangerous failure per hour (PFHd) below 10⁻⁷ — below one dangerous failure per 10 million hours for continuous and high-demand mode functions.

Để đạt được SIL 3 hoặc PL e với một mô-đun đầu ra duy nhất đòi hỏi sự dư thừa và bao phủ chẩn đoán trong mô-đun chính nó.mỗi kênh đầu ra sử dụng kiến trúc chuyển đổi hai kênh: hai công tắc bán dẫn độc lập (thường là một thiết bị kênh P và một thiết bị kênh N theo chuỗi,hoặc hai transistor chuyển đổi độc lập với giám sát chéo) mà phải cả hai đồng ý để kích hoạt đầu ra.

Nếu một công tắc không mở khi được lệnh, thì công tắc khác sẽ bắt lỗi và buộc đầu ra vào trạng thái an toàn (không năng lượng).

Các thiết bị chẩn đoán nội bộ của mô-đun liên tục theo dõi cả hai công tắc cho mạch ngắn, mạch mở,và các lỗi mạch chéo - phát hiện các lỗi có thể ngăn chặn mất năng lượng an toàn trước khi chúng trở nên nguy hiểm.

Khi một lỗi được phát hiện, mô-đun báo cáo thông qua PROFIsafe cho F-CPU, sau đó có thể bắt đầu phản ứng an toàn thích hợp (khởi động trạng thái an toàn, kích hoạt báo động,ghi lại sự kiện lỗi).

PROFIsafe ️ Lớp truyền thông an toàn

PROFIsafe là một hồ sơ ứng dụng PROFIBUS / PROFINET, được chứng nhận IEC 61784-3-3, thêm một lớp truyền thông an toàn trên cấu trúc điện tín PROFIBUS hoặc PROFINET tiêu chuẩn.

Trong khi điện báo PROFIBUS tiêu chuẩn mang dữ liệu I / O giữa DP master và trạm ET 200S mà không có bất kỳ đảm bảo an toàn,điện tín PROFIsafe thêm một CRC (kiểm tra dư thừa chu kỳ) tính toán trên cả dữ liệu an toàn và một số thứ tự, cộng với một cơ chế thời gian ra ngoài giám sát đảm bảo rằng dữ liệu bị hỏng, lặp lại các gói cũ và các gói bị mất đều được phát hiện và phản ứng an toàn.

Mô-đun F-DO trên ET 200S trao đổi điện tín PROFIsafe với F-CPU (CPU an toàn).F-CPU thực hiện chương trình an toàn được viết trong STEP 7 F-FBs (các khối chức năng an toàn bằng cách sử dụng các thư viện lập trình F tiêu chuẩn) và gửi lệnh đầu ra đến F-DO thông qua PROFIsafe.

Nếu thông tin liên lạc PROFIsafe bị mất (hư hỏng cáp, trục trặc trạm, lỗi CRC),F-DO tự động chuyển đổi đầu ra của nó sang trạng thái an toàn (đóng điện) mà không cần chờ lệnh của CPU.

This "de-energise on communication loss" behaviour is fundamental to the PROFIsafe profile and is what allows safety functions to be implemented over standard fieldbus infrastructure without the fieldbus itself requiring intrinsic safety certification.

Chiều rộng 30 mm và yêu cầu về mô-đun đầu cuối đặc biệt

The 6ES7138-4FB04-0AB0's 30mm module width (double the standard 15mm) is driven by the more complex internal electronics required for dual-channel output architecture and comprehensive self-diagnostics.

Chiều rộng bổ sung chứa transistor chuyển đổi thứ hai cho mỗi kênh, mạch giám sát chéo,và các mạch tạo xung thử nghiệm cần thiết để thực hiện định kỳ đường dẫn chuyển mạch và xác minh rằng mỗi bóng bán dẫn thực sự có thể mở và đóng.

Quan trọng nhất, mô-đun F-DO không được gắn trên mô-đun đầu cuối ET 200S tiêu chuẩn.

Nó đòi hỏi mô-đun đầu cuối an toàn cụ thể TM-PF30S47-F1 (3RK1 903-3AA00), được thiết kế để hỗ trợ các yêu cầu dây dẫn hai kênh của F-DO và cấu hình đầu nối đặc biệt của nó.Các mô-đun đầu cuối TM-P hoặc TM-E tiêu chuẩn không tương thích với các mô-đun F-DO và không thể thay thế TM-PF30S47-F1.

Đây là một chi tiết mua sắm quan trọng: khi mua thay thế 6ES7138-4FB04-0AB0,Mô-đun thiết bị đầu cuối tương ứng phải được xác minh nếu nó đã được lắp đặt trong trạm từ cấu trúc ban đầu, nó vẫn còn ở vị trí khi các mô-đun điện tử F-DO được thay thế; nếu các mô-đun đầu cuối cũng bị hỏng hoặc cần thay thế, TM-PF30S47-F1 phải được mua riêng.

Sự tương thích PROFINET thông qua IM 151-3 PN HF

Trong khi chế độ hoạt động ET 200S tiêu chuẩn sử dụng các module giao diện IM 151-1 hoặc IM 151-3 trên PROFIBUS DP,6ES7138-4FB04-0AB0 cũng tương thích với module giao diện IM 151-3 PN HF (High Feature PROFINET), cho phép trạm ET 200S kết nối qua PROFINET IO thay vì PROFIBUS DP.

Trong các cấu hình PROFINET sử dụng IM 151-3 PN HF, mô-đun F-DO tiếp tục giao tiếp qua PROFIsafe nhưng bây giờ qua môi trường PROFINET thay vì PROFIBUS.

Chứng chỉ an toàn vẫn còn hiệu lực trong chế độ PROFINET; các biện pháp an toàn của giao thức PROFIsafe áp dụng giống hệt nhau trên cả hai lớp vận chuyển PROFIBUS và PROFINET.

Sự tương thích PROFINET này cho phép mô-đun F-DO được kết hợp vào các hệ thống an toàn mới được thiết kế dựa trên kiến trúc PROFINET,và cho phép các trạm ET 200S F-DO hiện có được trang bị sau với khả năng kết nối PROFINET bằng cách thay đổi chỉ mô-đun giao diện, mà không chạm vào mô-đun F-DO hoặc dây dẫn của mô-đun đầu cuối của nó.

Câu hỏi thường gặp

Q1: Sự khác biệt giữa mô-đun đầu ra kỹ thuật số ET 200S tiêu chuẩn và mô-đun F-DO an toàn này là gì về các yêu cầu dây, lập trình và chứng nhận?

Sự khác biệt là đáng kể trên cả ba chiều.

Trong hệ thống dây: một mô-đun DO tiêu chuẩn có một đầu cuối đầu ra duy nhất cho mỗi kênh; đầu ra của mô-đun F-DO được định tuyến thông qua kiến trúc chuyển đổi kép bên trong,nhưng từ quan điểm dây điện trường ra ngoài xuất hiện như một đầu cuối 24V duy nhất và một thông thường.

Tuy nhiên,Một số ứng dụng an toàn đòi hỏi 2oo2 (hai trong hai) bỏ phiếu trong dây điện trường ?? kết nối tải theo chuỗi với hai kênh F-DO để cả hai phải được kích hoạt để tải năng lượngTM-PF30S47-F1 cung cấp cấu hình dây điện phù hợp cho các kiến trúc an toàn F-DO.

Trong lập trình: các mô-đun DO tiêu chuẩn được xử lý như các byte đầu ra bình thường trong hình ảnh quy trình, được viết bởi các hướng dẫn STEP 7 tiêu chuẩn trong OB người dùng tiêu chuẩn.Các mô-đun F-DO được giải quyết độc quyền trong chương trình an toàn, chạy trong môi trường chạy F dành riêng của F-CPU trong OB an toàn riêng biệt (thường là OB35 hoặc OB an toàn được cấu hình).Các khối chương trình an toàn phải được tạo bằng cách sử dụng F-FB của Siemens từ thư viện F và chỉ có thể được lập trình bởi các kỹ sư đã hoàn thành khóa đào tạo lập trình F an toàn của Siemens.

Trong chứng nhận: các mô-đun DO tiêu chuẩn không có chứng nhận an toàn và không thể được sử dụng trong các chức năng có thiết bị an toàn.

Chứng nhận SIL 3 / PL e của mô-đun F-DO được ghi lại trong Sách hướng dẫn an toàn của nó (được cung cấp bởi Siemens), trong đó xác định các hạn chế kiến trúc, yêu cầu bao phủ chẩn đoán,và khoảng thời gian thử nghiệm chứng minh cần thiết để đạt được từng cấp độ chứng nhận trong một ứng dụng thực tế.

Người tích hợp hệ thống phải xác minh rằng sự kết hợp của F-CPU, PROFIsafe và F-DO đáp ứng yêu cầu SIL/PL cho chức năng an toàn cụ thể đang được triển khai.

Q2: Điều gì sẽ xảy ra với đầu ra F-DO trong trường hợp lỗi liên lạc PROFIBUS DP giữa F-CPU và trạm ET 200S chứa mô-đun F-DO?

Sự cố giao tiếp kích hoạt một trong những hành vi an toàn PROFIsafe cơ bản nhất.

Khi master DP PROFIBUS (công nghệ giao diện DP của F-CPU) mất liên lạc với trạm ET 200S slave vì lỗi cáp, lỗi kết thúc bus, mất điện trạm,hoặc bất kỳ nguyên nhân nào khác ngăn chặn các bức điện PROFIsafe hợp lệ đến mô-đun F-DO  đồng hồ giám sát nội bộ của mô-đun F-DO hết hạn.

Sau khi hết hạn, mô-đun vô điều kiện khử năng lượng tất cả bốn đầu ra F-DO và đi vào trạng thái an toàn, mà không chờ lệnh rõ ràng từ CPU (mà nó không thể tiếp cận nữa).Hành vi không an toàn bị động này là một yêu cầu cốt lõi của hồ sơ PROFIsafe và khung IEC 61508.

Thời gian chạy F của CPU đồng thời phát hiện mất liên lạc và tạo ra phản ứng chương trình an toàn thích hợp (thường chuyển sang STOP hoặc logic tắt an toàn).Các đầu ra F-DO vẫn bị tắt điện cho đến khi kết nối được khôi phục., trạng thái của mô-đun được xác minh và chương trình an toàn sẽ kích hoạt lại các đầu ra một cách rõ ràng thông qua một hành động hoặc chuỗi khởi động lại có chủ ý của người vận hành.

Không có tự động kích hoạt lại đầu ra F-DO sau khi lỗi liên lạc,ngay cả sau khi liên lạc được thiết lập lại cần phải tái kích hoạt cố ý để xác nhận rằng các điều kiện an toàn đã được xác minh.

Câu 3: Mô-đun được đánh giá cho SIL 3. Điều này có nghĩa là bất kỳ ứng dụng nào sử dụng mô-đun F-DO này sẽ tự động đạt được SIL 3, hoặc có các yêu cầu bổ sung không?

Giấy phép mô-đun là điều kiện cần thiết nhưng không đủ để đạt được SIL 3 trong một ứng dụng an toàn thực sự.

Mô-đun cung cấp kiến trúc phần cứng và bảo hiểm chẩn đoán để hỗ trợ SIL 3, nhưng toàn bộ Safety Instrumented Function (SIF) từ bộ điều khiển cuối cùng trở lại thông qua F-DO,thông qua thông báo PROFIsafe, thông qua chương trình an toàn của F-CPU, thông qua logic an toàn, đến cảm biến khởi động

Các yêu cầu bổ sung chính bao gồm: sử dụng F-CPU có khả năng SIL 3 với dung nạp lỗi phần cứng thích hợp; sử dụng PROFIsafe trên PROFIBUS với cấu hình đáp ứng các yêu cầu thời gian PROFIsafe;viết chương trình an toàn bằng cách sử dụng F-FB được chứng nhận theo các hạn chế lập trình trong Sổ tay An toàn Siemens; thực hiện tính toán tính toàn vẹn an toàn (PFD/PFHd) cho toàn bộ vòng an toàn bằng cách sử dụng tỷ lệ thất bại từ Sổ tay An toàn của mỗi thành phần;thực hiện thử nghiệm chống trúng trong khoảng thời gian được chỉ định trong Sổ tay An toàn; và đảm bảo rằng kỹ thuật ứng dụng được thực hiện bởi các kỹ sư an toàn chức năng có trình độ (tốt nhất là FSEs được chứng nhận bởi TÜV).

Sổ tay an toàn của 6ES7138-4FB04-0AB0, có sẵn từ Siemens Industry Online Support,là tài liệu tham khảo có thẩm quyền cho tất cả các yêu cầu này và phải được xem xét như một phần của bất kỳ sự phát triển ứng dụng an toàn.

Q4: Cơ chế xung thử nghiệm hoạt động như thế nào trong F-DO, và nó có thể gây ra sự gián đoạn đầu ra ngắn ngủi có thể ảnh hưởng đến tải được kết nối không?

Mô-đun F-DO thường xuyên tạo ra các xung thử nghiệmxung khử năng lượng được kiểm soát trên mỗi kênh đầu ra để xác minh rằng các transistor chuyển mạch đầu ra đang hoạt động chính xác và thực sự có thể khử năng lượng khi được lệnh.

Đây là một cơ chế chẩn đoán tiêu chuẩn trong các mô-đun đầu ra an toàn, cần thiết để đạt được phạm vi chẩn đoán (DC) cần thiết cho SIL 3 / PL e.Các xung thử nghiệm thường ở trong phạm vi microsecond đủ ngắn để tải được kết nối (một rơle an toàn, cuộn dây tiếp xúc, hoặc điện cực) không có thời gian để khử năng lượng và tái tạo năng lượng trong xung, bởi vì quán tính điện từ của tải ngăn chặn thay đổi trạng thái trong các sự gián đoạn ngắn như vậy.

Tuy nhiên, điều này phụ thuộc vào các đặc điểm của tải: tải có thời gian phản ứng rất nhanh (một số thiết bị điện tử có độ cảm ứng tối thiểu) có thể phát hiện xung thử nghiệm như một trục trặc ngắn. The F-DO module's Safety Manual specifies the maximum test pulse duration and the minimum load inductance / response time required to ensure that test pulses do not cause nuisance switching of the load.

Đối với hầu hết các cuộn dây relé an toàn và các bộ tiếp xúc điện cơ được sử dụng trong máy móc và thiết bị quy trình, thời gian xung thử nghiệm thấp hơn nhiều thời gian bỏ cuộn dây,và không có sự can thiệp với hoạt động tải xảy ra.

Q5: Mô-đun đã ngừng sản xuất vào tháng 10 năm 2020. Phương pháp thay thế được khuyến cáo cho các thiết bị mới là gì và các đơn vị 6ES7138-4FB04-0AB0 hiện có có thể được duy trì bằng phụ tùng thay thế không?

Đối với các thiết kế tự động hóa an toàn mới, Siemens khuyến cáo hệ thống I / O phân tán SIMATIC ET 200SP với các mô-đun F-DQ thích hợp,chẳng hạn như F-DQ 4 × 24VDC/2A PPM module cho ET 200SP.

Nền tảng ET 200SP là người kế nhiệm thế hệ hiện tại của ET 200S, cung cấp chức năng an toàn tương đương với chiều rộng module nhỏ hơn, cấu hình nhanh hơn,và tương thích với Cổng thông tin TIA và STEP 7 Safety Advanced.

Existing installations using the 6ES7138-4FB04-0AB0 can continue to be maintained using spare modules sourced from the industrial surplus market — stocks of discontinued Siemens safety modules are well-established in the industrial spare parts networkKhi mua các mô-đun F-DO được tân trang hoặc sử dụng cho các ứng dụng an toàn, lịch sử thử nghiệm đầy đủ của đơn vị, tính toàn vẹn của con dấu an toàn và phiên bản phần mềm chắc chắn phải được xác minh trước khi lắp đặt.

Sổ tay an toàn yêu cầu rằng bất kỳ mô-đun thay thế nào cũng phải được xác minh tính hợp lệ của chứng chỉ an toàn và chức năng an toàn phải được thử nghiệm sau khi thay thế.

A migration project to ET 200SP should be considered if the installed ET 200S station needs significant modification or if the number of F-DO modules in the installation is large enough to justify the engineering investment before the end of spare parts availability.