SIMATIC - Sistemas de alta disponibilidad - Seguridad contra fallos ...

Descripción abreviada · Febrero 2005

Requisitos exigidos a los sistemas de alta
disponibilidad
El creciente grado de automatización
de las plantas industriales confiere
una importancia creciente a la
disponibilidad de los sistemas en
uso. Los fallos o perturbaciones en
los sistemas de automatización ocasionan
paros improductivos y caros,
por un lado y, por otro lado, fuertes
gastos para la reanudación del servicio.
La presión que ejercen los costos
hace además deseable la posibilidad
de operar las maquinaria y las instalaciones
con el menor personal posible.
Clasificación de los sistemas de
alta disponibilidad según
tiempos de conmutación
Warm-Standby
Conmutación al sistema de reserva
en cuestión de segundos
Hot-Standby
Conmutación al sistema de reserva
en menos de 100 ms
Critical
Implementación o conservación del
estado seguro
Tiempo de conmutación
La estructura redundante hace posible
que los sistemas de automatización
de alta disponibilidad puedan
seguir controlando el proceso de
producción incluso si se presenta
una avería. Durante el llamado
tiempo de conmutación se pasa del
sistema maestro a la estación de reserva.
Las modalidades Warm-Standby
(tiempo de conmutación largo)
y Hot-Standby (tiempo de conmutación
corto) se diferencian en la duración
de la conmutación. El resultado
es una reducción considerable de
los tiempos de inactividad y los costos
de rearranque. Tales sistemas
permite además operar la planta sin
necesidad de personal de supervi-
sión ni de mantenimiento.
Los costos más elevados para la adquisición
de sistemas de alta disponibilidad
carecen de importancia en
comparación con el ahorro que suponen
en caso de avería.
Aplicaciones de seguridad
Existen además aplicaciones de seguridad
que conllevan requisitos
particulares en cuanto a la seguridad
del personal, la maquinaria, el medio
ambiente y el proceso (Critical).
Es allí donde entran en acción los sistemas
de automatización de alta disponibilidad
y seguridad positiva. Al
ejecutarse una acción errónea que
afecte a la seguridad (p. ej. cuando
alguien abre una puerta protectora),
el sistema conmuta o mantiene en
situación segura la parte de la aplicación
que es relevante para la seguridad.
WARM-STANDBY
HOT-STANDBY
CRITICAL
2

Campos de aplicación de los sistemas de alta
disponibilidad
Algunos de los principales campos
de aplicación de los sistemas de automatización
de alta disponibilidad
son los siguientes:
· Generación y distribución de
energía
· Química y petroquímica
· Petróleo y gas
· Refinerías
· Industria farmaceútica
· Automatización aeroportuaria
· Centrales abastecedoras y depuradoras
de aguas
· Sistemas de transporte
· Control de tráfico en carretera
Los sistemas de alta disponibilidad y
seguridad positiva encuentran aplicación
por ejemplo en la industria
petrolera y en el control de quemadores.
3

PLCs SIMATIC S7 de alta disponibilidad
Sinopsis de productos
SIMATIC ofrece varios PLcs capaces
de solucionar los distintos casos de
aplicación de alta disponibilidad
■ WARM-STANDBY,
■ HOT-STANDBY y
■ CRITICAL
El cuadro siguiente presenta los criterios
fundamentales de estos controles
respecto a las nombradas aplicaciones.
Aplicación Warm-Standby Hot-Standby Critical
Tiempo de conmutación ≥ 1 s < 100 ms < 100 ms
Solución SIMATIC
Arquitectura
Ventajas
Redundancia por software
S7, la solución de costo
optimizado para procesos
que no son de tiempo crítico
Dos CPUs estándar con
sus bloques de función
respectivos
Solución escalable y flexible
posible con casi todas
los CPUs estándar (S7-
300, S7-400, WinAC)
S7-400H: la solución de
alto rendimiento para
todos los procesos
Dos CPUs "H" del S7-400
con sincronización mutua
del hardware
Solución eficiente sin pérdida
alguna de información
y con abundante
soporte a nivel de ingeniería
Periferia ET 200M Todos los esclavos de
PROFIBUS
Arquitectura redundante (ver pág. 11) – ✓ ✓
Posibilidad de integración en PCS 7 – ✓ ✓
S7-400FH: la solución de
alto rendimiento para los
procesos de seguridad (F)
CPU "H" del S7-400, arquitectura
simple o redundante,
completado con
una librería F
Solución eficiente sin pérdida
alguna de información,
con abundante
soporte a nivel de ingeniería
y funcionalidad “F”
integrada
Todos los esclavos de
PROFIBUS, ET 200S,
ET 200M y ET 200eco
(para la funcionalidad F)
H-CPU
„F“
F-function
Librería F
CPU de alta disponibilidad
(Fail-safe) Procesos de seguridad
Bloques de función „F“
A collection of F-functions
WARM-STANDBY
HOT-STANDBY
CRITICAL
4

Configuración
Estación A
Estación B
Sincronización de datos
S7-400H
Controlador
maestro
S7-400H
Controlador
de reserva
Periferia
estándar
Área de alta
disponibilidad
Periferia
estándar
El controlador maestro (estación A)
controla el área de alta disponibilidad
cuando no lo afecta ningún
fallo. El controlador de reserva (estación
B) también tiene acceso a esa
área de alta disponibilidad. El controlador
de reserva asume el control
del área de alta disponibilidad
cuando falla el maestro. Por eso, el
área de alta disponibilidad permanecerá
disponible aunque se haya producido
una avería.
Paralelamente, los dos controles son
capaces de operar también con una
periferia normal que no exija requisitos
especiales en términos de disponibilidad,
o sea que un controlador
puede encargarse de las áreas
tanto normal como de alta disponibilidad.
5

Warm-Standby con redundancia por software S7
Introducción
La redundancia por software para
SIMATIC S7 es un paquete de programas
provisto de bloques de función
para SIMATIC S7 que en caso de
avería ejecuta la conmutación del
sistema maestro a la estación de
reserva.
Es adecuado para procesos de alta
disponibilidad que requieren Warm-
Standby (procesos de tiempo no crítico
con tiempos de conmutación
del orden de segundos). Las salidas
conservan su estado durante la conmutación.
PROFIBUS / Industrial Ethernet / MPI
Estación A
Conexión redundante
S7-400
Controlador
maestro
Estación B
S7-300
Controlador
reserva
Tiempo de conmutación
Para evaluar la idoneidad para una
aplicación dada conviene operar con
el tiempo de conmutación como criterio
de selección. Dicho tiempo
suele ser del orden de pocos segundos
y depende de varios factores:
· Capacidad de comunicación de la
CPU utilizada
· Medio de comunicación, tipo de
enlace utilizado y velocidad de
transmisión
· Volumen de datos transmitidos
· Causa del fallo
· Velocidad de transmisión del sistema
PROFIBUS DP y número de
esclavos DP
En la versión S7-300 se procede a
montar dos bastidores separados
para ambas CPUs. En el S7-400, las
CPUs pueden enchufarse en uno o
en dos bastidores. La conexión de
redundancia entre sistemas se implementa
con las redes estándar en
bus PROFIBUS, Ethernet o MPI.
En el presente ejemplo se utiliza un
controlador relativamente grande
como controlador maestro para procesar
las áreas tanto normal como
de alta disponibilidad.
En calidad de controlador de reeserva
basta uno más pequeño que
en caso de avería se encargue exclusivamente
del área de alta disponibilidad.
Área normal
CPUs disponibles
Para las estaciones maestra y esclava
son aplicables las CPUs estándar
de los S7-300 y S7-400 así como
de WinAC:
· CPUs S7-300 con interfaz DP integrada
(sin CPU 317T-2 DP, sin CPU
317-2 PN/DP, sin CPUs “F”)
· CPUs S7-400 (sin CPUs “F”)
Aquí se pueden emplear diferentes
CPUs según se trate de la estación
maestra o de la estación esclava.
PS IM IM E/S
Área de
alta disponibilidad
(área redundante)
Ejemplo de configuración para redundancia por software S7 con S7-300, S7-400 y WinCC
MPI
El interface multipunto (MPI) es el interface multipunto de la unidad de programación
de SIMATIC S7. Este interface permite acceder desde un punto central
a los módulos programables (módulo programable), visualizadores de
textos y paneles de operadorl. Las estaciones de la red MPI pueden comunicarse
unas con otras.
WARM-STANDBY
6

Características
La redundancia por software S7
posee las siguientes características:
Periferia
La unidad periférica descentralizada
ET 200M se conecta de modo monocanal
con ambas líneas PROFIBUS DP
a través de dos módulos de interface
redundantes IM 153-2 (esclavo DP).
Para ello puede aplicarse la gama
completa de ET 200M. Se puede
configurar con redundancia o bien
el proceso entero o bien una sección
especialmente crítica del mismo.
La periferia redundante se implementará
a través del programa de
aplicación si fuera necesario.
Ingeniería
Son requisitos para el desarrollo del
programa STEP 7 y la redundancia
por software S7. Los bloques de la
redundancia se llaman y parametrizan
al comienzo y al final del programa,
definiéndose al mismo
tiempo las áreas de datos redundantes.
Los datos redundantes son
transmitidos a continuación entonces
por los FBs.
El programa de usuario tiene que
cargarse en las dos CPUs.
Diagnóstico / Reparación
Permanecen disponibles todas las
funciones estándar de diagnóstico,
entre ellas:
· Estado de los módulos en visualización
panorámica
· Visualización de estado y forzado
de entradas y salidas
· Visualización de estado del programa
en bloques de función
· Visualización de estado de las variables
al final de un ciclo
Para reparar una CPU es preciso
reemplazarla y cargar en la nueva
CPU el programa correspondiente.
Comunicación
La comunicación con otros dispositivos
está soportada como sigue:
· Para acoplar con WinCC (no
WinCC flexible) hay disponibles
scripts de redundancia.
· Para acoplar OP, TP, MP y TD es indispensable
utilizar dispositivos
conmutables (OP 7, OP 17, basados
en WinCE)
· El intercambio de datos con PC y
PLC exige programación previa
Redundancia por software para SIMATIC S7
Software requerido
· Paquete base STEP 7, versión V4.02 o superior
· NCM S7 para PROFIBUS, para configurar la
comunicacións
· Memoria requerida para FB en la CPU:
aprox. 10 kbytes
Hardware soportado · CPU 315-2 DP, 316-2 DP, 318-2
· Todas las CPUs del S7-400
Comunicación entre las CPUs
Módulos que se pueden utilizar
para la unidad periférica
descentralizada ET 200M
Condiciones marginales
Programación
Causas de la conmutación
Comportamiento en
conmutación
Tiempo de conmutación
Modalidad de suministro
Referencia base
HMI
OP
TP
MP
TD
· No homologado para PCS 7
· MPI
· PROFIBUS
· Industrial Ethernet (con fines de comunicación es
posible utilizar igualmente los enlaces existentes)
· Módulo de interface redundante (esc. DP) IM 153-
2/-2FO
· Todos los módulos digitales y analógicos para
ET 200M
· Módulo contador FM 350
· CP 341
· Soporte de una línea PROFIBUS DP
· Sólo aplicables temporizadores/contadores IEC
· KOP, FUP, AWL, CFC, SCL
· Cada dispositivo se programa por separado
· El programa para el área de alta disponibilidad es
idéntico en ambos controladores
· El programa para el área normal puede ser diferente
· Fallo del controlador maestro (red OFF o STOP)
· Fallo del sistema DP maestro o del controlador
maestro
· Conmutación manual
· Las salidas permanecen congeladas durante la
conmutación
· Tras la conmutación, el nuevo maestro funciona a
base de los datos recibidos más recientemente
Del oreden de segundos, depende de:
· la capacidad de comunicación de la CPU
· el medio de comunicación
· el volumen de datos a transmitir
· la causa del fallo
· la velocidad en baudios de la red PROFIBUS DP
· el número de esclavos DP
· Bloques de función en CD-ROM, incluida documentación
electrónica en 5 idiomas (al., ing., fran., esp.,
ital.)
· Cuatro ejemplos cargables de aplicación
· Un bloque de imágenes WinCC
6ES7 862-0AC...
Human-Machine Interface: interfaz hombre-máquina
Operator Panel: panel de operador
Touch Display Panel: panel táctil
Multi functional platform
visualizador de textos
7

Hot-Standby con SIMATIC S7-400H
Introducción
SIMATIC S7-400H en un controlador
(PLC) con dos CPU "H" del mismo
tipo; en caso de fallo, la conmutación
se ejecuta desde el sistema
maestro al de reserva. Resulta apropiado
para procesos de alta disponibilidad
que requieren Hot-Standby
(procesos con tiempos de conmutación
inferiores a 100 ms).
Sincronización
Al surgir un fallo, el método de sincronización
controlada por eventos
permite una conmutación rápida y
libre de transitorios a la CPU redundante,
la cual asume el procesamiento
en el punto de interrupción
sin pérdida de información o de alarmas.
El sistema operativo se encarga del
funcionamiento sincronizado de todos
los comandos cuya ejecución
podría provocar estados diferentes
en los dos sistemas El usuario no necesita
programar ni parametrizar
nada a tal efecto.
Comunicación alta disponibilidad por Industrial Ethernet
Estación A
Estación B
Sincronización por evento
S7-400H
Control. maestro
S7-400H
Control. reserva
E/S
asignadas a
estación A
ET 200M
E/S de alta
disponibilidad
E/S
asignadas a
estación B
Topología del S7-400H con dos controladores y la periferia correspondiente (estándar alta disponibilidad)
HOT-STANDBY
8

CPU 414-4H y CPU 417-4H
CPUs “H”
Para el SIMATIC S7-400H hay dos
CPU disponibles concebidas para satisfacer
los requisitos más diversos
en cuanto a prestaciones. Las CPUs
"H" han experimentado innovaciones,
como las CPUs estándar, posibilitando
ahora la integración de funciones
sumplementarias sin
necesidad de inversiones adicionales
en hardware.
Aparte de una capacidad funcional
mejorada (más memoria de trabajo,
un número elevado y uniforme de
temporizadores y contadores), las
CPUs "H" modernizadas acusan un
claro incremento en términos de
prestaciones. Ello se manifiesta no
sólo en una velocidad de proceso
considerablemente superior, sino
además en una mayor capacidad de
comunicación. Se ha incorporado
además un nuevo tipo de memoria
integrada que identifica y corrige
automáticamente las celdas de memoria
corruptas por influjos externos.
El cuadro adjunto presenta los datos
característicos más importantes.
Módulos Sync
Ambas CPUs "H" están conectadas
entre sí por fibra óptica y por los llamados
módulos Sync que pueden
enchufarse directamente a la CPU,
lo que evita perder un slot en el rack
y acelera la comunicación. Los módulos
Sync pueden sustituirse bajo
tensión.
Existen dos clases de módulos Sync:
· para cable Sync de hasta 10 m de
longitud
· para cable Sync de hasta 10 km en
aplicaciones en las que los subsistemas
tengan que mantenerse
muy distantes entre sí
Sync Modules
Submódulos
de sincronización
CPU CPU 414-4H CPU 417-4H
Memoria de trabajo
(integrada)
Memoria de trabajo
(expandible)
Memoria de carga
(integrada)
Memoria de carga
(expandible, RAM/FEPROM)
Tiempo de ejecución de
instrucciones (bits)
Interfaces
Las CPUs 414-4H y 417-4H cuentan
con cuatro interfaces cada una:
· 1 interfaz PROFIBUS DP para conectar
el S7-400H como maestro
a PROFIBUS DP.
· 1 interfaz que se puede utilizar
bien como PROFIBUS DP o bien
como MPI (Multipoint Interface).
Esta interfaz soporta las siguientes
operaciones:
- Programación y parametrización
- Manejo y visualización
- Construcción de redes simples
· 2 interfaces para acomodar los
módulos Sync
700 kB datos 1)
700 kB código 1) 10 MB datos 1)
10 MB código 1)
– 8 MB datos
8 MB código
256 kB 256 kB
hasta 64 MB
hasta 64 MB
0,06 µs 0,03 µs
Marcas 64 kbits 64 kbits
FB/FC/DB 2048/2048/4095 6144/6144/8191
Área de direccionamiento 8 kB/8 kB 16 kB/16 kB
periférica E/S
Imagen de proceso E/S 8 kB/8 kB 16 kB/16 kB
Interfaces MPI/DP y DP MPI/DP y DP
Dimensiones 25 x 290 x 219 25 x 290 x 219
Referencia base 6ES7414-4H... 6ES7417-4H...
1 ) con nueva versión CPU (08/2004)
9

0 1
0 1
Hot-Standby con SIMATIC S7-400H
Periferia
Conexión de la periferia
La periferia se puede conectar en
función de los requisitos de disponibilidad.
Las posibilidades son las
siguientes
➊ Conexión no redundante (disponibilidad
normal) para todos los
esclavos de PROFIBUS, p. ej. ET
200M, ET 200S, ET 200eco
➋ La conexión conmutada (disponibilidad
aumentada) para
ET 200M o
➌ La conexión redundante (alta disponibilidad)
para ET 200M.
Estos dos tipos de configuración
también se pueden mezclar.
Bast. 0 Bast. 1
Ê Conexión no redundante
Módulos de E/S monocanal
no redundantes
en el aparto central
Unidad periférica descentralizada
monocanal no redundante
p. ej. ET 200S
Periferia
descentraliz.
conmutada
ET 200M
Pareja de módulos
redundantesntes
DP/PA-Link
ó Y-Link
Ë
Conexión conmutada
Ì Conexión redundante
Periferia descentraliz.
redundante ET 200M
Periferia decentraliz.
redundante ET 200M
Y Link
El Y Link permite acoplar fácilmente
un sistema periférico subordinado
provisto de varios dispositivos de
campo a un sistema redundante
PROFIBUS DP, p. ej. a un S7-400H
con dos sistemas DP maestros.
De ocurrir un fallo, el Y Link conmuta
sin transitorios la línea periférica
completa al canal de bus activo
del sistema redundante H.
El Y Link posibilita la conexión de la
mayor parte de los esclavos de
PROFIBUS.
IM 157
Acopl. en Y
S7-400H
Y-Link
Sistema DP maestro redundante
Sistema DP maestro subordinado
HOT-STANDBY
10
Unidades
periféricas
descent. ET 200S ET 200S ET 200M Accto.
Otros
aparatos
campo

Periferia redundante
Periferia redundante
Se entiende por periferia redundante
los módulos de entrada y salida
que se configuran y manejan
con criterios de redundancia. El uso
de la periferia redundante ofrece la
máxima disponibilidad porque permite
tolerar el fallo de una CPU, de
una línea PROFIBUS y de un módulo
de señales. En servicio normal permanecen
activos ambos módulos, o
sean que cuando las entradas son
redundantes, dos módulos se encargan
de leer el sensor compartido,
comparar el resultado y ponerlo a
disposición del usuario en forma de
valor unificado para su procesamiento
ulterior.
Cuando las salidas son redundantes,
ambos módulos se cargan de emitir
el valor computado por el programa
de usuario.
De ocurrir un fallo, por ejemplo si
fallan los dos módulos de entrada,
el módulo defectuoso se desactiva,
el fallo se señaliza y el proceso se
continúa controlando sólo con el
módulo intacto.
Terminada la reparación, que puede
ejecutarse online, pueden seguir
usándose nuevamente los dos módulos.
PROFIBUS redundante
Entrada maestra
Ambas entradas se leen en paralelo.
El valor correcto se selecciona
y procesa automáticamente.
Entrada
redundante
Numerosos módulos de señales de
S7-300 (para aplicación descentralizada
en la ET 200M) son aplicable
para operación redundante. El requisito
es STEP 7, versión 5.3, que
tiene integrado el paquete opcional
"S7 H-Systems".
Disponibilidad escalable
La disponibilidad es escalable dependiendo
de cómo se conecte la
periferia redundante:
➊ Cada módulo en su propio bastidor
con conexión redundante
con el PROFIBUS
o
➋ Cada módulo en su propio bastidor
con conexión simple con el
PROFIBUS
o
➌ Ambos módulos en un solo
bastidor
PROFIBUS redundante PROFIBUS redundante
D I
D I
Entr. maestro
➊
Entrada
redundante
Entr. maestro
➋
Entrada
redundante
Disponibilidad escalable
PROFIBUSredundante
D I
Entr. maestro
➌
Entrada
redundante
11

Hot-Standby con SIMATIC S7-400H
Características
Arquitectura
Existen dos formas de configurar los
dos subsistemas:
· La configuración con dos bastidores
estándar (UR1 y UR2) es apropiada
cuando los subsistemas tienen
que estar completamente
aislados entre sí.
En cada rack está enchufada una
CPU y una fuente de alimentación
(PS). Es posible montar dos fuentes
de alimentación redundantes
cuando se requiere una disponibilidad
muy alta. La separación entre
ambos racks no debe superar
los 10 km.
· En el bastidor UR2-H con bus de
fondo segmentado hay enchufadas
dos CPUs con alimentación
simple y redundante, respectivamente,
lo que permite una construcción
especialmente compacta.
Ingeniería
La programación se lleva a cabo en
todos los lenguajes de programación,
como en el caso de un sistema
estándar. Los programas se pueden
portar con facilidad desde los sistemas
estándar a un sistema redundante.
El programa, una vez cargado,
se reparte automáticamente
entre las dos CPUs redundantes.
Las funciones y las configuraciones
específicas a la redundancia se parametrizan
con el paquete opcional S7
H-Systems (integrado en STEP 7,
versión 5.3 desde el 01/2004). El ingeniero
de proyectos se puede dedicar
así por completo al control del
proceso.
Diagnóstico y reemplazo de los
módulos
Las funciones estándar de diagnóstico
se complementan con las siguientes:
· Con las funciones integradas de
autodiagnóstico, el sistema detecta
y señaliza errores antes de
que lleguen a afectar el proceso.
Éstas posibilitan el reemplazo sistemático
de los componentes defectuosos,
acortando así el tiempo
de reparación.
· Todos los componentes pueden
recambiarse durante el servicio
normal (reparación online). El reemplazo
de una CPU conlleva la
recarga automática de todos los
programas y datos actualizados.
El usuario puede también modificar
programas con el sistema en
marcha, cambiando y recargando
por ejemplo bloques.
· También son posibles los cambios
de configuración durante el servicio,
p. ej. añadiendo o quitando
esclavos DP o módulos o aumentando
el tamaño de la memoria de
la CPU.
Periferia
El usuario puede recurrir a los
siguientes componentes periféricos
en función del tipo de conexión:
· Todos los esclavos de PROFIBUS
para conexión no redundante
· La ET 200M para una conexión
conmutada y redundante
HOT-STANDBY
12

Comunicación
También la comunicación es de alta
disponibilidad: según la topología
de red en uso se crean conexiones
redundantes a las que el sistema
conmuta automáticamente en caso
de avería.
En el S7-400H, la comunicación de
alta disponibilidad se implementa
con CPs dobles que se conectan al
PC mediante el paquete de software
S7-REDCONNECT.
Si se produce una falla, la comunicación
de alta disponibilidad prosigue
en forma automática e invisible para
el usuario.
Industrial Ethernet
Industrial Ethernet
S7-400H
S7-400H
Esquema equivalente de la redundancia:
PS CPU CP
CP CPU PS
Bus
PS CPU CP CP CPU PS
Ê Comunicación de alta disponibilidad con bus simple
Esquema equivalente de la redundancia:
PS CPU CP Bus CP CPU PS
PS CPU CP Bus CP CPU PS
Ë Comunicación de alta disponibilidad con bus redundante
y CPs simples
➊
El bus está instalado de manera fiable y sin riesgo de
fallar. Se tolera la avería de un componente por dispositivo.
➋
La misma configuración que en la fig. 1, pero el bus es
de configuración redundante, o sea que se puede tolerar
además el fallo del bus.
Industrial Ethernet
Bus en anillo
S7-400H
S7-400H
Esquema equivalente de la redundancia:
CP
CP
PS CPU
Bus
CP
CP
CPU
PS
Esquema equivalente de la redundancia:
PS CPU CP Bus CP CPU PS
CP
CP
PS CPU
Bus
CPU PS
CP
CP
Ì Comunicación de alta disponibilidad con bus redundante
y CPs redundantes
PS CPU CP Bus CP CPU PS
Í Comunicación de alta disponibilidad con bus en anillo
➌
La misma configuración en la fig. 2, pero también los CPs
(Communication Processor) son de configuración redundante.
En este caso se puede tolerar el fallo del bus y de
cualquier otro componente por cada susbsistema.
➍
En esta configuración, la seguridad ante fallos del bus
se consigue mediante la topología en anillo. Adicionalmente
resulta tolerable el fallo de un componente
más.
13

Critical con SIMATIC S7-400FH
Introducción
Comunicación alta disponibilidad por Industrial Ethernet
S7-400FH
Sistemas maestros redundantes S7-400H
en bastidor partido con conexión
de redundancia
ET 200M
ET 200S
PROFIBUS DP redundante
Si falla un sistema maestro S7-400H
o módulos de seguridad el PLC
sigue estando disponible
Si falla un sistema maestro S7-400H
o una estación ET 200-Station o
módulos de seguridad el PLC
sigue estando disponible
Controlador de alta disponibilidad y seguridad positiva, con dos CPUs, con PROFIBUS y periferia en configuración redundante para continuar
con el control del proceso al producirse un fallo en el sistema de control.
Los PLCs de seguridad positiva se
monitorean a sí mismos de forma
autónoma y son capaces de detectar
fallos. Al producirse un fallo pasan a
un estado seguro o permanecen en
él. SIMATIC S7-400FH combina en
un mismo sistema las dos funciones:
alta disponibilidad y seguridad positiva.
El sistema operativo de las CPUs "H"
se extiende para dar cabida a las
funciones de seguridad positiva. El
S7-400FH satisface los niveles de seguridad
más elevados. Resulta también
muy fácil de integrar el sistema
de control distribuido de procesos
SIMATIC PCS 7, razón por la cual se
aplican sobre todo en la automatización
de procesos.
A tal efecto es imprescindible una
CPU "H" (414-4H ó 417-4H) con funcionalidad
“F” recargable. Sirven de
periferia los módulos de seguridad
positiva de los sistemas periféricos
descentralizados ET 200M, ET 200S
y ET 200eco. La comunicación tiene
lugar vía PROFIBUS DP con el perfil
PROFIsafe.
El SIMATIC S7-400FH satisface todas
las normas esenciales de seguridad:
· IEC 61508 (hasta SIL 3)
· IEC 61511
· EN 954 (hasta la categoría 4)
· NFPA 79-2002
· Disponibilidad de certificados expedidos
por el TÜV para la automatización
manufacturera y de
procesos
CRITICAL
14

Configuración, periferia
Configuración
■ S7 F Systems
S7 F Systems sirve para configurar el
hardware y la aplicación de seguridad
en proceso conforme a la norma
IEC 61511, ampliando el PLC S7-
400FH con funciones de seguridad.
Simplifica la creación del programa
de seguridad proporcionando una
librería F con bloques de función
preconfeccionados y certificados
por el TÜV de conformidad con SIL 3
IEC 61508.
Facilita además la documentación
del programa de seguridad, p. ej.
con la gestión de las firmas electrónicas.
La configuración de los programas
de seguridad con seguridad positiva
puede llevarse a cabo o bien con el
CFC o bien con el Safety Matrix.
■ Continous Function Chart (CFC)
Para procesos con respuesta dinámica,
p. ej. en química o petroquímica
(hidrocracker). El CFC permite
acceder y enlazar los bloques de
función certificados de la librería F
de los sistemas S7 F o del paquete
de quemadores opcional.
El paquete de quemadores opcional
incluye una librería F con bloques
para quemadores industriales de
gas o petróleo. Los bloques están
certificados por el TÜV según
EN 61508 SIL 3 y las normas
TRD 411 y 412 para calderas
térmicas y a vapor.
■ Safety Matrix
Safety Matrix constituye una innovadora
herramienta de configuración
de procesos que requieren reacciones
de seguridad antes estados
predefinidos y son fáciles de configurar
con la matriz Cause&Effects.
El análisis Cause&Effects forma
parte del análisis de riesgo de una
planta. La especificación del programa
de seguridad concuerda al
mismo tiempo con los parámetros
de entrada para la Safety Matrix.
A continuación de la entrada se deriva
la especificación de test de la
planta al tiempo que se genera automáticamente
el proyecto CFC dedicado
a la seguridad. Así se logra reducir
al mínimo las posible fuentes
de fallo.
Configuración gráfica del S7-400FH con la herramienta de ingeniería
Continuous Function Chart (CFC)
Periferia modular granulada ET 200S
Periferia modular de alta canalidad
ET 200M
Periferia
■ Módulo periférico ET 200
ET 200S, ET 200M y ET 200eco están
disponibles como periferia de seguridad
positiva para todas las CPUs
SIMATIC de seguridad positiva.
Todas ellas satisfacen las normas
IEC 61508 (hasta SIL 3), IEC 61511,
EN 954 (hasta cat. 4), NFPA 79,
NFPA 85, figuran en la lista UL y
están certificadas por el TÜV. Se conectan
con la periferia vía PROFIBUS
DP; la comunicación tiene lugar a
través del perfil PROFIsafe.
La periferia de seguridad positiva es
capaz de pronosticar fallos internos
y externos, su configuración interna
es redundante y realiza comprobaciones
autónomas (p. ej. cortocircuito,
rotura de cables). La desconexión
de seguridad positiva no
requiere de relés de seguridad suplementarios.
El módulo periférico
monitorea también de manera autónoma
el tiempo de discrepancia especificado
durante la parametrización.
El cuadro que figura en la siguiente
página presenta los rasgos característicos
de las variantes de periferia
de seguridad positiva.
15

Critical con SIMATIC S7-400FH
Especificaciones técnicas para la periferia
Periferia ET 200S ET 200M ET 200eco
Característica Periferia modular granulada con
hasta 8 canales por módulo
Periferia modular para aplicaciones
de máxima canalidad con
hasta 24 canales por módulo
Periferia digitales tiopo bloque y
alto grado de protección IP65/67
Aplicación
Ampliación descentralizada de S7-300F, S7-400F y S7-400FH
Ampliación central del S7-300F
Entradas digitales Para la conexión de sensores digitales
· 4/8 F-DI DC 24V · DE 24 x DC 24V
· 4/8 F-DI DC 24 V
· DE 8 x NAMUR
Salidas digitales Para la conexión de actuadores / cargas digitales
· 4 F-DO DC 24V/2A · DA 10 x DC 24V/2A –
Entradas analógicas – Para la conexión de sensores analógicos
–
· AE 6 x 4-20 mA / 13 bits
Módulos de alimentación
Para monitorear y asegurar las
tensiones de carga y alimentación
de sensores
· PM-E F DC 24V
– –
producto. Por ello, la presencia de las prestaciones
deseadas sólo será vinculante si se ha estipulado
expresamente al concluir el contrato.
Reservada la posibilidad de suministro y modificación
técnicas.
Módulos ET 200M de seguridad positiva
Número de entradas
o salidas
Módulo de entrada
digital SM 326 F
24 (1 canal para
sensores SIL 2),
12 (2 canales para
sensores SIL 3)
Mód. de entrada digital
SM 326 F (NAMUR)
8 (1 canal),
4 (2 canales)
Módulo de salida
digital SM 326 F
Módulo de entrada
analógico SM 336 F
10 6 (2 canales para
sensores SIL 3)
Tensión a la entrada 24 V DC NAMUR 24 V DC
o la salida
Alarmas
Alarma de diagnóstico
Corriente de entrada – 2 A por canal
4 - 20 mA
o de salida
en señal "1"
Referencia base 6ES7 326-1BK..-.... 6ES7 326-1RF..-.... 6ES7 326-2BF..-.... 6ES7 336-1HE..-....
Módulos ET 200S de seguridad positiva
Número de entradas
o salidas
Tensión a la entrada
o la salida
Mód. de E dig. 4/8 F-DI Mód. de S dig. 4 F-DO Mód. aliment. PM-E F
4 (2 canales para
sensoresSIL 3),
8 (2 canales para
sensores SIL 2)
24 V DC
4 a 24V/2 A Hasta dos salidas SIL 3
para 24 V/2 A,
1 salida de relé 10 A máx.
Periferia digital tipo
bloque ET 200eco
4 (2 canales para
sensores SIL 3)
8 (1 canal para
sensores SIL 2)
Referencia base 6ES7 138-4FA..-.... 6ES7 138-4FB..-.... 6ES7 138-4CF..-.... 6ES7 148-3FA..-....
Para información más detallada en Documentación
Técnica SIMATIC Guide:
Solicite más material impreso sobre el
tema SIMATIC en la web:
www.siemens.com/simatic-docu
www.siemens.com/simatic/printmaterial
Este prospecto contiene descripciones generales
o prestaciones que en el caso de aplicación concreto
pueden no coincidir exactamente con lo
descrito, o bien haber sido modificadas como
consecuencias de un ulterior desarrollo del
Para consultas personales busque un
contacto en sus cercanías en:
Con A&D Mall se pueden hacer pedidos
directos vía Internet:
Siemens AG
Automation and Drives
Postfach 4848
90327 NÜRNBERG
REPUBLICA FEDERAL DE ALEMANIA
www.siemens.com/automation/partner
www.siemens.com/automation/mall
www.siemens.com/h-cpu
PDF (6ZB5310-0FW04-0BA6)
Impreso en la República Federal de Alemania
501338 KB 0305 PDF Es
© Siemens AG 2005
Sujeto a cambios sin previo aviso
Todas las denominaciones de productos pueden ser marcas o
nombres de productos de Siemens AG o de subcontratistas; su
utilización por terceros para propio beneficio puede vulnerar
los derechos de sus propietarios.