Moderne Prozessanlagen verlangen von ihren Steuerungsplattformen robuste Sicherheitsfunktionen und hohe Verfügbarkeit. Systemintegratoren müssen Architekturen für Distributed Control Systems (DCS) und Emergency Shutdown (ESD) mit höchster Präzision bewerten.

Diese umfassende technische Bewertung beschreibt die wesentlichen technischen Spezifikationen, Hardware-Redundanzmodelle, Anforderungen an Gehäuse und Softwareparameter für unternehmenskritische industrielle Anwendungen.

Zentrale Anforderungen an die Systemarchitektur für DCS und ESD

Eine zuverlässige Architektur für Prozessanlagen erfordert dedizierte Funktionshardware für Regelungs- und Sicherheitsfunktionen. Hybride Steuerungslösungen beeinträchtigen häufig die langfristige Betriebsintegrität. Daher müssen Ingenieure separate, zweckbestimmte Hardware- und Softwareumgebungen für DCS- und ESD-Systeme spezifizieren.

Die DCS-Architektur muss eine knotenbasierte Topologie anstelle einer anfälligen serverzentrierten Struktur verwenden, um einzelne Fehlerstellen zu vermeiden. Das ESD-System muss dagegen unabhängig arbeiten und mindestens die zertifizierte Einstufung SIL-3 erfüllen.

Darüber hinaus benötigen beide Systeme Redundanz auf Hardwareebene für Controller, Netzteile und Kommunikationsnetzwerke. Während I/O-Redundanz für allgemeine DCS-Regelkreise optional bleibt, erfordern ESD-Systeme zwingend redundante I/O-Kanäle.

Anforderungen an Controller-Leistung, Speicher und Umweltschutz

Die Hochgeschwindigkeitsübertragung ohne Stoß zwischen aktiven und Standby-Prozessoren gewährleistet eine unterbrechungsfreie Steuerung bei planmäßigen Wartungsarbeiten oder Hardwarefehlern. Der primäre Controller gleicht die Daten kontinuierlich mit der Hot-Standby-Einheit ab und führt die Umschaltung innerhalb von 100 ms durch.

Außerdem benötigen Prozessoren eine Speicherkapazität von mindestens 64 MB, um komplexe Steuerungslogik zu verarbeiten. Für den Einsatz in rauen Anlagenumgebungen muss die Hardware des Anbieters eine korrosionsbeständige G3-Schutzbeschichtung gemäß ANSI/ISA S71.04-1985 aufweisen.

Umfangreiche Diagnosefunktionen überwachen kontinuierlich Feldkanäle, Systemmodule und Netzteile. Darüber hinaus muss die Auslegung Sicherheitsfunktionen vor Spannungseinbrüchen, transienten Überspannungen, Speicherkorruption und Leitungsfehlern schützen.

Konfigurationen der Hardware-I/O-Module und Erdungsstandards

Eine geeignete Verteilung der Ein-/Ausgangsmodule verhindert eine Überlastung der Kanäle und erleichtert die Fehlersuche im Feld. Module für analoge Ein- und Ausgänge (AI/AO) sollten höchstens 16 Kanäle pro Karte unterstützen.

Ebenso müssen Module für digitale Ein- und Ausgänge (DI/DO) die Kapazität auf 64 Kanäle begrenzen und mit Abschlussplatinen für 32 Kanäle kombiniert werden.

Um eine dynamische Reaktionsfähigkeit des Prozesses zu gewährleisten, muss die Scanzeit des DCS-Prozessors einschließlich des vollständigen Diagnose-Overheads innerhalb von 100 ms liegen. Für die ESD-Logik dürfen die Scanzeiten bei Triple Modular Redundant (TMR)-Einheiten 100 ms und bei Quadruple Modular Redundant (QMR)-Systemen 250 ms nicht überschreiten.

Ingenieure müssen außerdem drei klar voneinander getrennte Erdungsnetze einrichten: isolierte Systemerdung, isolierte Kabelschirm-Erdung und Erdung des Schaltschrankkörpers.

Grenzwerte für Prozessorlast, Diagnose und industrielle Vernetzung

Systemplaner müssen die maximale CPU-Auslastung während des ungünstigsten Betriebs mit Spitzenlast der Anlage unter 60 % halten. Systemintegratoren müssen während des abschließenden Detail-Engineerings detaillierte Berechnungen zur CPU-Auslastung einreichen.

Ein Hardware-Watchdog-Timer überwacht kontinuierlich den Zustand des Prozessors und löst bei der Erkennung von CPU-, Speicher- oder Stromversorgungsfehlern sofortige Alarmsignale aus.

Nichtflüchtiger Speicher schützt kritischen Anwendungscode. Wird flüchtiger RAM verwendet, muss eine dedizierte Batteriesicherung die Datenerhaltung für mindestens 30 Tage gewährleisten. Das System muss mindestens eine Woche vor der vollständigen Entladung eine Batteriewarnung ausgeben.

Für die Anlagenkommunikation sollten die Systemschränke industrietaugliche gemanagte Ethernet-Switches mit mindestens zwei Glasfaser- (FO-)Ports enthalten.

Schaltschrankdesign, Gehäuse und Schaltschrankspezifikationen

Ingenieure müssen die Steuerungshardware in eigenständigen Industrieschränken renommierter Hersteller wie Rittal, Eldon oder Hoffman unterbringen. Die Schaltschränke müssen sowohl an der Vorder- als auch an der Rückseite mit Doppeltüren sowie mit einem Zugang für die Kabeleinführung von unten ausgestattet sein.

Systemschränke müssen die Node Interface Units (NIUs) an der Vorderseite gut sichtbar anordnen und gleichzeitig eine strikte physische Trennung zwischen Stromleitungen und Niederspannungs-Signalleitungen gewährleisten. Alle Digitalausgänge erfordern zwischengeschaltete Relais zur Isolation.

Engineering-Software, Diagnose und Erweiterungsreserven

Die Software-Suite der Steuerungsplattform wird auf dedizierten Engineering-Arbeitsplätzen vorinstalliert und durch physische Installationsmedien ergänzt. Die Programmierumgebung muss sowohl für die DCS- als auch für die ESD-Konfiguration die Standardsprachen Kontaktplan und Funktionsplan (FBD) unterstützen.

Die Ingenieure benötigen die Möglichkeit, die Anwendungslogik online zu ändern, ohne den laufenden Prozessbetrieb zu unterbrechen. Die Systemsoftware muss ein unveränderliches Audit-Protokoll führen, das jede Konfigurationsänderung, die Benutzer-ID und den Zeitstempel erfasst.

Schließlich erfordern die Projekte einen integrierten OPC-Server, HART-Pass-through-Werkzeuge, Asset-Management-Software (AMS), eine Webserver-Schnittstelle und eine GPS-Uhrensynchronisierung. Die Lieferung der physischen Hardware muss 20 % vollständig verdrahtete und installierte Ersatz-I/O-Module umfassen.

Anwendungsszenario: Modernisierung der Sicherheit bei der Offshore-Gaskompression

Eine Offshore-Erdgasförderanlage benötigte eine Modernisierung ihres Sicherheitssystems, um eine veraltete relaisbasierte Notabschaltung und eine Legacy-DCS-Regelschleife zu ersetzen.

Die Herausforderung: Die Anlage litt unter häufigen Fehlauslösungen durch elektrische Störungen in analogen Feldschleifen. Außerdem verfügte die bestehende Plattform nicht über eine ausreichende Hardwaretrennung zwischen Regelkreisen und Sicherheitsverriegelungen, wodurch die Anlage betrieblichen Risiken ausgesetzt war.

Die Lösung: Die Ingenieure implementierten ein redundantes, knotenbasiertes DCS in Kombination mit einem vollständig unabhängigen SIL-3-zertifizierten TMR-ESD-System. Sie installierten G3-beschichtete Karten in Rittal-Gehäusen mit Schutzart IP52 und führten isolierte Signalerdungsnetze über die Modulracks hinweg ein.

Das Ergebnis: Die neue Plattform mit dualer Architektur beseitigte Fehlauslösungen, erreichte eine Umschaltzeit bei Steuerungsausfällen von unter 80 ms und hielt die CPU-Auslastung unter 42 %. Anlagenbediener können nun Online-Logikaktualisierungen mithilfe vollständig protokollierender Audit-Trail-Werkzeuge sicher durchführen.

Über den Autor

Liu Kang ist ein leitender Spezialist für industrielle Automatisierung mit 15 Jahren technischer Erfahrung in der Entwicklung, Inbetriebnahme und Bewertung von DCS-, ESD-, SPS- und Turbinenüberwachungsinstrumentierungsplattformen (TSI). Er ist auf hochverfügbare Steuerungsarchitekturen, funktionale Sicherheitskonzepte mit SIL-Einstufung und Feldbuskommunikation für die Schwerprozessindustrie in Asien und im Nahen Osten spezialisiert.