Die Systemverfügbarkeit bestimmt die Produktivität und Prozesssicherheit in der modernen Fabrikautomation. Ingenieure für industrielle Steuerungstechnik setzen Redundanzstrategien ein, um einzelne Ausfallpunkte zu eliminieren. Wenn bei einer primären Steuerung Hardwarefehler auftreten, gewährleistet ein sekundäres System die Betriebssicherheit.

Diese technische Bewertung analysiert die Architektur, Ausführungsgeschwindigkeit, Kostenabwägungen und praktischen Auswahlparameter von Hot-Standby- und Cold-Standby-Systemkonfigurationen.

Aufbau einer Cold-Standby-Architektur

Bei Cold Standby bleibt eine sekundäre Steuerung während des Normalbetriebs ausgeschaltet oder vom aktiven Prozessnetzwerk getrennt. Das Standby-Gerät speichert identische Anwendungsprogramme, verarbeitet jedoch keine Echtzeitdaten der Ein- und Ausgänge (I/O).

Wenn die primäre Steuerung ausfällt, ist normalerweise ein manueller Eingriff erforderlich. Anlagentechniker müssen die Backup-Hardware einschalten, die Feldbus-Kommunikationsverbindungen wiederherstellen und aktualisierte Prozessparameter laden.

Folglich dauert die Umschaltung Minuten oder Stunden. Dadurch eignet sich Cold Standby nur für Hilfssysteme mit niedriger Priorität, bei denen vorübergehende Abschaltungen weder die Sicherheit beeinträchtigen noch schwere finanzielle Verluste verursachen.

Aufbau einer Hot-Standby-Architektur

Hot-Standby-Systeme verwenden zwei identische, unter Spannung stehende Steuerungen, die parallel über schnelle Glasfaser-Synchronisationsverbindungen betrieben werden. Die aktive Steuerung führt kontinuierlich die Steuerungslogik aus und steuert die Feld-I/O-Module.

Gleichzeitig synchronisiert das Standby-Gerät seine Speicherregister, Timerzustände und Prozessvariablen in Echtzeit mit dem Primärprozessor. Dedizierte Synchronisationsmodule übernehmen die dynamische Datenübertragung, damit beide Geräte synchron bleiben.

Wenn ein Fehler der primären Steuerung auftritt, wird die Steuerung automatisch innerhalb von Millisekunden oder Mikrosekunden auf das Backup-Gerät übertragen. Diese unterbrechungsfreie Umschaltung gewährleistet eine Unterbrechung von null zu den Prozessregelkreisen und erhält dadurch die Systemsicherheit in kontinuierlich arbeitenden Prozessindustrien.

Architekturvergleich: Hot Standby vs. Cold Standby

Bei der Auslegung redundanter Architekturen für SPS- und DCS-Plattformen müssen Ingenieure die Systemkritikalität gegen die Investitionskosten abwägen.

Technische Expertenanalyse: Praxisevaluierung und Architekturauswahl

Aus fünfzehn Jahren Erfahrung bei der Inbetriebnahme von Anlagen zeigt sich, dass die Entscheidung zwischen Hot und Cold Standby eine Bewertung der tatsächlichen Prozesstoleranz erfordert, anstatt einfach das komplexeste System auszuwählen.

In der Hochgeschwindigkeitsfertigung oder der kontinuierlichen chemischen Verarbeitung können drei Sekunden Ausfall der Steuerung Pipelines zum Stillstand bringen, hochwertige Werkzeuge beschädigen oder eine explosive Überdruckbildung auslösen. In solchen Szenarien ist Hot Standby zwingend erforderlich.

Eine Überdimensionierung von Hilfssystemen wie Werksbeleuchtung, HVAC oder Pumpen für den Transport unkritischer Rohstoffe durch Hot-Standby-Architekturen verschwendet jedoch Projektkapital. Die Anpassung der Redundanzstufe an die Risikoschwere gewährleistet eine optimale Kapitalrendite.

Anwendungsszenario: Nachrüstung der Reaktorsteuerung in einer Chemieanlage

Eine Anlage zur kontinuierlichen chemischen Verarbeitung rüstete ihre Steuerungsplattform für einen exothermen Reaktor nach, um ungeplante Abschaltungen zu vermeiden.

Die Herausforderung: Die Anlage arbeitete mit einer einzelnen SPS-Architektur. Der Ausfall eines Netzteils im CPU-Rack verursachte einen unerwarteten 45-minütigen Stillstand. Der plötzliche Verlust der Regelung des Kühlkreislaufs führte zu einem thermischen Durchgehen, zerstörte hochwertige Chemikalienchargen und machte eine Notentlastung erforderlich.

Die Lösung: Systemintegratoren ersetzten die Einzelsteuerung durch eine SIL-3-zertifizierte Hot-Standby-DCS-Architektur. Zwei CPUs wurden über redundante Glasfaser-Synchronisationskanäle verbunden und betrieben parallele Feldbuskreise zu E/A-Chassis mit zwei Ports.

Das Ergebnis: Sechs Monate nach der Inbetriebnahme zerstörte eine Überspannung durch einen Blitzeinschlag die Stromversorgung der primären CPU. Die Hot-Standby-Steuerung übernahm in weniger als 50 Mikrosekunden, ohne dass auch nur ein analoger Ventilsollwert verloren ging. Der Reaktor blieb durchgehend in Betrieb, wodurch schätzungsweise 350.000 $ an Produktverlusten und Hardwareausfallzeiten eingespart wurden.

Über den Autor

Guo Jing ist Senior-Spezialist für industrielle Automatisierung mit mehr als 15 Jahren praktischer technischer Erfahrung in der Entwicklung hochverfügbarer SPS-, DCS- und Steuerungsplattformen für Notabschaltungen (ESD). Er ist auf redundante Systemarchitekturen, fehlertolerante Steuerungsstrategien und SIL-zertifizierte Sicherheitssysteme für die Prozessindustrie in Ostasien und im Nahen Osten spezialisiert.