ELECTRON. MODUL 6ES7138-4FB04-0AB0 6ES7 138-4FB04-0AB0 6ES7138-4FBO4-OABO

Siemens 6ES7138-4FB04-0AB0 ∙ SIMATIC ET 200S Elektronik Modul 4 F-DO PROFIsafe, 24VDC / 2A, PL E (ISO 13849), SIL 3 (IEC 61508), 30mm, PROFIBUS DP / PROFINET dengan IM 151-3 HF

Tinjauan Output digital yang aman dari kegagalan dalam Arsitektur ET 200S

PeraturanSiemens 6ES7138-4FB04-0AB0is a four-channel fail-safe digital output module for the SIMATIC ET 200S distributed I/O system — one of the most compact hardware implementations of certified safety output switching available for PROFIBUS-connected systems.

Di mana modul output digital standar hanya beralih 24VDC ke aktuator atas perintah dari PLC, modul F-DO menambahkan lapisan lengkap pemantauan diri, perbandingan lintas saluran, and certified fault-response behaviour that allows the system to demonstrate to certification bodies that the safety function — cutting power to a hazardous actuator — is achieved with a quantified probability of failure that meets SIL 3 or PL e requirements.

Modul ini termasuk era I/O keamanan terdistribusi yang mengubah cara keamanan fungsional diimplementasikan dalam proses dan otomatisasi mesin selama tahun 2000-an dan 2010-an.Sebelum PROFIsafe I/O keamanan terdistribusi, mencapai SIL 3 output switching diperlukan khusus hardwired safety relays ‡ besar, mahal, tidak fleksibel, dan sulit untuk dikonfigurasi kembali.

Dengan modul yang mampu PROFIsafe seperti 6ES7138-4FB04-0AB0, fungsi keamanan berada di modul lebar 30mm di stasiun ET 200S,dengan komunikasi keamanan yang ditangani oleh profil PROFIsafe yang berjalan di atas kabel DP PROFIBUS standar yang sudah membawa data I/O standar.

Sertifikasi keselamatan dicapai melalui kombinasi arsitektur pemantauan kesalahan internal modul dan langkah-langkah keamanan protokol komunikasi PROFIsafe sendiri.

Spesifikasi Utama

PL e dan SIL 3 What the Certifications Mean in Practice (Apa yang Dimaksud Sertifikasi dalam Praktik)

Peringkat integritas keamanan dari 6ES7138-4FB04-0AB0 bukan label pemasaran mereka adalah penilaian kuantitatif dari probabilitas modul gagal melakukan fungsi keamanannya ketika diminta.

IEC 61508 mendefinisikan Safety Integrity Level 3 (SIL 3) sebagai probabilitas kerusakan berbahaya pada permintaan (PFD) dalam kisaran 10−4 sampai 10−3 per tahun untuk fungsi keamanan modus permintaan rendah.Probabilitas bahwa output gagal untuk de-energize ketika diperintahkan adalah antara 0.01% dan 0.1% per tahun.

EN ISO 13849-1 Performance Level e (PL e) corresponds to a probability of dangerous failure per hour (PFHd) below 10⁻⁷ — below one dangerous failure per 10 million hours for continuous and high-demand mode functions.

Mencapai SIL 3 atau PL e dengan satu modul output membutuhkan redundansi dan cakupan diagnostik dalam modul itu sendiri.setiap saluran output menggunakan arsitektur switching dua saluran: dua saklar semikonduktor independen (biasanya satu saluran P dan satu saluran N perangkat dalam seri,atau dua transistor switching independen dengan cross monitoring) yang harus setuju untuk mengaktifkan output.

Jika salah satu saklar gagal membuka saat diperintahkan, yang lain menangkap kesalahan dan memaksa output ke keadaan aman (de-energi).

Diagnosa internal modul terus memantau kedua saklar untuk sirkuit pendek, sirkuit terbuka,dan kesalahan sirkuit silang deteksi kesalahan yang akan mencegah aman de-energi sebelum mereka bisa menjadi berbahaya.

Ketika kesalahan terdeteksi, modul melaporkannya melalui PROFIsafe ke F-CPU yang kemudian dapat memulai respon keamanan yang sesuai (memulai keadaan aman, memicu alarm,mencatat kejadian kesalahan).

PROFIsafe lapisan komunikasi keselamatan

PROFIsafe adalah profil aplikasi PROFIBUS/PROFINET, bersertifikat IEC 61784-3-3, yang menambahkan lapisan komunikasi keamanan di atas struktur telegram PROFIBUS atau PROFINET standar.

Sementara telegram PROFIBUS standar membawa data I / O antara master DP dan stasiun ET 200S tanpa jaminan keamanan,telegram PROFIsafe menambahkan CRC (cek redundansi siklik) dihitung baik atas data keselamatan dan nomor urutan, ditambah mekanisme timeout watchdog yang memastikan bahwa data yang rusak, paket lama yang diputar ulang, dan paket yang hilang semuanya terdeteksi dan ditanggapi dengan aman.

Modul F-DO pada ET 200S bertukar telegram PROFIsafe dengan F-CPU (fail-safe CPU).F-CPU mengeksekusi program keamanan ditulis dalam STEP 7 F-FBs (blok fungsi fail-safe) menggunakan perpustakaan pemrograman F standar dan mengirim perintah output ke F-DO melalui PROFIsafe.

Jika komunikasi PROFIsafe hilang (kesalahan kabel, penghentian stasiun, kesalahan CRC),F-DO secara otomatis beralih outputnya ke keadaan aman (de-energized) tanpa menunggu perintah CPU.

This "de-energise on communication loss" behaviour is fundamental to the PROFIsafe profile and is what allows safety functions to be implemented over standard fieldbus infrastructure without the fieldbus itself requiring intrinsic safety certification.

Lebar 30 mm dan persyaratan modul terminal khusus

The 6ES7138-4FB04-0AB0's 30mm module width (double the standard 15mm) is driven by the more complex internal electronics required for dual-channel output architecture and comprehensive self-diagnostics.

Lebar tambahan menampung transistor switching kedua per saluran, sirkuit cross-monitoring,dan sirkuit generasi impuls tes yang dibutuhkan untuk secara berkala melatih jalur switching dan memverifikasi bahwa setiap transistor benar-benar dapat membuka dan menutup.

Yang penting, modul F-DO tidak dipasang pada modul terminal ET 200S standar.

Hal ini membutuhkan modul terminal fail-safe khusus TM-PF30S47-F1 (3RK1 903-3AA00), yang dirancang untuk mendukung persyaratan kabel dual-channel F-DO dan konfigurasi konektor khusus.Modul terminal TM-P atau TM-E standar tidak kompatibel dengan modul F-DO dan tidak dapat menggantikan TM-PF30S47-F1.

Ini adalah rincian penting pengadaan: ketika sumber pengganti 6ES7138-4FB04-0AB0,Modul terminal yang sesuai harus diverifikasi jika sudah dipasang di stasiun dari konstruksi asli, tetap ada saat modul elektronik F-DO diganti; jika modul terminal juga rusak atau perlu diganti, TM-PF30S47-F1 harus dibeli secara terpisah.

Kompatibilitas PROFINET melalui IM 151-3 PN HF

Sementara mode operasi ET 200S standar menggunakan modul antarmuka IM 151-1 atau IM 151-3 pada PROFIBUS DP,6ES7138-4FB04-0AB0 juga kompatibel dengan modul antarmuka IM 151-3 PN HF (High Feature PROFINET), yang memungkinkan stasiun ET 200S untuk terhubung melalui PROFINET IO daripada PROFIBUS DP.

Dalam konfigurasi PROFINET menggunakan IM 151-3 PN HF, modul F-DO terus berkomunikasi melalui PROFIsafe tetapi sekarang melalui media PROFINET bukan PROFIBUS.

Sertifikasi keselamatan tetap berlaku dalam mode PROFINET; langkah-langkah keamanan protokol PROFIsafe berlaku sama di kedua lapisan transportasi PROFIBUS dan PROFINET.

Kompatibilitas PROFINET ini memungkinkan modul F-DO untuk dimasukkan ke dalam sistem keamanan baru yang dirancang di sekitar arsitektur PROFINET,dan memungkinkan stasiun ET 200S F-DO yang ada untuk dilengkapi dengan konektivitas PROFINET dengan hanya mengubah modul antarmuka, tanpa menyentuh modul F-DO atau kabel modul terminalnya.

FAQ

T1: Apa perbedaan antara modul output digital ET 200S standar dan modul F-DO yang aman ini dalam hal kabel, pemrograman, dan persyaratan sertifikasi?

Perbedaannya sangat besar di ketiga dimensi.

Dalam kabel: modul DO standar memiliki satu terminal output per saluran; output modul F-DO diarahkan melalui arsitektur switch ganda secara internal,tapi dari perspektif kabel lapangan output muncul sebagai satu terminal 24V dan umum.

Namun,aplikasi keamanan tertentu membutuhkan 2oo2 (dua dari dua) pemungutan suara dalam kabel lapangan menghubungkan beban dalam seri dengan dua saluran F-DO sehingga keduanya harus diaktifkan untuk beban untuk energi. Modul terminal TM-PF30S47-F1 menyediakan konfigurasi kabel yang tepat untuk arsitektur keamanan F-DO.

Dalam pemrograman: modul DO standar ditangani sebagai byte output normal dalam gambar proses, ditulis oleh instruksi STEP 7 standar dalam OB pengguna standar.Modul F-DO hanya ditangani dalam program keselamatan, yang berjalan di lingkungan F runtime khusus F-CPU dalam OB keamanan terpisah (biasanya OB35 atau OB keamanan yang dikonfigurasi).Blok program keselamatan harus dibuat menggunakan F-FB Siemens dari F-library dan hanya dapat diprogram oleh insinyur yang telah menyelesaikan pelatihan pemrograman safety F STEP 7 Siemens.

Dalam sertifikasi: modul DO standar tidak memiliki sertifikasi keamanan dan tidak dapat digunakan dalam fungsi instrumen keamanan.

Sertifikasi SIL 3 / PL e modul F-DO didokumentasikan dalam Manual Keamanan (disediakan oleh Siemens) yang menentukan batasan arsitektur, persyaratan cakupan diagnostik,dan interval pengujian bukti yang diperlukan untuk mencapai setiap tingkat sertifikasi dalam aplikasi nyata.

Integrator sistem harus memverifikasi bahwa kombinasi F-CPU, PROFIsafe, dan F-DO memenuhi SIL/PL yang diperlukan untuk fungsi keamanan spesifik yang sedang diimplementasikan.

T2: Apa yang terjadi pada output F-DO selama kegagalan komunikasi PROFIBUS DP antara F-CPU dan stasiun ET 200S yang berisi modul F-DO?

Kegagalan komunikasi memicu salah satu perilaku keselamatan PROFIsafe yang paling mendasar.

Ketika master DP PROFIBUS (interface DP F-CPU) kehilangan kontak dengan stasiun budak ET 200S karena kesalahan kabel, kesalahan terminal bus, kehilangan daya stasiun,atau penyebab lain yang mencegah telegram PROFIsafe yang valid dari mencapai modul F-DO.

Pada saat kedaluwarsa, modul tanpa syarat de-energi semua empat output F-DO dan memasuki keadaan aman, tanpa menunggu perintah eksplisit dari CPU (yang tidak dapat lagi dicapai).Perilaku gagal-ke-aman pasif ini adalah persyaratan inti dari profil PROFIsafe dan kerangka kerja IEC 61508.

F-runtime CPU secara bersamaan mendeteksi kehilangan komunikasi dan menghasilkan respon program keamanan yang sesuai (biasanya beralih ke STOP atau logika shutdown aman).Output F-DO tetap mati energi sampai komunikasi dipulihkan., status modul diverifikasi, dan program keselamatan secara eksplisit mengaktifkan kembali output melalui tindakan operator yang disengaja atau urutan restart.

Tidak ada aktivasi ulang otomatis output F-DO setelah kesalahan komunikasi,bahkan setelah komunikasi dipulihkan, diperlukan aktivasi ulang yang disengaja untuk mengkonfirmasi bahwa kondisi aman telah diverifikasi.

T3: Modul ini dinilai untuk SIL 3. Apakah ini berarti setiap aplikasi yang menggunakan modul F-DO ini secara otomatis mencapai SIL 3, atau apakah ada persyaratan tambahan?

Kualifikasi modul adalah kondisi yang diperlukan tetapi tidak cukup untuk mencapai SIL 3 dalam aplikasi keselamatan yang nyata.

Modul ini menyediakan arsitektur perangkat keras dan cakupan diagnostik untuk mendukung SIL 3, tetapi seluruh Safety Instrumented Function (SIF) dari aktuator akhir kembali melalui F-DO,melalui komunikasi PROFIsafe, melalui program keamanan F-CPU, melalui logika keamanan, ke sensor inisiasi harus dinilai sebagai loop keamanan lengkap.

Persyaratan tambahan utama termasuk: menggunakan F-CPU SIL 3 dengan toleransi kesalahan perangkat keras yang tepat; menggunakan PROFIsafe atas PROFIBUS dengan konfigurasi memenuhi persyaratan waktu PROFIsafe;menulis program keselamatan menggunakan F-FB bersertifikat sesuai dengan batasan pemrograman dalam Manual Keamanan Siemens; melakukan perhitungan Integritas Keselamatan (PFD/PFHd) untuk seluruh lingkaran keselamatan menggunakan tingkat kegagalan dari Manual Keselamatan masing-masing komponen;menerapkan pengujian bukti pada interval yang ditentukan dalam Manual Keamanan; dan memastikan bahwa teknik aplikasi dilakukan oleh insinyur keselamatan fungsional yang berkualitas (sebaiknya FSE yang disertifikasi TÜV).

Manual Keamanan 6ES7138-4FB04-0AB0, tersedia dari Siemens Industry Online Support,adalah referensi otoritatif untuk semua persyaratan ini dan harus ditinjau sebagai bagian dari setiap pengembangan aplikasi keselamatan.

T4: Bagaimana mekanisme pulsa uji bekerja di F-DO, dan dapatkah menyebabkan gangguan output singkat yang mungkin mengganggu beban yang terhubung?

Modul F-DO secara berkala menghasilkan pulsa ujipulsa de-energiasi yang dikendalikan pada setiap saluran output untuk memverifikasi bahwa transistor switching output berfungsi dengan benar dan benar-benar dapat de-energiasi saat diperintahkan.

Ini adalah mekanisme diagnostik standar dalam modul output fail-safe, yang diperlukan untuk mencapai cakupan diagnostik (DC) yang diperlukan untuk SIL 3 / PL e.Pulsa uji biasanya dalam kisaran mikrodetik cukup pendek sehingga beban yang terhubung (relay keselamatan, kumparan kontaktor, atau solenoid) tidak memiliki waktu untuk de-energi dan energi kembali selama denyut nadi, karena inersia elektromagnetik beban mencegah perubahan keadaan dalam gangguan singkat.

Namun, ini tergantung pada karakteristik beban: beban dengan waktu respons yang sangat cepat (beberapa perangkat elektronik dengan induktansi minimal) mungkin mendeteksi denyut uji sebagai gangguan singkat. The F-DO module's Safety Manual specifies the maximum test pulse duration and the minimum load inductance / response time required to ensure that test pulses do not cause nuisance switching of the load.

Untuk sebagian besar kumparan relay keamanan dan kontaktor elektromekanik yang digunakan dalam mesin dan peralatan proses, durasi denyut nadi uji jauh di bawah waktu putus kumparan,dan tidak ada gangguan dengan operasi beban terjadi.

Q5: Modul ini dihentikan pada Oktober 2020. Apa penggantian yang direkomendasikan untuk instalasi baru, dan apakah unit 6ES7138-4FB04-0AB0 yang ada dapat dipelihara dengan suku cadang?

Untuk desain otomatisasi keamanan baru, Siemens merekomendasikan sistem I/O Terdistribusi SIMATIC ET 200SP dengan modul F-DQ (Output Digital Fail-Safe) yang sesuai,seperti modul PPM F-DQ 4×24VDC/2A untuk ET 200SP.

Platform ET 200SP adalah penerus ET 200S generasi saat ini, menyediakan fungsi keamanan yang setara dengan lebar modul yang lebih kecil, konfigurasi yang lebih cepat,dan kompatibilitas dengan TIA Portal dan STEP 7 Safety Advanced.

Existing installations using the 6ES7138-4FB04-0AB0 can continue to be maintained using spare modules sourced from the industrial surplus market — stocks of discontinued Siemens safety modules are well-established in the industrial spare parts networkKetika membeli modul F-DO yang diperbaharui atau digunakan untuk aplikasi keamanan, sejarah uji lengkap unit, integritas segel keamanan, dan versi firmware harus diverifikasi sebelum instalasi.

Manual Keamanan mengharuskan setiap modul penggantian diverifikasi untuk keabsahan sertifikat keamanannya dan bahwa fungsi keselamatan diuji setelah diganti.

A migration project to ET 200SP should be considered if the installed ET 200S station needs significant modification or if the number of F-DO modules in the installation is large enough to justify the engineering investment before the end of spare parts availability.