Sichere Kommunikation zwischen autarken Einheiten über Funk, ausgelegt für SIL 3

Die Aufgabe

Wenn mehrere autarke Einheiten gemeinsam eine Bewegung ausführen, muss jede von ihnen jederzeit wissen, ob die anderen noch mitmachen. Solange sie mit Kabel verbunden sind, ist das gelöst. Sobald sie frei stehen, jede mit eigener Steuerung und eigener Versorgung, wird die Kommunikation selbst zur Sicherheitsfunktion: Fällt sie aus, muss die Bewegung stoppen, und zwar bei allen Einheiten zugleich.

Gefordert war ein Protokoll, das sicherheitsrelevante Daten nach IEC 61784-3 zwischen den Einheiten austauscht und für SIL 3 ausgelegt ist. Der Übertragungsweg sollte Funk sein, und die Reaktionszeit durfte nicht davon abhängen, wie viele Einheiten beteiligt sind.

Die Lösung

Das Protokoll folgt dem Black-Channel-Prinzip: Der Übertragungsweg transportiert nur, die Sicherheit liegt in den Endpunkten. Jede Einheit prüft in ihrem Sicherheitscontroller selbst, ob eine Nachricht vollständig, aktuell und von der erwarteten Gegenstelle ist. Der Funkcontroller dazwischen liest aus einer Nachricht nur, was er zum Weiterleiten braucht, und erzeugt keine eigenen. Die Sicherheitsargumentation hängt damit nicht an der Funktechnik.

Die Einheiten bilden einen Ring. Jede empfängt von ihrem Vorgänger, prüft, ergänzt ihren eigenen Anteil und reicht weiter. Die Nachrichten sind so aufgebaut, dass ihre Größe nicht mit der Zahl der Einheiten wächst; ein Umlauf über den gesamten Ring dauert 200 Millisekunden, mit bis zu 24 Einheiten, der Grenze, die der Funkkanal setzt. Bleibt eine Nachricht aus, erkennen das alle Einheiten innerhalb dieser Zeit und gehen in den sicheren Zustand. Eine Bewegung beginnt erst, wenn der Ring vollständig ist und jede Einheit den Verbund bestätigt hat.

Spezifiziert und entwickelt haben wir das Protokoll mit den Anforderungen an Integrität, Aktualität und Adressierung, die Firmware der Kommunikationsendpunkte und das Transportprofil für Funk, mit der Abgrenzung, was der Transport darf und was er nicht darf.