전자기, 모듈 6ES7138-4FB04-0AB0 6ES7 138-4FB04-0AB0 6ES7138-4FBO4-OABO

Siemens 6ES7138-4FB04-0AB0 | SIMATIC ET 200S 전자 모듈 — 4 F-DO PROFIsafe, 24VDC / 2A, PL E (ISO 13849), SIL 3 (IEC 61508), 30mm, PROFIBUS DP / PROFINET (IM 151-3 HF 포함)

개요 — ET 200S 아키텍처의 안전 디지털 출력

이 Siemens 6ES7138-4FB04-0AB0은 SIMATIC ET 200S 분산 I/O 시스템용 4채널 안전 디지털 출력 모듈입니다. 이는 PROFIBUS 연결 시스템에서 사용할 수 있는 가장 컴팩트한 인증 안전 출력 스위칭 하드웨어 구현 중 하나입니다.

표준 디지털 출력 모듈이 PLC의 명령에 따라 액추에이터에 24VDC를 단순히 스위칭하는 반면, F-DO 모듈은 자체 모니터링, 채널 간 비교 및 인증된 오류 응답 동작의 완전한 계층을 추가하여 시스템이 인증 기관에 안전 기능(위험 액추에이터에 전원 차단)이 SIL 3 또는 PL e 요구 사항을 충족하는 정량화된 고장 확률로 달성되었음을 입증할 수 있도록 합니다.

이 모듈은 2000년대와 2010년대 공정 및 기계 자동화에서 기능 안전 구현 방식을 변화시킨 분산 안전 I/O 시대에 속합니다. PROFIsafe 분산 안전 I/O 이전에는 SIL 3 출력 스위칭을 달성하려면 전용 하드와이어 안전 릴레이가 필요했습니다. 이는 부피가 크고 비싸며 유연성이 떨어지고 재구성하기 어려웠습니다.

6ES7138-4FB04-0AB0과 같은 PROFIsafe 지원 모듈을 사용하면 안전 기능이 ET 200S 스테이션의 30mm 너비 모듈에 상주하며, 안전 통신은 표준 I/O 데이터를 이미 전달하는 표준 PROFIBUS DP 케이블에서 실행되는 PROFIsafe 프로파일에 의해 처리됩니다. 

안전 인증은 모듈의 내부 오류 모니터링 아키텍처와 PROFIsafe 통신 프로토콜 자체의 안전 조치를 결합하여 달성됩니다.

주요 사양

PL e 및 SIL 3 — 인증의 실제 의미

6ES7138-4FB04-0AB0의 안전 무결성 등급은 마케팅 라벨이 아니라 요구될 때 안전 기능을 수행하지 못할 확률에 대한 정량적 평가입니다.

IEC 61508은 낮은 요구 모드 안전 기능에 대해 위험 고장 발생 확률(PFD)이 연간 10⁻⁴ ~ 10⁻³ 범위에 있는 안전 무결성 레벨 3(SIL 3)을 정의합니다. 즉, 명령 시 출력이 비활성화되지 않을 확률이 연간 0.01%에서 0.1% 사이입니다.

EN ISO 13849-1 성능 레벨 e(PL e)는 시간당 위험 고장 확률(PFHd)이 10⁻⁷ 미만, 즉 연속 및 높은 요구 모드 기능에 대해 1천만 시간당 위험 고장이 1회 미만인 것에 해당합니다.

단일 출력 모듈로 SIL 3 또는 PL e를 달성하려면 모듈 자체 내에 중복성과 진단 커버리지가 필요합니다. 6ES7138-4FB04-0AB0에서 각 출력 채널은 이중 채널 스위칭 아키텍처를 사용합니다. 즉, 두 개의 독립적인 반도체 스위치(일반적으로 직렬로 연결된 P채널 및 N채널 장치 하나 또는 상호 모니터링되는 두 개의 독립적인 스위칭 트랜지스터)가 모두 동의해야 출력이 활성화됩니다.

명령 시 하나의 스위치가 열리지 않으면 다른 스위치가 오류를 감지하고 출력을 안전한(비활성화된) 상태로 강제합니다.

모듈의 내부 진단은 단락, 개방 회로 및 교차 회로 오류에 대해 두 스위치를 지속적으로 모니터링하여 위험해지기 전에 안전한 비활성화를 방해할 수 있는 오류를 감지합니다. 

오류가 감지되면 모듈은 PROFIsafe를 통해 F-CPU에 보고하며, F-CPU는 적절한 안전 응답(안전 상태 시작, 경보 트리거, 오류 이벤트 기록)을 시작할 수 있습니다.

PROFIsafe — 안전 통신 계층

PROFIsafe는 표준 PROFIBUS 또는 PROFINET 텔레그램 구조 위에 안전 통신 계층을 추가하는 PROFIBUS/PROFINET 애플리케이션 프로파일이며 IEC 61784-3-3 인증을 받았습니다.

표준 PROFIBUS 텔레그램은 안전 보증 없이 DP 마스터와 ET 200S 스테이션 간에 I/O 데이터를 전달하는 반면, PROFIsafe 텔레그램은 안전 데이터와 시퀀스 번호에 대해 계산된 CRC(순환 중복 검사)와 워치독 타임아웃 메커니즘을 추가하여 손상된 데이터, 재생된 오래된 패킷 및 손실된 패킷이 모두 안전하게 감지되고 응답되도록 합니다.

ET 200S의 F-DO 모듈은 F-CPU(안전 CPU)와 PROFIsafe 텔레그램을 교환합니다. F-CPU는 표준 F 프로그래밍 라이브러리의 STEP 7 F-FB(안전 기능 블록)를 사용하여 작성된 안전 프로그램을 실행하고 PROFIsafe를 통해 F-DO에 출력 명령을 보냅니다.

PROFIsafe 통신이 손실되면(케이블 오류, 스테이션 중단, CRC 오류), F-DO는 CPU 명령을 기다리지 않고 자동으로 출력을 안전 상태(비활성화)로 전환합니다. 통신 경로가 실패하더라도 출력의 안전성은 유지됩니다.

이러한 "통신 손실 시 비활성화" 동작은 PROFIsafe 프로파일의 기본이며, 필드버스 자체가 본질 안전 인증을 요구하지 않고도 표준 필드버스 인프라를 통해 안전 기능을 구현할 수 있도록 합니다.

30mm 폭 및 특수 터미널 모듈 요구 사항

6ES7138-4FB04-0AB0의 30mm 모듈 폭(표준 15mm의 두 배)은 이중 채널 출력 아키텍처 및 포괄적인 자체 진단에 필요한 더 복잡한 내부 전자 장치로 인해 발생합니다.

추가 폭은 채널당 두 번째 스위칭 트랜지스터, 교차 모니터링 회로 및 각 트랜지스터가 실제로 열리고 닫힐 수 있는지 확인하기 위해 스위칭 경로를 주기적으로 작동시키는 데 필요한 테스트 펄스 생성 회로를 수용합니다.

중요하게도 F-DO 모듈은 표준 ET 200S 터미널 모듈에 장착되지 않습니다.

F-DO의 이중 채널 배선 요구 사항과 특수 커넥터 구성을 지원하도록 설계된 특정 안전 터미널 모듈 TM-PF30S47-F1(3RK1 903-3AA00)이 필요합니다. 표준 TM-P 또는 TM-E 터미널 모듈은 F-DO 모듈과 호환되지 않으며 TM-PF30S47-F1을 대체할 수 없습니다. 

이는 중요한 조달 세부 사항입니다. 교체용 6ES7138-4FB04-0AB0을 조달할 때 해당 터미널 모듈을 확인해야 합니다. 원래 빌드에서 스테이션에 이미 설치되어 있다면 F-DO 전자 모듈을 교체할 때 그대로 유지됩니다. 터미널 모듈도 손상되었거나 교체가 필요한 경우 TM-PF30S47-F1을 별도로 조달해야 합니다.

IM 151-3 PN HF를 통한 PROFINET 호환성

표준 ET 200S 작동 모드는 PROFIBUS DP의 IM 151-1 또는 IM 151-3 인터페이스 모듈을 사용하지만, 6ES7138-4FB04-0AB0은 IM 151-3 PN HF(High Feature PROFINET) 인터페이스 모듈과도 호환되어 ET 200S 스테이션이 PROFIBUS DP 대신 PROFINET IO를 통해 연결할 수 있습니다.

IM 151-3 PN HF를 사용하는 PROFINET 구성에서 F-DO 모듈은 PROFIsafe를 통해 계속 통신하지만, 이제 PROFIBUS 대신 PROFINET 매체를 통해 통신합니다.

안전 인증은 PROFINET 모드에서도 유효합니다. PROFIsafe 프로토콜의 안전 조치는 PROFIBUS 및 PROFINET 전송 계층 모두에서 동일하게 적용됩니다. 

이 PROFINET 호환성을 통해 F-DO 모듈을 PROFINET 아키텍처를 중심으로 설계된 새로운 안전 시스템에 통합할 수 있으며, 기존 ET 200S F-DO 스테이션을 인터페이스 모듈만 변경하여 PROFINET 연결로 개조할 수 있습니다. F-DO 모듈이나 터미널 모듈 배선은 건드리지 않습니다.

FAQ

Q1: 표준 ET 200S 디지털 출력 모듈과 이 안전 F-DO 모듈 간의 배선, 프로그래밍 및 인증 요구 사항 측면에서 차이점은 무엇입니까?

세 가지 측면 모두에서 상당한 차이가 있습니다.

배선: 표준 DO 모듈은 채널당 하나의 출력 단자가 있습니다. F-DO 모듈의 출력은 내부적으로 이중 스위치 아키텍처를 통해 라우팅되지만, 필드 배선 관점에서는 출력이 단일 24V 단자와 공통으로 나타납니다. 

그러나 특정 안전 애플리케이션에서는 필드 배선에서 2oo2(2개 중 2개) 투표가 필요합니다. 즉, 부하를 두 개의 F-DO 채널과 직렬로 연결하여 부하가 활성화되려면 둘 다 활성화되어야 합니다. TM-PF30S47-F1 터미널 모듈은 F-DO 안전 아키텍처에 적합한 배선 구성을 제공합니다. 

프로그래밍: 표준 DO 모듈은 표준 사용자 OB의 표준 STEP 7 명령으로 작성된 프로세스 이미지의 일반 출력 바이트로 주소 지정됩니다. F-DO 모듈은 F-CPU의 전용 F 런타임 환경에서 별도의 안전 OB(일반적으로 OB35 또는 구성된 안전 OB)에서 실행되는 안전 프로그램 내에서만 주소 지정됩니다. 안전 프로그램 블록은 Siemens의 F-라이브러리 F-FB를 사용하여 생성해야 하며 Siemens의 STEP 7 Safety F-프로그래밍 교육을 이수한 엔지니어만 프로그래밍할 수 있습니다.

인증: 표준 DO 모듈은 안전 인증이 없으며 안전 계측 기능에 사용할 수 없습니다.

F-DO 모듈의 SIL 3 / PL e 인증은 실제 애플리케이션에서 각 인증 레벨을 달성하는 데 필요한 아키텍처 제약 조건, 진단 커버리지 요구 사항 및 증명 테스트 간격을 지정하는 안전 설명서(Siemens 제공)에 문서화되어 있습니다.

시스템 통합업체는 F-CPU, PROFIsafe 및 F-DO의 조합이 구현되는 특정 안전 기능에 필요한 SIL/PL을 충족하는지 확인해야 합니다.

Q2: F-CPU와 F-DO 모듈이 포함된 ET 200S 스테이션 간의 PROFIBUS DP 통신 실패 중에 F-DO 출력에 어떤 일이 발생합니까?

통신 실패는 가장 기본적인 PROFIsafe 안전 동작 중 하나를 트리거합니다.

PROFIBUS DP 마스터(F-CPU의 DP 인터페이스)가 케이블 오류, 버스 종단 오류, 스테이션 전원 손실 또는 유효한 PROFIsafe 텔레그램이 F-DO 모듈에 도달하는 것을 방지하는 기타 원인으로 인해 ET 200S 슬레이브 스테이션과의 연결이 끊어지면 F-DO 모듈의 내부 워치독 타이머가 만료됩니다. 

만료 시 모듈은 CPU(더 이상 도달할 수 없음)의 명시적인 명령을 기다리지 않고 모든 4개의 F-DO 출력을 무조건 비활성화하고 안전 상태로 전환합니다. 이 수동 고장 안전 동작은 PROFIsafe 프로파일 및 IEC 61508 프레임워크의 핵심 요구 사항입니다.

CPU의 F-런타임은 동시에 통신 손실을 감지하고 적절한 안전 프로그램 응답(일반적으로 STOP 또는 안전 종료 로직으로 전환)을 생성합니다. F-DO 출력은 통신이 복원되고 모듈 상태가 확인되며 안전 프로그램이 명시적인 작업자 조치 또는 재시작 시퀀스를 통해 출력을 다시 활성화할 때까지 비활성화된 상태로 유지됩니다.

통신 오류 후 통신이 복원된 후에도 F-DO 출력의 자동 재활성화는 없습니다. 안전 조건이 확인되었음을 확인하기 위해 명시적인 재활성화가 필요합니다.

Q3: 모듈은 SIL 3 등급입니다. 이는 이 F-DO 모듈을 사용하는 모든 애플리케이션이 자동으로 SIL 3을 달성한다는 것을 의미합니까, 아니면 추가 요구 사항이 있습니까?

모듈 등급은 실제 안전 애플리케이션에서 SIL 3을 달성하기 위한 필요 조건이지만 충분 조건은 아닙니다.

모듈은 SIL 3을 지원하는 하드웨어 아키텍처와 진단 커버리지를 제공하지만, 최종 액추에이터부터 F-DO, PROFIsafe 통신, F-CPU 안전 프로그램, 안전 로직을 거쳐 시작 센서까지 전체 안전 계측 기능(SIF)은 완전한 안전 루프로 평가되어야 합니다.

주요 추가 요구 사항에는 적절한 하드웨어 오류 허용 오차를 갖춘 SIL 3 지원 F-CPU 사용, PROFIsafe 타이밍 요구 사항을 충족하는 구성으로 PROFIBUS 상 PROFIsafe 사용, Siemens 안전 설명서의 프로그래밍 제약 조건에 따라 인증된 F-FB를 사용하여 안전 프로그램 작성, 각 구성 요소의 안전 설명서에서 고장률을 사용하여 전체 안전 루프에 대한 안전 무결성 계산(PFD/PFHd) 수행, 안전 설명서에 지정된 간격으로 증명 테스트 구현, 자격을 갖춘 기능 안전 엔지니어(이상적으로는 TÜV 인증 FSE)가 애플리케이션 엔지니어링을 수행하도록 보장하는 것이 포함됩니다. 

Siemens Industry Online Support에서 제공되는 6ES7138-4FB04-0AB0의 안전 설명서는 이러한 모든 요구 사항에 대한 권위 있는 참조이며 모든 안전 애플리케이션 개발의 일부로 검토해야 합니다.

Q4: F-DO의 테스트 펄스 메커니즘은 어떻게 작동하며, 연결된 부하에 간섭을 일으킬 수 있는 짧은 출력 중단을 유발할 수 있습니까?

F-DO 모듈은 출력 스위칭 트랜지스터가 올바르게 작동하고 명령 시 비활성화될 수 있는지 확인하기 위해 각 출력 채널에 대해 주기적으로 테스트 펄스(짧고 제어된 비활성화 펄스)를 생성합니다.

이는 SIL 3 / PL e에 필요한 진단 커버리지(DC)를 달성하기 위해 필요한 안전 출력 모듈의 표준 진단 메커니즘입니다. 테스트 펄스는 일반적으로 마이크로초 범위이며, 연결된 부하(안전 릴레이, 접촉기 코일 또는 솔레노이드)가 펄스 중에 비활성화되었다가 다시 활성화될 시간이 없을 정도로 짧습니다. 이는 부하의 전자기 관성이 이러한 짧은 중단에서 상태 변경을 방지하기 때문입니다.

그러나 이는 부하의 특성에 따라 달라집니다. 응답 시간이 매우 빠른 부하(유도 리액턴스가 최소인 일부 전자 장치)는 테스트 펄스를 짧은 글리치로 감지할 수 있습니다. F-DO 모듈의 안전 설명서는 테스트 펄스가 부하의 오작동을 유발하지 않도록 보장하는 데 필요한 최대 테스트 펄스 지속 시간과 최소 부하 인덕턴스/응답 시간을 지정합니다.

기계 및 공정 장비에 사용되는 대부분의 안전 릴레이 코일 및 전자 기계식 접촉기의 경우 테스트 펄스 지속 시간은 코일 드롭아웃 시간보다 훨씬 짧으며 부하 작동에 간섭이 발생하지 않습니다.

Q5: 모듈은 2020년 10월에 단종되었습니다. 신규 설치에 권장되는 교체품은 무엇이며, 기존 6ES7138-4FB04-0AB0 장치를 예비 부품으로 유지할 수 있습니까?

새로운 안전 자동화 설계를 위해 Siemens는 SIMATIC ET 200SP 분산 I/O 시스템과 해당 F-DQ(안전 디지털 출력) 모듈(예: ET 200SP용 F-DQ 4×24VDC/2A PPM 모듈)을 권장합니다.

ET 200SP 플랫폼은 ET 200S의 현재 세대 후속 제품으로, 더 작은 모듈 폭, 더 빠른 구성, TIA Portal 및 STEP 7 Safety Advanced와의 호환성을 제공하는 동등한 안전 기능을 제공합니다. 

6ES7138-4FB04-0AB0을 사용하는 기존 설치는 산업용 중고 시장에서 조달한 예비 모듈을 사용하여 계속 유지 관리할 수 있습니다. 단종된 Siemens 안전 모듈 재고는 산업용 예비 부품 네트워크에 잘 구축되어 있습니다. 안전 애플리케이션을 위해 재생되거나 중고 F-DO 모듈을 조달할 때 설치 전에 장치의 전체 테스트 기록, 안전 씰 무결성 및 펌웨어 버전을 확인해야 합니다.

안전 설명서에서는 모든 교체 모듈이 안전 인증 유효성을 확인해야 하며, 교체 후 안전 기능에 대한 증명 테스트를 수행해야 한다고 요구합니다.

설치된 ET 200S 스테이션에 상당한 수정이 필요하거나 설치된 F-DO 모듈 수가 예비 부품 가용성 종료 전에 엔지니어링 투자를 정당화할 만큼 충분히 많은 경우 ET 200SP로의 마이그레이션 프로젝트를 고려해야 합니다.