11-12 November 2016

5445

ORGAN DES FORSCHUNGSFONDS FLUIDTECHNIK IM VDMA

FLUIDTECHNIK

36 I FLUGZEUGSCHLEPPERFlexibel programmierbares Steuergerät regelt dieselhydraulisches Fahrantriebssystem

50 I VERSPANNPRÜFSTÄNDEZuverlässig wie ein Schweizer Uhrwerk

58 I AUTOMATISIERUNGSpritzgießen 4.0

oup-fluidtechnik.de

Dr. Peter Achten

08 I LOUNGE„Wir brauchen eine Renaissance der Innovation“

TITE

L

Erschienen in O+P Fluidtechnik 11-12/2016

Foto

: Gol

dhof

er

DEN FLIEGER SICHER IM GRIFFFo

to: G

oldh

ofer

SPEC

IAL

/ SP

S IP

C D

RIV

ES 2

01

6

Erschienen in O+P Fluidtechnik 11-12/2016

STEUERELEKTRONIK

Rudolf Filser

Auf der „Inter Airport Europe 2015“ präsentierte Goldhofer die neue High-Speed-Towing-Flugzeugschlepper-Generation AST-2P/X. Mit dem Fahrzeug können Flugzeuge, angefangen von der Embraer 170 bis hin zur Boeing B777-300ER und dem A340, bewegt werden. Für das Fahr- management und die Zugkraftbegrenzung zeichnet sich das Steuergerät ESX-3XL Safety von Sensor-Technik Wiedemann verantwortlich.

Autoren: Dipl.-Ing. (FH) Rudolf Filser, Teamleiter System Support, Sensor-Technik Wiedemann GmbH in Kaufbeuren

Der Goldhofer AST 2 der vierten Generation zeichnet sich durch ein neues, kompaktes und modulares Fahrzeug­konzept aus. Hier ist in erster Linie die hydrostatisch angetriebene Lenkachse für beste Traktion auch bei geringer

Auflast zu nennen. Das Fahrzeug verfügt wahlweise über zwei Motorenstärken und bietet ein 3­Kreis­Bremssystem, das die Bremskraft für bestmögliche Stabilität und Sicherheit optimal auf­teilt. Dabei erfüllen die Motoren alle geforderten internationalen Abgasnormen Euro IIIa oder IVf.

Auch in der Performance setzt die neue Generation Maßstäbe. So können Flugzeuge in weniger als 1 min aufgenommen werden. Auch im Notfall kann das Flugzeug in weniger als 1 min freigegeben werden. Der hydrostatische Fahrantrieb mit einer kombinierten Lenktriebachse garantiert ein stufenloses Beschleunigen. Eine zuschaltbare Differentialsperre garantiert beste Traktion auch bei widrigen Wetterverhältnissen, wie z.B. Wintereinsatz.

Die Stromversorgung des Flugzeuges ist während des Schlepp­betriebes über eine Ground Power Unit (GPU), die auch nachträg­lich in jedes dieser Fahrzeuge eingebaut werden kann, sicher­gestellt. Die voll klimatisierte Fahrerkabine präsentiert sich in neuem Design mit einem neuen Federungssystem.

Der Wartungsplan ist so gestaltet, dass alle Wartungen auf dem 1­Schicht­Prinzip basieren. Dies verkürzt Liegezeiten und garantiert höchste Verfügbarkeit im Betrieb. Alle Wartungsstellen sind übersichtlich und gut zugänglich. Optional kann zur Diagnose über Fernzugriff auf die Fahrzeugdaten und Parameter zugegriffen werden.Bedingt durch den Betrieb auf Flughafenvorfeldern gibt es viele Wartezeiten. Dieses Kosteneinsparpotential beim Kraftstoff­verbrauch wurde durch den Einbau einer Start­Stopp­Automatik genutzt. Hierdurch kann nicht nur der Dieselverbrauch erheblich gesenkt werden, auch die Wartungskosten der Schlepper werden verringert, da die Wartungsintervalle von den Betriebsstunden abhängen. Für den Kunden sind dies weitere Bausteine zur Redu­zierung der „Total Cost of Ownership“ (TCO).

DAS ANTRIEBSSYSTEM IM DETAIL

Im oben beschriebenen System spielt der Fahrantrieb eine zentrale Rolle. Das dieselhydraulische Fahrantriebssystem ist mittels einer Pumpe mit elektrischer Proportionalverstellung und zwei Hydrau­likmotoren mit elektrischer Proportionalverstellung realisiert, die über ein Summier­Getriebe eine Differential­Lenk­Achse antrei­ben. Die Energie für das Antriebssystem liefert ein 231KW (optio­nal: 283 KW) starker Cummins QSL9 Dieselmotor. Die Steuerung des Antriebssystems übernimmt der Drive Line Controller (DLC).

Der DLC ist zuständig für das gesamte Fahrmanagement und die flugzeugtypabhängige Zugkraftbegrenzung. Beim Schleppvorgang

NEUER FLUGZEUGSCHLEPPER VON GOLDHOFER MIT MODULAREM KONZEPT

FAHRMANAGEMENT ÜBERNIMMT STW-STEUERUNG

VON BEGINN AN SICHERHEITS- GERICHTETE ENTWICKLUNG

ENTWICKLUNGSUMGEBUNG FÜR SICHER-HEITSNORM-KONFORME PARAMETRIERUNG

POINTIERT

Erschienen in O+P Fluidtechnik 11-12/2016

STEUERELEKTRONIK

darf nur mit begrenzter Zugkraft am Bugrad gezogen werden. Die Zugkraftbegrenzung ist im DLC durch eine dynamische flugzeug­typabhängige Hochdruckabschneidung realisiert. Zusätzlich ist der DLC für die Funktionalität der Start­Stopp Automatik zuständig.

FLEXIBEL PROGRAMMIERBARE STEUERUNGSPLATTFORMBei der Auswahl der Fahrantriebssteuerung wurde eine flexible und leistungsstarke Steuerung gesucht, die in der Lage ist, die sicherheits­relevanten Funktionalitäten zuverlässig auszuführen. Das Steuergerät sollte auf andere Flugzeugschleppertypen adaptierbar sein und die nötige Performance bieten, um aktuelle und zukünftige Anforderun­gen sicher abzudecken. Mit der nach den Normen DIN IEC 61508: SIL 2 und DIN EN ISO 13849: PL d zertifizierten 32­Bit Steuerung ESX­3XL Safety der Firma Sensor­Technik Wiedemann, kurz STW, wurde eine Lösung gefunden, die diesen Anforderungen mehr als gerecht wird.

Die Basis des Steuergerätes bildet ein 32­Bit TriCore­Controller, mit 150MHz Core, 4MB RAM, 6MB Flash und 32kB EEPROM. Neben den flexiblen Anpassungsmöglichkeiten in der Grundausstattung – beispielsweise können alle Eingänge über Init­Funktionen als Strom­/Spannungs­/Digital­ oder Drehzahleingänge konfiguriert werden – ist die Skalierbarkeit über Erweiterungsboards eine herausragende Eigenschaft der ESX­3XL. Da die Steuerung mit bis zu sechs dieser Erweiterungsboards jederzeit ausbaubar ist, wächst es einfach mit dem Projekt flexibel mit. Aktuell sind 14 Erweiterungs­board­Varianten mit verschiedenen Ein­ und Ausgängen, zusätzlichen RS232/RS485/CAN­Schnittstellen oder auch ein programmierbares Linux­System inkl. Ethernet und USB verfügbar. Grundsätzlich werden für das Steuergerät Entwicklungsumgebungen für die Program­ mierung in „C“, Matlab und CODESYS angeboten.

Firma Goldhofer hat sich für die Variante CODESYS SAFETY SIL2 entschieden. CODESYS ist eine IEC 61131­3 konforme SPS­Program­

mierumgebung, die folgende Programmiersprachen unterstützt: Strukturierter Text (ST), Funktionsplan (FUP), Kontaktplan (KOP), Anweisungsliste (AWL), Ablaufsprache (AS), Freigraphischer Funk­tionsplaneditor (CFC). CODESYS unterstützt den Entwickler von der Implementierung bis zum Debugging und der Visualisierung durch­gängig innerhalb einer Entwicklungsumgebung (All­In­One). Die Safety Variante CODESYS SAFETY SIL2 basiert auf CODESYS V3.

SICHERHEITSGERICHTETE ENTWICKLUNG

Entsprechend den Vorgaben der anzuwendenden Normen wurde eine Risikoanalyse für die Funktionalitäten des Fahrantriebs durch­geführt, die für diverse Teilfunktionen einen geforderten Sicher­heitslevel AgPLr >= c ergab. Da eine sicherheitsgerichtete Entwick­lung einen wesentlichen Kostenfaktor bei der Produktentstehung und Wartung des späteren Produkts darstellt, wurde beim Entwurf des technischen Sicherheitskonzepts entsprechend großes Augen­merk auf die klare und eindeutige Definition der Sicherheitsfunkti­onen und deren Zuordnung zu den Software­Komponenten gelegt. Dabei wurde gezielt darauf geachtet, den sicherheitsrelevanten Teil auf das Notwendige zu beschränken und klare Schnittstellen zwischen sicherheitsrelevanten und nicht sicherheitsrelevanten Softwareteilen zu schaffen. Dies wird in der Softwarearchitektur in sicherheitsgerichteten und nicht sicherheitsgerichteten Modulen abgebildet.

Die klare Zuordnung von Funktionalitäten und die eindeutige Definition der Schnittstellen zwischen den entsprechenden Softwareteilen ist in der Regel immer sinnvoll, führt aber erst zu einer Kostenreduktion bei Entwicklung und Wartung, wenn die Trennung unterschiedlicher Softwareteile auch von der verwendeten Hardware unterstützt wird.

Entsprechend IEC 61508­3, 7.4.2.9, müssen Softwareteile mit unterschiedlicher Sicherheitseinstufung auf einem Steuergerät

01

TITE

LSP

ECIA

L /

SPS

IPC

DR

IVES

20

16

STEUERELEKTRONIK

Erschienen in O+P Fluidtechnik 11-12/2016

02 Trennungsprinzip der sicherheitsrelevanten bzw. nicht sicherheitsrelevanten Komponenten

01 CODESYS unterstützt den Entwickler von der Implemen-tierung bis zum Debugging und der Visualisierung

durchgängig innerhalb einer Entwicklungsumgebung

gemäß dem höchsten Sicherheitslevel entwickelt werden, außer es liegt eine geeignete Unabhängigkeit durch zeitliche und räumliche Trennung vor. Das verwendete ESX­3XL Steuergerät unterstützt die zeitliche und räumliche Trennung von Applikationsteilen durch ent­sprechende Speicherschutz­ und Watchdog­Funktionalitäten. Damit können Softwareteile mit unterschiedlichen Sicherheitsanforderun­gen zeitlich und räumlich unabhängig ausgeführt werden. Dies eröff­net dem Entwicklungsteam die Möglichkeit, die nicht sicherheits­relevanten Teile der Applikation gemäß einem vereinfachten Ent wicklungs­ und Verifikationsprozess zu entwickeln.

ENTWICKLUNGSUMGEBUNG ERMÖGLICHT SICHERE PARAMETRIERUNGDas Ziel war eine normkonforme Parametrierung zu gewährleisten. Außerdem sollte sichergestellt werden, dass Parameteränderungen an nicht sicherheitsrelevanten Applikationsteilen nachweislich keine Auswirkungen auf die sicherheitsrelevanten Applikationsteile haben, um auch an dieser Stelle den nötigen Validierungs­ und Verifika­tionsaufwand möglichst gering zu halten. Grundsätzlich bringt jede Parametriermöglichkeit zusätzliche Komplexität, zusätzliche Fehler­quellen und somit erhöhten Validierungs­ und Verifikationsaufwand mit sich. Bei der Spezifikation und dem Design der sicherheitsrele­vanten Module wurde demzufolge darauf geachtet, die Parametrier­möglichkeiten auf das Notwendigste zu beschränken.

Mit der klaren Abgrenzung des sicherheitsrelevanten Applika­tionsteils vom nicht sicherheitsrelevanten Applikationsteil wurde die Grundlage geschaffen, auch die Parametrierung in sicher­heitsrelevant und nicht sicherheitsrelevant aufzuteilen.

Der Prozess der sicheren Parametrierung wird innerhalb der ESX­3XL­Entwicklungsumgebung durch die ESX­KEFEX­Toolchain, die mit Benutzer­ und Sicherheitshandbuch im Lieferumfang enthalten ist, unterstützt. Die KEFEX­Toolchain ist zertifiziert für den

Einsatz in Projekten mit Sicherheitsanforderungen entsprechend DIN IEC 61508: SIL 2 und DIN EN ISO 13849: PL d.

Das Parametriertool unterstützt eine komplett getrennte Ver­waltung von Parametern mit unterschiedlichen Sicherheitseinstu­fungen auf einem Steuergerät. So können z.B. unterschiedliche Parametersätze für sicherheitsrelevante und nicht sicherheitsrele­vante Parametersätze angelegt werden. Die jeweiligen RAM­ Ko pien der sicherheitsrelevanten/nicht sicherheitsrelevanten Parameter werden dann bei der Codegenerierung in unterschied­liche Speicherbereiche gelegt, die über geeignete Speicherschutz­mechanismen voneinander getrennt sind.

Durch die Trennung der Projektdateien und der internen Datenstrukturen können der sicherheitsgerichtete und der nicht sicherheitsgerichtete Teil der Applikation komplett unabhängig voneinander weiterentwickelt werden. Damit bietet die ESX­ KEFEX­Toolchain eine optimale Unterstützung der sicheren Para­metrierung und der rückwirkungsfreien Weiterentwicklung des nicht sicherheitsrelevanten Teils der Applikation.

Der gesamte Entwicklungsprozess (Risikoanalyse, Hardware­belegung, Ausarbeitung Sicherheitskonzept, Software Architektur, Implementierung, Verifizierung) wurde in enger Abstimmung zwischen STW und Goldhofer realisiert, was in Summe zu einem sicheren, wartbaren und optimal abgestimmten Antriebssystem führte.

www.sensor-technik.de

Global Data Flow

GVL (Global Variable List)

EVL (Exchange Variable List)

Non-Safety POUs

Non-Safety-Components

Safety POUs

Safety-Components

read/write read

read/write

Safety Context

read/write

02