Zuverlässigkeit der Arduino-Plattform für den industriellen Einsatz

SPS-Hersteller möchten Sie glauben machen, dass ihre Software zuverlässiger und gründlicher getestet ist. Mein Eindruck ist, dass die zentralen Betriebssystemkomponenten von SPSen normalerweise recht gut entworfen und getestet sind, aber die Treiber für externe Hardware (Bewegungssysteme und dergleichen) oft Bibliotheken sind, die von Anwendungsingenieuren zusammengehackt und dann im Unternehmen herumgereicht werden. Die Hardware in SPSen ist oft veraltet – viele von ihnen laufen mit alten, heißen Geode-Prozessoren.

Wenn Sie eine SPS von Allen-Bradley, B&R, Siemens oder einem der anderen großen Player kaufen, zahlen Sie hauptsächlich für den Support, wenn etwas schief geht. Ihre Hardware wird mit den gleichen Herstellungsprozessen wie Arduinos hergestellt, und es gibt nichts Magisches an den Echtzeit-Betriebssystemen, die auf SPSen laufen, was sie fehlerfrei macht. Aber ich denke, dass sich der Support oft lohnt. Wenn es sich um eine Maschine handelt, die das Unternehmen jeden Tag 1 Million Dollar kostet, wenn sie nicht in Betrieb ist, wäre ich verdammt sicher, dass, wenn etwas schief geht, ein Team von Fachleuten helfen könnte, das Problem zu beheben, nicht nur ich und Google. Für den speziellen Fall von Lichtvorhängen oder anderen Sicherheitsverriegelungen möchte ich sicherstellen, dass der Hersteller eine kräftige Versicherungspolice abgeschlossen hat, und nicht eine Erklärung, die versucht, jegliche Marktfähigkeit für einen bestimmten Zweck auszuschließen.

Selbst wenn ich (zum Beispiel) eine einfache pneumatische Betätigung für eine Vorrichtung entwarf und bereit wäre, die Supportlast für die Reparatur der Maschine zu übernehmen, wenn sie kaputt ging (oder wenn ich nicht in der Lage war, die Ressourcen zuzuweisen). um die SPS zu bezahlen) und die Sicherheit kein Problem war, würde ich gerne einen Arduino verwenden.

Ich würde das System wahrscheinlich mit einem Arduino prototypisieren und dann den Code in reinem C neu schreiben, sobald es funktionierte, sodass mein Code der einzige Code auf dem Mikrocontroller war.

Arduino selbst ist aufgrund des Mangels an angemessenem Schutz und Abschirmung nicht gut für industrielle Anwendungen geeignet. Es ist jedoch möglich, AVR-basierte Controller in Industriequalität herzustellen:

Sie sollten Abschirmung, Leistungsfilterung / -regelung / -schutz, Optopare zum Ansteuern externer Dinge und anständige Entkopplungskappen auf jedem digitalen Chip haben.

Sie sollten es sehr sorgfältig testen, wenn Sie hohe Lasten ein- / ausschalten. Es ist besser, während dieser Kommutierung mit dem Oszilloskop (bis zu einem Bereich von 1 ns) zu prüfen, ob Sie Störungen auf Masse- / Strom- / Datenleitungen haben.

Sie sollten Ihre Taktquelle sehr sorgfältig überprüfen - AVR fällt nicht auf den RC-Oszillator zurück, falls der Quarzoszillator ausfällt. Halten Sie sich also besser an das interne RC, wenn Sie keine Taktgenauigkeit benötigen, oder achten Sie besonders auf die Quarzführung, die Ladekondensatoren, die PCB-Qualität (= Flusserinnerungen, Feuchtigkeitsschutz) und die Abschirmung um den Quarz herum.

Es gibt bessere uC für industrielle Anwendungen, insbesondere mit dieser RC-Fallback-Funktion.

Vor der SPS wurde die industrielle Prozesssteuerung von Relais Logix (für digitale Steuerung) und PID-Reglern für analoge Steuerung durchgeführt. Relais waren notorisch unzuverlässig, deren Ausfall teilweise schwerwiegende Folgen hatte. Trotzdem wird vorgeschlagen, dass dies besser von einem Computer ausgeführt werden könnte, auf dem Software ausgeführt wirdmit Halbleiterausgängen statt Relais entsetzten damals die meisten Elektroingenieure. Die Argumente gegen die Einführung von PLCs in jenen Tagen ähnelten einigen der Argumente in den Antworten in diesem Forum. Widerstehen Sie interessanten Vorschlägen und Sie befinden sich mit Sicherheit in guter Gesellschaft. Wirtschaftlichkeit, Ausfallzeiten und Wartungsüberlegungen trieben (langsam) den Übergang von der festverdrahteten Steuerung zur Mikrocontroller-/Softwaresteuerung voran. Ich erinnere mich an das Entsetzen, mit dem Ethernet und die verschiedenen zugehörigen Protokolle damals vom Kontroll-Establishment begrüßt wurden. Ethernet entwickelt sich nun schnell zum De-facto-Standard für die Prozesssteuerung.

Heutzutage haben sicherheitskritische Prozesse in den fortschrittlichsten Steuerungssystemen immer eine festverdrahtete/pneumatische/hydraulische/mechanische Sicherung oder zumindest einen ausfallsicheren Zustand. Die Bedienerschnittstelle zum Steuerungssystem ist ein wesentlicher Bestandteil des Steuerungssystems, das außerhalb der Maschinensteuerung in den meisten Fällen ein Desktop-Computer aus dem lokalen PC-Laden ist, mit einem fehlerhaften/absturzanfälligen Betriebssystem, das fehlerhafte/absturzgefährdete anfällige Anwendungen zur Prozesssteuerung. Das ist keine Übertreibung. Wir haben Anlagen in den anspruchsvollsten Umgebungen der Chemie- und Bergbauindustrie entworfen und gebaut, wo Staub und Dämpfe Teil des Lebens sind, sogar in der Leitwarte, und es gibt nicht mehr Ausfälle bei standardmäßigen Verbraucher-/kommerziellen Geräten als bei industrielle Ausrüstung. Festplatten fallen aus, sind aber versiegelt. Sie scheitern trotzdem. Wir blasen regelmäßig Industriestaubwolken von PC-Motherboards, auf denen die HMIs laufen. Der Trick besteht darin, in allen wichtigen/kritischen Systemen doppelte/dreifache Redundanz zu haben. Alles kann scheitern. Aus diesem Grund werden sicherheitskritische Dinge immer durch Hardware gesichert, und dies ist eine gesetzliche Anforderung inden meisten Ländern und dem gesunden Menschenverstand in anderen.

Wenn man die Luftfahrt ins Gespräch bringen will, erinnere man sich an das Entsetzen, mit dem Nicht-Airbus-Flugzeughersteller dem Vorschlag von Fly-by-Wire begegneten. Bei Flugunfällen ist menschliches Versagen (meistens Piloten, aber auch Wartungspersonal) und nicht Technik-/Systemversagen für die weitaus meisten Unfälle verantwortlich. Im industriellen/kommerziellen Bereich von SPS/Mikrocontrollern würde ich argumentieren, dass der Mensch am Programmierterminal immer noch das kritischste Element ist. Software DESIGN, STRUKTUR und WARTUNGSFÄHIGKEIT sind die wesentlichen Zutaten und nicht die Hardware.

Rockwell bietet das Produkt SoftLogix an, bei dem es sich um eine Software-SPS handelt, die auf einem handelsüblichen PC ausgeführt wird. Denk darüber nach. Das Argument, dass die PCs in einer geschützteren elektrischen/atmosphärischen Umgebung laufen als die SPS/Steuerungen, kann in einigen Fällen zutreffen, aber nicht in den meisten und sehr wenigen in den Anlagen, die wir betreuen. Die Ironie besteht darin, dass die Verbreitung von Ethernet Ethernet-Switches im Feld erfordert. Wir verwenden in der Regel keine Industrie-Switches, sondern handelsübliches Zeug und haben nach 10 Jahren und Hunderten von Installationen noch keinen Switch-Ausfall gehabt. Diese Schalter befinden sich in denselben Bedienfeldern wie die SPS-E/A. Was, aber selten, versagt, ist das billige Netzteil, das dem Switch beiliegt. Vermeiden Sie dies und der Schalter wird nicht die unzuverlässigste Komponente in der Installation sein.

Was die rigorose Prüfung/Qualitätskontrolle industrieller SPS-Geräte betrifft, so habe ich kürzlich eine Anlage in Betrieb genommen, in der JEDE der 8 oder 10 analogen Remote-E/A-Eingangskarten DOA war. Der Lieferant, einer der größten Markennamen der Welt, hat nicht mit der Wimper gezuckt und sofort alle ausgetauscht. Ich schätze, es war eine schlechte Charge, und sie haben das Problem vielleicht schon vor unserem Bericht gekannt. Die Ersatzteile haben einwandfrei funktioniert und tun es auch nach 3 Jahren noch.

Angst wird heutzutage überall benutzt, um uns einzuschüchtern. Verwenden Sie die Vernunft und wie einige Oldtimer zu sagen pflegten: „Saugen Sie es und sehen Sie (selbst)“. Ich würde ohne zu zögern irgendwo "nicht-industrielle" Mikrocontroller testen. Befolgen Sie einfach die gute Ingenieurpraxis, quantifizieren Sie das Risiko und handeln Sie angemessen. Übrigens arbeiten Kraftfahrzeuge unter Bedingungen, die einigen industriellen Bedingungen (Nässe, Hitze, Vibrationen) nicht allzu unähnlich sind, haben aber viele elektronische sicherheitskritische Systeme. Versuchen Sie jetzt, einem Ingenieur für industrielle Steuerungssysteme vorzuschlagen, dass Sie im Begriff sind, eine Automobilkomponente in Ihrem Werk zu testen! CANbus oder DNET jemand? Stelle dir das vor (:)

Ich bin kein Ingenieur irgendeiner Art. Ich bin Elektroniker bei einem großen Luft- und Raumfahrtunternehmen und muss numerisch gesteuerte Maschinen wie diese ständig nachrüsten und/oder aufrüsten, da wir veraltete Geräte haben, für die wir keine Teile mehr beschaffen können. Während die Kosten ein großes Problem sind, ist das Problem, das Sie in große Schwierigkeiten bringen wird, die Sicherheitsbedenken.

In der Ausgabe 2012 des NFPA 79 (The Electrical Standard for Industrial Machinery) Unterabschnitt 9.4.3.4.2 heißt es:

„Steuerungssysteme mit Software- und Firmware-basierten Steuerungen, die sicherheitsrelevante Funktionen ausführen, müssen selbstüberwachend sein und alle folgenden Anforderungen erfüllen:

1. Im Falle eines einzelnen Fehlers muss der Fehler:
   a. nicht zum Verlust der sicherheitsrelevanten Funktionen führen
   b. zum Abschalten der Anlage in einen sicheren Zustand führen
   c. Verhindern Sie den weiteren Betrieb, bis der Komponentenfehler behoben wurde
   . d. Verhindern Sie ein unbeabsichtigtes Anlaufen von Geräten nach Behebung des Fehlers

2. Bieten einen Schutz, der dem von Steuerungssystemen mit festverdrahteten/Hardware-Komponenten entspricht

3. in Übereinstimmung mit einer anerkannten Norm konstruiert sein, die Anforderungen für solche Systeme enthält“

Wenn Sie sicherstellen können, dass Sie die Bestimmungen 1 und 2 erfüllen, wissen Sie, dass Sie Bestimmung 3 nicht erfüllen können (es sei denn, Sie sind es gewohnt, mit Regulierungsbehörden umzugehen).

JEDOCH,

Wenn Sie das Arduino nur verwenden, um zu überwachen und darauf hinzuweisen, dass eine Sicherheitsbedingung aufgetreten ist, und nicht die eigentliche Sicherheitsschaltung selbst steuern, sollten Sie nicht gegen diese gesetzliche Anforderung verstoßen.

Das heißt, es ist eine Not-Aus-Kette vorhanden, die die Stromversorgung aller Motorschütze/Antriebe von einem Haupt-Not-Aus-Schütz trennt, wenn sie von einem beliebigen Not-Aus-Schalter im Stromkreis unterbrochen wird. Sie möchten das Arduino nicht zur Steuerung des Not-Aus-Schaltkreises verwenden, aber Sie sollten einen Hilfskontaktschalter an den Not-Aus-Tasten verwenden, um dem Bediener mitzuteilen, welcher Not-Aus auf einem Display gedrückt wurde.

Auf diese Weise steht selbst dann, wenn das Arduino versucht, einen Motor mit Steuersignalen anzutreiben, keine tatsächliche Leistung zur Verfügung, da ein Haupt-E-Stopp-Schütz ausgefallen ist, das von einer hart erregten E-Stopp-Kette gesteuert wird - nicht von Ihrem Mikrocontroller .

Stellen Sie sicher, dass Sie alle Vorschriften in NFPA70E und NFPA79 kennen und alle erfüllen. Vertrauen Sie mir, Sie möchten sich nicht in einem Rechtsstreit wiederfinden und versuchen, Fragen zu beantworten, ohne diese Vorschriften vollständig zu kennen, bevor Sie etwas entwerfen.

dh andere Dinge, die zu berücksichtigen sind, sind zu schnelles Stoppen der Bewegung - manchmal müssen Dinge für eine bestimmte Zeit unter Spannung bleiben, bevor sie angehalten werden, um ein Sicherheitsrisiko zu vermeiden - dh eine große Schleifscheibe muss mit einer festgelegten Geschwindigkeit herunterdrehen, damit sie nicht explodiert abruptes Anhalten - in diesem Fall möchten Sie einen großen Widerstand, der die Gegen-EMK des Motors verwendet, um die Drehzahl sicher zu verlangsamen. Sie möchten, dass das Schütz, das den Motorantrieb ausgefallen hat, diesen Widerstand mit den Motorwicklungen in Einklang bringt - nicht mit dem Arduino

Diese Szenarien werden auch in der NFPA79 behandelt.

Stellen Sie sicher, dass Sie und Ihr Arbeitgeber sich wohlfühlen, diese Vorschriften einzuhalten und mögliche Haftungen zu akzeptieren.

Verwenden Sie auf jeden Fall ein Ruggeduino (es ist die 45.oo für den zusätzlichen Schutz wert) und eine optische Isolierung für alles, was über 24 Volt an die Schaltung angeschlossen ist. Die meisten der arduino-kompatiblen Relaissteuerungen auf derselben Website stammen von OMRON und werden für viele industrielle Anwendungen verwendet. Lassen Sie Ihr Design vor der Implementierung von jemandem mit Erfahrung und Qualifikation überprüfen - denken Sie daran, dass keiner von uns so schlau ist wie wir alle

Die einzige Möglichkeit, es für Ihre Anwendung auf Haltbarkeit zu testen, besteht darin, es zu entwerfen und zu sehen, wie lange es funktioniert. Halten Sie auf jeden Fall ein identisches Ersatzteil bereit, um es im Regal auszutauschen, wenn Kosten und Zeit eine große Rolle spielen.

Lassen Sie mich wissen, wenn Sie Fragen haben.

Es gibt angeblich einen Arduino-Klon in Industriequalität namens Ruggeduino mit Eingangs- und Ausgangsschutz. Ihre Website bietet interessante Lektüre zum Thema Robustheit eines Arduino.

Sie verkaufen MSP430 mit Schaltkreisen für den Einsatz in Autos.

Da ich keine Ahnung von Industriezulassungen habe, weiß ich nicht, was für eine Zulassung für Sicherheitsanwendungen diese "Micro-SPS" haben.

Für eine Sicherheitsverriegelung würde ich jedoch keiner komplizierteren Software als einem einfachen Schalter vertrauen.

Grundsätzlich ... Ich habe keine Unterstützung für Arduino. Arduino ist exponiert, hat keinen Fall und gibt keine Garantie für einige IEC-Standards, die Sie erfüllen müssen. Zum Beispiel, wie Arduino mit 2 oder 3 Jahren Staub auf seiner Oberseite läuft.

Auf lange Sicht ist es, wie jemand bereits sagte, billiger, Arduino nicht zu verwenden, wenn eine Maschine 1 Million Dollar pro Tag kostet. Hauptsächlich, weil es später als früher und in 6 bis 10 Jahren sterben wird, wird Ihnen das Arduino, das Sie heute verwenden, nicht mehr zur Verfügung stehen, um eine Maschine in einer geeigneten Zeit zu reparieren (da Sie Open Source sind, können Sie es produzieren ... aber).

OTOH ... wenn Sie Arduino als SPS verwenden, müssen Sie Hilfsschaltungen entwickeln, Tonnen von Software entwickeln und am Ende werden Sie nach Tonnen von Zeit und Ausrüstung sehen, dass Sie dasselbe haben werden wie Allen Bradley, Siemens et al. aber mit einem überlegenen Preis.

Nicht nur die Herstellungskosten sind enorm, sondern auch die Anpassung in ein paar Jahren, vor allem wenn Sie versuchen, Feldbustechnologie wie Profibus oder ASi zu integrieren.

Es macht Spaß zu spielen ... aber es ist nicht DIE Lösung.

Der größte Teil der Robustheit kommt von der EE, die hinter dem elektrischen Design des gesamten Schaltplans und der Leiterplatte steht. Es gibt nichts Besonderes an den Chips, die „zertifizierte“ Unternehmen verwenden – sie sind nur billiger in den Mengen und haben vielleicht ihre eigenen Zertifizierungen. Aber ich würde davon ausgehen, dass Atmel und Microchip bereits mit denen übereinstimmen. Echte Stärke ergibt sich aus vielen Tests, verschiedenen Backup-Methoden (Brownout-/Überspannungsdetektoren, Watchdogs) und sorgfältigem Layout. Mein Eindruck ist, dass PIC/Arduino nicht in großem Umfang verwendet werden, weil sie teurer sind und mehr bieten, als tatsächlich benötigt wird.

Ich bin Elektronikingenieur und verwende das Arduino Mega Board für einige meiner Bildungsanwendungen. Ich bin auch Benutzer von Labview-DAQ-Modulen wie DAQ-6009 / 6008 usw. Ich bin auch Benutzer von SPS von Allen-Bradelly usw. Aber ich finde, die Eignung von Arduino muss in industriellen rauen Umgebungen wie Temperaturschwankungen, Staub- und Feuchtigkeitsbedingungen und auch Vibrationen und EM-Strahlungen getestet werden und sogar eine zuverlässige Verbindung zu den Sensoren oder Aktoren und auch zu den anderen Datenverarbeitungskarten müssen vorher Geben Sie das Signal i?p und bevor Sie es an die endgültigen Endeffektoren wie Ventile usw. weitergeben ...

Aus dieser Webseite und Diskussion werde ich die Testeinrichtung von Arduino-Karten für industrielle Anwendungen generieren.. für verschiedene Arten von Umgebungen.. und für verschiedene Parameter.. usw.

Der Atmel-Mikrocontroller, der den Arduino ausführt, ist auch für Automobil- und Industriesteuerungssysteme verfügbar. So weit, ist es gut!

[quote]Ihre Hardware wird mit den gleichen Herstellungsprozessen wie Arduinos hergestellt[/quote]

Leider ist der Rest des Arduino-Boards wahrscheinlich nicht so robust.

Es gibt eine Reihe von Designkompromissen, die die Lebensdauer reduzieren können, um die Kosten zu senken. Beispielsweise sind Kondensatoren möglicherweise nicht für 10.000 Stunden bei 105 ° C ausgelegt, sondern für 2.000 Stunden bei 80 ° C, und da gibt es einen echten Unterschied in der Lebensdauer! In ähnlicher Weise ist der Regler auf dem Arduino eher eine billige High-Dropout-Version als eine leistungsfähigere Ultra-Low-Dropout-Version. (Haben Sie sich jemals gefragt, warum der Arduino 7 V oder mehr benötigt, um 5 V zu erzeugen? Aus diesem Grund – mit einem ULDO-Regler wären 5,3 V ausreichend gewesen.) Und wird Ihr Netzteil jemals einen Brown-out haben? Woher wissen Sie, dass sich das gesamte System in einem sicheren Zustand befindet, wenn dies der Fall ist? Es gibt nicht einmal eine Sicherung auf der Platine!

Ebenso gibt es auf dem Arduino-Board so gut wie keinen Schutz vor einer rauen Umgebung. Die Kontakte sind billige, verbrauchertaugliche Buchsenkontakte, die für ein paar Dutzend Einfügungen ausgelegt sind, keine IP-65-bewerteten Kontakte (für die Kosten). Schutz.

Wenn ich ein sicherheitskritisches System bauen würde, könnte ich sehr wohl eine Atmega-MCU verwenden, aber ich würde das Arduino-Board nicht so verwenden, wie es ist. Die Kosten für das Spinnen eines neuen Boards mit neuen Komponenten, die für die Situation entwickelt wurden, wären im Vergleich gering. Und auf dieser Platine konnte ich die gesamte Treiberhardware, die ich benötige, und den Schnittstellenschutz unterbringen und echte, robuste Anschlüsse verwenden. Nicht, dass ich wirklich qualifiziert wäre, ein sicherheitskritisches elektronisches System zu bauen – ich bin ein Software-Typ!

Für einen Blick auf den Arduino mit etwas elektrischem Schutz (aber immer noch kein Schutz bei den anderen Fehlermodi), schauen Sie sich den Ruggeduino an: http://ruggedcircuits.com/html/ruggeduino.html

Ich denke, die Probleme mit Staub, Feuchtigkeit, Vibration usw. können leicht angegangen werden. Ich arbeite seit 30 Jahren in der Kfz-Unfallreparatur und warte alle Arten von Steuergeräten. Die einfache Lösung, die in Automobilen verwendet wird, um der rauen Umgebung zu begegnen, besteht darin, das Steuermodul in ein nichtleitendes Harz einzuhüllen, das verhindert, dass Feuchtigkeit oder Staub mit der Steuerung in Kontakt kommt, und gleichzeitig die Steuerung unempfindlich gegen Vibrationen macht.

Ich bin auch Kajakfahrer und habe ein elektrisches Pumpensystem für mein Boot gebaut, um das lebensbedrohliche Problem zu lösen, ein überflutetes Boot bei Sturm auszupumpen. Im Laufe der Jahre bestand das Problem bei elektrischen Pumpen in Kajaks darin, dass die Elektronik zugänglich, aber vor Salzwasser geschützt war. Niemand schien etwas anderes als vorübergehenden Erfolg damit zu haben.

Es stellte sich heraus, dass ich durch die Verwendung eines Magnetschalters und das Umhüllen von Schalter und Steuerung in Urethan ein System habe, das 3 Jahre Salz- und Süßwassereintauchen sowie alle Schläge, die die Wellen und der Autotransport mit sich bringen können, überstanden hat Boot.

Ich bin kein Experte für Elektronik, wohlgemerkt. Vielleicht gibt es also eine Schwäche in Arduinos, die sie für Sicherheitssysteme ungeeignet macht, aber es gibt nichts in der Umgebung, vor dem sie nicht mit ein wenig Nachdenken geschützt werden könnten.

Die Verwendung von Arduino im industriellen Umfeld kann akzeptabel sein, wenn:

1. Sie schützen Ihre Ein- und Ausgänge so gut wie eine SPS
2. Sie implementieren Brownout-Erkennung und Watchdog in Ihrer Anwendung oder mit Hilfe externer Hardware
3. Ihre Anwendung sorgt dafür, dass sich Ihre Ausgänge immer in einem bekannten sicheren Zustand befinden
4. Sie implementieren alle Verriegelungen und Sicherheiten direkt im Code
5. Sie verbringen mehr Zeit mit dem Testen als mit dem Schreiben von Code
6. Sie benötigen keine Zertifizierung für Ihr kundenspezifisches Gerät

Sie müssen wahrscheinlich eine MODBUS- oder PROFIBUS -Protokollschnittstelle bereitstellen und Treiber erstellen, um 0..20mA, 4..20mA, 0..10V, TC, Motoren, Encoder zu verbinden (oder MODBUS/PROFIBUS-Slave-Karten mit eingebauten solchen Treibern zu verwenden )...

Wenn Sie Ihr Gerät in Kontaktplanlogik anstelle von C/ASM/PAS/BAS programmieren möchten , können Sie das tun. Diese Software bietet das.