Was geschieht, wenn ein industrieller Schaltschrank einen sich entwickelnden Fehler erkennt, bevor der Bediener ein sichtbares Problem wahrnimmt?

Ein Motorantrieb kann beginnen, unregelmäßige Ströme aufzunehmen. Ein Leistungsmodul kann heißer als gewöhnlich werden. Zwischen Steuerungsgeräten können sporadisch Kommunikationsfehler auftreten.

In einem herkömmlichen System werden diese Zustände oft erst nach dem Auftreten eines Alarms, einer Abschaltung oder eines Stillstands zu Wartungsproblemen.

Intelligentere Steuerungsarchitekturen können früher reagieren.

Sie können anomale Zustände erkennen, ausgewählte Fehler isolieren, Funktionen auf redundante Geräte übertragen und dem Wartungspersonal detaillierte Diagnoseinformationen bereitstellen.

Dieses Konzept wird manchmal als selbstheilender Schaltschrank bezeichnet.

Der Begriff ist nicht wörtlich zu verstehen. Ein Schaltschrank kann einen beschädigten Schütz, eine verbrannte Klemme oder einen ausgefallenen Antrieb nicht selbst reparieren.

Er kann bestimmte Ausfälle erkennen und vordefinierte Wiederherstellungsstrategien einsetzen, um deren Auswirkungen auf die Produktion zu begrenzen.

Abbildung 1. Modulare industrielle Schaltschränke bilden die Grundlage für Diagnose, Isolierung und den strukturierten Austausch von Komponenten.

Die Schwachstelle ist oft nicht die Maschine

Schaltschränke koordinieren einen großen Teil moderner Industrieanlagen.

SPSen, Netzteile, Relais, Antriebe, Kommunikationsmodule und E/A-Geräte arbeiten zusammen, um einen vorhersehbaren Betriebsablauf aufrechtzuerhalten.

Der Ausfall eines kleinen Bauteils kann daher einen wesentlich größeren Prozess beeinträchtigen.

Ein beschädigtes Relais kann verhindern, dass ein Motor startet. Ein ausgefallenes Netzteil kann mehrere Steuerstromkreise gleichzeitig außer Betrieb setzen. Ein Kommunikationsproblem kann dazu führen, dass ansonsten funktionsfähige Geräte für die Steuerung nicht verfügbar sind.

Herkömmliche Wartungsstrategien begegnen diesen Risiken durch Inspektionen, Ersatzteile, vorbeugenden Austausch und Eingriffe durch das Bedienpersonal.

Diese Maßnahmen bleiben notwendig.

Die Einschränkung ist die Reaktionszeit.

Wenn die Fehlererkennung hauptsächlich davon abhängt, dass eine Maschine stoppt oder ein Bediener einen Alarm sieht, befindet sich der Prozess bereits in einem anomalen Betriebszustand.

Moderne Steuerungskonzepte versuchen zunehmend, Verschlechterungen zu erkennen, bevor es so weit kommt.

Was Selbstheilung tatsächlich bedeutet

Technisch betrachtet lässt sich Selbstheilung besser als Kombination aus Fehlererkennung, Fehlerisolierung und automatisierter Wiederherstellung verstehen.

Eine praxisgerechte Architektur kann mehrere Funktionen erfüllen.

Erstens erkennt das System ein anomales Signal oder einen ungewöhnlichen Betriebszustand.

Zweitens ermittelt die Diagnoselogik, welches Gerät, welcher Stromkreis oder welcher Prozessbereich betroffen ist.

Drittens isoliert das Steuerungssystem die betroffene Funktion, sofern die Architektur dies zulässt.

Schließlich können redundante Hardware oder ein alternativer Steuerungspfad einen Teil des Prozesses aufrechterhalten, bis die Wartung eingreifen kann.

Der Bediener erhält weiterhin Alarme, Protokolle und Diagnoseinformationen.

Das Ziel besteht nicht darin, Ausfälle zu verhindern. Es geht darum zu verhindern, dass jeder einzelne Ausfall automatisch zu einer anlagenweiten Unterbrechung wird.

Modulare Architektur macht die Fehlerisolierung praktikabel

Fehlertolerantes Verhalten beginnt mit der physischen Auslegung.

Ein Schaltschrank, der als eine eng miteinander verbundene elektrische Baugruppe aufgebaut ist, lässt sich bei Ausfall einer Komponente nur schwer isolieren.

Eine modulare Architektur schafft klarere funktionale Grenzen.

Energieverteilung, Steuerung, Kommunikation, Antriebe und E/A können in klar erkennbare Bereiche mit geeigneter Absicherung und Diagnosezugang unterteilt werden.

Dies bietet mehrere betriebliche Vorteile.

Eine Störung lässt sich häufig einem kleineren Funktionsbereich zuordnen. Das Wartungspersonal kann die betroffene Hardware schneller identifizieren, und der Austausch wird strukturierter.

Die Modularität unterstützt außerdem standardisierte Strategien für Ersatzteile.

Statt jede Komponente bis auf Baugruppenebene zu untersuchen, können Techniker definierte Module austauschen und den Betrieb gemäß einem festgelegten Wartungsverfahren wiederherstellen.

Hot-Swap-fähige Hardware kann diesen Ansatz verbessern, wenn die jeweilige Steuerungsplattform und Anwendung den Austausch unter Spannung unterstützen.

Allerdings darf Hot-Swapping niemals allein deshalb vorausgesetzt werden, weil ein System modular aufgebaut ist.

Die Steuerung, die E/A-Plattform, die elektrische Auslegung und das Sicherheitsverfahren müssen dies ausdrücklich unterstützen.

Bei Systemen, die auf austauschbarer Steuerungshardware basieren, können klar kategorisierte E/A-Module außerdem die Wartung über den gesamten Lebenszyklus und die Planung von Ersatzteilen vereinfachen.

Vorausschauende Überwachung erkennt Veränderungen vor einem Ausfall

Eine selbstverwaltende Steuerungsstrategie benötigt Informationen über den Zustand der Anlage.

Hier werden IIoT-Sensorik und vorausschauende Wartung wichtig.

Moderne Überwachungssysteme können elektrische Last, Temperatur, Vibration, Kommunikationsqualität und weitere Betriebsgrößen erfassen.

Eine einzelne Messung muss nicht auf ein Problem hindeuten.

Der Trend ist oft aussagekräftiger.

Ein Klemmenanschluss, dessen Temperatur allmählich ansteigt, kann auf einen elektrischen Zustand hinweisen, der eine Überprüfung erfordert.

Bei einem Motor, der einen zunehmenden Vibrationstrend zeigt, kann eine mechanische Untersuchung erforderlich sein, bevor der Zustand zu einem ungeplanten Stillstand führt.

Wiederholte Stromunsymmetrien können ebenfalls nützliche Diagnosehinweise liefern, wenn sie im richtigen elektrischen und mechanischen Kontext ausgewertet werden.

Edge Computing ermöglicht, einen Teil dieser Analyse in unmittelbarer Nähe der Maschine durchzuführen.

Statt jede Rohmessung an einen entfernten Server zu übertragen, kann ein Edge-Gerät ausgewählte Signale lokal auswerten und Ereignisse erzeugen, wenn definierte Bedingungen erkannt werden.

Dadurch lassen sich Reaktionsverzögerungen verringern und unnötiger Datenverkehr begrenzen.

Diagnosen müssen mehr als nur „Störung“ erklären

Ein allgemeiner Störungsindikator bietet nur begrenzten Nutzen, wenn die Produktion bereits stillsteht.

Eine effektive Diagnose sollte erkennen, wo das Problem aufgetreten ist, und dem Wartungspersonal genügend Kontext für die Untersuchung liefern.

Moderne Steuerungen und intelligente Geräte können über das Steuerungsnetzwerk Diagnoseinformationen auf Komponentenebene bereitstellen.

Die HMI- oder SCADA-Ebene kann anschließend spezifischere Alarminformationen anzeigen.

Statt nur einen allgemeinen Antriebsfehler zu melden, kann das System erkennen, welcher Antrieb den Alarm ausgelöst hat, und zugehörige Betriebswerte protokollieren.

Historische Ereignisse helfen Ingenieuren außerdem festzustellen, was unmittelbar vor der Abschaltung geschah.

Das ist besonders wichtig, wenn ein anfänglicher Fehler mehrere Folgealarme auslöst.

Der erste auf dem Bildschirm sichtbare Alarm ist möglicherweise nicht die Grundursache.

Korrekt mit Zeitstempeln versehene Ereignissequenzen helfen Ingenieuren, den Ablauf zu rekonstruieren.

Fehlerisolierung verhindert die Ausbreitung eines Problems

Die Erkennung allein schafft keine Fehlertoleranz.

Die Architektur muss außerdem festlegen, was geschieht, nachdem ein Fehler erkannt wurde.

In manchen Anwendungen kann das betroffene Modul logisch aus der Betriebssequenz entfernt werden.

In anderen Fällen kann der Prozess auf redundante Ausrüstung umgeschaltet werden.

Stromversorgungen, Netzwerkpfade, Steuerungen, Kommunikationsschnittstellen und Prozessanlagen können Redundanz nutzen, wenn die Anwendung die zusätzliche Komplexität rechtfertigt.

Redundanz ist nicht automatisch vorteilhaft.

Ein schlecht ausgelegtes redundantes System kann zusätzliche Ausfallarten einführen und die Fehlersuche erschweren.

Die Wiederherstellungsstrategie muss daher gemeinsam mit der Fehlererkennungsstrategie ausgelegt werden.

Abbildung 2. Eine fehlertolerante Sequenz erkennt den abnormalen Zustand, isoliert die betroffene Funktion und überträgt den Betrieb, sofern Redundanz verfügbar ist.

Ein Antriebsausfall zeigt, wie das Konzept funktioniert

Betrachten wir eine Abfüllanlage, die Frequenzumrichter zur Regelung der Fördergeschwindigkeit einsetzt.

Ein Antrieb zeigt erste unregelmäßige Stromwerte und eine steigende Temperatur.

In einer konventionellen Architektur kann der Antrieb weiterlaufen, bis seine Schutzfunktionen eine Abschaltung auslösen.

Der Förderer stoppt.

Die Instandhaltung beginnt dann mit der Fehlersuche im ausgefallenen Abschnitt, während die Produktion weiterhin unterbrochen bleibt.

Eine fehlertolerantere Architektur könnte anders reagieren.

Die Zustandsüberwachung erkennt zuerst das abnormale elektrische und thermische Muster.

Das Steuerungssystem erzeugt eine Wartungswarnung, bevor der Prozess den Abschaltzustand erreicht.

Wenn die Anwendung einen entsprechend ausgelegten Bereitschaftsantrieb oder einen redundanten mechanischen Pfad umfasst, könnte die betroffene Funktion anschließend gemäß einer vordefinierten Logik übertragen werden.

Der ursprüngliche Antrieb wird isoliert, und die Instandhaltung erhält detaillierte Fehlerinformationen.

Die Produktion kann je nach Prozessauslegung mit voller oder reduzierter Kapazität fortgesetzt werden.

Dieses Beispiel veranschaulicht eine wichtige Einschränkung.

Das Steuerungssystem kann keine Redundanz schaffen, die bei der Konstruktion der Maschine nie vorgesehen wurde.

Eine automatisierte Wiederherstellung ist nur möglich, wenn die elektrische, mechanische und softwareseitige Architektur einen alternativen Pfad bereitstellt.

Wenn eine Drehzahlregelung zum Einsatz kommt, können geeignete VFD- und AC-Antriebsarchitekturen Teil einer umfassenderen Wartungs- und Redundanzstrategie sein.

Kommunikation ist Teil der Wiederherstellungsarchitektur

Moderne Diagnosesysteme hängen stark von industriellen Kommunikationsnetzwerken ab.

Steuerungen benötigen Statusinformationen von Antrieben, dezentralen I/Os, Schutzgeräten und anderen intelligenten Komponenten.

EtherNet/IP, PROFINET und andere industrielle Protokolle können diese diagnostische Transparenz ermöglichen, wenn die Geräte dies unterstützen.

Die Verwendung eines industriellen Ethernet-Protokolls macht ein Netzwerk jedoch nicht automatisch fehlertolerant.

Die Ausfallsicherheit hängt von der Netzwerkarchitektur ab.

Managed Switches, redundante Pfade, Steuerungsfunktionen, Topologie und Wiederherstellungsmechanismen beeinflussen allesamt, was nach einem Kommunikationsausfall geschieht.

Ingenieure sollten daher zwei Fragen voneinander trennen.

Kann das Gerät den Fehler melden?

Kann das Netzwerk nach dem Fehler weiterarbeiten?

Das sind miteinander verbundene, aber technisch unterschiedliche Fähigkeiten.

Sicherheit und automatische Wiederherstellung benötigen klare Grenzen

Die automatische Wiederherstellung darf die Sicherheitsfunktion einer Maschine oder eines Prozesses niemals außer Kraft setzen.

Manche Ausfälle sollten zu einer kontrollierten Abschaltung statt zu einer automatischen Fortsetzung führen.

Ein Not-Halt, eine Sicherheitsverriegelung oder ein gefährlicher elektrischer Zustand darf nicht einfach umgangen werden, nur weil die Aufrechterhaltung der Produktion wünschenswert ist.

Die Wiederherstellungslogik muss zwischen Fehlern unterscheiden, die einen Weiterbetrieb ermöglichen, und Fehlern, die dazu führen müssen, dass die Anlage in einen sicheren Zustand wechselt.

Dies ist besonders wichtig, wenn redundante Steuerungspfade eingesetzt werden.

Ingenieure müssen wissen, welche Signale zur Standardautomatisierung gehören und welche Teil der sicherheitsbezogenen Architektur sind.

Ein Konzept zur Selbstheilung funktioniert daher am besten, wenn die Fehlerbegrenzung auf Grundlage definierter Funktions- und Sicherheitszonen entwickelt wird.

Digitale Zwillinge schaffen eine zusätzliche Testebene

Digitale Zwillinge können fehlertolerantes Design über den physischen Schaltschrank hinaus erweitern.

Eine virtuelle Darstellung des Steuerungssystems ermöglicht es Ingenieuren, Betriebsabläufe zu untersuchen, bevor Änderungen an im Betrieb befindlichen Anlagen umgesetzt werden.

Fehlerzustände können in das Modell eingefügt werden, um zu untersuchen, wie die Steuerungslogik reagiert.

Ingenieure können prüfen, ob die richtigen Alarme angezeigt werden, ob die Redundanz korrekt umgeschaltet wird und ob unbeabsichtigte Wechselwirkungen im Prozess auftreten.

Dies ist besonders nützlich, wenn die Wiederherstellungslogik komplex wird.

Die Prüfung jedes möglichen Ausfalls an laufenden Produktionsanlagen kann unpraktisch oder unsicher sein.

Eine Simulationsumgebung bietet eine weitere Möglichkeit, das Verhalten vor der Inbetriebnahme zu validieren.

Abbildung 3. Digitale Simulationen können Ingenieuren helfen, Fehlerabläufe und Wiederherstellungslogik zu bewerten, bevor Änderungen die im Betrieb befindlichen Anlagen erreichen.

Edge-Intelligenz erweitert die lokale Entscheidungsfindung

Eine weitere Entwicklung ist die zunehmende Rechenleistung, die direkt an der Maschine verfügbar ist.

Traditionelle Steuerungsarchitekturen senden übergeordnete Analyseaufgaben häufig an zentralisierte Server.

Edge-Plattformen ermöglichen es, ausgewählte Diagnosen lokal auszuführen.

Dies kann für Anwendungen nützlich sein, bei denen Fehlerentscheidungen schnell getroffen werden müssen oder keine kontinuierliche Cloud-Verbindung vorausgesetzt werden kann.

Lokale Analysen können abnormale Muster erkennen und nur relevante Ereignisse an übergeordnete oder Unternehmenssysteme senden.

Die SPS führt weiterhin eine deterministische Steuerung aus.

Die Analyseschicht liefert zusätzliche Informationen, die Instandhaltungsentscheidungen oder vordefinierte Wiederherstellungslogik beeinflussen können.

Es ist wichtig, diese Funktionen klar voneinander zu trennen.

Die Maschinensteuerung sollte nicht von einem undurchsichtigen Analysemodell abhängig werden, dessen Verhalten nicht validiert werden kann.

Fragen, die Ingenieure beim Schaltschrankdesign stellen sollten

Ein fehlertoleranter Schaltschrank beginnt mit Designfragen und nicht mit einer Softwarefunktion.

Ingenieure sollten feststellen, ob einzelne Fehlerzonen innerhalb der elektrischen Architektur klar definiert sind.

Sie sollten erkennen, welche Fehler isoliert werden können, ohne die gesamte Maschine abzuschalten.

Geräte sollten ausreichendes Diagnosefeedback für die Instandhaltungsstrategie liefern.

Kritische Funktionen sollten daraufhin überprüft werden, ob Redundanz technisch und wirtschaftlich gerechtfertigt ist.

Das Entwicklungsteam sollte außerdem festlegen, welche Zustandsvariablen über einfache Betriebsstunden hinaus kontinuierlich überwacht werden müssen.

Ferndiagnosen können nützlich sein, doch Netzwerksicherheit und Betriebsberechtigungen müssen von Anfang an berücksichtigt werden.

Die Wiederherstellungslogik sollte außerdem anhand realistischer Ausfallszenarien und nicht nur anhand normaler Betriebsabläufe getestet werden.

Das Ziel ist kontrollierte Degradation, kein unzerstörbarer Schaltschrank

Industrielle Anlagen werden weiterhin ausfallen.

Komponenten altern. Verbindungen verschlechtern sich. Netzwerke verlieren die Kommunikation. Antriebe lösen aus. Netzteile erreichen das Ende ihrer Betriebslebensdauer.

Das technische Ziel ist daher kein unrealistischer Schaltschrank, der niemals ausfällt.

Ein besseres Ziel ist eine kontrollierte Degradation.

Das System sollte eine Verschlechterung möglichst früh erkennen.

Wenn ein Fehler auftritt, sollte seine Auswirkung, sofern es die Architektur erlaubt, begrenzt bleiben.

Bediener sollten aussagekräftige Diagnoseinformationen statt allgemeiner Alarme erhalten.

Kritische Prozesse sollten bei Bedarf auf technisch ausgelegte Backup-Funktionen umschalten.

Das Instandhaltungspersonal sollte anschließend genügend Informationen erhalten, um die betroffene Hardware ohne unnötige Fehlersuche zu reparieren.

Das ist die praktische Bedeutung eines selbstheilenden Schaltschranks.

Es repariert sich nicht selbst.

Es ist darauf ausgelegt, mehr über seinen eigenen Zustand zu erkennen, intelligent auf vorhersehbare Ausfälle zu reagieren und so viel sicheren Betrieb wie möglich aufrechtzuerhalten, bis die physische Reparatur durchgeführt werden kann.