Automatisierungslösungen kommen nicht immer von der Stange. Vor allem dann, wenn die Anforderungen an Sicherheit und Verfügbarkeit hoch sind, gilt es, die Automatisierungstechnik auf die jeweilige Anwendung abzustimmen.

Hier können erfahrene Systemintegratoren helfen. Sie analysieren das Sicherheitskonzept des Kunden, beraten herstellerunabhängig, was sich sinnvoll einsetzen lässt, konzipieren eine applikationsspezifische Lösung und kümmern sich schluss­endlich auch um Inbetriebnahme, Mitarbeiterschulung sowie den späteren Service. Das funktioniert auch in außergewöhnlichen Applikationen, z. B. bei dem neuen Prüfstand für die Tests der kryogenen Oberstufen der Ariane 6, der Anfang 2019 eingeweiht wurde.
Mit der Trägerraketenfamilie Ariane ist Europa in der Lage, eigenständig Satelliten für die verschiedensten Anwendungen in die Umlaufbahn zu bringen und sichert sich so einen wettbewerbsfähigen und unabhängigen Zugang zum Weltraum. Die zukünftige europäische Trägerrakete Ariane 6 soll im Jahr 2020 zum ersten Mal ins All starten. Damit sie alle Nutzlasten sicher auf ihre Umlaufbahnen bringen kann, muss zuvor die neue Oberstufe für den neuen Träger ausführlich geprüft werden. Für den Test der Oberstufe der Trägerrakete feierte das Deutsche Zentrum für Luft- und Raumfahrt (DLR) im Februar 2019 am Standort Lampoldshausen in der Nähe von Heilbronn die Einweihung des neuen ESA-Prüfstands P5.2. Hier kann jetzt die kryogene Oberstufe, das sogenannte „Upper Liquid Propulsion Module“ (ULPM) mit Vinci-Triebwerk im laufenden Betrieb getestet werden.

Kontrolliertes Herunterfahren der Prüfanlage
Die Prüfungen umfassen den Betrieb des gesamten Systems (Tanks, Treibstoffe, Heißlauf des Triebwerks) und dauern damit mehrere Stunden. Das erfordert umfangreiche Sicherheitsmaßnahmen, um die Arbeitssicherheit zu gewährleisten, aber auch um Sachschäden an der Oberstufe oder dem Prüfstand selbst zu verhindern. Immerhin werden große Mengen flüssiger Sauerstoff und flüssiger Wasserstoff in die Treibstofftanks der Oberstufe gefüllt und diese dann im Vinci-Triebwerk verbrannt. Daraus kann sich eine explosive Mischung ergeben, falls etwas schiefgeht. Bei einem Fehler im Testablauf muss deshalb die Anlage auch bei einem Ausfall des Steuerrechners in genau festgelegten Sequenzen gezielt heruntergefahren werden können. Die Abfolge der einzelnen Schritte hängt dann bspw. davon ab, wann in der Testphase ein Problem auftritt, also z. B. vor oder nach dem Zünden des Triebwerks.
Der Steuerungsspezialist HIMA hat sich dieser Herausforderung gestellt und eine maßgeschneiderte Lösung für das Sicherheitskonzept des DLR erstellt, die im Falle des Ausfalls des Steuerungsrechners greift. Für die Realisierung holte sich Hima dann Process Automation Solutions (PA) ins Boot, die das komplexe Projekt dann in Eigenverantwortung und in recht kurzer Zeit abwickelten. Von der Auftragsvergabe bis zur Inbetriebnahme des Sicherheitssystems vergingen nur etwa 23 Monate und das, obwohl die Anlage im Design immer wieder an die Oberstufe angepasst werden musste.

Höchste Anforderungen an Sicherheit und Verfügbarkeit
Herzstück der Sicherheitslösung zum kontrollierten Herunterfahren des Prüfstands im Fehlerfall des Steuerungsrechners ist eine Himax-Sicherheitssteuerung, die sich einfach an unterschiedliche Redundanzanforderungen anpassen lässt. Wenn sich die Anforderungen verändern, z. B. weil auf dem Prüfstand zukünftig auch andere Triebwerke und Antriebsstufen getestet werden sollten, lässt sich das Safety-System durch seinen modularen Aufbau flexibel und in kurzer Zeit anpassen. Jedes Modul inklusive der Stromversorgung ist in sich geschlossen, kann also problemlos ausgetauscht oder nachgerüstet werden. Nach einem Wechsel oder einer Erweiterung wird die neue Hardware automatisch erkannt. Feldkabel müssen nicht gelöst werden, es sind kein zusätzlicher Planungsaufwand und keine Neuprogrammierung notwendig.
Da auf dem Raketenprüfstand höchste Anforderungen an die Verfügbarkeit gelten, ist die Visualisierung und Bedienung des Sicherheitskonzepts eher ungewöhnlich, zumindest auf den ersten Blick. Da PC-Technik mit den Verfügbarkeitsanforderungen im Betrieb der DLR nicht kompatibel ist, setzte PA in diesem Fall auf ein Manual Switching Panel in klassischer Mosaikbauweise. Die Lösung für insgesamt 1.000 Ein-/Ausgänge ist zwar relativ aufwändig, dafür aber extrem robust und obendrein auch in ihrer Übersichtlichkeit nicht zu überbieten, denn alle sicherheitskritischen Elemente sind immer auf einen Blick zu sehen. Ändern sich die Anforderungen an die Funktionen, kann das Mosaik flexibel sowohl elektrisch als auch mechanisch angepasst werden.

Anbindung an die Leitstelle und Dokumentation
Komplettiert wird dieser Teil des Sicherheitskonzepts für den Prüfstand P5.2 von einem zentralen Visualisierungssystem in der Leitstelle des Prüfstands, damit die Mitarbeiter auch dort das Safety-System im Blick haben. Da diese Anzeige nicht sicherheitsrelevant ist, kann hier die industrieübliche PC-Technik verwendet werden. Das gleiche gilt auch für die Dokumentation aller Daten, die das Sicherheitssystem liefert. Auch hierfür wurde eine PC-gestützte Lösung realisiert.