Programmierung einer automatisierten Mischer-Zustandsmaschine in Kontaktplan (KOP)

Um eine automatisierte Mischer-Zustandsmaschine in Kontaktplan zu programmieren, sollten Ingenieure die Sequenz in sich gegenseitig ausschließende Zustände unterteilen und jeden Übergang mit expliziten Freigabebedingungen (Permissives) absichern. Dieser Artikel zeigt, wie man die Zustände Füllen, Mischen und Entleeren in der Mischer-Voreinstellung von OLLA Lab erstellt und diese vor der Inbetriebnahme gegen anormale Bedingungen validiert.

Eine Mischersequenz wird nicht dadurch sicherer, dass man mehr Kontakte hinzufügt. Sie wird sicherer, indem man die Absicht der Sequenz explizit macht. In der Chargensteuerung kann verschachtelte Boolesche Logik auf dem Bildschirm akzeptabel aussehen, sich aber während des Programmzyklus fehlerhaft verhalten – insbesondere wenn Sensoränderungen, asynchrone Rückmeldungen oder Neustartbedingungen in der falschen Reihenfolge eintreffen.

Interne Tests von Ampergon Vallis stützen diese Unterscheidung innerhalb dieses spezifischen Schulungskontexts. Während der Validierungstests der OLLA Lab Mischer-Voreinstellung im Jahr 2026 produzierten Anwender, die die Sequenz mit einem expliziten, ganzzahligen Zustandsmodell erstellten, 82 % weniger unbeabsichtigte Ventilüberschneidungsfehler als Anwender, die sich auf verschachtelte parallele Kontaktlogik verließen. Methodik: n=34 Lernversuche an derselben 3-Zustands-Mischeraufgabe; Basisvergleich = verschachtelte Boolesche Netzwerkarchitektur; Zeitfenster = Jan-Feb 2026. Dies unterstreicht den Wert eines isolierten Zustandsdesigns innerhalb dieser spezifischen Laboraufgabe. Es stellt keine universelle Fehlerrate für alle SPS-Projekte oder alle Ingenieure dar.

Der praktische Punkt ist einfach: Syntax ist nicht gleichbedeutend mit Einsatzbereitschaft. Ein Netzwerk kann kompilieren und dennoch strukturell falsch für einen Live-Prozess sein.

Verschachtelte Boolesche Sequenzierung scheitert, weil sie die gegenseitige Exklusivität zwischen Prozessphasen nicht erzwingt. Bei einem Chargenmischer besteht das Steuerungsproblem nicht nur darin, „wann soll dieser Ausgang eingeschaltet werden?“, sondern „in welcher Phase befindet sich der Prozess und welche Ausgänge sind in allen anderen Phasen verboten?“

ISA-88 bietet hier den richtigen konzeptionellen Rahmen. Der Standard trennt die prozedurale Steuerung in definierte Phasen und Zustände, anstatt die gesamte Charge als einen einzigen, wachsenden Block bedingter Logik zu behandeln (ANSI/ISA-88.01, 2010). Diese Unterscheidung ist wichtig, da Chargenanlagen von Natur aus sequenziell sind. Füllen, Mischen und Entleeren sind keine gleichrangigen Vorgänge. Es sind geordnete Phasen mit expliziten Eintritts- und Austrittsbedingungen.

Ein häufiges Anfängermuster ist die „Zwiebellogik“: Man legt so viele Kontakte um jeden Ausgang, bis er geschützt erscheint. Das Problem ist, dass Schutz durch Anhäufung nicht dasselbe ist wie Schutz durch Struktur. Wenn ein Endschalter prellt, eine Motorrückmeldung einen Zyklus verzögert oder ein Neustart nach einer Unterbrechung erfolgt, können mehrere Netzwerke kurzzeitig widersprüchliche Bedingungen erfüllen.

Die Gefahren von Nicht-Zustandslogik

- Unbeabsichtigte Überschneidung: Füll- und Entleerungsbefehle können gleichzeitig aktiviert werden, wenn Freigaben über separate Netzwerke verteilt sind, ohne eine zentrale steuernde Zustandsvariable. - Zyklus-Mehrdeutigkeit: SPS lösen Logik sequenziell nach Zyklus ab, nicht nach menschlicher Absicht. „Das sollte niemals passieren“ ist keine Steuerungsstrategie. - Schwierige Fehlersuche: Sequenzfehler sind schwer zu isolieren, da die aktive Prozessphase aus vielen Bedingungen abgeleitet statt explizit deklariert wird. - Schlechte Wiederherstellung nach Unterbrechung: Nach einem Not-Halt, Moduswechsel oder Neustart setzt verschachtelte Logik die Sequenz oft basierend auf Rohbedingungen fort, anstatt eine kontrollierte Zustandsrückkehr durchzuführen. - Schwache Behandlung anormaler Zustände: Fehler wie ein klemmender Füllstandsschalter oder eine ausgefallene Rührwerksrückmeldung können zu Oszillationen, wiederholten Übergängen oder ungültigen Ausgangskombinationen führen.

Der Irrglaube ist, dass mehr Verriegelungen automatisch mehr Sicherheit bedeuten. Manchmal bedeuten sie nur mehr Orte, an denen sich Fehler verstecken können.

Eine SPS-Zustandsmaschine ist eine Sequenzarchitektur, bei der ein deklarierter Zustand die aktuelle Betriebsphase repräsentiert und Übergänge nur dann erfolgen, wenn definierte Bedingungen erfüllt sind. In der Praxis bedeutet dies meist einen ganzzahligen Schrittwert oder ein One-Hot-Bitmuster, das jeweils nur eine aktive Phase zulässt.

Für diesen Mischeraufbau verwenden wir eine ganzzahlige Sequenzvariable:

• Zustand 10 = Füllen
• Zustand 20 = Mischen
• Zustand 30 = Entleeren

Dieser Ansatz ist mathematisch sauberer als verstreute Ausgangslogik, da jeder Befehl an einen aktiven Zustand gebunden werden kann. Wenn `Seq_Step = 20`, befindet sich der Mischer im Zustand Mischen. Nicht „irgendwie am Mischen, wenn drei andere Bedingungen wahr bleiben“. Einfach nur Mischen.

Operative Definition von „korrekt“ für diesen Mischer

Eine Mischer-Zustandsmaschine ist operativ korrekt, wenn sie alle folgenden beobachtbaren Verhaltensweisen zeigt:

• Es ist immer nur eine Prozessphase aktiv.
• Füll- und Entleerungsausgänge können nicht gleichzeitig befohlen werden.
• Das Mischen kann erst beginnen, wenn der Behälter die erforderliche Füllstandsbedingung erreicht hat.
• Das Entleeren kann erst beginnen, wenn das Mischintervall abgeschlossen ist.
• Eine anormale Sensoränderung in einem Zustand erzwingt keinen ungültigen Rücksprung, sofern dies nicht explizit so konzipiert wurde.
• Stopp- oder Fehlerbedingungen schalten Ausgänge deterministisch ab.

Das ist der Standard, den man in der Simulation verwenden sollte. „Der Kontaktplan sieht vernünftig aus“ ist kein technischer Abnahmetest.

Die drei Betriebszustände sind Füllen, Mischen und Entleeren. Jeder Zustand sollte einen klaren Zweck, einen begrenzten Ausgangssatz und explizite Übergangsfreigaben haben.

OLLA Lab Mischer E/A-Wörterbuch

Die folgende Zuordnung spiegelt die Logik für die OLLA Lab Mischer-Voreinstellung wider.

| Zustand | Phasenname | Primärer Befehlsausgang | Typische Eintrittsbedingung | Übergangsbedingung | |---|---|---|---|---| | 10 | Füllen | `Valve_Inlet_Cmd` | Startanforderung, Behälter nicht voll, Rührwerk aus | `Level_High_Sw = 1` | | 20 | Mischen | `Agitator_Cmd` | Behälter voll und Einlassventil zu | `Timer_Mix_Done.DN = 1` | | 30 | Entleeren | `Valve_Outlet_Cmd` | Mischen abgeschlossen und Rührwerk aus | `Level_Low_Sw = 1` oder Entleerungs-Ende |

### Zustand 10: Füllen

Zweck: Material in den Behälter geben, bis der Füllstand „Hoch“ erreicht ist.

Typische Freigaben:

• `Start_Cycle`
• `Level_Low_Sw`
• `Agitator_Off`
• Kein aktiver Fehler oder Stopp

Erwartetes Ausgangsverhalten:

• `Valve_Inlet_Cmd = 1`
• `Agitator_Cmd = 0`
• `Valve_Outlet_Cmd = 0`

### Zustand 20: Mischen

Zweck: Den gefüllten Behälter für ein definiertes Intervall rühren.

Typische Freigaben:

• `Level_High_Sw`
• Einlassventil bestätigt geschlossen
• Kein aktiver Fehler oder Stopp

Erwartetes Ausgangsverhalten:

• `Agitator_Cmd = 1`
• `Valve_Inlet_Cmd = 0`
• `Valve_Outlet_Cmd = 0`

### Zustand 30: Entleeren

Zweck: Den Behälter nach Abschluss des Mischens leeren.

Typische Freigaben:

• `Timer_Mix_Done.DN`
• `Agitator_Off`
• Kein aktiver Fehler oder Stopp

Erwartetes Ausgangsverhalten:

• `Valve_Outlet_Cmd = 1`
• `Valve_Inlet_Cmd = 0`
• `Agitator_Cmd = 0`

Explizite Zustandsübergänge werden programmiert, indem der aktuelle Schrittwert geprüft, die Übergangsfreigabe verifiziert und dann der nächste Schrittwert in das Sequenzregister geschrieben wird. Der entscheidende Punkt ist, dass das Übergangsnetzwerk sowohl beweisen muss, wo sich der Prozess gerade befindet, als auch, warum er sich weiterbewegen darf.

Ein einfaches Muster ist:

[Sprache: Kontaktplan]

// Übergang von Zustand 10 (Füllen) zu Zustand 20 (Mischen) |---[ EQU ]-------[ XIC ]-------[ XIO ]-----------------( MOV )---| | Quelle A: Level_High Agitator_Run Quelle: 20| | Seq_Step Feedback Ziel: | | Quelle B: 10 Seq_Step |

Dieses Netzwerk ist wichtig, weil `EQU Seq_Step 10` verhindert, dass der Übergang irgendwo anders als in der Füllphase ausgelöst wird. Ohne diese Prüfung kann eine zufällige „Wahr“-Bedingung den Prozess aus der Sequenz bringen. SPS sind auf eine leicht gefährliche Weise gehorsam.

### Schritt 1: Erstellen Sie das Sequenzregister

Erstellen Sie einen Integer-Tag wie:

• `Seq_Step`

Initialisieren Sie ihn mit einem Leerlaufwert oder direkt mit `10` beim Start des Zyklus, je nach Ihrer Steuerungsphilosophie.

Ein gängiges Muster ist:

• `0 = Leerlauf`
• `10 = Füllen`
• `20 = Mischen`
• `30 = Entleeren`

Die Schrittwerte in Zehnerschritten zu staffeln ist nicht zwingend, erleichtert aber spätere Änderungen.

### Schritt 2: Erstellen Sie zustandsgesteuerte Ausgangsnetzwerke

Jeder Ausgang sollte vom aktiven Zustand befohlen werden, nicht von einer losen Ansammlung von Bedingungen.

Beispiel für die Logikabsicht:

• Wenn `Seq_Step = 10`, Einlassventil befehlen.
• Wenn `Seq_Step = 20`, Rührwerk befehlen.
• Wenn `Seq_Step = 30`, Auslassventil befehlen.

Konzeptionell:

|---[ EQU Seq_Step 10 ]--------------------------------( Valve_Inlet_Cmd )---| |---[ EQU Seq_Step 20 ]--------------------------------( Agitator_Cmd )------| |---[ EQU Seq_Step 30 ]--------------------------------( Valve_Outlet_Cmd )--|

Fügen Sie dann bei Bedarf Freigabe- oder Fehler-Veto-Logik hinzu, aber behalten Sie die Zustandsdeklaration als primären Treiber bei.

### Schritt 3: Programmieren Sie den Übergang Füllen-zu-Mischen

Wechseln Sie nur von Füllen zu Mischen, wenn der Behälter den erforderlichen Füllstand erreicht hat und die Sequenz noch im Zustand 10 ist.

Typische Übergangsbedingungen:

• `Seq_Step = 10`
• `Level_High_Sw = 1`
• Optionale Bestätigung, dass kein inkompatibler Ausgang aktiv bleibt

Konzeptionell:

|---[ EQU Seq_Step 10 ]---[ XIC Level_High_Sw ]----------------( MOV 20 -> Seq_Step )---|

### Schritt 4: Programmieren Sie den Mischtimer und den Übergang Mischen-zu-Entleeren

Verwenden Sie einen Timer-Befehl während Zustand 20. Wenn der Timer abgelaufen ist, wechseln Sie zu Zustand 30.

Typische Logikstruktur:

|---[ EQU Seq_Step 20 ]--------------------------------( TON Timer_Mix )---|

|---[ EQU Seq_Step 20 ]---[ XIC Timer_Mix.DN ]---[ XIO Agitator_Run ]----( MOV 30 -> Seq_Step )---|

Ob Sie eine `Agitator_Run`-Rückmeldung als „Aus“ vor dem Entleeren benötigen, hängt davon ab, ob Sie zuerst den Stopp befehlen und den Stillstand bestätigen, bevor der Übergang erfolgt. Bei realen Anlagen ist diese Unterscheidung nicht dekorativ.

### Schritt 5: Programmieren Sie den Übergang Entleeren-Abschluss

Der Abschluss des Entleerens kann die Sequenz in den Leerlauf oder in einen Bereitschaftszustand zurückführen.

Typische Übergangsbedingungen:

• `Seq_Step = 30`
• `Level_Low_Sw = 1` oder Bestätigung „Behälter leer“

Konzeptionell:

|---[ EQU Seq_Step 30 ]---[ XIC Level_Low_Sw ]----------------( MOV 0 -> Seq_Step )---|

### Schritt 6: Fügen Sie Stopp- und Fehlerbehandlung außerhalb der normalen Progression hinzu

Fehler sollten nicht als gewöhnliche Übergänge behandelt werden. Sie sollten die Sequenzprogression auf kontrollierte Weise unterbrechen oder überschreiben.

Typische Fehler- oder Stoppaktionen umfassen:

• Abschalten der befohlenen Ausgänge
• Einfrieren des aktuellen Schritts zur Diagnose oder Wechsel in einen dedizierten Fehlerzustand
• Erfordernis einer Bediener-Quittierung vor dem Neustart
• Protokollierung, welche Freigabe fehlte oder welche anormale Bedingung auftrat

Ein Fehlerzustand ist oft sauberer, als zu versuchen, durch bloße Ausgangsverriegelungen in ein sicheres Verhalten zu „fallen“.

OLLA Lab ist hier nützlich, da es Ihnen ermöglicht, die Sequenz zu erstellen, in der Simulation auszuführen, Variablen zu inspizieren und den Zustand des Kontaktplans gegen das simulierte Anlagenverhalten in einer Umgebung zu vergleichen. Das ist der begrenzte Wert: nicht Beschäftigungsfähigkeit durch Osmose, sondern wiederholbares Üben von risikoreichen Validierungsaufgaben.

Arbeitsablauf im Kontaktplan-Editor von OLLA Lab

Verwenden Sie den geführten Arbeitsablauf in dieser Reihenfolge:

2. Definieren Sie die Kern-Tags:

• `Seq_Step`
• `Start_Cycle`
• `Level_High_Sw`
• `Level_Low_Sw`
• `Valve_Inlet_Cmd`
• `Agitator_Cmd`
• `Valve_Outlet_Cmd`
• `Timer_Mix`

1. Erstellen Sie ein neues Projekt oder öffnen Sie die Mischer-Voreinstellung.
2. Bauen Sie die Ausgangsnetzwerke basierend auf `Seq_Step`.
3. Bauen Sie Übergangsnetzwerke mit `EQU` und `MOV`.
4. Fügen Sie Timer-Logik für Zustand 20 hinzu.
5. Fügen Sie Stopp-, Reset- und Fehlerverhalten hinzu.
6. Starten Sie die Simulation und beobachten Sie die Tag-Änderungen Zyklus für Zyklus.

Was im Variablen-Panel zu beachten ist

Das Variablen-Panel ist der Ort, an dem die Sequenz testbar statt nur lesbar wird. Überwachen Sie:

• Aktuellen `Seq_Step`
• Eingangs-Schalterzustände
• Ausgangsbefehlszustände
• Timer-Akkumulations- und Done-Bits
• Alle analogen oder Status-Tags, die mit der Mischer-Voreinstellung verknüpft sind
• Simulierte Anlagenreaktion in der 3D-Ansicht

Die ingenieurtechnische Frage ist immer dieselbe: Stimmt der Zustand des Kontaktplans mit dem Zustand der Anlage überein? Wenn die Antwort „größtenteils“ lautet, testen Sie weiter.

OLLA Lab hilft bei der Validierung des Verhaltens der Zustandsmaschine, indem es Ingenieuren eine deterministische Umgebung bietet, um Zustandsübergänge zu beobachten, anormale Eingaben zu erzwingen und zu verifizieren, dass die Sequenz keine verbotenen Kombinationen eingeht. In diesem Kontext bedeutet „simulationsbereit“, in der Lage zu sein, Steuerungslogik gegen realistisches Prozessverhalten zu beweisen, zu beobachten, zu diagnostizieren und zu härten, bevor sie einen Live-Prozess erreicht.

Dies ist wichtig, da das Inbetriebnahmerisiko in den Randfällen liegt, nicht im Idealfall. Die meisten schlechten Sequenzen sehen gut aus, bis der falsche Sensor zur falschen Zeit schaltet.

Verwendung des Variablen-Panels zur Fehlerinjektion

Verwenden Sie den Simulationsmodus, um Fehler zu injizieren und zu testen, ob die Zustandsmaschine strukturell korrekt bleibt.

Empfohlene Fehlertests für den Mischer:

- Erwartetes Ergebnis: Der Prozess muss im Entleeren oder in der Fehlerlogik bleiben; er darf nicht zurück zum Mischen springen.

• Klemmender Füllstandsschalter „Hoch“ während des Entleerens
• Erzwingen Sie `Level_High_Sw = 1`, während `Seq_Step = 30`

- Erwartetes Ergebnis: Es darf kein ungültiger Entleerungsbefehl erfolgen.

• Vorzeitiger Füllstandsschalter „Niedrig“ während des Füllens
• Schalten Sie `Level_Low_Sw` unerwartet während Zustand 10

- Erwartetes Ergebnis: Der Übergang zum Entleeren sollte je nach Design blockiert oder als Fehler markiert werden.

• Rührwerksrückmeldungs-Fehlanpassung
• Befehlen Sie das Mischen, simulieren Sie aber eine fehlende Rückmeldung

- Erwartetes Ergebnis: Ausgänge schalten deterministisch ab und das Neustartverhalten folgt der definierten Wiederherstellungslogik.

• Unterbrochener Zyklus
• Wenden Sie Stopp oder Reset mitten in der Charge an

Diese Tests sind keine akademischen Extras. Sie sind der Unterschied zwischen Sequenzvalidierung und Sequenzoptimismus.

Was digitale Zwilling-Validierung hier bedeutet

Digitale Zwilling-Validierung bedeutet in diesem begrenzten Kontext, die Kontaktplan-Logik gegen ein realistisches Maschinenmodell zu testen, damit der Ingenieur den beabsichtigten Sequenzzustand mit dem beobachteten Anlagenverhalten vergleichen kann, bevor physische Anlagen berührt werden. Es bedeutet nicht formale Anlagenabnahme, SIL-Zertifizierung oder den Nachweis der Standortbereitschaft an sich.

Diese Unterscheidung ist wichtig. Ein Simulator kann Logikfehler frühzeitig aufdecken. Er kann keine anlagenspezifische Gefahrenanalyse, Inbetriebnahmerichtlinien oder das Änderungsmanagement ersetzen.

Ein nützliches Portfolio-Artefakt ist ein kompakter Satz technischer Nachweise, keine Screenshot-Galerie. Das Ziel ist zu zeigen, dass Sie Korrektheit definieren, anormale Bedingungen testen, Logik überarbeiten und erklären können, warum die Überarbeitung wichtig ist.

Verwenden Sie genau diese Struktur:

Geben Sie die Akzeptanzkriterien an: eine aktive Phase zur Zeit, keine Ventilüberschneidung, zeitgesteuertes Mischen, deterministisches Stoppverhalten und gültiger Abschluss des Entleerens.

Erklären Sie die Logikänderung: hinzugefügte Freigabe, Fehler-Latch, Übergangs-Veto oder Wiederherstellungszustand.

1. Systembeschreibung Definieren Sie den Mischerprozess, E/A, Sequenzphasen und das Betriebsziel.
2. Operative Definition von „korrekt“
3. Kontaktplan-Logik und simulierter Anlagenzustand Zeigen Sie das Sequenzregister, die Übergangsnetzwerke und das entsprechende simulierte Mischerverhalten.
4. Der injizierte Fehlerfall Dokumentieren Sie eine anormale Bedingung wie einen klemmenden Füllstandsschalter, fehlende Rührwerksrückmeldung oder einen unterbrochenen Zyklus.
5. Die vorgenommene Überarbeitung
6. Gelernte Lektionen Geben Sie an, was der Fehler über das Sequenzdesign, das Zyklusverhalten oder Neustartannahmen offenbart hat.

Diese Art von Nachweis ist glaubwürdiger als „hier ist mein Kontaktplan-Bildschirm“. Die nützliche Frage ist, ob die Logik den Kontakt mit dem Prozessverhalten überlebt.

Dieser Aufbau passt zu ISA-88, da er prozedurale Phasen in explizite Sequenzzustände trennt und Anlagenaktionen an diese Zustände bindet, anstatt den Prozess in undifferenzierter Boolescher Logik zu vergraben. Das ist kein vollständiges Chargenrezeptmanagement, folgt aber derselben Disziplin: Phasenklarheit, Übergangsbedingungen und kontrollierte Ausführung.

Es passt auch zu allgemeineren Inbetriebnahme- und Sicherheitspraktiken auf begrenzte, aber sinnvolle Weise:

- IEC 61508-Denken: Deterministisches Verhalten und definierte Fehlerreaktionen sind grundlegend für ein sicheres Steuerungssystemdesign, auch wenn dieser Artikel keinen formalen Anspruch auf funktionale Sicherheit erhebt. - Literatur zur digitalen Inbetriebnahme: Simulation und virtuelle Inbetriebnahme sind weithin als nützlich für die frühzeitige Fehlererkennung, Sequenzvalidierung und ein reduziertes physisches Inbetriebnahmerisiko anerkannt. - Realität menschlicher Faktoren: Ingenieure lernen die Robustheit von Sequenzen oft schneller, wenn sie Ursache und Wirkung direkt beobachten und anormale Bedingungen ohne Konsequenzen für die Anlage testen können.

Die begrenzte Schlussfolgerung ist einfach. Eine Zustandsmaschine macht einen Prozess nicht von sich aus sicher. Sie gibt dem Prozess eine Struktur, die getestet, überprüft und gehärtet werden kann. Das ist ein besserer Ausgangspunkt als Zwiebellogik und Daumendrücken.

Bildkonzept: Geteilte Ansicht des OLLA Lab Kontaktplan-Editors und des digitalen Zwillings des Mischers. Die linke Seite zeigt den `MOV`-Befehl, der `Seq_Step` von 10 auf 20 ändert. Die rechte Seite zeigt den Behälter, der den vollen Füllstand erreicht und in die Mischphase eintritt.

Alt-Text: Screenshot der OLLA Lab-Oberfläche, die einen Kontaktplan-Zustandsübergang mittels eines MOV-Befehls anzeigt, neben dem 3D-Mischer-Zwilling, der die aktive Füllphase zeigt, ausgelöst durch Zustand 10.

- ANSI/ISA-88.01 Chargensteuerung Modell und Terminologie - IEC 61131-3: Speicherprogrammierbare Steuerungen — Teil 3: Programmiersprachen - IEC 61508 Übersicht funktionale Sicherheit - Digital Twin in Manufacturing review (IFAC-PapersOnLine) - Virtual commissioning review (Procedia Manufacturing)