Auslösendes Ereignis bei einer "verhindernden" Sicherheitsfunktion

C

Cheese

Level-1
Beiträge
3
Reaktionspunkte
0
Zuviel Werbung?
-> Hier kostenlos registrieren
Hallo an Alle,

ich möchte gerne beispielhaft eine Sicherheitsfunktion in SISTEMA spezifizieren, für die es meiner Meinung nach kein "auslösendes Ereigniss" gibt. Es geht dabei um folgende Sicherheitsfunktionen nach IFA Report 2/2017 - Funktionale Sicherheit von Maschinensteuerungen - Schaltungsbeispiele für SRP/CS - 8.2.16 Erdbaumaschinensteuerung mit Bussystem – Kategorie 2 bzw. 3 – PL d (Beispiel 16)
  1. Verhinderung der Anwahl einer fehlerhaften Bewegungsrichtung der Arbeitsgeräte der Erdbaumaschine (wird in dem Beispiel ausgeschlossen, aber mich interessiert sie)

Was ist bei einer solchen Sicherheitsfunktion das auslösende Ereignis?

Meine Überlegungen:
  • Nur das Anwählen der Vorwärts- oder Rückwärtsbewegungsrichtung kann es nicht sein, da auch wenn keine Bewegungsrichtung ausgewählt wurde eine fehlerhafte Bewegungsrichtung verhindert werden soll.
  • Im Prinzip muss, sobald die Erdbaumaschine in Betrieb genommen wird, immer verhindert werden, dass eine fehlerhafte Bewegungsrichtung ausgewählt wird. Ist das also das auslösende Ereignis?


Gruß

Chester
 
hab mir das Beispiel jetzt nicht genauer angesehen, aber ist das auslösende Ereignis nicht zum Beispiel "Drahtbruch"oder z.B. "ein defektes Ventil". es wird aufgrund dieser Fehler eine falsche Bewegung ausgeführt.
 
Zuviel Werbung?
-> Hier kostenlos registrieren
Ja, ich sehe das auch wie wie stevenn.
Du musst quasi sicherstellen, dass beispielsweise bei Drahtbruch eines Sensors dies erkannt wird. Dieser Drahtbruch darf dann nicht dazu führen, dass dein Bagger zB den Arm senkt, ohne das du es willst/steuerst. Genauso wäre das mit dem Steuerventil. Wenn du da einen Kurzschluss zB hast, muss eine Fehlbewegung verhindert werden. Also vom Prinzip her dann NotHalt.
 
Hallo an Alle,

schonmal vielen Dank für die Anmerkungen! Nach reiflicher Überlegung bin ich anderer Auffassung.

Meiner Meinung nach handelt es sich bei meinem Beispiel um die Situation, dass Betriebs- und Sicherheitsfunktion identisch sind. Dies ist laut ISO 13849 auch zulässig. Ich vergleiche mein Beispiel einmal mit einem einfacheren Beispiel, welches auch in der ISO 13849 kurz erwähnt wird (siehe fett markierte Betriebs-/Sicherheitsfunktion in nachfolgender Anmerkung aus der ISO):


  • Betriebsfunktion (z. B. Start, normaler Stopp) können auch Sicherheitsfunktionen sein, aber dies kann erst nach einer vollständigen Risikobeurteilung an der Maschine ermittelt werden.

Ich nehme jetzt an aus der Risikobeurteilung wird abgeleitet, dass die Betriebsfunktion des Startens der Maschine eine Sicherheitsfunktion mit einem bestimmten PLr sein muss. Jetzt versuche ich für diese Sicherheitsfunktion das auslösende Ereignis, die sicherheitsgerichtete Reaktion und das Maschinenteil zu bestimmen unter der Annahme, dass ein drehendes Sägeblatt die Gefährdung verursacht.

[TABLE="class: grid, width: 500"]
[TR]
[TD]Auslösendes Ereignis
[/TD]
[TD]Betätigung des Startknopfes[/TD]
[/TR]
[TR]
[TD]Sicherheitsgerichtete Reaktion[/TD]
[TD]Angeforderter Start[/TD]
[/TR]
[TR]
[TD]Gefahrbringendes Maschinenteil[/TD]
[TD]Drehendes Sägeblatt[/TD]
[/TR]
[/TABLE]

Falls ich Eure Einschätzung richtig interpretiere, müsste auch hier das auslösende Ereignis ein Fehler sein wie z.B. ein Drahtbruch. Meiner Meining nach kann man aber auf dieser Ebene überhaubt noch nicht wissen, ob man überhaupt Fehler erkennen kann. Bei einer Kategorie B oder 1 kann z.B. kein Fehler erkannt werden und die Sicherheitsfunktion würde dann nie ausgeführt.

Meiner Meinung nach ist deswegen die "Betätigung des Startknopfes" das auszulösende Ereignis was dazu führt, dass die Sicherheitsfunktion (und in diesem Fall auch die Betriebsfunktion) ausgeführt wird.

Wie seht Ihr das?


Viele Grüße

Chester
 
Zuletzt bearbeitet:
Moin moin

meine Meinung:

also das aulösende Ereignis für deine Sicherheitsfunktion ist zB Folgende:
Dein Sägeblatt ist hinter einer Schutztür. Diese Schutztür wird mit sicheren Türkontakten überwacht. Die auslösende Funktion ist nicht das Drücken des Start-Knopfes, sondern das Öffnen der Schutztür, denn dadurch wird die Situation erst gefährlich.
Die sichere Funktion ist das sichere Abschalten, wenn Tür geöffnet wird. Dies muss auch innerhalb bestimmter Parameter erfolgen. Ausserdem muss ein ungewolltes Wiederanlaufen verhindert werden.
Vorkommnisse wie Drahtbruch, Kurzschluss sind Fehler, die du erkennen musst, bzw. deine sichere Auswertung. Du musst dabei sicherstellen, dass diese Fehler erstens generell und zweitens rechtzeitig erkannt werden. Durch diese Fehler darf deine Sicherheit nicht leiden. Zum Beispiel du hast einen Drahtbruch im sicheren Türkontakt, dass heist, das die Maschine sofort sicher abschalten muss, weil du deine Tür nicht mehr sicher überwachen kannst. Andere Fehler, wie zum Beispiel klebende Schütze solltest du beim nächsten Start erkennen können. Also je nach gefordertem PLr.

p.s.
Der Start kann eine Sicherheitsfunktion auslösen in dem Fall, wo zB eine Interaktion zwischen Mensch und Roboter erfolgt. In diesem Falle gibt es zB Safe Limited Speed oder Safe Limited Position, bei dem zweiten weis ich grad nicht wie es genau heist, aber der Roboter darf nur in Bestimmten örtlichen Grenzen agieren.
 
Zuletzt bearbeitet:
Zuviel Werbung?
-> Hier kostenlos registrieren
Hallo Credofire,

also das aulösende Ereignis für deine Sicherheitsfunktion ist zB Folgende:
Dein Sägeblatt ist hinter einer Schutztür. Diese Schutztür wird mit sicheren Türkontakten überwacht. Die auslösende Funktion ist nicht das Drücken des Start-Knopfes, sondern das Öffnen der Schutztür, denn dadurch wird die Situation erst gefährlich.
Zum Vergrößern anklicken....

Dann hätte die Risikobeurteilung aber ergeben müssen, dass eine Schutztür notwendig ist. Das ist in diesem Beispiel gerade nicht der Fall. Die Risikoberurteilung kommt zu dem Ergebnis, dass ein (z.B. weit genug entfernter) Startknopf ausreicht. Ich würde das mit einer Zweihandschaltung mit nur einem Taster vergleichen.

Vorkommnisse wie Drahtbruch, Kurzschluss sind Fehler, die du erkennen musst, bzw. deine sichere Auswertung. Du musst dabei sicherstellen, dass diese Fehler erstens generell und zweitens rechtzeitig erkannt werden. Durch diese Fehler darf deine Sicherheit nicht leiden. Zum Beispiel du hast einen Drahtbruch im sicheren Türkontakt, dass heist, das die Maschine sofort sicher abschalten muss, weil du deine Tür nicht mehr sicher überwachen kannst. Andere Fehler, wie zum Beispiel klebende Schütze solltest du beim nächsten Start erkennen können. Also je nach gefordertem PLr.
Zum Vergrößern anklicken....

Meiner Meinung nach kann man das nicht so pauschal vorgeben. Nehmen wir an der PLr aus der Risikobeurteilung ist c. Dann kann ich das auch über eine Kategorie 1 ohne jegliche Fehlererkennung machen. Hier kann ich bei einem erkannten Fehler gar nicht aktiv abschalten, weil der einzige Kanal brach liegt.

Oder der PLr ist b. Dann wäre sogar eine Kategorie B möglich, wo die Anforderungen noch niedriger sind.

p.s.
Der Start kann eine Sicherheitsfunktion auslösen in dem Fall, wo zB eine Interaktion zwischen Mensch und Roboter erfolgt. In diesem Falle gibt es zB Safe Limited Speed oder Safe Limited Position, bei dem zweiten weis ich grad nicht wie es genau heist, aber der Roboter darf nur in Bestimmten örtlichen Grenzen agieren.
Zum Vergrößern anklicken....

In meinem Beispiel ist meiner Meinung nach aber gerade die Betriebsfunktion die Sicherheitsfunktion, d.h. es wird jeder Start nur dann ausgeführt, wenn der Bediener es möchte. Es gib des Weiteren keine weiteren Einschränkungen wie sichere Geschwindigkeit oder Ähnliches.


Viele Grüße

Chester
 
Cheese schrieb:
Hallo an Alle,

schonmal vielen Dank für die Anmerkungen! Nach reiflicher Überlegung bin ich anderer Auffassung.

Meiner Meinung nach handelt es sich bei meinem Beispiel um die Situation, dass Betriebs- und Sicherheitsfunktion identisch sind. Dies ist laut ISO 13849 auch zulässig. Ich vergleiche mein Beispiel einmal mit einem einfacheren Beispiel, welches auch in der ISO 13849 kurz erwähnt wird (siehe fett markierte Betriebs-/Sicherheitsfunktion in nachfolgender Anmerkung aus der ISO):


  • Betriebsfunktion (z. B. Start, normaler Stopp) können auch Sicherheitsfunktionen sein, aber dies kann erst nach einer vollständigen Risikobeurteilung an der Maschine ermittelt werden.

Ich nehme jetzt an aus der Risikobeurteilung wird abgeleitet, dass die Betriebsfunktion des Startens der Maschine eine Sicherheitsfunktion mit einem bestimmten PLr sein muss. Jetzt versuche ich für diese Sicherheitsfunktion das auslösende Ereignis, die sicherheitsgerichtete Reaktion und das Maschinenteil zu bestimmen unter der Annahme, dass ein drehendes Sägeblatt die Gefährdung verursacht.

[TABLE="class: grid, width: 500"]
[TR]
[TD]Auslösendes Ereignis
[/TD]
[TD]Betätigung des Startknopfes[/TD]
[/TR]
[TR]
[TD]Sicherheitsgerichtete Reaktion[/TD]
[TD]Angeforderter Start[/TD]
[/TR]
[TR]
[TD]Gefahrbringendes Maschinenteil[/TD]
[TD]Drehendes Sägeblatt[/TD]
[/TR]
[/TABLE]

Falls ich Eure Einschätzung richtig interpretiere, müsste auch hier das auslösende Ereignis ein Fehler sein wie z.B. ein Drahtbruch. Meiner Meining nach kann man aber auf dieser Ebene überhaubt noch nicht wissen, ob man überhaupt Fehler erkennen kann. Bei einer Kategorie B oder 1 kann z.B. kein Fehler erkannt werden und die Sicherheitsfunktion würde dann nie ausgeführt.

Meiner Meinung nach ist deswegen die "Betätigung des Startknopfes" das auszulösende Ereignis was dazu führt, dass die Sicherheitsfunktion (und in diesem Fall auch die Betriebsfunktion) ausgeführt wird.

Wie seht Ihr das?
Zum Vergrößern anklicken....
dort steht doch, "Betriebsfunktion (z.B. Start, normaler Stopp) können auch Sicherheitsfunktionen sein, ..."
worauf willst du denn hinaus? mach dir in erster Linie über das auslösende Ereignis nicht so viele Gedanken.
du willst verhindern,
das das Sägeblatt unvorhergesehen anläuft. wie groß ist die Gefahr-> sehr groß (schwere der Verletzung, wahrscheinlichkeit,wie oft im Gefahrenbereich,...), dementsprechend muss dies verhindert werden. Was startet das Sägeblatt nun unvorhergesehen? ein Kurzschluss oder Drahtbruch, je nachdem. deswegen muss die Ansteuerung unter umständen dann zweikanalig sein

das Starten als auslösendes Ereignis anzusehen, macht Sinn, wenn ich z.B. sage die Gefahr ist im Normalbetrieb auch so hoch, so dass ich eine Abdeckung oder Türe etc. benötige.
Es kann viele auslösende Ereignisse für den selben Gefahrenort geben
 
Zuletzt bearbeitet:
Zurück
Oben