Not Halt abkoppelbar, sichere Erkennung von Safety EP Box

blimaa

Level-3
Beiträge
1.117
Reaktionspunkte
127
Zuviel Werbung?
-> Hier kostenlos registrieren
Hi
Eine Safety Input EP Box soll an eine Maschine angeschlossen werden und auch wieder abgesteckt werden. Auf der Safety EP Box hat es ein Not-Halt.
Wie erkenne ich nun sicher, ob die Box angeschlossen ist oder nicht? Das An- und Abkoppeln geschieht Stromlos, die CPU läuft nicht.
Vorteilshaft sollte der Not-Halt ja noch beleuchtet sein, bei Eingesteckt und abgelöscht, wenn ausgesteckt ist. Von Pilz gibt es den "PITestop active"welcher leuchtet, wenn er angeschlossen ist. Gibt es da auch was von Siemens? Sonst müsste ich ja schon fast die LED von einem Safety Ausgang ansteuern :eek:
Also als erster Schritt:
- Wie kann ich Safe eine EP1908-0002 erkennen?

Gruss blimaa
 
Vorteilshaft sollte der Not-Halt ja noch beleuchtet sein, bei Eingesteckt und abgelöscht, wenn ausgesteckt ist. Von Pilz gibt es den "PITestop active"welcher leuchtet, wenn er angeschlossen ist. Gibt es da auch was von Siemens? Sonst müsste ich ja schon fast die LED von einem Safety Ausgang ansteuern :eek:
Zu deinem Beckhoff-Problem kann ich nichts beitragen, aber du musst einen deaktivierbaren Not-Halt anders ausführen als einen "normalen" Not-Halt. Früher wurden dafür graue Not-Halt verwendet, dann kam eine Beleuchtung hinzu und jetzt sind Lösungen wie Pilz aktuell.
Von Siemens gibt es beleuchtbare Not-Halt.
 
MUSS er denn beleuchtbar sein? Bei Kuka Roboter Bedienteil steht doch einfach in der Betriebsanleitung, dass das Gerät in den Kasten versorgt werden muss, resp. die Halterung hat doch ein Blech über den Not-Halt, damit ein Not-Halt von einem abgestecktes Panel nicht betätigt werden kann (oder war früher jedenfalls so).
Aber eben, das erste wäre die sichere Erkennung ob die EP Box eingesteckt ist oder nicht.
 
Wenn ich es richtig im Kopf hab, dann ist in der 13850 ? eine "nur" eindeutige Erkennbarkeit gefordert, dass ein Not-Halt aktiv ist.
Wenn er abgedeckt ist (Kuka), ist das auch zulässig. Du kannst auch einen grauen Not-Halt-Schalter verwenden, dann darf er aber nicht als Not-Halt gekennzeichnet werden. Und dann gibt's halt die Lösung, dass Not-Halt, wenn sie aktiv sind, Rot-Gelb leuchten (Pilz).

Vielleicht kann da @marcusscholle mal mehr dazu sagen. Er kennt die Normen deutlich besser als ich.
 
Zuviel Werbung?
-> Hier kostenlos registrieren
Also, wir haben hier ja zwei Punkte, wenn ich das richtig verstehe @blimaa :
  1. Das "Ignorieren" einer abgesteckten EP1908-0002 (quasi ja sichere M12-Verteilerbox).
  2. Die Sache wie wir mit einem dort angeschlossenem Not-Halt umgehen sollen.

Punkt 1 handele ich hier mal recht schnell ab: Das geht schon, man muss sich das nur bei einem Siemens Mobile-F-Panel anschauen. Ich habe leider keine direkte Erfahrung mit Beckhoff in dieser Art von Anwendung, aber das Panel bei Siemens macht das grob so (das geht auch bei eingeschalteter Maschine/Steuerung):
  1. Anmeldung der Entfernung des Panels am Panel selbst
  2. Beleuchteter Not-Halt im Panel (komme ich gleich dazu) geht aus
  3. Panel kann abgezogen werden, ohne dass Not-Halt ausgelöst wird (wenn man's richtig gemacht hat).
Das ist schon auch einfacher geschrieben als getan, natürlich. Bei Siemens gehört dazu auch die Nutzung von entsprechenden Programmbausteinen in der Safety (2, die zusammengeschalten werden müssen). Ich sehe jetzt grundsätzlich keinen Grund, warum das bei Beckhoff nicht funktionieren sollte.

PS: Ironischerweise ist das Verfahren im eingeschalteten Zustand sogar einfacher. Da erkennt man nämlich, dass die Kommunikation noch läuft. Wenn dann im gleichen Zyklus sowohl die Kommunikation als auch die Eingangssignale eine fallende Flanke haben, kann das die Diagnose verbessern. Gehört aber (natürlich) noch mehr dazu. Sofern auf der Box aber sicherheitsrelevant "nur" der Not-Halt sitzt, kann ich mir das halbwegs vorstellen (keine klassische Schutzmaßnahme).

Punkt 2 zur Beleuchtung ist etwas schwieriger. ISO 13850:2015 gibt in 4.3.8 ja drei Möglichkeiten:
  • Veränderung der Farbe
  • Abdeckung, wobei hier eigentlich eine "automatische" bevorzugt wird, in der Praxis aber dann gerne auf das "wo nicht sinnvoll anwendbar, darf eine manuell betätigte Abdeckung genutzt werden" zurückgegriffen wird
  • Vorkehrung zur angemessenen Lagerung
Ich habe alle drei schon gesehen, ich persönlich finde aber nur Variante 1 als wirklich tauglich. Die anderen beiden sing grundsätzlich erst einmal organisatorische Maßnahmen, wenn wir ehrlich sind (automatisch Abdeckung vllt. mal außen vor) und die erste könnte eine technische sein. Das passt nicht so ganz mit dem 3-Stufen-Prozess der ISO 12100 zusammen.

Die ISO 13850:2015 befindet sich aktuell noch im Systematic Review (passiert alle 5 Jahre regulär), ich würde hier eine Bestätigung erwarten. Damit würde - sofern nichts Außergewöhnliches passiert - für weitere 5 Jahre die Ausgabe so vorhanden sein. Wenn dann mal eine richtige neue Ausgabe kommt, könnte ich mir aber vorstellen, dass die Möglichkeiten 2 und 3 von oben komplett entfallen und praktisch eine Beleuchtung zur Anzeige des aktiv/inaktiv-Zustands gefordert wird.

In dem Zusammenhang ist es vielleicht dann noch ganz wichtig und interessant, auf die Entwicklung der IEC 60947-5-5 hinzuweisen - die Produktnorm für Not-Halt-Befehlsgeräte. Die neue Ausgabe steht kurz vor der Veröffentlichung (laut IEC übermorgen, sehe ich gerade, mit der DE-Ausgabe immer so ne Sache). Jedenfalls wird es dort einen neuen Anhang B (normativ!, das ist durchaus relevant) geben zu "Speziellen Anforderungen an beleuchtbare Not-Halt-Geräte".

Der Unterpunkt B.2 wird sich dann jedenfalls mit der Sicherheitsrelevanz der Beleuchtung beschäftigen (wir reden ja nicht von einer Schaltanzeige). Ich würde da erwarten, dass eigentlich (künftig) zwingend rot beleuchtet werden muss, gelb kann der Hintergrund optional unterstützend beleuchtet werden (aber nicht alleine). Zudem wird vor allem eine Risikobeurteilung zu einem eventuell benötigten PLr/SIL der Beleuchtung notwendig werden. Für Befehlsgeräte, für die sich für aktiv/inaktiv-Nutzung eignen muss zudem der Hersteller entsprechende Zuverlässigkeitskennwerte bereitstellen. Deswegen macht aus meiner Sicht auch nur die Regelung dazu in der Produktnorm Sinn (nicht in der ISO 13850).

Glücklicherweise konnte man (hoffe ich jetzt mal) die größten Hirnfürze abwenden, die in dem Zusammenhang aus der ein oder anderen Ecke kamen:
  1. Dass ich eine gewisse Beleuchtungsstärke sicherstellen muss, damit die Beleuchtung auch erkennbar ist (mit spezifischem Grenzwert in der Norm!). Wie soll das gehen? Eine Außenanwendung muss stärker beleuchtet werden als eine die im Keller sitzt. Eine Beleuchtung kann auch zu stark sein und blenden. Wenn die Sonne durch das Fenster scheint usw. ...
    Soll dann jeder Maschinenbauer (je nach Anlage sind beleuchtbare Not-Halt gar nicht soo selten) mit dem Luxmeter um die Anlage rennen oder was? Zu welchem Zeitpunkt (Wetter/Sonneneinstrahlung hatte ich ja angesprochen).
    PS: Zudem - LEDs bauen über die Zeit ab was die Beleuchtungsstärke angeht...
  2. Dass das PLr/SIL dem Niveau der zugehörigen Not-Halt-Sicherheitsfunktion entsprechen muss. Ich habe Kunden mit PLe am Not-Halt in Kat 4. Es soll mir mal jemand zeigen, wie man eine Beleuchtung in Kat. 4 nach 13849 überwachen will (und wenn, mit welchem Preis). Da steht der Preis der eigentlich Not-Halt-Einrichtung zu keiner Relation der Beleuchtung.
EDIT: Keine Ahnung, ob die PITestop active wirklich von Pilz direkt sind oder gelabelt. In der Branche labelt praktisch jeder von Schlegel. Kann manchmal preislich etwas attraktiver sein, direkt "von der Quelle" zu kaufen (ja, das gilt auch für meinen AG).
 
Zuletzt bearbeitet:
Hi
Besten Dank für deine ausführlichen Infos. Ich denke das grössere Problem ist das Erkennen ob eingesteckt oder nicht.
Dazu habe ich mal den Beckhoff Support angesprochen. Wenn ich da eine Lösung bekomme, dann melde ich mich wieder.
Besten Dank
 
Ich denke das grössere Problem ist das Erkennen ob eingesteckt oder nicht.

Ich denke, mit der EP1908-0002 wird das nicht gehen. Wenn Du stattdessen eine EP1918-0002 nimmst, hast Du gleich eine TwinSAFE-SPS ähnlich der EL6910 mit OnBoard. Dort fragst Du Deine sicheren Eingänge ab und stellst das Ergebnis über eine TwinSAFE-Verbindung an deine eigentliche TwinSAFE-SPS zur Verfügung. Die Verbindung kannst Du gezielt runter fahren. Du solltest dann diesen Zweig als HotConnect-Gruppe definieren, dann ist es dem EtherCAT-Master egal, ob die Baugruppen existieren oder nicht. Ob das aber mit den EP-Boxen direkt geht, weiß ich nicht. Eine HotConnect-Gruppe muss ja adressierbar sein. Das geht manchmal über einen Adresseintrag ins CoE-Verzeichnis oder Adressschalter. Wenn die EP-Box beides nicht unterstützt, wirst Du eine EP1111-0000 davor schalten müssen.

Und wenn Du statt der EP1918-0002 eine EP1957-0022 nimmst, hast Du auch einen sicheren Ausgang, um die Beleuchtung mit anzusteuern.
 
Zuletzt bearbeitet:
Zuviel Werbung?
-> Hier kostenlos registrieren
Wie viele Boxen außer der Sicherheits-Box willst du zusammen abkoppeln?
Wenn es nur die Sicherheits-Box ist, dann hast du es deutlich einfacher, wenn du die 8 Signale konventionell verbindest.
 
Es sind zwei weitere Boxen und zwei Servos.
Ich hab heute mal mit dem Beckhoff Support gesprochen, gar nicht so eine einfach Sache. In der TwinSafe FB Doku habe ich noch ein Baustein gesehen, in dem man Ethercat Teilnehmer aus der Safety heraus abmelden kann. Aber der Ethercat muss dafür beim Hochfahren funktionieren. Eine weitere Idee war, mit einem Schlüsselschalter. Entweder der Schlüsselschalter ist aus und der Not-Halt vom koppelbaren Teil ist da oder der Schlüsselschalter ist eingeschalten und überbrückt den Not-Halt vom koppelbaren Teil. Dann müsste man den Not-Halt ablöschen. Das wäre eigentlich auch noch eine machbare Sache, halt die Safety Input Box gegen eine Safety In-Output tauschen.
Bleibt spannend, ich bleib mal noch etwas an dem Thema dran.
 
@blimaa
Das geht schon in die ungefähre Richtung da. Wichtig ist bei sowas dann ganz gerne mal der Ablauf und nicht das Signal als solches. Das im ausgeschalteten Zustand zu machen, mag erst einmal sinnvoll erscheinen, macht die Diagnose aber aufgrund fehlender Flanken eben sogar etwas schwerer.

Zudem auch vielleicht mal ISO 14119:2013 (DIN EN ISO 14119:2014-03), Anhang H anschauen. In ISO 14119:2025 (DIN EN ISO 14119:2025-09) ist das Anhang G. Zwar beschäftigt sich die Norm eher mit Verriegelungseinrichtungen (Schutztüren typischerweise), es geht in dem Anhang aber grundsätzlich um die Betrachtung zum Anreiz des Umgehens. Die Frage, die ich mir bei dir z.B. stelle wäre, ob der Bediener einen Vorteil hat, wenn er den Schlüsselschalter einfach auf überbrückt stehen lässt. Das muss die Validierung auf jeden Fall mit abdecken.

Bei Siemens sind die LifeBits von Profisafe-Teilnehmern sicherheitsgerichtet - die Kommunikation muss auch grundsätzlich das PL der Gruppe erreichen (das ist halt das Telegramm). Grundsätzlich kann man dort mit Ersatzwerten arbeiten, wenn ein Teilnehmer ausfällt. Habe ich eigentlich nie machen wollen weil intern im Programm dann nicht mehr ersichtlich ist, ob die logische 1 jetzt regulär da ist oder wegen Ersatzwerten. Wenn das nötig war, wurde die Logik immer am einzelnen überbrückten Signal vorgesehen. Dadurch ist auch offensichtlicher was eigentlich gebrückt werden muss und man geht nicht mit der Holzhammer-Methode vor.

Bei Anschlussboxen beim Siemens ist die ID, an der ein Panel angesteckt ist, z.B. nicht sicherheitsgerichtet. Habe ich aber z.B. auch schon hernehmen lassen, um Bildschirmseiten entsprechend freigeben bzw. sperren zu lassen.
 
Zuletzt bearbeitet:
Zuviel Werbung?
-> Hier kostenlos registrieren
@blimaa
Was passiert eigentlich mit der abgesteckten Box und dem Not-Halt?
Kannst du die Box nicht an anderer Stelle einstecken? Also im Prinzip eine Art "sichere Aufbewahrung".
Steckt die Box in ihrer "Parkposition" ist der Not-Halt nicht aktiv, ist sie nicht in ihrer Parkposition ist der Not-Halt aktiv.
Die Abfrage kann man ja vielleicht mit einem sicheren Positionsschalter machen.
 
Wie sieht das Ganze überhaupt aus ? Also optisch ?
Habe ich das richtig verstanden, dass du die komplette Karte (EP1908-0002) von deiner Steuerung trennen willst ?
Was genau ist der Sinn dieser Vorgehensweise ?
 
@blimaa
Was passiert eigentlich mit der abgesteckten Box und dem Not-Halt?
Kannst du die Box nicht an anderer Stelle einstecken? Also im Prinzip eine Art "sichere Aufbewahrung".
Steckt die Box in ihrer "Parkposition" ist der Not-Halt nicht aktiv, ist sie nicht in ihrer Parkposition ist der Not-Halt aktiv.
Die Abfrage kann man ja vielleicht mit einem sicheren Positionsschalter machen.
Da wäre natürlich auch noch ein Ansatz :)

Wie sieht das Ganze überhaupt aus ? Also optisch ?
Habe ich das richtig verstanden, dass du die komplette Karte (EP1908-0002) von deiner Steuerung trennen willst ?
Was genau ist der Sinn dieser Vorgehensweise ?

Also optisch ist es eine kleinere Maschine, welches eine Zuführung auf Räder hat. Manchmal ist diese für ein paar Stunden oder Tage im Jahr im Weg und darum kann man diese weg schieben. Die Anlage selbst kann dann trotzdem noch arbeiten. Die EP1908 (Box) ist jetzt schon darauf, um einen Sicherheitsschalter auf der Zuführung zu erfassen. Der Sicherheitsschalter hat nur auf einen Motor auf der Zuführung auswirkung. Dies läuft auch schon länger so. Das Problem ist nun, dass die Zuführung auch noch einen Not-Halt Schalter erhalten soll.

Gruss blimaa
 
Jetzt hast du meine Frage nicht beantwortet :
Trennst du die Karte von der Steuerung ? Oder nur den Not-Stop-Schalter ?
Wenn das Zweite : wenn du den Schalter abziehst dann steck doch einen Brücken-Stecker da drauf .
Das wäre ja zu einfach und voll oldschool, einfach nur den Stecker brücken... :D ;)
Nein nein die ganze EP Box geht weg.
Ich trenne den Ethercat auf. Die Trennstelle kappt den Ethercat für zwei Servos, zwei "normale" EP Boxen und die Safety Box von der Hauptmaschine.
 
Ich möchte nochmal darauf hinweisen, dass das Vorhaben nur mit einer EP1918-0002 oder EP1957-0022 geht. Der Unterschied ist, dass man dann eine ganze Safety-PLC mit eigenem Safety-Programm von der Haupt-Safety-PLC abkoppeln kann. Diese Verbindung zwischen den beiden Safety-Plc's kann man gezielt runter fahren. Die EP1918-0002 hat keine TwinSAFE-Logic, deshalb wird es scheitern. Und als Adressschalter ist die EP1111-0000 als erstes in dem Zweig zu verwenden. Aus dem Zweig machst Du dann eine HotConnect-Gruppe.
Das ist meiner Meinung nach die einzig gangbare Lösung.
 
Ich möchte nochmal darauf hinweisen, dass das Vorhaben nur mit einer EP1918-0002 oder EP1957-0022 geht. Der Unterschied ist, dass man dann eine ganze Safety-PLC mit eigenem Safety-Programm von der Haupt-Safety-PLC abkoppeln kann. Diese Verbindung zwischen den beiden Safety-Plc's kann man gezielt runter fahren. Die EP1918-0002 hat keine TwinSAFE-Logic, deshalb wird es scheitern. Und als Adressschalter ist die EP1111-0000 als erstes in dem Zweig zu verwenden. Aus dem Zweig machst Du dann eine HotConnect-Gruppe.
Das ist meiner Meinung nach die einzig gangbare Lösung.
Ich gehe davon aus, dass Du schreiben wolltest, dass es mit der EP1908-0002 nicht geht, und man deshalb eine EP1918-0002 oder EP1957-0022 nehmen sollte.
 
Zurück
Oben