DIN EN ISO 13849 - Massnahmen gegen CCF

[Dumbledore]

Zuviel Werbung?
-> Hier kostenlos registrieren

Hallo auch,

hier ist bei der Diskussion über die praktische Realisierung der Ausführung einer Not-Halt-Ausrüstung die Frage nach der Verkabelung aufgekommen.

Für die Ausführung mit PL=d wird eine zweikanalige Ausführung (Kat.3) gewählt. Bei den Massnahmen gegen "common cause failures" müssen nun 65 Punkte nach EN 13849 Tabelle F.1 gesammelt werden.

Die Punkte nach Zeilen 3.1, 3.2, 6.1 und 6.2 können als gesichert gelten, das bringt zusammen 55 Punkte. Das Problem sind die restlichen 10.

Da Diversität nach Zeile 2 bei einem einzelnen Schalter nicht machbar ist, ist also wahlweise die Zeile 1 (15 Punkte) gefordert ("Physikalische Trennung zwischen den Signalpfaden: Trennung der Verdrahtung / Verrohrung ... ") oder Zeile 4+5 (zusammen 10 Punkte) ("Beurteilung/Analyse - Sind die Ergebnisse einer Ausfallart und Effektanalyse berücksichtigt worden, um Ausfälle infolge gemeinsamer Ursache in der Entwicklung zu vermeiden?" und "Kompetenz/Ausbildung - Sind Konstrukteure/Monteure geschult worden, um die Gründe und Auswirkungen von Ausfälleninfolge gemeinsamer Ursache zu erkennen?")

Wie ist das genau zu verstehen - soll man nun also einen Not-Halt-Taster mit zwei Kabeln - einem pro Öffner (plus i.d.R. einem weiteren zur Signalisierung per Schliesser) verkabeln? Wir haben bisher hier ein 7-adriges Kabel verwendet und erst im Schaltschrank getrennt. Das verwendete Relais (PNOZ X3) hat Quer- und Erdschlusserkennung.

Die angesprochene Effektanalyse nach Zeile 4 mit Schulung nach Zeile 5 ist hingegen leicht zugesagt, aber im Falle eines Falles eben nicht vorhanden.

Wie geht ihr da in der Praxis vor? Gibt es für PL=d in der Praxis wirklich die Notwendigkeit einer Verkabelung mit getrennten Signalpfaden? Wir reden im übrigen von ganz normalen Industrieumgebungen.

Gruß Michael aka Dumbledore

 

[Andreas Koenig]

Bei Nothalt stellt sich die Frage, ob im konkreten Fall tatsächlich eine Ausführung nach Kat. 3 erforderlich ist, wenn möglich ziehe ich mich zur Berechnung auf Kat. 1 zurück = kein CCF relevant. Der Schalter wird dennoch zweikanalig eingebunden, das tituliere ich dann aber als "zusätzliche" Sicherheitsmaßnahme.

So was geht aber nur, wenn die Wahrscheinlichkeit gering ist, dass der Taster erforderlich ist, um eine schwere Verletzung abzuwenden. Vorgelagert ist in gefährlicheren Maschinen ja meist ein System der Kat. 3/PL d oder höher, das bereits beim Zugang zur Gefahrenstelle einen sicheren Betriebshalt auslöst. Da wäre dann zu untersuchen, gegen welche konkrete Gefährdung der Nothalt überhaupt noch absichern soll.

Falls Kat. 3 zwingend nötig, ist eine einmalige Effektanalyse machbar, zumal es sich bei einem Notauskreis nicht um allzuviele Fehler (mechanischer Defekt = Fehlerausschluss bis 6050 Betätigungen, Querschluss, Erdschluss = Test durch Sicherheitsschaltgerät, + ????) handelt und man es später immer wieder nutzen kann.

Andreas

 

[Safety]

Zuviel Werbung?
-> Hier kostenlos registrieren

Hallo,

Wie ist das genau zu verstehen - soll man nun also einen Not-Halt-Taster mit zwei Kabeln - einem pro Öffner (plus i.d.R. einem weiteren zur Signalisierung per Schliesser) verkabeln? Wir haben bisher hier ein 7-adriges Kabel verwendet und erst im Schaltschrank getrennt. Das verwendete Relais (PNOZ X3) hat Quer- und Erdschlusserkennung.

Meiner Meinung nach nicht:
Für eine Maßnahme gegen Ausfälle infolge gemeinsamer Ursache, die aufgrund der inhärenten Eigenschaften der Steuerung nicht auftreten können, darf die volle Punktzahl angerechnet werden.

Dies steht im BGIA Bericht. Auch kann meiner Meinung nach, eine pysikalische Trennung bedeuten, dass die Isolierung bei einer Betriebsspannung von 24V mit einer Leitung ausgeführt wird die eine wesentlich höhere Spannungsfestigkeit hat, was in den aller meisten Fällen so sein wird. Es geht ja um Aufall gemeinsamer Ursache, und was kann das bei einer Leitung sein, Überstrom, Überspannung, EMV Störungen. Also die Grundlegenden und bewährten sicherheitsprinzipien anwenden. Und eine Steuerung die Fehler wie Querschlüsse durch Isolationsfehler erkennt, in Deinem Fall ist das entscheidende Bauteil dann noch das Relais, dass aber alle Fehler auf der Leitung erkennt und wenn es richtig abgesichert ist und auch die EMV Richtlinie eingehalten ist, sehe ich keine Probleme.

Schönes Wochenende

 

[Safety]

Hallo,
dass verstehe ich nicht ganz.

Bei Nothalt stellt sich die Frage, ob im konkreten Fall tatsächlich eine Ausführung nach Kat. 3 erforderlich ist, wenn möglich ziehe ich mich zur Berechnung auf Kat. 1 zurück = kein CCF relevant. Der Schalter wird dennoch zweikanalig eingebunden, das tituliere ich dann aber als "zusätzliche" Sicherheitsmaßnahme.

So was geht aber nur, wenn die Wahrscheinlichkeit gering ist, dass der Taster erforderlich ist, um eine schwere Verletzung abzuwenden. Vorgelagert ist in gefährlicheren Maschinen ja meist ein System der Kat. 3/PL d oder höher, das bereits beim Zugang zur Gefahrenstelle einen sicheren Betriebshalt auslöst. Da wäre dann zu untersuchen, gegen welche konkrete Gefährdung der Nothalt überhaupt noch absichern soll.

Falls Kat. 3 zwingend nötig, ist eine einmalige Effektanalyse machbar, zumal es sich bei einem Notauskreis nicht um allzuviele Fehler (mechanischer Defekt = Fehlerausschluss bis 6050 Betätigungen, Querschluss, Erdschluss = Test durch Sicherheitsschaltgerät, + ????) handelt und man es später immer wieder nutzen kann.

Andreas

Not-Halt ist laut 13850 immer eine Ergänzende Schutzmaßnahme
und darf nicht als Ersatz von Schutzmaßnahmen dienen.

Über die Bewertung der SIFU kann man streiten, aber erkläre mal wie Du da vorgehst. Ich bewerte die Not-Halt Funktion immer so wie die sonstigen SIFU. Da ja eine ergänzende Maßnahme soll diese alles abdecken was kommen könnte.

 

[Klopfer]

Da hätte ich noch einen Ball zum spielen...

Not-Halt ist bekanntlich eine ergänzende Maßnahme, folglich können wir auch keinen PLr ermitteln, da durch die Not-Halt Handlung ja eigentlich bei richtiger Konstruktion und Bedienung keine Risiken beseitigt werden müssen.

Also nehmen wir Not-Halt Taster, bei denen ein Fehlerausschluss möglich ist. Bei keiner Betätigung kommen wir mit dem B10d von 6050 locker auf einen MTTFd gegen unendlich

Nu kann aber das Kabel beschädigt werden, also möchte ich den Fehlerausschluss auf das Kabel erweitern, und das geht nur bei Zweikanaligkeit.

Und schon haben wir einen zweikanaligen Not-Halt ohne PL weil nur ungefährlich Kaputtbar... :razz:

Gruß

Alex

 

[Andreas Koenig]

Zuviel Werbung?
-> Hier kostenlos registrieren

Not-Halt darf keine anderen Sicherheitsmaßnahmen ersetzen - soweit ok. Wo ist jedoch in der 13849 oder einer anderen Norm formuliert, dass Nothalt-Halt als "ergänzende" Sicherheitsfunktion nicht rechnerisch nachzuweisen sei ? Zumindest ist auch in der Liste der Sicherheitfunktionen in Sistema das "sichere Stillsetzen im Notfall" enthalten.
Andreas

 

[Safety]

Hallo Andreas,
natürlich muss für eine Sicherheitsfunktion Not-Halt der PLr bestimmt werden und auch nachgewiesen werden. Ich wollte wissen wie Du bei der Ermittlung des PLr vorgehst da ich bei Not-Halt den gleichen PLr annehme, wie bei der sagen wir mal Haupt SIFU.
Also wenn da eine Tür ist und dahinter eine Sifu mit PLd dann muss meine PL für diese Not-Halt Sifu gleich sein, da ich es hier so sehe, dass alle Parameter der PL Ermittlung gleich sind.
Wie machst Du das?

Hallo Klopfer,
ja man darf bei einer Annahme von 6050 Betätigungen und Zwangsgeführten Kontakten und der weiteren Annahme das immer nur einer betätigt ist auf das ganze System Not-Halt Taster einen Fehlerausschluss machen, aber nur auf den Taster alles danach muss man weiterhin genau so berechnen, Logik und Aktor gehören genau so dazu. Da der Taster ja die gleichen Aktoren über eine extra oder auch gleiche Logik schaltet müssen diese genau so in die Berechnung einfließen und hier dann alle Betätigungen berechnet werden z.B. eine Bewegliche Trennende Schutzeinrichtung mit einem Verriegelungsschalter, diese geht auf eine Logik und dann auf einen Aktor. Die Anforderungen der Tür und des Not-Halt gehen zusammen in die Berechnung ein. Und es gibt auch Lösungen so was Einkanalig bis zur Logik weiter zuführen.

Schön das sich hier langsam viele Diskussionen um die neuen Normen entwickeln!

 

[Safety]

Fehlerausschluss und B10D

Da hätte ich noch einen Ball zum spielen...

Not-Halt ist bekanntlich eine ergänzende Maßnahme, folglich können wir auch keinen PLr ermitteln, da durch die Not-Halt Handlung ja eigentlich bei richtiger Konstruktion und Bedienung keine Risiken beseitigt werden müssen.

Also nehmen wir Not-Halt Taster, bei denen ein Fehlerausschluss möglich ist. Bei keiner Betätigung kommen wir mit dem B10d von 6050 locker auf einen MTTFd gegen unendlich

Nu kann aber das Kabel beschädigt werden, also möchte ich den Fehlerausschluss auf das Kabel erweitern, und das geht nur bei Zweikanaligkeit.

Und schon haben wir einen zweikanaligen Not-Halt ohne PL weil nur ungefährlich Kaputtbar... :razz:

Gruß

Alex

Hallo Alex,
mir ist noch was aufgefallen, da Du auf den Not-Halt einen Fehlerausschluss machst brauchst Du auch keinen MTTFd berechnen also auch keine B10D und auch kein NOP.
Es kann ja nicht zu einem Fehler kommen! Bezieht sich aber nur auf den Taster!

 

[Andreas Koenig]

Zuviel Werbung?
-> Hier kostenlos registrieren

Also beim Plr e ich davon aus, dass die Exposition vor der der Nothalt schützen soll selten erfolgt dazu müsste ja bereits die eigentliche Sicheritsfunktion um Schutz vor der gefahrbringenden Bewegung versagt haben, die ja schon z.b. nach PL=d ausgelegt ist.

Wenn man dann davon ausgeht, dass eine Gefährdung unter "bestimmten Umständen" noch vermieden werden kann ( keine Manipulation an Schutzeinrichtungen, in Betriebsanleitung beschriebene sichere Arbeitsweisen bei der Instandhaltung,...) komme ich auf einen PLr=c, umsetzbar mit einer Architektur Kat. 1.

Diese Vorgehensweise nehme ich aber vorwiegend, um auf der Aktorenseite eine Redundanz zu vermeiden, den Taster und Schaltgerät sind bei uns auch elektrisch Kat 4.

Beispiel: eine Maschine hat ein Notaus-Schütz und ein Zuschaltventil, zusätzlich hat man ein Betätigungsschütz und ein Betätigungsventil. Wenn man nun Kat 3 haben wollte, müssen alle 4 Elemente berücksichtigt werden. Betätigungsschütz und -VEntil müssten dann wegen des B10 alle 2 Jahre ausgetauscht werden.
Ich berechne dann nur Zuschaltventil und Notausschütz nach Kat 1. Betätigungsschütz und -Ventil schalte ich aber auch sicher weg. Die gehen dann aber nicht in die Sicherheitsberechnung ein, müssen folglich nicht ausgetauscht werden wegen dem B10. Durch den fehlenden Austausch ist dieser nicht mit berechnete 2. Kanal am Ende der Lebensdauer sicher weniger zuverlässig, erhöht aber die Gesamtzuverlässigkeit gegenüber einem reinen Kat 1-System nochmal deutlich.

Gruss Andreas

 

[Safety]

Hallo Andreas,

Also beim Plr e ich davon aus, dass die Exposition vor der der Nothalt schützen soll selten erfolgt dazu müsste ja bereits die eigentliche Sicheritsfunktion um Schutz vor der gefahrbringenden Bewegung versagt haben, die ja schon z.b. nach PL=d ausgelegt ist.

Wenn man dann davon ausgeht, dass eine Gefährdung unter "bestimmten Umständen" noch vermieden werden kann ( keine Manipulation an Schutzeinrichtungen, in Betriebsanleitung beschriebene sichere Arbeitsweisen bei der Instandhaltung,...) komme ich auf einen PLr=c, umsetzbar mit einer Architektur Kat. 1.

Diese Vorgehensweise nehme ich aber vorwiegend, um auf der Aktorenseite eine Redundanz zu vermeiden, den Taster und Schaltgerät sind bei uns auch elektrisch Kat 4.

Beispiel: eine Maschine hat ein Notaus-Schütz und ein Zuschaltventil, zusätzlich hat man ein Betätigungsschütz und ein Betätigungsventil. Wenn man nun Kat 3 haben wollte, müssen alle 4 Elemente berücksichtigt werden. Betätigungsschütz und -VEntil müssten dann wegen des B10 alle 2 Jahre ausgetauscht werden.
Ich berechne dann nur Zuschaltventil und Notausschütz nach Kat 1. Betätigungsschütz und -Ventil schalte ich aber auch sicher weg. Die gehen dann aber nicht in die Sicherheitsberechnung ein, müssen folglich nicht ausgetauscht werden wegen dem B10. Durch den fehlenden Austausch ist dieser nicht mit berechnete 2. Kanal am Ende der Lebensdauer sicher weniger zuverlässig, erhöht aber die Gesamtzuverlässigkeit gegenüber einem reinen Kat 1-System nochmal deutlich.

Die Expostion sehe ich anders. Ein Beispiel:
Eine Tür mit Verriegelungsschalter als Sensor dann als Logik ein Sicherheitsrelais dann als Logik z.B. zwei Schütze. Hier berechnet man nun die Anforderungszyklen und genau diese Annahmen mache ich auch bei der Berechnung der SIFU Not-Halt. Da ich davon ausgehe das der Not-Halt all diese Anforderungen auch Abdecken muss da er immer funktionieren muss. Ist ja auch eigentlich kein Problem da der Taster mit entsprechenden Relais oder Safety PLC schon Ple erfüllt und der Aktor schon vorhanden ist.

 

[Dumbledore]

Liebe Kollegen,

ich habe meine Frage scheinbar nicht deutlich genug gestellt, bzw. die Antworten gehen gar nicht in die Richtung die ich suchte.

Die Frage ist eigentlich ganz einfach: Muss ich "Sensoren" im Sinne der EN13849 (also Taster, Reißleinenschalter, Lichtschranken etc. pp) die für den PL=d zweikanalig anzuschliessen sind mit getrennten Stromkreisen (d.h. Kabeln) anschliessen oder geht das (wie bisher) in einem Kabel?

Hintergrund ist wie gesagt die Tabelle F.1 der EN13849

Diese Frage sollte doch eigentlich einfach zu beantworten sein, oder stehe ich da nur irgendwie "auf dem Schlauch" ?

Gruß Michael aka Dumbledore

 

[Safety]

Zuviel Werbung?
-> Hier kostenlos registrieren

Hallo Dumbledore,
habe ich doch weiter oben.
Meiner Meinung nach, kann man es nach wie vor so machen.

Weiter oben auch meine Begründung. Auch im BGIA Bericht sind es keine Getrennten Kabel.

 

[Andreas Koenig]

Was im konkreten Fall Sinn macht ist wohl vom Einzelfall anhängig, die Norm lässt da ja zum Glück immer noch Freiräume, ein dem tatsächlichen Risiko angemessenes Sicherheitsniveau zu erreichen.
Die Frage Nothalt/sicherer Betriebshalt ist m.E. zumindest in einigen Fällen schon getrennt zu betrachten, da beim sicheren Betriebshalt / verhindern eines unerwarteten Anlaufgs nicht unbedingt ein Energiefreimachen erforderlich ist (Beispiel: Umrichter mit sicherem Betriebshalt, Leistungsschütz wird nur bei dessen Versagen oder Nothalt abgeschaltet)

Andreas

 

[Lumpi]

Hallo,


Meiner Meinung nach nicht:
Für eine Maßnahme gegen Ausfälle infolge gemeinsamer Ursache, die aufgrund der inhärenten Eigenschaften der Steuerung nicht auftreten können, darf die volle Punktzahl angerechnet werden.

Dies steht im BGIA Bericht. Auch kann meiner Meinung nach, eine pysikalische Trennung bedeuten, dass die Isolierung bei einer Betriebsspannung von 24V mit einer Leitung ausgeführt wird die eine wesentlich höhere Spannungsfestigkeit hat, was in den aller meisten Fällen so sein wird. Es geht ja um Aufall gemeinsamer Ursache, und was kann das bei einer Leitung sein, Überstrom, Überspannung, EMV Störungen. Also die Grundlegenden und bewährten sicherheitsprinzipien anwenden. Und eine Steuerung die Fehler wie Querschlüsse durch Isolationsfehler erkennt, in Deinem Fall ist das entscheidende Bauteil dann noch das Relais, dass aber alle Fehler auf der Leitung erkennt und wenn es richtig abgesichert ist und auch die EMV Richtlinie eingehalten ist, sehe ich keine Probleme.

Schönes Wochenende

Guten Morgen.

Altes Thema, ich hole es aber nochmal hoch.

Gibt es dazu irgendetwas in der Norm bzw. in welchem BGIA Bericht steht dazu etwas?

Danke.

 

[Safety]

Zuviel Werbung?
-> Hier kostenlos registrieren

Hallo, BGIA Report 2/2008 und zum besseren Verständnis die Norm DIN EN 61508-6.
Aber ich denke stell doch Deine Frage wir versuchen dann zu helfen.

 

[Lumpi]

Hallo.

Meine Frage bzw. Anliegen ist genau das des Thread Erstellers. Fehlende Punkte bei der CCF Bewertung bzw. das ich/wir nicht genau wissen was man unter der "physikalischen Trennung der Signalpfade" versteht.
Da das ja leider aller sehr viel Auslegungssache ist, wollte ich sicher gehen und Informationen Sammeln die das untermauern, das beispielsweise ein Zweikanaliger Not-Halt Taster mit einem Kabel angeschlossen werden kann, und dann trotzdem diese Trennung gegeben ist.

Daher hast Du mir mal wieder sehr geholfen.

Gruß
Sven

 

[Lumpi]

Hallo nochmal.

Habe mir den Report 02/2008 mal angeschaut, allerdings nichts in diese Richtung gefunden. Das Thema CCF wird ja schon behandelt, allerdings den betreffenden Punkt mit dem Anschluss von 2-kanaligen Gebern mit einem Kabel und der daraus resultierenden "Physikalischen Trennung der Signalpfade" habe ich leider nirgens entdecken können.

Kannst Du mir evtl. nochmal eine Seite oder so nennen, falls Du es nochmal schnell zur Hand hast.

Gruß
Sven

 

[Safety]

Zuviel Werbung?
-> Hier kostenlos registrieren

Hallo,
Anhang F , hast Du ja gelesen. Da steht der Satz mit den inhärenten Eigenschaften der Steuerung.
Wie kann man das interpretieren, für die Frage ob man ein Gemeinsamens Kabel für beide Kanäle verlegen kann.
Bei CCF geht es um ein Ereignis das beide Kanäle gleichzeitig außer Kraft setzt, bei Dir geht es ja um die erste Frage, als erstes nimmt man ein Kabel welches den Verwendeten Spannungen standhält, bei Leiterplatten einen entsprechenden Abstand der der Bahnen. Bei den heutigen Sicherheitsrelais und Steuerungen nimmt man bei höheren PLr einen Zweikanaligen Anschluss und erkennt Querschlüsse durch Taktsignale oder Verschiedene Spannungen. Also Führt der Fehler, der aber erst garnicht eintreten kann da überdimensioniertes Kabel, zu einer Abschaltung = inhärenten Eigenschaften. Also welches Ereignis soll zu einem gleichzeitigem Ausfall führen?

 

[Lumpi]

Hallo.

Ja den Anhang F habe ich gelesen.
Dachte nur da wäre evtl. noch etwas eindeutigeres irgendwo zu finden.
Aber das wäre ja auch zu einfach gewesen, wenn sich irgendwo in einer Norm mal schlüssig auf etwas festgelegt würde.

Danke aber trotzdem. Wir werden dann also so verfahren wie auch bisher. Also 2-Kanaligen Not-Halt dann über ein Kabel 7G1,5.

Gruß
Sven

 

[Safety]

Hallo,
jetzt mal ganz unter uns liest ja keiner mit, ich habe noch keinen NH gesehen der mit Zweikabel aus CCF Gründen verdrahtet ist.