Ausfallwahrscheinlichkeit SF, wo fängt man an, wo hört man auf

C

cam1704

Level-1
Beiträge
44
Reaktionspunkte
0
Zuviel Werbung?
-> Hier kostenlos registrieren
Hallo,

ich stelle mir gerade einmal wieder die Frage, welche Komponenten in eine Sicherheitsfunktion müssen und welche nicht.
Prinzipell geht es ja um die Ausfallwahrscheinlichkeit einer SF. Aber was ist wenn die Komponenten zweier SF parallel auf einen Aktor wirken.
Zum Beispiel der Motor darf drehen wenn die Schütztür geschlossen ist oder die Zweihandbedienung betätigt wird.
Schutztür und Zweihand gehen jeweils auf ein Sicherheitsschaltgerät. Die Ausgangskontakte der Sicherheitschaltgeräte
sind parallel geschaltet und schalten zwei Schütze (Kat.3) ein bzw. aus.

Sollten jetzt die Kontakte von einem Sicherheitsschaltgerät aufgrund eines Defekts kleben/geschlossen bleiben, kann
das andere Sicherheitsschaltgerät machen was es will. Der Motor würde weiter drehen. Demnach beeinflussen
sich beide SF gegenseitig und es müssten dann beide Sicherheitsschaltgeräte in jede SF. Oder unterliege ich einem Denkfehler?

Im Voraus vielen Dank.
 
Also die Kontakte der Schutztür oder der Zweihandbedienung sind ja zweikanalig aufgebaut. Deshalb wird erkannt, wenn ein Kontakt kleben bleibt.
Und Kat 3. sagt ja nur, dass einige, nicht jedoch alle, Fehler erkannt werden müssen. Also für mich wär das so in Ordnung und die würden sich gegenseitig nicht beeinflussen.
Aber mal sehen, was der Rest dazu sagt.

mfg mephisto
 
Zuviel Werbung?
-> Hier kostenlos registrieren
Ich sehe es im Prinzip wie Mephisto.

Aber..

cam1704 schrieb:
...Die Ausgangskontakte der Sicherheitschaltgeräte sind parallel geschaltet und schalten zwei Schütze (Kat.3) ein bzw. aus...
Zum Vergrößern anklicken....

.. normalerweise werden doch Hilfskontake der beiden Schütze in Reihe auf EIN Sicherheitsschaltgerät zurück geführt, um die Funktion bzw. das Abfallen der beiden Schütze zu überwachen. Wie habt ihr das denn gelöst?


Gruß, Onkel
 
Hallo,
die Sifu wird immer vom Sensor aus gesehen. Beispiel 10 Not-Halt mindestens 10 Sifu.

Bei Deinem Beispiel ist es dann die Sifu Zweihandsteuerung und die Sifu Verriegelung der Beweglichen Trennenden Schutzeinrichtung.

Aber Du machst wieder was mit zwei Betriebsarten es dürfen abhängig von der Risikobeurteilung nur die ZHS oder die Verriegelung aktiv sein.
 
hallo

wieso min 10 SiFu?

beispiel:
ich habe 2 nothalttaster die auf die auf einen eingang einer fcpu gehen.
fcpu schaltet 2 schütz zur verlängerung der kontakte. diese schütze schalten 2 ventile ab. schütze werden auf einen eingang rückgeführt.
der not-halt wird 2-kanalig an eine externe anlage weitergereicht.

was muss jetzt in der sifu als subsystem auftachen?
so?
siehe bild

und das ganze nochmal für den 2ten taster
 

Anhänge

  • sifu1.jpg
    sifu1.jpg
    60,8 KB · Aufrufe: 55
Zuviel Werbung?
-> Hier kostenlos registrieren
Hi,

nach meinem Verständnis sind Zweihand-und Verriegelung eine Sicherheistfunktion, da sie nicht unabhängig voneinander agieren. Ähnlich einer 2aus2 Auswahl. Verriegel doch einfach die beiden Sicherheitsschaltgeräte miteinander, damit kannst du nur noch eine Betriebsart fahren und trennst die beiden Kreise auf und hast für beide Betriebsarten eine Sicherheitsfunktion. Falls dann nämlich eines der Schaltgeräte ausfällt und klebenbleibt, kann man das zweite Sicherheitsschaltgerät erst gar nicht einschalten.
 
Aber wenn sie in zwei unterschiedlichen Betriebsarten agieren, kann es doch unmöglich die gleiche SiFu sein oder irre ich da?
 
Hi,

Mephisto schrieb:
Aber wenn sie in zwei unterschiedlichen Betriebsarten agieren, kann es doch unmöglich die gleiche SiFu sein oder irre ich da?
Zum Vergrößern anklicken....
So wie ich es verstanden habe kann man während des normalen Betriebes mit der Zweihandsteuerung die Haube öffnen.

cam1704 schrieb:
Zum Beispiel der Motor darf drehen wenn die Schütztür geschlossen ist oder die Zweihandbedienung betätigt wird.
Zum Vergrößern anklicken....
Wenn ich die beiden unabhängig voneinander Betrachten möchte, muss als erstes der Motor runtergefahren werden und dann kann ich über die Zweihandsteuerung den Motor wieder anlaufen lassen und die Schuzttür öffnen. Wage ich mal zu behaupten ;)....
 
Zuviel Werbung?
-> Hier kostenlos registrieren
Hallo,
also da es sich bei dem Problem von Meiner Meinung nach um zwei verschiedene Betriebsarten handelt muss dies auch nach 12100-2 4.11.10 ausgeführt werden.
Das haben wir aber schon sehr oft hier gehabt!

Die Sifu wird immer vom Sensor ausgesehen also 10 Not-Halt Taster min 10 Sifu mit dem gleichen Aktor, aber beim Aktor alle Betätigungen von alle darauf wirkenden Sensoren zusammen addieren. Mehr als ein Aktor können entsprechend mehr Sifu geben. Hier kann man aber auch Zusammenfassen wenn man dann noch den PLr erreicht. Beachten muss man die Überlappenden Überschneidenden Gefährdungen. Hier muss man dann die Aktoren zusammen in einen Sifu packen, wenn aber unterschiedliche PLr dann kann man alles einzeln betrachten.

Ich glaube wir machen noch mal eine Sistema-Schulung beim nächsten Forumstreffen in 2011


Volker zeichne doch mal dein Blockdiagramm auf dann wird das schon einfacher.

Ich schau mal ob ich am Wochenende Zeit bekommen, dann mach ich mal ein Beispiel für eine Betriebsart.
 
Hallo Volker,
also ich sehe das so:
Sub1: Not-Halt Taster (Eventuell Fehlerausschluss auf die Mechanik und die Kontakte da Zwangsgeführt)

Sub 2: die Logik, hier wird sehr oft das ganze System spricht Eingang bis zum Ausgang als eine Einheit vom Hersteller angegeben

Sub3: Aktor 1 Schütz Kanal1 Schütz Kanal2 B10D Werte von beiden Tastern addieren ergibt NOP für Schütz, wenn Prozesstechnisch auch geschaltet auch hinzu

Sub4. Aktor 2 Hydraulikventil MTTFd-Wert vom Hersteller oder B10D Wert dann auch alle Betätigungen mit einrechen Sicherheits und Prozessbetätigungen. Problem mit einem Ventil max KAT1 oder KAT2 erreichbar KAT2 nur wenn Testung ausreichend.

Jetzt kann man diese Aktoren einzeln in sifu packen aber nur wenn nicht überschneidend oder wenn überschneiden und unterschiedliche PLr

Sifu fertig!!!

Sifu 2

Sub 1 Not-Halt-Taster
Sub2 Logik
Sub 3 Schütze
Sub 4 Sicherheitsbaustein Fremdmaschine
Sub 5-X Aktoren Fremdmaschine.

Hoffe es hilft Dir weiter.
 
Hallo entschuldigt die verspätete Rückmeldung, es ging leider nicht eher.

Also LordKimbot hat das richtig erkannt. Die Tür- und zweihandschaltung arbeiten betriebsartenunabhängig.
Je nach Situation verwendet der Bediener
eines von beiden. Mit einer Betriebsart hat das eigentlich nichts zu tun.
Hier bin ich der gleichen Meinung wie LordKimbot, beides müsste in eine SF.
Beide Sicherheitschaltgeräte miteinander verriegeln, klingt gut, aber wie soll
das gehen? Sicherheitschaltgeräte besitzen keine Öffnerkontakte.
Wenn man einen Wahlschalter einbindet, an welcher Stelle bindet man diesen
korrekt ein?
Man könnte mit dem Betriebsartenwahlschalter die Versorgungsspannung der
Sicherheitsschaltgeräte abschalten. Das bringt aber nichts wenn die
Aussgangskontakte der Sicherheitsschaltgeräte verschweißen.
 
Zuviel Werbung?
-> Hier kostenlos registrieren
Hallo Cam,
ich sehe da vieles anders wie Du.
Als erstes musst Du mal Deine Sicherheitsfunktion definieren.
Das ist z.B. für die Tür:
Verriegelnde Trennende Schutzeinrichtung
Sicherheitsfunktion:
Sicherheitsbezogene Stoppfunktion, eingeleitet durch eine Schutzeinrichtung
Verhindern des Unerwarteten Anlaufs bei geöffneter Tür

Das ist die erste Sifu die Du berechnest.

Die zweite ist meiner Meinung nach die Zweihandsteuerung.
Die dann auch getrennt betrachtet wird. Man geht immer vom Sensor zum Aktor.

Auch die Annahme von Dir das dies keine zwei Betriebsarten sind kann ich nicht nachvoll ziehen, Du Überbrückst mit der Zweihand die Verriegelnde Trennende Schutzeinrichtung.

Und wenn Du dann das ganze mit Betriebsartenwahlschalter betrachtest sieht es noch mal anders aus.
 
Hallo,
also ich sehe Deine Sifu so.
S2 ist der Betriebsartenwahlschalter
B4 Verriegelungsschalter
S5 S6 Zweihand
K1 Logik
T1 Umrichter


sifu1.JPG
 
Zuletzt bearbeitet:
Hallo Safety,
vielen Dank für deine Ausführungen

Auch die Annahme von Dir das dies keine zwei Betriebsarten sind kann ich nicht nachvoll ziehen
Zum Vergrößern anklicken....

Wenn für dies kein Betriebsart (Wahlschalterstellung) zur Verfügung steht, ist es keine zweite Betriebsart! Oder sind Betriebsarten auch unabhängig von einer Wahlschalterstellung definierbar?
Evtl. könnte man es als Werkstückwechsel im Automatikbetrieb (Spannbewegung) definieren. Aber das ist keine Betriebsart. Die Betriebsart laut Wahlschalter ist Automatik.
Man kann nicht erwarten, dass jedes mal der Bediener, der wahrscheinlich gar keinen Schlüssel für den Betriebsartenwahlschalter hat, ins Einrichten u.ä. wechselt um das Werkstück zu tauschen.

Das es zwei SF sind, ist klar. Einmal Schutztür, einmal Zweihand. Aber ich habe die Beitrags-Überschrift absichtlich so gewählt. Denn beide SF beeinflussen sich gegenseitig, aber muss man dies berücksichtigen?

Im Voraus vielen Dank
 
Zuviel Werbung?
-> Hier kostenlos registrieren
cam1704 schrieb:
Das es zwei SF sind, ist klar. Einmal Schutztür, einmal Zweihand. Aber ich habe die Beitrags-Überschrift absichtlich so gewählt. Denn beide SF beeinflussen sich gegenseitig, aber muss man dies berücksichtigen?
Zum Vergrößern anklicken....

Hi,

ich seh das ein bißchen anders. Leider kenne ich mich Hauptsächlich mit der IEC 61508 aus...
In der IEC 61508 Teil 6 Anhang B Abschnitt 3.1 stehen die Grundlegenden Hypothesen zum Verwenden der Formel aus der Norm. Sinngemäß steht dort, dass ich diese Formeln nur Verwenden darf wenn die Eingangssignale in der Logik zusammengeführt und ausgewertet werden. Falls ich dein Beispiel richtig verstanden habe werden die Signale erst nach der Logik (Sicherheitsrelais) zusammengeführt. Wenn das so ist, darf man nicht mehr mit den Formeln aus der Norm arbeiten. Da muss ich eine Fehlerbaumanalyse der Systems durchführen. Wenn ich es richtig verstanden habe, führt jeder Ausfall einer Komponente zum Ausfall der Sicherheitsfunktion, deswegen müssen die einzelnen Wahrscheinlichkeiten meiner Meinung nach addiert werden.


 
Meiner Meinung nach sind es zwei SF.
SF 1 Verriegelte Trennende Schutzeinrichtung
SF 2 Zweihand

Da man vom Sensor ausgeht und die Funktion eine komplett andere ist. Betrachten muss man natürlich, dass keine Gefährdungssituationen durch den gleichzeitigen Parallelbetrieb entstehen können. Und beide SF müssen den geforderten PLr entsprechen. Aber dafür macht man eine Risikobeurteilung. Sehe Dir dazu mal das Beispiel 24 im BGIA Bercith 2/2008 an.
 
Hi,

ich stimme dir zu, dass es eigentlich zwei SF sind.
Safety schrieb:
....Betrachten muss man natürlich, dass keine Gefährdungssituationen durch den gleichzeitigen Parallelbetrieb entstehen können....
Zum Vergrößern anklicken....


Und das kann man bei dem beschriebenen Betrieb nicht ausschließen, deswegen addieren sich hier die Ausfallwahrscheinlichkeiten der beiden Sicherheitsschaltgeräte.
 
Zuviel Werbung?
-> Hier kostenlos registrieren
Hallo,
ich bin der Meinung, dass die 13849-1 eine sehr viel einfachere Sichtweise hat.
Man definiert die SF, die Sichtweise ist das auslösende Ereignis.
Hier wird dann die einzelne SF bewertet. Siehe Dir mal das Beispiel 24 im BGIA Bericht 2/2008 an, hier besonders die Sistema Berechnung.
Hier hast Du fast den gleichen Aufbau und es sind 3 einzelne SF.
  • Beim öffnen Sicheranhalten
  • Umschaltung auf eine Reduzierte Geschwindigkeit
  • Tippbetrieb
Wie man Sieht ist immer ein Sensor bzw. Auslöser vorhanden.
Nach Deinen Argumenten müsste hier alles in eine SF.
Wie geschrieben es wird eine SF berechnet nicht eine Schaltung. Ist für den Konstrukteur ein Vorteil, denn er kann auch mit komplexen Schaltungen den geforderten Plr erreichen.

Aber wenn Du mit Deiner Sichtweise den PLr erreichen würdest, wäre das auch O.K. da Du ja auf der Sicheren Seite bist. Für mich aber dann schwer ist die Definition der SF und auch die Struktur, wie würde das Blockschaltbild aussehen usw.

 
Hi,

Ich habe mir das Beispiel noch mal angeschaut und es hat sehr viel Ähnlichkeit mit Volkers Problem. Allerdings haben wir einen gewichtigen Unterschied, die beiden Sicherheitsschaltgeräte die er in seinem Beispiel hat, überwachen sich nicht gegenseitig. Das hat zur Folge dass der DC-Wert auf Null angesetzt werden muss. Bei dem Beispiel 24 aus dem BGIA Report fängt Sistema dann an zu streiken und sagt dass die Berechnung eines PFH-Wertes nach der Norm nicht mehr Möglich ist. Die Formeln die SISTEMA nutzt haben gewisse Vorraussetzungen die man beachten muss. Wenn man jetzt also hingeht und einen Kreuzvergleich der beiden Kanäle macht und sagt das Kanal a auf einen defekt von Kanal B reagieren kann ist es mir Möglich den DC-Wert wieder hochzusetzen und wie gewohnt weiter zu rechnen.

Die Präsentation von Siemens kenne ich. Der Autor soll einer der Koryphäe auf dem Gebiet der Maschinenrichtliene seihen. Ich habe mir auf alle Fälle sein neues Buch bestellt und wollte mich dort ein bisschen reinlesen, weil ich von der Maschinenrichtlinie und der 13849 noch nicht die große Ahnung habe.
 
Zurück
Oben