Grobe Überprüfung auf Richtigkeit der Sicherheitsfunktion

[safety_simon]

Zuviel Werbung?
-> Hier kostenlos registrieren

Hallo Experten!
Ich habe eine Sicherheitsfunktion nach DIN EN ISO 13849 entworfen und würde mich freuen wenn ihr einen Blick reinwerfen und grobe Fehler eben nennen könntet.
ich beziehe mich auf den IFA-Report 02/2017 Abschnitt 6.4 "Kombination von SRP/CS als Subsysteme"
Ich habe die Risikoanalyse noch nicht zur Hand, aber ich gehe von einem PLr c oder d aus. (Idealerweise PLr d)
Die Safety-SPS berechnet aus dem Druck, und einem der beiden Gebern einen Bremsweg und bremst die Motoren, wenn der induktive Näherungsschalter aktiviert wird.
Da alle 3 Sensorsysteme für die Bremsung elementar sind, habe ich sie in dem sicherheitsbezogenen Blockdiagramm logisch in Reihe gesetzt.

Das System: <- LINK

• Subsystem1: Kategorie 2:
  • 1x Drucksensor (Plausibilitätskontrolle durch Safety-SPS) -> Transmitter Speisegerät -> Analog Input der Safety-SPS
• Subsystem2: Kategorie 1:
  • 1x Induktiver Näherungsschalter -> Trennbarriere -> Digitaler Input der Safety-SPS
• Subsystem3: Kategorie 3: (Redundant)
  • 1x Absolutwertgeber -> Umsetzer -> Digital Input der Safety-SPS
  • 1x inkrementalwertgeber -> Zählermodul der Safety-SPS
• Safety SPS von Schneider
• Relaiskoppler
• (weitere Safety-SPS mit Relaiskoppler-Ausgängen, die die Magnetventile ansteuern und die Bremse lüften (fail-safe-betätigen). Hier erstmal nicht betrachtet)

Meine Bedenken bei dem System:

1. In meinem Konzept sind die Eingangsmodule der SPS mit in den jeweiligen Subsystem implementiert. Ich weiß nicht, ob man das so machen kann/darf.
2. Der Druck in Subsystem1 kann von der Safety-SPS oft genug auf Plausibilität überprüft werden. Reicht das schon aus für Kategorie 2?
3. Wenn PLr d gefordert ist, reicht Kategorie 1 im Subsystem2 nicht aus. Da kann man jedoch auch notfalls zwei Induktive Näherungsschalter in Kategorie 3 verwenden. Oder?
4. Der induktive Näherungsschalter hat einen DC von 0% laut Datenblatt, also nicht einsetzbar für Performance Level? Meint ihr, das bezieht sich darauf, dass er sich selbst nicht überprüft?
   1. Der Trennverstärker überprüft diesen Sensor auf Kurzschluss und Leitungsunterbrechung. Wenn ich über die SPS den Sensor/Trennverstärker auswerte, sollte ich den DC erhöhen können. Oder?
   2. Alternativ für Kategorie 3 sollte ich mit der SPS überprüfen, ob einer der beiden aktiviert wurde und dann die Sicherheitsfunktion einleiten können.
5. Spricht in Subsystem3 theoretisch etwas dagegen, nur zwei Inkrementalgeber oder nur zwei Absolutgeber zu benutzen? Also als homogene Redundanz.
6. ....

Falls euch noch was auffällt, dass ich unbedingt beachten sollte und mir meine Fragen/Bedenken mit entsprechender Nummer beantworten könntet, wäre ich euch zu tiefst dankbar!

Ich bin natürlich offen für jede Frage und Anregung.

Danke
Safety_Simon