Fehlerbehandlung
Level-2
- Beiträge
- 15
- Reaktionspunkte
- 0
-> Hier kostenlos registrieren
Hallo Genossen.
ich möchte eine sicherheitstechnische Fragestellung mit euch teilen, die mich aktuell beschäftigt und bei der ich eure fachliche Einschätzung sehr schätzen würde.
Es handelt sich um eine automatisierte Prüf-Anlage, die vollständig in einem Überseecontainer untergebracht ist. Der Innenraum des Containers ist als Schutzzone zu klassifizieren, da an mehreren Stellen durch bewegte Maschinenteile potenzielle Quetsch- und Scherstellen bestehen. Der Einsatz von Schutzzäunen oder festen Abdeckungen zur Absicherung dieser Gefahrenstellen ist im Containerinnenraum entweder technisch nicht möglich oder wird vom Kunden ausdrücklich nicht gewünscht.
In unserer Steuerungssystematik ist es so vorgesehen, dass beim Unterbrechen des Schutzkreises sowohl die Versorgungsmedien als auch die aktive Betriebsart (z. B. Automatik) sofort abgeschaltet werden. Dies wäre also automatisch der Fall, wenn die Tür geöffnet wird. Eine erneute Aktivierung der Medien ist erst nach einer Quittierung möglich.
Daraus ergibt sich jedoch ein zentrales Problem:
Wenn der Bediener im Inneren des Containers die Medien einschaltet und den Automatikbetrieb startet, muss er zur anschließend den Container verlassen. 1.: Die Anlage läuft in der Automatik, obwohl sich noch eine Person im Schutzbereich befindet und 2.: Durch das Öffnen der Tür beim Verlassen wird der Schutzkreis unterbrochen – wodurch Medien und Betriebsart sofort wieder deaktiviert werden. Ein Automatikbetrieb ist damit faktisch nicht möglich.
Seitens des Kunden wurde vorgeschlagen, ein zusätzliches externes Bedienpanel neben der Zugangstür anzubringen, über das der Automatikbetrieb gestartet werden kann. Dies halte ich aus sicherheitstechnischer Sicht für kritisch, da damit das Risiko besteht, dass die Anlage von außen unbeabsichtigt oder unberechtigt gestartet wird, während sich noch eine Person im Schutzbereich befindet.
Um dieses Risiko zu minimieren, wurde diskutiert, dass der Start von außen nur dann zulässig sein soll, wenn zuvor ein bestimmter Taster im Inneren betätigt wurde – und zwar innerhalb eines definierten Zeitfensters. Damit verbunden ist die Anforderung, dass die Türüberwachung in dieser Zeitspanne sicherheitsgerichtet überbrückt wird, sodass der Bediener den Container verlassen kann, ohne den Schutzkreis auszulösen.
Diese Lösung wirft jedoch mehrere sicherheitstechnische Fragen auf:
Viele Grüße
Fehlerbehandlung
ich möchte eine sicherheitstechnische Fragestellung mit euch teilen, die mich aktuell beschäftigt und bei der ich eure fachliche Einschätzung sehr schätzen würde.
Es handelt sich um eine automatisierte Prüf-Anlage, die vollständig in einem Überseecontainer untergebracht ist. Der Innenraum des Containers ist als Schutzzone zu klassifizieren, da an mehreren Stellen durch bewegte Maschinenteile potenzielle Quetsch- und Scherstellen bestehen. Der Einsatz von Schutzzäunen oder festen Abdeckungen zur Absicherung dieser Gefahrenstellen ist im Containerinnenraum entweder technisch nicht möglich oder wird vom Kunden ausdrücklich nicht gewünscht.
In unserer Steuerungssystematik ist es so vorgesehen, dass beim Unterbrechen des Schutzkreises sowohl die Versorgungsmedien als auch die aktive Betriebsart (z. B. Automatik) sofort abgeschaltet werden. Dies wäre also automatisch der Fall, wenn die Tür geöffnet wird. Eine erneute Aktivierung der Medien ist erst nach einer Quittierung möglich.
Daraus ergibt sich jedoch ein zentrales Problem:
Wenn der Bediener im Inneren des Containers die Medien einschaltet und den Automatikbetrieb startet, muss er zur anschließend den Container verlassen. 1.: Die Anlage läuft in der Automatik, obwohl sich noch eine Person im Schutzbereich befindet und 2.: Durch das Öffnen der Tür beim Verlassen wird der Schutzkreis unterbrochen – wodurch Medien und Betriebsart sofort wieder deaktiviert werden. Ein Automatikbetrieb ist damit faktisch nicht möglich.
Seitens des Kunden wurde vorgeschlagen, ein zusätzliches externes Bedienpanel neben der Zugangstür anzubringen, über das der Automatikbetrieb gestartet werden kann. Dies halte ich aus sicherheitstechnischer Sicht für kritisch, da damit das Risiko besteht, dass die Anlage von außen unbeabsichtigt oder unberechtigt gestartet wird, während sich noch eine Person im Schutzbereich befindet.
Um dieses Risiko zu minimieren, wurde diskutiert, dass der Start von außen nur dann zulässig sein soll, wenn zuvor ein bestimmter Taster im Inneren betätigt wurde – und zwar innerhalb eines definierten Zeitfensters. Damit verbunden ist die Anforderung, dass die Türüberwachung in dieser Zeitspanne sicherheitsgerichtet überbrückt wird, sodass der Bediener den Container verlassen kann, ohne den Schutzkreis auszulösen.
Diese Lösung wirft jedoch mehrere sicherheitstechnische Fragen auf:
- Ist eine derart komplexe Logik mit zeitlich begrenzter Türüberbrückung normkonform und mit klassischen Sicherheitsrelais realisierbar (eine F-CPU ist nicht vorgesehen)?
- Wie lässt sich sicherstellen, dass der innere Taster nicht zur dauerhaften Überbrückung missbraucht werden kann?
- Was passiert, wenn der äußere Startbefehl ausbleibt – wird dann automatisch in einen sicheren Zustand zurückgekehrt?
Viele Grüße
Fehlerbehandlung
Sorry wenn das falsch rüber gekommen ist - so war das nicht gemeint. Es liest sich wie ein Schlüsseltransfersystem, aber es soll lediglich dafür sorgen, dass die Anlage von außen nicht aus versehen gestartet werden kann, für den Fall, dass sich eine Person im Container befindet.
