-> Hier kostenlos registrieren
Zu Jesper's Beitrag noch: Ein TÜVler verlangte mal redundant UND diversitär, nein, kein Waschbär sondern ein Schütz z.b. von Siemens und ein Zweites von Moeller.
Verwendung von Hilfskontakten eines Schützes für Not-Halt
- Ersteller Alex.TU
- Erstellt am
-> Hier kostenlos registrieren
Da bin ich mir nicht ganz sicher. Im Handbuch gibt es viele Beispiele: https://support.industry.siemens.co...1350491/v1/manual_safety_relay_3SK1_de-DE.pdf
Kann ich gerade leider nicht testen, da mein Vorgänger den Not-Halt-Kreis möglicherweise falsch vertratet hat.
Für mein Verständnis kann das Sicherheitsrelais nichts machen, wenn ein Schütz nicht abschaltet.
Aber wenn nach einem Reset ein Schütz nicht anzieht, sollte das Sicherheitsrelais wieder in Not-Halt gehen.
Da ich da sowieso nochmal dran muss, werde ich das nochmal testen.
- Beiträge
- 13.449
- Reaktionspunkte
- 5.357
-> Hier kostenlos registrieren
Da kommen ein paar Dinge zusammen.
Wenn ein Schütz kleben bleibt, dann funktioniert die Sicherheitsfunktion nicht mehr.
Bei einkanaliger Ausführung (PLc) bleibt die Anlage in einem gefährlichen Zustand.
Bei zweikanaliger Ausführung (Pld / PLe) erfolgt die Abschaltung durch den 2. Schütz.
Das Sicherheitsrelais überwacht den / die Öffnerkontakt(e) und verhindert so das erneute Einschalten.
Zieht ein Schütz nicht an, dann bleibt die Anlage in einem sicheren Zustand.
Jetzt gibt es einen Unterschied zwischen einkanaliger und zweikanaliger Ausführung. Bei einkanaliger Ausführung kann das Sicherheitsrelais das Verhalten erkennen. Bei zweikanaliger Ausführung nicht. Die Öffnerkontakte an der Rückführung sind in Reihe geschaltet und somit ist der Rückführkreis unterbrochen. Für das "normale" Sicherheitsrelais ist die Welt in Ordnung.
Bei programmierbaren Relais oder Sicherheits-SPSen hast du andere Möglichkeiten. Da kannst du auch das Einschalten überwachen. Vorausgesetzt du hast jür jeden Schütz eine eigene Rückführung
- Beiträge
- 9.503
- Reaktionspunkte
- 2.394
Probier mal eine von die Hilfskontaktblöcken von den Schütz abzunehmen. Kommt es zu eine Störung auf das Sicherheitsrelais ? Oder ist es egal und es kann quittiert werden ?
edit: Noch ein Test, halte per Hand den Hilfskontakt in den aktivierte Stellung (wie wenn ein Kontakt geschweist is).
Dann, beim aktivierung von den Not Halt, kommt es zu eine Störung auf das Sicherheitsrelais ?
Zuletzt bearbeitet:
marcusscholle
Level-2
- Beiträge
- 174
- Reaktionspunkte
- 196
Also Leute, um mal mit ein paar Missverständnissen aufzuräumen. Man kennt's von mir, der Beitrag wird mal wieder etwas länger. Ich will die Zitate nicht einzeln einfügen, so wird's ja noch länger, daher einfach als Tag: @Alex.TU @DeaD_EyE @JesperMP @Blockmove
Prinzipielle Anforderungen für ein PLr=c
Das ist ehrlich gesagt schnell abgefrühstückt. Prinzipiell würde man hier für das Ausgangs-Teilsystem auf eine Kategorie 1 gehen wollen (klar, ginge auch höher). Damit brauchen wir sowohl bewährte Sicherheitsprinzipien als auch (hier wichtiger) bewährte Bauteile.
Anmerkung: Ab Kat. 2 aufwärts bräuchten wir grundsätzlich keine bewährten Bauteile, aber dennoch bewährte Sicherheitsprinzipien. Ohne zu tief hier einzugehen, macht für diese Betrachtung (ob das Schütz geeignet ist), keinen Unterschied.
Referenz: ISO 13849-1:2023, 6.1.3 und Tabelle 5
Schließerkontakt im Rückführkreis
Da das einfacher zu beantworten ist als die Frage zu den Hilfskontakten, das mal zuerst.
TL;DR: Nein, geht nicht.
Wenn wir ein Hauptschütz haben, reden wir in aller Regel vom Spiegelkontakt. Die Norm dafür wäre die EN IEC 60947-4-1:2019 (DIN EN IEC 60947-4-1:2020-05). Da gibt es einen normativen Anhang F. In diesem wird zunächst mal beschrieben, dass man Verwechslungen mit dem "zwangsgeführten Kontakt" aus IEC 60947-5-1 vermeiden will. Am Ende bin ich beim Anwender nicht päpstlicher als der Papst und diese Unterscheidung ist für die Komponentenhersteller relevanter.
In diesem Fall ist es so, dass Begriffe auch in den Anhängen definierten (normalerweise Abschnitt 3). Wenn wir in F.2.1 schauen, finden wir für den Spiegelkontakt:
Öffner, der entsprechend den Bedingungen in Abschnitt F.7 nicht gleichzeitig mit dem Schließer-Hauptkontakt geschlossen sein kann
Ohne zu tief darauf einzugehen, aber der Anhang beschreibt auch entsprechende Prüfungen. Darunter eben auch das bewusste Verklemmen/Verschweißen.
Stellen wir uns mal vor, was der Kontaktspiegel macht, wenn das Schütz verschweißt: Der Kontaktspiegel zieht sich schief. Dann kann ein Leistungskontakt verschweißt sein, und mein Rückführkreis würde bei Schließerlogik dennoch offen (ok) melden.
Eine Anekdote hierzu:
Sowas wie die Gretchenfrage - und auch die kontroverseste, meiner Meinung nach.
Wenn wir von "normalen" Schützen ausgehen, haben wir einen Hilfsschalterblock, der vom Anwender aufgeschnappt wird. Das führt zu mehreren Problemen:
Naja, eigentlich nur zwei Sachen:
Beispiele aus meiner Erfahrung
Anmerkung: Vielleicht vorweg für @Alex.TU: Bei ABB hatte ich in der Vergangenheit nicht allzu viel mit den Schützen zu tun. Mir ist aber grundsätzlich kein allgemeines "Verbot" von denen bekannt. Allerdings werden zumindest nur die AFS-Varianten die Zwangsführung für den aufgeschnappten (da dann halt fix montiert) Hilfskontakt haben. ABB scheint auch hauptsächlich auf den Manipulationsschutz und nicht direkt die Zuverlässigkeit abzustellen.
Ich nehm jetzt hier mal zwei, die ich im Detail kenne.
Siemens - ein wenig albern, aber handhabbar
Bei Siemens kann man die üblichen Schütze durchaus nehmen (3RT, auch 3RH). Allerdings habe ich auch hier die Zwangsführung erst einmal nur für das "Grundschütz", nicht für den selbst aufgeschnappten Hilfskontakt. Wenn ihr Zwangsführung auf den Hilfskontakten braucht, ist meine Empfehlung, die entsprechenden Schütze mit rotem Einleger zu bestellen. Aus Zuverlässigkeitssicht sehe ich keinen Grund das Schütz zu tauschen, wenn nur die Kontakte vom Basismodul genutzt werden.
Was ich hier mit "albern" meine, sieht man im Gerätehandbuch für SIRIUS (A5E03656507110A/RS-AH/009, Stand 08/2022). Schaut mal in 9.17 nach der "Plombierbaren Abdeckung". Das steht da hart für jede Sicherheitsanwendung. Screenshot ist angehängt. Habe ich der Vergangenheit nie gemacht (kommt und holt mich), wurde nie bemängelt (auch nicht von Behörden/BGs/benannten Stellen). Wird wohl ironischerweise auch von Siemens selbst so nicht (wirklich) durchgeführt.
Rockwell - absoluter Bockmist
Rockwell hat in der Tat "Standard-Schütze" und "Safety-Schütze". Aber nicht in dem Sinne, dass die sich selbst überwachen oder sowas, nein. Die erste Gruppe ist gar nicht für Sicherheitsanwendungen nutzbar. Ich hatte einen Kunden mit einer Minenanwendung für die USA - Förderband-Anwendung, PLc ausreichend, Ausgangs-Teilsysteme in Kategorie 1, 160 Schütze. Mein Kunde hatte die "weißen" drin. Jedenfalls wurde ihm das bemängelt.
Rockwell hat aber auch "rote Schütze". Nur diese sind für Safety nutzbar. Warum? Naja, schaut zum Beispiel in die SISTEMA-Bibliothek (Zitat) bei einem "Standard contactor":
This product is not specifically intended as a safety device and the given data represents reliability data. Any use of the terms MTTFd, B10D, T10D or PFHd does not relate to a failure to danger. The user assumes all costs and liability for any decision to use these products as part of a functional safety related system and on what represents a failure danger.
Ich habe den größten Schwachsinns-Satz mal markiert. Hatte auch Diskussionen mit entsprechenden Leuten von Rockwell und naja - man hat recht bedröppelt zugegeben, dass die Schütze vom selben Band laufen und die Aussage oben schon mal gar keinen Sinn macht und eher aus der Rechtsabteilung kommt.
Prinzipielle Anforderungen für ein PLr=c
Das ist ehrlich gesagt schnell abgefrühstückt. Prinzipiell würde man hier für das Ausgangs-Teilsystem auf eine Kategorie 1 gehen wollen (klar, ginge auch höher). Damit brauchen wir sowohl bewährte Sicherheitsprinzipien als auch (hier wichtiger) bewährte Bauteile.
Anmerkung: Ab Kat. 2 aufwärts bräuchten wir grundsätzlich keine bewährten Bauteile, aber dennoch bewährte Sicherheitsprinzipien. Ohne zu tief hier einzugehen, macht für diese Betrachtung (ob das Schütz geeignet ist), keinen Unterschied.
Referenz: ISO 13849-1:2023, 6.1.3 und Tabelle 5
Schließerkontakt im Rückführkreis
Da das einfacher zu beantworten ist als die Frage zu den Hilfskontakten, das mal zuerst.
TL;DR: Nein, geht nicht.
Wenn wir ein Hauptschütz haben, reden wir in aller Regel vom Spiegelkontakt. Die Norm dafür wäre die EN IEC 60947-4-1:2019 (DIN EN IEC 60947-4-1:2020-05). Da gibt es einen normativen Anhang F. In diesem wird zunächst mal beschrieben, dass man Verwechslungen mit dem "zwangsgeführten Kontakt" aus IEC 60947-5-1 vermeiden will. Am Ende bin ich beim Anwender nicht päpstlicher als der Papst und diese Unterscheidung ist für die Komponentenhersteller relevanter.
In diesem Fall ist es so, dass Begriffe auch in den Anhängen definierten (normalerweise Abschnitt 3). Wenn wir in F.2.1 schauen, finden wir für den Spiegelkontakt:
Öffner, der entsprechend den Bedingungen in Abschnitt F.7 nicht gleichzeitig mit dem Schließer-Hauptkontakt geschlossen sein kann
Ohne zu tief darauf einzugehen, aber der Anhang beschreibt auch entsprechende Prüfungen. Darunter eben auch das bewusste Verklemmen/Verschweißen.
Stellen wir uns mal vor, was der Kontaktspiegel macht, wenn das Schütz verschweißt: Der Kontaktspiegel zieht sich schief. Dann kann ein Leistungskontakt verschweißt sein, und mein Rückführkreis würde bei Schließerlogik dennoch offen (ok) melden.
Eine Anekdote hierzu:
- Ich hatte schon Maschinenbauer aus südlichen Ländern (ahem, Pasta...), bei denen ich Maschinen einbinden musste.
- Rückführkreise zum Signalaustausch Not-Halt bekommen, denke ich mir: komisch, könnt ihr das nicht selbst? Aber gut, mache ich bei mir halt mit.
- Komme auf die Baustelle, meine Programmierer sagen mir, dass das Zeug aktuell auskommentiert ist, weils sowieso nicht funktioniert. Natürlich direkt wieder rein machen lassen, ich will das sehen.
- Dauert nicht lange, Not-Halt fliegt. Konnten wir beim ersten Mal leider nicht verifizieren bzw. beobachten.
- Beim nächsten Mal bemerke ich aber deren Monteur (deutsch nicht, selbst englisch leider schwer) zu deren Bedienpult gehen, Schlüsselschalter umschalten.
- Anlagen-Not-Halt fliegt. Hä?
- Die waren dann auch kurz danach wieder weg. Schnappe mir den Kunden und wir schauen neugierigerweise mal nach.
- Im Schrank alles mit Sicherheitsrelais geregelt. Hätte ich aufgrund der Größe nicht gemacht, ist aber ja nicht falsch in dem Sinne.
- Dann merken wir jedenfalls, dass alle internen Sicherheitsrelais mit Schließern in Reihe geschalten sind.
- Beim Betätigen des Schlüsselschalters wurden in der Maschine quasi Schutzeinrichtungen logisch gebrückt.
- Aber wenn meine Steuerung natürlich einen (unerwarteten) Signalwechsel im Rückführkreis sieht, wird sie abschalten.
- Denken wir mal bitte nach, wann bei zwei Schützen mit in Reihegeschalteten Schließern im Rückführkreis ein Fehler erkannt wird...
- Bei einem klebenden Schütz? Nein, denn es wird ja maskiert vom anderen!
- Ich würde den Fehler dann erkennen, wenn beide Schütze kleben... Ja, Klasse!
- Monteur und Hersteller wurden angesprochen: Haben wir schon immer so gemacht...
- Führt zu einigen interessanten Hirnverknotungen, wenn man als Integrator nachher CE auf die gesamte Anlage vergeben muss (waren auch noch andere Leichen drin begraben)...
Sowas wie die Gretchenfrage - und auch die kontroverseste, meiner Meinung nach.
Wenn wir von "normalen" Schützen ausgehen, haben wir einen Hilfsschalterblock, der vom Anwender aufgeschnappt wird. Das führt zu mehreren Problemen:
- Wie teilweise schon angesprochen wurde, kann der ja abfallen.
- Die Prüfungen, die in EN IEC 60947-4-1:2019, Anhang F stehen, beziehen sich ja auf das vom Hersteller inverkehrgebrachte Produkt. Er kann aber nix prüfen, was erst vom Anwender vervollständigt wird.
- Es gibt dann auch noch die vermaledeite "Handhilfsbetätigung".
- Die Schweizer SUVA hilft hier auch nicht wirklich - deswegen spricht man auch manchmal hier von "SUVA-Schützen".
Naja, eigentlich nur zwei Sachen:
- Der Hilfsschalterblock ist unlösbar
- Keine Handhilfsbetätigung möglich. In der Regel gelöst über eine Abdeckung/Scheibe über der Schaltanzeige.
Beispiele aus meiner Erfahrung
Anmerkung: Vielleicht vorweg für @Alex.TU: Bei ABB hatte ich in der Vergangenheit nicht allzu viel mit den Schützen zu tun. Mir ist aber grundsätzlich kein allgemeines "Verbot" von denen bekannt. Allerdings werden zumindest nur die AFS-Varianten die Zwangsführung für den aufgeschnappten (da dann halt fix montiert) Hilfskontakt haben. ABB scheint auch hauptsächlich auf den Manipulationsschutz und nicht direkt die Zuverlässigkeit abzustellen.
Ich nehm jetzt hier mal zwei, die ich im Detail kenne.
Siemens - ein wenig albern, aber handhabbar
Bei Siemens kann man die üblichen Schütze durchaus nehmen (3RT, auch 3RH). Allerdings habe ich auch hier die Zwangsführung erst einmal nur für das "Grundschütz", nicht für den selbst aufgeschnappten Hilfskontakt. Wenn ihr Zwangsführung auf den Hilfskontakten braucht, ist meine Empfehlung, die entsprechenden Schütze mit rotem Einleger zu bestellen. Aus Zuverlässigkeitssicht sehe ich keinen Grund das Schütz zu tauschen, wenn nur die Kontakte vom Basismodul genutzt werden.
Was ich hier mit "albern" meine, sieht man im Gerätehandbuch für SIRIUS (A5E03656507110A/RS-AH/009, Stand 08/2022). Schaut mal in 9.17 nach der "Plombierbaren Abdeckung". Das steht da hart für jede Sicherheitsanwendung. Screenshot ist angehängt. Habe ich der Vergangenheit nie gemacht (kommt und holt mich), wurde nie bemängelt (auch nicht von Behörden/BGs/benannten Stellen). Wird wohl ironischerweise auch von Siemens selbst so nicht (wirklich) durchgeführt.
Rockwell - absoluter Bockmist
Rockwell hat in der Tat "Standard-Schütze" und "Safety-Schütze". Aber nicht in dem Sinne, dass die sich selbst überwachen oder sowas, nein. Die erste Gruppe ist gar nicht für Sicherheitsanwendungen nutzbar. Ich hatte einen Kunden mit einer Minenanwendung für die USA - Förderband-Anwendung, PLc ausreichend, Ausgangs-Teilsysteme in Kategorie 1, 160 Schütze. Mein Kunde hatte die "weißen" drin. Jedenfalls wurde ihm das bemängelt.
Rockwell hat aber auch "rote Schütze". Nur diese sind für Safety nutzbar. Warum? Naja, schaut zum Beispiel in die SISTEMA-Bibliothek (Zitat) bei einem "Standard contactor":
This product is not specifically intended as a safety device and the given data represents reliability data. Any use of the terms MTTFd, B10D, T10D or PFHd does not relate to a failure to danger. The user assumes all costs and liability for any decision to use these products as part of a functional safety related system and on what represents a failure danger.
Ich habe den größten Schwachsinns-Satz mal markiert. Hatte auch Diskussionen mit entsprechenden Leuten von Rockwell und naja - man hat recht bedröppelt zugegeben, dass die Schütze vom selben Band laufen und die Aussage oben schon mal gar keinen Sinn macht und eher aus der Rechtsabteilung kommt.
Anhänge
Zuletzt bearbeitet:
- Beiträge
- 13.449
- Reaktionspunkte
- 5.357
-> Hier kostenlos registrieren
@marcusscholle
Sehr gut erklärt.
Die Erfahrungen mit den ital. Maschinenbauern kann ich bestätigen. Da gibt es ausgesuchte Spezialisten.
Sehr gut erklärt.
Die Erfahrungen mit den ital. Maschinenbauern kann ich bestätigen. Da gibt es ausgesuchte Spezialisten.
- Beiträge
- 9.503
- Reaktionspunkte
- 2.394
Ich beziehe mich auf diesen Anleitiung:
In Kapitel 2.1.5 steht es:
Für z.B 3RH2911-1FA22 steht in die technische Daten,
In Kapitel 2.1.5 steht es:
Ich lese den letzten Satz als fest integrierte Hilfkontakte sind vorteilhaft, aber aufgeschnappte Hilfskontakte können verwendet werden.
Für z.B 3RH2911-1FA22 steht in die technische Daten,
- Beiträge
- 9.503
- Reaktionspunkte
- 2.394
Ich habe es auch nie gesehen. Und warum, tjah wenn man darüber spekulieren wollte, wie das umzusetzen wäre, wäre das ein Albtraum.
Ich habe eine schlechte Neuheit.
Ein Vorwurf für EN 50745:2025 'Safety of machinery - Protection against corruption' ist aus.
In Kapitel 7.4.3.4.5 'Physical tampering' ist vorgeschrieben 'Physical tampering shall be detected e.g. seal breaking'
Dies gelt für die SRSL Stufen SRSL1-SRSL3, was bedeutet, alle Maschinen die nicht komplett isoliert sind.
Ich gehe in April zu eine tagenlangen Workshop der über EN 50742 und IEC 62443-3-3 handelt. Wird interessant.
edit: Um es klarzustellen: EN 50745 bezieht sich nicht auf herkömmliche physische Sicherheitsausrüstung. Es geht um die Vernetzung im Zusammenhang mit Maschinensicherheit.
Aber … das ist auch nicht viel besser. Wie lassen sich alle vernetzten Geräte in einem Sicherheitssystem physisch plombieren?
Zuletzt bearbeitet:
- Beiträge
- 13.449
- Reaktionspunkte
- 5.357
-> Hier kostenlos registrieren
Vor ein paar Jahren hat unsere IT-Security gefordert, dass es keine leicht zugängliche Netzwerkanschlüsse an Maschinen geben darf.
Doppelbartschloss zählt nicht und M12-Netzwerkanschlüsse an dezentralen IOs dürfen auch nicht zugänglich sein.
Wir Automatisierer haben damals gesagt, dass wir nachziehen, wenn sie alle Netzwerkdosen abschließbar haben.
Natürlich ist IT-Security wichtig. Aber irgendwo muss es noch realistisch bleiben.
- Beiträge
- 28.590
- Reaktionspunkte
- 11.487
- Beiträge
- 13.449
- Reaktionspunkte
- 5.357
Über Profibus kommst du online auf die CPU.
Wenn schon dann ASi.
Ist jetzt kein Witz. Durch dieses ganze Secuity-Zeug wird ASi wieder interessant.
-> Hier kostenlos registrieren
Momentan funktioniert das nicht. Ich vermute, dass mein Vorgänger einen dicken Fehler eingebaut hat. Soweit ich weiß, verwenden wir für die Rückmeldung 2 Kontakte in Reihe, ob Schließer oder Öffner muss ich nochmal nachsehen.
- Beiträge
- 9.503
- Reaktionspunkte
- 2.394
Eine Vermutung.
Abhängig von welche Sicherheitsrelais verwendet ist, dann kann es sein dass dasselbe Relais in unterschiedliche Weisen funktionieren kann.
Abhängig von wie es verbunden ist, wird Optionen aktiviert bzw. deaktiviert. Z.B. ob Quittierung automatisch ist oder nicht, oder ob Rückführung überwacht ist oder nicht. Es kann sein, das Relais ist korrekt, aber es ist falsch verbunden damit es keine Rühfuhrüberwachung ist.
Zuletzt bearbeitet:
marcusscholle
Level-2
- Beiträge
- 174
- Reaktionspunkte
- 196
Ich werde ja oft gefragt, wen man denn für die "OT-Security" denn nehmen soll.
Nachdem ich dann erkläre, dass die Trennung es so ja eigentlich gar nicht gibt (geben sollte), sage ich dann meist was in der Art:
Auf jeden Fall keinen reinen ITler. Meine persönliche Erfahrung sind eigentlich Leute, die vorher SPS-Programmierer waren und sich eben für IT-Sachen interessieren. Eventuell hilft das auch bei denen, die etwas weg von der Montage wollen.
- Beiträge
- 13.449
- Reaktionspunkte
- 5.357
-> Hier kostenlos registrieren
@marcusscholle
Irgendwie herrscht bei dem ganzen Thema "IT-Security bei Maschinen und Anlagen" viel Verunsicherung und somit Schulungsbedarf"
Unabhängig von Sinn und Zweck und Verhältnismäßigkeit habe ich persönlich den Eindruck, dass hier "die nächste Sau durchs Dorf getrieben wird".
Problem wird sein erstmal die richtigen Experten zu finden.
Denn genauso wenig wie sich viele Automatisierer mit dem Thema nicht auskennen, ist es wohl auch den meisten bisherigen Sicherheitsexperten.
Funktionale Sicherheit unterscheidet sich halt doch deutlich von IT-Security. Auch wenn natürlich Prinzipien wie Risikobeurteilung für beide gelten.
Irgendwie herrscht bei dem ganzen Thema "IT-Security bei Maschinen und Anlagen" viel Verunsicherung und somit Schulungsbedarf"
Unabhängig von Sinn und Zweck und Verhältnismäßigkeit habe ich persönlich den Eindruck, dass hier "die nächste Sau durchs Dorf getrieben wird".
Problem wird sein erstmal die richtigen Experten zu finden.
Denn genauso wenig wie sich viele Automatisierer mit dem Thema nicht auskennen, ist es wohl auch den meisten bisherigen Sicherheitsexperten.
Funktionale Sicherheit unterscheidet sich halt doch deutlich von IT-Security. Auch wenn natürlich Prinzipien wie Risikobeurteilung für beide gelten.
Interessant wird es, wenn die IT-Sicherheit zu einem echten Problem für die Maschinensicherheit wird.
Aber ich konzentriere mich erstmal auf die Hardware. Zum Glück hab ich mit IT-Security nicht viel am Hut.
Bin heute leider nicht zu gekommen den Not-Halt-Kreis zu überprüfen. War 8 Stunden mit 4 Stationen, 8 Firmwareupdates und Lizenztransfer beschäftigt. Unglaublich. Tia v21 ist 3-mal abgestützt. Jetzt hab ich gerade noch Tia V21 Update 1 installiert.
Aber ich konzentriere mich erstmal auf die Hardware. Zum Glück hab ich mit IT-Security nicht viel am Hut.
Bin heute leider nicht zu gekommen den Not-Halt-Kreis zu überprüfen. War 8 Stunden mit 4 Stationen, 8 Firmwareupdates und Lizenztransfer beschäftigt. Unglaublich. Tia v21 ist 3-mal abgestützt. Jetzt hab ich gerade noch Tia V21 Update 1 installiert.
Vielen Dank für deine Antwort.Also Leute, um mal mit ein paar Missverständnissen aufzuräumen. Man kennt's von mir, der Beitrag wird mal wieder etwas länger. Ich will die Zitate nicht einzeln einfügen, so wird's ja noch länger, daher einfach als Tag: @Alex.TU @DeaD_EyE @JesperMP @Blockmove
Prinzipielle Anforderungen für ein PLr=c
Das ist ehrlich gesagt schnell abgefrühstückt. Prinzipiell würde man hier für das Ausgangs-Teilsystem auf eine Kategorie 1 gehen wollen (klar, ginge auch höher). Damit brauchen wir sowohl bewährte Sicherheitsprinzipien als auch (hier wichtiger) bewährte Bauteile.
Anmerkung: Ab Kat. 2 aufwärts bräuchten wir grundsätzlich keine bewährten Bauteile, aber dennoch bewährte Sicherheitsprinzipien. Ohne zu tief hier einzugehen, macht für diese Betrachtung (ob das Schütz geeignet ist), keinen Unterschied.
Referenz: ISO 13849-1:2023, 6.1.3 und Tabelle 5
Schließerkontakt im Rückführkreis
Da das einfacher zu beantworten ist als die Frage zu den Hilfskontakten, das mal zuerst.
TL;DR: Nein, geht nicht.
Wenn wir ein Hauptschütz haben, reden wir in aller Regel vom Spiegelkontakt. Die Norm dafür wäre die EN IEC 60947-4-1:2019 (DIN EN IEC 60947-4-1:2020-05). Da gibt es einen normativen Anhang F. In diesem wird zunächst mal beschrieben, dass man Verwechslungen mit dem "zwangsgeführten Kontakt" aus IEC 60947-5-1 vermeiden will. Am Ende bin ich beim Anwender nicht päpstlicher als der Papst und diese Unterscheidung ist für die Komponentenhersteller relevanter.
In diesem Fall ist es so, dass Begriffe auch in den Anhängen definierten (normalerweise Abschnitt 3). Wenn wir in F.2.1 schauen, finden wir für den Spiegelkontakt:
Öffner, der entsprechend den Bedingungen in Abschnitt F.7 nicht gleichzeitig mit dem Schließer-Hauptkontakt geschlossen sein kann
Ohne zu tief darauf einzugehen, aber der Anhang beschreibt auch entsprechende Prüfungen. Darunter eben auch das bewusste Verklemmen/Verschweißen.
Stellen wir uns mal vor, was der Kontaktspiegel macht, wenn das Schütz verschweißt: Der Kontaktspiegel zieht sich schief. Dann kann ein Leistungskontakt verschweißt sein, und mein Rückführkreis würde bei Schließerlogik dennoch offen (ok) melden.
Eine Anekdote hierzu:
Ist der Hilfskontakt zwangsgeführt?
- Ich hatte schon Maschinenbauer aus südlichen Ländern (ahem, Pasta...), bei denen ich Maschinen einbinden musste.
- Rückführkreise zum Signalaustausch Not-Halt bekommen, denke ich mir: komisch, könnt ihr das nicht selbst? Aber gut, mache ich bei mir halt mit.
- Komme auf die Baustelle, meine Programmierer sagen mir, dass das Zeug aktuell auskommentiert ist, weils sowieso nicht funktioniert. Natürlich direkt wieder rein machen lassen, ich will das sehen.
- Dauert nicht lange, Not-Halt fliegt. Konnten wir beim ersten Mal leider nicht verifizieren bzw. beobachten.
- Beim nächsten Mal bemerke ich aber deren Monteur (deutsch nicht, selbst englisch leider schwer) zu deren Bedienpult gehen, Schlüsselschalter umschalten.
- Anlagen-Not-Halt fliegt. Hä?
- Die waren dann auch kurz danach wieder weg. Schnappe mir den Kunden und wir schauen neugierigerweise mal nach.
- Im Schrank alles mit Sicherheitsrelais geregelt. Hätte ich aufgrund der Größe nicht gemacht, ist aber ja nicht falsch in dem Sinne.
- Dann merken wir jedenfalls, dass alle internen Sicherheitsrelais mit Schließern in Reihe geschalten sind.
- Beim Betätigen des Schlüsselschalters wurden in der Maschine quasi Schutzeinrichtungen logisch gebrückt.
- Aber wenn meine Steuerung natürlich einen (unerwarteten) Signalwechsel im Rückführkreis sieht, wird sie abschalten.
- Denken wir mal bitte nach, wann bei zwei Schützen mit in Reihegeschalteten Schließern im Rückführkreis ein Fehler erkannt wird...
- Bei einem klebenden Schütz? Nein, denn es wird ja maskiert vom anderen!
- Ich würde den Fehler dann erkennen, wenn beide Schütze kleben... Ja, Klasse!
- Monteur und Hersteller wurden angesprochen: Haben wir schon immer so gemacht...
- Führt zu einigen interessanten Hirnverknotungen, wenn man als Integrator nachher CE auf die gesamte Anlage vergeben muss (waren auch noch andere Leichen drin begraben)...
Sowas wie die Gretchenfrage - und auch die kontroverseste, meiner Meinung nach.
Wenn wir von "normalen" Schützen ausgehen, haben wir einen Hilfsschalterblock, der vom Anwender aufgeschnappt wird. Das führt zu mehreren Problemen:
Was ist bei denen denn anders?
- Wie teilweise schon angesprochen wurde, kann der ja abfallen.
- Die Prüfungen, die in EN IEC 60947-4-1:2019, Anhang F stehen, beziehen sich ja auf das vom Hersteller inverkehrgebrachte Produkt. Er kann aber nix prüfen, was erst vom Anwender vervollständigt wird.
- Es gibt dann auch noch die vermaledeite "Handhilfsbetätigung".
- Die Schweizer SUVA hilft hier auch nicht wirklich - deswegen spricht man auch manchmal hier von "SUVA-Schützen".
Naja, eigentlich nur zwei Sachen:
Was hat das aber mit der Zuverlässigkeit meines "Grundschützes" zu tun? Genau gar nix erst einmal. Die Schütze laufen auch gerne mal vom selben Band und sind ohne den Hilfskontakt eigentlich identisch. Leider sind die Verfahrensweisen komplett unterschiedlich nach Hersteller.
- Der Hilfsschalterblock ist unlösbar
- Keine Handhilfsbetätigung möglich. In der Regel gelöst über eine Abdeckung/Scheibe über der Schaltanzeige.
Beispiele aus meiner Erfahrung
Anmerkung: Vielleicht vorweg für @Alex.TU: Bei ABB hatte ich in der Vergangenheit nicht allzu viel mit den Schützen zu tun. Mir ist aber grundsätzlich kein allgemeines "Verbot" von denen bekannt. Allerdings werden zumindest nur die AFS-Varianten die Zwangsführung für den aufgeschnappten (da dann halt fix montiert) Hilfskontakt haben. ABB scheint auch hauptsächlich auf den Manipulationsschutz und nicht direkt die Zuverlässigkeit abzustellen.
Ich nehm jetzt hier mal zwei, die ich im Detail kenne.
Siemens - ein wenig albern, aber handhabbar
Bei Siemens kann man die üblichen Schütze durchaus nehmen (3RT, auch 3RH). Allerdings habe ich auch hier die Zwangsführung erst einmal nur für das "Grundschütz", nicht für den selbst aufgeschnappten Hilfskontakt. Wenn ihr Zwangsführung auf den Hilfskontakten braucht, ist meine Empfehlung, die entsprechenden Schütze mit rotem Einleger zu bestellen. Aus Zuverlässigkeitssicht sehe ich keinen Grund das Schütz zu tauschen, wenn nur die Kontakte vom Basismodul genutzt werden.
Was ich hier mit "albern" meine, sieht man im Gerätehandbuch für SIRIUS (A5E03656507110A/RS-AH/009, Stand 08/2022). Schaut mal in 9.17 nach der "Plombierbaren Abdeckung". Das steht da hart für jede Sicherheitsanwendung. Screenshot ist angehängt. Habe ich der Vergangenheit nie gemacht (kommt und holt mich), wurde nie bemängelt (auch nicht von Behörden/BGs/benannten Stellen). Wird wohl ironischerweise auch von Siemens selbst so nicht (wirklich) durchgeführt.
Rockwell - absoluter Bockmist
Rockwell hat in der Tat "Standard-Schütze" und "Safety-Schütze". Aber nicht in dem Sinne, dass die sich selbst überwachen oder sowas, nein. Die erste Gruppe ist gar nicht für Sicherheitsanwendungen nutzbar. Ich hatte einen Kunden mit einer Minenanwendung für die USA - Förderband-Anwendung, PLc ausreichend, Ausgangs-Teilsysteme in Kategorie 1, 160 Schütze. Mein Kunde hatte die "weißen" drin. Jedenfalls wurde ihm das bemängelt.
Rockwell hat aber auch "rote Schütze". Nur diese sind für Safety nutzbar. Warum? Naja, schaut zum Beispiel in die SISTEMA-Bibliothek (Zitat) bei einem "Standard contactor":
This product is not specifically intended as a safety device and the given data represents reliability data. Any use of the terms MTTFd, B10D, T10D or PFHd does not relate to a failure to danger. The user assumes all costs and liability for any decision to use these products as part of a functional safety related system and on what represents a failure danger.
Ich habe den größten Schwachsinns-Satz mal markiert. Hatte auch Diskussionen mit entsprechenden Leuten von Rockwell und naja - man hat recht bedröppelt zugegeben, dass die Schütze vom selben Band laufen und die Aussage oben schon mal gar keinen Sinn macht und eher aus der Rechtsabteilung kommt.
Ich glaube jedoch, dass wir etwas aneinander vorbeireden. Mir geht es konkret um die Hilfskontakte im Not-Halt-Kreis und nicht um den Rückführkreis.
Der Schutz ist für die Not-Halt-Abschaltung vorgesehen. Die Hauptkontakte sind jedoch bereits vollständig belegt. Aktuell habe ich nur eine sehr kleine Last (0,8 A), die im Not-Halt-Fall ebenfalls abgeschaltet werden muss.
Daher kam die Idee auf, diese Last über einen NC-Hilfskontakt abzuschalten.
Ist diese Lösung aus deiner Sicht in Ordnung?
Das war von Anfang an meine eigentliche Frage. in Zukunft werde ich bei NH-Kette so Hilfsschütze von Siemens verwenden (
3RH2131-1BB40)
- Beiträge
- 13.449
- Reaktionspunkte
- 5.357
-> Hier kostenlos registrieren
Kannst du verwenden.
marcusscholle
Level-2
- Beiträge
- 174
- Reaktionspunkte
- 196
Jain - technisch sehe ich keinen wirklichen Grund, warum das nicht ok sein sollte. Unter der Annahme zumindest, dass wir keine Vibrationen in relevantem Ausmaß haben (dann gibt es aber vermutlich auch Probleme an anderen Stellen).
Somit kann ich aus pragmatischer Sicht @Blockmove nur beipflichten. Mein Beitrag war ja auch auf andere zusätzliche Themen bezogen. Vor allem hast du bei NO-Logik im Hilfsschalterblock eigentlich auch keinen gefahrbringenden Ausfall, selbst wenn dieser abfallen sollte.
Aus formeller Sicht wäre das aber was, wo ich vermutlich nicht lange diskutieren würde, wenn es denn bemängelt wird. Gar nicht so sehr, weil sich drüber streiten lässt. Sondern eher weil jemand, der das bemängelt, vermutlich noch weiter graben wird, wenn ich mich quer stelle. Ist am Ende auch ein Stück weit Aufwandsabschätzung natürlich.
- Beiträge
- 13.449
- Reaktionspunkte
- 5.357
Eben. In der Zwischenzeit herrscht doch im Sondermaschinenbau meist ein gewisser Pragmatismus.
Einfach ne F-CPU und alles nach Kategorie 3. Damit ist man (meist) bis PLd auf der sicheren Seite.
RBU, Schaltplan, Software, Validierungsunterlagen sind Copy - Paste. Die Mehrkosten für Hardware spart man durch wesentlich geringeren Zeitaufwand.
Bei Serienmaschinen sieht es natürlich anders aus. Da lohnt es, dass man die Zeit investiert und ne angepasste Lösung erstellt.
