Diagnosedeckungsgrad (DC) eines induktiven Näherungsschalters

[safety_simon]

Zuviel Werbung?
-> Hier kostenlos registrieren

Hallo Leute,

ich schreibe derzeit meine Bachelorarbeit über die Anwendung eines Prozesses im Unternehmen gemäß der DIN EN ISO 13849.
Ich analysiere gerade ein System, dass mehrere Sensoren benutzt, um ein sicherheitsgerichtetes Signal zur Ansteuerung von Motorbremsen auszugeben.
Das System läuft bisher auf zwei Standard-SPSen von Schneider und soll auf eine einzelne Safety-SPS umgestellt werden.
Der Näherungsschalter soll mit Schaltverstärker/Trennbarriere und SPS einen PL d erreichen.
Geplant ist bisher Kategorie 3 gemäß ISO 13849.

Nun meine Fragen:
1. Im Datenblatt vom induktiven Näherungsschalter steht ein DC von 0%. Ich weiß jetzt nicht so recht, wie ich diesen Wert verstehen soll. Bedeutet das für mich explizit, dass ich diesen Schalter nicht für meine PL d-Anwendung verwenden kann? Der/Die Schaltverstärker/Trennbarriere überwacht Leitungsunterbrechungen und Leitungskurzschlüsse und gibt einen Fehler aus, wenn dies zutrifft. Somit könnte ich nach Tabelle E.1 der Norm "Fehlererkennung durch den Prozess" einen DC von 0% bis 99% erreichen. Oder gibt es eine andere Maßnahme der Tabelle, die besser geeignet ist? Oder verstehe ich da was grundlegendes falsch?

2. Müsste ich für Kategorie 3 einen zweiten Sensor benutzen? Oder kann ich die Einfehlersicherheit durch einen weiteren Abgriff an den Klemmen 19/20 (siehe Datenblatt Trennbarriere) erreichen?


Danke im Voraus!
Safety_Simon

 

[Tommi]

Hallo Simon,

willkommen im Forum.

Schulmäßig betrachtet, kommst Du mit einem DC-Wert von 0 nicht weit.
Das müsste man mit Sistema mal simulieren, ob man mit Kat.2 theoretisch PLd.
erreichen kann.

Aber vielleicht kannst Du die Kombination Sensor/Schaltverstärker als einen Block
mit PLd betrachten, wenn Du vom Schaltverstärker zweikanalig auf die Sicherheits-SPS
gehst.
Da würde ich aber unbedingt mit der Hotline von Pepperl und Fuchs sprechen.
Die Datenblätter suggerieren das...

Gruß
Tommi

PS: wenn Du da was rauskriegst, würde mich das interessieren...

 

[safety_simon]

Zuviel Werbung?
-> Hier kostenlos registrieren

Hey Tommi,

danke. Diesbezüglich war ja auch meine Frage, da ja in dem Datenblatt das erwähnt wurde:

Einkanalige Abschaltungen bis SIL3 müssen über die Klemmen 13, 14 erfolgen. Der Mittelabgriff (Klemmen 19, 20) kann füreine redundante Abschaltung zusätzlich genutzt werden.

. Die Formulierung zweikanalige Abschaltung wurde ja leider nicht gewählt.. Ich werde da vermutlich dann Montag bei der Arbeit mal anrufen und fragen

Ich habe wohl noch mehr fragen in Bezug auf funktionale Sicherheit von Sensoren und Bussystemen. Inwieweit kennst du dich mit dem Thema aus?

 

[Tommi]

Hallo Simon,

im Forum gibt es viele Menschen, die sich mit dem Thema Funktionale Sicherheit gut auskennen.

Bzgl. Forumsmitglieder, welche sich in der Berufsausbildung oder der Weiterbildung befinden,
gilt die Regel, daß wir hier nicht deren Prüfungsfragen beantworten, also so nach dem Motto
"Aufgabenstellung - und dann - "ich steh' auf dem Schlauch"".
Wenn man den Eindruck hat, daß Du Dich bereits vorher mit der Beantwortung auseinandergesetzt
hast, werden Deine Fragen hier gerne beantwortet, so wie Deine erste Frage.

Gruß
Tommi

 

[safety_simon]

Guten Mittag Tommi,

das klingt doch sehr vernünftig.
Dann hätte ich erstmal noch eine Frage
Wir benutzen einen Absolutwertgeber und einen Inkrementalgeber zur Erfassung der Motordrehzahl (Datenblätter kann ich gerade nicht schicken, da ich erst Montag bei der Arbeit wieder Zugriff auf die genauen Bezeichnungen und Modelle habe). Der Inkrementalgeber gibt die Signale an eine Geberauswertung und von dort auf ein Zählermodul der SPS weiter. Da es aber kein Zählermodul von Schneider gibt, überlegen wir den Sensor über CAN-Bus auszuwerten. Ich finde jedoch nichts in den Normen und im Internet zu der funktionalen Sicherheit bei Bussystemen..
Unter welchen Umständen kann/darf man einen Sensor mit Bussystem (speziell CAN-Bus) auswerten? Sicherheitsgerichtet ist das Bussystem ja nicht wirklich..

Gruß Simon

 

[Tommi]

Zuviel Werbung?
-> Hier kostenlos registrieren

CAN is not my Baby...

Zu Profibus, Profinet oder Ethercat findet man ganz viel ONLINE...

Gruß
Tommi

 

[safety_simon]

Okay, dann werde ich da nochmal nachschauen müssen.

In welchen Fällen sollte man speziell bei der ISO 13849 eine diversitäre Redundanz einsetzen? Und wann reicht eine homogene Redundanz aus?

EDIT: (Bezogen auf zum Beispiel die Drehzahlauswertung durch Inkremental-Encoder und Absolut-Encoder)


Gruß Simon

 

[stevenn]

In welchen Fällen sollte man speziell bei der ISO 13849 eine diversitäre Redundanz einsetzen? Und wann reicht eine homogene Redundanz aus?

Schau dir doch mal den neuen IFA Report 2/2017 ab Seite 70 an

 

[safety_simon]

Zuviel Werbung?
-> Hier kostenlos registrieren

Stimmt, du hast recht!
Eine letzte Frage vorerst noch zu dem induktiven Näherungsschalter vom ersten Beitrag:
Das Problem war ja ein DC von 0%. Laut Datenblatt ist aber fest vorgegeben, dass MTTFd = 7560a ist. Also PFHd=1/((24h*60mins)*7560a) = 15,1*10^-9 und das entspricht ja direkt einem PL e. Demnach habe ich den PL ja bereits berechnet und ich brauche den DC gar nicht, oder? Oder muss ich noch mit der "exida Bewertung" weiter rechnen? Da stehen verschiedene lambdas, Proof test Intervalle und SFF drin. Also eher SIL als PL.

EDIT: Werden Proof-Tests auch bei PL-Berechnungen benötigt? Der Proof test wird nur in Verbindung mit SIL-Anwendungen genannt. PFHd-Werte werden jedoch meistens mit Proof test Intervallen angegeben.

 

[stevenn]

Das Problem war ja ein DC von 0%. Laut Datenblatt ist aber fest vorgegeben, dass MTTFd = 7560a ist. Also PFHd=1/((24h*60mins)*7560a) = 15,1*10^-9 und das entspricht ja direkt einem PL e. Demnach habe ich den PL ja bereits berechnet und ich brauche den DC gar nicht, oder?

selber Report Seite 61. so jetzt aber mal selber suchen
Schau dir den Report mal komplett an, das ist ein guter Einstieg und beantwortet wahrscheinlich viele Fragen von alleine

 

[safety_simon]

Habe eine Email von Pepperl Fuchs bekommen, bei denen ich auf die Datenblätter verwiesen wurde. Umrechnung auf einen Performance Level konnten sie nach eigenen Angaben auch nicht.

 

[Strabon]

Zuviel Werbung?
-> Hier kostenlos registrieren

Nein, das entspricht kein PL e. Die geforderte Ausfallwahrscheinlichkeit PFHd ist nur eine Anforderung für den PLe und gilt für die gesamte Sicherheitsfunktion von der Sensorik, über Logik (f-SPS) bis hin zu den Aktoren (Schütze, Bremsen etc). Dein Sensor verbrät so aber schon 15% vom gesamten erlaubten PFHd Bereich für Ple.
Den notwendigen DCavg von 99% für Ple erreichst du so auch nicht und wenn der Sensor einkanalig betrieben wird, verletzt Du die geforderte Einfehlersicherheit usw. ...

MTTFd von 7560J bedeutet: die Wahrscheinlichkeit, dass der Sensor im Durchschnitt gefährlich ausfällt ist einmal alle 7560 Jahre bzw. wie du richtig gerechnet hast 15,1*10-9. Das bedeutet, dass im Durchschnitt von 7560 installierten Sensoren einer im Jahr gefährlich ausfällt...

Ein DC von 0% bedeutet, dass der Hersteller keine Maßnahme im Sensor durchführt, die sicherstellen das die ausgegebenen Zustände richtig sind. Das ist eigentlich normal für Standard-Sensorik.

Den DC musst du durch konstruktive Maßnahmen schaffen. Durch Testen des Sensors oder Vergleich von zwei Sensoren o.ä.

Wenn Du z.B. einen zweiten baugleichen Sensor parallel betreibst, kannst Du die Zustände vergleichen:
Dann können die Sensoren
beide richtig sein,
einer richtig und der andere Sensor falsch sein,
oder beide falsch sein.

Bei den ersten beiden Fällen kannst Du bei Gleichheit arbeiten und bei unterschiedlichen Zuständen abschalten bzw. "... das System in den sicheren Zustand bringen"

Fallen beide Sensoren aus, hat man dann aber die A-Karte. Deine Sicherheitsfunktion fällt aus. Solche Fehler basieren dann aber nicht auf zufällige Fehler im einzelnen Sensor, sondern werden durch Common Cause Fehler verursacht. Das sind meist Fehler aufgrund von Umwelteinflüsse ( Magnetfelder ), können aber auch systematische Fehler in der Anlage sein. Deshalb werden für höhere Sicherheitslevel diversitäre Sensoren, wenn möglich auf unterschiedlichen physikalische Verfahren (optisch/ induktiv) gefordert. Das gilt gerade dann, wenn das Ausfallverhalten/ die Fehlerarten nur schwer vorhersehbar sind.

Prooftest ist in der Sicherheitstechnik ein Test oder Verfahren, nachdem du dein System als neuwertig betrachten kannst. Also bei mechanischen Bauteilen Kontrollen auf Mikro – Risse Kleinstfehler. Elektronik muss man austauschen oder bei jeden Bauteil die Neuwertigkeit nachweisen ... Wird bei Flugzeugen usw. gemacht, bei der Sensorik ist das offensichtlich nicht praktikabel. Das Prooftest Intervall versteckt sich bei Sicherheitsbauteile mit SIL Berechnungen meist in den maximal erlaubten Betriebszeiten. Für die PL Berechnungen wurden, glaube ich, bin mir aber nicht sicher, 20Jahre Betriebszeiten berücksichtigt. Ein Mitarbeiter von der IFA hat mir mal erzählt, dass solche Intervalle wie Lebenszeit oder Reparaturzeiten mit einer bestimmten Dauer kaum noch Veränderungen im PFHd bewirken. Um es einfacher halten, hat man das bei den Betrachtungen für den PL rausgenommen.

Gruß

 

[safety_simon]

WOW! Einfach wow! Das war DIE perfekte Antwort, mit der ich ehrlich gesagt nicht gerechnet habe. Vielen vielen vielen Dank für deine ausführliche Hilfe. Das hat jetzt viele meiner allgemeinen Unklarheiten zum Thema der funktionalen Sicherheit auf einmal beantwortet. Über den induktiven Näherungsschalter weiß ich jetzt auch bescheid.
Thema kann von mir aus geschlossen werden. Ich bin sehr zufrieden mit der Antwort!
Nochmals danke!
Safety_Simon