Drucktaster im Tippbetrieb (ISO 13849)

Zuviel Werbung?
-> Hier kostenlos registrieren
Was das Thema 2-Hand angeht, da gibt es ganz klare Vorgaben, wie diese umzusetzen ist. Grundsätzlich sagt die Norm/die Normen, dass der Maschinenbauer jegliche anzunehmende Manipulation berücksichtigen und verhindern muss. Typisches Beispiel ist der Sicherheitszaun. Natürlich kann man den Zaun ohne Türe mit 4 Schrauben festmachen, schließlich muss das Wartungspersonal ja nur 4x im Jahr rein. Der Mensch ist aber faul, deswegen wird nach 3x auf und zuschrauben das Zaunelement ja einfach beiseite gestellt. Genau solche Dinge muss man berücksichtigen und mit entsprechenden Maßnahmen( die natürlich im Verhältnis stehen) abwenden -> Deswegen eine Türe mit Überwachung. Die Türkontakte sind codiert, sodass eine Manipulation ausgeschlossen ist. Leider ist das Argument "Der Betreiber/Bediener muss ja wissen was er tut" nicht in jedem Fall zulässig. ("Vernünftigerweise vorhersehbare Fehlanwendung")

Gleiches gilt auch für die 2-Hand. Die 2-Hand Bed. ist weit mehr als nur 2 Knöpfe. Hier spielt das zeitliche Verhalten definitiv eine Rolle. Bei nem PLd ist der Schaltkreis der 2-Hand. Bed. schon ein recht komplexes Konstrukt. 2 Taster mit Schließern plus Öffner (Zwangsöffnend) zum Überwachen. Alle 4 Kontake über Kreuz eingelesen und gegenseitig (vom Modul oder F-CPU) überwacht. Außerdem am Rückleseeingang des Moduls oder der CPU wiederum die zu schaltenden Aktoren (Schütze, Relais etc).
Für einen neuen Fahrbefehl nach Loslassen eines der Taster, MUSS der Bediener:
1. BEIDE Elemente loslassen,
2. Es müssen ALLE Aktoren ihre sichere Stellung zurückmelden! Ein Festkleben eines Aktors oder Tasters wird somit unmittelbar erkannt.
3. Er muss beide Schaltelemente mit einer max. Diskrepanz von 500ms drücken. Alles was länger dauert wird nicht berücksichtigt.

Zur Realisierung einer 2-Hand Bed. gibt es für mich 2 Möglichkeiten:
1. Ich habe bereits eine F-CPU, dann realisiere ich die 2-Hand Bed. ebenfalls in der F-CPU (Gibt fertige Bausteine)
2. Ich nehme ein fertiges, zertifiziertes 2-Hand Modul (zB. von Pilz). Der Hersteller beschreibt genau, wie zu verdrahten ist um PLr zu erreichen.
(3) Man könnte eine 2-Hand Bed. auch mit einer normalen SPS realisieren, der Aufwand und die Nachweispflicht/Dokumentation steht aber in keinem Verhältnis wie ich finde.

Bei dem oben gezeigten Totmannschalter ist irgendwas gewaltig schief gelaufen. So wie bei vielen 2-Hand Bedienungen, hat der Hersteller vielleicht die Funktion ohne Erfüllung der Vorgaben realisiert. Das habe ich bei Zustimmfunktionen und 2-Hand Bed. schon öfters gesehen.
Es werden zwar 2 Knöpfe eingebaut, die Logik dahinter und die Manipulationssicherheit fehlte allerdings.
Diese Art der Manipulation ist natürlich genau das, was der Hersteller (der Maschinenbauer) berücksichtigen muss.
Das 1. was die Bediener bei einer falschen 2-Hand machen, ist (wie beim Totmannschalter im Bild) einen der Taster abzukleben.
(Im Hinblick auf Manipulation sind die Bediener unfassbar kreativ)


Als Ergänzung für SISTEMA: Bei Verwendung einer Zweihandbedienung bitte daran denken, dass die Sicherheitsfunktion bereits dann versagt, wenn ein Taster versagt (dann ist es ja keine Zweihand mehr). Somit kommen hier bei einer Kategorie 3 oder 4 jeweils ein Schaltelement jedes Tasters in einen Kanal.

Aber genau das darf bei der 2-Hand eben nicht passieren. Oder sagen wir mal so: Je nach PL gibt es 1 oder 2 zulässige Fehler. Dann darf die Sicherheitsfunktion darf eben nicht versagen. Im Gegenteil. Teil dieser 2-Hand Funktion ist, dass die Maschine stoppt, sobald ich einen der Taster loslasse. Neuer Fahrbefehl dann wie oben beschrieben. Das Szenario was du beschreibst, wäre bei Verwendung von einem Schließerkontakt ohne Überwachung des Kontakts durch einen 2. Kontakt (Öffner). Dann könnte beim Loslassen der Schließer kleben. Aber mit dem 2. Kontakt bekommst du das ja sofort mit und die Anlage schaltet ab.

Die 2-Hand Bed. erfüllt im Grunde zwei Funktionen oder sogar 3
1. Die eigentliche Ortsbindung. -> Könnte man ja auch ein 1-Hand Bedienpanel weit genug von der Gefahrenstelle machen.
2. Das sichere Abschalten bzw. das Gewährleisten der Ortsbindung durch Überwachung
3. Reiner Tippbetrieb, also fahren wenn gewollt, stopp wenn losgelassen. Versehentlicher Wideranlauf ohne Willen-> nicht möglich/verhindert

In der Regel muss man in der Nähe der Gefahrenstelle arbeiten. Deswegen kommt die entfernte Bedienung nicht in Frage. Stattdessen werden die Hände für einen Fahrbefehl BEIDE in sicherer Position gezwungen.
Sobald ich loslasse muss die Anlage stehen! Hier kommt dann noch hinzu, dass nach dem Loslassen der gefahrbringende Maschinenteil nicht so lange nachlaufen darf, dass ich mich dennoch verletzen könnte.
------------------------------------------------------------------------------------------------------------------------------------------------------------
Die ursprüngliche Anforderung von Basti war ja eine 1-Hand Bedienung bzw. Tippbetrieb. Bei PLd für mich fast das gleiche wie bei der 2-hand, nur mit einem Druckknopf und somit ohne den Teil der Ortsbindung
1. Drucktaster -> Für Tippbetrieb
2. Zwei Kontakte, die sich gegenseitig überwachen
3. Überwachung des Aktors für Kreuzvergleich Aktor/Taster
4. Entsprechende Logik, ggf. mit einer Art codierter Anfrage gegen versehentliches Betätigen (Gibt es im IFA ein Besipiel zu)
5. Je nach Anwendung kann ein Totmannschalter wie oben im Bild (aber bitte richtig umgesetzt) nochmal zusätzliche Sicherheit bieten oder eben der klassische Zustimmtaster bzw. ein Not-Halt Gerät


So jetzt reichts :)

VG
 
Das Thema Manipulation ist sowohl bei Zustimmschaltern als auch bei Zweihand ein Thema.
Deshalb ja auch die Idee von @Basti_1610 und mir mit positiven Flanken und zeitlicher Überwachung.
Funktionell ist damit sicherlich PLd kein Problem. Das Einleiten der Bewegung und die Dauer der Bewegung werden überwacht. Dadurch liegt das Sicherheitsniveau deutlich über dem Niveau der einzelnen Taster. Eigentlich ist es möglich alle eventuellen Fehler der Taster durch die Sicherheits-SPS zu erkennen. Das lässt sich ja auch in der Sicherheitsfunktion beschreiben, aber wie bildet man sowas konkret in der Sistema ab damit man auch da auf PLd kommt?
Funktionale Abläufe wie das Codieren werden im Sistema meines Wissens nicht behandelt. Im Sistema kann ja nur die Struktur behandelt werden.
Die Codierung fällt unter einer der anzukreuzenden Maßnahmen zB. für den Schutz vor Anlauf etc., wo man bestätigen muss, dass man sich neben der richtigen Struktur auch um solche Dinge gekümmert hat.
Vielleicht hilft da das Beispiel 24 aus dem IFA, wo ein Fahrbefehl mit einer Art Code über den Drucktaster realisiert wird, womit dann vermutlich das versehentliche Anlaufen verhindert werden kann.

VG Alex
 
Zuviel Werbung?
-> Hier kostenlos registrieren
Das lässt sich ja auch in der Sicherheitsfunktion beschreiben, aber wie bildet man sowas konkret in der Sistema ab damit man auch da auf PLd kommt?

Ich würde einfach ein Zwei-Kanal Block erstellen, jeder Block mit dem jeweiligen Taster, B10 Wert, und 99% Diagnosedeckungsgrad (direkte Überwachung)
Aber Du weiss es schon, vielleicht meintest Du anders
 
weiß ja nicht welche Möglichkeiten die Logikeinheit bietet.

Aber wenn möglich dann würde ich z.B. einprogrammieren, dass der Zustimmtaster alle 5 min mal losgelassen werden muss ;)
 
weiß ja nicht welche Möglichkeiten die Logikeinheit bietet.

Aber wenn möglich dann würde ich z.B. einprogrammieren, dass der Zustimmtaster alle 5 min mal losgelassen werden muss ;)
Natürlich hast du all diese Möglichkeiten mit einer entsprechenden Steuerung.
Und es ist u.U. auch schnell programmiert.
Die Sicherheitsfunktionen hat am Ende einen deutlich höheren Level als die Einzelkomponenten.
Aber du musst das Alles natürlich dokumentieren und validieren.
Da bleibt dann eben die Frage, ob es den Aufwand wert ist oder man eben doch sichere fertige Komponenten verwendet. Bei einer Serienmaschine sicher lohnenswert aber bei einer Sondermaschine?
 
Zuviel Werbung?
-> Hier kostenlos registrieren
Natürlich hast du all diese Möglichkeiten mit einer entsprechenden Steuerung.
Und es ist u.U. auch schnell programmiert.
Die Sicherheitsfunktionen hat am Ende einen deutlich höheren Level als die Einzelkomponenten.
Aber du musst das Alles natürlich dokumentieren und validieren.
Ja drum frage ich ja was da für Möglichkeiten sind.
Wenn ich mit Relaistechnik unterwegs bin, dann wird es hier richtig kompliziert - bis "unmöglich".
Da bleibt dann eben die Frage, ob es den Aufwand wert ist oder man eben doch sichere fertige Komponenten verwendet. Bei einer Serienmaschine sicher lohnenswert aber bei einer Sondermaschine?
Normativ stimmt schon: man darf Geld hoch stellen und Risiken eingehen. Gerade bei Sondermaschinen und Prototypen liegt das wohl nahe.

Die Normen stehen aber nicht über dem Recht und man muss sich im "Erfolgsfall" rechtfertigen, ggf. strafrechtlich.
Und "Erfolgsfall" ist ein juristischer Begriff und meint "wenn der Schaden eintritt". Wenige möchten solche "Erfolge" erreichen, oder.

Es ist schon richtig und man kann das zahlenmäßig durchkalkulieren, was ein Arbeitsunfall kostet, Folgekosten, Witwenrente usw und dann über den Faktor Eintrittswahrscheinlichkeit legen und schauen ob sich die 1000€ für die passende Steuerung gegenüber der Million Rente bei Eintrittswahrscheinlichkeit 1/1000 rechtfertigen.
Ich stelle mir solche Diskussionen immer ziemlich hart vor und vor Allem wenn man in der Bringschuld ist.

Andererseits geht ja die neue Norm auch hin und erlaubt selbst für die höchste Schadensklasse SIL1/PLb.
Ein Übertrag Kosten-->Verantwortung der Planer und Instandhalter?
1685558067731.png

Ich allein mag diesen Ansatz frei gar nicht. Ich mag die Sicherheitssysteme so, dass sie sicher sind.

Ich mag auch keinem erklären warum es das damals halt grad wirtschaftlich erschien, hier zu sparen und warum dass der jetzt kein Finger hat oder dass sie jetzt kein Mann hat.
Aber ja: jeder Weg ist gangbar. Und bei 1 Stück Sondermaschine, hinreichenden Schutzmaßnahmen und ordentlicher Doku wird möglicherweise wenig passieren.

PS: ich habe die neue 13849-1 nicht und trotzdem großes Interesse ob sich der Risikograf auch geändert hat und wie.

Noch Ein PPS: Ich gebe Blockmove recht dass durch ordentliche Planung, Verifikation und Validierung ein höherer SIL/PL erreicht werden kann als es einzelne dumme Komponenten erahnen lassen. Geht halt wieder zurück zur Frage wie man sowas in Sistema darstellt, vermutlich über DC.
 
Zuletzt bearbeitet:
Ich allein mag diesen Ansatz frei gar nicht. Ich mag die Sicherheitssysteme so, dass sie sicher sind.
Ich auch, viele andere sehen das Thema aber leider als lästige Pflicht, mit der sich kein Geld verdienen lässt. Ich persönlich wäge auch oft 2 Dinge gegeneinander ab:
1. Entweder man verbringt einige Stunden oder sogar Tage damit das absolut optimale System und perfektes Preis- Sicherheitsverhältnis zu schaffen, oder
Man gibt einfach direkt ein paar Euro mehr aus und ist auf der sicheren Seite. Am Ende sind meine Entwicklungsstunden ja auch teuer
Allerdings würde ich persönlich immer zur sichereren Seite hin optimieren.
Wenn ich an den Punkt komme ein Risiko in Kauf zu nehmen, stelle ich mir ernsthaft vor, es wäre der Erfolgsfall/Schadensfall eingetreten und ich persönlich müsste dann auch erklären und nachweisen, warum ich mich für das Risiko und gegen eine erhöhte Sicherheit entschieden habe bzw. warum jetzt die wirtschaftlichen Interessen wichtiger waren als ein Restrisiko abzudecken.

Leider entscheiden viele Konstrukteure, auch mit Kenntnis des 13849-1 Sicherheisgraphen, immer erst nach der Wahrscheinlichkeit und nicht nach dem Schadensausmaß.

Noch Ein PPS: Ich gebe Blockmove recht dass durch ordentliche Planung, Verifikation und Validierung ein höherer SIL/PL erreicht werden kann als es einzelne dumme Komponenten erahnen lassen. Geht halt wieder zurück zur Frage wie man sowas in Sistema darstellt, vermutlich über DC
Ich glaube so im Detail lässt sich eine solch programmierte Zusatzfunktion nicht im Sistema abbilden. Speziell, wenn all das in einer normalen Steuerung passiert. Dann ist es in meinen Augen wurscht, was alles schönes programmiert wurde. Ich stimme dir zu, es hat vermutlich nur Einfluss auf DC und ev. anzukreuzende Maßnahmen. Ggf. würde eine allzu komplexe Logik vielleicht sogar das Gegenteil bewirken. Am Ende hat man ja hier auch einiges zu beachten, zu validieren und zu dokumentieren (siehe ifa Rep 2/2016)
 
Ich glaube so im Detail lässt sich eine solch programmierte Zusatzfunktion nicht im Sistema abbilden. Speziell, wenn all das in einer normalen Steuerung passiert. Dann ist es in meinen Augen wurscht, was alles schönes programmiert wurde. Ich stimme dir zu, es hat vermutlich nur Einfluss auf DC und ev. anzukreuzende Maßnahmen. Ggf. würde eine allzu komplexe Logik vielleicht sogar das Gegenteil bewirken. Am Ende hat man ja hier auch einiges zu beachten, zu validieren und zu dokumentieren (siehe ifa Rep 2/2016)
Ist schon richtig, SISTEMA ist hierfür nicht unbedingt gedacht. Eine "strengere" Abfrage bei der Programmierung steigert oftmals nur meinen DC, nicht mehr. Und oftmals bringt mir der höhere DC dann auch nicht wirklich was, weil ich meinen PLd ja oft auch mit einem DC von 60% erreichen kann.

Zudem hat der DC ja nicht wirklich etwas mit Manipulation zu tun. Ein hoher DC wird zu einem gewissen Teil auch dagegen helfen, es ist aber trotzdem unterschiedlich.

In der Vergangenheit hatten wir daher im Prozess festgelegt:
  • In SISTEMA werden erst einmal nur die Maßnahmen beschrieben, die zur Erreichung des angenommenen DCs notwendig sind bzw. definiert wurden. Falls die reine Bibliothekauswahl nicht ausreichend verständlich ist, wird das eben ausführlicher individuell geschrieben.
  • Alle Maßnahmen zur Erreichung des notwendigen DCs mussten zumindest "nahe des sicherheitsgerichteten Steuerungsteils" ausgeführt werden. Also entweder direkt in der Sicherheitssteuerung oder z.B. direktes Lesen von Standardeingängen (nicht über Schnittstellen-DBs... ja Siemens-Leitfaden :sneaky:).
  • Nicht sicherheitsgerichtete Signale im Sicherheitsprogramm wurden allgemein auf ein absolutes Minimum beschränkt (z.B. war aber standardmäßig definiert, dass bei bereits anstehender Anforderung zum Einschalten aus der Standardsteuerung und steigender Flanke des Sicherheitssignals nicht eingeschaltet werden darf).
    • Hier war z.B. auch definiert, dass ein im Automatikbetrieb gedrückter Zustimmtaster einen Fehlerzustand darstellt.
  • Darüber hinausgehende Maßnahmen (die zwar zur Steigerung des DCs dienen könnten, aber zur Erreichung des PLs nicht notwendig sind) werden in der Risikobeurteilung beschrieben.
Alles hat irgendwo Vor- und Nachteile und es muss zum eigenen Prozess, den Maschinen usw. passen.
Allgemeingültig kann man sagen: Ein internes Programmierhandbuch schreiben! Es ist gar nicht so wichtig, wie dann was im Einzelfall genau definiert wird, solange etwas definiert ist. Oftmals kommt "macht keinen Sinn" oder "ist falsch" dann schon.
SOFTEMA kann hierzu eine gute Hilfestellung sein (ich sage nicht, dass mans aktuell schon produktiv nutzen sollte... letztens erst wieder nen SWValidierungs-Workshop gehabt und naja... SISTEMA V1.X.X lässt grüßen^^).

Grundsätzlich hatten wir hierbei aber den Vorteil, dass in der Regel nur das Sicherheitsprogramm eine Rolle gespielt hat. Das Standardprogramm musste nur in absoluten Ausnahmefällen mit betrachtet werden.
Mit der Maschinenverordnung wird genau dieser Punkt noch relevant... Hallo, AUS3 @S120-Basisfunktionen...
 
Zuviel Werbung?
-> Hier kostenlos registrieren
Ich vermute mal, dass es vor Gericht nicht immer ein eindeutig richtig oder falsch gibt. Daher kann jede gut dokumentierte Maßnahme einen Pluspunkt geben. Es zählt vielleicht auch die Tatsache, dass man sich sehr viele Gedanken gemacht hat und an der Argumentation und Dokumentation erkennend, offenbar auch ein wenig Ahnung hat. Am Ende sind die Normen ja nicht das Gesetzt sondern die Masch. RL. und die beschreibt am Ende nichts über das "wie" aus sondern nur "das". Wenn ich mich jetzt weitestgehend an die Norm halte dann kann man mir schon mal keine grobe Fahrlässigkeit mehr nachweisen.
Vor Gericht zählt das alles am Ende aber nur zur Hälfte. Mindestens eine Hälfte wird dadurch entschieden, ob ein gerissener Anwalt in der Lage ist, dir deine Argumente mit Gegenargumenten so um die Ohren zu hauen, dass es so ausschaut, als hättest du nicht genug unternommen.
Deswegen wandern heute noch viele unschuldige in den Knast und Mörder werden mangels Beweisen freigesprochen.

Ich unterscheide bei Sicherheitsfunktionen immer nochmal zwischen Schutzfunktionen, bei denen der Bediener eine Teilschuld hätte oder nicht. Wenn ein Tippbetrieb zum Beispiel als solches nur dann gefährlich wird, wenn der Bediener mit a ) seiner Hand in den Gefahrenbereich eindringt, in welchem er eigentlich nie etwas verloren hat und b) willentlich die Bewegung ausführt. Dann kann selbst die Sicherheitsfunktion mit all ihren Zufällen ausfallen. Am Ende passiert dann nur etwas, wenn der Bediener zusätzlich einen Fehler macht. (Mein imaginärer dritter Kanal :-))
Anders ist es zum Beispiel im Wartungsfall, wenn sich jemand hinter einer Schutztüre im Gefahrenbereich aufhält und nicht willentlich irgendeine Bewegung ausführt sondern von einem versehentlichen Anlauf überrascht werden kann.
Ist schon richtig, SISTEMA ist hierfür nicht unbedingt gedacht. Eine "strengere" Abfrage bei der Programmierung steigert oftmals nur meinen DC, nicht mehr. Und oftmals bringt mir der höhere DC dann auch nicht wirklich was, weil ich meinen PLd ja oft auch mit einem DC von 60% erreichen kann.
Also wenn die SPS überhaupt eine Rolle spielt, dann betrachte ich diese schwarz / weiß. Sie ist Teil der Überwachung oder eben nicht. Ganz egal wie komplex die Logik alles überwachen kann, die SPS kann ausfallen und bietet somit begrenzte Sicherheit. Und am Ende sagt man ja, es bringt nichts, wenn die Zuverlässigkeit des Test-Kanals weit aus besser ist, als der eigentliche Kanal.
 
Also wenn die SPS überhaupt eine Rolle spielt, dann betrachte ich diese schwarz / weiß. Sie ist Teil der Überwachung oder eben nicht. Ganz egal wie komplex die Logik alles überwachen kann, die SPS kann ausfallen und bietet somit begrenzte Sicherheit. Und am Ende sagt man ja, es bringt nichts, wenn die Zuverlässigkeit des Test-Kanals weit aus besser ist, als der eigentliche Kanal.

In dem Fall hier war nicht eine normale SPS (Kat.2 Testkanal) gemeint, sondern eine Sicherheits-SPS.
Durch entsrechende Programmierung können in dem Fall selbst bei der Verwendung von Standard-Tastern alle Fehler erkannt werden und die Auslösung der Bewegung sicher gestalten werden. Nur ist es eben keine vorgefertigte Funktion, wie du sie z.B. in den Applikatonsbeispielen (Kochbuch) findest. Und damit steigt der Aufwand für Dokumentatioon und Nachweis erheblich. Die Sicherheitsmafia weiß, wie man Geld verdient :)
 
Kannst ja mal schauen bei einem großen deutschen Hersteller der mit dem gleichen Buchstaben S anfängt wie er aufhört.
Die haben gerade im Frühjahr vom TÜV eine Bibliothek mit Sicherheitsfunktionen abnehmen und zertifizieren lassen.
Ich hab es noch nicht angeschaut, aber vllt ist da was dabei.
 
Zuviel Werbung?
-> Hier kostenlos registrieren
Hallo,

warum soll mit Sistema so kompliziert sein? Logic und Aktoren sind hier nicht in Frage. Nur den Taster. Er hat den B10 wert vom Hersteller, plus schon geschrieben: 2 Kanäle (Schließer), 2 Öffner Kontakte zu Überwachung von jedem Schließer + alle an einer F-SPS verkabelt.... Hardwaremäßig wäre es kein Problem in Sistema alles zu betrachten, um PLd zu bekommen.

Oder übersehe ich etwas?

Gruß
 
Zurück
Oben