Fehlertoleranz in der Maschinensicherheit Maschinensicherheit: Einfach Abschalten war gestern

Anbieter zum Thema

ZVEI e.V. Verband der Elektro- und Digitalindustrie

MES Electronic Connect GmbH & Co. KG

ISH Ingenieursozietät GmbH

MTM Power Messtechnik Mellenbach GmbH

Geräte und Systeme der funktionalen Sicherheit schalten im Fehlerfall nicht mehr einfach ab. Sie melden sich rechtzeitig und bleiben kurz weiter in Betrieb. So funktioniert der „degradierte Betrieb“.

Moderne Geräte und Systeme der funktionalen Sicherheit helfen im Maschinen- und Anlagenbau, die grundsätzlichen Anforderungen an den Arbeits- und Gesundheitsschutz gemäß der Maschinenrichtlinie (2006/42/EG) abzudecken. Ausgangspunkt hierfür ist die Risikoanalyse und -einschätzung basierend auf der EN ISO 12100.

Aus der Risikobeurteilung lassen sich die risikomindernden Maßnahmen in den einzelnen Disziplinen konstruktiv-technisch-organisatorisch ableiten. Der Prozess der Risikobeurteilung erfolgt iterativ, das heißt, er muss so lange wiederholt werden, bis eine ausreichende Risikominderung auf ein akzeptables Restrisiko nachgewiesen ist.

Bildergalerie

Kommen steuerungstechnische Schutzmaßnahmen zum Einsatz, legen die Hersteller diese nach EN ISO 13849-1 und/oder der EN IEC 62061 aus. Die technische Dokumentation enthält Hinweise zum Aufbau dieser Maßnahmen, deren sicherheitstechnischen Zuverlässigkeit und ihrer bestimmungsgemäßen Verwendung.

Geräte und Systeme der funktionalen Sicherheit werden heute so ausgelegt, dass ihr sicherer Zustand der Zustand der Energiefreiheit ist. Das heißt: Alle gefährlichen Bewegungen werden gestoppt. Dies ist für alle Maschinen und Anlagen die richtige Wahl, bei denen die Energietrennung und damit ein Stopp der sichere Zustand ist.

Für immer mehr Maschinen und Anlagen, beispielsweise im Kontext von I4.0, ist jedoch eine erhöhte Verfügbarkeit notwendig bzw. gefordert. Zudem führt ein „harter Stopp“ gegebenenfalls zu weiteren Gefährdungen, die in der Risikoanalyse eigentlich zu berücksichtigen sind. Das Dogma der Energietrennung, als einzige Reaktion im Fehlerfall, ist daher nicht mehr zeitgemäß.

Neues Konzept: Fehlertoleranz im Safety-Bereich

An dieser Stelle setzt die Arbeitsgruppe im Technischen Ausschuss Sicherheitstechnik (TA SI) des ZVEI an. Das Ziel ist es, die Anforderungen und Rahmenbedingungen an einen sicheren und kontrollierten Weiterbetrieb eines Geräts/Systems zu beschreiben.

Seit April 2017 hat sich die Arbeitsgruppe unter aktiver Beteiligung zahlreicher Firmen aus dem Bereich der sicheren Automation und Teilnehmern der Berufsgenossenschaft Holz&Metall sowie des Instituts für Arbeitssicherheit in der DGUV (IFA) in 25 Workshops und Meetings des Themas angenommen. Im Juli 2019 wurde, als ein erstes Ergebnis, das ZVEI-Whitepaper Fehlertoleranz in der Maschinensicherheit: Teil 1 – Grundlagen, Version 1.0 veröffentlicht.

Die hohe Resonanz am Markt und die gute Zusammenarbeit motivierten zu einer Fortführung und Weiterarbeit. Seit Juni 2021 ist nun der zweite Teil „Fehlertoleranz in der Maschinensicherheit: Teil II – Anforderungen Version 1.1“ verabschiedet. Die Veröffentlichung des Whitepapers ist für den Herbst geplant.

Nachfolgend geben wir einen kurzen inhaltlichen Überblick zum neuen Konzept. Der gedankliche Schritt ist folgender: Geräte und Systeme der funktionalen Sicherheit schalten im Fehlerfall nicht mehr einfach ab. Stattdessen melden sie sich rechtzeitig – und bleiben noch für eine „sicherheitstechnisch vertretbare Zeit“ weiter im Betrieb.

Dieser Schritt soll es ermöglichen, im Fehlerfall einen Produktionsprozess abzuschließen, ohne dass Schaden am Produkt selbst oder an einem Werkzeug durch das harte Abschalten entsteht. Idealerweise kann damit die Wartung eingeleitet, d.h. vorbereitet und am Ende eines Arbeitsschrittes und/oder Schicht die Wartung vorgenommen werden.

Natürlich darf dieser Schritt nicht zu einem Verlust an Sicherheit führen, also einer Erhöhung des Restrisikos auf Basis EN ISO 12100. Selbstverständlich müssen diese Maßnahmen im Einklang mit den Anforderungen aus den relevanten Normen EN ISO 13849-1 und EN 62061 erfolgen.

Die Normen untersagen es nicht explizit, Sicherheitskomponenten mit integrierter Selbstdiagnose und Überwachung trotz eines Fehlers für eine zu definierende Zeit weiter zu betreiben. Die EN ISO 13849-1 enthält keinen Hinweis, dass im Fehlerfall das Abschalten bzw. die Herstellung des energiefreien Zustandes die ‚einzig richtige Reaktion‘ ist. Vielmehr lassen die Normen bei einer zweikanaligen Struktur der Kategorie 3 oder Kategorie 4 eine Fehlererkennung und eine daraus resultierende Reaktion auf einen ersten Fehler zu, wenn die Sicherheitsfunktion angefordert wird.

Somit lassen sich innerhalb des Anwendungsbereichs der EN ISO 13849-1 Zeitspannen bestimmen, in der ein Weiterbetrieb der Maschine bis zur nächsten Anforderung der Sicherheitsfunktion toleriert werden kann. Obwohl ein potenziell gefährlicher Ausfall erkannt wurde, können fehlertolerante Systeme also einen Weiterbetrieb ermöglichen. Bei einem fehlertoleranten System ist neben der Fehlererkennung zusätzlich eine qualifizierte Fehlerbewertung erforderlich. Nur damit kann entschieden werden, ob der erkannte Fehler toleriert werden kann oder so schwerwiegend ist, dass ein sofortiges Stillsetzen unabdingbar ist.

Die Bewertung, wie im Teil I dargestellt, sieht sich im Einklang mit den Schutzzielen der Maschinenrichtlinie und steht nicht im Widerspruch zu den harmonisierten Normen ISO 13849 bzw. IEC 62061. Weitergehende Fragestellungen zur applikativen Umsetzung werden im Teil II ausgeführt.

Der Teil II beschreibt die erforderlichen Voraussetzungen für den Betrieb im degradierten Zustand. Voraussetzung für die Anwendung des Teils II ist die Berücksichtigung von Teil I. In Teil II werden Anforderungen an die Teilsysteme definiert, die für einen degradierten Betrieb geeignet sind. Es wird ein Verfahren beschrieben, wie der Integrator einer Sicherheitsfunktion für den Betrieb im degradierten Zustand auslegen und in der Maschine unter Verwendung dafür geeigneter Teilsysteme implementieren kann. Zusätzlich gibt der Teil II dem Hersteller von Sicherheitskomponenten eine Orientierungshilfe zur möglichen Auslegung der Teilsysteme.

Die Basis: 1oo2D-Architektur mit zwei Kanälen

Die Basis ist die 1oo2D-Architektur: Sie besteht aus zwei parallelen Kanälen. Jeder Kanal führt die Sicherheits-Teilfunktion aus. Sollte die Diagnose in einem Kanal einen Fehler erkennen, wird der Ausgangsvergleich angepasst, so dass der Gesamtausgangszustand dem anderen voll funktionsfähigen Kanal folgt.

Falls die Diagnose in beiden Kanälen Fehler oder eine Abweichung erkennt, die keinem der beiden Kanäle zugeordnet werden kann, wird der Ausgang in den sicheren Zustand versetzt. Um eine Abweichung zwischen den beiden Kanälen zu erkennen, kann jeder Kanal den Zustand des anderen Kanals durch unabhängige Mittel bestimmen.

Diese Architektur ermöglicht einen fehlertoleranten Weiterbetrieb bei einem Einzelfehler in einem Kanal, unabhängig von der Art des Fehlers. Für eine optimale Arbeitsweise in einem System, wurde die Architektur 1oo2D+ eingeführt (Bild 1). Sie basiert auf der Architektur 1oo2D und beinhaltet zusätzlich eine erweiterte Diagnose.

Ergebnis der qualifizierten Diagnose als Statussignal

Diese sogenannte „qualifizierte Diagnose“ bewertet: Welcher Fehler liegt vor? Wo liegt dieser Fehler (z.B. welcher Kanal)? Kann die Sicherheits-Teilfunktion weiter ausgeführt werden?

Das Ergebnis der qualifizierten Diagnose kann als Diagnosestatus (in Anlehnung an Namur NE 131) zusätzlich über Statussignale zur Verfügung gestellt werden:

• Ausfall: Aufgrund einer Funktionsstörung im Gerät oder an seiner Peripherie ist das Ausgangssignal ungültig.

• Funktionskontrolle: Am sicherheitsbezogenen Gerät wird gearbeitet, das Ausgangssignal ist daher vorübergehend ungültig (z.B. eingefroren).

• Außerhalb der Spezifikation: Vom Gerät durch Selbstüberwachung ermittelte Abweichungen von den zulässigen Umgebungs- oder Prozessbedingungen oder Störungen im Gerät selbst weisen darauf hin, dass die Messunsicherheit bei Sensoren oder die Sollwertabweichung bei Aktoren wahrscheinlich größer ist, als unter Betriebsbedingungen zu erwarten.

• Wartungsbedarf: Das Ausgangssignal ist zwar noch gültig, aber die Funktionsreserve wird demnächst erschöpft oder aufgrund von Einsatzbedingungen eine Funktion in Kürze eingeschränkt sein (z.B. Betrieb im degradierten Zustand).

• Statussignale: Sind keine Statussignale gesetzt, ist von einer bestimmungsgemäßen Funktion des Sicherheitsgeräts auszugehen.

Für ein gesamthaftes Ausbilden der Fehlertoleranz in einer Applikation ist eine Verschaltung von Sicherheitsteilsystemen notwendig. Also beispielsweise von einem sicheren Sensor mit einer sicheren Verarbeitungseinheit und gegebenenfalls einem sicheren Leistungsantrieb.

Dazu wurden sogenannte Link-Typen definiert, die sowohl die Übertragung der Sicherheits- aber auch Diagnoseinformation gewährleisten.

Dazu sind (auszugsweise) Beispiele für den Link Typ 11 (Bild 2) zu einer bitorientierten Übertragung und Link Typ 12 (Bild 3) mit einer seriellen Übertragung, beispielsweise beim Einsatz von sicherheitsbezogenen Bussystemen, dargestellt.

Das Anbinden von sicheren Leistungsantrieben ermöglicht weitere Schnittstellen. Der Leistungsantrieb enthält dabei die qualifizierte Diagnose und den Entscheider. Analog sind diese (auszugsweise) der Link Typ 21 (Bild 4) und der Link Typ 22 (Bild 5).

Ein Fazit zum degradierten Safety-Betrieb

Eine Maschine ist ein komplexes technisches Arbeitsmittel mit einer Hauptfunktion, beispielsweise Aufbereiten, Behandeln oder Verarbeiten von Materialien durch Wirkbewegungen. Sie ist gekennzeichnet durch eine funktionelle Verkettung von Mechanismen zum Umwandeln von Energiearten.

Das Arbeitsmittel wird gesteuert und überwacht durch ein Steuerungssystem, das auf Eingangssignale des Prozesses und/oder eines Bedieners reagiert und Ausgangssignale erzeugt, welche die Betriebsmittel in der gewünschten Art arbeiten lassen.

Die dokumentierten Ergebnisse im Whitepaper des Fachverbands Automation im ZVEI zeigen, dass ein fehlertoleranter oder degradierter Weiterbetrieb für eine bestimmte Zeit grundsätzlich möglich ist.

Speziell die in Teil II beschriebene Umsetzung der Anforderungen zeigt jetzt, dass dies konform zu den wichtigsten harmonisierten Normen möglich ist.

Auf der Internetseite des ZVEI können Sie das Whitepaper „Fehlertoleranz in der Maschinensicherheit – Teil II“ herunterladen: https://www.zvei.org/presse-medien/publikationen/fehlertoleranz-in-der-maschinensicherheit-teil-2//KR

* * Klaus Stark ... arbeitet als Innovationsmanager bei Pilz in Ostfildern. * Frank Bauder ... ist im Service Management bei Leuze in Owen tätig. * Rolf Schumacher ... ist Senior Safety Consultant bei Sick in Waldkirch.

(ID:47525165)