# Anforderungsrate Kategorie 2



## PeterK1981 (22 April 2022)

Hallo zusammen, 

ich modelliere derzeit ein Kategorie 2 System und habe leichte Probleme bei der Definition der Anforderungsrate.
Nach ISO 13849-1 ist die Anforderungsrate definiert als "Häufigkeit je Zeiteinheit von Anforderungen an eine sicherheitsbezogene Reaktion eines SRP/CS".

Da das betrachtete System recht kompliziert ist, nehme ich mal ein anderes fiktives und unrealistisches Beispiel. Zur Verdeutlichung der Frage ist dies jedoch ganz gut geeignet. 

Nehmen wir an, wir haben zwei voneinander getrennte und vollständig umzäunte Wartungsplätze, welche jeweils durch eine eigene Zugangstür (Tür 1 und Tür 2) erreichbar sind. Ein Roboter bedient beide Räume. Sobald Raum 1 zur Wartung betreten wird, muss die Öffnung der Tür angefordert werden. Der Roboter hat daraufhin 10 Sekunden Zeit, Raum 1 zu verlassen und seine Arbeit nur noch auf Raum 2 zu beschränken. Die Tür zu Raum 1 öffnet sich nach 15 Sekunden. Hat der Roboter Raum 1 innerhalb von 10 Sekunden nicht verlassen, wird er sicher ausgeschaltet. Er wird auch ausgeschaltet, wenn er sich von Raum 2 zurück zu Raum 1 bewegen möchte. 

Es geht mir hier um die Anforderungsrate der Ausschaltung. Entspricht die Anforderungsrate
a) der Häufigkeit des Zugangs 
b) der Häufigkeit eines Fehlerfalls, wenn der Roboter tatsächlich ausgeschaltet wird. 

Das Verlassen des Raumes bei Zugangsanforderung oder das Verbleiben in Raum 2 während der Wartung sind keine Sicherheitsfunktionen. Die Sicherheitsfunktion besteht im Ausschalten falls der Roboter den Raum 1 nicht verlässt oder sich während der Wartung von Raum 2 zu Raum 1 bewegt. Daher tendiere ich zu Antwort a. Da die unsicheren Systeme aber höchst selten ausfallen, käme man auf eine sehr geringe Anforderungs- und damit auch Testrate.


----------



## Blockmove (22 April 2022)

Mir ist nicht ganz klar, wie du hier Kategorie 2 umsetzen willst?
Nicht sichere Positionserfassung und Abschaltung des Roboters?


----------



## Tommi (22 April 2022)

Du beschreibst einen Prozess- und nicht mit welcher Kategorie er umgesetzt wird! Oder
es ist schon zu spät für mich!!


----------



## Elektriko (23 April 2022)

Meiner Meinung nach Zugänge Raum 1 bzw. Roboter betret Raum 1, und Kommunikation mit dem Roboter 

Aber was passiert wenn der Roboter den Raum 1 betret und keine Kommunikation mit dem Roboter gibt (Test Kanal) welche wäre die Reaktion? Die ganze Anlage auszuschalten?


----------



## Blockmove (23 April 2022)

Elektriko schrieb:


> Meiner Meinung nach Zugänge Raum 1 bzw. Roboter betret Raum 1, und Kommunikation mit dem Roboter
> 
> Aber was passiert wenn der Roboter den Raum 1 betret und keine Kommunikation mit dem Roboter gibt (Test Kanal) welche wäre die Reaktion? Die ganze Anlage auszuschalten?



Schutztüren (Zugänge) mit Kategorie 2 ist extrem schwierig ... Wie willst du da auf eine vernünftige Testrate kommen?

Ich kann mir höchstens vorstellen, dass hier die Schutzräume des Robis mit Kategorie 2 ausgewertet werden sollen.
Entweder weil der Roboter es nicht sicher kann oder weil jemand vergessen hat die Option mitzubestellen.

Wir verwenden nie Kategorie 2.
Den Aufwand den man an Material spart, steckt man x-fach in die Doku.
Zumindest bei Sondermaschinen ... Bei Serienmaschienen mit entsprechenden Stückzahlen sieht's anders aus.


----------



## PeterK1981 (23 April 2022)

Ich gebe zu, das Ganze ist etwas umständlich beschrieben. Engen wir die Situation folgendermaßen ein. 

In Raum 1 befindet sich die Wartungsperson. Der Roboter arbeitet in Bereich 2 und wird von der unsicheren SPS gesteuert. Sollte sich der Roboter, aufgrund einer fehlerhaften Ansteuerung durch die unsichere SPS, auf Bereich 1 hinbewegen, wird er sofort über eine Sicherheitsfunktion ausgeschaltet. 
Die Sicherheitsfunktion besteht unter anderem aus Sensoren, Sicherheits-SPS und Hauptschützen (ggf. Bremse etc.). Nehmen wir an, eine Komponente ist nicht redundant ausgeführt, sondern als Kategorie 2 System. Wir hätten also beispielsweise ein Hauptschütz. Um PL von d zu erreichen, müsste das Hauptschütz nun überwacht werden. 

Das Beispiel ist rein fiktiv. Umsetzen würde ich das Ganze so nicht. Mir geht es aber nur um die Definition der Anforderungsrate. 
Nach meinem Verständnis der Norm entspricht die Anforderungsrate der Sicherheitsfunktion dem Fehlerverhalten der unsicheren SPS. Nur dann müssten die Hauptschütze auch tatsächlich reagieren.
Es gibt aber sicher auch Stimmen, die sagen würden, dass die Anforderungsrate dem Betreten des Raumes entspricht, auch wenn die Sicherheitsfunktion nur bei einem Fehler der unsicheren SPS reagieren würde.


----------



## Elektriko (23 April 2022)

@Blockmove ich meinte Zugang nur vom Roboter, also kein Türschalter, sondern Sensoren, Scanner, Lichtvorhänge. 

@PeterK1981 aber ich verstehe noch nicht wo den Test Kanal ist, im Hauptschütz?
Wenn ja, der Hauptschütz musst dann 100 Mal an- und ausgeschaltet werden (zwischen jede Sicherheitsanforderung) und den Test Kanal sein Zustand überprüfen


----------



## PeterK1981 (24 April 2022)

Elektriko schrieb:


> @Blockmove ich meinte Zugang nur vom Roboter, also kein Türschalter, sondern Sensoren, Scanner, Lichtvorhänge.
> 
> @PeterK1981 aber ich verstehe noch nicht wo den Test Kanal ist, im Hauptschütz?
> Wenn ja, der Hauptschütz musst dann 100 Mal an- und ausgeschaltet werden (zwischen jede Sicherheitsanforderung) und den Test Kanal sein Zustand überprüfen


Der Testkanal ist für die Frage nach der Anforderungsrate nicht relevant. Man könnte bspw. das Hauptschütz über die Sicherheits-SPS kontrollieren, ob es klebt und dann anderweitig einen sicheren Zustand einleiten.

Würde man beispielsweise einen Not-Halt Taster als Kategorie 2 System modellieren (was wohl keiner tun wird), dann wäre die Anforderungsrate, die erwartete Betätigung des Tasters. Würde man, bspw. 1x pro Monat annehmen, dann müsste dieser 100x (bzw. 25x) monatlich getestet werden.

Die Sicherheitsfunktion wird nur aktiv, wenn die unsichere SPS ein Fehlverhalten zeigt, daher hätte ich das als Grundlage für die Testrate angesehen.


----------



## Elektriko (24 April 2022)

PeterK1981 schrieb:


> Die Sicherheitsfunktion wird nur aktiv, wenn die unsichere SPS ein Fehlverhalten zeigt, daher hätte ich das als Grundlage für die Testrate angesehen.



Was meinst du hier? Ich habe es nicht verstanden


----------



## stevenn (27 April 2022)

Kat 2 verwenden wir auch nie!
Aber zu deiner Thematik, ich hoffe ich habe es richtig verstanden.
Meiner Meinung nach würde ich auf die sichere Seite gehen und auch a) anwenden, weil dafür wahrscheinlich die gleiche Sicherheitsfunktion (in der SPS) verwendet wird, sowie der gleiche Aktor. Für mich ist das Abschalten über die Tür die gleiche Sicherheitsfunktion, wie wenn der Roboter im Fehlerfall zurückkehrt. Es ist halt nur ein anderer Sensor


----------



## nilpferd (27 April 2022)

Die Anforderungsrate entspricht der Häufigkeit des Zugangs. Bei der Testrate kommt es auf den PFHd an, ob man 100x oder 25x ansetzen muss.
Man kann das System aber auch so gestalten, dass mit der Anforderung ein Test der SiFu durchgeführt wird.
Hier kommt jetzt der PLr in Spiel: Bei D muss der Testausgang einen sicheren Zustand auslösen, bei C reicht eine Warnung.

Ich schließe mich aber auch der Meinung von Kollegen an, dass Kat2 nicht das Gelbe vom Ei ist um PLd zu erreichen.


----------



## Elektriko (27 April 2022)

nilpferd schrieb:


> Die Anforderungsrate entspricht der Häufigkeit des Zugangs. Bei der Testrate kommt es auf den PFHd an, ob man 100x oder 25x ansetzen muss.
> Man kann das System aber auch so gestalten, dass mit der Anforderung ein Test der SiFu durchgeführt wird.
> Hier kommt jetzt der PLr in Spiel: Bei D muss der Testausgang einen sicheren Zustand auslösen, bei C reicht eine Warnung.
> 
> Ich schließe mich aber auch der Meinung von Kollegen an, dass Kat2 nicht das Gelbe vom Ei ist um PLd zu erreichen.


Was ist das von "100x oder 25x", ich habe geglaubt, dass nur 100x zulässig war


----------



## Blockmove (27 April 2022)

Elektriko schrieb:


> Was ist das von "100x oder 25x", ich habe geglaubt, dass nur 100x zulässig war



Der Vorteil von Kat. 2 ist, dass sie unter Umständen günstiger ist.
Das macht es für Serienmaschinen interessant.
Deshalb wurde sie vor einiger Zeit genauer definiert. (PL, Testrate, Störung / Warnung)
So wie es eben @nilpferd beschreibt.


----------



## stevenn (27 April 2022)

nilpferd schrieb:


> Hier kommt jetzt der PLr in Spiel: Bei D muss der Testausgang einen sicheren Zustand auslösen, bei C reicht eine Warnung.


wie kommst du zu dieser Annahme?


----------



## nilpferd (27 April 2022)

stevenn schrieb:


> wie kommst du zu dieser Annahme?


Das haben mir die Herren Pilz und TÜV letztens auf einem Lehrgang zum CMSE vermittelt.


----------



## nilpferd (27 April 2022)

Elektriko schrieb:


> Was ist das von "100x oder 25x", ich habe geglaubt, dass nur 100x zulässig war


Wenn der PFHd um 10% erhöht wird, kann die Testrate auf 25x gesenkt werden.


----------



## MasterOhh (27 April 2022)

stevenn schrieb:


> wie kommst du zu dieser Annahme?


IFA Report 2/2017 Kapitel 6.2.5



> Grundsätzlich und für PLr = d zwingend muss die Ausgabe (OTE) einen sicheren Zustand einleiten, der bis zur Behebung des Fehlers beibehalten wird. Bis PLr = c kann es alternativ – wenn das Einleiten eines sicheren Zustands nicht praktikabel ist (z.B. durch Verschweißen des Kontakts des finalen Schaltglieds) – ausreichen, wenn der Ausgang der Testeinrichtung, OTE, nur eine Warnung bereitstellt.


Wobei das "Warnung reicht" bei PLr c nicht generell gilt.


----------



## Elektriko (27 April 2022)

nilpferd schrieb:


> Wenn der PFHd um 10% erhöht wird, kann die Testrate auf 25x gesenkt werden.


Wo steht das? ich finde die Info nicht, vielleicht fehlt mir ein Kaffee....


----------



## Elektriko (27 April 2022)

schon gefunden 6.2.14... aber ich verstehe noch nicht die Erhöhung von 10%... 10% von 2,9*10-7????


----------



## PeterK1981 (27 April 2022)

Das Erreichen eines sicheren Zustands ist tatsächlich ein Problem bei der Kategorie 2 um einen PL von d zu erreichen. 
Es wäre jedoch denkbar, dass der Testkanal die Freigabe des Antriebs wegnimmt, womit ebenfalls ein sicherer Zustand gewährleistet ist. Dies setzt aber voraus, dass der Antriebshersteller einen MTTFd Wert zur Verfügung stellt.


----------



## Blockmove (27 April 2022)

PeterK1981 schrieb:


> Das Erreichen eines sicheren Zustands ist tatsächlich ein Problem bei der Kategorie 2 um einen PL von d zu erreichen.
> Es wäre jedoch denkbar, dass der Testkanal die Freigabe des Antriebs wegnimmt, womit ebenfalls ein sicherer Zustand gewährleistet ist. Dies setzt aber voraus, dass der Antriebshersteller einen MTTFd Wert zur Verfügung stellt.


Mein Fazit (und der Grund warum ich nie Kat. 2 nutze)
Die Kat.2 war Murks, ist Murks und bleibt Murks.
Es entstehen immer halbgare Lösungen am Rande des Zulässigen.
Gibt es irgendwann Probleme, dann ist nicht sicher, dass ein Sachverständiger deiner Argumentation folgt und du hast wieder das Thema an der Backe. Sowas ist mir die Mühe nicht wert und darum nehme ich einfach Kat. 3.


----------



## PeterK1981 (27 April 2022)

Blockmove schrieb:


> Mein Fazit (und der Grund warum ich nie Kat. 2 nutze)
> Die Kat.2 war Murks, ist Murks und bleibt Murks.
> Es entstehen immer halbgare Lösungen am Rande des Zulässigen.
> Gibt es irgendwann Probleme, dann ist nicht sicher, dass ein Sachverständiger deiner Argumentation folgt und du hast wieder das Thema an der Backe. Sowas ist mir die Mühe nicht wert und darum nehme ich einfach Kat. 3.


Ja, so mache ich das auch. Wie der TÜV schon einmal zu mir sagte, wird die Kat. 2 nur verwendet, wenn man im Design einen Fehler hat und dann noch versucht, alles irgendwie zu retten.


----------

