# Not-Halt | Ermitteln PL / Vermeiden Wiederanlauf = Sicherheitsfunktion?



## daniel80 (8 April 2021)

Moin Zusammen, 

Fragen dazu:

1. Ermitteln PL Not-Halt
Wie ermittele ich in der Risikobeurteilung einen PL_r für eine Not-Halt-Funktion? Die Vorgehensweise nach EN ISO 13849 ist mir bekannt, ABER:

Prinzipiell werden die Anforderungen an Schutzmaßnahmen bezogen auf die jeweilige Gefährdung festgelegt. 

Ein Not-Halt wird ausgelöst zur Vermeidung "irgend einer" Gefährdung, bezieht sich ja in der Regel auf die gesamte Maschine. Soll das bedeuten, dass ich für die PL-Berechnung der Not-Halt-Funktion den worst case der übrigen Sicherheitsfunktionen (also PL_r_max) ermittele?

2. Rücksetzen Not-Halt, Vermeiden automatischer Wiederanlauf = Sicherheitsfunktion?
Beispiel: Eine Maschine verfügt über einen Not-Halt, der direkt auf ein pneumatisches Ventil wirkt, das beim Betätigen des Not-Halts die Anlage drucklos schaltet. Die Quittierung (nach Entriegeln des Not-Halts) erfolgt über eine Steuerung Marke Eigenbau. Es ist daher erstmal nicht möglich, das Quittieren und Wiederingangsetzen sicherheitsbewertet durchzuführen. 

Die Frage ist, ob das überhaupt notwendig ist. Was meint ihr?


----------



## testor (8 April 2021)

Zu 1:
Der Not-Halt ist an sich ja meinen Erinnerungen nach erstmal mindestens nach PLr C auszulegen. Meiner Meinung nach schaltet der Not-Halt nicht irgendeine Bewegung ab sondern die spezifischen Gefährdungen, für die ein entsprechendes PLr ermittelt wurde. Das auslösende Element (Not-Halt Gerät) wirkt u. U. auf verschiedene Abschaltpfade. Die jeweiligen Kombinationen müssen dann entsprechend dem PLr umgesetzt sein, mindestens jedoch in PLr c. Das führt dann leider dazu das u. U. auch Gefahren die mit PLr a bewertet wurden entsprechende Hardware benötigen :|

Zu 2: Das mit dem Wiederanlauf ist ja immer so eine Sache. Generell ist ja auch ein "nicht sicherer" Reset denkbar, je nach Gefährdungsbeurteilung und Umständen dann halt mit zwei Nutzerhandlungen. Genau kann ich dir das aber nicht sagen.


----------



## Blockmove (9 April 2021)

Eine Sicherheitsfunktion besteht aus Sensor - Logik - Aktor.
Vom Aktor geht die Gefährdung aus ... Also ist er erstmal bestimmend für den erforderlichen PL.
Wenn du nun Sensoren (Not-Halt) hast, die auf mehrere Aktoren wirken, dann ist logisch, dass diese sich nach dem höchsten PL richten müssen.
Für die Logik gilt entsprechendes.

Bei der Quittierung gehen Meinungen und Ansichten auseinander. Da halt ich mich auch raus.


----------



## Matze001 (9 April 2021)

Das Quittieren ist wirklich ein spannendes Thema.

Beim Not-Halt-Taster ist es ja meist so, dass diese sich nur durch eine bewusste Handlung (meist drehen und ziehen, manchmal Schlüsselschalter) wieder zurückstellen (quittieren) lassen. Danach kann dann meiner Meinung nach auch eine Quittierung durch ein unsicheres Signal erfolgen.

Der Ablauf wäre ja dann so:

 Not-Halt entriegeln (manuelle bewusste Handlung)
Not-Halt quittieren (Taster oder z.B. HMI)
Und dann noch Start-Befehl für die Anlage

Grüße

Marcel


----------



## stevenn (12 April 2021)

zu 1. 
na klar der PLr muss so hoch sein wie die größte Gefahr ist.

zu 2.
gibt es schon genügend posts hier. ich erklär nicht zehnmal das Gleiche


----------



## daniel80 (13 April 2021)

stevenn schrieb:


> zu 1.
> na klar der PLr muss so hoch sein wie die größte Gefahr ist.
> 
> [...]



Wo ist dokumentiert, dass das so sein muss?


----------



## stevenn (13 April 2021)

daniel80 schrieb:


> Wo ist dokumentiert, dass das so sein muss?


1. Logik
2. EN 13850
3. EN 13849


----------



## daniel80 (13 April 2021)

Hab ich so in den Normen nicht entdecken können. In der ISO 13850 (Kap. 4.1.5) steht lediglich:

Die Bestimmung des erforderlichen Perfomance Level (PL) oder Sicherheits- Integritätslevel (SIL) sollte den
Zweck der Not-Halt-Funktion berücksichtigen, jedoch ist mindestens PLr c oder SIL 1 gefordert.

Betonung liegt auf "Sollte". 

Ich frage deshalb so explizit danach, weil ich den den Aufwand für eine ERGÄNZENDE Schutzmaßnahme (Auslegung, Verdrahtung, Verifikation) infrage stelle. Ggf. hilft ein eher praxisorientierter Ansatz (immerhin von einer BG verfasst): 

https://www.bgrci.de/fileadmin/BGRC...-Einrichtungen_Empfehlungen_BGRCI.pdf#page=10

Was meint ihr?


----------



## stevenn (13 April 2021)

wie lange bist du denn schon im "Sicherheitstechnikbereich" unterwegs? 
auch wenn ich ungern den Richter mit ins Boot hole, aber wie erklärst du ihm im Falle eines Unfalls, das du das nicht so gemacht hast, wie es in der Norm steht? Weil da "sollte" stand?!? na dann viel Spaß


----------



## DeltaMikeAir (13 April 2021)

stevenn schrieb:


> wie lange bist du denn schon im "Sicherheitstechnikbereich" unterwegs?
> auch wenn ich ungern den Richter mit ins Boot hole, aber wie erklärst du ihm im Falle eines Unfalls, das du das nicht so gemacht hast, wie es in der Norm steht? Weil da "sollte" stand?!? na dann viel Spaß



Naja, seine Frage finde ich gar nicht so unbegründet. "Sollte" heißt nicht "Muss".
Schön auch, dass es jemand gibt der die Normen genau liest ( und sie auch hinterfragt ).


----------



## P4ulchen (13 April 2021)

Sollte heißt doch in der Norm "muss wenn kann"


----------



## stevenn (13 April 2021)

"Du solltest nicht über die Straße gehen, wenn ein Auto kommt".

Jetzt mal ernsthaft, mach die Normen auf und suche in der pdf-datei dann nach dem Wort sollte.
EN13849-1 =75 mal
EN 13850 = 9 mal 
EN 12100 = 57 mal 
...
ihr wollt mir doch nicht erzählen, dass ihr all diese "sollte" nicht anzuwenden braucht. 

darüber hinaus https://www.kan.de/publikationen/kanbrief/normatives-und-informatives/genormte-normensprache/

wenn mir von einer Norm empfohlen wird, etwas zum machen (... es sollte ...) und ich mache das dann nicht, ist mein Verständnis, das ich die Norm nicht eingehalten habe.

das "sollte" in einer Norm hat eine andere Bedeutung als in der normalen Sprache


----------



## stevenn (13 April 2021)

P4ulchen schrieb:


> Sollte heißt doch in der Norm "muss wenn kann"


so sehe ich das auch und wende es auch schon immer so an. 
Wie oben schon beschrieben, ich möchte euch gerne sehen, wenn ihr auf der Anklagebank sitzt und dem Richter dann erklärt, dass der Not-Halt nur einkanalig war und der Unfall passiert ist, weil in der Norm "sollte" stand. Vor allem, weil der PLr sogar extra erwähnt wird.


----------



## daniel80 (13 April 2021)

stevenn schrieb:


> wie lange bist du denn schon im "Sicherheitstechnikbereich" unterwegs?



Lange genug, um zu wissen, dass mir jede Diskussion totschlagende Sätze, in denen "Richter", "Anklagebank" vorkommen, einfach nur auf den Senkel gehen...

Ich möchte wissen, welchen (minimalen) Aufwand ich betreiben MUSS, um eine Nothalt-Funktion auszulegen und umzusetzen. 

Da scheint mir das Dokument der BGRCI eine gute Guideline zu sein, und es steht auch nicht im Widerspruch zur Norm (13850), oder wie seht ihr das?


----------



## Faceman (13 April 2021)

daniel80 schrieb:


> Lange genug, um zu wissen, dass mir jede Diskussion totschlagende Sätze, in denen "Richter", "Anklagebank" vorkommen, einfach nur auf den Senkel gehen...



ACHTUNG, 100% Offtopic

Sicherheitsfachkräfte, bitte ab hier nicht weiterlesen. Zu Gefährlich für euch.

Guten Abend Daniel,
ich kann dich gut verstehen. Ich kann diese Sprüche "ja dann stehen wir aber mit einem Bein im Gefängniss" und Co. auch nicht mehr hören.
Diese ganze Wichtigtuerei. Gut dass es (noch) Leute gibt, die Arbeit nach besten Wissen und Gewissen abliefern und dafür auch die Verantwortung übernehmen
und nicht jeden ihrer Arbeitsschritte in Normen nachschlagen müssen. Mich hat erst ein "Sicherheitsbeauftragter" auf einer Inbetriebnahme angesprochen,
dass ich in ihrem Werk keine Leiter benutzen darf, solange er mir dafür keine schriftliche Unterweisung gegeben hat ( 1,6m hohe Leiter! ). Die Frage ob heute
der 1. April ist wurde verneint und bei weiterer Benutzung müsste er mich des Werkgeländes verweisen. Danke, gerne.

Für mich sind solche Personen, die man ja (leider) ab einer bestimmten Betriebsgröße haben muss nichts weiter als eine Wirtschaftsbremse.
Ich kann es schon verstehen, man schafft nichts, sieht nichts wachsen sondern Blättert den ganzen Tag nur in irgendwelchen Blättern um die
eigene oder die Arbeit eines anderen zu rechtfertigen.
Sicherheit am Arbeitsplatz hat für mich absoluten Vorrang und unsere Maschinen sollen und müssen absolut sicher sein. Aber was da immer wieder
mal verlangt wird, da kann man einfach nur noch lachen. Und wenn man dann lacht kommt gleich wieder der Spruch mit Richter und Anklagebank.
Mich wollte die BG auch schon ein paar mal "impfen" und auf ihre Seite ziehen dass ich da mehr Druck bei der GL machen muss, jede Norm muss eingehalten
werden usw usw. 
Mich wundert es ja dass unsere Gefängnisse nicht voll sind mit technischen Planern, Inbetriebnehmern, SPS Programmierern usw. usw.

Ich würde sagen wir sollten froh sein, dass es diese Jobs, welche eine tolle Lobby geschaffen hat der auch bekannte Firmen angehören welche auch gleich
dass passende Zubehör im Angebot hat noch nicht so lange gibt und unsere Oma/Opa & Mütter/Väter noch mit der eigenen Vernunft arbeiten durften.
Sonst würde Deutschland wohl heute noch in Schutt und Asche liegen weil erst Gefährdungsbeurteilungen für das aufheben jedes einzelnen Trümmersteines
durchgeführt werden müssten.

Wenn Deutschland technisch und innovativ immer weiter in den Rückstand gerät, weil erst mal 1 Jahr ausdiskutiert werden muss, nach welcher Norm
das nun ist und "ich kann die Verantwortung nicht übernehmen".... mich wundert es nicht.

Die Jungs führen vermutlich eine Gefährdungsbeurteilung durch, wenn sie auf die Toilette müssen und schlagen in den Normen nach,
wieviel Blatt Papier noch im Grenzbereich liegt, mit wieviel Kraft man die Spülung drücken darf.

Als nächstes brauche ich noch eine schriftliche Schulung wenn ich ein Fenster ab dem ersten Stock öffnen möchte, könnte ja herausfallen
oder meine Kaffeetasse fliegt runter und einem auf den Kopf.

So, jetzt könnt ihr mich steinigen weil bestimmten Personen dieser Text wohl nicht Normgerecht genug war.


----------



## testor (13 April 2021)

daniel80 schrieb:


> Lange genug, um zu wissen, dass mir jede Diskussion totschlagende Sätze, in denen "Richter", "Anklagebank" vorkommen, einfach nur auf den Senkel gehen...
> 
> Ich möchte wissen, welchen (minimalen) Aufwand ich betreiben MUSS, um eine Nothalt-Funktion auszulegen und umzusetzen.
> 
> Da scheint mir das Dokument der BGRCI eine gute Guideline zu sein, und es steht auch nicht im Widerspruch zur Norm (13850), oder wie seht ihr das?



Ich verstehe dich in Bezug auf die Diskussionen mit Richter etc. sehr gut. Im ersten Moment hätte ich aber auch vorrangig mit "Logik" begründet wieso aus meiner Sicht ein PLr der Not-Halt Funktion, der PLr der Gefährdung entsprechen sollte. Die Guideline der BG RCI ist sicher ein guter Anhaltspunkt. Aber auch hier gibt es Einschränkungen. Ich habe dabei selbst schon erlebt, dass  BGen solche Leitfaden rausgegeben haben und dann relativ schnell davon abgerückt sind. Die Norm bezieht sich zudem auf ältere Versionen von den typischen Sicherheitsnormen. Es kann sich seitdem also auch etwas geändert haben (nur das man es berücksichtigst, deine Frage/Statement kann durchaus richtig sein).
Die Schlussfolgerungen der BG RCI sind in diesem Fall letztendlich schlüssig. 
Die praktische Frage die ich mir gerade stelle ist: Wenn alle Risiken bereits anderweitig abgesichert sind, ist es dann nicht in der Regel einfacher und der minimale Aufwand auch den Not-Halt mit der entsprechenden höheren PLr auszulegen? Bei allen mir bekannten Sicherheitssteuerungen wäre der Aufwand im Grund ein Eingang, da man den Not-Halt halt zwei Kanalig ausführt.


----------



## Blockmove (14 April 2021)

Die Argumentation der BG RCI ist schon nachvollziehbar.
Nur was spare ich in der Praxis großartig?
Bestenfalls kann ich den Not-Halt vielleicht einkanalig ausführen.
Die Diskussion ist vielleicht bei einer Serienmaschine interessant.
Bei einer größeren Anlage ist die Ersparnis wahrscheinlich minimal


----------



## stevenn (14 April 2021)

Faceman schrieb:


> ...
> Sicherheit am Arbeitsplatz hat für mich absoluten Vorrang und unsere Maschinen sollen und müssen absolut sicher sein. ....



na dann hoffe ich das du deine Maschinen auch sicher machst. wie du "sicher" definierst, weiß ich nicht, weil Normen dich ja anscheinend sekundär interessieren. Was ist denn deine Definition von "sicher" woran machst du es fest, dass es sicher ist?
ich habe in meinem Beitrag auch geschrieben, dass ich das mit dem "Richter" normalerweise nicht mache, aber manche Leute haben es eben noch nicht verstanden. du gehörst anscheinend dazu. ich hoffe nur ich bin nie an einer deiner Maschinen, denn wenn du die WElt der Sicherheitstechnik so machst wie du willst, weil das in den Normen  "zum lachen " ist, klingt das nicht vertrauenswürdig. 
Ich wollte mich hier auch nicht als Wichtigtuer aufspielen, habe dem Fragesteller nur gesetzlich richtig geantwortet. was ist denn dein Rat, mach es wie du willst und halte dich an keine Gesetze, Richtlinien und Normen?
Ich hoffe wir bekommen in Zukunft nicht noch mehr solcher fachlich und rechtlich falschen Beiträge von dir zu lesen. kannst dich bei Facebook austoben, falls du trollen willst.


----------



## stevenn (14 April 2021)

Faceman schrieb:


> ...
> 
> Als nächstes brauche ich noch eine schriftliche Schulung wenn ich ein Fenster ab dem ersten Stock öffnen möchte, könnte ja herausfallen
> oder meine Kaffeetasse fliegt runter und einem auf den Kopf.
> ...


wenn man dir nicht zutraut eine Leiter zu benutzen kann das schon sein, da würde ich mir mal Gedanken machen


----------



## Faceman (14 April 2021)

stevenn schrieb:


> wenn man dir nicht zutraut eine Leiter zu benutzen kann das schon sein, da würde ich mir mal Gedanken machen



Na die Antwort habe ich von so einem erwartet. Aber mit sowas kann man mich nicht treffen.

Aber gut, du hast ganz sicher in allen Punkten Recht. Ich gebe nach. Du weißt ja, der......


----------



## stevenn (14 April 2021)

<--- nicht gesehen? 

  "von so einem", sagt schon vieles, hat dich wohl doch getroffen 

aber grundsätzlich hätte mich schon interessiert, was für dich dann "sicher" ist, meine Fragen in Beitrag #18 wurden ja nicht beantwortet


----------



## daniel80 (14 April 2021)

testor schrieb:


> Zu 1:
> [...]
> 
> Zu 2: Das mit dem Wiederanlauf ist ja immer so eine Sache. Generell ist ja auch ein "nicht sicherer" Reset denkbar, je nach Gefährdungsbeurteilung und Umständen dann halt mit zwei Nutzerhandlungen. Genau kann ich dir das aber nicht sagen.



Moin! In der ISO 13850 steht dazu folgendes: 

Das Rücksetzen einer Not-Halt-Funktion muss durch Entriegeln eines Not-Halt-Gerätes (siehe 4.1.4) erfolgen. Das Rücksetzen darf nicht das Ingangsetzen der Maschine einleiten.

Von "sicherem" oder "nicht sicherem" Signal steht da nichts. Heißt: Wenn ich das Wiederingangsetzen der Maschine über eine nicht sichere Steuerung realisiere, kann es aufgrund von Fehlfunktionen dazu kommen, dass nach dem Rücksetzen des Not-Halt, die Maschine in Gang gesetzt wird. Aber, im konkreten Fall ist die Maschine sehr übersichtlich gestaltet, und man erkennt sofort, ob durch das Rücksetzen des Not-Halts, die Maschine versehentlich in Gang gesetzt wurde. 

Die Frage ist, ob das ausreicht?


----------



## s_kraut (1 Juli 2021)

daniel80 schrieb:


> itteln PL Not-Halt
> Wie erm





stevenn schrieb:


> "Du solltest nicht über die Straße gehen, wenn ein Auto kommt".
> 
> Jetzt mal ernsthaft, mach die Normen auf und suche in der pdf-datei dann nach dem Wort sollte.
> EN13849-1 =75 mal
> ...



Prinzipiell würde ich mich bei solchen Risikobeurteilungen dazusetzen und wissen wollen, wie die Kollegen die Situation einschätzen.
Wenn in der Risikobeurteilung raus kommt dass der Not-Halt mehr als SIL1 oder PLc braucht, dann hat der Konstrukteur keinen guten Job gemacht. Dann muss der halt vielleicht irgendwo eine Tür hin machen...inhärente Sicherheit ist immer zu bevorzugen.

muss müsste soll sollte kann könnte darf dürfte ....
Die hier viel zitierte EN ist eine ISO-Norm, die in die DIN überführt wird. DIN EN ISO 13849-1, so und das Wording ist also im Original *SHALL*.

What shall we do with a drunken sailor?

Das bedeutet im Navy-Englisch so viel wie "so wird´s gemacht".

Natürlich darf man im begründeten Fall bewusst gegen solch eine Konvention verstoßen, dann sollte (jetzt sag ich selber sollte) man sich aber klar sein, dass man das tut und dokumentieren warum man das tut. Wenn dem nicht so wäre dann würde nicht shall drin stehen sondern must.

Abgesehen davon ist es technisch überhaupt kein Problem einen Not-Halt-Taster in SIL3/PLe auszuwerten


----------



## stevenn (2 Juli 2021)

s_kraut schrieb:


> ...
> Wenn in der Risikobeurteilung raus kommt dass der Not-Halt mehr als SIL1 oder PLc braucht, dann hat der Konstrukteur keinen guten Job gemacht. Dann muss der halt vielleicht irgendwo eine Tür hin machen...inhärente Sicherheit ist immer zu bevorzugen.
> ...


naja das ist mir zu pauschal, manche Maschinen und Arbeiten an Maschinen, sind einfach gefährlich. es baut ja nicht jeder "Wattebällchenmaschinen aus Pappe"


----------



## s_kraut (2 Juli 2021)

Wir schon - alles in the box. Deckel zu, fertig. 🕺

Und wenn ein Konstrukteur auf eine andere Idee kommt, dann wird´s ausdiskutiert. 

Aber Nothalt ist in meiner Trickkiste nicht bei den Sicherheitsfunktionen sondern bei den Zusatzmaßnahmen. Gibts oben drauf in SIL1/PLc.  Können tut er SIL3/PLe beim rechnerischen Nachweis, schon klar aber das sag ich nicht dem Konstrukteur. Wenn der das als SIL3-Maßnahme listet, dann meint er er ist mit dem Konzept fertig. Keiner darf irgendwo eine Schutztür weglassen, nur weil er da einen Nothalt hin hängt.


----------



## stevenn (2 Juli 2021)

s_kraut schrieb:


> ...





s_kraut schrieb:


> Können tut er SIL3/PLe beim rechnerischen Nachweis, schon klar aber das sag ich nicht dem Konstrukteur. Wenn der das als SIL3-Maßnahme listet, dann meint er er ist mit dem Konzept fertig. Keiner darf irgendwo eine Schutztür weglassen, nur weil er da einen Nothalt hin hängt.


Am Ende muss die gesamte Sicherheitsfunktion den höheren PL können, nicht nur der Taster, aber das wirst du schon (wenn nötig) berücksichtigen.
Nein Schutztür darf nicht weggelassen werden, aber manche Arbeiten müssen eben bei offener Schutztür passieren. wenn du alles in einer geschlossenen Box hast, dann macht es die Sache natürlich einfacher. wollte dir nur aufzeigen, dass es auch Maschinen gibt, die gefährlich sind und der Konstrukteur aber trotzdem einen guten Job gemacht hat.


----------



## s_kraut (2 Juli 2021)

Gut, ich weiß nicht wie ihr die Rollenverteilung geregelt habt.  Wir machen das im Team. Da ist in der Konstrukteur in der Rolle, dass er eine Anlage plant. Er soll dabei auch die entstehenden Gefährdungen maschinenspezifisch ermitteln und mindern. Wenn die Box aufgemacht werden muss zum Wattebällchen angucken dann muss vorher die Maschine in einen Zustand überführt werden, der hinreichend sicher ist und man drin arbeiten darf.

Diesen Zustand stelle ich als Automatisierer aber nicht dadurch her, dass ich den Notaus rein haue, sondern ich fahre die Anlage betriebsmäßig ab über eine normale PLT-Funktion.

Sicherheitsmäßig wird der Stillstand messtechnisch erfasst (nach dem geforderten SIL/PL) und erst wenn das zulässig ist dann wird die Tür entriegelbar. So ähnlich wie daheim bei der Waschmaschine (wobei die löst es über einen Timer, was mich übrigens tierisch aufregt wenn ich noch irgendwo eine Socke finde und das Ding schon läuft - der Hersteller schafft hier Anlass zur Manipulation). 
Wenn die Tür geöffnet wird, dann werden die Antriebe hinreichend sicher verriegelt (nach dem geforderten SIL/PL halt über STO oder redundante Schützschaltung). 
Das Schließen der Tür löst keinen Wiederanlauf aus, sondern der Bediener klickt sich durch die Dialoge, bestätigt dass alles nach SOP passt und kann dann von mir aus starten.

Den Nothalt habe ich halt für unvorhersehbare Dinge, oder falls bei der IBN was noch nicht so optimal läuft 

So Sachen wie Einrichtbetrieb bei geöffneter Tür sind mir bisher zum Glück erspart geblieben, aber wenn es sich weder konstruktiv noch sonstwie technisch lösen lässt und aber notwendig ist dann bleibt nichts anderes übrig als über organisatorische Maßnahmen arbeiten. Das muss man halt sauber dokumentieren und mit dem Betreiber abstimmen - bleibt trotzdem Ist halt die schwächste Sicherheit.

Im Radio kommt grad "There is no safety in numbers" ich brech ab...
LG/fail safe!


----------



## stevenn (2 Juli 2021)

s_kraut schrieb:


> Gut, ich weiß nicht wie ihr die Rollenverteilung geregelt habt.  Wir machen das im Team. Da ist in der Konstrukteur in der Rolle, dass er eine Anlage plant. Er soll dabei auch die entstehenden Gefährdungen maschinenspezifisch ermitteln und mindern. Wenn die Box aufgemacht werden muss zum Wattebällchen angucken dann muss vorher die Maschine in einen Zustand überführt werden, der hinreichend sicher ist und man drin arbeiten darf.
> 
> Diesen Zustand stelle ich als Automatisierer aber nicht dadurch her, dass ich den Notaus rein haue, sondern ich fahre die Anlage betriebsmäßig ab über eine normale PLT-Funktion.
> 
> ...


keine ahnung auf welchen post das die Antwort sein soll. wäre einfacher wenn du den post zitierst. auf meine Antwort #26 kann sich das ja nicht beziehen, da sind in deinem post viel zu viele Informationen, die mit dem #26 nichts zu tun haben.

lassen wir es.


----------



## Rofang (4 Juli 2021)

Hallo zusammen,

letzte Woche gab es vom VDMA eine Veranstaltung (Technik im Dialog - Funktionale Sicherheit) da war unter anderem genau das Thema.

Der Referent von Siemens ( Patrick Gehlen) sagte dazu ganz klar „kein Mensch braucht einen Not-Halt in PL=d“. Begründet wurde dies damit, dass der Not-Halt eine zusätzliche Schutzmaßnahme ist, der für unvorhergesehene Situationen ist und explizit keine eigene Sicherheitsfunktion. Alle anderen Risiken müssen durch die SF schon entsprechend gemindert sein.

Es ist klar, dass es von der Hardware meist einfacher ist den PL der SF zu nutzen. Kann einem jedoch ab und an beim Rechnen das Leben einfacher machen.


----------



## Elektriko (4 Juli 2021)

Rofang schrieb:


> „kein Mensch braucht einen Not-Halt in PL=d“.





Rofang schrieb:


> Begründet wurde dies damit, dass der Not-Halt eine zusätzliche Schutzmaßnahme ist, der für unvorhergesehene Situationen ist und explizit keine eigene Sicherheitsfunktion. Alle anderen Risiken müssen durch die SF schon entsprechend gemindert sein.


Hallo, ich verstehe diesen Satz nicht. Die Begründung auch nicht.
Warum brauchten wir kein Not-Halt in PLd....? Heute Tag ein 2 Kanalige Not-Halt ist fast "Pflicht".... Also PLd,
was meint er genau? Müsste niedriger als PLd sein? Und warum?
Grüße


----------



## Rofang (4 Juli 2021)

Elektriko schrieb:


> Hallo, ich verstehe diesen Satz nicht. Die Begründung auch nicht.
> Warum brauchten wir kein Not-Halt in PLd....? Heute Tag ein 2 Kanalige Not-Halt ist fast "Pflicht".... Also PLd,
> was meint er genau? Müsste niedriger als PLd sein? Und warum?
> Grüße


Genau das. 
Seiner Meinung nach und laut seiner Aussage auch die diversen Normungsgremien denen er angehört, sind der Meinung ein PL=c ist vollkommen ausreichend. Da es, wie gesagt, keine Sicherheitsfunktion ist, sondern eine ergänzende Schutzmaßnahme. Als Beispiel wurden auch diverse C-Normen genannt, die mittlerweile einen Not-Halt mit PL=c explizit erwähnen. Ich schreibe hier bewusst nicht vorschreiben, da ich es nicht nachlesen und prüfen kann. Das soll in Zukunft wohl jetzt öfter der Fall sein.
Versteht mich nicht falsch, es wird - wie ich schon schrieb und andere hier auch schon  - wohl weiterhin einfacher sein den NH im PL der Sicherheitsfunktion auszuführen, es ist ja in der Regel schon alles dafür da. 
Nur ist es nicht mehr nötig und man muss bei diversen Konstellationen für die Berechnung keinen Klimmzug mehr machen.


----------



## Elektriko (4 Juli 2021)

Hallo,

viele C-Normen sprechen über "minimum" PLc.
Meiner Meinung nach, wenn ich einen Not-Halt Schlagtaster drücke, müssen unbedingt die gefährliche Situationen gestoppt werden. Jeder Fall ist anders, aber für die Anlagen wo ich normalerweise arbeite, PLc würde nicht reichen, mindestens PLd.

Aber ich finde interessant auch andere Meinungen zu lesen.

Schönen Sonntag noch!
Grüße


----------



## Tommi (4 Juli 2021)

Hallo zusammen,

das mit NOT-HALT und nur PLc habe ich auch schon gehört.

Ich halte gagegen, dass Sicherheitsfunktionen wie Schutztüren
sehr viel öfter angefordert werden und man Fehler derselben
schon im Prozess merkt. Allerdings sollen sie bitte trotzdem in PLd
bleiben.  

Ein NOT-HALT wird evtl. nach Jahren das erste Mal angefordert
und geht dann nicht... Jetzt soll Herr Gehlen bitte nicht sagen dass
die regelmäßig geprüft werden müssen.
Wem will er denn mit dieser Aussage einen Gefallen tun?


----------



## s_kraut (4 Juli 2021)

Tommi schrieb:


> Ein NOT-HALT wird evtl. nach Jahren das erste Mal angefordert
> und geht dann nicht... Jetzt soll Herr Gehlen bitte nicht sagen dass
> die regelmäßig geprüft werden müssen.
> Wem will er denn mit dieser Aussage einen Gefallen tun?


Ahm also wir als Hersteller schlagen dem Kunden eine jährliche Prüfung der Sicherheitsfunktionen vor, die Prüffristen sind dann nach eigenem Ermessen anzupassen.
Die Zahl der Schaltspiele lässt das locker zu.


----------



## s_kraut (4 Juli 2021)

Tommi schrieb:


> Hallo zusammen,
> 
> das mit NOT-HALT und nur PLc habe ich auch schon gehört.
> 
> ...


Bin ich dabei, gerade WEIL sie oft betätigt werden soll die Diagnose in einer hohen Güte sein - so wie PLd das vorsieht.



Tommi schrieb:


> Ein NOT-HALT wird evtl. nach Jahren das erste Mal angefordert
> und geht dann nicht... Jetzt soll Herr Gehlen bitte nicht sagen dass
> die regelmäßig geprüft werden müssen.
> Wem will er denn mit dieser Aussage einen Gefallen tun?


Autsch - der Not-Halt wird doch bei Erstinbetriebnahme das erste mal angefordert beim Systemtest, oder nicht?


----------



## s_kraut (4 Juli 2021)

Rofang schrieb:


> Hallo zusammen,
> 
> letzte Woche gab es vom VDMA eine Veranstaltung (Technik im Dialog - Funktionale Sicherheit) da war unter anderem genau das Thema.
> 
> Der Referent von Siemens ( Patrick Gehlen) sagte dazu ganz klar „kein Mensch braucht einen Not-Halt in PL=d“. Begründet wurde dies damit, dass der Not-Halt eine zusätzliche Schutzmaßnahme ist, der für unvorhergesehene Situationen ist und explizit keine eigene Sicherheitsfunktion. Alle anderen Risiken müssen durch die SF schon entsprechend gemindert sein.


Da saß ich auch drin, bzw. im ersten Termin noch eine Woche früher. Fand die Erfa echt gut.
Und die Argumentation, dass über verschiedene Sicherheitsfunktionen die Gefährdungen minimiert werden und der Not-Halt nur eine Zusatzmaßnahme darstellt, gehe ich auch voll mit.




Rofang schrieb:


> Es ist klar, dass es von der Hardware meist einfacher ist den PL der SF zu nutzen. Kann einem jedoch ab und an beim Rechnen das Leben einfacher machen.


Ja klar, wenn ich eine SIL2 / PLd Verriegelung durch eine Schutztüre aufbaue, z.B. mit zwei Schützen, dann baue ich keinen dritten Schütz für Not-Halt ein, sondern greife auf die bestehende Schaltung zu, meinst du oder?


----------



## Elektriko (5 Juli 2021)

s_kraut schrieb:


> Ja klar, wenn ich eine SIL2 / PLd Verriegelung durch eine Schutztüre aufbaue, z.B. mit zwei Schützen, dann baue ich keinen dritten Schütz für Not-Halt ein, sondern greife auf die bestehende Schaltung zu, meinst du oder?


Nicht unbedingt, man könnte trotzdem nur einen Nothalt mit PLc aufbauen, und  einen SPS-Eingang sparen, aber ich sehe es nicht so.
Meiner Meinung nach, der Not-Halt muss das gleiche PL wie die gefährlichste SF haben (oder fast immer).
Gruß


----------



## Rofang (5 Juli 2021)

s_kraut schrieb:


> Ja klar, wenn ich eine SIL2 / PLd Verriegelung durch eine Schutztüre aufbaue, z.B. mit zwei Schützen, dann baue ich keinen dritten Schütz für Not-Halt ein, sondern greife auf die bestehende Schaltung zu, meinst du oder?


Richtig.
Ich finde die Argumentation auch absolut schlüssig, dass das Risiko ausreichend gemindert ist. Sonst ist ja was anderes falsch gelaufen bis dahin.
Zum Thema Prüfung gibt es für diverse Maschinen Intervalle. Wir schreiben in die Bedienungsanleitung immer 1x jährlich betätigen rein. Außerdem ist ein Not-Halt mit zwangsgeführten Kontakten auch kein Verschleißbauteil.
Gruß Rofang


----------



## stevenn (5 Juli 2021)

Rofang schrieb:


> Genau das.
> Seiner Meinung nach und laut seiner Aussage auch die diversen Normungsgremien denen er angehört, sind der Meinung ein PL=c ist vollkommen ausreichend. Da es, wie gesagt, keine Sicherheitsfunktion ist, sondern eine ergänzende Schutzmaßnahme. Als Beispiel wurden auch diverse C-Normen genannt, die mittlerweile einen Not-Halt mit PL=c explizit erwähnen. Ich schreibe hier bewusst nicht vorschreiben, da ich es nicht nachlesen und prüfen kann. Das soll in Zukunft wohl jetzt öfter der Fall sein.
> Versteht mich nicht falsch, es wird - wie ich schon schrieb und andere hier auch schon  - wohl weiterhin einfacher sein den NH im PL der Sicherheitsfunktion auszuführen, es ist ja in der Regel schon alles dafür da.
> Nur ist es nicht mehr nötig und man muss bei diversen Konstellationen für die Berechnung keinen Klimmzug mehr machen.


ich zitiere aus der EN 13850 Kapitel 4.1.5.1
_Die sicherheitsbezogenen Teile eines Steuerungssystems oder die Teilsysteme, welche die Not-Halt-Funktion ausführen, müssen die relevanten Anforderungen von ISO 13849-1 und/oder IEC 62061 erfüllen.

ANMERKUNG Sicherheitsrelevante Teile der Not-Halt-Funktion können unter Berücksichtigung der Anforderungen von ISO 13849-1 und/oder IEC 62061 auch Bestandteil* anderer* Sicherheitsfunktionen sein._

Jetzt könnte man das "anderer" so auffassen, als wäre der Not-Halt vielleicht doch eine Sicherheitsfunktion.

Grundsätzlich bin ich dabei, dass der Not-Halt eine ergänzende Schutzmaßnahme ist, der nur für den Notfall da ist. aber was bringt mir denn ein PLc-Not-Halt, wenn meine PL e- Sicherheitsfunktion ausfällt? denn dafür ist der NOt-Halt ja da.
Vielleicht kann man es irgendwie hinargumentieren, dass Herr Gehlen recht haben könnte, aber am Ende hilft uns auch keiner wenn wir sagen, "der Herr Gehlen hat das im Juni 2021 gesagt". ich werde meine PL d-Sicherheitsfunktion auch weiterhin mit einem PL d-Not-Halt absichern!


----------



## stevenn (5 Juli 2021)

Tommi schrieb:


> Hallo zusammen,
> 
> das mit NOT-HALT und nur PLc habe ich auch schon gehört.
> 
> ...


da stimme ich dir voll zu. wenn das regelmäßige Testen der Ersatz sein soll(bzw. die Erklärung sein soll), dass die Not-Halt Taster nicht mehr in PL d ausgeführt sind, dann ist wirklich keinem geholfen. ok der Hersteller spart sich den zweiten Kanal, aber die Unfälle nehmen zu.


----------



## s_kraut (5 Juli 2021)

Rofang schrieb:


> Richtig.
> Ich finde die Argumentation auch absolut schlüssig, dass das Risiko ausreichend gemindert ist. Sonst ist ja was anderes falsch gelaufen bis dahin.
> Zum Thema Prüfung gibt es für diverse Maschinen Intervalle. Wir schreiben in die Bedienungsanleitung immer 1x jährlich betätigen rein. Außerdem ist ein Not-Halt mit zwangsgeführten Kontakten auch kein Verschleißbauteil.
> Gruß Rofang


Ja - irgend einen B10-Wert gibt es für die Schaltelemente schon. Wenn du 1x pro Minute den Betätiger testest 24/7/365 dann ist er nach 12 Jahren möglicherweise kaputt  Aber gut, daher gern zweikanalig weil unwahrscheinlich dass beide genau im gleichen Moment kaputt gehen.


----------



## Elektriko (5 Juli 2021)

Hallo zusammen,
wo steht, dass der Not-Halt keine Sicherheitfunktion ist?
Bild vom Kochbuch 6
Gruß


----------



## Rofang (5 Juli 2021)

stevenn schrieb:


> da stimme ich dir voll zu. wenn das regelmäßige Testen der Ersatz sein soll(bzw. die Erklärung sein soll), dass die Not-Halt Taster nicht mehr in PL d ausgeführt sind, dann ist wirklich keinem geholfen. ok der Hersteller spart sich den zweiten Kanal, aber die Unfälle nehmen zu.


Versteh mich bitte nicht falsch. Wenn durch einen Not-Halt mit PL=C mehr Unfälle passieren, dann ist doch was ganz anderes im Argen.


> _Die sicherheitsbezogenen Teile eines Steuerungssystems oder die Teilsysteme, welche die Not-Halt-Funktion ausführen, müssen die relevanten Anforderungen von ISO 13849-1 und/oder IEC 62061 erfüllen.
> 
> ANMERKUNG Sicherheitsrelevante Teile der Not-Halt-Funktion können unter Berücksichtigung der Anforderungen von ISO 13849-1 und/oder IEC 62061 auch Bestandteil andererSicherheitsfunktionen sein._



Verstehe ich so, dass der Not-Halt eben auch von der F-CPU ausgewertet wird und kein eigenes Sicherheitsschaltgerät o.ä. genutzt werden muss.

Aber das ist jetzt Haarspalterei. Grundsätzlich wollte ich nur beitragen, dass es diese Diskussion aktuell gibt und ich persönlich die gut und nachvollziehbar finde. Man hat sich da eben an die 61508-1 angelehnt.

Tatsächlich würde mich die Meinung von Safety dazu sehr interessieren, der auch sehr kompetent ist - wie viele andere hier auch, inklusive dir steven - und dessen Beiträge ich sehr schätze.


----------



## s_kraut (5 Juli 2021)

Rofang schrieb:


> Versteh mich bitte nicht falsch. Wenn durch einen Not-Halt mit PL=C mehr Unfälle passieren, dann ist doch was ganz anderes im Argen.


sehe ich auch so


Rofang schrieb:


> Verstehe ich so, dass der Not-Halt eben auch von der F-CPU ausgewertet wird und kein eigenes Sicherheitsschaltgerät o.ä. genutzt werden muss.
> 
> Aber das ist jetzt Haarspalterei. Grundsätzlich wollte ich nur beitragen, dass es diese Diskussion aktuell gibt und ich persönlich die gut und nachvollziehbar finde. Man hat sich da eben an die 61508-1 angelehnt.


Ich glaub nicht, dass die Art der Auswertung (FSPS oder Sicherheitsschaltgerät) das schwächste Glied in der Sicherheitskette sein wird. Die verbrauchen vom Sicherheitsbudget im typisch einstelligen Prozentbereich..

Und auch nicht der Sensor (Schutztürschalter zweikanalig, Lichtgitter, ...), der verbraucht im niedrigen zweistelligen Bereich vom Sicherheitsbudget. 

Dann eher schauen was hinten dran hängt - Aktor!

FU haben meistens eh PLd oder SIL2 für den STO; unkritisch.

Aber schauen wir mal elektromechanische Bauteile an, Schütze oder Ventile. Da sind die Ausfallraten und der Anteil der sicheren Ausfälle eher weniger gut. Schütz kann kleben bleiben, Ventil verklemmt...Wenn es noch einen zweiten Pfad für die Abschaltung gibt, super!

Und jetzt wird´s spannend. 

 In der Diskussion schwingt manchmal mit, dass der Nothalt als letzte Instanz wirken soll, wenn alle anderen Maßnahmen versagen und dass der Nothalt mindestens den gleichen SIL/PL haben soll wie die krasseste SIF im System. 

Also von mir aus, aber meint Ihr dann dass man für einen Motor hinter einer Schutztür PLe *vier *Schütze verbaut?
2 für die PLe Verriegelung PLUS
2 für den PLe Nothalt, falls die PLe Verriegelung versagt?


----------



## stevenn (6 Juli 2021)

s_kraut schrieb:


> Also von mir aus, aber meint Ihr dann dass man für einen Motor hinter einer Schutztür PLe *vier *Schütze verbaut?
> 2 für die PLe Verriegelung PLUS
> 2 für den PLe Nothalt, falls die PLe Verriegelung versagt?


ich bin mir jetzt nicht sicher ob ich dich richtig verstehe. Aber wenn der Aktor zwei Schütze sind, dann werden diese von der Verriegelung ausgelöst und beim Betätigen eines Not-Halt Tasters.Warum sollte man 4 verbauen'? 
Sicherheitsfunktion 1: Sensor (Verriegelung) - Logik (Safety) - Aktor (Schütze 1+2)
Sicherheitsfunktion 2: Sensor (Not-Halt Taster) - Logik (Safety) - Aktor (Schütze 1+2)


----------



## Elektriko (6 Juli 2021)

wieso 4 Schütze? In diesem Fall, der Unterschied  zwischen PLe und PLc ist bei den Eingängen.


----------



## stevenn (6 Juli 2021)

Rofang schrieb:


> Versteh mich bitte nicht falsch. Wenn durch einen Not-Halt mit PL=C mehr Unfälle passieren, dann ist doch was ganz anderes im Argen.


es passieren mehr Unfälle, weil der Not-Halt, nicht wie nötig, ausreichend getestet wird. der Mensch ist faul. bei zweikanaligen (zumindest bei uns) passiert das Testen automatisch.


Rofang schrieb:


> Verstehe ich so, dass der Not-Halt eben auch von der F-CPU ausgewertet wird und kein eigenes Sicherheitsschaltgerät o.ä. genutzt werden muss.


 ich verstehe es so, dass der Not-Halt eine Sicherheitsfunktion ist.


----------



## s_kraut (6 Juli 2021)

stevenn schrieb:


> ich bin mir jetzt nicht sicher ob ich dich richtig verstehe. Aber wenn der Aktor zwei Schütze sind, dann werden diese von der Verriegelung ausgelöst und beim Betätigen eines Not-Halt Tasters.


Genau so machen wir das auch.  Schütz 1 schaltet betriebsmäßig ein und aus und wird bei Nothalt/Tür getrennt.
Schütz zwei schaltet nur bei Sicherheitsanforderung, damit bleibt Zahl der Schaltzyklen geringer.


stevenn schrieb:


> Warum sollte man 4 verbauen'?
> Sicherheitsfunktion 1: Sensor (Verriegelung) - Logik (Safety) - Aktor (Schütze 1+2)
> Sicherheitsfunktion 2: Sensor (Not-Halt Taster) - Logik (Safety) - Aktor (Schütze 1+2)



Hab jetzt einfach mal blöd gefragt, weil oben die Forderung aufkam, dass der Nothalt die gleiche Güte haben soll wie die heftigste Sicherheitsfunktion, mit der Begründung  dass WENN die Sicherheitsfunktion versagt, dann noch der Nothalt funktioniert.

Wenn die PLe/SIL3 Sicherheitsfunktion Schutztür versagt, dann wahrscheinlich am Aktor - Unterstellung - und dann hilft der zweite Eingangskreis Nothalt nicht viel. 
Außer vllt der gute alte Not-Aus-Hauptschalter..


----------



## s_kraut (6 Juli 2021)

Elektriko schrieb:


> wieso 4 Schütze? In diesem Fall, der Unterschied  zwischen PLe und PLc ist bei den Eingängen.


Die Eingänge kosten nicht viel, da würde ich nicht sparen.

Bei uns ist der Flaschenhals üblicherweise der Aktor (Ventil/Kugelhahn). Und da lohnt sich genau überlegen, was passiert denn wenn das Ventil versagt. Pauschal PLe weil man dann nicht viel überlegen muss, das wäre ein Schuss ins Knie..


----------



## stevenn (7 Juli 2021)

s_kraut schrieb:


> Genau so machen wir das auch.  Schütz 1 schaltet betriebsmäßig ein und aus und wird bei Nothalt/Tür getrennt.
> Schütz zwei schaltet nur bei Sicherheitsanforderung, damit bleibt Zahl der Schaltzyklen geringer.


ich glaube du denkst komplett verkehrt. so funktioniert die Sicherheitstechnik nach 13849 nicht. Lies dich doch nochmal ein bisschen ein. hier zum beispiel





						IFA - DIN EN ISO 13849: Sicherheit von Maschinensteuerungen (Praktische Hilfen)
					

Das Institut für Arbeitsschutz der DGUV (IFA) stellt Unterstützung für die Anwendung der Norm DIN EN ISO 13849-1 für Maschinensteuerungen zur Verfügung.




					www.dguv.de
				




Wenn du für die Türverriegelung PL d erreichen musst, dann musst du hier auch beide Schütze schalten.Diese beiden Schütze schaltest du auch bei Not-Halt. Eins von beiden wird nach 13849 schon funktionieren. dein Weg funktioniert nur wenn die Türverriegelung nicht PL d sein muss. "Schütz zwei schaltet nur bei Sicherheitsanforderung" ja das haben wir doch bei beiden Fällen! Einmal Sicherheitsanforderung Tür und einmal Sicherheitsanforderung Not-Halt. Ich bin mir nicht sicher ob du die 13849 verstanden hast.


s_kraut schrieb:


> Hab jetzt einfach mal blöd gefragt, weil oben die Forderung aufkam, dass der Nothalt die gleiche Güte haben soll wie die heftigste Sicherheitsfunktion, mit der Begründung  dass WENN die Sicherheitsfunktion versagt, dann noch der Nothalt funktioniert.
> 
> Wenn die PLe/SIL3 Sicherheitsfunktion Schutztür versagt, dann wahrscheinlich am Aktor - Unterstellung - und dann hilft der zweite Eingangskreis Nothalt nicht viel.
> Außer vllt der gute alte Not-Aus-Hauptschalter..


Der Aktor wird mit der "PL d-Wahrscheinlichkeit" nicht versagen! wie oben schon geschrieben, hast du es glaube ich nicht ganz verstanden. lies dich mal lieber noch mal ein. gibt auch verschiedene Lehrgänge die man besuchen kann.
Sicherheitsfunktion 1: Sensor (Verriegelung) - Logik (Safety) - Aktor (Schütze 1+2)
Sicherheitsfunktion 2: Sensor (Not-Halt Taster) - Logik (Safety) - Aktor (Schütze 1+2)
Für beide Sicherheitsfunktionen werden die gleichen Aktoren verwendet, nur ein anderer Sensor.


----------



## stevenn (7 Juli 2021)

s_kraut schrieb:


> Die Eingänge kosten nicht viel, da würde ich nicht sparen.
> 
> Bei uns ist der Flaschenhals üblicherweise der Aktor (Ventil/Kugelhahn). Und da lohnt sich genau überlegen, was passiert denn wenn das Ventil versagt. Pauschal PLe weil man dann nicht viel überlegen muss, das wäre ein Schuss ins Knie..


wir würden dann eventuell zwei Ventile schalten. haben wir schon des öfteren so umgesetzt um PL d zu erreichen


----------



## marscho (7 Juli 2021)

Also ich denke, das wird hier von "beiden Seiten" etwas drakonisch gesehen. Warum kann nicht beides der Fall sein?

Not-Halt ist eine Sicherheitsfunktion
Der Not-Halt muss nicht unbedingt das gleiche Performance-Level wie andere beteiligte Sicherheitsfunktionen erreichen
Zum ersten Punkt: Ja, aus meiner Sicht ist Not-Halt eine Sicherheitsfunktion, *aber eine ergänzende*. Damit mindere ich verbleibende Restrisiken, die beim Ausfall der eigentlichen Sicherheitsfunktion zum Tragen kommen bzw. die sonst vielleicht nicht bedacht wurden.

Dazu: Sicherheitsgerechtes Konstruieren von Druck- und Papierverarbeitungsmaschinen, BG ETEM (MB050), siehe Abschnitt 5.2.1, Seite 57 (59 der PDF)


> Bevor ein PL bestimmt werden kann, sind alle Sicherheitsfunktionen zu ermitteln, die durch eine Steuerung realisiert werden. Typische Sicherheitsfunktionen sind zum Beispiel:
> • die Not-Halt Funktion (*ergänzende Schutzmaßnahme* siehe EN ISO 13850),



Zum zweiten Punkt: Wer sagt denn, dass Not-Halt das höchste Sicherheitsniveau der anderen beteiligten Sicherheitsfunktionen erreichen muss?

Dazu: Sistema-Kochbuch 6 - Vollständige Definition von Sicherheitsfunktionen, siehe Tabelle 4, Seite 21

Nun taucht da konkret zwar kein Not-Halt auf, aber man kann sehr wohl erkennen, dass die Freigabefunktion für den Antrieb anders eingestuft wird als SLS (PLd für die Freigabe, PLc für SLS).

Weiter: *Direktlink zur PDF* Notwendigkeit und Ausführung von Not-Halt-Einrichtungen, BG RCI, siehe Punkt 4.3, Seite 9/10


Insbesondere mal bitte den Punkt auf PLc legen - bei den Pressen ist man üblicherweise mind. bei PLd bei gewissen Bewegungen, bei Anwendung der C-Norm direkt bei PLe.

Gleichzeitig sieht man halt, dass die Anforderung auch wieder ansteigen kann, wenn ich etwa im Einrichten bin.

Nun muss man hier nochmal unterscheiden: Ich *persönlich *finde folgende Vorgehensweise grundsätzlich plausibel: PLr für Not-Halt *maximal *eine Stufe niedriger als das höchste (unabhängig vom Not-Halt) vorkommende PLr. Bedeutet, wenn ich eine Sicherheitsfunktion mit PLe an der Anlage habe, muss mein Not-Halt mindestens nach PLd ausgelegt sein.

Meiner Meinung nach macht zumindest bei Sonderanlagen weniger als PLd kaum Sinn. Oft weiß man ja noch gar nicht, was vielleicht später noch umgebaut/nachgerüstet werden soll. Ich fordere das bei Beistellungen von Lieferanten/Kunden dann auch entsprechend ein.


----------



## stevenn (7 Juli 2021)

marscho schrieb:


> Also ich denke, das wird hier von "beiden Seiten" etwas drakonisch gesehen. Warum kann nicht beides der Fall sein?
> 
> Not-Halt ist eine Sicherheitsfunktion
> Der Not-Halt muss nicht unbedingt das gleiche Performance-Level wie andere beteiligte Sicherheitsfunktionen erreichen
> Zum ersten Punkt: Ja, aus meiner Sicht ist Not-Halt eine Sicherheitsfunktion, *aber eine ergänzende*. Damit mindere ich verbleibende Restrisiken, die beim Ausfall der eigentlichen Sicherheitsfunktion zum Tragen kommen bzw. die sonst vielleicht nicht bedacht wurden.


ob "ergänzend" oder nicht, Not-Halt ist für mich eine Sicherheitsfunktion.

Für Punkt 2 mal ein kleines Beispiel für euch, mit der Voraussetzung, dass jeder der mit diskutiert den Risikograph nach 13849 kennt.
Wir haben eine Maschine, dort muss ich jedes Mal zum Einrichten direkt an drehende Teile ran, die mich erfassen können.
Schwere der Verletzung ist "schwer"
Häufigkeit oder Dauer ist "selten"
kann es vermieden werden erfasst zu werden? "kaum möglich"
->PL d
welche Sicherheitsfunktionen setze ich um
Tippbetrieb und SLS

Bewertung danach:
Schwere der Verletzung ist weiterhin "schwer"
Häufigkeit oder Dauer ist weiterhin "selten"
kann es vermieden werden erfasst zu werden? wenn ich erfasst werde kann ich nichts mehr tun also "kaum möglich" bei diesem Punkt kann man jetzt diskutieren ob man vll doch "möglich" wählen kann, aber wenn dann alleine durch den tippbetrieb, durch SLS kann ich immer noch erfasst werden. wir bewerten es so, das, wenn "ich erfasst bin" ich nichts mehr tun kann.
Also kommen wir hier auch bei PL d raus.
Was ich damit sagen will, es muss, dadurch das der NOt-Halt eine Sicherheitsfunktion ist, wieder der Risikograph angewendet werden. und so komm ich auf PL d. Außerdem ist bei unseren gefährlichen Anlagen ein PL d für den NOt-Halt immer sinnvoll, da wird nicht groß diskutiert

*Desweiteren ist der Not-Halt zwar eine Sicherheitsfunktion, aber eine ergänzende Schutzmaßnahme. Das bedeutet er wird betätigt, wenn eine andere Sicherheitsfunktion ausfällt. und warum sollte die ergänzende Maßnahme einen niedrigeren PL haben als die ursprüngliche?Die ursprüngliche Sicherheitsfunktion kann ausfallen, alles eine Frage der Wahrscheinlichkeit und dann muss der Not-Halt einspringen (und bitte nicht mit einer noch höheren Ausfallwahrscheinlichkeit, als die ursprüngliche ausgefallene Sicherheitsfunktion!)*

Ihr könnt euch gerne auf Pauschalaussagen, wie z.B. diese von Herrn Gehlen stützen, ich mache das sicher nicht, sondern bewerte es immer spezifisch für meine Anlage! Was irgendwann mal, von irgendwem, irgendwo gesagt wurde, darauf kann man sich meiner Meinung nach nicht stützen wenn es um Sicherheitstechnik geht.


----------



## marscho (7 Juli 2021)

stevenn schrieb:


> Was ich damit sagen will, es muss, dadurch das der NOt-Halt eine Sicherheitsfunktion ist, wieder der Risikograph angewendet werden. und so komm ich auf PL d. Außerdem ist bei unseren gefährlichen Anlagen ein PL d für den NOt-Halt immer sinnvoll, da wird nicht groß diskutiert


Sehe ich ja genauso.


stevenn schrieb:


> Ihr könnt euch gerne auf Pauschalaussagen, wie z.B. diese von Herrn Gehlen stützen, ich mache das sicher nicht, sondern bewerte es immer spezifisch für meine Anlage! Was irgendwann mal, von irgendwem, irgendwo gesagt wurde, darauf kann man sich meiner Meinung nach nicht stützen wenn es um Sicherheitstechnik geht.


Gehe ich ja genauso mit. Aber inwiefern schließt das eine denn das andere aus? Warum sollte ich mich nicht auf externe Literatur bzw. Interpretationen Dritter stützen können?

Ich war auch überrascht, als mir von einem Kunden ein Schreiben der zuständigen BG FBHM vorgelegt wurde, im dem an Zuhaltungen mit Griff das Rückstellen des Griffes als "bewusste Handlung nach DIN EN ISO 13849 5.2.2" bestätigt wird. Nach persönlichem Kontakt mit den entsprechenden Leuten konnte ich jetzt nicht mehr wirklich dagegen argumentieren, warum ich das eigentlich gerne anders hätte. Nun hätte man (auf eigene Kosten) umfangreiche Änderungen vorsehen können, so ging das intern in eine FMEA ein und raus kam, dass man das so argumentieren kann. Mal unabhängig davon, dass ich das nicht als Standard sehe.

Was ich damit nur sagen will: Natürlich sollte man solche Aussagen nicht als Freibrief hernehmen, alles über einen Kamm zu scheren, aber man kann doch sehr wohl davon ausgehend eigene Überlegungen anstellen.

Ausgehend von deinem SLS-Beispiel:

Vielleicht komme ich im Gegensatz zu deiner Beurteilung (die mit Sicherheit schlüssig sein wird) ja dazu, dass die Möglichkeit zum Ausweichen gegeben ist.
Dann würde ich mit 2-1-1 auf PLr=c kommen. Und nun?
Vielleicht komme ich auch darauf, dass bei einer Handbedieneinrichtung das Vorsehen einer dritten Stellung im Panikfall als ausreichend erachtet wird.
Oder das ist nicht der Fall, dann gibt's vielleicht direkt am Handbediengerät einen Not-Halt - je nach Bedarf halt auch mit PLd.
Oder in einer bestimmten manuellen Betriebsart ist das Risiko vllt sogar höher als in Automatik. Wird diese BA vllt zeitweise (am Anfang der Lebenszeit) hauptsächlich benutzt, komme ich vllt auf PLe, damit wird der Not-Halt auch kritischer.
Oder, oder, oder...
Mal davon abgesehen, bringt mir eine Auslegung nach PLe nix, wenn etwa der Kunde mit dem Stapler den Taster kaputt fährt/abreißt. Da hilft nur eine regelmäßige Prüfung (wurde ja schon angesprochen, mindestens jährlich würde ich hier schon erwarten bzw. dem Kunden vorschreiben).

Zusammengefasst: Ich bin schon dabei, Pauschalaussagen sind schlecht (wüsste nicht, wo ich eine solche getätigt haben sollte, war jedenfalls nicht meine Absicht). Aber dennoch würde ich nicht grundsätzlich sagen, dass ein geringeres Not-Halt-PL ein Fehler sein *muss*.


----------



## Elektriko (7 Juli 2021)

Hallo,
weiss jemand wo kann man eine Prüffristen-Liste, Empfehlung o.ä. für Not-Halt Geräte, Schutztüren, etc finden...?
Danke und Grüße


----------



## stevenn (7 Juli 2021)

marscho schrieb:


> Gehe ich ja genauso mit. Aber inwiefern schließt das eine denn das andere aus? Warum sollte ich mich nicht auf externe Literatur bzw. Interpretationen Dritter stützen können?


wenn die Quelle belastbar ist, dann passt das ja, aber nicht wie von Rofang geschrieben, das hat der Herr ... damals gesagt. Ich will nur sensibilisieren, das man sich an den Normen / Richtlinien orientieren sollte, nicht an irgendwelchen Aussagen, die wahrscheinlich noch nicht einmal schriftlich festgehalten sind.


marscho schrieb:


> Was ich damit nur sagen will: Natürlich sollte man solche Aussagen nicht als Freibrief hernehmen, alles über einen Kamm zu scheren, aber man kann doch sehr wohl davon ausgehend eigene Überlegungen anstellen.


passt.


marscho schrieb:


> Ausgehend von deinem SLS-Beispiel:
> 
> Vielleicht komme ich im Gegensatz zu deiner Beurteilung (die mit Sicherheit schlüssig sein wird) ja dazu, dass die Möglichkeit zum Ausweichen gegeben ist.
> Dann würde ich mit 2-1-1 auf PLr=c kommen. Und nun?
> ...


genau. immer neu betrachten und die Gedanken festhalten. ich wollte nur ein Beispiel bringen, bei dem (bei uns) die Sicherheitsfunktion in PL d ist und der Not-Halt auch.


marscho schrieb:


> Zusammengefasst: Ich bin schon dabei, Pauschalaussagen sind schlecht (wüsste nicht, wo ich eine solche getätigt haben sollte, war jedenfalls nicht meine Absicht). Aber dennoch würde ich nicht grundsätzlich sagen, dass ein geringeres Not-Halt-PL ein Fehler sein *muss*.


"Pauschalaussagen" war auf Rofang's thread bezogen, nicht auf deinen.


----------



## s_kraut (7 Juli 2021)

stevenn schrieb:


> Wenn du für die Türverriegelung PL d erreichen musst, dann musst du hier auch beide Schütze schalten.Diese beiden Schütze schaltest du auch bei Not-Halt. Eins von beiden wird nach 13849 schon funktionieren. dein Weg funktioniert nur wenn die Türverriegelung nicht PL d sein muss. "Schütz zwei schaltet nur bei Sicherheitsanforderung" ja das haben wir doch bei beiden Fällen! Einmal Sicherheitsanforderung Tür und einmal Sicherheitsanforderung Not-Halt. Ich bin mir nicht sicher ob du die 13849 verstanden hast.


Bin ich mir auch nicht sicher. Bin mir aber auch nicht sicher ob du verstanden hast wie unsere Schaltung geht:
Schütz 1 schaltet betriebsmäßig an/aus UND wird von der Sicherheitsfunktion (Not-Halt und Schutztüre) verriegelt.
Schütz 2 schaltet nicht betriebsmäßig sondern NUR für die Sicherheitsfunktion (Not-Halt und Schutztüre).
Beide Schütze sind überdimensioniert.
Damit habe ich die Wahrscheinlichkeit DASS ein Schütz kleben bleibt konstruktiv gemindert und zusätzlich einfache Redundanz, HFT=1 und minimale Schaltspiele was den Verschleiss mindert und Schütz zwei schaltet normalerweise NIE unter Last - nur bei Sicherheitsanforderung. 

Die Schaltung hat sich der TÜV auch mal angeschaut im Rahmen einer Schulung, der fand das tiptop.


stevenn schrieb:


> Sicherheitsfunktion 1: Sensor (Verriegelung) - Logik (Safety) - Aktor (Schütze 1+2)
> Sicherheitsfunktion 2: Sensor (Not-Halt Taster) - Logik (Safety) - Aktor (Schütze 1+2)
> Für beide Sicherheitsfunktionen werden die gleichen Aktoren verwendet, nur ein anderer Sensor.


Ja schön und gut das ist die 13849-Denke. Das passt für den Maschinenbau schon so.
Man nimmt halt in Kauf, dass bei Versagen der Aktoren der einen SIF die andere SIF auch nicht mehr geht. Ist hinreichend unwahrscheinlich - kommt praktisch nicht vor.


----------



## Elektriko (7 Juli 2021)

s_kraut schrieb:


> Bin ich mir auch nicht sicher. Bin mir aber auch nicht sicher ob du verstanden hast wie unsere Schaltung geht:
> Schütz 1 schaltet betriebsmäßig an/aus UND wird von der Sicherheitsfunktion (Not-Halt und Schutztüre) verriegelt.
> Schütz 2 schaltet nicht betriebsmäßig sondern NUR für die Sicherheitsfunktion (Not-Halt und Schutztüre).
> Beide Schütze sind überdimensioniert.
> Damit habe ich die Wahrscheinlichkeit DASS ein Schütz kleben bleibt konstruktiv gemindert und zusätzlich einfache Redundanz, HFT=1 und minimale Schaltspiele was den Verschleiss mindert und Schütz zwei schaltet normalerweise NIE unter Last - nur bei Sicherheitsanforderung.


Die finde ich eine gute Lösung, wie macht ihr es? Benutzt ihr F-SPS mit Standard SPS zusammen, und mischt ihr die Signale?

Mit FU, benutzen wir normalerweise den Input von der FU um der Aktor an und auszuschalten, und die 2 Schütze bleiben nur als sichere Schaltung.

Über meine Frage:
_"weiß jemand wo kann man eine Prüffristen-Liste, Empfehlung o.ä. für Not-Halt Geräte, Schutztüren, etc finden...?"_
Niemand hat Info ?

Gruß


----------



## marscho (7 Juli 2021)

Elektriko schrieb:


> über meine Frage:
> _"weiss jemand wo kann man eine Prüffristen-Liste, Empfehlung o.ä. für Not-Halt Geräte, Schutztüren, etc finden...?"_
> Niemand hat Info ?
> 
> Gruß


Naja, ich weiß ehrlich gesagt nicht, ob man dir hier auf die Frage eine zufriedenstellende Antwort geben kann.
Not-Halt *und* Schutztüren *und* "etc" liest sich halt wie ein "Rundumschlag" für alles.

Was ich geben kann, wo ein guter Teil des Themas "übersichtlich" dargestellt wird, ist folgendes Poster:
*Link zur PDF Direkt -* https://www.wieland-electric.com/si...21.0_poster_der_weg_zur_sicheren_maschine.pdf
Falls beim Betrachter das Gefühl aufkommt, es handelt sich bei den dort dargestellten Sachen um die sprichwörtlichen "böhmischen Dörfer", würde ich mir das mit der Sicherheitstechnik bzw. der alleinigen Beurteilung nochmal durch den Kopf gehen lassen.

*Anmerkung:* Wirklich nicht böse gemeint.


----------



## s_kraut (7 Juli 2021)

Elektriko schrieb:


> Die finde ich eine gute Lösung, wie macht ihr es? Benutzt ihr F-SPS mit Standard SPS zusammen, und mischt ihr die Signale?


bei kleinen Sachen Sicherheitsschaltgeräte. 
Ab einer gewissen Größe rechnet sich die F-SPS ...wie mischen?


Elektriko schrieb:


> Mit FU, benutzen wir normalerweise den Input von der FU um der Aktor an und auszuschalten, und die 2 Schütze bleiben nur als sichere Schaltung.
> 
> Über meine Frage:
> _"weiß jemand wo kann man eine Prüffristen-Liste, Empfehlung o.ä. für Not-Halt Geräte, Schutztüren, etc finden...?"_
> ...


Sinnvolle Prüfintervalle hängen halt von vielen Faktoren ab - nur paar Beispiele:
- verwendete Komponenten (*Herstellerangaben*!)
- Umgebung (Temperaturwechsel, Feuchte, Aggressive Medien, Staub, Vibration, Strahlung)
- Art der Installation (fest, beweglich)
- Anforderungen an die funktionale Sicherheit (für PLe/SIL3 sind oft häufigere Prüfungen gefordert als für PLc, das macht die Diskussion ja so interessant)
- Personal vor Ort (Bastler?)
- Prüfinhalt (Sichtprüfung, Funktionsprüfung, Messung, Kalibrierprüfung,...)

Manche C-Normen haben recht detaillierte Mindest-Prüfanforderungen drin. 
Oder halt die DIN EN 13849-2 für FuSi Instandhaltung von FuSi-Funktionen die nach 13849-1 designt sind.
Oben steht der Referent Patrick Gehlen der hat mal eine kleine Fibel geschrieben VDE 152



marscho schrieb:


> Naja, ich weiß ehrlich gesagt nicht, ob man dir hier auf die Frage eine zufriedenstellende Antwort geben kann.
> Not-Halt *und* Schutztüren *und* "etc" liest sich halt wie ein "Rundumschlag" für alles.
> 
> Was ich geben kann, wo ein guter Teil des Themas "übersichtlich" dargestellt wird, ist folgendes Poster:
> *Link zur PDF Direkt -* https://www.wieland-electric.com/si...21.0_poster_der_weg_zur_sicheren_maschine.pdf


Schickes Poster für Maschinensicherheit und PL!
Da wäre noch Material für den SIL und DIN EN 61508





						Poster | Pocket Guides | Pepperl+Fuchs
					

Hier finden Sie Poster, Pocket Guides und mehr von Pepperl+Fuchs ...




					www.pepperl-fuchs.com
				






marscho schrieb:


> Falls beim Betrachter das Gefühl aufkommt, es handelt sich bei den dort dargestellten Sachen um die sprichwörtlichen "böhmischen Dörfer", würde ich mir das mit der Sicherheitstechnik bzw. der alleinigen Beurteilung nochmal durch den Kopf gehen lassen.
> 
> *Anmerkung:* Wirklich nicht böse gemeint.


Sehe ich auch so und Sicherheitsfunktionen immer im Team machen.
>40% der Sicherheitsfunktionen scheitern an der Spezifikation (Quelle: HSE) 🙈🙉🙊


----------



## Elektriko (7 Juli 2021)

Mit mischen meinte ich sichere Signalen auch mit einer Standard SPS nutzen 
Gruß


----------



## Elektriko (7 Juli 2021)

s_kraut schrieb:


> Sinnvolle Prüfintervalle hängen halt von vielen Faktoren ab - nur paar Beispiele:
> - verwendete Komponenten (*Herstellerangaben*!)
> - Umgebung (Temperaturwechsel, Feuchte, Aggressive Medien, Staub, Vibration, Strahlung)
> - Art der Installation (fest, beweglich)
> ...


Fehlt nur die Schuhgröße vom Bediener....

Manchmal gibt es Berichte/Dokumente die "Empfehlungen" geben (z.B.: Not-Halt ein Mal jährlich, usw.....)


----------



## Elektriko (7 Juli 2021)

In einem U-Boot zB würde ich niemals Unterwasser den Nothalt testen 😁


----------



## s_kraut (7 Juli 2021)

Elektriko schrieb:


> Mit mischen meinte ich sichere Signalen auch mit einer Standard SPS nutzen
> Gruß


Sobald die SPS Teilelement einer Sicherheitsfunktion wird, muss sie die geforderte Güte haben. Die Güte der Kette wird vom schwächsten Glied begrenzt.
Ja wir verbauen auch Mischsysteme, in denen eine FSPS beides, IO und FIO intern gekapselt verarbeitet.


----------



## stevenn (8 Juli 2021)

s_kraut schrieb:


> Bin ich mir auch nicht sicher. Bin mir aber auch nicht sicher ob du verstanden hast wie unsere Schaltung geht:
> Schütz 1 schaltet betriebsmäßig an/aus UND wird von der Sicherheitsfunktion (Not-Halt und Schutztüre) verriegelt.
> Schütz 2 schaltet nicht betriebsmäßig sondern NUR für die Sicherheitsfunktion (Not-Halt und Schutztüre).


also einmal probiere ich es noch, dann lass ich es.
wenn ein unerlaubtes Öffnen der Türe mit PL d abgeschaltet werden muss, dann musst du hierfür zwei Schütze verwenden. 
ein "betriebsmäßiges" ausschalten durch die "Sicherheitsfunktion (NOt-Halt und Schütztüre)" verstehe ich nicht.WEnn der NOt-Halt gedrückt wird / die Tür geöffnet wird, dann ist das eine Sicherheitsfunktion und muss mit dem entsprechenden Performance Level abgeschaltet werden.
Zusammengefasst:
Unerlaubtes Öffnen der Türe / Betätigung des Not-Halt muss PL d sein, dann müssen auch beide Schütze in beiden Fällen geschaltet werden.


s_kraut schrieb:


> Ja schön und gut das ist die 13849-Denke. Das passt für den Maschinenbau schon so.
> Man nimmt halt in Kauf, dass bei Versagen der Aktoren der einen SIF die andere SIF auch nicht mehr geht. Ist hinreichend unwahrscheinlich - kommt praktisch nicht vor.


ähm ja ist halt eine Norm die beschreibt wie Sicherheitsfunktionen ausgeführt sein sollen. 
alles fällt mit einer gewissen Wahrscheinlichkeit aus. wie du erkannt hast, ist eine SF in PL d ausgeführt sehr unwahrscheinlich für einen Ausfall. Es gibt ja noch ein bisschen mehr wie CCF, DC, MTTFd oder B10d was berücksichtigt werden muss.

DArf ich fragen in welchem Bereich du dich dann bewegst, wenn nicht im Maschinenbau? Gilt für dich die Maschinenrichtlinie und die dementsprechenden harmonisierten NOrmen nicht?


----------



## s_kraut (8 Juli 2021)

stevenn schrieb:


> also einmal probiere ich es noch, dann lass ich es.
> wenn ein unerlaubtes Öffnen der Türe mit PL d abgeschaltet werden muss, dann musst du hierfür zwei Schütze verwenden.
> ein "betriebsmäßiges" ausschalten durch die "Sicherheitsfunktion (NOt-Halt und Schütztüre)" verstehe ich nicht.


Betriebsmäßiges Schalten: die Maschine wird auch ohne Sicherheitsfunktion ab und zu an und aus geschaltet. In dem Fall sogar wesentlich häufiger. Drum betriebsmäßig schaltet nur Schütz 1, der kriegt dann mehr Lastspiele ab. Schütz 2 schaltet nur wenn Feierabend ist oder eben Sicherheitsfunktion.


stevenn schrieb:


> WEnn der NOt-Halt gedrückt wird / die Tür geöffnet wird, dann ist das eine Sicherheitsfunktion und muss mit dem entsprechenden Performance Level abgeschaltet werden.
> Zusammengefasst:
> Unerlaubtes Öffnen der Türe / Betätigung des Not-Halt muss PL d sein, dann müssen auch beide Schütze in beiden Fällen geschaltet werden.
> 
> ...


Doch die MRL brauch ich schon, kommt kein Mensch drum rum.

Aber wir sind in der Prozessindustrie unterwegs, Anlagenbau, da gibt es weniger PL sondern mehr SIL und neben den harmonisierten Normen rund um die MRL noch die DIN EN 61511 und TRGS725. Da kann es passieren dass klassische Funktionen wie Nothalt für manche Prozesse eher wenig gut sind, besser kontrolliert abfahren als einfach plötzlich aus und zu und tot. 
DIN EN 61511 bietet Verfahren an, nach denen man mit unabhängigen Schutzmaßnahmen verschiedene Layer of protection aufbauen kann (Zwiebelschalenprinzip) und höhere SIL erreichen kann als es mit einzelnen Maßnahmen möglich wäre - z.B. zwei Ventile (SIL2 / PLd / RFF100) + Überlaufleitung...wäre eine Risikominderung in SIL4, da kommt gar kein PL hin.

Drum meine (zugegeben) provokative Frage wenn der Nothalt als zusätzliche Sicherheitsfunktion dient, ob du dann zusätzliche Aktoren verbaust.  Weil richtig unabhängig ist er ja sonst nicht.


----------



## Elektriko (8 Juli 2021)

s_kraut schrieb:


> Betriebsmäßiges Schalten: die Maschine wird auch ohne Sicherheitsfunktion ab und zu an und aus geschaltet. In dem Fall sogar wesentlich häufiger. Drum betriebsmäßig schaltet nur Schütz 1, der kriegt dann mehr Lastspiele ab. Schütz 2 schaltet nur wenn Feierabend ist oder eben Sicherheitsfunktion.
> 
> Doch die MRL brauch ich schon, kommt kein Mensch drum rum.
> 
> ...


Benutzt ihr auch SISTEMA Software un SIL zu berechnen oder eine andere Software?
Gruß


----------



## s_kraut (8 Juli 2021)

Elektriko schrieb:


> Benutzt ihr auch SISTEMA Software un SIL zu berechnen oder eine andere Software?
> Gruß


Bin grad mit dem Siemens TIA-Selection tool unterwegs, weil das unterstützt nicht nur PL nach DIN EN 13849-1, sondern auch den SIL nach DIN EN 62061. 

Leider aber nur für Maschinensicherheit. 

SIL für Prozesssicherheit nach DIN EN 61511 geht leider nicht. Da haben wir was mit einem gängigen Tabellenkalkulationstool gebaut, aber was externes, unabhängiges, geprüftes wäre schon was - hat da jemand Tipps?

Cooler wäre wenn Siemens es an der Basisnorm DIN EN 61508 aufgehängt hätten, dann könnte man Maschinensicherheit, Prozesssicherheit und auch Sachen wie Baumaschinen, Schiene oder Automotive angehen.

Sistema haben Kollegen von mir auch schon verwendet. Da gefällt gut, dass es kein Herstellertool ist, sondern recht neutral bei der IFA aufgehängt ist. Aber das kann halt "nur" PL nach 13849.


----------



## marscho (9 Juli 2021)

s_kraut schrieb:


> SIL für Prozesssicherheit nach DIN EN 61511 geht leider nicht. Da haben wir was mit einem gängigen Tabellenkalkulationstool gebaut, aber was externes, unabhängiges, geprüftes wäre schon was - hat da jemand Tipps?


Nicht, dass ich's mal selbst genutzt hätte, aber ein Kunde setzt (in einem anderen Fachbereich) wohl https://www.kenexis.com/software/vertigo/ .
Inwiefern das tauglich ist, keine Ahnung...

Aber


> *SIL Verification calculations* are easily performed in Vertigo using a simple interface. All calculations performed by the Vertigo calculation engine have been* extensively validated and are in conformance* with the recommended practice of _ISA TR84.00.02 Safety Instrumented Functions (SIF) – Safety Integrity Level (SIL) Evaluation Techniques._


Kostet halt entsprechend


> A *concurrent-user license cost $4,500/yr for the first license*. One concurrent license can be used easily in small team, but if you start needing access more when someone else is using the one license, you can add a *subsequent license for only $2,250/yr*.


----------



## stevenn (9 Juli 2021)

s_kraut schrieb:


> Betriebsmäßiges Schalten: die Maschine wird auch ohne Sicherheitsfunktion ab und zu an und aus geschaltet. In dem Fall sogar wesentlich häufiger. Drum betriebsmäßig schaltet nur Schütz 1, der kriegt dann mehr Lastspiele ab. Schütz 2 schaltet nur wenn Feierabend ist oder eben Sicherheitsfunktion.


du schreibst immer "betriebsmäßiges" ausschalten durch die "Sicherheitsfunktion (NOt-Halt und Schütztüre)". Dann ist das aber kein ausschalten durch die Sicherheitsfunktion! wenn ich einen sicheren Zustand habe und dann die Türe öffne, muss ich danach nicht auch noch ein Schütz schalten. 
klingt irgendiw komisch was du da machst.


s_kraut schrieb:


> Doch die MRL brauch ich schon, kommt kein Mensch drum rum.
> 
> Aber wir sind in der Prozessindustrie unterwegs, Anlagenbau, da gibt es weniger PL sondern mehr SIL und neben den harmonisierten Normen rund um die MRL noch die DIN EN 61511 und TRGS725.


völlig egal ob PL oder SIL, beides muss richtig gemacht werden. deine Ausführungen und Erklärungen lassen mich daran zweifeln


s_kraut schrieb:


> Da kann es passieren dass klassische Funktionen wie Nothalt für manche Prozesse eher wenig gut sind, besser kontrolliert abfahren als einfach plötzlich aus und zu und tot.


tut mir leid, aber '"plötzlich aus und zu und tot" ist schon lange nicht mehr. es gibt Stoppkategorien. die richtige muss je nach Anlage gewählt werden, das hat nichts mit Prozessindustrie zu tun, das ist überall im Maschinenbau so.



s_kraut schrieb:


> DIN EN 61511 bietet Verfahren an, nach denen man mit unabhängigen Schutzmaßnahmen verschiedene Layer of protection aufbauen kann (Zwiebelschalenprinzip) und höhere SIL erreichen kann als es mit einzelnen Maßnahmen möglich wäre - z.B. zwei Ventile (SIL2 / PLd / RFF100) + Überlaufleitung...wäre eine Risikominderung in SIL4, da kommt gar kein PL hin.


auf was ist das eine Antwort?


s_kraut schrieb:


> Drum meine (zugegeben) provokative Frage wenn der Nothalt als zusätzliche Sicherheitsfunktion dient, ob du dann zusätzliche Aktoren verbaust.  Weil richtig unabhängig ist er ja sonst nicht.


"er" bzw. die Sicherheitsfunktion muss ja nicht richtig unabhängig sein!!!!!!!!!!!!!!!!!! die Wahrscheinlichkeit ist so gering das die Sicherheitsfunktion nicht ausfällt. willst du das nicht verstehen? das ist übrigens mit SIL nicht anders. hier ist auch die Ausfallwahrscheinlichkeit entscheidend


----------



## Blockmove (9 Juli 2021)

Mir ist klar was mit Not-Halt als zusätzliche, ergänzende Sicherheitsfunktion gemeint ist:
Wenn eine Anlage vollständig durch z.B. trennende Schutzeinrichtungen (Türen, Klappen, ...) gesichert ist, dann ist das die primäre Sicherheitseinrichtung.
Alle Risiken und Gefährdungen werden dadurch verhindert. Keiner kommt an irgendeine Gefahrenstelle ohne eine Tür zu öffnen.
Es gibt keine sonstigen Anlagen- und Betriebszustände, die zu Personenschaden führen können. Niemand kann eingesperrt werden oder irgendwas in der Art.
Für den Personenschutz brauche ich dann im Prinzip gar keinen Not-Halt.
Also im Prinzip optional und nur zur Sicherung von Restrisiken.
Daher kann ich jetzt in der Risikobeurteilung einen anderen PL ansetzen.
Sind die Schutztüren nach z.B. PLd ausgeführt, kann ich den Not-Halt nach PLc ausführen.
Ich kann eventuell Not-Halt einkanalig ausführen und spare ein paar Euro.
Sichere Eingangsmodule sind ja nicht ganz billig.


----------



## stevenn (9 Juli 2021)

Not-Halt ist auch dafür da, wenn eine normale Sicherheitsfunktion nicht funktioniert.(zusätzlich)
Wenn natürlich bei einer Sicherheitsfunktion beide Aktoren(beide Schütze) nicht mehr funktionieren, dann hilft in diesem Fall der Not-Halt auch nichts. (so gut wie ausgeschlossen, "Ausfallwahrscheinlichkeits-Thema" habe ich ja schon oft geschrieben) Wenn allerdings der Sicherheitsschalter an der Tür einen Fehler hat, dann hilft der Not-Halt schon. Für diesen Fall wäre die korrekte Funktion mit unserem PL d dann wahrscheinlicher als bei einem PL c. Aber eben darüberhinaus haben wir Anlagen, bei denen unter "PL d-Bedingungen" gearbeitet werden muss.


----------



## stevenn (9 Juli 2021)

Blockmove schrieb:


> Alle Risiken und Gefährdungen werden dadurch verhindert. Keiner kommt an irgendeine Gefahrenstelle ohne eine Tür zu öffnen.
> Es gibt keine sonstigen Anlagen- und Betriebszustände, die zu Personenschaden führen können. Niemand kann eingesperrt werden oder irgendwas in der Art.


Da setzte ich mal drauf an.
 "Niemand kann eingesperrt werden oder irgendwas in der Art." Kann das immer komplett ausgeschlossen werden? Wir machen das über einen Quittierungsablauf (grob erklärt, es muss quittiert werden, dass keine Person im Raum ist). Hier kann natürlich (menschlich) fehlerhaft quittiert werden. Und dann ist dort im Raum kein NOt-Halt oder "nur" ein NOt-Halt mit PL c, obwohl die Gefahr PL d ist.  Das machen wir natürlich nicht. Bei manchen Anlagen gibt es die Möglichkeit einen sicheren Scanner zu verbauen, das ist aber natürlich nicht billig.
Deswegen, bauen wir einen "PL d-Not-Halt" bei einer "PL d-Gefahr"


----------



## Blockmove (9 Juli 2021)

stevenn schrieb:


> Not-Halt ist auch dafür da, wenn eine normale Sicherheitsfunktion nicht funktioniert.(zusätzlich)
> Wenn natürlich bei einer Sicherheitsfunktion beide Aktoren(beide Schütze) nicht mehr funktionieren, dann hilft in diesem Fall der Not-Halt auch nichts. (so gut wie ausgeschlossen, "Ausfallwahrscheinlichkeits-Thema" habe ich ja schon oft geschrieben) Wenn allerdings der Sicherheitsschalter an der Tür einen Fehler hat, dann hilft der Not-Halt schon. Für diesen Fall wäre die korrekte Funktion mit unserem PL d dann wahrscheinlicher als bei einem PL c. Aber eben darüberhinaus haben wir Anlagen, bei denen unter "PL d-Bedingungen" gearbeitet werden muss.



In der Regel sind die Aktoren für die primäre Sicherheitsfunktion (Schutztür) die gleichen wie für den Not-Halt.
Die geringe Schalthäufigkeit von Not-Halt spielt bei der Betrachtung der Aktoren auch kaum eine Rolle.
Also kann ich die Aktoren außen vorlassen.
Also bleibt Sensor -> Erfassen -> Logik für den Not-Halt.
Hier kann ich u.U. eben einkanalig werden.


----------



## Blockmove (9 Juli 2021)

stevenn schrieb:


> Da setzte ich mal drauf an.
> "Niemand kann eingesperrt werden oder irgendwas in der Art." Kann das immer komplett ausgeschlossen werden? Wir machen das über einen Quittierungsablauf (grob erklärt, es muss quittiert werden, dass keine Person im Raum ist). Hier kann natürlich (menschlich) fehlerhaft quittiert werden. Und dann ist dort im Raum kein NOt-Halt oder "nur" ein NOt-Halt mit PL c, obwohl die Gefahr PL d ist.  Das machen wir natürlich nicht. Bei manchen Anlagen gibt es die Möglichkeit einen sicheren Scanner zu verbauen, das ist aber natürlich nicht billig.
> Deswegen, bauen wir einen "PL d-Not-Halt" bei einer "PL d-Gefahr"


Ob ich Einsperren oder Ähnliches ausschliessen kann, sagt mir die Risikobeurteilung.
Es gibt Maschinen die Risiken nach PLe haben und auf meinen Schreibtisch passen.
Da kann ich sowas ausschliessen.


----------



## stevenn (9 Juli 2021)

Blockmove schrieb:


> Ob ich Einsperren oder Ähnliches ausschliessen kann, sagt mir die Risikobeurteilung.
> Es gibt Maschinen die Risiken nach PLe haben und auf meinen Schreibtisch passen.
> Da kann ich sowas ausschliessen.


Genau, widerspreche ich auch nicht. aber über solche kleinen Maschinen reden wir hier zu 95% nicht oder? Also ein bisschen abwegig, bringt uns bei der Diskussion nicht weiter. natürlich gibt es Maschinen bei denen ich nicht eingeschlossen werden kann.  s_kraut arbeitet anscheinend in der Prozessindustrie, da sind die Anlagen wahrscheinlich größer. 
wollte nur klar machen, das alles mit berücksichtigt werden muss, bevor ich mich dazu entscheide den Not-Halt einen PL niedriger auszuführen. ich habe das Gefühl, das bei den Argumentationen nicht alles berücksichtigt wird.


----------



## Blockmove (9 Juli 2021)

stevenn schrieb:


> Genau, widerspreche ich auch nicht. aber über solche kleinen Maschinen reden wir hier zu 95% nicht oder? Also ein bisschen abwegig, bringt uns bei der Diskussion nicht weiter. natürlich gibt es Maschinen bei denen ich nicht eingeschlossen werden kann.  s_kraut arbeitet anscheinend in der Prozessindustrie, da sind die Anlagen wahrscheinlich größer.
> wollte nur klar machen, das alles mit berücksichtigt werden muss, bevor ich mich dazu entscheide den Not-Halt einen PL niedriger auszuführen. ich habe das Gefühl, das bei den Argumentationen nicht alles berücksichtigt wird.


All das kann ich in der Risikobeurteilung betrachten.
Beispiel aus meiner Praxis:
Anlage mit Gefährdungen nach PLe.
In der Anlage steht ein Kuka-Roboter.
Für den Not-Halt auf dem Smart-Pad gibt Kuka aber nur PLd.
Also habe ich eben für diesen Not-Halt eine gesonderte Bewertung gemacht.


----------



## Martin76 (9 Juli 2021)

sorry aber ich komm bei der Diskussion verschiedene PL nicht mit .


Das ist nur eine sehr vereinfachte Darstellung ohne Rückführkreise usw. 
Wieso sollte ich hier verschiedene PL vergeben wollen? Was könnte man sich sparen?
Die Sicherheitssteuerung gibt mit die Freigabe für die Schütze. Das ist sowieso auf den höchsten nötigen PL ausgelegt.


----------



## Blockmove (9 Juli 2021)

Martin76 schrieb:


> sorry aber ich komm bei der Diskussion verschiedene PL nicht mit .
> Anhang anzeigen 55377
> 
> Das ist nur eine sehr vereinfachte Darstellung ohne Rückführkreise usw.
> ...



Du kannst unter Umständen den Not-Halt einkanalig ausführen.


----------



## Rofang (9 Juli 2021)

Ich versuche es noch mal.

Ich habe nie versucht ganz pauschal allen einen niedrigeren PL für Not-Halt anzudrehen.
Ggf. kann man einzelne Sätze so interpretieren wenn man sie gezielt herauspickt, dann muss aber die gleiche Argumentation gelten wie für Normen -> *alles *lesen *und *verstehen.

Persönlich kann ich die Argumentation von besagtem Herrn sehr gut verstehen und nachvollziehen. Ich habe da auch keine Angst vor Richtern und oder Staatsanwälten, da ich eben auch diesen Gedankengang entsprechend als Annahme vernünftig dokumentiere. Immer da wo es halt nötig wird, falls es nötig wird.

Ohne sich die Argumentation von dem besagten Herrn selbst angehört und ggf. sogar diskutiert zu haben, ist es schon recht schwach sich so zu äußern.

Sofern sich die Aussagen bewahrheiten (wovon ich ausgehe in so einer großen aus dem Fachbereich stammenden Runde), wirst du in nicht all zu ferner Zukunft deine entsprechenden Normenstellen immer öfter finden.



> es passieren mehr Unfälle, weil der Not-Halt, nicht wie nötig, ausreichend getestet wird. der Mensch ist faul. bei zweikanaligen (zumindest bei uns) passiert das Testen automatisch.


Wenn ein Betreiber sowas zulässt, kann man eigentlich mit einem PL=d oder e Not-Halt auch nicht helfen.
Ich frage mich gerade nur warum der defekte Not-Halt auffällt wenn er nicht betätigt wird, aber der defekte Schutztürschalter nicht? Thema Sichtprüfung vor Arbeitsbeginn.

@Elektriko
Such mal nach "TRBS-1201_Prüfungen und Kontrollen  von Arbeitsmitteln und überwachungsbedürftigen Anlage"
Da wird zwar nicht auf alles eingegangen, aber man kann in einer Argumentation sich immer daran anlehnen und darauf verweisen.



> Wir haben eine Maschine, dort muss ich jedes Mal zum Einrichten direkt an drehende Teile ran, die mich erfassen können.
> Schwere der Verletzung ist "schwer"
> Häufigkeit oder Dauer ist "selten"
> kann es vermieden werden erfasst zu werden? "kaum möglich"
> ...



Wo sitzt der Not-Halt? Kommt die verletzte Person da auch allein dran? Steht immer jemand daneben der den sofort drücken kann?
Oder hast du ggf. einen Zustimmtaster mit Mittelstellung (wäre für mich eine eigene Sicherheitsfunktion).
Du hast ja wahrscheinlich speziell geschultes Personal um das Restrisiko abzudecken, sonst dürfte ja keiner dran arbeiten.
Und dann ist der Not-Halt für mich wieder eine ergänzend - egal ob nun als Sicherheitsfunktion definiert oder nicht.

Abschließend möchte ich nochmal klarstellen


Rofang schrieb:


> Versteht mich nicht falsch, es wird - wie ich schon schrieb und andere hier auch schon - wohl weiterhin einfacher sein den NH im PL der Sicherheitsfunktion auszuführen, es ist ja in der Regel schon alles dafür da.



Gruß Rofang


----------



## Elektriko (9 Juli 2021)

Danke Rofang, die TRBS 1201 kenne ich schon, ich habe nur gefragt weil vielleicht gibt es noch anders. Aber auch "keine" Antwort ist eine Antwort, und jetzt ist mir klar, dass die Sicherheitsfunktion-Prüfungen sind nicht wirklich definiert (außer vielleicht Normen-C Fälle).

Gruß


----------



## s_kraut (9 Juli 2021)

stevenn schrieb:


> Not-Halt ist auch dafür da, wenn eine normale Sicherheitsfunktion nicht funktioniert.(zusätzlich)
> Wenn natürlich bei einer Sicherheitsfunktion beide Aktoren(beide Schütze) nicht mehr funktionieren, dann hilft in diesem Fall der Not-Halt auch nichts. (so gut wie ausgeschlossen, "Ausfallwahrscheinlichkeits-Thema" habe ich ja schon oft geschrieben) Wenn allerdings der Sicherheitsschalter an der Tür einen Fehler hat, dann hilft der Not-Halt schon. Für diesen Fall wäre die korrekte Funktion mit unserem PL d dann wahrscheinlicher als bei einem PL c. Aber eben darüberhinaus haben wir Anlagen, bei denen unter "PL d-Bedingungen" gearbeitet werden muss.


Jo. Dann macht ihr euch es einfach und legt pauschal für die ganze Anlage Bedingungen fest?

Wir machen das feingranularer - es gibt bei den Anlagen einen Haufen Gefahrenstellen und einen angemessenen Haufen an Schutzmaßnahmen. Die meisten sind konstruktiv und schlagen bei mir als Automatisierer gar nicht auf - feststehende trennende Schutzeinrichtungen zum Beispiel.

Je nach Gefährdungspotential sind Zugriffsmögichkeiten entsprechend verriegelt.

Beispiel: Für eine manchmal verbautes System zur Kunststoffzerkleinerung gibt es eine C-Norm (DIN EN 12012), die explizit Mindest-Forderungen an verschiedene Teilelemente stellt (unvollständig zitiert): 
- *Nothalt *muss nach DIN EN 13850 ausgeführt sein in *SIL1 / PLc*;
- *Eingriff *an das Zerkleinerungswerkzeug muss nach DIN EN 62061 ODER DIN EN 13849-1 verriegelt sein in *SIL2 / PLd*;
- Rohprodukt-Aufgabestelle je nach geeigneten Möglichkeiten mit Einschubkasten, Eingreifschutz, Reißleine, Trittmatte SIL1 / PLc.
-...


----------



## s_kraut (9 Juli 2021)

stevenn schrieb:


> du schreibst immer "betriebsmäßiges" ausschalten durch die "Sicherheitsfunktion (NOt-Halt und Schütztüre)". Dann ist das aber kein ausschalten durch die Sicherheitsfunktion! wenn ich einen sicheren Zustand habe und dann die Türe öffne, muss ich danach nicht auch noch ein Schütz schalten.
> klingt irgendiw komisch was du da machst.


Du hast es halt nicht gescheit gelesen....ich unterscheide
- betriebsmäßiges Ein- und Ausschalten (Bedienerhandlung) - da reicht es mir wenn ein Schütz schaltet; und
- Sicherheitsfunktion (Not-Halt und Schutztüre) - bei der Schutztür braucht ich zwei Schütze, beim Nothalt kann vielleicht eins reichen


stevenn schrieb:


> tut mir leid, aber '"plötzlich aus und zu und tot" ist schon lange nicht mehr. es gibt Stoppkategorien. die richtige muss je nach Anlage gewählt werden, das hat nichts mit Prozessindustrie zu tun, das ist überall im Maschinenbau so.


Der Unterschied zwischen Prozessindustrie und Maschinenbau ist, dass in der Prozessindustrie ein Nothalt nicht immer gut ist. Z.B. Kühlmittelpumpe eines Reaktors.


stevenn schrieb:


> auf was ist das eine Antwort?
> 
> "er" bzw. die Sicherheitsfunktion muss ja nicht richtig unabhängig sein!!!!!!!!!!!!!!!!!! die Wahrscheinlichkeit ist so gering das die Sicherheitsfunktion nicht ausfällt. willst du das nicht verstehen? das ist übrigens mit SIL nicht anders. hier ist auch die Ausfallwahrscheinlichkeit entscheidend


Der Unterschied zwischen Prozessindustrie und Maschinenbau ist, dass in der Prozessindustrie eine Zuverlässigkeit eines Teilsystems in SIL3/PLe manchmal nicht reicht. Wie auch in anderen Sektoren wie Bahn oder Luftfahrt oder Nuklearindustrie...
Für den Maschinenbau reicht es aber, weil typischerweise maximal eine Person zu Schaden kommt, katastrophale Schadensereignisse werden nicht betrachtet. DIN EN 62061 beendet die Skala bei SIL3, genauso wie die DIN EN 13849-1 bei PLe aufhört.

Belassen wirs dabei erst ..


Netter Artikel flattert grad noch rein:








						Ein generell hoher Performance Level ist nicht immer nötig oder technisch möglich
					

Dieser Beitrag zeigt anhand eines Beispiels, warum eine generelle Anforderung nach einem hohen Performance Level required (PLr) von PLr=d, Kat. 3 einer Sicherheitsfunktion unter Berücksichtigung der ISO 13849-1 unnötig ist.




					www.konstruktionspraxis.vogel.de


----------



## Blockmove (9 Juli 2021)

s_kraut schrieb:


> Netter Artikel flattert grad noch rein:
> 
> 
> 
> ...



Der Artikel bringt keine neue Erkenntnisse.
Es war schon immer so, dass ich Stoppen und Schutz gegen Wiederanlauf unterschiedlich bewerten kann.
Wir haben hier auch Anlagen bei denen die Schutztüren, Lichtvorhänge und Not-Halt mit Kategorie 3 PLd ausgeführt sind und der Wiederanlauf nur durch einen einfachen Schütz in Kategorie 1 realisiert wird. Als ich das das erstemal gesehen hab, hab ich auch dumm geschaut, aber der Hersteller hat alles komplett und nachvollziehbar dokumentiert.

Persönlich setze ich selten solche Lösungen ein.
Wir haben immer F-Steuerungen und da ist die Ersparnis gering und wird zum Teil wieder durch den erhöhten Aufwand bei Doku aufgefressen.
Bei kleinen Anlagen oder Serienmaschinen sieht es natürlich anders. Da schlagen 100€ Ersparnis anders ins Gewicht.


----------



## Elektriko (9 Juli 2021)

Kann mir jemand dieses Bild erzählen, sind 2 Kanäle oder einer? Und warum machen sie einen Fehlerausschluss?


----------



## s_kraut (9 Juli 2021)

Blockmove schrieb:


> Der Artikel bringt keine neue Erkenntnisse.
> Es war schon immer so, dass ich Stoppen und Schutz gegen Wiederanlauf unterschiedlich bewerten kann.


Den Ansatz habe ich auch schon argumentiert weil nichts einschalten kann, wenn die Energiezufuhr sicher getrennt ist.
Das gefährliche Ausfallen eines Schütz "kleben bleiben" kann ja nicht passieren, wenn schon getrennt ist. 

Ich gebe vorab zu, dass ich eher mit der DIN EN 61508 und deren Töchtern unterwegs bin, da könnte ich einen Faden spinnen:
1. Schütz ist ein einfaches Bauelement Typ A, heißt einfaches System, Ausfallverhalten hinreichend bekannt, nach guter Praxis ausgelegt, Trennstrecken innen drin eingehalten usw.
2. SFF ist in dem Fall dass der Schütz bereits abgeschaltet ist >60%. Wenn das ausgeschaltete Schütz kaputt geht, dann bleibt es sehr wahrscheinlich aus. Habe noch nie einen Schütz gesehen, der von allein einschaltet und ich kenne auch niemand, der sowas berichten kann.
Ergo SIL2 trotz HFT 0 nach der Tabelle aus DIN EN 61508


Leider bescheinigt mir der Schütz-Lieferant aber nur eine erbärmliche SFF <40% weil er das Klebenbleiben stark gewichtet und in Ermangelung dieser Info in valider Form habe ich dort wo es kritisch ist immer einen zweiten Schütz spendiert. Bzw. bei Stern-Dreieck kann man eh recht einfach redundant abschalten.



Blockmove schrieb:


> Wir haben hier auch Anlagen bei denen die Schutztüren, Lichtvorhänge und Not-Halt mit Kategorie 3 PLd ausgeführt sind und der Wiederanlauf nur durch einen einfachen Schütz in Kategorie 1 realisiert wird. Als ich das das erstemal gesehen hab, hab ich auch dumm geschaut, aber der Hersteller hat alles komplett und nachvollziehbar dokumentiert.


Ich schau grad frei auch dumm 

Weil bei uns der Schutz vor unbeabsichtigtem Wiederanlauf maßgeblich die hohe SIL-Einstufung begründet:
1. Wenn die Maschine nicht ausschaltet, passiert deswegen normal erst mal nichts, dann läuft sie halt - it´s in the box. Jeder kann hören und fühlen dass sie läuft, niemand würde jetzt ohne Suizidgedanken anfangen die Tür aufzuschrauben. Der Türwächter kommt da wie im Artikel beschrieben nach S2-F1-P1 zu einem PLr=c .
2. Aber wenn das Ding offen ist und der Monteur seine Hände oder Kopf da drin hat dann darf nichts in der Welt das Ding einschalten können.
Weil er keine Chance zum Erkennen und Ausweichen hat, führt S2-F1-P2 zu einem PLr=d .




Blockmove schrieb:


> Persönlich setze ich selten solche Lösungen ein.
> Wir haben immer F-Steuerungen und da ist die Ersparnis gering und wird zum Teil wieder durch den erhöhten Aufwand bei Doku aufgefressen.
> Bei kleinen Anlagen oder Serienmaschinen sieht es natürlich anders. Da schlagen 100€ Ersparnis anders ins Gewicht.


Man kann das ja lösungsneutral hinsichtlich der Logiksteuerung diskutieren. Klappertechnik oder FSPS.

Im Artikel wird von einem bewährten Ventil gesprochen, was nach PLd abgeschaltet wird. Also vom Sensor bis zur Logik.....oder bis zum Schütz (??) PLd.


----------



## s_kraut (9 Juli 2021)

Elektriko schrieb:


> Kann mir jemand dieses Bild erzählen, sind 2 Kanäle oder einer? Und warum machen sie einen Fehlerausschluss?
> 
> Anhang anzeigen 55392


Als ich den Artikel gelesen habe, stand es gleich neben dem Bild im Text drin!


----------



## Blockmove (10 Juli 2021)

Fazit:
Auch wenn es noch so schöne Normen, Diagramme, Formeln und Berechnungstools gibt, ist es sinnvoll den Verstand zu benutzen.
Man kann vom “Mainstream“ abweichen, ohne dass dadurch eine Anlage unsicher wird.
Erfordert mehr Hirnschmalz, bedeutet mehr Doku, löst Diskussionen aus, kann aber Geld sparen.


----------



## Elektriko (10 Juli 2021)

s_kraut schrieb:


> Als ich den Artikel gelesen habe, stand es gleich neben dem Bild im Text drin!


Ja, lesen kann ich auch.

Dann, Versuche ich anders, wie interpretiert man dieser Text? Erste Absatz ist klar..... ich meinte der zweite (ich sehe keine Kat.3).

(Dieser Text gehört das Bild)

"Für die technische Umsetzung dieser Anforderungen - hier exemplarisch an einer hydraulischen Abschaltung - bedeutet dies, dass der PLr=c des sicherheitsbezogenen Stopps ohne weiteres mit einem 1-kanaligen System unter Verwendung eines Ventils nach dem Stand der Technik realisiert werden kann.

Betrachtet man die Anforderung des unerwarteten Anlaufs (PLr=d, Kat 3), so kann diese durch Auswahl eines geeigneten hydraulischen Ventils nach ISO 13849-2 (Punkt Fehlerausschluss für die selbsttätige Veränderung der Ausgangs-Schaltstellung – ohne Eingangssignal) und entsprechender Realisierung der elektrischen Ansteuerung des Ventils nach PL=d, Kat.3 mit dieser Architektur ebenfalls realisiert werden. Das Sicherheitsniveau der Funktion wird aufgrund des Fehlerausschlusses durch die einkanalige Verwendung des Ventils nicht beeinflusst, da es unter keinen Umständen gefahrbringend ausfällt."


----------



## Blockmove (10 Juli 2021)

Elektriko schrieb:


> Ja, lesen kann ich auch.
> 
> Dann, Versuche ich anders, wie interpretiert man dieser Text? Erste Absatz ist klar..... ich meinte der zweite (ich sehe keine Kat.3).
> 
> ...


Du siehst keine Kategorie 3 (2.Ventil) weil er den Fehlerausschluss nutzt.
Durch den Fehlerausschluss "betrügt" er und sagt die Ausführung erfüllt PLd.

Wir haben viel Hydraulik an unseren Anlagen, aber das wäre jetzt eine Argumentation, die ich so nie umsetzen würde.
Hydraulik hat verdammt hohe Sicherheitskennwerte. Deutlich über der jeglicher anderer Systeme.
Aber die Krux liegt am Kleingedruckten der Hersteller.
Dinge wie Hydraulische Beschaltung, Einbaulage, Vibrationen, Temperaturen, Ölqualität, Verschmutzung, ... spielen hier alle mit rein.
Ich hab in der Praxis selber schon erlebt, wie ein abgeschaltetes hydraulisches Wegeventil durch Vibration umgeschaltet hat.
Im Sinne des Artikels habe ich halt einfach nicht das geeignete Ventil gewählt gehabt 

Das Thema ein- / zweikanalig und PLc / PLd ist alt bekannt.
Es wird - wie geschrieben - hauptsächlich von den Werkzeugmaschinenherstellern getrieben.
Dabei handelt es sich meist um Serienmaschinen in höherer Stückzahl.
Kann ich hier einkanalig fahren, dann spart man natürlich deutlich Geld.


----------



## Elektriko (10 Juli 2021)

Blockmove schrieb:


> Du siehst keine Kategorie 3 (2.Ventil) weil er den Fehlerausschluss nutzt.
> Durch den Fehlerausschluss "betrügt" er und sagt die Ausführung erfüllt PLd.
> 
> Wir haben viel Hydraulik an unseren Anlagen, aber das wäre jetzt eine Argumentation, die ich so nie umsetzen würde.
> ...


Danke Blockmove, für deine Antwort. Dann ist eine echte 3 Kategorie bis das Ventil? Also Input und Logik sind eigentlich in beide Fälle Kategorie 3. In der ersten Zeichnung wegen dem Ventil erfüllt nur Kategorie 1, in der zweiten Zeichnung er macht ein Fehleranschluss im Ventil, und so bleibt "alles" als Kategorie 3. 
Habe ich es richtig verstanden?


----------



## Blockmove (10 Juli 2021)

Elektriko schrieb:


> Danke Blockmove, für deine Antwort. Dann ist eine echte 3 Kategorie bis das Ventil? Also Input und Logik sind eigentlich in beide Fälle Kategorie 3. In der ersten Zeichnung wegen dem Ventil erfüllt nur Kategorie 1, in der zweiten Zeichnung er macht ein Fehleranschluss im Ventil, und so bleibt "alles" als Kategorie 3.
> Habe ich es richtig verstanden?


Den Fehlerausschluss braucht er für den Performancelevel nicht für die Kategorie


----------



## Elektriko (11 Juli 2021)

Ja, aber in diesem Fall bedeutet gleich, er bekommt PLd weil er bei Input und Logik schon Kat.3 hat. Wenn er das Ventil hinzufügt bekommt  die SF ein niedriger PL, weil das Ventil Kat.1 hat (ein Kanal)


----------



## holgermaik (11 Juli 2021)

Elektriko schrieb:


> weil das Ventil Kat.1 hat (ein Kanal)


Darum erreicht er für die SF "Stopp" auch nur PLc. Für die SF "unerwarteter Anlauf" erreicht er PLd, da ein Fehlerausschluss durchgeführt wurde.
Ich persöhnlich wäre mit Fehlerausschlüssen immer sehr vorsichtig.


----------



## Elektriko (11 Juli 2021)

holgermaik schrieb:


> Darum erreicht er für die SF "Stopp" auch nur PLc. Für die SF "unerwarteter Anlauf" erreicht er PLd, da ein Fehlerausschluss durchgeführt wurde.
> Ich persöhnlich wäre mit Fehlerausschlüssen immer sehr vorsichtig


Ja genau, aber was ich meinte ist, dass Input und Logik von der ersten Zeichnung waren schon Kat.3 (wo er PLc erreicht hat), und dann wegen dem output-Fehleranschluss hat er PLd erreicht


----------



## s_kraut (11 Juli 2021)

Elektriko schrieb:


> Ja genau, aber was ich meinte ist, dass Input und Logik von der ersten Zeichnung waren schon Kat.3 (wo er PLc erreicht hat), und dann wegen dem output-Fehleranschluss hat er PLd erreicht


Der Fehlerausschluss ging ja um den Ausgang, dass der Schütz nicht von allein schaltet.

Solange der Input keinen niedrigeren PL/SIL hat als sonst ein Glied der Kette, ist er nicht die Schwachstelle, einen höheren PL/SIL haben schadet nicht.


----------



## Elektriko (11 Juli 2021)

Ich mache kein Fehlerausschuss, aber noch weniger in diesem Fall.
Aber ich glaube ist trotzdem falsch, meiner Meinung nach, in diesem Fall  ein Fehleranschluss könnte gemacht werden wenn der Ausgang 2 Kanäle auch hätte, deswegen frage ich über die Kategorie 3 bei Input und Logik.
Wenn alles 2 kanalig wäre und wegen keine Ahnung, der MTTF von den Ventilen keine PLd erreicht wird, da vielleicht könnte man überlegen ein Fehleranschluss zu machen.... Aber wenn der Ausgang schon ein Kanal ist, ein Fehleranschluss zu machen um PLd zu erreichen..... Ich sehe es falsch...

Und ich spreche noch über Kategorie 3 und nicht PLd, weil in diesem Fall das gleiche ist, PLd kann nur ab Kategorie 3 erreicht werden (Kat 2 auch, aber hier nicht)

Gruß


----------



## Blockmove (11 Juli 2021)

@Elektriko 
Kategorie 3 und PLd ist nicht das Gleiche.
Die gezeigte Lösung ist im Prinzip zulässig und gibt es auch in anderen Varianten.

Ich denke wir können nun das Thema abschliessen


----------



## Elektriko (11 Juli 2021)

Blockmove schrieb:


> @Elektriko
> 
> Ich denke wir können nun das Thema abschliessen


👍🏻🙂
Einen guten Start in die Woche!


----------



## stevenn (12 Juli 2021)

Rofang schrieb:


> Ich frage mich gerade nur warum der defekte Not-Halt auffällt wenn er nicht betätigt wird, aber der defekte Schutztürschalter nicht? Thema Sichtprüfung vor Arbeitsbeginn.


hängt mit der Mechanik und den schon bereits erwähnten Kennwerten wie B10D und DC zusammen. lies dir den Report durch


----------



## stevenn (12 Juli 2021)

s_kraut schrieb:


> Du hast es halt nicht gescheit gelesen....ich unterscheide
> - betriebsmäßiges Ein- und Ausschalten (Bedienerhandlung) - da reicht es mir wenn ein Schütz schaltet; und
> - Sicherheitsfunktion (Not-Halt und Schutztüre) - bei der Schutztür braucht ich zwei Schütze, beim Nothalt kann vielleicht eins reichen


jetzt hör mir mal auf, irgendwie redet man bei dir gegen eine Wand, ich habe es schon oft zitiert, du schreibst  _*"betriebsmäßiges" ausschalten *_*durch die Sicherheitsfunktion (NOt-Halt und Schütztüre)". *folglich schaltest du die Sicherheitsfunktion, wenn du betriebsmäßig ausschaltest. lies doch deine Beiträge erstmal selbst


s_kraut schrieb:


> Der Unterschied zwischen Prozessindustrie und Maschinenbau ist, dass in der Prozessindustrie ein Nothalt nicht immer gut ist. Z.B. Kühlmittelpumpe eines Reaktors.


ist mir klar und völlig logisch. aber du schreibst,*'"plötzlich aus und zu und tot" *und das ist auch im Maschinenbau "alter Hase", das wollte ich nur klarstellen


s_kraut schrieb:


> Belassen wirs dabei erst ..


auf jeden Fall. ist wirklich anstrengend mit dir


s_kraut schrieb:


> Netter Artikel flattert grad noch rein:
> 
> 
> 
> ...


ja, für dieses Beispiel passt es. wir sind aber weit weg davon zu sagen, das es pauschal so ist.


----------



## stevenn (12 Juli 2021)

Elektriko schrieb:


> Ich mache kein Fehlerausschuss, aber noch weniger in diesem Fall.
> Aber ich glaube ist trotzdem falsch, meiner Meinung nach, in diesem Fall  ein Fehleranschluss könnte gemacht werden wenn der Ausgang 2 Kanäle auch hätte, deswegen frage ich über die Kategorie 3 bei Input und Logik.
> Wenn alles 2 kanalig wäre und wegen keine Ahnung, der MTTF von den Ventilen keine PLd erreicht wird, da vielleicht könnte man überlegen ein Fehleranschluss zu machen.... Aber wenn der Ausgang schon ein Kanal ist, ein Fehleranschluss zu machen um PLd zu erreichen..... Ich sehe es falsch...
> 
> ...


blockmove hat mit seiner kompletten Argumentation recht. ich würde dir empfehlen nochmal den IFA-Report zu lesen, im speziellen den Bereich wo es um den Fehlerausschluss geht. Im Beispiel, Wenn die Energie weg ist, wird "ausgeschlossen", das das Ventil schaltet. wir reden bei uns dann an dieser Stelle auch von einer FAil-Safe-Stellung.
ABER: Normativ richtig, wenn richtig dokumentiert, aber Fehlerausschlüsse sind definitiv kein einfaches Thema und das du hier Bauchschmerzen hast, kann ich durchaus nachvollziehen. da in deinen Beiträgen eine kleine "Unsicherheit" bezüglich Fehlerausschluss - PL - Kategorie 3 vorhanden zu sein scheint, würde ich dir wirklich empfehlen den report nochmal zu lesen. falls du dann spezielle Fragen hast, kannst du ja einen neuen Thread aufmachen.


----------



## s_kraut (18 Juli 2021)

stevenn schrieb:


> jetzt hör mir mal auf, irgendwie redet man bei dir gegen eine Wand, ich habe es schon oft zitiert, du schreibst  _*"betriebsmäßiges" ausschalten *_*durch die Sicherheitsfunktion (NOt-Halt und Schütztüre)". *folglich schaltest du die Sicherheitsfunktion, wenn du betriebsmäßig ausschaltest. lies doch deine Beiträge erstmal selbst


hab ich nochmal geschaut, steht so nicht drin, oder hab ich was übersehen? Da interpretiert jemand..


stevenn schrieb:


> auf jeden Fall. ist wirklich anstrengend mit dir


danke für die intensive Auseinandersetzung.


stevenn schrieb:


> ja, für dieses Beispiel passt es. wir sind aber weit weg davon zu sagen, das es pauschal so ist.


Hege deine Zweifel - und im Geiste bleibst du jung!


----------



## stevenn (19 Juli 2021)

s_kraut schrieb:


> hab ich nochmal geschaut, steht so nicht drin, oder hab ich was übersehen? Da interpretiert jemand..


ich weiß was du meinst, geschrieben hast du aber etwas anderes. schau doch mal in deinen post #57. 
ich wollte dir nur sagen, dass wenn das Verriegeln PLd sein muss, ein Schütz nicht reicht.

Zitat hieraus: _"Schütz 1 schaltet betriebsmäßig an/aus UND wird von der Sicherheitsfunktion (Not-Halt und Schutztüre) verriegelt."_ Wenn das Verriegeln eine Sicherheitfunktion ist, die PL d erfüllen muss, was ich hieraus interpretiere (ja das muss man leider bei deinen kryptischen posts), dann reicht ein Schütz nicht.


----------



## s_kraut (19 Juli 2021)

stevenn schrieb:


> ich weiß was du meinst, geschrieben hast du aber etwas anderes. schau doch mal in deinen post #57.
> ich wollte dir nur sagen, dass wenn das Verriegeln PLd sein muss, ein Schütz nicht reicht.


ok verstanden - bin ich dabei.  


stevenn schrieb:


> Zitat hieraus: _"Schütz 1 schaltet betriebsmäßig an/aus UND wird von der Sicherheitsfunktion (Not-Halt und Schutztüre) verriegelt."_ Wenn das Verriegeln eine Sicherheitfunktion ist, die PL d erfüllen muss, was ich hieraus interpretiere (ja das muss man leider bei deinen kryptischen posts), dann reicht ein Schütz nicht.


ok verstanden - bin ich dabei.

Sorry für die Kryptik, ich komm vom Land 🤠


----------

