# Nicht F-SPS-Ausgang -> SIL2



## ducati (21 Juli 2022)

Wie würde man bei der IBN damit umgehen, wenn der E-Planer nen normalen SPS-Ausgang über nen Koppelrelais in nen 2 kanaligen Sicherheitskreis in SIL 2 mit einschleift?
Also ausser "Melden macht frei" das ist klar.

Kann man argumentieren, dass die SPS-Signale nicht sicherheitsrelevant sind, aber trotzdem zum Abschalten da mit eingeschliffen werden? Quasi um nen zusätzliches Kabel/Signal zu sparen?

Irgendwie wehrt sich in mir alles, aus nicht sicheren Signalen auf einmal sichere zu machen.


----------



## circlehook (21 Juli 2022)

Vorab kurz als Frage:
Wieso muss das nicht sichere Signal einen sicheren Stillstand auslösen?
Würde es dann nicht auch ausreichen, z.B. einen Antrieb per Freigabe/Applikationsstop zu stoppen?

Ich bin grundsätzlich bei dir, dass es sicher nicht die schönste Lösung ist.
Wenn aber das nicht sichere Signal laut Risikoanalyse ausreicht, spricht meiner Meinung erstmal nichts dagegen.

Sicherheitsthemen enden bei uns auch immer wieder lange Diskussionen wobei jeder seine eigenen Ansichten hat.


----------



## Tommi (21 Juli 2022)

Wann fällt das Koppelrelais aus der SPS denn ab? Thema Meldungen in der Visu...


----------



## s_kraut (21 Juli 2022)

Kleine Zeichnung wäre hilfreich.

Ich interpretiere deine Worte so:
1. es gibt ein Sicherheitskreis, der mit SIL2 vom Sensor über ein Schaltgerät in Richtung Aktor ein Potential freigibt
2. es gibt ein nicht sicheres Zusatzgerät/Relais, was von der Seite da rein grätscht

Wenn 1. und 2. zutreffend ist, dann passt das doch. 
Das Relais kann ausfallen wie es will und trotzdem erfüllt der Sicherheitskreis in jedem Fall seine Funktion.


----------



## Tommi (21 Juli 2022)

s_kraut schrieb:


> Kleine Zeichnung wäre hilfreich.
> 
> Ich interpretiere deine Worte so:
> 1. es gibt ein Sicherheitskreis, der mit SIL2 vom Sensor über ein Schaltgerät in Richtung Aktor ein Potential freigibt
> ...


Das stimmt, aber die Betreiber sollten durch die Meldungen nicht verwirrt werden,
wenn aus dem Prozess heraus eine Sicherheitsfunktion ausgelöst wird.


----------



## Blockmove (21 Juli 2022)

Nachdem man gerade keine F-Ausgangsbaugruppen bekommt, werden solche Lösungen wohl wieder öfters auftauchen.


----------



## ducati (21 Juli 2022)

Es geht um das Verriegelungssignal von unserer/meiner Anlage zu einer weiteren von jemand anderem gebauten Anlage.



circlehook schrieb:


> Wieso muss das nicht sichere Signal einen sicheren Stillstand auslösen?


muss sicherlich nicht, aber sind halt zusätzliche Zustände, bei denen es keinen Sinn hätte, die Anlage laufen zu lassen.


circlehook schrieb:


> Würde es dann nicht auch ausreichen, z.B. einen Antrieb per Freigabe/Applikationsstop zu stoppen?


ja, so hätte ich es auch gemacht, aber der E-Planer halt nicht


circlehook schrieb:


> Ich bin grundsätzlich bei dir, dass es sicher nicht die schönste Lösung ist.


jo, eben


circlehook schrieb:


> Wenn aber das nicht sichere Signal laut Risikoanalyse ausreicht, spricht meiner Meinung erstmal nichts dagegen.


Ich hab die Risikoanalyse nicht gemacht und auch zu wenig tiefe Einblicke in die Verfahrenstechnik. Ich nehms nur grad in Betrieb.


circlehook schrieb:


> Sicherheitsthemen enden bei uns auch immer wieder lange Diskussionen wobei jeder seine eigenen Ansichten hat.


Die Diskussionen will ich eigentlich vermeiden, hab schon genug zu tun.


Tommi schrieb:


> Wann fällt das Koppelrelais aus der SPS denn ab? Thema Meldungen in der Visu...


bei diversen Meldungen, bei denen es nicht sinnvoll wäre, die Anlage zu betreiben. Also dafür Meldungen gibts auf meiner Visu, aber nicht auf der Visu der Anlage, wo das sichere Signal hingeht.


s_kraut schrieb:


> Ich interpretiere deine Worte so:
> 1. es gibt ein Sicherheitskreis, der mit SIL2 vom Sensor über ein Schaltgerät in Richtung Aktor ein Potential freigibt
> 2. es gibt ein nicht sicheres Zusatzgerät/Relais, was von der Seite da rein grätscht


ja, so ist das.


s_kraut schrieb:


> Wenn 1. und 2. zutreffend ist, dann passt das doch.
> Das Relais kann ausfallen wie es will und trotzdem erfüllt der Sicherheitskreis in jedem Fall seine Funktion.


OK.


Tommi schrieb:


> Das stimmt, aber die Betreiber sollten durch die Meldungen nicht verwirrt werden,
> wenn aus dem Prozess heraus eine Sicherheitsfunktion ausgelöst wird.


jo eben, ich find das mindestens unschön.


Blockmove schrieb:


> Nachdem man gerade keine F-Ausgangsbaugruppen bekommt, werden solche Lösungen wohl wieder öfters auftauchen.


nö. daran lag das nicht. Glaub es hat einfach jemand nur nicht bis zu Ende gedacht.

OK, ich werd mal nachhaken, ob die "nicht sicheren" Signale nicht etwa doch sicherheitsrelevant sind. Zur Not stell ich die Frage mal nebenher bei der TÜV-Abnahme


----------



## Elektriko (21 Juli 2022)

ducati schrieb:


> Es geht um das Verriegelungssignal von unserer/meiner Anlage zu einer weiteren von jemand anderem gebauten Anlage.


2 Signale, oder?


----------



## s_kraut (21 Juli 2022)

Blockmove schrieb:


> Nachdem man gerade keine F-Ausgangsbaugruppen bekommt, werden solche Lösungen wohl wieder öfters auftauchen.


Solche Lösungen haben wir schon immer so gebaut  🤠 
Aber schön ist nicht, drum treib ich da den Keil rein und will Sicherheitsfunktionen separiert sehen von anderen Funktionen oder Diagnosefunktionen. Die haben uns teils Diagnosefunktionen in Not-Halt-Kreis reinverdrahtet.
Nicht verkehrt, aber wie der Folgekommentator richtig angemerkt hat:


Tommi schrieb:


> Das stimmt, aber die Betreiber sollten durch die Meldungen nicht verwirrt werden,
> wenn aus dem Prozess heraus eine Sicherheitsfunktion ausgelöst wird.


Sollte/Muss halt dann hinten rum gelöst werden, dass die Diagnose eindeutig ausfällt, ob nun der Sicherheitskreis von sich aus ausgelöst hat oder durch die andere Funktion.


----------



## Blockmove (21 Juli 2022)

Klar früher waren solche Lösungen nix außergewöhnliches.
Fehlersuche ein Albtraum. Da sind wir heute schon verwöhnt


----------



## s_kraut (21 Juli 2022)

Blockmove schrieb:


> Klar früher waren solche Lösungen nix außergewöhnliches.
> Fehlersuche ein Albtraum. Da sind wir heute schon verwöhnt


Was heute auch verstärkt gesehen wird sind Effekte wie Fehlermaskierung. 

Dann wischt die eine Funktion die eigentlich erkennbare Störung im Sicherheitskreis weg und hinterher scheint alles gut. Nur dass der Sicherheitskreis am Arsch ist und bleibt. Gefährlich unentdeckt.

Das blieb Jahre unterm Radar.

Kommt halt drauf an, ob es relevant ist in der Anwendung. Kann aber durchaus die Suppe versalzen.


----------



## stevenn (22 Juli 2022)

kommt auf die gesamte Situation an. 
das kann schon passen, aber wie schon geschrieben muss man die gesamte Situation betrachten.
Ganz einfach, wenn dieses Abschaltsignal nicht sicherheitsrelevant ist, sondern nur zusätzlich damit abgeschaltet wird und alle nötigen Sicherheitsfunktionen anders funktionieren, dann darf man das schon machen.
machen wir auch und ist auch überhaubt nichts ungewöhnliches.
mach dir gedanken, ob ein fehlerhaftes signal sicherheitsrelevant ist, wenn nicht, dann passt das.


----------

