# Betriebsartenwahlschalter von SPS nach Safetybaustein?



## Credofire (2 März 2017)

Hallo,

ist es zulässig den Betriebsartenwahlschalter mit der SPS zu verdrahten, und das Signal denn über Profinet in den Sicherheitsbaustein zu speisen?
Oder muss dieser unbedingt mit dem Sicherheitsbaustein verbunden werden?
Bei den 2 Betriebsarten werden bestimmte Sicherheitseingänge verschieden verknüpft ausgewertet.

Gruß Matze


----------



## martin2 (2 März 2017)

Das solltest du dir mit deiner Risikoanlyse beantworten können und dem dort festgelegten Performance-Level (PL). Einfach ausgedrückt: Der PL legt dann den Aufwand deiner Sicherheitsbeschaltung fest. Die eingesetzten Geräten und Beschaltungen müssen den PL erfüllen.

Bei deinem Problem hört es sich danach an, als wölltest du den BA-Schalter über Standard-IO verdrahten und in den Safety-Baustein speisen. Dort wird der aber nur als "unsicheres" Signal verarbeitet, da dieser nicht über Safety-IO eingelesen wird. Du musst also wissen, ob deine BA-Auswertung sicher sein muss oder nicht und damit kannst du dir deine Frage selbst beantworten.

Um mal einen Überblick zu gewinnen, kannst du dir das mal anschauen: Dort ist gerade die sichere Betriebsart Thema gewesen.
https://www.pilz.com/de-DE/support/other/sichere-automation


----------



## Larry Laffer (2 März 2017)

Credofire schrieb:


> Bei den 2 Betriebsarten werden bestimmte Sicherheitseingänge verschieden verknüpft ausgewertet.



Ohne da jetzt Genaueres zu wissen hört sich das für mich schon sehr grenzwertig an - selbst dann, wenn diese BA-Schalter an F-Eingängen hängen würde ...
Sichere Funktionen können natürlich überbrückt/ersetzt werden - hier nimmt man dann aber dann andere gleichwertig sichere Funktionen (Beispiel : Muting für einen Lichtvorhang , Zustimmungsschalter bei geöffneter Schutztür)

Auf jeden Fall ist das nichts, dass man einfach so pauschal beantworten kann ...

Gruß
Larry


----------



## stevenn (2 März 2017)

Credofire schrieb:


> ist es zulässig den Betriebsartenwahlschalter mit der SPS zu verdrahten, und das Signal denn über Profinet in den Sicherheitsbaustein zu speisen?


ich sage mal nein (unter der Voraussetzung PL > PL b zu realisieren).
dein System wird in der SPS einkanalig und ein Fehler in der SPS macht dir die Kette kaputt.
Zweig doch ab und geh zusätzlich in die Safety.


----------



## Credofire (2 März 2017)

Mein Hintergedanke dazu war ob die SPS wie auch der Schalter als bewährtes Bauteil gelten.
Aber das mit dem Abzweigen ist nicht verkehrt, dann bring ich das Signal einmal direkt vom Schalter und einmal über BUS von der SPS.
Dann hätte ich zumindest eine Fehlererkennung dabei wenn ich diese beiden Signale auswerte.


----------



## Typson (3 März 2017)

Hallo.

Also eine normale SPS ist kein Sicherheitsbauteil und bringt sicherheitstechnisch nichts. Bei einer F-CPU hast du zwar das Sicherheitsprogramm integriert, musst das aber getrennt vom Standardprogramm betrachten. Also eigentlich wie ein externes Sicherheitsbauteil (z.B. Pnozmulti o.ä.), so wie bei dir vermutlich.

Die BA-Schalter müssen also sicher verdahtet an deine Sicherheitssteuerung gehen und dort anständig ausgewertet werden. Eventuelle zusätzliche Berechtigungen für die BA-Anwahl müssen im Sicherheitsprogramm auf Plausibilität geprüft werden (Passwort oder EKS). Hierfür bitte an die Erstellung der Softwarespezifikation, Softwareverifikation, Integrationstests und Validierung denken


----------



## Credofire (3 März 2017)

Hallo,

ich gehe 1 mal in das Wieland SP-COP2.... (Sicherheitsbaustein) und 1 mal in die SPS (S7-1200). Die Signale kommen dann noch mal von der SPS per Profinet in das SP-COP2...
Bringt es nun was die Profinet Signale mit dem Schalter der direkt am Sicherheitsbaustein angeschlossen ist im Sicherheitsprogramm noch mal zu verknüpfen oder wäre sowas überflüssig?
Also quasi Schalter direkt UND Schalter indirekt verknüpfen? Diese beiden 1-kanaligen Signale kommen aber von bewährten Bauteilen und ich hätte dann im Sicherheitsprogramm einen 2-kanaligen diversitären Betriebsartenschalter?


----------



## Larry Laffer (3 März 2017)

... vielleicht schreibst du einfach mal, was du ganz genau machen möchtest. Dann kann man auch viel eher konkreter werden - so ist das alles viel zu diffus.
Grundsätzlich bleibe ich aber bei meiner Aussage (Beitrag #3).


----------



## stevenn (3 März 2017)

eine SPS ist kein bewährtes Bauteil.
welchen Vorteil dieses indirekte Verknüpfen haben soll kann ich nicht nachvollziehen

ich bin bei Larry, schreib mal was du machen willst


----------



## Credofire (3 März 2017)

Also,

wir haben eine Maschine die wird üblicherweise mit einem Befüllungstrichter ausgeliefert. Dieser wird durch einen 2-kanaligen Elobau-Sensor abgefragt ob er zu ist.
An der unteren Seite des Trichters befindet sich ein Quermesser. Das Quermesser ist auch in der "ZU" Position auch durch einen Elobau-Sensor abgefragt. Ist der Trichter installiert so wird die Sicherheit durch die entsprechende Höhe des Trichter gewährleistet (> 850 mm). Im Sicherheitsprogramm wird nur der Sensor vom Trichter im Sicherheitsbaustein ausgewertet.
Es gibt auch die Möglichkeit diese Maschine statt mit Trichter nur mit einer Befüllungsklappe zu bestellen. In diesem Fall wird der NotHalt eingeleitet, wenn diese Klappe UND das Quermesser gleichzeitig öffnen (es sind keine >850 mm Eingriff eingehalten) bzw. wenn die Klappe offen ist und das Quermesser geöffnet wird oder anders herum. Solang das Quermesser zu ist kann die Klappe geöffnet werden um die Vorfüllkammer zu befüllen. Dann wird die Klappe geschlossen. Wenn die Maschine wieder an dem Arbeitschrit ist wo das Quermesser öffnet, fällt das Schneidgut in die Schneidkammer. Quermesser geht wieder zu und Vorfüllkammer kann wieder befüllt werden.

Ein Kunde möchte nun aber wechseln können. Mal braucht er die Trichterversion, mal die Klappenversion.
Mit dem Schalter möchte ich nun zwischen den beiden Betriebsarten umschalten: nur Trichtersensor (Betriebsart 1) oder Klappensensor UND Quermessersensor (Betriebsart 2).
Der Trichter- und der Klappensensor sind die selben (also es gibt nur 1 Sensor)

p.s. Also der Betriebsartenschalter ist nur ein normaler Umschalter mit je 1 Kanal je Stellung.

p.p.s. Also die Sicherheit wird in jedem Fall eingehalten egal wie die Stellung des Schalters ist. Sobald dann wenigstens Klappe oder Trichter geöffnet werden, wird NotHalt eingeleitet im schlimmsten Fall. Bei Drahtbruch am Schalter ebenso.


----------



## Typson (3 März 2017)

Du kannst unsichere Signale von der SPS mit sicheren Signalen nur verknüpfen, wenn das die Sicherheit nicht reduziert. Oder-Verknüpfungen sind also Tabu, Und-Verknüpfungen wären ok. Aber was bringt das?
Besser wäre doch die BA-Taster 2-Kanalig in die Wieland-Steuerung zu legen, dort auszuwerten und mit den Ausgängen zu verschalten. Das Ergebnis "BA1/2 angewählt/aktiv" kannst du der Standard-SPS über Profinet mitteilen um z.B. in BA2 den Automatikbetrieb zu verriegeln.

Zusätzlich kann von der Standard-SPS eine Berechtigung für BA1/2 übergeben werden (UND-Verknüpft in der Sicherheits-SPS = "zusätzlicher Schutz").


----------



## Larry Laffer (3 März 2017)

Larry Laffer schrieb:


> Sichere Funktionen können natürlich überbrückt/ersetzt werden - hier nimmt man dann aber dann andere gleichwertig sichere Funktionen ...



Ich zitiere mich hier mal selber.
Du könntest ja nun auch auf die Idee kommen, auf sichere Weise zu identifizieren, was da oben drauf sitzt (und ob da etwas oben drauf sitzt). Wie wäre das ?
Deinem Schalter ist es egal, bei welcher Bestückung er in welche Stellung geschaltet wird - und somit ist das Konzept so insgesamt unsicher.

Gruß
Larry


----------



## stevenn (3 März 2017)

Larry Laffer schrieb:


> Deinem Schalter ist es egal, bei welcher Bestückung er in welche Stellung geschaltet wird - und somit ist das Konzept so insgesamt unsicher.



Hier bin ich bei Larry. Wenn dein Sensor keinen unterschied erkennt, warum dann unterschiedliche Betriebsarten?
Wenn es unterschiedliche Gefahren gibt, brauchst du auch unterschiedliche Sensoren/Signale.
Wenn es keine anderen Gefahren gibt, warum willst du dann die BA unterscheiden?


----------



## Typson (3 März 2017)

Ohh Moment! Deinen neuen Text konnte ich jetzt erst lesen.

Betriebsartenumschaltungen sind dafür gedacht eine Prozessbeochtung zu realisieren (Einrichtbetrieb mit offener Tür und Zustimmtaster).

Das was du vor hast ist eine Wechselvorrichtung. Hier solltest du eher mit am Trichter / Klappe montierten Anschlussteckern arbeiten. Bei montierter Klappe schließt du den Sicherheitskreis mit Anschluss des Sicherheitsschalters und am Trichter hängt ein Brückenstecker. Das ganze muss manipulationssicher sein, also fest montierte Stecker an den Wechselvorrichtungen (ggf. mit Drahtseil oder ähnlich).

Eine andere Variante wäre kodierte Sicherheitsschalter an Trichter & Messer zu montieren, so dass der Trichter unverwechselbar erkannt wird. Dann könnte man programmieren:

"Klappenschalter" ODER "TrichterSchalter" ODER "Messer zu" = Sicherheit-IO


----------



## Typson (3 März 2017)

...ok, unsere Antworten überschneiden sich

Aber anscheinend sind wir uns einig :grin:


----------



## Larry Laffer (3 März 2017)

Typson schrieb:


> Betriebsartenumschaltungen sind dafür gedacht eine Prozessbeochtung zu realisieren (Einrichtbetrieb mit offener Tür und Zustimmtaster).



Naja ... wie ich oben schon geschrieben habe :  hier ersetzt dann der Zustimmtaster unter gewissen Umständen die Funktion der Schutztür.

Ansonsten hast du ja im Wesentlichen meinen Text nochmals wiedergegeben ...

Gruß
Larry


----------



## Credofire (3 März 2017)

Typson schrieb:


> Ohh Moment! Deinen neuen Text konnte ich jetzt erst lesen.
> 
> Betriebsartenumschaltungen sind dafür gedacht eine Prozessbeochtung zu realisieren (Einrichtbetrieb mit offener Tür und Zustimmtaster).
> 
> ...



OK, es liegt dann an der Begrifflichkeit, du hast recht, es ist eine Wechselvorrichtung in dem Sinne. Ich habe mich davon verleiten lassen, das es in der Wieland Software eine Applikation Betriebsartenumschalter gibt, die ich dafür verwende. 
Die Maßgabe war, das für beide Aufbauten (bzw. deren Wechsel) ein Eingriff in die Maschine nicht notwendig sein soll. Also es sollten keine Brücken oder ähnliches notwendig sein. Die Sicherheitssensoren sind auch komplett innenliegend in der Maschine. Aus hygietechnischen Gründen soll an diesen Stellen kein Stecker o.ä. außen liegen. Der ursprüngliche Ansatz war, 2 Sicherheitssensoren zu verwenden, dies hätte aber dann wieder Brücken erfordert.

Die angesprochene Kodierung würde nur gehen, wenn der Sicherheitssensor mit beiden kodierten Signalen arbeiten könnte und diese auswerten kann, also ID1 jetzt ist das montiert und ID2 jetzt ist das andere montiert. Soweit ich weiß arbeiten diese RFID basierten Sensoren zwar auch unikodiert (mit jedem RFID Gegenteil zusammen) aber sie werten nicht aus, welche ID gerade aktiv ist. 
Mann könnte nur einen gesonderten RFID leser anbringen und damit dann gesonderte RFID Signale auswerten, die dann explizit erkennen ob Trichter oder Klappe moniert ist. Das wird aber dann für diese Maschine zu teuer. Aber dann in diesem Fall wäre es eine genauso unsichere Erkennung

Schon nochmal vielen Dank für alle eure Antworten, und vorsichtshalber schon mal ein angenehmes Wochenende.


----------



## Credofire (3 März 2017)

stevenn schrieb:


> Hier bin ich bei Larry. Wenn dein Sensor keinen unterschied erkennt, warum dann unterschiedliche Betriebsarten?
> Wenn es unterschiedliche Gefahren gibt, brauchst du auch unterschiedliche Sensoren/Signale.
> Wenn es keine anderen Gefahren gibt, warum willst du dann die BA unterscheiden?



Dem Sensor an sich kann es egal sein wer oben darauf sitzt. Der Umschalter legt nur fest, wie dieser Sensor gegebenenfalls im Zusammenspiel mit einem anderen Sensor ausgwertet wird.
Die Gefahrensituation bleibt am Ende die selbe. Sie hat nur unterschiedliche Eintrittsumstände: [nur Klappe/"Trichter" auf] oder ["Klappe"/Trichter UND Quermesser auf].


----------



## Larry Laffer (3 März 2017)

Du mußt es selber wissen.
Ich habe hier gelesen :  Wenn Betriebsartenschalter in der falschen Stellung dann ist es egal, ob der Trichter drauf ist oder nicht - der ist dann überbrückt.
Mein Vorschlag war :  Du hast eine Schalter-Transponder-Kombination an Pos.1 und eine an Pos.2. Der Trichter kommt nur an Pos.1, die Klappe nur an Pos.2. Damit hättest du es garantiert sicher UND automatisch erkannt.

Gruß
Larry


----------



## Typson (4 März 2017)

@Credofire
Also wenn du tatsächlich dem Bediener die Wahl lässt ob er die Sicherheit der Klappe aktiviert oder eben nicht, dann ist das Sicherheit = 0. In deiner Risikobeurteilung hättest du dann die "vernünftigerweise vorhersehbare Fehlanwendung" nicht beachtet. Man muss schließlich damit rechnen, dass ein Bediener die Klappe anbaut und dann Feierabend macht und der nächste vergisst den BA-Schalter richtig zu stellen. Aber vielleicht hab ich auch irgendwas falsch verstanden


----------



## Credofire (6 März 2017)

Typson schrieb:


> @Credofire
> Also wenn du tatsächlich dem Bediener die Wahl lässt ob er die Sicherheit der Klappe aktiviert oder eben nicht, dann ist das Sicherheit = 0. In deiner Risikobeurteilung hättest du dann die "vernünftigerweise vorhersehbare Fehlanwendung" nicht beachtet. Man muss schließlich damit rechnen, dass ein Bediener die Klappe anbaut und dann Feierabend macht und der nächste vergisst den BA-Schalter richtig zu stellen. Aber vielleicht hab ich auch irgendwas falsch verstanden



Aus sicherheitstechnischer Sicht ist die Maschine auch sicher in dem Fall den du beschreibst: Wenn der Kunde die Klappe drauf hat aber den Schalter auf Trichter, dann löst die Sicherheit sofort aus wenn die Klappe geöffnet wird. Ist der Schalter aber auf Klappe, dann löst die Sicherheit erst aus wenn Klappe UND Quermesser offen sind (dies dient dazu das der Kunde nachfüllen kann). *Die Maschine ist in jedem Fall sicher sobald die Klappe geöffnet wird*. Sicherheitskritisches Merkmal ist die Quermesseröffnung. Im Trichterfall ist dies durch das Eingriffsmaß >850 mm mechanisch gelöst. Im Klappenfall wenn die Klappe und das Quermesser offen sind. Der Kunde kann *in keinem Fall* in den gefährlichen Bereich hineingreifen. Sicherheit = 1.
Nur das Arbeitsregime ist etwas anders durch den Klappe/Trichter-Umschalter.
Ich lasse dem Kunden ja nicht die Wahl *ob* er die Sicherheit aktiviert, sondern wie sie arbeitet. Im schlimmsten Fall kann er im Klappenbetrieb nicht adäquat nachfüllen da immer die Sicherheit auslöst und und die Maschine stehen bleibt. Im Trichterfall hat er, wenn der Schalter auf Klappe steht, eine doppelte Sicherheit (Eingriffsmaß und Quermesserabfrage)
Also sicher ist die Maschine so oder so. Und wenn ein Drahtbruch am Schalter vorliegt arbeitet die Maschine auch nicht.


----------



## stevenn (6 März 2017)

Credofire schrieb:


> Also sicher ist die Maschine so oder so.


über was reden wir dann? Wenn das deine RBU so ergibt (ich meine du/ihr übernehmt ja die Verantwortung) dann ist das doch ok.
Dann ist dein Betriebsartenauswahl auch keine Sicherheitsfunktion und du benötigst keine Sicherheitsbauteile für die BA-Auswahl


----------



## Typson (6 März 2017)

Wie Stevenn richtig sagt. Die Sicherheit wird nicht durch den BA-Schalter/Klappenschalter sondern ausschließlich durch die Quermesser-Absicherung gewährleistet.
Das heißt ja aber, dass du immer wenn das Messer offen ist die Anlage stilllegen müsstest (du weißt ja nicht sicher ob ein Trichter drauf ist). Das ist doch aber nicht das was du vor hattest, oder?


----------



## Credofire (6 März 2017)

Typson schrieb:


> Wie Stevenn richtig sagt. Die Sicherheit wird nicht durch den BA-Schalter/Klappenschalter sondern ausschließlich durch die Quermesser-Absicherung gewährleistet.
> Das heißt ja aber, dass du immer wenn das Messer offen ist die Anlage stilllegen müsstest (du weißt ja nicht sicher ob ein Trichter drauf ist). Das ist doch aber nicht das was du vor hattest, oder?



Nicht ganz richtig. die Sicherheit muss gewährleistet sein, wenn der Trichter/Klappe geöffnet wird UND das Quermesser schon offen ist im Klappenbetrieb. Und das ist es in jedem Fall. Solange der Trichter bzw.Klappe zu ist, kann das Quermesser machen was es will. Nur eben nicht wenn der Trichter/Klappe schon offen ist. Dann geht die Maschine spätestens in den sicheren Zustand wenn das Quermesser auf geht. Dabei geht das Quermesser ja nicht ganz auf, sondern nur etwa 5-10 mm, bis der Sensor eben "offen" meldet.
Hier mal das Programm vom Wieland Safety wie es vorläufig ist, vielleicht verdeutlicht es meine Idee der Funktion:


----------



## Typson (6 März 2017)

Anscheinend würde "Quermesser" nur bei Klappenbetrieb greifen... richtig so?
Hast du hier die Eingänge "Quermesser" und "Klappe/Trichter" vertauscht.
Oder kommt das Signal "Klappe/Trichter" auch wenn der Trichter aufgesetzt ist?


...das Schaltbild wirft neue Fragen auf.


Wird hier der Reset-Taster (ID 11) mit einem Taktsignal quittiert? Das wäre ein Automatischer Anlauf... nicht zulässig.
Wieso wird der Eingang "Not-Halt" nicht mit ausgewertet?
Die Betriebsart "Service" ist eine Überbrückung jeglicher Schutzfunktionen. Ich kenne einige Kunden, die sowas machen, und glaube nicht, dass das zulässig ist.


----------



## Credofire (7 März 2017)

@Typson
Ja, Quermesser greift nur bei Klappenbetrieb. Bei Trichterbetrieb halten wir mechanisch das Mindesteingriffmaß ein > 850 mm
Das Signal Klappe/Trichter kommt entweder vom Trichter oder der Klappe, es ist derselbe Sensor. Deshalb ist es für die Sicherheit egal ob Trichter oder Klappe montiert sind.

zu den Fragen:
1. ja es wird automatisch zurückgesetzt. Das betrifft aber nur die Sicherheit und nicht das Programm. Das Programm kann nur über die Positive Flanke des Starttasters gestartet werden.
2. Bei diesen Maschinen ist im Normalbetrieb kein NotAus-Schalter vorgesehen. Alle gefährlichen Momente werden durch die vorhandenen Sicherheitsschalter abgedeckt und elektrischer Körperschluss durch die Sicherungen.
3. Die Servicebetriebsart ist nicht durch den Kunden zugänglich. Nur durch unsere Mitarbeiter bzw. durch uns speziell eingewiesenes Service-Personal von unseren Händlern. Der Kunde kann damit nicht in Berührung kommen. Im Servicefall muss ein externer NotAus angeschlossen werden, und mit Anlaufsperre freigegeben werden. Erst dann wird die Sicherheit im Servicebetrieb freigeschaltet. Es ist dann nur mit dem NotAus-Schalter gesichert. Es wird aber auch noch mal extra auf dem Bildschirm darauf hingewiesen.

Ich gehe davon aus, das es so in Ordnung ist. Denn das ganze kommt schon von meinem Vorgänger der langjährige Erfahrungen auf dem Gebiet Steuerungen und Sicherheit hat. Ansonsten hätte mein Vorgänger schon ziemlich Mist verzapft, aber das  halte ich, im Moment, für ausgeschlossen. Ich lasse mich aber auch eines besseren belehren.


----------



## stevenn (7 März 2017)

Credofire schrieb:


> 2. Bei diesen Maschinen ist im Normalbetrieb kein NotAus-Schalter vorgesehen. Alle gefährlichen Momente werden durch die vorhandenen Sicherheitsschalter abgedeckt und elektrischer Körperschluss durch die Sicherungen.



hm, ich denke jetzt ist der Zeitpunkt gekommen mich aus der Diskussion rauszuhalten. es gibt Maschinen, bei denen ein Not-Halt nicht nötig ist, bei deiner würde ich ( ohne sie zu sehen ) ganz klar sagen du brauchst einen. Ein Not-Halt ist eine ergänzende Schutzmaßnahme und ist für Notfälle gedacht, wenn z.B. dein Sicherheitsschalter versagt. bitte schau dir die 13850 an.


----------



## Credofire (7 März 2017)

Der Not-Halt als Funktion ist ja vorhanden durch die Sicherheitsschalter. Ist ein Sicherheitssensor defekt wird es durch die Sicherheit erkannt und die Maschine geht in den sicheren Zustand. Es sind 2-kanalig antivalente Sensoren mit Kurschlusserkennung usw. Es ist vielleicht an der Stelle unglücklich benannt. Ich sollte es vielleicht besser als NotAus-Taster benennen.
Die Not-Halt-Funktion heist bei Wieland Reset bzw. Start. Beide Applikationsbausteine bewirken das gleiche. Es ist nur visuell, je nachdem ob man die Sicherheit zurücksetzt oder die Maschine damit starten will. In unserem Fall wird ja die nur die Sicherheit zurückgesetzt. Der Maschinenstart geschieht dann erst extern.

Wäre schade wenn du dich ausklinkst. Ich muss meine Erfahrung durch lesen der Normen und Diskussionen in Foren sammeln wenn ich ergänzende Fragen habe. Bin bei uns leider der einzige der sich damit beschäftigt.
Außerdem wird ja hier nichts rechtlich verwertbares geschrieben. Niemand würde auf die Idee kommen und auf eine Diskussion hier im Forum zu verweisen bei einem Rechtsfall. 
Für mich ist jeder Beitrag wertvoll den ich bekomme.


----------



## stevenn (7 März 2017)

hast du einen Not-Halt-Taster oder nicht? Du brauchst einen Not-Halt Taster. Sorry, ich will nicht von deinem Ursprungsthema ablenken, aber lies dir doch mal die MRL 1.2.4.3 und die 13850 durch.


----------



## Credofire (7 März 2017)

@stevenn
....Hiervon ausgenommen sind
- Maschinen, bei denen durch das NOT-HALT-Befehlsgerät das Risiko nicht gemindert werden kann, da das NOT-HALT-Befehlsgerät entweder die Zeit des Stillsetzens nicht verkürzt ....

Das trifft bei uns ja zu. Die sicheren Sensoren lösen an den entsprechenden Stellen NotHalt aus sobald ein Eingriff in den Gefahrenraum möglich wird. Ein zusätzlicher NotHalt-Taster bringt da keinerlei Zusatznutzen in Bezug auf die Sicherheit im Normalfall und es mindert auch nicht das Risiko.
Der Schutz der Maschine vor Zerstörung wird vom SPS Programm gemacht. Aber Sicherheitsrelevant ist dies ja nicht. Der NotHalt-Taster ist nur im Servicebetrieb notwendig da er dort die einzige Maßnahme ist.


----------



## stevenn (7 März 2017)

Credofire schrieb:


> Der NotHalt-Taster ist nur im Servicebetrieb notwendig da er dort die einzige Maßnahme ist.



____________________


----------



## martin2 (7 März 2017)

Wenn der Nothalt für den Servicebetrieb notwendig ist, warum soll dieser  dann nur tempoär installiert sein? Was spricht dagegen diesen dauerhaft zu installieren?
Dein PL wird wohl bei d liegen. Wie willst du den externen Nothalt dann nachträglich installieren ohne erst Klemmen zu öffnen? Das scheint mir äußerst unpraktikabel. Vor allem wenn der Kunde drängelt wird doch Zeit gespart. Da fängt doch keiner an erst den externen Nothalt zu verdrahten und eine Funktionsprobe zu machen. ICH würde den Nothalt serienmäßig installieren. Wenn es an den 30€ scheitert, dann ist etwas faul.


----------



## Credofire (7 März 2017)

martin2 schrieb:


> Wenn der Nothalt für den Servicebetrieb notwendig ist, warum soll dieser  dann nur tempoär installiert sein? ...



Eben damit der Servicebetrieb noch extra erschwert wird. Ja PLd haben wir mit der Maschine. Aber ich habe es auch schon angesprochen den bei diesen Maschinen auch serienmäßig einzubauen .... aber wie du siehst ...
Angebhlichhat es was mit dem ganzen Wust zu tun der dann noch hinten mit dran hängt. Fertigungszeichnungen, Stücklisten, Betriebsanleitungen etc. Die Ressourcen sind da rar.


----------



## holgermaik (8 März 2017)

Ich denke du lässt dich da irretieren, weil ein Programmierer einen  Betriebsartenwahlschalter ins Programm gesetzt hat. Jemand anderes hätte  es anders programmiert, da es in Wirklichkeit ja keine  Betriebsartenumschaltung ist. So wie du schreibst ersetzt du ja eine  feste trennende Schutzeinrichtung durch eine andere.

Anders verhält es sich bei deiner Betriebsart Service. Hier ist m.M. ein sicherer BAW zwingend erforderlich inklusive Signalisierung und Berechtigung sowie deren Überwachung.
Ich glaube nicht, dass deine Gefährdungsbeurteilung dies so zulässt wie ausgeführt.

Über deinen  Not Halt solltest du nochmal nachdenken. Ich glaube mit deiner  Begründung liegst du falsch. Ich denke da an funktionale Sicherheit.  (mech. Schäden, Hardware def. Softwarefehler usw...)

Holger


----------



## Typson (8 März 2017)

...war mal kurz verreist, daher erst jetzt bezugnehmend:



Credofire schrieb:


> Ja, Quermesser greift nur bei Klappenbetrieb. Bei Trichterbetrieb halten wir mechanisch das Mindesteingriffmaß ein > 850 mm
> Das Signal Klappe/Trichter kommt entweder vom Trichter oder der Klappe, es ist derselbe Sensor. Deshalb ist es für die Sicherheit egal ob Trichter oder Klappe montiert sind.



Ok, dann brauchst du aber auch keinen "Wechselvorrichtungsumschalter", wenn wir ihn mal so nennen wollen. Nur eine der 2 Bedingungen muss erfüllt sein: Quermesser oder Schalter "Klappe/Trichter". Ob Trichter oder Klappe verbaut ist, ist ja dann völlig egal für die Sicherheits-SPS, denn beide bieten den nötigen Schutz. Und wenn Klappe/Trichter fehlt, dann kommt es auf das Quermesser an.



Credofire schrieb:


> 1. ja es wird automatisch zurückgesetzt. Das betrifft aber nur die  Sicherheit und nicht das Programm. Das Programm kann nur über die  Positive Flanke des Starttasters gestartet werden.


Das "Programm", also das Standard-Programm, wird in der Sicherheit nicht betrachtet. Es verbessert deine Sicherheit nicht.
Lediglich die Diagnose könnte man dadurch etwas optimieren und einen höheren Diagnosedeckungsgrad erzeugen, was aber nur sinnvoll wäre, wenn man sich Rückführkreise oder Taktsignale sparen möchte und von PLc auf PLd kommen will. Der Aufwand dahinter ist aber viel zu hoch und rein rechtlich auch schwer zu vertreten.
Also: Wiederanlauf *muss* durch die Sicherheitssteuerung verhindert werden! Du brauchst unbedingt ein Quittiersignal mittels Taster (für Touch-Panels gibt es extra Quittier-Routinen), Soft-Keys sind grenzwertig. Der Reset-Baustein wertet dann vermutlich - so muss es sein - die negative Flanke das Quittiersignals aus.



Credofire schrieb:


> 2. Bei diesen Maschinen ist im Normalbetrieb kein NotAus-Schalter  vorgesehen. Alle gefährlichen Momente werden durch die vorhandenen  Sicherheitsschalter abgedeckt und elektrischer Körperschluss durch die  Sicherungen.



OK, ob Not-Aus/Halt dran sein muss oder nicht wurde ja schon diskutiert... auch von mir die Empfehlung: Unbedingt! Hast du eine Zuhaltung für die Schutztüren drin? Dann würde man die ja z.B. gar nicht aufbekommen um die Maschine zu stoppen. Ist die Schutztür, die ich öffnen muss von überall zugänglich. Muss ja dann in der Betriebsanleitung so drin stehen, dass man die nicht zu stellen darf.



Credofire schrieb:


> 3. Die Servicebetriebsart ist nicht durch den Kunden zugänglich. Nur  durch unsere Mitarbeiter bzw. durch uns speziell eingewiesenes  Service-Personal von unseren Händlern. Der Kunde kann damit nicht in  Berührung kommen. Im Servicefall muss ein externer NotAus angeschlossen  werden, und mit Anlaufsperre freigegeben werden. Erst dann wird die  Sicherheit im Servicebetrieb freigeschaltet. Es ist dann nur mit dem  NotAus-Schalter gesichert. Es wird aber auch noch mal extra auf dem  Bildschirm darauf hingewiesen.



Ok, dann darf das aber kein Not-Aus-Taster sein sondern muss als Zustimmtaster ausgeführt werden (mit 3 Schaltstellung -> Mittelstellung = 1-Signal). Ein Not-Aus/Halt-Taster ist klar definiert, führt immer zum Not-Aus/Halt und muss über allen Betriebsarten stehen.
Wenn ihr bei einem Servicefall die Sicherheiten überbrückt oder ersetzt löst ihr damit jedes mal einen Probebertrieb aus. D.h. Absperrung, Verantwortliche bestimmen usw.. Der organisatorische Aufwand dafür ist recht hoch für einen Serviceeinsatz. Zudem setzt ihr eure Mitarbeiter damit regelmäßig einer besonderen Gefahr aus, was die Berufgenossenschaft nicht erfreuen wird.
Und wie stellt ihr sicher, dass der Kunde zu dieser Funktion keinen Zugang hat? Ich habe auch Kunden, die so einen "Zauberschlüssel" von z.B. Siemens einsetzen, den man sich aber problemlos nachbestellen kann. Ihr müsstest ein gutes Schlüsselmanagment haben um das sicher zu gestalten...
Der Hinweis auf dem Bildschirm ist schön, aber keine Sicherheit.



Credofire schrieb:


> Ich gehe davon aus, das es so in Ordnung ist. Denn das ganze kommt schon  von meinem Vorgänger der langjährige Erfahrungen auf dem Gebiet  Steuerungen und Sicherheit hat. Ansonsten hätte mein Vorgänger schon  ziemlich Mist verzapft, aber das  halte ich, im Moment, für  ausgeschlossen. Ich lasse mich aber auch eines besseren  belehren.



Ich habe von 5 geprüften Sicherheits-SPS-Programmen nur ein einziges, das nahezu fehlerfrei ist. Alle anderen haben gravierende Fehler und erreichen PLc und teilweise auch PLa...Also nichts. Diese Maschinen laufen und produzieren Autos...
Geh mal lieber nicht davon aus, dass andere alles richtig machen. Schließlich haben sich die Zeiten auch geändert und die Normen schon ganz schön verschärft. Und ob dein Vorgänger schon mal was von V-Modell, Softwarespezifikation/-Verifikation, Validierung usw. gehört hat, sollte man zumindest mal hinterfragen. Denk dran, ab jetzt trägst du den Großteil der Verantwortung...


----------



## Credofire (8 März 2017)

@Typson
Ein außerordentliches Dankeschön! Ich weiß, mehr geben die Schnorrer alle nicht, und ich habe auch schon einein ganzen Keller voll 



Typson schrieb:


> ...war mal kurz verreist, daher erst jetzt bezugnehmend:
> 
> ...
> Also: Wiederanlauf *muss* durch die Sicherheitssteuerung verhindert werden! Du brauchst unbedingt ein Quittiersignal mittels Taster (für Touch-Panels gibt es extra Quittier-Routinen), Soft-Keys sind grenzwertig. Der Reset-Baustein wertet dann vermutlich - so muss es sein - die negative Flanke das Quittiersignals aus.
> ...



OK, also um den Reset komme ich nicht drum rum. Da ich aber im Moment keine zusätzlichen Taster in die Maschine bekomme, könnte ich dafür auch den Stopp-Taster der Maschine verwenden (ein Öffner)? Im Sicherheitsprogramm könnte ich dann den Eingang negieren um beim loslassen die negative Flanke zu bekommen.

Zustimmschalter ist an der Stelle nicht machbar, da die Monteure ja teilweise beide Hände brauchen, z.B. um Zahnriemen einzustellen.


----------



## Typson (8 März 2017)

Credofire schrieb:


> @Typson
> Ein außerordentliches Dankeschön! Ich weiß, mehr geben die Schnorrer alle nicht, und ich habe auch schon einein ganzen Keller voll



Keine Ursache 



Credofire schrieb:


> Da ich aber im Moment  keine zusätzlichen Taster in die Maschine bekomme, könnte ich dafür auch  den Stopp-Taster der Maschine verwenden (ein Öffner)? Im  Sicherheitsprogramm könnte ich dann den Eingang negieren um beim  loslassen die negative Flanke zu bekommen.



Kannst du leider nicht. Der Quittiertaster (in den Normen und Richtlinieen meisst als Starttaster bezeichnet) muss ein extra Taster sein. Letztendlich muss klar erkennbar sein, dass die Maschine durch diesen Taster wieder in Gang gesetzt wird. Bei dem Stoptaster geht man ja davon aus, dass der die Anlage immer Stoppt (und wie gesagt, dass das Standard-Programm die Maschine nicht startet zählt nicht).
Du könntest ggf. nach Hochlauf der Sicherheits-SPS ein Reset ausführen, wenn die Reset-Bausteine nicht sogar von allein nach Hochlauf resettet sind. Damit muss man zwar nach jedem Sicherheitsfehler die Anlage Aus-/Einschalten, aber es ist eine wäre bewusste Handlung. Vorraussetzung ist, dass das ein sicherer Hauptschalter (einrastend) ist, was es ja aber eh sein sollte. Die Methode ist übrigens ebenfalls sehr grenzwärtig, aber in deinem Fall wohl das geringste Übel.




Credofire schrieb:


> Zustimmschalter ist an der Stelle nicht machbar, da die Monteure ja  teilweise beide Hände brauchen, z.B. um Zahnriemen einzustellen.



Aber der Techniker muss doch bestimmt auch irgendeinen Knopf betätigen um eine Bewegung herbeizuführen. Und wenn er keine Bewegung brauch, dann kann er ja auch einfach bei abgeschalteten Antrieben arbeiten.

Mich würde brennend interessieren was das für eine Maschine ist... vielleicht findest du ja mal einen Link zu einer ähnlichen Maschine von einem anderen Hersteller, den du hier mal posten könntest. In diesem Atemzug kannst du ja mal schauen wie das andere Hersteller lösen.


----------

