# Auslösendes Ereignis bei einer "verhindernden" Sicherheitsfunktion



## Cheese (27 August 2019)

Hallo an Alle,

ich möchte gerne beispielhaft eine Sicherheitsfunktion in SISTEMA spezifizieren, für die es meiner Meinung nach kein "auslösendes Ereigniss" gibt. Es geht dabei um folgende Sicherheitsfunktionen nach IFA Report 2/2017 - Funktionale Sicherheit von Maschinensteuerungen - Schaltungsbeispiele für SRP/CS - 8.2.16 Erdbaumaschinensteuerung mit Bussystem – Kategorie 2 bzw. 3 – PL d (Beispiel 16)

 Verhinderung der Anwahl einer fehlerhaften Bewegungsrichtung der Arbeitsgeräte der Erdbaumaschine (wird in dem Beispiel ausgeschlossen, aber mich interessiert sie) 

Was ist bei einer solchen Sicherheitsfunktion das auslösende Ereignis?

Meine Überlegungen:

Nur das Anwählen der Vorwärts- oder Rückwärtsbewegungsrichtung kann es nicht sein, da auch wenn keine Bewegungsrichtung ausgewählt wurde eine fehlerhafte Bewegungsrichtung verhindert werden soll. 
Im Prinzip muss, sobald die Erdbaumaschine in Betrieb genommen wird, immer verhindert werden, dass eine fehlerhafte Bewegungsrichtung ausgewählt wird. Ist das also das auslösende Ereignis? 


Gruß

Chester


----------



## stevenn (28 August 2019)

hab mir das Beispiel jetzt nicht genauer angesehen, aber ist das auslösende Ereignis nicht zum Beispiel "Drahtbruch"oder z.B. "ein defektes Ventil". es wird aufgrund dieser Fehler eine falsche Bewegung ausgeführt.


----------



## Credofire (29 August 2019)

Ja, ich sehe das auch wie wie stevenn.
Du musst quasi sicherstellen, dass beispielsweise bei Drahtbruch eines Sensors dies erkannt wird. Dieser Drahtbruch darf dann nicht dazu führen, dass dein Bagger zB den Arm senkt, ohne das du es willst/steuerst. Genauso wäre das mit dem Steuerventil. Wenn du da einen Kurzschluss zB hast, muss eine Fehlbewegung verhindert werden. Also vom Prinzip her dann NotHalt.


----------



## Cheese (1 September 2019)

Hallo an Alle,

schonmal vielen Dank für die Anmerkungen! Nach reiflicher Überlegung bin ich anderer Auffassung.

Meiner  Meinung nach handelt es sich bei meinem Beispiel um die Situation, dass  Betriebs- und Sicherheitsfunktion identisch sind. Dies ist laut ISO  13849 auch zulässig. Ich vergleiche mein Beispiel einmal mit einem  einfacheren Beispiel, welches auch in der ISO 13849 kurz erwähnt wird  (siehe fett markierte Betriebs-/Sicherheitsfunktion in nachfolgender  Anmerkung aus der ISO):



_Betriebsfunktion (*z. B. Start*,  normaler Stopp) können auch Sicherheitsfunktionen sein, aber dies kann  erst nach einer vollständigen Risikobeurteilung an der Maschine  ermittelt werden._ 

Ich nehme jetzt an aus der Risikobeurteilung wird abgeleitet, dass die Betriebsfunktion des *Startens*  der Maschine eine Sicherheitsfunktion mit einem bestimmten PLr sein  muss. Jetzt versuche ich für diese Sicherheitsfunktion das auslösende  Ereignis, die sicherheitsgerichtete Reaktion und das Maschinenteil zu  bestimmen unter der Annahme, dass ein drehendes Sägeblatt die Gefährdung  verursacht.


*Auslösendes Ereignis
*Betätigung des Startknopfes*Sicherheitsgerichtete Reaktion*Angeforderter Start*Gefahrbringendes  Maschinenteil*Drehendes Sägeblatt

Falls ich Eure Einschätzung richtig interpretiere, müsste auch hier das auslösende Ereignis ein Fehler sein wie z.B. ein Drahtbruch. Meiner Meining nach kann man aber auf dieser Ebene überhaubt noch nicht wissen, ob man überhaupt Fehler erkennen kann. Bei einer Kategorie B oder 1 kann z.B. kein Fehler erkannt werden und die Sicherheitsfunktion würde dann nie ausgeführt.

Meiner Meinung nach ist deswegen die "Betätigung des Startknopfes" das auszulösende Ereignis was dazu führt, dass die Sicherheitsfunktion (und in diesem Fall auch die Betriebsfunktion) ausgeführt wird.

Wie seht Ihr das?


Viele Grüße

Chester


----------



## Credofire (2 September 2019)

Moin moin

meine Meinung:

also das aulösende Ereignis für deine Sicherheitsfunktion ist zB Folgende:
Dein Sägeblatt ist hinter einer Schutztür. Diese Schutztür wird mit sicheren Türkontakten überwacht. Die auslösende Funktion ist nicht das Drücken des Start-Knopfes, sondern das Öffnen der Schutztür, denn dadurch wird die Situation erst gefährlich.
Die sichere Funktion ist das sichere Abschalten, wenn Tür geöffnet wird. Dies muss auch innerhalb bestimmter Parameter erfolgen. Ausserdem muss ein ungewolltes Wiederanlaufen verhindert werden.
Vorkommnisse wie Drahtbruch, Kurzschluss sind Fehler, die du erkennen musst, bzw. deine sichere Auswertung. Du musst dabei sicherstellen, dass diese Fehler erstens generell und zweitens rechtzeitig erkannt werden. Durch diese Fehler darf deine Sicherheit nicht leiden. Zum Beispiel du hast einen Drahtbruch im sicheren Türkontakt, dass heist, das die Maschine sofort sicher abschalten muss, weil du deine Tür nicht mehr sicher überwachen kannst. Andere Fehler, wie zum Beispiel klebende Schütze solltest du beim nächsten Start erkennen können. Also je nach gefordertem PLr.

p.s.
Der Start kann eine Sicherheitsfunktion auslösen in dem Fall, wo zB eine Interaktion zwischen Mensch und Roboter erfolgt. In diesem Falle gibt es zB Safe Limited Speed oder Safe Limited Position, bei dem zweiten weis ich grad nicht wie es genau heist, aber der Roboter darf nur in Bestimmten örtlichen Grenzen agieren.


----------



## Cheese (2 September 2019)

Hallo Credofire,



> also das aulösende Ereignis für deine Sicherheitsfunktion ist zB Folgende:
> Dein Sägeblatt ist hinter einer Schutztür. Diese Schutztür wird mit  sicheren Türkontakten überwacht. Die auslösende Funktion ist nicht das  Drücken des Start-Knopfes, sondern das Öffnen der Schutztür, denn  dadurch wird die Situation erst gefährlich.



Dann hätte die Risikobeurteilung aber ergeben müssen, dass eine Schutztür notwendig ist. Das ist in diesem Beispiel gerade nicht der Fall. Die Risikoberurteilung kommt zu dem Ergebnis, dass ein (z.B. weit genug entfernter) Startknopf ausreicht. Ich würde das mit einer Zweihandschaltung mit nur einem Taster vergleichen.



> Vorkommnisse wie Drahtbruch, Kurzschluss sind Fehler, die du erkennen  musst, bzw. deine sichere Auswertung. Du musst dabei sicherstellen, dass  diese Fehler erstens generell und zweitens rechtzeitig erkannt werden.  Durch diese Fehler darf deine Sicherheit nicht leiden. Zum Beispiel du  hast einen Drahtbruch im sicheren Türkontakt, dass heist, das die  Maschine sofort sicher abschalten muss, weil du deine Tür nicht mehr  sicher überwachen kannst. Andere Fehler, wie zum Beispiel klebende  Schütze solltest du beim nächsten Start erkennen können. Also je nach  gefordertem PLr.



Meiner Meinung nach kann man das nicht so pauschal vorgeben. Nehmen wir an der PLr aus der Risikobeurteilung ist c. Dann kann ich das auch über eine Kategorie 1 ohne jegliche Fehlererkennung machen. Hier kann ich bei einem erkannten Fehler gar nicht aktiv abschalten, weil der einzige Kanal brach liegt.

Oder der PLr ist b. Dann wäre sogar eine Kategorie B möglich, wo die Anforderungen noch niedriger sind.



> p.s.
> Der Start kann eine Sicherheitsfunktion auslösen in dem Fall, wo zB eine  Interaktion zwischen Mensch und Roboter erfolgt. In diesem Falle gibt  es zB Safe Limited Speed oder Safe Limited Position, bei dem zweiten  weis ich grad nicht wie es genau heist, aber der Roboter darf nur in  Bestimmten örtlichen Grenzen agieren.



In meinem Beispiel ist meiner Meinung nach aber gerade die Betriebsfunktion die Sicherheitsfunktion, d.h. es wird jeder Start nur dann ausgeführt, wenn der Bediener es möchte. Es gib des Weiteren keine weiteren Einschränkungen wie sichere Geschwindigkeit oder Ähnliches.


Viele Grüße

Chester


----------



## stevenn (4 September 2019)

Cheese schrieb:


> Hallo an Alle,
> 
> schonmal vielen Dank für die Anmerkungen! Nach reiflicher Überlegung bin ich anderer Auffassung.
> 
> ...


dort steht doch, "Betriebsfunktion (z.B. Start, normaler Stopp) *können* auch Sicherheitsfunktionen sein, ..."
worauf willst du denn hinaus? mach dir in erster Linie über das auslösende Ereignis nicht so viele Gedanken. 
du willst verhindern, 
das das Sägeblatt unvorhergesehen anläuft. wie groß ist die Gefahr-> sehr groß (schwere der Verletzung, wahrscheinlichkeit,wie oft im Gefahrenbereich,...), dementsprechend muss dies verhindert werden. Was startet das Sägeblatt nun unvorhergesehen? ein Kurzschluss oder Drahtbruch, je nachdem. deswegen muss die Ansteuerung unter umständen dann zweikanalig sein

das Starten als auslösendes Ereignis anzusehen, macht Sinn, wenn ich z.B. sage die Gefahr ist im Normalbetrieb auch so hoch, so dass ich eine Abdeckung oder Türe etc. benötige.
Es kann viele auslösende Ereignisse für den selben Gefahrenort geben


----------

