# SISTEMA Frage



## Alex.TU (7 Oktober 2022)

Hallo zusammen,

Einen Roboter-Greifer muss bei Not-halt in PLd abgeschaltet werden, um diesen PL zu erreichen, haben wir zwei Ventile dafür geplant (ein Ventil Greifer auf/zu und ein Ventil als Steuerventil (Freigabe HGL))

Das Problem hier liegt am Master-Modul vom Balluff, hat MTTFD=98, erreiche ich mit diesem Modul nur PLc, einen Kollege hat gemeint das Modul muss raus von der Berechnung, da ich 24VDC Aktorenspnnung sicher abschalte durch Safety Ausgang, und das Modul hat kein Spannung und kann nichts machen

Die Frage ist, kann ich hier das Master Modul nachlässigen, also das Master Modul ist nicht beteiligt, da ich den Aktorenspnnung vom Modul abschalte bei Not-Halt, oder ist schon relevant ?

für besseres Verstandnis, bei NH schaltete ich einen Safety-Ausgang, dann schaltet 24VDC Aktorenspannung vom Master-Modul ab

Danke im Voraus


----------



## SPSAlex83 (7 Oktober 2022)

Hi Alex, ich kann deiner Schaltung noch nicht ganz folgen. Bist du 2-kanalig unterwegs? Kat.3 oder 4? oder bist du in Kat. 2 mit deinem Schaltungsaufbau. Ich würde ja bei pld wenn möglich auf Kat. 3-4 gehen und somit 2-kanalig. Was meinst du mit Master Modul? Ist das der Controller vom Roboter?

VG Alex


----------



## Elektriko (7 Oktober 2022)

Also, Du sagst:
Not-Halt/F-SPS/Master Modul/Ventile , wäre es so richtig?
Ist dieses Modul sicher abgeschaltet? Und ist NUR für Outputs? Oder hat es auch Inputs/Sensoren, und diese Inputs bleiben noch mit Spannung, wenn ein Nothalt gedrückt ist?


----------



## s_kraut (7 Oktober 2022)

SPSAlex83 schrieb:


> Hi Alex, ich kann deiner Schaltung noch nicht ganz folgen. Bist du 2-kanalig unterwegs? Kat.3 oder 4? oder bist du in Kat. 2 mit deinem Schaltungsaufbau. Ich würde ja bei pld wenn möglich auf Kat. 3-4 gehen und somit 2-kanalig. Was meinst du mit Master Modul? Ist das der Controller vom Roboter?
> 
> VG Alex


Steht doch oben drin: ein Steuerventil Greifer auf/zu und ein Freigabeventil. Riecht nach Zweikanaligkeit.

Möglicherweise macht der Themenöffner die Abschaltung der Versorgungsspannung einkanalig, dann muss halt darüber nachgedacht werden ob ein Fehlerausschluss zulässig ist.

Prinzipiell kann Kat2 und somit PLd halt schon auch einkanalig erreicht werden - wenn es nur darum geht.


----------



## Alex.TU (8 Oktober 2022)

Hallo Zusammen,
danke für euere Feedback ..... ich muss nur wissen, ob ich den +24 MasterModul (vom Balluff) in sisteam Berechnung reintun oder nicht ? da ich die Aktorenspannung sicher abschalte

Beigefügt ist die Schaltung .... bitte um euere Erfahrung mitzuteilen

Danke


----------



## s_kraut (8 Oktober 2022)

Mal den Balluff fragen, ob seine für dich relevanten Komponenten eine solche Abschaltung sicher mitmachen.
Manche Hersteller erlauben es für manche Karten, für andere wiederum gibt es kein GO!


----------



## Elektriko (8 Oktober 2022)

Warum hier 2 in reihe? In der Zeichnung ist nur ein Kontakt sicher ausgeschaltet, nicht zwei.... 

Ich habe auch ein paar Fragen gemacht, aber keine Antwort bekommen


----------



## Alex.TU (8 Oktober 2022)

s_kraut schrieb:


> Mal den Balluff fragen, ob seine für dich relevanten Komponenten eine solche Abschaltung sicher mitmachen.
> Manche Hersteller erlauben es für manche Karten, für andere wiederum gibt es kein GO!


ok ... mach ich ..... aber wollte ich wissen von euch, ob jemand hier Erfahrung damit gemacht hat ... egal welche Hersteller (siemens, Murr, ifm ....) .... viele meinen dass +24 VDC Modul macht nichts, falls ich die Aktorenspannung abgeschaltet worden, und muss nicht in sistema berechnen ... da alle teile reeichen PLe .... ohne +24 VDC Modul


----------



## Alex.TU (8 Oktober 2022)

Elektriko schrieb:


> Warum hier 2 in reihe? In der Zeichnung ist nur ein Kontakt sicher ausgeschaltet, nicht zwei....
> 
> Ich habe auch ein paar Fragen gemacht, aber keine Antwort bekommen


den Pilz-relais an sich hat ja 2 kontakte ... hier einen Screenshot vom S7, druch das Relais habe ich das Modul sicher abgeschaltet


----------



## Elektriko (8 Oktober 2022)

Manche Verteilungen haben auch Inputs, die Spannung haben können, und mit den Outputs nicht galvanisch getrennt sind. Deswegen meine Fragen von ersten Nachricht, aber du antwortest noch nicht 



Elektriko schrieb:


> Also, Du sagst:
> Not-Halt/F-SPS/Master Modul/Ventile , wäre es so richtig?
> Ist dieses Modul sicher abgeschaltet? Und ist NUR für Outputs? Oder hat es auch Inputs/Sensoren, und diese Inputs bleiben noch mit Spannung, wenn ein Nothalt gedrückt ist?


----------



## Elektriko (8 Oktober 2022)

Ich bin mit dem Handy und habe das Bild klein gesehen.... Jetzt sehe ich das....
Nein Du kannst es nicht benutzen, weil Inputs und Outputs nicht galvanisch getrennt sind


----------



## Alex.TU (8 Oktober 2022)

Elektriko schrieb:


> Also, Du sagst:
> Not-Halt/F-SPS/Master Modul/Ventile , wäre es so richtig? ja .... so richtig
> Ist dieses Modul sicher abgeschaltet? ja
> Und ist NUR für Outputs? ja nur Outputs
> Oder hat es auch Inputs/Sensoren, und diese Inputs bleiben noch mit Spannung, wenn ein Nothalt gedrückt ist? ja die Sensoren bleiben unter spannung


das Modul ist vom Balluff (bestellnumeer : BNI005H)


----------



## Alex.TU (8 Oktober 2022)

Elektriko schrieb:


> Ich bin mit dem Handy und habe das Bild klein gesehen.... Jetzt sehe ich das....
> Nein Du kannst es nicht benutzen, weil Inputs und Outputs nicht galvanisch getrennt sind


das heißt mit diesem Modul senke ich bis nur PLc .... 

aber es gibt .... Aktorenspnnung und Sensoren Spannung
Aktrorenspnnung schalte ich ab bei NH
Sensorenspannung bleiben unter Spannung


----------



## Elektriko (8 Oktober 2022)

PLc bin nicht sicher.... vielleicht PLb

Weil dieser Teil kein bewährtes Bauteil ist


----------



## Alex.TU (8 Oktober 2022)

Elektriko schrieb:


> PLc bin nicht sicher.... vielleicht PLb
> 
> Weil dieser Teil kein bewährtes Bauteil ist


deswegen ... viele meinen das Modul ist irrelevant aus Sicherheitsfunktionen !
ich habe hier sistema-berechnung beigefügt ... könntest du mal anschauen .... Falls du Lust darauf hättest 

SF1.5 ohne das Modul
SF2.5 mit dem Modul


----------



## Elektriko (8 Oktober 2022)

Morgen schaue ich die Berechnung an 👍🏻
Edit: am Montag 😉


----------



## marscho (9 Oktober 2022)

Ich versuche, an dieser Stelle keinen Roman zu schreiben, aber:

Grundsätzlich kann einem nur der Hersteller selbst sagen, ob sein Standardmodul sicherheitsgerichtet abgeschaltet werden kann. Siemens hat hierzu einen recht interessanten Artikel, in dem verschiedenste (natürlich nur eigene) Baugruppen betrachtet werden: https://support.industry.siemens.co...dbaugruppen-realisiert-werden-?dti=0&lc=de-DE

Wenn man sich das so ansieht, sieht man schon, dass das von Baugruppe zu Baugruppe verschieden ist. Ich habe eine PDF von Siemens mal angehängt, stellvertretend hier vor allem mal Abschnitt 2.2 (F-PM-E) bzw. 2.3 (Sicherheitsrelais). anschauen. Wichtig sind hierbei wie schon angesprochen eventuell angenommene Fehlerausschlüsse.

Eventuell wird Balluff sagen, dass die Abschaltung zweipolig (also + UND -) geschehen muss. Eventuell lassen sie sich auch zu gar nix hinreißen. In jedem Fall würde ich mir eine solche Zusicherung schriftlich geben lassen und sehr spezifisch/genau nachfragen.
Siehe mal das Datenblatt vom BNI PNT-509-105-Z033.

_Die Angabe des MTTF-Wertes, des MTTF D-Wertes, des B10d-
Wertes, der Gebrauchsdauer und/oder des
Diagnosedeckungsgrades stellen keine verbindlichen
Beschaffenheits- und/oder Lebensdauerzusagen dar. Es handelt sich
um rechnerische Wahrscheinlichkeitswerte._

Und

_Die hier aufgeführten Produkte sind keine Sicherheitsbauteile
entsprechend Artikel 2.c) der Maschinenrichtlinie 2006/42/EG._

Wichtig ist hier zu erkennen, dass das Bauteil nicht als Sicherheitsbauteil vertrieben oder gesehen wird (dann bräuchte es ja CE). Es wird auch nicht offensive damit geworben. Da ändert auch die (hier freiwillige, man muss ganz bewusst danach suchen) Angabe der MTTFd-Werte nix. Man sehe sich im Vergleich mal BNI IOF-329-P02-Z038 an.


----------



## s_kraut (9 Oktober 2022)

marscho schrieb:


> Ich versuche, an dieser Stelle keinen Roman zu schreiben, aber:
> 
> Grundsätzlich kann einem nur der Hersteller selbst sagen, ob sein Standardmodul sicherheitsgerichtet abgeschaltet werden kann. Siemens hat hierzu einen recht interessanten Artikel, in dem verschiedenste (natürlich nur eigene) Baugruppen betrachtet werden: https://support.industry.siemens.co...dbaugruppen-realisiert-werden-?dti=0&lc=de-DE
> 
> ...


Siemens trifft eine Aussage für ausgewählte Baugruppen - als Hersteller kann er das tun.

Der Projektierer tut sich da schwerer, der Betreiber erst recht und am anderen Ende steht die Unfallversicherung und die sieht das von ihrer Warte her sinngemäß sehr konservativ. Wobei die natürlich auch nur allgemeine Annahmen treffen, die alles abdecken müssen. Die geben Standard-SPS nicht mal PLc.








						Kann mit einer Standard-SPS PL c erreicht werden?
					

Maschinensteuerungen: Kann mit einer Standard-SPS PL c erreicht werden? DGUV Test positioniert sich zur Norm DIN EN ISO 13849-1 für sichere…




					publikationen.dguv.de
				




Und wie Marscho richtig sagt: wenn ein Hersteller für sein Produkt speziell die Verwendung als Sicherheitsbauteil für die bestimmungsgemäße Verwendung ausschließt, dann ist das so. 
Alles darüber hinausgehende liegt dann außerhalb der Herstellerverantwortung.


----------



## Elektriko (9 Oktober 2022)

marscho schrieb:


> _Die hier aufgeführten Produkte sind keine Sicherheitsbauteile
> entsprechend Artikel 2.c) der Maschinenrichtlinie 2006/42/EG._



Wenn dieser Satz schon da steht, hat kein Sinn mehr zu diskutieren.... Also, wie gesagt PLb


----------



## s_kraut (9 Oktober 2022)

Elektriko schrieb:


> Wenn dieser Satz schon da steht, hat kein Sinn mehr zu diskutieren.... Also, wie gesagt PLb


Ne, erst mal nix.

Bis es irgendwas gibt.


----------



## Elektriko (9 Oktober 2022)

s_kraut schrieb:


> Ne, erst mal nix.
> 
> Bis es irgendwas gibt.


Hi s_Kraut, verstehe ich nicht.... Warum meinst du, dass PLb nicht? 🤔
Gruß und gute Nacht 😴


----------



## Elektriko (10 Oktober 2022)

Alex.TU schrieb:


> deswegen ... viele meinen das Modul ist irrelevant aus Sicherheitsfunktionen !
> ich habe hier sistema-berechnung beigefügt ... könntest du mal anschauen .... Falls du Lust darauf hättest
> 
> SF1.5 ohne das Modul
> SF2.5 mit dem Modul


Ich würde das Modul von der Berechnung nicht einfach weg lassen.... und bin nicht sicher, dass das Modul ein PLc erreichen darf.... Wenn ihr es nicht tauschen könnt/möchtet, ja, besser am Hersteller direkt fragen....


----------



## SPSAlex83 (10 Oktober 2022)

Puh. Also ohne rechtliche Verbindlichkeit würde ich sagen:
Wenn du mit deinem Not-Halt (ich nehme an 2 Kontakte mit Zwangsöffnung) 2-kanalig in deine PLC (F) gehst und dann 2 F Kanäle jeweils einen von 2 in Reihe geschalteten Kontakten die 24V Steuerspannung wegnehmen, dann wären in der Sistema jeweils die Ausgangsrelais deiner F-CPU oder (wie in deiner Schaltung) eventuell noch danach kommende Koppler oder Relais die letzten zu betrachtenden Bauteile in der Kette. In meinen Augen verhält es sich wie bei einem FU und Motor. Schaltest du da im Eingangskreis die Versorgungsspannung über Schütze weg, dann sind FU und Motor im Sistema nicht mehr relevant. Ohne Versorgungsspannung der Aktoren kann dein Modul kein Ventil mehr schalten. *ABER*: Es muss sichergestellt sein, dass hier systematische Fehler keine Rolle spielen. Es muss gewährleistet sein, dass das Modul auch sauber trennt. In der Regel werden genau deswegen die 24V Aktorspannung und die Betriebsspannung getrennt von einander im Modul gehandhabt. Du hast in deinem Kreis einen Sensor der den Druck der Freigabe überwacht. Man kann natürlich auch mit Kat. 2 aufbauen und die Überwachung als 2. Kreis mit reinnehmen. Allerdings ist das in meinen Augen komplizierter wegen den Anforderungen an die Testhäufigkeit und so.
Auch ich würde hier den Hersteller fragen was er angibt oder ob er sich komplett den Empfehlungen in Sachen Sicherheit entzieht. Ein Fehlerszenario wäre ein Kurzschluss oder interner Fehler, der die 24V Betriebsspannung auf den Aktorkanal legt und die Ventile somit trotzdem schalten könnten. Falls der Hersteller das nicht ausschließen kann wäre ich auch vorsichtig. (Bei Fehlerausschluss sowieso, das gibt vor Gericht nur Diskussionen)
Was wäre denn, wenn du mit den 2 Kanälen jeweils am *Ausgang* des Balluff die Versorgungsspannung der Steuerventile und der Freigabe wegnimmst? Dann hängt das nicht mehr am Balluff. In der Sistema hätte der Balluff dann keinerlei Relevanz mehr.
Du hast nur den Not-halt als Input(2-Kanal), die F-PLC als Logik(gekapselt 2 Kanal) und 2 Relais oder F-Ausgänge(2-Kanal) als Output deiner Sistema Architektur.

Edit: Ich gehe hier von 2-kanaligkeit aus und dass die entsprechenden Anforderungen an die hydr. Ventile eingehalten werden. Diese müssten als finale Aktoren schon noch mit betrachtet werden.


----------



## SPSAlex83 (10 Oktober 2022)

marscho schrieb:


> Die hier aufgeführten Produkte sind keine Sicherheitsbauteile
> entsprechend Artikel 2.c) der Maschinenrichtlinie 2006/42/EG.


Ich vermute dass der Hersteller das nur sicherheitshalber nochmal erwähnt. Es dürfte klar sein, dass es sich nicht um ein solches Sicherheitsbauteil handelt, denn man sucht ja vergebens nach einem PL oder einer Kategorie, oder?!
Ohne diese Kat. oder ein PL ist das Bauteil kein Subsystem im Sinne der Sistema, womit ich mich selbst auf die Suche nach der Funktion des Bauteils innerhalb einer von mir gestalteten Sicherheitsfunktion machen muss. der Hersteller gibt eben auch nur das MTTF(d) an. 
Gleiches gilt für ein Relais oder Schütz. Diese sind auch keine Sicherheitsbauteile, können aber je nach Aufbau durchaus als bewährte Bauteile durchgehen. Ansonsten bleibt nur die B10d bzw. MTTF(d). Also kann der Balluff theoretisch schon mit in einen Kreis rein. Ich würde aber, falls der Hersteller hier schon keinerlei Angaben machen möchte, dieses Teil überspringen und meine Abschaltung in den Ausgangskreis des Balluff packen. Somit wäre mir wurscht, ob das Ding schaltet oder nicht.


----------



## Elektriko (10 Oktober 2022)

Ich muss auch sagen, dass ich habe mit einem großen Kunden die Diskussion schon gehabt (ähnlich Verteiler von der Firma Murrelektronik) und die Antwort war: "wir machen es immer so, es ist sicher abgeschaltet.... fertig"... ich finde es nicht richtig, aber manchmal kann man nur seine Meinung sagen, aber die Sachen nicht ändern....


----------



## SPSAlex83 (10 Oktober 2022)

Elektriko schrieb:


> Ich muss auch sagen, dass ich habe mit einem großen Kunden die Diskussion schon gehabt (ähnlich Verteiler von der Firma Murrelektronik) und die Antwort war: "wir machen es immer so, es ist sicher abgeschaltet.... fertig"... ich finde es nicht richtig, aber manchmal kann man nur seine Meinung sagen, aber die Sachen nicht ändern....


Das sehe ich persönlich etwas anders. Als Maschinenbauer würde ich mit dem Kunden zwar über Sicherheitstechnik diskutieren, schlussendlich entscheiden und bewerten tut das aber doch der Maschinenbauer?! Wie schon mal gesagt, Sicherheitstechnik sind kein Wunschkonzert. Wenn du als Konstrukteur diese Bauteile nicht vernünftigerweise in deinen Kreis integrieren kannst und dich für eine *sicherere *Lösung entscheidest, dann kann der Kunde nicht sagen: Ich hätte das aber gerne unsicher weil wir das immer schon so gemacht haben. Die Einschätzung bleibt beim Hersteller(also dem Masch. Bauer). Falls es Zweifel gibt, welche Variante nun die sicherere ist, dann kann oder sollte man vielleicht auf die Hilfe eines unabhängigen Experten zurückgreifen.


----------



## Elektriko (10 Oktober 2022)

Natürlich, dass die Entscheidung liegt am Hersteller, wenn ich über Kunde spreche, spreche auch vom Hersteller, nicht Endkunde

Es gibt Konstrukteure die das gleiche seit Jahren machen, und fertig.... klingt nicht schön, aber manchmal es ist so....


----------



## SPSAlex83 (10 Oktober 2022)

Ok, du sprachst aus Sicht des Herstellers für solche Module?! 
Sehe ich auch so. Ich kenne auch viele Unternehmen, die das Thema einfach nur nach bestem Wissen und Gewissen handhaben. So richtig tief in der Materie ist man da oft nicht. 
Man muss sich sehr gründlich und regelmäßig mit den Themen auseinandersetzen und ich finde dass das Forum einen wichtigen Beitrag leistet, da hier offen über solche Fallstricke diskutiert werden kann.


----------



## Elektriko (10 Oktober 2022)

Ich spreche über ein Hersteller, dass die Murr Verteiler immer so nutzt, manche Konstrukteure machen es seit Jahren lang so, und fertig.... ist es falsch? In meinen Augen ja, aber manchmal stoßt man gegen "Mauern"🤷‍♂️

Ich finde dieses Forum, und seine Leute auch super. Haben mir auf jeden Fall in vielen Themen sehr geholfen.


----------



## Alex.TU (10 Oktober 2022)

Elektriko schrieb:


> Ich spreche über ein Hersteller, dass die Murr Verteiler immer so nutzt, manche Konstrukteure machen es seit Jahren lang so, und fertig.... ist es falsch? In meinen Augen ja, aber manchmal stoßt man gegen "Mauern"🤷‍♂️
> 
> Ich finde dieses Forum, und seine Leute auch super. Haben mir auf jeden Fall in vielen Themen sehr geholfen.


genau deswegen .... viele Kollege sagen so auch, muss das Balluff Modul von sistema rausschmeißen, dann alles gut .... ja Das Modul ist IO Link Master Modul ... falls sicherabgschaltet wird ... dann die Ventile können nix machen (auch die wartungseinheit wird sicher abgeschaltet, dann die haben extra kein Luft mehr) ....
ich weiß nicht, ob von Software Seite her, irgendwie Info bekomme, falls Fehler Ausschlüsse vorhanden sind ... aber glaube ja schon ... über IO Link Kommunikation bekommt man so was 

ich versuche das mit Herstelle des Modul abzuklären, aber ob das wirklich bringt ... weiß ich nicht


----------



## SPSAlex83 (10 Oktober 2022)

Elektriko schrieb:


> Ich spreche über ein Hersteller, dass die Murr Verteiler immer so nutzt, manche Konstrukteure machen es seit Jahren lang so, und fertig.... ist es falsch?


Nein, ist schon richtig. Vielleicht hat der Verwender dieser Teile aber auch eine konkrete Recherche gemacht und die notwendigen Bestätigungen des Herstellers erhalten. Vielleicht kann er somit systematische Fehler ausschließen.  Ich kenne die Murr Teile nicht im Detail. Ich vermute dass die meisten dieser dezentralen Module auf gleichem Prinzip arbeiten. So ist es auch bei Festo Ventilstationen. Da ist die Steuerspannung auch immer getrennt vom Rest. Alleine schon deswegen, weil ich Rückmeldungen weiterhin auswerten will/muss und damit ich nicht immer noch unnötige Profinet Meldungen kriege, weil der Teilnehmer dann ganz weg wäre. 
Das Problem mit solchen Modulen vermute ich in der Struktur. Meines Wissens nach sind hier nicht einfach nur Relais drin sondern Logik auf Microcontrollerbasis. Solche Teile werden grundsätzlich NIE als bewährte Bauteile gesehen. Wären diese entsprechend sicher aufgebaut mit Redundanzen, Diversitären Controllern und entsprechender Überwachung, dann würde der Hersteller Anforderungen an PL erfüllen und das auch kennzeichnen. Tut er das nicht, bleibt nur die wahrscheinliche Ausfallrate.

Vielleicht fällt einem das leichter, wenn man statt des Balluff Moduls einfach eine einfache SPS an der Stelle vorstellt. Die SPS, zB ne kleine Logo oder ET CPU würde dann die Schaltung der Signale übernehmen. Dann wäre diese Schaltung schon mal nicht bewährt, eben wegen der CPU. Auch die 2-kanaligkeit wird nix, denn die CPU kann Fehler haben und falsche Signale an alle schicken. Ob 1-oder 2 Kanalig spielt dann keine Rolle, solange alle relevanten Signale durch diese unsichere SPS gehen. Man müsste also den zweiten Kanal komplett von dieser SPS lösen und zum Beispiel damit die Freigabe schalten. Die SPS wäre als schaltendes Element aber mit im Sistema. 
Der SPS einfach die Eingangsspannung wegnehmen würde in meinen Augen nicht reichen. Somit würde ich mich beim 2. Kanal für einen separaten Weg entscheiden und nicht alles über den Balluff machen.


----------



## SPSAlex83 (10 Oktober 2022)

Alex.TU schrieb:


> genau deswegen .... viele Kollege sagen so auch, muss das Balluff Modul von sistema rausschmeißen, dann alles gut .... ja Das Modul ist IO Link Master Modul ... falls sicherabgschaltet wird ... dann die Ventile können nix machen (auch die wartungseinheit wird sicher abgeschaltet, dann die haben extra kein Luft mehr) ....
> ich weiß nicht, ob von Software Seite her, irgendwie Info bekomme, falls Fehler Ausschlüsse vorhanden sind ... aber glaube ja schon ... über IO Link Kommunikation bekommt man so was
> 
> ich versuche das mit Herstelle des Modul abzuklären, aber ob das wirklich bringt ... weiß ich nicht



Vielleicht fällt einem das leichter, wenn man statt des Balluff Moduls einfach eine einfache SPS an der Stelle vorstellt. Die SPS, zB ne kleine Logo oder ET CPU würde dann die Schaltung der Signale übernehmen. Dann wäre diese Schaltung schon mal nicht bewährt, eben wegen der CPU. Auch die 2-kanaligkeit wird nix, denn die CPU kann Fehler haben und falsche Signale an alle schicken. Ob 1-oder 2 Kanalig spielt dann keine Rolle, solange alle relevanten Signale durch diese unsichere SPS gehen. Man müsste also den zweiten Kanal komplett von dieser SPS lösen und zum Beispiel damit die Freigabe schalten. Die SPS wäre als schaltendes Element aber mit im Sistema.
Der SPS einfach die Eingangsspannung wegnehmen würde in meinen Augen nicht reichen. Somit würde ich mich beim 2. Kanal für einen separaten Weg entscheiden und nicht alles über den Balluff machen.

Also den Balluff "einfach" rausschmeißen würde aber bedeuten, dass du deine Struktur so anpasst, dass du zB. die Spannungsversorgung deiner Ventile bei der Sicherheitsfunktion *gar nicht mehr über den Balluff* steuerst.
Ich würde wie gesagt, die Kontakte der Sicherheitsfunktion mit in die beiden Kreise, aber hinter dem Balluff einbauen (Sozusagen in Reihe zu deinen Kontakten aus dem Balluff).

In etwa grob wie in der Skizze

zusätzlich, falls man die Leistung der Ventile über Relais steuert, kann man die Rückmeldekontakte auswerten, was bei der Sistemaberechnung und dem DC nen schlanken Fuß macht. Wenn zB. ein Relais hängt, würde man das über den Zwangsgeführten Öffner(oder besser Spiegelkontakt) mitbekommen und wenn dieser mit im Start/Resetkreis des Moduls oder der F-CPU eingebaut ist, wäre ein Neustart nicht mehr möglich. Man würde also Fehler mitbekommen.


----------



## Alex.TU (10 Oktober 2022)

SPSAlex83 schrieb:


> Vielleicht fällt einem das leichter, wenn man statt des Balluff Moduls einfach eine einfache SPS an der Stelle vorstellt. Die SPS, zB ne kleine Logo oder ET CPU würde dann die Schaltung der Signale übernehmen. Dann wäre diese Schaltung schon mal nicht bewährt, eben wegen der CPU. Auch die 2-kanaligkeit wird nix, denn die CPU kann Fehler haben und falsche Signale an alle schicken. Ob 1-oder 2 Kanalig spielt dann keine Rolle, solange alle relevanten Signale durch diese unsichere SPS gehen. Man müsste also den zweiten Kanal komplett von dieser SPS lösen und zum Beispiel damit die Freigabe schalten. Die SPS wäre als schaltendes Element aber mit im Sistema.
> Der SPS einfach die Eingangsspannung wegnehmen würde in meinen Augen nicht reichen. Somit würde ich mich beim 2. Kanal für einen separaten Weg entscheiden und nicht alles über den Balluff machen.
> 
> Also den Balluff "einfach" rausschmeißen würde aber bedeuten, dass du deine Struktur so anpasst, dass du zB. die Spannungsversorgung deiner Ventile bei der Sicherheitsfunktion *gar nicht mehr über den Balluff* steuerst.
> ...


nein ... ich meinte Modul rausschmeißen, da die Aktorenspannung getrennt sind vom Modul

deine Skizze ist theoretisch beste Lösung ... aber Praktisch, wann man komplexe Greifer hat, 20 bis 30 schwenkspanner (viele ventile) oder mehrere Greifer hat ... dann ist zu viel Aufwand das zu machen, vor allem , falls das alles bei Automobile-industrie ist, kannst du dann dich vorstellen, was für IP wert brauchst .... dann jedes Kabel abzuschneiden und viele klemmen bei Montageplatte am Achse3 vom Roboter, das ist fast unmöglich leider ...


----------



## SPSAlex83 (10 Oktober 2022)

Ok, die Informationen fehlten mir natürlich. Schaltet ihr denn die Ventile direkt über den balluff oder ist da noch ne Ventilstation zwischen (Pneumatische Steuerung)


----------



## aPlauner (10 Oktober 2022)

Hallo,
wir haben ein ähnlich gelagertes Thema bei uns schon mal u.a. mit unserem Ansprechpartner bei der Fa.Balluff beackert. Hier ging es aber nur um einen PLc, wobei hinter dem Master noch eine Sensor-Aktor-Box (SAB) kam.
Wichtig ist zu beachten, dass ein Port-Class A parametrierbar ist. Hier wird schon das ganze Dilemma offensichtlich.
Folgende Aussagen des Herstellers in dem Zusammenhang (kursiv): 
_Wenn PIN2 und/oder PIN4 als Ausgang konfiguriert sind/ist wird UA durchgeschaltet.
Wenn PIN2 und/oder PIN4 als Eingang konfiguriert sind/ist wird US durchgeschaltet.
...über einen Class A-Port am IO-L Master, wobei PIN 2 als Ausgang und PIN 4 (SAB) als Ausgang definiert sind, ist für "sicherheitsgerichtete Anwendungen bis in den mittleren PL oder SIL-Bereich" machbar._
Was ist der mittlere Bereich? Das ist keine Aussagemit der man etwas anfangen kann.
_Eine tatsächliche Eignung dieser Beschaltung kann nur mittels einer qualifizierten Risikobetrachtung incl. der Berechnung der SF ermittelt werden. Ausfälle bei IO-LMaster +SAB sind bis her unbekannt, Fehler durch z.B. Querschlüsse zwischen UA und US sind abhängig von der eingesetzten Technik.
Die Class B-Port am IO-L Master haben eine erhöhte Sicherheit, da die Zuordnung der UA fest verdrahtet und nicht paramtriebar ist._
Der Aktor an einem Class B-Port würde also "gefühlt" die SF aufwerten.
Ich persönlich würde nach den Aussagen, die wir damals von dem Vertreter der Fa. Baffuff erhielten, definitiv keinen PLd in Verbindung mit einem Standard-IO-L Master realisieren.
PLc in Verbindung mit einem Port-Class B wäre bei genauer Abwägung das Maximum.


----------



## Alex.TU (10 Oktober 2022)

SPSAlex83 schrieb:


> Ok, die Informationen fehlten mir natürlich. Schaltet ihr denn die Ventile direkt über den balluff oder ist da noch ne Ventilstation zwischen (Pneumatische Steuerung)


ja ... die sind einzelne Ventile, werden über Balluff Modul ein/aus schalten


----------



## Alex.TU (10 Oktober 2022)

aPlauner schrieb:


> Hallo,
> wir haben ein ähnlich gelagertes Thema bei uns schon mal u.a. mit unserem Ansprechpartner bei der Fa.Balluff beackert. Hier ging es aber nur um einen PLc, wobei hinter dem Master noch eine Sensor-Aktor-Box (SAB) kam.
> Wichtig ist zu beachten, dass ein Port-Class A parametrierbar ist. Hier wird schon das ganze Dilemma offensichtlich.
> Folgende Aussagen des Herstellers in dem Zusammenhang (kursiv):
> ...


wie meinst du genau hier ... mit diesem Absatz (
_...über einen Class A-Port am IO-L Master, wobei PIN 2 als Ausgang und PIN 4 (SAB) als Ausgang definiert sind, ist für "sicherheitsgerichtete Anwendungen bis in den mittleren PL oder SIL-Bereich" machbar._)da ich Modul mit Port Class A habe, das heißt PLc ist, wenn ich die UA sicher abschalte oder ?


----------



## SPSAlex83 (10 Oktober 2022)

gibt es denn so ein Balluff IO nicht mit höheren Sicherheitsanforderungen?


----------



## Alex.TU (10 Oktober 2022)

SPSAlex83 schrieb:


> gibt es denn so ein Balluff IO nicht mit höheren Sicherheitsanforderungen?


ja ... meine Frage ist bezüglich die Funktion genau ... ich will hier keine SafetyModul verwende ... sondern will nur wissen, ob ich die Aktoren Spannung vom einem Modul sicher abschalte, dann ist das Modul nicht mehr beteiligt oder doch ja ?!


----------



## marscho (10 Oktober 2022)

SPSAlex83 schrieb:


> gibt es denn so ein Balluff IO nicht mit höheren Sicherheitsanforderungen?


Natürlich gibt es die - z.B. https://www.balluff.com/de-de/products/BNI00CL
Die werden dann auch mit entsprechendem PL/SIL beworben. Das verlinkte hat einen PFHd-Wert von _1.25 E-8_
Dementsprechend kann es schon sein, dass Balluff sagt: Naja, wir haben genau hierfür was im Programm.
Nebenbei ist mir aufgefallen, dass laut Skizze sowohl das Freigabe- als auch die Bewegungsventile über das MasterModul abgeschalten werden. Das funktioniert sowieso so nicht. Wenn überhaupt nimmt man die Bewegungsventile auf solch ein Modul (die ganzen anderen Bemerkung wie Eignung mal vorausgesetzt) und lässt das Freigabeventil über einen separaten sicheren Ausgang schalten.


Alex.TU schrieb:


> ja ... meine Frage ist bezüglich die Funktion genau ... ich will hier keine SafetyModul verwende ... sondern will nur wissen, ob ich die Aktoren Spannung vom einem Modul sicher abschalte, dann ist das Modul nicht mehr beteiligt oder doch ja ?!


Das kann man so nicht sagen. Da das Modul direkt vorm Ventil sitzt, könnten bestimmte Fehler dazu führen, dass die Bewegungsventile schalten. Oder wenn tatsächlich auch das Freigabeventil darüber geschalten wird, auch das. Bei der von @SPSAlex83 gezeigten Beschaltung wäre das nicht der Fall.


----------



## SPSAlex83 (10 Oktober 2022)

Ich vermute, das kann dir nur der Hersteller sagen. Daher mein Vergleich mit der SPS. Würde diese anstelle des Balluff stehen, würdest du sie nicht einfach aus der Berechnung schmeißen nur weil du die 24V Steuerspannung wegnimmst, oder? Bei nem FU mit Motor und nem Schütz im Eingangskreis wäre das wohl was anderes. Hier trennst du den FU und Motor galvanisch vom Netz. Wenn du diese Sicherheit beim Balluff haben willst, muss du dem Ding komplett die Spannungsversorgung wegnehmen. Ob das aber so zielführend ist.. 
Die Aussage von Plauner macht Sinn. Wenn der Hersteller das sichere Abschalten der Steuerspannung garantiert und systematische Fehler in der Hinsicht ausschließt, dann würde man das Balluff vielleicht mit aufführen, dann aber Fehlerausschluss auswählen. Ich persönlich wäre da aber ohne Rücksprache mit dem Hersteller sehr vorsichtig


----------



## SPSAlex83 (10 Oktober 2022)

marscho schrieb:


> dass Balluff sagt: Naja, wir haben genau hierfür was im Programm.


Alleine das führt in meinen Augen dazu, dass die "normalen" Module nie vom Hersteller als sicher gesegnet werden. Der Hersteller will ja verkaufen. 


marscho schrieb:


> Nebenbei ist mir aufgefallen, dass laut Skizze sowohl das Freigabe- als auch die Bewegungsventile über das MasterModul abgeschalten werden. Das funktioniert sowieso so nicht. Wenn überhaupt nimmt man die Bewegungsventile auf solch ein Modul (die ganzen anderen Bemerkung wie Eignung mal vorausgesetzt) und lässt das Freigabeventil über einen separaten sicheren Ausgang schalten.


Genau wie bei einer SPS eben. Man darf das Modul nicht als "dummes" Bauteil abstempeln und denken: wird schon brav abschalten, wenn nur die Steuerspannung abgeschaltet wird.


----------



## aPlauner (10 Oktober 2022)

Alex.TU schrieb:


> wie meinst du genau hier ... mit diesem Absatz (
> _...über einen Class A-Port am IO-L Master, wobei PIN 2 als Ausgang und PIN 4 (SAB) als Ausgang definiert sind, ist für "sicherheitsgerichtete Anwendungen bis in den mittleren PL oder SIL-Bereich" machbar._)da ich Modul mit Port Class A habe, das heißt PLc ist, wenn ich die UA sicher abschalte oder ?


Die rot markierte Aussage wurde innerhalb eines Telefonates vom Balluff-Ansprechpartner getroffen. Sie hat damit weitestgehend keine verbindliche Wirkung. Einen Port Class A würde ich persönlich nicht über einen PL b beanspruchen, da eine gescheite FMAE-Analyse sicher nicht möglich ist und der Hersteller hier nichts anbieten wird.


----------



## Alex.TU (10 Oktober 2022)

marscho schrieb:


> Ich versuche, an dieser Stelle keinen Roman zu schreiben, aber:
> 
> Grundsätzlich kann einem nur der Hersteller selbst sagen, ob sein Standardmodul sicherheitsgerichtet abgeschaltet werden kann. Siemens hat hierzu einen recht interessanten Artikel, in dem verschiedenste (natürlich nur eigene) Baugruppen betrachtet werden: https://support.industry.siemens.co...dbaugruppen-realisiert-werden-?dti=0&lc=de-DE
> 
> ...


Hallo,

andere Frage hätte noch, hier im Bild, DQ gemeint ganz normale ET200SP Ausgangskarte oder ? die erreicht PLd, wenn die durch Safety-relais abgeschaltet wird oder ?


----------



## Elektriko (10 Oktober 2022)

Ja, normale ET200SP, so bekommst du PLd (natürlich wenn alle anderen Komponenten auch passen, z.B.: Schütze mit Rückführkreis)


----------



## s_kraut (10 Oktober 2022)

Elektriko schrieb:


> Hi s_Kraut, verstehe ich nicht.... Warum meinst du, dass PLb nicht? 🤔
> Gruß und gute Nacht 😴


Ich bin nicht in der Lage, Bauteile fremder Hersteller selber zu validieren. Ich kann nur das bewerten, glauben oder anzweifeln, was der Hersteller (oder besser: eine unabhängige Organisation) angeben.
Drum einfach pauschal sagen hey super, SPS ging doch eigentlich immer, lass PLb spielen.....opportunistischer Ansatz!

Poste den Link jetzt nicht ein Drittes Mal, die DGUV hat sich Mitte des Jahres mit einem ausführlichen Report gemeldet und Standard-SPS unterhalb SIL 1 eingruppiert. @Elektriko du warst in der Chatgruppe, einfach mal bisschen scrollen, finden und lesen.

SIL 1 endet unten mit der Untergrenze PLb hin zu PLa.

Mein persönliches Feeling ist, dass wenn Software und Beschaltung und die Validierung gleich gründlich durchgeführt werden wie für Sicherheitsfunktionen in der FSPS, wenn für Manipulationsresistenz gesorgt wird und wenn ein Passwortschutz auf die SPS gelegt wird, dann wird der Fehlerteufel sich schwer tun. 

In 10 Jahren Servicegeschäft mit Ohr am Herz des Kunden hatten wir keinen einzigen Fall, wo plötzlich die SPS zufällig Dinge tut, die es nicht soll - und das bei rund ein paar hundert Steuerungen, die über Jahre hin zuverlässig arbeiten. Bzgl. Betriebserfahrung können wir es inzwischen damit mit der katholischen Kirche aufnehmen.

Trotzdem braucht es dann jemand, der all die Fehlerausschlüsse trifft. Durchschlag Versorgungsspannung auf Digitalausgang usw. 
Weil bei uns keiner Bock drauf hat, bleibt die Standard-SPS drum außen vor was Sicherheitsfunktionen angeht.

Aber (gleicher Tipp wie vorher) ein wenig Scrollen. Dort wurde auf eine Liste von Ausgangsbaugruppen von Siemens verwiesen, die tatsächlich vom Hersteller für die zentrale Potentialtrennung designt worden sind.
Ich will da keine Werbung machen für ein Produkt was schwer verfügbar ist, aber in guten Zeiten hab ich das auch schon eingesetzt und von unabhängigen Organisationen abgenommen bekommen.


----------



## Elektriko (11 Oktober 2022)

s_kraut schrieb:


> Ich bin nicht in der Lage, Bauteile fremder Hersteller selber zu validieren. Ich kann nur das bewerten, glauben oder anzweifeln, was der Hersteller (oder besser: eine unabhängige Organisation) angeben.
> Drum einfach pauschal sagen hey super, SPS ging doch eigentlich immer, lass PLb spielen.....opportunistischer Ansatz!



Guten Morgen s_kraut,
ich denke , dass Du meine Nachricht falsch verstanden hast. I*n Sistema mit Herstellern Daten bekommt er schon PLc*, und ich habe ihn *trotzdem* gesagt, dass ich nicht sicher bin, ob mit diesem Teil man ein Plc bekommen darf, vielleicht ja ein PLb.
Ich hole mich ein Kaffee
Gruß


----------



## s_kraut (11 Oktober 2022)

Moin,
weiter oben steht es ja schon: es gibt Hersteller die erlauben die sichere Potentialtrennung von nicht sicherheitsgerichteten Baugruppen explizit und listen diese inklusive der Angabe bis zu welchem SIL/PL das zulässig ist. Ein Hersteller, der mit dem gleichen Buchsstaben Anfängt mit dem er auch aufhört geht hier bis SIL2/PLd für manche Baugruppen.
Edit: die SPS taucht dann in der Verifikation nicht auf weil sie kein Einfluss hat. Die Abschaltung erfolgt ja nicht in der SPS sondern extern.

Eine Pauschalaussage ist hier aus meiner Sicht nicht möglich und die DGUV rät davon ab.








						Kann mit einer Standard-SPS PL c erreicht werden?
					

Maschinensteuerungen: Kann mit einer Standard-SPS PL c erreicht werden? DGUV Test positioniert sich zur Norm DIN EN ISO 13849-1 für sichere…




					publikationen.dguv.de
				



Gruß


----------

