# Not-Halt-Sicherheitsfunktion nach Kategorie 3 (ISO 13849-1)



## istat_gb (27 August 2009)

Hallo,

es geht darum, Not-Halt-Befehlsgeräte für PL d auszulegen. Aus diesem Grund haben wir uns entschlossen, eine 2-Kanaligkeit zu realisieren - also, grob gesagt erfolgt der Aufbau nach Kategorie (Architektur) 3.

Meine Frage bezieht sich auf den DC:
Es steht ja in der Norm geschrieben:"Wenn immer in angemessener Weise durchführbar, muss ein einzelner Fehler bei oder vor der nächsten Anforderung der Sicherheitsfunktion erkannt werden."

Was genau für Fehlererkennende Maßnahmen darf ich denn bei Kat. 3 weglassen? Welche müssen unbedingt angewendet werden?

Ich frage, weil unser Kunde auf den Einsatz der Taktspannung verzichten würde.
Da wir ein PNOZmulti als Logik-ELement nutzen ist es eigentlich kein Aufwand, eine Prüfung auf Querschluss durchzuführen. Deswegen habe ich ihm geraten, die Taktspannung zu verwenden.

ich wollte nur mal hören, wie ihr das seht und ob die Fragen
-Was genau für Fehlererkennende Maßnahmen darf ich denn bei Kat. 3 weglassen? 
-Welche müssen unbedingt angewendet werden?
irgendwie geklärt werden können.


Gruß
André


----------



## Mobi (27 August 2009)

Also wenns um Sicherheit geht, würde ich nichts weglassen, sonst könnte es teuer werden. Bei Kategorie 3 muss es nicht nur DC sein, sondern auch CCF.

DC - Diagnostic Coverage:
Bewertet die integrierten Diagnosefunktionen, mit denen eine Steuerung Fehler erkennen kann.
Beispiel: Ein verschweißter Schützkontakt wird durch Auswertung eines Rückmeldekontaktes sicher erkannt.


CCF - Common Cause Failure-Management:
Drückt die Fähigkeit aus, Fehler gemeinsamer Ursache zu beherrschen.
Beispiel: Bei einer Schutztürüberwachung mit 2 Sicherheitsschaltern fallen beide Schalter in Folge einer zu hohen Umgebungstemperatur aus. Abhilfe: Geeignete Kühlvorrichtung.


Was wollt ihr denn alles einbauen? Not-Aus-Schalter, Schutztürüberwachung, Motorüberwachung?


----------



## istat_gb (27 August 2009)

Mobi schrieb:


> Also wenns um Sicherheit geht, würde ich nichts weglassen, sonst könnte es teuer werden. Bei Kategorie 3 muss es nicht nur DC sein, sondern auch CCF.


 
Hallo Mobi,
das ist mir bekannt, doch es geht mir explizit um das weglassen der Taktspannung.

ich habe unserem Kunden auch geraten, die Taktspannung zu verwenden, da es wie schon gesagt ohne großen Aufwand realisierbar ist ( im Bezug zur Norm: _"Wenn immer in angemessener Weise durchführbar, muss ein einzelner Fehler [...] erkannt werden.")_



Mobi schrieb:


> Was wollt ihr denn alles einbauen? Not-Aus-Schalter, Schutztürüberwachung, Motorüberwachung?


 
Also, es geht um komplette Montagelinien im Karosserierohbau. 

Sonst ist alles erfüllt, was Kategorie 3 vorgibt. Nur muss ich ja den DC für die Not-Halt-Befehlsgeräte ja im Prinzip selbst bewerten. Ich berechne die Sicherheitsfunktion mit SISTEMA, das Programm gibt mir ja Überwachungsmaßnahmen vor, die ich einfach nur auswählen brauch.

Wie schon gesagt geht der Not-Halt direkt auf ein PNOZmulti. ohne Taktspannung würde ich als Fehleraufdeckende Maßnahme folgendes auswählen:
_"Kreuzvergleich von Eingangssignalen mit dynamischem Test, wenn Kurzschlüsse nicht bemerkt werden können (bei Mehrfach-Ein-/Ausgängen)"_ - hierfür gibt mir SISTEMA 90% DC und alles wäre gut. Ich bin mir nur nicht 100%ig sicher, ob man ohne Taktspannung 90% DC annehmen darf. Dafür fehlt mir noch die Erfahrung. 
Da wir eine 2-Kanaligkeit haben, ist auf jeden Fall schonmal ein Kreuzvergleich im PNOZ vorhanden. Diese Signale werden auch in entsprechenden Abständen getestet (dies ist - denke ich - durch dir Firmware des PNOZ umgesetzt).


Doch was für Fehleraufdeckungsmöglichkeiten *muss* ich anwenden bei NOT-Halt-Tastern(bei Kategorie 3)? und welche kann ich weglassen (bei Kategorie 3)?
Ich würde gern eure Meinungen hören. Schön wäre es natürlich, wenn es hierfür eine offizielle Veröffentlichung gäbe ;-)


----------



## Mobi (27 August 2009)

Könntest du mir sagen was du mit Taktspannung meinst, das hab ich in dem Zusammenhang noch nicht gehört.


----------



## istat_gb (27 August 2009)

Mobi schrieb:


> Könntest du mir sagen was du mit Taktspannung meinst, das hab ich in dem Zusammenhang noch nicht gehört.


 
OK, hier mal eine kleine Zusammenfassung aus der Bedienungsanleitung:

Im Prinzip sollte das eine Funktion sein, Querschlüsse von Eingangs-Elementen zu entdecken... hier ein paar Fakten aus der Bedienungsanleitung:

-Querschlussüberwachung durch Taktausgänge an den Eingängen
- Englisch: Test Pulse output
- Bezeichnung T0, T1, T2, T3
- Verwenden Sie die Taktausgänge ausschließlich zum Testen der Eingänge.
- Die Taktausgänge werden auch zur Versorgung von kurzschlussbildenden
Schaltmatten verwendet
*- Taktausgänge*​

- Anzahl Testtaktausgänge 
*4*
​​- Spannung und Strom, ​
​
*24 V 0,5 A*
​​- Ausschalttestimpulse ​
​
*5 ms*
​​- Galvanische Trennung ​
​
*nein*
- kurzschlussfest *ja*


​​​​​​​​​


----------



## Blockmove (27 August 2009)

Mobi schrieb:


> Könntest du mir sagen was du mit Taktspannung meinst, das hab ich in dem Zusammenhang noch nicht gehört.



Die Spannungsversorgung der 2 Kanäle (z.B. NotAus Öffner 1 und Öffner 2) wird zeitversetzt für einige Millisekunden abgeschaltet. Die entsprechenden Eingänge am Schaltgerät prüfen nun dies. Bei Querschluß zwischen Kanal 1 und 2 liegt an den entsprechenden Eingängen immer Spannung an. Folge: Das Auswertegerät meldet Fehler. Selbes gilt z.B. bei Vertauschen der Spannungsversorgung zwischen Sicherheits- und Meldekontakt.

Gruß
  Dieter


----------



## Safety (27 August 2009)

*Meinung*

Hallo, 
ich gebe auch mal meinen Senf dazu.
Also PLd:
Architektur KAT3 wie Du schon richtig festgestellt hast.


> Meine Frage bezieht sich auf den DC:
> Es steht ja in der Norm geschrieben:"Wenn immer in angemessener Weise durchführbar, muss ein einzelner Fehler bei oder vor der nächsten Anforderung der Sicherheitsfunktion erkannt werden."


Also das bedeutet das solch ein schwerer Fehler wie Querschluss erkannt werden muss!

Bei einem PLd muss man eine DC von niedrig bis mittel haben.
Und da du diesen entscheiden Fehler nicht erkennst sehe ich deinen DC unter 60%.
Begründung man kann bei den Tastern einen Fehlerausschluss machen siehe BGIA Bericht, wenn man eine bestimmte Betätigungsanzahl nicht überschreitet! Die Fehler die man aber betrachten muss sind Leitungsfehler und Logikfehler.
Leitungsfehler ein Kanal wird überbrückt durch Beschädigung, erkennt die Logik. 
Leitungsfehler Querschluss erkennt die Logik nicht. DC 50%

Dies ist nur meine Meinung!
PLd nicht erreicht!

1. Lösungsansatz:
Wenn der Kunde kein Taktsignal in der Anlage will, ein Handelsübliches Not-Halt Relais mit 24V und 0V Kanal ! Dieses dann im gleichen Einbauraum wie die Safety-PLC, dann mit den Kontakten zweikanalig auf die Steuerung. 

2. Lösungsansatz
Weiterer Fehlerausschluss laut 13849-2 Anhang 
Kurzschluss zwischen zwei beliebigen Leitern:
Fehlerausschluss:
Kurzschluss zwischen Leiter,
-die dauerhaft (fest) verlegt und gegen äußere Beschädigung geschützt sind…………..

Lösung 2 rate ich ab, aber möglich laut Norm.


----------



## Mobi (27 August 2009)

Kannst auch mal bei uns gucken.
https://eshop.phoenixcontact.de/phoenix/treeViewClick.do?UID=205350&parentUID=202324


----------



## istat_gb (28 August 2009)

@ Blockmove: Danke, für deine sehr ausführliche Ausführung!

@Safety:


> Zitat:
> Meine Frage bezieht sich auf den DC:
> Es steht ja in der Norm geschrieben:"Wenn immer in angemessener Weise durchführbar, muss ein einzelner Fehler bei oder vor der nächsten Anforderung der Sicherheitsfunktion erkannt werden."
> Also das bedeutet das solch ein schwerer Fehler wie Querschluss erkannt werden muss!


 
OK, also, ich habe gedacht, dass der Querschluss nicht ganz so "wichtig" ist... meine Argumentation ging halt eher in die richtung: Wenn das Sicherheitsschaltgerät dies schon anbietet, ist der Aufwand verschwindent gering, die Prüfung auf Querschluss durchführen zu lassen.
Aber OK, im Endeffekt passt das ja ;-)



> - Leitungsfehler ein Kanal wird überbrückt durch Beschädigung, erkennt die Logik.
> - Leitungsfehler Querschluss erkennt die Logik nicht. DC 50%


 
Ähm, ich hatte eigentlich gedacht, dass der erste Fall, den du beschreibst durch Querschluss erkannt wird?



> 1. Lösungsansatz:
> Wenn der Kunde kein Taktsignal in der Anlage will, ein Handelsübliches Not-Halt Relais mit 24V und 0V Kanal ! Dieses dann im gleichen Einbauraum wie die Safety-PLC, dann mit den Kontakten zweikanalig auf die Steuerung


Ja, OK, so ähnlich hatte ich es auch im Kopf - aber wir reden hier von ca. 35-50 NOT-HALT-Geräten... da hab ich mir das schnell ausm Kopf geschlagen ;-)



> Fehlerausschluss:
> Kurzschluss zwischen Leiter,
> -die dauerhaft (fest) verlegt und gegen äußere Beschädigung geschützt sind………


 
So, genau darauf wollte ich hinaus... Ich habe zu unserem Kunden gesagt, das es Argumentationen für beide Varianten gibt - also, mit und Ohne Taktspannung. Da das Sicherheits-schaltgerät die Möglichkeit dieser Fehleraufdeckung bietet und es auch irgendwo Stand der Technik ist, sollte dies Verwendet werden.
Die Argumentation gegen die Taktspannung wäre dann über den Fehlerausschluss. Was mich hier jedoch etwas zögern lassen hat ist, was die Norm unter "Schutz gegen äußere Beschädigung" versteht... An der Anlage sind diese halt in normalen Kabelkanälen verlegt.

Also, wie schon gesagt, eigentlich wären beide Methoden Möhlich, ich denke, man kann auch für beide Seiten argumentieren.... Aber schön, dass es im Prinzip wohl alle genau so sehen wie ich... An der Sicherheit sollte man nicht sparen...


So, jetzt nochmal kurz zu einer Frage von mir, die noch nicht genug beantwortet ist, wie ich finde:


> Doch was für Fehleraufdeckungsmöglichkeiten *muss* ich anwenden bei NOT-Halt-Tastern(bei Kategorie 3)? und welche kann ich weglassen (bei Kategorie 3)?
> Ich würde gern eure Meinungen hören. Schön wäre es natürlich, wenn es hierfür eine offizielle Veröffentlichung gäbe


----------



## Safety (28 August 2009)

*Kat 3*

Hallo,
wie Du schon in der Norm gelesen hast, muss man wann immer im angemessener Weise durchführbar den Fehlererkennen. 

Da Du bei Deinem Beispiel diese Diagnosemöglichkeit an der Steuerung hast wird es schwer werden bei einem möglichen Unfall zu erklären warum diese Funktion nicht benutzt wurde.

Nur weil der Kunde kein Taktsignal in der Anlage will, dass ist Stand der Technik und wird in tausenden von Anlagen benutzt. Weil Du ein abgeschirmtes Kabel brauchst? Dann erklär mal dem Richter, dass Dir ein Menschenleben keine 500€ wert ist! Sind da keine Servos und FU in der Anlage? Der Kunde unterschreibt nicht die CE.

Die Norm kann hier nicht alles aufführen da es sehr viele Möglichkeiten gibt, die Kategorie bezieht sich  nicht nur auf die Elektrik! Und bei anderen Medien kann es schon schwerer werden



> Zitat:
> - Leitungsfehler ein Kanal wird überbrückt durch Beschädigung, erkennt die Logik.
> - Leitungsfehler Querschluss erkennt die Logik nicht. DC 50%
> Ähm, ich hatte eigentlich gedacht, dass der erste Fall, den du beschreibst durch Querschluss erkannt wird?


Der erste Fehler wird hoffentlich über die Steuerung erkannt zweikanaligkeits Fehler. Das macht meist die Software.


----------



## istat_gb (31 August 2009)

Safety schrieb:


> Hallo,
> wie Du schon in der Norm gelesen hast, muss man wann immer im angemessener Weise durchführbar den Fehlererkennen.
> 
> Da Du bei Deinem Beispiel diese Diagnosemöglichkeit an der Steuerung hast wird es schwer werden bei einem möglichen Unfall zu erklären warum diese Funktion nicht benutzt wurde.
> ...




OK, also hab ich ja rihtcig Argumentiert - hab es im Prinzip genau so Begründet...




Safety schrieb:


> Sind da keine Servos und FU in der Anlage?



Für was könnte das interessant sein?




Safety schrieb:


> Die Norm kann hier nicht alles aufführen da es sehr viele Möglichkeiten gibt, die Kategorie bezieht sich nicht nur auf die Elektrik! Und bei anderen Medien kann es schon schwerer werden.




Ja, das ist es ja ;-)
ich hatte mir nur irgendwie erhofft, dass es doch eine Veröffentlichung gibt, welche Fehler entstehen können, und wie diese im Normalfall aufgedeckt werden.
Irgend eine ähnliche Betrachtung MUSS ja vor der Erarbeitung der Norm stattgefunden haben. Sicher gibt es im Laufe der Zeit immer Weiterentwicklungen und Neue Aufdeckungsmethoden, aber irgend etwas muss doch der Erarbeitung der Norm zu Grunde gelegen haben. 

Wäre schön, wenn es halt hierzu etwas mehr Unterstützung gäbe.

Gruß
André


----------



## Safety (31 August 2009)

Hallo Andre,
da steht auch das die C-Normen hier mehr sagen soll. Diese müssen jetzt natürlich auch überarbeitet werden!

Warten wir es ab.


----------



## istat_gb (1 September 2009)

Safety schrieb:


> Hallo Andre,
> da steht auch das die C-Normen hier mehr sagen soll. Diese müssen jetzt natürlich auch überarbeitet werden!
> 
> Warten wir es ab.


 

Ach, meinst du, da kommt eventuell noch einiges im Zuge der Anpassung an die ISO 13849?
Das wäre natürlich sehr schön!....


----------

