# Muting in SISTEMA richtig bewerten mit unsicheren Schaltern



## timo64sps (3 Oktober 2017)

Hallo liebes SPS-Forum,

bei uns in der Firma gibt es Unsicherheiten darüber, folgende Sicherheitsfunktion richtig in SISTEMA zu bewerten. Ich selbst habe von der inneren Materie, was SPS Programmierung, angeht eigentlich keine Ahnung, bin aber für die Sicherheitsbewertungen zuständig  :

Es handelt sich um ein automotives Werk, in dem ein detec4 Lichtgitter gemuted werden soll, wenn eine Karosse darauf zuführt. Dies wird mit zwei unsicheren Schaltern über ein ebenfalls unsicheres normales DI Modul an eine Siemens SPS S7-319F gemeldet. Diese verwendet den auch den Standart Muting Baustein von Siemens. Das Lichtgitter kann von den Schaltern nur eine gewisse Zeit gemuted werden (die Zeit, die die Karosse braucht um durchzufahren). Wenn das Muting auslöst, wird über ein Safty-DO (FDO) eine Leuchte angesteuert. Das deTec4 selbst ist über ein FDI mit der SPS verbunden, hat ja keinen Profinet-Anschluss.
Somit ist der SISTEMA aufbau, für den Fall das das Lichtgitter die Anlage stoppen will, relativ simpel: deTec4 -> FDI -> S7-319F -> FDO -> "irgendein Aktor".

Mir wurde gesagt dass die Funktionsfähigkeit der Lampe vom FDO selbst erkannt wird, einfach gesagt, der FDO merkt, wenn kein Strom fließt = Lampe kaputt -> Meldung an die SPS
Somit könne man eine Bewertung der Lampe einfach weglassen, und Aktorseitig (Sensorseite -> SPS -> Aktorseite) quasi nur die Ausfallwahrscheinlichkeit des FDOs lassen.

Die Gefahr an sich ist ja, dass jemand, während des gemuteten Lichtgitters durch das Gitter läuft. Davor soll ihn ja die Lampe bewahren...hoffentlich.
Mir ist nicht ganz klar wieso die Mutingfunktion mit UNsicheren Schaltern und Modulen realisiert wurde, aber es ist so und jetzt muss ich damit umgehen.
Also sieht meine Sicherheitsfunktion bis jetzt so aus: Unsicherer Schalter (auf 2 Kanälen der Subfunktion) -> DI -> S7-319F -> FDO

Das war jetzt relativ unsortierter Input, jetzt die Fragen die ich mir dazu stelle.
- Weiß jemand, wie mit den unsicheren Schaltern oder unsicheren Modulen umzugehen ist? ich nehme an, dass es sich um zwei Lichtsensoren handelt, die so angeordnet sind, dass nur eine Karosse und kein Mensch sie beide auslösen kann.
- Ist es vorstellbar, dass man die Sensorseite hier völlig außer Acht lässt, wenn man folgende Überlegung hat: Was passiert denn wenn die Sensoren nicht richtig funktionieren? Zum einen könnten sie einfach kaputt sein, dh eine Karosse kommt, sie lösen nicht aus, die Anlage wird gestoppt... keine Gefahr für Leib und Leben durch die Fehlfunktion. Zweites Szenario wäre, dass sie einfach dauerhaft aktiv sind, dann verhindert es der Muting baustein, dass das Lichtgitter unendlich gemuted wird. Und die Leuchte würde es ja anzeigen.. also eigentlich auch keine Gefahr, außer Fahrlässigkeit. Wäre die Funktion also mit SPS -> FDO bereits ausreichend bewertet?
- Wenn jemand diesen Siemens Muting Baustein kennt: Ist die Ausfallwahrscheinlichkeit des Bausteins gleich der Ausfallwahrscheinlichkeit der SPS (PFHD-Wert von Siemens benutzen)?

Ich hoffe jemand gibt dazu mal seinen Senf, würde mich sehr freuen 
Grüße, Timo


----------



## Safety (14 Oktober 2017)

Hallo, ein sogenanntes Muting System ersetzt eine vorhandene Sicherheitsmaßahme durch eine andere. Das Sicherheitsniveau beider Maßnahmen muss entsprechend der Risikobeurteilung gleichwertig sein.
Beispiel:
Lichtvorhang
Muting System mit Erkennung das es sich nicht um einen Mensch handelt, mit Ersatz des Lichtgitters im überbrückten Zustand durch eine Palette oder Karosse die dann als trennende Schutzeinrichtung gilt.
Wenn ich das richtig verstanden habe gehen Deine Schalter auf Standard DI damit kannst Du nur PLb erreichen.


----------



## ayrex (23 Oktober 2017)

Safety schrieb:


> Hallo, ein sogenanntes Muting System ersetzt eine vorhandene Sicherheitsmaßahme durch eine andere. Das Sicherheitsniveau beider Maßnahmen muss entsprechend der Risikobeurteilung gleichwertig sein.
> Beispiel:
> Lichtvorhang
> Muting System mit Erkennung das es sich nicht um einen Mensch handelt, mit Ersatz des Lichtgitters im überbrückten Zustand durch eine Palette oder Karosse die dann als trennende Schutzeinrichtung gilt.
> Wenn ich das richtig verstanden habe gehen Deine Schalter auf Standard DI damit kannst Du nur PLb erreichen.



Wobei zwingend die Anforderungen von Kategorie B der ISO 13849-1 erfüllen muss und den B10d bzw. MTTFd Wert kennen oder abschätzen können muss (z.B. nach Tbl. C1 ISO 13849-1 und ISO 13849-2)


----------

