Einbindung mechanisch betätigter (Sicherheits)endlagenschalter

[dermobb]

Hallo Forum,

im Rahmen eines möglichen Steuerungs-Retrofit habe ich eine Frage aus dem Bereich der Anlagensicherheit (Schutz der Anlage vor sich selbst). Nach meinem Verständnis handelt es sich bei meiner konkreten Frage nicht um Personenschutz.

Hier die Ist-Situation (Bestandsanlage):
Es geht um den Transport von Förderwagen auf Gleisen, entweder durch hydraulische Schubanlagen oder motorische Seilzüge. Es können jeweils mehrere Wagen aufgeschoben und dann gleichzeitig auf dem Gleis transportiert werden. Am Ende der Gleise befinden sich Rangierbühnen, welche die Wagen einzeln aktiv aufnehmen und (quer)verfahren können.

Die Aktorik der Gleise (bleiben wir mal beim Beispiel Seilzug) fährt die Wagen immer nur bis zum Gleisende. Dort befindet sich ein induktiver Sensor, der den Stahlrahmen des ersten Wagens erkennt und die Förderbewegung mit einem True-Signal (nicht drahtbruchsicher) stoppt. Das Signal ist ein NICHT-sicheres Eingangssignal einer Standard-SPS. Soweit so klar.

Als zusätzliche Sicherheit ist in Förderrichtung kurz hinter dem induktiven Sensor eine mechanisch betätigte Schaltfahne mit zwangsöffnendem Kontakt (drahtbruchsicher) angebracht. Kommt der Wagen auf diesen Sicherheitsendschalter, wird die Steuerspannung für ein Schütz im (weit entfernten) Schaltschrank unterbrochen und der FU kann keine Freigabe mehr erhalten. Das funktioniert, ist aber bei den vielen Gleisen und sehr großen Anlagendimensionen verdrahtungsaufwändig.

Wie gesagt, planen wir ein Retrofit der Steuerungstechnik durchzuführen. Nach meinen Vorstellungen wird dabei die Anzahl der Steuerleitungen und Klappertechnik reduziert. Hättet ihr Bedenken, den drahtbruchsicheren Öffnerkontakt des Sicherheitsendschalters ebenfalls "einfach" als nicht sicheren SPS-Eingang (dezentrale Peripherie) zu verarbeiten? Kennt jemand normative Gründe, die dagegensprechen? An einer anderen (modernen) Anlage bei uns im Werk, hat ein renommierter Anlagenbauer es letztendlich genau so umgesetzt. Ich möchte es aber nicht nur stumpf abgucken, sondern auch sicher sein, dass es mindestens Stand der Technik ist.

Sollte im Fall eines Fehlers ein Wagen z.B. mit der Vorderachse in ein Bühnenbett stürzen, wäre mit großer Wahrscheinlichkeit das Fördergut auf dem Wagen annähernd ein Totalschaden. Ich schätze den Schaden in so einer Situation auf möglicherweise 5000€. Wir reden hier also nicht von betriebsgefährdend großen Schäden, eher ein mittelgroßes Ärgernis.

Falls das Projekt zur Umsetzung kommt, wird für die Anlage durch einen externen Dienstleister eine Risikobeurteilung durchgeführt und die E-Konstruktion wird auf ihre erreichten Performance Level überprüft. Ich möchte jedoch schon im Vorfeld gern Meinungen zu dieser Frage einholen. Es würde helfen den Aufwand besser abzuschätzen.

Ich bin dankbar für jeden Beitrag.

 

[s_kraut]

Ist natürlich Ermessenssache. 5000€ Schaden kann eine Beziehung zu einem Inbetriebnehmer strapazieren.
Zumal z.B. mit Namurtechnologie elegant ein einkanaliges Signal drahtbruchsicher bis SIL2/PLd generiert und ausgewertet werden kann. Zweidrähtig, kannst beim Retrofit also die bestehende Leitung verwenden falls sie in gutem Zustand ist.
Für <500€.

 

[Blockmove]

Du kannst doch auch sichere dezentrale Peripherie verwenden ...

 

[nade]

Also würde da auch wie Blockmove auf etwas Dezentrales setzen, und wenn eben via z.B. Sick Sicherheitsrelais dazwischen geschaltet sind. Dann eben auf Öffner Kontakt Abgefragt. Drahtbruch erkannt, der Schalter 2 Kanal Abgefragt. Nachteil, bei Kurzschluss auf der Leitung keine Möglichkeit des Erkennens. Also ab dem Punkt müsste eine Gefährdungsbeurteilung mit Einfließen, wo eben bei Überfahren die Personengefährdung und Materialgefährdung mit evtl daraus resultierenden Personenschäden berücksichtigt wird. Stahlseil dick genug um der Zugkraft bei auf einen Prellbock auflaufen zu wiederstehen... mhm. Das könnte eine teure Reparatur werden, wenn Motor bzwe FU nicht wegen Überstrom abschaltet, eh größere Schäden entstehen.

 

[marcusscholle]

Also aus meiner Sicht sollte man das schon individuell betrachten...

Ich kenne die genaue Anwendung (Produktbereich) nicht, bei einer konzeptionell wohl recht ähnlichen Anwendung in der Baustoffindustrie (Fertigung von Kalksandsteinen) wird das auch "mal so, mal so" ausgeführt. Beispiele:

Anmerkung: Es sei aber dazu gesagt, dass ich die Anlagen nicht selbst gebaut oder inbetriebgenommen habe. Bei mir ging es eher um Anlagen im Bereich von beidseitig verdichtenden Pressen (Quadro-Steine z.B.)

• Bei Gleisen, die geradlinig fördern (ohne dass eine konkrete Gefahr von herabfallenden Wägen besteht), wird in der Regel gar nix gemacht. Auch hier wird aber (prozessmäßig) bei "Gleis voll" nicht mehr weitergeschoben. Teilweise werden hier dann auch 20 Wägen vor einem her geschoben.
• Nach dem Pressen der Steine müssen die Vollwägen zum Autoklaven transportiert werden. Dies geschieht üblicherweise über das Herausfahren aus dem Pressenbereich über ein Freifahren mit dem Krokodil.
• Wie oben beschrieben kenne ich hier hydraulik, Zahnstangen oder auch Seilzüge (bei längeren Strecken). Der Quertransport geschieht hierbei über eine separate Fördereinrichtung. Das ist auch einer der wenigen Stellen, an der vielleicht eher mal vom Vollwagengleis gezogen wird.
• In diesem Fall besteht aber öfters mal das Risiko, dass ein Wagen vom Pressenbereich durch nachfolgende Leerwägen in die "Grube" des Querförderers geschoben wird. Teilweise wird diese Grube (die oft nicht wirklich tief ist) auch als Laufweg "missbraucht". Besonders dann, wenn die Ausfahrbereiche mit Vollwägen vollstehen.
• Ein Wagen mit gepressten, aber noch nicht gehärteten Steinen wiegt locker mehrere Tonnen. Somit wären erhebliche Verletzungen zu erwarten.
• Um das Risiko hier zu mindern, habe ich bisher unter anderem folgende Varianten gesehen (ich versuche mal anhand der Wirksamkeit zu ordnen):
  • Rein Softwareseitige Verhinderung mit dem "Zählen" von Vollwägen, die außerhalb des Pressenbereichs geschoben worden sind.
  • Hardwarelösung über zwei Schalter, eine als "Vorposition", der zweite als "Not-Endlage". Hier wird ein Wagen als Reserve vorgesehen. Es werden keine Vollwägen mehr geschoben, wenn die Vorposition erreicht wird. Der Bediener kann aber manuell quittieren, dann wird diese Reserve-Position zu geschoben. Wird danach die Not-Endlage erreicht, ist ein weiteres Schieben erst einmal gesperrt. Das Krokodil des Querförderers muss dann freiziehen.
    Wichtig hierbei aber: Bei fast allen Anlagen, die ich bisher gesehen habe, war das aber über die Prozessleitebene geregelt, somit grundsätzlich unsicher. Die Orte, wo ein Vollwagen herunterfallen könnte und von wo aus geschoben wird, können auch gerne mal weiter voneinander entfernt sein.
  • Kombination des vorherigen Punkts mit einer mechanisch ausfahrenden Klinke. Ist der Zustand der "Not-Endlage" vorhanden, fährt eine Klinke nach oben, die ein weiteres Verfahren des Wagens verhindert. Das Krokodil des Querförderers kann diese beim Freifahren entsprechend herunterdrücken und die Vollwägen herausziehen.
    Grundsätzlich eine gute Lösung, allerdings habe ich manchmal so meine Zweifel, dass diese Klinken einen dagegen schiebenden Förderer auch standhalten (je nach Schiebelänge können das ein paar mehr KW sein).

Gruß

 

[dermobb]

in der Baustoffindustrie

Es geht bei meiner Fragestellung ebenfalls um eine Anlage aus der Baustoffindustrie.

Ein Wagen mit gepressten, aber noch nicht gehärteten Steinen wiegt locker mehrere Tonnen. Somit wären erhebliche Verletzungen zu erwarten.

Ja, wir reden von nicht unerheblichen Massen, die bei einem Fehler vom Wagen stürzen könnten. Vom Wagen selbst sehe ich persönlich keine unmittelbare Gefahr ausgehen. Wie du schon sagtest, ist das Bühnenbett (bzw. die Grube) nicht tief. Der Wagen würde dort nicht wirklich rein stürzen. Vielmehr würde die erste Achse in das Gleisbett absacken und der Wagen dann auf seine Unterkonstruktion krachen. Da die "Bodenfreiheit" der Wagen aufgrund sehr kleiner Raddurchmesser ebenfalls gering ist, wäre das womöglich sogar eher unspektakulär, solange sich in diesem Moment niemand genau im Bereich vor dem Wagen befindet. Das ist ein weiterer Punkt. In die Risikobeurteilung geht ja auch die Anwesenheitshäufigkeit von Personen mit ein. Wir reden hier definitiv nicht von einem regulären Arbeitsplatz. Die Aufenthaltsdauer in einem Bühnengleisbett geht gegen Null, es ist jedoch möglich, sich dort hinzubegeben. Weil die Bühnen eigensicher sind, gibt es keinen Schutzzaun oder ähnliche Abschrankungen.

Hardwarelösung über zwei Schalter, eine als "Vorposition", der zweite als "Not-Endlage". Hier wird ein Wagen als Reserve vorgesehen.

Das ist ja letztendlich das, was mir vorschwebte, nur halt mit nicht sicheren Signalen. Wie groß die räumliche Lücke zwischen den beiden Schaltern ist, macht meiner Meinung nach keinen Unterschied bei der Sicherheit. Wenn der erste Schalter versagt, hast du in beiden Fällen noch einen übrig, der abschalten kann / muss.

Du kannst doch auch sichere dezentrale Peripherie verwenden ...

Ja, diesen Weg werden wir wohl weiterverfolgen. Er bringt den großen Vorteil der reduzierten Verdrahtung im Feld mit sich (diverse ETs mit Anbindungsmöglichkeit sicherer Eingänge wird es eh geben, wegen der Not-Halt Taster). Das wird eine ganze Latte mehr an Sicherheitsrelais im Schaltschrank bedeuten...

Der große Anlagenbauer, von dem ich eingangs berichtet habe, scheint die Sache weniger eng zu sehen. Das hinterlässt bei mir noch offene Fragezeichen. Der Anwendungsfall ist komplett identisch...

Vielen Dank auf jeden Fall an alle für die rege Beteiligung und die Vorschläge!

 

[Blockmove]

Der große Anlagenbauer, von dem ich eingangs berichtet habe, scheint die Sache weniger eng zu sehen. Das hinterlässt bei mir noch offene Fragezeichen. Der Anwendungsfall ist komplett identisch...

Deshalb fordern wir die Risikobeurteilung von den Lieferanten.
Muss zwar laut Norm nicht Bestandteil der Anlagendoku sein, ist aber bei uns in den Einkaufsbedingungen und Verträgen so spezifiziert.

 

[winnman]

Man könnte ja auch noch einen mechanischen Stopper zusätzlich anbringen, der bei nicht passender / vorhandener Position der Querverfahrbühne (mechanisch) automatisch die Weiterbewegung verhindert, dann würde der Antrieb mit Überlast abstellen und nichts in die Grube stürzen.

Die Funktion dieses Stoppers zusätzlich noch mit einem Ini überwachen ist auch nicht besonders aufwendig.