Auf ein Öffnen von Sicherheitstüren reagierte eine klassische Sicherheitseinrichtung einer Antriebseinheit wenig intelligent mit dem Stillsetzen der Einheit. Der Hauptunterschied zur klassischen sicheren Antriebstechnik liegt darin, die Sicherheitsfunktionen in Sicherheitsmodule bzw. direkt in die Antriebsregler zu verlagern und an Stelle des Stillsetzens der Antriebseinheit die gefahrbringende Bewegung zu beeinflussen. So lässt sich z.B. die Drehzahl reduzieren oder ein Stillstand erreichen, bei dem die Energieversorgung nicht unterbrochen wird, so dass Positionswerte erhalten bleiben. Die Sicherheitsfunktionen können dabei je nach Anwendung direkt im Frequenzumrichter bzw. Antriebsregler oder indirekt in separaten Sicherheitsmodulen bzw. Sicherheits-SPSen ausgeführt werden. In der indirekten Variante übernehmen Sicherheitsmodule wie Stillstands- oder Drehzahlwächter bestimmte Sicherheitsaufgaben. Ein Drehzahlwächter wertet dabei die Antriebsbewegung einer Maschine über die gelieferten Signale eines Drehgebers oder von Näherungsschaltern aus. Im Falle von manuellen Arbeiten z.B. Mess-, Einricht- und Wartungsarbeiten überwacht der Drehzahlwächter die reduzierte Geschwindigkeit einer Maschine, so dass man sich in ihrer unmittelbaren Nähe aufhalten kann. Ändert sich jetzt die Drehzahl und erreicht dabei einen gefahrbringenden Wert, kann der Drehzahlwächter die Abschaltung des Antriebs über externe Schütze auslösen. Für die reine Stillstandserfassung gibt es auch spezielle Module, die bei Erkennen eines Stillstands über sichere Relais-Ausgänge beispielsweise eine Türverriegelung freischalten. Gegenüber den einfacheren Sicherheitsmodulen lassen sich Sicherheits-SPSen mit einer größeren Zahl von Sicherheitsfunktionen ausstatten, wobei dann flexiblere Sicherheitskonzepte möglich sind. Beim Einsatz von Frequenzumrichtern bzw. Antriebsreglern mit integrierten Sicherheitsfunktionen kann als ein wesentlicher Vorteil auf elektromechanischen Komponenten (Schütze) und deren Verschaltung verzichtet werden. Wechselnde Einsatzbedingungen In der Praxis treten unterschiedliche Situationen auf, die flexible sicherheitstechnische Reaktionen erfordern. So können elektrisch angetriebene Waagen oder Flurförderfahrzeuge Bereiche passieren, in denen sich Personen aufhalten. Wenn es sich dabei um feste Zonen handelt, kann die Geberinformation dazu dienen beim Erreichen einer bestimmten Zone die Geschwindigkeit zu vermindern. Beim Einsatz von Lichtgittern oder Sicherheitslichtschranken kennt man die Mutingfunktion, die dazu dient die Sicherheitsfunktion zu überbrücken, um z.B. Werkstücke einer Bearbeitungsstation passieren zu lassen. Analog kann das Muting dazu dienen, die Sicherheitsfunktion einer Steuerung kurzfristig außer Betrieb zu setzen, um z.B. eine Störung zu beheben. Dies sollte allerdings nur in Kombination mit einer Funktion wie z.B. einer sicher reduzierten Geschwindigkeit bzw. Drehzahl oder dem Sicheren Betriebshalt erfolgen. Die Abschaltung erfolgt dann nur im Fehlerfall. Der Einsatz von elektronischen Sicherheitsmodulen hilft auch beim Optimieren von Sicherheitskonzepten. So gibt es bestimmte Anwendungen, bei denen mit Zustimmtastern gearbeitet wird. Die Reaktionen im Fehlerfall verzögern sich, abgesehen von einer Schrecksekunde, auf etwa 200 bis 300ms. In dieser Zeit kann sich bereits ein Nachlaufweg von z.B. 50cm ergeben, der zu Personen oder Maschinenschäden führen kann. Bei elektronischer Absicherung lässt sich im gleichen Fall ein Nachlauf von ca. 3mm erreichen und damit ein wesentlich vermindertes Gefährdungsrisiko. Falls man einen Sicherheitsbus einsetzt, stehen weitere Möglichkeiten bereit. Neben den verbesserten Diagnosemöglichkeiten können z.B. neu erzeugte Geschwindigkeitssollwerte als sichere Anweisung über das Sicherheitsbussystem an die Antriebsregler weitergegeben werden. Kasten: Norm-Fortschreibung: von EN954 zu ISO13849 Der Übergang in der Norm-Fortschreibung von EN954 zu ISO13849 führt zu einigen wichtigen Änderungen. Der bekannte Risikograf der EN954 mit seinen Risikoparametern S (= Schwere der Verletzung, leicht/schwer), F (= Häufigkeit bzw. Dauer der Gefährdungssituation) sowie P (= Möglichkeiten die Gefährdung zu vermeiden) dient jetzt zur Bestimmung von fünf Performance Stufen (a, b, c, d, e genannt), die bestimmten Safety Integrity Leveln (SIL) nach EN IEC 61508 entsprechen. Zur weiteren Risikobeurteilung kommen dann noch der Diagnosedeckungsgrad (DC), der Common Cause Failure (CCF) und die Zeit bis zum gefährlichen Ausfall einer Komponente (MTTFd bei einkanaliger Struktur) bzw. bis zum gefährlichen Ausfall eines Kanals (MTTFoc bei redundanter Struktur) hinzu. Beim Diagnosedeckungsgrad sollen mit automatischen diagnostischen Prüfungen die Wahrscheinlichkeit gefahrbringender Hardwareausfälle vermindert werden. Ein DC von 60 bis 90% wird als niedrig bezeichnet, als mittel bei 90 bis 99% und ab 99% als hoch. Der CCF berücksichtigt Fehler gemeinsamer Ursache, was in der Praxis bedeutet, dass ein redundantes System frühzeitig ausfallen kann, weil in ihm z.B. Bauteile zum Einsatz kommen, die den gleichen Herstellungsfehler aufweisen. Mit Hilfe von Diversität, d.h. dem Aufbau redundanter Systeme durch unterschiedliche Bauteile usw. versucht man, diese Fehlerquelle einzuschränken. Die Zeit bis zum gefährlichen Ausfall einer Komponente umfasst drei Intervalle, wobei der Zeitraum von 3 bis 10 Jahren als niedrig, von 10 bis 30 Jahren als mittel und von 30 bis 100 Jahren als hoch bewertet wird. Die Risikobestimmung gestaltet sich durch die zusätzlichen Parameter aufwändiger als bisher, gleichzeitig entsteht eine Verfeinerung in der Risikobeurteilung. Sie ermöglicht es durch die Auswahl der Bauteile (längere Lebensdauer bis zum gefährlichen Ausfall) und anderer Maßnahmen (Redundanz, Zwangsführung von Schaltkontakten) die Wahrscheinlichkeit eines gefahrbringenden Ausfalls pro Stunde zu verringern. (Eine ausführlichere Darstellung z.B.: W. Gräf, Maschinensicherheit, Heidelberg, 3. Aufl., S. 124 – 141)
TeDo Verlag GmbH
