Verbesserte Sicherheit: SIL 3-tauglicher Drehgeber für Feldbussysteme

Mit dem Einsatz von Safety-Encodern können Anwender dazu beitragen, das Fehlfunktionsrisiko in Anlagen zu minimieren und so die Betriebssicherheit verbessern. Im Allgemeinen wird bei der Betrachtung von Fehlern in SIL 3-Anwendungen ein Sensorik-Anteil von 35% angenommen. Dies allein ist Grund genug, Sensoren, wie z.B. Drehgeber, als Safety-Komponenten zu konzipieren. Am 29.12.2009 tritt darüber hinaus die neue, EU-weit gültige Maschinenrichtlinie 2006/42/EG in Kraft. Eine signifikante Änderung ist die sogenannte \’Beweislastumkehr\‘: Es ist zwar möglich, Maschinen ohne Anwendung der einschlägigen Normen in den Verkehr zu bringen (z.B. wenn die Normen nicht alle Sicherheitsanforderungen einer Anwendung abdecken), Hersteller müssen in diesem Fall jedoch nachweisen, wie sie zu der Aussage kommen, die Maschine sei sicher. Für normgerecht implementierte sichere Maschinen gilt dies nicht. Sicherheits-Integritätslevel (SIL) Der gemäß IEC 61508 definierte Sicherheits-Integritätslevel (SIL) dient der Beurteilung elektrischer/elektronischer/programmierbar elektronischer Systeme in Bezug auf die Zuverlässigkeit von Sicherheitsfunktionen. Aus dem angestrebten Level ergeben sich die sicherheitsgerichteten Konstruktionsprinzipien, die eingehalten werden müssen, damit das Risiko einer Fehlfunktion minimiert werden kann. Das verbleibende Restrisiko einer Sicherheitsfunktion wird durch Berechnung der Ausfallwahrscheinlichkeit aller im Sicherheitskreis beteiligten Komponenten und deren Verschaltung bestimmt. Die Festlegung eines Sicherheits-Integritätslevels bedeutet, der Sicherheitsfunktion einen sogenannten Ausfallgrenzwert zuzuweisen. Unterschieden werden vier Sicherheitsstufen, SIL 4 ist die höchste, SIL 1 die niedrigste. Jede Stufe entspricht einem Bereich für die Ausfallwahrscheinlichkeit einer Sicherheitsfunktion. Bestimmung des Sicherheits-Integritätslevels Der erreichbare Sicherheits-Integritätslevel (SIL) einer Sicherheitsfunktion nach IEC 61508 ist von der gefährlichen Ausfallwahrscheinlichkeit PFD (Probability of Failure on Demand) bzw. PFH (Probability of Failure per Hour) und der Kombination der Kenngrößen SFF (Safe Failure Fraction) und HFT (Hardware Fault Tolerance) abhängig. Diese Sicherheitskennzahlen werden in der technischen Dokumentation des Gerätes, dem sogenannten Sicherheitshandbuch (Safety Manual) dokumentiert. Es müssen also die Versagenswahrscheinlichkeiten aller am Sicherheitskreis beteiligten Komponenten (und deren Verschaltung) zusammengefasst werden. Insofern hat ein einzelnes Gerät keinen SIL, sondern kann vielmehr aufgrund seiner Sicherheitskennzahlen gemäß der jeweiligen SIL-Kategorie eingesetzt werden. Welchen SIL-Level eine Anwendung erfordert, hängt von zahlreichen Faktoren ab. Anschaulich stellt dies z.B. der Risikograf im oberen Bild dar. SIL 3-gerechte Komponenten und Anlagen sind beispielsweise in der Industrieautomation, etwa bei der Überwachung von Roboterbewegungen, Pressen oder Spritzgussmaschinen, erforderlich. Weitere Gebiete mit SIL 3-Anforderungen sind u.a. chemische Anlagen in der Prozessindustrie, Aufzüge oder Baumaschinen. Neue Encoder-Features Die neuen Drehgeber erfüllen die Voraussetzungen nach IEC 61508 bzw. DIN EN 62061 (SIL CL 3) und DIN EN ISO 13849 (Performance Level e). Sie werden mit PELV (Protective Extra Low Voltage, Schutzkleinspannung) betrieben und eignen sich beispielsweise für Applikationen in der Antriebstechnik, Liftanwendungen sowie Bau- und Werkzeugmaschinen. Die Geräte sind mit einer CANopen-Schnittstelle ausgestattet und unterstützen das CANopen-Safety-Protokoll nach CiA 304. Die komplette Sicherheitsüberprüfung findet bit-invertiert innerhalb des Drehgebers statt. Eine weitere Besonderheit ist die redundante Bauweise der Encoder, die dank zweier Opto-Arrays und, in der Multi-Turn-Ausführung, zweier Getriebe höchste Zuverlässigkeit gewährleisten, gleichzeitig aber lediglich 16mm länger sind als Standardmodelle. Wie alle Optocode-Drehgeber arbeiten auch die neuen Safety-Modelle nach dem bewährten optoelektronischen Abtastprinzip. Ihre Single-Turn-Sensorik liefert eine Auflösung von 13Bit pro Umdrehung. Bis zu 16.384 Umdrehungen (14Bit) können zusätzlich im Multi-Turn-Modus erfasst werden, sodass insgesamt ein Messbereich von 27Bit abgedeckt wird. Die Positionserfassung wird zweikanalig durchgeführt. Die erfassten Daten werden einem CANopen Safety-Chip mit SIL3-Zertifikat zugeführt. Im Chip werden die Positionsdaten mit zweikanaligen Auswertealgorithmen weiterverarbeitet, außerdem wird ein gegenseitiger Vergleich der Ergebnisse durchgeführt. Die CANopen-Anbindung erfolgt durch zwei CAN-Controller, die abwechselnd jeweils bit-invertiert den sicheren Positionswert übertragen. Das Übertragungsverfahren erfolgt mittels des CANopen-Safety-Protokolls. Optional können die Geräte auch als Standard-Encoder eingesetzt werden. Zur Integration in das Feldbussystem werden Knotennummer und Baudrate (bis 1MBaud) bei den neuen Drehgebern mittels eines Drehschalters an der Anschlusshaube oder, bei Ausführungen mit Stecker- und Kabelanschluss, mittels LSS-Diensten eingestellt. Verfügbar sind die Encoder wahlweise als Voll- oder Synchronwellenausführungen. Die Schutzart beträgt gehäuseseitig IP65 und wellenseitig IP64 (mit einem optionalen Wellendichtring ist IP66 möglich). Safety-Encoder für weitere Protokolle (Profibus, ProfiNet) sind in Vorbereitung und voraussichtlich ab dem zweiten Quartal 2009 verfügbar. Kasten Die Grundlage: IEC 61508 / DIN EN62061 Jede Anwendung von Technik bedeutet gleichzeitig ein sicherheitstechnisches Risiko, denn Ausfälle und Fehlfunktionen von verfahrenstechnischen Anlagen und Maschinen können zu Risiken für Personen, Umwelt und Sachwerte führen. Schadensauswirkungen und Eintrittswahrscheinlichkeiten bestimmen die erforderlichen Maßnahmen zur Risikoreduzierung durch Fehlervermeidung, Fehlererkennung und Fehlerbeherrschung. Mit dem Einzug von mikroprozessor- und softwarebasierten Systemen in der Automatisierungstechnik wurde es erforderlich, die Sicherheitsanforderungen für diese Systeme applikationsunabhängig zu formulieren. Dies leistet die IEC 61508, ein weltweiter Standard, der die maßgeblichen Sicherheitsanforderungen an elektrische, elektronische und programmierbare elektronische Systeme in sicherheitsgerichteten Anwendungen beschreibt. Die IEC 61508 ist eine \’Basic Safety Publication\‘, die es als eines ihrer Hauptziele ansieht, die Entwicklung branchenspezifischer Normen zu erleichtern.