Modulare Anlagen mit Schutzeinrichtungen
Bei modular aufgebauten Anlagen können einzelne Anlagenmodule mit Schutzeinrichtungen prozessbedingt an- und abgekoppelt werden. Im angekoppelten Zustand des Maschinenmoduls ist dessen Schutzeinrichtung sicherheitsrelevant und wirkt auf den Gefahrenbereich.
Ist das Maschinenmodul im abgekoppelten Zustand, steht die modulspezifische Schutzeinrichtung der Applikation nicht zur Verfügung, da sie zu diesem Zeitpunkt nicht sicherheitsrelevant ist.
WARNUNG
UNBEABSICHTIGTER BETRIEBSSTART
Stellen Sie sicher, dass Ihre Risikoanalyse eine Auswertung für den Fall der deaktivierten Schutzeinrichtung enthält.
Stellen Sie sicher, dass geeignete Maßnahmen (gemäß zutreffender Sektornormen) getroffen wurden, wenn Sie die Schutzeinrichtung deaktivieren.
Verwenden Sie geeignete Sicherheitsverriegelungen, wenn eine Gefahr für Personen und/oder Ausrüstung besteht.
Die Nichtbeachtung dieser Anweisungen kann Tod, schwere Körperverletzungen oder Sachschäden zur Folge haben.
Einkanalige Applikation
Die folgende Abbildung zeigt ein Codebeispiel für modulare Schutzeinrichtungen in einkanaliger Ausführung. In diesem Beispiel wirken mehrere sicherheitsbezogene Funktionsbausteine gemeinsam auf den Ausgang der Sicherheitssteuerung, welcher mit der globalen I/O-Variablen Machine verknüpft ist.
|
(1) |
I/O-Variable KeySwitch_In ist mit dem Signal eines angeschlossenen Schlüsseltasters verknüpft: Aufheben der Anlaufsperre nur durch autorisierte Personen, wenn die Schutzeinrichtung nicht mehr sicherheitsrelevant ist. |
|
(2) |
Anlaufsperre: Nur wenn Activate (SF_GuardMonitoring) = FALSE, kann Q1 auf SAFETRUE gesteuert werden. |
|
(3) |
Meldeeinrichtung zur Signalisierung einer überbrückten Schutzeinrichtung. |
|
(4) |
Rückmeldesignal der Meldeeinrichtung. |
|
(5) |
Signal zum Stoppen der Maschine |
HINWEIS:
Beachten Sie bei der Umsetzung des Beispiels die Sicherheitshinweise.
Die sicherheitsbezogenen Funktionsbausteine SF_EmergencyStop und SF_GuardMonitoring werten Signale der verschalteten Schutzeinrichtungen aus.
Schutzeinrichtung 1: NOT-HALT-Befehlsgerät, verknüpft mit der globalen I/O-Variablen EStop_In, ausgewertet durch den Funktionsbaustein SF_EmergencyStop, ist permanent an der Maschine vorhanden.
Schutzeinrichtung 2: Schutztür, verknüpft mit der globalen I/O-Variablen GMControl_In, ausgewertet durch den sicherheitsbezogenen Funktionsbaustein SF_GuardMonitoring, ist (bedingt durch die modulare Konstruktion der Anlage) temporär an die gesamte Applikation an- und abkoppelbar.
Im abgekoppelten Zustand steht Schutzeinrichtung 2 der Applikation nicht zu Verfügung, weil das Modul nicht mehr Bestandteil der Maschine ist. Zu diesem Zeitpunkt ist Schutzeinrichtung 2 nicht sicherheitsrelevant.
Ab-/Ankoppeln der Schutzeinrichtung 2
Um Schutzeinrichtung 2 abzukoppeln, steuert die Applikation über die globale I/O-Variable Act_Modular den Eingang Activate des sicherheitsbezogenen Funktionsbausteins SF_GuardMonitoring auf FALSE. In der Folge steuert der Freigabeausgang S_GuardMonitoring auf SAFEFALSE.
Um nach der durchgeführten Bausteinabschaltung den verbleibenden Anlageteil wieder in Betrieb zu nehmen und einen automatischen Anlauf zu verhindern, wird über die sicherheitsbezogenen Funktionen F_TRIG_S und RS_S eine Anlaufsperre realisiert. Die Aufhebung der Anlaufsperre ist in diesem Beispiel mit einem Schlüsseltaster realisiert, dessen Signal mit der globalen I/O-Variablen KeySwitch_In verknüpft und an Eingang CLK der sicherheitsbezogenen Funktion F_TRIG_S angeschlossenen ist (Ziffer (1) in der Abbildung). Das Signal der genannten Anlaufsperre wird mit weiteren sicherheitsbezogenen Funktionen und dem Rückführsignal der Meldeeinrichtung verknüpft.
Das Verknüpfungsergebnis steuert über die globale I/O-Variable Machine den sicherheitsbezogenen Ausgang (Ziffer (5) in der Abbildung).
Die überbrückte Schutzeinrichtung 2 wird an der Meldeeinrichtung angezeigt, welche über die globale I/O-Variable Lamp_SafetyOff angesteuert wird (Ziffer (3) in der Abbildung). Die positive Rückmeldung (globale I/O-Variable Feedback, Ziffer (4) in der Abbildung) über die korrekte Funktion der Meldeeinrichtung muss vorliegen, um den sicherheitsbezogenen Ausgang auf SAFETRUE zu steuern.
Durch die gezeigte Verschaltung kann die Applikation weiter betrieben werden, obwohl der sicherheitsbezogene Funktionsbaustein SF_GuardMonitoring deaktiviert ist.
Schutzeinrichtung 1 wirkt weiterhin auf die globale I/O-Variable Machine, welche mit dem Signal zur Abschaltung der Maschine/Anlage verknüpft ist (5).
Sicherheitshinweise zur Umsetzung des Applikationsbeispiels
Bei der Umsetzung des oben gezeigten Anwendungsbeispiels sind folgende Hinweise zu beachten:
Wenn Sie dieses Beispiel realisieren, müssen Sie die Verschaltung zwingend wie im Beispiel dargestellt umsetzen. Eine davon abweichende Umsetzung kann zu einer Gefährdung führen. Programmstellen, an denen eine XOR- / ODER-Verknüpfung verwendet wird, stellen ein besonderes Risiko in Bezug auf systematische Fehler dar.
Die Fehlerentdeckung kann nur durch Verifikation der von Ihnen erstellten Verschaltung und durch Validierung der gesamten Sicherheitsfunktion erfolgen. Diese Prüfungen liegen in Ihrer Eigenverantwortung!
WARNUNG
UNBEABSICHTIGTER BETRIEBSZUSTAND DES GERÄTS
Die Überbrückung und die Abkopplung der Schutzeinrichtung darf nur durchgeführt werden, wenn die Schutzeinrichtung nicht mehr sicherheitsrelevant ist.
Stellen Sie sicher, dass die Schutzeinrichtung nicht fälschlicherweise überbrückt oder abgekoppelt wird.
Kennzeichnen Sie die An- und Abkopplungseinrichtungen von Schutzeinrichtungen eindeutig.
Die Nichtbeachtung dieser Anweisungen kann Tod, schwere Körperverletzungen oder Sachschäden zur Folge haben.
Bei einem Kurzschluss/Querschluss zwischen beliebigen Leitern und/oder ungeschützten Teilen der Erde ist ein Fehlerausschluss möglich, wenn die Verdrahtung in einem elektrischen Einbauraum ist und die Leitungen als auch der Einbauraum den Anforderungen der EN 60204 entsprechen.
WARNUNG
NICHTERFÜLLEN DER SICHERHEITSANFORDERUNGEN
Je nach Ergebnis der von Ihnen durchzuführenden Risikoanalyse ist die Verwendung einkanaliger oder zweikanaliger Signale mit oder ohne Querschlusserkennung vorzunehmen.
Beachten Sie die Installationsrichtlinien in Bezug auf EMV und Anforderungen der DIN EN 60204.
Die Nichtbeachtung dieser Anweisungen kann Tod, schwere Körperverletzungen oder Sachschäden zur Folge haben.
HINWEIS:
Die Überbrückung der abgekoppelten Schutzeinrichtung ist durch eine optische und/oder akustische Meldeeinrichtung mit Rückführsignal zu signalisieren.
HINWEIS:
Zur Realisierung des Rücksetzsignals am Takteingang CLK der sicherheitsbezogenen Funktion F_TRIG_S ist an der Sicherheitssteuerung ein Schlüsseltaster verschaltet und mit der globalen I/O-Variablen KeySwitch_In verknüpft.
Zweikanalige Applikation
Hat die Risikoanalyse ergeben, dass eine zweikanalige Auslegung der Schutzeinrichtung notwendig ist, so ist das oben dargestellte Beispiel mit zweikanaligen Ein- und Ausgangssignalen umzusetzen.
