„Zwei Schütze und ein Sicherheitsrelais, also Kategorie 3.“ Im Schaltschrank sieht alles richtig aus. Auf der Stückliste auch. Erst ein Schütz mit verschweißten Kontakten zeigt, was von dieser Ordnung in der Praxis übrig bleibt. Der Bediener öffnet die Schutztür des Förderers. Die Steuerung schaltet die Spule von K1 ab, doch die Kontakte bleiben verschweißt. Der Motor erhält weiter Spannung. Der Abschaltbefehl war korrekt. Das Schütz hat ihn schlicht nicht ausgeführt.
Ein zweites Schütz kann die Abschaltung retten. Die Diagnose kann den Fehler erkennen und den nächsten Start sperren. Ob das wirklich passiert, hängt davon ab, wie der Konstrukteur die Schaltung aufgebaut hat. „Kategorie 3“ in die Dokumentation zu schreiben, ist dabei der einfachste Teil. Sicherheitskategorien nach ISO 13849-1 beschreiben die Fehlerfestigkeit eines Teilsystems und sein Verhalten nach einem Fehler. Den Unterschied zwischen B, 1, 2, 3 und 4 versteht man am besten an derselben Aufgabe: Die Energiezufuhr zum Antrieb muss unterbrochen werden – auch wenn im System etwas ausfällt. Bei der Abnahme sieht jede intakte Schaltung gut aus. Interessant wird die Kategorie erst, wenn die Schaltung nicht mehr intakt ist.
Erst die Aufgabe, dann die Geräte im Schaltschrank
Der Bediener muss ein Werkstück korrigieren. Das Band muss vor dem Zugang zur Gefahrstelle stillstehen und bei geöffneter Schutztür stillgesetzt bleiben. Der Konstrukteur leitet diese Anforderungen aus der Risikobeurteilung nach ISO 12100 ab und hält sie anschließend in der Spezifikation der Sicherheitsanforderungen – SRS fest.
Die vollständige Sicherheitsfunktion umfasst das Erkennen der geöffneten Schutztür, die Entscheidung der Steuerung und das Abschalten des Antriebs. Jeder dieser Teile kann als eigenes Teilsystem betrachtet werden. In den folgenden Varianten ändert sich das Ausgangsteilsystem: die Schütze, ihre Verdrahtung und ihre Überwachung. Seine Teilfunktion lautet: Energiezufuhr zum Antrieb unterbrechen.
Ein Schütz arbeitet wie ein elektrisch betätigter Schalter. Spannung an der Spule schließt die Leistungskontakte, über die der Motorstrom fließt. Wird die Spule abgeschaltet, öffnet ein intaktes Gerät diese Kontakte. Verschweißte Kontakte nehmen ihm genau diese Fähigkeit. Bei zwei Schützen K1 und K2 fließt der Motorstrom nacheinander durch beide. Öffnet eines von ihnen, ist der Stromkreis unterbrochen. Jedes Schütz bildet zusammen mit seiner Ansteuerung einen eigenen Abschaltweg, also einen Kanal.
Kategorie B: K1 ist verschweißt. Die Energie bleibt eingeschaltet
Ein einzelnes Schütz K1 schaltet den Antrieb ab. Nach dem Öffnen der Schutztür wird seine Spule spannungslos, die Kontakte öffnen und der Motor verliert die Energiezufuhr. Tausende Schaltspiele können genau so ablaufen. Beim nächsten Einschalten verschweißen die Kontakte. Der Förderer läuft weiter, daher bemerkt der Bediener zunächst nichts. Dann öffnet er die Schutztür. Die Spulenspannung verschwindet, der Motorstrom fließt jedoch weiter.
Es gibt kein zweites Bauteil, das den Strom unterbrechen könnte. Ein einziger Fehler nimmt dem Teilsystem seine Abschaltfähigkeit. Wäre stattdessen die Spulenleitung unterbrochen, würde ein intaktes Schütz abfallen. Das ist ein anderer Fehler mit einer anderen Wirkung. Der Satz „Bei einem Fehler fällt das Schütz ab“ funktioniert hervorragend – solange man sich den Fehler selbst aussuchen darf.
Kategorie B verlangt grundlegende Sicherheitsprinzipien und für die realen Einsatzbedingungen geeignete Bauteile. Das Schütz muss Last, Schalthäufigkeit und Schaltschranktemperatur beherrschen. Der Buchstabe B ist keine Erlaubnis, das einzubauen, was zufällig noch im Lager liegt.
Wann ergibt Kategorie B PL a und wann PL b?
Zwei äußerlich identische Schaltungen können sich bei der Häufigkeit gefährlicher Ausfälle deutlich unterscheiden. Ein Schütz schaltet einen Motor einmal pro Schicht. Ein anderes schaltet bei jedem Werkstück. Gleiches Modell, völlig andere Zahl von Schaltspielen. Der Konstrukteur berücksichtigt die Lebensdauer des Geräts und den tatsächlichen Maschinenbetrieb. Daraus bestimmt er MTTFD, die mittlere Zeit bis zu einem gefährlichen Ausfall. Je höher der Wert, desto seltener treten solche Ausfälle statistisch auf.
Für den Kanal sind alle Bauteile einzubeziehen, deren Ausfall seine Abschaltfähigkeit beseitigen kann.
Beispiele für ein Teilsystem der Kategorie B nach Tabelle K.1
| MTTFD des Kanals | PFH – mittlere Häufigkeit eines gefährlichen Ausfalls pro Stunde | Erreichter PL |
|---|---|---|
| 10 Jahre | 1,14 × 10⁻⁵ 1/h | PL a |
| 12 Jahre | 9,51 × 10⁻⁶ 1/h | PL b |
| 20 Jahre | 5,71 × 10⁻⁶ 1/h | PL b |
Bei 10 Jahren ergibt sich PL a, bei 12 Jahren bereits PL b. PFH sinkt unter 10⁻⁵ 1/h. Die Zuverlässigkeit ändert sich. Nach dem Verschweißen des Schützes verhalten sich beide Schaltungen trotzdem gleich. MTTFD ist ein statistischer Parameter. „20 Jahre“ sind weder eine zwanzigjährige Garantie noch ein automatisch festgelegter Austauschzeitpunkt. Dieser muss anhand der Einsatzbedingungen und Nutzungsgrenzen des Geräts festgelegt werden.
Die Werte gelten nur für das Ausgangsteilsystem. Für die vollständige Funktion kommen PFH von Sensor und Logik hinzu: PFH Eingang + PFH Logik + PFH Ausgang. Das Ergebnis wird mit den PL-Bereichen verglichen und zusätzlich durch den niedrigsten PL eines Teilsystems begrenzt. Ein Ausgang mit PL b kann deshalb Teil einer Gesamtfunktion sein, die nur PL a erreicht.
Kategorie B erreicht höchstens PL b. Wird PLr d gefordert, braucht es eine andere Lösung. Noch zehn erfolgreiche Türöffnungen bei der Abnahme verschieben diese Grenze keinen Millimeter. Alles hängt an einem Kanal. Bleibt K1 verschweißt, ist die Schutzwirkung weg.
Kategorie 1: Derselbe Fehler soll seltener auftreten
Weiterhin schaltet nur K1 den Antrieb ab. Der Konstrukteur erhöht jedoch die Anforderungen an Zuverlässigkeit und Anwendung. Zusätzlich zu den Grundsätzen der Kategorie B verwendet er bewährte Bauteile und bewährte Sicherheitsprinzipien. Die MTTFD des Kanals muss hoch sein: in der vereinfachten Methode 30 bis 100 Jahre.
„Bewährt“ gilt immer unter konkreten Betriebsbedingungen. Ein Gerät, das jahrelang problemlos Heizungen geschaltet hat, bekommt nun einen Motor mit hohem Anlaufstrom und häufigen Schaltspielen. Das vertraute Herstellerzeichen bleibt. Die Belastung nicht. Grundlage der Auswahl sind dokumentierte Erfahrungen aus vergleichbaren Anwendungen oder Eigenschaften, die durch Auslegung, Verifikation und Validierung nach einschlägigen Normen nachgewiesen wurden. ISO 13849-2 nennt ebenfalls Bauteile und Bedingungen, unter denen sie als bewährt gelten.
Dann verschweißt K1 trotzdem. Die Spule wird abgeschaltet, die Kontakte bleiben geschlossen und der Motor bleibt versorgt. Kategorie 1 reduziert die Wahrscheinlichkeit dieses Ereignisses. Ein zweiter Kanal entsteht dadurch nicht.
Höhere Zuverlässigkeit: von PL b bis PL c
Bei einer MTTFD des Kanals von 30 Jahren ergibt Tabelle K.1 PL b. Bei 39 Jahren sinkt PFH unter 3 × 10⁻⁶ 1/h und das Ergebnis wechselt zu PL c.
Kategorie 1: MTTFD, PFH und PL nach Tabelle K.1
| MTTFD des Kanals | PFH – mittlere Häufigkeit eines gefährlichen Ausfalls pro Stunde | Erreichter PL |
|---|---|---|
| 30 Jahre | 3,80 × 10⁻⁶ 1/h | PL b |
| 39 Jahre | 2,93 × 10⁻⁶ 1/h | PL c |
| 100 Jahre | 1,14 × 10⁻⁶ 1/h | PL c |
Die Obergrenze der Kategorie 1 ist PL c. Das bessere Schütz fällt seltener aus. Verschweißt es trotzdem, existiert weiterhin kein zweiter Abschaltweg. Kategorie 1 setzt auf die höhere Zuverlässigkeit eines einzelnen Kanals. Ein Fehler dieses Kanals kann die Schutzwirkung weiterhin beseitigen.
Kategorie 2: Die Schaltung prüft, ob K1 den Befehl ausgeführt hat
Der Bediener öffnet die Schutztür. Die Steuerung schaltet K1 ab und wartet auf die Bestätigung, dass seine Leistungskontakte geöffnet haben. Der Abschaltbefehl wird jetzt geprüft. Die Rückmeldung liefert ein Spiegelkontakt. Seine Konstruktion verhindert, dass er schließt, solange ein Leistungskontakt verschweißt bleibt. Die Schaltung erfährt also, ob K1 den Stromkreis geöffnet oder den Befehl nicht ausgeführt hat.
K1 ist verschweißt. Die Bestätigung bleibt aus. Der Test erkennt den Fehler und löst eine Reaktion aus. In dieser Variante unterbricht das zusätzliche, zu K1 in Reihe geschaltete Schütz KT die Energiezufuhr. Die Steuerung sperrt den Wiederanlauf, bis der Fehler beseitigt ist. In der Norm heißt die Testeinrichtung TE, ihr Ausgang OTE. Hier steuert OTE das Schütz KT.
K1 gehört zum funktionalen Kanal, der die reguläre Abschaltung ausführt. TE und OTE bilden den Testkanal, der die Ausführung prüft und bei einem Fehler reagiert. Im Schaltschrank sitzen zwei Schütze – trotzdem ist dies ein Beispiel für Kategorie 2. KT erhält seinen Abschaltauftrag erst nach der Erkennung des Problems an K1. Spätestens hier verliert das Zählen von Geräten gegen das Lesen des Stromlaufplans.
Gestern in Ordnung. Beim heutigen Einschalten bereits verschweißt
K1 besteht den Test korrekt. Beim nächsten Einschalten verschweißen seine Kontakte. Bis zur nächsten Prüfung ist der funktionale Kanal defekt. Der vorherige Test hat nichts verborgen – die Maschine ist schlicht danach ausgefallen. Kategorie 2 kann ihre Teilfunktion daher zwischen zwei Tests verlieren.
Der Konstrukteur muss festlegen, wann geprüft wird und wie schnell die Reaktion erfolgt. Beginnt die Prüfung beim Öffnen der Schutztür, müssen Fehlererkennung, Abschaltung von KT und Stillsetzen der Bewegung abgeschlossen sein, bevor der Mensch die Gefahrstelle erreichen kann. Bei PLr d muss OTE einen sicheren Zustand einleiten und bis zur Fehlerbeseitigung aufrechterhalten. Ein roter Hinweis auf dem Bildschirm ließe den Motor weiter unter Spannung. Er würde dem Bediener lediglich sehr gut erklären, warum der Schutz gerade nicht funktioniert.
Abschnitt 6.1.3.2.4 fordert eine Testhäufigkeit, die mindestens 100-mal höher ist als die Anforderungsrate der Sicherheitsfunktion, oder einen Test unmittelbar bei der Anforderung. In diesem Fall müssen Fehlererkennung und sicherer Maschinenzustand vor dem Erreichen der Gefahrstelle eintreten. Das Öffnen der Schutztür ist hier die Anforderung der Funktion. Das Verhältnis 100:1 bedeutet nicht hundert Testläufe vor jedem Öffnen.
Die MTTFD des Testkanals TE–OTE muss mehr als die Hälfte der MTTFD des funktionalen Kanals betragen. Jeder Teil des funktionalen Kanals benötigt mindestens einen niedrigen Diagnosedeckungsgrad. Zusätzlich gelten die Grundsätze der Kategorie B, bewährte Sicherheitsprinzipien und Maßnahmen gegen Ausfälle aufgrund gemeinsamer Ursache. Bis einschließlich PLr c soll OTE ebenfalls einen sicheren Zustand einleiten, soweit dies praktisch möglich ist. Ist das nicht möglich, kann eine Warnung ausreichen. Bei PLr d ist die sichere Reaktion zwingend.
Testen kann PL d ermöglichen. Zuverlässigkeit zählt trotzdem
DC beschreibt die Wirksamkeit beim Erkennen gefährlicher Ausfälle. Für das gesamte Teilsystem wird der mittlere Diagnosedeckungsgrad DCavg bestimmt. Dabei werden die Häufigkeiten gefährlicher Ausfälle in den einzelnen Teilen berücksichtigt. Bei identischem DCavg = 90% liefert Kategorie 2 für eine MTTFD des funktionalen Kanals von 3 Jahren PL a, bei 10 Jahren PL b, bei 30 Jahren PL c und bei 100 Jahren PL d. Der Test ist in allen Varianten vorhanden. Unterschiedlich ist die Zahl der Ausfälle, die er beherrschen muss.
Kategorie 2 bei DCavg = 90% – Beispiele nach Tabelle K.1
| MTTFD des funktionalen Kanals | PFH – mittlere Häufigkeit eines gefährlichen Ausfalls pro Stunde | Erreichter PL |
|---|---|---|
| 3 Jahre | 1,99 × 10⁻⁵ 1/h | PL a |
| 10 Jahre | 5,14 × 10⁻⁶ 1/h | PL b |
| 30 Jahre | 1,21 × 10⁻⁶ 1/h | PL c |
| 100 Jahre | 2,29 × 10⁻⁷ 1/h | PL d |
In Kategorie 2 hängt die Schutzwirkung davon ab, ob der Test den Fehler erkennt und die Schaltung rechtzeitig reagiert. Die Prüf- und Reaktionszeit ist kein Detail für später. Sie ist Teil des Sicherheitskonzepts.
Kategorie 3: K2 schaltet ab, ohne auf das Testergebnis zu warten
K1 und K2 liegen in Reihe in der Motorversorgung. Öffnet der Bediener die Schutztür, schaltet die Steuerung beide ab. Jedes Schütz besitzt einen eigenen Ansteuerweg und kann die Energiezufuhr zum Antrieb allein unterbrechen. K1 bleibt verschweißt. K2 öffnet und trennt den Strom.
Der zweite Kanal erfüllt die Schutzaufgabe trotz des Fehlers im ersten Kanal. Das ist der entscheidende Unterschied zur vorherigen Variante. Dort griff KT erst ein, nachdem der Test einen Fehler erkannt hatte. Hier erhält K2 seinen Abschaltbefehl unmittelbar aufgrund der geöffneten Schutztür. Es muss nicht auf eine Diagnose von K1 warten.
Der Förderer steht. Repariert ist trotzdem nichts
Für den Bediener sieht alles normal aus: Das Band hält an. Im Schaltschrank ist jedoch bereits ein Schütz ausgefallen. Die Diagnose erkennt die fehlende Öffnungsbestätigung von K1 und blockiert den Wiederanlauf. K2 hat die Aufgabe des fehlerhaften Kanals übernommen. Repariert hat es K1 dabei nicht.
Würde die Steuerung den Weiterbetrieb trotz des erkannten Fehlers zulassen, hinge die nächste Abschaltung nur noch von K2 ab. Kategorie 3 verlangt, dass die Teilfunktion nach einem einzelnen Fehler erhalten bleibt. Das gilt für Bauteile und Verbindungen des gesamten bewerteten Teilsystems. Kann ein einziger Fehler in der Ansteuerung beide Spulen eingeschaltet halten, führen beide Schütze fehlerfrei den falschen Befehl aus.
Kategorie 3 verlangt mindestens einen niedrigen Diagnosedeckungsgrad. Ein einzelner Fehler soll bei der Anforderung der Funktion oder – soweit praktisch begründet – vor der nächsten Anforderung erkannt werden. Manche Fehler dürfen unentdeckt bleiben. Ihre spätere Anhäufung kann die Schutzwirkung beseitigen. Genau dort beginnt der Unterschied zu Kategorie 4.
Kategorie 3 kann PL c, PL d oder PL e erreichen
Bei DCavg = 90% und einer MTTFD jedes Kanals von 10 Jahren ergibt Tabelle K.1 PL c. Bei 30 Jahren ergibt sich PL d, bei 100 Jahren PL e. „Kategorie 3 bedeutet PL d“ ist ein bequemer Merksatz – und technisch unvollständig.
Kategorie 3 bei DCavg = 90% – Beispiele nach Tabelle K.1
| MTTFD jedes Kanals | PFH – mittlere Häufigkeit eines gefährlichen Ausfalls pro Stunde | Erreichter PL |
|---|---|---|
| 10 Jahre | 1,36 × 10⁻⁶ 1/h | PL c |
| 30 Jahre | 2,65 × 10⁻⁷ 1/h | PL d |
| 100 Jahre | 4,29 × 10⁻⁸ 1/h | PL e |
Die MTTFD gilt für jeden Kanal einzeln. Zwei Kanäle mit jeweils 30 Jahren werden nicht zu einem Kanal mit 60 Jahren. Weiterhin gelten die Anforderungen der Kategorie B, bewährte Sicherheitsprinzipien und Maßnahmen gegen Ausfälle aufgrund gemeinsamer Ursache.
K2 trennt den Antrieb trotz des Fehlers von K1. Die Diagnose entscheidet anschließend, ob die Schaltung für einen weiteren Zyklus freigegeben werden darf.
Kategorie 4: Auch ein von der Diagnose übersehener Fehler wird zum Thema
Nach dem Verschweißen von K1 trennt K2 den Antrieb und die Steuerung blockiert den Wiederanlauf. Genau das geschah bereits in Kategorie 3. Der Unterschied zeigt sich erst bei einer breiteren Analyse: Welche Fehler erkennt die Schaltung, wann erkennt sie sie und was geschieht mit Fehlern, die unentdeckt bleiben?
In Kategorie 4 muss die Sicherheitsfunktion nach einem einzelnen Fehler erhalten bleiben. Der Fehler muss bei der Anforderung oder vor der nächsten Anforderung erkannt werden. Ist eine rechtzeitige Erkennung nicht möglich, darf auch die Anhäufung von Fehlern die Schutzwirkung nicht beseitigen.
Die Schaltung prüft auch, ob die Rückmeldung die Wahrheit sagt
Jedes Schütz besitzt einen separat überwachten Spiegelkontakt. Die Steuerung prüft seine Reaktion über den gesamten Zyklus. Vor dem Einschalten sind beide Schütze aus; die Spiegelkontakte müssen geöffnete Leistungspfade bestätigen. Nach dem Einschalten muss diese Öffnungsbestätigung innerhalb der festgelegten Zeit verschwinden. Nach dem Abschalten muss sie zurückkehren.
Bei verschweißtem K1 bleibt die letzte Bestätigung aus. K2 trennt den Antrieb, die Logik sperrt den Wiederanlauf. Die Spulenspannung wechselt von 0 → 24 → 0 V, die erwartete Öffnungsbestätigung von 1 → 0 → 1.
Warum muss auch das Verschwinden der Bestätigung geprüft werden? Die beiden Leitungen des Spiegelkontakts können kurzgeschlossen sein. Dann meldet das Signal ständig „K1 geöffnet“, obwohl das Schütz eingeschaltet hat. Eine Steuerung, die nur vor dem Start auf das Vorhandensein des Signals prüft, akzeptiert eine falsche Rückmeldung. Die dynamische Prüfung erkennt den Widerspruch: K1 erhielt den Einschaltbefehl, die Meldung „geöffnet“ blieb aber bestehen. Die Ausgänge werden abgeschaltet und der Betrieb gesperrt.
Der Bediener kann den Reset noch so oft drücken. Ein Reset trennt weder kurzgeschlossene Leitungen noch verschweißte Kontakte. Eine solche dynamische Diagnose ist auch in Kategorie 3 möglich. Über Kategorie 4 entscheidet das Verhalten des gesamten Teilsystems gegenüber den betrachteten Fehlern und ihrer Anhäufung.
Zwei Ventile zeigen, warum das entscheidend ist
V1 und V2 sind in Reihe geschaltete Sitzventile in der Ölzufuhr eines Zylinders. Jedes Ventil kann die Zufuhr allein sperren. Sensoren überwachen die Stellung der Schließelemente. Bei V1 wird die Sitzdichtung beschädigt. Das Schließelement erreicht die Stellung „geschlossen“, doch Öl tritt durch die beschädigte Dichtung. Der Positionssensor meldet weiterhin korrekt „geschlossen“.
Das intakte V2 stoppt den Durchfluss, daher passiert an der Maschine zunächst nichts. Später wird V2 aus einer unabhängigen Ursache ebenfalls undicht. Der Durchfluss durch beide Ventile reicht nun für eine gefährliche Zylinderbewegung. Auf dem Bildschirm stehen weiterhin zwei Bestätigungen „geschlossen“. Perfekt übereinstimmend – und zur Erkennung dieses Fehlers völlig nutzlos.
Das ist eine Anhäufung unerkannter Fehler, die in Kategorie 3 die Schutzwirkung aufheben kann. Für Kategorie 4 muss diese Entwicklung unterbrochen werden: Entweder wird die sicherheitsrelevante Leckage rechtzeitig erkannt oder die Funktion bleibt auch bei der betrachteten Fehlerkombination erhalten.
Eine getrennte Dichtheitsprüfung jedes Ventils prüft genau das, was der Positionssensor nicht erfasst. Eine Leckage kann beispielsweise den Druck in einem vom Zylinder getrennten Prüfraum hinter dem Ventil erhöhen. Ein Drucksensor erkennt den Anstieg und die Steuerung sperrt den Betrieb. Würden beide geschlossenen Ventile gleichzeitig geprüft, könnte das dichte V2 die Undichtigkeit von V1 verdecken. Schwelle und Testdauer müssen eine sicherheitsrelevante Leckage erkennen, bevor eine Gefahr entsteht. Zu berücksichtigen ist außerdem die hinter den Ventilen gespeicherte Energie. Das Sperren des neuen Zuflusses beseitigt keinen bereits vorhandenen Druck.
Die 99% müssen aus der realen Diagnosewirkung entstehen
Kategorie 4 verlangt einen hohen DCavg von mindestens 99% und eine hohe MTTFD jedes Kanals. Die 99% beziehen sich auf die Häufigkeit erkannter gefährlicher Ausfälle. Wer neun seltene Fehlerarten erkennt, aber einen häufigen gefährlichen Fehler übersieht, kann einen schlechten Wert erhalten. Die abgehakte Prüfliste sieht dann besser aus als der tatsächliche Schutz.
Kategorie 4 bei DCavg = 99% – Zahlenwerte nach Tabelle K.1
| MTTFD jedes Kanals | PFH – mittlere Häufigkeit eines gefährlichen Ausfalls pro Stunde | Erreichter PL |
|---|---|---|
| 30 Jahre | 9,54 × 10⁻⁸ 1/h | PL e |
| 100 Jahre | 2,47 × 10⁻⁸ 1/h | PL e |
| 2 500 Jahre | 9,06 × 10⁻¹⁰ 1/h | PL e |
Für Kategorie 4 lässt das Modell eine MTTFD des Kanals bis 2 500 Jahre zu. Auch das ist ein statistischer Parameter. Die Grundsätze der Kategorie B, bewährte Sicherheitsprinzipien und Maßnahmen gegen gemeinsame Ursachen gelten weiterhin. Abschnitt 6.1.3.2.6 weist darauf hin, dass in der Praxis die Betrachtung von Kombinationen aus zwei Fehlern ausreichen kann. Das Ausklammern unerkannter Fehler mit sehr geringer Wahrscheinlichkeit verlangt jedoch eine dokumentierte und verifizierte Analyse, etwa eine FMEA.
Diagnose muss die Fähigkeit zur Ausführung der Sicherheitsaufgabe prüfen. Ein Ventil kann seine Stellung korrekt melden und trotzdem Öl durchlassen.
Fünf Kategorien, ein verschweißtes K1
In B und 1 bleibt der Motor nach dem Verschweißen von K1 unter Spannung. In Kategorie 2 trennt KT erst, nachdem TE den Fehler erkannt hat. In den Kategorien 3 und 4 schaltet K2 aufgrund des Öffnens der Schutztür ab. Die Diagnose erkennt den Fehler und blockiert den nächsten Zyklus.
Darum endet die Bewertung nicht nach der ersten erfolgreichen Schutzreaktion. Entscheidend ist auch, was danach geschieht.
Zwei Schütze können am selben Kurzschluss scheitern
Bisher fiel K1 aus und K2 rettete die Abschaltung. Hinter K2 entsteht nun ein Kurzschluss. Der Kurzschlussstrom fließt durch beide geschlossenen Schütze und beschädigt beide. Der zweite Kanal ist derselben Ursache begegnet wie der erste. Das ist CCF, ein Ausfall aufgrund gemeinsamer Ursache. In den Kategorien 3 und 4 betrifft er beide funktionalen Kanäle, in Kategorie 2 den funktionalen Kanal und den Testkanal.
K2 schließt zuerst und öffnet zuletzt
Zuerst schließt K2. K1 ist noch offen, daher fließt kein Motorstrom. Anschließend schließt K1 und schaltet die Last ein. Beim Abschalten läuft die Reihenfolge umgekehrt: K1 unterbricht den Strom, K2 öffnet kurz danach ohne Laststrom.
Beide führen während des Betriebs denselben Strom. Ihre Schaltbedingungen unterscheiden sich jedoch. K2 vermeidet normalerweise das Einschalten des Anlaufstroms und das Unterbrechen der Last. Das reduziert den elektrischen Verschleiß seiner Kontakte. Der Mechanismus führt trotzdem jede Bewegung aus; der mechanische Verschleiß bleibt.
K2 muss außerdem so ausgewählt sein, dass es die volle Last selbstständig unterbrechen kann. Genau das muss es tun, wenn K1 verschweißt ist. Seine Abschaltung muss in der festgelegten Zeit erfolgen, ohne auf eine Rückmeldung von K1 zu warten. Bei verschweißten Kontakten käme diese Rückmeldung schließlich nie. Verzögerung und Gerätezeiten müssen innerhalb der geforderten Reaktionszeit der Sicherheitsfunktion liegen.
Der Kurzschlussschutz muss die Folgen des gemeinsamen Ereignisses begrenzen
Die Schaltreihenfolge unterscheidet die Belastungen beim regulären Ein- und Ausschalten. Bei einem Kurzschluss mit geschlossenen Schützen werden dagegen beide belastet. Die Schutzeinrichtung F muss den Strom unterbrechen. Über die Folgen entscheiden Stromhöhe und Einwirkdauer.
Der Konstrukteur ermittelt den zu erwartenden Kurzschlussstrom am Einbauort und prüft die Kombination aus konkretem Schütz, Art und Bemessungsstrom der Schutzeinrichtung, Spannung und Einsatzbedingungen. Die Herstellerangaben bestimmen, welche Kombination zulässig ist. Der Motornennstrom allein beschreibt zu wenig.
Auch bei Koordination Typ 2 nach IEC 60947-4-1 können Kontakte verschweißen. Der Hersteller legt die erforderlichen Instandhaltungsmaßnahmen fest. Eine andere als die vorgegebene Kurzschlussschutzeinrichtung kann die Koordination unwirksam machen. Nach dem Ansprechen von F können die Schützkontakte weiterhin verschweißt sein. Die Sicherung unterbricht den Strom. Das Schütz repariert sich dabei nicht.
Gemeinsame Trasse, gemeinsames Netzteil, gemeinsame Überhitzung
Die Leitungen beider Spulen liegen in einem Bündel. Wird es gequetscht, können beide Ansteuerungen gegen +24 V kurzgeschlossen werden. Getrennte und geschützte Leitungswege sowie getrennte Klemmen reduzieren die Wahrscheinlichkeit, dass ein einzelner Fehler beide Kanäle trifft.
Ein gemeinsames Netzteil liefert nach einem Defekt eine zu hohe Spannung. Der Konstrukteur muss dessen Fehlerverhalten kennen und geeignete Spannungsbegrenzungen oder externe Schutzmaßnahmen für die versorgten Stromkreise vorsehen. Beide Schütze sitzen über einem Frequenzumrichter. Nach dem Ausfall des Lüfters wird die zulässige Temperatur überschritten. Anordnung, Abstände und Kühlung müssen auch diesen Fall beherrschen. Ein offener Schaltschrank bei der Abnahme hat meist eine ausgezeichnete Belüftung. Im Betrieb bleibt er hoffentlich geschlossen.
Laufen beide Kanäle neben Motorleitungen des Frequenzumrichters, können getrennte Wege, Schirmung und Potentialausgleich gemeinsame elektromagnetische Einflüsse begrenzen. Die Störfestigkeit muss zu den realen Einsatzbedingungen passen.
Anhang F strukturiert die CCF-Bewertung mit Punkten. Erforderlich sind mindestens 65 Punkte für vollständig umgesetzte Maßnahmen. Beispiele sind: Trennung der Kanäle 15, Schutz gegen geeignete Überströme und Überspannungen 15, Maßnahmen gegen elektromagnetische Störungen 25 sowie sonstige Umgebungsbedingungen 10. Auch mit identischen Schützen kann der Nachweis gelingen. Unterschiedliche Konstruktionen, Technologien, Belastungen oder Hersteller ergeben in einer Position bis zu 20 Punkte. Zwei Markenetiketten auf demselben Produkt sind weiterhin dasselbe Produkt. Eine nur teilweise umgesetzte Maßnahme bringt null Punkte.
Der zweite Kanal hilft nur, wenn eine gemeinsame Ursache nicht beiden Kanälen gleichzeitig die Funktionsfähigkeit nimmt.
Und wo liegen die zwei Kanäle in Sensor, Relais und PLC?
K1 und K2 lassen sich mit dem Finger zeigen. In elektronischen Geräten können mehrere Kanäle in einem Gehäuse stecken. ISO 13849-1 beschreibt die logische Struktur; den internen Aufbau des konkreten Geräts legt dessen Hersteller fest.
Zwei Sensoren an einer Schutztür
Die induktiven Sensoren S1 und S2 erkennen ein Metallteil an der geschlossenen Schutztür. Jeder liefert sein eigenes Signal an einen getrennten Eingang. Für den Betrieb sind zwei Bestätigungen „geschlossen“ erforderlich. S1 fällt aus und meldet ständig „geschlossen“. Beim Öffnen entfernt sich das Metall von beiden Sensoren. Der intakte S2 wechselt sein Signal und die Steuerung löst den Stopp aus. Der Verlust einer Bestätigung reicht für die Reaktion.
Ein Sicherheitssensor mit zwei OSSD-Ausgängen
Ein induktiver Sicherheitssensor kann über eine interne Diagnose und zwei überwachte elektronische Sicherheitsausgänge verfügen. Diese werden als OSSD (output signal switching device) bezeichnet. Wird das Metall entfernt, schalten beide Ausgänge ab und übermitteln die Stoppanforderung. Die Diagnose überwacht auch ihre Abschaltfähigkeit.
Ein Standardsensor mit zwei Ausgängen kann völlig anders arbeiten: Eine gemeinsame Elektronik erkennt das Metall und steuert mit demselben Ergebnis beide Ausgänge. Der NO-Ausgang (normally open, Schließerfunktion) schaltet bei erkanntem Metall ein, der NC-Ausgang (normally closed, Öffnerfunktion) schaltet dann aus. Erkennt die Elektronik das Metall trotz geöffneter Tür fälschlich weiter, verhalten sich beide Ausgänge genau wie bei geschlossener Tür. Die Prüfung ihrer gegensätzlichen Zustände erkennt den Fehler nicht. Die Steuerung erhält zwei Ausgaben desselben Irrtums. Dasselbe Problem entsteht, wenn ein einzelnes Signal auf zwei Eingänge verzweigt wird.
Sicherheitsrelais und Steuerung
In einem klassischen Sicherheitsrelais arbeiten zwei interne Relais R1 und R2. Ihre Freigabekontakte liegen in Reihe. Verschweißt ein Kontakt von R1, kann R2 den Ausgang weiterhin öffnen. Mechanisch gekoppelte Überwachungskontakte ermöglichen die Fehlererkennung und die Sperre des Wiederanlaufs.
Eine sicherheitsbezogene speicherprogrammierbare Steuerung (SPS, englisch PLC) kann zwei Prozessoren verwenden und ihre Ergebnisse vergleichen. Berechnet ein Prozessor infolge eines Fehlers eine Bewegungsfreigabe, während der andere einen Stopp anfordert, löst die Abweichung eine Schutzreaktion aus. Die Tests erfassen außerdem Speicher, Programmausführung sowie Ein- und Ausgänge. Zwei Programmkopien in einer gewöhnlichen SPS können dagegen auf demselben Prozessor laufen. Sein Ausfall trifft beide Kopien. Programmcode zu kopieren ist leichter, als Fehler zu beherrschen – und liefert ein anderes Ergebnis.
Sicherheitslichtvorhang
Der Bediener unterbricht die Strahlen zwischen Sender und Empfänger. Der Lichtvorhang schaltet OSSD1 und OSSD2 aus. Bleibt das defekte OSSD1 eingeschaltet, genügt das Abschalten von OSSD2, damit die nachgeschaltete Steuerung den Stopp auslöst. Jeder Ausgang wird auf den dafür vorgesehenen Eingang geführt. Die Diagnose umfasst die Ausgänge und ihre Verbindungen.
In der Gerätedokumentation prüft der Konstrukteur den erreichten PL, die Kategorie, die Reaktionszeit und die vorgeschriebene Verschaltung. Nur so lassen sich die Eigenschaften eines fertigen Teilsystems korrekt in der konkreten Sicherheitsfunktion nutzen.
Gleicher PL, anderes Verhalten nach einem Fehler
Ein Konstrukteur erreicht PL d mit Kategorie 2, ein anderer mit Kategorie 3. Beide Ergebnisse können korrekt sein. Der erste verwendet einen besonders zuverlässigen funktionalen Kanal mit Test, der zweite zwei funktionale Kanäle.
Zwei Architekturen mit demselben PL
| Kategorie | MTTFD des Kanals | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 Jahre | 90% | 2,29 × 10⁻⁷ | d |
| 3 | 30 Jahre | 90% | 2,65 × 10⁻⁷ | d |
Bei Kategorie 2 gilt die MTTFD für den funktionalen Kanal, bei Kategorie 3 für jeden der beiden Kanäle. Beide PFH liegen im Bereich PL d. Kategorie 2 kann die Teilfunktion zwischen den Tests verlieren, Kategorie 3 erhält sie nach einem einzelnen Fehler. Fordert die SRS oder eine maschinenspezifische Typ-C-Norm den Funktionserhalt nach einem einzelnen Fehler, muss genau dieses Verhalten nachgewiesen werden. Der Buchstabe d allein entscheidet die Architektur nicht.
Gleiche Kategorie, bessere Diagnose
Bei Kategorie 3 und einer MTTFD jedes Kanals von 100 Jahren verschiebt eine Änderung des DCavg von 60% auf 90% das Ergebnis von PL d auf PL e.
Kategorie 3 bei MTTFD jedes Kanals = 100 Jahre
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60% | 1,01 × 10⁻⁷ | d |
| 90% | 4,29 × 10⁻⁸ | e |
Der höhere Diagnosedeckungsgrad muss aus wirksamerer Fehlererkennung und einer geeigneten Reaktion entstehen. Die Überwachung des Signalwechsels kann etwa einen Kurzschluss erkennen, der dauerhaft ein geöffnetes Schütz bestätigt. Solche Maßnahmen verändern das reale Verhalten. Ein Feld im Berechnungsprogramm von 60 auf 90% zu stellen, verändert zunächst nur den Ausdruck.
Die Zahlenmodelle nach Tabelle K.1 setzen eine vorgesehene Nutzungsdauer von 20 Jahren, konstante Ausfallraten und geeignete CCF-Maßnahmen voraus. Verschleißteile mit kürzeren Nutzungsgrenzen müssen gesondert berücksichtigt werden. Für Kategorie 2 gelten zusätzlich die Anforderungen an den Testkanal sowie an Testhäufigkeit oder Reaktionszeit. Bei periodischer Prüfung entsprechen die gezeigten PFH einem Verhältnis von Testhäufigkeit zu Anforderungsrate von mindestens 100:1. Für mindestens 25:1 nennt die Anmerkung zu Tabelle K.1 eine Abschätzung durch Multiplikation des Tabellenwerts mit 1,1. Die Tabellenwerte für niedrigen, mittleren und hohen DCavg wurden mit 60%, 90% und 99% berechnet.
PL beschreibt das Leistungsniveau. Die Kategorie zeigt, wie die Schaltung mit Fehlern umgeht. Für die Auswahl einer Lösung braucht man beides.
Die Schütze könnten abschalten. Nur der Befehl kam nie an
Das Teilsystem K1–K2 erreicht PL e. Der Schutztürsensor meldet der Logik jedoch fälschlich eine geschlossene Tür. Die Steuerung gibt die Bewegung frei, beide Schütze bleiben eingeschaltet. Sie können intakt und hervorragend überwacht sein. Der Fehler liegt weiter vorn – am Eingang der Sicherheitsfunktion.
Darum wird die gesamte Kette bewertet: Eingang → Logik → Ausgang, einschließlich der Verbindungen. Bei einer Reihenkombination von Teilsystemen mit bekannten PFH werden die Werte addiert. Der PL der Gesamtfunktion wird sowohl durch diese Summe als auch durch den niedrigsten PL eines Teilsystems begrenzt. Drei Teilsysteme mit jeweils 4 × 10⁻⁸ 1/h ergeben zusammen 1,2 × 10⁻⁷ 1/h und damit PL d. Jedes Teilsystem für sich lag in PL e. Die Rechnung ist simpel: Die vollständige Funktion besitzt mehr Stellen, an denen sie gefährlich ausfallen kann.
Die Einzelheiten zeigt der Beitrag zum Berechnen des PL nach ISO 13849-1. Nach dem Abschalten benötigt das Band außerdem Zeit zum Auslaufen. Die Schutzwirkung muss eintreten, bevor ein Mensch die Gefahr erreicht. Das verdeutlicht das Beispiel zur Distanz eines Sicherheitslichtvorhangs nach einer Änderung der Reaktionszeit. Beim Verbinden unterschiedlich bewerteter Teilsysteme hilft zudem der Vergleich von ISO 13849-1 und IEC 62061.
Nach einigen Jahren ersetzt jemand K1
Das neue Schütz hat denselben Bemessungsstrom und passt auf die Hutschiene. Der Instandhalter braucht trotzdem den richtigen Spiegelkontakt, geeignete Schaltzeiten und belastbare Lebensdauerdaten. Diese Eigenschaften waren Bestandteil des ursprünglichen Entwurfs. „24 V, gleiche Amperezahl“ lässt ausgerechnet das weg, was die Diagnose benötigt.
Die Dokumentation muss erkennen lassen, warum das Gerät ausgewählt wurde, was die Schaltung überwacht und wie sie auf einen Fehler reagiert. Ohne diese Angaben bleibt der Anruf beim ursprünglichen Programmierer – verbunden mit der Hoffnung, dass er sich noch an den Grund jeder Bedingung erinnert. Dann hängt die Sicherheitsbegründung am Gedächtnis einer einzigen Person.
Auszug aus dem Nachweisblatt OUT-01 – Annahmen für K1–K2
| Feld | Eintrag |
|---|---|
| Umfang | Ausgangsteilsystem K1–K2 einschließlich Verbindungen und Überwachung; Aufgabe: Energiezufuhr zum Antrieb unterbrechen. |
| Betrachteter Fehler | K1 bleibt trotz Abschaltbefehl geschlossen. |
| Geforderte Reaktion | K2 trennt den Antrieb selbstständig. Die ausbleibende Rückmeldung von K1 erkennt den Fehler und sperrt den Wiederanlauf. |
| Zu erbringender Nachweis | Fehleranalyse und Prüfung T-01: Abschaltung durch K2, Reaktionszeit, Fehlererkennung und Sperre prüfen. Das Ergebnis ist für die konkrete Schaltungsversion zu dokumentieren. |
Das vollständige Nachweisblatt verknüpft diesen Eintrag mit SRS, Schaltplanstand, Grundlagen für MTTFD, DCavg und CCF sowie den Ergebnissen der Validierung. Auch verwendete Fehlerausschlüsse müssen begründet werden.
Nachweisblatt zur Begründung der Kategorie herunterladen (PDF, Englisch): Beispiel K1–K2 und ausfüllbares Formular für das eigene Projekt in einer Datei.
Eine Führungskraft muss PFH nicht selbst berechnen. Sie kann den Lieferanten bitten, einen einzelnen Fehler im Schaltplan zu zeigen: Was fällt aus? Was schützt den Menschen weiterhin? Wann erkennt die Steuerung das Problem? Wo ist das Prüfergebnis dokumentiert? Das führt zu einer deutlich besseren technischen Diskussion als die Frage nach der Marke des Sicherheitsrelais.
Zwei Schütze sind eine Position auf der Einkaufsliste. Erst ihr Verhalten, ihre Diagnose und der dokumentierte Nachweis rechtfertigen die Kategorie.
Quellen
Die Beispiele mit Förderer, Schützen und Ventilen dienen der Erläuterung der Anforderungen. PFH-Werte und zugehörige PL stammen aus Tabelle K.1 von ISO 13849-1.
- ISO 13849-1: Abschnitte 4.5, 5.1, 5.2.1 und 5.3–5.5 zu Informationen aus der Risikobeurteilung, SRS, PLr und Aufteilung in Teilsysteme; Definitionen 3.1.45–3.1.47 sowie Abschnitte 6.1.3.1–6.1.3.2.1 zu Teilsystem, Kanal und Architekturen.
- ISO 13849-1: Abschnitte 6.1.3.2.2–6.1.3.2.6 zu den Kategorien B–4, Fehlerreaktion, Test und Fehleranhäufung; Definitionen 3.1.49–3.1.50 und Abschnitt 6.1.11 zu bewährten Sicherheitsprinzipien und Bauteilen.
- ISO 13849-1: Tabellen 2, 6 und 7, Abschnitte 6.1.4–6.1.5 und 6.1.8, Anhänge C–E sowie Tabelle K.1 mit Anmerkungen 1–2 zu PL, PFH, MTTFD, DC, Lebensdauerdaten, Schaltspielzahl und den Annahmen der Zahlenmodelle.
- ISO 13849-1: Abschnitt 6.1.6, Anhang F und Tabelle F.1 zu CCF, Maßnahmen gegen gemeinsame Einwirkungen, Punktebewertung und der Schwelle von 65 Punkten; F.3.2 zu Diversität sowie F.3.3 und F.3.6 zu Schutzeinrichtungen, Störeinflüssen und Umgebungsbedingungen.
- IEC 60947-4-1: Abschnitt 8.2.5.1 zur Koordination von Schützen und Kurzschlussschutzeinrichtungen sowie Koordination Typ 2; Abschnitte 8.2.4.3.1–8.2.4.3.2 und Anhang B zur mechanischen und elektrischen Lebensdauer; Anhang F zu Eigenschaften und Kennzeichnung von Spiegelkontakten.
- ISO 13849-1: Abschnitt 6.1.10, Definitionen 3.1.29–3.1.30 und 3.1.51–3.1.52 sowie Anhang E zu Fehleranalyse, Überwachung, Test und Plausibilitätsprüfung; Abschnitt 7 und Anhang N zu Software und vorbewerteten Plattformen; Abschnitt 13.2 zu Integrationsinformationen.
- ISO 4413: Abschnitt 5.4.4.1 zu Dichtheit und Eignung von Ventilen für sicherheitsbezogene Anwendungen; Abschnitte 5.4.7.1–5.4.7.2.1 zu unbeabsichtigter Bewegung, Energietrennung und Druckabbau.
- ISO 13849-1: Abschnitt 6.2.2 und Abschnitt 8 zur Kombination von Teilsystemen, Addition der PFH und Begrenzung des erreichten PL; Abschnitt 5.2.2.2 zum Stillsetzen sowie Abschnitte 10.1.1–10.1.2, 10.8 und 12 zu Validierung, Prüfprotokollen und technischer Dokumentation.