Grundlegendes Verständnis von Sicherheitsschaltkreisen

Dieser Artikel gibt einen Überblick über die Grundlagen von Sicherheitsschaltungen für automatisierte Maschinen. Die Diskussion wird sich mit Normen befassen, die die erforderlichen Merkmale vorschreiben, mit gemeinsamen Einrichtungen, mit Mechanismen zur Fehlerbehebung und zur Verhinderung von Manipulationen sowie mit den Funktionen von Komponenten, die häufig in Anlagen mit Sicherheitskreisen zu finden sind.

Geschichte und Funktion von Sicherheitsschaltungen

In der frühen Industriezeit waren Maschinen extrem gefährlich. Es war sowohl bei Fabrik- als auch bei Landarbeitern üblich, Finger, Gliedmaßen und sogar ihr Leben durch Einklemmen in sich bewegende Maschinen zu verlieren. Dies führte zur Entwicklung von Schutzsystemen und anderen Sicherheitsvorrichtungen.

Verriegelungen - die den Zustand von zwei oder mehr Maschinenfunktionen voneinander abhängig machen - sind für die Funktion heutiger Sicherheitssysteme von zentraler Bedeutung. Diese verhindern, dass Maschinen die Bediener verletzen oder ihre eigenen Komponenten beschädigen. Beispielsweise kann eine Verriegelung das Starten einer Maschine verhindern, wenn ihre Schutzeinrichtung geöffnet ist, und die Maschine stoppen, wenn eine Schutzeinrichtung während des Betriebs geöffnet wird.

Viele einfache Verriegelungssysteme sind rein mechanisch. Bei einigen Maschinenkonstruktionen schwenkt die Schutzvorrichtung beispielsweise um eine Achse, an der ein Verriegelungsnocken angebracht ist. Wenn die Schutzvorrichtung geöffnet ist, greift der Nocken in einen passenden Nocken an der Antriebswelle der Maschine ein, um den Betrieb der Achse zu verhindern. Das bedeutet, dass die Maschine nur arbeiten kann, wenn die Schutzvorrichtung geschlossen ist.

Die meisten modernen Maschinen verwenden elektronische Sicherheitsschaltkreise oder sogar Mikroprozessorsteuerung, um Verriegelungssicherheitssysteme zu implementieren. Die Elektronik ermöglicht eine weitaus größere Flexibilität bei der Anordnung der Wachen und der Komplexität der Sicherheitsverfahren als mechanische Lösungen.

Typische elektronische Sicherheitsschaltungen ermöglichen den Betrieb der Maschine nur, wenn der Stromkreis geschlossen ist - eine Schalterstruktur mit der Bezeichnung „Öffner“ (Englisch: „Normally Closed“ oder „NC“). Sie verdrahten auch Sicherheitskomponenten in Serie, um die Effektivität zu maximieren und Komplexität und Kosten zu minimieren.

Betrachten Sie eine typische Sicherheitsinstallation mit einer Anzahl von Positionsschaltern, die bei geschlossenem entsprechenden Abschnitt der Schutzeinrichtung NC sind. Diese Positionsschalter sind in der Anlage in Reihe geschaltet, so dass, wenn ein Teil der Schutzvorrichtung nicht ordnungsgemäß geschlossen ist, der gesamte Stromkreis offen ist und die Maschine nicht läuft. Tatsächlich erfordern Steuerungen in einem Sicherheitskreis auch eine Reihenschaltung, um sichere Bedingungen für den Fall zu gewährleisten, dass sich Verbindungen lösen oder die Verdrahtung der Sicherheitskomponenten plötzlich unterbrochen wird (z. B. durch Abtrennen der Verdrahtung).

Ein Vorbehalt bezieht sich auf die Reihenschaltung von Sicherheitsschaltkreisen: Wenn ein Schaltkreis mehr als vier Sicherheitsschalter enthält oder häufig verwendete Schalter oder Tore beinhaltet, gibt es eine Verminderung des Leistungsniveaus des Designs (PL_r - was im nächsten Artikelabschnitt beschrieben wird) sowie ein erhöhtes Risiko der Fehlermaskierung. Letzteres ist der Fall, wenn das Auftreten und die Behebung eines offenen Schalters oder Fehlers das Vorhandensein eines anderen offenen Schalters oder Fehlers verdeckt. Eine Fehlermaskierung tritt am ehesten dann auf, wenn eine Installation spannungsfreie Kontakte wie z.B. Relais enthält, die keine anderen Stromanschlüsse als den für den Schalteranschluss haben. Wo ein solches Risiko nicht akzeptabel ist, können ausgefeiltere Verkabelungssysteme und Methoden erforderlich sein.

Abbildung 1: Abgebildet ist eine Banner Engineering SC10-Serie Sicherheitssteuerung, die die Funktionalität von drei Sicherheitsrelaisbausteinen bietet. (Bildquelle: Banner Engineering)

Schlüsselverriegelungen werden häufig eingesetzt, um sicherzustellen, dass alle Schutzeinrichtungen verriegelt sind, bevor eine Maschine in Betrieb genommen wird. In diesen Systemen haben die Schlösser an jeder Schutzeinrichtung Schlüssel, die nur dann abgezogen werden können, wenn die Schutzeinrichtung verriegelt ist. Die Schlüssel können dann zum Steuer- oder Leistungsteil gebracht und zur Aktivierung der Maschine verwendet werden. Ebenso werden die Tasten während der Aktivierung der Maschine unverlierbar gehalten und können erst nach dem Abschalten der Maschine vom Antriebsaggregat entfernt werden. Mit den Schlüsseln können die Sperren dann wieder geöffnet werden.

Risikobewertungen und die Anforderungen der geltenden Normen

ISO 14119 behandelt die Sicherheit von Maschinen mit Verriegelungseinrichtungen in Verbindung mit trennenden Schutzeinrichtungen und umreißt Konstruktions- und Auswahlprinzipien zur Gewährleistung der Maschinensicherheit. Sie verweist auf andere Normen für allgemeine Grundsätze der Risikobeurteilung und Risikominderung bei der Konstruktion von Maschinen.

Die Grundfunktion einer verriegelten trennenden Schutzeinrichtung besteht darin, die Ausführung gefährlicher Operationen, die sie abdeckt, zu verhindern, bis diese Schutzeinrichtung geschlossen wird. Wenn also etwas oder jemand die Sperre während des Betriebs aufbricht, sollte der Betrieb im überwachten Bereich gestoppt werden. In einigen Fällen kann eine Schutzvorrichtung angebracht werden, um ein Öffnen der Schutzvorrichtung während des Maschinenbetriebs zu verhindern.

Es ist zu beachten, dass Maschinen zwar bei geschlossenen Schutzeinrichtungen arbeiten können, das Schließen einer Schutzeinrichtung jedoch nicht den Beginn einer gefährlichen Operation auslösen sollte. Stattdessen sollten solche Operationen einen separaten Startbefehl erfordern. Eine Ausnahme bildet die so genannte Steuerschutzeinrichtung - ein spezieller Typ einer verriegelten trennenden Schutzeinrichtung mit einer Startfunktion, die in der Lage ist, einen gefährlichen Betrieb zu starten, wenn die Schutzeinrichtung geschlossen ist, ohne dass ein separater Startbefehl erforderlich ist.

In ISO 14119 wird auch das Konzept der Überlistung eines Sicherheitssystems behandelt. Hierbei handelt es sich um eine Aktion, mit der die Sperren einer Maschine umgangen werden. Beispielsweise kann ein Bediener versehentlich oder absichtlich einen schweren Gegenstand auf einen Positionsschalter legen, während die Schutzvorrichtung geöffnet ist, was wiederum den Zugang zu Arbeitsräumen ermöglicht, die während des Betriebs der Maschine gefährlich werden können. Richtig konzipierte Sicherheitssysteme machen es unmöglich, Verriegelungen auf jede vernünftigerweise vorhersehbare Weise zu überwinden - entweder manuell oder mit leicht zugänglichen Objekten in der Nähe. Dazu gehört das Entfernen von Schaltern oder Stellgliedern mit Hilfe von Werkzeugen, die zur Bedienung der Maschine verwendet werden oder leicht erhältlich sind, wie Schraubendreher, Sechskantschlüssel, Klebeband oder Draht. Dies bedeutet auch, dass Ersatzschlüssel nicht für eingeschlossene Schlüsselsysteme zugänglich sein sollten.

Die ISO 14119 unterteilt Verriegelungseinrichtungen in vier Kategorien:

• Typ 1 Verriegelungsvorrichtungen verfügen über mechanisch betätigte Positionsschalter mit uncodierten Betätigern, wie z.B. einem drehbaren Nocken, einem linearen Nocken oder einem Scharnier. Diese sind relativ leicht zu überwinden, indem man einen Gegenstand auf den Schalter legt oder ihn auf andere Weise in Position hält.
• Typ 2 Verriegelungseinrichtungen haben mechanisch betätigte Positionsschalter mit kodierten Betätigern, wie z.B. einem geformten Betätiger (Zunge) oder einem gefangenen Schlüssel. Diese sind wesentlich schwieriger zu besiegen.
• Typ 3 Verriegelungseinrichtungen verfügen über berührungslose Positionsschalter mit uncodierten Betätigern wie z.B. Näherungsschalter. Die Schwierigkeit, Verriegelungen vom Typ 3 zu überwinden, hängt vom jeweiligen Betätigungsprinzip ab. Kapazitive, Ultraschall- und optische Aktoren können von einer Vielzahl von Objekten besiegt werden. Induktive Aktuatoren können von jedem eisenhaltigen Metallgegenstand besiegt werden. Magnetische Aktoren benötigen einen Magneten, um sie zu besiegen.
• Typ 4 Verriegelungseinrichtungen verfügen über berührungslose Positionsschalter mit codierten Betätigern, wie z.B. RFID-Tags, codierte Magnete oder codierte optische Tags. Diese sind äußerst schwer zu überwinden, wenn sie so konstruiert sind, dass der codierte Betätiger nicht entfernt werden kann.

Beim Entwurf eines Sicherheitskreises sollten Verriegelungsvorrichtungen gewählt werden, um die Möglichkeit einer Umgehung zu minimieren. Auch sollten Überlegungen angestellt werden:

• Die Gesamtsystem-Stoppleistung, d.h. die Zeitspanne, die benötigt wird, um die Maschine nach einem Stoppbefehl sicher zu machen.
• Die Zugangszeit, das ist die Zeit, die eine Person benötigt, um die Gefahr zu erreichen, nachdem der Stoppbefehl ausgelöst wurde.

Die Gesamtleistung des Systems beim Anhalten muss deutlich schneller sein als die Zugriffszeit. Es sollte auch überlegt werden, ob Sperren eine Notentriegelung benötigen, um eine manuelle Öffnung von außen zu ermöglichen, oder eine Fluchtentriegelung, um eine manuelle Entriegelung von innen zu ermöglichen.

Die ISO 13849 wird von der ISO 14119 referenziert, sie besteht aus zwei Teilen, die die Prinzipien des Entwurfs und der Validierung des sicherheitsbezogenen Teils eines Steuerungssystems (SRP/CS) abdecken. Nach dieser Norm kann der SRP/CS entsprechend klassifiziert werden:

• Widerstandsfähigkeit gegen Fehler
• Verhalten beim Auftreten eines Fehlers

Alle Konstruktionsarbeiten an einer Maschine, die Sicherheit einbezieht, sollten mit einer Risikobeurteilung gemäß ISO 12100 beginnen, um Gefahren zu identifizieren und Risiken abzuschätzen. Der Prozess der Risikoreduzierung umfasst dann zunächst die Anwendung einer inhärent sicheren Konstruktion, dann Schutzmaßnahmen und schließlich Informationen zur Verwendung. Schutzmassnahmen, die vom Kontrollsystem abhängen, müssen dann in einem speziellen iterativen Prozess evaluiert werden. Dies beinhaltet die Bestimmung des erforderlichen Performance Levels (PL_r) für jede Sicherheitsfunktion und deren mittlere Zeit bis zum gefährlichen Ausfall (MTTF_D), um die Zuverlässigkeit der SRP/CS zu bestimmen. Jedem Teil kann eine Leistungsstufe von a bis e - mit PL_a mit der höchsten Wahrscheinlichkeit eines gefährlichen Fehlers und PL_e mit der niedrigsten Wahrscheinlichkeit zugeordnet werden. Die spezifische Art und Weise, in der die Ausfälle auftreten können, beinhaltet die oben für ISO 14119 dargelegten Überlegungen.

Variationen von Sicherheitsschaltkreisen - und einige Beispielanordnungen

Bei großen Gehäusen, wie z. B. Roboterzellen mit Tor, sind die Sicherheitsvorkehrungen etwas anders. Dies liegt daran, dass die Sperren oft geschlossen sind, wenn sich der Bediener innerhalb des aktiven Arbeitsbereichs befindet. Daher werden in vielen Fällen Systeme mit eingeklemmten Schlüsseln verwendet, um sicherzustellen, dass sich die Bediener nach dem Schließen der Tore außerhalb des Arbeitsbereichs befinden; und erst dann kann der Roboter seinen Betrieb mit voller Geschwindigkeit aufnehmen.

Natürlich können herkömmliche Roboter in der Regel in einem langsamen Lernmodus betrieben werden, wobei sich der Bediener in der Zelle befindet, aber wenn sie bei voller Geschwindigkeit arbeiten (im Gegensatz zu kollaborativen Robotern) dürfen sie nicht in die Nähe des Menschen kommen. Selbst im Teach-Modus besteht, sofern der Roboter nicht mit einem Kraftrückkopplungssystem ausgestattet ist, immer noch die Gefahr, dass der Bediener zerquetscht wird. Das Handsteuergerät ist daher normalerweise mit einem Totmannschalter ausgestattet, der den Roboter abschaltet, wenn der Bediener arbeitsunfähig wird.

Abbildung 2: Besonders einzigartig sind die mit der Robotik verbundenen Sicherheitsschaltungen - insbesondere für Robotik, die sowohl Teach Pendants (wie hier gezeigt) als auch kollaborative Roboter einsetzt.

Eine weitere Automatisierungssituation, die besondere Sicherheit erfordert, sind vom Personal betreute Fördersysteme. Hier kann es notwendig sein, dass das Personal neben Förderbändern arbeitet, die relativ schnell arbeiten. Dies birgt ein erhebliches Einklemmrisiko, das zu schweren Verletzungen führen kann, und sollte daher nach Möglichkeit vermieden werden. Wo aber solche Arbeitsräume für die Produktivität eines Betriebes unerlässlich sind - wie zum Beispiel in Amazon Fulfillment Centers - müssen verteilte Stoppschalter in Form von Zugseilen und Stoppleisten installiert werden. Diese geben dem Personal ein zuverlässiges Mittel an die Hand, um den Förderer auf seiner gesamten Länge anzuhalten. Solche Stopps sollten so eingerichtet werden, dass ein Bediener sie leicht greifen oder drücken kann, ohne sie während eines Notfalls jagen zu müssen.

Die Sicherheitsvorrichtungen sollten auch so positioniert werden, dass eine verletzte oder bewusstlose Person, die in das Förderband fällt oder hineingezogen wird, automatisch einen Stopp auslöst. Mehrere Stoppvorrichtungen und redundante Stromkreise können erforderlich sein, und wenn Förderbänder von beiden Seiten zugänglich sind, müssen solche Sicherheitsvorrichtungen auch auf beiden Seiten vorhanden sein.

Gemeinsame Sicherheitsschaltkreiskomponenten

Zu den mechanischen Schaltern gehören Positionsschalter, die zur Erkennung von Tor- und Schutzpositionen verwendet werden, sowie manuell betätigte Stoppschalter wie E-Stopp-Palmtaster und Zugseile. Berührungslose Schalter, wie z.B. Licht- und Induktivsensoren, können ebenfalls in ähnlicher Weise verwendet werden. Diese Arten von Verriegelungskomponenten werden in der Regel bei physischen Wachen und Toren eingesetzt. Sie werden durch die oben diskutierten Standards gut abgedeckt. Andere Arten von Sicherheitskomponenten, die in Sicherheitskreisen verwendet werden können, sind Lichtvorhänge, Laserscanner und Sicherheitsmatten.

Sicherheitsmatten verwenden Drucksensoren, die in eine Gummi-Plattform eingebettet sind, um auf einfache Weise zu erkennen, wenn eine Person einen bewachten Bereich betritt. Diese sind in den letzten Jahren weitgehend durch optische Systeme wie Lichtvorhänge und Laserscanner ersetzt worden.

Lichtvorhänge können physische Schutzvorrichtungen überflüssig machen, indem eine virtuelle Schutzvorrichtung erstellt wird, die eine Maschinenachse stoppt, wenn einer der Strahlen des Vorhangs unterbrochen wird. Der Lichtvorhang besteht aus zwei Teilen - einem Sender und einem Empfänger. Der Sender projiziert eine Reihe von parallelen Lichtstrahlen. Der Empfänger erkennt diese Strahlen, und wenn einer von ihnen unterbrochen wird, löst er einen Maschinenstopp aus. Zu den Vorteilen von Lichtvorhängen gehören die klare Sicht auf den Arbeitsbereich sowie der ungehinderte Zugang und die schnelle Bewegung in und aus dem geschützten Bereich.

Laserscanner funktionieren ähnlich wie Lichtvorhänge. Anstatt jedoch einen separaten Sender und Empfänger zur Aufrechterhaltung einer Barriere zu haben, können Laserscanner sowohl Gateways als auch Portalbereiche von einem einzigen Stück Hardware aus überwachen. Mit anderen Worten: Lichtvorhänge dienen der Perimeterabsicherung, während Laserscanner größere Portale in Bereiche wie Förderbänder und Roboterzellen schützen. Wie bei allen Sicherheitskomponenten erfordert der Einsatz von Laserscannern die Berechnung des Mindestsicherheitsabstands. Dieser Wert hängt von der Stoppleistung des Gesamtsystems und der Zugriffszeit ab. Allerdings dürfte die Stoppleistung des Gesamtsystems bei Laserscannern aufgrund der zusätzlichen Verarbeitung deutlich länger sein als bei Lichtvorhängen.

Abbildung 3: Sicherheits-Laserscanner der Serie SX von Banner Engineering können Zugangspunkte und Bereiche in industriellen Anwendungen absichern. Das Gerät scannt kontinuierlich 275° zum Schutz von Personal und Maschinen mit Warnhinweisen und Sicherheitszonen, die mit einer kostenlosen Konfigurationssoftware angepasst werden können. In dieser Software sind auch Muting-Funktionen konfigurierbar, die zusammen mit Muting-Sensoren, die mit dem Scanner der SX-Serie vernetzt sind, die Notwendigkeit eines zusätzlichen Moduls oder Controllers eliminieren. (Bildquelle: Banner Engineering)

Die elektronischen Sicherheitsschaltungen und Sicherheitskomponenten von heute bieten Anlagen- und OEM-Konstrukteuren flexible Möglichkeiten zum Schutz von Personal und Geräten. Software und andere Lieferantenressourcen tragen dazu bei, die Spezifizierung von Sicherheitssystemen für herkömmliche Verriegelungsanordnungen, schlüsselgeschützte Arbeitsbereiche und sogar flexible Bereiche zu vereinfachen, in denen Anlagenpersonal oder Maschinenbediener in unmittelbarer Nähe von Förderern, Robotern und anderen beweglichen Geräten arbeiten müssen, die mit der industriellen Automatisierung verbunden sind.