DE4213171A1 - Sicherheitsschaltung - Google Patents

Description

Die Erfindung liegt im Gebiet der Sicherheitstechnik und betrifft eine Sicher­ heitsschaltung zu einer SPS-Steuerung (Speicher Programmierbare Steuerung) gemäß Oberbegriff des Patentanspruchs 1. Die an Hand eines speziellen Ausführungsbeispiels diskutierte Steuerung findet an einer hydraulischen Presse Verwendung. Da jedoch die Sicherheitsschaltung gemäß Erfindung Funktionen zusammen mit einer SPS überwacht, ist sie nur bedingt von einer Applikation abhängig und kann im Zusammenhang mit einer SPS auch in anderen Applikationen Anwendung finden und zwar überall dort, wo hohe Sicherheitsnormen maßgeblich sind.

Sicherheitstechnik ist ein umfassender Begriff bei dem es letztlich um die Sicherheit einer oder mehrerer gewünschter Funktionen geht. In der vorlie­ genden Sache beziehen sich die Sicherheitsmerkmale auf die Unfallverhütung, die an sich praktisch in jedem Industrieland sehr streng reglementiert ist. Reglemente bedeuten Einschränkung und daraus entstehen Sachzwänge. In den Sicherheitsregeln für Steuerungen an kraftbetriebenen Pressen der Me­ tallbearbeitung (bspw. herausgegeben vom deutschen Hauptverband der ge­ werblichen Berufsgenossenschaften, Zentralstelle für Unfallverhütung und Arbeitsmedizin, Nr. ZH 1/457, Ausg. 2.1978) wird unter Selbstüberwachung bspw. ausgeführt: "Schütze und Relais können z. B. versagen, wenn sie auf Steuerbefehle (Erregen und Entregen) nicht ansprechen oder nicht rückfallen. Zur Erfüllung der Forderung müssen die Kontakte von Schützen und Relais "zwangsgeführt" sein. "Zwangsführung" ist dann gegeben, wenn die Kontakte mechanisch so miteinander verbunden sind, daß stets Öffner und Schließer nicht gleichzeitig geschlossen sein können. Dabei muß auch sichergestellt sein, daß über die gesamte Lebensdauer auch bei gestörtem Zustand Kon­ taktabstände von mindestens 0,5 mm vorhanden sind."

Im Zusammenhang mit Halbleiter-Schaltelementen wird in der gleichen Schrift festgestellt: "Störungen an diskreten elektronischen Bauelementen (Transistor, Diode, Kondensator, Widerstand) und integrierten logischen Bauelementen können z. B. dadurch auftreten, daß

• - Eingangssignale nicht sicher entkoppelt sind,
• - Ausgangssignale ohne entsprechende Eingangssignale anstehen,
• - Bauelemente unterbrochen oder in sich kurzgeschlossen sind,
• - Fremdeinflüsse wirksam sind . . ."

Im Gegensatz zu den mechanischen Schaltelementen werden bei den elektro­ nischen Schaltelementen keine Angaben zur Erfüllung der Sicherheitsforde­ rung gemacht, es wird lediglich festgestellt, wie Störungen auftreten können.

Die maßgeblichen Zulassungsbehörden stellen sich zudem auf ihren eigenen Sicherheitsstandpunkt und lassen, so die Wahl besteht, nur das aus der Erfah­ rung bekannte Sicherheitselement, trotz seiner, allerdings bekannten Störan­ fälligkeit (das ist das vertretbare Restrisiko) zu und lehnen das neue und unbekannte, unter Umständen sogar bessere Sicherheitselement ab. Dies ist nicht unberechtigt, bedeutet aber je nachdem einen enormen Sachzwang, dem man am besten mit erfinderischem Denken begegnet.

Moderne Maschinen sind auf hohe Leistung ausgelegt. Das heißt, möglichst hohe Kadenz und möglichst rund um die Uhr. Und hier versagen nun manche althergebrachten Sicherheitselemente. Bei diesen Belastungen können sie unter Umständen zu eigentlichen Unsicherheitselementen werden.

Ein Beispiel: Bei den oben erwähnten Relais ist die Lebensdauer durch die Anzahl Schaltspiele begrenzt. In modernen Maschinen, die nota bene so si­ cher sein sollen, wie ihre weniger modernen Vorgänger, kommt im Hochlei­ stungsbetrieb so ein mechanisches Schaltelement mit in der Regel von einer Lebensdauer von 10⁷ Schaltspielen sehr bald an die Grenze seiner Lebens­ dauer, bei einer Kadenz von 3 Sekunden sind das lediglich 115 Tage. Der ge­ störte Betrieb ist somit abzusehen und die Forderung des Kontaktabstandes kann kaum systematisch erfüllt werden. Es liegt auf der Hand, daß mechani­ sche Schaltrelais unerwünscht oft im Risikobereich arbeiten. Dieses bekannte Schaltelement ist für einen solchen Betrieb weder ausgelegt noch geeignet. Und doch halten die Zulassungs-Behörden am mechanischen Relais als Si­ cherheitselement "Schalter" fest und vertraut auf das schon bekannte kalku­ lierbare Risiko.

Elektronische Schaltelemente, die erheblich besser geeignet wären, erfüllen, als Element per se, die Sicherheitsvorschriften nicht und es ist den Vorschrif­ ten auch nicht zu entnehmen, wie den darin aufgezählten Störungen begegnet werden kann. Dies ganz im Gegensatz zu den Relais. Daß die Zulassungsbe­ hörde solchen Bau-Elementen nicht traut, ist aber nur solange verständlich, wie Lösungen zur Erfüllung der rigorosen Sicherheitsmaßnahmen fehlen.

Eine solche Sicherheitsmaßnahme, die die Vorteile eines mechanischen Schaltelementes, aber nicht deren Nachteile, aufweist, anzugeben, ist Aufgabe der Erfindung. Sie wird durch die in den Patentansprüchen angegebene Maß­ nahme gelöst.

Anhand eines Ausführungsbeispieles an einer hydraulischen Presse wird diese Maßnahme mit Hilfe der nachfolgend aufgeführten Figuren nun eingehend diskutiert.

Fig. 1 zeigt in schematischer Darstellungsweise das übergeordnete Prinzip der SPS-Überwachung.

Fig. 2 zeigt in schematischer Darstellungsweise das übergeordnete Prinzip in Form von Funktionskanälen mit oder ohne Vernetzung.

Fig. 3 zeigt teilweise eine beschaltete SPS mit Eingriffspunkten der Si­ cherheitsschaltung, hier mit Außenbeschaltung zur Steuerung einer hydraulischen Presse.

Fig. 4 zeigt in Blockschaltung ein Schaltungsbeispiel für eine diversitäre Sicherheitsschaltung unter Einbezug der gemäß Fig. 3 beschalte­ ten SPS.

Zur Überwachung von Funktionen, hier solche an einer hydraulischen Pres­ se, wird eine SPS eingesetzt. Eine SPS, das ist eine Schaltung, die fähig ist, ein Programm abzuarbeiten, eignet sich vorzüglich zur Steuerung von Funktionen deshalb, weil schon im Programmablauf Sicherheitsmerkmale, die nicht die Komponentensicherheit betreffen, gleichsam mit eingebracht werden können. Andererseits hat die SPS auch die Fähigkeit der Rückwirkung auf eine Siche­ rheitsschaltung, so daß bei einer Selbstüberwachung die Komponente nicht nur ihre inhärente Sicherheit aufweist, sondern zudem noch von der über­ wachten Schaltung rücküberwacht wird, weil dies in eine SPS einprogrammier­ bar ist. Diese Rücküberwachung geschieht in Wechselwirkung Komponente-Funktion-SPS und kann auf diese Weise zur Erhöhung des Standards mit beitragen.

Dazu ist zu einer SPS noch folgendes zu sagen (aus dem Entwurf der VDI- Richtlinien, VDI 2880): "Beim Einsatz von SPS für Sicherheitsaufgaben sind die Wege zur Erzielung einer ausreichenden Sicherheit die gleichen wie bei den herkömmlichen Sicherheitstechniken. Hierzu gehören beispielsweise Re­ dundanzen, fehlersichere Schaltungstechniken, Auswahlschaltungen und über­ geordnete mechanische Verriegelungen. Darüber hinaus können die typischen Eigenschaften und Möglichkeiten programmierbarer Systeme genutzt werden, um durch Kontrollroutinen und Prüfprogramme die Sicherheit zu erhöhen. Es ist nicht möglich, für die unterschiedlichsten Anwendungen allgemeingültige Lösungen anzugeben. Hinzu kommt, daß viele grundlegende Fragen zum Si­ cherheitsnachweis bei der Hard- und Software derzeit noch nicht ausreichend beantwortet werden können."

Zu den allgemein anerkannten Lösungen gilt unter anderem folgende: Aus­ gangssignale der SPS mit Sicherheitsfunktion werden über zusätzliche Steuer­ einrichtungen geführt, die die eigentliche Sicherheitsfunktion übernehmen. So kann verhindert werden, daß gefährliche Fehlinformationen an den Ausgän­ gen der SPS auf die Hauptsteuerorgane durchgreifen können.

Bei SPS können zur Erhöhung der Sicherheit gleichartige oder diversitäre Redundanzen verwendet werden. Vorgeschlagen sind zwei Kanäle und ein nachfolgender Vergleicher, der die gefährliche Funktion nur dann frei gibt, wenn die beiden Kanäle (ob gleichartig oder diversitär) den gleichen "Wert" angeben. In der Regel bezieht sich das auf die Software.

Im hier diskutierten Fall wird der Weg der diversitären Redundanz in Kom­ bination mit einer übergeordneten Schaltung gegangen.

In Fig. 1 wird versucht, rein schematisch den eben diskutierten Zusammen­ hang aufzuzeigen. Eine SPS steuert an einer Anlage (Maschine etc.) eine Anzahl Funktionen. Die Funktionen F1 bis Fm werden als gefährliche Funk­ tionen überwacht, die Funktionen Fm+1 bis Fn werden als nicht gefährliche Funktionen nicht überwacht. Die Sicherheitsschaltung besteht aus einem Ba­ sisteil B (Mutterprint für gemeinsame Funktionen) und einem Diversitätsteil D mit den Kanälen D1 für F1 bis Dm für Fm. Die einzelnen Kanäle weisen eine unabhängige Logik, für die Funktionen F1/F2 bspw. L2 und L3 auf, die ihrerseits mit der Logik L1 der SPS in Beziehung stehen. Die Verknüpfung (L1, L2, L3) ist in einem Mengendiagramm dargestellt, um zu zeigen, wie eine dreikanalig diversitäre Steuerung, bildlich gesehen, auch noch aufgefaßt wer­ den kann. Die beiden Ebenen D und B werden im Zusammenhang mit den Fig. 3 und 4 eingehender diskutiert.

Gemäß der Verhaltens- und Fehlerliste der diskutierten hydraulischen Steue­ rung gilt folgendes: Bei Steuerungen von kraftbetriebenen Pressen der Me­ tallbearbeitung steht die Schließbewegung im Mittelpunkt. Diese Funktion ist eine gefährliche Funktion und muß überwacht werden. Bei geringster Be­ triebsstörung muß sie selbsttätig stillgelegt werden, dies geschieht bspw. durch Ausschalten der ganzen Maschine. Zur Funktionsüberwachung der Schließ­ bewegung, die durch die SPS gesteuert wird, kann eine Sicherheitsschaltung an deren Steuerung partizipieren und, wenn notwendig, funktionell und maß­ geblich eingreifen. Eine weitere Funktion, die überwacht werden muß, ist die Ausschaltfunktion, die, wenn sie nicht korrekt durchgeführt werden kann, bspw. bei Kontakthängern, gefährlich ist. Das heißt, daß in diesem Falle zwei Funktionen diversitär in der Steuerung des SPS mitbeeinflußt werden sollen. Gemäß Fig. 1 bilden F1 (Schalter), F2 (Ventil) und SPS zusammen drei Kanäle mit prinzipverschiedener Redundanz.

Fig. 2 zeigt eine dreikanalig Sicherheitsschaltung mit den Funktionen F1, F2 und F3, die mit der Logik L1, L2 und F3 der SPS in Beziehung stehen, wobei einer der Kanäle, bspw. der Kanal, der die Funktion F1 überträgt, sie SPS selber ist. Jede dieser Funktionen F1 bis F3 ist sicherheitsrelevant wobei bspw. zwei Funktionen durch den gleichen Typ Schaltung (einfache Redun­ danz) übertragen werden können, wobei dieser Typ Schaltung zur SPS diver­ sitär ist. Im Zusammenhang mit Fig. 4 ist das direkt ersichtlich.

Die drei Kanäle können untereinander vernetzt sein oder nicht. Im Falle von Fig. 2 führen die Ausgänge zweier einfach redundanter Kanäle auf den Eingang der SPS zurück, so daß die beiden Kanäle durch die SPS überwacht und in die Steuerfunktion miteinbezogen werden können. Dies hat Vorteile, da das Funktionieren der Schaltungen, die ja nur bei Fehlbetrieb aktiv werden und über längere Zeit nicht benutzt unbemerkt ausfallen können, mit über­ wacht werden kann. Fällt eine fehlerrelevante Funktion der SPS aus, so wird die Maschine stillgelegt.

Diese Form vom Überwachung, jedoch ohne Rückführung, wird hier nun an­ hand von Fig. 3 diskutiert. Gezeigt ist eine typische SPS mit Ein- und Aus­ gängen, Eingänge von 400-413 und Ausgänge 430-437, sowie einem Ein- und Ausschalter (RUN, STOP). Die sicherheitsrelevanten Teile der Steuerung sind (wie schon gesagt) dreikanalig prinzipverschieden redundant (diversitär) aus­ gelegt, eine SPS (als Kanal zur Übertragung sicherheitsrelevanter Funktio­ nen) und zwei entkoppelte Sicherheitsschaltungen (als Kanäle zur Übertragung sicherheitsrelevanter Funktionen) mit zwei Abschaltwegen für Motor und Ventile, letztere, weil es sich um eine hydraulische Presse handelt, deren Funktion überwacht wird.

Von den Ventilen ist das Senkventil dasjenige, das seinerseits im Mittelpunkt steht. Die zweikanalig Schaltung wirkt so, daß auch bei Handbetätigung des Senkventils (der akzidentell überwundene Kanal) der Motor alleine (der andere Kanal) den Preßstempel stillsetzen kann. Bei fehlerhafter Ansteuerung wird von der Sicherheitsschaltung ein Not-AUS bewirkt, was wie bei Betäti­ gung des Not-AUS-Schlagtasters dazu führt, daß der Hauptschalter ausgelöst wird, auch wenn er in Stellung EIN abgeschlossen ist.

Der Normalbetrieb erfolgt (hier) über zwei Handtaster 54, 55, die innerhalb einer halben Sekunde gleichzeitig betätigt sein müssen (von der SPS über­ wacht), siehe die Eingriffspunkte A16, A8. Bei einem Defekt an dem Preß­ druck-Sicherheitsschalter oder wenn die Zweihand-Schaltung ständig betätigt wird, ist ein erneutes Senken nicht mehr möglich. Eine automatische Nachhol­ einrichtung hält den Stempel auch bei Leckagen oder undichten Ventilen in oberster Stellung.

Durch die Verwendung nur einer SPS in Verbindung mit zwei entkoppelten Hardware-Sicherheitsschaltungen, ist die Redundanz 100% entkoppelt, also diversitär, wodurch eine größere Fehlersicherheit erreicht wird, als wenn zwei SPS in üblicher Redundanz verwendet würden. Eine solche Lösung schützt wohl gegen Zufallsausfälle, nicht jedoch gegen systematische Fehler oder Störungen, die in beiden Kanälen zu gleichen Ausfällen führen können und von einer nachfolgenden Auswertung nicht erkannt werden können.

Die hier gezeigte Sicherheitsschaltung schaltet bei einem gefährlichen Zu­ stand sofort die Pressensteuerung sowie den Hydraulikmotor ab. Das ge­ schieht dann, wenn die Funktion "Kolben Senken" ungewollt aktiviert wird oder wenn der Druckschalter nach dem Loslassen nicht ausschaltet. Die ein­ zelnen Kanäle der Sicherheitsschaltung und die SPS reagieren bei Ausfall einer Funktion jeder für sich selber. Die Sicherheitsschaltung ist aus Sicher­ heitsgründen doppelt ausgeführt.

In Fig. 3, dem Schaltschema der SPS mit seiner äußeren Beschaltung, be­ ziehen sich die Eingänge A1 bis A16 auf die Interventions- und/oder Ver­ knüpfungsstellen der Sicherheitsschaltung. Die Gruppierung in Interventions­ stellen, wie zum Beispiel A2/A10; A3/A9 (die Kanäle) und in Verknüpfungs­ stellen (der Basisprint), wie zum Beispiel A14 bis A16 ist schaltungstechnisch bedingt, die Zweikanaligkeit der Sicherheitsschaltung ist durch die beiden "Schaltstellen" zur Unterbrechung zweier Funktionen manifestiert. Auf dem Basisprint sind die gegenüber der SPS externen Verknüpfungen realisiert und auf dem Sicherheitsprint sind die Funktionen der Eingriffe in die durch die SPS gesteuerte Maschine realisiert. Der Interventionskanal überwacht zwei Funktionen (atypische Kolbenaktivierung und atypisches AUS).

Fig. 4 zeigt nun ein Beispiel einer Gesamtschaltung. Man erkennt im we­ sentlichen 3 Kanäle, eine SPS im oberen Teil und zwei Überwachungsschaltungen im linken Teil der Figur. Die beiden Überwachungsschaltungen sind im wesentlichen identisch, bzw. bezüglich der Übertragung fehlerrelevanter Funktionen identisch. Sie wirken auf die Funktion "Kolben senken" und auf die Funktion "Unterspannung" und bewachen in Serienschaltung diese beiden von der SPS gesteuerten Funktionen, welche von der SPS selber auch noch überwacht sind. Die Überwachungsschaltungen 1 und 2 überwachen: die Zweihandschaltung und Signal zum Senken des Kolbens; das Ventil, welches das Senken des Kolbens auslöst; den Preßdruckschalter und greifen bei Nicht­ funktion einer dieser Funktionen über elektronische Schalter (statt mechani­ sche Relais) direkt in den Schaltzweig der SPS ein. Mit einer Parallelführung von je zwei Schaltern und einem Umschalter (hier nicht dargestellt), kann eine SPS gesteuerte Funktionsprüfung der Schalter (bspw. vor jedem Anschal­ ten) durchgeführt werden, so daß diese Schalter nicht unbemerkt ausfallen können. Dies wäre dann ein Vernetzungszweig zur SPS, wie in Fig. 2 prinzi­ piell dargestellt, die SPS würde die Umschaltung von einem zum anderen Schalter übernehmen.

So funktionieren im Prinzip die Überwachungsschaltungen, die die beiden Funktionen "Kolbenaktivierung" und "AUS" auf korrektes Funktionieren über­ wachen und bei atypischem Verhalten "eingreifen". Damit sind diese beiden Funktionen von zwei diversitären Schaltkreisen abhängig, von der SPS und von den Überwachungsschaltungen. Der Unterspannungsauslöser wird von S1 "Not-AUS" über einen Schalt-Transistor angesteuert. Bei einem Fehler sperrt dieser Transistor und die Pressensteuerung schaltet ab. Das Ventil Y1 "Kol­ ben senken" wird von der SPS und einem Power-FET geschaltet. Der FET leitet, wenn am Eingang der SPS ein Befehl "Kolben senken" anliegt, außer, wenn die 2-Hand-Tasten in mehr als einem Halbsekunden-Intervall betätigt werden. Diese Schaltung ist, wie gesagt, aus Sicherheitsgründen zweimal vor­ handen. Dabei sind auf den beiden Prints die beiden Schalt-Transistoren und die beiden FET in Serie geschaltet. Mit Hilfe eines Pull-Up-Widerstandes kann die SPS die richtige Funktion des FET kontrollieren. Bei einem Fehler, bspw. der FET leitet dauernd, kann man bspw. eine Error-Lampe aufleuchten lassen, zusätzlich muß natürlich die Steuerung intern gesperrt werden.

Claims (6)

1. Sicherheitsschaltung für eine Funktionensteuerung bestehend aus einer oder mehreren Zusatzschaltung/en zu einer SPS, dadurch ge­ kennzeichnet, daß die Zusatzschaltung mindestens eine, zur SPS diversitäre Funktion aufweist, die eine mit der SPS gemeinsame oder übergeordnete fehlerrelevante Steuerungsfunktion beeinflussen kann.

2. Sicherheitsschaltung nach Anspruch 1, dadurch gekennzeichnet, daß mehrere Funktionen auf der Zusatzschaltung untereinander diversitär sind und je eine von der SPS gesteuerte Funktion beeinflussen.

3. Sicherheitsschaltung nach Anspruch 1 oder 2, dadurch gekennzeich­ net, daß Zusatzschaltung/en und SPS vernetzt sind.

4. Sicherheitsschaltung nach Anspruch 4, dadurch gekennzeichnet, daß mindestens ein Vernetzungspfad vom Ausgang oder einem der Aus­ gänge einer Zusatzschaltung oder einer SPS in einen Eingang einer Zusatzschaltung oder einer SPS führt.

5. Sicherheitsschaltung nach einem der Ansprüche 1 bis 4, dadurch gekennzeichnet, daß die Zusatzschaltung/en und SPS Funktionskanä­ le bilden, durch welche eine Sicherheitsfunktion übertragen werden.

6. Sicherheitsschaltung nach Anspruch 5, dadurch gekennzeichnet, daß neben dem Funktionskanal, den die SPS bildet, mindestens zwei weitere Funktionskanäle die gleiche Sicherheitsfunktion übertragen und so eine innere nichtdiversitäre Redundanz bilden, die zur SPS jedoch diversitär redundant sind.