Presse mit Lichtvorhang: sporadischer Wiederanlauf
In einer Fertigungshalle steht eine hydraulische Presse, deren Steuerung mit einer S7-1200 realisiert wurde. Der Lichtvorhang am Gefahrenbereich ist Typ 4 mit zwei OSSD-Ausgängen; diese sind auf zwei Standard-Digitaleingänge der PLC gelegt. Die Software verknüpft den Lichtvorhang mit dem Start und steuert über Ausgänge die Schütze K1 für die Hydraulikpumpe und K2 für das Pressventil. Der Not-Aus ist als Öffner in Reihe zur 24-V-Versorgung der Ausgangsbaugruppe ausgeführt. Bei einer Prüfung wurde ein verschweißter Kontakt an K1 festgestellt. Der Bediener berichtet, dass die Presse nach einer Unterbrechung des Lichtvorhangs und anschließender Betätigung des Fußschalters gelegentlich noch einen Hub ausführt. Der Fußschalter ist als Taster ausgeführt; die Software besitzt eine Selbsthaltung für den Start. Eine Risikobeurteilung liegt nur in einer veralteten Fassung vor.
1. Analysieren Sie, warum der gemeldete Fehler auftreten kann, und ordnen Sie die Schaltung sicherheitstechnisch ein.
Read the worked answer
Die beschriebene Anlage hat mehrere sicherheitsgerichtete Schwachstellen:
Einkanaligkeit: Der Lichtvorhang wirkt nur über zwei Standardeingänge der PLC. Die PLC ist keine Sicherheitssteuerung; ein interner Fehler, ein Programmfehler oder ein „Hängen“ eines Ausgangs wird nicht erkannt.
Verschweißter Kontakt K1: Ein verschweißter Leistungskontakt kann die Hydraulikpumpe oder den Freigabepfad weiter versorgen, obwohl die PLC den Ausgang bereits abgeschaltet hat. Ohne Spiegelkontakt-Rückmeldung und ohne redundanten Abschaltpfad bleibt dieser Fehler unentdeckt.
Fußschalter und Selbsthaltung: Der Fußschalter kann einen neuen Start auslösen, obwohl die Schutzfunktion des Lichtvorhangs nicht mehr wirksam ist. Die Selbsthaltung in der Software kann einen Zustand speichern, der nach einer Unterbrechung nicht sicher zurückgesetzt wird.
Not-Aus: Das Abschalten der 24-V-Versorgung der Ausgangsbaugruppe ist kein ausreichend sicherer Abschaltpfad; Kurzschlüsse, Querverbindungen oder ein verschweißtes Kontaktglied können die Wirkung aufheben.
Die Schaltung erfüllt damit nicht die Anforderungen an eine sicherheitsgerichtete Funktion für eine Presse. Es fehlen Redundanz, Diagnose, Zwangsöffnung und eine Validierung. Der beobachtete sporadische Hub ist als plausibles Fehlerbild einzustufen: Ein einzelner Fehler (verschweißter Kontakt) plus ein Softwarezustand kann zu einer gefährlichen Bewegung führen.
2. Entwerfen Sie eine verbesserte sicherheitsgerichtete Schaltung und nennen Sie die erforderlichen Maßnahmen. Gehen Sie auch auf den Mindestabstand des Lichtvorhangs ein.
Read the worked answer
Grundstruktur: Der Lichtvorhang wird an ein Sicherheitsrelais oder eine Sicherheitssteuerung mit zwei Eingangskanälen angeschlossen; die OSSD-Signale werden auf Querschluss und Leitungsbruch überwacht. Der Freigabepfad führt über zwei redundante, zwangsgeführte Schütze K1 und K2 mit Spiegelkontakten, die von der Sicherheitssteuerung überwacht werden. Der Not-Aus wird zweikanalig in denselben Sicherheitskreis eingebunden. Der Fußschalter darf nur als Zustimmeinrichtung wirken, nicht als alleiniger Startbefehl; die Selbsthaltung ist sicherheitsgerichtet zurückzusetzen. Das Pressventil erhält eine eigene überwachte Freigabe, sodass ein einzelner verschweißter Kontakt nicht zu einem Hub führt.
Mindestabstand: Bei einer Auflösung von 14 mm ist C = 0 (nach der üblichen Näherung für d ≤ 40 mm). Mit einer Ansprechzeit des Lichtvorhangs von 20 ms, des Sicherheitsrelais von 15 ms, der Schütze von 30 ms und einer Nachlaufzeit der Presse von 150 ms ergibt sich T = 0,215 s. Mit K = 1.600 mm/s folgt S = 1.600 · 0,215 = 344 mm. Liegt der Lichtvorhang derzeit bei 300 mm, ist er zu versetzen; der Wert ist mit gemessenen Nachlaufzeiten zu verifizieren.
Weitere Maßnahmen: Risikobeurteilung aktualisieren, Performance-Level festlegen, Schaltplan und Programm dokumentieren, Fehlerinjektionen (verschweißter Kontakt, Querschluss, Leitungsbruch) durchführen und die Wirksamkeit der Schutzeinrichtung validieren.
3. Welche Prüfungen sind nach dem Umbau unmittelbar vor der Freigabe erforderlich?
Read the worked answer
Nach dem Umbau ist eine Validierung der sicherheitsgerichteten Funktionen durchzuführen. Dazu gehören:
- Sicht- und Verdrahtungsprüfung: zweikanalige Führung, getrennte Leitungswege, zwangsgeführte Kontakte, korrekte Absicherung.
- Funktionsprüfung: Lichtvorhang unterbrechen, Not-Aus betätigen, Fußschalter betätigen, Schutzgitter öffnen; jeweils muss die gefährliche Bewegung sicher gestoppt werden.
- Fehlerinjektion: einen Kontakt von K1 künstlich verschweißen, eine Ader unterbrechen, zwei Adern gegeneinander kurzschließen; die Anlage muss in den sicheren Zustand gehen oder den Start verhindern.
- Zeitmessung: tatsächliche Ansprech- und Nachlaufzeit messen und mit der Abstandsberechnung abgleichen.
- Dokumentation: Prüfprotokoll, Änderungsstand, Softwarestand und Abnahmebescheinigung.
Erst danach darf die Presse wieder in Betrieb gehen.