Sicherheitskonzept Automatisches Prüfsystem

[Addi J. (addi24)]

Hallo an alle.

Ich beschäftige mich nun schon seit längere Zeit mit dem oben genannten 
Thema und komme nur wirklich langsam voran. Nach mühsamen durchforsten 
von Foren und anderen Seiten habe ich immer noch einen menge offener 
Fragen :(
Vielleicht kann mir ja von euch jemand helfen.

Zur Ausgangssituation: Ich muss ein automatisches Prüfsystem mit den 
erforderlichen Sicherheitseinrichtungen ausrüsten. Das Prüfsystem setzt 
sich aus folgenden Teilen zusammen:

-ein 19" Turm in dem Messgeräte, Spannungsquellen, Netzteile, PC... 
eingebaut sind und die Zuleitungen für Druckluft, Drehstromnetz, LAN 
angeschlossen werden.

-mehreren Adapterwagen, die je nach Prüfling verscheiden aufgebaut sind. 
Die Prüflinge werden Automatisch über Pneumatikzylinder oder 
Schrittmotoren kontaktiert.

Die Wagen werden an den Turm angedockt. So ist es möglich verschiedenste 
Prüflinge an dem selben System zu prüfen.
An dem Turm ist einen Not-Aus Taster angebracht, der den Turm über ein 
Schütz Spannungsfrei schaltet. Jetzt muss noch gewährleistet werden, 
dass der Bediener, der an dem Adapter arbeitet vor gefährlichen 
Spannungen und Schäden durch verfahrbare Teile geschützt wird. Dazu gibt 
es folgende Szenarien:

-Der Bediener öffnet den Deckel/ die Schublade des Adapters um einen 
Prüfling einzulegen. In diesem Fall muss(?) gewährleistet sein, dass 
keine Gefährlichen Spannungen an den Kontakt-Nadeln anliegen und das 
sich kein Zylinder oder Motor bewegen kann.

-Der Bediener dockt einen Adapterwagen ab. Die Schnittstelle von Turm zu 
Adapterwagen sind mehrere Steckverbindungen, die bei angedocktem Wagen 
offen liegen. Die Turm-Seite ist mit Steckern ausgeführt und die 
Wagen-Seite mit Buchsen. Somit muss auch hier sichergestellt sein, dass 
keine gefährlichen Spannungen an den Steckerpins anliegen.

Mein Gedanke war es nun, eine kleine PNOZmulti zu nehmen und diese in 
den Turm einzubauen. Diese würde dann alle relevanten Signale sammeln 
(Wagen Angedockt, Deckel zu, freigebe von PC, Not-Halt am 
Adapterwagen...) und ein Schütz schalten, dass erst die Spannungen auf 
die Stecker am Turm schaltet. Ebenso würde es ein Ventil schalten, dass 
die Druckluft auf den Stecker freigibt.

Nun zu den Fragen:
-Ist das vom Grundgedanke der richtige Weg?
-Das System wird nicht verkauft, sondern in unserer Fertigung 
eingesetzt. Was für Richtlinien oder Normen muss ich dabei beachten?
-Dürfen die Kontakte im Turm als Stecker ausgeführt sein, wenn ich wie 
oben genannt sicherstelle, dass keine Spannungen anliegen? (Grund dafür 
ist, dass die Wagen durch die Gegen gefahren werden und die Pins immer 
abbrechen würden, wenn man irgendwo anstößt. Das würde umfangreichere 
Reparaturmaßnahmen mit sich führen)
-Müssen die Schütze spezielle Anforderungen erfüllen, wenn ich sie für 
diese Zwecke verwenden möchte (1000V AC/DC, 3A)?
-So wie oben beschrieben, hätte ein Öffnen der Schublade oder des 
Deckels immer zu Folge, dass das Schütz abfällt. Spricht etwas dagegen 
oder kann es in diesem Fall nur so sein?

Vielen Dank schon mal fürs Lesen ;) Hoffe ihr könnt mir helfen.

Grüße Addi

[Dirk E. (drbinsl)]

Wende Dich doch einfach an Deine Berufstgenossenschaft bzw. die Deines 
Arbeitgebers!
BG Energie Textil Elektro Medienerzeugnisse (BG ETEM)? -> 
http://www.bgetem.de/arbeitssicherheit-gesundheitsschutz/pruefen-zertifizieren/pruef-und-zertifizierungsstelle-elektrotechnik/kontakt

[Willi W. (williwacker)]

Das sind wahnsinnig viele Fragen, eine Antwort darauf würde sehr viel 
Zeit kosten und dann auch sehr lang werden und den Rahmen eines solchen 
Forums sprengen.

Vorab vielleicht soviel: Welchen Sicherheitsgrad willst Du erreichen und 
nach welcher Norm? Kennst Du da schon eine?

EN61508: SIL1 bis SIL3 - Um den geforderten Level zu bestimmen musst Du 
hier eine Risikobetrachtung durchführen, also: Was passiert maximal 
(Verheilt die Wunde wieder, fehlt ein Stück des Bedieners? bis hin zum 
Tod, wieviele Tote), wie häufig muss sich der Bediener der Gefahr 
aussetzen (permanent in der Produktion oder nur Wartung) und kann er ihr 
entgehen (Maschine bewegt sich langsam oder schnell). Den sich aus der 
Beantwortung dieser Fragen ergebenden Level (required) musst Du 
erreichen!

EN/ISO13849: PLa..PLe - Risikobetrachtung zur Ermittlung des benötigten 
Levels läuft ein bisschen anders, aber ähnlich

EN62061: SILCL1 bis 3. Nochmal etwas anders, aber jetzt sind wir ja in 
Übung.

So, jetzt kennst Du die Anforderungen und musst Dir Gedanken machen, mit 
welchen Mitteln der Funktionalen Sicherheit Du sie erreichen willst.

Die Normen schreiben dann auch die Einhaltung der elektrischen 
Grenzwerte und Störfestigkeiten vor.

Merke: Alles alles alles pingelig genau dokumentieren!

Ansonsten: Vielleicht hilft ein Blick in die Maschinenrichtlinie der EU 
2006/42/EG. Die ist ohnehin verbindlich und ihre Einhaltung ist Gesetz. 
Hierzu gibt es auch Erläuterungen, also einfach mal googeln, die kostet 
nix

Die oben genannten Normen kosten so über den dicken Daumen einen 
schlichten Tausender, das ermutigt zur Einhaltung der Normen ;-).

Normen einzuhalten und dieses vielleicht sogar von einer unabhängigen 
Stelle (TÜV, ...) bescheinigt zu bekommen ist eine quasi 
Lebensversicherung für Dich, damit man Dir später, sollte es zu einem 
folgenschweren Unfall kommen, keine grobe Fahrlässigkeit nachweisen 
kann. Dann wanderst Du nämlich ein. Auch bei einer einfachen 
Fahrlässigkeit kann es teuer werden.

Also Finger weg, bevor Du nicht genau weisst was Du tust!

Ciao

[Kai S. (kai1986)]

Hallo,

wenn ich dich richtig verstanden hab, dann kommten alle Spannungen vom 
Turm und der Wagen ist Spannungsfrei, wenn er abgekoppelt ist. Somit ist 
die einzig sinnvolle Variante, das die Buchse am Turm und am Wagen 
Stecker sind.

Addi J. schrieb:
> Somit muss auch hier sichergestellt sein, dass
> keine gefährlichen Spannungen an den Steckerpins anliegen.

Du musst normal sogar sicher stellen, das überhaupt keine Spannung an 
berührbaren Teilen anliegt.

Addi J. schrieb:
> -Dürfen die Kontakte im Turm als Stecker ausgeführt sein, wenn ich wie
> oben genannt sicherstelle, dass keine Spannungen anliegen? (Grund dafür
> ist, dass die Wagen durch die Gegen gefahren werden und die Pins immer
> abbrechen würden, wenn man irgendwo anstößt. Das würde umfangreichere
> Reparaturmaßnahmen mit sich führen)

Vom Grundgedanken her ja, aber wie stellst du das wirklich sicher? 
Absolute Sicherheit dafür kannst du nämlich nicht gewähren, deshalb 
empfehle ich, die Buchsen am Turm zu installieren (welcher die 
Spannungsquelle ist) und am Wagen die Stecker. Mit anständigen Steckern 
gibt es auch keine abbrechenden Pins. In der Industrie werden hier gerne 
Stecker von Harting eingesetzt.

Bei Schützen für Sicherheitsanforderungen ist das Stichwort 
zwangsgeführte Kontakte. Auch werden je nach Gefärdungspotenzial da oft 
zwei oder mehr Schutze in Reihe geschaltet, falls doch mal einer nicht 
trennt. Die Forderung nach 1000V DC dürfte hier besonders sein, da 
Standardschütze üblicherweise nur bis 30V DC geeignet sind und das genau 
genommen auch nur, wenn der Hersteller das extra angibt.

Der Not-Aus wird normal mit mindestens zwei unabhängigen Kreisen 
ausgelegt.

Zum Deckel: Abschalten, wenn er geöffnet wird: Was ist, wenn nicht 
schnell genug abgeschaltet werden kann, oder das Abschalten aufgrund 
eine Fehlers nicht möglich ist? Deshalb werden hier heutzutage oft 
mechanische Verrieglungen eingesetzt, die erst entriegelt werden, wenn 
sicher abgeschaltet ist. Sprich das Abschalten auch nochmal überprüft 
wurde.

Bevor du von dem jetzt aufgezählten etwas umsetzt steht wie schon 
erwähnt die Risikoanalyse, dann weißt du nämlich, was du brauchst und 
hast im Unglücksfall, falls doch was passieren sollte einen Rückhalt, da 
du dich auf eine Norm beziehen kannst (das heißt zwar noch nicht, das 
dir nix mehr passieren kann, nur weil du dich an die Norm gehalten hast, 
da es seit Herausgabe der Norm durchaus schon neue Erkenntnisse geben 
kann, aber es ist ein recht guter Ausgangspunkt).

Gruß Kai

PS: Auch wenn du gut klingede Hinweise im Forum erhälst kannst du dich 
im Zweifelsfall nicht darauf beziehen. Hier kann nämlich jeder 
schreiben, was ihm gerade einfällt. Sprich, immer alles selbst 
nachprüfen, vor allem, wenn es um Sicherheitfrage geht.

[Addi J. (addi24)]

Vielen Dank für die Antworten :)

Dirk E. schrieb:
> Wende Dich doch einfach an Deine Berufstgenossenschaft bzw. die Deines
> Arbeitgebers!

das habe ich jetzt erstmal gemacht :)

Willi Wacker schrieb:
> Welchen Sicherheitsgrad willst Du erreichen und
> nach welcher Norm? Kennst Du da schon eine?

Und genau hier zeigt sich, wie grün ich in diesem Thema bin. Welchen 
Sicherheitsgrad muss ich denn erreichen oder ist der Sicherheitsgrad das 
Ergebnis der Risikobetrachtung?
Wer schreibt\gibt mir die Norm vor?
Habe mal nach den von dir genannten normen geschaut und wenn ich richtig 
gelesen habe würde ja dann die EN62061 zutreffen, oder? Die anderen 
beiden behandeln eher die Komponenten, die ich zur Einhaltung der 
EN62061 verwende? Aber wahrscheinlich kann man das so allgemein gar 
nicht sagen.

Willi Wacker schrieb:
> Ansonsten: Vielleicht hilft ein Blick in die Maschinenrichtlinie der EU
> 2006/42/EG

Dazu habe ich das hier gefunden
http://www.bmas.de/SharedDocs/Downloads/DE/PDF-Meldungen/leitfaden-maschinenrichtlinie.pdf?__blob=publicationFile
 400 Seiten ... puhhh - aber werde mich da mal rein lesen.

Kai S. schrieb:
> Du musst normal sogar sicher stellen, das überhaupt keine Spannung an
> berührbaren Teilen anliegt.

sicher, dass das auch für Kleinspannungen gilt?

Kai S. schrieb:
> aber wie stellst du das wirklich sicher?

genau darum geht es ja, wenn ich ein Konzept habe, dass mir nach den 
Sicherheitsstandards einen Sichern betrieb gewährleistet, dann gilt das 
genau auch für die Kontakte. Denn wie auch immer die Abschaltung wird, 
muss sie im Turm geschehen.

Kai S. schrieb:
> Zum Deckel: Abschalten, wenn er geöffnet wird: Was ist, wenn nicht
> schnell genug abgeschaltet werden kann, oder das Abschalten aufgrund
> eine Fehlers nicht möglich ist? Deshalb werden hier heutzutage oft
> mechanische Verrieglungen eingesetzt, die erst entriegelt werden, wenn
> sicher abgeschaltet ist. Sprich das Abschalten auch nochmal überprüft
> wurde.

Die Adapter sind alle mit Verrieglungen ausgestattet. Diese werden aber 
von einem PC gesteuert. Und das Abschalten soll ja über ein autarkes 
System geschehen, welches seine eigenen "sicheren" Signale 
(Sicherheitsschalter...) auswertet.

[Martin L. (maveric00)]

Hallo,

die richtigen Stichwörter sind ja schon gefallen (BG, IEC61508, andere 
branchenspezifische Richtlinien, Maschinenrichtlinie -> 
Gefahren&Risikoanalyse -> Aufstellen von Sicherheitsanforderungen).

Hinzufügen möchte ich, dass es in der Regel Sinn macht, die 
Sicherheitseinrichtung so einfach wie möglich zu gestalten. In Deinem 
Fall braucht man z.B. keine SPS oder ähnliches. Wobei ich überrascht 
bin, wie preiswert inzwischen eine SIL 3-Steuerung ist.

Eine Möglichkeit ohne SPS wären z.B. zwei "stromlos Offen" Schütze in 
Reihe in der Versorgung der Station vorzusehen und die Schaltspannung 
der Schütze getrennt voneinander über die Adapter und zwei 
"Deckelschalter" (leitend, wenn geschlossen, Mikroschalter, 
Hall-Zellen,...) im Adapter zu führen. Dann noch zusätzlich 
Und-Verknüpfen mit dem Strom der Deckelverriegelung (also Signal nur, 
wenn die Verriegelung aktiv ist) und über den Not-Aus führen und Du 
müsstest ein relativ hohes Sicherheitsniveau mit wenig Mitteln erreichen 
können (vollständig redundante Pfade mit (je nach verwendetem 
"Deckelschalter") sehr geringer jeweiliger "gefährlicher" Ausfallrate).

Allerdings kommt es natürlich auch noch auf diverse Feinheiten an (z.B. 
kein Kurzschluss der Schaltspannung zur Versorgung möglich). Auch muss 
man sich noch Gedanken zur Diagnose machen (z.B. überprüft die schon 
vorhandene Steuerung, dass bei abgestecktem Adapter oder Deckel auf kein 
Schütz-Signal anliegt), um latente Fehler zu erkennen. Im Notfall könnte 
allerdings eventuell sogar eine Signallampe dafür ausreichen (wobei ich 
zugeben muss, dass ich hier die Anforderungen bei Industrieanlagen nicht 
ausreichend kenne).

Die Methode setzt natürlich voraus, dass Stromlos der sichere Zustand 
ist (also keine spezielle Abschaltsequenz für die Sicherheit notwendig 
ist).

Bleibt dann höchstens die Frage, ob durch plötzlich stromlos schalten 
etwas kaputt gehen kann (z.B. durch Induktionsspannungen der Motore) und 
ob die Motore schnell genug anhalten, dass für den unwahrscheinlichen 
Fall, dass die Verriegelung nicht funktioniert, dies jedoch nicht 
erkannt wird, der Benutzer die Abdeckung öffnet.

Ein weiteres Problem das Du hast, ist allerdings, dass die meisten 
Sicherheitsnormen vorschreiben, dass derjenige, der für die Einhaltung 
der Norm verantwortlich ist auch weiß was er tut (also entsprechend 
geschult ist). Und das scheint bei Dir ja nicht der Fall zu sein. 
Insofern solltest Du eine entsprechende Weiterbildung anstreben und Dein 
Konzept und die Umsetzung auf alle Fälle einem externen Auditor vorlegen 
(TÜV,BG,...) - allerdings nicht wundern, welche Preise dabei aufgerufen 
werden (Auditor Automotive Safety z.B. 160 Euro die Stunde). Sonst 
begibst Du Dich und Dein Chef sich direkt in die persönliche 
strafrechtliche Haftung wegen (grober) Fahrlässigkeit.

Schöne Grüße,
Martin