Bei Installation, Einrichtung, Fehlersuche oder Reinigung lassen sich nicht immer alle Schutzbedingungen des Produktionsbetriebs unverändert aufrechterhalten. Die sichere Betriebsartenwahl verwaltet diese Sonderfälle in einem definierten Prozess, statt sie zu einer unkontrollierten „Überbrückung“ werden zu lassen: Sie legt fest, wer welche Betriebsart wählen darf, wie die Auswahl überprüft wird und welche Sicherheitsfunktionen in jeder Betriebsart aktiv bleiben. Die Lösung Mode of Safe Operation von Bihl+Wiedemann ermöglicht die Vorwahl über ein Standard-HMI, die Begrenzung der Berechtigung über ein elektronisches Schlüsselsystem und die sichere Aktivierung durch den Safety Monitor. Dieser Ansatz ersetzt weder die Risikobeurteilung noch die maschinenspezifische Validierung.
Welche Aufgaben löst die sichere Betriebsartenwahl?
In der automatischen Produktion trennen Türzuhaltungen, Lichtvorhänge und feststehende trennende Schutzeinrichtungen den Bediener von gefährlichen Bewegungen. Beim Einrichten muss der Bediener möglicherweise das Werkstück, das Werkzeug oder den Bewegungsmechanismus sehen können. Die Tür zu öffnen und einen Sensor zu überbrücken, mag schnell erscheinen; dadurch wird jedoch unklar, unter welchen Sicherheitsbedingungen die Maschine arbeitet, und eine vorübergehende Lösung kann zu einem dauerhaften Risiko werden. Die sichere Betriebsartenwahl definiert alternative Betriebsbedingungen bereits in der Konstruktionsphase und aktiviert sie nur mit den dafür zulässigen Sicherheitsfunktionen.
Eine „Betriebsart“ ist nicht nur ein auf dem HMI geändertes Rezept. Mit der Betriebsart können sich die Zulässigkeit eines automatischen Starts, Bewegungsgeschwindigkeit, Bewegungsrichtung, Achse oder Bereich, die aktiven Schutzeinrichtungen, die Notwendigkeit einer Befehlseinrichtung mit selbsttätiger Rückstellung oder einer Zustimmungseinrichtung sowie das Rücksetz- und Wiederanlaufverhalten ändern. Die Sicherheitsfunktionen jeder Betriebsart sind in separaten Zeilen zu definieren. Wird eine Funktion deaktiviert, muss klar erkennbar sein, welche risikomindernde Maßnahme an ihre Stelle tritt. Ein „Servicemodus“, in dem zugunsten des Produktionsziels sämtliche Schutzmaßnahmen abgeschaltet werden, ist keine sichere Betriebsartenwahl.
| Konstruktionsfrage | Sicherer Ansatz | Zu vermeidende Annahme |
|---|---|---|
| Wo erfolgt die Auswahl? | Das HMI zeigt dem Benutzer die Vorwahl an; der Safety Monitor überprüft die Auswahlsequenz und aktiviert die Betriebsart | Ein HMI-Bit allein ist ein sicherer Befehl |
| Wer darf die Betriebsart wechseln? | Die Berechtigungsstufe wird über einen elektronischen Schlüssel oder eine gleichwertige Verwaltung begrenzt | Jeder, der das Passwort kennt, kann dasselbe Risiko beherrschen |
| Was geschieht bei reduziertem Schutz? | Eine Maßnahme wie sicher reduzierte Geschwindigkeit, sicherer Stillstand, sichere Bewegungsrichtung oder eine Zustimmungseinrichtung wird wirksam | Das Risiko ist akzeptabel, weil die Wartung nur kurz dauert |
| Gibt es mehrere Maschinenteile? | Betriebsart, Grenzen und Wechselwirkungen mit dem benachbarten Bereich werden für jeden Maschinenteil unabhängig definiert | Die gesamte Linie muss gleichzeitig dieselbe Betriebsart verwenden |
| Was geschieht bei Wiederkehr der Energieversorgung oder Kommunikation? | Gültige Berechtigung und sichere Auswahl werden erneut überprüft; ein unerwarteter Anlauf wird verhindert | Die letzte Betriebsart kann automatisch fortgesetzt werden |
Die Auswahlkette der Lösung von Bihl+Wiedemann
Die offizielle Seite zu Mode of Safe Operation beschreibt einen Ablauf, bei dem auf einem Standard-Touchpanel nur die Betriebsarten angezeigt werden, die sich mit der aktuellen Berechtigung aktivieren lassen. Wählt der Benutzer eine Betriebsart aus, ist dieser erste Schritt eine Vorwahl. Der Safety Monitor überprüft die Vorwahl und zeigt dem Benutzer das überprüfte Ergebnis erneut an. Mit der zweiten Bestätigung durch den Benutzer wird die betreffende Betriebsart in der sicheren Logik aktiviert. Dieser rückgekoppelte Ablauf verhindert, dass eine Berührung der falschen Bildschirmstelle oder eine Datenabweichung zwischen HMI und Monitor unmittelbar als sichere Auswahl akzeptiert wird.
Bihl+Wiedemann gibt an, dass mit dem TÜV-zertifizierten Funktionsbaustein in ASIMON360 fünf verschiedene Betriebsarten für sechs separate Maschinenteile unabhängig konfiguriert werden können und die Lösung bis PL e einsetzbar ist. Diese Zahlen und dieses Niveau sind Produkteigenschaften der Lösung; nicht jede Maschine muss fünf Betriebsarten verwenden, und PL e wird nicht automatisch erreicht. Die gewählte Safety-Monitor-Variante, die HMI-Kommunikation, die Berechtigungsvergabe, die Sicherheitsfunktionen, die Feldgeräte und die Ausgangskette werden gemeinsam validiert.
Berechtigung und sichere Auswahl sind nicht dasselbe
Das elektronische Schlüsselsystem hilft dabei, Benutzergruppen wie Wartungstechnikern, Einrichtern und Produktionsbedienern unterschiedliche Zugriffsrechte auf Betriebsarten zuzuweisen. Auf der offiziellen Seite erläutert Bihl+Wiedemann, dass mit dem elektronischen Schlüsselsystem Euchner EKS fünf verschiedene Schlüsselstufen den Betriebsarten zugeordnet werden können. Die Berechtigung erlaubt einem Benutzer, die Betriebsart auszuwählen; die sicherheitstechnisch korrekte Verarbeitung der Auswahl gewährleistet dagegen die Logik des Safety Monitors. Diese beiden Aufgaben ersetzen einander nicht.
Die Weitergabe oder der Verlust eines Schlüssels, das unterlassene Abziehen am Schichtende oder eine nicht im System nachgeführte Änderung der Benutzeraufgabe stellen betriebliche Risiken dar. Die Berechtigungsmatrix sollte personen- oder rollenbezogen verwaltet werden; ein Verfahren zum Entzug von Berechtigungen und eine Kontrolle der Ersatzschlüssel sind festzulegen. Auf dem HMI sollten der aktive Benutzer, der ausgewählte Maschinenteil und die aktive Betriebsart sichtbar sein. Gleichzeitig müssen die Regelungen zu personenbezogenen Daten, Benutzerprotokollen und Fernzugriffen mit den Cybersicherheitsvorgaben des Standorts übereinstimmen.
Lokale Sicherheit und Geschwindigkeitsüberwachung: BWU2852
Der BWU2852 ist ein Safety Basic Monitor mit erweitertem Funktionsumfang. Die offizielle Produktseite beschreibt das Gerät als kompakte Steuerung mit lokalen sicheren Ein- und Ausgängen, Safe Link, einer Ethernet-Diagnoseschnittstelle und einer sicheren Stillstands- und Geschwindigkeitsüberwachung über Signale von Näherungssensoren (Initiatoren). Diese Kombination von Eigenschaften kann für maschinenspezifische Funktionen in Betracht gezogen werden, etwa zur Überwachung der ausschließlich zulässigen niedrigen Geschwindigkeit bei geöffneter Tür im Einrichtbetrieb. Welche Eingänge für die Geschwindigkeitsüberwachung nutzbar sind, wie viele Achsen unterstützt werden und welche Frequenzgrenze gilt, ist anhand des vollständigen Datenblatts festzulegen.
Eine sicher reduzierte Geschwindigkeit entsteht nicht dadurch, dass der Standard-Drehzahlsollwert des Antriebs auf einen kleinen Wert eingestellt wird. Die Bewegung muss unabhängig oder innerhalb einer geeigneten Architektur erfasst werden, der sichere Ausgang muss bei einer Grenzwertüberschreitung innerhalb einer definierten Zeit abschalten, und der mechanische Anhalteweg muss akzeptabel sein. Sensoranzahl, Kanalstruktur, Übersetzungsverhältnis, Impulsfrequenz und die Wahrscheinlichkeit von Fehlern gemeinsamer Ursache werden berechnet. Die Produktseite des BWU2852 nennt die Eignung für Anwendungen bis Kategorie 4/PL e/SIL 3; das tatsächlich erreichte Ergebnis hängt von der gewählten Architektur zur Geschwindigkeitsüberwachung und der gesamten Sicherheitskette ab.
Wie sollte die Bewegungsfreigabe beim Betriebsartenwechsel aufgebaut sein?
Wird beispielsweise „Einrichten“ vorgewählt, kann der Safety Monitor die Berechtigung, die Bestätigung der Auswahl, den Zustand der betreffenden Tür, die Zustimmungseinrichtung und die Bereitschaftsmeldung der Geschwindigkeitsüberwachung gemeinsam auswerten. In der maschinenspezifischen Logik wird festgelegt, dass beispielsweise das Entriegeln der Türzuhaltung erst nach Überprüfung der sicher reduzierten Geschwindigkeit freigegeben wird oder dass der sichere Ausgang bei Überschreitung der Geschwindigkeitsgrenze abschaltet. Die aktive Betriebsart allein darf keinen Bewegungsbefehl erzeugen; die Standardsteuerung und zusätzliche Zustimmungsbedingungen bleiben davon getrennt.
Bei der Rückkehr aus dieser Betriebsart in den Produktionsbetrieb wird überprüft, dass alle Schutzeinrichtungen wieder aktiv sind, die Türen geschlossen und zugehalten sind und weder vorübergehend eingesetzte Werkzeuge noch Personen im Gefahrenbereich verbleiben. Die Benutzerbestätigung kann lediglich eine der Voraussetzungen für die Rücksetzfunktion sein; das Rücksetzen darf eine gefährliche Bewegung nicht automatisch starten. Dieses Verhalten muss im HMI-Text und in der Bedieneranweisung eindeutig dargestellt werden.
Sichere Geschwindigkeit und Position mit Drehgeber: BWU2849
Bei manchen Maschinen können einfache Impulse von Näherungssensoren die Geschwindigkeitsgrenze oder Position nicht mit ausreichender Auflösung überwachen. Der BWU2849 wird in den offiziellen Produktdaten als modularer ASi Speed Monitor beschrieben, der sin/cos-, TTL- und SSI-Drehgebersignale unterstützt. Er verfügt über zwei schnelle elektronische sichere Ausgangskreise und zwei RJ45-Drehgeberanschlüsse; in geeigneten sin/cos- oder TTL-Konfigurationen können bis zu zwei Achsen überwacht werden. Das Datenblatt des Herstellers weist darauf hin, dass SSI in der Sicherheitsanwendung einen zweiten Drehgeber als Referenz erfordert; in diesem Fall können die beiden Drehgeberanschlüsse für eine einzige sichere Achse verwendet werden. Der unterstützte Signaltyp, die Drehgeberversorgung, die Adapterkabel und die Methode zum parallelen Abgriff der Signale zum Antriebsregler müssen anhand der vollständigen Produktanleitung überprüft werden.
Zusammen mit der sicheren Betriebsartenwahl lassen sich Bedingungen wie Positionsbereich, Bewegungsrichtung, Stillstand oder niedrige Geschwindigkeit definieren. Beispielsweise kann eine manuelle Bewegung nur in einem bestimmten mechanischen Bereich und bei reduzierter Geschwindigkeit freigegeben werden. Dieses Beispiel bedeutet jedoch nicht, dass der BWU2849 bei jeder Maschine sämtliche Funktionen allein bereitstellt. Die sicheren Bewegungsfunktionen, die gewählte Drehgeberarchitektur, das Antriebsverhalten, die Monitorkonfiguration und die Wirkung der sicheren Ausgänge auf den Aktor werden gemeinsam validiert.
Zentrale Auswahl bei Maschinen mit mehreren Maschinenteilen: BWU3961
Der BWU3961 ist eine Gateway-Variante mit zwei ASi-5/ASi-3-Mastern, POWERLINK-Schnittstelle und integriertem ASi-5/ASi-3 Safety Monitor. Das offizielle Datenblatt führt für dieses Gerät die Unterstützung von Mode of Safe Operation, Safe Link, konfigurationsabhängig sechs einkanalige oder drei zweikanalige sichere Eingänge, sechs davon getrennte elektronische sichere Ausgänge, einen OPC UA-Server, eine REST API und webbasierte Diagnose auf. Ein solches Gateway kann in Betracht gezogen werden, um die Betriebsartenwahl über das HMI für das übergeordnete Steuerungssystem sichtbar zu machen und zugleich die sichere Aktivierung im integrierten Monitor zu belassen.
Zwei ASi-Netze können bei langen oder in Abschnitte unterteilten Maschinen helfen, Feldgeräte in physische und logische Gruppen aufzuteilen. Bihl+Wiedemann gibt an, dass die Lösung bis zu sechs unabhängige Instanzen der Betriebsartenwahl unterstützt; ob ein Maschinenteil im Einrichtbetrieb arbeiten darf, während ein anderer im Produktionsbetrieb bleibt, wird dennoch durch die Risikobeurteilung bestimmt. Bei gemeinsamen Bewegungen, herabfallendem Material, Quetschgefahren oder dem Eingreifen eines benachbarten Roboters im Übergabebereich können die Bereiche nicht als vollständig unabhängig betrachtet werden. Die erforderlichen gegenseitigen Freigaben müssen über Safe Link oder lokale sichere Signale umgesetzt werden.
Die Rolle des Standard-HMI im sicheren System
Die Lösung erlaubt den Einsatz eines Standard-HMI. Dies bietet den Vorteil, dass die Maschinendarstellung, die Bezeichnungen der Maschinenteile und die aktive Betriebsart für den Bediener verständlich angezeigt werden können. Das HMI listet auf, welche Betriebsarten mit der aktuellen Berechtigung wählbar sind, übermittelt die Vorwahl und zeigt die vom Safety Monitor überprüfte Auswahl erneut an. Da die sichere Aktivierung im Monitor erfolgt, gilt das HMI-Panel selbst nicht als sichere Steuerung.
Bei der Gestaltung der Benutzeroberfläche sollte statt ähnlicher Bezeichnungen und Farben eine eindeutige Sprache verwendet werden. Anstelle unklarer Bezeichnungen wie „Manuell 1“ und „Manuell 2“ können zweckbezogene Beschreibungen wie „Werkzeugeinrichtung – niedrige Geschwindigkeit“ oder „Reinigung – Bewegung verboten“ bevorzugt werden. Die aktive Betriebsart, der ausgewählte Maschinenteil und die verbleibenden Schutzbedingungen sollten dauerhaft sichtbar sein. Unterscheiden sich die Vorwahl auf dem Touchscreen und die tatsächlich aktive Betriebsart, muss dieser Unterschied für den Benutzer deutlich erkennbar sein.
Funktionsbaustein und Versionsverwaltung in ASIMON360
Die Funktion Mode of Safe Operation wird in der ASIMON360-Konfiguration aktiviert; die wählbaren Betriebsarten werden den Berechtigungsstufen zugeordnet, und der zugehörige MSO-Baustein wird in der Sicherheitslogik verwendet. Laut offizieller Seite lassen sich die Auswahl von bis zu fünf Betriebsarten und sechs separate Instanzen frei konfigurieren. Die Bausteinverknüpfungen, aktiven Sicherheitsfunktionen und Ausgänge jeder Betriebsart sollten mit der Anforderungsmatrix abgeglichen werden. Das Ändern der Bezeichnung des Maschinenteils in einer kopierten Instanz ist kein Nachweis dafür, dass die sicheren Verknüpfungen korrekt geändert wurden.
Konfigurationsdatei, Firmware, HMI-Bild und Benutzerberechtigungstabelle sollten demselben Änderungspaket zugeordnet werden. Wird die Bezeichnung einer Betriebsart im HMI geändert, während sie in der Sicherheitslogik ihre bisherige Bedeutung behält, kann dies zu schwerwiegenden Bedienfehlern führen. Die Prüfsumme der freigegebenen Version, das Sicherungsmedium des Geräts und das Wiederherstellungsverfahren sollten dokumentiert werden. Nach einer Änderung wird nicht nur das Öffnen des neuen Bildes geprüft; sämtliche betroffenen Betriebsartenübergänge werden erneut getestet.
Übergangszustände sind mindestens ebenso wichtig wie die Betriebsarten selbst
Beim Wechsel vom Produktionsbetrieb in den Einrichtbetrieb, vom Einrichtbetrieb in den Wartungsbetrieb oder von einer bereichsbezogenen Betriebsart zum Gesamtstillstand darf sich das System auch kurzzeitig nicht in einem undefinierten Zustand befinden. Während der Vorwahl bleiben die Sicherheitsbedingungen der bisherigen Betriebsart wirksam; die neue Betriebsart wird erst nach abgeschlossener Validierung durch den Safety Monitor und Bestätigung durch den Benutzer aktiv. Bei Zeitüberschreitung, widersprüchlichen Anforderungen oder Kommunikationsunterbrechung muss die Vorwahl abgebrochen werden und die Maschine im definierten sicheren Zustand bleiben.
Ob die aktive Betriebsart beim Entfernen des elektronischen Schlüssels sofort aufgehoben wird, ist anwendungsabhängig festzulegen. Eine sofortige Aufhebung kann bei manchen Maschinen einen sicheren Stopp bewirken, bei anderen Prozessen jedoch zusätzliche Gefährdungen verursachen. Ebenso kann es ungeeignet sein, nach Wiederkehr der Energieversorgung die zuletzt gespeicherte Betriebsart wiederherzustellen. Das korrekte Verhalten wird anhand der Risikoanalyse, der Betriebsanweisung und der durch die Herstellerfunktionen zulässigen Konfiguration festgelegt; die Testergebnisse fließen in die Bedienerschulung ein.
Fehlerszenarien für FAT und SAT
- Unberechtigte Auswahl: Es wird geprüft, dass bei unzureichender Berechtigungsstufe unzulässige Betriebsarten nicht angezeigt oder nicht aktiviert werden können.
- Falscher Bereich: Es wird geprüft, dass die Auswahl für einen Bereich keine unerwartete Änderung der Sicherheitsfunktionen im benachbarten Bereich bewirkt.
- Verlust der Vorwahl: Die HMI-Kommunikation wird zwischen Vorwahl und Bestätigung unterbrochen; das System muss im bisherigen sicheren Zustand bleiben.
- Geschwindigkeitsüberschreitung: Die für den Einrichtbetrieb festgelegte sichere Geschwindigkeitsgrenze wird kontrolliert überschritten und die Reaktion der sicheren Ausgänge gemessen.
- Sensorfehler: Das erwartete sichere Verhalten bei einem Fehler am Encoderkanal, Initiator, Türschalter oder Zustimmgerät wird überprüft.
- Berechtigungsverlust: Die Szenarien Entfernen des elektronischen Schlüssels, ungültiger Schlüssel und gesperrter Benutzer werden getestet.
- Wiederkehr der Energieversorgung: Es wird geprüft, dass beim Einschalten von HMI, Gateway, Safety Monitor und Feldmodulen in unterschiedlicher Reihenfolge keine automatische Bewegung erfolgt.
- Versionskonflikt: Eine nicht übereinstimmende Versionskombination von HMI und Sicherheitskonfiguration wird erkannt oder durch das Inbetriebnahmeverfahren verhindert.
Checkliste für Projekt und Angebot
- Zweck jeder Betriebsart, zulässige Bewegungen, aktive Schutzeinrichtungen und unzulässige Vorgänge
- Erforderliche PLr/SIL-Zielwerte, sicherer Zustand, Reaktionszeit und kompensierende Maßnahmen für jede Betriebsart
- Maschinenbereiche, gemeinsame Gefährdungen, Übergabestellen und sichere Freigaben zwischen den Bereichen
- Ablauf der HMI-Vorwahl, Validierungsrückmeldung, zweistufige Bestätigung und Verhalten bei Zeitüberschreitung
- Benutzerrollen, Berechtigungsstufen elektronischer Schlüssel, Verfahren bei Verlust/Sperrung und Ereignisprotokolle
- Vollständiger Produktcode des Safety Monitors oder Gateways, ASi-Netzwerke, Safe Link und übergeordnete Feldbusschnittstelle
- Sensor oder Encoder für sichere Geschwindigkeit/sicheren Stillstand/sichere Position, mechanische Übersetzungsverhältnisse, Auflösung und Fehlerreaktion
- Versionsabhängigkeiten zwischen ASIMON360-, HMI- und PLC-Projekten, Datensicherung und Änderungsmanagement durch berechtigte Personen
- FAT/SAT-Fehlerinjektion, gemessene Anhaltezeiten, Bedienerschulung und wiederkehrende Prüfungen
Die sichere Betriebsartenwahl soll Wartungsarbeiten nicht erschweren, sondern den Betrieb außerhalb der Produktion transparent und überprüfbar machen. Die Lösung von Bihl+Wiedemann kann Standard-HMI, Berechtigungsverwaltung, Safety Monitor und bei Bedarf sichere Bewegungsüberwachung in einer gemeinsamen Architektur vereinen. Das angestrebte Sicherheitsniveau wird jedoch nur mit einer maschinenspezifischen Betriebsartenmatrix, den richtigen Produktvarianten und einer Validierung erreicht, die auch die Übergangszustände umfasst.
