Die Auslegung dezentraler I/O für die Maschinensicherheit umfasst mehr als den Anschluss von Not-Halt-Tastern oder Schutztürschaltern an einen entfernten Schaltschrank mit geringerem Verdrahtungsaufwand. Sensortyp, Kanalstruktur, Diagnosedeckungsgrad, Reaktionszeit der Sicherheitsfunktion, Umgebungsbedingungen im Feld und der Ort der Bereitstellung des sicheren Ausgangs müssen innerhalb einer gemeinsamen Architektur betrachtet werden. Die ASi Safety- und ASi-5 Safety-Produkte von Bihl+Wiedemann bieten verschiedene IP20- und IP67-Optionen, um sicherheitsbezogene und Standardsignale im Feld zu erfassen, über AS-Interface zum Sicherheitsmonitor zu übertragen und Diagnosedaten dem übergeordneten Steuerungssystem bereitzustellen. Dieser Leitfaden erläutert die Produktfamilie anhand ihrer Katalogstruktur und verknüpft jede Leistungsangabe mit dem Datenblatt der ausgewählten Variante und der Risikobeurteilung der Anwendung.
Die eigentliche Aufgabe dezentraler Sicherheits-I/O
Ein sicheres Eingangsmodul ist keine Standard-Eingangskarte, die lediglich den elektrischen Zustand einer Sicherheitseinrichtung im Feld „einliest“. Es unterstützt die Auswertung von Diskrepanzen in einem zweikanaligen Not-Halt-Kreis, des erwarteten Schaltverhaltens von OSSD-Ausgängen oder der Wiederanlaufbedingungen einer Schutzeinrichtung innerhalb der für die Sicherheitsfunktion erforderlichen Architektur. Bei ASi Safety können Sicherheitssignale gemeinsam mit Standarddaten über dasselbe gelbe Profilkabel übertragen werden; der Sicherheitsmonitor wertet die sicheren Codefolgen aus und steuert den definierten Freigabekreis. Dadurch lässt sich die mehradrige Parallelverdrahtung zwischen dem physischen Standort des Sensors und dem Hauptschaltschrank reduzieren.
„Dezentral“ bedeutet nicht, dass Sicherheitsentscheidungen beliebig ins Feld verlagert werden. Die Zuordnung der Eingänge zu den jeweiligen Sicherheitsfunktionen, die Übertragung vom Eingangsmodul zum Monitor, der sichere Ausgang, das Schütz oder der sichere Eingang des Antriebs sowie die Rückführung werden als Gesamtsystem dokumentiert. Standardausgänge im Netzwerk sind nicht automatisch sichere Ausgänge. Ebenso bedeutet die Angabe, dass ein Modul für Anwendungen bis PL e oder SIL 3 geeignet ist, nicht, dass die Maschine dieses Niveau automatisch erreicht. Kategorie, Hardwarefehlertoleranz, Diagnose, Maßnahmen gegen Ausfälle gemeinsamer Ursache, Gebrauchsdauer und Validierungsergebnisse müssen gesondert betrachtet werden.
| Auswahlfrage | Grundsätzlicher Ansatz | Zu prüfendes Detail |
|---|---|---|
| Verfügt das Gerät über potenzialfreie Kontakte? | Für potenzialfreie Kontakte spezifizierte sichere Eingangsvariante | Ein-/Zweikanaligkeit, Testimpulse, Querschlusserkennung und Anschlussplan |
| Verfügt das Gerät über OSSD-Ausgänge? | Sichere Eingangsvariante für OSSD-Signale | Versorgung, Kompatibilität mit OSSD-Testimpulsen, Wiederanlauf und Fehlerreaktion |
| Wird das Modul im Schaltschrank oder im Feld eingesetzt? | IP20 im Schaltschrank; geeignetes IP67-Feldmodul an der Maschine | Temperatur, Bedingungen für die IP-Schutzart, Vibration, M12-Anordnung, Unterteil und Schutzkappen |
| Sind auch Standardsignale vorhanden? | ASi-5 Safety-Modul mit sicheren und Standardkanälen am selben Knoten | Sichere oder Standardfunktion jedes Kanals, AUX-Versorgung sowie Adress- und Datenbelegung |
| Ist ein lokaler sicherer Ausgang erforderlich? | Geeignete I/O- oder Sicherheitsmonitorlösung mit sicherem Ausgang | Ausgangstyp, Last, EDM, Reaktionszeit und Übergang in den sicheren Zustand |
Lösung für den Schaltschrank: Beispiel BWU4187
BWU4187 wird auf der offiziellen Produktseite als 22,5 mm breites IP20 ASi-5 Safety-Eingangsmodul geführt. Genau diese Variante lässt sich für OSSD-Signale mit vier einkanaligen oder zwei zweikanaligen sicheren Eingängen konfigurieren und bietet je nach Konfiguration zusätzlich bis zu acht digitale Standardeingänge und bis zu acht digitale Standardausgänge. Für den einkanaligen Einsatz der sicheren Eingänge nennt die Produktseite eine Eignung für Anwendungen bis SIL 1, Kategorie 2, PL c; für den zweikanaligen Einsatz bis SIL 3, Kategorie 4, PL e. Diese beiden Angaben zeigen deutlich, dass unterschiedliche Beschaltungen desselben Anschlusses nicht gleichwertig sind.
Push-in-Klemmen können die Serienverdrahtung im Schaltschrankbau erleichtern. Dennoch müssen Klemmennummern, die Kanalzuordnung des OSSD-Paars, die Versorgung von Sensoren und Aktoren aus der AUX-Quelle sowie die Tatsache, dass Standardausgänge keine sicheren Ausgänge sind, im Schaltplan eindeutig dargestellt werden. Dass das Modul zahlreiche sichere und Standardsignale unter einer einzigen ASi-5-Adresse übertragen kann, kann Vorteile hinsichtlich Adressbedarf und Schaltschrankplatz bieten. Das Inbetriebnahmeteam muss jedoch die logischen Kanalnamen den tatsächlichen Gerätekennzeichnungen der Maschine zuordnen.
Wann ist diese Variante sinnvoll?
Wenn beleuchtete Taster am Bedienpanel, Standard-Wahlschalter und die sicheren Ausgänge eines OSSD-Geräts im selben lokalen Schaltschrank zusammengeführt werden sollen, kann der multifunktionale Aufbau die Anzahl separater Karten reduzieren. Dass ein einzelnes Modul sämtliche Signale aufnehmen kann, bedeutet jedoch nicht, dass dies für jede Anwendung die beste Anordnung ist. Bei sehr langen Kabelwegen, über verschiedene Bereiche verteilten Feldgeräten oder wenn im Fehlerfall nicht die gesamte Baugruppe ausgetauscht werden soll, kann eine stärker dezentrale Anordnung geprüft werden. Da diese Variante zudem keinen lokalen sicheren Ausgang besitzt, muss gesondert festgelegt werden, welcher Monitor oder welches Feldmodul den sicheren Ausgang zur Unterbrechung der gefahrbringenden Bewegung bereitstellt.
IP67-Feldmodule: Unterscheidung zwischen Kontakten und OSSD
BWU4209 und BWU4210 sind äußerlich sehr ähnliche IP67 ASi-5 Safety-Feldmodule; die Auswahl darf nicht allein anhand des Aussehens erfolgen. Laut offiziellen Produktdaten ist BWU4209 für potenzialfreie Kontakte und BWU4210 für OSSD-Signale ausgelegt. Beide Varianten bieten acht fünfpolige M12-Buchsen, vier einkanalige oder zwei zweikanalige sichere Eingänge, konfigurationsabhängig bis zu zwölf digitale Standard-Ein-/Ausgänge und eine ASi-5-Adresse. Sensoren und Aktoren werden über AUX versorgt; das passende Unterteil ist zusätzlich zu berücksichtigen.
Ein Türschalter mit potenzialfreien Kontakten erzeugt selbst keine elektrische Energie; er arbeitet mit der Prüf- und Auswertelogik des Moduls zusammen. Ein OSSD-Gerät hingegen stellt selbstüberwachte sichere Halbleiterausgänge bereit und kann kurze Testimpulse ausgeben. Der Anschluss an einen falschen Eingangstyp kann zu instabilen Diagnosen, nicht akzeptierten Testimpulsen oder einem Verhalten der Sicherheitsfunktion führen, das nicht den Vorgaben entspricht. Produktcode, Anschlussbelegung, OSSD-Eigenschaften des Sensorherstellers und die aktuelle Betriebsanleitung des Moduls müssen innerhalb derselben Konstruktionsprüfung miteinander abgeglichen werden.
Konstruktive Vorteile der Platzierung im Feld
Wenn Türschalter, Not-Halt-Geräte und Standard-Lichtschranken einer Förderlinie bereichsweise an dasselbe Modul angeschlossen werden, müssen die Sensorkabel nur bis zum nächstgelegenen Knoten geführt werden. Da das ASi-Profilkabel Daten und Versorgung entlang der Linie überträgt, sinkt die Anzahl der zum Hauptschaltschrank zurückgeführten Leiter. Die M12-Anschlüsse des Moduls können Vormontage und Geräteaustausch beschleunigen. Allerdings müssen Steckverbinder korrekt codiert, ungenutzte Ports mit geeigneten Kappen verschlossen und Kabel vor Biege- und Zugbelastungen geschützt werden. Die Kontaktierung des ASi/AUX-Profilkabels muss gemäß den Herstellervorgaben erfolgen.
Die Kennzeichnung IP67 allein ist kein Nachweis für die Eignung unter beliebigen Reinigungs-, Chemikalien- oder Außenbedingungen. Die Schutzart gilt für die vollständig montierte Einheit mit geeigneten Dichtungen und verschlossenen Ports. Umgebungstemperatur, mechanische Stöße, Vibrationen, Öle und Reinigungsmittel müssen zusätzlich abgeglichen werden. Ist das Modulunterteil nicht im Lieferumfang enthalten, darf es in der Stückliste nicht fehlen. Andernfalls kann die mechanische und elektrische Installation nicht abgeschlossen werden, obwohl das richtige Elektronikmodul vor Ort ist.
Der Performance Level lässt sich nicht aus dem Produktetikett ableiten
Auf den Produktseiten der drei Beispiele findet sich die Angabe „in Anwendungen bis Kategorie 4/PL e/SIL 3“. Das bedeutet, dass das Gerät bei korrekt konfigurierter zweikanaliger Architektur Eigenschaften besitzt, die zum Erreichen dieser Obergrenze beitragen können. Der von der Maschine erreichte PL oder SIL wird durch die Berechnung aller Teilsysteme bestimmt, einschließlich Zuverlässigkeit des Eingabegeräts, Verdrahtung, Modul, Kommunikation, Sicherheitslogik, sicherem Ausgang, Schütz oder Antrieb, Prüfintervallen und Diagnose. Die für die einkanalige Option angegebenen niedrigeren Grenzwerte dürfen nicht außer Acht gelassen werden.
Ausgangspunkt ist die Risikobeurteilung: Anhand der Schwere der Gefährdung, der Expositionshäufigkeit und der Möglichkeit zur Vermeidung wird das erforderliche Leistungsziel festgelegt. Anschließend wird die Sicherheitsfunktion eindeutig formuliert, beispielsweise: „Beim Öffnen der Tür wird die drehmomenterzeugende Energie der Motoren im betreffenden Bereich innerhalb der festgelegten Zeit sicher abgeschaltet; nach dem Schließen der Tür erfolgt kein automatischer Wiederanlauf.“ Berechnung und Validierung erfolgen anhand dieser Funktion. Details wie die Reihenschaltung mehrerer Türen, die Möglichkeit einer Fehlermaskierung oder eine gemeinsame AUX-Versorgung können das Gesamtergebnis beeinflussen.
ASi-5 Safety gemeinsam mit Standard-I/O einsetzen
Eine der wesentlichen Eigenschaften von ASi-5 Safety ist die Möglichkeit, mehrere sichere und Standardsignale unter derselben Adresse zu übertragen. So lassen sich ein zweikanaliger Not-Halt und beleuchtete Taster eines Bediengehäuses oder ein OSSD-Gerät und Standard-Zustandssensoren eines Schutzbereichs an demselben Feldknoten zusammenführen. Trotz der Vorteile bei Kosten und Verkabelung muss die Signalart jedes Datenpunkts in den Softwarekennzeichnungen erkennbar bleiben. Ein Standardkanal darf nicht anstelle eines erforderlichen sicheren Eingangs oder Ausgangs der Sicherheitsfunktion verwendet werden.
Die Rolle der AUX-Versorgung muss ebenfalls gesondert dokumentiert werden. Wenn Sensor- und Aktorversorgung aus derselben Hilfsquelle gespeist werden, kann ein Versorgungsausfall mehrere Kanäle betreffen. Unabhängig davon, ob eine Architektur mit sicherer passiver Abschaltung, lokalem sicherem Ausgang oder zentralem Schütz verwendet wird, müssen der Punkt der Energieabschaltung und das Verhalten des Systems bei Spannungswiederkehr geprüft werden. Wiederanlauf-, Reset- und EDM-Logiken dürfen nicht mit der Annahme „bereits im PLC-Programm vorhanden“ ungeklärt bleiben; ihre Zuständigkeit muss in der Sicherheitskonfiguration eindeutig festgelegt werden.
Reaktionszeit und bereichsweises Stillsetzen
Bei der Auswahl eines dezentralen Netzwerks sind nicht nur die maximale Knotenzahl oder die Kabellänge zu bewerten. Die Reaktionszeit des Sensors, die Verarbeitungszeit des Eingangsmoduls, die Zeiten für sichere Kommunikation, Sicherheitsmonitor und Ausgang sowie die Stillsetzzeit des Aktors werden addiert. Wird der Abstand der Schutzeinrichtung zur Gefährdung anhand dieser Gesamtzeit berechnet, müssen die ungünstigsten Werte verwendet werden. Dass das Netzwerk im normalen Zyklus schnell erscheint, ersetzt nicht die dokumentierte maximale Reaktionszeit der Sicherheitsfunktion.
Bei langen Maschinen kann es aus Produktionssicht unnötig sein, mit jedem Not-Halt die gesamte Linie stillzusetzen. Ein bereichsweises Stillsetzen darf jedoch nur umgesetzt werden, wenn die Risikobeurteilung zeigt, dass benachbarte Bereiche sicher bleiben können. Die funktionale Beschreibung muss festhalten, auf welche Bereiche das sichere Signal wirkt, welche Produkte oder mechanischen Energien an den Übergabestellen relevant sind und wie Wiederanlauf und Wartungszugang koordiniert werden. Dezentrale I/O bieten eine flexible Infrastruktur für diese Bereichsaufteilung, legen die sicheren Bereichsgrenzen jedoch nicht eigenständig fest.
Ablauf von Inbetriebnahme und Validierung
- Produktidentität: Elektronikmodul, Unterteil, Buchsenanordnung, vollständige Artikelnummer und Datenblattversion werden mit der Stückliste abgeglichen.
- Elektrische Kompatibilität: OSSD- oder potenzialfreier Kontakttyp, Ein-/Zweikanaligkeit, AUX-Spannung, Pinbelegung sowie Vorgaben für Schirmung und Erdung werden überprüft.
- ASi-Installation: Adresse, Polarität des Profilkabels, Durchdringungskontaktierung, Topologie, Leistungsbilanz und zulässige Leitungsbedingungen werden kontrolliert.
- Logiktest: Jeder Sensor wird einzeln betätigt. Dabei wird geprüft, ob er die richtige Sicherheitsfunktion auslöst und nicht zu unerwarteten Auswirkungen auf unbeteiligte Bereiche führt.
- Fehlerinjektion: Kanalunterbrechung, Diskrepanz zwischen den Kanälen, OSSD-Fehler, AUX-Ausfall, Unterbrechung der ASi-Kommunikation und Fehler der Ausgangsrückführung werden nach einem sicheren Verfahren getestet.
- Wiederanlauf: Es wird überprüft, dass nach Spannungswiederkehr, dem Schließen der Tür und der Fehlerbehebung keine unerwartete Bewegung auftritt.
- Dokumentation: Gemessene Reaktionszeiten, Prüfergebnisse, Softwareversion, Prüfsumme und freigebende Person werden im Änderungsmanagement erfasst.
Diagnose in die Sprache der Instandhaltung übersetzen
Ein wesentlicher Vorteil dezentraler I/O ist die detaillierte Diagnose, die Fehler bis zum jeweiligen Feldanschlusspunkt eingrenzt. Damit dies wirksam wird, reicht die Anzeige „Sicherheitsfehler“ auf dem Bildschirm nicht aus. Die Meldung sollte den Maschinenbereich, das Betriebsmittelkennzeichen, den Kanal, den erwarteten Zustand und einen möglichen Prüfschritt enthalten. Beispielsweise verkürzt die Meldung „Türschalter Bereich 4, beide Kanäle nicht gleichzeitig geschaltet“ die Instandhaltungszeit gegenüber einer allgemeinen Netzwerkmeldung erheblich. Die Anzeige des Sicherheitszustands auf der Benutzeroberfläche bedeutet nicht, dass die sicherheitsgerichtete Entscheidung im HMI getroffen wird; das HMI ist ein Diagnosewerkzeug.
Beim Gerätetausch müssen Adresse und Parameter kontrolliert übertragen werden. Eine Verwechslung der baugleichen Geräte BWU4209 und BWU4210 führt dazu, dass die Kontakt- und OSSD-Funktionen nicht übereinstimmen. Im Ersatzteillager sollten die vollständige Artikelnummer, der Revisionsstand und das erforderliche Submodul gemeinsam hinterlegt sein; nach dem Austausch ist die Funktionsprüfung auch dann zu wiederholen, wenn die Konfiguration automatisch übertragen wird. Der Abgleich der Zeitstempel von Diagnoseaufzeichnungen mit Beobachtungen im Feld und PLC-Ereignissen erleichtert die Ursachenanalyse sporadischer Fehler.
Checkliste für Angebot und Projektstart
- Gefährdung, erforderlicher PLr/SIL-Zielwert, sicherer Zustand und maximale Reaktionszeit jeder Sicherheitsfunktion
- Anzahl der potenzialfreien Kontakte, OSSD, Standardeingänge, Standardausgänge, EDM und sicheren Ausgänge
- Ein-/zweikanalige Architektur, Gleichzeitigkeit, Testimpulsverträglichkeit und Wiederanlaufverhalten
- Anordnung in IP20/IP67, M12-Leitungen, Submodule, Abdeckungen, Umgebungs- und Reinigungsbedingungen
- ASi-5-Adressplan, Topologie, Profilkabel, AUX-Leistungsbilanz und Spannungsfall
- Anschlusspunkt des sicheren Ausgangs, Lasttyp, Schütz- oder Antriebsschnittstelle und Rückführung
- Zuständigkeitsgrenzen für Sicherheitsmonitor, sichere Verbindung, Standardfeldbus und Diagnosedaten
- Berechnungsdatei, Softwareversion, Datensicherung, Validierungsprotokoll und Plan für wiederkehrende Prüfungen
Eine passend ausgewählte sichere I/O-Architektur von Bihl+Wiedemann reduziert den Verkabelungsaufwand und macht zugleich die Zuständigkeitsgrenzen zwischen Feld und Schaltschrank transparenter. Ein fundiertes Projekt führt die genaue Variante, den tatsächlichen Sensortyp, die Art der Energieabschaltung und die validierte Sicherheitsfunktion in derselben Dokumentation zusammen, statt lediglich den Maximalwert der Produktfamilie zu wiederholen.
