SICK Sicherheitssysteme und -lösungen: Leitfaden zur Auslegung der Maschinensicherheit

Maschinensicherheit ist keine einzelne Produktauswahl, die mit dem Einbau eines gelben Sensors in die Anlage abgeschlossen ist. Gefährdungen müssen identifiziert, Risiken beurteilt, erforderliche Sicherheitsfunktionen festgelegt, Erfassungseinrichtung und sichere Logik ausgewählt, gefahrbringende Bewegungen zuverlässig stillgesetzt und die gesamte Wirkungskette validiert werden. Auch wenn eine stationäre Maschine, eine Roboterzelle, ein Fördertechnikübergang und ein mobiler Roboter denselben Arbeitsbereich nutzen, benötigen sie je nach Annäherungsgeschwindigkeit, Zugangsweg, Nachlaufzeit und Fehlerfolgen unterschiedliche Schutzarchitekturen.

Dieser Katalog und Projektleitfaden betrachtet den Sicherheits-Laserscanner microScan3, die Sicherheitssteuerung Flexi Soft und die sichere 3D-Kamera safeVisionary2 von SICK als konkrete Beispiele mit unterschiedlichen Aufgaben. Dass diese Produkte gemeinsam eingesetzt werden können, bedeutet nicht, dass jede Anwendung alle drei Komponenten benötigt. Die geeignete Lösung muss mit einer Risikobeurteilung beginnen. Der erforderliche Performance Level oder SIL, die Ansprechzeit, das Schutzfeld und die Architektur der sicheren Ausgänge müssen anhand der aktuellen Unterlagen zum gewählten Bestellcode überprüft werden.

Definieren Sie zuerst die Sicherheitsfunktion, dann das Produkt

„Wenn eine Person den Bereich betritt, soll die Maschine anhalten“ ist ein Ausgangspunkt, aber noch keine validierbare Sicherheitsfunktion. Es muss eindeutig festgelegt werden, welcher Bereich aus welcher Richtung zugänglich ist, an welcher Stelle die Erfassung erfolgt, innerhalb welcher Zeit die gefahrbringende Bewegung zum Stillstand kommt, wie ein Wiederanlauf verhindert wird und welcher sichere Zustand im Fehlerfall gilt. Das Schutzfeld muss den Zugang nicht nur während des Betriebs, sondern auch beim Einrichten, Reinigen, Werkzeugwechsel, bei der Instandhaltung und bei der Störungsbeseitigung abdecken.

Die erforderliche Sicherheitsleistung wird für das gesamte Teilsystem bewertet. Ein hoher Performance Level oder SIL des Sensors allein belegt nicht, dass die gesamte Funktion einschließlich Verdrahtung, Sicherheitslogik, Schützen, Antrieb und mechanischem Stillsetzen dasselbe Niveau erreicht. Bei der Architektur werden Ausfälle gemeinsamer Ursache, Prüfumfang, Diagnose, Gebrauchsdauer und Komponentendaten berücksichtigt. Die umgesetzte Lösung muss durch fachkundige Personen gemäß den einschlägigen Normen und örtlichen Rechtsvorschriften validiert werden.

microScan3: konfigurierbare zweidimensionale Bereichsabsicherung

Die SICK microScan3-Familie umfasst Sicherheits-Laserscanner zur Einrichtung horizontaler oder vertikaler Schutzfelder in stationären und mobilen Anwendungen. Die offizielle Produktseite nennt für die Familie die safeHDDM-Scantechnologie, einen Scanwinkel von 275 Grad, eine Schutzfeldreichweite von bis zu 9 Metern, bis zu 128 frei konfigurierbare Felder und bis zu 8 gleichzeitige Schutzfelder. Diese Maximalwerte gelten nicht gleichermaßen für jedes Modell. Reichweite, Feldanzahl, Anschlüsse und Sicherheitseigenschaften der Varianten Core, Pro und mit Netzwerkschnittstelle müssen jeweils gesondert geprüft werden.

Ein Laserscanner kann bei bodennaher horizontaler Bereichsabsicherung die Annäherung einer Person und bei vertikaler Anordnung einen Zugriff oder eine Konturverletzung erkennen. Bei mobilen Robotern können abhängig von Geschwindigkeit und Fahrtrichtung unterschiedliche Feldsätze ausgewählt werden. Ein Scanner ist jedoch keine mechanische Barriere. Ist der Zugang zur Gefährdung oberhalb, unterhalb oder hinter der Scanebene möglich, sind zusätzliche Schutzmaßnahmen erforderlich. Blindbereiche, Säulen, überstehende Lasten, der Bremsweg des Fahrzeugs und Höhenunterschiede im Boden müssen bei der Anlagenplanung berücksichtigt werden.

Unterscheiden Sie Schutz- und Warnfelder nach ihrer Funktion

Ein Warnfeld kann bei Annäherung einer Bedienperson eine vorgelagerte Reaktion zur Unterstützung der Produktivität auslösen, etwa eine Geschwindigkeitsreduzierung oder eine optisch-akustische Warnung. Eine Schutzfeldverletzung hingegen fordert die Sicherheitsfunktion an. Das Warnfeld ersetzt nicht das erforderliche Schutzfeld. Bei einem mobilen Fahrzeug muss bei höherer Geschwindigkeit ein längeres Feld oder bei einem Richtungswechsel ein geeigneter Feldsatz ausgewählt werden. Die Zuverlässigkeit der Feldumschaltsignale, die Umschaltreihenfolge und unerwartete Kombinationen müssen in der Sicherheitslogik untersucht werden.

Die safeHDDM-Technologie des Scanners wird auf der Produktseite mit dem Vorteil eines robusten Betriebs gegenüber Einflüssen wie Staub und Umgebungslicht beschrieben. Dies bedeutet keine uneingeschränkte Unempfindlichkeit gegenüber Umwelteinflüssen. Verschmutzungen der Optikhaube, starke Kondensation, sichtbehindernde Gegenstände, fehlerhafte Montage oder Lichtverhältnisse außerhalb der angegebenen Grenzen müssen weiterhin berücksichtigt werden. Die Montageposition muss vor Stoß-, Vibrations- und Reinigungsrisiken geschützt werden. Diagnosemeldungen sind in die Instandhaltungsplanung einzubeziehen.

Flexi Soft: die Logikebene zwischen Sensor und sicherer Bewegung

Flexi Soft ist im SICK Portfolio als softwareprogrammierbare modulare Sicherheitssteuerung enthalten. Hauptmodule, digitale und analoge Ein-/Ausgangsmodule, Gateways, Motion Control und Relaismodule lassen sich anwendungsabhängig kombinieren. Die Speicherung der Konfiguration im Systemstecker und die lizenzfreie Software Flexi Soft Designer sind Eigenschaften der Produktfamilie, die Inbetriebnahme und Gerätetausch unterstützen. Die erforderliche Anzahl von Modulen und Kanälen wird entsprechend der Gleichzeitigkeit der Sicherheitsfunktionen und dem vorgesehenen Kommunikationsnetz ausgewählt.

Die Sicherheitssteuerung kann Signale von Not-Halt-Geräten, Türschaltern, Lichtvorhängen oder Laserscannern logisch verknüpfen und in sichere Ausgangssignale umsetzen. Die programmierte Logik ersetzt jedoch nicht die Risikobeurteilung. Funktionen wie Rücksetzbedingung, Wiederanlaufsperre, Betriebsartenwahl, Wartungs-Bypass und Muting müssen manipulationsgeschützt ausgelegt und validiert werden. Wird ein Betriebsartenwahlbit aus einer Standard-PLC für eine Sicherheitsentscheidung verwendet, muss die Zuverlässigkeit des Signals gesondert betrachtet werden.

Entscheidungen zu Netzwerk, Reihenschaltung und Bewegungsüberwachung

Laut SICK Produktseite unterstützt Flexi Line die sichere Vernetzung von bis zu 32 Flexi Soft-Stationen und Flexi Loop die Reihenschaltung von bis zu 32 Sicherheitssensoren als Funktionen der Produktfamilie. Diese Zahlen gelten unter den jeweiligen Hardware- und Konfigurationsbedingungen. Eine Reihenschaltung kann den Verkabelungsaufwand reduzieren. Die detaillierte Diagnose jedes Geräts, die Gesamtansprechzeit, die Leitungslänge und das Fehlerverhalten müssen jedoch anhand der Produktunterlagen ermittelt werden. Ein Standard-Feldbus und ein sicheres Protokoll sind nicht dasselbe.

Beim Safe Motion-Ansatz können Informationen zu Geschwindigkeit, Richtung oder Position Bestandteil der Sicherheitsfunktion sein. Die mechanische Anbindung des Encoders, die Signaldiversität, die Antriebsfunktion und die Steuerungslogik müssen gemeinsam validiert werden. Es reicht nicht aus, lediglich einen Standard-Geschwindigkeitswert auf einen Sicherheitseingang zu kopieren. Bei einer netzwerkbasierten Lösung werden das sichere Kommunikationsprotokoll, kompatible Geräteversionen, die Netzwerkaktualisierungszeit und das Verhalten bei Verbindungsverlust in die Abnahmeprüfung einbezogen.

safeVisionary2: sichere dreidimensionale Umgebungserfassung

safeVisionary2 ist die sicherheitszertifizierte 3D-Time-of-Flight-Kamerafamilie von SICK. Die offizielle Produktseite nennt Performance Level c, eine Schutzfeldreichweite von bis zu 4 Metern, zwei gleichzeitige Schutzfelder, acht Überwachungsfälle, Messdaten über Gigabit Ethernet und die Gehäuseschutzarten IP65/IP67. Auf derselben Seite werden Messdaten mit 30 Bildern pro Sekunde bei einer Auflösung von 512 × 424 Pixeln sowie Abmessungen von 70 × 80 × 77 mm angegeben. Diese Werte müssen anhand des Datenblatts und der Betriebsbedingungen der ausgewählten Variante überprüft werden.

Die dreidimensionale Erfassung kann mobilen Robotern helfen, Vorsprünge oberhalb der Laserscanebene zu erkennen, Restrisiken durch Hineinbeugen oder Hineinreichen in Roboterzellen zu überwachen und bei geeigneter Auslegung Absturzgefahren zu erkennen. Die Kamera kann zugleich Entfernungs- und Intensitätsdaten für die Automatisierung bereitstellen. Die Aufgaben des Sicherheitsausgangs und der Standard-Messdaten müssen in der Software getrennt werden. Die Verfügbarkeit von Automatisierungsdaten bedeutet nicht, dass jeder Datenpunkt sicherheitszertifiziert ist.

Welche Technologie passt zu welcher Schutzgeometrie?

Planen Sie die Anordnung nicht ohne Ermittlung des Sicherheitsabstands und Messung der Nachlaufzeit

Der Abstand der Schutzeinrichtung zur Gefährdung wird so berechnet, dass die Annäherungszeit der Person und die tatsächliche Nachlaufzeit der Maschine berücksichtigt werden. Die Gesamtzeit setzt sich aus der Ansprechzeit des Sensors, der sicheren Logik, der Kommunikation, den Ausgangselementen, dem Antrieb und dem mechanischen Stillsetzen zusammen. Die Verwendung einer einzelnen Ansprechzeit aus dem Katalog wäre unvollständig. Die Nachlaufzeit muss unter ungünstigsten Last-, Geschwindigkeits- und Temperaturbedingungen gemessen werden. Toleranzen und ein Zuschlag für den Verschleiß im Laufe der Zeit sind zu berücksichtigen.

Das Einzeichnen des Scannerfelds am Bildschirm stellt den erforderlichen physischen Sicherheitsabstand nicht automatisch sicher. Maßstab, Referenzkontur, Montagehöhe, Auflösung und Schutzfeldzuschläge werden gemäß den Herstelleranweisungen umgesetzt. Auch bei der Kamera müssen die Volumengrenzen mit den tatsächlichen Maschinenkoordinaten übereinstimmen. Gibt es außerhalb des Schutzfelds Bereiche, in die Personen ausweichen oder in denen sie unentdeckt bleiben können, müssen die Sicht vom Rücksetzpunkt, zusätzliche Erfassungseinrichtungen und mechanische Maßnahmen gemeinsam betrachtet werden.

Inbetriebnahme, Validierung und Änderungsmanagement

Vor der Inbetriebnahme werden Schaltplan, Sicherheitsfunktionsliste und Softwarekonfiguration auf denselben Revisionsstand gebracht. Jeder Eingang wird einzeln ausgelöst. Dabei wird geprüft, ob der richtige Ausgangspfad in den sicheren Zustand wechselt und keine unerwarteten Auswirkungen auf andere Betriebsarten auftreten. Die Feldgrenzen werden mit einem geeigneten Prüfkörper physisch überprüft. Vorgesehene Fehlerszenarien wie Wiederanlauf, Energieausfall, Netzwerkverlust, Entfernen eines Sensors, Kurzschluss oder Querschluss werden gemäß Prüfplan durchgeführt.

Konfigurationsdateien müssen zugriffsgeschützt und mit Versionsnummer gespeichert werden. Unbefugte Parameteränderungen sind zu verhindern. Der Zugriff des Instandhaltungspersonals auf Diagnosedaten und die Berechtigung zur Änderung des Sicherheitsprogramms müssen getrennt werden. Bei Änderungen an Sensorposition, Maschinenbremssystem, Antriebssoftware oder Produktlast darf nicht angenommen werden, dass die bisherige Validierung weiterhin gültig ist. Die betroffenen Sicherheitsfunktionen werden erneut bewertet und die Ergebnisse dokumentiert.

Bei wiederkehrenden Prüfungen werden optische Oberfläche, Halterung, Kabel, Schutzfeld und Stoppfunktion untersucht. Diagnoseaufzeichnungen können auf wiederkehrende Verschmutzungs-, Vibrations- oder Kommunikationsprobleme hinweisen. Das Fehlen von Fehlereinträgen ersetzt jedoch keine physische Prüfung. Das Prüfintervall wird anhand der Risikobeurteilung, der Herstelleranweisungen, der Nutzungshäufigkeit und der Rechtsvorschriften festgelegt.

Für ein Angebot erforderliche Projektdaten

1. Gefährdungen auflisten: Beschreiben Sie Szenarien mit Bewegung, Einklemmen, Quetschen, Schneiden, Kollisionen und Abstürzen nach Betriebsarten.
2. Sicherheitsfunktionen definieren: Geben Sie das auslösende Ereignis, die sichere Reaktion, die Rücksetzbedingung und den angestrebten Performance Level an.
3. Layout bereitstellen: Stellen Sie Zugangsrichtungen, Blindbereiche, Hindernisse, Fahrwege mobiler Systeme und Montageflächen in einer bemaßten Zeichnung dar.
4. Anhaltedaten bereitstellen: Dokumentieren Sie die unter ungünstigsten Bedingungen gemessene Nachlaufzeit sowie Geschwindigkeit, Last und Bremsverhalten.
5. Steuerungsarchitektur angeben: Beschreiben Sie Sicherheits-PLC, Antrieb, Schütz, Netzwerkprotokoll, I/O und den Pfad zur Energieabschaltung.
6. Umgebungsbedingungen angeben: Geben Sie Einflüsse durch Staub, Umgebungslicht, Vibration, Stoß, Temperatur, Wasser, Chemikalien und Außenbedingungen an.
7. Prüfplan festlegen: Listen Sie Szenarien für Normalbetrieb, Instandhaltung, Wiederanlauf, Energie- und Netzwerkverlust sowie Fehlerinjektion auf.

Oskon betrachtet Sensor und Steuerung nicht als voneinander isolierte Einzelpositionen, sondern als Komponenten einer überprüfbaren Sicherheitsfunktion. Die Umsetzung umfasst eine fachkundige Risikobeurteilung, normgerechte Berechnungen, die richtige Produktvariante, eine sichere Maschinenreaktion und eine dokumentierte Validierung. Dieser Leitfaden stellt für sich genommen weder eine Risikobeurteilung noch eine Konformitätserklärung dar; Produktverfügbarkeit und Projektumfang werden zum Angebotsdatum gesondert bestätigt.