Sicherheitssteuerung in Maschine und Baureihe: mehrere Schutzeinrichtungen auswerten und an die Maschinensteuerung anbinden

Eine Maschine mit einem Lichtvorhang und zwei Türen kommt mit wenigen Sicherheitsrelais aus. Eine Anlage mit einer zweistelligen Zahl an Lichtvorhängen, mehreren Laserscannern und vielen Türschaltern sieht anders aus: Jedes Gerät braucht seine Auswertung, jede Verknüpfung ihren Draht, und jede Änderung am Layout bedeutet Arbeit im Schaltschrank. Dieser Beitrag richtet sich an Steuerungs- und Elektrokonstrukteure von Maschinenbauern, die mehrere Schutzeinrichtungen in einer Maschine zusammenführen und dieselbe Lösung über eine Baureihe verwenden wollen. Er stützt sich auf dokumentierte Anfragen und Konzepte von Maschinenbauern sowie Integratoren und auf die Angaben im Katalog der Sicherheitssteuerung der Modellreihe GC.

Vorweg ein Grundsatz: Die Kennwerte eines Geräts sind nicht die Kennwerte der Sicherheitsfunktion. Welche Funktion eine Maschine braucht und welche Kennwerte sie erreichen muss, ergeben sich aus der Risikobeurteilung und der Validierung der Anlage, für die ganze Kette aus Sensor, Auswertung und Aktor.

Wichtige Punkte im Überblick

Eine programmierbare Sicherheitssteuerung bündelt die Eingänge vieler Schutzeinrichtungen an einer Stelle und legt die Verknüpfung in einem Programm statt in der Verdrahtung ab.
Die Sicherheitssteuerung der Modellreihe GC hat laut Katalog zwei Hauptmodule: ein netzwerkfähiges, erweiterbares und eines mit integriertem Sicherheitsrelais.
Über GC-Link werden Sicherheitslichtvorhänge und Sicherheitsschalter laut Katalog mit nur einem Kabel je Gerät angeschlossen.
Für die Ausgabe von Status- und Diagnosedaten an eine Standard-SPS nennt der Katalog PROFINET, EtherNet/IP, Modbus/TCP, das MC-Protokoll und UDP.
Gleiche Geräte über eine Baureihe heißen nicht gleiche Sicherheitsfunktion: Felder, Abstände und Verknüpfungen jeder Maschine ergeben sich aus der Risikobeurteilung und der Validierung der Anlage.

Viele Schutzeinrichtungen, eine Auswertung statt einzelner Relais

In der Anwendungspraxis beginnt die Frage nach einer Sicherheitssteuerung meist mit der Zahl der Geräte. Ein Anlagenbauer rechnet künftig mit einer zweistelligen Zahl an Lichtvorhängen je Anlage, dazu kommen Flächenscanner; bei solchen Mengen liegt die Frage nach einer gemeinsamen Auswertung nahe. Bei einer Montagemaschine mit mehreren Einpressstationen, die für den Export gebaut wird, ist eine Sicherheitssteuerung im Gespräch. Für eine neue Roboterzelle und für den Nachfolger einer Produktionsmaschine kommt sie ebenfalls als Option zur Sprache.

Einzelne Sicherheitsrelais haben ihren Platz, wo wenige Geräte fest verknüpft sind. Mit jeder weiteren Schutzeinrichtung wächst aber die Verdrahtung, und jede Änderung der Logik bedeutet eine Änderung im Schaltplan. Eine programmierbare Sicherheitssteuerung bündelt die Eingänge an einer Stelle und legt die Verknüpfung in einem Programm ab. Wird eine Station ergänzt oder ein Zugang anders abgesichert, ändert sich vor allem das Programm. Die geänderte Logik ist dann, wie jede Änderung an der Sicherheitskette, Gegenstand der Risikobeurteilung und der Validierung der Anlage.

Netzwerkfähig oder mit integriertem Sicherheitsrelais: die zwei Grundmodule

Die Sicherheitssteuerung der Modellreihe GC hat laut Katalog zwei Hauptmodule. Das eine ist netzwerkfähig und lässt sich erweitern, das andere hat ein integriertes Sicherheitsrelais. Dazu kommen Erweiterungsmodule mit sicheren Ein- und Ausgängen, mit Relaisausgang, mit nicht sicherheitsgerichteten Ausgängen und zur Buserweiterung. Der Katalog führt die Sicherheitssteuerung mit SIL3, Kat. 4 und PL e. Diese Kennwerte gelten für das Gerät; welches Niveau die Sicherheitsfunktion erreichen muss, ergibt sich aus der Risikobeurteilung und der Validierung der Anlage.

Für den Konstrukteur folgt daraus eine Auswahl nach Aufgabe. Welches Hauptmodul passt, hängt vor allem daran, ob Statusdaten über ein Netzwerk an die Maschinensteuerung gehen sollen und welche Ausgänge die Maschine braucht. Wie viele Erweiterungsmodule dazukommen, hängt an der Zahl der Geräte und Ausgänge der jeweiligen Maschine. Eine Programmieranleitung ist dieser Beitrag nicht; Aufbau und Logik beschreibt die Dokumentation der Steuerung.

Ein Kabel zu Lichtvorhang und Schalter

In Komponentenlisten von Maschinenbauern stehen neben den Geräten oft lange Kabelpositionen. Wo Lichtvorhänge und Türschalter über die ganze Maschine verteilt sind, wird die Verdrahtung zu einem eigenen Kostenblock, in der Konstruktion ebenso wie bei der Montage.

Laut Katalog schließt die Sicherheitssteuerung der Modellreihe GC Sicherheitslichtvorhänge und Sicherheitsschalter über GC-Link mit nur einem Kabel je Gerät an (One-Point-Verbindung). Über dieselbe Verbindung überwacht sie die Lichtintensität jeder Strahlachse eines Lichtvorhangs. Das hilft bei der Ausrichtung von Sender und Empfänger während der Inbetriebnahme. Die Schalter einer Maschine lassen sich zusätzlich untereinander in Reihe schalten; das behandelt der Beitrag zu Schutztür und Klappe ausführlicher.

Statusdaten an die Maschinensteuerung melden

Die Sicherheitssteuerung wertet die Schutzeinrichtungen aus, die Maschinensteuerung führt den Bediener. Damit beides zusammenpasst, braucht die Maschinensteuerung Statusdaten: welche Tür offen ist, welcher Lichtvorhang unterbrochen wurde, ob ein Gerät gestört ist. Mit diesen Daten zeigt das Bedienpanel nicht nur, dass die Maschine steht, sondern auch warum, und die Instandhaltung findet die betroffene Station, ohne den Schaltschrank zu öffnen. Wer das Bedienkonzept einer Baureihe entwirft, legt deshalb früh fest, welche Meldungen aus der Sicherheitssteuerung in welcher Form am Panel erscheinen.

Für die Datenausgabe an eine Standard-SPS nennt der Katalog der Sicherheitssteuerung der Modellreihe GC PROFINET, EtherNet/IP, Modbus/TCP, das MC-Protokoll und UDP. Der Katalog führt sie unter Netzwerk und Datenausgabe; über sie gelangen Status- und Diagnosedaten an die Maschinensteuerung. Maschinenbauer, die eine bestimmte Feldbusanforderung ihrer Kunden erfüllen müssen, gleichen diese Liste früh mit dem Lastenheft ab. Bei einem Bauer von Schmelzanlagen, der eine Sicherheitssteuerung für eine Maschinenreihe in Betracht zieht, gehört eine bestimmte Feldbusanforderung zu den offenen Fragen.

Laserscanner bringen eigene Schnittstellen mit. Der Sicherheits-Laserscanner der Modellreihe SZ-V unterstützt laut Katalog PROFIsafe und PROFINET sowie EtherNet/IP zur Statusüberwachung, PROFIsafe und EtherNet/IP allerdings nicht gleichzeitig. In dokumentierten Konzepten taucht das an mehreren Stellen auf: Für eine Prototypenlinie werden Scanner mit Anbindung an einen sicheren Feldbus angefragt, für einen Maschinenteil zur Handhabung schwerer Gewichte waren Scanner an PROFINET und PROFIsafe vorgesehen, und für die Scanner an der Beladezone einer Maschinenreihe ist noch offen, ob sie über OSSD-Ausgänge oder über PROFIsafe angebunden werden. Welche Variante passt, hängt an der Architektur der Maschinensteuerung und am Sicherheitskonzept, nicht an einem Busvergleich.

Vom Pilotprojekt zur Baureihe: ein Standard über Jahre

Für einen Maschinenbauer ist die Sicherheitssteuerung selten eine Einzelentscheidung. Sie wird für eine Maschine ausgewählt und soll dann über Jahre in jeder weiteren stecken. Ein typischer Weg führt über eine Pilotmaschine, an der sich zeigt, ob ein Gerät zum Standard taugt.

Ein Standard über die Baureihe hat Folgen über die Konstruktion hinaus. Stücklisten, Schaltplanmakros, Programmbausteine der Steuerung und die Ersatzteilhaltung werden einmal angelegt und dann wiederverwendet. Für die Überholung einer älteren Maschine plant ein Sicherheitsintegrator Lichtvorhänge zusammen mit einer Sicherheitssteuerung. Gleiche Geräte heißen aber nicht gleiche Sicherheitsfunktion: Jede Maschine der Reihe hat ihre eigene Risikobeurteilung, und Felder, Abstände und Verknüpfungen ergeben sich aus der Risikobeurteilung und der Validierung der Anlage.

Robust, kratzfest, staubunempfindlich: ein Anforderungsprofil für den Standard

Bevor ein Gerät zum Standard wird, schreiben manche Maschinenbauer ein Anforderungsprofil. In einem dokumentierten Fall lautet es knapp: robust, kratzfest, staubunempfindlich, reiner Zugangsschutz ohne Muting. Das ist eine Anforderung des Maschinenbauers, keine Produktaussage, und sie zeigt, welche Fragen ein Standard beantworten muss.

Zu diesen Fragen gehört auch, was der Bediener sieht. Ein Kleiner und robuster Sicherheitslichtvorhang der Modellreihe GL-V zeigt laut Katalog über eine integrierte Statusanzeige aus jedem Blickwinkel, ob er frei, unterbrochen, verschmutzt oder gestört ist, gleichzeitig an Sender und Empfänger. Beim Sicherheitsschalter der Modellreihe GS lässt sich der Zustand laut Katalog über große LED-Anzeigen aus vielen Blickwinkeln erkennen. Für einen Standard über die Baureihe lohnt es sich, solche Anzeigen und die Statusdaten der Sicherheitssteuerung zu einem Bedienkonzept zusammenzuführen, das an jeder Maschine gleich aussieht.

Weitere Punkte eines Anforderungsprofils sind die Umgebung (Staub, Spritzwasser, Reinigung), der verfügbare Bauraum und die Schnittstelle zur Maschinensteuerung. Wo die Umgebung besondere Fragen aufwirft, gehören sie mit den Angaben der Benutzerhandbücher ins Lastenheft und werden an der Pilotmaschine geprüft, bevor die Baureihe festgelegt wird.

Häufige Fragen

F Wann lohnt sich eine Sicherheitssteuerung statt einzelner Sicherheitsrelais?

Typischerweise dann, wenn eine Maschine viele Lichtvorhänge, Laserscanner und Türschalter hat oder ihre Logik sich bei Änderungen der Zelle anpassen soll. Die Verknüpfung liegt dann in einem Programm statt in der Verdrahtung. Jede Änderung bleibt Gegenstand der Risikobeurteilung und der Validierung der Anlage.

F Welche Hauptmodule hat die Sicherheitssteuerung der Modellreihe GC?

Laut Katalog gibt es ein netzwerkfähiges, erweiterbares Hauptmodul und ein Hauptmodul mit integriertem Sicherheitsrelais. Erweiterungsmodule ergänzen sichere Ein- und Ausgänge, Relaisausgänge, nicht sicherheitsgerichtete Ausgänge und die Buserweiterung.

F Über welche Schnittstellen meldet die Sicherheitssteuerung Status an die SPS?

Der Katalog nennt für die Datenausgabe an eine Standard-SPS PROFINET, EtherNet/IP, Modbus/TCP, das MC-Protokoll und UDP. Über diese Verbindungen gehen Status- und Diagnosedaten an die Maschinensteuerung.

F Was ist GC-Link?

GC-Link ist laut Katalog der Anschluss, über den die Sicherheitssteuerung der Modellreihe GC Sicherheitslichtvorhänge, Sicherheits-Laserscanner und Sicherheitsschalter von KEYENCE mit jeweils einem einzigen Kabel anbindet. Dabei überwacht sie die Lichtintensität jeder Strahlachse, was die Ausrichtung eines Lichtvorhangs erleichtert.

F Macht ein Gerät mit hohen Kennwerten die Sicherheitsfunktion der Maschine aus?

Nein. Die Kennwerte eines Geräts gelten für das Gerät, nicht für die Funktion. Welche Kennwerte eine Sicherheitsfunktion erreichen muss, ergeben sich aus der Risikobeurteilung und der Validierung der Anlage, für die ganze Kette aus Sensor, Auswertung und Aktor.

Weiterführende Artikel

Übergeordnete Themenseite: Gefahrstellen an Maschinen und Anlagen absichern: welche Schutzeinrichtung an welche Öffnung, Fläche und Tür gehört

Hauptartikel zum Thema: Schutzeinrichtungen in der Maschinenkonstruktion einplanen: Lichtvorhang, Laserscanner und Sicherheitsschalter aus Sicht des Maschinenbauers

Weiterer Artikel im Thema: Schutztür und Klappe absichern: Sicherheitsschalter berührungslos oder mit Zuhaltung in der Maschine auswählen