Functional Example AS-FE-I-008-V20-DE

Functional Example AS-FE-I-008-V20-DE SIMATIC Safety Integrated for Factory Automation Sicheres Abschalten in Stopp Kategorien 0 und 1 in Kategorie 4 nach EN 954-1: 1996 (mit Bewertung nach EN 62061 und EN ISO 13849-1: 2006)

Vorbemerkung Die Funktionsbeispiele zum Thema Safety Integrated sind funktionsfähige und getestete Automatisierungskonfigurationen auf Basis von A&D- Standardprodukten für die einfache, schnelle und kostengünstige Realisierung von Automatisierungsaufgaben in der Sicherheitstechnik. Jedes der vorliegenden Funktionsbeispiele deckt dabei eine häufig vorkommende Teilaufgabe einer typischen Kundenproblemstellung innerhalb der Sicherheitstechnik ab. Neben der Aufzählung aller benötigten Soft- und Hardwarekomponenten und Beschreibung deren Verschaltung miteinander, beinhalten die Funktionsbeispiele getesteten und kommentierten Code. Damit können die hier beschriebenen Funktionalitäten innerhalb kurzer Zeit nachgestellt und so auch als Basis für individuelle Erweiterungen genutzt werden. Wichtiger Hinweis Die Safety Funktionsbeispiele sind unverbindlich und erheben keinen Anspruch auf Vollständigkeit hinsichtlich Konfiguration und Ausstattung sowie jeglicher Eventualitäten. Die Safety Funktionsbeispiele stellen keine kundenspezifische Lösungen dar, sondern sollen lediglich Hilfestellung bieten bei typischen Aufgabenstellungen. Sie sind für den sachgemäßen Betrieb der beschrieben Produkte selbst verantwortlich. Diese Safety Funktionsbeispiele entheben Sie nicht der Verpflichtung zu sicherem Umgang bei Anwendung, Installation, Betrieb und Wartung. Durch Nutzung dieser Safety Funktionsbeispiele erkennen Sie an, dass Siemens über die oben beschriebene Haftungsregelung hinaus nicht für etwaige Schäden haftbar gemacht werden kann. Wir behalten uns das Recht vor, Änderungen an diesen Safety Funktionsbeispielen jederzeit ohne Ankündigung durchzuführen. Bei Abweichungen zwischen den Vorschlägen in diesen Safety Funktionsbeispielen und anderen Siemens Publikationen, wie z.b. Katalogen, hat der Inhalt der anderen Dokumentation Vorrang. A&D Safety Integrated Seite 2/44 AS-FE-I-008-V20-DE

Inhaltsverzeichnis 1 Gewährleistung, Haftung und Support... 4 2 Automatisierungsfunktion... 5 2.1 Beschreibung der Funktionalität... 5 2.1.1 Vorbemerkung... 5 2.1.2 Funktionalität des Safety Funktionsbeispiels... 5 2.2 Vorteile/Kundennutzen... 10 3 Erforderliche Komponenten... 11 4 Aufbau und Verdrahtung... 13 4.1 Der Hardwareaufbau in der Übersicht... 14 4.2 Parametrierung des MICROMASTER 410... 15 4.3 Verdrahtung der Hardwarekomponenten... 18 4.4 Funktionstest... 22 4.5 Wichtige Einstellungen an den Hardwarekomponenten... 24 5 Leistungseckdaten... 28 6 Beispielcode... 28 6.1 Download... 28 6.2 Programmablauf Standardprogramm... 30 6.3 Programmablauf Sicherheitsprogramm... 31 6.4 Bedienungsanleitung... 35 7 Bewertung nach EN 62061 und EN ISO 13849-1: 2006... 36 7.1 Informationen zu den Normen... 36 7.2 Sicherheitsfunktion... 36 8 Ergänzende Sicherheitsfunktion 1... 37 8.1 Abbildung der ergänzenden Sicherheitsfunktion... 37 8.2 Bewertung von Erfassen... 38 8.2.1 Bewertung nach EN 62061... 38 8.2.2 Bewertung nach EN ISO 13849-1: 2006... 39 8.3 Bewertung von Auswerten... 40 8.3.1 Bewertung nach EN 62061... 40 8.3.2 Bewertung nach EN ISO 13849-1: 2006... 40 8.4 Bewertung von Reagieren... 41 8.4.1 Bewertung nach EN 62061... 41 8.4.2 Bewertung nach EN ISO 13849-1: 2006... 42 8.5 Bewertung der GESAMTEN ergänzenden Sicherheitsfunktion... 43 8.5.1 Überblick der Aufgaben: Erfassen Auswerten Reagieren... 43 8.5.2 Bewertung nach EN 62061... 43 8.5.3 Bewertung nach EN ISO 13849-1: 2006... 43 A&D Safety Integrated Seite 3/44 AS-FE-I-008-V20-DE

9 Ergänzende Sicherheitsfunktion 2... 44 10 Historie... 44 1 Gewährleistung, Haftung und Support Für die in diesem Dokument enthaltenen Informationen übernehmen wir keine Gewähr. Unsere Haftung, gleich aus welchem Rechtsgrund, für durch die Verwendung der in diesem Safety Funktionsbeispiel beschriebenen Beispiele, Hinweise, Programme, Projektierungs- und Leistungsdaten usw. verursachte Schäden ist ausgeschlossen, soweit nicht z.b. nach dem Produkthaftungsgesetz in Fällen des Vorsatzes, der grober Fahrlässigkeit, wegen der Verletzung des Lebens, des Körpers oder der Gesundheit, wegen einer Übernahme der Garantie für die Beschaffenheit einer Sache, wegen des arglistigen Verschweigens eines Mangels oder wegen Verletzung wesentlicher Vertragspflichten zwingend gehaftet wird. Der Schadensersatz wegen Verletzung wesentlicher Vertragspflichten ist jedoch auf den vertragstypischen, vorhersehbaren Schaden begrenzt, soweit nicht Vorsatz oder grobe Fahrlässigkeit vorliegt oder wegen der Verletzung des Lebens, des Körpers oder der Gesundheit zwingend gehaftet wird. Eine Änderung der Beweislast zu Ihrem Nachteil ist hiermit nicht verbunden. Copyright 2007 Siemens A&D. Weitergabe oder Vervielfältigung dieser Safety Funktionsbeispiele oder Auszüge daraus sind nicht gestattet, soweit nicht ausdrücklich von Siemens A&D zugestanden. Bei Fragen zu diesem Beitrag wenden Sie sich bitte über folgende E-Mail-Adresse an uns: Online-support.automation@siemens.com A&D Safety Integrated Seite 4/44 AS-FE-I-008-V20-DE

2 Automatisierungsfunktion 2.1 Beschreibung der Funktionalität 2.1.1 Vorbemerkung Für das sichere Abschalten von Maschinen sind drei sogenannte Stopp- Kategorien definiert (Stopp-Kategorie 0, 1 und 2). Die Stopp-Kategorie muss anhand der Risikobewertung der Maschine festgelegt werden. Die Normen und Vorschriften finden sich in der DIN EN 60204-1: 2007. Stopp-Kategorie 0 Stillsetzen durch sofortiges Ausschalten der Energiezufuhr zu den Maschinenantrieben. Es handelt sich hier um ein ungesteuertes Stillsetzen. Jede Maschine muss mit einer Stopp-Funktion der Stopp-Kategorie 0 ausgerüstet sein. Der Stopp der Kategorie 0 muss Vorrang haben. Stopp-Kategorie 1 Gesteuertes Stillsetzen, wobei die Energiezufuhr zu den Maschinenantrieben beibehalten wird, um das Stillsetzen zu ermöglichen. Die Energiezufuhr wird erst dann unterbrochen, wenn der Stillstand erreicht ist. Stopp-Kategorie 2 Gesteuertes Stillsetzen, wobei die Energiezufuhr zu den Maschinenantrieben beibehalten wird. 2.1.2 Funktionalität des Safety Funktionsbeispiels Im Safety Funktionsbeispiel wird das sichere Abschalten in der Stopp- Kategorie 0 und 1 gezeigt. Dabei wird ein Drehstrom-Asynchronmotor über einen Frequenzumrichter MICROMASTER ein und ausgeschaltet. Neben dem Betriebsstopp kann der Motor wie folgt sicherheitsgerichtet gestoppt werden: Stopp-Kategorie 0 Ein Taster (NC) simuliert einen Schutztürkontakt. Wird die Schutztür im Betrieb geöffnet ( 0 -Signal des Tasters) wird der Antrieb sofort vom Netz getrennt. Stopp-Kategorie 1 Bei einem Not-Halt wird die Stopp Kategorie 1 verwendet. Der Motor wird dabei bis in den Stillstand gefahren. Nach einer parametrierbaren Zeit, nach deren Ablauf der Motor sicher still stehen muss, wird der Motor vom Netz getrennt. A&D Safety Integrated Seite 5/44 AS-FE-I-008-V20-DE

Zusätzlich gelten für den Not-Halt nachfolgende Bedingungen: Not-Halt hat Vorrang vor allen anderen Funktionen und Betätigungen. Das Rücksetzen darf keinen Wiederanlauf einleiten. Es ist eine Quittierung erforderlich. Betriebsstopp Wird im Safety Funktionsbeispiel der Taster (NC) für den Betriebsstopp gedrückt, ist folgendes Verhalten vorbereitet: Der Motor wird vom MICROMASTER in den Stillstand gefahren. Die Schütze K1 und K2 versorgen den MICROMASTER weiterhin mit Spannung. Ein erneuter Start des Motors ist ohne vorherige Quittierung möglich. Hinweis Im Safety Funktionsbeispiel wird ein Motor mit Motorhaltebremse verwendet. Die verwendeten Parameter für den MICROMASTER berücksichtigen diese Motorhaltebremse. Falls Sie die Motorhaltebremse nicht verwenden wollen, ändern Sie bitte die Parametrierung des MICROMASTERS. Quittierung Eine Quittierung ist in den folgenden Fällen erforderlich: vor dem ersten Start des Motors nach dem Entriegeln des Not-Halt nach Reintegration (Ende der Passivierung) der F-DI nach einem 0 -Signal von der simulierten Schutztür (Schutztür offen) A&D Safety Integrated Seite 6/44 AS-FE-I-008-V20-DE

Ablaufdiagramm Das folgende Ablaufdiagramm zeigt den Funktionsablauf des Safety Funktionsbeispiels. Betriebsmäßiges Stoppen ist aufgrund der Übersichtlichkeit nicht dargestellt. A&D Safety Integrated Seite 7/44 AS-FE-I-008-V20-DE

Zeitverlauf bei Stopp-Kategorie 0 Das folgende Bild zeigt die zeitlichen Zusammenhänge. Die Bezeichnungen der Signale entsprechen denen des Beispielcodes im STEP7 Projekt. In der folgenden Tabelle werden die oben eingetragenen Zeiten erläutert. Zeit t1 t2 t3 Erklärung Mit dem Quittiersignal (negative Flanke von ACK) ziehen die Schütze K1 und K2 an und versorgen den MICROMASTER mit Spannung. Der MICROMASTER schaltet sich dadurch ein. Mit dem Startsignal (positive Flanke von START) schaltet der Ausgang MM des Standard-Ausgabemoduls 1 -Signal auf den MICROMASTER. Dadurch fährt der Motor gemäß einer im MICROMASTER parametrierten Rampe hoch. Während des Betriebs wird die Schutztür geöffnet (FDOOR= 0 ). Das Schutztürsignal wird in diesem Beispiel durch einen Taster (NC) simuliert. Die Schütze K1 und K2 fallen ab und trennen MICROMASTER und Motor vom Netz. Der Ausgang MM wird im Anwenderprogramm zurückgesetzt. A&D Safety Integrated Seite 8/44 AS-FE-I-008-V20-DE

Zeitverlauf bei Stopp-Kategorie 1 Das folgende Bild zeigt die zeitlichen Zusammenhänge. Die Bezeichnungen der Signale entsprechen denen des Beispielcodes im STEP7 Projekt. In der folgenden Tabelle werden die oben eingetragenen Zeiten erläutert. Zeit t1 t2 t3 t4-t3 t4 Erklärung Mit dem Quittiersignal (negative Flanke von ACK) ziehen die Schütze K1 und K2 an und versorgen den MICROMASTER mit Spannung. Der MICROMASTER schaltet sich dadurch ein. Mit dem Startsignal (positive Flanke von START) schaltet der Ausgang MM des Standard-Ausgabemoduls 1 -Signal auf den MICROMASTER. Dadurch fährt der Motor gemäß einer im MICROMASTER parametrierten Rampe hoch. Nach Auslösen des Not-Halt (ESTP= 0 ) wird der Ausgang MM des Standard-Ausgabemoduls zurückgesetzt. Dadurch fährt der MICROMASTER den Motor in den Stillstand. Nach dieser Zeit muss der Motor im Stillstand sein. Diese Zeit wird im Sicherheitsprogramm als Eingangsparameter an einem zertifizierten Funktionsbaustein aus der Bibliothek von Distributed Safety (F-Applikationsbaustein) angelegt. Bei Stillstand des Motors (Ablauf der parametrierten Zeit) fallen die Schütze K1 und K2 ab. Dadurch wird der Antrieb vom Netz getrennt. A&D Safety Integrated Seite 9/44 AS-FE-I-008-V20-DE

Reaktionszeiten Verwenden Sie für die Berechnung der maximalen Reaktionszeit Ihres F-Systems die Excel-Datei, die für S7 Distributed Safety V5.4 zur Verfügung steht. Sie finden diese Datei im Internet: http://support.automation.siemens.com/ww/view/de/25412441 2.2 Vorteile/Kundennutzen Geringer Verdrahtungsaufwand durch Verwendung von sicherheitsgerichteter S7-CPU und dezentraler Peripherie. Dieser Vorteil kommt umso mehr zum Tragen, je mehr Sicherheitsfunktionen realisiert werden. Programmierung des sicherheitsgerichteten Programms mit STEP 7 Engineering-Tools Nur eine S7-CPU notwendig, da sicherheitsgerichtete und Standard- Programmteile koexistent in der S7-CPU ablaufen Nutzung von vorgefertigten und zertifizierten fehlersicheren Bausteinen aus der Bibliothek von S7 Distributed Safety (F-Applikationsbausteine). A&D Safety Integrated Seite 10/44 AS-FE-I-008-V20-DE

3 Erforderliche Komponenten Hardwarekomponenten Komponente Typ MLFB/Bestellangaben Anz. Hersteller Stromversorgung PS307 5A 6ES73071EA00-0AA0 1 S7-CPU, einsetzbar für Sicherheitsanwendungen CPU 315F-2DP 6ES7315-6FF01-0AB0 1 Micro Memory Card MMC 512 KByte 6ES7953-8LJ11-0AA0 1 Interface Module für ET 200S IM 151 High Feature 6ES7151-1BA02-0AB0 1 Powermodul für ET 200S PM-E DC24..48V AC24..230V 6ES7138-4CB11-0AB0 2 Elektronikmodul für ET 200S 2DI HF DC24V HF 6ES7131-4BB01-0AB0 3 Elektronikmodul für ET 200S 2DO HF DC24V HF 6ES7 132-4BB01-0AB0 1 Elektronikmodul für ET 200S 4/8 F-DI DC24V 6ES7138-4FA03-0AB0 1 Elektronikmodul für ET 200S 4 F-DO DC24V/2A 6ES7138-4FB02-0AB0 1 Terminalmodul für ET 200S TM-P15S23-A0 6ES7193-4CD20-0AA0 2 Terminalmodul für ET 200S TM-E15S24-A1 6ES7193-4CA20-0AA0 4 Terminalmodul für ET 200S TM-E30C46-A1 6ES7193-4CF50-0AA0 2 Profilschiene 482,6 mm 6ES7390-1AE80-0AA0 1 Normprofilschiene 35 mm, Länge:483 mm 6ES5710-8MA11 1 Not-Halt Drucktaster, 1Ö 3SB3801-0DG3 1 Bodenelement (für Not-Halt) 1Ö, Schraubanschluss 3SB3420-0C 1 Drucktaster Grün, 1S 3SB3801-0DA3 2 Drucktaster Rot, 1Ö 3SB3801-0DB3 2 Schütz AC-3, 3KW/400V, 1Ö, DC 24V 3RT1015-2BB42 2 Schütz AC-3, 3KW/400V, 1S, DC 24V 3RT1015-2BB41 1 Überspannungsbegrenzer zum Aufstecken auf das Schütz RC-GLIED AC 24...48V, DC 24...70V 3RT1916-1CB00 3 Sicherungsschalter 1+N-POLIG 5SG7753 1 Neozed Sicherungseinsatz 400V GL/GG,GR.D01, 10A 5SE2310 1 Frequenzumrichter MICROMASTER 410 6SE6410-2BB13-7AA0 1 Operator Panel (Bedienfeld) für den Frequenzumrichter MM410 Operator Panel 6SE6400-0SP00-0AA0 1 Motor Niederspannungsmotor 0,18kW 1LA7063-4AB10-Z mit Option 26 1 SIEMENS AG A&D Safety Integrated Seite 11/44 AS-FE-I-008-V20-DE

Hinweis Mit den angegebenen Hardwarekomponenten wurde die Funktionalität getestet. Es können auch ähnliche, von obiger Liste abweichende Produkte verwendet werden. Beachten Sie in einem solchen Fall bitte, dass gegebenenfalls Änderungen im Beispielcode (z.b. andere Adressen) notwendig werden. Hinweis Die HF-Elektronikmodule können durch Standardmodule ersetzt werden. Zwei 2DI-Elektronikmodule können durch ein 4DI-Elektronikmodul ersetzt werden. Hinweis Für dieses Safety Funktionsbeispiel wird ein Motor mit Motorhaltebremse verwendet. Die verwendeten Parameter für den MICROMASTER berücksichtigen diese Motorhaltebremse. Falls Sie die Motorhaltebremse nicht verwenden wollen, können Sie auf folgende Hardwarekomponenten verzichten: Schütz mit Hilfskontakt (NO), 1 Überspannungsbegrenzer zum Aufstecken auf das Schütz, die Option 26 beim Motor. Projektierungssoftware/-tools Komponente Typ MLFB / Bestellangaben Anz. Hersteller SIMATIC STEP 7 V5.4 + SP1 6ES7810-4CC07-0YA5 1 SIMATIC Distributed Safety V5.4 + SP3 6ES7833-1FC01-0YA5 1 SIEMENS AG A&D Safety Integrated Seite 12/44 AS-FE-I-008-V20-DE

4 Aufbau und Verdrahtung Beachten Sie zum Aufbau und zur Verdrahtung des Safety Funktionsbeispiels unbedingt nachfolgenden Hinweis: ACHTUNG Für das Erreichen von Kategorie 4 / PL e / SIL 3 ist es zwingend notwendig, das Prozesssignal zum Aktor rückzulesen.! GEFAHR Beachten Sie nachfolgenden Hinweis im Zusammenhang mit der Verwendung des MICROMASTER 410: Der MICROMASTER führt gefährliche Spannungen und steuert umlaufende mechanische Teile, die gegebenenfalls gefährlich sind. Bei Missachtung der Warnungen oder Nichtbefolgen der Hinweise aus der zum MICROMASTER gehörenden Anleitung können Tod, schwere Körperverletzungen oder erheblicher Sachschaden eintreten. Nur entsprechend qualifiziertes Personal darf an diesem Gerät arbeiten. Dieses Personal muss gründlich mit allen in der zum MICROMASTER gehörenden Anleitung enthaltenen sicherheitstechnischen Hinweisen, Installations-, Betriebs- und Instandhaltungsmaßnahmen vertraut sein. Der einwandfreie und sichere Betrieb des Gerätes setzt sachgemäße Handhabung, ordnungsgemäße Installation, Bedienung und Instandhaltung voraus. Gefährdung durch elektrischen Schlag. Die Kondensatoren des Gleichstromzwischenkreises bleiben nach dem Abschalten der Versorgungsspannung 5 Minuten lang geladen. Das Gerät darf daher erst 5 Minuten nach dem Abschalten der Versorgungsspannung geöffnet werden. Kinder und nicht autorisierte Personen dürfen nicht in die Nähe des Gerätes gelangen! Das Gerät darf nur für den vom Hersteller angegebenen Zweck verwendet werden. Unzulässige Änderungen und die Verwendung von Ersatzteilen und Zubehör, die nicht vom Hersteller des Gerätes vertrieben o- der empfohlen werden, können Brände, elektrische Stromschläge und Körperverletzungen verursachen. A&D Safety Integrated Seite 13/44 AS-FE-I-008-V20-DE

4.1 Der Hardwareaufbau in der Übersicht Die Anordnung zum Abschalten in den Stopp-Kategorien 0 und 1 besteht aus einer Konfiguration mit PROFIBUS DP (mit PROFIsafe Profil). Eine sicherheitsgerichtete S7-CPU wird dabei als DP-Master, eine ET 200S als DP-Slave eingesetzt. Übersicht Steuerkreis A&D Safety Integrated Seite 14/44 AS-FE-I-008-V20-DE

Übersicht Lastkreis Hinweis Für dieses Safety Funktionsbeispiel wird ein Motor mit Motorhaltebremse verwendet. Die verwendeten Parameter für den MICROMASTER berücksichtigen diese Motorhaltebremse. Falls Sie die Motorhaltebremse nicht verwenden wollen, können Sie auf das Schütz K3 verzichten. 4.2 Parametrierung des MICROMASTER 410 Die Parametrierung des MICROMASTER 410 ist in der zugehörigen Betriebsanleitung beschrieben. Zum besseren Verständnis werden in diesem Papier allerdings einige Punkte noch einmal herausgestellt: Eingabe der Parameter Verwendete Parameter A&D Safety Integrated Seite 15/44 AS-FE-I-008-V20-DE

Eingabe der Parameter Mit dem Operator Panel (OP) wird auf die Umrichterparameter zugegriffen. Nachfolgend wird gezeigt wie der Parameter Funktion Digitaleingang 1 (P0701) eingestellt wird. Alle anderen Parameter lassen sich auf die gleiche Weise einstellen. An dieser Stelle geht es um die Vorgehensweise bei der Parametrierung, eine Erklärung des Parameters erfolgt unter Verwendete Parameter. Voraussetzung: Der MICROMASTER ist mit Spannung versorgt. Nr. Drücken Sie... Hinweis Ergebnis auf der Anzeige 1...um auf die Parameter zugreifen zu können. 2...bis P0701 angezeigt wird. 3...um zur Parameterwertebene zu gelangen. 4...um den erforderlichen Wert zu erhalten (hier: 1) 5...um den Wert zu bestätigen und zu speichern. Hinweis Alternativ kann der MICROMASTER mit der Software STARTER parametriert werden. Die Software kann kostenlos als Download (Link im Kapitel 6, Absatz Download ) aus dem Internet bezogen werden. A&D Safety Integrated Seite 16/44 AS-FE-I-008-V20-DE

Verwendete Parameter Nachfolgend werden einige charakteristische Parameter erläutert, die für den Motor dieses Safety Funktionsbeispiels verwendet werden. Parameter Nr. P0700 P0701 P0731 P0971 Parameter Name Auswahl Befehlsquelle Funktion Digitaleingang 1 Funktion Digitalausgang 1 Werte vom RAM ins EEPROM laden Einzustellender Wert 2 (Klemmleiste) 1 (EIN/AUS1) 52.C (Motorhaltebremse aktiv) 1 (Start RAM ->EEPROM) Hinweis/Erklärung Es gibt verschiedene Möglichkeiten den Motor mit Hilfe des MICROMASTER zu starten bzw. zu stoppen: Zum Beispiel über die Tastatur am OP. Im Safety Funktionsbeispiel kommen die Befehle zum Starten bzw. Stoppen des Motors von dem Standard- Ausgabemodul der ET 200S und werden auf die Klemmleiste des MICROMASTERS gelegt. Die Befehle zum Starten bzw. Stoppen werden am MICROMASTER vom Digitaleingang 1 erfasst: 1 -Signal: Motor startet (EIN) 0 -Signal: Motor stoppt (AUS1) Motorhaltebremse aktiv (siehe auch P1215) Alle Werte werden vom RAM in das EEPROM übertragen. P1120 Hochlaufzeit 6 Zeitwert in Sekunden, die der Motor zur Beschleunigung aus dem Stillstand bis zur höchsten Motorfrequenz benötigt. P1121 Rücklaufzeit 6 Zeitwert in Sekunden, die der Motor für die Verzögerung der maximalen Motorfrequenz bis zum Stillstand benötigt. P1215 Freigabe Motorhaltebremse (MHB) 1 (MHB freigegeben) Durch den Wert 52.C in P0731 wird an den Punkten 1 und 2 ein Relais geschaltet, um die Bremse zu steuern. Das Relais befindet sich an den Klemmen 11 und 12 vom MICROMASTER. A&D Safety Integrated Seite 17/44 AS-FE-I-008-V20-DE

Hinweis Alle Parameter sind in der Datei as_fe_i_008_v10_code_pstopcat.zip hinterlegt. Um diese Datei zu nutzen, benötigen Sie die Software STARTER. Die Software kann kostenlos mittels Download (siehe Link im Kapitel 6, Absatz Download ) aus dem Internet bezogen werden. ACHTUNG Die in der Datei as_fe_i_008_v10_code_pstopcat.zip hinterlegten Parameter beziehen sich auf den im Safety Funktionsbeispiel verwendeten Motor mit Haltebremse. Verwenden Sie einen anderen Motor müssen Sie die Parameter für den MICROMASTER anpassen. Zur Sicherheit läuft der Motor mit den vorbereiteten Parametern nicht bis zur maximalen Drehzahl hoch. 4.3 Verdrahtung der Hardwarekomponenten Hardwarekomponente Voraussetzung: Die Stromversorgung wirf mit 230V AC versorgt. Kontrollieren Sie vorab die an den nachfolgend genannten Hardwarekomponenten eingestellten Adressen: Einzustellende Adresse IM 151 HF 6 (PROFIBUS-Adresse) Können Sie abändern Hinweis F-DI Schalterstellung: 1111111110 F-DO Schalterstellung: 1111111101 Die PROFIsafe-Adressen werden automatisch bei der Projektierung der fehlersicheren Module in STEP 7 vergeben. Zulässig sind die PROFIsafe-Adressen 1 bis 1022. Achten Sie bitte darauf, dass die Einstellung am Adressschalter (DIL Schalter) auf der Modulseite mit der PROFIsafe-Adresse in der Hardwarekonfiguration von STEP 7 übereinstimmt. Hinweis Die DP-Schnittstelle der CPU 315F-2DP muss mit der DP-Schnittstelle an der IM 151 HF verbunden werden. A&D Safety Integrated Seite 18/44 AS-FE-I-008-V20-DE

Hinweis Im Nachfolgenden wird die Verdrahtung der Hardware gezeigt. Dazu wird nachfolgende Tabelle vorangestellt, in der mehrfach vorkommende Hardwarekomponenten nummeriert werden. Damit können Sie diese in dem sich anschließenden Verdrahtungsplan eindeutig zuordnen. Hinweis Für dieses Safety Funktionsbeispiel wird ein Motor mit Motorhaltebremse verwendet. Die verwendeten Parameter für den MICROMASTER berücksichtigen diese Motorhaltebremse. Falls Sie die Motorhaltebremse nicht verwenden wollen, können Sie auf das Schütz K3 verzichten. A&D Safety Integrated Seite 19/44 AS-FE-I-008-V20-DE

Sicheres Abschalten in den Stopp Kategorien 0 und 1 2 DI HF PM-E PM-E N L1 PE L1 N PS 307 / CPU 315F L+ M L+ M L+ M L+ M AUX1 4 8 2 3 A 4 2 DO HF 6 7 A 8 IM 151 HF L L M M 1 AUX1 4 8 2 3 A 4 6 7 F-DO A 8 2 1 5 9 13 2 DI HF 1 2 3 A 4 5 6 7 A 8 1 2 3 A 4 5 5 6 7 A 8 F-DI 3 1 5 9 13 2 DI HF 1 2 3 5 6 7 A A 4 8 4 A1+ 2 1 A1+ A2- A2- A2-21 Stopp 21 Schütz K2 22 4 3 Schütz K1 22 Start A1+ 2 1 4 3 Quittierung Schutztürkontakt (simuliert) 13 Schütz K3 14 1 2 3 A 4 5 6 7 A 8 2 6 10 14 3 7 11 15 4 8 12 16 A 4 A 3 8 7 A 12 16 A 11 15 2 6 10 14 3 7 11 15 A 4 A 3 4 8 12 16 8 7 A 12 16 A 11 15 11 12 1 2 3 4 5 6 7 8 9 10 Frequenzumrichter MICROMASTER 2 1 2 1 Not-Halt Taster A&D Safety Integrated Seite 20/44 AS-FE-I-008-V20-DE

Die folgende Abbildung zeigt die Verdrahtung des Lastkreises: Schütz K3 ist für die Spannungsversorgung des Gleichrichters für die Motorbremse zuständig.! WARNUNG Der MICROMASTER muss geerdet werden. Hinweis Schütz K3 hat im Gegensatz zu den beiden Schützen K1 und K2 einen Schließer als Hilfskontakt. A&D Safety Integrated Seite 21/44 AS-FE-I-008-V20-DE

4.4 Funktionstest Die verwendeten Ein- und Ausgänge können bezüglich der Funktionalität geprüft werden, wenn folgendes erfüllt ist: die Hardwarekomponenten sind verdrahtet das STEP 7 Projekt wurde in die S7-CPU geladen der MICROMASTER wurde mit den Parametern versorgt Verwendete Ein- und Ausgänge Nr. HW-Komponente Adresse Symbol Signal Hinweis (Defaultwert) 1 Taster (NO) E 0.0 START 0 Start-Anforderung 2 Taster (NC) E 0.1 STOP 1 Betriebsstopp 3 Taster (NO) E 1.0 ACK 0 Quittierung 4 Taster (NC) E 3.1 FDOOR 1 Simulierter Schutztürkontakt 5 Schütz-Hilfskontakt (NC) E 1.1 K1_HELP 1 Schütz K1 6 Schütz-Hilfskontakt (NC) E 2.0 K2_HELP 1 Schütz K2 7 Not-Halt Taster (NC) E 3.0 ESTP 1 Not-Halt 8 MICROMASTER A 0.0 MM 0 Ansteuerung MICROMASTER 9 Magnetspule Schütz A 9.0 K1_K2 0 1 Ansteuerung für beide Schütze K1 und K2 A&D Safety Integrated Seite 22/44 AS-FE-I-008-V20-DE

Testen der Ein- und Ausgänge Voraussetzung: Die Ein- und Ausgänge haben die unter Verwendete Einund Ausgänge angegebenen Defaultwerte. Nr. Aktion 1 Drücken Sie den Taster ACK und lassen ihn los 2 Drücken Sie den Taster START und lassen ihn los 3 Warten Sie bis der Motor hoch gelaufen ist Reaktion A 9.0 MICROMASTER Motor 1 Wird über K1 und K2 mit Steht Spannung versorgt 1 AN Fährt hoch 1 AN Läuft 4 Drücken Sie den Not-Halt Taster ESTP 5 Entriegeln Sie den Not-Halt Taster ESTP, und wiederholen Sie Nr. 1 bis 3 6 Drücken Sie den Taster FDOOR und lassen ihn los 0 (verzögert) Nach Stillstand des Motors fallen K1 und K2 ab und der MICROMASTER wird vom Netz getrennt. (Stopp-Kategorie 1). 1 Wird über K1 und K2 mit Spannung versorgt Fährt runter bis zum Stillstand Fährt hoch 0 Durch Abfallen von K1 und K2 werden MICROMASTER und Motor sofort vom Netz getrennt. (Stopp-Kategorie 0). Hinweis Nach bestimmten Ereignissen ist eine Quittierung erforderlich. Sehen Sie dazu den Absatz Quittierung im Kapitel 2.1. A&D Safety Integrated Seite 23/44 AS-FE-I-008-V20-DE

4.5 Wichtige Einstellungen an den Hardwarekomponenten Das zum vorliegenden Safety Funktionsbeispiel mitgelieferte STEP 7 Projekt enthält die Hardwarekonfiguration und den Beispielcode. Nachfolgend werden zur Übersicht einige wichtige Einstellungen aus der Hardwarekonfiguration von STEP 7 gezeigt. Änderungen an diesen Einstellungen (z.b. aufgrund von individuellen Vorgaben) sind grundsätzlich möglich, beachten Sie dazu aber bitte folgenden Hinweis: ACHTUNG Die nachfolgend gezeigten Einstellungen tragen mit dazu bei, Kategorie 4 / PL e / SIL 3 zu erfüllen. Änderungen an den Einstellungen können zu einem Verlust der Sicherheitsfunktion führen. Übersichtsbild Sollten Sie Änderungen an der Hardwarekonfiguration von STEP 7 durchführen (z.b. ein weiteres Modul hinzufügen), muss auch der Beispielcode des mitgelieferten STEP 7 Projektes entsprechend angepasst werden. Die PROFIBUS-Adresse wird an dem IM 151 HF mittels DIL-Schalter eingestellt. A&D Safety Integrated Seite 24/44 AS-FE-I-008-V20-DE

Einstellungen der CPU 315F-2DP Erreichbar durch Doppelklick auf CPU 315F-2 DP (siehe Übersichtsbild). Bild Hinweis Für den OB35 werden 50 ms eingestellt (Defaultwert ist 100 ms). Zu Beachten ist, dass die F-Überwachungszeit größer als die Aufrufzeit des OB 35 sein muss (siehe Einstellungen der sicherheitsgerichteten DI, bzw. Einstellungen der sicherheitsgerichteten DO ). Es muss ein Passwort vergeben werden, um den Parameter CPU contains safety program setzen zu können. Nur in diesem Fall werden bei der Übersetzung der Hardwarekonfiguration von STEP 7 alle erforderlichen F-Bausteine zum sicheren Betrieb der F-Module generiert. Hier verwendetes Passwort: siemens Eingestellter Betrieb: Test mode Im Prozessbetrieb werden die Testfunktionen wie Programmstatus oder Variable beobachten/steuern so eingeschränkt, dass die eingestellte zulässige Zykluszeiterhöhung nicht überschritten wird. Das Testen mit Haltepunkten und schrittweise Programmausführung können nicht ausgeführt werden. Im Testbetrieb sind alle Testfunktionen über PG/PC ohne Einschränkung nutzbar, die auch größere Verlängerungen der Zykluszeit bewirken können. Wichtig: Wenn sich die S7-CPU im Testbetrieb befindet, müssen Sie dafür sorgen, dass die S7-CPU bzw. der Prozess große Zykluszeitverlängerungen "vertragen" kann. A&D Safety Integrated Seite 25/44 AS-FE-I-008-V20-DE

Einstellungen der sicherheitsgerichteten DI (F-DI) Erreichbar durch Doppelklick auf 4/8 F-DI DC24V (siehe Übersichtsbild). Bild Hinweis Parameters / F-parameters: DIP switch setting (9 0) Dieser Wert muss auf dem F-Modul (F-DI) eingestellt sein. F-monitoring time (ms) Die F-Überwachungszeit muss größer sein, als die Aufrufzeit des OB 35. Parameters / Module parameters: Kategorie 4 / PL e / SIL 3 wird erreicht, in dem eine Querschlusserkennung durchgeführt wird. Dazu müssen der zyklische Kurzschlusstest sowie die Geberversorgung über das F-Modul aktiviert sein. Short-circuit test: Zyklischer Kurzschlusstest ist aktiviert (Querschlusserkennung). Behavior after channel faults: Bei Kanalfehler wird das gesamte F-Modul passiviert. Parameters / Module parameters: Belegung der Kanäle: Channel 0, 4: Not-Halt Taster (2-kanalig) Chanel 1, 5: Simulierter Schutztürkontakt (1-kanalig) Parametrierung der Kanäle: Activated: Verwendete Kanäle sind aktiviert, nicht verwendete Kanäle deaktiviert. Sensor supply: Die interne Geberversorgung ist aktiviert, damit der Kurzschlusstest durchgeführt werden kann. Evaluation of the sensors Kanal 0, 4: 2v2 Auswertung Kanal 1, 5: 1v1 Auswertung Type of sensor interconnection Kanal 0, 4: 2-kanalig äquivalent Kanal 1, 5: 1-kanalig Behavior at discrepancy: Nur Kanal 0, 4: Bei Diskrepanz wird ein sicheres 0 -Signal bereitgestellt. Discrepancy time (ms): Nur Kanal 0, 4: Diskrepanzzeit zwischen den beiden Öffnern des Not-Halt Reintegration after discrepancy: Nur Kanal 0, 4: Nach Beseitigung des Diskrepanzfehlers ist kein Test mit 0 -Signal erforderlich. A&D Safety Integrated Seite 26/44 AS-FE-I-008-V20-DE

ACHTUNG Im vorliegenden Safety Funktionsbeispiel wird die Überwachung einer Schutztür mit einem Taster simuliert. Eine reale Überwachung einer Schutztür muss mit zwei Sensoren erfolgen (siehe Safety Funktionsbeispiele Nr. 2, 3 und 4). Einstellungen der sicherheitsgerichteten DO (F-DO) Erreichbar durch Doppelklick auf 4 F-DO DC24V/2A (Übersichtsbild). Bild Hinweis Parameters / F-parameters: DIP switch setting (9 0) Dieser Wert muss auf dem F-Modul (F-DO) eingestellt sein. F-monitoring time (ms) Die F-Überwachungszeit muss größer sein, als die Aufrufzeit des OB 35. Parameters / Module parameters: Belegung der Kanäle: DO Channel 0 Kanal 0 schaltet die beiden Schütze K1 und K2. Parametrierung der Kanäle: Behavior after channel faults Im Falle eines Kanalfehlers wird das gesamte F-Modul passiviert. Activated Verwendete Kanäle sind aktiviert, nicht verwendete Kanäle sind deaktiviert Read-back time Die Rücklesezeit legt die Dauer des Ausschaltvorgangs für den Kanal fest. Sie sollten die Rücklesezeit hinreichend groß einstellen, wenn der Kanal große kapazitive Lasten schaltet. Wir empfehlen die Rücklesezeit durch Probieren so klein wie möglich, jedoch so groß einzustellen, dass der Kanal nicht passiviert wird. A&D Safety Integrated Seite 27/44 AS-FE-I-008-V20-DE

5 Leistungseckdaten Ladespeicher und Arbeitsspeicher Gesamt Davon: S7-Standardbausteine Davon: F-Bausteine Ladespeicher 44,1 KByte 1,0 KByte 43,1 KByte Arbeitsspeicher 31,8 KByte 0,4 KByte 31,4 KByte Zykluszeit Typische Gesamtzykluszeit (Standardprogramm und Sicherheitsprogramm) Maximale Laufzeit Sicherheitsprogramm 6 Beispielcode 6.1 Download Zeit ca. 2 ms Bemerkung Messung in der S7-CPU ( Baugruppenzustand CPU / Zykluszeit ) 9 ms Berechnung mit einer Excel-Datei, die für S7 Distributed Safety zur Verfügung steht. Im Kapitel 2 ist angegeben, wo Sie die Tabelle im Internet finden. Vorbemerkung Das zum vorliegenden Safety Funktionsbeispiel mitgelieferte STEP 7 Projekt enthält die Hardwarekonfiguration und den Beispielcode. Im Folgenden wird der Beispielcode beschrieben. Der Beispielcode ist immer den im Safety Funktionsbeispiel verwendeten Komponenten zugeordnet und realisiert die geforderte Funktionalität. Darüber hinaus gehende Problemstellungen sind vom Anwender zu realisieren, wobei der Beispielcode als Grundlage dienen kann. Im Beispielcode sind Maßnahmen zur Fehleraufdeckung (Diagnose) realisiert. Diese Informationen müssen vom Anwender ausgewertet werden, und es muss eine Fehlerreaktion erfolgen (Zweiter Abschaltweg, ). Hinweis Für den Download des STEP7 Projektes zur CPU 315F-2DP benötigen Sie eine Verbindung zwischen der MPI-Schnittstelle Ihres PG/PC und der MPI-Schnittstelle der CPU 315F-2DP (MPI-Kabel). Passwort Die für den sicherheitsrelevanten Teil des Beispielcodes verwendeten Passwörter lauten in allen Fällen: siemens A&D Safety Integrated Seite 28/44 AS-FE-I-008-V20-DE

Verwendung des STEP 7 Projektes Mit Hilfe eines MICROMASTER wird ein Motor gestartet. Der Motor kann betriebsmäßig oder sicherheitsgerichtet abgeschaltet werden. Funktionalität des STEP 7 Projektes Mit dem STEP 7 Projekt wird folgende Funktionalität realisiert: Betriebsmäßiges Abschalten des Motors über einen Taster. Sicherheitsgerichtetes Abschalten des Motors über einen Taster, der einen Schutztürkontakt simuliert (Stopp-Kategorie 0). Sicherheitsgerichtetes Abschalten des Motors über einen Not-Halt Taster (Stopp-Kategorie 1). Download Auf der HTML-Seite des Safety Funktionsbeispiels finden Sie bei den Downloads die folgende Datei mit dem STEP 7 Projekt: 21331097_as_fe_i_008_v20_code_cstopcat.zip Speichern Sie diese Datei in ein beliebiges Verzeichnis auf Ihrem PC/ PG. Starten Sie STEP 7, und dearchivieren Sie die Datei in ein beliebiges Verzeichnis. Zum Laden des STEP 7 Projektes in die S7-CPU gehen Sie dann in STEP 7 folgendermaßen vor: Laden Sie zuerst die Hardwarekonfiguration in die S7-CPU Wechseln Sie zum SIMATIC Manager Markieren Sie die S7-CPU Wählen Sie im Menü Extras : Sicherheitsprogramm bearbeiten Klicken Sie den Button Laden, um den Beispielcode in die S7-CPU zu laden. Software STARTER für MICROMASTER Falls Sie die Parametereinstellungen des vorliegenden Safety Funktionsbeispiels für den MICROMASTER ("as_fe_i_008_v10_code_pstopcat.zip") nutzen wollen, benötigen Sie die Software STARTER. Die Software erhalten Sie kostenlos mittels Download aus dem Internet. Den Link dazu finden Sie nachfolgend: http://support.automation.siemens.com/ Geben Sie dort unter Thema (Stichwort) als Suchbegriff Starter ein. Nun markieren Sie als Suchbereich nur Downloads. Ältere Projekte (*.mcp) können Sie in ein aktuelles Projekt konvertieren und dort weiterbearbeiten. Wählen Sie im aufgeblendeten Fenster das Starter Projekt und bestätigen Sie mit OK. Das Projekt wird konvertiert und eventuell auftretende Fehler werden in der Detailanzeige aufgelistet. A&D Safety Integrated Seite 29/44 AS-FE-I-008-V20-DE

6.2 Programmablauf Standardprogramm OB1 Netzwerk 1 Das Merkerbit FEEDBACK wertet die Rücklesesignale der beiden Schütze K1 und K2 aus. FEEDBACK wird im Sicherheitsprogramm als Eingangsparameter des FB F_FDBACK verwendet. Der FB F_FDBACK ist ein zertifizierter Baustein aus der Bibliothek von Distributed Safety zum Überwachen der Rücklesesignale (F-Applikationsbaustein). Der Merker FEEDBACK wird im Sicherheitsprogramm als Merker FEEDBACK1 gelesen. Diese Zuweisung geschieht im Weckalarm OB 35 und hat nachfolgenden Grund: Wenn Sie im Sicherheitsprogramm Daten aus dem Standardprogramm (Merker oder PAE von Standard-Peripherie) lesen möchten (hier: FEEDBACK ), die während der Laufzeit einer F-Ablaufgruppe durch das Standardprogramm oder ein Bedien- und Beobachtungssystem verändert werden können, müssen Sie dafür eigene Merker (hier: FEEDBACK1 ) verwenden. Diese Merker müssen Sie unmittelbar vor dem Aufruf der F-Ablaufgruppe mit den Daten aus dem Standardprogramm beschreiben. Im Sicherheitsprogramm dürfen Sie dann nur auf diese Merker zugreifen. Im Safety Funktionsbeispiel ist dies so realisiert. Hinweis Wenn Sie obige Sätze nicht beachten, kann die F-CPU in STOP gehen. Netzwerk 2 A&D Safety Integrated Seite 30/44 AS-FE-I-008-V20-DE

In Netzwerk 2 des OB1 wird das Signal zum betriebsmäßigen Starten (START) und Stoppen (STOP) gegeben. Dabei wird der Ausgang MM des Standard-Ausgabemoduls gesetzt oder rückgesetzt. Dieser Ausgang ist mit dem MICROMASTER verbunden: MM= 1 : Anforderung an MICROMASTER, den Motor hoch zu fahren. MM= 0 : Anforderung an MICROMASTER den Motor in den Stillstand zu fahren. Solange 1 -Signal am R-Eingang des Flip-Flops SR anliegt, bleibt der Ausgang MM= 0, auch wenn der Starttaster gedrückt wird. Dies ist der Fall, weil die Funktion Rücksetzen bei diesem Typ von Flip-Flop Vorrang besitzt. 6.3 Programmablauf Sicherheitsprogramm Struktur Das Sicherheitsprogramm besitzt folgende Struktur: A&D Safety Integrated Seite 31/44 AS-FE-I-008-V20-DE

FB Safety_PRG (FB1, DB1) Netzwerk 1 Bei einer Quittierung (negative Flanke von ACK) werden #Q_ESTP und #Q_FDOOR beide 1, wenn folgendes gleichzeitig erfüllt ist: Not-Halt Taster entriegelt simulierter Schutztürkontakt FDOOR= 1 Damit ziehen in Netzwerk 2 die Schütze K1 und K2 an, und versorgen den MICROMASTER mit Spannung. Wird nun bei laufenden Betrieb die Schutztür geöffnet (simuliert durch FDOOR) wird FDOOR= 0 und dadurch Q_FDOOR= 0. Das führt im Netzwerk 2 zum sofortigen Abfallen der beiden Schütze K1 und K2. Der Antrieb wird also sofort vom Netz getrennt (Stopp-Kategorie 0). Wird bei laufenden Betrieb der Not-Halt betätigt (ESTP= 0 ), dann wird #Q_ESTP, nach Ablauf der an PT (Eingang des FB F_TOF) parametrierten Zeit, zurückgesetzt. Diese Zeit muss so eingestellt sein, dass nach Ablauf dieser Zeit der Motor steht. Erst dann wird in Netzwerk 2 der Antrieb vom Netz getrennt (Stopp-Kategorie 1). A&D Safety Integrated Seite 32/44 AS-FE-I-008-V20-DE

Netzwerk 2 Im Netzwerk wird der F_FDBACK (FB216, DB216) aufgerufen. FB216 ist ein zertifizierter Baustein aus der Bibliothek von Distributed Safety (F- Applikationsbaustein). Am Eingang ACK des FB2126 wird folgendes Ereignis quittiert: Überschreiten der Rücklesezeit FDB_TIME (Rücklesefehler). Der Rücklesefehler wird angezeigt durch ERROR= 1. 1 -Signal am Eingang ACK_NEC des FB216 bewirkt, dass eine manuelle Quittierung notwendig ist, um den Ausgang Q des FB216 auf 1 zu setzen. Das 1 -Signal wird mit F_GLOBDB.VKE1 am Eingang ACK_NEC angelegt. Somit ist im Fehlerfall (ERROR= 1 ) eine Quittierung am Eingang ACK des FB216 notwendig. Hinweis! WARNUNG Der F-Global-Datenbaustein (F_GLOBDB) bietet die Variablen VKE0 bzw. VKE1 an. Diese können Sie im Sicherheitsprogramm zur Versorgung von Parametern bei Bausteinaufrufen verwenden, wenn Sie die booleschen Konstanten 0 bzw. 1 benötigen. Die Parametrierung ACK_NEC= 0 ist nur erlaubt, wenn ein automatischer Wiederanlauf des betreffenden Prozesses nach einem Rücklesefehler anderweitig ausgeschlossen wird. A&D Safety Integrated Seite 33/44 AS-FE-I-008-V20-DE

Der Ausgang Q ( K1_K2 ) des FB216 wird auf 1 gesetzt, sobald der Eingang ON= 1 ist. Dazu muss folgendes gleichzeitig erfüllt sein: Eingang FEEDBACK= 1 (Rückleseeingang) Es ist kein Rücklesefehler gespeichert Im Safety Funktionsbeispiel führt Q= 1 zum Anziehen der beiden Schütze K1 und K2, wodurch der MICROMASTER mit Spannung versorgt wird. K1_K2 ist der Ausgang des sicherheitsgerichteten Ausgabemoduls, welches die beiden Schütze K1 und K2 ansteuert. Ein Rücklesefehler wird erkannt (ERROR= 1 ), wenn der Signalzustand des Eingangs FEEDBACK (Rückleseeingang) nicht innerhalb der maximal tolerierbaren Rücklesezeit FDB_TIME dem Signalzustand von Ausgang Q ( K1_K2 ) folgt. Damit bei einer Passivierung, der vom Ausgang Q des FB216 angesteuerten F-Peripherie ( K1_K2 ), kein Rücklesefehler erkannt wird, und somit keine Quittierung erforderlich ist, wird der Eingang QBAD_FIO des FB216 mit der Variablen QBAD des zugehörigen F-Peripherie-Datenbausteines versorgt. Netzwerk 3 Hier wird der FC REINTEGRATION (FC2) aufgerufen. Die Beschreibung des FC2 finden Sie weiter unten. FC REINTEGRATION (FC2) Im FC2 wird, bei Passivierung der F-DI oder F-DO die Reintegration realisiert. Für die F-DO ist das Merkerbit #REINT vorbereitet. Mit einer positiven Flanke am Merkerbit #REINT wird die F-DO wiedereingliedert.! WARNUNG In diesem Beispiel geschieht die Reintegration passivierter F-Module automatisch. Nutzen Sie die automatische Reintegration für Ihre Anwendungen nur dann, wenn sich daraus keine Gefährdungen ergeben können. Eine Passivierung wird durch Leuchten der LED SF auf dem F-Modul angezeigt. Die Reintegration eines F-Moduls kann ca. eine Minute dauern. A&D Safety Integrated Seite 34/44 AS-FE-I-008-V20-DE

6.4 Bedienungsanleitung Vorraussetzung: Hardwarekonfiguration und Beispielcode des STEP 7 Projektes befinden sich in der S7-CPU Not-Halt ist entriegelt Keine Passivierung der F-DI und der F-DO Nachfolgende Tabelle demonstriert die Funktionsweise: Nr. Aktion Ergebnis / Hinweis 1 Drücken Sie den Taster ACK und lassen ihn los. 2 Drücken Sie den Taster START und lassen ihn los. 3 Drücken Sie den Taster FDOOR und lassen ihn los. 4 Wiederholen Sie Nr. 1 und 2 5 Drücken Sie den Not-Halt ESTP Vor dem ersten Start notwendig. Die Schütze K1 und K2 ziehen an und versorgen den MICROMASTER mit Spannung. Der Ausgang MM des digitalen Ausgabemoduls wird gesetzt. Dadurch bekommt der MICROMASTER das Signal zum Starten des Motors. Der MICROMASTER fährt den Motor gemäß seiner Parametrierung hoch. Mit dem Taster wird ein Schutztürkontakt simuliert. Die Schütze K1 und K2 fallen ab. Der MICROMASTER und der Motor werden sofort vom Netz getrennt (Stopp-Kategorie 0). Der Ausgang MM des digitalen Ausgabemoduls wird zurückgesetzt. Dadurch bekommt der MICROMASTER das Signal zum Stoppen des Motors. Der MICROMASTER fährt den Motor gemäß seiner Parametrierung in den Stillstand. Danach fallen die Schütze K1 und K2 ab, und trennen den Antrieb vom Netz (Stopp-Kategorie 1). Hinweis Nach bestimmten Ereignissen ist eine Quittierung erforderlich. Sehen Sie dazu den Absatz Quittierung im Kapitel Beschreibung der Funktionalität (Kapitel 2.1). Alternative Die Bibliothek von Distributed Safety bietet den F-Applikationsbaustein F_ESTOP1 (FB 215) an. Damit können Sie einen Not-Halt in den Stopp- Kategorien 0 und 1 realisieren. A&D Safety Integrated Seite 35/44 AS-FE-I-008-V20-DE

7 Bewertung nach EN 62061 und EN ISO 13849-1: 2006 7.1 Informationen zu den Normen Einen Überblick zur EN 62061 finden Sie im Safety Funktionsbeispiel: http://support.automation.siemens.com/ww/view/de/23996473 Einen Überblick zur EN ISO 13849: 2006 finden Sie im Buch: Funktionale Sicherheit von Maschinen und Anlagen. Umsetzung der europäischen Maschinenrichtlinie in der Praxis. (ISBN-13: 978-3-89578-281-7, ISBN-10: 3-89578-281-5) 7.2 Sicherheitsfunktion Vorbemerkung Not Halt ist kein Mittel zur Risikominderung. Not Halt ist keine Sicherheitsfunktion Not Halt ist eine ergänzende Sicherheitsfunktion Ergänzende Sicherheitsfunktion Für die weiteren Betrachtungen werden die folgenden ergänzenden Sicherheitsfunktionen zu Grunde gelegt: Tabelle 7-1 Ergänzende Sicherheitsfunktion SF1 SF2 Wenn der Not-Halt betätigt wird, muss der Motor sofort ausgeschaltet werden. (Stop-Kategorie 0) Wenn der Not-Halt betätigt wird, muss der Motor verzögert ausgeschaltet werden. (Stop-Kategorie 1) Im vorliegenden Safety Funktionsbeispiel wird die gesamte ergänzende Sicherheitsfunktion betrachtet: ergänzende Sicherheitsfunktion Aufgaben Erfassen Auswerten Reagieren SF1 x x x SF2 x x x Im Folgenden werden die oben aufgeführten Aufgaben nach den beiden Normen EN 62061 und EN ISO 13849-1: 2006 bewertet. A&D Safety Integrated Seite 36/44 AS-FE-I-008-V20-DE

8 Ergänzende Sicherheitsfunktion 1 8.1 Abbildung der ergänzenden Sicherheitsfunktion Das folgende Bild zeigt die Abbildung der ergänzenden Sicherheitsfunktion auf das Safety Funktionsbeispiel. Auswerten Erfassen Reagieren A&D Safety Integrated Seite 37/44 AS-FE-I-008-V20-DE

8.2 Bewertung von Erfassen 8.2.1 Bewertung nach EN 62061 Ergebnis: Ergebnis Begründung SILCL 3 Hardwarefehlertoleranz: HFT = 1 Anteil sicherer Ausfälle: SFF 0,99 (99%) PFH D 1,2 * 10-10 Architektur: Basis-Teilsystemarchitektur D, mit identischen Teilsystemelementen Die Werte zur Berechnung sind in der folgenden Tabelle zu finden. Werte zur Berechnung von PFH D : Parameter Wert Begründung Festlegung B10 B10-Wert Not-Halt Befehlsgerät Anteil gefahrbringender Ausfälle Not-Halt Befehlsgerät T1 Gebrauchsdauer 1 * 10 5 Herstellerangabe 0,2 (20%) Herstellerangabe 175.200 h (20 Jahre) Lebenserwartung SIEMENS AG C Anzahl Betätigungen Not-Halt Befehlsgerät T2 Diagnose-Testintervall β (CCF-Faktor) Anfälligkeit gegenüber Ausfällen in Folge gemeinsamer Ursache DC Diagnosedeckungsgrad 6 * 10-3 / h Annahmen: Einmal pro Woche (7*24 Stunden) erfolgt eine Betätigung (Test Not-Halt). An allen Tagen im Jahr (365 Tage) können Betätigungen stattfinden. 168 h Bei Betätigung des Not-Halt wird in der F-DI ein defekter Kontakt erkannt. Eine Betätigung erfolgt einmal pro Woche (7*24 Stunden) (siehe C ). 0,1 (10%) Bei Installation nach EN 62061 wird ein CCF-Faktor von 0,1 (10%) erreicht. Mit diesem Wert liegt man dann auf der sicheren Seite ( konservativer Wert ). 0,99 (99%) Kreuzvergleich in F-DI Anwender A&D Safety Integrated Seite 38/44 AS-FE-I-008-V20-DE

8.2.2 Bewertung nach EN ISO 13849-1: 2006 Ergebnis: Ergebnis Begründung PL e Die Werte zur Bestimmung sind in der folgenden Tabelle zu finden. Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde 2,47 * 10-8 Folgt aus Anhang K der EN ISO 13849-1: 2006. Hinweis: Die MTTF d für jeden Kanal ist auf ein Maximum von 100 Jahren begrenzt! Hinweis: Für ein genaueres Ergebnis wird eine Betrachtung nach EN 62061 empfohlen. Werte zur Bestimmung von PL: Parameter Wert Begründung MTTF d Jedes Kanals hoch DC hoch DC = 99% Kreuzvergleich in F-DI Maßnahmen gegen CCF erfüllt MTTF d 30 Jahre Die Werte zur Berechnung sind in der folgenden Tabelle zu finden. Es wird angenommen, dass vom Anwender die erforderlichen Maßnahmen ergriffen werden. Kategorie 4 Systemverhalten: Ein einzelner Fehler führt nicht zum Verlust der Sicherheitsfunktion. Der einzelne Fehler wird erkannt. MTTF d : hoch, DC: hoch, Maßnahmen gegen CCF: erfüllt Werte zur Berechnung von MTTF d jedes Kanals: Parameter Wert Begründung Festlegung B10 B10-Wert Not-Halt Befehlsgerät Anteil gefahrbringender Ausfälle Not-Halt Befehlsgerät d op mittlere Betriebszeit in Tagen pro Jahr h op mittlere Betriebszeit in Stunden pro Tag t Zyklus mittlere Zeit zwischen dem Beginn zweier aufeinander folgender Zyklen des Bauteils 1 * 10 5 Herstellerangabe 0,2 (20%) Herstellerangabe 365 Tage pro Jahr 24 Stunden pro Tag 168 Stunden pro Zyklus Annahme: An allen Tagen im Jahr können Betätigungen stattfinden. Annahme: Zwischen dem Betätigen des Not-Halt (Test Not-Halt) liegt eine Woche (7*24 Stunden). SIEMENS AG Anwender A&D Safety Integrated Seite 39/44 AS-FE-I-008-V20-DE

8.3 Bewertung von Auswerten 8.3.1 Bewertung nach EN 62061 Ergebnis: Ergebnis Begründung SILCL 3 Angabe des Herstellers SIEMENS AG PFH D 1,7 * 10-9 Die Werte zur Berechnung sind in der folgenden Tabelle zu finden. Werte zur Berechnung von PFH D : Parameter Komponente Wert Festlegung PFH D (F-CPU) CPU 315F-2DP 5,42 * 10-10 SIEMENS AG PFH D (F-Peripherie) F-DI der ET200S 1 * 10-10 F-DO der ET200S 1 * 10-10 P TE (F-Kommunikation) F-Kommunikation: F-CPU und ET200S 1 * 10-9 8.3.2 Bewertung nach EN ISO 13849-1: 2006 Ergebnis: Ergebnis Begründung PL Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde e Abgeleitet aus der Bewertung nach IEC 61508. 1,7 * 10-9 A&D Safety Integrated Seite 40/44 AS-FE-I-008-V20-DE

8.4 Bewertung von Reagieren 8.4.1 Bewertung nach EN 62061 Ergebnis: Ergebnis Begründung SILCL 3 Hardwarefehlertoleranz: HFT = 1 Anteil sicherer Ausfälle: SFF 0,99 (99%) PFH D 9,4 * 10-10 Architektur: Basis-Teilsystemarchitektur D, mit unterschiedlichen Teilsystemelementen. Die Werte zur Berechnung sind in der folgenden Tabelle zu finden. Werte zur Berechnung von PFH D : Parameter Wert Begründung Festlegung B10 B10-Wert Schütz Anteil gefahrbringender Ausfälle Schütz T1 Gebrauchsdauer C Anzahl Betätigungen Schütz T2 Diagnose-Testintervall β (CCF-Faktor) Anfälligkeit gegenüber Ausfällen in Folge gemeinsamer Ursache DC Diagnosedeckungsgrad 1 * 10 6 Herstellerangabe 0,75 (75%) Herstellerangabe 175.200 h (20 Jahre) Lebenserwartung 0,125 / h Annahmen: Einmal pro Schicht, d. h. alle 8 Stunden, erfolgt eine Betätigung. An allen Tagen im Jahr (365 Tage) finden Betätigungen statt. 8 h Bei Betätigung wird in der F-CPU ein defektes Schütz erkannt. Eine Betätigung erfolgt einmal pro Schicht, d.h. alle 8 Stunden (siehe C ). 0,1 (10%) Bei Installation nach EN 62061 wird ein CCF-Faktor von 0,1 (10%) erreicht. Mit diesem Wert liegt man dann auf der sicheren Seite ( konservativer Wert ). 0,99 (99%) Direkte Überwachung durch zwangsgeführte Hilfskontakte SIEMENS AG Anwender A&D Safety Integrated Seite 41/44 AS-FE-I-008-V20-DE

8.4.2 Bewertung nach EN ISO 13849-1: 2006 Ergebnis: Ergebnis Begründung PL e Die Werte zur Bestimmung sind in der folgenden Tabelle zu finden. Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde 2,47 * 10-8 Folgt aus Anhang K der EN ISO 13849-1: 2006. Hinweis: Die MTTF d für jeden Kanal ist auf ein Maximum von 100 Jahren begrenzt. Hinweis: Für ein genaueres Ergebnis, wird eine Betrachtung nach EN 62061 empfohlen. Werte zur Bestimmung von PL: Parameter Werte Begründung MTTF d jedes Kanals hoch MTTF d 30 Jahre Die Werte zur Berechnung sind in der folgenden Tabelle zu finden. DC hoch DC = 99% Direkte Überwachung durch zwangsgeführte Hilfskontakte Maßnahmen gegen CCF erfüllt Es wird angenommen, dass vom Anwender die erforderlichen Maßnahmen ergriffen werden. Kategorie 4 Systemverhalten: Ein einzelner Fehler führt nicht zum Verlust der Sicherheitsfunktion. Der einzelne Fehler wird erkannt. MTTF d : hoch, DC: hoch, Maßnahmen gegen CCF: erfüllt Werte zur Berechnung von MTTF d jedes Kanals: Parameter Wert Begründung Festlegung B10 B10-Wert Schütz Anteil gefahrbringender Ausfälle Schütz d op mittlere Betriebszeit in Tagen pro Jahr h op mittlere Betriebszeit in Stunden pro Tag t Zyklus mittlere Zeit zwischen dem Beginn zweier aufeinander folgender Zyklen des Bauteils 1 * 10 6 Herstellerangabe 0,75 (75%) Herstellerangabe 365 Tage pro Jahr 24 Stunden pro Tag 8 Stunden pro Zyklus Annahme: An allen Tagen im Jahr finden Betätigungen statt. Annahme: Zwischen dem Betätigen der Schütze liegt eine Schicht (8 Stunden). SIEMENS AG Anwender A&D Safety Integrated Seite 42/44 AS-FE-I-008-V20-DE

8.5 Bewertung der GESAMTEN ergänzenden Sicherheitsfunktion 8.5.1 Überblick der Aufgaben: Erfassen Auswerten Reagieren Die Tabelle zeigt das Ergebnis der Bewertung der Aufgaben: EN 62061 EN ISO 13849-1: 2006 SILCL PFH D PL Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde Erfassen 3 1,2 * 10-10 e 2,47 * 10-8 Auswerten 3 1,7 * 10-9 e 1,7 * 10-9 Reagieren 3 9,4 * 10-10 e 2,47 * 10-8 8.5.2 Bewertung nach EN 62061 Ergebnis Begründung SIL 3 SILCL aller Aufgaben der ergänzenden Sicherheitsfunktion ist mindestens 3. PFH D (= 2,76*10-9 ) der gesamten ergänzenden Sicherheitssicherheitsfunktion erfüllt SIL 3. 8.5.3 Bewertung nach EN ISO 13849-1: 2006 Ergebnis Begründung PL e PL aller Aufgaben der ergänzenden Sicherheitsfunktion ist mindestens e. Anzahl der Aufgaben ist kleiner gleich 3. A&D Safety Integrated Seite 43/44 AS-FE-I-008-V20-DE

9 Ergänzende Sicherheitsfunktion 2 Unterschied der ergänzenden Sicherheitsfunktion 2 zur ergänzenden Sicherheitsfunktion 1: Das Ausschalten des Motors erfolgt nach einer parametrierbaren Zeit. Diese Zeit wird bei Auswerten im Sicherheitsprogramm der F-CPU sicher realisiert. Deswegen hat die Verwendung der Zeit keinen Einfluss auf die Bewertung nach EN 62061 und EN ISO 13849-1: 2006. Somit gelten für die ergänzenden Sicherheitsfunktion 2 die Ergebnisse der ergänzenden Sicherheitsfunktion 1 (Kapitel 8.5). 10 Historie Version Datum Unterschiede V1.0 02 / 2005 Erste Ausgabe V2.0 10 / 2007 Aktualisierung der Inhalte bezüglich: Hardware und Software Leistungsdaten Screenshots Neue Kapitel: Bewertung des Safety Funktionsbeispiels nach den neuen Normen EN 62061 und EN ISO 13849-1: 2006 A&D Safety Integrated Seite 44/44 AS-FE-I-008-V20-DE