Functional Example AS-FE-I-006-V20-DE

Functional Example AS-FE-I-006-V20-DE SIMATIC Safety Integrated for Factory Automation Zweihand-Bedienpult mit integriertem Not-Halt in Kategorie 4 nach EN 954-1: 1996 (mit Bewertung nach EN 62061 und EN ISO 13849-1: 2006)

Vorbemerkung Die Funktionsbeispiele zum Thema Safety Integrated sind funktionsfähige und getestete Automatisierungskonfigurationen auf Basis von A&D- Standardprodukten für die einfache, schnelle und kostengünstige Realisierung von Automatisierungsaufgaben in der Sicherheitstechnik. Jedes der vorliegenden Funktionsbeispiele deckt dabei eine häufig vorkommende Teilaufgabe einer typischen Kundenproblemstellung innerhalb der Sicherheitstechnik ab. Neben der Aufzählung aller benötigten Soft- und Hardwarekomponenten und Beschreibung deren Verschaltung miteinander, beinhalten die Funktionsbeispiele getesteten und kommentierten Code. Damit können die hier beschriebenen Funktionalitäten innerhalb kurzer Zeit nachgestellt und so auch als Basis für individuelle Erweiterungen genutzt werden. Wichtiger Hinweis Die Safety Funktionsbeispiele sind unverbindlich und erheben keinen Anspruch auf Vollständigkeit hinsichtlich Konfiguration und Ausstattung sowie jeglicher Eventualitäten. Die Safety Funktionsbeispiele stellen keine kundenspezifische Lösungen dar, sondern sollen lediglich Hilfestellung bieten bei typischen Aufgabenstellungen. Sie sind für den sachgemäßen Betrieb der beschrieben Produkte selbst verantwortlich. Diese Safety Funktionsbeispiele entheben Sie nicht der Verpflichtung zu sicherem Umgang bei Anwendung, Installation, Betrieb und Wartung. Durch Nutzung dieser Safety Funktionsbeispiele erkennen Sie an, dass Siemens über die oben beschriebene Haftungsregelung hinaus nicht für etwaige Schäden haftbar gemacht werden kann. Wir behalten uns das Recht vor, Änderungen an diesen Safety Funktionsbeispielen jederzeit ohne Ankündigung durchzuführen. Bei Abweichungen zwischen den Vorschlägen in diesen Safety Funktionsbeispielen und anderen Siemens Publikationen, wie z.b. Katalogen, hat der Inhalt der anderen Dokumentation Vorrang. A&D Safety Integrated Seite 2/38 AS-FE-I-006-V20-DE

Inhaltsverzeichnis 1 Gewährleistung, Haftung und Support... 4 2 Automatisierungsfunktion... 5 2.1 Beschreibung der Funktionalität... 5 2.1.1 Vorbemerkungen... 5 2.1.2 Funktionalität des Safety Funktionsbeispiels... 6 2.2 Vorteile / Kundennutzen... 10 3 Erforderliche Komponenten... 11 4 Aufbau und Verdrahtung... 12 4.1 Der Hardwareaufbau in der Übersicht... 12 4.2 Verdrahtung der Hardwarekomponenten... 13 4.3 Funktionstest... 15 4.4 Wichtige Einstellungen an den Hardwarekomponenten... 17 5 Leistungseckdaten... 21 6 Beispielcode... 21 6.1 Download... 21 6.2 Programmablauf Standardprogramm... 23 6.3 Programmablauf Sicherheitsprogramm... 23 6.4 Bedienungsanleitung... 28 7 Bewertung nach EN 62061 und EN ISO 13849-1: 2006... 29 7.1 Informationen zu den Normen... 29 7.2 Sicherheitsfunktion... 29 8 Sicherheitsfunktion 1... 30 8.1 Abbildung der Sicherheitsfunktion auf das Funktionsbeispiel... 30 8.2 Bewertung von Erfassen... 31 8.2.1 Bewertung nach EN 62061... 31 8.2.2 Bewertung nach EN ISO 13849-1: 2006... 32 8.3 Bewertung von Auswerten... 33 8.3.1 Bewertung nach EN 62061... 33 8.3.2 Bewertung nach EN ISO 13849-1: 2006... 33 8.4 Zusammenfassung... 33 9 Ergänzende Sicherheitsfunktion 2... 34 9.1 Abbildung der ergänzenden Sicherheitsfunktion... 34 9.2 Bewertung von Erfassen... 35 9.2.1 Bewertung nach EN 62061... 35 9.2.2 Bewertung nach EN ISO 13849-1: 2006... 36 9.3 Bewertung von Auswerten... 37 A&D Safety Integrated Seite 3/38 AS-FE-I-006-V20-DE

9.3.1 Bewertung nach EN 62061... 37 9.3.2 Bewertung nach EN ISO 13849-1: 2006... 37 9.4 Zusammenfassung... 37 10 Historie... 38 1 Gewährleistung, Haftung und Support Für die in diesem Dokument enthaltenen Informationen übernehmen wir keine Gewähr. Unsere Haftung, gleich aus welchem Rechtsgrund, für durch die Verwendung der in diesem Safety Funktionsbeispiel beschriebenen Beispiele, Hinweise, Programme, Projektierungs- und Leistungsdaten usw. verursachte Schäden ist ausgeschlossen, soweit nicht z.b. nach dem Produkthaftungsgesetz in Fällen des Vorsatzes, der grober Fahrlässigkeit, wegen der Verletzung des Lebens, des Körpers oder der Gesundheit, wegen einer Übernahme der Garantie für die Beschaffenheit einer Sache, wegen des arglistigen Verschweigens eines Mangels oder wegen Verletzung wesentlicher Vertragspflichten zwingend gehaftet wird. Der Schadensersatz wegen Verletzung wesentlicher Vertragspflichten ist jedoch auf den vertragstypischen, vorhersehbaren Schaden begrenzt, soweit nicht Vorsatz oder grobe Fahrlässigkeit vorliegt oder wegen der Verletzung des Lebens, des Körpers oder der Gesundheit zwingend gehaftet wird. Eine Änderung der Beweislast zu Ihrem Nachteil ist hiermit nicht verbunden. Copyright 2007 Siemens A&D. Weitergabe oder Vervielfältigung dieser Safety Funktionsbeispiele oder Auszüge daraus sind nicht gestattet, soweit nicht ausdrücklich von Siemens A&D zugestanden. Bei Fragen zu diesem Beitrag wenden Sie sich bitte über folgende E-Mail-Adresse an uns: Online-support.automation@siemens.com A&D Safety Integrated Seite 4/38 AS-FE-I-006-V20-DE

2 Automatisierungsfunktion 2.1 Beschreibung der Funktionalität 2.1.1 Vorbemerkungen Zweihand-Bedienpulte werden bei Maschinen und Anlagen mit Gefahrenstellen eingesetzt, wo eine Ortsbindung beider Hände der bedienenden Person erforderlich ist. Zweihand-Bedienungen finden in der Industrie breite Verwendung z.b.: Pressen Punktschweißen Stanzen Druck- oder Holzverarbeitungsbereich SIRIUS Zweihand-Bedienpulte 3SB3 entsprechen den Anforderungen nach EN 574. Die Standardbestückung besteht aus folgender Konfiguration: 2 schwarze Pilzdrucktaster (1 S + 1 Ö) 1 roter Not-Halt Pilzdrucktaster (2 Ö) A&D Safety Integrated Seite 5/38 AS-FE-I-006-V20-DE

In der folgenden Tabelle sind die zum Zweihand-Bedienpult relevanten Normen angegeben: Norm EN 574: 1996 EN ISO 13850: 2006 EN 999: 1998 EN ISO 12100-1: 2003 EN 60204-1: 2006 EN 60947-5-1: 2004 EN 954-1: 1996 EN ISO 13849-1: 2006 EN 62061: 2005 2.1.2 Funktionalität des Safety Funktionsbeispiels Inhalt Sicherheit von Maschinen- Zweihandschaltung Sicherheit von Maschinen- Not-Halt Einrichtung Greifgeschwindigkeit Sicherheit von Maschinen- Allgemeine Gestaltungsleitsätze Sicherheit von Maschinen- Elektrische Ausrüstung von Maschinen Niederspannungs-Schaltgeräte-Zwangsöffnung Sicherheit von Maschinen- Sicherheitsbezogene Teile von Steuerungen Sicherheit von Maschinen- Sicherheitsbezogenen Teile von Steuerungen- Teil 1: Allgemeine Gestaltungsleitsätze Sicherheit von Maschinen- Funktionale Sicherheit sicherheitsbezogener elektrischer, elektronischer und programmierbarer elektronischer Steuerungssysteme Charakteristisch für die Zweihand-Bedienung ist die Ortsbindung beider Hände. Nur wenn beide Pilzdrucktaster der Zweihand-Bedienung gedrückt sind, lassen sich die gewünschten Aktionen starten. Jeder der beiden Pilzdrucktaster stellt einen Antivalenttaster dar. (Schließer (NO) und Öffner (NC)). Schließer und Öffner eines jeden Antivalenttasters müssen bei Betätigung innerhalb einer Diskrepanzzeit schalten. Die Größe dieser Diskrepanzzeit wird in der Hardwarekonfiguration von STEP 7 parametriert (max. 500 ms nach EN 574). A&D Safety Integrated Seite 6/38 AS-FE-I-006-V20-DE

Neben der Diskrepanzzeitüberwachung zwischen Schließer und Öffner eines Antivalenttasters, werden auch die Schaltzeitpunkte zwischen Antivalenttaster 1 und 2 überwacht. Diese Diskrepanzzeitüberwachung wird im Sicherheitsprogramm von STEP 7 am F-Applikationsbaustein parametriert. Bei gleichzeitiger Betätigung beider Antivalenttaster startet eine Anwendung, die 4 Sekunden lang aktiv ist. Danach, oder wenn mindestens einer der Antivalenttaster losgelassen wird, schaltet die Anwendung automatisch ab. Ein erneuter Start der Anwendung ist nur durch Loslassen und erneutes Betätigen beider Antivalenttaster möglich. Im Safety Funktionsbeispiel wird die Anwendung durch einen Leuchtmelder (Aktor) simuliert, der mit einem sicherheitsgerichteten digitalen Ausgabemodul des Peripheriesystems ET 200S verbunden ist. Eine Anwendung ist zum Beispiel eine gefahrbringende Maschine. Im Folgenden wird der Begriff Maschine stellvertretend für den Leuchtmelder (Aktor) verwendet. ACHTUNG Not-Halt Für das Erreichen von Kategorie 4 / PL e / SIL 3 ist es für bestimmte Aktoren (z.b. Schütz) zwingend notwendig, das Prozesssignal zum Aktor rückzulesen. Das Rücklesen ist im Safety Funktionsbeispiel nicht realisiert. Der Aktor ist ein Leuchtmelder, der eine Maschine simuliert. Bei Verwendung anderer Aktoren müssen Sie die Rückführkreise selbst einbinden und auswerten. Auf das Thema Rücklesen wird im Safety Funktionsbeispiel Nr. 7 explizit eingegangen. Die Betätigung des Not-Halt Drucktasters am Zweihand-Bedienpult sorgt für das Rücksetzen des Leuchtmelders (simulierter Stopp der Maschine ). Vor einem erneuten Start der Maschine muss der Not-Halt entriegelt und quittiert werden. Quittierung Eine Quittierung ist in den folgenden Fällen notwendig: Vor dem ersten Start der Maschine nach dem Entriegeln des Not-Halt Drucktasters nach Überschreitung der Diskrepanzzeit eines Antivalenttasters nach Reintegration (Ende der Passivierung) der F-DI Reaktionszeit Verwenden Sie für die Berechnung der maximalen Reaktionszeit Ihres F-Systems die Excel-Datei, die für S7 Distributed Safety V5.4 zur Verfügung steht. Sie finden diese Datei im Internet: http://support.automation.siemens.com/ww/view/de/25412441 A&D Safety Integrated Seite 7/38 AS-FE-I-006-V20-DE

Ablaufdiagramm Das folgende Ablaufdiagramm zeigt den Funktionsablauf des Safety Funktionsbeispiels. A&D Safety Integrated Seite 8/38 AS-FE-I-006-V20-DE

Zeitverlauf Das folgende Bild zeigt die zeitlichen Zusammenhänge: In der folgenden Tabelle werden die oben eingetragenen Zeiten erläutert. Zeit Erklärung Hinweis t1 t2 t3 Diskrepanzzeit zwischen Schließer und Öffner am Antivalenttaster1 Diskrepanzzeit zwischen Schließer und Öffner am Antivalenttaster 2 Diskrepanzzeit zwischen Antivalenttaster 1 und 2 Wird in der Hardwarekonfiguration von STEP 7 parametriert. Wird im Sicherheitsprogramm von STEP 7 programmiert. t1 Start der Maschine Simuliert durch Einschalten Leuchtmelder. t2 Stopp der Maschine Simuliert durch Ausschalten Leuchtmelder. Mögliche Gründe für den Stopp: Ende der Maschinenlaufzeit Mindestens ein Antivalenttaster wurde losgelassen Not-Halt wurde betätigt Passivierung des sicherheitsgerichteten Eingabemoduls der ET 200S (F-DI) A&D Safety Integrated Seite 9/38 AS-FE-I-006-V20-DE

2.2 Vorteile / Kundennutzen SIMATIC Safety Integrated Geringer Verdrahtungsaufwand durch Verwendung von sicherheitsgerichteter S7-CPU und dezentraler Peripherie. Dieser Vorteil kommt umso mehr zum Tragen, je mehr Sicherheitsfunktionen realisiert werden. Programmierung des sicherheitsgerichteten Programms mit STEP 7 Engineering-Tools Nur eine S7-CPU notwendig, da sicherheitsgerichtete und Standard- Programmteile koexistent in der S7-CPU ablaufen Nutzung von vorgefertigten und zertifizierten fehlersicheren Bausteinen aus der Bibliothek von S7 Distributed Safety (F-Applikationsbausteine). SIRIUS Zweihand-Bedienpult Ausführung der Zweihand-Bedienung mit integrierten Befehlsgeräten inklusive Not-Halt Zusätzliche Befehlsgeräte montierbar Metallausführung der Zweihand-Bedienung für raue Industrieumgebung Erfüllung aller entsprechenden Normen A&D Safety Integrated Seite 10/38 AS-FE-I-006-V20-DE

3 Erforderliche Komponenten Hardwarekomponenten Komponente Typ MLFB/Bestellangaben Anz. Hersteller Stromversorgung PS307 5A 6ES73071EA00-0AA0 1 S7-CPU, einsetzbar für Sicherheitsanwendungen CPU 315F-2DP 6ES7315-6FF01-0AB0 1 Micro Memory Card MMC 512 KByte 6ES7953-8LJ11-0AA0 1 Interface Module für ET 200S IM 151 High Feature 6ES7151-1BA02-0AB0 1 Powermodul für ET 200S PM-E DC24..48V AC24..230V 6ES7138-4CB11-0AB0 2 Elektronikmodul für ET 200S 2DI HF DC24V 6ES7131-4BB01-0AB0 1 Elektronikmodul für ET 200S 4/8 F-DI DC24V 6ES7138-4FA03-0AB0 1 Elektronikmodul für ET 200S 4 F-DO DC24V/2A 6ES7138-4FB02-0AB0 1 Terminalmodul für ET 200S TM-P15S23-A0 6ES7193-4CD20-0AA0 2 Terminalmodul für ET 200S TM-E15S24-A1 6ES7193-4CA20-0AA0 1 Terminalmodul für ET 200S TM-E30C46-A1 6ES7193-4CF50-0AA0 2 Profilschiene 482,6 mm 6ES7390-1AE80-0AA0 1 Normprofilschiene 35 mm, Länge:483 mm 6ES5710-8MA11 1 Leuchtmelder inkl. Glühlampe gelb 3SB3217-6AA30 1 Drucktaster Grün, 1S 3SB3801-0DA3 1 SIRIUS Zweihand-Bedienpult Kunststoffausführung 3SB3863-1BB 1 Hinweis SIEMENS AG Mit den angegebenen Hardwarekomponenten wurde die Funktionalität getestet. Es können auch ähnliche, von obiger Liste abweichende Produkte verwendet werden. Beachten Sie in einem solchen Fall bitte, dass gegebenenfalls Änderungen im Beispielcode (z.b. andere Adressen) notwendig werden. Hinweis Das HF-Elektronikmodul kann durch ein Standardmodul ersetzt werden. Projektierungssoftware/-tools Komponente Typ MLFB / Bestellangaben Anz. Hersteller SIMATIC STEP 7 V5.4 + SP1 6ES7810-4CC07-0YA5 1 SIMATIC Distributed Safety V5.4 + SP3 6ES7833-1FC01-0YA5 1 SIEMENS AG A&D Safety Integrated Seite 11/38 AS-FE-I-006-V20-DE

4 Aufbau und Verdrahtung Beachten Sie zum Aufbau und zur Verdrahtung des Safety Funktionsbeispiels unbedingt nachfolgenden Hinweis: ACHTUNG Für das Erreichen von Kategorie 4 / PL e / SIL 3 ist es für bestimmte Aktoren (z.b. Schütz) zwingend notwendig, das Prozesssignal zum Aktor rückzulesen. Das Rücklesen ist im Safety Funktionsbeispiel nicht realisiert. Der Aktor ist ein Leuchtmelder, der eine Maschine simuliert. Bei Verwendung anderer Aktoren müssen Sie die Rückführkreise selbst einbinden und auswerten. Auf das Thema Rücklesen wird im Safety Funktionsbeispiel Nr. 7 explizit eingegangen. 4.1 Der Hardwareaufbau in der Übersicht Die Anordnung zum Einsatz eines Zweihand-Bedienpults besteht aus einer Konfiguration mit PROFIBUS DP (mit PROFIsafe Profil). Eine sicherheitsgerichtete S7-CPU wird dabei als DP-Master, eine ET 200S als DP-Slave eingesetzt. Der Leuchtmelder (simulierte Maschine) kann durch Aktoren gemäß Ihren Anforderungen ersetzt werden. A&D Safety Integrated Seite 12/38 AS-FE-I-006-V20-DE

4.2 Verdrahtung der Hardwarekomponenten Voraussetzung: Die Stromversorgungen werden mit 230V AC versorgt. Kontrollieren Sie vorab die an den nachfolgend genannten Hardwarekomponenten eingestellten Adressen: Hardwarekomponente Einzustellende Adresse IM 151 HF 6 (PROFIBUS-Adresse) Können Sie abändern F-DI Schalterstellung: 1111111110 F-DO Hinweis Hinweis Schalterstellung: 1111111101 Hinweis Die PROFIsafe-Adressen werden automatisch bei der Projektierung der fehlersicheren Module in STEP 7 vergeben. Zulässig sind die PROFIsafe-Adressen 1 bis 1022. Achten Sie bitte darauf, dass die Einstellung am Adressschalter (DIL Schalter) auf der Modulseite mit der PROFIsafe-Adresse in der Hardwarekonfiguration von STEP 7 übereinstimmt. Die DP Schnittstelle an der CPU 315F muss mit der DP Schnittstelle an der IM 151 HF verbunden werden. Im Nachfolgenden wird die Verdrahtung der Hardware gezeigt. Dazu wird nachfolgende Tabelle vorangestellt, in der mehrfach vorkommende Hardwarekomponenten nummeriert werden. Damit können Sie diese in dem sich anschließenden Verdrahtungsplan eindeutig zuordnen. A&D Safety Integrated Seite 13/38 AS-FE-I-006-V20-DE

PM-E PM-E N L1 PE L1 N PS 307 / CPU 315F L+ M L+ M L+ M L+ M 4 2 3 A 4 AUX1 8 6 7 L L M M A 8 IM 151 HF 1 F-DO 4 2 3 A 4 AUX1 8 6 7 A 8 2 1 F-DI 1 2 3 A 4 5 9 13 2 6 10 14 3 7 11 15 4 8 12 16 5 6 7 A 8 2 DI HF 1 3 1L 2 4 2L 1R 2R 4 3 1 Quittierung 3 2 4 Zweihand- Bedienpult (mit integriertem Not-Halt) 1 5 9 13 2 6 10 14 A 4 A 3 8 7 A 12 16 A 11 15 3 7 11 15 4 8 12 16 A 4 A 3 8 7 A 12 16 A 11 15 X2 X1 Aktor A&D Safety Integrated Seite 14/38 AS-FE-I-006-V20-DE

Die Verdrahtung im obigen Bild berücksichtigt folgenden Punkt: Jeder der beiden Antivalenttaster des Zweihand-Bedienpults muss so angeschlossen werden, dass der erste Kontakt ein Schließer und der zweite Kontakt ein Öffner ist. Bei aktiviertem Kurzschlusstest des sicherheitsgerichteten Eingabemoduls (F-DI) sind beide Kontakte des Antivalenttasters über die interne Geberversorgung VS1 mit Spannung zu versorgen. Sobald eine Diskrepanz zwischen den Signalen der beiden betroffenen Eingangskanäle festgestellt wird, wird dem Sicherheitsprogramm in der F-CPU der Wert "0" zur Verfügung gestellt (Parametrierung in der Hardwarekonfiguration von STEP 7). 4.3 Funktionstest Die verwendeten Ein- und Ausgänge können bezüglich der Funktionalität geprüft werden, wenn folgendes erfüllt ist: die Hardwarekomponenten sind verdrahtet das STEP 7 Projekt wurde in die S7-CPU geladen Verwendete Ein- und Ausgänge Nr. HW-Komponente Adresse Symbol Signal Hinweis (Defaultwert) 1 Taster (NO) E 0.0 ACK 0 Quittierung 2 Pilzdrucktaster 1 Zweihand-Bedienpult (NO/NC) 3 Pilzdrucktaster 2 Zweihand-Bedienpult (NO/NC) 4 Not-Halt am Zweihand- Bedienpult (NC/NC) 5 Aktor (Leuchtmelder) E 1.0 HAND1 0 Ausgewertet wird der Schließer (NO) E 1.1 HAND2 0 Ausgewertet wird der Schließer (NO) E 1.2 ESTP 1 Auslösung Not-Halt A 7.0 LAMP 0 Simuliert eine gefahrbringende Maschine. 0 -Signal: Maschine ist ausgeschaltet A&D Safety Integrated Seite 15/38 AS-FE-I-006-V20-DE

Testen der Ein- und Ausgänge Voraussetzung: Die Ein- und Ausgänge haben die unter Verwendete Einund Ausgänge angegebenen Defaultwerte. Nr. Aktion 1 Drücken Sie den Taster ACK und lassen ihn los 2 Drücken und halten Sie gleichzeitig die Pilzdrucktaster 1 und 2 des Zweihand-Bedienpults Reaktion Hinweis A 7.0 0 Quittierung (ausgewertet wird die negative Flanke) 1 Starten (einschalten) der Maschine 3 Warten Sie 4 Sekunden 1 -> 0 Simulierte Maschinenlaufzeit 4 Lassen Sie die Pilzdrucktaster 1 0 Neuer Start der Maschine möglich und 2 des Zweihand-Bedienpults los. 5 Drücken und halten Sie gleichzeitig die Pilzdrucktaster 1 und 2 des Zweihand-Bedienpults, und lassen nach ca. 1s mindestens einen Pilzdrucktaster los. 1 -> 0 Maschine startet und stoppt. Hinweis Nach bestimmten Ereignissen ist eine Quittierung erforderlich. Sehen Sie dazu den Absatz Quittierung im Kapitel 2.1. A&D Safety Integrated Seite 16/38 AS-FE-I-006-V20-DE

4.4 Wichtige Einstellungen an den Hardwarekomponenten Das zum vorliegenden Safety Funktionsbeispiel mitgelieferte STEP 7 Projekt enthält die Hardwarekonfiguration und den Beispielcode. Nachfolgend werden zur Übersicht einige wichtige Einstellungen aus der Hardwarekonfiguration von STEP 7 gezeigt. Änderungen an diesen Einstellungen (z.b. aufgrund von individuellen Vorgaben) sind grundsätzlich möglich, beachten Sie dazu aber bitte folgenden Hinweis: ACHTUNG Die nachfolgend gezeigten Einstellungen tragen mit dazu bei, Kategorie 4 / PL e / SIL 3 zu erfüllen. Änderungen an den Einstellungen können zu einem Verlust der Sicherheitsfunktion führen. Übersichtsbild Sollten Sie Änderungen an der Hardwarekonfiguration von STEP 7 durchführen (z.b. ein weiteres Modul hinzufügen), muss auch der Beispielcode des mitgelieferten STEP 7 Projektes entsprechend angepasst werden. Die PROFIBUS-Adresse wird an dem IM 151 HF mittels DIL-Schalter eingestellt. A&D Safety Integrated Seite 17/38 AS-FE-I-006-V20-DE

Einstellungen der CPU 315F-2DP Erreichbar durch Doppelklick auf CPU 315F-2 DP (siehe Übersichtsbild ). Bild Hinweis Für den OB35 werden 50 ms eingestellt (Defaultwert ist 100 ms). Zu Beachten ist, dass die F-Überwachungszeit größer als die Aufrufzeit des OB35 sein muss (siehe Einstellungen der sicherheitsgerichteten DI, bzw. Einstellungen der sicherheitsgerichteten DO ). Es muss ein Passwort vergeben werden, um den Parameter CPU contains safety program setzen zu können. Nur in diesem Fall werden bei der Übersetzung der Hardwarekonfiguration von STEP 7 alle erforderlichen F-Bausteine zum sicheren Betrieb der F-Module generiert. Hier verwendetes Passwort: siemens Eingestellter Betrieb: Test mode Im Prozessbetrieb werden die Testfunktionen wie Programmstatus oder Variable beobachten/steuern so eingeschränkt, dass die eingestellte zulässige Zykluszeiterhöhung nicht überschritten wird. Das Testen mit Haltepunkten und schrittweise Programmausführung können nicht ausgeführt werden. Im Testbetrieb sind alle Testfunktionen über PG/PC ohne Einschränkung nutzbar, die auch größere Verlängerungen der Zykluszeit bewirken können. Wichtig: Wenn sich die S7-CPU im Testbetrieb befindet, müssen Sie dafür sorgen, dass die S7-CPU bzw. der Prozess große Zykluszeitverlängerungen "vertragen" kann. A&D Safety Integrated Seite 18/38 AS-FE-I-006-V20-DE

Einstellungen der sicherheitsgerichteten DI (F-DI) Erreichbar durch Doppelklick auf 4/8 F-DI DC24V. Bild Hinweis Parameters / F-parameters: DIP switch setting (9 0) Dieser Wert muss auf dem F-Modul (F-DI) eingestellt sein. F-monitoring time (ms) Die F-Überwachungszeit muss größer sein, als die Aufrufzeit des OB 35. Parameters / Module parameters: Kategorie 4 / PL e / SIL 3 wird erreicht, in dem eine Querschlusserkennung durchgeführt wird. Dazu müssen der zyklische Kurzschlusstest sowie die Geberversorgung über das F-Modul aktiviert sein. Short-circuit test: Zyklischer Kurzschlusstest ist aktiviert (Querschlusserkennung). Behavior after channel faults: Bei Kanalfehler wird das gesamte F-Modul passiviert. Parameters / Module parameters: Belegung der Kanäle: Channel 0, 4: Antivalenttaster 1 Channel 1, 5: Antivalenttaster 2 Channel 2, 6: Not-Halt Parametrierung der Kanäle: Activated: Verwendete Kanäle sind aktiviert, nicht verwendete Kanäle sind deaktiviert. Sensor supply: Die interne Geberversorgung ist aktiviert, damit der Kurzschlusstest durchgeführt werden kann. Evaluation of the sensors: 2v2 Auswertung Type of sensor interconnection Kanal 0, 4 und Kanal 1, 5: 2-kanalig antivalent Kanal 2, 6: 2-kanalig äquivalent Behavior at discrepancy: Bei Diskrepanz wird ein sicheres 0 -Signal bereitgestellt wird. Discrepancy time (ms) Kanal 0, 4 und Kanal 1, 5: Diskrepanzzeit zwischen Schließer und Öffner des Antivalenttasters Kanal 2, 6: Diskrepanzzeit des Not-Halt Reintegration after discrepancy: Nach Beseitigung des Diskrepanzfehlers ist kein Test mit 0 -Signal erforderlich. A&D Safety Integrated Seite 19/38 AS-FE-I-006-V20-DE

Einstellungen der sicherheitsgerichteten DO (F-DO) Erreichbar durch Doppelklick auf 4 F-DO DC24V/2A (siehe Übersichtsbild). Bild Hinweis Parameters / F-parameters: DIP switch setting (9 0) Dieser Wert muss auf dem F-Modul (F-DO) eingestellt sein. F-monitoring time (ms) Die F-Überwachungszeit muss größer sein, als die Aufrufzeit des OB 35. Parameters / Module parameters: Belegung der Kanäle: DO Channel 0 Kanal 0 schaltet den Leuchtmelder Parametrierung der Kanäle: Behavior after channel faults Im Falle eines Kanalfehlers wird das gesamte F-Modul passiviert. Activated Verwendete Kanäle sind aktiviert, nicht verwendete Kanäle sind deaktiviert Read-back time Die Rücklesezeit legt die Dauer des Ausschaltvorgangs für den Kanal fest. Sie sollten die Rücklesezeit hinreichend groß einstellen, wenn der Kanal große kapazitive Lasten schaltet. Wir empfehlen die Rücklesezeit durch Probieren so klein wie möglich, jedoch so groß einzustellen, dass der Kanal nicht passiviert wird. A&D Safety Integrated Seite 20/38 AS-FE-I-006-V20-DE

5 Leistungseckdaten Ladespeicher und Arbeitsspeicher Gesamt Davon: S7-Standardbausteine Davon: F-Bausteine Ladespeicher 53,1 KByte 0,9 KByte 52,2 KByte Arbeitsspeicher 38,2 KByte 0,3 KByte 37,9 KByte Zykluszeit Typische Gesamtzykluszeit (Standardprogramm und Sicherheitsprogramm) Maximale Laufzeit Sicherheitsprogramm 6 Beispielcode 6.1 Download Zeit ca. 2 ms Bemerkung Messung in der S7-CPU ( Baugruppenzustand CPU / Zykluszeit ) 9 ms Berechnung mit einer Excel-Datei, die für S7 Distributed Safety zur Verfügung steht. Im Kapitel 0 ist angegeben, wo Sie die Tabelle im Internet finden. Vorbemerkung Das zum vorliegenden Safety Funktionsbeispiel mitgelieferte STEP 7 Projekt enthält die Hardwarekonfiguration und den Beispielcode. Im Folgenden wird der Beispielcode beschrieben. Der Beispielcode ist immer den im Safety Funktionsbeispiel verwendeten Komponenten zugeordnet und realisiert die geforderte Funktionalität. Darüber hinaus gehende Problemstellungen sind vom Anwender zu realisieren, wobei der Beispielcode als Grundlage dienen kann. Im Beispielcode sind Maßnahmen zur Fehleraufdeckung (Diagnose) realisiert. Diese Informationen müssen vom Anwender ausgewertet werden, und es muss eine Fehlerreaktion erfolgen (Zweiter Abschaltweg, ). Hinweis Für den Download des STEP7 Projektes zur CPU 315F-2DP benötigen Sie eine Verbindung zwischen der MPI-Schnittstelle Ihres PG/PC und der MPI-Schnittstelle der CPU 315F-2DP (MPI-Kabel). Passwort Die für den sicherheitsrelevanten Teil des Beispielcodes verwendeten Passwörter lauten in allen Fällen: siemens A&D Safety Integrated Seite 21/38 AS-FE-I-006-V20-DE

Verwendung des STEP 7 Projektes Das STEP 7 Projekt zeigt: Anbindung eines SIRIUS Zweihand-Bedienpults mit integriertem Not-Halt an sicherheitsgerichtete Module der ET 200S (F-DI, F-DO) Auswertung mit einer sicherheitsgerichteten S7-CPU (F-CPU). Die für die Aktorik notwendigen Bedingungen zum Erreichen von Kategorie 4 / PL e / SIL 3 werden nicht betrachtet (z.b. Rücklesen der Aktorsignale). Funktionalität des STEP 7 Projektes Mit dem STEP 7 Projekt wird folgende Funktionalität realisiert: Mit einem Zweihand-Bedienpult wird eine Maschine gestartet, die in diesem Beispiel durch einen Leuchtmelder simuliert wird. Sobald ein Pilzdrucktaster losgelassen wird, oder die simulierte Maschinenlaufzeit abgelaufen ist, stoppt die Maschine (Leuchtmelder geht aus). Weiterhin stoppt die Maschine bei Passivierung der sicherheitsgerichteten Ein-/Ausgabemodule der ET 200S und bei Betätigung des im Zweihand-Bedienpult integrierten Not-Halt Drucktasters. Download Auf der HTML-Seite des Safety Funktionsbeispiels finden Sie bei den Downloads die folgende Datei mit dem STEP 7 Projekt: 21331100_as_fe_i_004_v20_code_2hand.zip Speichern Sie diese Datei in ein beliebiges Verzeichnis auf Ihrem PC/ PG. Starten Sie STEP 7, und dearchivieren Sie die Datei in ein beliebiges Verzeichnis. Zum Laden des STEP 7 Projektes in die S7-CPU gehen Sie dann in STEP 7 folgendermaßen vor: Laden Sie zuerst die Hardwarekonfiguration in die S7-CPU Wechseln Sie zum SIMATIC Manager Markieren Sie die S7-CPU Wählen Sie im Menü Extras : Sicherheitsprogramm bearbeiten Klicken Sie den Button Laden, um den Beispielcode in die S7-CPU zu laden. A&D Safety Integrated Seite 22/38 AS-FE-I-006-V20-DE

6.2 Programmablauf Standardprogramm Das Standardprogramm besteht lediglich aus dem Aufruf des FC F-CALL im Weckalarm-OB (OB35). Das einzige nicht sicherheitsrelevante Signal (Quittierungssignal) wird direkt im Sicherheitsprogramm ausgewertet. 6.3 Programmablauf Sicherheitsprogramm Struktur Das Sicherheitsprogramm besitzt folgende Struktur: F-CALL (FC1) F-CALL (FC1) ist die F-Ablaufgruppe und wird aus dem Weckalarm-OB (OB35) heraus aufgerufen. F-CALL ruft den F-Programmbaustein (hier: FC2) auf. A&D Safety Integrated Seite 23/38 AS-FE-I-006-V20-DE

FB 2H_and_ESTP (FC2) Aus Gründen der Modularität des Programms werden alle weiteren sicherheitsgerichteten Bausteine von hier aus aufgerufen. Die Funktionalität Zweihand-Bedienung wird im Wesentlichen von den im FC2 aufgerufenen Bausteinen umgesetzt: Baustein FC 2Hand (FC3) FC E_STOP (FC4) FC START (FC5) FC REINTEGRATION (FC6) Aufgabe Auswertung des Zustandes der beiden Antivalenttaster des Zweihand-Bedienpults. Auswertung des Zustands des Not-Halt Drucktasters, der im Zweihand-Bedienpult integriert ist. Auswertung der Informationen aus FC3 und FC4 um die Maschine zu starten. Reintegration nach Passivierung der F-DI oder der F-DO. Netzwerk 1 Hier wird der FC 2Hand (FC3) aufgerufen: HAND1 HAND2 Die Tabelle erläutert die Parameter des Bausteins: Parameter Zuordnung Funktion Antivalenttaster 1 des Zweihand-Bedienpults Antivalenttaster 2 des Zweihand-Bedienpults Starten der Maschine. Dazu müssen beide Antivalenttaster gleichzeitig gedrückt werden und während der gesamten Maschinenlaufzeit gedrückt bleiben. HELP_DB1.COND1 Bit aus F-Datenbaustein Speichern des Ergebnisses zur späteren Auswertung in FC5 Der FC3 ruft den FB F_2H_EN (FB211, DB 211) auf. Die Beschreibung des FB211 finden sie weiter unten. A&D Safety Integrated Seite 24/38 AS-FE-I-006-V20-DE

Netzwerk 2 Hier wird der FC E_STOP (FC4) aufgerufen. Die Tabelle erläutert die Parameter des Bausteins. Parameter Zuordnung Funktion ACK Taster (NO) In folgenden Fällen ist vor dem Start der Maschine eine Quittierung notwendig: Vor dem ersten Start Nach Entriegeln des Not-Halt Nach Überschreitung der Diskrepanzzeit eines Antivalenttasters Nach Reintegration (Ende der Passivierung) der F-DI Das Signal ACK wird von einer Standard-DI aufgenommen. ESTP Not-Halt Drucktaster Unterbrechung der Maschinentätigkeit (NC/NC) HELP_DB1.COND2 Bit aus F-Datenbaustein Speichern des Ergebnisses zur späteren Auswertung in FC5. Netzwerk 3 Hier wird der FC START (FC5) aufgerufen. A&D Safety Integrated Seite 25/38 AS-FE-I-006-V20-DE

Die Tabelle erläutert die Parameter des Bausteins: Parameter Zuordnung Funktion HELP_DB1.COND1 Bit aus F-Datenbaustein Bedingung für den Start der Maschine aus FC3 HELP_DB1.COND2 Bit aus F-Datenbaustein Bedingung für den Start der Maschine aus FC4 LAMP Leuchtmelder, der mit der F-DO verbunden ist Simuliert die durch die Zweihand- Bedienung zu startende Maschine. Für den Start der Maschine (Leuchtmelder ein) müssen die beiden Bits HELP_DB1.COND1 und HELP_DB1.COND2 jeweils 1 -Signal haben. Die Maschine läuft dann 4 Sekunden lang (LAMP= 1 ). Anschließend stoppt die Maschine (LAMP= 0 ). Für einen neuen Start müssen die Pilzdrucktaster der Zweihand-Bedienung zuvor einmal losgelassen werden. Die Maschinenlaufzeit wird mit dem FB F_TON (FB185) simuliert. FB F_TON (FB185) ist ein zertifizierter Baustein aus der Bibliothek von Distributed Safety (F-Applikationsbaustein). Netzwerk 4 Hier wird der FC REINTEGRATION (FC6) aufgerufen. Die Beschreibung des FC6 finden Sie weiter unten. A&D Safety Integrated Seite 26/38 AS-FE-I-006-V20-DE

FB F_2H_EN (FB211, DB 211) Der FB211 ist ein zertifizierter Baustein aus der Bibliothek von Distributed Safety (F-Applikationsbaustein). Von den beiden Antivalenttastern des Zweihand-Bedienpults werden in #HAND1 und #HAND2 jeweils die Schließer abgefragt. Beide Antivalenttaster müssen innerhalb einer bestimmten Zeit gedrückt werden. Diese Zeit wird am Parameter DISCTIME des FB211 angegeben. Der zulässige parametrierbare Höchstwert beträgt 500 ms (nach EN 574). Nur mit 1 -Signal am Eingang ENABLE kann Q= 1 werden. Das Bit HELP_DB1.EN_ESTP wertet das Not-Halt Signal (aus FC4) aus: HELP_DB1.EN_ESTP ist 1 wenn der Not-Halt Drucktaster nach Auslösen wieder entriegelt und anschließend quittiert wurde. Durch Anlegen von HELP_DB1.EN_ESTP an ENABLE wird folgendes Verhalten berücksichtigt: Die beiden Antivalenttaster des Zweihand-Bedienpults werden gedrückt und bleiben während der nachfolgenden Punkte gedrückt: Not-Halt Drucktaster wird betätigt. Not-Halt Drucktaster wird entriegelt. Quittierung wird ausgeführt Aufgrund des Anlegens des Bits HELP_DB1.EN_ESTP an ENABLE wird ein direktes Starten der Maschine unter den oben aufgeführten Bedingungen verhindert. Vor einem erneuten Start müssen die beiden Antivalenttaster des Zweihand-Bedienpults erst losgelassen und dann wieder gleichzeitig gedrückt werden. Hinweis Die oben angesprochenen und im Beispielcode verwendeten Bits aus dem Datenbausein HELP_DB1 (DB1) dienen nur zum Zwischenspeichern. A&D Safety Integrated Seite 27/38 AS-FE-I-006-V20-DE

FC REINTEGRATION (FC6) Im FC6 wird, bei Passivierung der F-DI oder F-DO, die Reintegration realisiert. Für die F-DO ist das Merkerbit #REINT vorbereitet. Mit einer positiven Flanke am Merkerbit #REINT wird die F-DO wiedereingliedert.! WARNUNG Im Safety Funktionsbeispiel geschieht die Reintegration passivierter F-Module automatisch. Nutzen Sie die automatische Reintegration für Ihre Anwendungen nur dann, wenn sich daraus keine Gefährdungen ergeben können. Passivierung wird durch Leuchten der LED SF auf dem F-Modul angezeigt. Die Reintegration eines F-Moduls kann ca. eine Minute dauern. 6.4 Bedienungsanleitung Vorraussetzung: Hardwarekonfiguration und Beispielcode des STEP 7 Projektes befinden sich in der S7-CPU Not-Halt ist entriegelt Keine Passivierung der F-DI und der F-DO Nachfolgende Tabelle demonstriert die Funktionsweise: Nr. Aktion Ergebnis / Hinweis 1 Drücken Sie den Taster ACK und lassen ihn los. 2 Drücken Sie gleichzeitig die beiden Antivalenttaster des Zweihand- Bedienpultes und halten Sie diese gedrückt. Vor dem ersten Starten der Maschine notwendig. Start der Maschine (Leuchtmelder geht an). 3 Warten Sie 4 Sekunden Simulierte Maschinenlaufzeit: Nach 4 Sekunden geht die Maschine aus (Leuchtmelder geht aus). 4 Lassen Sie beide Antivalenttaster des Zweihand-Bedienpultes los Jetzt können Sie mit Nr. 2 fortfahren. Hinweis Nach bestimmten Ereignissen ist eine Quittierung erforderlich. Sehen Sie dazu den Absatz Quittierung im Kapitel 2.1. A&D Safety Integrated Seite 28/38 AS-FE-I-006-V20-DE

7 Bewertung nach EN 62061 und EN ISO 13849-1: 2006 7.1 Informationen zu den Normen Einen Überblick zur EN 62061 finden Sie im Safety Funktionsbeispiel: http://support.automation.siemens.com/ww/view/de/23996473 Einen Überblick zur ISO 13849 finden Sie im Buch: Funktionale Sicherheit von Maschinen und Anlagen. Umsetzung der europäischen Maschinenrichtlinie in der Praxis. (ISBN-13: 978-3-89578-281-7, ISBN-10: 3-89578-281-5) 7.2 Sicherheitsfunktion Mit dem Zweihand-Bedienpult werden zwei Sicherheitsfunktionen realisiert: normale Sicherheitsfunktion SF1 ergänzende Sicherheitsfunktion SF2 Sicherheitsfunktion SF1 Ergänzende Sicherheitsfunktion SF2 Die Maschine darf nur dann eingeschaltet werden, wenn beide Pilzdrucktaster gleichzeitig betätigt werden. Wenn der Not-Halt betätigt wird, muss die Maschine ausgeschaltet werden. Im vorliegenden Safety Funktionsbeispiel wird nicht die gesamte Sicherheitsfunktion betrachtet, sondern nur bestimmte Aufgaben: Sicherheitsfunktion Aufgaben Erfassen Auswerten Reagieren SF1 x x SF2 x x Nicht betrachtet (*1) Erläuterungen zur obigen Tabelle: (*x) Erläuterung (*1) Siehe dazu das Safety Funktionsbeispiel Nr. 7 (Beitrags-ID: 21331098): Einbindung des Rücklesesignals in eine Anwendung in Kategorie 4 nach EN 954-1: 1996 Im Folgenden werden die oben aufgeführten Aufgaben nach den beiden Normen EN 62061 und EN ISO 13849-1: 2006 bewertet. A&D Safety Integrated Seite 29/38 AS-FE-I-006-V20-DE

8 Sicherheitsfunktion 1 8.1 Abbildung der Sicherheitsfunktion Das folgende Bild zeigt die Abbildung der Sicherheitsfunktion auf das Safety Funktionsbeispiel: Auswerten Reagieren Wird nicht betrachtet Erfassen (ohne Not-Halt) A&D Safety Integrated Seite 30/38 AS-FE-I-006-V20-DE

8.2 Bewertung von Erfassen 8.2.1 Bewertung nach EN 62061 Ergebnis: Ergebnis Begründung SILCL 3 Hardwarefehlertoleranz: HFT = 1 Anteil sicherer Ausfälle: SFF 0,99 (99%) PFH D 2,4 * 10-9 Architektur: Basis-Teilsystemarchitektur D, mit identischen Teilsystem-Elementen. Die Werte zur Berechnung sind in der folgenden Tabelle zu finden. Werte zur Berechnung von PFH D : Parameter Wert Begründung Festlegung B10 B10-Wert Antivalenttaster Anteil gefahrbringender Ausfälle Antivalenttaster T1 Gebrauchsdauer C Anzahl Betätigungen Antivalenttaster T2 Diagnose-Testintervall β (CCF-Faktor) Anfälligkeit gegenüber Ausfällen in Folge gemeinsamer Ursache DC Diagnosedeckungsgrad 1 * 10 7 Herstellerangabe 0,2 (20%) Herstellerangabe 175.200 h (20 Jahre) Lebenserwartung 12 / h Annahmen: Alle 5 Minuten erfolgt eine Betätigung. An allen Tagen im Jahr (365 Tage) finden Betätigungen statt. 0,083 h Beim Betätigen wird in der F- CPU ein defekter Antivalenttaster erkannt. (siehe C ). 0,1 (10%) Bei Installation nach EN 62061 wird ein CCF-Faktor von 0,1 (10%) erreicht. Mit diesem Wert liegt man dann auf der sicheren Seite ( konservativer Wert ). 0,99 (99%) Antivalenzauswertung in F-DI, und Kreuzvergleich in F-CPU. SIEMENS AG Anwender A&D Safety Integrated Seite 31/38 AS-FE-I-006-V20-DE

8.2.2 Bewertung nach EN ISO 13849-1: 2006 Ergebnis: Ergebnis Begründung PL e Die Werte zur Bestimmung sind in der folgenden Tabelle zu finden. Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde 2,47 * 10-8 Folgt aus Anhang K der EN ISO 13849-1: 2006. Hinweis: Die MTTF d für jeden Kanal ist auf ein Maximum von 100 Jahren begrenzt! Hinweis: Für ein genaueres Ergebnis wird eine Betrachtung nach EN 62061 empfohlen. Werte zur Bestimmung von PL: Parameter Wert Begründung MTTF d jedes Kanals hoch MTTF d 30 Jahre Die Werte zur Berechnung sind in der folgenden Tabelle zu finden. DC hoch DC = 99% Antivalenzauswertung in F-DI, und Kreuzvergleich in F-CPU. Maßnahmen gegen CCF erfüllt Es wird angenommen, dass vom Anwender die erforderlichen Maßnahmen ergriffen werden. Kategorie 4 Systemverhalten: Ein einzelner Fehler führt nicht zum Verlust der Sicherheitsfunktion. Der einzelne Fehler wird erkannt. MTTF d : hoch, DC: hoch, Maßnahmen gegen CCF: erfüllt Werte zur Berechnung von MTTF d jedes Kanals: Parameter Wert Begründung Festlegung B10 B10-Wert Antivalenttaster Anteil gefahrbringender Ausfälle Antivalenttaster d op mittlere Betriebszeit in Tagen pro Jahr h op mittlere Betriebszeit in Stunden pro Tag t Zyklus mittlere Zeit zwischen dem Beginn zweier aufeinander folgender Zyklen des Bauteils 1 * 10 7 Herstellerangabe 0,2 (20%) Herstellerangabe 365 Tage pro Jahr 24 Stunden pro Tag 0,083 Stunden pro Zyklus Annahme: An allen Tagen im Jahr finden Betätigungen statt. Annahme: Zwischen dem Betätigen des Antivalenttasters liegen 5 Minuten. SIEMENS AG Anwender A&D Safety Integrated Seite 32/38 AS-FE-I-006-V20-DE

8.3 Bewertung von Auswerten 8.3.1 Bewertung nach EN 62061 Ergebnis: Ergebnis Begründung SILCL 3 Angabe des Herstellers SIEMENS AG PFH D 1,7 * 10-9 Die Werte zur Berechnung sind in der folgenden Tabelle zu finden Werte zur Berechnung von PFH D : Parameter Komponente Wert Festlegung PFH D (F-CPU) CPU 315F-2DP 5,42 * 10-10 SIEMENS AG PFH D (F-Peripherie) F-DI der ET200S 1 * 10-10 F-DO der ET200S 1 * 10-10 P TE (F-Kommunikation) F-Kommunikation: F-CPU und ET200S 1 * 10-9 8.3.2 Bewertung nach EN ISO 13849-1: 2006 Ergebnis: PL Ergebnis Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde Begründung e Abgeleitet aus der Bewertung nach IEC 61508. 1,7 * 10-9 8.4 Zusammenfassung Die Tabelle zeigt das Ergebnis der Bewertung nach den beiden Normen: EN 62061 EN ISO 13849-1: 2006 SILCL PFH D PL Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde Erfassen 3 2,4 * 10-9 e 2,47 * 10-8 Auswerten 3 1,7 * 10-9 e 1,7 * 10-9 Reagieren Wird nicht betrachtet. A&D Safety Integrated Seite 33/38 AS-FE-I-006-V20-DE

9 Ergänzende Sicherheitsfunktion 2 9.1 Abbildung der ergänzenden Sicherheitsfunktion Das folgende Bild zeigt die Abbildung der ergänzenden Sicherheitsfunktion auf das Safety Funktionsbeispiel: Auswerten Reagieren Wird nicht betrachtet Erfassen (nur Not-Halt) A&D Safety Integrated Seite 34/38 AS-FE-I-006-V20-DE

9.2 Bewertung von Erfassen 9.2.1 Bewertung nach EN 62061 Ergebnis: Ergebnis Begründung SILCL 3 Hardwarefehlertoleranz: HFT = 1 Anteil sicherer Ausfälle: SFF 0,99 (99%) PFH D 1,2 * 10-10 Architektur: Basis-Teilsystemarchitektur D, mit identischen Teilsystemelementen Die Werte zur Berechnung sind in der folgenden Tabelle zu finden. Werte zur Berechnung von PFH D : Parameter Wert Begründung Festlegung B10 B10-Wert Not-Halt Befehlsgerät Anteil gefahrbringender Ausfälle Not-Halt Befehlsgerät T1 Gebrauchsdauer 1 * 10 5 Herstellerangabe 0,2 (20%) Herstellerangabe 175.200 h (20 Jahre) Lebenserwartung SIEMENS AG C Anzahl Betätigungen Not-Halt Befehlsgerät T2 Diagnose-Testintervall β (CCF-Faktor) Anfälligkeit gegenüber Ausfällen in Folge gemeinsamer Ursache DC Diagnosedeckungsgrad 6 * 10-3 / h Annahmen: Jede Woche (7 * 24 Stunden) erfolgt eine Betätigung (Test Not-Halt). An allen Tagen im Jahr (365 Tage) können Betätigungen stattfinden. 168 h Bei Betätigung des Not-Halt wird in der F-DI ein defekter Kontakt erkannt. Eine Betätigung erfolgt jede Woche (7*24 Stunden) (siehe C ). 0,1 (10%) Bei Installation nach EN 62061 wird ein CCF-Faktor von 0,1 (10%) erreicht. Mit diesem Wert liegt man dann auf der sicheren Seite ( konservativer Wert ). 0,99 (99%) Kreuzvergleich in F-DI Anwender A&D Safety Integrated Seite 35/38 AS-FE-I-006-V20-DE

9.2.2 Bewertung nach EN ISO 13849-1: 2006 Ergebnis: Ergebnis Begründung PL e Die Werte zur Bestimmung sind in der folgenden Tabelle zu finden. Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde 2,47 * 10-8 Folgt aus Anhang K der EN ISO 13849-1: 2006. Hinweis: Die MTTF d für jeden Kanal ist auf ein Maximum von 100 Jahren begrenzt! Hinweis: Für ein genaueres Ergebnis wird eine Betrachtung nach EN 62061 empfohlen. Werte zur Bestimmung von PL: Parameter Wert Begründung MTTF d jedes Kanals hoch DC hoch DC = 99% Kreuzvergleich in F-DI Maßnahmen gegen CCF erfüllt MTTF d 30 Jahre Die Werte zur Berechnung sind in der folgenden Tabelle zu finden. Es wird angenommen, dass vom Anwender die erforderlichen Maßnahmen ergriffen werden. Kategorie 4 Systemverhalten: Ein einzelner Fehler führt nicht zum Verlust der Sicherheitsfunktion. Der einzelne Fehler wird erkannt. MTTF d : hoch, DC: hoch, Maßnahmen gegen CCF: erfüllt Werte zur Berechnung von MTTF d jedes Kanals: Parameter Wert Begründung Festlegung B10 B10-Wert Not-Halt Befehlsgerät Anteil gefahrbringender Ausfälle Not-Halt Befehlsgerät d op mittlere Betriebszeit in Tagen pro Jahr h op mittlere Betriebszeit in Stunden pro Tag t Zyklus mittlere Zeit zwischen dem Beginn zweier aufeinander folgender Zyklen des Bauteils 1 * 10 5 Herstellerangabe 0,2 (20%) Herstellerangabe 365 Tage pro Jahr 24 Stunden pro Tag 168 Stunden pro Zyklus Annahme: An allen Tagen im Jahr können Betätigungen stattfinden. Annahme: Zwischen dem Betätigen des Not-Halt Befehlsgerätes liegt eine Woche (7*24 Stunden). SIEMENS AG Anwender A&D Safety Integrated Seite 36/38 AS-FE-I-006-V20-DE

9.3 Bewertung von Auswerten 9.3.1 Bewertung nach EN 62061 Ergebnis: Ergebnis Begründung SILCL 3 Angabe des Herstellers SIEMENS AG PFH D 1,7 * 10-9 Die Werte zur Berechnung sind in der folgenden Tabelle zu finden Werte zur Berechnung von PFH D : Parameter Komponente Wert Festlegung PFH D (F-CPU) CPU 315F-2DP 5,42 * 10-10 SIEMENS AG PFH D (F-Peripherie) F-DI der ET200S 1 * 10-10 F-DO der ET200S 1 * 10-10 P TE (F-Kommunikation) F-Kommunikation: F-CPU und ET200S 1 * 10-9 9.3.2 Bewertung nach EN ISO 13849-1: 2006 Ergebnis: PL Ergebnis Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde Begründung e Abgeleitet aus der Bewertung nach IEC 61508. 1,7 * 10-9 9.4 Zusammenfassung Die Tabelle zeigt das Ergebnis der Bewertung nach den beiden Normen: EN 62061 EN ISO 13849-1: 2006 SILCL PFH D PL Durchschnittliche Wahrscheinlichkeit eines gefährlichen Ausfalls je Stunde Erfassen 3 1,2 * 10-10 e 2,47 * 10-8 Auswerten 3 1,7 * 10-9 e 1,7 * 10-9 Reagieren Wird nicht betrachtet. A&D Safety Integrated Seite 37/38 AS-FE-I-006-V20-DE

10 Historie Version Datum Unterschiede V1.0 02 / 2005 Erste Ausgabe V2.0 09 / 2007 Aktualisierung der Inhalte bezüglich: Hardware und Software Leistungsdaten Screenshots Neue Kapitel: Bewertung des Safety Funktionsbeispiels nach den neuen Normen EN 62061 und EN ISO 13849-1: 2006 A&D Safety Integrated Seite 38/38 AS-FE-I-006-V20-DE