Reihenschaltungen von Sicherheitsschaltgeräten gibt es in sicherheitsrelevanten Anwendungen wie Verriegelungseinrichtungen oder Not-Halt Systemen schon deutlich länger als die meisten Normen zur Maschinensicherheit und erfreuten sich immer noch einer sehr hohen Akzeptanz. Erst in der zweiten Hälfte der 90er Jahre gab es die ersten Abstriche, als die EN954-1 als Vorläufer der heutigen EN13849-1 zur Bewertung von Sicherheitssystemen herangezogen wurde. Die damals meistdiskutierte Frage war: „Warum kann eine zweikanalige Kette von Sicherheitsschaltgeräten nicht in die höchste Steuerungskategorie eingestuft werden?“ Heute, mehr als zehn Jahre nach Einführung EN13849-1, stellt man sich eine andere Frage, die aber zur selben Antwort führt: „Warum kann man den Diagnosedeckungsgrad (DCavg) einer zweikanaligen Kette von Sicherheitsschaltgeräten nicht so ohne weiteres, am besten größer als 60%, angeben?“ Diese Fragen stellen sich natürlich mit der Zielsetzung, dem Entwurf der technischen Schutzmaßnahme eine möglichst hohe Sicherheitsstufe (wie das Performance Level nach EN13849-1) zuordnen zu können. Die Antwort auf beide Fragen führt zum Begriff der Fehlermaskierung.
Fehlermaskierung
Wenn eine zweikanalige Reihenschaltung von Sicherheitsschaltgeräten im Aus-Zustand ist, fehlen der nachgeschalteten Sicherheitssteuerung zwei wesentliche Informationen. Es ist unbekannt, welche Schutzeinrichtung den Aus-Zustand bewirkt, und vorkommende weitere Zustandswechsel anderer Sicherheitsschaltgeräte werden durch den bereits bestehenden Aus-Zustand überschrieben. Insbesondere der zweite Punkt nimmt der Sicherheitssteuerung die Möglichkeit zur Überwachung aller Schutzeinrichtungen, wenn mehrere dieser Einrichtungen zeitlich überlappend betätigt werden. Dadurch wird ein Anteil der im System vorkommenden Fehler nicht rechtzeitig oder gar nicht erkannt. Um dies näher zu beleuchten, hat die Firma Bernstein ein Lehrvideo produziert, in dem der Effekt der Fehlermaskierung ausführlich beschrieben wird (siehe unten). Um ein Performance Level gemäß EN13849-1 bestimmen zu können, ist es wichtig, den prozentualen Anteil der entdeckten Fehler zu ermitteln. Dies hängt im Fall einer Reihenschaltung maßgeblich davon ab, wie oft der Effekt der Fehlermaskierung im System auftritt. Dies sorgfältig einzuschätzen und daraus einen Diagnosedeckungsgrad zu ermitteln fällt jedem Verantwortlichen ohne Kochrezept schwer.Eine Hilfestellung bietet der technische Report ISO/TR24119. Dieser Report beschreibt zunächst die unterschiedlichen Arten der Fehlermaskierung und bietet dann einen Leitfaden zur Einschätzung des Diagnosedeckungsgrads der jeweiligen Anwendung. Dieser wird im Wesentlichen abhängig gemacht von der Anzahl der Schutzeinrichtungen und der Häufigkeit, mit der die Sicherheitsfunktion angefordert wird. Dazu werden die Verdrahtungstopologie und die Art, wie die einzelnen Leiter zueinander verlegt werden, betrachtet. Der Report zeigt auf diese Weise allerdings auch die Grenzen der sicherheitstechnischen Leistungsfähigkeit einer zweikanaligen Reihenschaltung auf. Befinden sich in einem System beispielsweise zwei Schutztüren, die beide jeweils öfter als einmal pro Stunde geöffnet werden, so wird es sehr schwierig, mit zusätzlichen Maßnahmen der Leitungsverlegung einen niedrigen Diagnosedeckungsgrad zu erreichen, welcher aber zum Erreichen des Performance Level d unabdingbar ist.
Alternativen zur zweikanaligen Kette von elektromechanischen Sicherheitsschaltgeräten
Die Effekte der Fehlermaskierung treffen nicht auf Sicherheitsschaltgeräte zu, die selbstüberwachend sind. Komponenten wie Lichtgitter, Laserscanner und RFID-Sensoren benötigen schon für ihre Grundfunktion eigene Sicherheitssoftware und damit auch die entsprechende redundante sicherheitsrelevante Hardware, die eine Selbstüberwachung der Komponente möglich machen. Aus diesem Grund wurden die RFID Sicherheitssensoren von Bernstein aus der SRF-Produktreihe von Anfang an auch mit Varianten angeboten, die in Reihe geschaltet werden können. In der Praxis werden diesen Varianten je zwei Eingangsanschlüsse hinzugefügt, auf die die Sicherheitsausgänge des in der Kette davor liegenden Sensors geschaltet werden. Auf diese Weise können bis zu 32 Sensoren unter Beibehaltung des Performance Level e in Reihe geschaltet werden. Als wesentliches Merkmal erfolgt die Reihenschaltung der SRF Sensoren mit einer handelsüblichen ungeschirmten 4-Draht Leitung, deren Leiter mit der Spannungsversorgung und dem redundanten Sicherheitssignal belegt sind. Bernstein bietet zusätzlich ein System aus T-Stücken und einem Abschlussadapter an, um eine einfache Realisierung ohne zusätzliche Klemmenkästen zu ermöglichen.
Daisy Chain Diagnose
Neben den Vorteilen wie einfache Verdrahtung, die Notwendigkeit von nur einem redundanten Sicherheitseingang der nachgeschalteten Sicherheitssteuerung und einem hohen Performance Level bietet die SRF Kette auch die Möglichkeit, die Zustände der einzelnen Sensoren in die übergeordnete Steuerung einzulesen. Technisch wird dies so realisiert, dass der von der Steuerung am weitesten entfernte Sensor ein Datenpaket mit seinen Statusinformationen generiert und auf die Sicherheitssignale aufmoduliert. Der nächste Sensor liest das Datenpaket ein, ergänzt es um seine eigene Statusinfos und gibt das Paket an den nächsten Sensor weiter. Am steuerungsseitigen Ende der Kette befindet sich ein zusätzliches Diagnosemodul, das die Diagnoseinformation aus dem Sicherheitssignal separiert und für den Anwender aufbereitet. Dieses System nennt der Anbieter Daisy Chain Diagnose (DCD), wobei der Begriff ‚Daisy Chain‘ (wortwörtlich aus dem Englischen übersetzt ‚Gänseblümchenkette‘) im technischen Sinne für die Reihenschaltung von Schaltern und Sensoren verwendet wird. Essentiell wichtig für das DCD-System ist die Unabhängigkeit von Sicherheitssignal und DCD-Daten auf der Leitung. Ebenso dürfen sich die Sicherheitssteuerung und das Diagnosemodul, die ja parallel an die Sicherheitsausgänge angeschlossen sind, nicht gegenseitig beeinflussen. Bernstein bietet unterschiedliche Diagnosemodule zur Verarbeitung der DCD-Daten an. Das Diagnosemodul SRF-DI ist dabei ausgangsseitig ein I/O-Link Slave und ermöglicht es damit jeder Steuerung mit I/O-Link Master, die Statusinformationen jedes einzelnen Sensors auszulesen. Das Wartungspersonal hat zusätzlich die Möglichkeit, den Status der Sicherheitskette via NFC-Schnittstelle mit einer Smartphone-App oder über USB mit einem Laptop einzulesen. Die grundsätzliche Information, welche Tür geöffnet ist, wird auch als diskretes Signal zur Verfügung gestellt.
