Sicherheitsschaltgeräte und Sicherheits-SPS

In einer Maschinensteuerung laufen zwei Aufgaben nebeneinander, die man sauber auseinanderhalten muss. Die eine ist die Standard-Steuerung: Sie sorgt dafür, dass die Maschine das tut, was sie tun soll – Motor an, Förderband los, Zylinder ausfahren. Die andere ist die Sicherheitsfunktion: Sie sorgt dafür, dass niemand zu Schaden kommt, wenn etwas schiefgeht. Beim Druck auf den Not-Halt zum Beispiel muss der Antrieb sicher in den sicheren Zustand gehen – meist energielos und stillstehend.

Der Unterschied klingt nach Wortklauberei, ist aber fundamental. Eine Standard-Steuerung wird danach beurteilt, ob sie im Normalbetrieb richtig arbeitet. Eine Sicherheitsfunktion wird danach beurteilt, ob sie auch dann noch wirkt, wenn ein Bauteil ausfällt.

Genau hier versagt normale Technik. Stell dir einen einfachen Steuerstromkreis vor: ein Not-Halt-Taster, ein Schütz, der Motor. Drückt man den Taster, fällt das Schütz ab, der Motor steht. Verschweißt aber ein Schützkontakt – ein durchaus üblicher Verschleißfehler –, dann bleibt der Motor unter Spannung, obwohl der Taster gedrückt ist. Das Tückische daran: Niemand merkt es. Beim nächsten normalen Ausschalten fällt es vielleicht auf, vielleicht auch nicht. Der Fehler bleibt unentdeckt, und die Schutzfunktion ist weg, ohne dass es irgendwo aufleuchtet.

Sicherheitsgerichtete Technik dreht dieses Prinzip um. Sie ist so gebaut, dass ein einzelner Fehler

• entweder die Sicherheitsfunktion gar nicht erst beeinträchtigt (weil ein zweiter, unabhängiger Pfad sie übernimmt),
• oder zumindest erkannt wird, sodass das Gerät selbst in den sicheren Zustand gehen.

Das ist der Kern: Fehlererkennung und sicherer Zustand. Wie viel Aufwand dafür nötig ist, hängt vom Risiko der Maschine ab. Welcher Grad an Fehlerbeherrschung erforderlich ist, beschreibt die ÖNORM EN ISO 13849 über das Performance Level und die Sicherheitskategorien – das ist ein eigenes, großes Thema und wird in einem separaten Beitrag behandelt. Hier geht es um die Geräte, die diese Anforderungen praktisch umsetzen.

Das Sicherheitsschaltgerät – oft auch Sicherheitsrelais genannt – ist die klassische Antwort auf eine einzelne, klar umrissene Sicherheitsfunktion. Ein Gerät überwacht zum Beispiel einen Not-Halt-Kreis oder eine Schutztür und gibt erst dann den Antrieb frei, wenn alles in Ordnung ist. Damit dieses „in Ordnung“ zuverlässig ist, steckt im Inneren mehr als nur ein Relais.

Zweikanaliger Aufbau

Der Kern ist die Zweikanaligkeit: Die Sicherheitsfunktion wird nicht über einen, sondern über zwei voneinander unabhängige Signalpfade geführt – zwei Kanäle, die parallel dasselbe überwachen. Man spricht von Redundanz. Fällt ein Kanal aus, übernimmt der zweite. Das Gerät vergleicht zusätzlich ständig, ob beide Kanäle das Gleiche melden. Weichen sie voneinander ab, erkennt das Schaltgerät den Fehler und geht in den sicheren Zustand, statt freizugeben.

Ein einkanaliger Aufbau hätte diese Eigenschaft nicht: Ein Fehler im einzigen Pfad bliebe unbemerkt, genau wie beim Schütz aus Kapitel 1. Erst die zweikanalige Ausführung mit Quervergleich macht einen Einzelfehler aufdeckbar.

In der Praxis bedeutet das beim Not-Halt: Der Taster hat zwei getrennte Öffnerkontakte, jeder geht auf einen eigenen Kanal des Schaltgeräts. Bei der Schutztür übernehmen das zwei getrennte Positionsschalter.

Zwangsgeführte Kontakte

Damit das Gerät seinen eigenen Zustand überhaupt überwachen kann, braucht es zwangsgeführte Kontakte (auch zwangsgeführte Relais). Bei einem normalen Relais können Schließer und Öffner unabhängig voneinander hängenbleiben – verschweißt ein Schließer, sagt der zugehörige Öffner nichts darüber aus. Bei zwangsgeführten Kontakten sind Öffner und Schließer mechanisch starr gekoppelt: Sie können niemals gleichzeitig geschlossen sein. Verschweißt ein Schließer, bleibt der zugehörige Öffner garantiert offen. Über diesen Öffner erkennt das Schaltgerät: „Hier klebt etwas“ – und verweigert die nächste Freigabe.

Die zwangsgeführten Kontakte sind damit das eigentliche Herz der Selbstüberwachung. Ohne sie wüsste das Gerät nichts über seinen inneren Zustand.

Eingänge, Freigabepfade und Rückführkreis

Ein Sicherheitsschaltgerät hat drei Arten von Anschlüssen, die man unterscheiden sollte:

Die Eingänge nehmen das überwachte Signal auf – die beiden Kanäle vom Not-Halt-Taster oder von der Schutztür.

Die Freigabepfade sind die sicheren Ausgänge. Über sie gibt das Gerät den Antrieb frei, indem es die Spuleneingänge der Leistungsschütze ansteuert. Erst wenn beide Kanäle sauber sind, schließen die Freigabepfade.

Der Rückführkreis – auch EDM für External Device Monitoring, also Überwachung externer Geräte – schließt den Kreis zurück. Die nachgeschalteten Leistungsschütze haben ihrerseits zwangsgeführte Kontakte. Deren Öffner werden in den Rückführkreis des Schaltgeräts gelegt. So prüft das Gerät vor jeder Freigabe, ob die externen Schütze wirklich abgefallen sind. Klebt ein Schütz, ist sein zwangsgeführter Öffner offen, der Rückführkreis ist unterbrochen, und das Schaltgerät gibt nicht frei. Die Selbstüberwachung reicht damit über das Gerät hinaus bis in die Leistungsschütze.

Quer- und Erdschluss

Ein eigenständiges Fehlerbild verdient Beachtung: der Querschluss. Damit ist eine ungewollte elektrische Verbindung zwischen den beiden Kanälen gemeint – etwa eine durchgescheuerte Leitung, bei der sich zwei Adern berühren. Das ist heimtückisch, weil ein Querschluss die Zweikanaligkeit aushebeln kann: Plötzlich führen beide Kanäle dasselbe Signal, obwohl sie unabhängig sein sollten. Ein einfacher Quervergleich würde das nicht bemerken, weil beide Kanäle ja „gleich“ melden.

Höherwertige Sicherheitsschaltgeräte lösen das, indem sie auf den beiden Kanälen unterschiedlich getaktete Signale ausgeben statt eines konstanten Pegels. Jeder Kanal trägt eine eigene Taktung, einen eigenen „Fingerabdruck“. Kommt es zum Querschluss, landet plötzlich das Taktmuster des einen Kanals auf dem anderen – das Gerät erkennt die Vermischung und schaltet ab. Der Erdschluss, also eine ungewollte Verbindung eines Kanals gegen Erde, wird auf ähnliche Weise erkannt.

Start: manuell, automatisch, überwacht

Bleibt die Frage, wann ein Gerät nach einem ausgelösten Not-Halt wieder freigibt. Hier unterscheidet man:

Beim automatischen Start gibt das Gerät selbsttätig wieder frei, sobald die Bedingung erfüllt ist – also etwa die Schutztür wieder geschlossen wird. Das ist nur dort zulässig, wo das selbsttätige Wiederanlaufen keine Gefahr bringt.

Beim manuellen Start muss eine Person nach dem Schließen der Tür zusätzlich einen Start-Taster betätigen. Damit liegt die Entscheidung zum Wiederanlauf bewusst beim Menschen.

Der überwachte Start geht noch einen Schritt weiter: Das Gerät prüft den Start-Taster selbst auf korrekte Betätigung – er muss gedrückt und wieder losgelassen werden. So lässt sich ein verklemmter oder überbrückter Start-Taster aufdecken, der sonst einen unbeabsichtigten Anlauf verursachen könnte.

Sobald eine Anlage nicht eine, sondern viele Sicherheitsfunktionen hat – mehrere Not-Halte, etliche Schutztüren, Lichtgitter, Zustimmtaster, dazu unterschiedliche Abschaltgruppen –, wird die fest verdrahtete Lösung mit einzelnen Sicherheitsschaltgeräten unübersichtlich und teuer. Hier kommt die Sicherheits-SPS ins Spiel, oft als F-SPS bezeichnet (das F steht für fehlersicher) oder als sichere Steuerung.

Sie arbeitet im Grundprinzip wie eine normale SPS: zyklischer Programmablauf, Eingänge lesen, Programm verarbeiten, Ausgänge schreiben. Das Grundprinzip einer SPS wird in einem eigenen Beitrag erklärt und hier vorausgesetzt. Der Unterschied liegt darin, was zusätzlich passiert, damit die Steuerung sicherheitsgerichtet wird.

Sichere Ein- und Ausgänge

Eine F-SPS hat spezielle sichere Eingänge und sichere Ausgänge (F-Module). Sie übernehmen genau die Aufgaben, die beim Sicherheitsschaltgerät die Hardware erledigt: Die sicheren Eingänge geben getaktete Prüfsignale aus, um Quer- und Erdschlüsse in der Sensorverdrahtung zu erkennen. Die sicheren Ausgänge schalten zweikanalig und überwachen sich selbst auf verschweißte oder durchlegierte Bauteile. Das Prinzip ist also dasselbe wie beim Schaltgerät – nur in der Steuerung integriert und für viele Kanäle gleichzeitig.

Interne Redundanz und Selbsttest

Im Inneren ist die F-SPS redundant aufgebaut. Vereinfacht gesagt rechnen zwei Prozessoreinheiten dasselbe Programm und vergleichen ständig ihre Ergebnisse. Weichen sie ab, geht die Steuerung in den sicheren Zustand. Dazu laufen permanente Selbsttests von Speicher, Recheneinheit und Ein-/Ausgangsschaltung. Diese ganze Diagnose läuft im Hintergrund, ohne dass man sie programmieren muss.

Zertifizierte Funktionsbausteine

Sicherheitsfunktionen werden in der F-SPS nicht aus beliebigem Code zusammengesetzt, sondern aus zertifizierten Funktionsbausteinen – fertige, geprüfte Bausteine etwa für Not-Halt, Schutztürüberwachung, Zustimmtaster oder Muting. Man parametriert sie und verschaltet sie, schreibt aber nicht die sicherheitskritische Logik von Grund auf neu. Das reduziert Fehlerquellen und erleichtert die Abnahme.

Standard und Sicherheit auf einer Hardware

Ein großer praktischer Vorteil: Auf moderner F-Hardware laufen das normale Steuerungsprogramm und das Sicherheitsprogramm nebeneinander, aber strikt getrennt. Das Standardprogramm kann das Sicherheitsprogramm nicht beeinflussen – die Trennung ist von der Steuerung erzwungen. So spart man eine separate Steuerung, ohne die Sicherheit zu vermischen.

Vernetzung

Sicherheitssignale lassen sich über spezielle Bussysteme übertragen, etwa über sichere Protokolle, die auf den üblichen Feldbussen aufsetzen. Das Protokoll fügt den Datenpaketen zusätzliche Prüfmechanismen hinzu, sodass auch Übertragungsfehler erkannt werden. Damit lassen sich sichere Sensoren und Aktoren über große Anlagen verteilen, ohne jede Leitung einzeln zum zentralen Gerät zu ziehen. Die Details der einzelnen Bussysteme würden hier zu weit führen – wichtig ist das Prinzip: auch der Kommunikationsweg wird in die Fehlerbeherrschung einbezogen.

Welche der beiden Lösungen passt? Die ehrliche Antwort lautet: Es hängt vom Umfang und vom Charakter der Anlage ab. Ein paar Kriterien führen schnell zur richtigen Entscheidung.

Anzahl der Sicherheitsfunktionen. Das ist das stärkste Kriterium. Eine einzelne Funktion – ein Not-Halt, eine Schutztür – ist mit einem Sicherheitsschaltgerät schnell, günstig und übersichtlich erledigt. Steigt die Zahl auf eine Handvoll und mehr, wird die Verdrahtung mehrerer Einzelgeräte aufwendig, und die F-SPS spielt ihre Stärke aus.

Änderungshäufigkeit. Wird die Anlage oft umgebaut oder erweitert, ist die programmierbare F-SPS klar im Vorteil: Eine Änderung ist Software, keine Neuverdrahtung. Bei einer stabilen Einzelfunktion, die sich nie ändert, ist das fest verdrahtete Schaltgerät robust und einfach.

Vernetzung. Müssen Sicherheitssignale über eine große oder verteilte Anlage transportiert werden, womöglich über einen Bus, führt praktisch kein Weg an der F-SPS mit sicherem Busprotokoll vorbei.

Diagnose. Die F-SPS liefert detaillierte Diagnose – welche Funktion warum ausgelöst hat, ist am HMI ablesbar. Das verkürzt die Fehlersuche erheblich. Das einzelne Schaltgerät zeigt meist nur über LEDs einen groben Status.

Kosten. Hier kippt es mit der Größe. Ein einzelnes Sicherheitsschaltgerät ist billig. Eine F-SPS hat hohe Grundkosten, skaliert dann aber gut: Ab einer gewissen Anzahl Funktionen wird sie pro Funktion günstiger als ein Stapel Einzelgeräte.

Als Faustregel: Bis etwa eine bis drei einfache, stabile Sicherheitsfunktionen sind Sicherheitsschaltgeräte meist die beste Wahl. Bei vielen Funktionen, häufigen Änderungen, Vernetzung oder hohem Diagnosebedarf ist die F-SPS sinnvoll. Mischformen sind üblich – etwa eine F-SPS für die Hauptanlage und ein autarkes Schaltgerät für einen abgesetzten Anlagenteil.

Die konkrete Verschaltung der einzelnen Schutzeinrichtungen – Schutztüren und Lichtgitter, Zustimmtaster und Zweihandsteuerung – ist jeweils ein Thema für sich und wird in eigenen Beiträgen behandelt. Hier geht es nur um die Logikkomponente dahinter.

Lesehilfe zur Ausgabe: Ergebnis 1 bedeutet Empfehlung Sicherheits-SPS, weil Umfang, Änderungsbedarf, Vernetzung oder Diagnose dafür sprechen. Ergebnis 0 bedeutet Empfehlung Sicherheitsschaltgerät, weil wenige, stabile Funktionen ohne Vernetzungs- oder Diagnosebedarf fest verdrahtet einfacher und günstiger sind.