Verriegelungen in der SPS

Im Alltag ist eine Verriegelung etwas, das eine Tür zuhält. In der Steuerungstechnik ist gemeint: eine logische Sperre, die einen bestimmten Zustand aktiv verhindert. Das Programm lässt einen Ausgang nur dann zu, wenn eine festgelegte Bedingung erfüllt ist – und sperrt ihn, sobald sie verletzt wäre.

Man unterscheidet zwei Grundfälle, und die ziehen sich durch den ganzen Beitrag:

Der erste ist das gegenseitige Ausschließen. Zwei Ausgänge dürfen niemals gleichzeitig aktiv sein. Das typische Beispiel ist der Wendebetrieb eines Motors: Schütz für Rechtslauf und Schütz für Linkslauf schließen sich gegenseitig aus. Sobald das eine zieht, muss das andere gesperrt sein.

Der zweite ist die Reihenfolge – auch Ablauf- oder Freigabeverriegelung genannt. Ein Ausgang darf erst kommen, wenn ein anderer bereits aktiv ist. Bei einer Förderstrecke etwa darf das erste Band erst laufen, wenn das nachgelagerte Band schon fördert, sonst stapelt sich das Material. Hier wird nicht gesperrt, sondern eine Bedingung als Freigabe vorausgesetzt.

Warum löst man das überhaupt in der SPS und nicht nur mit verdrahteten Kontakten? Weil sich Abläufe im Programm ohne Umbau der Verdrahtung ändern lassen, weil Zustände protokolliert und auf einem Bedienpanel angezeigt werden können und weil komplexe Bedingungen mit vielen Eingängen in Hardware kaum mehr beherrschbar wären. Die verdrahtete Schütz-Verriegelung mit zwangsgeführten Hilfskontakten verschwindet deshalb aber nicht – sie bleibt als Rückfallebene wichtig. Warum, klärt Kapitel 5.

Nimm den Wendebetrieb als Modell. Es gibt einen Ausgang Q_rechts für den Rechtslauf und einen Ausgang Q_links für den Linkslauf. Beide werden über je einen Taster eingeschaltet und über Selbsthaltung gehalten – die Selbsthaltung selbst ist ein eigenes Thema und hier nur Mittel zum Zweck.

Die gegenseitige Verriegelung entsteht dadurch, dass jeder Ausgang den jeweils anderen als sperrende Bedingung in seine eigene Logik aufnimmt. In Worten:

Q_rechts ist aktiv, WENN:
  (Taster_rechts ODER Q_rechts)   … Einschalten und Selbsthaltung
  UND NICHT Q_links              … Verriegelung
  UND NICHT Stopp

Q_links ist aktiv, WENN:
  (Taster_links ODER Q_links)
  UND NICHT Q_rechts
  UND NICHT Stopp

Der entscheidende Teil ist das UND NICHT mit dem Querverweis auf den anderen Ausgang. Läuft der Motor rechts, ist Q_rechts gesetzt – damit ist die Bedingung NICHT Q_rechts in der Linkslauf-Logik nicht erfüllt, und ein Druck auf den Linkstaster bleibt wirkungslos. Erst wenn Q_rechts abgefallen ist, gibt die Verriegelung den Linkslauf frei. Umgekehrt genauso. Das ist der Kern jeder gegenseitigen Verriegelung: ein negierter Verweis aufeinander, eingebaut in eine UND-Verknüpfung.

In KOP oder FUP übersetzt sich das direkt – der negierte kontakt des einen Ausgangs liegt in der Strompfad-Logik des anderen. Die konkrete grafische Darstellung in den einzelnen Programmiersprachen ist ein eigenes Thema; hier zählt die logische Struktur.

Interaktiv: Verriegelungs-Simulator Wendebetrieb

Ein Logik-Simulator, an dem die Sperrwirkung direkt ausprobiert werden kann. Über Buttons lassen sich „Taster Rechts“, „Taster Links“ und „Stopp“ betätigen; die Anzeige zeigt den Zustand der beiden Ausgänge und meldet ausdrücklich, wenn die Verriegelung einen Befehl blockiert hat. Der Fall „beide Taster gleichzeitig“ lässt sich gezielt testen.

SIMULATION (kein Calculator):
Eingänge (Buttons): Taster_rechts, Taster_links, Stopp
Zustände der Ausgänge:
  Q_rechts = (Taster_rechts ODER Q_rechts) UND NICHT Q_links UND NICHT Stopp
  Q_links = (Taster_links ODER Q_links) UND NICHT Q_rechts UND NICHT Stopp
Anzeige:
  – „Rechtslauf EIN“ / „Linkslauf EIN“ / „Stillstand“
  – „GESPERRT: Linkslauf, weil Rechtslauf aktiv“ (analog umgekehrt)
  – Gleichzeitige Betätigung: der zuerst gesetzte Ausgang behält die Hand,
    der zweite wird durch die Verriegelung blockiert

Der Stolperstein aus Kapitel 2 verlangt nach einer Lösung: Zwischen dem Abschalten der einen Drehrichtung und dem Zuschalten der anderen muss eine kurze Pause liegen, damit der Motor auslaufen kann und kein zerstörerischer Übergang entsteht. Diese Umschaltpause baut man als zusätzliche Bedingung in die Verriegelung ein – mit einer Zeitfunktion.

Üblich ist eine einschaltverzögerte Zeitfunktion, in der Norm TON genannt. Sie startet, sobald ihr Eingang anliegt, und gibt ihren Ausgang erst nach Ablauf der eingestellten Zeit frei. Genau dieses Verhalten brauchen wir: Nach dem Abschalten einer Richtung läuft eine kleine Zeit, und erst danach darf die Gegenrichtung freigegeben werden.

Logisch eingebunden sieht das so aus:

Beim Abschalten von Q_rechts startet eine Sperrzeit.
Q_links wird zusätzlich verriegelt mit:
  UND NICHT Sperrzeit_läuft

Erst wenn die Zeit abgelaufen ist, fällt die Sperre,
  und Q_links darf – bei gedrücktem Taster – ziehen.

Damit hat die Linkslauf-Logik jetzt zwei Verriegelungsbedingungen: NICHT Q_rechts (nicht gleichzeitig) und NICHT Sperrzeit_läuft (nicht zu früh). Beide hängen mit UND in der Bedingung. Die genaue Parametrierung und das Zeitverhalten der TON-Funktion sind ein eigenes Thema; hier zählt, dass der Timer-Ausgang als zusätzliche negierte Verriegelungsverknüpfung wirkt.

Die gegenseitige Verriegelung sperrt. Die Reihenfolge- bzw. Freigabeverriegelung macht das logische Gegenteil: Sie gibt frei – aber nur, wenn ein vorgelagerter Zustand schon erreicht ist. Statt eines negierten Querverweises steht hier die positive Bedingung des vorausgehenden Schritts in der Logik.

Das klassische Beispiel ist eine Förderstrecke mit mehreren Bändern. Material läuft von Band 3 über Band 2 auf Band 1. Damit sich nichts staut, muss jeweils das nachgelagerte Band schon laufen, bevor das davor anlaufen darf:

Band_1 darf laufen, WENN Starttaster gedrückt
Band_2 darf laufen, WENN Band_1 läuft
Band_3 darf laufen, WENN Band_2 läuft

So entsteht eine Freigabekette: Jeder Schritt setzt den vorigen voraus. Beim Hochlauf wird die Anlage von hinten nach vorne freigegeben, beim Abschalten kehrt sich die Logik sinnvollerweise um – das vordere Band stoppt zuerst, die hinteren laufen leer, bis das Material durch ist.

Der logische Unterschied zur gegenseitigen Verriegelung ist wichtig: Dort verknüpft man mit UND NICHT (der andere darf nicht aktiv sein). Hier verknüpft man mit UND (der vorige muss aktiv sein). Beide Male ist es eine UND-Verknüpfung in der Ausgangslogik – einmal negiert, einmal positiv.

Bis hierher steckte die ganze Verriegelung im SPS-Programm. Das ist bequem, hat aber eine Grenze, die man kennen muss: Eine reine Software-Verriegelung ist nicht sicherheitsgerichtet.

Der Grund liegt in den Fehlerquellen. Ein Programmierfehler kann die Verriegelungsbedingung versehentlich aushebeln. Ein hängengebliebener Ausgang, ein verschweißter Schützkontakt oder ein Defekt in der Ausgangsbaugruppe kann dazu führen, dass ein Schütz physisch zieht, obwohl das Programm es längst abgeschaltet hat. Die Software „weiß“ davon nichts – ihre Verriegelung greift nur auf der logischen Ebene, nicht in der realen Verdrahtung.

Deshalb kombiniert man in der Praxis zwei Ebenen. Die Software-Verriegelung sorgt im normalen Betrieb für sauberen, komfortablen Ablauf und verhindert Fehlbedienungen. Die Hardware-Verriegelung über zwangsgeführte Hilfskontakte der Schütze bildet die Rückfallebene: Zieht ein Schütz, öffnet sein zwangsgeführter Öffner zwangsläufig den Strompfad des Gegenschützes – unabhängig davon, was das Programm tut. Beide Verriegelungen wirken parallel und ergänzen sich.

Sobald es um echten Personen- oder Maschinenschutz geht, reicht selbst diese Kombination nicht mehr aus. Dann kommen sicherheitsgerichtete Komponenten ins Spiel – Sicherheitsschaltgeräte oder eine Sicherheits-SPS, ausgelegt nach den einschlägigen Normen für funktionale Sicherheit. Das ist ein eigenes, umfangreiches Feld und hier nur als Abgrenzung wichtig: Eine programmierte Verriegelung im Standard-Programm ist eine Betriebsfunktion, keine Sicherheitsfunktion.