SF_EDM (External Device Monitoring)

Hilfeversion 1.1 / Ausgabedatum: 2018.03
Gültig für Funktionsbaustein SF_EDM_V2_0z, Version 2.0z (z = 0 bis 9).

Kurzbeschreibung Der sicherheitsbezogene Funktionsbaustein SF_EDM (Externe Schützüberwachung) überwacht den definierten Grundzustand und das Schaltverhalten von Schützen, die an der Sicherheitssteuerung angeschlossen sind.
Mit Hilfe von S_StartReset kann eine Anlaufsperre vorgegeben werden.

WARNUNG

Nichterfüllen der Sicherheitsanforderungen

Stellen Sie sicher, dass die verwendeten Schütze den Ergebnissen der gemäß ISO 13849-1 durchgeführten Risikoanalyse entsprechen.

Bausteinsymbol

Eingänge Activate

Kurzbeschreibung Wert

Zustandsgesteuerter Eingang zur Aktivierung des Funktionsbausteins.
Datentyp: BOOL
Anfangswert: FALSE

FALSE: Funktionsbaustein inaktiv

TRUE: Funktionsbaustein aktiviert

Weitere Informationen hierzu finden Sie im Thema "Activate".

S_OutControl

Kurzbeschreibung Wert

Zustandsgesteuerter Eingang zur Ansteuerung von Schützen, die am Bausteinausgang S_EDM_Out angeschlossen sind.
Datentyp: SAFEBOOL
Anfangswert: SAFEFALSE

SAFEFALSE: Anforderung, um S_EDM_Out auf SAFEFALSE zu steuern (Stopp-Anforderung)

SAFETRUE: Anforderung, um S_EDM_Out unter Berücksichtigung von S_EDM1 und S_EDM2 auf SAFETRUE zu steuern

Weitere Informationen hierzu finden Sie im Thema "S_OutControl".

S_EDM1 und S_EDM2

Kurzbeschreibung Wert

Zustandsgesteuerte Eingänge für die Rückführsignale der angeschlossenen Schütze.
Datentyp: SAFEBOOL
Anfangswert: SAFEFALSE

Hinweis
Wird nur ein Rückführsignal verwendet, muss dieses parallel auf beide Eingänge S_EDM1 und S_EDM2 verschaltet werden.

Damit der Funktionsbaustein seinen Ausgang S_EDM_Out auf SAFETRUE steuern kann, müssen beide Eingänge den Zustand SAFETRUE aufweisen (Grundzustand der Schütze).

SAFEFALSE: Verschaltetes Schütz ist angezogen (Schaltzustand)

SAFETRUE: Verschaltetes Schütz ist abgefallen (Grundzustand)

Weitere Informationen hierzu finden Sie im Thema "S_EDM1 und S_EDM2".

MonitoringTime

Kurzbeschreibung Wert

Eingang zur Vorgabe der maximalen Reaktionszeit für die Schaltvorgänge der angeschlossenen Schütze.
Datentyp: TIME
Anfangswert: #0ms
Die Auswertung der Schaltvorgänge erfolgt über die Eingänge S_EDM1 und S_EDM2.
Bei Überschreitung der vorgegebenen Reaktionszeit steuert der Ausgang Error auf TRUE und in der Folge Ausgang S_EDM_Out auf SAFEFALSE. Geben Sie einen Zeitwert ein, der Ihrer Risikoanalyse entspricht.
Beachten Sie die erste Warnung unter dieser Tabelle.

WARNUNG

Nichterfüllen der Sicherheitsanforderungen

Stellen Sie sicher, dass der an MonitoringTime eingestellte Zeitwert Ihrer Risikoanalyse entspricht.

Stellen Sie sicher, dass Ihre Risikoanalyse eine Auswertung für den Fall eines falsch eingestellten Zeitwerts am Eingang MonitoringTime enthält.

Validieren Sie die gesamte Sicherheitsfunktion in Bezug auf den eingestellten Wert an MonitoringTime und prüfen Sie die Applikation sorgfältig.

Weitere Informationen hierzu finden Sie im Thema "MonitoringTime".

S_StartReset

Kurzbeschreibung Wert

Zustandsgesteuerter Eingang zur Vorgabe der Anlaufsperre nach dem Start der Sicherheitssteuerung oder bei Aktivierung des Bausteins.
Eine aktive Anlaufsperre muss durch eine positive Signalflanke an Eingang Reset manuell aufgehoben werden. Eine deaktivierte Anlaufsperre führt dazu, dass der Ausgang S_EDM_Out automatisch auf SAFETRUE wechselt, wenn der Funktionsbaustein aktiviert und die Sicherheitsfunktion nicht angefordert ist.
Datentyp: SAFEBOOL
Anfangswert: SAFEFALSE

SAFEFALSE: mit Anlaufsperre

SAFETRUE: ohne Anlaufsperre

WARNUNG

Nichterfüllen der Sicherheitsanforderungen

Stellen Sie sicher, dass Ihre Risikoanalyse eine Auswertung für den Fall der deaktivierten Anlaufsperre (S_StartReset = SAFETRUE) enthält.

Beachten Sie die vorgegebenen Richtlinien in relevanten Sektornormen bezüglich der Anlaufsperre.

Stellen Sie sicher, dass an anderer Stelle oder mit anderen Mitteln eine geeignete Anlaufsperre realisiert ist, wenn die Anlaufsperre durch die Einstellung S_StartReset = SAFETRUE deaktiviert ist.

Weitere Informationen hierzu finden Sie im Thema "S_StartReset".

Reset

Kurzbeschreibung Wert

Flankengesteuerter Eingang für das Reset-Signal:

Rücksetzen von Fehlermeldungen, wenn die Fehlerursache nicht mehr besteht.

Manuelles Rücksetzen einer aktiven Anlauf-/Wiederanlaufsperre (je nach Art der Anlaufsperre(n) des Funktionsbausteins).

Datentyp: BOOL
Anfangswert: FALSE

FALSE: Rücksetzen ist nicht angefordert

Flanke FALSE > TRUE: Rücksetzen ist angefordert

Hinweis
Abweichend von der Norm EN ISO 13849-1 erfolgt das Rücksetzen nicht wie dort gefordert durch eine negative (fallende) sondern durch eine positive (steigende) Flanke.
Um das Rücksetzen (im Hinblick auf die zwingende Abnahmeprozedur) mit einer fallenden Flanke zu implementieren, verwenden Sie den Funktionsbaustein SF_Reset.

Das Rücksetzen des Funktionsbausteins durch eine positive Signalflanke an Eingang Reset kann dazu führen, dass Ausgang S_EDM_Out sofort auf SAFETRUE gesteuert wird (in Abhängigkeit der Zustände an den übrigen Eingängen).

WARNUNG

Unbeabsichtigter Betriebsstart

Berücksichtigen Sie in Ihrer Risikoanalyse die Auswirkungen des Rücksetzens durch eine positive Signalflanke an Eingang Reset.

Stellen Sie sicher, dass geeignete Maßnahmen (gemäß zutreffender Sektornormen) getroffen wurden, um Gefährdungen durch das Rücksetzen zu verhindern.

Betreten Sie den Betriebsbereich nicht, wenn das Rücksetzen durchgeführt wird.

Stellen Sie sicher, dass keine anderen Personen den Betriebsbereich betreten können, wenn das Rücksetzen durchgeführt wird.

Verwenden Sie geeignete Sicherheitsverriegelungen, wenn eine Gefahr für Personen und/oder Ausrüstung besteht.

Weitere Informationen hierzu finden Sie im Thema "Reset".

Ausgänge Ready

Kurzbeschreibung Wert

Ausgang zur Signalisierung "Funktionsbaustein aktiviert/nicht aktiviert".
Datentyp: BOOL

FALSE: Der Funktionsbaustein ist nicht aktiviert (Activate = FALSE) und alle Ausgänge des Funktionsbausteins sind auf FALSE/SAFEFALSE gesteuert.

TRUE: Funktionsbaustein ist aktiviert (Activate = TRUE) und die Ausgangsparameter stellen den Zustand der Sicherheitsfunktion dar.

Weitere Informationen hierzu finden Sie im Thema "Ready".

S_EDM_Out

Kurzbeschreibung Wert

Ausgang für Steuersignal der angeschlossenen Schütze.
Datentyp: SAFEBOOL

SAFEFALSE:

Steuersignal an Eingang S_OutControl = SAFEFALSE

oder mindestens einer der angeschlossenen Schütze funktioniert nicht korrekt (Grundzustand und/oder Schaltverhalten nicht in Ordnung)

oder Funktionsbaustein nicht aktiviert

oder Anlaufsperre aktiv

oder Fehlermeldung anliegend.

SAFETRUE:

Steuersignal an Eingang S_OutControl = SAFETRUE

und die angeschlossenen Schütze funktionieren korrekt (Grundzustand und Schaltverhalten in Ordnung)

und Funktionsbaustein ist aktiviert

und Anlaufsperre nicht aktiv

und keine Fehlermeldung anliegend.

Weitere Informationen hierzu finden Sie im Thema "S_EDM_Out".

SafetyDemand

Kurzbeschreibung Wert

Ausgang zur Signalisierung "Sicherheitsfunktion angefordert".
Dieser Ausgang zeigt an, ob die Sicherheitskette unterbrochen und deshalb die Aufmerksamkeit des Bedieners erforderlich ist.
Datentyp: BOOL

FALSE: Sicherheitsfunktion ist nicht angefordert.

TRUE: Die Sicherheitsfunktion ist angefordert.

Weitere Informationen hierzu finden Sie im Thema "SafetyDemand".

ResetRequest

Kurzbeschreibung Wert

Ausgang zur Signalisierung "Rücksetzen erforderlich".
Dieser Ausgang zeigt an, ob das Rücksetzen durch den Bediener erforderlich ist.
Datentyp: BOOL

FALSE: Kein Rücksetzen erforderlich.

TRUE: Rücksetzen ist erforderlich,

zum Aufheben einer aktiven Anlauf- oder Wiederanlaufsperre (falls verfügbar bei diesem Funktionsbaustein)

oder zum Rücksetzen eines Fehlers.

Weitere Informationen hierzu finden Sie im Thema "ResetRequest".

Error

Kurzbeschreibung Wert

Ausgang für Fehlermeldung.
Datentyp: BOOL

FALSE: Es liegt kein Fehler vor.

TRUE: Der Funktionsbaustein hat einen Fehler erkannt. In der Folge wird Ausgang S_EDM_Out auf SAFEFALSE gesteuert.

Weitere Informationen hierzu finden Sie im Thema "Error".

DiagCode

Kurzbeschreibung Wert

Ausgang für Diagnosemeldung.
Datentyp: WORD Diagnosemeldung des Funktionsbausteins.
Die möglichen Werte sind im Thema "Diagnose-Codes" aufgelistet und beschrieben.

Weitere Informationen hierzu finden Sie im Thema "DiagCode".

Detailinformationen Signalablauf-Diagramm

Dieses Diagramm bezieht sich auf eine typische Verschaltung mit Anlaufsperre nach der Aktivierung des Funktionsbausteins oder dem Start der Sicherheitssteuerung (S_StartReset = SAFEFALSE).

Hinweis
Beachten Sie auch das weitere Signalablauf-Diagramm.

0 Der Funktionsbaustein ist noch nicht aktiviert (Activate = FALSE).
Folglich sind alle Ausgänge FALSE oder SAFEFALSE.

1 Nach der Bausteinaktivierung durch Activate = TRUE ist zunächst noch die Anlaufsperre aktiv.

2 Mit der Flanke FALSE > TRUE an Eingang Reset wird die Anlaufsperre aufgehoben und die Überwachungszeit MonitoringTime der beiden Eingänge S_EDM1 und S_EDM2 gestartet.
Die Überwachungszeit läuft ergebnislos ab, da die Eingänge S_EDM1 und S_EDM2 beide SAFETRUE sind.

3 Die Rückführsignale an den Eingängen S_EDM1 und S_EDM2 melden den Grundzustand der Schütze (S_EDM1 und S_EDM2 sind SAFETRUE). In diesem Zustand wird S_OutControl = SAFETRUE. Daraufhin startet die Überwachungszeitmessung und Ausgang S_EDM_Out wird SAFETRUE.
Während der Überwachungszeit MonitoringTime wechseln beide Rückführsignale S_EDM1 und S_EDM2 auf SAFEFALSE. Die überwachten Schütze funktionieren also beide ordnungsgemäß, sodass Ausgang S_EDM_Out auf SAFETRUE und Fehlerausgang Error auf FALSE bleibt.

4 Der Zustand an Eingang S_OutControl wechselt auf SAFEFALSE, wodurch auch Ausgang S_EDM_Out auf SAFEFALSE gesteuert wird.
Mit dem Zustandswechsel an S_EDM_Out startet die Überwachungszeitmessung erneut. Während der Überwachungszeit MonitoringTime wechseln beide Rückführsignale S_EDM1 und S_EDM2 ordnungsgemäß auf SAFETRUE (Grundzustand der Schütze). Fehlerausgang Error bleibt folglich FALSE.

5 Eingang S_OutControl wird SAFETRUE, wodurch der Ausgang S_EDM_Out auf SAFETRUE gesteuert wird. Zu diesem Zeitpunkt sind beide Rückführsignale S_EDM1 und S_EDM2 = SAFETRUE (Grundzustand der angeschlossenen Schütze).
Mit dem Wechsel an Ausgang S_EDM_Out auf SAFETRUE startet die Überwachungszeit MonitoringTime. Die Rückführsignale an den Eingängen S_EDM1 und S_EDM2 wechseln während der Überwachungszeit nicht nach SAFEFALSE, weil beispielsweise die angeschlossenen Schütze defekt sind.
Nach Ablauf der Überwachungszeit MonitoringTime wird Ausgang Error = TRUE und Ausgang S_EDM_Out = SAFEFALSE.

6 Mit der positiven Flanke an Eingang Reset wird die Fehlermeldung rückgesetzt (Error wird FALSE). Diese Signalflanke startet auch die Überwachungszeit MonitoringTime. Die Überwachungszeit läuft ergebnislos ab, weil die Rückführsignale an den Eingängen S_EDM1 und S_EDM2 weiterhin SAFETRUE sind.

Anwendungsbeispiel

In diesem Beispiel überwacht der sicherheitsbezogene Funktionsbaustein SF_EDM das Schaltverhalten eines an Ausgangsklemme 1.1 des sicherheitsbezogenen Ausgangsgeräts PSDO angeschlossenen Schützes K1.

Vom Schütz erfolgt durch einen Öffnerkontakt eine einkanalige Rückmeldung über Eingangsklemme 1.1 des sicherheitsbezogenen Eingangsgeräts PSDI 1 an die Eingänge S_EDM1 und S_EDM2 (einkanalige Anwendung bis Kat. 2). Das resultierende Signal der Eingangsklemme ist mit der globalen I/O-Variablen K1_Feedback verknüpft.

Der Reset-Taster S1 ist an Eingangsklemme 1.1 des Standard-Eingangsgeräts DI 1 angeschlossen. Das mit der globalen I/O-Variablen S1_Reset_EDM verknüpfte Signal an Eingangsklemme 1.1 dient zur Aufhebung der Anlaufsperre und zum Rücksetzen von Fehlerzuständen nach Behebung der Fehlerursache.

Hinweis
Eingang S_OutControl wird durch einen weiteren sicherheitsbezogenen Funktionsbaustein bzw. eine sicherheitsbezogene Funktion innerhalb des Programms angesteuert.

K1 Schütz oder Relais mit zwangsgeführten Kontakten.

S1 Reset

Siehe Hinweis vor der Abbildung.

Weitere Infos
Beachten Sie auch die übrigen Anwendungsbeispiele sowie die Hinweise zu den Beispielen.

Funktionsbaustein-Instanziierung

Die IEC 61131-3 definiert die Instanziierung von Funktionsbausteinen. Instanziieren bedeutet, dass ein Funktionsbaustein einmal definiert wird und dann mehrfach verwendet (instanziiert) werden kann. Dies gilt für alle Standard-FBs und sicherheitsbezogene FBs (sowohl lokale als auch FBs aus Firmware- und Anwenderbibliotheken).

Warum Instanziierung?
Ein Funktionsbaustein besitzt einen internen Speicher, in dem dieser die Arbeitsdaten (lokale Variablen) ablegt. Das bedeutet, die Ausgangswerte, die ein FB berechnet, hängen von den aktuellen intern gespeicherten Werten ab. Die gleichen Eingangswerte liefern deshalb bei verschiedenen FB-Instanzen nicht zwingend die gleichen Ausgangswerte.
Die internen Daten des Funktionsbausteins müssen daher für jeden Aufruf, d.h. für jede FB-Instanz, in einem getrennten Speicherbereich gehalten werden. Um jede FB-Instanz eindeutig identifizieren und ihren Speicherbereich separat halten zu können, werden Instanznamen verwendet. Der Instanzname eines FB muss in der 'Variablen'-Tabelle der POE deklariert werden, in welcher der FB verwendet werden soll.

Dabei gilt Folgendes:

Funktionsbausteine können in anderen Funktionsbausteinen und in Programm-POEs instanziiert werden. Der Aufruf eines FB in einer Funktion-POE ist nicht möglich.

Funktionen werden ohne Instanznamen aufgerufen, da sie keinen internen Speicher besitzen.

In PLCnext Engineer wird strikt zwischen sicherheitsbezogenem Code und (nicht-sicherheitsbezogenem) Standard-Code unterschieden. Wenn Ihr Projekt eine sicherheitsbezogene SPS enthält, gilt Folgendes:

Sicherheitsbezogene FBs können nur in sicherheitsbezogenen POEs instanziiert werden, aber nicht in (nicht-sicherheitsbezogenen) Standard-POEs.

Anwenderdefinierte Standard-FBs können nur in Standard-POEs instanziiert werden. Sie können nicht in sicherheitsbezogenen POEs aufgerufen werden.

Bestimmte Standard-Firmware-FBs können sowohl in sicherheitsbezogenen, als auch in Standard-POEs instanziiert werden.

Hinweis
Beim Einfügen eines Standard-FBs in ein sicherheitsbezogenes SNOLD-Netzwerk gelten die Regeln für die implizite Typumwandlung (von sicherheitsbezogen nach Standard).

Beispiel für die Instanziierung eines sicherheitsbezogenen PLCopen-Funktionsbausteins

Der sicherheitsbezogene PLCopen-Funktionsbaustein 'SF_EmergencyStop_V2_00' wurde über eine Bibliothek in das Projekt eingefügt. Er ist dann in der Kategorie 'Programmierung' des KOMPONENTEN-Bereichs verfügbar. Dort befindet sich ein Ordner mit demselben Namen wie die Bibliothek, aus dem sich die FBs in den sicherheitsbezogenen Code einfügen lassen.
Der FB soll im Code des sicherheitsbezogenen Programms 'S_Main' zweimal aufgerufen werden, um den Status zweier sicherheitsbezogener Not-Halt-Befehlsgeräte auszuwerten. Für jede FB-Instanz wurde in der Variablentabelle des aufrufenden Programms ein Instanzname deklariert: EStop_M1 und EStop_M2. Die zwei FB-Instanzen wurden in das Code-Arbeitsblatt eingefügt, wobei unterschiedliche Variablen an die Eingangs- und Ausgangs-Formalparameter der Instanzen angeschlossen sind.

Weitere Informationen finden Sie in den folgenden Abschnitten:

Funktionsbeschreibung

Weitere Signalablauf-Diagramme

Weitere Anwendungsbeispiele

Fehlervermeidung

Umsetzung der Sicherheitsanforderungen aus anzuwendenden Normen