Sicherheitslevel Robotersteuerung - Norm DIN EN ISO 10218-1

**daniel1980** · 08.02.2019, 15:45

Hallo Zusammen,

mein erster Post in diesem Forum behandelt geht sofort ins Eingemachte...Ich hoffe, ich bin in diesem Forum richtig, hab sonst keine passende Rubrik zu dem Thema gefunden:

O.g. Norm gibt bei dem Sicherheitslevel folgendes an:
- Kap 5.4.2: min. PL = d
- Kap 5.4.3: Eine Risikobeurteilung kann ergeben, daß ein anderer PL maßgebend ist.

Zu dem PL hätte ich folgenden Ansatz gewählt:
- Schwere der Verletzung: S2 (hoch)
- Expositionsdauer: Zugegeben ein Streitpunkt F1 (selten) oder F2 (hoch)
- Ausweichmöglichkeit: P2 (kaum möglich)

--> PL=d, wenn Expositionsdauer selten
--> PL=e, wenn Expositionsdauer hoch

Grundsätzlich verstehe ich die Festlegung des PL gem. 5.4.2 nicht, wenn im Folgekapitel (eigentlich nichtssagend, da RB's sowieso durchgeführt werden müssen) steht, daß eine RB durchaus einen anderen Wert ergeben kann (eher höher als niedriger).

Wie sind eure Erfahrungen hierzu? Man müsste ja in der RB sowieso festhalten, wie man gerade auf einen niedrigeren Wert bzgl. Expositionsdauer kommt; was hindert mich daran, meinetwegen zur Prozessbeobachtung, direkt vor dem Schutzzaun (der bei "Durchdrehen" der Robotersteuerung mühelos durchbrochen werden kann) zu stehen, und damit eine hohe Expositionsdauer (und damit PL=e) zu erreichen?

Danke für die Rückmeldungen!

**Ceos** · 08.02.2019, 20:18

Uff ... also ich habe noch Schulungsunterlagen irgendwo rumfliegen ich guck mal eben .... aber so wie du es formulierst bin ich mir gerade nciht ganz sicher ob es eine Aufgabe mit Vorgaben ist oder ob du beim Zaun nicht vielleicht ein wenig zu kritisch bist.

direkt vor dem Schutzzaun (der bei "Durchdrehen" der Robotersteuerung mühelos durchbrochen werden kann)

Ist das als Situation irgendwie gegeben? Denn das wäre ein Fehler bei der Montage des Schutzzaun, der sollte so ausgelegt sein dass er vom Roboter nicht durchbrochen werden kann oder zur Notabschaltung bei Kontakt führt.

Aber nur wenn es dabei um eine Kombinationsbewertung geht ... Gerät ohne Zaun = F2 ... Gerät mit Zaun (Der durch seine Konstruktion Exposition verhindert) = F1

------------

Die liegen auf Arbeit ist mir gerade eingefallen

**daniel1980** · 11.02.2019, 08:51

Hallo und danke für die Antwort.

Ich habe mit Anlagenverantwortlichen über das Thema Schutzzaun gesprochen. Die bringen in diesem Zusammenhang gern den Spruch "ein Zaun soll nicht den Menschen vor dem Roboter schützen, sondern andersrum." Heißt: Gerade bei größeren Roboteranlagen, bringt ein Schutzzaun (geschweige denn eine Plexiglasscheibe) überhaupt nichts, da sie meistens nicht für die Kräfte ausgelegt sind, die ein Roboter aufbringen könnte. Ich werde mir bei Gelegenheit mal die EN ISO 14120 beschaffen (Stabilitätskriterien von Schutzzäunen).

Kannst du bei Gelegenheit mal die Schulungsunterlagen konsultieren? Wo hast du denn die Schulung gemacht?

Vielen Dank!

**Ceos** · 11.02.2019, 09:24

die war bei uns in der Firma, ein Produktmanager hat nach Functional Safety bei einem Projekt gerufen, Gelder locker gemacht und nu iss mein Zertifikat schon 2 Jahre abgelaufen weil sich keiner an die Art der Entwicklung rantraut, zu teuer zu langwierig und so XD

Danke für den technischen Insight über die Schutzzäune, stimmt schon im Prinzip, der Zaun soll davor schützen dass sich Personen im Arbeitsbereich des Robos aufhalten (um eben die Exposition zu minimieren und damit eine ganze Stufe in der Bewertung abzusteigen), aber ich dachte eigentlich dass die Zäune ne Notabschaltung bei "Kontakt" haben?!
Man muss ja nicht die rohen Kräfte der Robos abblocken, aber technisch verhindern dass der Robo diesen Zaun überwinden kann, indem man z.B. eine Notabschaltung einleitet (diese Notabschaltung muss dann die höhere Sicherheitsstufe aufweisen, ist aber technisch einfacher zu realisieren als sicherzustellen dass der Robo never ever über den Arbeitsbereich hinweg agieren kann).

Was das Thema Risikobewertung angeht, hab ich gerade wieder in meinen Unterlagen gelesen und realsiert dass es genau darum geht was wir beiden hier gerade machen. Es geht darum dass man Dinge unterschiedlich betrachten kann. Eine Risikobewertung kann mit der Prämisse getroffen werden dass es keine zusätzlichen Schutzmaßnahmen gibt oder eben Vorrausgesetzt sind.

Ich kann sagen dass die Exposition hoch ist wenn ich sage dass ein gewöhnlicher Zaun verbaut worden ist und der Roboter technisch in der Lage diese Begrenzung zu überschreiten.

Wenn ich jetzt aber den Zaun in das Sicherheitskonzept mit einbeziehe (komplexe Bewertung) und sage "die Exposition ist gering, solange der Zaun eine Abschaltvorrichtung für das System besitzt", führt das zu einer niedrigeren Risikobewertung und derjenige der das System aufbaut muss dann, dem Sicherheitshandbuch folgend, einen entsprechenden Zaun mit Abschalteinrichtung verbauen um das Ziellevel zu erfüllen.

Im Endeffekt ist es eine Milchmädchenrechnung wieviel man in die Zertifizierung investieren muss um ein Produkt auf einen höheren Level zu bringen VS was man dem Implementierenden alles aufbrummt an Randbedingungen zu erfüllen damit das Gerät auch mit niedrigerer Sicherheitsbewertung und damit weniger Aufwand produziert werden kann.

Das Problem bei der Zertifizierung besteht ja nur darin WIE ich den entsprechenden Level erreiche. Ich kann auch ein Produkt mit SIL2 verkaufen und im Datenblatt sagen, wenn sie 3 kaufen und als 2 aus 1 Logik verschalten erreichen sie mit dem Produkt SIL3 ohne zusätzlichen Aufwand in der Zertifizierung oder bei der Konstruktion aber der Kunde muss eben 3 Stück kaufen.

**daniel1980** · 11.02.2019, 11:21

Ich muß mich mit dem Thema Sicherheitszaun / EN ISO 14120 nochmal genauer auseinandersetzen...

Ich bin mir sicher, daß Zäune KEINE Notabschaltung bei Kontakt haben, sondern einfach nur mechanische Barrieren sind. Bei den Robo-Applikationen, die ich bislang gesehen habe, ist der Zaun gegenüber dem Roboter hoffnungslos unterdimensioniert. Dementsprechend sollte eigentlich bereits die Steuerung des Robos SICHER gewährleisten, daß er den vorgesehenen Arbeitsraum nicht verlässt. Theoretisch könnte eine Überlasterkennung in den Roboterachsen hier weiterhelfen, die es aber vermutlich nur bei kollaborativen Robotern gibt (?).

Fanuc beispielsweise bietet mit seinem DCS (Dual Check Safety) einen Sicherheitslevel bis PL = d an, heißt: Expositionsdauer gering (F1) - andere Stellschrauben fallen mir in dem Zusammenhang nicht ein. Der (informative) Anhang A.2.2 der ISO 13849-1 gibt hierzu einen Wert der Expositionsdauer, anteilig an der Betriebsdauer an. Da frag ich mich, welcher Betreiber einem sowas unterschreibt...

**021aet04** · 11.02.2019, 12:03

Der Schutzzaun ist soweit ich weiß (habe soetwas noch nie ausgelegt, o.Ä.) nur zur Abschicherung das Arbeiter nicht ungehindert in den Sicherheitsbereich kommen. An den Zugangstüren kommen Sicherheitsendschalter, die nur Freigegeben werden wenn man sich "anmeldet" und somit dem Roboter signalisiert das er anhalten muss (der Roboter darf sich dann nur sehr langsam bewegen => z.B. Einrichtbetrieb). Sollte es irgendein Problem geben (keine Verbindung zur Hauptsteuerung, Positionen verloren,.....) muss der Roboter sofort anhalten. Soetwas kenne ich zumindest von einem RBG.

MfG Hannes

**Ceos** · 11.02.2019, 12:08

Ich bin mir sicher, daß Zäune KEINE Notabschaltung bei Kontakt haben

Ja das ist mit klar

ich meinte aber in dem Kontext mit Schutzzäunen für Roboteranwendungen. Da sind das dann meist mehr als "gewöhnliche" Schutzzäune, eben mit einer solchen Funktion.

Robo-Applikationen, die ich bislang gesehen habe, ist der Zaun gegenüber dem Roboter hoffnungslos unterdimensioniert. Dementsprechend sollte eigentlich bereits die Steuerung des Robos SICHER gewährleisten, daß er den vorgesehenen Arbeitsraum nicht verlässt.

Dann musst du für den Betriebszustand eben "viel Exposition" nehmen und sowohl Technik als auch Software entsprechend zertifizieren.

Der (informative) Anhang A.2.2 der ISO 13849-1 gibt hierzu einen Wert der Expositionsdauer, anteilig an der Betriebsdauer an. Da frag ich mich, welcher Betreiber einem sowas unterschreibt...

Das tragische an Safety, dass an vielen Stellen gesunder Menschenverstand mit einfachen mathematichen Formeln "angeblich" widerlegt wird. Schmeckt mir auch cniht,a ber gerade weil die Zertifizierung (und ganz besonderns die von Software in meinen Augen) so aufwendig ist, versucht man sich darauf zu beschränken die Sicherheit über die Umgebung und die Schutzabschaltung zu gewähren.

Ich meine, wenn ich einen Roboter hätte, der eine offene Kreissäge schwingt und nirgendwo einen Zaun drum herum hat. Dann brauchte ich SIL3-Kameras/Näherrungssensoren, SIL3-Software und sogar SIL3-Hardware die sicherstellt dass alles steht wenn es stehen soll.

Wenn ich aber im Sicherheitsdatenblatt schreibe SIL3 mit 3cm Stahlwand als Käfig brauch ich weder SIL-Software noch irgendwelche SIL-Komponenten und könnte dennoch auf SIL3 kommen. Du kannst dem Robo dann nur nicht mehr bei der Arbeit zusehen.

Ich bin froh dass ich mich mit der Thematik bis auf die Schulung und 2 Workshops mit Musterbeispielen nicht auseinandersetzen musste. Effektiv liegt es nämlich am Ende nur am Prüfer was seine Meinung ist und was er an Dokumentation erwartet.

**daniel1980** · 11.02.2019, 13:24

Das wirklich unbefriedigende an der Sache ist ja, daß in der Norm eben erstmal nur der Sicherheitslevel PL d festgelegt ist. Hätten die Roboterhersteller in den Normengremien sich auf PL e geeinigt, wäre uns ja schon geholfen...Ich frage mich, warum ausgerechnet am PL "geknausert" wurde.

Hannes, ich schau mir bei Gelegenheit die Norm 14120 an. Ggf. wird ja dort unterteilt in reine Zugangsbeschränkungen und solchen, die eine Bewegung einer Antriebsachse zur Not mit Gewalt verhindern.

**Ceos** · 11.02.2019, 14:19

Ich muss dazu sagen, dass unsere Beispiele in den Workshops scheinbar SEHR idealistisch sind wenn ich höre dass die Zäune tatsächlich nur als Zugangs-Schutz benutzt werden und sonst keine effektive Verbindung mit dem Roboter haben.

In einem Fall war es zwar kein Roboterarm aber es ging um eine Einpassvorrichtung für Rohre die ähnlich arbeitet und das Risiko einer Fehlfunktion durch Verkanten von Werkstücken bewertet werden sollte.
Und dabei war ein Prallschutz mit Kontaktsensor zur Notabschaltung dabei.

Dachte das Beispiel sei halbwegs Relaitätsnah und bei Rotobtern häte ich auch sowas erwartet.