Siemens ET 200S Montage- Und Bedienhandbuch Seite 66

Fehlersichere Module
7.2 Powermodul PM-E F pm DC24V PROFIsafe
Sicherheitsgerichtete Abschaltung von Standard-Ausgabemodulen
Eine Liste mit den freigegebenen Standard-ET 200S-Modulen finden Sie im Internet.
(http://support.automation.siemens.com/WW/view/de/12461959/133300)
Die Ausgänge von Standard-DO-Modulen können nicht sicherheitsgerichtet geschaltet,
sondern nur sicherheitsgerichtet abgeschaltet werden. Deshalb müssen Sie die folgenden
möglichen Auswirkungen berücksichtigen:
Im worst case-Fall müssen Sie mit allen denkbaren Fehlern der Standard-DO-Module und
des sie steuernden Programms rechnen, für die es auch keine direkte Fehleraufdeckung
gibt. Z. B. erkennt das PM-E F pm DC24V PROFIsafe keine externen Kurzschlüsse nach
L+ an den Ausgängen von Standard-DO-Modulen. Alle Fehler der Standard-DO-Module
wirken über Stellglieder auf den Prozess. Der Prozess muss über Geber und ein
entsprechendes Sicherheitsprogramm der F-CPU bekannt gemacht werden.
Da sicherheitskritische Fehler in den Standard-DO-Modulen nicht durch Selbsttests
innerhalb des Moduls aufgedeckt werden können, muss die "Diagnose" indirekt über den
gesteuerten Prozess erfolgen: Solange der fehlgesteuerte Prozess ungefährlich bleibt,
greift die Sicherheitssteuerung nicht ein. Sie wird erst dann eine Abschaltung vornehmen,
wenn der Prozess ungewolltes oder potenziell gefährliches Verhalten zeigt.
Daraus folgt, dass die Fehlerreaktionszeiten bei Fehlern innerhalb der Standard-DO-
Module nicht durch die spezifizierten kurzen Fehlererkennungszeiten der S7, sondern vom
gesteuerten Prozess und der Auswertung von dessen Rückmeldungen abhängig sind.
Die sicherheitsrelevanten Prozessdaten müssen
• funktional sicher
• über fehlersichere Eingabebaugruppen (z. B. F-DI) eingelesen,
• von der fehlersicheren CPU zu Ausgabebefehlen verarbeitet und
• von der fehlersicheren Ausgabebaugruppe zur Absteuerung des zugehörigen
• vom fehlersicheren Powermodul PM-E F ausgegeben werden.
Wird die Erwartungshaltung von der Prozessseite (entweder aufgrund einer
Prozessschieflage oder wegen fehlerbehafteter Standard-DO-Module) nicht erfüllt, sind die
Standard-DO-Module durch die übergeordnete Sicherheitsschaltung in den sicheren
Zustand zu überführen.
Dazu ist insbesondere die Fehlertoleranzzeit des Prozesses zu berücksichtigen. Während
dieser Fehlertoleranzzeit geht keine Gefährdung von einem ggf. falsch gesteuerten
Prozess aus.
Das Sicherheitsprogramm muss auf unerwünschte oder potenziell gefährliche Zustände
des Prozesses über das PM-E F pm DC24V PROFIsafe und fehlersichere Ausgabemodule
sicherheitsgerichtet und logisch angemessen reagieren.
66
WARNUNG
Sicherheitsrelais oder
Dezentrales Peripheriesystem ET 200S
Montage- und Bedienhandbuch, 08/2008, A5E00103684-07