Übungsaufgaben zu Sicherheit in Steuerungen: EVA-Prinzip, Drahtbruchsicherheit, NOT-HALT und Redundanz

Kopiere den Text in ein KI-Sprachmodell Deiner Wahl und passe Kompetenzstufe, Anzahl, Bearbeitungszeit und Szenario bei Bedarf an. Wie die Aufgaben aufgebaut sind, beschreibt der Artikel Wie sind die Aufgaben aufgebaut?. Prüfe die Ergebnisse mit dem Lehrartikel: KI-Sprachmodelle machen Fehler.

Erstelle neue Übungsaufgaben zum Thema „Sicherheit in Steuerungen: EVA-
Prinzip, Drahtbruchsicherheit, NOT-HALT und Redundanz“.

Bauplan: Halte Dich an Aufbau, Kompetenzstufen, Operatoren,
Anforderungsbereiche, Punkte und Zeitschätzung, die im Artikel
https://oer-informatik.de/aufgaben-aufbau beschrieben sind.

Fachliche Grundlage:
- https://oer-informatik.de/steuerungssicherheit
- https://oer-informatik.de/schuetzsteuerungen
- https://oer-informatik.de/sps-grundlagen
- Stilbeispiel: https://oer-informatik.de/steuerungssicherheit-uebungsaufgaben

Die Aufgaben sollen Inhalte zu diesen Schlagwörtern abdecken:
- EVA-Prinzip
- Drahtbruchsicherheit
- Erdschluss
- NOT-HALT
- Stoppkategorie
- unerwarteter Anlauf
- Redundanz
- 2-von-3-Auswertung
- Steuern und Regeln
- Performance Level

Kompetenzstufe: Kernkompetenz (alternativ: Basiskompetenz, Profilkompetenz, Expertise)
Anzahl: 1 Aufgabe mit Teilaufgaben
Bearbeitungszeit in Minuten ca.: <5 bis 30 min>
Szenario: eines der Szenarien aus dem Bauplan

Vorgehen:
1. Lies zuerst die verlinkten Artikel. Kannst Du keine Webseiten
   abrufen, sag mir das, statt zu raten.
2. Steht bei einer Angabe noch ein Platzhalter in <…>, frag mich
   zuerst danach. Richte Punkte und Zahl der Teilaufgaben nach der
   Bearbeitungszeit (ca. 0,9 min je Punkt).
3. Gib je Aufgabe Titel mit Kompetenzstufe, Ausgangssituation und
   Teilaufgaben mit Operator und Punktzahl aus, dazu die geschätzte
   Bearbeitungszeit.
4. Gib die Beispiellösungen mit Punkteverteilung erst aus, wenn ich
   danach frage.

Je zwei bis drei richtig zugeordnete Betriebsmittel 1 Punkt:

Die Leistungsschütze gehören zur Ausgabe, weil sie als Stellglieder die Motoren schalten; die Verknüpfung übernimmt allein die Kleinsteuerung.

Erklärung (2 Punkte): Eine Steuerung ist drahtbruchsicher, wenn eine Leitungsunterbrechung immer zum sicheren Zustand (Anlage aus) führt. Deshalb wird über Öffner ausgeschaltet: Im Ruhezustand fließt Strom, der Eingang hat 1-Signal; Betätigen und Drahtbruch ergeben beide 0-Signal und schalten ab. Eingeschaltet wird über Schließer: Ein Drahtbruch verhindert dann nur das Einschalten.

Zuordnung (je 0,5 Punkte):

• -S1 „Anlage Aus“: Öffner,

• -S2 „Anlage Ein“: Schließer,

• -B3 Mindeststand: so anschließen, dass „Mindeststand erreicht“ 1-Signal liefert (Öffner-Funktion im Ruhestromprinzip); bricht die Leitung, meldet die Steuerung Wassermangel und schaltet die Pumpe ab bzw. sperrt sie,

• -F1: Hilfskontakt 95–96 (Öffner); löst der Motorschutz aus oder bricht die Ader, stoppt die Pumpe.

• Asynchrone Steuerung: Jede Signaländerung wirkt sofort, ohne Takt (1 Punkt).

• Taktgesteuerte (synchrone) Steuerung: Die Signale werden nur zu den Zeitpunkten eines Takts verarbeitet; Eingangsänderungen werden erst im nächsten Zyklus berücksichtigt (1 Punkt).

• Zuordnung (1 Punkt): Die bisherige Schützsteuerung arbeitet asynchron, die Kleinsteuerung taktgesteuert – sie liest die Eingänge zu Zyklusbeginn ins Prozessabbild, bearbeitet das Programm und schreibt dann die Ausgänge.

Geg.: U = 24\ \mathrm{V}; I_\mathrm{K10} = 0{,}12\ \mathrm{A}, I_\mathrm{EM} = 0{,}06\ \mathrm{A}, I_\mathrm{B1} = 0{,}035\ \mathrm{A}, I_\mathrm{B2} = 0{,}02\ \mathrm{A}, P_\mathrm{M3} = 7{,}2\ \mathrm{W}, I_\mathrm{P} = 0{,}04\ \mathrm{A} je Meldeleuchte; Reserve 25\ \%

Ges.: I_\mathrm{ges}, Mindest-Nennstrom I_\mathrm{N} des Netzteils, Netzteil

Die Schütze -Q1 und -Q2 werden über Relaisausgänge mit 230 V AC geschaltet und belasten das 24-V-Netzteil nicht (die Relaisspulen stecken im Eigenbedarf von -K10). Taster und Schwimmerschalter brauchen nur den kleinen Eingangsstrom.

\begin{aligned} &\text{(I)} && P_\mathrm{M3} = U \cdot I_\mathrm{M3} \\ &\text{(II)} && I_\mathrm{ges} = I_\mathrm{K10} + I_\mathrm{EM} + I_\mathrm{B1} + I_\mathrm{B2} + I_\mathrm{M3} + 2 \cdot I_\mathrm{P} \\ &\text{(III)} && I_\mathrm{N} = 1{,}25 \cdot I_\mathrm{ges} \end{aligned}

I nach I_\mathrm{M3} umstellen (1 Punkt):

\def\arraystretch{2.3} \begin{array}{rcl|l} P_\mathrm{M3} & = & U \cdot I_\mathrm{M3} & \color{gray}{:U} \\ I_\mathrm{M3} & = & \dfrac{P_\mathrm{M3}}{U} = \dfrac{7{,}2\ \mathrm{W}}{24\ \mathrm{V}} = 0{,}300\ \mathrm{A} & \end{array}

I in II (1 Punkt):

I_\mathrm{ges} = 0{,}12\ \mathrm{A} + 0{,}06\ \mathrm{A} + 0{,}035\ \mathrm{A} + 0{,}02\ \mathrm{A} + 0{,}300\ \mathrm{A} + 2 \cdot 0{,}04\ \mathrm{A} = \underline{\underline{0{,}615\ \mathrm{A}}}

II in III (1 Punkt):

I_\mathrm{N} = 1{,}25 \cdot 0{,}615\ \mathrm{A} \approx \underline{\underline{0{,}769\ \mathrm{A}}}

Auswahl (1 Punkt): Das kleinste Netzteil, das mindestens 0{,}769\ \mathrm{A} liefert, ist \underline{\underline{24\ \mathrm{V}\ \mathrm{DC}/1{,}3\ \mathrm{A}}}.

• Schnittstelle (1 Punkt): die Eingabebaugruppe der SPS mit den Eingangsklemmen I1, I2 (und dem Eingang für -B5). Dort wird die Klemmenspannung in ein Signal 0 oder 1 umgesetzt.

• Zeitpunkt (1 Punkt): Zu Beginn jedes Zyklus liest die SPS alle Eingänge in das Prozessabbild der Eingänge (PAE). Das Programm wertet während des Zyklus nur das PAE aus; Änderungen an den Klemmen wirken erst im nächsten Zyklus.

Je Zeile 1 Punkt:

Alle Fehler führen zum sicheren Zustand, weil M geerdet ist, Stopp über einen Öffner wirkt und die Spulen einseitig an M liegen.

• Anschluss (1 Punkt): den Öffner von -S4 zwischen L+ und einen freien Eingang (z. B. I6) klemmen. Im Ruhezustand hat I6 1-Signal; Betätigen und Drahtbruch ergeben 0-Signal.

• Abfrage (1 Punkt): Der Abbruch wird bei 0-Signal ausgelöst. Im KOP steht I6 als Schließerkontakt in Reihe vor den Ablaufmerkern bzw. Ausgängen, im FUP geht I6 negiert an den Rücksetzeingang des rücksetzdominanten Speichers (RS); zugleich wird die Zeit für die Knetdauer zurückgesetzt.

• Fehler des Kollegen (1 Punkt): Als Öffnerkontakt programmiert, ist die Bedingung nur erfüllt, wenn I6 0-Signal hat – also wenn -S4 gedrückt oder die Ader gebrochen ist. Die Maschine lässt sich im Normalzustand nicht starten bzw. läuft nur bei gedrücktem Abbruch-Taster; der Abbruch wirkt verkehrt herum.

Je Anforderung 1 Punkt, z. B.:

• rotes Betätigungselement (Pilztaster) auf gelbem Grund, gut erreichbar an der Bedientafel,

• zwangsöffnende Öffner (Ruhestromprinzip, drahtbruchsicher),

• selbsttätiges Verrasten in Stellung „Halt“, Entriegeln nur bewusst (Drehen, Ziehen, Schlüssel),

• Vorrang vor allen anderen Funktionen und Betriebsarten,

• Wirkung unabhängig von der Software über Sicherheitsschaltgerät bzw. Sicherheits-SPS, zweikanalig,

• das Entriegeln allein darf keinen Wiederanlauf auslösen,

• Stillsetzen in Stoppkategorie 0 oder 1.

• Wirkung (2 Punkte): Der NOT-HALT-Kreis wirkt auf ein Sicherheitsschaltgerät. Dessen Freigabekontakte schalten hardwareseitig die gefahrbringenden Antriebe ab: die Spule von -Q2 (Knethaken) und die Freigabe bzw. das Netzschütz des Umrichters für -M1 (Kessel) – unabhängig davon, was das SPS-Programm gerade ausgibt. Die SPS erhält eine Rückmeldung, setzt Ablauf und Knetzeit zurück und zeigt „NOT-HALT“ an; nicht gefahrbringende Ausgänge wie Meldeleuchten dürfen weiterarbeiten.

• Stoppkategorie (2 Punkte): Für den Kessel ist \underline{\underline{\text{Stoppkategorie 1}}} sinnvoll. Ohne Energie würde der volle Kessel etwa 12 s nachlaufen – lange genug, um eine Hand einzuziehen. Bei Stoppkategorie 1 bleibt der Umrichter zunächst versorgt, bremst den Kessel in etwa 1,5 s ab, danach wird die Energie abgeschaltet (Sicherheitsschaltgerät mit rückfallverzögerten Freigabekontakten, Verzögerung länger als die Bremszeit). Stoppkategorie 0 ist nur zulässig, wenn eine mechanische Bremse den Nachlauf ebenso kurz hält; Stoppkategorie 2 ist für NOT-HALT nicht erlaubt.

Je Bedingung 0,5 bis 1 Punkt, insgesamt 3 Punkte:

1. Die Ursache ist beseitigt, niemand befindet sich im Gefahrbereich, der Gitterdeckel ist geschlossen.

2. Der NOT-HALT-Taster ist bewusst entriegelt.

3. Das Sicherheitsschaltgerät wird mit dem Quittiertaster zurückgesetzt; das gelingt nur, wenn der Rückführkreis geschlossen ist (Schütze sicher abgefallen).

4. Erst danach startet ein neuer Startbefehl an -S2 die Maschine; ein selbsttätiger Wiederanlauf ist ausgeschlossen, weil die SPS ihren Ablauf beim NOT-HALT zurückgesetzt hat.

• Beurteilung (1 Punkt): Der Vorschlag reicht \underline{\underline{\text{nicht}}}. Ein SPS-Eingang wirkt nur über das Programm; ein Programmfehler, ein durchlegierter Ausgang oder eine Programmänderung kann den Antrieb trotzdem einschalten. Schutz gegen unerwarteten Anlauf muss in der Hardware wirken.

• Maßnahme (2 Punkte): Einen abschließbaren Wartungsschalter vorsehen, dessen Öffner im NOT-HALT- bzw. Sicherheitskreis liegt: In Stellung „Reinigen“ gibt das Sicherheitsschaltgerät nicht frei, die Schütze können nicht anziehen. Jede Person sichert den Schalter mit ihrem eigenen Vorhängeschloss. Alternativ den Hauptschalter in Stellung „0“ abschließen. Der Schalterzustand kann der SPS zusätzlich gemeldet werden (Anzeige), die Sicherheitswirkung kommt aber allein aus der Hardware.

• Redundanz (1,5 Punkte): Die Übertemperatur wird nicht nur von einem, sondern von drei Wächtern erfasst. Fällt einer aus oder misst falsch, erkennen die beiden anderen die Übertemperatur weiterhin; ein einzelner Fehler hebt die Sicherheitsfunktion nicht auf.

• Diversität (1,5 Punkte): Die Wächter sind unterschiedlich aufgebaut – zwei Hersteller, zwei Messprinzipien (Thermoelement und Widerstandsthermometer). Ein Fehler gemeinsamer Ursache, etwa ein Serienfehler eines Herstellers oder ein Alterungseffekt der Thermoelemente, trifft so nicht alle drei Wächter gleichzeitig.

Wahrheitstabelle (2 Punkte): A = 1, wenn mindestens zwei Eingänge 0 sind:

Funktionsgleichung (2 Punkte), aus den Zeilen mit A = 1 zusammengefasst:

A = (\overline{B_{11}} \wedge \overline{B_{12}}) \vee (\overline{B_{11}} \wedge \overline{B_{13}}) \vee (\overline{B_{12}} \wedge \overline{B_{13}})

Gleichwertig: A = \overline{(B_{11} \wedge B_{12}) \vee (B_{11} \wedge B_{13}) \vee (B_{12} \wedge B_{13})} (Freigabe bei mindestens zwei „Temperatur in Ordnung“, sonst abschalten).

Je Auswertung 1 Punkt:

• 1-von-2: Abschalten, sobald einer von zwei Wächtern Übertemperatur meldet. Sehr sicher, aber jede Fehlauslösung eines Wächters (z. B. Bruch des Thermoelements) stoppt den Ofen – geringe Verfügbarkeit, verdorbene Chargen.

• 2-von-2: Abschalten nur, wenn beide melden. Kaum Fehlauslösungen, aber ein hängender Wächter verhindert das Abschalten – für eine Sicherheitsfunktion ungeeignet.

• 2-von-3: Mehrheitsentscheid. Ein einzelner defekter Wächter verhindert weder das Abschalten noch löst er es fälschlich aus: sicher und verfügbar.

• Begründung (1 Punkt): Fällt ein Wächter unbemerkt aus, arbeitet die Abschaltung nur noch mit zwei Wächtern – je nach Fehlerart wie 2-von-2 (unsicher) oder 1-von-2 (Fehlauslösungen). Die Meldung sorgt dafür, dass der defekte Wächter getauscht wird, bevor ein zweiter Fehler auftritt.

• Bedingung (1 Punkt): Meldung = 1, wenn die drei Signale nicht übereinstimmen, also nicht alle 1 und nicht alle 0 sind:

W = \overline{(B_{11} \wedge B_{12} \wedge B_{13}) \vee (\overline{B_{11}} \wedge \overline{B_{12}} \wedge \overline{B_{13}})}

In der Praxis wird die Meldung kurz verzögert, damit Schaltzeitunterschiede in der Nähe des Grenzwerts keinen Fehlalarm auslösen.

• Temperaturhaltung = Regeln (1 Punkt): Das Thermoelement misst die Ofentemperatur (Istwert), der Regler vergleicht sie mit dem Sollwert und verändert die Heizleistung – geschlossener Wirkungskreis, Störungen (offene Tür, kalte Charge) werden ausgeglichen.

• Schutzgaszufuhr nach Zeitplan = Steuern (1 Punkt): Das Ventil öffnet nach festen Zeiten, ohne dass die Gaszusammensetzung im Ofen gemessen wird – offener Wirkungsablauf.

• Zur Regelung (1 Punkt) würde sie, wenn eine Sonde (z. B. Sauerstoff- oder Kohlenstoffsonde) die Ofenatmosphäre misst und die Gaszufuhr so lange nachgestellt wird, bis der Sollwert erreicht ist.

• Risikograph (2 Punkte): schwere, bleibende Verletzung → S2; mehrmals pro Stunde im Gefahrbereich → F2; langsame Tür, Ausweichen möglich → P1. Daraus folgt ein erforderlicher Performance Level \underline{\underline{\mathrm{PL_r} = \mathrm{d}}}.

• Gerät (1 Punkt): ein Sicherheitsschaltgerät (z. B. für Schaltleisten bzw. Schließkantensicherungen) oder eine Sicherheits-SPS, das bzw. die laut Hersteller mindestens PL d erreicht, zweikanalig bzw. in Kategorie 3 aufgebaut.

Je Anforderung 1 Punkt, z. B.:

• Schutz gegen Manipulation: Die Steuerung muss vorhersehbaren böswilligen Zugriffen über das Netz standhalten; die Verbindung zum Firmennetz darf keine gefährliche Situation auslösen.

• Geschützte Sicherheitssoftware: Hard- und Software, die für die Sicherheit wichtig sind (z. B. die Übertemperaturabschaltung), müssen gegen versehentliche und absichtliche Veränderung geschützt sein.

• Nachvollziehbarkeit: Berechtigte Eingriffe und Softwareänderungen müssen aufgezeichnet werden.

• Software als Sicherheitsbauteil: Wird Sicherheitssoftware eigenständig geliefert, braucht sie eine eigene Konformitätsbewertung.