Ein nicht angeschlossener Sensor lässt sich nicht automatisch von einem legitimen AUS-Zustand unterscheiden. Bei einem herkömmlichen Schließer-Eingang können ein klares Ziel, ein unterbrochener Leiter, ein Verlust der Sensorspannungsversorgung und ein abgezogener Stecker alle denselben Nullwert erzeugen. Die richtige Reaktion beginnt damit, zu definieren, was der Sensor erfasst und welches Risiko entsteht, wenn dieser Nullwert als ordnungsgemäß akzeptiert wird.

Eine fehlersichtbare Verdrahtung verbessert die Diagnose, doch der Personenschutz hängt von der vollständig validierten Sicherheitsfunktion ab.

Prozessdiagnose und funktionale Sicherheit trennen

Ein Prozesssensor kann ein Teil, einen Tankfüllstand, die Position eines Zylinders oder einen Förderbandstau erkennen. Bei einer Kabelunterbrechung kann die geeignete Reaktion ein Wartungsalarm, eine Zyklus-Sperre oder ein kontrollierter Stopp sein. Eine Schutzeinrichtung wie eine verriegelte Schutztür, ein Lichtvorhang oder ein Not-Halt gehört zu einer Sicherheitsfunktion, die aus der Risikobeurteilung der Maschine abgeleitet wird. Ihre Architektur, Diagnosedeckung, Reaktionszeit, Rücksetzfunktion und Verifizierung müssen die erforderliche Sicherheitsleistung erfüllen.

Ein Standard-SPS-Eingang kann wertvolle Wartungsinformationen liefern, doch die Bezeichnung seiner Logik als „sicher“ verleiht ihm keine zertifizierte Fehlertoleranz. Schutzentscheidungen sollten von geeigneten Sicherheitsgeräten und einer Sicherheitslogik getroffen werden. Die Standardsteuerung kann den Diagnosezustand für Meldungen, Zeitstempel und die Fehlersuche empfangen, ohne zum alleinigen Element zu werden, das die gefahrbringende Bewegung abschaltet.

Relevante Hardwarekategorien können über die Sensorsammlung und SPS- und PAC-Systeme der Website aufgerufen werden; das ausgewählte Gerät, das Eingangsmodul und die Verdrahtungsmethode müssen jedoch als eine gemeinsame Anwendung validiert werden.

Eine Schaltung wählen, deren ordnungsgemäßer Zustand erkennbar ist

Ein Öffnerkontakt führt in seinem ordnungsgemäßen Ruhezustand Strom, sodass ein unterbrochener Leiter den Eingang tendenziell ausschaltet. Dies macht Fehler besser erkennbar als bei einem Schließerkreis, bietet jedoch keinen vollständigen Schutz. Ein Kurzschluss über den Kontakt kann das Signal eingeschaltet halten, ein gemeinsamer Leiter kann mehrere Kanäle außer Kraft setzen, und die Software kann den Zustandsübergang falsch behandeln.

Moderne berührungslos wirkende Schutzeinrichtungen verwenden üblicherweise zwei überwachte Halbleiterausgänge, die oft als OSSD-Kanäle bezeichnet werden. Eine kompatible Sicherheitssteuerung bewertet beide Kanäle einschließlich ihrer zeitlichen Abläufe und Testfunktionen. Elektromechanische Schutzeinrichtungen können zwangsöffnende Kontakte in einer zweikanaligen Anordnung verwenden. Entscheidend sind nicht einfach „zwei Leitungen“, sondern die unabhängige Fehlererkennung, ein kontrolliertes Testverhalten und eine definierte sichere Reaktion.

Verstehen, was ein Eingang zur Leiterunterbrechung tatsächlich misst

Diagnose-Eingangsmodule können einen unterbrochenen Leiter erkennen, indem sie auch bei geöffnetem Feldkontakt einen kleinen Strom erwarten. Im aktuellen Handbuch zu digitalen ControlLogix-E/A-Modulen von Rockwell Automation wird angegeben, dass die Leiterbrucherkennung die Feldverdrahtung überprüft und einen Mindestleckstrom erfordert. Bei einem Kontakteingang wird ein Leckwiderstand parallel zum Kontakt geschaltet, sodass das Modul während des logischen AUS-Zustands Strom erwartet. Fällt dieser Strom aus, erzeugt der einzelne Eingang einen Fehler.

Das 1756-IB16D ist ein Diagnose-Eingangsmodul für 10–30 V Gleichspannung. Die veröffentlichten Verdrahtungsangaben nennen abhängig von der Versorgungsspannung Werte für den Leckwiderstand, darunter 15 kΩ bei 24 V Gleichspannung. Diese Werte sind gerätespezifische Engineering-Daten und kein universelles Rezept. Eingangsschwellen, Widerstandstoleranz und Belastbarkeit, der Leckstrom des Sensors im AUS-Zustand, Anzeigen von Schnittstellenmodulen und Versorgungsschwankungen beeinflussen den Diagnosebereich.

Ein zu geringer Leckstrom kann dazu führen, dass ein ordnungsgemäß geöffneter Kontakt wie ein gebrochener Leiter erscheint. Ein zu hoher Strom kann den Eingang eingeschaltet halten, Wärme erzeugen oder einen weiteren Fehler maskieren. Anzeigelampen und Schnittstellenmodule können den Strom im AUS-Zustand ebenfalls verändern. Verwenden Sie das Handbuch der exakt eingesetzten Modulserie, berechnen Sie Strom und Verlustleistung im ungünstigsten Fall und prüfen Sie die vollständig aufgebaute Feldschaltung bei minimaler und maximaler Versorgungsspannung.

Stromversorgungs- und Rückleiter für die Diagnose auslegen

Eine Diagnose für einen einzelnen Eingang kann nicht immer zwischen einem unterbrochenen Signalleiter und einem ausgefallenen gemeinsamen Rückleiter oder einer verlorenen Feldversorgung unterscheiden. Wenn eine Gruppe von Eingängen gleichzeitig Leiterbruchfehler meldet, prüfen Sie vor dem Austausch mehrerer Sensoren die gemeinsame Versorgung und den Rückleiter. Überwachen Sie nach Möglichkeit die Feldversorgung und gruppieren Sie die Kanäle so, dass ein gemeinsamer Ausfall keinen mehrdeutigen Maschinenzustand erzeugt.

Dreiadrige Näherungs- und fotoelektrische Sensoren bringen einen weiteren Fehlermodus mit sich: Der Ausgangsleiter kann intakt sein, während die Sensorspannung fehlt. Nutzen Sie Gerätediagnosen, zusätzliche Statussignale, eine Stromüberwachung oder eine Eingangsarchitektur, die den Spannungsausfall sichtbar macht. Bei vernetzten intelligenten Sensoren kann der Kommunikationsstatus zusätzliche Hinweise liefern, sollte den fest verdrahteten Schutzpfad jedoch nicht stillschweigend ersetzen, sofern die vernetzte Sicherheitsfunktion nicht ausdrücklich dafür ausgelegt und validiert wurde.

Ein deterministisches Fehlerverhalten definieren

Dokumentieren Sie für jedes Signal die sichere oder kontrollierte Reaktion auf Leiterunterbrechung, Kurzschluss, Kanalabweichung, Verlust der Feldversorgung, veraltete Netzwerkdaten und einen internen Gerätefehler. Ein Prozesseingang kann einen Alarm speichern und den nächsten automatischen Zyklus sperren. Ein Sicherheitseingang muss innerhalb seiner zulässigen Reaktionszeit die definierte Sicherheitsfunktion auslösen.

Lassen Sie den Fehler nicht durch eine allgemeine Entprellung oder Alarmverzögerung verborgen bleiben. Eine Filterung kann bei Kontaktprellen oder elektrischem Rauschen sinnvoll sein, doch die Verzögerung muss kürzer sein, als es das Prozessrisiko zulässt. Speichern Sie die unveränderten Diagnosebits getrennt vom aufbereiteten Prozessstatus, damit das Wartungspersonal erkennen kann, warum die Maschine angehalten hat.

Ebenso wichtig ist die Wiederherstellung. Das Wiederanschließen eines Sensors darf keinen unerwarteten Neustart auslösen. Fordern Sie die in der Risikobeurteilung definierten Rücksetzbedingungen, bestätigen Sie, dass der Gefahrenbereich frei ist, und trennen Sie die Fehlerquittierung vom Befehl zum Starten der Bewegung.

Die installierte Schaltung einer Funktionsprüfung unterziehen

Eine Prüfung der Zeichnungen kann das Verhalten im Feld nicht nachweisen. Prüfen Sie bei der Inbetriebnahme die normale Betätigung und trennen Sie den Sensor anschließend am Gerät sowie an Zwischensteckern. Unterbrechen Sie jeden Leiter einzeln, schalten Sie die Feldversorgung ab, unterbrechen Sie den gemeinsamen Rückleiter und erzeugen Sie die vom Hersteller im Prüfverfahren vorgesehenen Kanalabweichungen. Vergewissern Sie sich, dass die Steuerung den erwarteten Eingang erkennt und die Maschinenreaktion den Sicherheitsanforderungen entspricht.

Bei zweikanaligen Systemen prüfen Sie jeweils einen Kanal einzeln, die spezifizierte Querschlusserkennung, die Abweichungszeit, das Rücksetzen und die Wiederanlaufsperre. Erfassen Sie die tatsächliche Stoppzeit, wenn sie in die Sicherheitsabstände eingeht. Wiederholen Sie nach Wartungsarbeiten oder einem Geräteaustausch die relevanten Funktionsprüfungen, statt davon auszugehen, dass eine identische Steckerbelegung ein identisches Verhalten garantiert.

Die Diagnosedeckung über die gesamte Lebensdauer der Maschine erhalten

Änderungen an Klemmenblöcken, Anzeigemodulen, Kabellängen, Eingangskarten, Sensortypen oder der Konfiguration der Sicherheitssteuerung können das Stromfenster verschieben oder das Diagnose-Timing verändern. Unterstellen Sie diese Komponenten einer Änderungssteuerung. Prüfen Sie die Diagnoseprotokolle regelmäßig auf sporadische Leiterbruchereignisse; sie weisen oft auf beschädigte Energieketten, lose Klemmen, Verschmutzung oder fehlerhafte Steckverbinder hin, bevor es zu einem vollständigen Ausfall kommt.

Die technische Abgrenzung ist eindeutig: Die Erkennung von Leiterunterbrechungen ist eine hervorragende Wartungsfunktion und kann zur Fehlererkennung beitragen, stellt allein jedoch keine vollständige Sicherheitsfunktion dar. Zuverlässige Maschinen machen jeden Fehler sichtbar, weisen ihm eine deterministische Reaktion zu und überprüfen diese Reaktion am tatsächlichen Feldgerät.