Bei vielen diskreten Maschinen wird ein einzelner Näherungs- oder Lichtvorhangkanal als Sicherheits- oder Qualitätsverriegelung behandelt, obwohl der Eingang ein herkömmlicher diskreter Punkt ist. Wenn dieser Kanal einen Schließer (N.O.) verwendet, kann die Steuerung nicht zwischen einem freien Erfassungsfeld und einem abgezogenen Stecker unterscheiden. Beide Zustände liefern dem Ladder-Programm den Wert FALSE. Bediener, die den Umweg kennen, können eine Schutzvorrichtung offen stehen lassen, einen Werkzeugsensor abziehen oder eine Anwesenheitsprüfung überbrücken, ohne einen Alarm auszulösen. Die Maschine läuft unter der falschen Annahme weiter, dass der Prozess ordnungsgemäß funktioniert.

Dieser Artikel erläutert, warum Schließer-Sensorik Unterbrechungen im Kabel verbirgt, wie Öffner (N.C.) und Sensoren mit zwei Kontakten die Erkennbarkeit wiederherstellen und welche Rolle diagnostische Allen-Bradley-Eingangsmodule wie 1756-IA8D und 1756-IB16D in einer ControlLogix-Architektur spielen. Außerdem wird klar zwischen SPS-Diagnose und zertifizierten Sicherheitsarchitekturen unterschieden, die sich für SIL-2-/PLd-Funktionen auf Sicherheitsrelais oder Sicherheits-SPSen stützen. Die Publikation 1756-TD002 bleibt die maßgebliche Referenz für die elektrischen Eigenschaften der digitalen ControlLogix-I/O.

Warum Öffner-Sensoren abgezogene Kabel verbergen

Ein diskreter Eingang, der einen stromliefernden oder stromsenkenden Sensor erwartet, wertet den Strom durch den Kanal aus. Bei einem N.O.-Gerät fließt Strom nur, wenn das Ziel erkannt wird. Wenn das Ziel fehlt, ist der Kanal offen und das Eingangsbit FALSE. Wenn das Kabel abgezogen wird, ist der Kanal ebenfalls offen und das Eingangsbit wieder FALSE. Die SPS-Anwendung verfügt daher über keinen unabhängigen Zustand, der „Sensor fehlt“ bedeutet. Eine Qualitätslogik, die vor dem Fortsetzen eines Zyklus einfach auf TRUE wartet, behandelt beide Zustände als „Weiterfahren zulässig“ – für Schutz- und Anwesenheitsanwendungen ist das genau das falsche Ergebnis.

Bei einem N.C.-Sensor ist der fehlerfreie Ruhezustand TRUE. Die Erkennung des Ziels öffnet den Kontakt und setzt das Bit auf FALSE. Ein abgezogenes Kabel setzt das Bit ebenfalls auf FALSE, doch dieser Zustand tritt nur auf, wenn im Verhältnis zum erwarteten Ruhezustand TRUE etwas nicht stimmt. Die Anwendungslogik kann daher TRUE voraussetzen, bevor eine Bewegung freigegeben wird, und ein anhaltendes FALSE ohne entsprechenden Prozessgrund als Fehler behandeln. Der Unterschied ist nicht semantisch, sondern der Unterschied zwischen einer unbemerkten Umgehung und einem erzwungenen Stopp.

Sensoren mit zwei Kontakten und hybride Architekturen

Viele industrielle Näherungs- und Schutzschalter sind mit zwei Kontakten erhältlich: einem N.O.-Pfad für die Maschinenlogik und einem N.C.-Pfad für die Überwachung oder die Einbindung in einen Sicherheitskreis. Ein praxisnahes Muster führt den N.O.-Kontakt auf einen Standard-SPS-Eingang für Ablauf- oder Qualitätsentscheidungen, während der N.C.-Kontakt ein Sicherheitsrelais oder einen Sicherheits-I/O-Kanal speist, der für die Maschinenfreigabe geschlossen bleiben muss. Wird der Stecker abgezogen, öffnet der N.C.-Pfad und das Sicherheitsrelais fällt ab – unabhängig davon, was die SPS annimmt. Ist das Ziel einfach vorhanden, ändert sich der N.O.-Pfad, während der N.C.-Überwachungspfad weiterhin die Durchgängigkeit von Kabel und Gerät nachweisen kann.

Wenn keine Hardware mit zwei Kontakten verfügbar ist, hilft auch die Reihenschaltung eines N.C.-Kreises „Gerät vorhanden“ über einen dedizierten Überwachungseingang, sofern der Installateur berücksichtigt, dass jeder einzelne Drahtbruch im gesamten Kreis wie ein fehlendes Gerät wirkt. Kennzeichnung, Dokumentation der Anschlusskästen und regelmäßige Funktionstests bleiben zwingend erforderlich. Verlassen Sie sich bei Gefährdungen für Personen niemals auf ein einzelnes SPS-Eingangsbit als einzige Schutzebene.

Diagnosemodule: 1756-IA8D und 1756-IB16D

Diagnostische digitale ControlLogix-Module erkennen Kabelunterbrechungen und Kurzschlüsse, die Standardmodule nicht erkennen können. Das diagnostische AC-Eingangsmodul 1756-IA8D kann eine Kabelunterbrechung anzeigen, wenn der Feldkreis bei vorhandener Erregung weniger als etwa 2 mA zieht. Das diagnostische DC-Eingangsmodul 1756-IB16D meldet Kabelunterbrechungen unterhalb von ungefähr 0,5 mA. Diese Schwellenwerte sind wichtig, weil manche Sensoren und ältere Feldgeräte genügend Leckstrom führen, um ein nicht diagnostisches Modul in einem scheinbar ordnungsgemäßen Zustand zu halten, während es sich tatsächlich nahe an einer echten Unterbrechung befindet. Die Rockwell-Publikation 1756-TD002 führt die elektrischen Grenzwerte und das Diagnoseverhalten tabellarisch auf. Entwerfen Sie die Anlage immer anhand der veröffentlichten Werte für die jeweilige Bestellnummer und Serie.

Ältere Genius-I/O-Systeme werden bei Nachrüstungen häufig erwähnt, weil ihr Leckstromverhalten um 2 mA die Auslegung älterer AC-Schaltungen beeinflusste. Gehen Sie bei der Migration von Genius-Punkten zu ControlLogix nicht davon aus, dass dieselbe Sensorverdrahtung automatisch einen eindeutigen Diagnosestatus auf einem 1756-IA8D erzeugt. Messen Sie den Ruhestrom, prüfen Sie den Leckstrom des Sensors im ausgeschalteten Zustand und passen Sie Pull-up- oder Erregungsnetzwerke an, wenn das Diagnosebit flattert oder nie gesetzt wird. Diagnose-Statusbits sollten in Alarm- und Sperrlogik eingebunden und nicht als optionaler Status ignoriert werden.

Implementierungsverfahren

1. Erfassen Sie jeden Sensor, der als Schutz-, Anwesenheits- oder Werkzeugverriegelung verwendet wird. Kennzeichnen Sie die Schaltlogik (N.O. oder N.C.) und geben Sie an, ob der Stecker für Bediener erreichbar ist.
2. Bevorzugen Sie N.C.- oder Geräte mit zwei Kontakten für jeden Kanal, der die Kabelintegrität nachweisen muss. Aktualisieren Sie die Stromlaufpläne und SPS-Tags passend zum neuen Ruhezustand.
3. Wenn weiterhin Halbleiterkanäle eingesetzt werden, spezifizieren Sie Diagnosemodule (1756-IB16D für DC, 1756-IA8D für AC) und nehmen Sie Kabelunterbrechungstests in Betrieb, indem Sie jeden Kanal unter kontrollierten Bedingungen abziehen.
4. Ordnen Sie Diagnosefehlerbits der First-out-Alarmierung und der Sperrfreigabelogik zu. Nach einer Kabelunterbrechung muss ein bestätigter Reset erforderlich sein.
5. Für SIL-2-/PLd-Funktionen implementieren Sie die Sicherheitsfunktion mit Sicherheitsrelais oder einer Sicherheits-SPS-Architektur. Behaupten Sie niemals, dass ein Standard-SPS-Programm allein die Sicherheitsintegritätsmaßnahme darstellt.

Kabelunterbrechung an jedem Kanal nachweisen

Die Verifizierung ist unkompliziert und sollte in der Inbetriebnahme-Checkliste dokumentiert werden. Ziehen Sie bei eingeschalteter Spannungsversorgung und gesperrter Maschine jeden kritischen Sensor ab und bestätigen Sie, dass der erwartete Alarm oder das Abfallen der Sicherheitsfreigabe innerhalb der vorgesehenen Reaktionszeit erfolgt. Schließen Sie den Sensor wieder an und bestätigen Sie, dass der N.C.-Ruhezustand TRUE zurückkehrt, bevor der Fehler quittiert wird. Typische Probleme sind N.O.-Sensoren, die aus Gewohnheit weiterhin als „Sicherheit“ bezeichnet werden, Diagnosemodule, deren Erregung nicht korrekt verdrahtet ist, und die Annahme, dass ein aus der Genius-Zeit stammendes Leckstrombudget nach einem Plattformwechsel weiterhin gilt. Ein weiterer häufiger Fehler besteht darin, ein diagnostisches Kabelunterbrechungsbit nur als unverbindliche Warnung zu behandeln, während die Maschine weiter taktet.

Denken Sie abschließend daran, dass diagnostische diskrete I/O die Wartbarkeit verbessert und unbemerkte Umgehungen reduziert, aber allein noch keine zertifizierte Sicherheitsfunktion schafft. Kombinieren Sie die SPS-Diagnose mit Hardware-Sicherheitsprodukten, die entsprechend der Risikobeurteilung ausgelegt sind, und halten Sie passende SPS- und I/O-Module gemäß denselben ControlLogix-Plattformstandards wie beim Rest der Zelle vor.