AT521134B1 - Industrieanlage - Google Patents

Abstract

Industrieanlage, insbesondere Formgebungsanlage, mit zumindest zwei Anlageteilen (2a, 2b), wovon vorzugsweise zumindest eines eine Formgebungsmaschine ist, wobei die zumindest zwei Anlagenteile (2a, 2b) jeweils eine sichere Steuerung (8) zum Ansteuern sicherheitsrelevanter Aktuatoren (12) der zumindest zwei Anlagenteile (2a, 2b) aufweisen, einer Datenübertragungsverbindung (17) zur Übertragung von sicherheitsrelevanten Daten zwischen den sicheren Steuerungen (8) der zumindest zwei Anlagenteile (2a, 2b) und einem Sicherheitsanlagenteil (3) mit einer weiteren sicheren Steuerung (8), wobei gemäß einer Funktion a) die weitere sichere Steuerung (8) über die Datenübertragungsverbindung (17) dazu eingerichtet ist, die sicheren Daten mit den sicheren Steuerungen (8) der zumindest zwei Anlagenteile (2a, 2b) auszutauschen, und gemäß einer Funktion b) dem Sicherheitsanlagenteil (3) zumindest eine Mensch-Maschine-Schnittstelle (14) zugeordnet ist, mittels welcher Bedienpersonal Sicherheitsparameter für die weitere sichere Steuerung (8) des Sicherheitsanlagenteils (3) eingeben kann, wobei das Sicherheitsanlagenteil (3) so eingerichtet ist, dass die Funktionen a) und b) auch dann ausgeführt werden können, wenn ein beliebiges der zumindest zwei Anlagenteile (2a, 2b) außer Betrieb ist.

Description

[0001] Die Erfindung betrifft eine Industrieanlage, insbesondere eine Formgebungsanlage, gemäß dem Oberbegriff des Anspruchs 1 sowie ein Verfahren zum Betreiben einer Industrieanlage mit zumindest zwei Anlagenteilen.

[0002] Bei Verwendung einer Industrieanlage, insbesondere einer Formgebungsanlage bzw. Spritzgießanlage, wird die gesamte Steuerungsthematik bereits seit Jahren immer wichtiger. Vor allem haben die Komplexität der Steuerungen sowie die Anforderungen an die Benutzersicherheit immer weiter zugenommen. Zugleich soll aber die Bedienerfreundlichkeit nicht verschlechtert, sondern verbessert werden.

[0003] Industrieanlagen weisen zunehmend eine größere Anzahl von Anlagenteilen auf, da die Komplexität der zu fertigenden Teile zunehmend wächst.

[0004] Ein allgemeiner Bereich bei fast jeder Industrieanlage ist die sogenannte nicht sichere Steuervorrichtung. Diese weist meist wenigstens einen Signaleingang sowie wenigstens einen Signalausgang, zur nicht sicheren Steuerung von nicht sicherheitsrelevanten Aktuatoren der Industrieanlage auf. Derartige nicht sicherheitsrelevante Aktuatoren können (Elemente von) Spritzgießmaschinen, Sicherheitstüren, Förderanlagen, Handlingroboter, Einspritzaggregate, Vereinzelungsanlagen, Hubstationen, Dosieranlagen, Temperiergeräte, Werkzeugheizungen, usw. sein.

[0005] In diesem Zusammenhang sei erläutert, dass „nicht sicher“ nicht bedeutet, dass diese „unsicher“ wären, vielmehr fällt dieser „nicht sicheren“ Steuervorrichtung eine geringere Bedeutung hinsichtlich der Sicherheitskriterien als den später noch erläuterten sicheren Aktuatoren zu.

[0006] Die nicht sicheren Steuervorrichtungen werden höchstens als bewährtes Bauteil angesehen und können zusätzliche Sicherheitskriterien von sicherheitsrelevanten Aktuatoren durch eine implementierte Überwachungsfunktion erfüllen - man spricht in diesem Zusammenhang vom Diagnosedeckungsgrad - aber keinesfalls können die nicht sicheren Steuervorrichtungen alleinig die Sicherheit von Aktuatoren einschlägiger Normen (bspw. EN ISO 13849-1 oder anwendbarer Maschinenrichtlinien RL2006/42/EG) für genannte Industrieanlagen gewährleisten. Anmerkung: Diese Normen sind also für sichere Steuervorrichtungen relevant und versuchen eine sichere Bedienung der genannten Industrieanlage zu gewährleisten, während für nicht sichere Steuervorrichtungen nur elektromagnetische Vorschriften (EMV-Richtlinie RL2004/108/ EG) bzw. die Niederspannungsrichtlinie (RL2006/95/EG) in allgemeiner Form zur Verwendung kommen.

[0007] Zu diesem allgemeinen Bereich der Industrieanlage zählt auch eine Recheneinheit, auf welcher eine Bedieneinheit (Human Machine Interface = HMI) mit einer Visualisierungseinheit und einer Eingabevorrichtung zur Visualisierung von Signalen der zumindest einen nicht sicheren Steuervorrichtung und zur Eingabe von Parametern für die mindestens eine nicht sichere Steuervorrichtung konfiguriert ist. Anders ausgedrückt, ist in oder an der Industrieanlage zumindest eine Bedieneinheit vorgesehen, über welche die normale Steuerung der Industrieanlage durch einen Bediener vor allem im Vollbetrieb der Industrieanlage erfolgt.

[0008] Eine Industrieanlage, welche mehrere Anlagenteile aufweist, verfügt in der Regel über ein Sicherheitssystem für jedes der Anlagenteile, wobei diese Sicherheitssysteme der Anlagenteile zusammengeführt werden müssen. Im Stand der Technik ist es bekannt, eines der Anlagenteile als sogenannten Master auszuwählen und die verbleibenden Anlagenteile als Slaves zu betreiben. Das bedeutet, dass die Sicherheitsanlage des sogenannten Masters alle Sicherheitsanlagen bzw. die Signale der Sicherheitsanlagen der Slaves zusammenführt und eine globale Kontrolle der Industrieanlage im Bereich der Sicherheit übernimmt. So übernimmt diese Mastersicherheitsanlage die fortlaufende Überwachung aller Anlagenteile, ob ein sicherer Betrieb der Industrieanlage gewährleistet ist. Falls eine der Slaveanlagenteile ein Signal an das Masteranlagenteil übermittelt, dass keine sichere Betriebssituation besteht, wird von diesem Masteranlagenteil der Betrieb gestoppt und dieser Stillstand aufrecht erhalten, bis wieder alle

1/15

AT 521 134 B1 2019-11-15 österreichisches patentamt

Komponenten der Industrieanlage einen sicheren weiteren Betrieb ermöglichen.

[0009] Bei einer Installation, Inbetriebnahme, Wartung oder Reparatur an der Industrieanlage ist es meist nur erforderlich, diese an einem einzelnen Anlagenteil vorzunehmen. Dadurch wird der Wunsch geschaffen, nicht die ganze Industrieanlage für die durchzuführenden Arbeiten stilllegen zu müssen, sondern nur den Anlagenteil, an dem die Arbeiten durchzuführen sind, wobei die restliche Industrieanlage weiter betrieben werden kann, um die Produktion aufrecht zu halten. Dies erhöht die Wirtschaftlichkeit einer Industrieanlage durch Reduktion der Standzeiten.

[0010] Bei Master-Slave-Anwendungen, wie sie im Stand der Technik bekannt sind und weiter oben beschrieben wurden, ist dies nur bedingt möglich. So können die Slaveanlageteile von der Masteranlage entkoppelt und in einen Stillstand versetzt werden, wobei die verbleibende Industrieanlage den Betrieb aufrechterhält. Es ist jedoch nicht möglich, die Masteranlage stillzulegen und die verbleibenden Slaveanlagenteile in Betrieb zu halten, da sonst der Master bzw. die Zusammenführung der Sicherheitsfunktionen fehlt. Dies bedeutet also, dass eine Wartung der Masteranlage im fortlaufenden Betrieb nicht möglich ist.

[0011] Aufgabe der Erfindung ist es daher, das Weiterbetreiben der Industrieanlage auch dann zu ermöglichen, wenn eine Stillstandzeit bei jenem Anlagenteil auftritt, das als Master fungiert bzw. das die Zusammenführung der Sicherheitsfunktionen übernimmt.

[0012] Diese Aufgabe wird durch eine Industrieanlage mit den Merkmalen des Anspruchs 1 sowie durch ein Verfahren zum Betreiben einer Industrieanlage mit den Merkmalen des Anspruchs 14 gelöst.

[0013] Erfindungsgemäß weist eine Industrieanlage folgendes auf:

- zumindest zwei Anlageteile, wovon vorzugsweise zumindest eines eine Formgebungsmaschine ist, wobei die zumindest zwei Anlagenteile jeweils eine sichere Steuerung zum Ansteuern sicherheitsrelevanter Aktuatoren der zumindest zwei Anlagenteile aufweisen,

- eine Datenübertragungsverbindung zur Übertragung von sicherheitsrelevanten Daten zwischen den sicheren Steuerungen der zumindest zwei Anlagenteile und

- ein Sicherheitsanlagenteil mit einer weiteren sicheren Steuerung, wobei

- gemäß einer Funktion a) die weitere sichere Steuerung über die Datenübertragungsverbindung dazu eingerichtet ist, die sicheren Daten mit den sicheren Steuerungen der zumindest zwei Anlagenteile auszutauschen, und

- gemäß einer Funktion b) dem Sicherheitsanlagenteil zumindest eine Mensch-MaschineSchnittstelle zugeordnet ist, mittels welcher Bedienpersonal Sicherheitsparameter für die weitere sichere Steuerung des Sicherheitsanlagenteils eingeben kann, wobei das Sicherheitsanlagenteil so eingerichtet ist, dass die Funktionen a) und b) auch dann ausgeführt werden können, wenn ein beliebiges der zumindest zwei Anlagenteile außer Betrieb ist.

[0014] Unter Sicherheitsparametern sind Parameter zu verstehen die eine Änderung im Sicherheitsprogramm oder eine Aktivierung bzw. Deaktivierung eines sicheren Teils des Sicherheitsprogrammes bewirken. Zum Beispiel können zuvor definierte sichere Zeiten abgeändert werden oder Anlagenteile oder zuvor definierte Teile der Anlagenteile (beispielsweile ein mobiles Bediengerät mit integrierter Sicherheitsfunktion) deaktiviert werden.

[0015] Durch eine solche Industrieanlage mit einem Sicherheitsanlagenteil wird die Möglichkeit geschaffen, dass beliebige Anlagenteile stillgelegt werden, ohne dass dies auf die Sicherheit der restlichen Industrieanlage eine Auswirkung hat. Mit anderen Worten ausgedrückt, wird durch ein Sicherheitsanlagenteil die aus dem Stand der Technik bekannte Mastereigenschaft übernommen, wobei die zumindest zwei Anlagenteile Slaves darstellen, das heißt die MasterFunktion wird von den zumindest zwei Anlagenteilen entkoppelt.

[0016] Weitere vorteilhafte ausführungsformen der Erfindung sind in den Abhängigen Ansprüchen definiert.

2/15

AT 521 134 B1 2019-11-15 österreichisches patentamt [0017] Vorzugsweise ist vorgesehen, dass das Sicherheitsanlagenteil separat von den zumindest zwei Anlagenteilen ausgeführt ist oder in eines der zumindest zwei Anlagenteile integriert ist. Je nach Anwendungsfall kann es somit vorgesehen sein, dass das Sicherheitsanlagenteil räumlich getrennt oder in Kombination mit einem Anlagenteil ausgeführt ist. Je nach verfügbarem Bauraum für die Industrieanlage kann somit die Installation des Sicherheitsanlagenteils angepasst werden.

[0018] Besonders bevorzugt ist vorgesehen, dass die zumindest zwei Anlagenteile jeweils über eine Steuerspannungsversorgung verfügen, welche so eingerichtet ist, dass ein Anlagenteil, dessen Steuerspannungsversorgung deaktiviert wird, automatisch in einen spannungslosen Zustand versetzt wird. Dies kann bedeuten, dass jedes der zumindest zwei Anlagenteile über eine autarke Steuerspannungsversorgung verfügt, welche bei einem Stillstand eines der zumindest zwei Anlagenteile deaktiviert werden kann.

[0019] Des Weiteren kann es beispielsweise vorgesehen sein, dass die zumindest zwei Anlagenteile jeweils über zumindest einen Not-Halt-Schalter verfügen, welcher bei Betätigung die Steuerspannungsversorgung aller Anlagenteile deaktiviert, soweit stillgelegte Anlagenteile nicht bereits spannungslos sind.

[0020] Es kann besonders bevorzugt vorgesehen sein, dass die zumindest zwei Anlagenteile über sichere Signaleingänge mit dem Sicherheitsanlagenteil verbunden sind. Dabei kann es insbesondere vorgesehen sein, dass diese sicheren Signaleingänge für die ganze Industrieanlage relevant sind, das heißt entsprechende Auswirkungen auf mehrere oder alle Anlagenteile haben. Beispiele dafür wären Not-Halt-Schalter oder Zugangssicherungen, die Sicherheit anzeigen müssen, damit beliebige Teile der Industrieanlage in Betrieb genommen werden können.

[0021] Vorzugsweise ist dabei vorgesehen, dass die sicheren Signaleingänge an externe Sicherheitsmodule angebunden werden.

[0022] Besonders bevorzugt ist dabei vorgesehen, dass die Anlagenteile echtzeittaugliche Bussysteme (wie durch den Stand der Technik bekannte Feldbusse) aufweisen, wobei diese Bussysteme durch spezielle Datenaustauscheinheiten (auch als „Bridges“ bekannt) verbunden werden können. Diese speziellen Datenaustauscheinheiten sind dazu ausgebildet zumindest zwei Bussysteme miteinander zu koppeln, indem die Daten eines Busanschlusses auf den zweiten Busanschluss und umgekehrt übertragen werden. Es kann vorgesehen sein, dass eine doppelte Spannungsversorgungsmöglichkeit vorgesehen ist. So kann diese Datenaustauscheinheit von zwei Anlagenteilen versorgt werden, sodass ein Anlagenteil in einem spannungslosen Wartungszustand keine Unterbrechung am anderen Bussystem bewirkt.

[0023] Es kann auch vorgesehen sein, dass Bussignale, welche übergreifend über die zumindest zwei Anlagenteile sind, durch echtzeittaugliche Netzwerk-Infrastrukturkomponenten geleitet werden, welche die zumindest zwei Anlagenteile verbinden. Da es sich bei solchen echtzeittauglichen Infrastrukturkomponenten um Standard Ethernetkomponenten handelt, können diese zudem auch zur Standardkommunikation (beispielsweise für den Datenaustausch zwischen den Benutzerschnittstellen) verwendet werden.

[0024] Vorzugsweise ist dabei die Verwendung von Time Sensitive Network (TSN) Komponenten vorgesehen. Die sogenannten Time Sensitive Network (TSN) Komponenten unterscheiden sich von den altbekannten Ethernetkomponenten durch Protokollerweiterungen der Ethernet Group mit dem Ziel einer möglichst guten Echtzeittauglichkeit. Dabei handelt es sich um Priorisierung von Netzwerkverbindungen in Switches, Unterbrechung von langen Telegrammen durch höher priorisierte Telegramme, Synchronisation von Uhren, Reservierung von Bandbreite und weiteren Optimierungen. Dadurch dass diese Erweiterungen auf den StandardethernetProtokollen aufbauen, können TSN Komponenten auch für Standardkommunikation und Standardprotokolle verwendet werden.

[0025] Nicht echtzeitrelevante Kommunikationsschnittstellen können auch separat ausgebildet sein.

3/15

AT 521 134 B1 2019-11-15 österreichisches patentamt [0026] Ist das Sicherheitsanlagenteil in eine der zumindest zwei Anlagenteile integriert, wird in den allermeisten Fällen eine separate Spannungsversorgung des Sicherheitsanlagenteiles nötig sein, sodass die Funktionen a) und b) unabhängig vom Not-Halt-Status des Anlagenteiles ist, in dem das Sicherheitsanlagenteil integriert ist.

[0027] Die Datenübertragungsverbindung kann durch einen sicheren Bus hergestellt werden.

[0028] Es kann auch vorgesehen sein, dass zumindest eines der zumindest zwei Anlagenteile über ein mobiles Bediengerät - insbesondere ein Handbediengerät - verfügt. Es kann dabei auch vorgesehen sein, dass am mobilen Bediengerät ein (optional zusätzlicher) Not-HaltSchalter vorgesehen ist.

[0029] Besonders bevorzugt ist vorgesehen, dass das Sicherheitsanlagenteil zumindest eine Aufnahmevorrichtung zum Aufnehmen eines mobilen Bediengerätes aufweist, sodass der NotHalt-Schalter am mobilen Bediengerät, im in der Aufnahmevorrichtung aufgenommenen Zustand, nicht zugänglich ist. Dadurch kann vermieden werden, dass ein deaktiviertes Anlagenteil einem Bediener die Möglichkeit vorspielt, die Industrieanlage mittels Betätigung eines Not-HaltSchalters zu stoppen. Denn der Not-Halt-Schalter am mobilen Bediengerät eines deaktivierten Anlagenteils ist ebenfalls funktionslos, da er dem deaktivierten Anlagenteil zugeordnet ist und daher bei einem Not-Halt ebenfalls spannungslos gestellt wird. Die Betätigung des Not-HaltSchalters des deaktivierten Anlagenteils würde daher keine Reaktion mit sich führen und somit einer Bedienperson, die die Gesamtanlage anhalten will, in keiner Weise behilflich sein. Viel mehr würde im Ernstfall wichtige Zeit verloren gehen durch die Betätigung eines deaktivierten Not-Halt-Schalters.

[0030] Es kann vorgesehen sein, dass das Sicherheitsanlagenteil dazu ausgebildet ist

- über die Datenübertragungsverbindung Sicherheitssignale von den Anlagenteilen entgegenzunehmen,

- die Industrieanlage abzuschalten und/oder ein Aktivieren der Industrieanlage zu verhindern, wenn eines der Sicherheitssignale nicht vorliegt und/oder

- ein Abschalten der Industrieanlage zu verhindern und/oder ein Aktivieren der Industrieanlage zu erlauben, wenn die Sicherheitssignale vorliegen.

So kann es auch möglich sein, dass wenn aufgrund eines beabsichtigten Deaktivierens eines Anlagenteils ein Sicherheitssignal fehlt, ein Ersatzsicherheitssignal bereitgestellt werden kann, wodurch die Notwendigkeit für ein „echtes“ Sicherheitssignal entfällt.

[0031] Vorzugsweise ist vorgesehen, dass das mobile Bediengerät eine Codierung und die Aufnahmevorrichtung ein Gegenstück der Codierung aufweist, wobei die Aufnahmevorrichtung dazu ausgebildet ist, ein Ersatzsicherheitssignal zu erzeugen, wenn das mobile Bediengerät so in der Aufnahmevorrichtung aufgenommen ist, dass die Codierung mit dem Gegenstück zusammenwirkt und das Ersatzsicherheitssignal das Sicherheitssignal eines dem mobilen Bediengerät zugeordneten Anlagenteils so ersetzt, dass ein Rest der Industrieanlage betreibbar ist, wenn das dem in der Aufnahmevorrichtung aufgenommenen mobilen Bediengerät zugeordneten Anlagenteil in einem spannungslosen Zustand ist. Mit anderen Worten kann somit sichergestellt werden, dass ein mobiles Bediengerät eines zugehörigen deaktivierten Anlagenteils (welches sich in einem spannungslosen Zustand befindet) einem Bediener noch zugänglich ist und somit dem Bediener im Ernstfall nicht die Zugänglichkeit zu einem Not-Halt-Schalter vermittelt. Zum Ausführen solcher Codierungen können unterschiedliche Systeme verwendet werden, wie Beispielsweise durch einen elektrisch oder elektromagnetisch codierter Sicherheitsschalter, einen mechanischen Schlüssel, einen optischer Schlüssel (wie QR-Codes oder Strichcodes) oder auch einen elektrostatischen Code (wie er bei RfID-Chips verwendet wird).

[0032] Bei dieser Codierung muss keine mechanische Zusammenwirkung mit dem Gegenstück passieren. Vielmehr lässt sich jede Zusammenwirkung mechanischer und/oder elektrischer Natur verwenden, die mit vernünftiger Sicherheit darauf schließen lässt, dass tatsächlich das mobile Bediengerät in der Aufnahmevorrichtung ist.

[0033] Besonders bevorzugt ist vorgesehen, dass mittels der zumindest einen Mensch4/15

AT 521 134 B1 2019-11-15 österreichisches patentamt

Maschine-Schnittstelle

- Meldungen, insbesondere Alarmmeldungen, an Bediener ausgebbar sind,

- Konfigurieren von Betriebsarten, unter Betriebsarten sind Betriebszustände eines oder mehrerer Anlagenteile (oder Teilen derselben) zu verstehen, die je nach Zustand auch unterschiedlichen Sicherheitsanforderungen unterliegen (z.B. Tippbetrieb, Automatikbetrieb oder auch Wartungsbetrieb),

- eine Sicherheitsprogrammierung erstellt und/oder geändert werden kann und/oder

- Diagnosefunktionen der Sicherheitsprogrammierung ausführbar sind.

Es können auch vorzugsweise mehrere Mensch-Maschinen-Schnittstellen vorgesehen sein.

[0034] In einer beispielhaften Ausführungsform kann es vorgesehen sein, dass im Rahmen der Einstellung und/oder Änderung der Sicherheitsprogrammierung festgelegt werden kann, welche Sicherheitssignale vom Sicherheitsanlagenteil für den Betrieb der Industrieanlage Voraussetzung vorausgesetzt werden.

[0035] Es kann auch vorgesehen sein, dass die dem Sicherheitsanlagenteil zugeordnete zumindest eine Mensch-Maschine-Schnittstelle eine Mensch-Maschine-Schnittstelle eines Anlagenteils ist, wobei ein Datenaustausch zwischen dem Sicherheitsanlagenteil und der ihr zugeordneten zumindest einen Mensch-Maschine-Schnittstelle des Anlagenteils vorzugsweise über die Datenübertragungsverbindung vorgesehen ist. Mit anderen Worten kann es vorgesehen sein, dass das Sicherheitsanlagenteil keine eigene Mensch-Maschine-Schnittstelle aufweist, sondern die Mensch-Maschine-Schnittstelle eines Anlagenteils auch zugehörig zum Sicherheitsanlagenteil ist. Alternativ kann es auch vorgesehen sein, dass die Datenübertragungsverbindung durch eine Netzwerkanbindung ausgeführt ist.

[0036] Es kann auch vorgesehen sein, dass das Sicherheitsanlagenteil anstelle einer eigenen Spannungsversorgung durch die zumindest zwei Anlagenteile mit einer Spannung versorgt wird. Bei einer solchen Ausgestaltung kann es jedoch wichtig sein, dass dem Sicherheitsanlagenteil eine Spannungsversorgung durch jedes der zumindest zwei Anlagenteile bereitgestellt wird, sodass wenn eines der zumindest zwei Anlagenteile außer Betrieb genommen wird nicht das Sicherheitsanlagenteil spannungslos wird. Damit das Sicherheitsanlagenteil auf diese Art von der Spannungsversorgung eines einzigen Anlagenteils versorgt werden kann, ohne eine Not-Halt-Funktion zu beeinträchtigen, kann eine entsprechende Diodenschaltung eingesetzt werden.

[0037] Schutz wird auch begehrt für ein Verfahren mit den Merkmalen des Anspruchs 14.

[0038] Weitere Einzelheiten und Vorteile der vorliegenden Erfindung werden anhand der Figurenbeschreibung unter Bezugnahme auf die in den Zeichnungen dargestellten Ausführungsbeispiele im Folgenden näher erläutert. Dabei zeigen:

[0039] Fig. 1a [0040] Fig. 1b [0041] Fig. 2a [0042] Fig. 2b eine aus dem Stand der Technik bekannte Industrieanlage, wobei alle Anlageteile sich in Betrieb befinden, eine aus dem Stand der Technik bekannte Industrieanlage in Wartung, eine beispielhafte Ausführungsform einer erfindungsgemäßen Industrieanlage, wobei sich alle Anlageteile in Betrieb befinden, und eine beispielhafte Ausführungsform einer erfindungsgemäßen Industrieanlage, wobei sich ein Anlagenteil in Wartung befindet.

[0043] Figur 1a zeigt schematisch die wesentlichen sicherheitsrelevanten Bestandteile einer Industrieanlage, wie sie aus dem Stand der Technik bekannt ist. Diese Industrieanlage besteht aus zwei Anlageteilen 2a, 2b, welche in diesem speziellen Ausführungsbeispiel als Spritzgießmaschinen ausgebildet sind. Jede der zwei Anlageteile 2a, 2b weist dabei eine eigene Steuerspannungsversorgung 15 auf. Ebenfalls verfügen die Anlageteile 2a, 2b über eine sichere Steuerung 8 und eine nicht sichere Steuerung 4. In diesem Zusammenhang sei erläutert, dass „nicht sicher“ nicht bedeutet, dass diese „unsicher“ wären, vielmehr fällt diesen „nicht sicheren“ Bauteilen eine geringe Bedeutung hinsichtlich der Sicherheitskriterien als den sicheren Bautei

5/15

AT 521 134 B1 2019-11-15 österreichisches patentamt len zu. Der nicht sicheren Steuerung 4 sind dabei nicht sicherheitsrelevante Aktuatoren 7 zugeordnet. Derartige nicht sichere Aktuatoren können Sicherheitstüren, Förderanlagen, Handlingroboter, Einspritzaggregate, Vereinzelungsanlagen, Hubstationen, Dosieranlagen, Temperiergeräte, Werkzeugheizungen und Ähnliches sein.

[0044] Die sichere Steuerung 8 weist eine Sicherheitsprogrammierung auf, welche Aufschluss darüber gibt, welche Parameter bzw. welche Messsignale sicherheitsrelevant sind. So kann auch die nicht sichere Steuerung 4 aufgrund der Sicherheitsprogrammierung 11 einen sicherheitsrelevanten Parameter 19 ausgeben, wenn dieser durch nicht sichere Aktuatoren 7 ausgelöst wird. Des Weiteren verfügen die Anlagenteile 2a, 2b über eine stationäre Bedienereinheit 13a, 13b, wobei ein Bediener über eine Mensch-Maschine-Schnittstelle 14 das Anlagenteil 2a, 2b steuern oder programmieren kann. Diese stationäre Bedieneinheit 13a, 13b verfügt des Weiteren über einen sicherheitsrelevanten Parameter 19 und/oder einen sicherheitsrelevanten Aktuator 12. Der sicherheitsrelevante Aktuator 12 kann durch Betätigung oder nicht Betätigung einen sicherheitsrelevanten Parameter 19 ausgeben. Die mit dem Anlagenteil 2a, 2b verbundene mobile Bedieneinheit 13b verfügt über die gleichen Bestandteile wie die stationäre Bedieneinheit 13a und ist über die Steckverbindung 21a, 21b mit dem Anlagenteil 2a, 2b verbunden. Die sicherheitsrelevanten Parameter 19 werden in der sicheren Steuerung 8 ausgewertet durch Zuhilfenahme des Sicherheitsprogrammes 11. Die sicherheitsrelevanten Aktuatoren 12 können Not-Halt-Schalter beinhalten, welche durch Betätigung einen Steuerstrom unterbrechen.

[0045] In Fig. 1 sind alle Anlagenteile 2a, 2b aktiv.

[0046] Die beiden Anlagenteile 2a, 2b haben je eine eigene sichere Steuerung 8. Das Anlagenteil 2a wertet mithilfe der sicheren Steuerung 8 die übergreifenden sicheren Signale aus und stellt diese dem Anlagenteil 2b durch die strichliert dargestellte Signalverbindung bereit. Dazu müssen alle sicherheitsrelevanten Aktuatoren 12 der stationären Bedieneinheit 13a des Anlageteils 2b an die sichere Steuerung 8 des Anlagenteils 2a angeschlossen werden. Man spricht hier auch von einem Master-Slave-Konzept betreffend der sicheren Signale. Das Anlagenteil 2a ist die Masteranlage und das Anlagenteil 2b die Slaveanlage. Diese Art der Koppelung bringt es mit sich, dass die Slaveanlage (in diesem Ausführungsbeispiel das Anlagenteil 2b) nicht ohne Masteranlage (in diesem Ausführungsbeispiel das Anlagenteil 2a) betrieben werden kann, da sonst die übergreifenden sicheren Signale nicht verfügbar sind.

[0047] Sind die sicherheitsrelevanten Aktuatoren 12 der mobilen Bedieneinheit 13b des Anlagenteils 2b nur über ein sicheres Bussystem angebunden, ist eine Auswertung bei deaktiviertem Anlagenteil 2b nicht möglich. Da der inaktive sicherheitsrelevante Aktuator 12 zuverlässig vor Fehlbedienung geschützt werden muss, bleibt nur die Möglichkeit, diesen sicherheitsrelevanten Aktuator 12 der mobilen Bedieneinheit 13b abzudecken oder die ganze mobile Bedieneinheit 13b von dem Anlagenteil 2b zu entfernen.

[0048] Die Figur 1b zeigt die schematische Darstellung der Figur 1a in einem Zustand, bei dem sich das Anlagenteil 2b in einem Wartungszustand befindet, dabei ist die Steuerspannungsversorgung 15 des Anlagenteils 2b unterbrochen, um Reparatur- oder Wartungsarbeiten an dem Anlagenteil 2b durchführen zu können. Daher sind alle Komponenten des Anlageteiles 2b ström- bzw. spannungslos.

[0049] Die inaktive mobile Bedieneinheit 13b des Anlageteils 2b wird vom Anlagenteil 2b entfernt um Fehlbedienungen bzw. eine Betätigung des inaktiven sicherheitsrelevanten Aktuators 12 zu verhindern.

[0050] Dies verhindert das durchaus denkbare Szenario, dass bei einer Komplikation des weiterhin in Betrieb befindlichen Anlageteils 2a ein Bediener durch das sicherheitsrelevante Aktuatorelement 7 der mobilen Bedieneinheit 13b des Anlagenteils 2b die Industrieanlage in Stillstand versetzen möchte, was jedoch nicht möglich ist, da die stromlose mobile Bedieneinheit 13b des Anlagenteils 2b keinerlei Signal an das aktive Anlagenteil 2a ausgibt.

[0051] Es kann durch eine solche Ausgestaltung lediglich die Slaveanlage (in diesem Ausführungsbeispiel durch das Anlagenteil 2b dargestellt) in den Wartungszustand gebracht werden,

6/15

AT 521 134 B1 2019-11-15 österreichisches patentamt ohne die gesamte Industrieanlage stillzulegen. Das heißt das Betreiben des Anlagenteiles 2b (Slave) bei gleichzeitiger Wartung, das heißt bei Stillstand des Anlagenteiles 2a (Master) ist im Stand der Technik schlicht nicht möglich.

[0052] Figur 2a zeigt eine schematische Darstellung einer erfindungsgemäßen Ausführungsvariante einer Industrieanlage in Betrieb. Diese erfindungsgemäße Ausführungsform einer Industrieanlage verfügt über die Anlagenteile 2a, 2b, wie bereits aus Figur 1a und 1b bekannt. Des Weiteren ist bei dieser Ausführungsvariante ein Sicherheitsanlagenteil 3 vorgesehen, welches mittels Datenübertragungsverbindung 17 mit den Anlageteilen 2a, 2b verbunden ist. Im Speziellen weist dieses Sicherheitsanlagenteil 3 eine sichere Steuerung 8, eine nicht sichere Steuerung 4, eine Mensch-Maschine-Schnittstelle 14 und eine separate Steuerspannungsversorgung auf. Die sichere Steuerung 8 des Sicherheitsanlagenteiles 3 ist mit der sicheren Steuerung 8 des Anlagenteils 2a, der sicheren Steuerung 8 des Anlagenteils 2b und den mobilen Bedieneinheiten 13b der Anlagenteile 2a, 2b verbunden. Die nicht sichere Steuerung 4 ist ebenfalls mit diesen Komponenten der Anlagenteile 2a, 2b verbunden. Des Weiteren verfügt der Sicherheitsanlagenteil 3 über eine Aufnahmevorrichtung 20, mit der es über ein externes Sicherheitsmodul verbunden ist. Diese Aufnahmevorrichtung 20 nimmt im Falle einer Außerbetriebnahme eines Anlagenteils 2a, 2b die mobile Bedieneinheit 13b des zu deaktivierenden Anlagenteils 2a, 2b auf. Es ist hier zu erkennen, dass die mobilen Bedieneinheiten 13b der Anlagenteile 2a, 2b an ihrer linken Seite ein Profil aufweisen, welches ebenfalls in den Aufnahmevorrichtungen 20 ersichtlich ist. Dies symbolisiert eine Codierung bzw. die Erkennung der Codierung in der Aufnahmevorrichtung 20 dar, wodurch der Sicherheitsanlagenteil 3 eindeutig und zweifelsfrei durch die Aufnahmevorrichtung 20 eine mobile Bedieneinheit 13b identifizieren kann. In diesem Ausführungsbeispiel sind alle Teilkomponenten der Industrieanlage in Betrieb.

[0053] Durch externe Sicherheitsmodule 16 ist es möglich sicherheitstechnische Signale direkt vor Ort (in einer mobilen Bedieneinheit 13b) zu sammeln und über einen Bus an die übergeordnet Sicherheitssteuerung zu übermitteln. Der Vorteil eines solchen Systems liegt in der Reduktion des Verdrahtungsaufwandes und der Reduktion der Schnittstellen und somit darin, dass das System leichter auf Fehler zu diagnostizieren ist.

[0054] Figur 2b zeigt das erfindungsgemäße Ausführungsbeispiel der Figur 2a mit einem inaktiven Anlagenteil 2a. Dies ist zu erkennen durch die Steuerspannungsversorgung 15 des Anlagenteils 2a, welches abgetrennt wurde. Des Weiteren wurde die mobile Bedieneinheit 13b des Anlagenteils 2a entfernt und in der dafür vorgesehene Aufnahmevorrichtung 20 des Sicherheitsanlagenteils 3 verstaut bzw. mit diesem verbunden. Nun kann das Sicherheitsanlagenteil 3 detektieren, dass der Anlagenteil 2a inaktiv ist und die mobile Bedieneinheit 13b des Anlagenteils 2a in der Aufnahmevorrichtung 20 verstaut bzw. angeordnet wurde. Somit gibt das Sicherheitsanlagenteil 3 den weiteren Betrieb für das Anlagenteil 2b frei, trotz inaktivem Anlagenteil 2a.

[0055] Vorteilhaft bei einer solchen Ausgestaltung ist es, dass beliebige Anlagenteile 2a, 2b der Industrieanlage deaktiviert werden können, ohne den weiteren Betrieb der verbleibenden Anlagenteile der Industrieanlage zu stören. Mit anderen Worten wird die Masterfunktion der Industrieanlage von dem Sicherheitsanlagenteil 3 übernommen und die Anlagenteile 2a, 2b übernehmen die Slaveeigenschaften. Da kein Bedarf besteht das Sicherheitsanlagenteil 3 jemals außer Betrieb zu setzen, muss auch der Betrieb der Industrieanlage nie zur Gänze stillgelegt werden und es wird die Möglichkeit geschaffen, einzelne Anlagenteile 2a, 2b gezielt außer Betrieb zu setzen, um Wartungsarbeiten, Reparaturen, etc. durchzuführen.

[0056] Es kann auch vorgesehen sein, dass das Sicherheitsanlagenteil 3 anstelle einer eigenen Spannungsversorgung 15 (in der Fig. 2b strichliert dargestellt, da diese nicht zwingend erforderlich ist) durch die zumindest zwei Anlagenteile 2a, 2b mit einer Spannung versorgt wird. Bei einer solchen Ausgestaltung kann es jedoch wichtig sein, dass dem Sicherheitsanlagenteil 3 eine Spannungsversorgung durch jedes der zumindest zwei Anlagenteile 2a, 2b bereitgestellt wird, sodass wenn eines der zumindest zwei Anlagenteile 2a, 2b außer Betrieb genommen wird nicht das Sicherheitsanlagenteil 3 spannungslos wird. Damit das Sicherheitsanlagenteil 3 auf

7/15

AT 521 134 B1 2019-11-15 österreichisches patentamt diese Art von der Spannungsversorgung eines einzigen Anlagenteils 2a, 2b versorgt werden kann, ohne eine Not-Halt-Funktion zu beeinträchtigen, kann eine entsprechende Diodenschaltung mit Dioden 22 eingesetzt werden.

8/15

AT 521 134 B1 2019-11-15 österreichisches patentamt

BEZUGSZEICHENLISTE:

2a Anlagenteil

2b Anlagenteil

Sicherheitsanlagenteil nicht sichere Steuerung nicht sicherheitsrelevante Aktuatoren sichere Steuerung

Sicherheitsprogrammierung sicherheitsrelevante Aktuatoren

13a stationäre Bedieneinheit

13b mobile Bedieneinheit

Mensch-Maschine-Schnittstelle

Steuerspannungsversorgung

Sicherheitsmodul

Datenübertragungsverbindung

Sicherheitsrelevante Parameter

Aufnahmevorrichtung

21a, b Steckverbindung für mobiles Bedienelement

Diode

Claims (14)

1. Industrieanlage, insbesondere Formgebungsanlage, mit

- zumindest zwei Anlageteilen (2a, 2b), wovon vorzugsweise zumindest eines eine Formgebungsmaschine ist, wobei die zumindest zwei Anlagenteile (2a, 2b) jeweils eine sichere Steuerung (8) zum Ansteuern sicherheitsrelevanter Aktuatoren (12) der zumindest zwei Anlagenteile (2a, 2b) aufweisen,

- einer Datenübertragungsverbindung (17) zur Übertragung von sicherheitsrelevanten Daten zwischen den sicheren Steuerungen (8) der zumindest zwei Anlagenteile (2a, 2b) und

- einem Sicherheitsanlagenteil (3) mit einerweiteren sicheren Steuerung (8), wobei

- gemäß einer Funktion a) die weitere sichere Steuerung (8) über die Datenübertragungsverbindung (17) dazu eingerichtet ist, die sicheren Daten mit den sicheren Steuerungen (8) der zumindest zwei Anlagenteile (2a, 2b) auszutauschen, und

- gemäß einer Funktion b) dem Sicherheitsanlagenteil (3) zumindest eine MenschMaschine-Schnittstelle (14) zugeordnet ist, mittels welcher Bedienpersonal Sicherheitsparameter für die weitere sichere Steuerung (8) des Sicherheitsanlagenteils (3) eingeben kann, dadurch gekennzeichnet, dass das Sicherheitsanlagenteil (3) so eingerichtet ist, dass die Funktionen a) und b) auch dann ausgeführt werden können, wenn ein beliebiges der zumindest zwei Anlagenteile (2a, 2b) außer Betrieb ist.

2. Industrieanlage nach Anspruch 1, dadurch gekennzeichnet, dass das Sicherheitsanlagenteil (3) separat von den zumindest zwei Anlagenteilen (2a, 2b) ausgeführt ist oder in eines der zumindest zwei Anlagenteile (2a, 2b) integriert ist.

3. Industrieanlage nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die zumindest zwei Anlagenteile (2a, 2b) jeweils über eine Steuerspannungsversorgung (15) verfügen, welche so eingerichtet ist, dass ein Anlagenteil (2a, 2b), dessen Steuerspannungsversorgung (15) deaktiviert wird, automatisch in einen spannungslosen Zustand versetzt wird.

4. Industrieanlage nach Anspruch 3, dadurch gekennzeichnet, dass die zumindest zwei Anlagenteile (2a, 2b) jeweils über zumindest einen Not-Halt-Schalter verfügen, welcher bei Betätigung die Steuerspannungsversorgung (15) aller Anlagenteile (2a, 2b) deaktiviert.

5. Industrieanlage nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass die Datenübertragungsverbindung (17) durch einen sicheren Bus hergestellt wird.

6. Industrieanlage nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass zumindest eines der zumindest zwei Anlagenteile (2a, 2b) über ein mobiles Bediengerät (13b) - insbesondere ein Handbediengerät - verfügt.

7. Industrieanlage nach den Ansprüchen 4 und 6, dadurch gekennzeichnet, dass am mobilen Bediengerät (13b) ein Not-Halt-Schalter vorgesehen ist.

8. Industrieanlage nach Anspruch 7, dadurch gekennzeichnet, dass das Sicherheitsanlagenteil (3) zumindest eine Aufnahmevorrichtung (20) zum Aufnehmen eines mobilen Bediengeräts (13b) aufweist, sodass der Not-Halt-Schalter am mobilen Bediengerät (13b) im in der Aufnahmevorrichtung aufgenommenen Zustand nicht zugänglich ist.

9. Industrieanlage nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass das Sicherheitsanlagenteil (3) dazu ausgebildet ist,

- über die Datenübertragungsverbindung (17) Sicherheitssignale von den Anlagenteilen (2a, 2b) entgegenzunehmen,

- die Industrieanlage abzuschalten und/oder ein Aktivieren der Industrieanlage zu verhindern, wenn eines der Sicherheitssignale nicht vorliegt, und/oder

10/15

AT 521 134 B1 2019-11-15 österreichisches patentamt

- ein Abschalten der Industrieanlage zu verhindern und/oder ein Aktivieren der Industrieanlage zu erlauben, wenn die Sicherheitssignale vorliegen.

10. Industrieanlage nach den Ansprüchen 8 und 9, dadurch gekennzeichnet, dass das mobile Bediengerät (13b) eine Codierung aufweist und dass die Aufnahmevorrichtung (20) ein Gegenstück zur Codierung aufweist, wobei

- die Aufnahmevorrichtung (20) dazu ausgebildet ist, dann ein Ersatzsicherheitssignal zu erzeugen, wenn das mobile Bediengerät (13) so in der Aufnahmevorrichtung (20) aufgenommen ist, dass die Codierung mit dem Gegenstück zusammenwirkt, und

- das Ersatzsicherheitssignal das Sicherheitssignal eines dem mobilen Bediengerät (13b) zugeordneten Anlagenteils (2a, 2b) so ersetzt, dass ein Rest der Industrieanlage betreibbar ist, wenn das dem in der Aufnahmevorrichtung (20) aufgenommenen mobilen Bediengerät (13b) zugeordnete Anlagenteil (2a, 2b) in einem spannungslosen Zustand ist.

11. Industrieanlage nach zumindest einem der vorhergehenden Ansprüche, dadurch gekennzeichnet, dass mittels der zumindest einen Mensch-Maschine-Schnittstelle (14)

- Meldungen, insbesondere Alarmmeldungen, an Bediener ausgebbar sind,

- Konfigurieren von Betriebsarten

- eine Sicherheitsprogrammierung (11) erstellt und/oder geändert werden kann und/oder

- Diagnosefunktionen der Sicherheitsprogrammierung (11) ausführbar sind.

12. Industrieanlage nach den Ansprüchen 9 und 11, dadurch gekennzeichnet, dass im Rahmen der Erstellung und/oder Änderung der Sicherheitsprogrammierung (11) festgelegt werden kann, welche Sicherheitssignale vom Sicherheitsanlagenteil (3) für den Betrieb der Industrieanlage vorausgesetzt werden.

13. Industrieanlage nach Anspruch 11 oder 12, dadurch gekennzeichnet, dass die dem Sicherheitsanlagenteil (3) zugeordnete zumindest eine Mensch-Maschine-Schnittstelle (14) eine Mensch-Maschine-Schnittstelle (14) eines Anlagenteils (2a, 2b) ist, wobei ein Datenaustausch zwischen dem Sicherheitsanlagenteil (3) und der ihr zugeordneten zumindest einen Mensch-Maschine-Schnittstelle (14) des Anlagenteils (2a, 2b) vorzugsweise über die Datenübertragungsverbindung (17) vorgesehen ist.

14. Verfahren zum Betreiben einer Industrieanlage mit zumindest zwei Anlageteilen (2a, 2b), wovon vorzugsweise zumindest eines eine Formgebungsmaschine ist, insbesondere nach einem der Ansprüche 1 bis 13, wobei ein Sicherheitsanlagenteil (3) so verwendet wird, dass folgende Funktionen des Sicherheitsanlagenteils (3) auch dann ausgeführt werden können, wenn ein beliebiges der zumindest zwei Anlagenteile (2a, 2b) außer Betrieb ist:

- a) Austausch sicherer Daten mit den sicheren Steuerungen (8) der zumindest zwei Anlagenteile (2a, 2b) und

- b) Eingabe von Sicherheitsparametern für die weitere sichere Steuerung (8) durch Bediener über eine dem Sicherheitsanlagenteil (3) zugeordnete Mensch-MaschineSchnittstelle (14).