SIL3-Doppelbremsen-Redundanz für LXD/DXT-Krane
SIL3-Funktionssicherheitsarchitektur: Doppelbremsen-Redundanz und ganzheitlicher Schutz durch Safety-SPS. In modernen Brückenkransystemen ist funktionale Sicherheit längst keine optionale Ausstattung mehr, sondern eine verbindliche Anforderung.
In modernen industriellen Brückenkransystemen hat sich die funktionale Sicherheit von einer optionalen Ausstattung zu einer verbindlichen Anforderung entwickelt. Kelude Schwerindustrie hat auf Basis der Normen IEC 61508 (Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme), IEC 62061 (Sicherheit von Maschinen – Funktionale Sicherheit sicherheitsbezogener elektrischer, elektronischer und programmierbarer elektronischer Steuerungssysteme) sowie DIN 15018 (Krane – Grundsätze für Stahltragwerke) ein Sicherheitskonzept der Stufe SIL3 aufgebaut. Dieses System umfasst die Gefahrenanalyse HARA, eine dreistufige Sicherheitsarchitektur, redundante Doppelbremsen, Safety-SPS-Programmierung mit PROFIsafe-Kommunikation sowie die TÜV-Zertifizierung und Abnahme. Damit bietet Kelude seinen Kunden eine ganzheitliche, über den gesamten Lebenszyklus reichende Funktionssicherheitslösung – von der Definition der Sicherheitsziele bis zur Systemabnahme. Der vorliegende Beitrag erläutert die technische Praxis von Kelude im Bereich SIL3-Funktionssicherheit und dient als systematische Referenz für die sichere Auslegung von Brückenkransystemen.
Gefahrenanalyse HARA für Brückenkrane
Die Gefahrenanalyse und Risikobewertung (Hazard Analysis and Risk Assessment, HARA) bildet den Ausgangspunkt jeder funktionalen Sicherheitsauslegung. Kelude Schwerindustrie führt auf Basis von ISO 12100 (Sicherheit von Maschinen – Allgemeine Gestaltungsleitsätze – Risikobeurteilung und Risikominderung) und IEC 62061 eine umfassende Gefahrenidentifikation über alle Betriebszustände und den gesamten Lebenszyklus des Brückenkransystems durch. Zu den wesentlichen Gefährdungsereignissen zählen: Absturz der Last durch Übergeschwindigkeit beim Senken des Hubwerks, Personenquetschung durch Kollision von Katz- und Kranfahrwerk, Lastabsenkung durch Versagen der Bremse, Überschreiten der Endpositionen durch Ausfall von Endschaltern sowie Lastabsturz infolge von Drahtseilbruch oder Litzenbruch. Für jedes Gefährdungsereignis bewertet das HARA-Team das Risiko anhand der drei Dimensionen Schweregrad (Se), Häufigkeit der Exposition (Fr) und Möglichkeit der Vermeidung (Av) und leitet daraus die erforderliche Sicherheitsintegritätsstufe ab. Die folgende Tabelle zeigt die HARA-Ergebnisse für ein typisches Brückenkransystem von Kelude.
| Gefährdungsereignis | SchweregradSe | ExpositionFrequenzFr | VermeidbarkeitAv | RisikoKlasse | erforderlichSicherheitsintegritätslevel | Sicherheitsfunktion |
|---|---|---|---|---|---|---|
| HubwerkÜbergeschwindigkeitSenken | 4(katastrophal) | 3(häufig) | 1(kaum vorstellbar) | IIIa | SIL3 | Überdrehzahlsicherung+DoppelbremseRedundanz |
| großKatzfahrenKollision | 3(schwer) | 4(dauerhaft) | 2(möglich) | IIIb | SIL2 | Sicherheitsendschalter+Kollisionsschutz |
| BremseVersagenLastabsenkung | 4(katastrophal) | 3(häufig) | 1(kaum vorstellbar) | IIIa | SIL3 | BremseZustandsüberwachung+RedundanzBremsung |
| EndschalterVersagenÜberhub | 3(schwer) | 2(gelegentlich) | 2(kaum vorstellbar) | II | SIL1 | doppeltEndschalter+Softwareendschalter |
| DrahtseilBruch | 4(katastrophal) | 2(gelegentlich) | 1(kaum vorstellbar) | IIIb | SIL2 | Drahtbrucherkennung am Seil+Überlastschutz |
Das HARA-Analyseteam von Kelude Schwerindustrie wird von Experten mit TÜV-Zertifizierung als Funktionssicherheitsingenieure geleitet, um die Autorität und Konformität der Analyseergebnisse sicherzustellen. Der HARA-Analysebericht ist ein zentraler Bestandteil der Sicherheitsdokumentation der gesamten Maschine und wird mit der Auslieferung der Anlage zur Archivierung an den Kunden übergeben.
SIL-Einstufung und Sicherheitsziele
Der Sicherheitsintegritätslevel (SIL) ist eine diskrete Klassifizierung der für sicherheitsbezogene Systeme geforderten Sicherheitsleistung. Gemäß der Definition in IEC 61508 wird der SIL-Level anhand der mittleren Ausfallwahrscheinlichkeit bei Anforderung (PFDavg) oder der gefährlichen Ausfallrate pro Stunde (PFH) eingeteilt: SIL1 erfordert einen PFDavg zwischen 10⁻² und 10⁻¹ oder einen PFH zwischen 10⁻⁶ und 10⁻⁵; SIL2 erfordert einen PFDavg zwischen 10⁻³ und 10⁻² oder einen PFH zwischen 10⁻⁷ und 10⁻⁶; SIL3 erfordert einen PFDavg zwischen 10⁻⁴ und 10⁻³ oder einen PFH zwischen 10⁻⁸ und 10⁻⁷; SIL4 erfordert einen PFDavg zwischen 10⁻⁵ und 10⁻⁴ oder einen PFH zwischen 10⁻⁹ und 10⁻⁸. Das SIL3-Sicherheitsziel für das Brückenkransystem von Kelude Schwerindustrie ist: PFH < 10⁻⁷. Dies bedeutet, dass die gefährliche Ausfallzeit des Systems 52,6 Minuten pro Jahr nicht überschreitet. Um dieses Ziel zu erreichen, setzt Kelude Schwerindustrie auf Hardware-Ebene redundante Architekturen (1oo2D, 2oo3 usw.) ein, auf Software-Ebene zertifizierte Sicherheits-SPS und sichere Kommunikationsprotokolle und auf Management-Ebene eine externe Prüfung und Zertifizierung durch TÜV SÜD oder TÜV Rheinland, um sicherzustellen, dass das Funktionssicherheitsmanagementsystem den Anforderungen der IEC 61508 entspricht.
Dreistufige Sicherheitsarchitektur im Kran
Das Funktionssicherheitssystem des Brückenkrans von Kelude Schwerindustrie basiert auf einer klassischen dreistufigen Sicherheitsarchitektur. Die erste Ebene ist das Basissteuerungssystem (Basic Control System), das für die normale Betriebssteuerung des Krans zuständig ist, einschließlich Start/Stopp und Drehzahlregelung für Heben, Senken, Katzfahren und Kranfahren sowie für konventionelle Funktionen wie Überlastschutz und Fahrwegbegrenzer. Diese Ebene wird mit einer Standard-SPS realisiert und übernimmt keine Sicherheitsfunktionen. Die zweite Ebene ist das Sicherheitssteuerungssystem, das unabhängig vom Basissteuerungssystem arbeitet und für die Umsetzung der SIL-relevanten Sicherheitsfunktionen verantwortlich ist. Diese Ebene verwendet eine TÜV-zertifizierte Sicherheits-SPS (z. B. Siemens S7-1200F oder S7-1500F) und kommuniziert über das sichere Kommunikationsprotokoll PROFIsafe mit verteilten Sicherheits-EA-Modulen und sicheren Treibern. Das Sicherheitssteuerungssystem überwacht sicherheitsrelevante Signale wie Überdrehzahl beim Heben, Bremsenstatus, Türbegrenzungsschalter und Not-Aus-Taster in Echtzeit. Bei Erkennung eines gefährlichen Zustands wird sofort eine sichere Stoppsequenz ausgelöst. Die dritte Ebene ist das Sicherheitsüberwachungs- und Diagnosesystem, das für die Online-Überwachung des Betriebszustands und die Fehlerdiagnose des Sicherheitssteuerungssystems zuständig ist und über die Mensch-Maschine-Schnittstelle (HMI) Sicherheitsstatusanzeigen und Alarmprotokolle bereitstellt. Das Kernprinzip der dreistufigen Sicherheitsarchitektur ist die „Unabhängigkeit" – die Hardware und Software des Sicherheitssteuerungssystems müssen physisch und logisch vollständig vom Basissteuerungssystem getrennt sein, um Common Cause Failures zu vermeiden. Die dreistufige Sicherheitsarchitektur von Kelude Schwerindustrie ist durch TÜV SÜD mit SIL3 zertifiziert und wurde bereits in über 500 Brückenkransystemen eingesetzt.
Doppelbremsen-Redundanz und Überdrehzahlsicherung
Das Hubwerk ist das Subsystem mit dem höchsten Sicherheitsrisiko im Brückenkransystem, und seine Schutzmaßnahmen sind der Kern des SIL3-Funktionssicherheitsdesigns. Kelude Schwerindustrie setzt im Hubwerk eine Doppelbremsen-Redundanz ein: Jeweils eine Sicherheitsbremse ist an der Schnelllaufwelle des Getriebes und eine an der Trommelwelle montiert. Beide Bremsen sind elektrisch und mechanisch vollständig unabhängig. Im Normalbetrieb sind beide Bremsen an der Bremsung beteiligt; fällt eine Bremse aus, kann die andere das gesamte Bremsdrehmoment allein aufbringen und so die Last sicher in der Schwebe halten. Der Bremsenzustand wird von der Sicherheits-SPS über Endschalter und Sensoren zur Verschleißerfassung in Echtzeit überwacht. Bei Erkennung einer abnormalen Reaktionszeit, eines Abfalls des Reibungsdrehmoments oder übermäßigen Belagverschleißes löst das System automatisch einen Alarm aus und fordert vor dem nächsten Arbeitszyklus eine Wartung an. Die Überdrehzahlsicherung arbeitet mit der Doppelbremsen-Redundanz zusammen: Ein Überdrehzahlsensor ist an der Schnelllaufwelle des Hubwerks montiert. Überschreitet die Senkgeschwindigkeit das 1,25-fache des Nennwerts, löst die Sicherheits-SPS innerhalb von 50 ms eine Notbremssequenz aus, bei der beide Sicherheitsbremsen gleichzeitig einfallen. Kelude Schwerindustrie hat außerdem eine „Sanftbrems"-Steuerungsstrategie entwickelt: Beim normalen Stopp werden die beiden Bremsen zeitversetzt (ca. 200 ms) aktiviert, um Schlaglasten durch gleichzeitiges Bremsen zu vermeiden und die Lebensdauer der Bremsen zu verlängern. Die Sicherheitsfunktion des Doppelbremsen-Redundanzsystems ist nach SIL3 zertifiziert, mit einem PFH-Wert unter 5×10⁻⁸ und einer Sicherheitsverfügbarkeit von über 99,995 %.
Sicherheits-SPS und PROFIsafe-Kommunikation
Die Sicherheits-SPS ist das zentrale Steuerelement für die Realisierung eines SIL3-Funktionssicherheitssystems. Kelude Schwerindustrie verwendet die Sicherheits-SPS der Baureihe Siemens S7-1500F als Standardausstattung für das Kran-Sicherheitssteuerungssystem. Diese Baureihe ist von TÜV SÜD nach SIL3 zertifiziert und unterstützt passwortgeschützte Projektierung, sicheren Benutzerprogramm-Download und integrierte fehlersichere Kommunikation. Die Kommunikation zwischen der Sicherheits-SPS und den verteilten Sicherheits-EA-Modulen (z. B. ET 200SP F) erfolgt über das PROFIsafe-Kommunikationsprotokoll. PROFIsafe ist die sichere Kommunikationsebene auf dem PROFINET-Bus. Durch das Hinzufügen einer Sicherheits-CRC-Prüfsumme (CRC2) und einer Sequenznummer (Watchdog) zu den Standard-PROFINET-Telegrammen wird die Integrität, Aktualität und Authentizität der Sicherheitsdaten während der Übertragung gewährleistet. Die fehlersichere Kommunikation von PROFIsafe erfüllt die Anforderungen der Norm IEC 61784-3-3, mit einer Sicherheitsreaktionszeit von unter 30 ms, was die SIL3-Kommunikationsanforderungen erfüllt. Kelude Schwerindustrie hat außerdem eine standardisierte Funktionsbaustein-Bibliothek für die Sicherheits-SPS entwickelt, die standardisierte Sicherheitsfunktionen wie Sicheres Stoppen (SS1, STO), Sichere begrenzte Geschwindigkeit (SLS), Sicherheitstürüberwachung, Not-Aus-Behandlung und Bremssteuerung abdeckt. Dies verkürzt die Programmier- und Inbetriebnahmezeit des Sicherheitssteuerungssystems erheblich. Die Programme der Sicherheits-SPS müssen einer strengen Code-Review und Funktionstests unterzogen werden. Die Testabdeckung muss 100 % (Anweisungsabdeckung) und über 95 % (Zweigabdeckung) betragen. Alle Testaufzeichnungen werden archiviert und dienen als technischer Nachweis für die TÜV-Zertifizierung.
Abnahme und SIL-Verifikation des Sicherheitssystems
Die Abnahme und Verifikation des Sicherheitssystems ist ein kritischer Punkt im Funktionssicherheits-Lebenszyklus. Gemäß den Anforderungen von IEC 61508 Teil 7 und IEC 62061 Kapitel 8 erstellt Kelude Schwerindustrie einen vollständigen Abnahmetestplan für das Sicherheitssystem. Der Abnahmetest gliedert sich in drei Phasen: Die erste Phase ist der Werksabnahmetest (FAT), der im Fertigungswerk von Kelude Schwerindustrie durchgeführt wird. Die Testinhalte umfassen Korrektheitstests der Sicherheitsfunktionen, Tests der Sicherheitsreaktionszeit, Fehlerinjektionstests (Simulation von Sensorversagen, Kommunikationsunterbrechung, Stromversorgungsausfall und anderen anormalen Bedingungen) sowie Umschalttests für redundante Systeme. Die zweite Phase ist die Abnahme vor Ort (SAT), die am Installationsort des Krans durchgeführt wird, um die Koordination zwischen Sicherheitsfunktionen und Betriebssystem unter realen Bedingungen zu verifizieren. Die dritte Phase ist die SIL-Verifikationsberechnung. Basierend auf Parametern wie Hardware-Fehlertoleranz (HFT), Diagnoseabdeckung (DC) und Common-Cause-Failure-Faktor β werden die PFDavg- oder PFH-Werte unter Verwendung der Formeln und Markov-Modelle im Anhang von IEC 61508-6 berechnet, um zu verifizieren, ob der tatsächlich erreichte SIL-Level des Systems den Konstruktionsanforderungen entspricht. Nach Abschluss der Abnahme des Sicherheitssystems erstellt Kelude Schwerindustrie einen vollständigen Abnahmebericht für das Sicherheitssystem, ein SIL-Verifikationsberechnungsdokument und ein Funktionssicherheits-Handbuch. Diese werden dem Kunden oder der externen Zertifizierungsstelle (z. B. TÜV SÜD, TÜV Rheinland) für die abschließende Prüfung vorgelegt. Bis heute hat Kelude Schwerindustrie die TÜV-Zertifizierung für über 50 SIL3-Kransysteme erfolgreich abgeschlossen, mit einer Erfolgsquote von 100 %.
