Punktzüge im Regelwerk

Punktzug-Regeln haben sich in letzter Zeit sehr verändert. Einmal ist die Globalisierung schuld, da die Märkte immer näher zusammenrücken und die Hersteller  die Produkte auch in anderen Ländern verkaufen möchten. Auf der anderen Seite ist Europa der Motor, sich einem europaweiten Regelwerk anzupassen. Selbst die Bezeichnungen der Regelwerke erfahren in immer kürzeren Abständen eine Umbenennung. Deshalb hier schon einmal ein Sorry, falls die eine oder andere Regel noch mit dem alten Namen beschrieben wird…

 

Prüfungen im Umbruch

Wurden früher Kettenzugsysteme von einem Sachverständigen der Industrie für Krane und Aufzüge untersucht, so werden heute Sachverständige ernannt, die ihr Fachwissen in der speziellen Bühnentechnik beweisen müssen. Dem entsprechend haben sich die Beanstandungen an vorhandenen Anlagen vermehrt und die pauschale Antwort „der Zug weist doch die BGV C1 (früher eben VBG 70) auf“ reicht heute nicht mehr aus. Vielmehr sind dem heutigen Sachverständigen die Branchenbegriffe Lastfallart, Zusatzausrüstung, maximale Störfalltoleranz, SIL oder PL bekannt.

Die DIN 56950 „Maschinentechnische Einrichtungen, sicherheitstechnische Anforderungen“ hat unter anderem auch die Punktzugnorm DIN 56925 ersetzt.

Die BGV C1 (Unfall-Verhütungs-Vorschrift für Veranstaltungs- und Produktionsstätten für szenische Darstellung) ist als Ausgangspunkt zu verstehen, von dem alle weiteren Normen aus gefordert werden. Für die Durchführung ist die Schrift SP 25.1/2-1 maßgebend:

 

Die zugehörige Erläuterung zur BGV C1 erlaubt zum Auf- und Abbau von Tragkonstruktionen vorhandene Einrichtungen mit Hebezeugen nach VBG 8 – neue Bezeichnung BGV D8. Personen dürfen sich unter den Lasten nicht aufhalten. Ist der Aufenthalt von Personen unter Lasten betriebsmäßig notwendig, sind die Hebezeuge vollständig zu entlasten.

Die BGV D8 regelt die Ausführung und Handhabung von Winden, Hub- und Zuggeräten im industriellen Bereich, bei der sich keine Person unter der schwebenden Last aufhalten darf.

Dies entspricht der gängigen Praxis z.B. beim Einsatz eines Groundsupports. Es werden meist BGV D8-Motoren eingesetzt, um das Rigg hochzufahren. Dabei wird sichergestellt, dass sich niemand unter dem schwebenden Rigg aufhält. Erst, wenn die Traversenkonstruktion mit Stahlseilen auf Höhe gehalten wird und die Kette des Hebezeugs (Kettenzug) schlaff durchhängt, also vollständig entlastet ist, dürfen Personen wieder unter das Rigg treten. (Dieser Vorgang wird als „Tothängen“ bezeichnet)

 

Die Schrift SR2.0 vom VPLT etablierte den Begriff D8 Plus. Dabei handelt es sich um einen Kettenzug, der mechanisch die Anforderung der BGV C1 erfüllt, aber elektrisch weiterhin im BGV D8-Bereich verweilt. Ziel ist es, sich das Tothängen zu ersparen. Mechanisch trägt der D8 Plus-Motor die Last sicher über Publikum. Soll die Last verfahren werden, ist die Fläche unter der Last von den Personen zu räumen. In der Praxis heißt dies einen BGV D8 Motor auf die Hälfte ablasten und eine zweite Bremse einzubauen, wenn kein dynamisch selbsthemmendes Getriebe vorhanden ist. Nach der Benutzung muss der elektrische Steckverbinder abgezogen werden.

 

Bei Motoren gemäß BGV C1 bedeutet dies aber nicht automatisch, dass sich nun immer Personen unter der Last aufhalten dürfen. Hier wird eine weitere Unterteilung in verschiedenen Lastarten notwendig. Diese Übersicht dient dazu, den Hintergrund der Gefährdung, verursacht durch die Lastart, zu vermitteln.

 

Einzellast	– Für das Heben einer Einzellast über Personen sind gegenüber dem Industriekettenzug nach BGV D8 zusätzliche Grundfunktionen nötig, die durch die DIN 56950 „Maschinentechnische Einrichtungen, sicherheitstechnische Anforderungen“ klar definiert werden. – 5.2.6.2 Bei Stahlketten muss sichergestellt sein, dass in jedem Betriebszustand der formschlüssige Eingriff von mindestens drei Kettengliedern in das das Kettenrad (Kettennuss) bestehen bleibt. – 5.2.7 Dynamisch selbsthemmendes Getriebe (Selbsthemmung aus der Bewegung) oder zwei voneinander unabhängig wirkende Sicherungseinrichtungen (z. B. zwei Bremsen). – 7.7.2 Vorsehen von Redundanz – bei Einsatz von elektrischen Schaltgeräten (Schütze) sind diese redundant auszuführen und zusätzlich zu überwachen. (z. B. zwangsgeführtes Relais) – 7.8 Es wird nach Not-Aus (Energieabschaltung) und Not-Halt (Stillsetzen) unterschieden. Durch Risikobeurteilung wird die Kategorie der Funktionsausführung festgelegt – 7.7.4.2 Schutz bei Ausfall der Hubbereichsbegrenzung (End- und Notendschalter) – 7.7.4.3 Schutz bei Überschreiten der Nennbelastung – 1,2-facher Wert – 7.7.4.6 Schutz bei Überschreiten der Nenngeschwindigkeit – 1,25-fach – 7.7.4.8 Stillsetzen bei Überfahren von vorgegebenen Zielpunkten – 7.7.4.9 Stillsetzen bei Nichteinhaltung vorgegebener Bewegungsabläufe – 7.7.5 Einrichtungen zur Prüfung von Sicherheitsfunktionen DIN 56925 Abschnitt 8 – Bei einer Rechner gestützten Steuerung, deren Rechner keine sicherheitsrelevanten Funktionen übernimmt, aber eine Anwahl der Motoren vollzieht, muss die Rückmeldung der Anwahl rechnerunabhängig angezeigt werden. – Der Rechner darf keinen Einfluss auf Totmannschaltung und Sicherheitseinrichtungen haben. Ansonsten müssen sie zweikanalig und nach SIL 3 aufgebaut sein.
Streckenlast an zwei Zügen	Eine weiterführende Gefährdung bei Streckenlast an zwei Zügen ist bei Sicht-kontrollierten Fahrten nicht zu erwarten. Beobachtet man den Ausfall eines Zugs, so ist der zweite Zug manuell still zu setzten, ohne dass durch die Zeitverzögerung des Stillsetzens eine Gefährdung ausgehen würde. Dies verhält sich natürlich anders, wenn diese Fahrten evtl. unbeobachtet über eine Ablaufsteuerung vollzogen werden. Hierbei kann es vorkommen, dass durch den Stillstand eines Kettenzugs und das Weiterfahren des anderen Kettenzugs, die Last vollständig nur noch von einem Kettenzug alleine aufgenommen wird. Dies kann ein Überlasten dieses Punkts bedeuten und stellt somit eine Gefährdung dar. Folglich muss sichergestellt werden, dass bei Ausfall eines Zugs der andre Zug ebenfalls stillgelegt wird. Man spricht hierbei von einer Asynchronen Gruppenabschaltung, wenn ein Fehler eines Zuges die an der Fahrt beteiligten Züge ebenfalls stilllegt. So wird nach bei dieser Lastart bei szenischen Bewegungen eine Asynchrone Punktzuggruppenfahrt mit Gruppenabschaltung gemäß DIN 56950 7.6.3.1.2 gefordert. Grundsätzlich kann man hier erwähnen, dass allgemeingültig auch andere Maßnahmen zur Unfallvermeidung in Betracht kommen können. Ist z. B. jeder der Motoren, Traverse und Hängepunkte für die Gesamtlast ausgelegt, so muss keine Zusatzausstattung vorhanden sein, da auch bei Ausfall eines Motors die Last in jeder Position sicher befestigt ist.
Streckenlast an mehr als zwei Zügen	Sind an einer starren Last mehr als zwei Kettenzüge beteiligt, so kann bei einem Ausfall von einem Kettenzug innerhalb kürzester Zeit eine Überlastung in dem bewegten Objekt auftreten, da die Kräfte nun nur noch von den verbleibenden Hebezeugen getragen werden. Somit können unzulässige Zustände auftreten. Eine Gefährdung liegt vor. Um dies zu verhindern, wird selbst bei einer beobachteten Fahrt eine Asynchrone Punktzuggruppenfahrt mit Gruppenabschaltung gefordert. Hier reicht die Asynchrone Punktzuggruppenfahrt aus, da bei Überlastung eines weiteren Zuges die Gruppe sofort stillgelegt wird. Man geht davon aus, dass der Bediener eine schlaffe Kette erkennt und einen Nothalt auslöst. Bei einer szenischen Bewegung, bei der eine ständige Beobachtung nicht sichergestellt werden kann, ist es nötig, dass eine Synchrone Gruppenfunktion aktiviert wird. Denn ein Abdriften eines Kettenzugs kann hierbei so lange andauern, dass unzulässige Werte auftreten können. Deshalb muss sichergestellt sein, dass alle Züge im „Gleichtakt“ laufen. Falls eine vorher definierte Toleranz überschritten wird, muss der Bewegungsvorgang abgebrochen werden. Aus der Geschichte heraus wurde eine alternative Möglichkeit zugelassen. Anstatt der Synchronen Gruppenfahrt wird auch die Kombination von Asynchroner Gruppenfahrt, Reset über Synchronpunkt und Unterlastabschaltung Schlaffkette) gefordert. Unter Reset über Synchronpunkt versteht man, dass die Gruppe in einen Endschalter hineinfährt, um dann den Weggeber neu zu kalibrieren. Diese Vorgehensweise ist nur firmenbezogen aus der Geschichte und den damaligen technischen Möglichkeiten zu verstehen, um eine Gruppenabweichung so gering wie möglich zu halten.
Biegemoment-freie Last	Die Biegemoment-freie Last ist einfacher als die vorangegangene Lastart zu handhaben. Deshalb darf eine programmierte, nicht ständig kontrollierte Bewegung auch mit einer Asynchroner Gruppenfahrt und Reset über Synchronpunkt verfahren.
Flächenlast an drei Zügen	Das Verhalten einer Flächenlast an drei Zügen entspricht dem einer Streckenlast an drei Zügen, da bei Ausfall eines Zugs eine Überlastung der übrigen Hängepunkte und Hebezeuge auftreten kann.
Flächenlast an mehr als drei Zügen	Bei der Flächenlast an mehr als drei Zügen kann kein Bediener mehr aufgrund seiner Beobachtungsgabe zuverlässig eine Fehlbelastung erkennen. Gerade wenn die Kettenzüge nicht an ihrem Lastlimit betrieben werden, können sie die Arbeit eines defekten Zugs mit übernehmen. Dabei kann aber eine unzulässige Durchbiegung des gehobenen Objekts auftreten, was eine Gefährdung darstellen kann. Deshalb kann hier bei einer beobachten Fahrt neben der Synchronen Gruppenfahrt alternativ eine Unterlasterkennung mit Synchroner Gruppenfahrt angewendet werden, die den Defekt an die Gruppe weiterleiten kann und die Bewegung anhält. Bei szenischen Bewegungen ist hier eine Synchrone Fahrt unabdingbar.
Geführte Last	Bei geführten Lasten ist das Problem ein Verkanten in der Führung. Das Objekt bleibt stecken, der Kettenzug gibt immer weiter Kettenweg frei. Im ungünstigsten Moment wird die Last frei und fällt zunächst im freien Fall. Eine extreme Gefährdung ist dann gegeben. Um dies zu erkennen, ist eine Schlaffketten-Erkennung notwendig. Ansonsten verhält sich die Last wie eine Streckenlast an mehr als zwei Zügen.

 

 

Um die passende Kettenzug-Anlage herauszusuchen, sind neben den Anwendungs- bedingten Voraussetzung wie Geschwindigkeiten, Lastaufnahme und Hubhöhe, Normal- oder Kletterbetrieb, die im Umfeld des Einsatzorts anliegenden Rahmenbedingungen und natürlich die soeben aufgeführten Lastfälle zu beachten.

Aber eine sorgfältige Planung und die Übersicht zum Ganzen kann dabei erheblich Kosten und Aufwand einsparen helfen. Ist z. B. ein Videowürfel von 5,5 Tonnen zu heben, so ist der erste Gedanke meist „Flächenlast an mehr als drei Zügen“ (6 Stück Eintonner). Es wird nach Durchführungsanweisung für szenische Fahrten eine Synchronfahrt mit Gruppenabschaltung benötigt. Würde man dagegen den Würfel an drei Punkten befestigen und an jedem dieser Hängepunkte eine Ausgleichswaage anbringen, die Wegeschwankungen von zwei Kettenzügen ausgleichen kann, so handelt es sich jetzt um den Lastfall „Flächenlast an drei Zügen kombiniert mit Streckenlast an zwei Zügen“. Jetzt wird nur noch die Zusatzausstattung Asynchronfahrt mit Gruppenabschaltung, Reset über Synchronpunkt und Schlafseil-Erkennung benötigt, was bis zu 1/3 die Kosten senken kann.

 

 

Auch in diesem Fall spielt die Dynamik eine große Rolle. Sind die Hängepunkte der Dachkonstruktion bereits nahe am Limit, so wäre bei Antrieben ohne Frequenzumrichter der Einsatz eines Systems mit selbsthemmendem Getriebe von Vorteil, da die dynamische Belastung von einfallenden Bremsen wesentlich höher ist als das sanfte Auslaufen eines dynamisch selbsthemmenden Getriebes. Dies gilt auch bei Systemen mit Frequenzumformern (FU), wenn z. B. der Not-Aus gedrückt wird. Meist wird dabei zwar eine Notrampe gefahren, aber oft fallen die Bremsen unkontrolliert ein, was zu starken dynamischen Stößen führt, im Gegensatz zum sanft auslaufenden dynamisch selbsthemmenden Getriebe.

Muss man dennoch eine starre Flächenlast an mehr als drei Zügen heben, ist besonders die maximale Störfalltoleranz zu beachten. Denn was nutzt einem die erfolgreiche Notabschaltung, wenn nicht sichergestellt ist, dass die Antriebe nicht über einen tolerierbaren Weg herausfahren und somit doch die Hängepunkte überlastet werden.

Steuerung

Eine Steuerung wird entsprechend dem Kosten-Nutzen-Verhältnis auf die verschiedenen Lastfälle und Fahrmodi hin entwickelt.

Werden dabei von rechnergestützten Steuerungen sicherheitsrelevante Funktionen nach DIN 56950 Absatz 7.9.3 übernommen, ist Risikograph DIN EN 61508 anzuwenden und zweikanalige Systeme mit mindesten SIL 3 anzuwenden und Maßnahmen zur Fehlerbeherrschung entsprechend DIN EN 60204-1 (VDE 0113 Teil 1) DIN 0801, VDE 0113 Teil 1 und VDE 0116 zu treffen.

(Die DIN 19250 als auch die VDE 0801 sind zum 01.08.2004 zurückgezogen worden, dafür sind nun die EN 954-1 mit den Performance Level Kurz PL und in Analogie in der IEC 61508 der Savety Integrity Level kurz SIL ausschlaggebend)

 

Da eine normgerechte Ausführung erhebliche Kosten verursacht, sollte man folgende Merkmale vorab klären.

 

IEC 61508-5

Die IEC 61508-5 verwendet einen auf dem Risiko basierenden Ansatz zur Bestimmung der SIL-Anforderungen. Jeder Sicherheitsfunktion wird ein SIL-Level zugewiesen.

Risikoparameter der Auswirkung

CA geringe und im Regelfall reversible Verletzung
CB Schwere irreversible Verletzung einer oder mehrerer Personen oder Tod einer Person
CC Tod mehrerer Personen
CD katastrophale Auswirkungen

Aufenthaltsdauer

FA selten bis öfter
FB häufig bis dauernd

Gefahrenabwendung

PA möglich
PB kaum möglich

Eintrittswahrscheinlichkeit

W1 sehr gering
W2 gering
W3 relativ hoch

 

 

EN 954

Der Risikograph dient der Risikoeinschätzung des sicherheitsbezogenen Teils der Steuerung, indem für jede Sicherheitsfunktion der geforderte PL (Safty-related Performance Level) bestimmt wird.

 

Auswirkung

S1 geringe und im Regelfall reversible Verletzung
S2 Schwere irreversible Verletzung einschließlich Tod

 

Aufenthaltsdauer

F1 selten bis öfter
F2 häufig bis dauernd

 

Gefahrenabwendung

P1 möglich
P2 kaum möglich

 

EN 954-1 Sicherheitsbezogene Teile von Steuerungen

Bisher wurden sicherheitsrelevante Funktionen von Rechnersteuerungen entsprechend der geforderten AK (Anforderungsklasse) ausgeführt. Die Anforderungsklasse ergab sich nach der zwischenzeitlich zurückgezogenen DIN 19250 und führt z. B. im Theater meist zur Einstufung in die AK 5. Daraus ergibt sich z. B. ein Systemdesign in Form einer diversitär redundanten Steuerung nach DIN 0801, so dass mehrere Fehler erkannt werden und somit nicht zum Verlust der sicherheitsrelevanten Funktion führen.

In der Realität überprüft ein zweiter Rechner (redundant) den ersten und umgekehrt. Damit der gleiche Programmfehler auf beiden Rechnern sich nicht gleichzeitig auswirkt und somit nicht erkannt wird, soll das zweite überprüfende System unterschiedlich aufgebaut sein und idealerweise von einem anderen Programmierer programmiert worden sein (diversitär).

Jetzt gilt die EN 954. Im BIA Report von 1997 werden die Anforderungsklassen (DIN 19250) den Kategorien (EN 954) und den SIL – Safety Integrity Level (VDE 0801) gegenübergestellt und deren Lösungsansätze aufgezeigt.

 

Kategorie nach EN 945	Anforderungsklasse nach DIN 19250 (wurde zum 01.08.2004 zurückgezogen)	SIL nach DIN VDE 0801 (DIN wurde zum 01.08.2004 zurückgezogen)
B	1	­
2	2/3	1
3	4	2
4	5/6	3
–	7/8	4

 

Kategorie	Verhalten bei Auftreten von Fehler	Es kommt zur Anwendung
B	Basis-Verlust der Sicherheitsfunktion	Keine besonderen Maßnahmen angewendet
1	Verlust der Sicherheitsfunktion	Bewährte Bauteile und Prinzipen
2	Verlust der Sicherheitsfunktion nur zwischen den Prüfungen möglich. Der Verlust der Sicherheitsfunktion wird bei Prüfung erkannt.	Sicherheitsfunktionen müssen beim Anlaufen und periodisch im Betrieb überprüft werden.
3	Ein einzelner Fehler darf nicht zum Verlust der Sicherheitsfunktion führen. Eine Anhäufung von Fehlern kann zum Verlust der Sicherheitsfunktion führen	z. B. zwangsgeführte Relais oder Überwachung von redundanten elektrischen Ausgängen
4	Ein einzelner Fehler darf nicht zum Verlust der Sicherheitsfunktion führen und dass er bei der nächsten Anforderung erkannt wird oder wenn dies nicht möglich ist, eine Anhäufung von Fehlern darf nicht zum Verlust der Sicherheitsfunktion führen.	Anwendung von Diversität und spezielle Prüfverfahren

 

In Betracht zu ziehende Fehler:

– Kurzschluss, Erdschluss oder geöffneter Stromkreis in einem Leiter, Bauteilen wie Positionsschalter oder Relais
– Nicht Abfallen oder Anziehen von Relais, Motoren
– Lockerung oder Lageveränderung von Positionsschalter
– Verlust der Gesamtfunktion (Mikrocontroller)
– Mechanisch – Federbruch, Hängenbleiben, Lösen von Verbindungen, Temperatur

 

Identifizierung der Gefährdung

Für ein und dieselbe Maschine kann man je nach betrachteter Funktion und Betriebsart zu unterschiedlichen Risikoeinschätzungen kommen.

– Fehlerbaumanalyse
– Ereignisablaufanalyse
– Ausfalleffektanalyse
– Checkliste für die Gefährdungsanalyse

 

Bewährte Bauteile und Prinzipen

Bauteile

Für Elektronik und Rechnertechnik sind derzeit keine sicherheitstechnisch bewährten Bauteile bekannt.
Eine Betriebsbewährtheit liegt vor, wenn 10 Systeme in unterschiedlicher Anwendung und 10.0000 Betriebsstunden mit mindestens einem Jahr Betriebsdauer vorlagen und keine bzw. keine sicherheitsrelevanten Fehler gefunden wurden. Der Nachweis erfolgt durch Dokumentation des Herstellers bzw. des Betreibers.
Für höhere Kategorien ist eine entsprechend höhere Betriebsstundenzahl erforderlich.

Prinzipen

Sicherheitsrelevante Signale ändern ständig ihren Zustand. Statischer Zustand folgt Fehlermeldung.
Verarbeitung redundanter Signale mit gegensätzlicher Information.
Fehleraufdeckung durch Erwartungshaltung. Plausibilitätskontrollen
Watchdog

 

 

 

 

EN 418 Sicherheit von Maschinen, Not-Aus-Einrichtungen

Auswahl der richtigen Stopp-Kategorie entsprechend der Risikoabschätzung.
Stopp-Kategorie 0: Abtrennen der Energiezufuhr, mechanisches Auskoppeln oder Bremsen (ungesteuertes Stillsetzen)
Stopp-Kategorie 1: Gesteuertes Stillsetzen und nach Stillstand abtrennen der Energiezufuhr.
Das Befehlsgerät und sein Stellteil müssen dem Prinzip der Zwangsbetätigung entsprechend arbeiten, z. B. ein Schalter mit Zwangsöffnung.
Das Rückstellen des Befehlsgeräts darf nur als Ergebnis einer von Hand ausgeführten Handlung am Befehlsgerät möglich sein.
Das Rückstellen des Befehlsgeräts allein darf keinen Wiederanlaufbefehl auslösen.
Bei Bruch oder Aushängen eines Drahts oder der Leine muss der Not-Aus-Befehl automatisch erzeugt werden.

Literaturbezug:

IEC 61508 Funktionale Sicherheit sicherheitsbezogener elektrischer/elektronischer/programmierbarer elektronischer Systeme – Beuth Verlag
EN 954-1 Sicherheit von Maschinen / Sicherheitsbezogene Teile von Steuerungen – Beuth Verlag
EN 292 Sicherheit von Maschinen / Grundbegriffe – Beuth Verlag
EN 1050 Sicherheit von Maschinen / Leitsätze zur Risikobeurteilung – Beuth Verlag
BIA Report Kategorien für sicherheitsbezogene Steuerungen nach EN 954-1 – unter www.hvbg.de/d/bia/ub/rep/rep02/bia0697.htm