Safety und die MZB

[jonasst]

Servus

Ich hab jetzt meinen ersten Scanner fertig (Siehe Vorstellungs-Thread) und hab dafür auch ein Safety entwickelt.

Meine Lösung beinhaltet Zwei Redundante analoge Schaltungen die aus dem Positionssignal der Scannertreiber ein Winkelgeschwindigkeitssignal erzeugen und dann eine einstellbare Schwelle ab der ein ''bilateral switch'' (weiß nicht wie der deutsche Begriff ist) das Lasermodulationssignal durchlässt oder eben nicht. Zusätzlich habe ich einen Microcontroller eingebaut der das Winkelgeschwindigkeitssignal der beiden Pfade vergleicht und bei Abweichungen den Laser stillegt. Der Microcontroller führt auch alle paar Sekunden einen Selbsttest durch der das Positionsignal der Scannertreiber abtrennt und dann ''schaut'' ob das Safty reagiert. Dauert dies zu lange schaltet das Safty den Laser auch ab.

Was für Saftys benutzt ihr?
Welche Signale werten eure Safetys aus? Möglicherweise ILDA-Signal und Scannerposition?
Gibt es hier noch andere die ihre Safetys selber bauen, oder benutz ihr gekaufte?

Bis jetzt habe ich haptsächlich von Safetys gehört die, wie meins auch, die Bewegung des Strahls überwachen und bei defekten oder stehenden Strahlen abschalten.
Gibt es auch Safetys die in irgendeiner Form indirekt die Bestrahlungsstärke überwachen?
Mein Grundgedanke in der Richtung ist, möglicherweise das ''Scanbild'' in Pixel einzuteilen und zu messen wie oft hintereinander der Starhl wie lang in jedem Pixel verweilt und daraus dann eine ''echte'' Bestrahlungsstärke, bzw. Parameter für die MZB zu errechen. Nur ist diese Prinzip, nach meiner Erfahrung, viel zu heftig für Microkontroller. Möglicherweise lässt sich da ja was mit FPGAs machen, da kann man ja viel parallelisieren.

ich freu mich auf eure (hoffentlich gesendeten) Antworten und Gedanken zu dem Thema.
Grüße,
Jonas

[mR.Os]

Da bastle ich grade dran: http://laserfreak.net/forum/viewtopic.php?f=43&t=53112

[ekkard]

Meine Lösung beinhaltet zwei redundante analoge Schaltungen die aus dem Positionssignal der Scannertreiber ein Winkelgeschwindigkeitssignal erzeugen und dann eine einstellbare Schwelle ab der ein ''bilateral switch'' (weiß nicht wie der deutsche Begriff ist) das Lasermodulationssignal durchlässt oder eben nicht. Zusätzlich habe ich einen Microcontroller eingebaut der das Winkelgeschwindigkeitssignal der beiden Pfade vergleicht und bei Abweichungen den Laser still legt. Der Microcontroller führt auch alle paar Sekunden einen Selbsttest durch der das Positionssignal der Scannertreiber abtrennt und dann ''schaut'' ob das Safety reagiert. Dauert dies zu lange schaltet das Safety den Laser auch ab.

1. Die Idee redundanter Auslegungen ist bei sicherheitsrelevanten Schaltungen zunächst einmal einleuchtend, weil die Norm „Ein-Fehler-Sicherheit“ verlangt. Allerdings kann der Fehler bereits im Netzteil statt finden. Folglich wäre zu prüfen, was dort alles falsch laufen kann.

2. Ich verstehe das „Positionssignal der Scannertreiber“ nicht. Aus meiner (Sachverständigen-) Sicht ist der Treiberausgang für die Sicherheit nicht entscheidend, sondern die tatsächliche Bewegung des Strahls, was nicht dasselbe zu sein braucht z. B. mechanische Blockade (die berühmte Motte, die tot in die Anlage fällt und die Spiegel blockiert. Die Magneten zappeln weiter und liefern Signale, tatsächlich rührt sich der Strahl nicht).

3. „und den Laser still legt“ bzw. das „Lasermodulationssignal (ggf. nicht) durchlässt“. Hierzu sind Stellglieder erforderlich, die versagen können. Auch diese müssten redundant ausgelegt werden. Sie dürfen von keinem gemeinsamen Fehler in der Anlage durchgeschaltet werden können.

4. Der Selbsttest ist eine gute Idee; allerdings müsste geklärt werden, was wie getestet wird und was „abschalten“ bedeutet. Wenn der Fehler darin besteht, dass das Stellglied (Transistor, Schalter, Relais) im EIN-Zustand klemmt, schaltet die Safety gar nichts mehr! (Wie bei Nr. 3 bereits angedeutet) und das womöglich wochenlang, ohne dass es auffällt. Das wäre dann zwar eine Zwei-Fehler-Bedingung (Ausfall des Stellgliedes und z. B. Blockade eines Spiegels). Aber es handelt sich um einen ersten Fehler, der solange nicht in Erscheinung tritt, bis ein weiterer fataler Fehler auftritt. Auf jeden Fall muss die Startprozedur der Anlage prüfen, ob der Laserstrahl durch diese Stellglieder tatsächlich ausgeschaltet wird (alles ordnungsgemäß „ein“, Safety „aus“ muss „strahlungslos“ bedeuten!).
Es kann sein, dass dies alles bedacht wurde. Z. B. dass die Anlage tatsächlich testweise kurz abschaltet. Aber mir ist das nicht klar.

ILDA-Signal und Scannerposition?

Wichtig wäre die Strahl-Position. Was die Stell-Magnete machen ist eigentlich uninteressant.

Bis jetzt habe ich hauptsächlich von Safetys gehört die, wie meins auch, die Bewegung des Strahls überwachen und bei defekten oder stehenden Strahlen abschalten.

Im Prinzip ist das auch richtig so. Nur sind „Strahlposition“ und „Scannersignale“ nicht notwendigerweise dasselbe. Darin besteht eines meiner Bedenken.

Gibt es auch Safetys die in irgendeiner Form indirekt die Bestrahlungsstärke überwachen?
Mein Grundgedanke in der Richtung ist, möglicherweise das ''Scanbild'' in Pixel einzuteilen und zu messen wie oft hintereinander der Strahl wie lang in jedem Pixel verweilt …

Diese Idee ist auch gut, allerdings selbst fehleranfällig. Das Problem sind dann „falsch positive“ Fehlerabschaltungen, obwohl kein Fehler vorliegt, oder „falsch negative“ Entscheidungen, obwohl ein Fehler vorliegt. Zudem ist die „Bestrahlungsstärke“ nicht so ohne Weiteres messbar, und die Reflexion (bildgebende Verfahren) nicht sonderlich aussagekräftig. Eher geeignet sind die Raumfüllung des Bildes und die Modulation.

[fesix]

Vorweg: Ich bin Praktiker, kein Theoretiker (bzw manchmal nur gezwungenermaßen), deshalb sehe ich das einfach mal aus meiner rein praktischen Sicht.


Zu 1.: Was soll noch alles geprüft werden? Ob die Frequenz im Netz stabil bleibt und die Spannung und wenn nicht was dann?
Wenn ich Netzteile von TracoPower oder MeanWell benutze erwarte ich Qualität, das heißt Zuverlässigkeit und Langlebigkeit.

Zu 2.: Das Positionssignal ist das einzige was in Laseranlagen für Veranstaltungen ausgewertet werden kann.
Daher meine Frage: Wie stellst du dir das vor die tatsächliche Strahlbewegung auszuwerten? Strahlteiler hinter der Ablenkeinheit und den "Abfallstrahl" auf einen CCD Sensor lenken dder dann schaut ob der Strahl auch so verläuft wie er soll?
Dann wäre an dieser stelle meine Frage was du zur Sicherheit solch einer Anlage sagst, denn dieses müsste ja zwingend per Mikrocontroller ausgewertet werden.
Und: Hast du sowas schonmal in irgendeiner Anlage gesehen?

Für solch einen Fall dass ein Spiegel bricht oder sonstwie abfällt sehe ich die Aufgabe des Laserschutzbeauftragten am Not-Aus.

Zu 3.: Wie soll man dads verstehen? Gelten Optokoppler für dich als nicht zuverlässig genug?

Zu 4.: Selbsttest alle paar Sekunden halte ich für fragwürdig, es sei denn jonasst erklärt genauer, was er damit meint.
Eine einfache, aber recht wirkungsvolle Art des "Selbsttests" wird in vielen Safetys in Form eines "Watchdogs" angewendet. Das Programm läuft ja eine Schleife durch (Teste Signal, Signal Ok?, Wenn Signal ok, dann Modulation an, sonst aus), überschreitet der Ablauf eine definierte Zeit, führt der Mikrocontroller einen Reset durch.

Was mir nicht klar ist: Wenn du sogar Transistoren als nicht zuverlässig ansiehst, was denn dann überhaupt noch? Ein Mikrocontroller besteht aus unzähligen Transistoren, das müsste für einen Sachverständigen also ein absolutes no-go sein, oder wie darf man das verstehen?

ILDA Signal und "Magnetposition" überprüfen manche Safetys, weicht das Positionssignal ab, wird abgeschaltet. Das ist an sich sicherer als nur die Position abzufragen, da wirklich ausschließlich der Vergleich aus "soll" und "ist" entscheidet und nicht nur "ja, es ist bewegung da, also alles in Ordnung".


So weit von mir...

[guido]

@Fesix,

Halbleiter sind "böse-böse", neigen bei Defekt immer zur falschen Richtung und sind immer im schlimmstmöglichen Moment kaputt.
Drehmagneten mit Rückholfeder halten ewig.

Aus der Praxis einer TÜV-Abnahme:
"Scannen Sie mal eine Figur und drehen sie die Grösse runter..."
Schaltet ab -> OK
So einfach testete man eine Safety wärend einer TÜV-Abnnahme auf Funktion bzw. vorhandensein.
CMOS Sensor ? Blödsinn..da kann auch ne Motte rauffallen
Es sei den er ist wie für den Shutter schon mal vorgeschlagen dicht in Schutzatmosphäre verbaut...
Theorie und Praxis halt...
Schuld bist DU sowieso immer.

Noch mal zu 3: In der DIN 56912 heisst es zur Strahlabschaltung nirgendswo ob das mechanisch oder elektronisch geschehen soll/muss.

Zu 2: Eckard weiss nicht was das Feedbacksignal ist. Oder es besteht ein Missverständnis zu diesem Begriff

[jonasst]

Mit Positionssignal des Scannertreibers meine ich das Feedback des Galvos, das ja die reale Position des Spiegels messen sollte. Ich denke das machen ja alle Safetys so, oder täusche ich mich da?

Den Laser abschalten im Fehlerfall mache ich nicht nur über die Modulationsspannung sondern bei den Dioden hat der Treiber noch ein Relais das den Laser freigibt, dieses schalte ich dann ab. Der DPSS hat so ein Relais nicht, deshalb ist hier noch eine zweite Abschaltung der Modulationsspannung in reihe eingebaut.

Beim Selbsttest lese ich die Modulationsspannung nach dem Safety ein und registriere ob sie schnell genug 0 wird.

Ein Fehler im Netzteil also ein Einbrechen der Spannungsversorgung zieht die Modulationsspannung auf GND , dafür hab ich extra Transistoren eingebaut, da die 4066-Bausteine die ich verwende ohne Spannungsversorgung leiten.

An ein Verfahren mit der Füllung des Bildes kombiniert mit der Scannrate hatte ich auch schon gedacht, bin aber auf keinen Algorithmus gestoßen, bzw. mir ist keiner eingefallen mit dem man aus dem Feedbacksignal die Füllung des Bildes errechnen kann, da man ja nicht weiß wo das Bild anfängt/aufhört. Daher die Idee mit den ''Pixeln''.

Das die Bestrahlungsstärke nicht so einfach Messbar ist, ist mir klar, jedoch besteht ja bei gleichbleibender Strahlleistung, Divergenz, Anfangsstrahldurchmesser und Abstand ein fester Zusammenhang zwischen der Pulsdauer und der Pulswiederholung des Lasers in der Messblende (Pupille) und der für die MZB relevanten Parameter, bzw. es sind die relevanten Parameter. Will sagen, die Parameter außer der Bewegung des Strahls sind einfach messbar und einprogrammierbar. Die herausforderung für ein ''MZB-Safety'' ist also die Bewegung des Strahls zu interpretieren. Die Winkelgeschwindigkeit des Strahls zu messen ist relativ einfach machbar und dadurch kann, bei bekanntem Strahldurchmesser die Pulsdauer ermittelt werden. Das große Problem in meinen Augen ist es die Pulswiederholunge zu zählen. Im worstcase ''Kreis'' kommt der Strahl ja viel öffter in die gleiche Pupille als wenn ich noch zig andere Figuren gleichzeitig Scanne. Daher ist meine ''Pixel'' Idee ja uch nur eine Möglicjkeit deine ''Raumfüllung'' zu messen. Denk ich jetzt mal.

[jonasst]

Ach ja, hab ich vergessen. Watchdog ist natürlich auch eingeschaltet

[mR.Os]

Ich weiß nicht, ob die Safety die ich gerade baue bei den richtigen Einstellungen vielleicht schafft, die MZB immer einzuhalten. Da Problem bei mir ist, dass ich nur eine recht begrenzte Vergangenheit betrachte. Ich rechne ein wenig mit der Winkelgeschwindigkeit und den aktuellen Farben rum. Ich kann es leider nicht messen.

Das Problem bei einer Safety, die "pixel" interpretiert ist, dass sie meiner Meinung nach viel RAM braucht. Mit einem FPGA ist das machbar, ohne Frage. Ich hätte auch diverse Ideen wie. Das Problem ist nur das PCB. Wenn man ein wenig mehr RAM will (so 256Mbit oder auch mehr) landet man meistens bei DDR RAM wenn es ein wenig flott sein soll. Und da es die meistens nur noch als BGA gibt und es High Speed Signale sind, ist mindestens eine 4-Lagen Platine nötig und man hat BGAs. Da werden die Kosten sehr hoch.

Mal sehen, bei meiner Safety bin ich bald im Beta Stadium. Vielleicht habe ich da auch noch eine tolle(re) Idee.

[guido]

Obwohl ich selber eine yC - Safety simpelster Bauart hab die aber auch schon mehrere TÜV-Abnahmen
"überlebt" hat weckt der Controllerwahn hier den Wunsch in mir etwas Zeit für eine ANALOGE Safety zu finden...
Integrator, Komperator, Stellglied. Nix Oszillator, nix Watchdog, nix BGA...

Safetys sollten nicht intelligenter als deren User sein (müssen !! )

[jonasst]

Mein Safty ist grundlegend komplett analog, genau wie du geschrieben hast
Nur die weitere Überwachung des safetys ist mit nem µC

[jojo]

Mit Positionssignal des Scannertreibers meine ich das Feedback des Galvos, das ja die reale Position des Spiegels messen sollte. Ich denke das machen ja alle Safetys so, oder täusche ich mich da?

Ja.
Ich bin damals bei meiner einfachen Safety sogar noch einen Schritt weiter gegangen und habe das Feedbacksignal zusätzlich noch mit dem Eingangssignal verlichen. Um sicher zu sein, dass kein falsches Feedbacksignal (Schwingen wegen elektrischem Fehler) eine Bewegung vorgaukelt. Es darf also keine Bewegung am Feedback gemessen werden, wenn am Eingang nicht auch die Bewegung gemessen wird.
Allerdings glaube ich nicht, dass so etwas Ekkards Forderungen genügen würde.
Es spielt keine Rolle, wie eine Safety aufgebaut ist. Deshalb schreibe ich ja auch in meiner Anleitung, dass dies nur eine Bewegungsüberwachung ist, die als zusätzlicher "Luxus" anzusehen ist, keine "Safety". Eine "Safety" im Sinne Ekkards kann es nicht geben.
Denn es ist nicht möglich, die echte Bewegung des Strahls mittels einer Technik zu erfassen, die ohne Technik arbeitet.
Bleibt nur der 400 Euro Angestellte, der den ganzen Abend lang die Laser beobachtet und auf den Buzzer haut.

Mein Safty ist grundlegend komplett analog, genau wie du geschrieben hast
Nur die weitere Überwachung des safetys ist mit nem µC

Auch analog funktioniert mit Strom. Ist also total egal.

Meine Safety hat auch schon mehrer Abnahmen "überlebt". Aber mit TÜV ist es wie mit dem Zoll: Was der eine als gut ansieht kann beim nächsten in einer Katastrophe enden.

Gruß

Joachim

[karsten]

Was für Saftys benutzt ihr?
Welche Signale werten eure Safetys aus? Möglicherweise ILDA-Signal und Scannerposition?
Gibt es hier noch andere die ihre Safetys selber bauen, oder benutz ihr gekaufte?

Ich nutze u.a. selbstgebaute Safety auf Basis der Safety von nr-lighting, habe aber auch Safetys von guido und gento.
Allen gemeinsam ist, dass sie nur die Feedbacksignale der Scanner auswerten und keinen Soll-Ist-Vergleich durchführen, was ich kürzlich gut hätte gebrauchen können (Scannertreiber hat angefangen zu spinnen, vermutlich hat irgendwas angefangen zu schwingen - Safety hat jedenfalls nicht abgeschaltet, aber der Scannerspigel zappelte am mechanischen Endanschlag und die Strahlen gingen in eine vollkommen falsche Richtung).

Der Ansatz einen Selbsttest durchzuführen ist prinzipiell gut, in der Praxis aber nur mit viel Aufwand zu realisieren. Dazu gehört nicht nur die Peripherie zu prüfen, was alleine schon erheblichen Aufwand bedeutet, sondern auch die Integrität des Programmcodes (Flashspeicher neigt zum vergessen). Einen zyklsichen Selbsttest alle paar Sekunden zu realisieren, wie es viele Sicherheitsnormen in anderen Bereichen fordern, ist keine triviale Aufgabe. Watchdogs helfen übrigens nur sehr eingeschränkt, wir sind da selbst schon reingefallen mit einem permanent anstehenden exterenn Interrupt. Das Gerät lief sehr träge, aber zum Auslösen des Watchdog hat es bei der TÜV-Prüfung dann doch nicht gereicht. Außerdem streuen die Watchdogs bei z.B. ATMegas so stark, dass man die auf keine vernünftige Grenze setzen kann.

Die Netzteile sind in so einer Sicherheitsbetrachtung auch nicht zu unterschätzen. Schwingt hier was oder es fällt z.B. die negative Spannung aus, machen viele Schaltungen seltsamme Sachen.

hier den Wunsch in mir etwas Zeit für eine ANALOGE Safety zu finden...

Gute Idee, damit sind Softwarefehler zumindest schonmal ausgeschlossen

[jonasst]

Denn es ist nicht möglich, die echte Bewegung des Strahls mittels einer Technik zu erfassen, die ohne Technik arbeitet.

Das wird auch Ekkard akzeptieren müssen. Absolute Sicherheit gibt es nicht, da kann der Laser noch so sicher sein, es kann immer noch ein Meteorit die Bude treffen.

Aber so wie ich das bis jetzt mitbekommen habe ist beim Thema Safety ja schon noch Potenzial zur Verbesserung da.

[mR.Os]

Mein Problem an einer analogen Safety (hab ich for der FPGA Lösung mit dem Gedanken gespielt): es lässt sich bescheiden einstellen. Desweiteren hat man die Bauteiltoleranzen (und da man da einige Cs braucht ... würde teuer werden).

Ich wollte halt bei meiner Safety auch, dass man die einfach konfigurieren kann, damit man es auch macht. Wenn man im Laser immer an einem Trimmer drehen muss um eine Zone einzustellen, dann macht man es nicht. Wenn man den Laser natürlich nur an einem Ort aufhängt, dann ist das kein Problem. Momentan geht bei mir USB, was auch nicht das komfortablste ist. Es soll irgendwann noch LAN dazu kommen. Auf der aktuellen Platine ist da auch was vorgesehen.

[ekkard]

Halbleiter sind "böse-böse", neigen bei Defekt immer zur falschen Richtung und sind immer im schlimmstmöglichen Moment kaputt.
Drehmagneten mit Rückholfeder halten ewig.

Aus der Praxis einer TÜV-Abnahme:
"Scannen Sie mal eine Figur und drehen sie die Grösse runter..."
Schaltet ab -> OK
So einfach testete man eine Safety wärend einer TÜV-Abnnahme auf Funktion bzw. vorhandensein.

Halbleiter: Deswegen werden ausschaltende Halbleiter auch in Serie und kurzschließende auch parallel geschaltet (immer die 1-Fehler-Bedingung im Auge behalten!)
Prüfung: Selbstverständlich, genau so habe ich das auch geprüft. Verwechsle bitte nicht eine Funktionsprüfung vor Ort mit einer Typprüfung. Ich habe nur die der Norm entsprechenden, typischen Eigenschaften, bzw. Forderungen danach, aufgelistet.
Über die möglichen Fehlerfälle und wie man darauf reagiert stand mal etwas im Anhang DIN EN 60825-2. Dieser Teil der Norm behandelt zwar Laser in Zusammenhang mit faseroptischen Lichtlichtleitern. Aber ich fand die Fehleranalyse recht aufschlussreich.

Schuld bist DU sowieso immer.

Nein, so stimmt das nicht. Es besteht nur die verhängnisvolle Neigung, gewisse Probleme der Laserei zu verdrängen. Und ich stoße regelmäßig in dieses "Wespennest". Eine saubere Fehleranalyse beweist, dass alle technischen Fehlerquellen "abgeklopft" worden sind und keine grobe Fahrlässigkeit besteht, kommt es zu einem Unfall. Das tatsächliche Restrisiko ist durch die Berufshaftpflicht abgedeckt, wenn eine solche besteht.

Noch mal zu 3: In der DIN 56912 heisst es zur Strahlabschaltung nirgendswo ob das mechanisch oder elektronisch geschehen soll/muss.

Richtig. Nur war bisher von Abschalten die Rede. Ich bin nicht die Norm, die alles beschreibt, was möglich ist. Ich konzentriere mich auf meine Vorredner.

Zu 2: Eckard weiss nicht was das Feedbacksignal ist.

Doch, das weiß Ekkard ganz genau. Nur, ein Signal ist ein Signal und nicht notwendigerweise der Strahl selbst. Also wichtig: Das Feedbacksignal ist streng an die tatsächliche Strahlbewegung gekoppelt. Und wenn ich daran Zweifel anmelde, heißt das ja nicht, dass "alles falsch" ist, sondern, dass man darüber angemessen nachdenken muss.

Im Übrigen: Es gibt einen ganzen Haufen irgendwelcher Fehler im System, die überhaupt keine nennenswerte Außenwirkung haben. Es geht bei der Fehleranalyse nur um jenen fatalen Fehler, der zu einem stehenden Strahl bei voller Leistung (ins Publikum!) führt.

[ekkard]

Mit Positionssignal des Scannertreibers meine ich das Feedback des Galvos, das ja die reale Position des Spiegels messen sollte. Ich denke das machen ja alle Safetys so, oder täusche ich mich da?

Ja.

Ein einfaches Ja auf eine Oder-Frage ist immer sehr verwirrend.

Ich bin damals bei meiner einfachen Safety sogar noch einen Schritt weiter gegangen und habe das Feedbacksignal zusätzlich noch mit dem Eingangssignal verlichen. Um sicher zu sein, dass kein falsches Feedbacksignal (Schwingen wegen elektrischem Fehler) eine Bewegung vorgaukelt.

Das ist durchaus "angemessenes Nachdenken" und bestätigt meine Forderung.

Es spielt keine Rolle, wie eine Safety aufgebaut ist. Deshalb schreibe ich ja auch in meiner Anleitung, dass dies nur eine Bewegungsüberwachung ist, die als zusätzlicher "Luxus" anzusehen ist, keine "Safety". Eine "Safety" im Sinne Ekkards kann es nicht geben.

Eine "Safety" gibt es in den Normen nicht. Gemeint sind entweder "Strahlüberwachung" oder "Bewegungsüberwachung".

"Bewegungsüberwachung": Es handelt sich um eine Norm-Forderung, wenn die MZB bei stehendem oder ungenügend bewegtem Strahl überschritten wird. Diese ist keine Marotte, die ich mir ausgedacht hätte!

Eine "Strahlüberwachung" im industriellen Sinne gibt es bei der Show-Laserei nicht. Die Strahlüberwachung beeinflusst die Strahlungsleistung z. B. beim Abweichen vom Soll-Weg, Durchbrennen des Schweißgutes oder Wegfall eines Werkstücks.