CMZ – Constantly Monitoring Zone

Ziel: Kritische Signale schützen Inhalt:

• Sequenz / HW-Zone / Plant

• Abschaltverhalten

• Keine manuelle Bewegung bei Fehler

1. Warum braucht es CMZ?

Interlocks (i) überwachen Bedingungen zustandsabhängig. Viele sicherheits- und integritätsrelevante Signale sind jedoch immer relevant – unabhängig davon, in welchem Zustand sich eine Sequence befindet.

Typische Beispiele:

• Türen, Schutzeinrichtungen

• Energie- und Versorgungszustände

• Grundlegende Prozessfreigaben

• physikalisch unmögliche Zustände

Werden solche Signale nur zustandsabhängig geprüft, entstehen:

• unklare Reaktionen

• unvollständige Überwachung

• schwer erklärbare Fehlerbilder

CMZ existiert, um permanent gültige Bedingungen explizit und deterministisch zu überwachen.

---

2. Was ist eine CMZ?

Eine CMZ (Constantly Monitoring Zone) ist eine Zone, deren Zustand permanent überwacht wird – unabhängig vom aktuellen Zustand einer Sequence.

Eine CMZ ist:

• zustandsunabhängig

• kontinuierlich aktiv

• deterministisch

Eine CMZ ist nicht:

• ein Interlock (i)

• ein Sicherheitsrelais

• ein Not-Halt

• ein Hardware-Sicherheitsbaustein

CMZ ist eine logische Überwachungsfunktion im Modell.

---

3. Grundprinzip der CMZ

Das Grundprinzip ist strikt:

• Eine CMZ kennt kein „gerade egal“

• Sie kennt nur gültig oder ungültig

• Ihre Bewertung ist immer aktiv

Daraus folgt:

Wenn eine CMZ verletzt ist, darf sich das System nicht bewegen.

CMZ überwacht Systemintegrität, nicht Ablauflogik.

---

4. CMZ-Ebenen (Hierarchie)

CMZs existieren auf drei Ebenen:

4.1 CMZ auf Sequence-Ebene

• betrifft nur eine einzelne Sequence

• typische Anwendungsfälle:

  • prozesskritische Freigaben

  • dauerhafte Bedingungen für einen Ablauf

Fehlerwirkung:

• Automatikfreigabe dieser Sequence wird entzogen

• andere Sequences bleiben unbeeinflusst

---

4.2 CMZ auf Hardware-Zonen-Ebene

• betrifft alle Sequences innerhalb der Hardware-Zone

• typische Anwendungsfälle:

  • Türkontakte eines Moduls

  • Energieversorgung eines Aggregats

Fehlerwirkung:

• Automatikfreigabe der gesamten Hardware-Zone wird entzogen

• alle enthaltenen Sequences stoppen

---

4.3 CMZ auf Plant-Ebene (Total CMZ)

• betrifft die gesamte Anlage

• typische Anwendungsfälle:

  • Hauptenergie

  • übergeordnete Sicherheitsbedingungen

Fehlerwirkung:

• vollständiger Anlagenstopp

• alle Hardware-Zonen und Sequences sind gesperrt

Höhere CMZ-Ebenen überstimmen immer niedrigere.

---

5. Verhalten bei CMZ-Abweichung

Bei einer CMZ-Abweichung gilt immer:

• sofortiger Entzug der Automatikfreigabe

• Stop aller betroffenen Sequences

• keine manuelle Bewegung möglich

• eindeutige Diagnose

Es gibt:

• keine Übergangszustände

• kein „Weiterfahren bis zum Ende“

• keine Sonderbehandlung im Handbetrieb

CMZ-Fehler bedeutet: Das System darf sich nicht bewegen.

---

6. Unterschied CMZ vs. Interlock (i)

Merkmal	Interlock (i)	CMZ
Zustandsabhängig	ja	nein
Permanent aktiv	nein	ja
Wirkung im Handbetrieb	eingeschränkt	voll
Zweck	Ablauf schützen	System schützen

Merksatz:

i schützt den Ablauf, CMZ schützt Integrität, Mensch und Maschine.

---

7. CMZ und Handbetrieb

CMZ wirkt uneingeschränkt auch im Handbetrieb.

Das bedeutet:

• keine manuelle Bewegung bei CMZ-Fehler

• keine Umgehung durch Betriebsartenwechsel

• keine „Service-Ausnahme“

Handbetrieb ist kein Sicherheitsmodus.

---

8. CMZ und Diagnose

Eine CMZ-Abweichung erzeugt:

• eine eindeutige Diagnose

• mit klarer Zuordnung:

  • Sequence

  • Hardware-Zone

  • oder Plant

Eigenschaften der Diagnose:

• keine Sammelmeldungen

• keine Mehrdeutigkeit

• direkte Rückführbarkeit auf die Ursache

Die Diagnose entsteht automatisch aus dem Modell.

---

9. CMZ im Sicherheitskonzept der Anlage

CMZ:

• ersetzt keine Hardware-Sicherheitsfunktionen

• ergänzt funktionale Sicherheit

• erhöht Nachvollziehbarkeit und Argumentierbarkeit

CMZ ist:

• Teil der logischen Sicherheitsarchitektur

• Grundlage für formale Nachweise

• entscheidend für auditierbare Systeme

CMZ ergänzt Hardware-Sicherheit durch formale Modellüberwachung.

---

10. Typische Fehler im Umgang mit CMZ

Häufige Fehler sind:

• CMZ als Ersatz für Interlocks verwenden

• zu viele CMZs definieren

• falsche CMZ-Ebene wählen

• sicherheitsrelevante Signale nicht als CMZ modellieren

• CMZ als Komfortfunktion missverstehen

Faustregel:

Alles, was immer stimmen muss, gehört in eine CMZ.

---

11. Warum CMZ entscheidend für Selmo ist

CMZ ermöglicht:

• vollständige, permanente Überwachung

• klare hierarchische Reaktionen

• deterministisches Systemverhalten

• normfähige Argumentation

• verantwortbare Automatisierung

Oder anders gesagt:

CMZ macht aus Ablaufsteuerung ein verantwortbares System.

---

12. Zusammenfassung

Eine CMZ ist:

• eine permanent überwachte Zone

• unabhängig vom Ablauf

• strikt hierarchisch wirksam

• Grundlage für sichere und erklärbare Maschinen

Ohne CMZ gibt es keine vollständige Systemintegrität.