„Два контактора и реле за безопасност — значи категория 3.“ В таблото всичко изглежда наред. В списъка за покупки — също. После контактите на единия контактор се заваряват и схемата показва какво реално струва.
Операторът отваря предпазното ограждение на конвейера. Управлението изключва бобината на K1, но силовите му контакти остават затворени. Двигателят продължава да получава захранване. Командата е правилна. Контакторът просто не я изпълнява. Вторият контактор може да спаси изключването. Диагностиката може да разкрие отказа и да блокира следващото пускане. Всичко зависи от действителната архитектура, а не от надписа върху чертежа.
Категории на безопасност по ISO 13849-1 описват устойчивостта на подсистемата към откази и поведението ѝ след възникването им. Разликата между B, 1, 2, 3 и 4 се вижда най-добре при една и съща задача: прекъсване на захранването към задвижването дори когато нещо в системата вече е дефектирало. При приемателно изпитване всяка изправна схема може да изглежда убедително. Категорията започва да има значение, когато схемата престане да бъде изправна.
Първо задачата, после апаратите в таблото
Операторът трябва да коригира детайл. Лентата трябва да спре преди достъпа до опасната зона и да остане спряна през цялото време, докато предпазното ограждение е отворено. Проектантът извежда тези условия от оценката на риска съгласно ISO 12100, след което ги записва в спецификацията на изискванията за безопасност — SRS.
Цялата функция включва откриване на отвореното ограждение, решение на управлението и изключване на задвижването. Всяка част може да бъде разглеждана като отделна подсистема. В следващите варианти променяме изходната подсистема: контакторите, техните връзки и надзора им. Подфункцията е една — прекъсване на захранването към задвижването.
Контакторът е електрически управляван комутационен апарат. Напрежението върху бобината затваря силовите контакти, през които протича токът към двигателя. При изключване на бобината изправният апарат ги отваря. Заваряването на контактите отнема точно тази способност.
При два последователно свързани контактора K1 и K2 токът към двигателя преминава през двата. Отварянето на който и да е от тях прекъсва веригата. Всеки контактор заедно със своето управление образува самостоятелен път за изключване — канал.
Категория B: K1 е със заварени контакти. Захранването остава
Задвижването се изключва от един контактор K1. При отваряне на ограждението управлението изключва бобината, контактите се отварят и двигателят остава без захранване. Това може да работи безупречно хиляди цикли.
При следващото включване контактите се заваряват. Конвейерът продължава да работи и операторът още не забелязва нищо. Той отваря ограждението. Напрежението върху бобината изчезва, но токът към двигателя остава. Няма втори елемент, който да прекъсне веригата. Един отказ отнема способността на подсистемата да изключи задвижването.
Ако вместо това се прекъсне проводникът към бобината, изправният контактор ще изключи. Това е друг отказ с друг резултат. Фразата „при повреда контакторът ще отпадне“ звучи чудесно, докато авторът сам си избира повредата.
Категория B изисква основни принципи за безопасност и избор на компоненти според реалните условия. Контакторът трябва да издържа товара, броя комутации и температурата в таблото. Буквата B не е разрешение да се монтира каквото е останало в склада.
Кога категория B дава PL a и кога PL b?
Две еднакво изглеждащи схеми могат да имат различна честота на опасните откази. Единият контактор включва двигателя веднъж на смяна. Другият го прави при всеки детайл. Моделът е същият, но броят на комутациите е съвсем различен.
Проектантът отчита дълготрайността на апарата и реалния режим на машината. Определя MTTFD — средното време до опасен отказ. Колкото по-висока е стойността, толкова по-рядко статистически възникват такива откази. За канала се включват всички елементи, чието повреждане може да отнеме способността за изключване.
| MTTFD на канала | PFH — средна честота на опасен отказ за час | Постигнат PL |
|---|---|---|
| 10 години | 1,14 × 10⁻⁵ 1/h | PL a |
| 12 години | 9,51 × 10⁻⁶ 1/h | PL b |
| 20 години | 5,71 × 10⁻⁶ 1/h | PL b |
При 10 години резултатът е PL a, а при 12 — PL b, защото PFH пада под 10⁻⁵ 1/h. Променя се надеждността. След заваряване на контактите обаче и двете схеми ще се държат еднакво.
MTTFD е статистически параметър. „20 години“ в изчислението не означава двадесетгодишна гаранция и не определя автоматично срок за подмяна. Той се задава според ограниченията и условията за използване на апарата.
Стойностите тук се отнасят само за изходната подсистема. За цялата функция се събират PFH на входа, логиката и изхода: PFH на входа + PFH на логиката + PFH на изхода. Резултатът се сравнява с диапазоните на PL и допълнително се ограничава от най-ниския PL на отделна подсистема. Затова изход с PL b може в цялата функция да доведе до PL a.
Категория B може да достигне най-много PL b. Ако изискваният PLr е d, още едно успешно отваряне на ограждението при приемането няма да премести тази граница. Всичко зависи от един канал. Когато K1 вече не изключва, защитата е загубена.
Категория 1: същият проблем трябва да възниква по-рядко
Задвижването отново се изключва от един K1. Проектантът обаче повишава изискванията към надеждността и начина му на приложение. Освен принципите на категория B се използват изпитани компоненти и изпитани принципи за безопасност. При опростения метод MTTFD на канала трябва да е висок — от 30 до 100 години.
„Изпитан“ винаги означава изпитан при конкретни условия. Апарат, който години наред е включвал нагреватели, сега управлява двигател с голям пусков ток и чести комутации. Познатото лого остава. Натоварването вече е друго.
Изборът се обосновава с документиран опит от сходни приложения или със свойства, доказани чрез проектиране, проверка и валидиране по приложимите стандарти. ISO 13849-2 посочва компоненти и условия, при които те могат да се приемат за изпитани.
След всичко това K1 пак може да получи заварени контакти. Бобината е изключена, контактите остават затворени, двигателят е под напрежение. Категория 1 намалява вероятността за събитието. Не създава втори канал.
По-висока надеждност: от PL b до PL c
При MTTFD на канала 30 години таблица K.1 дава PL b. При 39 години PFH пада под 3 × 10⁻⁶ 1/h и резултатът преминава в PL c.
| MTTFD на канала | PFH — средна честота на опасен отказ за час | Постигнат PL |
|---|---|---|
| 30 години | 3,80 × 10⁻⁶ 1/h | PL b |
| 39 години | 2,93 × 10⁻⁶ 1/h | PL c |
| 100 години | 1,14 × 10⁻⁶ 1/h | PL c |
Таванът на категория 1 е PL c. По-надеждният апарат има стойност — отказва по-рядко. Но при заваряване на контактите няма втори път за изключване. Защитата продължава да зависи от един канал.
Категория 2: системата проверява дали K1 е изпълнил командата
Операторът отваря ограждението. Управлението изключва K1 и чака потвърждение, че силовите му контакти са се отворили. Този път изпълнението на командата се проверява.
Информацията идва от огледален контакт на контактора. Конструкцията му не позволява той да се затвори, когато силов контакт остава заварен. Така системата разбира дали K1 е отворил веригата.
K1 е със заварени контакти. Потвърждението не се връща. Тестът открива отказа и задейства реакция. В този вариант допълнителният контактор KT, свързан последователно с K1, прекъсва захранването. Управлението блокира следващо пускане до отстраняване на повредата.
В стандарта изпитващото устройство е означено с TE, а изходът му — с OTE. Тук OTE управлява KT. K1 принадлежи към функционалния канал, който извършва обичайното изключване. TE и OTE образуват изпитващ канал, който проверява изпълнението и задейства реакцията при отказ.
В таблото има два контактора, но архитектурата продължава да е категория 2. KT получава задача да изключи едва след откриване на проблема с K1. Точно тук броенето на апарати губи срещу четенето на схемата.
Вчера изправен. При днешното включване вече със заварени контакти
K1 преминава успешно теста. При следващото включване контактите му се заваряват. До следващата проверка функционалният канал е неизправен. Предишният тест не е скрил нищо — машината се е повредила след него.
Затова категория 2 може да загуби подфункцията между две изпитвания. Проектантът трябва да определи кога се изпълнява тестът и колко бързо следва реакцията. Ако проверката започва при отваряне на ограждението, откриването на отказа, изключването чрез KT и спирането трябва да приключат преди човекът да достигне опасността.
При PLr d OTE трябва да задейства състояние, осигуряващо безопасност, и да го поддържа до отстраняване на отказа. Червено съобщение на екрана не е достатъчно. То само би обяснило много ясно защо двигателят продължава да е под напрежение.
Изпитването може да даде PL d. Надеждността също има значение
Точка 6.1.3.2.4 изисква честотата на изпитванията да е поне 100 пъти по-висока от честотата на задействане на функцията или тестът да започва незабавно при задействането ѝ, като отказът се открие и машината се приведе в неопасно състояние преди достигането на опасната зона. Съотношението 100:1 не означава сто теста преди всяко отваряне.
MTTFD на изпитващия канал TE–OTE трябва да надвишава половината от MTTFD на функционалния канал. Всяка част на функционалния канал се нуждае поне от ниско диагностично покритие. Прилагат се принципите на категория B, изпитаните принципи за безопасност и мерките срещу отказ по обща причина между двата канала.
DC е диагностичното покритие — ефективността при откриване на опасни откази. За подсистемата се определя средно диагностично покритие DCavg, което отчита честотата на опасните откази в отделните ѝ части. При едно и също DCavg = 90% категория 2 дава различен PL според надеждността.
| MTTFD на функционалния канал | PFH — средна честота на опасен отказ за час | Постигнат PL |
|---|---|---|
| 3 години | 1,99 × 10⁻⁵ 1/h | PL a |
| 10 години | 5,14 × 10⁻⁶ 1/h | PL b |
| 30 години | 1,21 × 10⁻⁶ 1/h | PL c |
| 100 години | 2,29 × 10⁻⁷ 1/h | PL d |
В категория 2 защитата зависи от това дали тестът ще открие отказа и дали системата ще реагира навреме. Моментът и продължителността на проверката са част от проекта, не настройка за довършване след монтажа.
Категория 3: K2 изключва, без да чака резултата от тест
K1 и K2 са свързани последователно в захранването на двигателя. При отваряне на ограждението управлението командва изключване и на двата. Всеки контактор има собствен управляващ път и може самостоятелно да прекъсне захранването.
K1 остава със заварени контакти. K2 отваря и прекъсва тока. Вторият канал изпълнява защитната задача въпреки отказа на първия. Това е съществената разлика спрямо категория 2. Там KT се намесва след откриване на дефекта. Тук K2 получава команда за изключване още при отварянето на ограждението. Не чака диагнозата на K1.
Конвейерът е спрял. Ремонтът все още е необходим
Операторът вижда обичайния резултат — лентата спира. В таблото обаче единият контактор вече не работи. Диагностиката открива липсващото потвърждение от K1 и блокира повторното пускане. K2 е изпълнил задачата вместо повредения канал. Не го е ремонтирал.
Ако управлението позволи работа с открития отказ, следващото изключване ще зависи само от K2. Категория 3 изисква запазване на подфункцията след единичен отказ. Това важи за всички компоненти и връзки в оценяваната подсистема. Ако един отказ в управлението може да задържи и двете бобини под напрежение, двата контактора ще изпълняват безпогрешно една и съща грешна команда.
Необходимо е поне ниско диагностично покритие. Единичният отказ трябва да се открие при задействането на функцията или преди следващото ѝ задействане, когато това е практически обосновано. Някои откази могат да останат неоткрити. Натрупването им по-късно може да отнеме защитата — точно тук започва разликата спрямо категория 4.
Категория 3 може да достигне PL c, d или e
При DCavg = 90% и MTTFD на всеки канал 10 години резултатът е PL c. При 30 години е PL d, а при 100 — PL e. Удобното равенство „категория 3 означава PL d“ пропуска две от възможностите.
| MTTFD на всеки канал | PFH — средна честота на опасен отказ за час | Постигнат PL |
|---|---|---|
| 10 години | 1,36 × 10⁻⁶ 1/h | PL c |
| 30 години | 2,65 × 10⁻⁷ 1/h | PL d |
| 100 години | 4,29 × 10⁻⁸ 1/h | PL e |
MTTFD се отнася поотделно за всеки канал. Два канала по 30 години не се превръщат в един канал с MTTFD 60 години. Остават в сила изискванията на категория B, изпитаните принципи и мерките срещу откази по обща причина.
K2 изключва задвижването въпреки дефекта на K1. Диагностиката решава дали системата ще получи разрешение за следващ цикъл. Успешното спиране не е доказателство, че всичко вътре още е изправно.
Категория 4: проблем е и отказът, пропуснат от диагностиката
След заваряване на контактите на K1 задвижването се изключва от K2, а управлението блокира следващото пускане. Същото видяхме при категория 3. Разликата се появява при по-широкия анализ: какво открива системата, кога го открива и какво става с отказите, които диагностиката пропуска?
При категория 4 единичният отказ трябва да остави функцията работоспособна и да бъде открит при нейното задействане или преди следващото задействане. Ако това не е възможно, натрупването на откази също трябва да остави защитата ефективна.
Системата проверява и дали потвърждението казва истината
Всеки контактор има отделно наблюдаван огледален контакт. Управлението следи реакцията му през целия цикъл. Преди пускане двата контактора са изключени и обратните сигнали трябва да потвърдят отворени силови пътища. След включване потвърждението „отворен“ трябва да изчезне в определеното време. След изключване то трябва да се върне.
При K1 със заварени контакти последното потвърждение не се връща. K2 изключва двигателя, а логиката блокира повторното включване. Напрежението върху бобината се изменя 0 → 24 → 0 V, а очакваният сигнал за отворено положение — 1 → 0 → 1.
Защо трябва да се проверява и изчезването на сигнала? Двата проводника на огледалния контакт могат да се свържат накъсо. Тогава сигналът постоянно казва „K1 е отворен“, включително когато контакторът е включен. Система, която проверява само наличието му преди старт, ще приеме фалшивото потвърждение.
Контролът на промяната открива противоречието: K1 е получил команда за включване, но сигналът „отворен“ остава. Управлението изключва изходите и блокира работата. Операторът може да натиска нулиране колкото иска. Нулирането няма да раздели нито съединените накъсо проводници, нито заварените контакти.
Подобна диагностика може да се използва и в категория 3. Категория 4 се определя от поведението на цялата подсистема спрямо разглежданите откази и натрупването им, а не от наличието на една конкретна проверка.
Два клапана показват защо това е важно
V1 и V2 са седлови клапани, свързани последователно в подаването на масло към цилиндър. Всеки може сам да спре потока. Датчици следят положението на затварящите елементи.
Уплътнението на седлото във V1 се поврежда. Затварящият елемент достига положение „затворен“, но масло преминава през дефектното уплътнение. Датчикът за положение продължава да казва истината. Изправният V2 спира потока и машината не помръдва.
По-късно по независима причина V2 също започва да пропуска. Потокът през двата клапана вече е достатъчен за опасно движение. На екрана стоят две напълно съгласувани потвърждения „затворен“ — и двете безполезни за откриване на теча. Това е натрупване на неоткрити откази, което може да отнеме защитата при категория 3.
За категория 4 този сценарий трябва да бъде прекъснат: значимият теч се открива навреме или функцията остава ефективна при разглежданото натрупване. Отделен тест за херметичност на всеки клапан проверява точно онова, което датчикът за положение не може.
Например течът повишава налягането в отделена изпитвателна кухина зад клапана, изолирана от цилиндъра. Датчик за налягане открива повишението и системата блокира работата. Ако двата клапана се изпитват затворени едновременно, изправният V2 може да прикрие пропускането на V1. Прагът и времето на теста трябва да откриват опасния теч преди възникване на риск. Проектът трябва да отчете и остатъчното налягане — спирането на новия поток не премахва вече натрупаната енергия.
99% трябва да идват от действието на диагностиката
Категория 4 изисква високо DCavg — поне 99% — и високо MTTFD за всеки канал. Тези 99% се отнасят до честотата на откритите опасни откази. Откриването на девет редки вида откази и пропускането на един често срещан може да даде слаб резултат. Списъкът с отметки изглежда по-добре от защитата, но човекът до машината няма полза от това.
| MTTFD на всеки канал | PFH — средна честота на опасен отказ за час | Постигнат PL |
|---|---|---|
| 30 години | 9,54 × 10⁻⁸ 1/h | PL e |
| 100 години | 2,47 × 10⁻⁸ 1/h | PL e |
| 2 500 години | 9,06 × 10⁻¹⁰ 1/h | PL e |
За категория 4 моделът допуска MTTFD на канал до 2 500 години. Това остава статистически параметър. Изискванията на категория B, изпитаните принципи и мерките срещу общи причини продължават да важат.
Точка 6.1.3.2.6 посочва, че на практика може да е достатъчно разглеждането на комбинации от два отказа. Изключването на неоткрити откази с много ниска вероятност изисква документиран и проверен анализ, например FMEA — анализ на видовете и последствията от отказите.
Диагностиката трябва да проверява способността за изпълнение на задачата. Клапанът може коректно да потвърждава положението си и въпреки това да пропуска масло. Правдивият сигнал не гарантира изправна защитна функция.
Пет категории, един K1 със заварени контакти
При B и 1 заваряването на K1 оставя двигателя под напрежение. При категория 2 изключването се изпълнява от KT след откриване на отказа от TE. При категории 3 и 4 изключва K2, който получава команда едновременно с отварянето на ограждението. Диагностиката установява проблема и блокира следващия цикъл.
Затова оценката не приключва с първата успешна защитна реакция. Трябва да се провери какво ще стане след нея, кои откази остават скрити и дали системата ще разреши нов цикъл.
Два контактора могат да загубят срещу едно и също късо съединение
Досега K1 отказваше, а K2 спасяваше изключването. Но след K2 възниква късо съединение. Токът преминава през двата затворени контактора и поврежда и двата. Вторият канал току-що срещна същата причина като първия. Това е CCF — отказ по обща причина.
При категории 3 и 4 проблемът засяга двата функционални канала, а при категория 2 — функционалния и изпитващия канал. Проектантът трябва да ограничи общите въздействия с конкретни технически мерки.
K2 се затваря първи и се отваря последен
Първо се затваря K2. K1 все още е отворен и към двигателя не протича ток. След това K1 затваря веригата и включва товара. При изключване последователността се обръща: K1 прекъсва тока, а K2 се отваря малко по-късно, вече без товарен ток.
Двата контактора провеждат един и същ ток по време на работа, но комутационните им условия са различни. K2 обикновено избягва включването на пусковия ток и прекъсването на товара, което намалява електрическото износване. Механизмът му обаче извършва всяко движение и механичното износване остава.
K2 трябва да е избран така, че самостоятелно да прекъсне пълния товар, защото след заваряване на K1 точно това ще направи. Изключването му трябва да настъпи в зададеното време, без да чака потвърждение от K1 — при заварени контакти такова потвърждение няма да дойде. Закъснението и времената на апаратите трябва да се вместят в изискваното време за реакция на функцията.
Защитата от късо съединение трябва да ограничи общото събитие
Последователността на комутация различава натоварванията при нормално включване и изключване. При късо съединение, когато двата контактора са затворени, токът натоварва и двата. Защитата F трябва да го прекъсне, а последствията зависят от стойността на тока и продължителността му.
Проектантът определя очаквания ток на късо съединение на мястото на монтаж и проверява целия комплект: конкретен контактор, тип и номинален ток на защитата, напрежение и условия на приложение. Само номиналният ток на двигателя не е достатъчен.
Заварените при късото съединение контакти могат да останат затворени и след сработването на F. Предпазителят прекъсва тока. Ремонт на контакторите не е включен в услугата. Преди връщане в работа двата апарата трябва да бъдат проверени и повредите — отстранени.
IEC 60947-4-1, т. 8.2.5.1, допуска възможност за заваряване на контактите и при координация тип 2. Производителят определя необходимите действия по поддръжката. Използването на различна защита от посочената може да обезсили координацията.
Общо трасе, общо захранване, общо прегряване
Проводниците към двете бобини минават в един сноп. Притискането му свързва и двете управления към +24 V. Отделни защитени трасета и разделени клеми намаляват вероятността един отказ да обхване двата канала.
Общото захранване при дефект подава прекомерно напрежение. Трябва да се провери поведението му при отказ и да се предвиди подходящо ограничаване или външна защита. Двата контактора са монтирани над честотен преобразувател. След отказ на вентилатора температурата надхвърля допустимата. Разположението, отстоянията и охлаждането трябва да покриват и този сценарий. Отвореното табло по време на приемане почти винаги има чудесна вентилация.
Двата канала преминават до двигателните кабели на преобразувателя. Разделянето на трасетата, екранирането и изравняването на потенциалите ограничават общото електромагнитно въздействие. Устойчивостта трябва да съответства на реалната среда.
Приложение F подрежда оценката в точки. Методът изисква поне 65 точки за приложените мерки. Например разделянето на каналите носи 15 точки, защитата срещу съответните свръхтокове и пренапрежения — 15, мерките срещу електромагнитни смущения — 25, а останалите фактори на средата — 10.
Резултатът може да бъде обоснован и с еднакви контактори. Различаването по конструкция, технология, натоварване или производител дава до 20 точки в една позиция. Две търговски марки върху един и същ продукт не създават разнообразие. Частично изпълнена мярка носи нула точки.
Вторият канал помага само ако обща причина не отнеме способността и на двата канала да действат. Дублирането без контрол на общите въздействия е две копия на една и съща уязвимост.
А къде са двата канала в датчика, релето и PLC?
K1 и K2 се посочват лесно с пръст. В електрониката каналите могат да бъдат в един корпус. ISO 13849-1 описва логическата структура, а вътрешното изпълнение на конкретното устройство се определя и доказва от неговия производител.
Два датчика при едно предпазно ограждение
Индуктивните датчици S1 и S2 откриват метален елемент на затвореното ограждение. Всеки подава отделен сигнал към самостоятелен вход. За работа са необходими и двете потвърждения „затворено“.
S1 се поврежда и постоянно показва „затворено“. При отваряне металът се отдалечава и от двата датчика. Изправният S2 променя сигнала си и управлението издава команда за спиране. Загубата на едно потвърждение е достатъчна за реакция.
Един датчик за безопасност с два изхода OSSD
Индуктивен датчик за безопасност може да има диагностика и два наблюдавани електронни изхода OSSD. След отдалечаване на метала двата изхода се изключват и подават искане за спиране. Диагностиката следи и способността им да преминат в изключено състояние.
Обикновен датчик може също да има два изхода, но една и съща електроника да определя състоянието и на двата. NO се включва при откриване на метал, а NC се изключва. Ако общата електроника погрешно разпознава метал при отворено ограждение, двата изхода ще се държат точно както при затворено. Сравняването на противоположните им състояния няма да открие грешката. Управлението е получило две версии на една и съща заблуда.
Реле за безопасност и контролер
В класическо реле за безопасност работят две вътрешни релета R1 и R2. Разрешаващите им контакти са последователно свързани. Ако контакт на R1 се завари, R2 все още може да отвори изхода. Механично свързани контролни контакти позволяват дефектът да бъде открит и повторното включване — блокирано.
PLC в изпълнение за функции, свързани с безопасността, може да използва два процесора и сравнение на резултатите. Единият изчислява разрешение за движение, а другият — спиране. Несъответствието задейства защитна реакция. Тестовете обхващат паметта, изпълнението на програмата, входовете и изходите.
Две копия на програмата в обикновен PLC могат да работят върху един процесор. Негов отказ ще засегне и двете. Копирането на код е по-лесно от изграждането на устойчивост към откази — и дава друг резултат.
Светлинна завеса
Операторът прекъсва лъчите между предавателя и приемника. Завесата изключва OSSD1 и OSSD2. Ако повреден OSSD1 остане включен, изключването на OSSD2 трябва да е достатъчно за подаване на команда за спиране. Всеки изход се свързва към предназначен за него вход, а диагностиката обхваща изходите и връзките.
В документацията на устройството проектантът проверява постигнатия PL, категорията, времето за реакция и изискваното свързване. Само така свойствата на готовата подсистема могат да бъдат използвани правилно в конкретната функция.
Един и същ PL, различно поведение след отказ
Един проектант постига PL d с категория 2, друг — с категория 3. И двата резултата могат да са правилни. Първият използва по-надежден функционален канал с изпитване. Вторият използва два функционални канала.
| Категория | MTTFD на канала | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 години | 90% | 2,29 × 10⁻⁷ | d |
| 3 | 30 години | 90% | 2,65 × 10⁻⁷ | d |
За категория 2 MTTFD се отнася до функционалния канал. За категория 3 стойността важи за всеки от двата канала. И двете PFH попадат в PL d, но категория 2 може да загуби подфункцията между тестовете, докато категория 3 я запазва след единичен отказ.
Ако SRS или стандарт тип C за конкретната машина изисква запазване на функцията след единичен отказ, проектантът трябва да осигури точно това поведение. Буквата d сама по себе си не решава архитектурата.
Същата категория, по-добра диагностика
При категория 3 и MTTFD на всеки канал 100 години повишаването на DCavg от 60% на 90% премества резултата от PL d към PL e.
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60% | 1,01 × 10⁻⁷ | d |
| 90% | 4,29 × 10⁻⁸ | e |
По-високото диагностично покритие трябва да идва от по-ефективно откриване и подходяща реакция. Контролът на промените в обратния сигнал може да разкрие късо съединение, което постоянно потвърждава отворен контактор. Това действително променя поведението на системата. Смяната на поле от 60 на 90% в изчислителна програма променя само разпечатката.
Числените примери използват моделите на ISO 13849-1:2023. Методът от т. 6.1.8 приема 20 години предвидена употреба, постоянни интензитети на отказите и подходящи мерки срещу CCF. За компоненти, които се износват по-рано, трябва да се отчетат ограниченията им за използване.
При категория 2 важат и изискванията към изпитващия канал, честотата на тестовете и времето за реакция. За периодично изпитване показаните PFH съответстват на съотношение поне 100:1 между тестове и задействания. Забележка 1 към таблица K.1 дава оценка за съотношение поне 25:1 чрез умножаване на табличното PFH по 1,1. Ниското, средното и високото DCavg в таблицата са изчислени съответно при 60%, 90% и 99%.
PL показва нивото на ефективност. Категорията показва как системата се справя с отказите. За правилен избор са нужни и двете. Едно и също PL не означава еднакво поведение след дефект.
Контакторите са готови да изключат. Само командата не е дошла
Подсистемата K1–K2 постига PL e. Датчикът на ограждението обаче погрешно съобщава, че вратата е затворена. Управлението разрешава движение и двата контактора остават включени. Те могат да са изправни и отлично наблюдавани. Проблемът е възникнал по-рано — на входа на функцията.
Затова се оценява цялата верига: вход → логика → изход, включително връзките. При последователно комбинирани подсистеми с известни PFH стойностите се сумират. PL на цялата функция се ограничава както от сумата, така и от най-ниския PL на отделна подсистема.
Три подсистеми по 4 × 10⁻⁸ 1/h дават общо 1,2 × 10⁻⁷ 1/h — PL d. Всяка поотделно е в PL e. Сметката е проста: цялата функция има повече места, на които може да откаже опасно. Подробностите са разгледани в материала за изчисляване на PL съгласно ISO 13849-1.
След прекъсване на захранването лентата продължава да спира известно време. Защитата трябва да сработи преди човекът да достигне опасността. Практическият ефект се вижда при разстоянието на светлинната завеса след промяна на времето за реакция. При комбиниране на подсистеми, оценени по различни методи, помага и сравнението между ISO 13849-1 и IEC 62061.
След няколко години някой ще смени K1
Новият контактор има същия номинален ток и пасва на шината. Сервизният техник обаче се нуждае и от правилния огледален контакт, подходящи времена на действие и данни за дълготрайността. Тези характеристики са част от проекта. Записът „24 V, същите ампери“ пропуска точно онова, от което диагностиката се нуждае.
Документацията трябва да показва защо е избран апаратът, какво наблюдава системата и как реагира при отказ. Иначе остава телефонно обаждане до автора на програмата и надеждата, че помни причината за всяко условие. Така обосновката на проекта става зависима от паметта на един човек.
| Поле | Запис |
|---|---|
| Обхват | Изходна подсистема K1–K2 с връзките и надзора; задача: прекъсване на захранването към задвижването. |
| Разглеждан отказ | K1 остава затворен въпреки командата за изключване. |
| Изисквана реакция | K2 самостоятелно изключва задвижването. Липсващият обратен сигнал от K1 разкрива отказа и блокира повторното включване. |
| Доказателство | Анализ на отказите и изпитване T-01: проверка на изключването чрез K2, времето за реакция, откриването и блокировката. Резултатът се записва за конкретната версия на системата. |
Пълната карта свързва този запис със SRS, версията на схемата, основанията за MTTFD, DCavg и CCF и резултатите от валидирането. Тя обосновава и приложените изключвания на откази.
Изтеглете карта за обосноваване на категорията — PDF на английски: пример K1–K2 и формуляр за собствен проект в един файл с полета за попълване.
Ръководителят не е длъжен лично да изчислява PFH. Може да поиска доставчикът да покаже един отказ върху схемата: какво се поврежда, какво продължава да защитава човека, кога управлението открива проблема и къде е записан резултатът от проверката. Това води до много по-смислен разговор от въпроса за марката на релето.
Два контактора са позиция в списъка за покупки. Едва тяхното поведение, диагностиката и доказаната проектна обосновка позволяват да се определи категория.
Източници
Примерите с конвейера, контакторите и клапаните служат за обяснение на изискванията. Стойностите PFH и съответстващите им PL са от таблица K.1.
- ISO 13849-1:2023-09, т. 4.5, 5.1, 5.2.1 и 5.3–5.5 — информация от оценката на риска, SRS, PLr и разделянето на подсистеми; определения 3.1.45–3.1.47 и т. 6.1.3.1–6.1.3.2.1 — подсистема, канал и архитектури.
- ISO 13849-1:2023-09, т. 6.1.3.2.2–6.1.3.2.6 — изисквания към категории B–4, реакция при отказ, изпитване и натрупване на откази; определения 3.1.49–3.1.50 и т. 6.1.11 — изпитани принципи и компоненти.
- ISO 13849-1:2023-09, таблици 2, 6 и 7, т. 6.1.4–6.1.5 и 6.1.8, приложения C–E и таблица K.1 със забележки 1–2 — PL, PFH, MTTFD, DC, дълготрайност, брой комутации и допускания на числените модели.
- ISO 13849-1:2023-09, т. 6.1.6, приложение F и таблица F.1 — CCF, мерки за ограничаване на общите въздействия, точкова оценка и праг 65 точки; F.3.2 — разнообразяване; F.3.3 и F.3.6 — защити, смущения и работна среда.
- IEC 60947-4-1:2019-05, т. 8.2.5.1 — съвместна работа на контактори и защити срещу късо съединение и координация тип 2; т. 8.2.4.3.1–8.2.4.3.2 и приложение B — механична и електрическа дълготрайност; приложение F — свойства и идентификация на огледалните контакти.
- ISO 13849-1:2023-09, т. 6.1.10, определения 3.1.29–3.1.30 и 3.1.51–3.1.52, приложение E и таблица E.1 — анализ на отказите, наблюдение, изпитване и проверка на достоверността; раздел 7 и приложение N — софтуер и предварително оценени платформи; т. 13.2 — информация за интегриране.
- ISO 4413:2011, т. 5.4.4.1 — херметичност и пригодност на клапаните за приложение, свързано с безопасността; т. 5.4.7.1–5.4.7.2.1 — непреднамерено движение, изолиране на енергията и освобождаване на налягането.
- ISO 13849-1:2023-09, т. 6.2.2 и раздел 8 — комбиниране на подсистеми, сумиране на PFH и ограничения на постигнатия PL; т. 5.2.2.2 — спиране; т. 10.1.1–10.1.2, 10.8 и раздел 12 — валидиране, протоколи и техническа документация.