„Dva stykače a bezpečnostní relé, takže kategorie 3.“ Ve skříni všechno sedí. V nákupním seznamu také. Teprve svařené kontakty ukážou, co z této jistoty zůstane ve skutečném provozu.
Obsluha otevře ochranný kryt dopravníku. Řízení vypne cívku K1, ale jeho kontakty jsou svařené. Motor zůstává napájený. Povely byly správné. Stykač je prostě neprovedl. Druhý stykač může pohon odpojit. Diagnostika může poruchu odhalit a zablokovat další spuštění. Všechno záleží na tom, jak projektant obvod skutečně navrhl.
Bezpečnostní kategorie podle ISO 13849-1 popisují odolnost subsystému proti poruchám a jeho chování po jejich vzniku. Rozdíl mezi B, 1, 2, 3 a 4 nejlépe vynikne na stejném úkolu: odpojit napájení pohonu, i když některá část selže. Při přejímce vypadá dobře skoro každý funkční obvod. Kategorie začnou rozhodovat ve chvíli, kdy už funkční není.
Nejdřív úkol, teprve potom přístroje ve skříni
Obsluha potřebuje upravit výrobek. Pás se musí zastavit před přístupem k nebezpečnému místu a během práce s otevřeným ochranným krytem musí zůstat stát. Projektant tato očekávání odvodí z posouzení rizika podle ISO 12100 a zapíše je do specifikace bezpečnostních požadavků – SRS.
Celá bezpečnostní funkce zahrnuje detekci otevření ochranného krytu, rozhodnutí řídicí části a odpojení pohonu. Každou část lze vymezit jako samostatný subsystém. V následujících variantách se mění výstupní subsystém: stykače, jejich zapojení a monitorování. Jeho dílčím úkolem je odpojit napájení pohonu.
Stykač pracuje jako elektricky ovládaný spínač. Napětí na cívce uzavře výkonové kontakty, jimiž teče proud do motoru. Po vypnutí cívky je funkční přístroj otevře. Svaření kontaktů ho připraví právě o tuto schopnost.
U dvojice stykačů K1 a K2 protéká proud motoru postupně přes oba. Otevření kteréhokoli z nich obvod přeruší. Každý stykač se svým řízením vytváří samostatnou cestu odpojení, tedy kanál.
Kategorie B: K1 se svařil. Napájení zůstává
Pohon odpojuje jediný stykač K1. Po otevření ochranného krytu řízení vypne cívku, kontakty se otevřou a motor ztratí napájení. Takhle může vše proběhnout tisíckrát. Při dalším sepnutí se však kontakty svaří. Dopravník dál běží, takže obsluha zatím nic nepozná.
Pak otevře ochranný kryt. Napětí cívky zmizí, ale proud do motoru teče dál. V obvodu není druhý prvek, který by jej přerušil. Jediná porucha odebrala subsystému schopnost odpojit pohon.
Kdyby se místo svaření přerušil vodič cívky, funkční stykač by odpadl. To je jiná porucha a jiný následek. Věta „při poruše stykač odpadne“ funguje skvěle, dokud si autor sám vybírá, která porucha nastane.
Kategorie B vyžaduje základní bezpečnostní zásady a výběr součástí podle skutečných provozních podmínek. Stykač musí zvládnout zatížení, počet spínání i teplotu ve skříni. Písmeno B není povolení namontovat to, co zrovna zbylo ve skladu.
Kdy kategorie B poskytne PL a a kdy PL b?
Dva obvody mohou vypadat stejně, ale mít odlišnou četnost nebezpečných poruch. Jeden stykač zapíná motor jednou za směnu. Druhý při každém výrobku. Stejný model, úplně jiný počet sepnutí.
Projektant zohlední životnost přístroje a reálný provoz stroje. Určí MTTFD, tedy střední dobu do nebezpečné poruchy. Čím je tato hodnota vyšší, tím méně často takové poruchy statisticky nastávají. Do kanálu zahrne všechny prvky, jejichž selhání může zničit jeho schopnost odpojit pohon.
| MTTFD kanálu | PFH – střední četnost nebezpečné poruchy za hodinu | Dosažený PL |
|---|---|---|
| 10 let | 1,14 × 10⁻⁵ 1/h | PL a |
| 12 let | 9,51 × 10⁻⁶ 1/h | PL b |
| 20 let | 5,71 × 10⁻⁶ 1/h | PL b |
Při 10 letech vychází PL a. Při 12 letech už PL b, protože PFH klesne pod hranici 10⁻⁵ 1/h. Změnila se spolehlivost. Po svaření stykače se však oba obvody zachovají stejně.
MTTFD je statistický parametr. Hodnota „20 let“ nedává stykači dvacetiletou záruku ani automatický termín výměny. Ten se stanovuje podle podmínek a omezení použití přístroje.
Uvedené hodnoty se týkají výstupního subsystému. V celé funkci se přičte PFH snímače a logiky: PFH vstupu + PFH logiky + PFH výstupu. Výsledek se porovná s intervaly PL a zároveň jej omezuje nejnižší PL kteréhokoli subsystému. Výstup s PL b proto může po spojení se zbytkem vytvořit funkci pouze s PL a.
Kategorie B může dosáhnout nejvýše PL b. Pokud požadovaná úroveň vlastností PLr činí d, je nutné jiné řešení. Další úspěšné otevření ochranného krytu při přejímce tuto hranici neposune.
V kategorii B všechno stojí na jediném kanálu. Jakmile svařený K1 přestane odpojovat pohon, ochrana je pryč.
Kategorie 1: stejný problém má nastávat méně často
Pohon stále odpojuje jediný K1. Projektant však zvýší požadavky na jeho spolehlivost a způsob použití. Vedle zásad kategorie B použije osvědčené součásti a osvědčené bezpečnostní zásady. MTTFD kanálu musí být vysoké, ve zjednodušené metodě od 30 do 100 let.
„Osvědčený“ vždy znamená osvědčený v konkrétních podmínkách. Přístroj, který roky bez potíží spínal topná tělesa, nyní dostane motor s vysokým rozběhovým proudem a častým spínáním. Známé logo zůstalo. Zatížení už ne.
Podkladem jsou zdokumentované zkušenosti z podobných použití nebo vlastnosti prokázané konstrukcí, ověřením a validací podle příslušných norem. ISO 13849-2 uvádí také součásti a podmínky, za nichž je lze považovat za osvědčené.
A potom se K1 přesto svaří. Cívka se vypne, kontakty zůstanou uzavřené a motor zůstane napájený. Kategorie 1 snižuje pravděpodobnost tohoto scénáře. Druhý kanál tím ale nevzniká.
Vyšší spolehlivost: od PL b do PL c
Pro MTTFD kanálu 30 let uvádí tabulka K.1 PL b. Při 39 letech klesne PFH pod 3 × 10⁻⁶ 1/h a výsledek přejde do PL c.
| MTTFD kanálu | PFH – střední četnost nebezpečné poruchy za hodinu | Dosažený PL |
|---|---|---|
| 30 let | 3,80 × 10⁻⁶ 1/h | PL b |
| 39 let | 2,93 × 10⁻⁶ 1/h | PL c |
| 100 let | 1,14 × 10⁻⁶ 1/h | PL c |
Stropem kategorie 1 je PL c. Lepší přístroj má smysl: porouchá se méně často. Když však selže právě svařením kontaktů, pohon stále nemá druhou cestu odpojení.
Kategorie 1 staví ochranu na vyšší spolehlivosti jednoho kanálu. Porucha tohoto kanálu ji stále může vyřadit.
Kategorie 2: obvod kontroluje, zda K1 provedl povel
Obsluha otevře ochranný kryt. Řízení vypne K1 a čeká na potvrzení, že se jeho výkonové kontakty otevřely. Tentokrát se provedení povelu kontroluje.
Informaci poskytuje zrcadlový kontakt stykače. Jeho konstrukce nedovolí uzavření, pokud výkonový kontakt zůstane svařený. Obvod tedy dostane odpověď: K1 otevřel obvod, nebo povel neprovedl.
K1 se svařil. Potvrzení se nevrátí. Test odhalí poruchu a spustí reakci. V této variantě odpojí napájení další stykač KT zapojený sériově s K1. Řízení zablokuje další zapnutí až do odstranění závady.
V normě je testovací zařízení označeno TE a jeho výstup OTE. Zde OTE ovládá KT. K1 patří do funkčního kanálu, který zajišťuje běžné odpojení. TE a OTE tvoří testovací kanál: kontroluje splnění úkolu a po zjištění poruchy vyvolá reakci.
Ve skříni jsou dva stykače, ale stále jde o kategorii 2. KT dostává úkol odpojit až po zjištění problému s K1. Počítání přístrojů zde definitivně prohrává se čtením schématu.
Včera funkční. Při dnešním sepnutí už svařený
K1 úspěšně projde testem. Při následujícím zapnutí se však jeho kontakty svaří. Až do další kontroly je funkční kanál vadný. Předchozí výsledek nic nezatajil. Stroj se jednoduše porouchal až potom.
Kategorie 2 proto může mezi testy ztratit dílčí funkci. Projektant musí určit, kdy test proběhne a jak rychlá bude reakce. Pokud kontrola začíná otevřením ochranného krytu, musí detekce poruchy, vypnutí KT a zastavení pohybu nastat dřív, než člověk dosáhne nebezpečného prostoru.
Při požadovaném PLr d musí OTE vyvolat bezpečný stav a udržet jej až do odstranění poruchy. V tomto obvodu to zajišťuje KT. Samotné červené hlášení na displeji by nechalo motor pod napětím. Obsluze by pouze velmi přehledně oznámilo, proč ochrana nefunguje.
Článek 6.1.3.2.4 požaduje četnost testů alespoň stokrát vyšší než četnost vyžádání funkce, případně test ihned při vyžádání funkce, s odhalením poruchy a uvedením stroje do bezpečného stavu dřív, než člověk dosáhne nebezpečné zóny. Otevření ochranného krytu je zde vyžádáním funkce. Poměr 100:1 neznamená sto pokusů před každým otevřením.
MTTFD testovacího kanálu TE–OTE musí být vyšší než polovina MTTFD funkčního kanálu. Každá část funkčního kanálu vyžaduje alespoň nízké diagnostické pokrytí. Platí zásady kategorie B, osvědčené bezpečnostní zásady a opatření proti poruchám se společnou příčinou obou kanálů.
Pro PLr nejvýše c má OTE také vyvolat bezpečný stav, pokud je to proveditelné. Není-li to možné, norma připouští, že může postačit výstraha. Pro PLr d je bezpečná reakce povinná.
Testování může přinést PL d. Rozhoduje také spolehlivost
DC, tedy diagnostické pokrytí, popisuje účinnost odhalování nebezpečných poruch. Pro celý subsystém se stanovuje průměrné diagnostické pokrytí DCavg, které zohledňuje četnost těchto poruch v jednotlivých částech.
Při stejném DCavg = 90 % vychází pro kategorii 2 podle tabulky K.1 PL a při MTTFD funkčního kanálu 3 roky, PL b při 10 letech, PL c při 30 letech a PL d při 100 letech. Test je přítomen ve všech variantách. Liší se četnost poruch, s nimiž se musí vypořádat.
| MTTFD funkčního kanálu | PFH – střední četnost nebezpečné poruchy za hodinu | Dosažený PL |
|---|---|---|
| 3 roky | 1,99 × 10⁻⁵ 1/h | PL a |
| 10 let | 5,14 × 10⁻⁶ 1/h | PL b |
| 30 let | 1,21 × 10⁻⁶ 1/h | PL c |
| 100 let | 2,29 × 10⁻⁷ 1/h | PL d |
V kategorii 2 ochrana závisí na tom, zda test poruchu odhalí a zda obvod stihne zareagovat. Doba kontroly je součástí návrhu, ne poznámka pod čarou.
Kategorie 3: K2 odpojí bez čekání na výsledek testu
K1 a K2 jsou zapojeny sériově v napájení motoru. Obsluha otevře ochranný kryt a řízení vydá povel k vypnutí obou. Každý stykač má vlastní řídicí cestu a každý dokáže sám odpojit pohon.
Svařený K1 zůstane zavřený. K2 otevře kontakty a přeruší proud. Druhý kanál splní ochranný úkol navzdory poruše prvního.
To je zásadní rozdíl proti kategorii 2. Tam KT zasahoval až po odhalení poruchy testem. Zde K2 dostává povel k vypnutí proto, že se otevřel ochranný kryt. Na diagnostiku K1 čekat nemusí.
Dopravník se zastavil. Oprava je stále nutná
Obsluha vidí obvyklý výsledek: pás se zastavil. Ve skříni už ale jeden stykač nefunguje. Diagnostika odhalí, že K1 nepotvrdil otevření, a zablokuje další spuštění.
K2 splnil úkol místo vadného kanálu. Neopravil ho. Kdyby řízení dovolilo pokračovat s touto známou poruchou, příští odpojení by záviselo už jen na K2.
Kategorie 3 vyžaduje zachování dílčí funkce po jediné poruše. To platí pro prvky i propojení celého posuzovaného subsystému. Pokud jediná porucha řízení dokáže ponechat obě cívky pod napětím, mohou oba stykače bezchybně provádět nesprávný povel.
Kategorie 3 vyžaduje alespoň nízké diagnostické pokrytí. Jediná porucha má být odhalena při vyžádání funkce nebo před jejím dalším vyžádáním, pokud je to prakticky proveditelné. Některé poruchy mohou zůstat neodhalené. Jejich pozdější nahromadění může ochranu vyřadit. Právě zde začíná rozdíl proti kategorii 4.
Kategorie 3 může dosáhnout PL c, d nebo e
Při DCavg = 90 % a MTTFD každého kanálu 10 let vychází z tabulky K.1 PL c. Při 30 letech PL d a při 100 letech PL e. Věta „kategorie 3 znamená PL d“ je pohodlná zkratka, která zahazuje dvě další možnosti.
| MTTFD každého kanálu | PFH – střední četnost nebezpečné poruchy za hodinu | Dosažený PL |
|---|---|---|
| 10 let | 1,36 × 10⁻⁶ 1/h | PL c |
| 30 let | 2,65 × 10⁻⁷ 1/h | PL d |
| 100 let | 4,29 × 10⁻⁸ 1/h | PL e |
MTTFD se vztahuje na každý kanál samostatně. Dva kanály po 30 letech se nezmění v jeden kanál s MTTFD 60 let. Nadále platí požadavky kategorie B, osvědčené bezpečnostní zásady a opatření proti poruchám se společnou příčinou.
K2 odpojí pohon navzdory poruše K1. Diagnostika pak rozhodne, zda obvod dostane povolení k dalšímu cyklu.
Kategorie 4: problémem je i porucha, která unikla diagnostice
Po svaření K1 odpojí pohon K2 a řízení zablokuje další spuštění. Totéž jsme viděli u kategorie 3. Rozdíl se ukáže až při širší analýze: co obvod odhaluje, kdy to odhaluje a co se stane s poruchami, které diagnostice uniknou?
V kategorii 4 musí po jediné poruše zůstat funkce zachována a porucha musí být odhalena při vyžádání funkce nebo před jejím dalším vyžádáním. Pokud odhalení v této době není možné, ani nahromadění poruch nesmí ochranu vyřadit.
Obvod kontroluje také to, zda potvrzení říká pravdu
Každý stykač má samostatně monitorovaný zrcadlový kontakt. Řízení sleduje jeho odpověď v celém cyklu:
- Před zapnutím jsou oba stykače vypnuté. Zrcadlové kontakty musí potvrdit otevření výkonových cest.
- Po zapnutí stykače musí potvrzení otevřeného stavu ve stanoveném čase zmizet.
- Po vypnutí se potvrzení musí vrátit.
- Při svařeném K1 se nevrátí. K2 odpojí pohon a logika zablokuje opětovné zapnutí.
Pro kategorii 4 je požadováno DCavg alespoň 99 %. Proč kontrolovat i zánik potvrzení? Dva vodiče zrcadlového kontaktu se mohou zkratovat. Signál pak stále tvrdí „K1 je otevřený“, i když byl stykač právě sepnut.
Obvod, který před startem kontroluje pouze přítomnost tohoto signálu, přijme falešné potvrzení. Kontrola změny odhalí rozpor: K1 dostal povel k sepnutí, ale informace „otevřeno“ zůstala. Řízení vypne výstupy a zablokuje provoz.
Obsluha může mačkat reset, ale reset nerozdělí zkratované vodiče ani svařené kontakty. Takovou diagnostiku lze použít i v kategorii 3. O kategorii 4 rozhoduje chování celého subsystému vůči posuzovaným poruchám a jejich nahromadění.
Dva ventily ukazují, proč je to důležité
V1 a V2 jsou sedlové ventily zapojené sériově v přívodu oleje k válci. Každý sám dokáže přívod uzavřít. Snímače sledují polohu uzavíracích prvků.
Ve V1 se poškodí těsnění sedla. Uzavírací prvek dojede do polohy „zavřeno“, ale olej kvůli poškození protéká. Snímač polohy přitom stále říká pravdu. Funkční V2 průtok zastaví, takže se na stroji nic nestane.
Později začne z nezávislé příčiny protékat také V2. Průtok přes oba ventily už stačí k nebezpečnému pohybu válce. Na displeji stále svítí dvě potvrzení „zavřeno“. Krásně se shodují a pro odhalení této poruchy jsou úplně k ničemu.
Jde o nahromadění neodhalených poruch, které může ochranu kategorie 3 vyřadit. Pro kategorii 4 je nutné tento průběh přerušit: významný únik včas odhalit, nebo zajistit zachování funkce při posuzovaném nahromadění poruch.
Zkouška těsnosti každého ventilu zvlášť kontroluje právě to, co snímač polohy nevidí. Únik může například zvyšovat tlak v odděleném testovacím prostoru za ventilem, izolovaném od válce. Snímač tlaku zjistí nárůst a obvod zablokuje další provoz.
Při současné kontrole obou zavřených ventilů by těsný V2 mohl skrýt netěsnost V1. Mezní hodnota a délka testu musí odhalit bezpečnostně významný únik dřív, než vznikne nebezpečí. Návrh musí řešit také zbytkový tlak za ventily. Uzavření nového přívodu neodstraní již nahromaděnou energii.
Hodnota 99 % musí vycházet ze skutečné diagnostiky
Kategorie 4 vyžaduje vysoké DCavg, nejméně 99 %, a vysoké MTTFD každého kanálu. Těchto 99 % se vztahuje k četnosti odhalených nebezpečných poruch. Odhalit devět vzácných druhů poruch a přehlédnout jednu častou může vést ke slabému výsledku. Seznam odškrtnutých položek pak vypadá lépe než samotná ochrana.
Při DCavg = 99 % uvádí tabulka K.1 pro kategorii 4 PL e jak při MTTFD kanálu 30 let, tak při 100 letech. Rozdílné hodnoty PFH stále spadají do stejné úrovně.
| MTTFD každého kanálu | PFH – střední četnost nebezpečné poruchy za hodinu | Dosažený PL |
|---|---|---|
| 30 let | 9,54 × 10⁻⁸ 1/h | PL e |
| 100 let | 2,47 × 10⁻⁸ 1/h | PL e |
| 2 500 let | 9,06 × 10⁻¹⁰ 1/h | PL e |
Pro kategorii 4 model připouští MTTFD kanálu až 2 500 let. Opět jde o statistický parametr. Zásady kategorie B, osvědčené bezpečnostní zásady a opatření proti poruchám se společnou příčinou dál platí.
Článek 6.1.3.2.6 uvádí, že v praxi může stačit posouzení kombinací dvou poruch. Vyloučení neodhalených poruch s velmi nízkou pravděpodobností však vyžaduje zdokumentovanou a ověřenou analýzu, například FMEA, tedy analýzu druhů a následků poruch.
Diagnostika musí kontrolovat schopnost splnit úkol. Ventil může správně potvrzovat polohu a přitom dál propouštět olej.
Pět kategorií, jeden svařený K1
V kategoriích B a 1 ponechá svaření K1 motor pod napětím. Ve variantě kategorie 2 odpojí KT poté, co TE zjistí poruchu. V kategoriích 3 a 4 odpojí K2, který dostal povel současně s otevřením ochranného krytu. Diagnostika odhalí závadu a zablokuje další cyklus.
Rozdíl mezi kategoriemi 3 a 4 ukáže až následná analýza diagnostiky a nahromadění neodhalených poruch. Proto se při hodnocení obvodu zkoumá i to, co nastane po první úspěšné ochranné reakci.
Dva stykače mohou prohrát se stejným zkratem
Dosud selhával K1 a K2 zachraňoval odpojení. Za K2 však vznikne zkrat. Zkratový proud protéká oběma zavřenými stykači a poškodí oba. Druhý kanál právě potkala stejná příčina jako první.
Jde o CCF, poruchu se společnou příčinou. V kategoriích 3 a 4 se týká obou funkčních kanálů, v kategorii 2 funkčního a testovacího kanálu. Projektant omezuje společná namáhání konkrétními technickými opatřeními.
K2 zavírá první a otevírá poslední
Nejdřív sepne K2. K1 je ještě otevřený, takže proud motoru neteče. Potom K1 uzavře obvod a připojí zátěž. Při vypínání je pořadí opačné: K1 přeruší proud a K2 se otevře o chvíli později, už bez zatěžovacího proudu.
Za provozu vedou oba stejný proud, ale spínají za jiných podmínek. K2 se obvykle vyhne zapínání rozběhového proudu a vypínání zátěže, což snižuje elektrické opotřebení kontaktů. Mechanismus však vykoná každý pohyb, takže mechanické opotřebení zůstává.
K2 musí být dimenzován i na samostatné vypnutí plného zatížení, protože po svaření K1 přesně to udělá. Musí vypnout ve stanovené době a nesmí čekat na potvrzení od K1. Při svaření by stejně nepřišlo. Zpoždění a časy přístrojů se musí vejít do požadované doby reakce bezpečnostní funkce.
Jištění proti zkratu má omezit následky společné události
Pořadí spínání rozděluje namáhání při zapínání a vypínání. Při zkratu, kdy jsou oba stykače zavřené, zatěžuje proud oba. Ochranný prvek F jej musí přerušit. O následcích rozhodne velikost proudu a doba jeho průchodu.
Projektant určí předpokládaný zkratový proud v místě instalace a prověří celou kombinaci: konkrétní stykač, typ a jmenovitý proud jištění, napětí a podmínky použití. Údaje výrobce umožní ověřit jejich koordinaci. Samotný jmenovitý proud motoru říká příliš málo.
Kontakty svařené při zkratu mohou zůstat zavřené i po zapůsobení F. Pojistka přeruší proud. Opravu stykačů v ceně nemá. Před návratem do provozu je nutné zkontrolovat oba přístroje a odstranit poškození.
IEC 60947-4-1:2019-05, článek 8.2.5.1, připouští možnost svaření kontaktů také při koordinaci typu 2. Výrobce stanovuje potřebné úkony údržby. Použití jiného jištění, než jaké doporučil, může platnost koordinace zrušit.
Společná trasa, společný zdroj, společné přehřátí
Vodiče obou cívek vedou v jednom svazku. Jeho rozdrcení připojí obě řízení na +24 V. Oddělené a chráněné trasy spolu s oddělenými svorkami snižují pravděpodobnost, že jediná porucha zasáhne oba kanály.
Společný napájecí zdroj po poruše zvýší napětí. Projektant musí prověřit jeho chování při poruše a použít vhodné omezení napětí nebo vnější ochranu napájených obvodů.
Oba stykače se zahřívají nad frekvenčním měničem. Po poruše ventilátoru teplota překročí dovolenou mez. Rozmístění přístrojů, vzdálenosti a chlazení je nutné navrhnout i pro tento stav. Otevřená skříň při přejímce má obvykle vynikající ventilaci. Zavřená v srpnu už méně.
Oba kanály vedou souběžně s motorovými kabely měniče. Oddělení tras, stínění a pospojování pomáhají omezit společný vliv elektromagnetického rušení. Odolnost musí odpovídat skutečným podmínkám provozu.
Příloha F převádí posouzení CCF na body. Metoda požaduje alespoň 65 bodů za použitá opatření. Například oddělení kanálů přináší 15 bodů, ochrana proti relevantním nadproudům a přepětím 15 bodů, opatření proti elektromagnetickému rušení 25 bodů a ostatní vlivy prostředí 10 bodů.
Výsledek lze odůvodnit i s totožnými stykači. Rozmanitost konstrukce, technik, zatížení nebo výrobců přináší v jedné položce až 20 bodů. Dvě různé značky na stejném výrobku jsou stále stejný výrobek. Body se přiznávají pouze za úplné zavedení daného opatření v posuzovaném subsystému. Částečné zavedení znamená nulu.
Druhý kanál pomůže pouze tehdy, když společná příčina nevezme schopnost fungovat oběma kanálům současně.
A kde jsou dva kanály ve snímači, relé a PLC?
Na K1 a K2 lze ukázat prstem. V elektronice mohou být kanály ukryté v jedné skříni. Norma popisuje logickou strukturu. Vnitřní řešení konkrétního zařízení určuje jeho výrobce.
Dva snímače u jednoho ochranného krytu
Indukční snímače S1 a S2 detekují kovový prvek zavřeného ochranného krytu. Každý posílá vlastní signál na samostatný vstup řízení. Pro provoz jsou nutná dvě potvrzení „zavřeno“.
S1 se porouchá a trvale hlásí „zavřeno“. Obsluha otevře ochranný kryt a kov se vzdálí od obou snímačů. Funkční S2 změní signál a řízení vydá povel k zastavení. Ke spuštění reakce stačí ztráta jediného potvrzení.
Jeden bezpečnostní snímač, dva výstupy OSSD
Indukční bezpečnostní snímač může obsahovat diagnostiku a dva monitorované elektronické výstupy OSSD, tedy výstupní spínací prvky. Po oddálení kovu se oba vypnou a předají řízení požadavek na zastavení. Diagnostika sleduje také jejich schopnost vypnout.
Běžný snímač může mít dva výstupy, které fungují jinak. Jediný elektronický obvod detekuje kov a stejným výsledkem ovládá oba výstupy. Výstup NO, normálně otevřený, se při detekci kovu zapne. Výstup NC, normálně zavřený, se vypne.
Pokud elektronika chybně rozpozná kov i při otevřeném ochranném krytu, oba výstupy se chovají přesně jako při krytu zavřeném. Kontrola jejich opačných stavů chybu neodhalí. Řízení dostalo dvě verze stejného omylu. Stejný problém vytvoří rozdělení jednoho signálu na dva vstupy.
Bezpečnostní relé a řídicí systém
V klasickém bezpečnostním relé pracují dvě vnitřní relé R1 a R2. Jejich povolovací kontakty jsou zapojeny sériově. Když se kontakt R1 svaří, R2 stále dokáže výstup otevřít. Mechanicky spojené kontrolní kontakty umožní svaření odhalit a zablokovat opětovné zapnutí.
PLC v bezpečnostním provedení může používat dva procesory a porovnávání výsledků. Jeden chybně vypočte povolení pohybu, druhý zastavení. Neshoda vyvolá ochrannou reakci. Testy zahrnují paměť, provádění programu i vstupy a výstupy.
Dvě kopie programu v běžném PLC mohou běžet na jediném procesoru. Jeho porucha zasáhne obě kopie. Zkopírovat program je snazší než vytvořit odolnost proti poruchám. Výsledek je ale úplně jiný.
Bezpečnostní světelná clona
Obsluha přeruší paprsky mezi vysílačem a přijímačem. Clona vypne OSSD1 a OSSD2. Pokud vadný OSSD1 zůstane zapnutý, vypnutí OSSD2 stále stačí spolupracujícímu řízení k vydání povelu k zastavení.
Každý výstup musí být přiveden na určený vstup. Diagnostika zahrnuje výstupy i jejich propojení. V dokumentaci zařízení projektant ověří dosažený PL, kategorii, dobu reakce a požadované zapojení. Jen tak lze vlastnosti hotového subsystému správně využít v konkrétní funkci.
Stejný PL, jiné chování po poruše
Jeden projektant dosáhne PL d v kategorii 2, druhý v kategorii 3. Oba výsledky mohou být správné. První použil spolehlivější kanál s testováním, druhý dva funkční kanály.
| Kategorie | MTTFD kanálu | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 let | 90 % | 2,29 × 10⁻⁷ | d |
| 3 | 30 let | 90 % | 2,65 × 10⁻⁷ | d |
V kategorii 2 se uvedené MTTFD vztahuje na funkční kanál. V kategorii 3 na každý ze dvou kanálů. Obě hodnoty PFH spadají do PL d. Kategorie 2 však může mezi testy dílčí funkci ztratit, zatímco kategorie 3 ji po jediné poruše zachová.
Pokud SRS nebo norma typu C pro daný stroj požaduje zachování funkce po jediné poruše, musí projektant zajistit právě takové chování. Samotné písmeno d výběr nerozhodne.
Stejná kategorie, lepší diagnostika
V kategorii 3 při MTTFD každého kanálu 100 let posune změna DCavg z 60 % na 90 % výsledek z PL d do PL e.
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60 % | 1,01 × 10⁻⁷ | d |
| 90 % | 4,29 × 10⁻⁸ | e |
Vyšší diagnostické pokrytí musí vycházet z účinnějšího odhalování poruch a odpovídající reakce. Kontrola změny zpětného signálu může odhalit zkrat, který trvale potvrzuje otevřený stykač. Takové řešení mění chování obvodu. Přepsání hodnoty z 60 na 90 % ve výpočtovém programu změní zatím jen výtisk.
Číselné příklady vycházejí z modelů subsystémů ISO 13849-1:2023-09. Metoda podle článku 6.1.8 předpokládá 20 let zamýšleného používání, konstantní intenzitu poruch a odpovídající opatření proti CCF. U prvků, které se opotřebují dříve, je nutné zohlednit jejich omezení použití.
V kategorii 2 platí také požadavky na testovací kanál a četnost testů nebo dobu reakce při vyžádání funkce. Pro periodické testování odpovídají uvedené PFH poměru četnosti testů k vyžádání alespoň 100:1. Poznámka 1 k tabulce K.1 uvádí odhad pro poměr alespoň 25:1 vynásobením tabulkové hodnoty PFH číslem 1,1.
Tabulkové hodnoty pro nízké, střední a vysoké DCavg byly vypočteny při 60 %, 90 % a 99 %. PL vyjadřuje úroveň vlastností. Kategorie vysvětluje, jak se obvod vypořádá s poruchami. Pro volbu řešení jsou potřeba obě informace.
Stejný PL neznamená stejné chování po poruše. Číslo popisuje pravděpodobnostní úroveň; architektura ukazuje, co obvod skutečně udělá.
Stykače jsou připravené odpojit. Jen nepřišel povel
Subsystém K1–K2 dosahuje PL e. Snímač ochranného krytu však chybně informuje logiku, že dveře jsou zavřené. Řízení povolí pohyb a oba stykače zůstanou sepnuté. Mohou být funkční a dokonale monitorované. Problém vznikl dřív, na vstupu funkce.
Projektant proto hodnotí celý řetězec: vstup → logika → výstup, včetně propojení. U sériové kombinace subsystémů se známým PFH se jejich hodnoty sčítají. PL celku omezuje výsledek součtu i nejnižší PL kteréhokoli subsystému.
Tři subsystémy po 4 × 10⁻⁸ 1/h dávají dohromady 1,2 × 10⁻⁷ 1/h, tedy PL d. Každý samostatně spadal do PL e. Výpočet je jednoduchý: celá funkce má více míst, na nichž může nebezpečně selhat. Podrobnosti rozebírá článek o výpočtu PL podle ISO 13849-1.
Po odpojení napájení potřebuje pás ještě čas k doběhu. Ochrana musí zapůsobit dřív, než člověk dosáhne nebezpečí. Tento vztah dobře ukazuje příklad vzdálenosti bezpečnostní světelné clony po změně doby reakce. Při spojování subsystémů hodnocených různými metodami pomůže také srovnání ISO 13849-1 a IEC 62061.
Po několika letech někdo vymění K1
Nový stykač má stejný jmenovitý proud a vejde se na lištu. Technik ale potřebuje také správný zrcadlový kontakt, odpovídající doby činnosti a údaje o životnosti. Tyto vlastnosti byly součástí návrhu.
Zápis „24 V, stejný počet ampérů“ vynechává přesně to, co potřebuje diagnostika. Dokumentace musí umožnit zpětně zjistit, proč byl přístroj vybrán, co obvod kontroluje a jak reaguje na poruchu. Jinak zbývá telefon autorovi programu a naděje, že si po letech pamatuje důvod každé podmínky.
| Pole | Záznam |
|---|---|
| Rozsah | Výstupní subsystém K1–K2 včetně propojení a monitorování; úkol: odpojit napájení pohonu. |
| Posuzovaná porucha | K1 zůstane zavřený navzdory povelu k vypnutí. |
| Požadovaná reakce | K2 samostatně odpojí pohon. Chybějící návrat zpětného signálu K1 odhalí poruchu a zablokuje opětovné zapnutí. |
| Požadovaný důkaz | Analýza poruch a zkouška T-01: ověření odpojení pomocí K2, doby reakce, detekce a blokování. Výsledek se zaznamená pro konkrétní verzi obvodu. |
Úplná karta propojuje tento záznam se SRS, verzí schématu, podklady MTTFD, DCavg a CCF i výsledky validace. Odůvodňuje rovněž použitá vyloučení poruch.
Stáhnout kartu odůvodnění kategorie v angličtině (PDF): příklad K1–K2 a formulář pro vlastní projekt v jednom souboru s poli, která lze vyplnit v počítači.
Vedoucí projektu nemusí sám počítat PFH. Může však požádat dodavatele, aby ve schématu ukázal jedinou poruchu: co selže, co dál chrání člověka, kdy řízení problém odhalí a kde je zaznamenaný výsledek zkoušky. To vede k podstatně lepší debatě než otázka na značku relé.
Dva stykače jsou položka v nákupním seznamu. Teprve jejich funkce, diagnostika a zdokumentované odůvodnění návrhu dovolují přiřadit kategorii.
Zdroje
Příklady dopravníku, stykačů a ventilů slouží k vysvětlení požadavků. Hodnoty PFH a odpovídající PL pocházejí z tabulky K.1 níže uvedené normy.
- ISO 13849-1:2023-09, články 4.5, 5.1, 5.2.1 a 5.3–5.5: informace z posouzení rizika, SRS, PLr a rozdělení na subsystémy; definice 3.1.45–3.1.47 a články 6.1.3.1–6.1.3.2.1: subsystém, kanál a architektury.
- ISO 13849-1:2023-09, články 6.1.3.2.2–6.1.3.2.6: požadavky kategorií B–4, reakce na poruchy, testování a nahromadění poruch; definice 3.1.49–3.1.50 a článek 6.1.11: osvědčené bezpečnostní zásady a součásti.
- ISO 13849-1:2023-09, tabulky 2, 6 a 7, články 6.1.4–6.1.5 a 6.1.8, přílohy C–E a tabulka K.1 s poznámkami 1–2: PL, PFH, MTTFD, DC, údaje o životnosti, počet sepnutí a předpoklady číselných modelů.
- ISO 13849-1:2023-09, článek 6.1.6, příloha F a tabulka F.1: CCF, opatření proti společným vlivům, bodové hodnocení a hranice 65 bodů; F.3.2: rozmanitost; F.3.3 a F.3.6: ochranné prvky, rušení a provozní prostředí.
- IEC 60947-4-1:2019-05, článek 8.2.5.1: spolupráce stykačů s ochranou proti zkratu a koordinace typu 2; články 8.2.4.3.1–8.2.4.3.2 a příloha B: mechanická a elektrická životnost; příloha F: vlastnosti a identifikace zrcadlových kontaktů.
- ISO 13849-1:2023-09, článek 6.1.10, definice 3.1.29–3.1.30 a 3.1.51–3.1.52, příloha E a tabulka E.1: analýza poruch, monitorování, testování a kontrola věrohodnosti; kapitola 7 a příloha N: programové vybavení a předem posouzené platformy; článek 13.2: informace pro integraci.
- ISO 4413:2011, článek 5.4.4.1: těsnost a vhodnost ventilů pro bezpečnostní použití; články 5.4.7.1–5.4.7.2.1: neúmyslný pohyb, oddělení energie a uvolnění tlaku.
- ISO 13849-1:2023-09, článek 6.2.2 a kapitola 8: kombinace subsystémů, součet PFH a omezení dosaženého PL; článek 5.2.2.2: zastavení; články 10.1.1–10.1.2 a 10.8 a kapitola 12: validace, protokoly a technická dokumentace.