“To kontaktorer og et sikkerhedsrelæ, så er det sikkerhedskategori 3.” I tavlen ser alt rigtigt ud. Det gør indkøbslisten også. Først når en kontaktor svejser sammen, ser man, hvor meget af ordenen der stadig virker.
Operatøren åbner transportørens afskærmning. Styringen afbryder spolen på K1, men kontakterne er sammensvejsede. Motoren får stadig spænding. Kommandoen var korrekt. Kontaktoren udførte den bare ikke. En anden kontaktor kan redde frakoblingen. Diagnostikken kan afsløre fejlen og blokere næste start. Det afhænger helt af konstruktionen. At skrive “sikkerhedskategori 3” i dokumentationen er den letteste del.
Sikkerhedskategorier efter ISO 13849-1 beskriver et delsystems modstandsdygtighed over for fejl og dets adfærd, når de opstår. Forskellen mellem B, 1, 2, 3 og 4 ses klarest på den samme opgave: at afbryde energien til et drev, også når noget svigter. Ved afleveringen kan ethvert fejlfrit system se overbevisende ud. Kategorierne viser deres værdi, når systemet ikke længere er fejlfrit.
Først opgaven, derefter komponenterne i tavlen
Operatøren skal rette et emne. Båndet skal standse, før personen kan nå det farlige sted, og det skal forblive standset, mens arbejdet udføres med åben afskærmning. Kravene udledes af risikovurderingen efter ISO 12100 og skrives derefter ind i specifikationen af sikkerhedskrav — SRS.
Den samlede sikkerhedsfunktion omfatter registrering af den åbne afskærmning, styringens beslutning og frakobling af drevet. Hver del kan behandles som et særskilt delsystem. I de følgende varianter ændres udgangsdelsystemet: kontaktorerne, deres forbindelser og overvågningen. Delsystemets opgave er at afbryde strømmen til drevet.
En kontaktor fungerer som en elektrisk styret afbryder. Spænding på spolen lukker hovedkontakterne, så strømmen kan løbe til motoren. Når spolen afbrydes, åbner en fungerende kontaktor. Sammensvejsede kontakter fjerner netop denne evne.
Med to kontaktorer, K1 og K2, løber motorstrømmen gennem dem efter hinanden. Åbner blot én, brydes kredsløbet. Hver kontaktor med sin styring udgør en separat frakoblingsvej, altså en kanal.
Sikkerhedskategori B: K1 er svejset sammen. Spændingen bliver
Drevet frakobles af én kontaktor, K1. Når afskærmningen åbnes, afbryder styringen spolen, kontakterne åbner, og motoren mister spændingen. Sådan kan det fungere gennem tusindvis af cyklusser.
Ved næste indkobling svejser kontakterne sammen. Transportøren fortsætter, så operatøren mærker endnu intet. Derefter åbnes afskærmningen. Spolespændingen forsvinder, men strømmen til motoren fortsætter. Der findes ingen anden komponent, som kan afbryde den. Én fejl har fjernet delsystemets evne til at frakoble drevet.
Hvis spoleledningen i stedet var blevet afbrudt, ville en fungerende kontaktor være faldet ud. Det er en anden fejl med en anden konsekvens. Sætningen “ved fejl falder kontaktoren ud” virker glimrende, så længe man selv vælger fejlen.
Sikkerhedskategori B kræver grundlæggende sikkerhedsprincipper og komponenter, der er egnede til de reelle driftsforhold. Kontaktoren skal kunne tåle belastningen, koblingshyppigheden og temperaturen i tavlen. Bogstavet B er ikke en tilladelse til at montere det, der tilfældigvis ligger på lageret.
Hvornår giver sikkerhedskategori B PL a, og hvornår PL b?
To systemer kan se ens ud og alligevel have forskellig hyppighed af farlige svigt. Den ene kontaktor starter motoren én gang pr. skift. Den anden kobler ved hvert emne. Samme model, helt forskelligt antal koblinger.
Projektøren tager højde for komponentens levetid og maskinens faktiske drift. MTTFD er den gennemsnitlige tid til farligt svigt. Jo større værdi, desto sjældnere forekommer sådanne svigt statistisk. For kanalen medregnes alle komponenter, hvis svigt kan fjerne dens evne til at afbryde.
| MTTFD for kanalen | PFH — gennemsnitlig hyppighed af farligt svigt pr. time | Opnået PL |
|---|---|---|
| 10 år | 1,14 × 10⁻⁵ 1/h | PL a |
| 12 år | 9,51 × 10⁻⁶ 1/h | PL b |
| 20 år | 5,71 × 10⁻⁶ 1/h | PL b |
Ved 10 år er resultatet PL a. Ved 12 år er det allerede PL b, fordi PFH falder under grænsen 10⁻⁵ 1/h. Pålideligheden er ændret. Efter en sammensvejsning opfører begge systemer sig stadig ens.
MTTFD er en statistisk parameter. “20 år” i beregningen er hverken en tyveårig garanti eller en automatisk udskiftningsdato. Udskiftningen fastlægges ud fra komponentens anvendelsesbetingelser og begrænsninger.
Værdierne gælder udgangsdelsystemet. For hele sikkerhedsfunktionen kommer PFH fra sensor og logik oveni: PFH for indgang + PFH for logik + PFH for udgang. Summen sammenholdes med PL-intervallerne, og resultatet begrænses desuden af det laveste PL blandt delsystemerne. En udgang med PL b kan derfor ende i en samlet funktion med PL a.
Sikkerhedskategori B kan højst nå PL b. Hvis det krævede ydeevneniveau, PLr, er d, skal der vælges en anden løsning. Endnu en vellykket åbning af afskærmningen under afleveringen flytter ikke den grænse.
I sikkerhedskategori B afhænger alt af én kanal. Når en sammensvejset K1 ikke længere afbryder drevet, er beskyttelsen væk.
Sikkerhedskategori 1: Det samme problem skal opstå sjældnere
Drevet frakobles stadig af én K1. Nu skærpes kravene til dens pålidelighed og anvendelse. Ud over principperne fra sikkerhedskategori B bruges gennemprøvede komponenter og gennemprøvede sikkerhedsprincipper. I den forenklede metode skal kanalens MTTFD være høj: fra 30 til 100 år.
“Gennemprøvet” gælder bestemte driftsbetingelser. En kontaktor, der i årevis har koblet varmelegemer uden problemer, får nu en motor med høj startstrøm og hyppige starter. Logoet er velkendt. Belastningen er ikke.
Valget skal bygge på dokumenteret erfaring fra tilsvarende anvendelser eller egenskaber påvist gennem konstruktion, verifikation og validering efter relevante standarder. ISO 13849-2 beskriver også komponenter og betingelser for, at de kan betragtes som gennemprøvede. Projektøren anvender principper, der reducerer forekomsten af fejl eller deres farlige konsekvenser.
Og så svejser K1 alligevel sammen. Spolen afbrydes, kontakterne forbliver lukkede, og motoren er fortsat spændingssatt. Sikkerhedskategori 1 reducerer sandsynligheden for hændelsen. Den skaber ikke en ekstra kanal.
Højere pålidelighed: Fra PL b til PL c
Ved en MTTFD for kanalen på 30 år giver tabel K.1 PL b. Ved 39 år falder PFH under 3 × 10⁻⁶ 1/h, og resultatet går over i PL c.
| MTTFD for kanalen | PFH | Opnået PL |
|---|---|---|
| 30 år | 3,80 × 10⁻⁶ 1/h | PL b |
| 39 år | 2,93 × 10⁻⁶ 1/h | PL c |
| 100 år | 1,14 × 10⁻⁶ 1/h | PL c |
Loftet for sikkerhedskategori 1 er PL c. En bedre kontaktor har reel værdi, fordi den svigter sjældnere. Men hvis den svigter ved sammensvejsning, findes der stadig ingen anden frakoblingsvej.
Sikkerhedskategori 1 bygger beskyttelsen på højere pålidelighed i én kanal. Et svigt i kanalen kan stadig fjerne beskyttelsen.
Sikkerhedskategori 2: Systemet kontrollerer, om K1 udførte kommandoen
Operatøren åbner afskærmningen. Styringen afbryder K1 og venter på bekræftelse af, at hovedkontakterne er åbnet. Denne gang bliver kommandoens udførelse kontrolleret.
Tilbagemeldingen kommer fra kontaktorens spejlkontakt. Konstruktionen forhindrer spejlkontakten i at lukke, hvis en hovedkontakt er svejset fast. Systemet får derfor besked om, hvorvidt K1 har åbnet kredsløbet eller ikke har udført kommandoen.
K1 er svejset sammen. Bekræftelsen vender ikke tilbage. Testen afslører fejlen og udløser en reaktion. I denne variant afbryder den ekstra kontaktor KT, som sidder i serie med K1, forsyningen. Styringen blokerer næste indkobling, indtil fejlen er fjernet.
I standarden betegnes testenheden TE og dens udgang OTE. Her styrer OTE kontaktoren KT. K1 tilhører den funktionelle kanal, som udfører den normale frakobling. TE og OTE danner testkanalen, der kontrollerer opgaven og iværksætter reaktionen på fejl.
Der sidder altså to kontaktorer i tavlen, men eksemplet er stadig sikkerhedskategori 2. KT får først til opgave at afbryde, når problemet med K1 er registreret. Her begynder optælling af komponenter for alvor at tabe til læsning af diagrammet.
Fungerede i går. Ved dagens indkobling er K1 allerede svejset sammen
K1 består testen korrekt. Ved næste indkobling svejser kontakterne sammen. Frem til næste kontrol er den funktionelle kanal defekt. Det forrige testresultat skjulte ikke noget. Maskinen nåede ganske enkelt at gå i stykker bagefter.
Derfor kan sikkerhedskategori 2 miste delfunktionen mellem testene. Projektøren skal fastlægge, hvornår testen udføres, og hvor hurtigt systemet reagerer. Hvis kontrollen begynder, når afskærmningen åbnes, skal fejlen registreres, KT afbryde, og bevægelsen standse, før personen kan nå faren.
Ved PLr d skal OTE iværksætte en sikker tilstand og opretholde den, indtil fejlen er fjernet. Her udføres det af KT. En rød meddelelse på skærmen ville efterlade motoren spændingssatt. Den ville blot forklare operatøren meget tydeligt, hvorfor beskyttelsen ikke virker.
Testhyppighed og reaktionstid efter standarden. Punkt 6.1.3.2.4 kræver enten en testhyppighed, der er mindst 100 gange større end aktiveringshyppigheden for funktionen, eller en test straks ved aktivering, hvor fejlen registreres, og maskinen bringes til en ikke-farlig tilstand, før fareområdet kan nås. Åbning af afskærmningen er her aktiveringen af funktionen. Forholdet 100:1 betyder ikke 100 test før hver åbning.
MTTFD for testkanalen TE–OTE skal være større end halvdelen af MTTFD for den funktionelle kanal. Hver del af den funktionelle kanal skal mindst have lav diagnostisk dækning. Der gælder desuden principperne fra sikkerhedskategori B, gennemprøvede sikkerhedsprincipper og foranstaltninger mod fejl med fælles årsag i begge kanaler.
For PLr til og med c skal OTE også iværksætte en sikker tilstand, når det er praktisk muligt. Hvis det ikke er muligt, tillader standarden, at en advarsel kan være tilstrækkelig. Ved PLr d kræves en sikker reaktion.
Test kan give PL d. Pålideligheden tæller stadig
DC, diagnostisk dækning, beskriver, hvor effektivt farlige svigt registreres. For hele delsystemet beregnes den gennemsnitlige diagnostiske dækning DCavg under hensyntagen til svigtfrekvenserne i de enkelte dele.
Ved samme DCavg på 90 % giver sikkerhedskategori 2 efter tabel K.1 PL a ved en MTTFD for den funktionelle kanal på 3 år, PL b ved 10 år, PL c ved 30 år og PL d ved 100 år. Testen findes i alle varianter. Det, der ændrer sig, er hvor ofte der opstår fejl, som testen skal håndtere.
| MTTFD for den funktionelle kanal | PFH | Opnået PL |
|---|---|---|
| 3 år | 1,99 × 10⁻⁵ 1/h | PL a |
| 10 år | 5,14 × 10⁻⁶ 1/h | PL b |
| 30 år | 1,21 × 10⁻⁶ 1/h | PL c |
| 100 år | 2,29 × 10⁻⁷ 1/h | PL d |
I sikkerhedskategori 2 afhænger beskyttelsen af, om testen finder fejlen, og om systemet når at reagere. Testtidspunktet er en del af konstruktionen.
Sikkerhedskategori 3: K2 afbryder uden at vente på testresultatet
K1 og K2 sidder i serie i motorens forsyning. Når operatøren åbner afskærmningen, beordrer styringen begge kontaktorer til at koble ud. Hver kontaktor har sin egen styrevej, og hver kan selv afbryde drevets forsyning.
K1 forbliver lukket på grund af sammensvejsningen. K2 åbner og afbryder strømmen. Den anden kanal udfører sikkerhedsopgaven trods fejlen i den første.
Det er den afgørende forskel fra sikkerhedskategori 2. Dér greb KT ind, efter testen havde fundet fejlen. Her får K2 kommandoen om at koble ud, fordi afskærmningen blev åbnet. K2 behøver ikke vente på en diagnose af K1.
Transportøren standsede. Reparationen er stadig nødvendig
Operatøren ser det sædvanlige resultat: Båndet standser. Inde i tavlen er én kontaktor imidlertid allerede defekt. Diagnostikken registrerer, at K1 ikke bekræfter åbning, og blokerer næste start.
K2 udførte opgaven for den defekte kanal. K2 reparerede den ikke. Hvis styringen tillod fortsat drift med den registrerede fejl, ville den næste frakobling kun afhænge af K2.
Sikkerhedskategori 3 kræver, at delfunktionen bevares efter en enkelt fejl. Kravet gælder komponenter og forbindelser i hele det vurderede delsystem. Hvis én fejl i styringen kan holde begge spoler spændingssatte, kan begge kontaktorer udføre den forkerte kommando helt fejlfrit.
Der kræves også mindst lav diagnostisk dækning. En enkelt fejl skal registreres ved aktivering af funktionen eller før næste aktivering, når dette er praktisk muligt. Nogle fejl kan dog forblive uopdagede. En senere ophobning kan fjerne beskyttelsen. Netop her begynder forskellen til sikkerhedskategori 4.
Sikkerhedskategori 3 kan opnå PL c, d eller e
Ved DCavg = 90 % og MTTFD på 10 år for hver kanal giver tabel K.1 PL c. Ved 30 år bliver resultatet PL d, og ved 100 år PL e. “Sikkerhedskategori 3 betyder PL d” er en bekvem genvej, som smider to andre muligheder væk.
| MTTFD for hver kanal | PFH | Opnået PL |
|---|---|---|
| 10 år | 1,36 × 10⁻⁶ 1/h | PL c |
| 30 år | 2,65 × 10⁻⁷ 1/h | PL d |
| 100 år | 4,29 × 10⁻⁸ 1/h | PL e |
MTTFD gælder hver kanal for sig. To kanaler på 30 år bliver ikke til én kanal med en MTTFD på 60 år. Kravene fra sikkerhedskategori B, gennemprøvede sikkerhedsprincipper og foranstaltninger mod fejl med fælles årsag gælder fortsat.
K2 afbryder drevet trods fejlen i K1. Diagnostikken afgør, om systemet må få tilladelse til endnu en cyklus.
Sikkerhedskategori 4: Nu tæller også fejlen, som diagnostikken overså
Når K1 svejser sammen, afbryder K2 drevet, og styringen blokerer næste start. Det skete også i sikkerhedskategori 3. Forskellen mellem 3 og 4 viser sig først i den bredere analyse: Hvad registrerer systemet, hvornår sker det, og hvad bliver konsekvensen af fejl, som ikke opdages?
I sikkerhedskategori 4 skal en enkelt fejl efterlade funktionen virksom og registreres ved aktivering eller før næste aktivering. Hvis registrering inden da er umulig, skal en ophobning af fejl også efterlade beskyttelsen virksom.
Systemet kontrollerer også, om bekræftelsen taler sandt
Hver kontaktor har sin egen overvågede spejlkontakt. Styringen kontrollerer tilbagemeldingen gennem hele cyklussen:
- Før indkobling er begge kontaktorer afbrudt. Spejlkontakterne skal bekræfte, at hovedstrømsvejene er åbne.
- Når en kontaktor kobler ind, skal dens åbnebekræftelse forsvinde inden for den fastlagte tid.
- Efter udkobling skal bekræftelsen vende tilbage.
- Ved sammensvejset K1 vender den ikke tilbage. K2 afbryder drevet, og logikken blokerer genstart.
Spolespændingen ændres 0 → 24 → 0 V, mens den forventede åbnebekræftelse ændres 1 → 0 → 1. Efter sammensvejsningen mangler den sidste overgang.
Hvorfor kontrollere, at bekræftelsen også forsvinder? Fordi de to ledninger fra spejlkontakten kan kortslutte. Signalet vil så konstant sige “K1 åben”, også mens kontaktoren er indkoblet. Et system, der kun kontrollerer signalets tilstedeværelse før start, vil acceptere den falske bekræftelse.
Overvågning af signalændringen finder modsigelsen: K1 har fået kommando om at koble ind, men meldingen “åben” står stadig. Styringen afbryder udgangene og blokerer driften. Operatøren kan trykke på nulstilling, men nulstilling skiller hverken kortsluttede ledninger eller sammensvejsede kontakter ad.
Den type diagnostik kan også bruges i sikkerhedskategori 3. Det afgørende for sikkerhedskategori 4 er hele delsystemets adfærd over for de betragtede fejl og deres ophobning. Analysen skal også omfatte styrekredse, tilbagemeldinger og følgerne af fejl i dem.
To ventiler viser, hvorfor det er vigtigt
V1 og V2 er sædeventiler monteret i serie i olietilførslen til en cylinder. Hver ventil kan selv afbryde tilførslen. Sensorer overvåger lukkedelens position.
Sædetætningen i V1 svigter. Lukkedelen når positionen “lukket”, men olie lækker gennem den beskadigede tætning. Positionssensoren taler stadig sandt. Den intakte V2 stopper strømningen, så maskinen bevæger sig ikke.
Senere begynder V2 at lække af en uafhængig årsag. Strømningen gennem begge ventiler bliver stor nok til at skabe en farlig cylinderbevægelse. Skærmen viser stadig to bekræftelser på “lukket”. De er helt enige og fuldstændig ubrugelige til at opdage netop denne fejl.
Det er en ophobning af uopdagede fejl, som kan fjerne beskyttelsen i sikkerhedskategori 3. For sikkerhedskategori 4 skal forløbet brydes: Enten skal den relevante lækage opdages i tide, eller funktionen skal bevares ved den betragtede kombination af fejl.
En separat tæthedstest af hver ventil kontrollerer det, positionssensoren ikke kan se. Lækage kan eksempelvis øge trykket i et afgrænset testvolumen bag ventilen, isoleret fra cylinderen. En tryksensor registrerer stigningen, og systemet blokerer videre drift.
Hvis begge lukkede ventiler kun testes samtidig, kan en tæt V2 skjule lækagen i V1. Tærsklen og testtiden skal afsløre en sikkerhedsrelevant lækage, før den skaber fare. Konstruktionen skal også håndtere resttrykket bag ventilerne. Afbrydelse af ny olietilførsel fjerner ikke den energi, der allerede er lagret.
De 99 % skal komme fra reel diagnostik
Sikkerhedskategori 4 kræver høj DCavg, mindst 99 %, og høj MTTFD for hver kanal. De 99 % vedrører hyppigheden af registrerede farlige svigt. At opdage ni sjældne fejltyper og overse én hyppig fejl kan stadig give et dårligt resultat. Tjeklisten ser bare pænere ud end beskyttelsen.
| MTTFD for hver kanal | PFH | Opnået PL |
|---|---|---|
| 30 år | 9,54 × 10⁻⁸ 1/h | PL e |
| 100 år | 2,47 × 10⁻⁸ 1/h | PL e |
| 2.500 år | 9,06 × 10⁻¹⁰ 1/h | PL e |
For sikkerhedskategori 4 tillader modellen en MTTFD for kanalen på op til 2.500 år. Det er stadig en statistisk parameter. Principperne fra sikkerhedskategori B, gennemprøvede sikkerhedsprincipper og foranstaltninger mod fælles årsager gælder stadig.
Punkt 6.1.3.2.6 angiver, at det i praksis kan være tilstrækkeligt at undersøge kombinationer af to fejl. Hvis uopdagede fejl med meget lav sandsynlighed udelades, kræver det en dokumenteret og verificeret analyse, eksempelvis FMEA — analyse af fejlmåder og virkninger.
Diagnostikken skal kontrollere evnen til at udføre opgaven. En ventil kan bekræfte sin position korrekt og stadig lade olie passere.
Fem kategorier, én sammensvejset K1
I sikkerhedskategori B og 1 efterlader en sammensvejset K1 motoren spændingssatt. I sikkerhedskategori 2 afbryder KT, efter TE har fundet fejlen. I sikkerhedskategori 3 og 4 afbryder K2, fordi den modtager udkoblingskommandoen sammen med åbningen af afskærmningen. Diagnostikken finder fejlen og blokerer næste cyklus.
Derfor stopper vurderingen ikke efter den første vellykkede sikkerhedsreaktion. Man skal også undersøge, hvad der sker bagefter.
To kontaktorer kan tabe til den samme kortslutning
Hidtil svigtede K1, mens K2 reddede frakoblingen. Men nu opstår en kortslutning efter K2. Kortslutningsstrømmen løber gennem begge lukkede kontaktorer og beskadiger dem begge. Den anden kanal har mødt den samme årsag som den første.
Det er CCF — fejl med fælles årsag. I sikkerhedskategori 3 og 4 vedrører det de to funktionelle kanaler. I sikkerhedskategori 2 vedrører det den funktionelle kanal og testkanalen. Projektøren skal begrænse de fælles påvirkninger med konkrete foranstaltninger.
K2 lukker først og åbner sidst
Først lukker K2. K1 er stadig åben, så motorstrømmen løber ikke. Derefter lukker K1 kredsløbet og kobler belastningen ind. Ved udkobling er rækkefølgen omvendt: K1 bryder strømmen, og K2 åbner lidt senere uden belastningsstrøm.
Begge fører samme strøm under drift, men deres koblingsforhold er forskellige. K2 undgår normalt startstrømmen og afbrydelsen af belastningen, hvilket reducerer den elektriske slitage. Mekanismen udfører stadig hver bevægelse, så den mekaniske slitage forsvinder ikke.
K2 skal også dimensioneres til selv at afbryde den fulde belastning. Når K1 er svejset sammen, er det præcis, hvad K2 skal gøre. Udkoblingen skal ske inden for den fastlagte tid uden at vente på tilbagemelding fra K1. Ved sammensvejsning kommer den jo ikke. Forsinkelsen og komponenternes koblingstider skal rummes i sikkerhedsfunktionens krævede reaktionstid.
Kortslutningsbeskyttelsen skal begrænse følgerne af den fælles hændelse
Koblingssekvensen gør påvirkningerne forskellige ved normal ind- og udkobling. Under en kortslutning med begge kontaktorer lukket belastes de begge. Beskyttelsen F skal bryde strømmen, og konsekvensen afhænger af strømværdien og den tid, den får lov at løbe.
Projektøren fastlægger den forventede kortslutningsstrøm på installationsstedet og kontrollerer hele kombinationen: den konkrete kontaktor, beskyttelsens type og mærkestrøm, spændingen og anvendelsesbetingelserne. Producentens data bruges til at vælge den korrekte koordinering. Motorens mærkestrøm alene fortæller for lidt.
Sammensvejsede kontakter kan forblive lukkede, efter F har afbrudt strømmen. Sikringen bryder strømmen. Reparation af kontaktorer følger ikke med i pakken. Før genstart skal begge kontaktorer kontrolleres, og skaderne udbedres.
Koordineringstype 2 og sammensvejsning. IEC 60947-4-1:2019-05, punkt 8.2.5.1, tillader, at kontakter kan svejse sammen selv ved koordineringstype 2. Producenten angiver de nødvendige vedligeholdelseshandlinger. Brug af en anden beskyttelse end den anbefalede kan gøre koordineringen ugyldig.
Fælles kabelvej, fælles strømforsyning, fælles overophedning
Ledningerne til begge spoler ligger i samme bundt. Hvis bundtet klemmes, kan begge styresignaler kortsluttes til +24 V. Adskilte, beskyttede kabelveje og separate klemmer reducerer risikoen for, at én fejl rammer begge kanaler.
En fælles strømforsyning leverer for høj spænding efter et svigt. Projektøren skal undersøge dens fejladfærd og anvende passende spændingsbegrænsning eller ekstern beskyttelse af de forsynede kredse.
Begge kontaktorer sidder over frekvensomformeren. Når ventilatoren svigter, overstiger temperaturen den tilladte værdi. Placering, afstande og køling skal dimensioneres til denne situation. En åben tavle under afleveringen har som regel fremragende ventilation.
Begge kanaler løber tæt på frekvensomformerens motorkabler. Adskillelse, skærmning og potentialudligning kan reducere fælles elektromagnetiske påvirkninger. Immuniteten skal passe til udstyrets faktiske driftsmiljø.
Bilag F samler CCF-vurderingen i point. Metoden kræver mindst 65 point for de gennemførte foranstaltninger. Eksempelvis giver kanaladskillelse 15 point, beskyttelse mod relevante overstrømme og overspændinger 15, foranstaltninger mod elektromagnetiske forstyrrelser 25 og øvrige miljøpåvirkninger 10.
Et tilstrækkeligt resultat kan også begrundes med identiske kontaktorer. Variation i konstruktion, teknik, belastning eller producent kan give op til 20 point i én post. To forskellige mærker på det samme produkt er stadig det samme produkt. En post skal være fuldt gennemført i det vurderede delsystem. Delvis gennemførelse giver nul point.
Den anden kanal hjælper kun, hvis en fælles årsag ikke fjerner begge kanalers evne til at fungere.
Hvor er de to kanaler i sensoren, relæet og PLC’en?
K1 og K2 er lette at pege på. I elektronik kan kanalerne være placeret i samme kapsling. ISO 13849-1 beskriver den logiske struktur. Den konkrete enheds interne løsning beskrives af producenten.
To sensorer ved én afskærmning
De induktive sensorer S1 og S2 registrerer et metalemne på den lukkede afskærmning. Hver sensor sender sit eget signal til en separat indgang. Drift kræver to bekræftelser på “lukket”.
S1 svigter og viser konstant “lukket”. Operatøren åbner afskærmningen, så metallet bevæger sig væk fra begge sensorer. Den fungerende S2 ændrer signal, og styringen beordrer standsning. Tabet af én bekræftelse er nok til at udløse reaktionen.
Én sikkerhedssensor med to OSSD-udgange
En induktiv sikkerhedssensor kan have intern diagnostik og to overvågede elektroniske OSSD-udgange. Når metallet fjernes, afbrydes begge udgange og sender et stopkrav til styringen. Diagnostikken overvåger også deres evne til at koble ud.
En almindelig sensor kan have to udgange, der fungerer anderledes. Den samme elektronik registrerer metallet, og det samme resultat styrer begge udgange. NO-udgangen, normalt åben, aktiveres ved registrering. NC-udgangen, normalt lukket, afbrydes samtidig.
Hvis elektronikken fejlagtigt registrerer metal ved åben afskærmning, opfører begge udgange sig præcis som ved lukket afskærmning. Kontrol af deres modsatte tilstande afslører ikke fejlen. Styringen har fået to versioner af den samme misforståelse. En opsplitning af ét signal til to indgange giver et tilsvarende problem.
Sikkerhedsrelæ og styring
I et klassisk sikkerhedsrelæ arbejder to interne relæer, R1 og R2. Deres frigivelseskontakter er seriekoblede. Hvis en kontakt i R1 svejser sammen, kan R2 stadig åbne udgangen. Mekanisk forbundne overvågningskontakter gør det muligt at registrere sammensvejsningen og blokere genstart.
En sikkerhedsrelateret PLC kan anvende to processorer og sammenligne resultaterne. Hvis den ene beregner tilladelse til bevægelse, mens den anden beregner stop, udløser uoverensstemmelsen en sikkerhedsreaktion. Testene kan også omfatte hukommelse, programafvikling samt ind- og udgange.
To kopier af programmet i en almindelig PLC kan derimod køre på den samme processor. En processorfejl rammer begge kopier. Det er lettere at kopiere kode end at konstruere fejltolerance. Resultatet er også et andet.
Lysgitter
Operatøren bryder strålerne mellem sender og modtager. Lysgitteret afbryder OSSD1 og OSSD2. Hvis den defekte OSSD1 forbliver aktiv, er afbrydelsen af OSSD2 stadig nok til, at den tilsluttede styring udsteder stopkommandoen.
Hver udgang føres til sin tiltænkte indgang. Diagnostikken omfatter udgangene og forbindelserne. I dokumentationen kontrollerer projektøren enhedens opnåede PL, kategori, reaktionstid og krævede tilslutning. Først da ved man, hvordan egenskaberne for det færdige delsystem kan bruges i den konkrete sikkerhedsfunktion.
Samme PL, forskellig adfærd efter en fejl
Én projektør opnår PL d med sikkerhedskategori 2. En anden opnår PL d med sikkerhedskategori 3. Begge resultater kan være korrekte. Den første har valgt en meget pålidelig kanal med test. Den anden har valgt to funktionelle kanaler.
| Sikkerhedskategori | MTTFD for kanalen | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 år | 90 % | 2,29 × 10⁻⁷ | d |
| 3 | 30 år | 90 % | 2,65 × 10⁻⁷ | d |
For sikkerhedskategori 2 gælder MTTFD den funktionelle kanal. For sikkerhedskategori 3 gælder den hver af de to kanaler. Begge PFH-værdier ligger i PL d, men sikkerhedskategori 2 kan miste delfunktionen mellem testene, mens sikkerhedskategori 3 bevarer den efter en enkelt fejl.
Hvis SRS eller en type C-standard for maskinen kræver, at funktionen bevares efter en enkelt fejl, skal konstruktionen levere netop den adfærd. Bogstavet d afgør ikke valget alene.
Samme kategori, bedre diagnostik
Ved sikkerhedskategori 3 og MTTFD på 100 år for hver kanal flytter en ændring af DCavg fra 60 % til 90 % resultatet fra PL d til PL e.
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60 % | 1,01 × 10⁻⁷ | d |
| 90 % | 4,29 × 10⁻⁸ | e |
Den højere diagnostiske dækning skal komme fra mere effektiv fejlregistrering og en passende reaktion. Overvågning af skift i tilbagemeldingen kan afsløre en kortslutning, der konstant bekræfter, at kontaktoren er åben. Sådanne løsninger ændrer systemets virkelige adfærd. At ændre et felt fra 60 til 90 % i beregningsprogrammet ændrer indtil videre kun udskriften.
Forudsætninger for eksemplerne fra tabel K.1. Værdierne kommer fra delsystemsmodellerne i ISO 13849-1:2023-09. Metoden i punkt 6.1.8 antager 20 års forventet anvendelse, konstante svigtintensiteter og passende CCF-foranstaltninger. For komponenter, der slides op tidligere, skal deres anvendelsesbegrænsninger medregnes.
For sikkerhedskategori 2 gælder desuden kravene til testkanalen samt testhyppigheden eller reaktionstiden ved aktivering. Ved periodisk test svarer de viste PFH-værdier til et forhold mellem test og aktiveringer på mindst 100:1. Note 1 til tabel K.1 angiver et estimat ved mindst 25:1 ved at gange tabellens PFH med 1,1. Tabelværdierne for lav, middel og høj DCavg er beregnet ved henholdsvis 60 %, 90 % og 99 %.
PL beskriver ydeevneniveauet. Sikkerhedskategorien viser, hvordan systemet håndterer fejl. Et forsvarligt valg kræver begge oplysninger.
Kontaktorerne er klar til at afbryde. Kommandoen kom bare aldrig
Delsystemet K1–K2 opnår PL e. Afskærmningssensoren fortæller imidlertid fejlagtigt logikken, at døren er lukket. Styringen tillader bevægelse, så begge kontaktorer forbliver indkoblet. De kan være fejlfri og perfekt overvågede. Problemet opstod tidligere i kæden.
Derfor vurderes hele forløbet: indgang → logik → udgang, inklusive forbindelserne. Ved en seriekombination af delsystemer med kendt PFH summeres værdierne. Den samlede PL begrænses både af summen og af det laveste PL blandt delsystemerne.
Tre delsystemer på hver 4 × 10⁻⁸ 1/h giver tilsammen 1,2 × 10⁻⁷ 1/h, altså PL d. Hvert delsystem lå isoleret set i PL e. Regnestykket er enkelt: Den samlede funktion har flere steder, hvor et farligt svigt kan opstå. Det er beskrevet nærmere i artiklen om beregning af PL efter ISO 13849-1.
Når spændingen afbrydes, skal båndet stadig bremse ned. Beskyttelsen skal virke, før en person kan nå faren. Sammenhængen ses tydeligt i eksemplet med lysgitterets afstand efter en ændring af reaktionstiden. Ved kombination af delsystemer vurderet efter forskellige metoder er en sammenligning af ISO 13849-1 og IEC 62061 også relevant.
Efter nogle år udskifter nogen K1
Den nye kontaktor har samme mærkestrøm og passer på skinnen. Teknikeren skal også bruge den rigtige spejlkontakt, passende koblingstider og korrekte levetidsdata. De egenskaber var en del af konstruktionen. Noten “24 V, samme antal ampere” udelader netop det, diagnostikken har brug for.
Dokumentationen skal vise, hvorfor komponenten blev valgt, hvad systemet overvåger, og hvordan det reagerer på fejl. Uden den viden er der kun et opkald til programmøren og et håb om, at vedkommende stadig husker formålet med hver eneste betingelse.
| Felt | Registrering |
|---|---|
| Omfang | Udgangsdelsystemet K1–K2 med forbindelser og overvågning. Opgave: Afbrydelse af energien til drevet. |
| Betragtet fejl | K1 forbliver lukket trods kommando om udkobling. |
| Krævet reaktion | K2 afbryder drevet selvstændigt. Manglende tilbagemelding fra K1 afslører fejlen og blokerer genstart. |
| Krævet dokumentation | Fejlanalyse og test T-01: Kontrol af frakobling via K2, reaktionstid, fejlregistrering og blokering. Resultatet registreres for den konkrete systemversion. |
Det fulde kort forbinder registreringen med SRS, diagramversionen, grundlaget for MTTFD, DCavg og CCF samt valideringsresultaterne. Det begrunder også eventuelle fejludelukkelser.
Hent kortet til begrundelse af sikkerhedskategorien som PDF på engelsk: Eksemplet med K1–K2 og en formular til eget projekt findes i samme fil og kan udfyldes på en computer.
En leder behøver ikke selv beregne PFH. Vedkommende kan bede leverandøren vise én fejl i diagrammet: Hvad svigter, hvad beskytter stadig personen, hvornår opdager styringen problemet, og hvor er testresultatet registreret? Det fører til en langt bedre samtale end spørgsmålet om relæets fabrikat.
To kontaktorer er en linje på indkøbslisten. Først deres funktion, diagnostik og dokumenterede konstruktionsgrundlag gør det muligt at tildele en sikkerhedskategori.
Kilder
Eksemplerne med transportør, kontaktorer og ventiler forklarer kravene. PFH-værdierne og de tilhørende PL-resultater stammer fra tabel K.1 i ISO 13849-1.
- ISO 13849-1:2023-09: Punkt 4.5, 5.1, 5.2.1 og 5.3–5.5 om oplysninger fra risikovurderingen, SRS, PLr og opdeling i delsystemer; definition 3.1.45–3.1.47 samt punkt 6.1.3.1–6.1.3.2.1 om delsystemer, kanaler og arkitekturer.
- ISO 13849-1:2023-09: Punkt 6.1.3.2.2–6.1.3.2.6 om kravene til sikkerhedskategori B–4, reaktion på fejl, test og ophobning af fejl; definition 3.1.49–3.1.50 samt punkt 6.1.11 om gennemprøvede sikkerhedsprincipper og komponenter.
- ISO 13849-1:2023-09: Tabel 2, 6 og 7, punkt 6.1.4–6.1.5 og 6.1.8, bilag C–E samt tabel K.1 med note 1–2 om PL, PFH, MTTFD, DC, levetidsdata, koblingsantal og forudsætninger for de numeriske modeller.
- ISO 13849-1:2023-09: Punkt 6.1.6, bilag F og tabel F.1 om CCF, begrænsning af fælles påvirkninger, pointvurdering og grænsen på 65 point; F.3.2 om variation; F.3.3 og F.3.6 om beskyttelse, forstyrrelser og driftsmiljø.
- IEC 60947-4-1:2019-05: Punkt 8.2.5.1 om kontaktorers koordinering med kortslutningsbeskyttelse og koordineringstype 2; punkt 8.2.4.3.1–8.2.4.3.2 og bilag B om mekanisk og elektrisk levetid; bilag F om spejlkontakters egenskaber og identifikation.
- ISO 13849-1:2023-09: Punkt 6.1.10, definition 3.1.29–3.1.30 og 3.1.51–3.1.52, bilag E og tabel E.1 om fejlanalyse, overvågning, test og plausibilitetskontrol; kapitel 7 og bilag N om software og tidligere vurderede platforme; punkt 13.2 om oplysninger til integration.
- ISO 4413:2011: Punkt 5.4.4.1 om tæthed og ventilers egnethed til sikkerhedsrelaterede anvendelser; punkt 5.4.7.1–5.4.7.2.1 om utilsigtet bevægelse, energiisolering og trykaflastning.
- ISO 13849-1:2023-09: Punkt 6.2.2 og kapitel 8 om kombination af delsystemer, summen af PFH og begrænsninger for opnået PL; punkt 5.2.2.2 om standsning; punkt 10.1.1–10.1.2 og 10.8 samt kapitel 12 om validering, protokoller og teknisk dokumentation.