«Δύο επαφείς και ένας ηλεκτρονόμος ασφαλείας, άρα κατηγορία 3». Στον ηλεκτρικό πίνακα όλα φαίνονται σωστά. Το ίδιο και στον κατάλογο υλικών. Ένας συγκολλημένος επαφέας, όμως, αποκαλύπτει πόση από αυτή την τάξη επιβιώνει στην πραγματική λειτουργία.
Ο χειριστής ανοίγει το προστατευτικό του μεταφορικού ιμάντα. Το σύστημα ελέγχου απενεργοποιεί το πηνίο του K1, αλλά οι κύριες επαφές του έχουν συγκολληθεί. Ο κινητήρας εξακολουθεί να τροφοδοτείται. Η εντολή ήταν σωστή· ο επαφέας απλώς δεν την εκτέλεσε. Ένας δεύτερος επαφέας μπορεί να διακόψει την τροφοδοσία. Η διάγνωση μπορεί να εντοπίσει την αστοχία και να αποκλείσει την επόμενη εκκίνηση. Όλα εξαρτώνται από τον πραγματικό σχεδιασμό.
Οι Κατηγορίες ασφαλείας κατά ISO 13849-1 περιγράφουν την αντοχή ενός υποσυστήματος στα σφάλματα και τη συμπεριφορά του αφού αυτά εμφανιστούν. Η διαφορά μεταξύ B, 1, 2, 3 και 4 γίνεται καθαρή όταν εξετάζουμε παντού την ίδια αποστολή: διακοπή της τροφοδοσίας ενός κινητήρα ακόμη και όταν κάτι στο κύκλωμα αστοχήσει. Στην παραλαβή κάθε υγιές σύστημα μπορεί να εντυπωσιάζει. Η κατηγορία αρχίζει να μετρά όταν το σύστημα πάψει να είναι υγιές.
Πρώτα η αποστολή, μετά οι συσκευές στον πίνακα
Ο χειριστής πρέπει να διορθώσει ένα τεμάχιο. Ο ιμάντας οφείλει να σταματήσει πριν εκείνος φτάσει στο επικίνδυνο σημείο και να παραμείνει σταματημένος όσο το προστατευτικό είναι ανοικτό. Ο μελετητής εξάγει αυτές τις απαιτήσεις από την εκτίμηση κινδύνου κατά ISO 12100 και τις καταγράφει στην προδιαγραφή απαιτήσεων ασφάλειας — SRS.
Η πλήρης λειτουργία περιλαμβάνει την ανίχνευση του ανοίγματος, την απόφαση του συστήματος ελέγχου και τη διακοπή της τροφοδοσίας. Κάθε μέρος μπορεί να εξεταστεί ως ξεχωριστό υποσύστημα. Στα παραδείγματα που ακολουθούν αλλάζει το υποσύστημα εξόδου: οι επαφείς, οι συνδέσεις τους και η επιτήρησή τους. Η υπολειτουργία του είναι απλή στη διατύπωση αλλά απαιτητική στην απόδειξη: να αποκόπτει την τροφοδοσία του κινητήρα.
Ο επαφέας λειτουργεί ως ηλεκτρικά ελεγχόμενος διακόπτης. Η τάση στο πηνίο κλείνει τις κύριες επαφές, μέσω των οποίων ρέει ρεύμα προς τον κινητήρα. Όταν το πηνίο απενεργοποιηθεί, μια υγιής συσκευή τις ανοίγει. Η συγκόλληση των επαφών καταργεί ακριβώς αυτή την ικανότητα.
Με δύο επαφείς K1 και K2, το ρεύμα του κινητήρα περνά διαδοχικά και από τους δύο. Το άνοιγμα οποιουδήποτε διακόπτει το κύκλωμα. Κάθε επαφέας μαζί με τον έλεγχό του σχηματίζει ανεξάρτητη διαδρομή διακοπής, δηλαδή κανάλι.
Κατηγορία B: ο K1 συγκολλήθηκε και η τροφοδοσία παραμένει
Ένας μόνο επαφέας K1 αποσυνδέει τον κινητήρα. Με το άνοιγμα του προστατευτικού, το σύστημα απενεργοποιεί το πηνίο, οι κύριες επαφές ανοίγουν και ο κινητήρας χάνει την τροφοδοσία του. Αυτό μπορεί να λειτουργεί σωστά για χιλιάδες κύκλους.
Σε μια επόμενη εκκίνηση οι επαφές συγκολλούνται. Ο ιμάντας συνεχίζει να κινείται και ο χειριστής δεν έχει ακόμη λόγο να αντιληφθεί το σφάλμα. Ανοίγει το προστατευτικό. Η τάση του πηνίου μηδενίζεται, αλλά το ρεύμα προς τον κινητήρα συνεχίζει να ρέει. Δεν υπάρχει δεύτερο στοιχείο για να το διακόψει. Ένα μόνο σφάλμα αφαίρεσε από το υποσύστημα την ικανότητα ασφαλούς αποσύνδεσης.
Αν, αντί για συγκόλληση, κοβόταν ο αγωγός του πηνίου, ένας υγιής επαφέας θα άνοιγε. Πρόκειται για διαφορετικό σφάλμα με διαφορετική συνέπεια. Η φράση «σε βλάβη ο επαφέας θα πέσει» ακούγεται πειστική μόνο όταν επιλέγουμε εκ των προτέρων ποια βλάβη μάς βολεύει.
Η κατηγορία B απαιτεί βασικές αρχές ασφάλειας και επιλογή εξαρτημάτων κατάλληλων για τις πραγματικές συνθήκες. Ο επαφέας πρέπει να αντέχει το φορτίο, τη συχνότητα μεταγωγών και τη θερμοκρασία του πίνακα. Το γράμμα B δεν αποτελεί άδεια να εγκατασταθεί ό,τι περίσσεψε στην αποθήκη.
Πότε η κατηγορία B δίνει PL a και πότε PL b;
Δύο φαινομενικά ίδια κυκλώματα μπορεί να έχουν πολύ διαφορετική συχνότητα επικίνδυνων αστοχιών. Ο ένας επαφέας εκκινεί έναν κινητήρα μία φορά ανά βάρδια. Ο άλλος μεταγάγει σε κάθε τεμάχιο. Ίδιο μοντέλο, εντελώς διαφορετικός αριθμός κύκλων.
Ο μελετητής λαμβάνει υπόψη την αντοχή της συσκευής και τον πραγματικό τρόπο λειτουργίας της μηχανής. Υπολογίζει το MTTFD, δηλαδή τον μέσο χρόνο μέχρι επικίνδυνη αστοχία. Όσο μεγαλύτερη είναι η τιμή, τόσο σπανιότερα αναμένονται στατιστικά τέτοιες αστοχίες. Στο κανάλι περιλαμβάνονται όλα τα στοιχεία των οποίων η αστοχία μπορεί να καταργήσει τη δυνατότητα διακοπής.
| MTTFD καναλιού | PFH, μέση συχνότητα επικίνδυνης αστοχίας ανά ώρα | Επιτυγχανόμενο PL |
|---|---|---|
| 10 έτη | 1,14 × 10−5 1/h | PL a |
| 12 έτη | 9,51 × 10−6 1/h | PL b |
| 20 έτη | 5,71 × 10−6 1/h | PL b |
Στα 10 έτη το αποτέλεσμα είναι PL a. Στα 12 έτη γίνεται PL b, επειδή το PFH πέφτει κάτω από 10−5 1/h. Άλλαξε η αξιοπιστία, όχι η συμπεριφορά μετά τη συγκόλληση: και στα δύο κυκλώματα ο κινητήρας θα παραμείνει τροφοδοτημένος.
Το MTTFD είναι στατιστική παράμετρος. Τα «20 έτη» στον υπολογισμό δεν αποτελούν εικοσαετή εγγύηση ούτε αυτόματη ημερομηνία αντικατάστασης. Η συντήρηση καθορίζεται από τις συνθήκες και τους περιορισμούς χρήσης της συσκευής.
Οι τιμές αφορούν μόνο το υποσύστημα εξόδου. Στην πλήρη λειτουργία προστίθενται τα PFH του αισθητήρα και της λογικής: PFH εισόδου + PFH λογικής + PFH εξόδου. Το άθροισμα συγκρίνεται με τα διαστήματα PL, ενώ το τελικό αποτέλεσμα περιορίζεται και από το χαμηλότερο PL οποιουδήποτε υποσυστήματος. Έτσι, έξοδος PL b μπορεί μαζί με τα υπόλοιπα μέρη να δώσει συνολική λειτουργία PL a.
Η κατηγορία B φτάνει το πολύ έως PL b. Αν το απαιτούμενο PLr είναι d, χρειάζεται διαφορετική λύση. Μία ακόμη επιτυχής δοκιμή ανοίγματος του προστατευτικού δεν μετακινεί αυτό το όριο.
Κατηγορία 1: το ίδιο πρόβλημα πρέπει να εμφανίζεται σπανιότερα
Ο κινητήρας εξακολουθεί να αποσυνδέεται από έναν μόνο K1. Ο μελετητής αυξάνει, όμως, τις απαιτήσεις αξιοπιστίας και τον εφαρμόζει με αυστηρότερους κανόνες. Πέρα από τις απαιτήσεις της κατηγορίας B, χρησιμοποιεί δοκιμασμένα εξαρτήματα και δοκιμασμένες αρχές ασφάλειας. Στην απλουστευμένη μέθοδο, το MTTFD του καναλιού πρέπει να είναι υψηλό, από 30 έως 100 έτη.
Ο χαρακτηρισμός «δοκιμασμένο» αφορά συγκεκριμένες συνθήκες χρήσης. Μια συσκευή που επί χρόνια μεταγεί θερμαντικά φορτία χωρίς πρόβλημα δεν αποδεικνύεται αυτομάτως κατάλληλη για κινητήρα με υψηλό ρεύμα εκκίνησης και συχνές εκκινήσεις. Η γνωστή εμπορική ονομασία μένει ίδια· η καταπόνηση όχι.
Η επιλογή βασίζεται σε τεκμηριωμένη εμπειρία από παρόμοιες εφαρμογές ή σε ιδιότητες που έχουν αποδειχθεί μέσω σχεδιασμού, επαλήθευσης και επικύρωσης σύμφωνα με τα σχετικά πρότυπα. Το ISO 13849-2 προσδιορίζει επίσης εξαρτήματα και προϋποθέσεις υπό τις οποίες μπορούν να θεωρηθούν δοκιμασμένα.
Και παρ’ όλα αυτά, ο K1 μπορεί να συγκολληθεί. Το πηνίο απενεργοποιείται, οι κύριες επαφές παραμένουν κλειστές και ο κινητήρας συνεχίζει να τροφοδοτείται. Η κατηγορία 1 μειώνει την πιθανότητα του συμβάντος. Δεν δημιουργεί δεύτερο κανάλι.
Μεγαλύτερη αξιοπιστία: από PL b έως PL c
Με MTTFD καναλιού 30 έτη, ο πίνακας K.1 δίνει PL b. Στα 39 έτη, το PFH πέφτει κάτω από 3 × 10−6 1/h και το αποτέλεσμα περνά σε PL c.
| MTTFD καναλιού | PFH | Επιτυγχανόμενο PL |
|---|---|---|
| 30 έτη | 3,80 × 10−6 1/h | PL b |
| 39 έτη | 2,93 × 10−6 1/h | PL c |
| 100 έτη | 1,14 × 10−6 1/h | PL c |
Το ανώτατο όριο της κατηγορίας 1 είναι PL c. Η καλύτερη συσκευή έχει πραγματική αξία επειδή αστοχεί σπανιότερα. Αν όμως αστοχήσει με συγκόλληση, δεν υπάρχει δεύτερη διαδρομή διακοπής. Η προστασία εξακολουθεί να στηρίζεται σε ένα κανάλι.
Κατηγορία 2: το σύστημα ελέγχει αν ο K1 εκτέλεσε την εντολή
Ο χειριστής ανοίγει το προστατευτικό. Το σύστημα απενεργοποιεί τον K1 και περιμένει επιβεβαίωση ότι οι κύριες επαφές του άνοιξαν. Τώρα η εκτέλεση της εντολής ελέγχεται.
Η πληροφορία προέρχεται από επαφή καθρέφτη του επαφέα. Η κατασκευή της δεν επιτρέπει να κλείσει όταν μία κύρια επαφή παραμένει συγκολλημένη. Το σύστημα λαμβάνει επομένως σαφή ανάδραση: ο K1 άνοιξε το κύκλωμα ή δεν εκτέλεσε την εντολή.
Ο K1 συγκολλάται και η επιβεβαίωση δεν επιστρέφει. Η δοκιμή εντοπίζει το σφάλμα και ενεργοποιεί την αντίδραση. Στο συγκεκριμένο παράδειγμα, ένας πρόσθετος επαφέας KT, συνδεδεμένος σε σειρά με τον K1, διακόπτει την τροφοδοσία. Η επανεκκίνηση αποκλείεται μέχρι να αποκατασταθεί η βλάβη.
Στο πρότυπο, η διάταξη δοκιμής συμβολίζεται ως TE και η έξοδός της ως OTE. Εδώ η OTE ελέγχει τον KT. Ο K1 ανήκει στο λειτουργικό κανάλι που εκτελεί τη συνηθισμένη διακοπή. Οι TE και OTE σχηματίζουν το κανάλι δοκιμής, το οποίο ελέγχει την εκτέλεση και προκαλεί αντίδραση όταν εντοπιστεί σφάλμα.
Στον πίνακα υπάρχουν δύο επαφείς, αλλά το παράδειγμα παραμένει κατηγορία 2. Ο KT καλείται να διακόψει μόνο μετά την ανίχνευση του προβλήματος στον K1. Σε αυτό το σημείο, η απλή καταμέτρηση συσκευών χάνει ήδη από την ανάγνωση του σχεδίου.
Χθες ήταν υγιής· στη σημερινή εκκίνηση συγκολλήθηκε
Ο K1 περνά επιτυχώς μια δοκιμή. Στην επόμενη εκκίνηση, όμως, οι επαφές του συγκολλούνται. Μέχρι τον επόμενο έλεγχο, το λειτουργικό κανάλι είναι ελαττωματικό. Η προηγούμενη δοκιμή δεν έκρυψε τίποτα· η μηχανή αστόχησε μετά από αυτή.
Γι’ αυτό η κατηγορία 2 μπορεί να χάσει την υπολειτουργία μεταξύ δύο δοκιμών. Ο μελετητής πρέπει να καθορίσει πότε πραγματοποιείται ο έλεγχος και πόσο γρήγορα ακολουθεί η αντίδραση. Αν η δοκιμή αρχίζει όταν ανοίγει το προστατευτικό, η ανίχνευση, η απενεργοποίηση του KT και η παύση της κίνησης πρέπει να ολοκληρώνονται πριν ο άνθρωπος φτάσει στην επικίνδυνη ζώνη.
Για απαιτούμενο PLr d, η OTE πρέπει να προκαλεί κατάσταση που εξασφαλίζει ασφάλεια και να τη διατηρεί μέχρι την αποκατάσταση του σφάλματος. Εδώ αυτό επιτυγχάνεται με τον KT. Ένα κόκκινο μήνυμα στην οθόνη θα άφηνε τον κινητήρα τροφοδοτημένο και απλώς θα ενημέρωνε τον χειριστή, με εξαιρετική σαφήνεια, γιατί η προστασία δεν λειτουργεί.
Η παράγραφος 6.1.3.2.4 του ISO 13849-1 προβλέπει συχνότητα δοκιμών τουλάχιστον 100 φορές μεγαλύτερη από τη συχνότητα απαίτησης της λειτουργίας ή άμεση δοκιμή κατά την απαίτηση, με ανίχνευση του σφάλματος και μετάβαση σε μη επικίνδυνη κατάσταση πριν από την πρόσβαση. Εδώ η απαίτηση της λειτουργίας εμφανίζεται όταν ανοίγει το προστατευτικό. Η αναλογία 100:1 δεν σημαίνει εκατό δοκιμές πριν από κάθε άνοιγμα.
Το MTTFD του καναλιού δοκιμής TE–OTE πρέπει να υπερβαίνει το μισό MTTFD του λειτουργικού καναλιού. Κάθε μέρος του λειτουργικού καναλιού χρειάζεται τουλάχιστον χαμηλή διαγνωστική κάλυψη. Ισχύουν επίσης οι αρχές της κατηγορίας B, οι δοκιμασμένες αρχές ασφάλειας και τα μέτρα κατά αστοχιών κοινής αιτίας μεταξύ των δύο καναλιών.
Για PLr έως και c, η OTE πρέπει επίσης να προκαλεί ασφαλή κατάσταση όταν αυτό είναι πρακτικά εφικτό. Όταν δεν είναι, το πρότυπο δέχεται ότι μπορεί να αρκεί προειδοποίηση. Για PLr d απαιτείται αντίδραση που εξασφαλίζει ασφάλεια.
Η δοκιμή μπορεί να δώσει PL d, αλλά μετρά και η αξιοπιστία
Η DC, δηλαδή η διαγνωστική κάλυψη, εκφράζει την αποτελεσματικότητα εντοπισμού επικίνδυνων αστοχιών. Για ολόκληρο το υποσύστημα υπολογίζεται η μέση διαγνωστική κάλυψη DCavg, σταθμίζοντας και τις συχνότητες των σχετικών αστοχιών στα επιμέρους στοιχεία.
Με ίδιο DCavg = 90%, η κατηγορία 2 δίνει PL a όταν το MTTFD του λειτουργικού καναλιού είναι 3 έτη, PL b στα 10, PL c στα 30 και PL d στα 100. Η δοκιμή υπάρχει σε όλες τις περιπτώσεις. Αυτό που αλλάζει είναι πόσο συχνά εμφανίζονται οι αστοχίες τις οποίες πρέπει να διαχειριστεί.
| MTTFD λειτουργικού καναλιού | PFH | Επιτυγχανόμενο PL |
|---|---|---|
| 3 έτη | 1,99 × 10−5 1/h | PL a |
| 10 έτη | 5,14 × 10−6 1/h | PL b |
| 30 έτη | 1,21 × 10−6 1/h | PL c |
| 100 έτη | 2,29 × 10−7 1/h | PL d |
Στην κατηγορία 2, η προστασία εξαρτάται από το αν η δοκιμή θα εντοπίσει το σφάλμα και αν το σύστημα θα προλάβει να αντιδράσει. Ο χρόνος ελέγχου δεν είναι λεπτομέρεια προγραμματισμού· αποτελεί μέρος του σχεδιασμού ασφάλειας.
Κατηγορία 3: ο K2 αποσυνδέει χωρίς να περιμένει το αποτέλεσμα της δοκιμής
Οι K1 και K2 συνδέονται σε σειρά στην τροφοδοσία του κινητήρα. Όταν ο χειριστής ανοίξει το προστατευτικό, το σύστημα δίνει εντολή απενεργοποίησης και στους δύο. Κάθε επαφέας διαθέτει δική του διαδρομή ελέγχου και μπορεί μόνος του να διακόψει την τροφοδοσία.
Ο K1 παραμένει συγκολλημένος. Ο K2 ανοίγει και διακόπτει το ρεύμα. Το δεύτερο κανάλι εκτελεί την αποστολή προστασίας παρά το σφάλμα του πρώτου. Αυτή είναι η θεμελιώδης διαφορά από την κατηγορία 2. Εκεί ο KT παρενέβαινε αφού η TE εντόπιζε το σφάλμα. Εδώ ο K2 λαμβάνει εντολή απενεργοποίησης επειδή άνοιξε το προστατευτικό. Δεν περιμένει διάγνωση του K1.
Ο ιμάντας σταμάτησε, αλλά η επισκευή παραμένει αναγκαία
Ο χειριστής βλέπει το συνηθισμένο αποτέλεσμα: ο ιμάντας σταματά. Μέσα στον πίνακα, όμως, ένας επαφέας έχει ήδη αστοχήσει. Η διάγνωση εντοπίζει ότι δεν επέστρεψε η επιβεβαίωση ανοίγματος του K1 και αποκλείει την επόμενη εκκίνηση.
Ο K2 εκτέλεσε την αποστολή αντί για το ελαττωματικό κανάλι. Δεν το επισκεύασε. Αν το σύστημα επέτρεπε συνέχιση της παραγωγής με γνωστό σφάλμα, η επόμενη διακοπή θα εξαρτιόταν μόνο από τον K2.
Η κατηγορία 3 απαιτεί διατήρηση της υπολειτουργίας μετά από ένα μεμονωμένο σφάλμα. Η απαίτηση καλύπτει τα εξαρτήματα και τις συνδέσεις ολόκληρου του αξιολογούμενου υποσυστήματος. Αν ένα σφάλμα ελέγχου μπορεί να κρατήσει και τα δύο πηνία υπό τάση, οι δύο επαφείς ίσως εκτελούν άψογα την ίδια λανθασμένη εντολή.
Απαιτείται επίσης τουλάχιστον χαμηλή διαγνωστική κάλυψη. Το μεμονωμένο σφάλμα πρέπει να εντοπίζεται κατά την απαίτηση της λειτουργίας ή πριν από την επόμενη απαίτηση, όταν αυτό είναι πρακτικά εφικτό. Ορισμένα σφάλματα επιτρέπεται να μείνουν αδιάγνωστα. Η μετέπειτα συσσώρευσή τους μπορεί να καταργήσει την προστασία· εδώ ακριβώς αρχίζει η διαφορά από την κατηγορία 4.
Η κατηγορία 3 μπορεί να πετύχει PL c, d ή e
Με DCavg = 90% και MTTFD κάθε καναλιού 10 έτη, ο πίνακας K.1 δίνει PL c. Στα 30 έτη δίνει PL d και στα 100 έτη PL e. Η φράση «κατηγορία 3, άρα PL d» είναι βολική, αλλά τεχνικά λανθασμένη.
| MTTFD κάθε καναλιού | PFH | Επιτυγχανόμενο PL |
|---|---|---|
| 10 έτη | 1,36 × 10−6 1/h | PL c |
| 30 έτη | 2,65 × 10−7 1/h | PL d |
| 100 έτη | 4,29 × 10−8 1/h | PL e |
Η τιμή MTTFD αφορά κάθε κανάλι χωριστά. Δύο κανάλια των 30 ετών δεν μετατρέπονται σε ένα κανάλι 60 ετών. Ισχύουν επίσης οι απαιτήσεις της κατηγορίας B, οι δοκιμασμένες αρχές ασφάλειας και τα μέτρα κατά αστοχίας κοινής αιτίας.
Ο K2 διακόπτει την τροφοδοσία παρά την αστοχία του K1. Η διάγνωση αποφασίζει αν το σύστημα μπορεί να λάβει άδεια για τον επόμενο κύκλο. Η εφεδρεία διατηρεί τη λειτουργία· δεν δικαιολογεί λειτουργία με γνωστή βλάβη.
Κατηγορία 4: πρόβλημα είναι και το σφάλμα που ξέφυγε από τη διάγνωση
Με συγκολλημένο K1, ο K2 αποσυνδέει τον κινητήρα και το σύστημα αποκλείει την επανεκκίνηση. Το ίδιο συνέβη και στην κατηγορία 3. Η διαφορά φαίνεται μόνο όταν η ανάλυση προχωρήσει βαθύτερα: ποια σφάλματα εντοπίζονται, πότε εντοπίζονται και τι θα συμβεί αν συσσωρευτούν σφάλματα που δεν ανιχνεύθηκαν;
Στην κατηγορία 4, ένα μεμονωμένο σφάλμα πρέπει να αφήνει τη λειτουργία διαθέσιμη και να εντοπίζεται κατά την απαίτηση ή πριν από την επόμενη απαίτηση. Αν η έγκαιρη ανίχνευση δεν είναι δυνατή, ακόμη και η συσσώρευση σφαλμάτων πρέπει να μην καταργεί την προστασία.
Το σύστημα ελέγχει αν και η επιβεβαίωση λέει την αλήθεια
Κάθε επαφέας διαθέτει χωριστά επιτηρούμενη επαφή καθρέφτη. Το σύστημα ελέγχει τη συμπεριφορά της σε όλο τον κύκλο:
- Πριν από την εκκίνηση, οι δύο επαφείς είναι απενεργοποιημένοι και οι επαφές καθρέφτη πρέπει να επιβεβαιώνουν ότι οι κύριες διαδρομές είναι ανοικτές.
- Μετά την ενεργοποίηση ενός επαφέα, η επιβεβαίωση ανοίγματος πρέπει να εξαφανιστεί μέσα στον καθορισμένο χρόνο.
- Μετά την απενεργοποίηση, η επιβεβαίωση πρέπει να επιστρέψει.
- Αν ο K1 συγκολληθεί, η τελευταία επιβεβαίωση δεν επιστρέφει. Ο K2 διακόπτει και η λογική αποκλείει την εκκίνηση.
Η τάση του πηνίου αλλάζει 0 → 24 → 0 V και η αναμενόμενη επιβεβαίωση ανοίγματος 1 → 0 → 1. Για την κατηγορία 4 απαιτείται DCavg τουλάχιστον 99%.
Γιατί ελέγχεται και η εξαφάνιση της επιβεβαίωσης; Επειδή οι δύο αγωγοί της επαφής καθρέφτη μπορεί να βραχυκυκλωθούν. Τότε το σήμα δηλώνει συνεχώς «K1 ανοικτός», ακόμη και όταν ο επαφέας έχει ενεργοποιηθεί. Ένα σύστημα που ελέγχει μόνο την παρουσία του σήματος πριν από την εκκίνηση θα δεχόταν αυτή την ψευδή επιβεβαίωση.
Η επιτήρηση των μεταβολών εντοπίζει την αντίφαση: ο K1 έλαβε εντολή ενεργοποίησης, αλλά η πληροφορία «ανοικτός» παρέμεινε. Οι έξοδοι απενεργοποιούνται και η λειτουργία αποκλείεται. Η εντολή επαναφοράς δεν πρόκειται να διαχωρίσει ούτε βραχυκυκλωμένους αγωγούς ούτε συγκολλημένες επαφές.
Τέτοια δυναμική διάγνωση μπορεί να χρησιμοποιηθεί και στην κατηγορία 3. Η κατηγορία 4 δεν προκύπτει από μία μεμονωμένη τεχνική, αλλά από τη συμπεριφορά ολόκληρου του υποσυστήματος απέναντι στα εξεταζόμενα σφάλματα και στη συσσώρευσή τους. Η ανάλυση καλύπτει επίσης τα κυκλώματα ελέγχου, την ανάδραση και τις συνέπειες των αστοχιών τους.
Δύο βαλβίδες δείχνουν γιατί αυτό έχει σημασία
Οι V1 και V2 είναι βαλβίδες έδρας σε σειρά στην παροχή λαδιού προς έναν κύλινδρο. Καθεμία μπορεί μόνη της να διακόψει τη ροή. Αισθητήρες επιτηρούν τη θέση των στοιχείων κλεισίματος.
Στη V1 αστοχεί η στεγανοποίηση της έδρας. Το στοιχείο φτάνει στη θέση «κλειστό», αλλά λόγω της βλάβης διαρρέει λάδι. Ο αισθητήρας θέσης εξακολουθεί να λέει την αλήθεια. Η υγιής V2 συγκρατεί τη ροή, επομένως στη μηχανή δεν παρατηρείται τίποτα.
Αργότερα, από ανεξάρτητη αιτία, αρχίζει να διαρρέει και η V2. Η ροή μέσω των δύο βαλβίδων αρκεί πλέον για επικίνδυνη κίνηση του κυλίνδρου. Στην οθόνη παραμένουν δύο απολύτως συνεπείς ενδείξεις «κλειστό». Συνεπείς μεταξύ τους, αλλά άχρηστες για την ανίχνευση της συγκεκριμένης αστοχίας.
Αυτή είναι συσσώρευση αδιάγνωστων σφαλμάτων που μπορεί να καταργήσει την προστασία στην κατηγορία 3. Για την κατηγορία 4, η ακολουθία πρέπει να διακοπεί: είτε να εντοπιστεί εγκαίρως η κρίσιμη διαρροή είτε η λειτουργία να παραμένει αποτελεσματική παρά τη συγκεκριμένη συσσώρευση.
Μια δοκιμή στεγανότητας κάθε βαλβίδας χωριστά ελέγχει ακριβώς αυτό που δεν μπορεί να ελέγξει ο αισθητήρας θέσης. Για παράδειγμα, η διαρροή αυξάνει την πίεση σε απομονωμένο χώρο δοκιμής πίσω από τη βαλβίδα. Αισθητήρας πίεσης ανιχνεύει την αύξηση και αποκλείει τη λειτουργία.
Αν ελέγχονταν ταυτόχρονα και οι δύο κλειστές βαλβίδες, η στεγανή V2 θα μπορούσε να κρύψει τη διαρροή της V1. Το όριο και ο χρόνος της δοκιμής πρέπει να αποκαλύπτουν διαρροή σημαντική για την ασφάλεια πριν δημιουργηθεί κίνδυνος. Ο σχεδιασμός καλύπτει και την υπολειπόμενη πίεση πίσω από τις βαλβίδες: η διακοπή νέας παροχής δεν εξαφανίζει την ήδη αποθηκευμένη ενέργεια.
Το 99% πρέπει να προκύπτει από πραγματική διάγνωση
Η κατηγορία 4 απαιτεί υψηλό DCavg, τουλάχιστον 99%, και υψηλό MTTFD για κάθε κανάλι. Το 99% αφορά τις συχνότητες των επικίνδυνων αστοχιών που ανιχνεύονται. Η ανίχνευση εννέα σπάνιων τύπων αστοχίας και η παράλειψη ενός συχνού μπορεί να δώσει κακό αποτέλεσμα, όσο εντυπωσιακή και αν φαίνεται η λίστα ελέγχου.
| MTTFD κάθε καναλιού | PFH | Επιτυγχανόμενο PL |
|---|---|---|
| 30 έτη | 9,54 × 10−8 1/h | PL e |
| 100 έτη | 2,47 × 10−8 1/h | PL e |
| 2.500 έτη | 9,06 × 10−10 1/h | PL e |
Για την κατηγορία 4, το μοντέλο επιτρέπει MTTFD καναλιού έως 2.500 έτη. Πρόκειται πάντα για στατιστική παράμετρο. Οι αρχές της κατηγορίας B, οι δοκιμασμένες αρχές ασφάλειας και τα μέτρα κατά αστοχιών κοινής αιτίας συνεχίζουν να ισχύουν.
Η παράγραφος 6.1.3.2.6 αναφέρει ότι στην πράξη μπορεί να αρκεί η εξέταση συνδυασμών δύο σφαλμάτων. Η παράλειψη αδιάγνωστων αστοχιών πολύ χαμηλής πιθανότητας απαιτεί τεκμηριωμένη και επαληθευμένη ανάλυση, όπως FMEA. Η διάγνωση πρέπει να ελέγχει την ικανότητα εκτέλεσης της αποστολής, όχι απλώς την κατάσταση ενός αισθητήρα.
Μια βαλβίδα μπορεί να επιβεβαιώνει σωστά τη θέση «κλειστή» και ταυτόχρονα να αφήνει λάδι να περάσει. Η διάγνωση που δεν ελέγχει τη φυσική ικανότητα απομόνωσης μπορεί να είναι συνεπής, γρήγορη και εντελώς ανεπαρκής.
Πέντε κατηγορίες, ένας συγκολλημένος K1
Στις κατηγορίες B και 1, η συγκόλληση του K1 αφήνει τον κινητήρα υπό τάση. Στην κατηγορία 2, ο KT διακόπτει αφού η TE εντοπίσει το σφάλμα. Στις κατηγορίες 3 και 4, ο K2 λαμβάνει εντολή μαζί με το άνοιγμα του προστατευτικού και διακόπτει χωρίς να περιμένει διάγνωση. Στη συνέχεια, η ανάδραση αποκαλύπτει τη βλάβη και αποκλείει τον επόμενο κύκλο.
Γι’ αυτό η αξιολόγηση δεν σταματά στην πρώτη επιτυχημένη προστατευτική αντίδραση. Εξετάζει τι θα συμβεί στον επόμενο κύκλο, ποια σφάλματα έμειναν κρυφά και αν η λειτουργία εξακολουθεί να είναι διαθέσιμη.
Δύο επαφείς μπορεί να ηττηθούν από το ίδιο βραχυκύκλωμα
Μέχρι τώρα ο K1 αστοχούσε και ο K2 διέσωζε τη διακοπή. Αν όμως εμφανιστεί βραχυκύκλωμα μετά τον K2, το ρεύμα βραχυκυκλώματος περνά και από τους δύο κλειστούς επαφείς και μπορεί να προκαλέσει συγκόλληση και στους δύο. Το δεύτερο κανάλι συνάντησε την ίδια αιτία με το πρώτο.
Αυτό είναι CCF, δηλαδή αστοχία κοινής αιτίας. Στις κατηγορίες 3 και 4 αφορά τα δύο λειτουργικά κανάλια. Στην κατηγορία 2 αφορά το λειτουργικό κανάλι και το κανάλι δοκιμής. Ο μελετητής οφείλει να περιορίζει τις κοινές καταπονήσεις με συγκεκριμένα τεχνικά μέτρα.
Ο K2 κλείνει πρώτος και ανοίγει τελευταίος
Πρώτα κλείνει ο K2. Ο K1 είναι ακόμη ανοικτός, οπότε δεν ρέει ρεύμα κινητήρα. Στη συνέχεια κλείνει ο K1 και συνδέει το φορτίο. Κατά την απενεργοποίηση η σειρά αντιστρέφεται: ο K1 διακόπτει το ρεύμα και ο K2 ανοίγει λίγο αργότερα, χωρίς ρεύμα φορτίου.
Κατά τη λειτουργία και οι δύο άγουν το ίδιο ρεύμα, αλλά οι συνθήκες μεταγωγής διαφέρουν. Ο K2 συνήθως αποφεύγει τόσο το ρεύμα εκκίνησης όσο και τη διακοπή φορτίου, μειώνοντας την ηλεκτρική φθορά των επαφών του. Ο μηχανισμός του, πάντως, εξακολουθεί να κινείται σε κάθε κύκλο και η μηχανική φθορά παραμένει.
Ο K2 πρέπει να έχει επιλεγεί ώστε να μπορεί μόνος του να διακόψει το πλήρες φορτίο, επειδή μετά τη συγκόλληση του K1 αυτό ακριβώς θα κάνει. Η απενεργοποίησή του πρέπει να έρχεται στον καθορισμένο χρόνο χωρίς αναμονή για ανάδραση από τον K1. Σε περίπτωση συγκόλλησης, αυτή η επιβεβαίωση δεν θα φτάσει ποτέ. Οι καθυστερήσεις και οι χρόνοι των συσκευών πρέπει να χωρούν στον απαιτούμενο χρόνο αντίδρασης της λειτουργίας.
Η προστασία βραχυκυκλώματος πρέπει να περιορίζει τις συνέπειες του κοινού συμβάντος
Η αλληλουχία μεταγωγής διαφοροποιεί τις καταπονήσεις κατά την κανονική εκκίνηση και διακοπή. Σε βραχυκύκλωμα με κλειστούς και τους δύο επαφείς, το ρεύμα καταπονεί και τους δύο. Η προστατευτική διάταξη F πρέπει να το διακόψει, ενώ οι συνέπειες καθορίζονται από την τιμή του ρεύματος και τη διάρκειά του.
Ο μελετητής καθορίζει το αναμενόμενο ρεύμα βραχυκυκλώματος στο σημείο εγκατάστασης και ελέγχει τον συγκεκριμένο συνδυασμό επαφέα, τύπου και ονομαστικού ρεύματος προστασίας, τάσης και συνθηκών εφαρμογής. Τα στοιχεία του κατασκευαστή καθορίζουν τον επιτρεπτό συντονισμό. Το ονομαστικό ρεύμα του κινητήρα δεν αρκεί.
Η προστασία διακόπτει το ρεύμα· δεν επισκευάζει τις συγκολλημένες επαφές. Πριν από την επιστροφή σε λειτουργία πρέπει να ελεγχθούν και οι δύο επαφείς και να αποκατασταθούν οι ζημιές.
Η παράγραφος 8.2.5.1 του IEC 60947-4-1 επιτρέπει τη συγκόλληση επαφών ακόμη και σε συντονισμό τύπου 2. Ο κατασκευαστής καθορίζει τις απαιτούμενες ενέργειες συντήρησης. Η χρήση διαφορετικής προστατευτικής διάταξης από τη συνιστώμενη μπορεί να ακυρώσει τον δηλωμένο συντονισμό.
Κοινή όδευση, κοινό τροφοδοτικό, κοινή υπερθέρμανση
Οι αγωγοί των δύο πηνίων περνούν στην ίδια δέσμη. Μία σύνθλιψη μπορεί να βραχυκυκλώσει και τα δύο κυκλώματα ελέγχου προς τα +24 V. Διαχωρισμένες και προστατευμένες οδεύσεις, μαζί με χωριστούς ακροδέκτες, μειώνουν την πιθανότητα ένα σφάλμα να επηρεάσει και τα δύο κανάλια.
Ένα κοινό τροφοδοτικό μπορεί, μετά από αστοχία, να δώσει υπέρταση. Ο μελετητής ελέγχει τη συμπεριφορά του σε βλάβη και εφαρμόζει κατάλληλο περιορισμό τάσης ή εξωτερική προστασία.
Οι δύο επαφείς μπορεί να είναι τοποθετημένοι πάνω από έναν μετατροπέα συχνότητας. Με αστοχία του ανεμιστήρα, η θερμοκρασία υπερβαίνει τα επιτρεπτά όρια. Η διάταξη των συσκευών, οι αποστάσεις και ο αερισμός πρέπει να καλύπτουν και αυτό το ενδεχόμενο. Ο ανοικτός πίνακας κατά την παραλαβή έχει συνήθως εξαιρετικό αερισμό· ο κλειστός πίνακας του Αυγούστου όχι.
Αν τα δύο κανάλια οδεύουν δίπλα στα καλώδια κινητήρα του μετατροπέα, κοινές ηλεκτρομαγνητικές παρεμβολές μπορεί να επηρεάσουν και τα δύο. Ο διαχωρισμός, η θωράκιση και οι ισοδυναμικές συνδέσεις περιορίζουν την έκθεση. Η ατρωσία πρέπει να αντιστοιχεί στις πραγματικές συνθήκες λειτουργίας.
Το παράρτημα F του ISO 13849-1 οργανώνει την αξιολόγηση CCF με βαθμούς. Απαιτούνται τουλάχιστον 65 βαθμοί από εφαρμοσμένα μέτρα. Ενδεικτικά, ο διαχωρισμός καναλιών δίνει 15, η προστασία από κατάλληλες υπερεντάσεις και υπερτάσεις 15, τα μέτρα ηλεκτρομαγνητικής συμβατότητας 25 και οι λοιποί περιβαλλοντικοί παράγοντες 10.
Η αιτιολόγηση μπορεί να είναι επαρκής ακόμη και με όμοιους επαφείς. Η διαφοροποίηση κατασκευής, τεχνολογίας, καταπόνησης ή κατασκευαστή μπορεί να δώσει έως 20 βαθμούς σε μία θέση. Δύο εμπορικές ονομασίες πάνω στο ίδιο προϊόν παραμένουν το ίδιο προϊόν. Επιπλέον, η μερική εφαρμογή ενός μέτρου δεν δίνει μέρος των βαθμών· δίνει μηδέν.
Το δεύτερο κανάλι βοηθά μόνο όταν μια κοινή αιτία δεν αφαιρεί και από τα δύο κανάλια την ικανότητα λειτουργίας. Η σχεδιαστική εφεδρεία χωρίς έλεγχο CCF μπορεί να είναι εφεδρεία μόνο στο σχέδιο.
Και πού βρίσκονται τα δύο κανάλια σε αισθητήρα, ηλεκτρονόμο και PLC;
Τους K1 και K2 μπορούμε να τους δείξουμε με το δάχτυλο. Στα ηλεκτρονικά, τα κανάλια μπορεί να βρίσκονται μέσα στο ίδιο περίβλημα. Το ISO 13849-1 περιγράφει τη λογική δομή. Την εσωτερική υλοποίηση κάθε συσκευής την καθορίζει και την τεκμηριώνει ο κατασκευαστής της.
Δύο αισθητήρες σε ένα προστατευτικό
Οι επαγωγικοί αισθητήρες S1 και S2 ανιχνεύουν μεταλλικό στόχο στο κλειστό προστατευτικό. Καθένας στέλνει δικό του σήμα σε χωριστή είσοδο. Για να επιτραπεί η λειτουργία απαιτούνται δύο επιβεβαιώσεις «κλειστό».
Ο S1 αστοχεί και δείχνει μόνιμα «κλειστό». Όταν ο χειριστής ανοίξει το προστατευτικό, ο μεταλλικός στόχος απομακρύνεται και από τους δύο αισθητήρες. Ο υγιής S2 αλλάζει κατάσταση και το σύστημα δίνει εντολή διακοπής. Η απώλεια μίας επιβεβαίωσης αρκεί για την αντίδραση.
Ένας αισθητήρας ασφαλείας με δύο εξόδους OSSD
Ένας επαγωγικός αισθητήρας ασφαλείας μπορεί να περιλαμβάνει διάγνωση και δύο επιτηρούμενες ηλεκτρονικές εξόδους OSSD. Όταν απομακρυνθεί ο στόχος, και οι δύο έξοδοι απενεργοποιούνται και μεταφέρουν αίτημα διακοπής. Η διάγνωση επιτηρεί και την ικανότητά τους να απενεργοποιηθούν.
Ένας κοινός αισθητήρας μπορεί επίσης να διαθέτει δύο εξόδους, χωρίς όμως δύο ανεξάρτητα κανάλια ανίχνευσης. Το ίδιο ηλεκτρονικό κύκλωμα αναγνωρίζει τον στόχο και το αποτέλεσμά του οδηγεί και τις δύο εξόδους, τη μία ως κανονικά ανοικτή και την άλλη ως κανονικά κλειστή.
Αν το κοινό κύκλωμα αναγνωρίσει λανθασμένα τον στόχο ενώ το προστατευτικό είναι ανοικτό, και οι δύο έξοδοι θα συμπεριφέρονται όπως ακριβώς όταν είναι κλειστό. Ο έλεγχος των αντίθετων καταστάσεών τους δεν θα αποκαλύψει το σφάλμα. Το σύστημα έλαβε δύο εκδοχές του ίδιου λάθους. Το ίδιο συμβαίνει όταν ένα σήμα διακλαδίζεται απλώς σε δύο εισόδους.
Ηλεκτρονόμος ασφαλείας και ελεγκτής
Σε έναν κλασικό ηλεκτρονόμο ασφαλείας λειτουργούν δύο εσωτερικοί ηλεκτρονόμοι R1 και R2. Οι επαφές έγκρισης λειτουργίας συνδέονται σε σειρά. Αν συγκολληθεί η επαφή του R1, ο R2 μπορεί ακόμη να ανοίξει την έξοδο. Μηχανικά συνδεδεμένες επαφές επιτήρησης επιτρέπουν τον εντοπισμό της συγκόλλησης και τον αποκλεισμό επανεκκίνησης.
Ένα PLC σχετικό με την ασφάλεια μπορεί να χρησιμοποιεί δύο επεξεργαστές και σύγκριση αποτελεσμάτων. Αν ο ένας υπολογίζει εσφαλμένα έγκριση κίνησης και ο άλλος διακοπή, η ασυμφωνία προκαλεί προστατευτική αντίδραση. Οι δοκιμές καλύπτουν επίσης τη μνήμη, την εκτέλεση του προγράμματος, τις εισόδους και τις εξόδους.
Δύο αντίγραφα προγράμματος σε κοινό PLC μπορεί, αντίθετα, να εκτελούνται από τον ίδιο επεξεργαστή. Μία αστοχία του επηρεάζει και τα δύο αντίγραφα. Η αντιγραφή κώδικα είναι πολύ ευκολότερη από την κατασκευή αντοχής στα σφάλματα και δίνει εντελώς διαφορετικό αποτέλεσμα.
Φωτοηλεκτρικός φραγμός ασφαλείας
Όταν ο χειριστής διακόψει τις δέσμες μεταξύ πομπού και δέκτη, ο φωτοηλεκτρικός φραγμός απενεργοποιεί τις OSSD1 και OSSD2. Αν η ελαττωματική OSSD1 παραμείνει ενεργή, η απενεργοποίηση της OSSD2 αρκεί ώστε το συνεργαζόμενο σύστημα να δώσει εντολή διακοπής.
Κάθε έξοδος οδηγείται στη δική της προβλεπόμενη είσοδο. Η διάγνωση καλύπτει τις εξόδους και τις συνδέσεις τους. Στην τεκμηρίωση της συσκευής, ο μελετητής ελέγχει το επιτυγχανόμενο PL, την κατηγορία, τον χρόνο αντίδρασης και την απαιτούμενη συνδεσμολογία. Μόνο έτσι αξιοποιούνται σωστά οι ιδιότητες ενός έτοιμου υποσυστήματος μέσα στη συγκεκριμένη λειτουργία.
Ίδιο PL, διαφορετική συμπεριφορά μετά το σφάλμα
Ένας μελετητής πετυχαίνει PL d με κατηγορία 2 και άλλος με κατηγορία 3. Και οι δύο υπολογισμοί μπορεί να είναι σωστοί. Ο πρώτος χρησιμοποίησε πολύ αξιόπιστο λειτουργικό κανάλι με δοκιμή. Ο δεύτερος χρησιμοποίησε δύο λειτουργικά κανάλια.
| Κατηγορία | MTTFD καναλιού | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 έτη | 90% | 2,29 × 10−7 | d |
| 3 | 30 έτη | 90% | 2,65 × 10−7 | d |
Στην κατηγορία 2, το MTTFD αφορά το λειτουργικό κανάλι. Στην κατηγορία 3 αφορά καθένα από τα δύο κανάλια. Και τα δύο PFH βρίσκονται στο διάστημα του PL d, όμως η κατηγορία 2 μπορεί να χάσει την υπολειτουργία μεταξύ δοκιμών, ενώ η κατηγορία 3 τη διατηρεί μετά από ένα μεμονωμένο σφάλμα.
Αν η SRS ή πρότυπο τύπου C για τη συγκεκριμένη μηχανή απαιτεί διατήρηση της λειτουργίας μετά από ένα σφάλμα, ο σχεδιασμός πρέπει να παρέχει ακριβώς αυτή τη συμπεριφορά. Το γράμμα d από μόνο του δεν επιλέγει αρχιτεκτονική.
Ίδια κατηγορία, αποτελεσματικότερη διάγνωση
Στην κατηγορία 3, με MTTFD κάθε καναλιού 100 έτη, η αύξηση του DCavg από 60% σε 90% μετακινεί το αποτέλεσμα από PL d σε PL e.
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60% | 1,01 × 10−7 | d |
| 90% | 4,29 × 10−8 | e |
Η υψηλότερη διαγνωστική κάλυψη πρέπει να προκύπτει από αποτελεσματικότερο εντοπισμό επικίνδυνων αστοχιών και σωστή αντίδραση. Η επιτήρηση των μεταβολών της ανάδρασης μπορεί να αποκαλύψει βραχυκύκλωμα που επιβεβαιώνει μόνιμα ότι ο επαφέας είναι ανοικτός. Αυτή είναι πραγματική αλλαγή στη λειτουργία του συστήματος. Η αλλαγή ενός πεδίου από 60% σε 90% στο λογισμικό υπολογισμού αλλάζει, προς το παρόν, μόνο την εκτύπωση.
Τα αριθμητικά παραδείγματα βασίζονται στα μοντέλα υποσυστημάτων του ISO 13849-1:2023. Η μέθοδος της παραγράφου 6.1.8 θεωρεί προβλεπόμενη χρήση 20 ετών, σταθερές εντάσεις αστοχίας και κατάλληλα μέτρα CCF. Για στοιχεία που φθείρονται νωρίτερα πρέπει να εφαρμόζονται οι πραγματικοί περιορισμοί χρήσης.
Στην κατηγορία 2 ισχύουν επιπλέον οι απαιτήσεις για το κανάλι δοκιμής, τη συχνότητα δοκιμών και τον χρόνο αντίδρασης κατά την απαίτηση. Για περιοδική δοκιμή, τα παρουσιαζόμενα PFH αντιστοιχούν σε αναλογία συχνότητας δοκιμής προς απαιτήσεις τουλάχιστον 100:1. Η σημείωση 1 του πίνακα K.1 δίνει εκτίμηση για αναλογία τουλάχιστον 25:1 με πολλαπλασιασμό του PFH επί 1,1. Οι τιμές για χαμηλό, μέσο και υψηλό DCavg υπολογίζονται αντίστοιχα με 60%, 90% και 99%.
Το PL εκφράζει το επίπεδο επιτελεστικότητας. Η κατηγορία εξηγεί πώς το σύστημα αντιμετωπίζει τα σφάλματα. Για να επιλεγεί λύση χρειάζονται και τα δύο· κανένα δεν αντικαθιστά το άλλο.
Οι επαφείς είναι έτοιμοι να διακόψουν, αλλά η εντολή δεν έφτασε
Το υποσύστημα K1–K2 επιτυγχάνει PL e. Ο αισθητήρας του προστατευτικού πληροφορεί λανθασμένα τη λογική ότι η θύρα παραμένει κλειστή. Το σύστημα επιτρέπει την κίνηση και οι δύο επαφείς μένουν ενεργοποιημένοι. Μπορεί να είναι απολύτως υγιείς και άψογα επιτηρούμενοι. Το πρόβλημα δημιουργήθηκε νωρίτερα, στην είσοδο της λειτουργίας.
Γι’ αυτό αξιολογείται ολόκληρη η αλυσίδα: είσοδος → λογική → έξοδος, μαζί με τις συνδέσεις. Σε σειριακό συνδυασμό υποσυστημάτων με γνωστά PFH, οι τιμές αθροίζονται. Το PL της πλήρους λειτουργίας περιορίζεται τόσο από το άθροισμα όσο και από το χαμηλότερο PL οποιουδήποτε υποσυστήματος.
Τρία υποσυστήματα με PFH 4 × 10−8 1/h το καθένα δίνουν συνολικά 1,2 × 10−7 1/h, δηλαδή PL d. Κάθε υποσύστημα χωριστά βρισκόταν στο PL e. Ο λόγος είναι απλός: η πλήρης λειτουργία έχει περισσότερα σημεία στα οποία μπορεί να εμφανιστεί επικίνδυνη αστοχία. Η διαδικασία παρουσιάζεται αναλυτικά στο άρθρο για τον Υπολογισμό PL κατά ISO 13849-1.
Μετά τη διακοπή της τροφοδοσίας, ο ιμάντας χρειάζεται χρόνο για να επιβραδύνει. Η προστασία πρέπει να ενεργήσει πριν ο άνθρωπος φτάσει στον κίνδυνο. Η σχέση φαίνεται καθαρά στο παράδειγμα της απόστασης φωτοηλεκτρικού φραγμού μετά από αλλαγή του χρόνου αντίδρασης. Όταν συνδυάζονται υποσυστήματα που αξιολογήθηκαν με διαφορετικές μεθόδους, είναι χρήσιμη και η σύγκριση των ISO 13849-1 και IEC 62061.
Ύστερα από μερικά χρόνια κάποιος θα αντικαταστήσει τον K1
Ο νέος επαφέας έχει το ίδιο ονομαστικό ρεύμα και ταιριάζει στη ράγα. Ο τεχνικός χρειάζεται, όμως, και την κατάλληλη επαφή καθρέφτη, τους σωστούς χρόνους λειτουργίας και τα δεδομένα αντοχής. Αυτά τα χαρακτηριστικά αποτελούσαν μέρος του αρχικού σχεδιασμού. Η σημείωση «24 V, ίδια ένταση» παραλείπει ακριβώς όσα χρειάζεται η διάγνωση.
Η τεκμηρίωση πρέπει να εξηγεί γιατί επιλέχθηκε η συσκευή, τι επιτηρείται και πώς αντιδρά το σύστημα σε σφάλμα. Χωρίς αυτά, απομένει ένα τηλεφώνημα στον αρχικό προγραμματιστή και η ελπίδα ότι θυμάται τον λόγο πίσω από κάθε συνθήκη. Έτσι, η αιτιολόγηση της ασφάλειας εξαρτάται από τη μνήμη ενός ανθρώπου.
| Πεδίο | Καταγραφή |
|---|---|
| Πεδίο εφαρμογής | Υποσύστημα εξόδου K1–K2 με συνδέσεις και επιτήρηση. Αποστολή: διακοπή της τροφοδοσίας του κινητήρα. |
| Εξεταζόμενο σφάλμα | Ο K1 παραμένει κλειστός παρά την εντολή απενεργοποίησης. |
| Απαιτούμενη αντίδραση | Ο K2 αποσυνδέει μόνος του τον κινητήρα. Η μη επιστροφή της ανάδρασης K1 αποκαλύπτει το σφάλμα και αποκλείει την επανεκκίνηση. |
| Απαιτούμενη απόδειξη | Ανάλυση σφαλμάτων και δοκιμή T-01: επιβεβαίωση διακοπής μέσω K2, χρόνου αντίδρασης, ανίχνευσης και αποκλεισμού. Το αποτέλεσμα καταγράφεται για τη συγκεκριμένη έκδοση του συστήματος. |
Η πλήρης καρτέλα συνδέει αυτή την καταγραφή με τη SRS, την έκδοση του ηλεκτρολογικού σχεδίου, τις βάσεις των MTTFD, DCavg και CCF, καθώς και τα αποτελέσματα επικύρωσης. Τεκμηριώνει επίσης κάθε εφαρμοζόμενο αποκλεισμό σφάλματος.
Λήψη καρτέλας αιτιολόγησης κατηγορίας σε PDF, στα αγγλικά: περιλαμβάνει παράδειγμα K1–K2 και συμπληρώσιμο έντυπο για δικό σας έργο.
Ο υπεύθυνος έργου δεν χρειάζεται να υπολογίζει ο ίδιος το PFH. Μπορεί όμως να ζητήσει από τον προμηθευτή να δείξει ένα συγκεκριμένο σφάλμα στο σχέδιο: τι αστοχεί, τι συνεχίζει να προστατεύει τον άνθρωπο, πότε το σύστημα αντιλαμβάνεται το πρόβλημα και πού έχει καταγραφεί η δοκιμή. Αυτή η συζήτηση είναι πολύ πιο χρήσιμη από μια ερώτηση για τη μάρκα του ηλεκτρονόμου.
Δύο επαφείς είναι απλώς μία γραμμή στον κατάλογο αγορών. Η πραγματική λειτουργία τους, η διάγνωση και η τεκμηριωμένη αιτιολόγηση του σχεδιασμού είναι αυτά που επιτρέπουν την απόδοση κατηγορίας.
Πηγές
Τα παραδείγματα με τον μεταφορικό ιμάντα, τους επαφείς και τις βαλβίδες χρησιμοποιούνται για την επεξήγηση των απαιτήσεων. Οι τιμές PFH και τα αντίστοιχα PL προέρχονται από τον πίνακα K.1 του ISO 13849-1.
- ISO 13849-1:2023, παράγραφοι 4.5, 5.1, 5.2.1 και 5.3–5.5: πληροφορίες από την εκτίμηση κινδύνου, SRS, PLr και διαχωρισμός σε υποσυστήματα. Ορισμοί 3.1.45–3.1.47 και παράγραφοι 6.1.3.1–6.1.3.2.1: υποσύστημα, κανάλι και αρχιτεκτονικές.
- ISO 13849-1:2023, παράγραφοι 6.1.3.2.2–6.1.3.2.6: απαιτήσεις κατηγοριών B–4, αντίδραση σε σφάλματα, δοκιμές και συσσώρευση σφαλμάτων. Ορισμοί 3.1.49–3.1.50 και παράγραφος 6.1.11: δοκιμασμένες αρχές ασφάλειας και εξαρτήματα.
- ISO 13849-1:2023, πίνακες 2, 6, 7 και K.1, παράγραφοι 6.1.4–6.1.5 και 6.1.8, παραρτήματα C–E: PL, PFH, MTTFD, DC, δεδομένα αντοχής, αριθμός μεταγωγών και παραδοχές των αριθμητικών μοντέλων.
- ISO 13849-1:2023, παράγραφος 6.1.6, παράρτημα F και πίνακας F.1: CCF, μέτρα περιορισμού κοινών καταπονήσεων, βαθμολόγηση και όριο 65 βαθμών. Παράγραφοι F.3.2, F.3.3 και F.3.6: διαφοροποίηση, προστασίες, παρεμβολές και περιβαλλοντικές συνθήκες.
- IEC 60947-4-1, παράγραφος 8.2.5.1: συνεργασία επαφέων με προστασίες βραχυκυκλώματος και συντονισμός τύπου 2. Παράγραφοι 8.2.4.3.1–8.2.4.3.2 και παράρτημα B: μηχανική και ηλεκτρική αντοχή. Παράρτημα F: χαρακτηριστικά και αναγνώριση επαφών καθρέφτη.
- ISO 13849-1:2023, παράγραφος 6.1.10, ορισμοί 3.1.29–3.1.30 και 3.1.51–3.1.52, παράρτημα E και πίνακας E.1: ανάλυση σφαλμάτων, επιτήρηση, δοκιμές και έλεγχος αξιοπιστίας σημάτων. Κεφάλαιο 7 και παράρτημα N: λογισμικό και προαξιολογημένες πλατφόρμες. Παράγραφος 13.2: πληροφορίες ενσωμάτωσης.
- ISO 4413, παράγραφος 5.4.4.1: στεγανότητα και καταλληλότητα βαλβίδων για εφαρμογές σχετικές με την ασφάλεια. Παράγραφοι 5.4.7.1–5.4.7.2.1: ακούσια κίνηση, απομόνωση ενέργειας και εκτόνωση πίεσης.
- ISO 13849-1:2023, παράγραφος 6.2.2 και κεφάλαιο 8: συνδυασμός υποσυστημάτων, άθροιση PFH και περιορισμοί του επιτυγχανόμενου PL. Παράγραφος 5.2.2.2: διακοπή κίνησης. Παράγραφοι 10.1.1–10.1.2 και 10.8, καθώς και κεφάλαιο 12: επικύρωση, πρωτόκολλα και τεχνική τεκμηρίωση.