"Kaksi kontaktoria ja turvarele, siis turvallisuusluokka 3." Keskuksessa kaikki näyttää oikealta. Ostoslistallakin rivit täsmäävät. Vasta hitsautunut kontaktori näyttää, kuinka paljon tästä järjestyksestä jää jäljelle tositilanteessa.
Kuljettimen suojus avataan. Ohjaus katkaisee K1:n kelajännitteen, mutta koskettimet ovat hitsautuneet. Moottori saa edelleen virtaa. Käsky oli oikea. Kontaktori ei vain toteuttanut sitä. Toinen kontaktori voi pelastaa poiskytkennän. Diagnostiikka voi paljastaa vian ja estää uuden käynnistyksen. Kaikki riippuu rakenteesta, ei kaavioon kirjoitetusta luokkanumerosta.
ISO 13849-1 -turvallisuusluokat kuvaavat osajärjestelmän vikasietoisuutta ja käyttäytymistä vikojen jälkeen. Luokkien B, 1, 2, 3 ja 4 erot näkyvät selvimmin samassa tehtävässä: käyttövoiman syöttö on katkaistava myös silloin, kun jokin järjestelmässä pettää. Toimiva järjestelmä näyttää vastaanotossa aina vakuuttavalta. Turvallisuusluokan merkitys alkaa vasta, kun järjestelmä ei enää ole kunnossa.
Ensin tehtävä, sitten keskuksen laitteet
Käyttäjän on korjattava työkappaletta. Kuljettimen on pysähdyttävä ennen vaarakohtaan pääsyä ja pysyttävä pysähtyneenä koko sen ajan, kun työtä tehdään suojus avattuna. Suunnittelija johtaa nämä vaatimukset ISO 12100:n mukaisesta riskin arvioinnista ja kirjaa ne turvallisuusvaatimusmäärittelyyn eli SRS:ään.
Koko turvallisuustoiminto sisältää suojuksen avautumisen tunnistamisen, ohjauslogiikan päätöksen ja käyttövoiman poiskytkennän. Jokainen osa voidaan käsitellä omana osajärjestelmänään. Seuraavissa vaihtoehdoissa muuttuu lähtöosajärjestelmä: kontaktorit, niiden kytkennät ja valvonta. Sen osatoiminto on katkaista moottorin syöttö.
Kontaktori toimii sähköisesti ohjattuna kytkimenä. Kelan jännite sulkee pääkoskettimet, joiden kautta moottorivirta kulkee. Kun kelajännite katkaistaan, ehjä kontaktori avaa koskettimet. Koskettimien hitsautuminen vie juuri tämän kyvyn.
Kun K1 ja K2 on kytketty sarjaan, moottorivirta kulkee molempien kautta. Kumman tahansa avautuminen katkaisee virtapiirin. Kontaktori ja sitä ohjaava rakenne muodostavat oman poiskytkentäreittinsä eli kanavan.
Turvallisuusluokka B: K1 hitsautui, syöttö jäi päälle
Käyttövoiman katkaisee yksi kontaktori K1. Kun suojus avataan, ohjaus katkaisee kelajännitteen, koskettimet avautuvat ja moottori menettää syötön. Tuhansien jaksojen ajan kaikki voi toimia juuri näin.
Seuraavassa käynnistyksessä koskettimet hitsautuvat. Kuljetin käy edelleen, joten käyttäjä ei huomaa mitään. Kun suojus avataan, kelajännite poistuu mutta moottorivirta jatkaa kulkuaan. Järjestelmässä ei ole toista laitetta, joka voisi katkaista sen. Yksi vika vie osajärjestelmältä kyvyn pysäyttää käyttö.
Jos kelajohto sen sijaan katkeaisi, ehjä kontaktori vapautuisi. Se on eri vika ja sillä on eri seuraus. Väite "kontaktori putoaa vikatilanteessa" toimii mainiosti niin kauan kuin väitteen esittäjä saa itse valita vian.
Turvallisuusluokka B edellyttää perustason turvallisuusperiaatteita ja komponenttien valintaa todellisten käyttöolojen mukaan. Kontaktorin on kestettävä kuormitus, kytkentämäärä ja keskuksen lämpötila. Kirjain B ei ole lupa asentaa sitä, mitä varastoon sattui jäämään.
Milloin turvallisuusluokka B tuottaa PL a:n ja milloin PL b:n?
Kaksi ulkoisesti samanlaista järjestelmää voi erota vaarallisten vikaantumisten taajuudessa. Toinen kontaktori käynnistää moottorin kerran työvuorossa, toinen jokaisella työkappaleella. Sama laitemalli, täysin eri määrä kytkentöjä.
Suunnittelija ottaa huomioon laitteen kestävyyden ja koneen todellisen käytön. Tuloksena määritetään MTTFD eli keskimääräinen aika vaaralliseen vikaantumiseen. Mitä suurempi arvo on, sitä harvemmin tällainen vikaantuminen tilastollisesti tapahtuu. Kanavassa on huomioitava kaikki osat, joiden vika voi poistaa poiskytkentäkyvyn.
| Kanavan MTTFD | PFH, vaarallisen vikaantumisen keskimääräinen taajuus tunnissa | Saavutettu PL |
|---|---|---|
| 10 vuotta | 1,14 × 10⁻⁵ 1/h | PL a |
| 12 vuotta | 9,51 × 10⁻⁶ 1/h | PL b |
| 20 vuotta | 5,71 × 10⁻⁶ 1/h | PL b |
Kun MTTFD on 10 vuotta, tulos on PL a. Arvolla 12 vuotta päästään jo tasolle PL b, koska PFH alittaa rajan 10⁻⁵ 1/h. Luotettavuus muuttui. Hitsautumisen jälkeen molemmat järjestelmät käyttäytyvät silti samalla tavalla.
MTTFD on tilastollinen parametri. Laskennan "20 vuotta" ei ole kontaktorin kahdenkymmenen vuoden takuu eikä automaattinen vaihtoväli. Vaihtopäivä määritetään laitteen käyttöolojen ja käyttörajojen perusteella.
Taulukon arvot koskevat lähtöosajärjestelmää. Koko toimintoon lisätään anturin ja logiikan PFH-arvot: PFHtulo + PFHlogiikka + PFHlähtö. Summaa verrataan PL-alueisiin, ja lisäksi kokonaisuutta rajoittaa osajärjestelmien alin PL. Siksi PL b -tasoinen lähtö voi muun ketjun kanssa tuottaa vain PL a -tasoisen toiminnon.
Turvallisuusluokan B yläraja on PL b. Jos vaadittu suoritustaso PLr on d, tarvitaan toinen ratkaisu. Vastaanotossa tehty ylimääräinen onnistunut suojuksen avaus ei siirrä tätä rajaa. Kaikki riippuu yhdestä kanavasta, ja hitsautunut K1 voi poistaa koko suojauksen.
Turvallisuusluokka 1: saman ongelman pitää esiintyä harvemmin
Käyttövoiman katkaisee edelleen yksi K1. Nyt suunnittelija tiukentaa sen luotettavuutta ja käyttötapaa koskevia vaatimuksia. Turvallisuusluokan B periaatteiden lisäksi käytetään koeteltuja komponentteja ja koeteltuja turvallisuusperiaatteita. Yksinkertaistetussa menetelmässä kanavan MTTFD:n on oltava korkea, 30–100 vuotta.
"Koeteltu" tarkoittaa aina tiettyjä käyttöoloja. Kontaktori on voinut kytkeä lämmitysvastuksia vuosia ongelmitta. Nyt sille annetaan moottori, suuri käynnistysvirta ja tiheät käynnistykset. Tuttu logo pysyy, mutta rasitus vaihtuu.
Valinnan perustana ovat dokumentoidut kokemukset vastaavista sovelluksista tai ominaisuudet, jotka on osoitettu asiaankuuluvien standardien mukaisella suunnittelulla, todentamisella ja validoinnilla. ISO 13849-2 käsittelee myös koeteltuja komponentteja ja niiden hyväksymisen ehtoja.
Suunnittelija käyttää periaatteita, joilla vähennetään vikojen syntyä tai niiden vaarallisia seurauksia. Sitten K1 kuitenkin hitsautuu. Kela kytketään pois, koskettimet jäävät kiinni ja moottori saa edelleen virtaa. Turvallisuusluokka 1 pienentää tapahtuman todennäköisyyttä. Se ei synnytä toista kanavaa.
Suurempi luotettavuus: PL b:stä PL c:hen
Kun kanavan MTTFD on 30 vuotta, taulukko K.1 antaa tulokseksi PL b:n. Arvolla 39 vuotta PFH alittaa 3 × 10⁻⁶ 1/h ja tulos nousee tasolle PL c.
| Kanavan MTTFD | PFH | Saavutettu PL |
|---|---|---|
| 30 vuotta | 3,80 × 10⁻⁶ 1/h | PL b |
| 39 vuotta | 2,93 × 10⁻⁶ 1/h | PL c |
| 100 vuotta | 1,14 × 10⁻⁶ 1/h | PL c |
Turvallisuusluokan 1 yläraja on PL c. Parempi laite vikaantuu harvemmin, mutta hitsautumisen jälkeen toista poiskytkentäreittiä ei edelleenkään ole. Suojaus nojaa yhden kanavan suurempaan luotettavuuteen, ja tämän kanavan vika voi yhä poistaa suojauksen.
Turvallisuusluokka 2: järjestelmä tarkistaa, toteuttiko K1 käskyn
Suojus avataan. Ohjaus kytkee K1:n pois ja odottaa vahvistusta pääkoskettimien avautumisesta. Nyt käskyn toteutuminen tarkistetaan. Tiedon antaa kontaktorin peilikosketin, jonka rakenne estää sen sulkeutumisen, jos pääkosketin on hitsautunut. Järjestelmä saa siis palautteen: K1 avasi virtapiirin tai jätti käskyn toteuttamatta.
K1 on hitsautunut eikä vahvistusta tule. Testi paljastaa vian ja käynnistää reaktion. Tässä vaihtoehdossa K1:n kanssa sarjaan kytketty lisäkontaktori KT katkaisee syötön. Ohjaus estää uuden käynnistyksen, kunnes vika on poistettu.
Standardissa testauslaite on TE ja sen lähtö OTE. Tässä OTE ohjaa KT:tä. K1 kuuluu toiminnalliseen kanavaan, joka tekee tavallisen poiskytkennän. TE ja OTE muodostavat testauskanavan, joka valvoo tehtävän toteutumista ja käynnistää vikareaktion.
Keskuksessa on kaksi kontaktoria, mutta rakenne on edelleen turvallisuusluokan 2 esimerkki. KT:n tehtävä on katkaista syöttö sen jälkeen, kun K1:n ongelma on havaittu. Tässä kohtaa laitteiden laskeminen häviää jo kytkentäkaavion lukemiselle.
Eilen kunnossa, tämän päivän käynnistyksessä jo hitsautunut
K1 läpäisee testin oikein. Seuraavassa käynnistyksessä sen koskettimet hitsautuvat. Seuraavaan tarkistukseen asti toiminnallinen kanava on viallinen. Edellinen testitulos ei peittänyt mitään; kone ehti yksinkertaisesti rikkoutua testin jälkeen.
Siksi turvallisuusluokan 2 osatoiminto voi kadota testien välillä. Suunnittelijan on määritettävä, milloin testi tehdään ja kuinka nopeasti järjestelmä reagoi. Jos tarkistus alkaa suojuksen avautuessa, vian havaitsemisen, KT:n poiskytkennän ja liikkeen pysähtymisen on tapahduttava ennen kuin ihminen ehtii vaara-alueelle.
Kun PLr on d, OTE:n on käynnistettävä turvallinen tila ja ylläpidettävä sitä vian poistamiseen asti. Tässä tehtävän hoitaa KT. Pelkkä punainen ilmoitus näytöllä jättäisi moottorin jännitteiseksi. Se vain kertoisi käyttäjälle erittäin selvästi, miksi suojaus ei toimi.
ISO 13849-1:n kohdan 6.1.3.2.4 mukaan testejä on tehtävä vähintään sata kertaa useammin kuin turvallisuustoimintoa vaaditaan, tai testi on tehtävä välittömästi toimintoa vaadittaessa siten, että vika havaitaan ja kone saatetaan vaarattomaan tilaan ennen vaara-alueelle ulottumista. Tässä suojuksen avautuminen on toiminnon vaatimistilanne.
Taajuussuhde 100:1 ei tarkoita sataa koetta ennen jokaista suojuksen avausta. TE–OTE-testikanavan MTTFD:n on oltava yli puolet toiminnallisen kanavan MTTFD:stä. Toiminnallisen kanavan jokaisella osalla on oltava vähintään matala diagnostiikan kattavuus. Lisäksi sovelletaan turvallisuusluokan B periaatteita, koeteltuja turvallisuusperiaatteita ja molempien kanavien yhteisestä syystä johtuvia vikaantumisia ehkäiseviä toimia.
Kun PLr on enintään c, OTE:n on myös käynnistettävä turvallinen tila, jos tämä on käytännössä mahdollista. Jos se ei ole mahdollista, varoitus voi standardin mukaan olla riittävä. Tasolla PLr d turvallisen reaktion on toteuduttava.
Testaus voi tuottaa PL d:n, mutta myös luotettavuus ratkaisee
DC kuvaa vaarallisten vikojen havaitsemisen tehokkuutta. Koko osajärjestelmälle määritetään keskimääräinen diagnostiikan kattavuus DCavg huomioimalla sen osien vaarallisten vikaantumisten taajuudet.
Samalla arvolla DCavg = 90 % turvallisuusluokka 2 antaa taulukossa K.1 tulokseksi PL a:n, kun toiminnallisen kanavan MTTFD on 3 vuotta, PL b:n arvolla 10 vuotta, PL c:n arvolla 30 vuotta ja PL d:n arvolla 100 vuotta. Testi on mukana jokaisessa vaihtoehdossa. Ero syntyy siitä, kuinka usein järjestelmän on selvittävä vioista.
| Toiminnallisen kanavan MTTFD | PFH | Saavutettu PL |
|---|---|---|
| 3 vuotta | 1,99 × 10⁻⁵ 1/h | PL a |
| 10 vuotta | 5,14 × 10⁻⁶ 1/h | PL b |
| 30 vuotta | 1,21 × 10⁻⁶ 1/h | PL c |
| 100 vuotta | 2,29 × 10⁻⁷ 1/h | PL d |
Turvallisuusluokassa 2 suojaus riippuu siitä, havaitseeko testi vian ja ehtiikö järjestelmä reagoida. Tarkistuksen ajoitus ja reaktioaika eivät ole käyttöönottovaiheen yksityiskohtia. Ne ovat osa suunnittelua.
Turvallisuusluokka 3: K2 katkaisee odottamatta testitulosta
K1 ja K2 ovat sarjassa moottorin syötössä. Kun suojus avataan, ohjaus antaa molemmille poiskytkentäkäskyn. Kummallakin kontaktorilla on oma ohjausreittinsä, ja kumpikin pystyy yksin katkaisemaan käyttövoiman.
Hitsautunut K1 jää kiinni. K2 avaa koskettimensa ja katkaisee virran. Toinen kanava suorittaa suojaustehtävän ensimmäisen kanavan viasta huolimatta. Tämä on ratkaiseva ero edelliseen vaihtoehtoon. Siinä KT toimi vasta testin havaittua K1:n vian. Tässä K2 saa poiskytkentäkäskyn, koska suojus avattiin. Sen ei tarvitse odottaa K1:n diagnoosia.
Kuljetin pysähtyi, mutta korjausta tarvitaan silti
Käyttäjä näkee saman kuin aina: hihna pysähtyy. Keskuksessa yksi kontaktori ei kuitenkaan enää toimi. Diagnostiikka havaitsee K1:n avautumisvahvistuksen puuttumisen ja estää seuraavan käynnistyksen. K2 hoiti vioittuneen kanavan tehtävän. Se ei samalla korjannut K1:tä.
Jos ohjaus sallisi käytön jatkamisen havaitun vian kanssa, seuraava poiskytkentä riippuisi enää K2:sta. Turvallisuusluokka 3 edellyttää osatoiminnon säilymistä yhden vian jälkeen. Vaatimus koskee arvioidun osajärjestelmän kaikkia komponentteja ja liitäntöjä.
Jos yksi ohjausvika voi pitää molemmat kelat jännitteisinä, kontaktorit saattavat toteuttaa virheellisen käskyn täysin moitteettomasti. Kahdesta ehjästä kontaktorista ei ole apua, jos molemmille annetaan sama väärä käsky.
Turvallisuusluokka 3 edellyttää vähintään matalaa diagnostiikan kattavuutta. Yksittäinen vika on havaittava turvallisuustoimintoa vaadittaessa tai ennen seuraavaa vaatimista, jos se on käytännössä perusteltua. Osa vioista voi jäädä havaitsematta. Niiden myöhempi kasautuminen voi poistaa suojauksen. Juuri tästä alkaa ero turvallisuusluokkaan 4.
Turvallisuusluokka 3 voi saavuttaa PL c:n, PL d:n tai PL e:n
Kun DCavg = 90 % ja kummankin kanavan MTTFD on 10 vuotta, taulukon K.1 tulos on PL c. Arvolla 30 vuotta tulos on PL d ja arvolla 100 vuotta PL e. Väite "turvallisuusluokka 3 tarkoittaa PL d:tä" on kätevä oikopolku, joka hukkaa kaksi muuta mahdollista tulosta.
| Kunkin kanavan MTTFD | PFH | Saavutettu PL |
|---|---|---|
| 10 vuotta | 1,36 × 10⁻⁶ 1/h | PL c |
| 30 vuotta | 2,65 × 10⁻⁷ 1/h | PL d |
| 100 vuotta | 4,29 × 10⁻⁸ 1/h | PL e |
MTTFD koskee kumpaakin kanavaa erikseen. Kaksi 30 vuoden kanavaa eivät muutu yhdeksi 60 vuoden kanavaksi. Myös turvallisuusluokan B vaatimukset, koetellut turvallisuusperiaatteet ja yhteisestä syystä johtuvia vikaantumisia ehkäisevät toimet ovat voimassa.
K2 katkaisee käyttövoiman K1:n viasta huolimatta. Diagnostiikka ratkaisee, saako järjestelmä luvan seuraavaan jaksoon. Poiskytkentäkyvyn säilyminen ja vian havaitseminen ovat kaksi eri tehtävää.
Turvallisuusluokka 4: ongelmaksi tulee myös diagnostiikalta piiloon jäänyt vika
K1:n hitsauduttua K2 katkaisee käyttövoiman ja ohjaus estää uuden käynnistyksen. Sama tapahtui turvallisuusluokan 3 vaihtoehdossa. Ero näkyy vasta laajemmassa analyysissä: mitä järjestelmä havaitsee, milloin se havaitsee sen ja mitä tapahtuu havaitsematta jääville vioille?
Turvallisuusluokassa 4 yksittäisen vian jälkeen toiminnon on säilyttävä ja vika on havaittava toimintoa vaadittaessa tai ennen seuraavaa vaatimista. Jos havaitseminen tässä ajassa ei ole mahdollista, vikojen kasautuminenkaan ei saa poistaa suojausta.
Järjestelmä tarkistaa myös, puhuuko vahvistus totta
Kummallakin kontaktorilla on erikseen valvottu peilikosketin. Ohjaus tarkistaa sen käyttäytymisen koko työjakson aikana:
- Ennen käynnistystä molemmat kontaktorit ovat pois päältä. Peilikoskettimien on vahvistettava päävirtateiden avautuminen.
- Kontaktorin käynnistyksen jälkeen avautumisvahvistuksen on poistuttava määritetyssä ajassa.
- Poiskytkennän jälkeen vahvistuksen on palattava.
- Kun K1 on hitsautunut, viimeinen vahvistus ei palaa. K2 katkaisee syötön ja logiikka estää käynnistyksen.
Kelajännite muuttuu 0 → 24 → 0 V ja odotettu avautumisvahvistus 1 → 0 → 1. Muutosta valvomalla järjestelmä tarkistaa muutakin kuin yhden staattisen tilan.
Miksi myös vahvistuksen poistuminen on tarkistettava? Peilikoskettimen kaksi johtoa voivat mennä oikosulkuun. Silloin signaali ilmoittaa jatkuvasti "K1 auki", myös kontaktorin ollessa vetäneenä. Järjestelmä, joka tarkistaa vain signaalin läsnäolon ennen käynnistystä, hyväksyisi väärän vahvistuksen.
Muutoksen valvonta paljastaa ristiriidan: K1 sai käskyn vetää, mutta "auki"-tieto jäi päälle. Ohjaus katkaisee lähdöt ja estää käytön. Käyttäjä voi painaa kuittausta, mutta kuittaus ei erota oikosulussa olevia johtoja eikä hitsautuneita koskettimia.
Tällaista diagnostiikkaa voidaan käyttää myös turvallisuusluokassa 3. Turvallisuusluokan 4 ratkaisee koko osajärjestelmän käyttäytyminen tarkasteltujen vikojen ja niiden kasautumisen aikana. Analyysiin kuuluvat myös ohjauspiirit, palautetiedot ja niiden viat.
Kaksi venttiiliä näyttää, miksi tämä on tärkeää
V1 ja V2 ovat istukkaventtiilejä, jotka on kytketty sarjaan sylinterin öljynsyöttöön. Kumpikin pystyy yksin sulkemaan virtauksen. Anturit valvovat sulkuelementtien asentoa.
V1:n istukan tiiviste vaurioituu. Sulkuelementti saavuttaa kiinni-asennon, mutta öljyä vuotaa vaurion läpi. Asentoanturi kertoo edelleen totuuden. Ehjä V2 pysäyttää virtauksen, joten koneessa ei tapahdu mitään.
Myöhemmin V2 alkaa riippumattomasta syystä vuotaa. Molempien venttiilien läpi kulkeva virtaus riittää sylinterin vaaralliseen liikkeeseen. Näytöllä näkyy yhä kaksi vahvistusta: "kiinni". Ne ovat keskenään täydellisen yhdenmukaisia ja tämän vian havaitsemisessa täysin hyödyttömiä.
Tämä on havaitsematta jääneiden vikojen kasautuminen, joka voi poistaa turvallisuusluokan 3 suojauksen. Turvallisuusluokassa 4 tapahtumaketju on katkaistava: olennainen vuoto havaitaan ajoissa tai toiminto säilyy tarkastellun vikayhdistelmän aikana.
Kummankin venttiilin erillinen tiiviystesti tarkistaa juuri sen ominaisuuden, jota asentoanturi ei tarkista. Vuoto voi esimerkiksi nostaa painetta venttiilin jälkeisessä, sylinteristä erotetussa testitilassa. Paineanturi havaitsee nousun ja järjestelmä estää käytön. Jos molemmat suljetut venttiilit tarkistetaan samanaikaisesti, tiivis V2 voi peittää V1:n vuodon.
Testin raja-arvon ja keston on paljastettava turvallisuuden kannalta merkittävä vuoto ennen vaaran syntymistä. Suunnittelussa huomioidaan myös venttiilien taakse jäävä paine: uuden syötön sulkeminen ei poista sinne varastoitunutta energiaa.
99 prosentin on synnyttävä diagnostiikan todellisesta toiminnasta
Turvallisuusluokka 4 edellyttää korkeaa, vähintään 99 prosentin DCavg-arvoa sekä kummankin kanavan korkeaa MTTFD-arvoa. Prosentti koskee havaittujen vaarallisten vikaantumisten taajuutta. Yhdeksän harvinaisen vikatyypin havaitseminen ja yhden yleisen ohittaminen voi tuottaa heikon tuloksen. Rastitettu tarkastuslista näyttää silloin suojausta paremmalta.
Kun DCavg = 99 %, taulukko K.1 antaa turvallisuusluokalle 4 tulokseksi PL e:n sekä kanavan MTTFD-arvolla 30 että 100 vuotta. PFH-arvot ovat erilaiset, mutta ne osuvat samalle suoritustasolle.
| Kunkin kanavan MTTFD | PFH | Saavutettu PL |
|---|---|---|
| 30 vuotta | 9,54 × 10⁻⁸ 1/h | PL e |
| 100 vuotta | 2,47 × 10⁻⁸ 1/h | PL e |
| 2 500 vuotta | 9,06 × 10⁻¹⁰ 1/h | PL e |
Turvallisuusluokan 4 mallissa kanavan MTTFD voi olla enintään 2 500 vuotta. Sekin on tilastollinen parametri, ei komponentin käyttöikä. Turvallisuusluokan B periaatteet, koetellut turvallisuusperiaatteet ja yhteisiä syitä ehkäisevät toimet ovat edelleen voimassa.
Kohdan 6.1.3.2.6 mukaan käytännössä voi riittää kahden vian yhdistelmien tarkastelu. Erittäin epätodennäköisten havaitsemattomien vikojen poisrajaus edellyttää dokumentoitua ja todennettua analyysiä, esimerkiksi FMEA:ta eli vika- ja vaikutusanalyysiä.
Diagnostiikan on tarkistettava kyky suorittaa tehtävä. Venttiili voi vahvistaa asentonsa oikein ja silti vuotaa öljyä. Signaalin uskottavuus ei yksin todista fyysisen turvatoiminnon onnistumista.
Viisi turvallisuusluokkaa, yksi hitsautunut K1
Turvallisuusluokissa B ja 1 hitsautunut K1 jättää moottorin jännitteiseksi. Turvallisuusluokan 2 vaihtoehdossa KT katkaisee syötön sen jälkeen, kun TE on havainnut vian. Turvallisuusluokissa 3 ja 4 K2 katkaisee syötön saatuaan poiskytkentäkäskyn samalla, kun suojus avataan. Diagnostiikka paljastaa vian ja estää seuraavan jakson.
Kaksi kontaktoria voi hävitä samalle oikosululle
Tähän asti K1 vikaantui ja K2 pelasti poiskytkennän. K2:n jälkeen syntyy kuitenkin oikosulku. Oikosulkuvirta kulkee molempien suljettujen kontaktorien läpi ja vaurioittaa niitä molempia. Toinen kanava kohtasi saman syyn kuin ensimmäinen.
Kyseessä on yhteisestä syystä johtuva vikaantuminen, CCF. Turvallisuusluokissa 3 ja 4 se koskee kahta toiminnallista kanavaa. Turvallisuusluokassa 2 se koskee toiminnallista kanavaa ja testauskanavaa. Yhteisiä altistuksia on rajoitettava konkreettisilla suunnitteluratkaisuilla.
K2 sulkeutuu ensin ja avautuu viimeisenä
Ensin sulkeutuu K2. K1 on vielä auki, joten moottorivirtaa ei kulje. Sen jälkeen K1 sulkee virtapiirin ja kytkee kuorman. Poiskytkennässä järjestys on päinvastainen: K1 katkaisee virran, ja K2 avautuu hieman myöhemmin ilman kuormitusvirtaa.
Molemmat johtavat käytön aikana saman virran, mutta niiden kytkentärasitukset eroavat. K2 välttää tavallisesti käynnistysvirran kytkemisen ja kuorman katkaisun, mikä vähentää koskettimien sähköistä kulumista. Mekanismi tekee silti jokaisen liikkeen, joten mekaaninen kuluminen jatkuu.
K2 on mitoitettava myös täyden kuorman itsenäiseen katkaisuun, koska K1:n hitsauduttua juuri se joutuu tekemään tämän. K2:n poiskytkennän on tapahduttava määrätyssä ajassa odottamatta K1:n vahvistusta. Hitsautumistilanteessa vahvistusta ei koskaan tule. Viiveen ja laitteiden toiminta-aikojen on mahduttava turvallisuustoiminnon sallittuun vasteaikaan.
Oikosulkusuojauksen on rajoitettava yhteisen tapahtuman seurauksia
Kytkentäjärjestys erottaa kontaktorien rasituksia käynnistyksessä ja pysäytyksessä. Kun molemmat ovat suljettuina oikosulun aikana, virta rasittaa kumpaakin. Suojalaitteen F on katkaistava virta, ja seuraukset riippuvat virran arvosta ja vaikutusajasta.
Suunnittelija määrittää asennuspaikan odotettavissa olevan oikosulkuvirran ja tarkistaa kokonaisuuden: tietty kontaktori, suojalaitteen tyyppi ja nimellisvirta, jännite sekä käyttöehdot. Yhteensopivuus valitaan valmistajan tietojen perusteella. Pelkkä moottorin nimellisvirta kertoo liian vähän.
Sulake katkaisee virran. Se ei korjaa kontaktoreita. Ennen käytön jatkamista molemmat laitteet on tarkistettava ja vauriot poistettava.
IEC 60947-4-1:2019-05:n kohdan 8.2.5.1 mukaan koskettimien hitsautuminen on mahdollista myös tyypin 2 koordinaatiossa. Valmistaja ilmoittaa tarvittavat kunnossapitotoimet. Muun kuin suositellun suojalaitteen käyttö voi mitätöidä koordinaation.
Yhteinen reitti, yhteinen teholähde, yhteinen ylikuumeneminen
Molempien kelojen johdot kulkevat samassa nipussa. Nipistys kytkee molemmat ohjaukset +24 V:iin. Erilliset suojatut reitit ja erotetut liittimet pienentävät mahdollisuutta, että yksi vaurio koskee molempia kanavia.
Yhteinen teholähde antaa vian jälkeen liian suuren jännitteen. Suunnittelija selvittää sen vikakäyttäytymisen ja käyttää sopivaa jännitteenrajoitusta tai syötettyjen piirien ulkoista suojausta.
Molemmat kontaktorit lämpenevät taajuusmuuttajan yläpuolella. Puhaltimen vika nostaa lämpötilan sallitun rajan yli. Laitteiden sijoitus, etäisyydet ja jäähdytys on mitoitettava myös tätä tilannetta varten. Vastaanoton aikana avoin keskus tuulettuu yleensä erinomaisesti. Se ei ole normaali käyttötila.
Molemmat kanavat kulkevat taajuusmuuttajan moottorijohtojen vieressä. Reittien erottaminen, suojaus ja potentiaalintasaus vähentävät sähkömagneettisten häiriöiden yhteistä vaikutusta. Häiriönsiedon on vastattava todellisia käyttöoloja.
ISO 13849-1:n liite F jäsentää CCF-arvioinnin pisteiksi. Menetelmässä tarvitaan vähintään 65 pistettä. Esimerkiksi kanavien erottelu antaa 15 pistettä, asianmukaisten ylivirtojen ja ylijännitteiden suojaus 15, sähkömagneettisten häiriöiden vastaiset toimet 25 ja muut ympäristötekijät 10 pistettä.
Riittävä tulos voidaan perustella myös kahdella samanlaisella kontaktorilla. Rakenteiden, tekniikoiden, kuormitusten tai valmistajien erilaisuudesta saa yhdessä kohdassa enintään 20 pistettä. Kaksi eri tuotemerkkiä samassa tuotteessa on silti sama tuote. Pisteet saa vain kohdan täydestä toteutuksesta arvioitavassa osajärjestelmässä. Osittainen toteutus antaa nolla pistettä.
Toinen kanava auttaa vain, jos yhteinen syy ei vie molemmilta kanavilta toimintakykyä. Kaksi kontaktoria ei tarkoita kahta riippumatonta kanavaa, jos sama oikosulku, kaapeli, teholähde tai lämpötila voi kaataa molemmat.
Missä kaksi kanavaa ovat anturissa, releessä ja PLC:ssä?
K1 ja K2 on helppo osoittaa sormella. Elektroniikassa kanavat voivat sijaita samassa kotelossa. Standardi kuvaa loogisen rakenteen, mutta tietyn laitteen sisäiset ratkaisut määrittää valmistaja.
Kaksi anturia yhdellä suojuksella
Induktiiviset anturit S1 ja S2 tunnistavat suljetun suojuksen metallikappaleen. Kumpikin antaa oman signaalinsa erilliseen ohjaustuloon. Käyntiin tarvitaan molemmat "kiinni"-vahvistukset.
S1 vikaantuu ja näyttää jatkuvasti suljettua. Kun suojus avataan, metalli siirtyy pois molempien anturien edestä. Ehjä S2 vaihtaa tilaansa, ja ohjaus antaa pysäytyskäskyn. Yhden vahvistuksen menetys riittää reaktioon.
Yksi turva-anturi ja kaksi OSSD-lähtöä
Induktiivisessa turva-anturissa voi olla diagnostiikka sekä kaksi valvottua sähköistä OSSD-lähtöä. Kun metallikappale siirtyy pois, molemmat lähdöt kytkeytyvät pois ja välittävät pysäytyspyynnön ohjaukselle. Diagnostiikka valvoo myös niiden poiskytkentäkykyä.
Tavallisessa anturissa voi olla kaksi eri tavalla toimivaa lähtöä, joita ohjaa sama tunnistuselektroniikka. Sulkeutuva lähtö kytkeytyy metallin tunnistamisen jälkeen, ja avautuva lähtö kytkeytyy samalla pois. Jos elektroniikka tunnistaa metallin virheellisesti suojuksen ollessa auki, molemmat lähdöt käyttäytyvät aivan kuin suojus olisi kiinni. Vastakkaisten tilojen vertailu ei paljasta virhettä. Ohjaus sai kaksi versiota samasta erehdyksestä.
Sama ongelma syntyy, jos yksi signaali vain haaroitetaan kahteen tuloon. Kaksi johtoa ei vielä tee kahta riippumatonta tietolähdettä.
Turvarele ja ohjelmoitava ohjain
Perinteisessä turvareleessä toimii kaksi sisäistä relettä R1 ja R2. Niiden käynnin sallivat koskettimet on kytketty sarjaan. Jos R1:n kosketin hitsautuu, R2 pystyy edelleen avaamaan lähdön. Mekaanisesti pakkotoimiset valvontakoskettimet mahdollistavat hitsautumisen havaitsemisen ja uudelleenkäynnistyksen eston.
Turvallisuuteen liittyvä PLC voi käyttää kahta suoritinta ja tulosten vertailua. Toinen laskee virheellisesti liikeluvan ja toinen pysäytyksen. Ristiriita käynnistää suojausreaktion. Testit kattavat myös muistin, ohjelman suorittamisen sekä tulot ja lähdöt.
Tavallisessa PLC:ssä kaksi ohjelmakopiota voi pyöriä yhdellä suorittimella. Suorittimen vika koskee silloin molempia kopioita. Koodin kopiointi on helpompaa kuin vikasietoisuuden rakentaminen, ja lopputulos on aivan toinen.
Valoverho
Kun käyttäjä katkaisee lähettimen ja vastaanottimen väliset säteet, valoverho kytkee OSSD1:n ja OSSD2:n pois. Jos viallinen OSSD1 jää päälle, OSSD2:n poiskytkentä riittää silti yhteistyössä toimivalle ohjaukselle pysäytyskäskyn muodostamiseen.
Kumpikin lähtö viedään sille tarkoitettuun tuloon. Diagnostiikka kattaa lähdöt ja niiden liitännät. Laitedokumentaatiosta tarkistetaan saavutettu PL, turvallisuusluokka, vasteaika ja vaadittu kytkentätapa. Vasta silloin valmiin osajärjestelmän ominaisuudet voidaan hyödyntää oikein tietyssä turvallisuustoiminnossa.
Sama PL, erilainen käyttäytyminen vian jälkeen
Yksi suunnittelija saavuttaa PL d:n turvallisuusluokalla 2, toinen turvallisuusluokalla 3. Molemmat tulokset voivat olla oikein. Ensimmäinen käyttää erittäin luotettavaa testattua kanavaa, toinen kahta toiminnallista kanavaa.
| Turvallisuusluokka | Kanavan MTTFD | DCavg | PFH [1/h] | PL |
|---|---|---|---|---|
| 2 | 100 vuotta | 90 % | 2,29 × 10⁻⁷ | d |
| 3 | 30 vuotta | 90 % | 2,65 × 10⁻⁷ | d |
Turvallisuusluokassa 2 MTTFD koskee toiminnallista kanavaa. Turvallisuusluokassa 3 arvo koskee kumpaakin kanavaa. Molemmat PFH-arvot osuvat PL d -alueelle, mutta turvallisuusluokka 2 voi menettää osatoiminnon testien välillä. Turvallisuusluokka 3 säilyttää sen yhden vian jälkeen.
Jos SRS tai kyseisen koneen C-tyypin standardi vaatii toiminnon säilymistä yhden vian jälkeen, suunnittelijan on tuotettava juuri tämä käyttäytyminen. Pelkkä kirjain d ei ratkaise rakennetta.
Sama turvallisuusluokka, parempi diagnostiikka
Kun turvallisuusluokan 3 kummankin kanavan MTTFD on 100 vuotta, DCavg-arvon nostaminen 60 prosentista 90 prosenttiin siirtää tuloksen PL d:stä PL e:hen.
| DCavg | PFH [1/h] | PL |
|---|---|---|
| 60 % | 1,01 × 10⁻⁷ | d |
| 90 % | 4,29 × 10⁻⁸ | e |
Paremman diagnostiikan kattavuuden on perustuttava tehokkaampaan vikojen havaitsemiseen ja asianmukaiseen reaktioon. Palautesignaalin muutoksen valvonta voi havaita oikosulun, joka muuten vahvistaisi kontaktorin avautumista jatkuvasti. Tällainen ratkaisu muuttaa järjestelmän toimintaa. Laskentaohjelman kentän vaihtaminen 60 prosentista 90 prosenttiin muuttaa aluksi vain tulostetta.
Taulukon K.1 lukuarvot perustuvat ISO 13849-1:2023-09:n osajärjestelmämalleihin. Kohdan 6.1.8 menetelmä olettaa 20 vuoden suunnitellun käyttöajan, vakioiset vikaantumistaajuudet ja asianmukaiset CCF-toimet. Aiemmin kuluvien komponenttien käyttörajoitukset on käsiteltävä erikseen.
Turvallisuusluokassa 2 sovelletaan lisäksi testauskanavan vaatimuksia sekä testitaajuutta tai toiminnon vaatimisen aikaista reaktioaikaa. Jaksottaisen testauksen taulukkoarvot vastaavat vähintään suhdetta 100:1. Taulukon K.1 huomautuksen 1 mukaan vähintään suhteen 25:1 arvio saadaan kertomalla taulukon PFH luvulla 1,1. Matalan, keskitason ja korkean DCavg:n arvot on laskettu vastaavasti arvoilla 60 %, 90 % ja 99 %.
PL kertoo saavutetun suoritustason. Turvallisuusluokka kertoo, miten järjestelmä käyttäytyy vikojen aikana. Ratkaisun valintaan tarvitaan molemmat.
Kontaktorit ovat valmiina katkaisemaan, mutta käskyä ei tullut
K1–K2-osajärjestelmä saavuttaa PL e:n. Suojuksen anturi ilmoittaa kuitenkin logiikalle virheellisesti, että ovi on kiinni. Ohjaus sallii liikkeen, joten molemmat kontaktorit jäävät vetäneiksi. Ne voivat olla ehjiä ja täydellisesti valvottuja. Ongelma syntyi jo toiminnon tulossa.
Siksi arviointi kattaa koko ketjun liitäntöineen: tulo → logiikka → lähtö. Kun sarjaan yhdistettyjen osajärjestelmien PFH-arvot tunnetaan, ne summataan. Kokonaisuuden PL:ää rajoittavat sekä summan tulos että osajärjestelmien alin PL.
Kolme osajärjestelmää, joiden kunkin PFH on 4 × 10⁻⁸ 1/h, tuottavat yhteensä 1,2 × 10⁻⁷ 1/h eli PL d:n. Jokainen yksin osui PL e -alueelle. Lasku on yksinkertainen: koko toiminnossa on enemmän kohtia, joissa vaarallinen vika voi syntyä. Menettelyä käsitellään tarkemmin artikkelissa PL:n laskennasta ISO 13849-1:n mukaan.
Syötön katkaisun jälkeen hihna tarvitsee vielä aikaa pysähtymiseen. Suojauksen on toimittava ennen kuin ihminen ehtii vaaraan. Yhteyden näyttää käytännössä tapaus, jossa tarkastellaan valoverhon etäisyyttä vasteajan muutoksen jälkeen. Eri menetelmillä arvioituja osajärjestelmiä yhdistettäessä auttaa myös ISO 13849-1:n ja IEC 62061:n vertailu.
Muutaman vuoden kuluttua joku vaihtaa K1:n
Uudessa kontaktorissa on sama nimellisvirta, ja se sopii kiskoon. Huolto tarvitsee silti oikean peilikoskettimen, sopivat toiminta-ajat ja kestävyystiedot. Nämä ominaisuudet olivat osa alkuperäistä suunnittelua. Merkintä "24 V, sama ampeerimäärä" jättää pois juuri sen, mitä diagnostiikka tarvitsee.
Dokumentaation avulla voidaan palauttaa näkyviin, miksi laite valittiin, mitä järjestelmä valvoo ja miten se reagoi vikaan. Ilman dokumentaatiota jäljelle jää puhelu ohjelman tekijälle ja toive siitä, että hän muistaa jokaisen ehdon perustelun. Silloin suunnittelun todistus riippuu yhden ihmisen muistista.
| Kenttä | Kirjaus |
|---|---|
| Laajuus | Lähtöosajärjestelmä K1–K2 liitäntöineen ja valvontoineen. Tehtävä: käyttövoiman syötön katkaisu. |
| Tarkasteltava vika | K1 jää suljetuksi poiskytkentäkäskystä huolimatta. |
| Vaadittu reaktio | K2 katkaisee käyttövoiman itsenäisesti. K1:n palautesignaalin puuttuminen paljastaa vian ja estää uudelleenkäynnistyksen. |
| Hankittava näyttö | Vika-analyysi ja koe T-01: K2:n poiskytkennän, vasteajan, vian havaitsemisen ja käynnistyksen eston tarkistus. Tulos kirjataan tietylle järjestelmäversiolle. |
Täydellinen kortti yhdistää kirjauksen SRS:ään, kytkentäkaavion versioon, MTTFD-, DCavg- ja CCF-perusteisiin sekä validointituloksiin. Se perustelee myös käytetyt vikojen poissulkemiset.
Lataa turvallisuusluokan perustelukortti (PDF, englanninkielinen): samassa tiedostossa ovat K1–K2-esimerkki ja tietokoneella täytettävä lomake omaa suunnittelua varten.
Esihenkilön ei tarvitse laskea PFH-arvoa itse. Toimittajaa voi pyytää näyttämään kaaviosta yhden vian: mikä rikkoutuu, mikä suojaa ihmistä edelleen, milloin ohjaus huomaa ongelman ja missä koetulos on kirjattu. Se johtaa paljon parempaan keskusteluun kuin turvareleen tuotemerkin kysyminen.
Kaksi kontaktoria on rivi ostoslistassa. Turvallisuusluokka voidaan määrittää vasta niiden toiminnan, diagnostiikan ja dokumentoidun suunnitteluperustelun perusteella.
Lähteet
Kuljetin-, kontaktori- ja venttiiliesimerkit havainnollistavat vaatimuksia. PFH-arvot ja niitä vastaavat PL-tasot ovat seuraavassa mainitusta taulukosta K.1.
- ISO 13849-1:2023-09, kohdat 4.5, 5.1, 5.2.1 ja 5.3–5.5: riskin arvioinnin tiedot, SRS, PLr ja jako osajärjestelmiin; määritelmät 3.1.45–3.1.47 sekä kohdat 6.1.3.1–6.1.3.2.1: osajärjestelmä, kanava ja arkkitehtuurit.
- ISO 13849-1:2023-09, kohdat 6.1.3.2.2–6.1.3.2.6: turvallisuusluokkien B–4 vaatimukset, vikareaktiot, testaus ja vikojen kasautuminen; määritelmät 3.1.49–3.1.50 sekä kohta 6.1.11: koetellut turvallisuusperiaatteet ja komponentit.
- ISO 13849-1:2023-09, taulukot 2, 6 ja 7, kohdat 6.1.4–6.1.5 ja 6.1.8, liitteet C–E sekä taulukko K.1 huomautuksineen 1–2: PL, PFH, MTTFD, DC, kestävyystiedot, kytkentämäärät ja laskentamallien oletukset.
- ISO 13849-1:2023-09, kohta 6.1.6, liite F ja taulukko F.1: CCF, yhteisiä altistuksia rajoittavat toimet, pistearviointi ja 65 pisteen raja; F.3.2: erilaisuus; F.3.3 ja F.3.6: suojaukset, häiriöt ja ympäristöolot.
- IEC 60947-4-1:2019-05, kohta 8.2.5.1: kontaktorien ja oikosulkusuojien yhteistoiminta sekä tyypin 2 koordinaatio; kohdat 8.2.4.3.1–8.2.4.3.2 ja liite B: mekaaninen ja sähköinen kestävyys; liite F: peilikoskettimien ominaisuudet ja tunnistaminen.
- ISO 13849-1:2023-09, kohta 6.1.10, määritelmät 3.1.29–3.1.30 ja 3.1.51–3.1.52, liite E ja taulukko E.1: vika-analyysi, valvonta, testaus ja uskottavuuden tarkistaminen; luku 7 ja liite N: ohjelmisto ja ennalta arvioidut alustat; kohta 13.2: integrointitiedot.
- ISO 4413:2011, kohta 5.4.4.1: venttiilien tiiviys ja soveltuvuus turvallisuuteen liittyvään käyttöön; kohdat 5.4.7.1–5.4.7.2.1: tahaton liike, energian erottaminen ja paineen purkaminen.
- ISO 13849-1:2023-09, kohta 6.2.2 ja luku 8: osajärjestelmien yhdistäminen, PFH-arvojen summa ja saavutetun PL:n rajoitukset; kohta 5.2.2.2: pysäyttäminen; kohdat 10.1.1–10.1.2 ja 10.8 sekä luku 12: validointi, pöytäkirjat ja tekninen dokumentaatio.